「我哋個會員系統用咗幾年，一直都冇事，仲有咩要檢查？」如果你的網站、網店或者 App 有儲客戶資料，Ryan 建議你反過來問一句：「如果有人今日登入咗後台，我哋知唔知道佢睇過啲咩？」
11 月 12 日，香港崇光百貨（SOGO）公布，發現未經授權人士取得部分會員系統資料。按公司當時的調查，涉及的資料主要包括部分會員號碼、姓名、聯絡電話、電郵和積分結餘。公司已向相關部門通報，並加強系統監察。據《南華早報》引述私隱專員公署的初步資料，約 82 萬名會員可能受影響。公開通告當時未交代對方如何取得資料。SOGO 官方通告 · 《南華早報》報道
聯絡資料同積分，點解都值得保護？
試想像你收到一個短訊，對方叫得出你的名字，仲講得中你有幾多積分，再叫你撳連結確認帳戶。資料講得準，聽起來好似真係客服，但任何已取得這些資料的人都可能講得出。遇到這種情況，可以自己開官方 App 或從官方網站找聯絡方法核實。
香港電腦保安事故協調中心（HKCERT）在今年第三季錄得 4,404 宗保安事故，其中約六成屬釣魚攻擊。對中小企來說，客戶電話、預約紀錄和購買資料，本身就值得納入系統保安檢查。HKCERT 第三季保安事故統計
你手上的網站、網店或者 App，可以先查邊幾樣？
- 後台帳戶同權限。 先列出員工、離職同事和外判供應商的管理員帳戶。逐個確認是否仍需要存取，管理員有冇開雙重認證。客服需要查一張訂單，和財務需要匯出整份報表，可以用兩套權限。
- 舊版本同外露設定。 核對 PHP、CMS、插件同第三方套件的版本及支援狀態，再睇管理後台、測試站和備份檔有冇對外開放。仍在用的舊系統可先在測試環境升級，試過登入、落單和付款先上線。
- 客戶資料去了哪裏。 跟一筆資料走一次，由表單、網店或 App，到後台、報表和外判平台。睇清楚邊度有副本、邊個可以下載，有冇舊檔放了多年。報表只留業務所需欄位，亦要知道誰在何時匯出。
- 能否查到異常同復原。 確認有冇保留登入、權限變更和大量匯出的紀錄，並安排實際還原一次備份。出事時，有紀錄先可以收窄影響範圍，有試過還原先知業務幾耐可以恢復。
如果今日已經發現異常，可以點做？
先記下發現時間、涉及的帳戶或系統，並保留相關紀錄。由負責同事或供應商隔離受影響的入口、停用可疑帳戶，再查有哪些資料可能受影響。若涉及個人資料，可參考私隱專員公署的實用貼士，評估通知受影響人士及通報的安排。私隱專員公署的資料外洩處理貼士
Ryan 可以幫你審視現有系統同修補漏洞
如果你的網站、會員系統或 App 已經用了幾年，或者原本的開發商已經交接，Ryan 可以先同你確認檢查範圍，再審視程式碼、套件版本、後台權限、伺服器設定和客戶資料流向。檢查後會列出發現的問題、影響範圍和修補次序，方便你知道邊啲要先處理。
需要落手修的話，Ryan 亦可以協助更新舊套件、收緊權限、修正程式或設定，並在測試環境重驗受影響的功能，例如登入、落單和報表匯出，再安排上線及回退方案。初次聯絡只要講低你用緊咩系統、邊個部分最擔心，同最近有冇做過更新就得。
