了解香港電子報稅平台的保安功能

返回頂部

引言

在網絡安全威脅日益複雜的時代，香港稅務局（IRD）已為其電子報稅平台「稅務易」（eTAX）建立了全面的保安架構。隨著香港持續推進數碼轉型，保障納稅人數據至關重要。「稅務易」系統作為香港數碼政府服務的基石，每年為數以百萬計的納稅人處理敏感的財務資料。

本文深入探討保障香港數碼報稅生態系統的保安功能、協定及合規措施。從身分驗證機制到數據加密標準，我們將探討稅務局如何在整個報稅過程中，確保納稅人資料保持機密、準確和安全。

返回頂部

香港數碼稅務平台的演進

「稅務易」平台自推出以來經歷了重大變革。2024 年底及 2025 年初推出的最新更新使平台更方便易用、安全且功能全面。2025 年的入門網站現已全面支援流動裝置自適應介面，並支援透過「智方便」/「智方便+」登入，讓納稅人在維持嚴格保安標準的同時，能夠在流動裝置上便捷地提交報稅表。

2025 年 7 月 21 日迎來了一個重要里程碑，個人稅務入門網站（ITP）正式取代了傳統的「稅務易」帳戶系統。此轉變代表著香港納稅人存取數碼稅務服務方式的根本改變，整個平台均整合了更強大的保安功能。在此日期前已擁有「稅務易」帳戶的個人人士，可繼續使用其納稅人識別號碼（TIN）及密碼登入 ITP，確保順利過渡且不影響現有用戶。

返回頂部

身分驗證與存取控制

整合「智方便」及「智方便+」

於 2020 年 12 月推出的「智方便」平台，是政府的一站式個人化數碼服務平台。截至 2024 年 12 月，該平台已累積超過 310 萬名登記用戶，並可存取約 460 項政府、公營及私營機構的網上服務。「智方便」與「稅務易」系統的整合，標誌著納稅人身分驗證保安方面的重大進展。

該平台提供兩個不同版本，各自具備不同的功能級別：

「智方便+」提供的數碼簽署功能對稅務合規尤為重要。稅務局積極鼓勵納稅人使用「智方便」登入並為其報稅表進行數碼簽署，在省卻親筆簽署的同時，維持具法律約束力的認證。這項數碼簽署功能採用密碼學技術，確保「不可否認性」，即納稅人日後無法否認曾提交該報稅表。

多種身份認證方式

考慮到用戶對科技的接受程度和偏好各有不同，「稅務易」平台提供了三種不同的身份認證方式：

• 「智方便」/「智方便+」：用戶無需輸入稅務編號或密碼即可無縫登入，使用流動裝置進行生物特徵或 PIN 碼認證
• 稅務編號 + 密碼：使用稅務編號及用戶自設密碼的傳統登入方式
• 數碼證書：由認可核證機構發出的個人數碼證書，提供基於公開密碼匙基礎建設（PKI）的認證

這種多元模式在維持符合每種認證方式固有強度的安全標準之同時，確保了服務的普及與便利性。

「智方便」4.0 功能提升（2024年12月）

政府於 2024 年 12 月推出「智方便」4.0，大幅提升用戶體驗及無障礙使用便利性。更新後的介面設有主題頁面及精選服務頁面，並顯著展示「稅務易」、非觸式 e-道及 SmartPLAY 康體通等常用服務，以便用戶直接使用。

特別值得一提的是新增的「簡易」模式，專為方便長者及有特定無障礙需求的用戶更便捷地使用應用程式而設。這種共融設計方針確保香港各階層市民無論科技熟練程度或身體限制如何，均可使用數碼稅務服務。

返回頂部

數據加密與傳輸安全

TLS/SSL 加密標準

用戶與「稅務易」平台之間傳輸的所有數據均採用傳輸層安全性協定（TLS）加密保護。TLS 是較舊的安全通訊協定（SSL）的後繼版本，與其前身相比，TLS 提供更強的安全性和加密能力，針對現代網絡威脅提供更完善的防護。

官方「稅務易」平台僅可透過已核實的渠道登入。我們強烈建議用戶僅經由「香港政府一站通」或稅務局官方網站登入系統，或直接在瀏覽器地址列輸入網址 https://www.gov.hk/etax。此指引有助防止網絡釣魚攻擊，並確保用戶連線至合法平台。

資料交換的高級加密技術

稅務局於 2024 年 11 月在「自動交換資料」(AEOI) 網站推出了更新版本的加密工具。申報財務機構現須使用此增強版本對資料檔案進行加密，體現了稅務局致力緊貼密碼學最佳實踐的承諾。

