廉署「越俎代庖」定系統標準？香港缺位 CIO/CDO 體制治理反思與北都機遇

由「打貪」到「編碼」——香港獨有的制度偏差

廉政公署（ICAC）近期發布《電腦系統誠信安全標準》，為政府各局及部門訂立 12 項核心監管功能，涵蓋身份驗證、權限管控、利益衝突流程內置及審計異常追蹤等，並規定各部門申請電腦化撥款時必須將其納入招標規格。科技創新界立法會議員邱達根對此表示認同，認為這套標準能在內部管理與採購程序中提供更一致、可量化的風險提示，並建議應推廣至半公營機構以堵塞各類營運漏洞。

邱達根議員的觀察切中公營體系規範不一的痛點，但退後一步審視全局，一個專責刑事偵查與反貪的執法機構，竟需要親自下場為全港政府資訊系統制定架構設計標準，這恰恰折射出一個「只在香港才會出現的獨特制度斷層」。

在成熟的數字經濟體中，系統防竄改、最小授權原則（Least Privilege）與稽核日誌追溯（Audit Trail），本應是不可或缺的頂層法定資安與數據治理規範。然而，香港近年公營體系接連爆出嚴重的資安事故與內部管理危機：

數碼港伺服器遭黑客勒索軟體攻破，大量求職者與初創企業敏感資料外洩；
公司註冊處、土地註冊處及消防處等部門先後被揭發伺服器權限設定失當，市民個人資料暴露於公網；
公營醫療機構外判工程人員輕易越權下載數萬名病人敏感資料。

市民與業界對政府系統內部監管的信心已跌入低谷。此時站出來主導防範的，既非主責技術基建的數字政策辦公室（DPO），亦非監管私隱權利的個人資料私隱專員公署（PCPD），而是廉政公署。

這種「由反貪部門越俎代庖訂立 IT 安全規格」的怪現象，根源在於香港公營體系長期存在的三大硬傷：

關鍵治理崗位全面缺位：香港政府各政策局和部門長期由政務官（AO）及一般行政職系主導決策，內部普遍未設立具備實質架構決策權的首席信息官（CIO）、首席數據官（CDO）與首席信息安全官（CISO）。各部門將資訊科技視為「庶務採購」而非「核心治理」，將系統架構與安全監控高度外判給私營承辦商，導致公營系統既無專責高層把關數據架構，亦無專業 CISO 統籌防護，最終演變為各部門外判商各自為政。
法例規範嚴重滯後：現行《個人資料（私隱）條例》（PDPO）仍停留在 30 年前的合規架構，缺乏對公營機構內部濫權、未經授權查閱數據的法定技術標準與高額刑責。
部門治理結構碎片化：「數字辦管基建、私隱專員管投訴、廉署管抓貪」，欠缺統一的數據治理法典與權責機制。廉署為了防貪，不得不以「防貪指引」這種行政柔性補丁，去填補整個特區政府在數據治理與系統誠信上的制度真空。

