香港律師行 IT 保安核對清單：私隱條例與保險

簡短回答：香港律師行的 IT 保安可歸結為十項檢查：所有人啟用多重要素登入、電郵防範付款詐騙、文件系統訪問權限與各案件的經辦人員相符、設備經加密和受管理、即時移除離職人員帳號、備份經過還原測試、定期漏洞掃描、保留日誌、與 IT 服務商訂立合約，以及為網絡保險公司準備證據檔案。其中大部分已經在 Microsoft 365 和你的文件系統之內。最便宜的第一步，是做一次固定價格的檢查，看看哪幾項不合格。

本核對清單寫給員工人數由幾人到幾百人不等的香港律師行的管理合夥人、執業經理或辦公室經理。它是寫給管理律師行的人看的，不是寫給 IT 工程師。每一項都說明要檢查甚麼、為何對律師行重要，以及要保留甚麼證據。凡涉及法律或專業規則，都列出公開來源，方便你自行閱讀或轉交顧問。我們負責實施管控措施和保存證據；法律詮釋則交由你自己的法律及合規顧問。

為何香港律師行的網絡安全與眾不同

有三點令律師行與大部分同等規模的辦公室成為不同的 IT 客戶。

保密是專業責任，不只是內部政策。香港律師會出版的《香港事務律師專業操守指引》有整整一章講保密（第8章「保密」）。檔案外洩既是客戶問題，也是操守問題。
這些數據對罪犯很有價值。客戶款項、成交日期和交易文件，令律師行成為電郵詐騙的目標：罪犯會發出看似出自你手的付款指示。
紀錄要保存多年。香港律師會的打擊洗錢指引指出，客戶盡職審查文件、紀錄和客戶檔案應保存 5 年，部分事務的期限更長（根據香港律師會的打擊洗錢常見問題，物業轉易為 15 年，租賃事務為 7 年）。保存期長，代表舊檔案既要隨時可用，也要受到保護。

需要留意的規則

以下是與香港律師行 IT 最相關的公開來源。這只是參考清單，並非法律意見。

《個人資料（私隱）條例》（第486章）保障資料第4原則。持有及使用個人資料的機構必須採取切實可行的步驟，保障個人資料不受未獲准許或意外的查閱。根據保障資料第4原則第(2)款，如你聘用資料處理者，例如 IT 服務商或雲端服務，你必須採用合約規範方法或其他方法，保障其處理的資料。來源：電子版香港法例（elegislation.gov.hk，第486章）上的條例原文，以及個人資料私隱專員公署（私隱專員公署）的解說資料。
私隱專員公署於2022年8月發出的「資訊及通訊科技的保安措施」指引。屬建議性質而非強制，但私隱專員公署表示在評估是否合規時可能會參考它。內容涵蓋管治、訪問控制、供應商管理、雲端、自攜設備及便攜式設備。來源：pcpd.org.hk。
資料外洩通報。根據現行《個人資料（私隱）條例》，向私隱專員公署通報資料外洩事故屬自願性質，而私隱專員公署有發布處理資料外洩的指引。由於這是建議修訂的範疇，請向你的顧問確認最新情況。
香港律師會執業指引P（打擊洗錢及恐怖分子資金籌集），訂明事務律師在客戶盡職審查和紀錄保存方面的要求，並與《打擊洗錢及恐怖分子資金籌集條例》（第615章）一併適用。來源：hklawsoc.org.hk 的打擊洗錢資源。
《香港事務律師專業操守指引》第8章「保密」。來源：hklawsoc.org.hk。

律師行 IT 保安核對清單：身份與電郵

1. 每個帳號都啟用多重要素登入

每位用戶，由合夥人到見習律師，登入 Microsoft 365 和文件系統時都要用第二重驗證：應用程式提示或保安金鑰，而不只是密碼。再加上條件訪問，即阻止來自異常地點或未受管理設備登入的規則。

要保留的證據：未啟用多重要素登入的用戶報告（應該是空的），以及策略設定的截圖。
常見漏洞：共用郵箱和舊的服務帳號沒有啟用。我們的指南網絡保險對 Microsoft 365 多重要素驗證的要求解釋保險公司會檢查甚麼。

2. 電郵防範付款詐騙

為你的域名啟用 DMARC、SPF 和 DKIM（防止他人發送看似由你發出的電郵的設定），過濾冒充身份的來信，並訂立規則：任何銀行資料變更，都要致電已知號碼確認。

