私隱專員公署公布數碼港資料外洩事故調查報告,指數碼港未有採取足夠和有效措施,保障資訊系統安全,也未有及時根據保留資料政策,刪除已屆保存期限的資料。公署認為,數碼港未有採取切實可行步驟,確保涉事個人資料受保障和不受未獲准許或意外的查閱和處理等,以及確保資料保存時間,不超過使用資料實際所需時間,違反相關規定。
公署說,數碼港資訊系統欠缺有效偵測措施,導致未能有效偵測黑客以暴力攻擊資訊系統,令黑客能成功獲取具管理員權限的帳戶憑證,並進行勒索軟件攻擊和竊取儲存系統內的個人資料。
公署說,數碼港沒有為遠端存取資料啟用多重認證功能、核實獲授權可遠端登入數碼港網絡的用户身分;又指對資訊系統進行的保安審計不足,未能適時應對資訊科技變化和網絡安全風險。
私隱專員鍾麗玲認為,數碼港是一間具規模的機構,恆常持有並處理大量不同人士的個人資料,持分者和公眾會合理期望數碼港投入足夠資源,確保系統和數據安全,因此應採取足夠保安措施。
公署表示,私隱專員已向數碼港送達執行通知,指示糾正違反事項,又建議公司設立個人資料私隱管理系統,並委任保障資料主任,適時對系統進行風險評估,及適時刪除個人資料,防止類似違規再次發生。
數碼港去年向公署通報資料外洩事故,電腦系統和檔案伺服器被勒索軟件攻擊和惡意加密,事故導致超過13000人的個人資料外洩。