專業傳承 在地記錄

公司註冊處洩私隱|涉事國企有前科 近五年奪 41 億元政府合約

分享:

政府接連發生個人私隱外洩事故,公司註冊處日前(3日)公布,電子查冊系統 11 萬個人資料外洩,涉事承辦商為國企「航天信息股份有限公司」(下稱航天)。公司註冊處回覆《集誌社》,稱檢視合約條款後會考慮採取跟進。而由航天開發、合約總值逾五億的康體通 SmartPlay 系統,去年底同被揭有外洩資料漏洞。

翻查資料,航天近五年共投得至少 13 份港府標書,總值 41.8 億港元;包括三份入境處合約,其中一份為開發網上簽證和婚姻及生死登記服務項目等,項目審議時曾有立法會議員擔憂有資料洩漏風險。公司今年 2 月另以逾 30 億元投得商經局「貿易單一窗口」項目合約。航天信息接連出現洩私隱問題,有關部門會否檢視相關風險和合約?入境處回覆指,項目過去無資料外洩呈報,已全面檢視相關系統,無發現資料外洩風險;商經局則指承辦商現階段未接觸個人資料,已要求對方提優化方案免資料外洩。

公司註冊處電子查冊系統上月 19 日出現個人資料外洩風險,事隔兩周、即本月三日,才公布有 11 萬私隱外洩,個人資料包括姓名、身份證號碼、護照號碼、通常住址等。處方指調查發現承辦商在設計系統時,除提供查冊資料,還將額外個人資料傳輸到客戶端電腦,查冊者利用開發者工具或透過編寫程式查閱資料,便會取得額外個人資料。

公司註冊處電子服務網站承辦商為航天信息,該公司去年推出康體通 SmartPLAY 同被揭有洩資料漏洞。

國企航天信息為承辦商 合約值 6.22 億

公司註冊處確認,國企「航天信息股份有限公司」為系統承辦商,稱處方檢視合約條款後,會考慮採取跟進行動。根據航天信息 2018 年公告,該公司以 6.22 億港元投得「新一代公司註冊處綜合資訊系統項目」合約,全面更新系統,運用人工智能和大數據技術改進功能,加入移動電子服務等功能。

航天信息早有外洩資料前科。康文署在 2020 年斥資五億元開發 SmartPLAY 康體通系統,由航天承辦,2023 年底推出後即被揭發有漏洞。用戶透過程式預訂球場時,填寫團隊成員一欄中,隨意輸入他人別名、即會顯示使用有關別名作帳號的用戶中文或英文全名。康文署其後要求航天修改程式。

母公司遭美制裁 商務部批打壓

航天信息是中國航天科工集團旗下公司,為國務院國資委的「創建世界一流專業領軍示範企業」。2020 年底,美方公告制裁「與解放軍有關聯公司」,當中包括航天科工。到 2022 年一月,美方再制裁集團第四研究院,指其參與飛彈技術擴散;中國商務部當時表達強烈不滿,形容美方以「莫須有」理由打壓中國企業。

綜合航天信息網頁、物流署系統,以及資科辦公告,航天信息自 2019 年至今共投得至少 13 份政府項目,價值共約 41.8 億元。

公司公告顯示,今年三月航天董事長馬天暉等拜訪中聯辦、法援署、警務處、公務員事務局等部門;去年八月,馬天暉曾拜訪入境處,「慰問」入境處「APPLIES-2」項目全員,指項目技術要求高、難度大。翻查資料,「APPLIES-2」是「新一代個案簡易處理系統」,系統可於網上提交人才入境計劃簽證申請。

根據航天官網公告,公司今年三月拜訪中聯辦,與警務處等部門「座談交流」。(航天信息官網圖片)

商經局年初向航天批 30 億元合約 已要求提出優化方案

航天近年最高金額的一份政府合約,是今年二月,商務及經濟發展局批出 30.1 億元合約,設計與供應「貿易單一窗口第三階段」項目。公司二月底在官網公布奪得合同,形容項目是公司「實施新戰略以來,在境外地區中標金額最大的數字政府項目」,對公司「拓展國際化市場」有重要作用。

商經局回覆稱合約批予航天信息及 Varmeego 的合營公司,系統開發工作仍在初步階段,承辦商現階段不需接觸用戶個人資料;局方已要求承辦商提出優化方案,避免資料外洩事故發生。局方又合約條款明確要求承辦商遵守有關法例、指引和程序,會密切監督表現和實施情況。