加密協定確保敏感的財務資料在整個生命週期中（從最初傳輸到儲存及最終歸檔）均受到保護。即使資料在傳輸過程中被攔截，加密技術亦會使其無法被未授權方讀取。

連線階段安全與逾時協定

「稅務易」平台實施了自動連線階段逾時機制，以防止用戶在無人看管裝置時遭受未授權存取。儘管出於安全考量未有公開具體的逾時時限，但系統設計旨在於用戶便利與安全要求之間取得平衡。

當連線階段逾時，用戶必須重新進行身分驗證方可繼續操作，從而防止用戶忘記登出時可能發生的未授權存取。當從公共終端機或共用電腦存取平台時，此功能尤為重要，儘管稅務局明確建議切勿在此類地點進行稅務交易。

返回頂部

法律及法規遵循

遵守《個人資料（私隱）條例》(PDPO)

《個人資料（私隱）條例》於 1995 年頒布，並自 1996 年 12 月起生效，是亞洲實施時間最長的全面數據保障法律之一。「稅務易」平台在完全符合《個人資料（私隱）條例》的規範下運作，該條例同時適用於私營及公營機構，並具備技術中立及以原則為本的特點。

《個人資料（私隱）條例》以六項核心保障資料原則為基礎，規管稅務局如何處理納稅人資料：

稅法下的豁免

《個人資料（私隱）條例》提供了與稅務管理相關的特定豁免。當使用個人資料是根據法律或法庭命令所規定或授權，或為在香港行使或維護法律權利所必需時，部分合規要求可獲豁免。這使稅務局能夠履行《稅務條例》下的法定責任，同時在最大程度上尊重私隱權利。

未來監管發展

在2024年2月19日舉行的立法會政制事務委員會會議上，私隱專員報告個人資料私隱專員公署正與政府合作檢討《個人資料（私隱）條例》，以加強香港的個人資料保障。建議的修訂包括引入強制性資料外洩通報機制、要求企業制定資料保留政策，以及設立行政罰款。

然而，由於擔心可能對小型或微型企業造成經濟壓力，這些修訂已被暫緩。政府正考慮以分階段方式引入有關修訂，以減低對本地企業的影響。落實後，這些變更將進一步提升「稅務易」用戶所享有的私隱保障。

返回頂部

機構保安架構

多層次保安管治

稅務局已建立全面的保安管治框架，其範圍不僅限於單純的技術控制。該局完全遵守政府既定的保安規例和指引，以及數據保障方面的國際最佳實踐。除了基本合規之外，稅務局亦實施了健全的自我監控機制，以及資訊科技保安管理的持續改進流程，確保能適應瞬息萬變的網絡保安環境。

獨立保安審查及審計

稅務局的系統定期接受多個持份者的嚴格審查，以確保獲得全面的保安保障：

• 數字政策辦公室（DPO）：監督數碼管治及保安政策的合規情況
• 網絡安全及科技罪案調查科（CSTCB）：隸屬香港警務處，CSTCB 定期就稅務局系統可能面臨的潛在網絡安全威脅提供資訊，並協助部署充分的防護措施以降低風險
• 審計署：進行獨立審查，確保系統穩健且保安控制措施行之有效
• 獨立保安專業人員：聘請外部保安評估及審計專業人員，從客觀角度識別漏洞並提出改善建議

政府部門與獨立專家之間的通力合作，確保稅務局能時刻保持警惕，並主動應對新興風險。數字政策辦公室及 CSTCB 發揮尤為關鍵的作用，定期監察威脅態勢，並針對政府系統特有的潛在漏洞提供預警。

與國際標準接軌

作為國際社會的一員及全球金融中心，香港恪守由經濟合作與發展組織（OECD）等具影響力的國際組織所制定的全球標準。稅務局致力確保其政策與實務運作符合該等國際框架，尤其在數據安全及司法管轄區之間的信息交換等範疇。這種銜接加強了稅務局的公信力，並確保其具備充分能力，在日益緊密聯繫的全球經濟中應對跨境數據保護的挑戰。

返回頂部

審計追蹤與交易日誌記錄

全面活動追蹤

「稅務易」平台為所有提交項目及交易保存完整的審計追蹤記錄。系統內執行的每項操作均會連同相關元數據一併記錄，包括時間戳記、用戶識別身分、IP 地址及交易詳情。這項全面的日誌記錄具備多重用途：

• 問責性：確保所有操作均可追溯至特定用戶，防止未經授權的修改，並為任何違規行為的調查提供支援
• 不可否認性：建立無可爭辯的記錄，令用戶日後無法否認曾執行特定操作或提交特定報稅表
• 欺詐偵測：能夠識別可能顯示欺詐行為的異常模式或可疑活動
• 合規核實：提供證據證明稅務局與納稅人均已履行《稅務條例》規定的各自責任
• 爭議解決：提供權威記錄，以解決有關提交時間、內容或真實性的爭議

