想像一下，您的組織（非盈利組織、初創公司、中小企業或大企業）能夠利用全球網路防禦者的集體力量來提升網路安全性，確保每一個系統在每分每秒都運行著健全的防禦措施。這就是群眾外包（眾包或crowdsourcing）所追求的，打造一個可持續的網絡安全生態圈，以極低的成本來大幅提昇組織的網路安全，從而轉投更多的時間和金錢成本在創科及創造業務價值的項目之中。

要理解網路安全中的眾包，我們需要專注於漏洞披露計畫（VDP）和賞金獵人計畫。VDP就像邀請一群網絡安全專才化身為數字偵探尋找您數位系統中的弱點，提供一條能讓他們報告漏洞的合法途徑，幫助您掌握您有哪些數位資產正面臨網絡風險。然而，對於您某些策略性或是更重要的數位資產，您會需要更多的資訊（例如是比較中立的漏洞的修補建議或是更詳盡的漏洞威脅分析）；在這些情況下，您可以更進一步引入賞金獵人計畫（Bug Bounty Program）為找出並報告安全問題的網絡安全專才提供獎勵，從而達到激勵他們花更多時間及心力來協助您保護更為重要的系統。

香港警務處（網絡安全及科技罪案調查科）在六月聯乘一間本地初創的漏洞賞金平台企業 Cyberbay所推出的「狩網運動」就是此類作法在香港的首例（詳情可參考香港警務處的守網者網站：https://cyberdefender.hk/bughunting_campaign/）。這個活動鼓勵全港的網絡安全專才在合法的情況下，協助參與組織來強化他們的數位防禦，並提供吸引的獎賞。這個活動證明了，透過眾包網路安全可以讓組織對網路威脅保持警覺。是次運動更融合了整個漏洞的發現和修復生態圈，為找到在網絡安全方面有提昇空間的組織找出解決方法。

然而，上述兩種計畫都不是要取代傳統的安全措施，如滲透測試或安全審核，反而是這些措施的延伸，提供更有彈性、靈活性和持續的保護。這如同在過去我們非常熟悉的COVID-19檢測中的核酸檢測（PCR）和快速抗原測試（RAT）一樣，對於社區需要保護的社群呈互補關係。就像PCR檢測是準確但耗時的檢查，滲透測試也是一種深度的審核，提供了準確但您必須停下之前安排的系統相關工作一段時間來進行檢查。與此同時，賞金獵人計畫則像是RAT，讓我們能在自行安排的時間下，快速並實時了解您的系統安全總體狀況。雖然這樣的計劃對系統進行的審查可能沒有滲透測試深入甚至覆蓋內部網絡，但這些計劃的連續性和靈活性卻能在繁忙的業務世界中得以實現。

組織應該考慮與全球的網路防禦者結盟提高他們的網路安全效率，就像香港警務處的BugHunting活動所示。賞金獵人計畫與現有的安全控制一起使用，能提供全面的端到端防禦。這樣，組織的網路安全遊戲水平可以得到提升，為相關持份者帶來更安全的數位體驗。組織應妥善運用賞金獵人計畫和其他眾包策略，像是PCR和RAT兩者並行並重。這種方式可以將網絡安全工作的重點由傳統的「報告」轉變為「生態」，而非受時間所侷限的「交付物」，通過利用全球網絡安全力量的想法和創新，實現對各種數字威脅的強大防禦。

最後，利用眾包策略將確保您的組織正面對的是一個更安全，更可控的數字未來。透過這樣的措施，您的組織正在讓全球的「網絡免疫系統」站在您的安全防線前，共同對抗網絡威脅。

簡培欽 (Felix KAN)
行政總裁及聯合創辦人

Felix 是Cyberbay 行政總裁及聯合創辦人，是一位極具經驗的網絡安全顧問，擁有超過10 年在業內的豐富經驗，亦曾是羅兵咸永道(PwC) 香港網絡安全及私隱服務合夥人，與合作伙伴共同創
立Darklab，Hackaday及Hackbot (道德黑客機器人)等。作為一名專業道德黑客，Felix 一直致力於推動本地企業提高網絡安全水平，提供更優質的保護，使其更能有效抵擋網絡攻擊。然而，企業普遍認為網絡安全投資回報率低，因而相關發展一直未受到重視。為打破這種局面，Felix聯同另一位創辦人於2022年成立Cyberbay，創立網絡安全漏洞賞金平台，透過眾包(Crowdsourcing)的營運方式，致力吸引和培育大量網絡安全專才，並結合創新數碼技術，冀望讓企業通過平台能得到低成本、高質素的網絡安全檢測服務。

Felix亦致力培育本地青年數碼人才，透過Cyberbay與不同數碼培訓機構合作，開辦短期網絡安全課程，讓更多數碼人才學習專業網絡安全知識，成為漏洞賞金獵人，為企業提供可靠的網絡安全
檢測服務。

以上內容及資料僅屬個別作者的個人意見，並不代表www.CTgoodjobs.hk的立場。CTgoodjobs對因以上人士張貼之資訊內容所帶來之損失或損害概不負責。

群眾外包與網絡安全：香港警務處的「狩網運動」為香港帶來的網絡安全新方向 - CTgoodjobs IT Channel - Columnist 專欄網誌