資訊安全貼士 (2022年5月號) – 如何高效安全地使用群發電子郵件
如何高效安全地使用群發電子郵件
在日常工作中，大家或許需要發送電郵給多個收件人或不同的群組和組織等，可是最有效的方法是什麼呢？是對每位收件人逐一發送電郵，還是群發電郵。當然，群發電郵會是一個較好的選擇。
雖然群發電郵可以節省重複發送相同消息的時間，但如果處理不當，也會帶來一些缺點，例如不必要地披露收件人資訊給第三方，浪費電郵及網絡資源等。因此在發送前必須注意以下幾點：
1. 電郵內容是否有正當目的？
2. 是否會導致任何與安全或私隱相關的問題？
3. 如果其中一位收件人點擊「全部回覆」會怎樣？
4. 電郵內容會讓收件人感到困惑嗎？
針對上述幾點，我們有以下建議：
- 確保電郵件內容符合相關組織的使命並用於批准的目的；
- 使用密件抄送 (Bcc) 以隱藏其他收件人的電郵地址，保障各收件人私隱。亦可避免當其中一位收件人使用「全部回覆」，而產生大量不必要的電郵發送；
- 使用明確的主旨標題可以幫助收件人區分正常郵件與垃圾郵件或網絡釣魚。
更多關於群發郵件的詳細信息，請參閱“群發電子郵件和使用電子郵件組的指南（英文版）”。
參考: 慎防被捲入網絡的釣魚騙局當中
資訊安全貼士 (2022年4月號) – 如何防範電腦病毒及惡意軟件？
在日常生活中，我們會十分注意家居保安，但您會否擔心家中的電腦也可能會被不法分子入侵？他們會在您的電腦種下木馬程式來盜取重要資料，甚至遠端控制您的電腦鏡頭及音訊設備進行偷窺及竊聽。由於近年加密貨幣大行其道，也有黑客透過木馬程式大量地盜用他人的電腦資源來挖礦以獲取加密貨幣圖利。這種挖礦攻擊會令被入侵電腦的效能及網速下降、增加耗電及縮短電腦的壽命等。
挖礦攻擊其實已在世界各地不斷漫延，近日大學亦收到澳門網絡安全事故預警及應急中心通知，自本年2月以來，該中心發現多個澳門機構的電腦受到挖礦病毒感染，並呈上升趨勢。為確保資訊安全，希望大家參考以下提示，做好安全防護措施：
- 及時修補電腦操作系統及應用軟件的安全漏洞，安裝更新補丁或進行升級；
- 安裝並定期更新防毒軟件，為電腦進行定期掃描及開啟即時防護及監控功能；
- 只從供應商/發行商的官方網站下載軟件；
- 不要下載任何類型的破解或黑客程式；
- 不要開啟可疑電郵中的連結及附件；
- 加強賬號、密碼的安全管理和保護，例如使用雙重認證（2FA）服務和較複雜的密碼。
如電腦感染了病毒或惡意軟件，可能會出現的狀況包括：
- 效能變慢及不穩定，甚至無法使用；
- 出現過熱現象及耗電量增加；
- 硬碟中的資料被破壞或刪除，甚至整個硬碟被格式化；
- 瀏覽器的首頁被篡改、頻繁彈出廣告、被強行跳轉至其他網頁；
- 防毒軟件無故被關閉或停止運行。
若懷疑您的澳大帳號受到不法入侵或電腦感染了病毒或惡意軟件，請立即與 ICTO 服務中心聯絡。
參考資料
· 慎防被捲入網絡釣魚騙局當中
· 如何安全地下載及安裝應用軟件?
· 你為防範勒索軟件做好了準備嗎？
· 雙重認證服務
· 如何選擇一個強密碼？
· 網上安全與保障的基礎知識
· 其他資訊安全貼士
資訊安全貼士 (2022年3月號) – 如何安全地下載及安裝應用軟件?
日常的網上活動可能會為您的電子設備帶來威脅，因為大多數感染電腦系統的威脅（例如病毒和惡意軟件），通常來自您在互聯網上下載及安裝的應用軟件。
以下的4 個提示可以讓您以相對安全的方式下載及安裝應用軟件：
1. 只從供應商/發行商的官方網站下載軟件
建議您僅從供應商或發行商的官方網站下載軟件，並避免從第三方網站下載軟件安裝檔。因為這些安裝檔有可能已經被嵌入了各種類型的廣告，這些廣告會在您的電腦系統中安裝額外的惡意程式。
2. 刪除自動下載到您設備的所有軟件
當您不小心地訪問了某些惡意網站時，通常會發生這種情況：這些網站會將其惡意程式直接發送到您的電腦系統。如發生這種情況時，請立即刪除自動下載到您的電腦系統內的應用程式。
3. 不要下載任何類型的破解或黑客程式
任何類型的破解或黑客攻擊程式，大部分都被加入惡意程式碼。當您運行它時，相關惡意程式會被安裝到您的電腦或設備中，這些惡意程式往往會干擾您的系統，並向其發送惡意命令。建議不要下載、安裝及使用被破解或黑客程式。
4. 仔細地按照安裝步驟進行操作
在安裝從官方網站下載軟件程式的過程中，不要只是盲目地單擊「下一步」。您必須非常小心地執行每一個安裝步驟，因為有些不良的軟件供應商可能會將惡意軟件或廣告軟件嵌入到他們的安裝程序中。請務必剔除任何您不需要的安裝選項。
參考資料
資訊安全貼士 (2021年6月號) – 如何在外遊時保護您的資料?