商經局今年 2月批出價值逾 30 億的貿易單一窗口第三階段項目合約,局方指系統開發仍在初步階段。(貿易單一窗口網站截圖)

入境處項目涵簽證、生死、婚姻登記系統 

在航天近五年 13 份政府項目中,三份涉及入境處,包括 2019 年以 2.8 億元投得「新一代個案簡易處理系統」;2022 年底 以 850 萬元投得設計及供應系統支援永久數據中心;今年 2 月再以 4450 萬元,設計與供應機場二號客運大樓出入境管制系統。

翻查資料,入境處在 2018 年向立法會申請撥款約 4.53 億元,開發「新一代個案簡易處理系統」。當時有立法會議員擔憂會有流失資料風險,處方強調會「百分百確保無誤」。新系統服務包括提供電子處理旅客或港人簽證、生死及婚姻登記、在外遇事港人求助等;旅客出入境檢查時,「出入境管制系統」可隨時查閱 「新一代個案簡易處理系統」中簽證資料。

公司公告指公司董事長馬天暉在去年8月往入境處,慰問在現場工作的「新一代個案簡易處理系統」項目組員。(航天信息網站圖片)

入境處:全面檢視後無外洩風險

撥款申請的財委會文件提到,舊有系統自推出以來未有洩漏資料個案,入境處在實施新系統時將評估私隱影響;處方當時又指,推出系統後會進行私隱循規審核,委聘獨立的審計人員,在不同階段進行資訊科技保安風險評估及保安審計。

《集誌社》向入境處查詢,公司註冊處外洩事故後,會否檢視與航天信息合約,以及全面檢查系統?入境處回覆指,項目過去沒接獲資料外洩事故呈報,未來投標項目會按照物流署訂立的採購機制招標。處方又指按資科辦早前向各決策局及部門首長發出指示,已要求部門全面檢視現有資訊保安措施,入境處已全面檢視相關系統,無發現任何資料外洩風險。

開發公務員事務局招聘資訊、電子請假系統

至於公務員事務局,則透過資科辦「優質資訊科技專業服務常備承辦協議 5 」(《協議》,向航天信息批出約 922 萬元的維護與支援電子請假系統、1000 萬元研究與發展政府人力資源數據平台、300 萬元發展文書及秘書職系招聘資訊系統。

公務員事務局回覆指,有關電子處理假期申請系統為保養及支援服務,承辦商工作不涉及處理系統內個人資料;其他項目仍在開發,現無儲存個人資料。該局指聘用承辦商設計及推行各系統時,嚴守政府採購規則及資訊保安指引,實施資訊科技安全措施;亦會委任獨立第三方,在系統推行前後進行資訊保安風險評估及審計,局方會密切監察承辦商的工作。

資科辦《協議》設有承辦商表現監察制度,有機制暫停表現不達標承辦商競投新報價邀請,直至表現改善。資科辦回覆查詢時表示,由於公司註冊處系統項目,由該處公開招標、而非資科辦《協議》下項目,故《協議》內承辦商表現監察制度並不適用。資科辦又指已向決策局及部門首長發指示,要求全面檢視資訊保安,並提醒其系統和用戶,按指引處理敏感及個人資料,不可儲存於公有雲平台上。

集誌社檔案:消防處資料外洩  承辦商即停賽

消防處五月六日公布外洩風險事故,指日前(3日)發現電腦系統內部分個人資料有潛在外洩風險,但未有證據相關資料被公開;初步調查相信因外判承辦商處理資料轉移時,有人擅改資料的讀取權限。

事件涉及約 480 名市民,他們在去年九月超強颱風蘇拉吹襲時,曾報告塌樹,資料包括其姓氏及電話號碼;另涉及約 5,000 名處方屬員資料,包括姓名、電話號碼、職級與編號,及駐守崗位,當中亦涉及約 960 名屬員的不完整身份證號碼。處方昨稱已立即聯絡系統的外判承辦商,要求即時停止系統運作及承辦商的所有合約工作,撤回其系統登入權限以防資料外洩。

《集誌社》向消防處查詢,承辦商及項目資料、為何即時停止對方合約?處方稱為確保資料不會有進一步外洩風險,決定即時停止相關承辦商所有合約工作,而由於警方正調查事件,未能提供進一步資料。