香港律师事务所 IT 安全检查清单：PDPO 与保险

简短回答：香港律师事务所的 IT 安全可以归结为十项检查：所有人启用多重身份验证登录、邮件防范付款欺诈、文档系统权限与各案件的经办人员对应、设备加密并纳入管理、离职人员及时移除、备份经过恢复验证、定期漏洞扫描、日志妥善保留、与 IT 服务商签订合同，以及为网络保险公司准备的证据档案。其中大部分已经在 Microsoft 365 和您的文档系统里。成本最低的第一步，是做一次固定价格的评估，看看哪些检查没通过。

本检查清单写给员工从几个人到几百人不等的香港律师事务所的管理合伙人、执业经理或行政经理。它是写给管理事务所的人看的，不是写给 IT 工程师的。每一项都说明要检查什么、对律师事务所为什么重要，以及要保留什么证据。凡涉及法律或专业规则的地方，都注明公开来源，方便您自己查阅或转交顾问。我们负责落实控制措施和保留证据；法律解释请交由您自己的法律和合规顾问。

香港律师事务所的网络安全为什么不一样

有三点让律师事务所与同等规模的大多数办公室成为不同的 IT 客户。

保密是专业责任，不只是一项政策。《香港事务律师专业操守指引》第8章「保密」专门讲保密（由香港律师会发布）。文件泄露既是客户问题，也是操守问题。
数据对犯罪分子很有价值。客户资金、成交日期和交易文件让律师事务所成为邮件欺诈的目标：犯罪分子冒充您发出看起来像真的付款指示。
记录要保存多年。香港律师会的反洗钱指引指出，客户尽职调查文件、记录和客户档案应保存 5 年，部分事务期限更长（据香港律师会反洗钱常见问题，物业转让为 15 年，租赁事务为 7 年）。保存期长，意味着旧档案既要随时可用，也要受到保护。

需要关注的规则

以下是与香港律师事务所 IT 最相关的公开来源。这是一份指引清单，不构成法律意见。

《个人资料（私隐）条例》（第486章），保障资料第4原则。资料使用者须采取切实可行的步骤，保障个人资料不受未获准许或意外的查阅。根据保障资料第4原则第(2)款，如果您委托资料处理者，例如 IT 服务商或云服务，您必须采用合约规范方法或其他方法，保护其处理的资料。来源：香港电子版法例（elegislation.gov.hk，第486章）上的条例原文，以及个人资料私隐专员公署的解释资料。
私隐专员公署于2022年8月发出的「资讯及通讯科技的保安措施」指引。属建议性质，并非强制，但个人资料私隐专员公署表示在评估合规情况时可能参考它。内容涵盖管治、访问控制、供应商管理、云服务、自带设备和便携设备。来源：pcpd.org.hk。
资料外泄通报。根据现行条例，向个人资料私隐专员公署通报资料外泄事故属自愿性质，公署发布了处理外泄事故的指引。由于这是拟议改革的范围，请向顾问核实最新情况。
香港律师会执业指引P（打击洗钱及恐怖分子资金筹集），规定了事务律师在客户尽职调查和记录保存方面的要求，与《打击洗钱及恐怖分子资金筹集条例》（第615章）一并适用。来源：hklawsoc.org.hk 的反洗钱资源。
《香港事务律师专业操守指引》第8章「保密」。来源：hklawsoc.org.hk。

律师事务所 IT 安全检查清单：身份与邮件

1. 每个账号都启用多重身份验证登录

每位用户，无论合伙人还是实习律师，登录 Microsoft 365 和文档系统时都要使用第二重验证：应用推送确认或安全密钥，而不只是密码。再加上条件访问，也就是拦截来自异常地点或未受管理设备的登录的规则。

要保留的证据：未启用多重身份验证登录的用户报告（应当为空）和策略截图。
常见漏洞：共享邮箱和旧的服务账号没有启用。我们的指南网络保险对 Microsoft 365 多重身份验证的要求说明了保险公司会检查什么。

2. 邮件防范付款欺诈

为您的域名启用 DMARC、SPF 和 DKIM（防止他人发送看似来自您的邮件的设置），过滤冒充身份的来信，并规定任何银行资料变更都要拨打已知号码电话确认。

要保留的证据：您的 DMARC 记录和书面的付款核实流程。
这类欺诈通常怎样运作，请看我们的文章香港邮件安全与供应商付款欺诈。

律师事务所 IT 安全检查清单：文档系统与设备

3. 文档系统权限与案件对应

无论您用专门的文档管理系统、SharePoint 还是文件服务器，权限都应跟着案件走：经办该案件的人能打开，其他人不能。如果您代表的各方利益可能冲突，要在系统本身设置信息屏障（阻断团队之间的访问），而不是只写在内部备忘录里。

