澳洲金融服務公司因網路安全管理失當被罰135萬澳元

135萬澳元罰款凸顯企業網路安全責任

澳洲一家金融服務公司因承認未能充分管理財務顧問網路的網路安全風險，被法院判處罰款135萬澳元。

新南威爾士州最高法院對 Fortnum Private Wealth Ltd 作出上述處罰。該案由澳洲證券與投資委員會（ASIC）提起，公司另須支付25萬澳元，以承擔 ASIC 的部分法律費用。案件涉及的違規行為發生於2021年4月20日至2023年5月11日期間。

在相關期間，Fortnum 的業務網路涵蓋81至94家財務諮詢機構、超過200名獲授權財務顧問，以及約5.5萬名零售客戶。這些機構收集並保存大量敏感個人及財務資料，包括身份證明文件、稅務識別號碼和金融帳戶資訊。

這起案件向金融業傳遞了一個重要訊息：網路安全不僅是技術部門的責任。負責管理顧問網路及業務合作夥伴的企業，也必須制定明確的安全政策、配置適當的專業人才，並確保各項安全措施在整個業務體系內得到落實。

四項主要網路安全管理缺失

Fortnum 承認，未能充分管理其業務及授權代表網路的網路安全風險。根據 ASIC 的資料，相關缺失主要涉及以下四個方面：

• 網路安全政策不足： 未能在公司及財務顧問網路內實施足夠的政策，以管理和降低網路安全風險。

• 監督與監控機制不足： 缺乏適當的流程、系統及管理框架，無法有效監督和評估授權代表的網路韌性。

• 專業人才不足： 未能維持足夠的專業人員，以提供所需的網路安全知識和技術支持。

• 風險管理系統不完善： 現有網路安全風險管理安排不足以應對公司及其業務網路所面臨的風險。

ASIC 主席 Sarah Court 表示，Fortnum 早已意識到其業務及授權代表所面臨的網路安全風險，卻未能建立充分的安全政策、監督及監控機制。監管機構指出，這些缺失使財務顧問及其客戶面臨網路攻擊和網路犯罪風險，並可能造成嚴重傷害及財務損失。

這一結果說明，僅僅制定網路安全文件並不足夠。企業必須將政策轉化為實際要求，明確責任歸屬，定期監控執行情況，並確保所有相關業務部門及授權代表持續遵守。

財務顧問網路為何帶來額外風險

財務諮詢機構掌握的資訊對網路犯罪分子尤其具有價值。身份證明文件、稅務識別號碼和金融帳戶資料，可能被用於身份盜竊、針對性詐騙及其他金融犯罪。

當一家金融服務公司需要監督多家獨立經營的諮詢機構及顧問時，安全管理會變得更加複雜。不同辦公室可能採用不同的技術環境、營運流程及網路安全標準。網路中的某個環節一旦存在弱點，就可能使整個組織及其客戶面臨風險。

Fortnum 案例說明，企業不能只檢查總部及核心系統的安全狀況，還必須關注授權代表處理的數據和系統、外部服務供應商所採用的安全措施，以及歷史客戶記錄的管理方式。

企業應為所有授權代表制定最低網路安全標準，定期評估合規情況，並保留相關證據，以證明安全措施確實得到執行。

案件源於一宗已報告的網路攻擊

ASIC 於2025年7月對 Fortnum 提起訴訟，此前該公司曾向監管機構通報其一名授權代表遭遇網路攻擊。監管行動隨後審查 Fortnum 是否履行了管理整個業務網路網路安全風險的相關義務。

有關案件的報導也提及2022年9月發生在 Wealthwise 的事件。Wealthwise 是該網路中的一家財務諮詢機構。ASIC 早前提出的指控稱，超過200GB、涉及多達9,828名客戶的數據遭到竊取並被公開。Fortnum 當時對部分指控提出異議，包括有關數據的性質，以及這些數據與該機構實際提供的財務諮詢服務之間的關係。

必須區分實際網路攻擊事件與監管機構最終確認的管理缺失。135萬澳元的罰款，是基於 Fortnum 對其網路安全政策、監督機制、專業能力及風險管理系統存在不足的承認。這並不代表法院認定整個業務網路中的所有客戶記錄都因這些管理缺失而遭到泄露。

法院同時指出，相關行為並非故意實施，而且 Fortnum 在調查及法律程序期間配合了 ASIC。

Fortnum 已加強網路安全管理框架

ASIC 表示，Fortnum 在相關事件期間之後，已經升級其網路安全管理框架。改進措施包括引入強制性網路安全控制、年度審查、加強員工培訓，以及增加專業網路安全人才支持。

這些措施也反映出其他組織可以借鑑的網路韌性實踐：

• 制定強制性最低安全標準： 明確訪問管理、軟體更新、數據保護及事件通報方面的基本要求。

• 定期進行安全評估： 持續審查系統和業務流程，而不是只依賴一次性的安全檢查。

• 投入專業網路安全能力： 確保負責網路風險的人員具備識別和應對威脅所需的知識與資源。

• 監督第三方及業務代表網路： 明確外部合作夥伴和關聯業務單位在安全管理方面的責任。

• 定期開展安全培訓： 協助員工和財務顧問識別釣魚攻擊、可疑請求及其他常見攻擊手法。

• 保護歷史數據： 即使客戶資料不再被日常使用，也應通過適當的保存期限、訪問控制及安全銷毀機制加以保護。

這些做法有助於企業從單純依賴書面政策，轉向持續測試和驗證安全控制是否真正有效的管理模式。

監管機構持續加強網路韌性審查

Fortnum 案是 ASIC 針對金融服務牌照持有人網路安全管理缺失採取行動後取得的第三項相關執法成果，此前的案件涉及 RI Advice 和 FIIG Securities。

這些案件反映出，監管機構越來越關注金融企業是否具備適當的系統，以識別、管理和監控網路安全風險。對於持牌企業而言，網路安全責任不只是在事件發生後作出回應，還包括維持合適的風險管理機制，並監督在其牌照體系下營運的人員和機構。

金融服務業尤其需要重視相關風險，因為客戶會向機構提供個人識別資訊、財務記錄及其他機密資料。如果企業未能妥善保護這些資訊，可能損害客戶信任、業務連續性，以及公眾對整個金融體系的信心。

Fortnum 案也提醒企業，監管機構可能會追究數年前作出的管理決策。因此，網路安全治理應被視為持續性的管理責任，並通過清晰的記錄，證明企業曾進行風險評估、落實安全控制、開展定期審查及處理已發現的問題。

來源：金色財經

發佈者對本文章的內容承擔全部責任
在投資加密貨幣前，請務必深入研究，理解相關風險，並謹慎評估自己的風險承受能力。不要因為短期高回報的誘惑而忽視潛在的重大損失。