大學校園配備了可信的 Wi-Fi 網絡以確保您的數據安全，但是當您外出度假、進行學術實地考察或在公共場所進行學習等情況下，需要使用公共無線網絡（Public Wi-Fi）時，請採取額外的預防措施，因為黑客和其他網絡犯罪分子喜歡利用安全保護相對寬鬆的公共場所網絡進行攻擊。
使用公共無線網絡（Public Wi-Fi）時，請注意以下事項以確保數據安全：
- 驗證網絡、配置和關閉共享
- 使用虛擬私人網絡（VPN）
- 使用帶 HTTPS 的連結
- 保持防火牆啟用
- 使用防病毒軟件
- 保持自動連接關閉
- 使用雙因素身份驗證（2FA）- 即使黑客獲得了您的用戶名稱和密碼，他們仍然無法登入您的帳戶。
在情況許可下，最好還是使用您的智能手機網絡作為熱點，而不是使用不安全的公共無線網絡。
資訊安全貼士(2021年1月號) – 你有多久沒更改帳戶密碼呢？
您知道嗎？近年來，世界各地不同行業機構先後發生網絡入侵事件，假如您很久沒有更改密碼，密碼可能已經在不同資訊安全事件中外洩，包括釣魚郵件、虛假網站、木馬程式、程式漏洞、密碼破解等等，您的帳戶密碼可能已落入不法分子手中，因此建議您參考以下安全措施以保帳戶安全。
定期更改密碼 通常最少每 180 天更改密碼一次，假如您很久沒有更改密碼，請立即更改密碼；
高強度密碼 使用高強度密碼，例如 “gL3ToL@uh%”（請參閱 ICTO 知識庫）；
加長密碼 您亦可選擇加長密碼長度代替複雜密碼，建議使用合共多於 15 字元互不相關的單字組合，不單安全還比較容易記憶及輸入，例如 ”PersonalOceanAlthough”；
小心資安疲勞 相信您已有一定程度的安全意識並時常保持警覺，但偶然間可能會不自覺地鬆懈而不幸地發生資安事件。因此，建議您應善用一些安全工具以減低風險，包括：
-
- 使用雙重驗證登入帳戶 (2FA)；
- 為移動磁碟進行加密 (BitLocker)；
- 使用 RMS 保護重要文件 (RMS);
資訊及通訊科技部於2019年已推出雙重驗證服務。除此之外，亦建立了自動偵測網絡入侵活動的機制，一旦發現可疑的網絡入侵活動或證實有帳戶被盜用，其相關之網絡連線或帳戶會被自動即時封鎖，以免進一步受到安全威脅。
參考資料
資訊安全貼士 (2020年第4季) – 新型冠狀病毒肺炎疫情下的資訊安全
今年 2020 年是艱難的一年，在新型冠狀病毒肺炎蔓延全球下，我們的生活、工作及學習變得更依賴網絡服務，在網上活動變得日趨頻繁下，資訊安全受到嚴峻的挑戰，尤其在未得到充分保護的私人設備及家庭辦公環境，風險也隨之提高。而聖誕長假期及期末考試將至，在應付繁重工作或學習期間，資訊安全往往最容易被忽略。為共建安全的網上工作及學習環境，請參閱以下一些安全貼士以供大家參考：
- 保持設備和應用程式處於最新狀態：陳腔濫調但確實很重要，謹記保持設備的操作系統、防毒軟件及應用程式均處於最新狀態，並確保安裝最新的安全修復程式；
- 在家中工作時：應避免其他家庭成員接觸到與您工作有關的重要資料；
- 進行資料備份：確保為每個設備做好資料備份，不僅可用作資料還原，假如一旦遺失流動裝置，更可準確地識別遺失的資料，方便匯報及為具安全風險的資料進行適當之行動；
- 小心錯誤發送重要資料：使用電郵或通訊軟件發送資料時，務必確保發送內容及傳送對象正確無誤，假若錯誤地將一些個人資料發送給未經受權人士，更有可能觸犯本澳法例；
- 勿隨意開啟網址或附件：當收到帶有網址或附件的消息，尤其是看似網上會議連結，除非確定它的來源是安全可靠，否則不應打開；
- 保護你的網上會議：請參閱《如何保護您的Zoom 會議》 及 《Using Zoom Effectively in Classroom (英文版)》；
- 別忽視傳統技巧：用膠帶蓋住筆記本電腦或移動設備的鏡頭以保障隱私。
參考資料
ISO27001是什麼？它和您有關係嗎？
