跳至主要內容

立法會十五題:構建數碼個人身分系統
*****************
  以下是今日(四月十七日)在立法會會議上莫乃光議員的提問和創新及科技局局長楊偉雄的書面答覆:
 
問題:
 
  政府將於二○二○年推出數碼個人身分(eID)系統。陸續會有多達100項公共服務可透過該系統的生物認證(包括人臉識別、指紋鑑別、虹膜辨識及聲紋辨識)技術為服務使用者作身分認證。另一方面,政府已於本年二月把提供構建、支援及維護eID系統的服務合約批予三家承辦商,其中兩家承辦商的辦公室設於深圳。就此,政府可否告知本會:
 
(一)在eID系統的招標活動中,價格及技術方面分別所佔的評分比重為何;鑑於該系統涉及處理大量市民的個人資料,政府在技術評分中有否較為着重競投者在資訊保安技術方面的能力及往績;
     
(二)eID系統的服務合約的以下資料:
(i)該三家承辦商的具體分工,以及八年半的合約期內各項工作的時間表、
(ii)有否規定所有開發、測試及維護工作均須在香港境內進行;若否,是否知悉有關工作會在哪些地方進行,以及
(iii)有否要求各承辦商在該系統的不同階段聘請獨立顧問就系統的程式碼進行資訊安全審核,以確保系統沒有包含後門程式或保安漏洞;
 
(三)是否知悉,該三家承辦商會否把有關工作分判;若會,(i)分判商是否在港註冊公司及有何從事有關業務的往績,以及(ii)有何措施確保市民的個人資料不會被傳送至香港境外;
 
(四)eID系統在(a)開發期間及(b)投入服務後,分別處理或收集所得的人臉識別資料、其他生物認證資料,以及其他個人資料的以下資料:
(i)分別貯存各項資料的伺服器的所在位置(即政府數據中心、承辦商的辦公室還是其他地點,以及該等地點是否設在香港境內)、
(ii)會採用的數據加密標準、
(iii)有何資訊保安措施,防止數據在傳輸中途被截取或修改、
(iv)政府人員及承辦商人員存取個人資料的權限,以及
(v)防止未經許可存取個人資料(包括訂明開發及維護人員存取個人資料的權限)的保安機制;
 
(五)第(四)項所指的各項資料會否被用作其他用途;若會,
(i)哪些政府部門或公營機構會取用該等資料及其用途為何、
(ii)哪些工作人員有權存取有關資料、
(iii)取得該等資料的方式(例如獲准登錄eID系統或獲提供資料備份),以及
(iv)有何措施確保政府部門或公營機構採取足夠的資訊保安措施,防止數據在傳輸中途被截取或修改;及
 
(六)政府資訊科技總監辦公室有否就發展eID系統(i)諮詢個人資料私隱專員的意見,以及(ii)委聘獨立第三方評估資訊保安風險及私隱影響;若有,詳情為何,以及會否公開有關意見和評估報告?
 
答覆:
 
主席:
 
  我就問題六個部分的答覆分別如下:
 
(一)資訊保安和保障個人資料私隱是數碼個人身分(eID)系統標書的基本要求,包括數據存儲、網絡通訊、用戶管控和應用系統的安全,以及符合《個人資料(私隱)條例》的規定以保障個人資料的保安措施。此外,配合支持創新的政府採購政策,技術評審在eID系統招標的評分制度中佔60%,當中約7%與資訊保安有關。
 
(二)eID系統的承辦商須在合約期的首18個月完成系統開發,隨後七年為系統維護期。三家承辦商的分工如下:
 
(i)平安科技(深圳)有限公司負責設計、構建和支援eID主體系統及人臉識別和影像處理系統;
 
