您知道嗎？近年來，世界各地不同行業機構先後發生資料外洩事件，當中包括教育機構、航空公司、政府機關、銀行及金融機構、電子商務、互聯網服務供應商等。在這些案例當中，過半數的資料洩漏事件均是人為疏忽而引起，常見有電子設備遺失、文件遺失、以及無意中披露資料等。事實上，只需實行一些基本的資訊安全防護措施，就可避免此類事件的發生。

• 為了保護數據，您每天能做些什麼呢？不同行業都有機會需要傳送、處理、讀取和分享不同類別的資料，可是沒有一份適用於各行各業的資訊安全通用守則，不過每個人都應該有責任認識一些基本的資訊安全防護措施，並使用來保護資料，以及防止資料被不當處理。
• 謹慎發佈或傳送資料：很多保密資料洩漏事件，主要就在我們「一時糊塗」間公開發佈、錯誤處理，或者錯誤填寫收件人電郵地址等。因此在發佈或傳送資料前，必須校閱內容及收件人的電郵地址；
• 使用複雜且獨特的密碼：不同的帳戶應使用不同的登入密碼，尤其是用於處理保密資料的帳戶；
• 啟動雙重認證：即使帳號及密碼被盜或遺失，雙重認證也能防止帳戶被盜用；
• 保護您的電子設備：除了使用密碼鎖外，還建議使用一些生物特徵辨識技術，來保護您的智能電話和平板電腦。這樣可防止個人資料、公司電郵資料、以及網購或手機銀行資料，被充滿好奇心的他人讀取。另外，這也能保護不慎遺失或隨意放置的電子設備；
• 更新您的電子設備：請確保您所有電子設備上的操作系統、瀏覽器和軟件更新至最新的版本；
• 在發送資料給供應商或簽訂合同前，您準備好了嗎？在日常工作中，我們有義務去確保大學的保密資料得到適當保護，尤其需要使用外判商或雲端服務，如果使用的服務或技術牽涉保密資料，您必須在項目開始前或簽訂合同前，考慮相關的資訊安全技術，確保資料得到適當保護。

相關之資訊安全貼士

• 澳門個人資料保護辦公室
• 澳門個人資料保護法
• 澳門大學私隱政策
• 澳門大學處理機密資料指引
• 如何識別釣魚、虛假電子郵件及假網站?
• 歐盟《資料保護總規章》與您有什麼關係?
• 其他資訊安全貼士

在現今資訊科技普及的年代，個人及家中使用不少連接互聯網的設備，包括智能電話、智能手錶、家用路由器、電子遊戲機，以及各式各樣的智慧家居設備等等。令生活帶來方便的同時，亦可能帶來一些資訊安全風險。因此提供一些安全貼士，希望幫助大家保確使用的設備成為您的資產，而不是負擔。

• • 確保電腦程式在最新的狀態　應定期更新設備的系統及軟件，如果已安裝防惡意軟件程式亦應注意更新，以免受到惡意軟件的破壞或感染；
  • 保護您的網絡　無線網絡亦應受到正當的保護，必須使用WPA2加密連線功能、複雜密碼及定期更新家中的 WiFi 路由器的軟件；
  • 深入了解您的設備　必須了解設備連接到互聯網上的作用、與Internet的連接性質、以及存儲和傳輸的信息類型等;
  • 了解如何保持設備的最佳狀態　細閱使用說明，清楚了解所有必須的安全使用方法，包括更改預設密碼及注意事項；
  • 了解被收集的數據內容　部分智慧型設備都會進行數據收集，務必多了解收集數據的類型，以及相關產品如何管理和使用收集得來的數據內容；
  • 認知您的數據儲存方式　智慧型設備大多都會將收集到的數據，發送並儲存在雲端中，因此用戶應該了解數據的儲存位置，以及保護個人資料的安全措施；
  • 多做些研究　在採用新的智慧型設備之前，請先進行研究，以了解其他用戶對該設備及服務供應商，在安全性和隱私性的評價。

假如有人偷取您的帳戶密碼，有沒有方法令您不用擔心帳戶會被盜用？其實很簡單！只要透過使用雙重認證 (Two-Factor Authentication，2FA) 就能輕易實現，令用戶能掌控帳戶登入控制權，沒有用戶的授權就沒法登入帳戶，而只需花幾分鐘簡單完成設置即可使用，操作時亦十分容易！是一項既簡單又高效的措施！

