香港第653章生效：罰款高達500萬，你的 IT 架構是合規佐證還是審計盲點？

🌐 閱讀語言: 繁體中文 | **English**

【核心摘要：合規要點】

第 653 章合規快訊：

- 核心義務：CIO 必須提供「每個應用程式、每個會話」的可核實書面審計紀錄。

- 關鍵缺陷：傳統 VPN 無法產生地道審計證據，是當前企業面臨最大的審計盲點。

- 解決方案：部署 ZTNA (零信任存取) 與 SASE 架構，實時自動化生成合規證據。

- 2026 時效：條例自 2026 年 1 月 1 日起實施，絕無寬限期。

《保護關鍵基礎設施（電腦系統）條例》（第653章)）已於2026年1月1正式實施。既無寬限期，亦無分階段過渡安排。若你們機構的CIO屬於八大指定行業，合規計時已經開始。

違規罰款由港幣500,000元至5,000,000元不等，審計義務即時適用。現在的問題不是機構是否需要合規 — — 而是你們現有的IT架構能否實際提供合規的書面佐證。

誰受第653章規管？

第653章適用於八大指定行業的關鍵基礎設施營運商：

1. 銀行及金融服務
2. 能源
3. 資訊科技
4. 航空運輸
5. 海上運輸
6. 陸路運輸
7. 醫療衞生
8. 電訊及廣播

無論行業類別，政府指定的關鍵基礎設施營運商亦在規管範圍之內。

若你們的系統被認定為維持基本服務所必需，機構的CIO即承擔條例下的直接法定義務。受規管範圍由關鍵基礎設施（電腦系統安全）專員釐定，而非機構自行申報。

為何架構才是合規的核心，而非政策文件？

許多機構面對第653章時，最常見的誤解是將其視為文件整理的問題。

第二類要求的安全管理計劃，須由獨立審計師對照你的實際架構進行核實（附表5）。如果存取控制不產生按應用的會話記錄，再完善的政策文件也過不了審計。如果網絡不產生流量分析，風險評估就沒有可核實的技術基礎。責任的本質在架構，不在行政。

這正是傳統VPN環境的結構性合規問題：

VPN提供網絡連接，但不產生可供審計的存取記錄。它告訴你誰連接了網絡 — — 但無法告訴你他們存取了哪個應用程式、持續多久、使用哪台裝置、擁有哪些權限，以及這些權限是否適當。

對香港不少 CI 營運者來說，這個挑戰還疊加了一層架構複雜性。試想像你的深圳辦公室終端環境，可能就與中環總部截然不同。而東莞的承辦商存取系統時，用的平台可能是你現有國際安全廠商根本不支援的。第653章不區分平台 — — 你的審計軌跡必須覆蓋所有終端，不留盲點。

三類法定義務

第653章將義務劃分為三類，每一類均帶來不同性質的合規缺口。

第一類 — — 結構性義務： 設立負責電腦系統安全運營監察的保安管理小組（SMU）；在香港設立註冊辦事處；就重大擁有權變更通知專員。第一類主要涉及行政層面，大多數機構可在現有管治架構內完成。

第二類 — — 預防性義務： 大多數機構的缺口集中在此。制定及維護保安管理計劃；進行對照實際架構可核實的風險評估；委託獨立保安審計；就重大系統變更通知專員。第二類要求架構能夠持續產生可核實的書面佐證 — — 而非僅保持系統在運作層面的安全。傳統VPN架構不產生獨立審計師所需的逐應用程式、逐會話審計記錄。第二類違規面臨條例下最高罰款。

第三類 — — 事故應變義務： 維護可實際執行的緊急應變計劃；定期以真實系統遙測數據進行保安演習；在規定時限內向專員匯報事故。未經測試、缺乏書面記錄的應變能力，不符合第三類義務。AI 原生檢測 (AI-native detection) 是達成 12 小時回報要求的唯一技術路徑。

億格雲如何對應三類責任場景

億格雲「雲樞」（Yun Shu）的平台能力，正好切合第653章對架構的要求。ZTNA 產生第二類安全管理計劃所需的每個應用、每次連線存取記錄；SASE 為安全管理組提供統一運營視圖；XDR 端點及網絡偵測產生讓第三類責任可以真正執行的實時數據；XDLP 填補審計師及跨境合規所需的數據保護證據。

