客戶資料放喺網站？香港中小企必學嘅私隱、保安同防騙實務
香港中小企做生意，網站幾乎係必需品。但當你開始收集客戶姓名、電話、電郵，甚至身份證號碼同信用卡資料，你就同時承擔咗法律責任同聲譽風險。根據香港《個人資料（私隱）條例》，企業必須妥善處理個人資料，違規最高可被罰款港幣一百萬元及監禁五年。與此同時，黑客同騙徒亦瞄準中小企，因為佢哋嘅保安資源通常較少。本文從實務角度出發，教你點樣用有限預算，做好網站私隱、資料保安同防騙。
第一步：盤點你網站收集咗咩客戶資料
好多老闆以為「我個網站只係得聯絡表格，冇嘢好驚」。但實際上，以下位置都可能儲存客戶資料：
- 聯絡表格（姓名、電郵、電話）
- 會員登記系統（帳戶、密碼、地址）
- 網上商店（訂單、送貨地址、付款紀錄）
- 電子報訂閱名單
- 網站後台嘅客戶查詢紀錄
- 網站分析工具（IP 位址、瀏覽行為）
建議你花一至兩小時，用試算表列出每個收集點、收集咩資料、儲存喺邊（網站主機、CRM、電郵平台）、邊個有權限存取、保留幾耐。呢個「資料地圖」係後續所有措施嘅基礎。
第二步：對照《私隱條例》六大原則
香港個人資料私隱專員公署（PCPD）列出六項保護資料原則，中小企最常忽略嘅係以下三項：
1. 收集目的同方式
你必須喺收集資料時，以清晰易明嘅方式告知客戶：收集目的、資料會否轉移俾第三方、有冇得查閱同更正。呢啲資訊通常放在網站嘅「私隱政策」頁面。建議每頁收集表格附近加一句簡短聲明，並連結到完整政策。
2. 準確性同保留期限
客戶資料唔應該無限期保留。例如，已完成交易嘅客戶紀錄，一般保留七年以符合稅務要求就足夠；市場推廣名單則應定期清理，並提供取消訂閱選項。你可以在網站後台設定自動刪除舊資料，或每半年手動清理一次。
3. 保安措施
你必須採取「切實可行」嘅步驟，防止客戶資料未經授權被查閱、處理、刪除或使用。對中小企而言，最基本嘅措施包括：
- 網站全站使用 HTTPS 加密（安裝 SSL 憑證）
- 後台登入啟用雙重認證（2FA）
- 定期更新網站系統、插件同主題
- 限制員工存取權限，離職員工即時停用帳戶
- 每日自動備份，並將備份存放在獨立位置
呢啲措施嘅成本比想像中低：SSL 憑證每年約港幣 0 至 800 元（視乎類型），雙重認證多數免費，自動備份服務每月約港幣 50 至 200 元。若果你嘅網站係用 WordPress 等內容管理系統，仲可以安裝免費嘅保安插件，協助監察異常登入同檔案變更。
第三步：堵塞常見保安漏洞
根據香港電腦保安事故協調中心（HKCERT）嘅觀察，中小企網站最常見嘅漏洞包括：
- 使用過時軟件：黑客會掃描已知漏洞，自動化攻擊。解決方法：設定每月檢查更新，或選用有自動更新功能嘅主機方案。
- 弱密碼：員工用「123456」或公司名做密碼。解決方法：強制密碼最少 12 位，混合大小寫、數字同符號，並每 90 天更換。
- 開放過多權限：實習生都有管理員權限。解決方法：按角色分配權限，定期審核。
- 沒有網站防火牆（WAF）：無法阻擋常見攻擊如 SQL 注入。解決方法：選用含 WAF 嘅主機方案，或使用雲端防火牆服務，每月約港幣 100 至 300 元。
如果你唔肯定自己網站嘅保安狀況，可以考慮做一次基本保安掃描。市面上有免費工具（如 OWASP ZAP）可以初步檢查，但解讀報告同修復漏洞可能需要專業協助。坊間網站保安審計服務收費約港幣 3,000 至 8,000 元，視乎網站規模。想了解網站設計同維護嘅合理價錢，可以參考我哋嘅價目表。
第四步：辨識針對中小企嘅詐騙手法
騙徒唔一定直接攻擊你嘅網站，佢哋更常用社交工程手法，騙取你或員工嘅登入憑證。常見手法包括：
- 釣魚電郵：假冒供應商、銀行或政府部門，附上惡意連結或附件，誘使員工輸入密碼。
- 假冒客戶查詢：騙徒透過網站聯絡表格發送訊息，要求你點擊連結查看「訂單」或「發票」，實際係釣魚網站。
- 商務電郵詐騙（BEC）：冒充公司高層，指示財務人員轉帳或更改收款戶口。
- 虛假網站：複製你嘅網站，用相似域名騙取客戶資料。
應對方法：員工培訓係關鍵。建議每季安排一次 30 分鐘嘅保安簡介，用真實案例講解釣魚特徵；設定內部程序，任何轉帳或更改付款資料嘅要求，必須經第二個人電話核實；在網站加入提示，提醒客戶你哋唔會透過電郵索取密碼。另外，可以訂閱 HKCERT 嘅保安警報，第一時間知道最新威脅。
第五步：制定事故應變計劃
即使做足預防，都唔可以排除事故發生。你應該預先寫好一頁紙嘅應變計劃，內容包括：
- 發現異常時，邊個負責判斷同決定？
- 如何暫時關閉網站或受影響功能？
- 如何通知受影響客戶？通知內容應包括咩資訊？
- 是否需要向個人資料私隱專員公署通報？根據條例，若果資料外洩可能導致客戶受損，你必須盡快通報。
- 事後如何檢討同改善？
呢份計劃唔需要好複雜，但必須讓相關員工知道放在邊、內容係咩。建議每半年演練一次，確保計劃可行。
總結：由今日開始，用有限資源做好把關
客戶資料係中小企嘅資產，亦係責任。你唔需要一次過做到完美，但可以按優先次序逐步改善：今個星期先盤點資料同更新私隱政策；今個月啟用雙重認證同檢查網站更新；今季安排員工培訓同制定應變計劃。所需時間可能只係幾個鐘，費用亦遠低於事故發生後嘅損失。如果你需要專業協助，歡迎聯絡我哋，我哋可以幫你評估網站保安狀況，並提供符合預算嘅改善方案。