网络安全资助评估标准与自评清单
香港近年接连发生多宗针对企业的数据泄露与勒索软件事件，中小企业（SME）由于资源有限，往往是攻击者的首选目标。为此，政府先后推出多项网络安全资助计划，资助金额由数万到数百万港元不等，覆盖咨询服务、设备采购、员工培训、甚至事故应急等多个环节。
然而，不少企业递交申请后才发觉：原来”有做网络安全”不等于”符合评审标准”。评审委员看的不是企业买过多少设备，而是企业是否具备一套可持续、可验证、可落地的安全治理体系。本文将拆解评审背后的几大维度，并整理一份可直接对照勾选的自评清单。
一、资助评审看的是什么？
整体而言，无论计划名称为何，评审方向都会围绕以下五个维度展开。请把这份框架视为”评分表”的雏形，每个维度的具体权重以官方最新公布为准。
| 维度 | 评审关注点 |
|---|---|
| 风险识别 | 企业是否清晰掌握自身的资产清单、威胁来源与业务风险 |
| 治理结构 | 是否设立负责安全决策的人员或团队、是否有书面政策 |
| 技术防护 | 是否部署防火墙、备份、防病毒、补丁管理等基础控制措施 |
| 人员意识 | 员工是否接受过培训、是否具备识别钓鱼邮件等基础能力 |
| 持续改进 | 是否定期进行漏洞扫描、渗透测试、安全复盘 |
特别提醒：评审时经常出现”加分项”——例如是否取得 ISO 27001、Cybersec 再认证、是否有书面化的《事件响应计划》、是否涵盖第三方供应商风险。加分项不会出现在官方”基本要求”里，但往往是拉开分数差距的关键。
二、五大评估维度详解
1. 风险识别：先画地图，再谈防御
评审会期望企业能够拿出一份资产清单与风险登记表。前者列出企业拥有哪些系统、数据、终端设备；后者记录每项资产面临的最大威胁，以及一旦出事会造成什么后果。
- 是否清楚列出所有业务系统、数据库、云端服务与终端设备？
- 是否识别出核心数据（客户资料、交易数据、知识产权）的存放位置？
- 是否记录过重大第三方供应商（如 SaaS、外包 IT）的访问权限？
资产清单与风险登记表不需要复杂工具，一份 Excel 表格已能满足”基本要求”。评审看的是企业有没有”思考过”，而不是工具多高级。
2. 治理结构：谁负责？怎么决策？
网络安全不是 IT 部门一家的事。评审希望看到自上而下的安全治理结构：
- 管理层是否签署书面的网络安全政策声明？
- 是否指定一名安全负责人（可以兼任，但必须有明确角色）？
- 是否设立定期的安全例会（季度或半年一次即可）？
- 是否定义过事件升级机制——出现可疑事件时，谁先知道、多久通报管理层？
3. 技术防护：覆盖基础控制项
这是评审最容易打分的部分，因为很多都有客观证据可查。建议对照以下清单逐项打勾：
| 控制项 | 自评状态（✓/✗/部分） |
|---|---|
| 终端防病毒 / EDR | |
| 防火墙 / WAF | |
| 多因素认证（MFA） | |
| 数据备份（每日 + 异地） | |
| 补丁管理流程 | |
| 邮件过滤 / 反钓鱼 | |
| 远程访问 VPN 或零信任方案 |
部分企业会买齐设备但忘记记录开通日期、维护周期与负责人——评审同样会扣分。
4. 人员意识：人是最大的漏洞
评审越来越重视”人”的维度。最常被问到的问题是：
- 过去 12 个月是否举办过全员安全培训？
- 是否做过钓鱼邮件演练，并向员工公布结果？
- 新员工入职是否包含安全入门课程？
- 是否明确要求员工每年签署《信息安全行为守则》？
香港企业可留意由生产力局与数字政策办公室牵头的免费或半价培训资源，常被纳入资助的”可报销项目”。
5. 持续改进：评审最看重的”态度分”
资助的本质是帮助企业提升，而非一次性补贴。因此评审会留意企业是否有复盘机制：
- 是否每年至少做一次漏洞扫描或渗透测试？
- 是否对真实发生过的事件做过书面复盘与改进措施？
- 是否订阅威胁情报来源（如政府 CERT 公告、行业资讯）？
- 是否在内部设有一份待办清单（Backlog）记录未来的安全改进计划？
三、常见失分陷阱
即便企业做了不少工作，也常在细节上”踩雷”：
| 陷阱 | 说明 |
|---|---|
| 只有政策，没有证据 | 政策文件躺在文件夹里，没员工读过、没会议宣导过 |
| 备份存在但不验证 | 备份做了，但从未演练恢复，真实出事时备份可能损坏 |
| 供应商协议缺失 | 使用外部云服务或外包 IT，却没有签署《数据处理协议》 |
| MFA 只对 IT 开放 | 高管账号仍使用单一密码，攻击者常以此为跳板 |
| 培训一次性 | 只在新员工入职时讲过一次安全课程，没有定期复训 |
