# 香港金融網安合規規劃：HKMA、SFC 第 1–9 類及第 653 章

資料核對：2026-10-14。此文件提供適用範圍與實施規劃，正式判定由機構合規主管按指定通知、實際活動、系統及最新原文確認。

## 1. 先確認三種身份

香港正式法例名稱是《保護關鍵基礎設施（電腦系統）條例》（第 653 章），2026 年 1 月 1 日生效。金融機構不單因行業或持牌便自動受全部責任規管，先核對指定營運者及關鍵電腦系統通知。外判工作亦不轉移營運者法定責任。[政府生效公告](https://www.info.gov.hk/gia/general/202506/27/P2025062700238.htm)、[專員辦公室 FAQ](https://www.occics.gov.hk/tc/industry/faq/index.html)。

| 身份 | 應覆核的制度 | 規劃重點 |
|---|---|---|
| HKMA 認可機構 | 科技風險、網安監管、業務持續、營運韌性、外判及最新通函 | 銀行控制與證據清單 |
| SFC 持牌法團／相關實體 | 管理層／MIC 責任、守則、實際持牌活動、電子交易及 AI 規定 | 按持牌活動與實際業務評估安全措施 |
| 已獲指定營運者及涵蓋系統 | 第 653 章、適用行業／通用實務守則及通知期限 | 指定日期、範圍及法定行動時間線 |

同一機構可能同時涉及多個制度；建立同一套控制證據對應多個要求，但通報渠道和責任人要分開。

## 2. HKMA：銀行／認可機構

基本工作涉及 TM-G-1（General Principles for Technology Risk Management）、TM-C-1（Supervisory Approach on Cyber Risk Management）、TM-G-2（Business Continuity Planning）、OR-2（Operational Resilience）、SA-2（Outsourcing）及 C-RAF 2.0。TM-G-2 是業務持續指引，不能標成網安專章。[HKMA 監管政策手冊](https://brdr.hkma.gov.hk/eng/doc-ldg/spm/current/TM-G-1)、[TM-C-1](https://www.hkma.gov.hk/media/chi/doc/key-information/guidelines-and-circular/2024/20241129c2a1.pdf)、[OR-2](https://www.hkma.gov.hk/media/eng/doc/key-information/guidelines-and-circular/2022/20220531e1a1.pdf)。

HKMA 2026 年 6 月 2 日通函要求認可機構覆核 AI 加速攻擊下的防護、第三方韌性、應變與復原及數據備份。通函提及新的 CRTF 當時仍在發展，不能當成已普遍落實的獨立法定認證。[AI 網安通函](https://brdr.hkma.gov.hk/eng/doc-ldg/docId/20260529-8-EN)。

對已被金管局指定的認可機構，2026 年 6 月 2 日行業實務守則就第 1、2 類責任提供指引；第 3 類事故通報及響應仍參閱專員的相關指引。[HKMA 行業實務守則](https://brdr.hkma.gov.hk/eng/doc-ldg/current/20260527-25-EN)。

可與 AL-Touch 討論的工作紀錄及交付資料：業務／資產依賴圖、權限及配置基線、漏洞整改、遠端供應商存取紀錄、重要業務與容忍限度、備份與還原結果、事故桌面演練、管理層決策。是否足夠需機構及審核人員確認。

## 3. SFC 第 1–9 類：牌照不代替業務評估

下表涵蓋 SFC 第 1–9 類活動，並非完整牌照分類；右欄是建議評估重點，並非每類的獨立法定檢查表。[SFC 持牌活動說明](https://www.sfc.hk/en/Regulatory-functions/Intermediaries/Licensing/Do-you-need-a-licence-or-registration)。

| 類別 | 活動 | 按實際業務評估的重點 |
|---|---|---|
| 1 | 證券交易 | 交易帳戶、客戶資產、訂單／提款與互聯網交易 |
| 2 | 期貨合約交易 | 交易可用性、權限、異常活動及時間同步 |
| 3 | 槓桿式外匯交易 | 帳戶與交易監察、欺詐／釣魚及客戶通知 |
| 4 | 就證券提供意見 | 敏感研究、客戶資料、電郵及文件權限 |
| 5 | 就期貨合約提供意見 | 同上，另覆核使用的分析／第三方系統 |
| 6 | 就機構融資提供意見 | 交易資料室、機密資料流及高權限存取 |
| 7 | 提供自動化交易服務 | 交易引擎、API、系統變更、可用性及復原 |
| 8 | 提供證券保證金融資 | 融資／抵押資料、權限、完整性及業務持續 |
| 9 | 提供資產管理 | 投資／交易平台、基金與客戶資料；網上基金分銷另評估 |

