香港一年一度嘅網絡安全攻防演練又開波。「香港網絡安全攻防演練—以攻築防 2026」喺 10 月 29 日正式展開，51 隊藍隊對 23 隊紅隊，連續三日兩夜實戰 60 小時，直至 10 月 31 日星期六晚上先至完結。今年最大嘅變化只有一個，但好關鍵：首次邀請私營企業加入防守方，同政府部門、公共機構一齊落場捱打。
講到明先：呢次唔係真實攻擊，市民嘅系統唔會因為演練而受影響。紅隊嘅任務，係喺模擬網絡威脅環境下搵藍隊指定系統嘅漏洞，再測試藍隊嘅防禦反應同應變速度。換句話講，呢 60 個鐘就係一次有劇本、有對手、有計時嘅壓力測試，練嘅唔係紙上談兵，而係出事嗰陣邊個最快發現、邊個最快止血。
紅藍雙方點樣編制
藍隊一共 51 隊，來自 28 個政府部門，以及 23 間公共機構及私營企業嘅指定資訊系統。紅隊一共 23 隊，組成相當有睇頭：15 間經驗豐富嘅香港同內地網絡安全專業機構、4 間大專院校、由廣東省互聯網信息辦公室推薦嘅 3 支頂尖攻擊隊，仲有數字政策辦公室自己派出嘅 1 隊。換句話講，攻擊方唔止係本地班底，仲有粵港兩地交流同埋人才培訓嘅意味。
除咗紅藍兩邊，仲有 17 間具豐富攻防演練經驗嘅香港同內地網絡安全企業，為各藍隊提供技術支援；另外有超過 80 間機構嘅代表以觀察員身分到場，了解演練過程，為日後參與做準備。成個演練由數字政策辦公室牽頭，協辦單位包括保安局關鍵基礎設施（電腦系統安全）專員辦公室、香港警務處網絡安全及科技罪案調查科、香港互聯網註冊管理有限公司、數碼港、香港網絡安全專業協會同香港資訊科技學院。
點解今年要拉私企入嚟
創新科技及工業局局長孫東教授喺開幕典禮致辭時表示，特區政府堅持統籌發展同安全，要築牢防線，關鍵在於將防禦轉為實際行動，以「實兵」、「實網」、「實戰」嘅形式，檢測同提升參與部門及機構嘅防禦能力。官方嘅講法好直接：防禦體系寫得幾靚都無用，唔落場打過，根本唔知邊度會穿。
私企首次加入防守方，背後嘅邏輯好易明：今日好多市民每日用嘅服務，背後都係政府系統同私營系統互相接駁，攻擊者邊度弱就打邊度。以前演練只限政府同公共機構，今年將私企拉埋入嚟，先至接近真實世界嘅攻防面貌。官方亦將演練定位為配合《香港第一個五年規劃》及 2026 年《施政報告》嘅網絡安全方向。
對香港市民有咩實際影響
最實際嘅影響，短期內市民係感覺唔到嘅。演練用嘅係指定系統，唔會影響日常服務，亦唔會有市民資料喺演練入面被公開。但長遠嚟講，呢啲演練正正就係為咗減少「出事先至發現頂唔住」嘅情況。政府網上服務、公共機構系統一旦喺真實攻擊下失守，影響嘅唔止係某個部門，而係成班市民嘅日常生活。肯花 60 個鐘去做實戰演練，總好過出事之後先至開記者會解釋。
不過有幾點要講清楚，唔好過分解讀。第一，演練結果暫時未公布，邊啲系統表現好、邊啲有漏洞，官方暫時無交代，外界無從判斷今年嘅防禦水平到底去到邊。第二，演練始終係模擬環境，就算紅隊幾勁，都唔等於真實攻擊嘅全部手法；真正嘅攻擊者唔會跟劇本，唔會限時 60 小時。第三，參與系統嘅完整名單無公開，市民無辦法知道自己常用嘅服務有無喺今次演練入面受測。所以呢篇文講嘅，係演練嘅規模同制度變化，而唔係香港網絡安全已經「搞掂」嘅保證。
唔好同 7 月嗰次演練撈亂
值得提一提，香港今年 7 月亦搞過一次跨部門網絡安全演練，由警務處網罪科同數字辦合辦，約 350 名代表參與。今次 10 月底嘅攻防演練係另一回事：一年一度、連續第三年舉辦，紅藍對抗形式更完整，仲首次納入私企，唔好當成同一件事。
講到底，網絡安全呢啲嘢，平時無人會留意，出事嗰陣就人人鬧。肯每年花幾日時間，搵真人真隊伍嚟攻、嚟守，仲肯將私企拉入嚟一齊捱打，方向係啱嘅。真正要追嘅後續只有一個：演練完結之後，官方會唔會公開講下有咩教訓、有咩要改。如果年年都只係公布「順利舉行」，而唔講邊度穿過、點樣補返，咁演練嘅價值就會打折扣。呢一點，值得喺 10 月 31 日演練結束之後繼續留意。
資料來源
- Bastille Post：Hong Kong Launches Cybersecurity Attack and Defence Drill 2026（轉載香港特區政府新聞公報）
- Now 新聞：第三屆香港網絡安全攻防演練 擴大至逾 70 政府部門及私企參與
- 都市日報 MetroHK：香港網絡安全攻防演練 2026 展開