要保留的证据：由合伙人签署的季度权限复核，以及受限访问案件的清单。
常见漏洞：事务所规模还小时留下的“所有人都能看到所有东西”的文件夹，以及永不过期的外部共享链接。

4. 设备加密并纳入管理

每台能打开客户档案的笔记本电脑和手机都要加密、纳入设备管理（例如 Microsoft Intune）、保持更新，并能远程擦除。用于收发邮件的个人手机，应限定只用可单独擦除、不碰个人数据的工作应用。

要保留的证据：显示加密和补丁状态的设备合规报告。

5. 离职人员当天移除

律师、实习律师或秘书离职时，在其最后一个工作日停用账号，收回并擦除设备，并移除其对共享邮箱和客户门户的访问权限。

要保留的证据：每次离职都签署的离职检查清单。
我们的IT 离职与权限收回指南提供了可以改用的逐步清单。

律师事务所 IT 安全检查清单：备份、扫描与日志

6. 备份经过恢复验证

备份 Microsoft 365 邮件和文件以及文档系统，至少保留一份无法被修改或删除的副本（不可变副本），并每季度做一次恢复测试。由于有 5 到 15 年的保存要求，还要确认旧案件仍然能打开。

要保留的证据：最近一次恢复测试的日期和结果。

7. 定期漏洞扫描

按计划扫描面向互联网的系统和办公室网络中的已知漏洞，而不是只在续保前才扫。我们的文章香港律师事务所网络保险续保时漏洞扫描未通过说明了拖到保险公司来问时会发生什么。由我们管理的漏洞扫描月费见我们的漏洞扫描价格页。

要保留的证据：最新的扫描报告，以及此后已修复问题的清单。

8. 日志妥善保留

保留 Microsoft 365 和文档系统的登录日志和审计日志，保留时间要足以在事故被发现后进行调查，而发现往往是几周以后的事。检查您的许可证：部分 Microsoft 365 方案默认的日志保留期比事务所以为的短。

要保留的证据：保留期设置，以及由谁复核告警。

律师事务所 IT 安全检查清单：服务商合同与网络保险证据

9. 每份 IT 合同都有资料处理者条款

根据保障资料第4原则第(2)款，凡是能看到客户资料的 IT 服务商、云服务和外包服务台，都应有书面条款，涵盖保安措施、保密、数据存放地点、分包商、向您报告外泄事故，以及合作结束时归还或删除数据。我们的香港 IT 外包 PDPO 合规检查清单列出了这些条款。

要保留的证据：已签署的合同，以及哪个服务商能访问哪些数据的清单。

10. 为保险公司准备的证据档案

续保问卷问的是“是”或“否”，但核保人越来越多地要求提供证明。用一个文件夹保存第 1 到第 9 项的证据：多重身份验证报告、设备合规报告、备份测试、扫描报告、权限复核、离职检查清单和服务商合同。我们的指南用 Microsoft 365 证据回答网络保险问卷把常见问题与能回答它们的报告一一对应。

怎样检查您的事务所，要花多少钱

不需要一次修好全部十项。先找出哪些没通过。

Microsoft 365 安全审计。以只读访问权限，对照 CIS Microsoft 365 基准检查第 1、2、4、5 和 8 项中的大部分内容。固定价格，10 个用户以内 US$450 起；完整价格档次见 Microsoft 365 安全审计页面。我们的文章香港 Microsoft 365 安全审计说明了报告包含什么。
更全面的 IT 评估。除 Microsoft 365 外，还覆盖网络、服务器、备份和服务商。见我们的 IT 评估与审计服务。
持续保障。月度管理型IT外包服务方案把其中几项检查作为日常工作：每个方案都有监控和补丁，Business 起包含终端防护、备份和多重身份验证策略，Premium 包含邮件安全和全天候监控。我们的香港律师事务所 IT 支持页面说明了这对律师事务所怎样运作。

对大多数小型事务所，成本最低的顺序是：先审计，修复没通过的项目，再决定是否需要月度方案来保持修复成果。