資安界憂管有器材誤墮法網 (賴灼東 / 香港互聯網協會黃浩華)

原文刊於信報財經新聞「StartupBeat創科鬥室」

法改會電腦網絡小組委員會上周發表諮詢文件，提倡就五大電腦網絡範疇立法，例如駭入他人伺服器、蓄意截取數據、破壞電腦系統等，若干犯「加重罪行」可囚終身。今次請來電腦安全及事故應變專家賴灼東，以及香港互聯網協會開放數據小組召集人黃浩華，分享業界人士看法，並探討公眾誤墮法網的風險。

主持：（陳）陳偉健 《信報》科技記者
嘉賓：（賴）賴灼東 電腦安全及事故應變專家
          （黃）黃浩華 香港互聯網協會開放數據小組召集人

陳： 資訊科技業界怎看是次電腦網絡罪行立法？

賴： 諮詢文件提及五大網罪範圍中，資訊保安界對第五項「蓄意提供或管有用作犯罪的器材或數據罪」最擔憂。因大多數從業員工作期間均須接觸或管有相關工具，以本人工作主要負責電腦病毒分析為例，需要儲存不同電腦病毒。

就像家裏的生果刀，一般情況下不會視為犯罪工具，如條例僅針對「管有工具」，而不衡量有否網攻意圖，即使屆時有合理辯解作為免責制度，法例亦可能遭執法人員濫用。

陳： 教學、研究或開發防毒軟件均可免責，範圍是否足夠？發牌是否可行方法？

賴： 部分本地及海外的網絡安全組織，主動定期掃描互聯網上有否安全漏洞，再向企業或香港電腦保安事故協調中心（HKCERT）滙報。又有HackerOne等「獎金獵人」，專為企業尋找資安漏洞，以賺取獎金，惟此類工作大多未獲企業授權。

公開取覽存灰色地帶

我認為應收窄條例對電腦罪案的定義，盡可能減少誤判，而「管有犯罪器材或數據」一項須與其餘4項罪行連結，證明有非法意圖才屬犯法。否則國外資訊安全組織，或因擔心觸及「紅線」而減少向本港提供網攻最新情報，反而增加本港網絡安全風險。同時，免責制度也無法照顧一些學生或業餘人士，於課餘、公餘時間下載開源工具等行為。

黃： 過往曾有本港市民因向本地航空公司滙報安全漏洞後，反遭告上法庭而判守行為。當時這位市民並非資訊安全從業員，僅以瀏覽器進入網頁連結而發現問題，試問應如何向普通市民發牌？要避免無辜市民被控，更理想做法應判斷有否犯罪意圖，設立更嚴謹的犯法定義。否則新法律生效後，不論專業人士或普通市民，相信均對上述行為存有戒心，產生寒蟬效應，不利本港創科健康發展。

陳： 創科業界研發產品時，不時使用大數據、下載他人資料，日後會否擔心觸犯法例？

黃： 在網絡世界存取不設保安的網址或路徑會否犯法，向來屬於灰色地帶。以近年不少傳媒涉足的數據新聞為例，期間如須下載其他機構的商業或地產數據，又會否因版權問題，觸犯建議提及的非法取覽程式或數據罪行，從而影響公眾知情權？

過往Linkedin曾於美國控告hiQ Labs以網絡爬蟲方式，抓取其平台的公開資料。惟當地法院判決其數據屬公開性質，應是知識產權問題而非電腦罪行。今次法改委明顯未從外國案例汲取經驗，界定何謂非法取覽等行為。

怕嚇走投資者及人才

陳： 新法例可否保護本地企業及市民？長遠又對本港有何影響？

賴： 像勒索軟件、大規模入侵等事件，背後黑客大多身處海外，如果缺乏跨境合作機制，立法後亦難以把黑客拘捕。過去有外國執法機構聯同互聯網供應商及科企，成功追蹤並搗破REvil等黑客集團。要保護本港市民及企業，政府理應加強相關技術基建及協調工作，而非單純擴闊條例規管範圍。

而且，建議的電腦網絡罪行，有部分條文過於簡單，「管有犯罪器材或數據」一項極具爭議性。有關方面能否考慮暫緩執行此項？畢竟要推動資訊科技發展，必須創造一個可互相分享及交流的環境。

若條例令業界擔心誤墮法網，不僅窒礙本地創科發展，也可能減少外國來港投資，甚或引發人才流失。諮詢期僅3個月時間不足，冀港府進一步聆聽業界及公眾意見。

註：以上嘉賓訪問均屬個人意見，與本報立場無關。

延伸閱讀：

法改會倡訂電腦網絡罪 可囚終身

支持EJ Tech

如欲投稿、報料，發布新聞稿或採訪通知，按這裏聯絡我們。