• 雙重認證的工作原理如何？為帳戶啟動雙重認證後，只要任何人試圖登入帳戶，便會在預先註冊的智能手機或其他設備中，收到授權登入的要求，在沒有您的授權下，騙徒即使取得正確密碼亦無法登入帳戶。
• 設置雙重認證是否很困難？現時，雙重認證的應用已相當普遍，而且簡單易用。在一般情況下，只需在智能手機安裝雙重認證應用程式及完成簡單註冊程序後，便能在有需要時作出授權操作。
• 可否不用每次登入時都作出授權？儘管有些帳戶對登入或進行特定操作時，每次均必須進行授權操作。但在大多數情況下，雙重認證會提供一些便捷功能。例如默認授權功能，通常用戶在首次完成授權操作後的預設時間內，於同一電腦的瀏覽器中再次登入時不會再要求授權，但切勿在公用電腦上使用默認授權功能。
• 應該透過雙重認證保護哪些帳戶？其實建議儘可能為所有的帳戶啟動雙重認證，建議先保護以下帳戶：
  • 工作的帳戶：理所當然的，員工必須遵守一些保護資料相關法律，以及公司或機構的保護資料政策、指引和程序；
  • 財務賬戶：保護您的財產！
  • 網上購物帳戶：保護存儲的信用卡和個人資料免受盜用！
  • 社交媒體帳戶和個人電郵帳戶：可能會被盜用身份，關乎您的個人聲譽！

參考資料

• 澳門個人資料保護辦公室
• 澳門個人資料保護法
• 澳門大學私隱政策
• 澳門大學處理機密資料指引
• 資訊及通訊科技部的電腦設施、校園網絡及互聯網之使用守則
• 歐盟《資料保護總規章》與您有什麼關係?
• 通訊科技部的雙重認證網頁
• 其他資訊安全貼士

 　　「網絡釣魚」是社交工程中的一種誘騙手法，網絡犯罪分子會透過這種手法來誘騙受害人作出某種預期的行為。社交工程是所有網絡釣魚攻擊的核心，尤其是通過電子郵件來進行攻擊。資訊科技發達的同時使網絡釣魚變得簡單，要設置及操作網絡釣魚攻擊是非常快捷、廉價和低風險的，任何網絡犯罪分子都可以發起這種攻擊。在回覆任何電郵之前，必須確認寄件人身份，尤其回覆內容涉及敏感內容，例如金錢、個人資料或帳戶密碼等，務必加倍小心。大多數的釣魚電郵都有一些如下特徵：

• @ — ICTO服務中心的正式郵件不會使用第三方電郵服務的地址域名；
• @ — 由於@connect.um.edu.mo是學生或校友電郵服務的地址域名，ICTO服務中心的正式郵件不會使用@connect.um.edu.mo。

In today’s information age, email service has become an indispensable communication tool in daily work, as well as one of the major communication tools. Hence, email security are becoming more and more important. For external attacks such as telecommunications fraud and malware attacks, although user’s information security awareness is increasing, the possible problems arising from the use of email cannot be ignored. In particular, for any jobs that involved personal data, you must handle them with special care. To further enhance users’ skills in using email more secure, here are some security tips:

• Before sending an email, you must review the email content, attachments, and the recipients’ email addresses;
• Before replying to email, you must confirm the identity of the sender. Do not reply to the email casually. For those emails that involve sensitive content such as money, personal information or account password, etc, please pay special attention;
• Before forwarding emails, you must understand whether the email content, which included attachments and contents of reply history, is suitable for forwarding. You can also consider extracting some necessary contents instead of forwarding the entire email. Do not arbitrarily forward unconfirmed content, so as not to spread the rumors;
• To consider carefully the necessity of mass emailing and make good use of email system resources. For more details, please refer to the “Guidelines for Mass Email and E-mail Groups“;
• Be aware of using “Reply to all”. It may cause unnecessary distortion. Please carefully consider the necessity;
• Make good use of Bcc., to ensure that the recipients are not allowed to see each other’s email addresses, thus protecting the privacy of each recipient;
• Note the email contents and attachments. Do not send too much content or attachments, especially personal information. If it contains sensitive content, you must consider whether it is suitable for transmission via email. In addition, the use of email must also comply with the policies of the University and existing local laws and regulations, as well as other laws that may need to be complied in other jurisdictions. (Please refer to the Reference information.)
• Do not rely on “email recall”! Actually, the email recall is a facilitating function that can only minimize the impact, but it cannot guarantee recalling the email you sent successfully.

In addition, users can get used to writing emails before filling in the recipients’ email addresses, so as not to send unfinished emails by mistake. If you need to select an email address from the contacts, be careful when selecting an email address as some email addresses may look similar.

* Reference information

1. Office for Personal Data Protection, Macao
2. Personal Data Protection Act, Macao
3. Privacy Policy, UM
4. Guidelines for Handling Confidential Information, UM
5. Acceptable Use Policy on ICTO Computing Facilities Campus Network and Internet
6. Guidelines for Mass Email and E-mail Groups
7. How can I identify a phishing, fake email and websites?
8. What you need to know about EU General Data Protection Regulation?
9. Data Privacy in an Era of Compliance
10. Other Information Security Tips