環球與區域鏡鑑：四個城市的他山之石

香港面對的治理斷層，全球先進智慧城市早已透過「專責 C-Level 官員制度＋頂層法定架構」予以解決：

杭州（CDO 制度與數智治理實踐）：作為全國首屈一指的數智城市與「中國數谷」所在地，杭州不僅推行公共數據授權運營，更全面落實首席數據官（CDO）制度。各區縣及核心部門均設有專責 CDO，打破跨部門數據壁壘，統籌「建數、治數、用數、管數」全生命週期。同時配合內地《數據安全法》、《個人信息保護法》（PIPL）及《刑法》第 253 條之一（侵犯公民個人信息罪），從組織架構與嚴刑峻法兩端，徹底杜絕公職人員或外判人員私自調取數據的漏洞。
布魯塞爾（歐盟核心：GDPR 與法定 DPO / CISO 架構）：歐盟在 GDPR 第 25 條將「設計即隱私與安全（Privacy/Security by Design）」寫入法律，具備強制效力。歐盟機構及成員國公共部門被法律強制設立數據保護官（DPO）與專職安全官員，系統架構必須在底層具備防越權與不可篡改審計機制。若未落實，獨立資料保護機構可直接開罰或勒令停運，絕非單一部門的招標建議。
首爾（PIPA 與官員連帶刑責）：南韓《個人信息保護法》（PIPA）賦予個人信息保護委員會（PIPC）對公共部門設定具法律約束力的技術標準。南韓各部門設立資訊安全負責人，公務人員非法存取或洩漏國民數據除面臨最高 5 年監禁外，主管官員須負行政連帶責任，從體制上杜絕「依賴外判商自由心證」的被動局面。
東京（數位廳直轄與 CISO 體系）：日本於 2021 年成立由首相直轄的數位廳（Digital Agency），設立全政府最高技術與安全主管，統一推動「政府雲（Government Cloud）」標準架構。數位廳統籌身分認證（My Number）、存取授權與稽核規範，將其納入「可信賴數據自由流動（DFFT）」戰略，由中央統一 CISO 團隊把關，徹底根除各省廳系統分散建設的風險。

深度建議：把握五年規劃與北都契機，推動香港數據制度躍升

香港要徹底擺脫「事故發生才靠廉署補漏」的困局，必須落實邱達根議員所倡導的「統一量化標準」，並借鑑杭州、布魯塞爾、首爾及東京的經驗，把握國家「十五五」規劃與北部都會區（特別是河套深港科技創新合作區）建設的戰略契機，推動整套數據治理與安全體系的制度躍升：

全面設立局署級 CIO、CDO、CISO 制度，告別「外判式治理」：改變目前單靠政務官（AO）兼管 IT 的模式，在特區政府各決策局、主要部門及半公營機構，正式設立首席信息官（CIO）、首席數據官（CDO）及首席信息安全官（CISO）。借鑑杭州與東京的架構，由局署級 CISO 與 CDO 專責把關系統招標、權限分級、審計日誌及零信任設計，直接向部門常任秘書長或首長匯報，讓「系統誠信」由專業技術官員從架構底層落實，而非依賴事後刑事調查。
推動「香港數據安全與誠信條例」法定化：由數字政策辦公室牽頭，吸納廉署的 12 項誠信要求與私隱專員公署架構，將其從建議性質的招標清單，升格為具法律效力的《公共數據安全與誠信實務守則》，強制覆蓋全體公營及法定機構。借鑑內地刑法與南韓 PIPA，修訂本地法規，明確將公營系統中「蓄意繞過審批、濫用特權帳號、擅自下載或刪改審計日誌」等行為直接定性為嚴重違法甚至刑事罪行，顯著提高外判商與內部人員的違法成本。
在北部都會區設立「深港數據安全走廊」與監管沙盒：北部都會區承擔深港跨境金融、生物醫藥及人工智能合作的重任。特區政府應在河套合作區率先推行「零信任架構（Zero Trust）」與「機密計算（Confidential Computing）」，落實「原始數據不出境、數據可用不可見」。將廉署強調的日誌追蹤與存取記錄全面架構在分布式帳本技術上，打造兩地政府與科研機構共同認可、任何部門與外判商後台皆無法擅改的技術信任底座。
築牢內地敏感數據「過河來港」的制度基石：內地龐大的醫療科研樣本、高精自動駕駛路測數據要依託香港接軌國際，國家監管機構核心顧慮始終是香港系統的內部防護薄弱與外判失控風險。當香港具備對標歐盟 GDPR、相容內地《數據安全法》、擁有專業 CDO/CISO 把關且具備廉署防貪標準的全新體系時，便能向內地與國際市場提供極高水準的體制保障，讓敏感數據安全在港儲存、交易與流通，真正鞏固香港作為「國際數據樞紐」的獨特戰略定位。

作者:Emil Chan 陳家豪
Unwire Pro 特約編輯