Canvas外洩事件 調查指城大及科大等四院校受影響

網上教學管理平台Canvas早前遭黑客入侵，私隱專員公署5月6日至11日期間，接獲本港7間教育機構通報資料外洩事故，並展開調查。私隱署今日(20日)發表調查結果，指外洩事故實際只影響4間教育機構，包括城大、科大、演藝學院及建造學院，受影響人數至少15.4萬人，涉及的資料包括姓名、電郵地址、用戶名稱、學生編號。私隱署指出，4間教育機構的外洩事件源於第三方平台的漏洞，而該些機構的內部系統不受外洩事件影響。 私隱署表示，就7間教育機構的資料外洩事故通報，外洩事件實際只影響4間教育機構，包括城大、科大、演藝學院及建造學院。其中，城大有14.7萬名學生及員工受影響，涉及的資料包括姓名、電郵地址、用戶名稱、學生編號及/或所修讀課程訊息；演藝學院有4,584名學生及員工受影響，涉及的資料包括姓名、電郵地址、用戶/學生編號及/或所修讀課程訊息；建造學院有2,333名學生及員工受影響，涉及的資料包括姓名、電郵地址及用戶/登入編號。 至於科大的受影響當事人類別及人數，則有待Canvas的營運公司Instructure進一步核實，涉及用戶在Canvas發送的訊息。私隱署補充，截至目前，未有資料顯示其他通報外洩事故的教育機構，包括理大、藝術學院及教育城受外洩事件影響。 私隱署指出，4間教育機構的外洩事件源於第三方平台的漏洞，而該些機構的內部系統不受外洩事件影響。調查發現，該些機構在使用Canvas前已進行事前評估、採取合約規範及建立審查機制，以確保被轉移的個人資料受保障。因此，個人資料私隱專員鍾麗玲認為並無證據顯示，4間教育機構在使用Canvas的過程中，沒有採取所有切實可行的步驟保障所持有的個人資料，因而並不涉及違反《個人資料(私隱)條例》的情況。 雖然如此，私隱署已建議涉事的4間教育機構重新審視資料外洩的風險、加強監管第三方平台所採取的保安措施、審視及盡量減少平台上儲存的個人資料、啟用帳戶的多重認證功能，以及訂定清晰的存取權限和資料保留時限等，以確保資料安全。私隱專員又提醒，所有持有大量個人資料的機構，在聘用資料處理者處理個人資料時，應事前審查相關資料處理者的背景、評估他們實施的資訊保安措施，例如數據加密、存取管控機制、防禦及偵測措施等；機構亦應優先採用由其直接控制及管理的伺服器，以處理及儲存大量個人資料。