為受規管、關鍵任務系統而建的保安
由漏洞評估到符合合規要求的架構，我們協助生命科學、社會影響及公營機構，保護病人、捐款人及市民賴以依靠的系統。
為全球生命科學及公營機構領袖保障系統
持續循環，而非一次性審計
一次滲透測試只能告訴您測試當日的狀況。真正的保安要經得起時間考驗，因此我們將其視為機構持續身處的循環，而非一份歸檔了事的報告。
評估
漏洞評估、滲透測試及保安審計，在攻擊者發現之前找出系統、網絡及應用程式中的弱點。
強化
按系統及團隊的實際運作方式，將防火牆、加密及存取控制分層融入架構之中。
應變
事故應變規劃將「萬一」轉化為經測試、有記錄的應對手冊，讓遏止及復原不必在壓力下臨場發揮。
持續
保安意識培訓及持續的法規合規支援，確保在團隊及所需遵守的標準不斷演變時，人員與政策保持一致。
每個循環都為下一次評估提供依據，讓保安狀況與機構同步發展，而非停留在上次審計的水平。
三大支柱，一個保安團隊
未經量度的東西，無從防守。
- 漏洞評估。 有系統地審視系統、網絡及應用程式，在弱點被利用前將其找出。
- 滲透測試。 受控的真實攻擊模擬，以真正攻擊者的方式測試您的防禦。
- 保安審計。 按所屬界別須遵守的標準，有系統地審視政策、配置及管控。
防禦建構於設計之中，而非事後補加。
- 縱深防禦基礎設施。 防火牆、網絡分段，以及靜態及傳輸中加密，層層設防，避免任何單一管控成為單點故障。
- 角色權限控制。 按帳戶類型、流程及階段界定存取權限，讓每人只看到其角色實際所需的內容。
- 安全為本的設計工程。 每次開發都在架構階段審視保安，而非在系統上線後才加入。
在需要之前已準備就緒，而非事後。
- 事故應變規劃。 經測試及有記錄的遏止、溝通及復原計劃，在需要之前已準備就緒。
- 保安意識培訓。 讓機構內的人員成為第一道防線，而非最薄弱的一環。
- 法規合規支援。 符合所屬界別須遵守的標準，由生命科學的 HIPAA 及藥物警戒，到公營機構的數據主權要求。
項目的實際運作方式
由首次對話到持續支援，依次分為六個階段。每個階段都會留下實在的成果，而不只是一張簡報。
在建議任何管控措施前，我們先了解您的系統、數據流及法規責任。每間機構的風險都不同，因此每個項目都不會由同一份清單開始。
有系統地測試網絡、應用程式及存取點，找出攻擊者最先會發現的問題，並以工程人員及非技術持份者都能據此行動的方式清楚記錄。
修正按風險而非難易程度排列優先次序，涵蓋由防火牆及加密配置，到重新設計存取權限的一切。
將您的管控措施對應所屬界別要求的標準，無論是生命科學的 HIPAA 及藥物警戒、跨市場的 GDPR，還是企業及公營機構夥伴的 ISO 27001。
有記錄及經測試的應變計劃，涵蓋遏止、溝通及復原，確保首次使用不會是在真正發生事故之時。
保安意識培訓及持續合規支援，確保在團隊、系統及監管環境不斷變化時，人員與政策保持一致。
每個項目背後的工具
不同環境需要不同工具。以下是我們團隊由首次掃描到持續監察，在各階段會使用的工具類型。
漏洞評估及掃描
在弱點被利用前將其找出
- Nessus。 深入的網絡及資產漏洞掃描。
- Qualys。 雲端保安及合規審計。
- OpenVAS。 開源的漏洞掃描工具。
滲透測試及漏洞利用
以攻擊者的方式測試防禦
- Burp Suite。 網絡應用程式保安測試及流量攔截。
- Metasploit。 核實漏洞及模擬真實攻擊。
- Nmap。 網絡探測及保安審計。
