香港證監會擬提高高風險持牌機構資安標準

香港證券及期貨事務監察委員會計畫建立持牌機構網路安全框架，並依風險程度對高風險機構採取更嚴格標準，以提升抵禦人工智慧（AI）網路攻擊的能力。

ChainCatcher報導，香港證券及期貨事務監察委員會（Securities and Futures Commission，SFC）行政總裁梁鳳儀（Julia Leung）2日在香港金融科技周2026公布這項計畫。她也表示，代幣化須為市場帶來實際經濟效益，才能擴大規模。

這項構想將依機構風險程度設定不同的資安要求，對高風險機構採用更嚴格標準，以因應AI帶來的威脅。

SFC於6月2日發布的指引將持牌法團、SFC認可的虛擬資產服務提供者及關聯公司列為資安監管對象；在香港獲發牌的虛擬資產交易平台也適用。指引指出，香港在2025年共發生15,877起網路安全事故，高於2024年的12,536起，涵蓋殭屍網路、分散式阻斷服務攻擊（DDoS）、網站竄改、惡意軟體及網路釣魚事故。

持牌機構須評估現有系統的弱點，並採取必要措施防範AI攻擊。SFC指出，檢視及核准資安架構變更、迅速落實改善措施的最終責任在高階管理層。

SFC也指出，AI模型可能降低找出並利用軟體及基礎設施弱點所需的專業門檻、成本與時間。AI也可能降低網路釣魚、社交工程、利用深偽技術冒充他人，以及偵察攻擊的技術門檻。

SFC認為，弱點公開後遭攻擊者利用的時間間隔正在縮短，因此要求持牌機構加快資安修補與弱點管理流程，並為核心系統的緊急修補做好準備。

機構須維持硬體、軟體、網路、資料庫及雲端服務等技術資產的最新清單，並區分對外連線資產、支援核心業務的資產，以及依賴第三方元件的資產，以排定弱點處理優先順序。

機構也須將存取權限限制在執行工作所需的最低程度，並強化防火牆與網路分隔。外部應用程式、電子郵件、文件及網頁提供的內容須視為不可信輸入；影響重大的操作則應設置雙重確認程序。

指引要求機構提升偵測與監控客戶交易及系統活動異常的能力，並加強威脅情報蒐集。對支援核心業務的外部服務供應商，機構須進行初步評估並持續檢查資安風險。

機構須定期透過模擬攻擊或桌上演練測試事故應變流程與緊急計畫，並備份業務紀錄、客戶資料及交易資料。發生重大資安事故或遭受攻擊時，也須迅速通知SFC。

SFC表示，將留意風險變化，並可發布進一步指引，或檢視持牌機構的應變準備與復原能力；必要時也會考慮採取監管措施。

代幣化是以區塊鏈代幣呈現投資商品權利的方式。梁鳳儀肯定香港機構在代幣化領域的領先進展，同時強調，為市場帶來實際經濟效益是擴大規模的關鍵。

SFC於4月20日公布監管框架，開放代幣化投資商品進行二級市場交易。框架涵蓋透過SFC認可的虛擬資產交易平台交易、公平價格形成、流動性供應及資訊揭露等事項。

SFC於10月26日表示，兩檔代幣化公開發售貨幣市場基金已在持牌虛擬資產交易平台開始二級市場交易。相關交易條件的保障措施涵蓋全天候交易、交易管道、價格公平性、流動性供應及資訊揭露；SFC後續也將視資安風險變化評估指引與監管措施。