这些”看起来做了但没做透”的环节，是评审最常点名询问的地方。
四、递交前的 30 分钟自评清单
以下清单按”是 / 否 / 部分”作答，建议在正式递交资助申请前由负责人独立完成一次：
A. 治理与政策
- 管理层有签署书面网络安全政策
- 有指定安全负责人与替代人
- 有事件响应计划（书面 + 全员知悉）
- 有第三方供应商数据处理协议
B. 风险与资产
- 有最新版本的资产清单
- 有风险登记表，并每年更新
- 标识过核心数据并执行分级保护
C. 技术控制
- 所有终端安装并及时更新防病毒 / EDR
- 邮件与网络层面有反钓鱼机制
- 重要系统启用多因素认证
- 备份策略完整且最近 6 个月内演练恢复成功
- 漏洞与补丁管理有明确责任人
D. 人员与意识
- 过去 12 个月举办过全员安全培训
- 至少一次钓鱼演练并向员工公布结果
- 新员工入职有安全入门课程
- 员工每年签署《信息安全行为守则》
E. 持续改进
- 过去 12 个月做过漏洞扫描或渗透测试
- 有真实的演练 / 复盘记录
- 有未来 12 个月的安全改进路线图
如果某一项答案为”部分”或”否”，建议优先补足——资助评审通常要求”基本要求”全部满足，才会进入”评分环节”。
五、提升获批概率的几个实务建议
- 先把基础分拿满：ISO 27001 等认证并非必需，但评审委员看的是”可验证的成熟度”。清单上每一项”是”，都请准备好对应的截图、文档编号、会议纪要或采购记录。
- 引用政府公开数据：报告中引用《香港网络安全事故演练报告》、政府 CERT 通报等，能让评审感受到企业关注本港本地威胁。
- 量化而非空泛：与其写”重视网络安全”，不如写”过去 12 个月完成 2 次钓鱼演练，平均识别率由 38% 提升至 71%”。
- 项目计划书要写”为什么”：资助金额是纳税人的钱，评审需要看到项目的业务理由——例如”客户合同明文要求 ISO 27001”、”母公司要求子公司合规”等。
- 善用免费咨询资源：香港部分资助计划本身附带一对一咨询名额，主动使用这些资源也能在评审侧留下正面印象。
六、写在最后
网络安全资助不是”申报完就结束”，而是企业建立安全治理能力的契机。评审委员最在意的从来不是申请文字多漂亮，而是企业有没有能力把资助款项转化为可衡量的安全改进。把自评清单当作起点，先从最薄弱的一两项开始行动，三个月后再回头审视，往往能明显看到成熟度的提升。
具体的资助计划入口、申请资格、金额上限与审批周期，每年都会更新，本文不就具体数字下定论，请以官方最新公布为准。如需了解更多关于香港营商、签证、税务与各类政府资助的实务指南，可持续关注 香港大全。
常见问答
香港网络安全资助计划一般覆盖哪些费用项目？中小企业可以申请吗？
文章提到，资助金额由数万到数百万港元不等，覆盖咨询服务、设备采购、员工培训甚至事故应急等多个环节。文章明确将中小企业（SME）作为重点服务对象，并指出由于资源有限，它们往往是攻击者的首选目标。具体哪些企业符合资格、资助上限多少，则需以官方最新公布为准。
申请网络安全资助，评审最看重什么？只看买了多少设备吗？
文章反复强调，评审看的不是企业买过多少设备，而是企业是否具备一套”可持续、可验证、可落地”的安全治理体系。评审围绕风险识别、治理结构、技术防护、人员意识、持续改进五大维度展开，并且每个维度下都有可对照的客观证据要求，例如文档、会议纪要、采购记录、演练截图等。各维度具体权重以官方最新公布为准。
内地中小企业赴港设立公司后，是否也适用这些网络安全资助？
文章面向的是香港的中小企业，并未针对内地背景企业作单独说明，因此文章本身没有给出针对”内地企业赴港”情形的具体资格结论。如需确认设立未满一定年限、注册资本规模或股东背景是否符合资格，建议查阅官方申请资格页面，或以官方最新公布为准。
我们公司已经买了防火墙和备份，还需要补什么才能符合评审标准？
文章指出，只买设备但忘记记录开通日期、维护周期与负责人，评审同样会扣分。此外，评审还会考察是否有书面的事件响应计划、是否启用多因素认证、是否对备份进行过恢复演练、是否覆盖第三方供应商风险等。文章建议对照”治理与政策、风险与资产、技术控制、人员与意识、持续改进”五类清单逐项打分，凡是勾选”部分”或”否”的项，应优先补足再递交。
自评清单里”持续改进”那部分，是不是意味着申请通过后还要长期投入？
文章明确表示，资助的本质是帮助企业提升，而非一次性补贴。评审会留意企业是否有漏洞扫描、渗透测试、事件复盘、威胁情报订阅、安全改进 Backlog 等机制。文章建议把自评清单当作起点，先从最薄弱的一两项开始行动，三个月后再回头审视成熟度的变化。具体的复评周期与后续要求，以官方最新公布为准。