2026 年 6 月 2 日 SFC 通函涵蓋持牌法團、SFC 持牌虛擬資產服務提供者及相聯實體，強調資產盤點、修補、最小權限、偵測、供應鏈、應變及復原；高層和 MIC-IT 負責。重大網安事故需按適用守則及時通知 SFC，不能把第 653 章的 12 小時一律套用。[SFC 26EC32](https://apps.sfc.hk/edistributionWeb/api/circular/openFile?lang=EN&refNo=26EC32)。

2026 年 7 月 9 日通函的互聯網券商範圍包括從事互聯網交易的第 1、2、3 類，以及經自身網上交易設施分銷所管理基金的第 9 類。抗釣魚認證應盡快實施、最遲 2027 年 7 月 8 日；大型互聯網券商預期立即實施。客戶通知、監察及事故處理需要立即覆核改善；黑客事故即時通知 SFC。僅 SMS／電郵 OTP 不應宣傳為抗釣魚方案。[SFC 26EC35](https://apps.sfc.hk/edistributionWeb/api/circular/openFile?lang=EN&refNo=26EC35)。

所有活動仍需按自身系統、規模及風險管理網安；沒有互聯網交易功能，不代表無網安責任。AI 模型的高風險用途亦要覆核相關通知及管控。[SFC 生成式 AI 通函（2024-11-12）](https://apps.sfc.hk/edistributionWeb/api/circular/list-content/circular/intermediaries/supervision/doc?lang=EN&refNo=24EC55)。

## 4. 第 653 章：指定後的時間線

須以指定生效日期、適用通知、實務守則及法例確認實際起算。以下概括通用責任，不能用來推定特定客戶的期限。[法定責任官方說明](https://www.occics.gov.hk/tc/ordinance/obligations/index.html)。

| 工作 | 通用期限／週期 |
|---|---|
| 通知香港辦事處地址、設立電腦系統保安管理單位 | 指定後 1 個月內 |
| 保安管理及應急計劃 | 指定後 3 個月內 |
| 風險評估 | 首次 12 個月內，之後至少每年；按要求交報告 |
| 保安審計 | 首次 24 個月內，之後至少每 24 個月；按要求交報告 |
| 演練 | 依專員書面通知及適用要求安排 |
| 嚴重事故：核心功能已受、正受或相當可能受干擾 | 知悉後 12 小時內通知 |
| 其他涵蓋事故 | 知悉後 48 小時內通知 |
| 書面事故報告 | 知悉後 14 日內 |

知悉涉及合理確認，並非每個未核實告警。若初次通知未採指定格式，另有指定格式後續要求；使用官方表格及最新指引。法律範圍與故障／自然災害等營運事故要由責任人判斷。[官方 FAQ](https://www.occics.gov.hk/tc/industry/faq/index.html)。

## 5. 如何落實：建議 90 日工作計劃

以下是服務實施建議；法定指定期限及監管整改期限優先，不能用 90 日計劃延後。

| 階段 | 工作 | 交付證據 |
|---|---|---|
| 0–30 日 | 確認實體、指定／持牌及業務範圍；盤點物理／邏輯資產、依賴、外判與 AI；識別高風險缺口 | 適用性矩陣、資產／資料流圖、風險登記冊、責任及期限 |
| 31–60 日 | 優先整改身份、遠端存取、網絡分隔、修補、備份及告警；建立升級和不同監管通報流程 | 配置／變更／權限紀錄、整改與覆核、備份及復原結果 |
| 61–90 日 | 綜合測試物理到邏輯事件；釣魚／供應鏈／AI 情境演練；證據覆核與持續改進 | 演練時間線、缺口與改善清單、管理層報告、後續行動 |

共同控制矩陣可使用：要求編號、適用性及理由、資產／系統、控制、證據、負責人、覆核日、缺口／例外、整改期限、批准人。

ToDesk 企業版屬遠端存取的一部分，須確認所選套餐的認證、權限、審計、會話及資料處理功能。結合限時批准、最小權限、連線終止、檔案傳送管控和日誌覆核；單一產品不能替代治理、值班或獨立審核。