今屆DSE，考評局採用開發費用近九百萬港元的第二代公開考試支援系統，包括「監考易」及「報到易」，但系統甫登場便接連甩轆，需要改用人手點名。期後考評局宣布停用「監考易」，以免妨礙考試進行。
近日，網絡流傳一張相片，聲稱是「監考易」用戶界面顯示的錯誤，引起資訊安全專家關注，因為SQL查詢語句可能會暴露考評局在資訊安全方面的問題。
若相片顯示屬實，反映考評局的資料庫安全防護意識相當不足。相片中的SQL查詢語句可能暴露考評局的資料庫結構和查詢邏輯。如果這些信息落入不法之徒手中，他們可能利用這些信息進行SQL注入攻擊或其他惡意活動。由此看來，考評局有需要加強資料庫的安全防護措施，例如採用加密技術、設置訪問控制等等。
另外，考評局亦有需要做更嚴密的安全審計和監控。如果未對系統進行充分的安全審計和監控，就可能無法及時發現和響應SQL注入攻擊等安全事件的發生，從而增加安全風險。考評局需要建立完善的系統安全審計和監控體系，定期對系統進行安全檢查和評估，以及早發現和修復安全漏洞，別再在考試期間才來出事。
正確的做法是在設計系統時就考慮到這些異常情況，實現適當的錯誤捕獲、處理和用戶反饋機制，隱藏技術細節，僅向用戶呈現易於理解且不會泄露敏感信息的友好錯誤消息。在大多數情況下，當應用程序遇到錯誤時，向最終用戶提供詳細的錯誤消息並不是最佳做法，這些錯誤消息可能包含敏感信息，如數據庫連接詳細信息、服務器路徑、內部函數調用等，有可能會被黑客利用來進一步攻擊系統。
如果考評局在招標文件中明確要求承辦商在開發系統時採用API來分離前端和後端，將有助提高系統的安全性。API可以提供一個安全的接口，讓前端和後端之間的通信更加安全。然而如果考評局在招標文件中沒有明確要求，那麼這可能意味著系統在設計和開發過程中沒有充分考慮到安全性問題。
去年底，康文署智能康體服務預訂系統啟用首日，由於太多人同時登錄，超過了系統的承載能力，導致系統出現故障。而在區議會選舉期間，電子選民登記冊系統也一度「當機」，同樣是因為系統無法承受過多的訪問量。這些事件反映特區政府的系統在設計和開發過程中沒有做好承載力測試，最終導致系統無法承受過大的訪問量。
根據今次這個報錯畫面，我們可以推斷考評局在資訊安全方面的意識不高，未來需要採取有效措施加以解決，確保考試的公平性和公正性，保護考生的合法權益，同時也能夠提升公眾對考評局、對公共服務的公信力。
崔添偉(Timary Chui)
新民黨青年委員會副主席(發展及選舉)、社區發展主任，能源諮詢委員會委員，金融IT人，愛重型音樂，更愛服務社區。
email：[email protected]