食水含鉛事件的改善思路

食水含鉛事件越演越烈，由於臨近地區選舉，政治人物都在爭取表現，故今天A提議全國重舖水管，明天又有B跳出來要求全港定期全面驗水。但只有現實點來看，驗一個水辦的成本最少都要幾百元，最快都怕要半日，全港戶數不下三百萬，假設每戶有三個水龍頭，已經有近1000萬個水辦要檢驗，莫說是定期檢驗，連檢驗一次也不是易事。因此，上述建議不單實際並不可行，亦只會引起公眾恐慌。

觀乎現時啟晴邨的初步抽驗結果，並非所有水辦都有超標問題，可見有關問題不大可能是存在於主要管道內，反而是個別單位入屋後的水管，甚至是水龍頭上。因此，較可行的即時行動，是對有關屋邨的單位進行每戶一水辦的抽驗，如沒有發現超標則可確認該單位食水安全，有問題的單位則再加抽樣確認問題位置，再進行水管重舖。這樣一方面可盡快讓不受影響的居民回復正常生活，減少需要輪取街喉食水的人口，同時亦可避免進行不必要的改裝工程。要知道如果本來是沒有問題的，改裝後的水質(特別是初期)未必會更好。

長遠的改善行動，關鍵是水務監管安排。目前最關鍵的問題是樓宇完工時抽水辦的檢查根本沒有檢驗食水的含鉛量，可以說是雖然對水管相關物料有標準，但卻沒有監管機制，也直接成為業界個別人士偷工減料的誘因。因此，追根究底，必要在完工檢查制度上作出改善，方可根本地解決問題。

從大家樂資料外泄事件看香港企業資訊保安狀況

連鎖快餐集團大家樂意外外泄超過10個客戶資料，反映不少企業仍對資訊保安的意識處於未開發的狀態。



從企業初步透露的訊息，事故起因是有職員意外將內載超過10個客戶資料的檔案以附件的形式傳給了一名客戶。從事件看來，以由一連串低級錯誤所組成，包括：



1) 對電郵的安全性缺乏認知

電郵是一種很便利的溝通工具，卻並不是安全的數據傳送工具。第一，普通電郵的傳訊是沒有加密的，只有有心人從中截取，訊息便有泄露的危險。第二，相信不少人也曾有經驗收到不屬於自己的電郵，其中一部份是源於傳送者錯誤鍵入電郵地址，更有一些是不知原因地被傳送到不正確的地址的。可見以電郵傳送敏感資料的風險有多大。



2) 資料取用欠缺管制，遠超所需

在資訊保安領域中，有一基本概念是Principle of least privilege (最小權限原則)，即如無必要，則不要授出多餘的權利。在實際企業運作的角度看，很難想像在企業內部有誰有需要同時取用多達10個客戶的資料。縱使真的有人有需要取用一部份的客戶資料，正確的做法也應是經適當申請、審核、授權的過程下，由資料庫中查詢需要的部份，並在整個使用的過程嚴格監控，在使用後有效銷毀。如果員工可以輕易將內載龐大客戶資料的檔案這樣地傳來傳去，我很懷疑類似的客戶資料檔案在企業內還有多少個複本被不安全地存在著。



3) 缺乏清晰的外傳資料加密要求

從事件中可估計企業以電郵形式外傳資料的做法並不罕見。但是，縱使真的有此需要，企業也應訂定清晰的規則並提供培訓，要求員工以甚麼工具並以特定的加密方法處理有關資料，將風險降低。



由此可見，有關企業明顯欠缺一個有系統的資訊保安制度，對資訊保安的風險意識也急需大大提高。連處於業內龍頭的企業也有如斯漏洞，相信在香港存在相類似問題的企業多如牛毛，情況令人不安。