要保留的證據：你的 DMARC 紀錄，以及書面的付款核實程序。
這類詐騙通常如何運作，請看我們的文章香港的電郵安全與供應商付款詐騙。

律師行 IT 保安核對清單：文件系統與設備

3. 文件系統訪問權限與案件相符

無論你用的是專門的文件管理系統、SharePoint 還是檔案服務器，訪問權限都應跟隨案件：經辦該案件的人可以打開，其他人不可以。如果你代表的各方利益可能有衝突，就要在系統內設立資訊屏障（阻止團隊之間互相訪問），而不只是發一份備忘錄。

要保留的證據：由合夥人簽署的季度訪問權限審查，以及受限制訪問的案件清單。
常見漏洞：律師行規模較小時遺留下來的「所有人都看得到所有東西」文件夾，以及永不失效的外部分享連結。

4. 經加密、受管理的設備

每部會打開客戶檔案的手提電腦和手機都要加密、登記到設備管理系統（例如 Microsoft Intune）、保持更新，並可遠程清除資料。用來收發電郵的私人手機，應只限使用可單獨清除、而不會影響個人資料的工作應用程式。

要保留的證據：顯示加密和補丁狀態的設備合規報告。

5. 離職人員當天移除

律師、見習律師或秘書離職時，他們的帳號要在最後工作日停用，設備要交回並清除資料，共用郵箱和客戶門戶的訪問權限也要移除。

要保留的證據：每次離職都簽署的離職核對清單。
我們的IT 離職與訪問權限撤銷指南提供可按需修改的逐步清單。

律師行 IT 保安核對清單：備份、掃描與日誌

6. 經過還原測試的備份

備份 Microsoft 365 的郵件和檔案以及文件系統，至少保留一份不能被修改或刪除的副本（不可變副本），並每季做一次還原測試。由於要保存 5 至 15 年，也要確認舊案件的檔案仍然打得開。

要保留的證據：最近一次還原測試的日期和結果。

7. 定期漏洞掃描

按固定時間表掃描面向互聯網的系統和辦公室網絡是否有已知弱點，而不只是在續保前才做。我們的文章一間香港律師行在網絡保險續保時漏洞掃描不合格展示了等到保險公司開口才做會有甚麼後果。管理型掃描的每月價格見我們的漏洞掃描價格頁。

要保留的證據：最新的掃描報告，以及自那時起已修正的發現清單。

8. 保留日誌

Microsoft 365 和文件系統的登入及審計日誌要保留足夠長的時間，以便在事故被發現後（往往已是幾星期後）進行調查。檢查你的授權：部分 Microsoft 365 方案的預設日誌保留期，比律師行以為的要短。

要保留的證據：保留期設定，以及由誰審閱警報。

律師行 IT 保安核對清單：服務商合約與網絡保險證據

9. 每份 IT 合約都有資料處理者條款

由於保障資料第4原則第(2)款，每個能接觸客戶資料的 IT 服務商、雲端服務和外判服務台，都應有書面條款，涵蓋保安措施、保密、資料存放地點、分判商、向你通報資料外洩，以及合約結束時交還或刪除資料。我們的香港 IT 外判的《私隱條例》合規核對清單列出了這些條款。

要保留的證據：已簽署的合約，以及哪個服務商可以訪問哪些資料的清單。

10. 為保險公司準備的證據檔案

續保問卷問的是「是或否」的問題，但核保人越來越常要求提供證明。把第 1 至 9 項的證據放在同一個文件夾：多重要素登入報告、設備合規報告、備份測試、掃描報告、訪問權限審查、離職核對清單和服務商合約。我們的指南用 Microsoft 365 證據回答網絡保險問卷把常見問題與能回答它們的報告逐一對應。

如何檢查你的律師行，以及費用多少

你不需要一次過修好全部十項。先找出哪幾項不合格。

Microsoft 365 安全審計。以唯讀權限，按 CIS Microsoft 365 基準檢查第 1、2、4、5 和 8 項的大部分內容。固定價格，由 US$450 起，適用於最多 10 位用戶；完整價格區間見 Microsoft 365 安全審計頁。我們的文章香港的 Microsoft 365 安全審計解釋報告包含甚麼。
更全面的 IT 評估。除 Microsoft 365 之外，還涵蓋網絡、服務器、備份和服務商。請看我們的IT 評估與審計服務。
持續保障。管理型IT外判服務月費方案把其中幾項檢查列為日常工作：每個方案都有監控和補丁；由 Business 起有終端防護、備份和多重要素登入策略；Premium 則有郵件安全和全天候監控。我們的香港律師行 IT 支援頁解釋這對律師行如何運作。

對大部分小型律師行來說，最便宜的次序是：先審計，修正不合格項目，然後才決定是否需要月費方案來維持。