通讯及新闻部长雅国博士指出，一些网安业者可在操作时掌握客户网络系统中的弱点，如果加以滥用，将扰乱客户业务。
除了拥有关键信息基础设施的公司企业外，本地中小型企业今后也能获得更有保障的网络安全服务。
昨天（2月5日）三读通过的网络安全法案规定进行电脑系统侵入测试和管理安全操作的公司、个人或第三方业者，今后均须申请执照才能提供服务。须申请执照的也包括人在国外，但有意在本地提供上述两项服务的网安服务业者。
通讯及新闻部长雅国博士昨天在网络安全法案提出二读时说：“网络安全风险如今逐渐扩散，对值得信赖的网安服务需求将相应增加。一些网安业者可在操作时掌握客户网络系统中的弱点，如果加以滥用，将扰乱客户业务。一些小型公司也不知道哪些服务业者是具有道德或可信赖的。”
要求网安服务业者申请执照，可减少企业面对的风险，也有助小型公司获得可靠的服务。
网络安全局将在网上公布获颁执照业者的名单，鼓励企业聘用有执照者。企业也可向该局举报无执照提供电脑系统侵入测试和管理安全操作的业者。违例者一旦罪成，可判坐牢最长两年，罚款5万元，或两者兼施。
在推动业界发展和网安需求之间求平衡
除了提供上述两项服务的业者，其他网安服务业者无需申请执照。多名议员昨天对此表达关注，担心这可能对企业造成风险。
但雅国强调，这些业者虽无需申请执照，却依然须遵循其他法律，如滥用电脑法令（Computer Misuse Act）。
雅国重申，执照框架是一项新措施，所以政府刻意采取“柔性监管”（light-touch）方针，以在推动业界发展和网安需求之间取得平衡。此外，由于网安服务国际化，要求每一名网安服务人员都申请执照存在现实挑战。
当局只专注于提供电脑系统侵入测试和管理安全操作服务的业者，是因为这类业者有机会接触客户的机密和敏感资料，进行的则是常见的主流业务，对本地整体网络安全影响显著。
在新的条例下，网安业者一旦不达标，可被暂停或吊销执照。另外，他们也须记录为客户提供的网安服务，包括执行工作的员工，并存档至少三年，以便在出现犯罪行为（foul play）时协助调查。
通讯及新闻部和网安局将就执照申请的推行细节收集业界意见。