ISO27001是一項資訊安全管理標準，它是基於風險管理原則來建立、實施、運行、監視、評審、保持和改進機構的資訊安全制度。其目的是保障資訊服務安全可靠，並為各用戶提供資訊安全運作標準。簡單來說，在資訊安全管理的範疇裡，資訊是屬於有價值的資產，因此必須維護資訊從生成、傳輸、存儲、使用的過程中均符合下列三要素，一般簡稱CIA，而該等要求亦是本澳《網絡安全法》的要求，大學必須履行有關規定。
- 機密性 (Confidentiality) 確保不洩露給非授權的用戶
- 完整性 (Integrity) 確保信息不被非授權篡改
- 可用性 (Availability) 確保授權的用戶可以正常、可靠的使用資訊和資源
資訊及通訊科技部一向十分重視資訊安全，為確保大學的資訊管理能符合國際標準及最佳慣例，從去年年底，已積極籌劃分階段考取 ISO27001 資訊安全管理認證，而首階段認證亦即將進行。
另外，其實資訊安全是大家的共同責任。不同的用戶都有機會需要傳送、處理、讀取和分享不同類別的資料，ICTO 會適時推出及優化一些資訊安全資料、指引及貼士等，以便確保各用戶能容易了解資訊安全相關要求及重要事項。
參考資料
網安法現已生效，您準備好了嗎？
近年資訊科技發展迅速，隨著人工智能及5G網絡的發展，過往看似遙不可及的科技，現在已漸漸走進每一個人的生活中，這突顯了資訊網絡服務的重要性。尤其近月在抗疫期間，大眾對資訊網絡服務的依賴更為明顯，而資訊安全更成為了人們議論的話題，意味著大眾對資訊安全的要求也會越來越高。
隨著本澳《網絡安全法》正式實施，大學必須履行有關規定，確保資訊網絡、電腦系統及數據資料得到合適保護，以及加強對網絡安全事故之預警和應對。資訊及通訊科技部會持續維護校園網絡的資訊安全，並配合網絡安全事故預警及應急中心的工作，履行對其通報的義務，包括通報資訊安全事故與提供更新互聯網服務資料（如連接互聯網服務供應商的帳號名稱、IP 地址、域名等相關資料）。
另外，如果您需要在大學架設資訊設施或為用戶提供資訊服務，您有義務確保所提供之服務安全可靠。因此，請注意以下事項：
- 保持系統在最新狀態，更新與修正程式以確保得到最大的保護；
- 注意系統預設設定是否安全，包括預設密碼、權限與系統服務；
- 使用各項資訊安全措施、開啟系統日誌及為重要資料進行備份；
- 如使用外判資訊服務，必須確保其服務符合相關的資訊安全要求；
- 如需要更改網絡架構或遇到資訊安全事故，必須向資訊及通訊科技部*通報。
* 註：資訊及通訊科技部會按《網絡安全法》規定，負責為大學執行上述通報之義務，詳情將會另行公佈。
除了服務提供者必須重視資訊安全外，其實資訊安全亦是每一位使用者的責任，使用者必須時刻保持安全意識，才可共建良好的資訊安全環境。
參考資料
騙徒手法層出不窮，你做好應對準備了嗎？
多年來，社會上出現了層出不窮的街頭騙案，如「祈福黨」及「高科技電子零件黨」，演化成近年之電話詐騙及網絡釣魚詐騙，令受騙者損失大量金錢。根據政府公佈之總體詐騙案統計數字顯示，從 2016 年 743 宗上升至 2019 年 1525 宗，當中涉及電話和網絡之詐騙案約佔詐騙案總數三成。而年初至今本澳及鄰近地區均發生多宗有關網購口罩之詐騙事件，數以千計受害者蒙受高達數千萬澳門元損失，情況不容忽視。
其實不法分子通常會利用近期大家高度關注的話題進行詐騙，如搶購口罩、新冠肺炎、貨品短缺、原油價格、視像會議等話題，再透過社交工程技巧進行各種各樣之詐騙，常見有騙取金錢、個人資料、帳戶密碼，或誘騙種下木馬程式進行長期監視或竊取資料等。
而社交工程最常見會出現於釣魚郵件中，雖然大學電郵系統會特別針對惡意電子郵件加以過濾攔截，然而資訊安全除了運用專業技術外，用戶也必須注重安全意識，以本年二月大學收到其中一封之釣魚郵件為例，其實也不難發現一些可疑破綻（見下圖）。
＊ 備註：下圖為大學正式薪酬發放之內部電郵通知樣本截圖。當滑鼠箭頭移向網址連結時，顯示的網址會包含大學網域名稱 “um.edu.mo” 或 “umac.mo”。
雖然不法分子會不時改變詐騙方式，但萬變不離其宗，只要用戶時刻保持警覺，謹記「停一停、想一想、查真偽！」，便不會被不法分子有機可乘。
參考資料