(ii)揚科集團有限公司負責設計、構建和支援以入境事務處數據核實eID用戶身分的系統;以及
 
(iii)雄帝科技股份有限公司負責設計、建造、供應、管理和支援自助登記服務站和作登記用的平板電腦。
 
  按照標書規定,承辦商必須派出主要人員(項目經理、系統架構師、系統分析員、雲端運算專家等)在政府資訊科技總監辦公室(資科辦)指定的辦公場地工作,以便資科辦人員與承辦商保持緊密溝通,適時解決工作上的問題和監察承辦商的工作,如確認系統的詳細設計及開發、整合和測試系統的進度,這是大型項目的一般工作安排。標書並沒有硬性規定所有系統開發工作須在香港境內進行。我們得悉,上述(二)(i)的承辦商將會在其深圳的設施場地進行有關程式編製的工序。資科辦會詳細檢視所有承辦商提交的程式,確保符合合約和政府資訊科技保安政策及指引的要求,才進行整合和測試系統的工作。
   
  資科辦會在系統設計、系統開發和測試,及系統營運期等不同階段,聘用獨立第三方進行個人私隱影響評估、私隱遵行審計和資訊保安風險評估及審計,包括原始碼安全檢測和滲透測試,以保障個人私隱和確保系統安全。
 
(三)按標書規定,承辦商若會把工作分判,則須於其建議書中列明其分判商。上述(二)(i)承辦商在其建議書中列明會把部分工作分判予兩家分判商。兩家分判商為承辦商所屬集團內的公司,具備處理圖像和開發大型項目的技術和經驗;其中一家在本地註冊,另一家為深圳的公司。另外兩家承辦商並沒有分判商。
 
  資科辦會按照政府資訊科技保安政策及指引和《個人資料(私隱)條例》的規定,落實有關保安要求以保障用戶的個人資料及系統安全。具體措施包括:
 
(i)eID系統的個人資料會加密並儲存於政府數據中心內的政府雲端平台,有關資料不會被傳送至香港境外;
 
(ii)承辦商及其分判商在開發和維護eID系統時,只會使用測試數據,並不涉及個人資料,並且只能在開發及測試的系統環境中工作,因此不會接觸到任何市民的個人資料;及
 
(iii)獨立第三方會進行個人私隱影響評估、私隱遵行審計和資訊保安風險評估及審計。
 
(四)eID本身不會儲存任何個人資料,用戶登記eID時所提供的個人資料,只供資科辦人員用作處理eID系統用戶管理和核實身分的工作。這些資料將會以國際認可和通行的高級加密標準加密,並只會儲存於政府數據中心設施。傳輸資料時亦會使用符合業界加密標準的傳輸層安全協議把資料加密,確保數據能安全和完整地在互聯網上傳送。
    
  承辦商及分判商在開發和維護eID系統時,不會接觸到任何市民的個人資料。
   
  eID系統的開發和營運將採用國際標準化組織(ISO)及國際電工委員會(IEC)所訂立的資訊保安管理系統(ISO/IEC 27001)及措施,當中包括訂定和嚴格執行各人員存取資料的權限,以防止未經許可存取個人資料。
 
(五)任何機構採用eID,都必須符合eID使用條款的資訊保安及相關技術要求,並只可採用資科辦提供的應用程式介面及伺服器認證,而不會通過任何人員或任何其他途徑連接到eID系統。資料在傳輸時亦會加密,以確保安全。
 
  用戶登記eID時所收集的個人資料,只供eID系統作用戶管理和核實身分之用。任何政府部門或公營機構如需使用eID用戶的個人資料(如預填表格),必須根據《個人資料(私隱)條例》的規定,先徵得該用戶的同意。
 
(六)資科辦在二○一八年十月就eID系統的設計和營運諮詢個人資料私隱專員公署的意見,並會在系統開發期間就不同事宜諮詢其專業意見。資科辦亦已委聘獨立第三方,並即將進行私隱影響評估和資訊保安風險評估及審計。資科辦會確保eID系統符合《個人資料(私隱)條例》條文的規定和政府資訊科技保安政策及指引。在不會對系統構成保安風險的情況下,資科辦可向立法會提供相關意見和評估報告的資料。
 
2019年4月17日(星期三)
香港時間14時45分
即日新聞