- OWASP ZAP。 用於找出網絡應用程式漏洞的開源工具。
代碼分析（SAST / DAST）
在代碼發布前找出問題
- SonarQube。 持續檢查代碼質量及保安漏洞。
- Checkmarx / Veracode。 對原始碼進行深入的靜態應用程式保安測試（SAST）。
日誌分析及 SIEM
監察上線後發生的一切
- Splunk。 搜尋、監察及分析機器產生的保安數據。
- Elastic Stack（ELK）。 日誌匯集及威脅搜尋分析。
具體工具會按您的環境、現有基礎設施及合規要求靈活調整——以上反映我們團隊經常使用的類別及工具，而非每個項目都一成不變套用的清單。
符合您受審計的標準
保安必須經得起審視才算數。我們的基礎設施及項目實務，均符合生命科學、社會影響及公營機構客戶須遵守的框架。
ISO 27001 認證計劃
我們正建立 ISO 27001 資訊保安管理系統，目標於 2027 年 2 月取得認證，這亦是許多企業及公營機構客戶受審計的標準。
HIPAA 及藥物警戒
在生命科學項目中，管控措施按 HIPAA 及藥物警戒標準建立，確保臨床數據及不良事件匯報按監管機構的期望處理。
GDPR 及數據主權
本地化、數據主權可控的託管，以及重視同意的數據處理，讓跨市場及跨境計劃預設即合規，而非事後補救。
角色權限控制及審計紀錄
角色權限控制配合不可更改、具時間戳記的審計紀錄，確保每項操作權限正確，事後亦可問責。
覆蓋我們所服務每個界別的保安專業
合適的管控取決於您要保護甚麼，以及需要向誰負責。我們的保安工作，建基於支撐我們所有工作的同一行業專業。
背後的專業團隊
Mike Kwok
創辦總監
Mike 擁有超過 14 年科技顧問經驗，負責制定客戶項目的整體保安及技術方向，確保每項建議都切合受規管機構的實際運作能力。
Rachel Li
合規及數據管治
Rachel 帶領受規管項目的數據管治及合規框架，將 HIPAA、GDPR 及 ISO 27001 等標準轉化為團隊真正能夠維持的管控措施。
Tom Tsang
系統架構師
Tom 設計承載我們保安管控的底層系統架構，由存取控制、加密，到平台如何與客戶現有基礎設施整合。
常見問題
有系統地審視您的系統、網絡及應用程式，結合漏洞掃描、滲透測試，以及政策及配置審計。您會清楚看到真正的風險所在及優先次序，而不只是一份發現清單。
我們目前大部分工作都在這些界別，亦因此在受規管、高度受審視的環境中累積專業。同樣嚴謹的漏洞評估、安全架構及合規對齊，適用於任何需要證明（而不只是聲稱）其保安水平的機構。
兩者皆可。有些客戶需要指定範圍的評估或合規審查，有些則在系統及團隊發展過程中，請我們提供持續支援、事故應變準備及保安意識培訓。我們會按您的實際需要界定範圍，而非預設推銷更大的項目。
我們正為基礎設施及項目實務爭取 ISO 27001 認證，目標於 2027 年 2 月取得，並在適用時符合各界別標準：生命科學的 HIPAA 及藥物警戒標準、跨境數據的 GDPR，以及為公營機構問責而設的角色權限控制及不可更改審計紀錄。
這完全取決於範圍、環境規模及合規要求的深度。我們會在項目的探索階段了解您的情況後，提供具體時間表。
評估結果會附上按實際風險（而非修正難易）排序的補救計劃。我們可將計劃交予您的內部團隊，或與他們一同進行補救及強化，視乎您的運作方式。
準備好檢驗您的保安水平了嗎？
告訴我們您正在運行甚麼系統、需要遵守哪些標準。我們會向您展示真正的風險所在，以及如何堵塞漏洞。