單一平台，覆蓋三類義務。佐證持續自動生成 — — 而非在審計壓力下臨時拼湊整理。

第653章條款要求與億格雲對應能力一覽：

億格雲SASE平台對應《保護關鍵基礎設施（電腦系統）條例》（第653章) — 安全合規自檢表

億格雲持有ISO 27001認證及SOC II Type 2鑑證 — — 這正是保安管理計劃對所有相關供應商的基本要求。國際辦公室設於香港，客戶端全面覆蓋 Windows、macOS、Linux、Android/iOS，以及麒麟 OS、統信 UOS 等國產化作業系統，這是選型時不可忽視的考量。

**想了解雲樞如何對應第653章責任？ 歡迎與億格雲香港團隊預約30分鐘交流 — — 了解我們的方案如何切合你們的實際架構需求。

[*預約交流](mailto: info@eaglecloud.com)***

在你們的審計師到來之前，先問自己這個問題

若獨立審計師今天要求提供關鍵系統中每個應用程式存取控制的書面佐證——需要多長時間，能否經得起審查？

若答案是「需要幾天」或「要手動調取日誌」，這就是你們的第二類缺口。億格雲ZTNA持續自動生成這些佐證，且其格式專為獨立審計而設計。針對你們環境的PoC，將讓你們在審計師到來之前親眼看到架構能夠產生的審計佐證。

常見問題

問：第653章只適用於政府機構，還是私人公司也適用？ 答：第653章適用於八大指定行業的任何關鍵基礎設施營運商，包括私人公司。受規管範圍由專員評定。

問：第653章與金融機構的HKMA及《個人資料（私隱）條例》有何關係?答：三個監管框架在存取控制及審計追蹤層面產生交疊義務。為第653章第二類義務設計的ZTNA架構，同時回應HKMA第三方存取管治及《個人資料（私隱）條例》第4原則要求 — — 一個架構，同時處理多個監管要求。

問：現有VPN架構能否滿足第653章的審計要求？ 答：VPN提供網絡存取，但不產生第二類獨立保安審計所需的逐應用程式、逐會話審計記錄。使用VPN架構的機構，大多需要補充或替換現有方案。

問：我們已經有 ZTNA/SASE 方案了，為什麼要考慮億格雲？ 答：問你現有廠商三個問題：(1) 客戶端支不支援麒麟 OS 和統信 UOS？(2) 能否跨國際和國產化終端產生統一審計軌跡？(3) 在香港有沒有本地團隊和 ISO 27001 + SOC II Type 2 認證？任何一個答案是「不」，你的第653章審計軌跡就有盲點。

問：在評估供應商時應尋找哪些認證？ 答：ISO 27001認證及SOC II Type 2鑑證報告，是第二類保安管理義務下供應商評估的基本要求。在納入候選名單前，應要求在保密協議下提供相關證書及報告。

問：PoC最快幾時可以開始？ 答：億格雲香港團隊通常可在初步架構對話後一至兩天內啟動PoC測試。標準的第653章針對性PoC週期為2至4週，涵蓋ZTNA每個應用程式存取控制、SASE統一可視性及XDR偵測遙測數據 — — 以你們的實際環境進行驗證。【[聯絡我們確認時間安排](mailto: info@eaglecloud.com)】

問：事故報告時限具體是多少？ 答：附表6規定：干擾核心功能的事故 — — 知悉後12小時內。其他 — — 48小時內。詳細後續報告 — — 14日內（第28(4)條）。XDR 偵測速度直接決定你能否在時限內完成報告。

下一步

第653章已生效，審計義務即時適用。不要等到審計失敗才採取行動。

億格雲「雲樞」平台涵蓋ZTNA、SASE、XDR及XDLP — — 可支援機構應對第653章保安管理、審計及緊急應對義務。ISO 27001已認證，SOC II Type 2已鑑證，國際總部設於香港。

【[立即預約](mailto: info@eaglecloud.com)】預約 30分鐘架構缺口評估 — 與億格雲香港團隊探討雲樞如何切合你們的架構需求。

→ LinkedIn 關注億格雲 Eagle Cloud

→ 歡迎電郵聯絡 [info@eaglecloud.com](mailto: info@eaglecloud.com)

參考資料

1. 第653章 — — 《保護關鍵基礎設施（電腦系統）條例》 — 香港電子法例
2. 關鍵基礎設施（電腦系統安全）專員辦公室（OCCICS） — occics.gov.hk

本文不構成法律意見。請就貴機構的具體合規義務諮詢合資格法律顧問。