整合「香港政府一站通」進行交易授權

對於已將「我的政府一通」帳戶與「稅務易」服務連結的用戶，經稅務局局長批准，可以使用「我的政府一通」帳戶密碼作為授權及簽署透過「稅務易」提交交易的方式。此整合在保持統一政府服務平台便利性的同時，亦提供了額外的驗證保障。

返回頂部

紀錄保存與數據管理

七年紀錄保存規定

《稅務條例》第51C條規定，凡在香港經營業務的人士，須就其收支備存紀錄不少於七年。此項規定涵蓋所有與稅務相關的文件及紀錄，不論是以實體或電子形式保存。

《稅務條例》規定在香港經營任何行業、專業或業務的人士，須就該等紀錄所關乎的交易、作為或業務運作完成後，保留足夠的紀錄不少於7年，以便能隨時確定其應評稅利潤。這項全面的紀錄保存要求，確保稅務局在進行稅務審核時能夠獲取所需資料，以作出準確的稅務評稅。

虧損結轉的延長保存期

七年規定對有稅務虧損的企業具有重要影響。在香港的稅制下，企業的虧損可以用作抵銷未來年度的利潤，且沒有時間限制。如果企業在某課稅年度有應評稅利潤，但在扣除以往年度結轉的虧損後整體仍處於虧損狀態，則該企業在該特定年度無須繳稅，直至有關虧損被全數抵銷為止。

因此，納稅人應保留相關課稅年度的業務紀錄，直至該等虧損被全數抵銷的年度結束後的七年為止。所以，在某些情況下，保存紀錄的時間可能會遠遠超過基本的七年規定。

電子紀錄保存

因應現代數碼化業務運作的實際情況，企業獲准使用電子紀錄保存系統。然而，支票存根、發票、銀行存款單及結單等原始文件仍須予以保留，以佐證各項收支。

電子紀錄在規定的保存期內必須保持清晰可讀、可供檢索及完整無缺。因此，紀錄須以 PDF 或 XML 等穩定格式儲存，並使用在審計或查核期間有需要時能提取完整副本的平台。以 CD-ROM、DVD-ROM 或 USB 儲存裝置保存原始文件的影像，可作為保留實體文件的替代方案，前提是該等影像符合清晰可讀及可供檢索的規定。

不合規的罰則

若無合理解釋而未能遵守紀錄保存規定，最高可被處以罰款 100,000 港元。此外，若在稅務審查或調查期間無法出示相關文件，稅務局或會否決某些扣除項目，或重新評估稅務責任，從而可能導致更沉重的稅務負擔。

若缺乏充足的紀錄，稅務局或會根據這些紀錄以外的其他替代基準來評稅。舉例而言，這些替代基準可根據納稅人的資產價值變動、銀行存款或同類業務的概況而定。此類替代評稅往往對納稅人不利，因此妥善保存紀錄不僅是一項法律責任，更是財務上的必要之舉。

返回頂部

用戶保安最佳做法

稅務局建議的保安措施

雖然「稅務易」平台實施了廣泛的保安監控措施，但用戶的行為仍是整體保安中至關重要的一環。稅務局提供全面的指引，以協助用戶保障其帳戶及數據安全：

• 密碼安全：切勿使用容易被猜中的字元（例如你的出生日期或香港身份證號碼）作為密碼，並應定期更改密碼
• 存取點安全：避免使用公用終端機進行交易，以防遭受潛在的鍵盤記錄或窺看攻擊
• 端點保護：在電腦上安裝合適的防火牆、防病毒軟件及防間諜軟件，並定期進行更新
• 保密原則：切勿向任何人透露你的密碼，包括自稱是稅務局職員的人士（真正的稅務局職員絕不會向你索取密碼）
• 僅限官方途徑存取：只透過「香港政府一站通」或稅務局官方網站存取「稅務易」系統，或直接在瀏覽器地址列輸入網址 https://www.gov.hk/etax

系統兼容性及保安

為確保「稅務易」系統運作順暢及交易高度安全，建議用戶使用「香港政府一站通網上服務的系統需求」網頁內所列出經測試的作業系統及瀏覽器組合。雖然系統設計旨在配合市場上常見的作業系統和瀏覽器運作，但使用經核實的配置可確保最佳的保安及功能表現。

提防欺詐通訊

稅務局一直積極提醒公眾提防假冒該局發出的欺詐電郵。於2024年11月，稅務局曾呼籲市民提高警惕，留意聲稱將對收件人進行稅務審查，並誘騙收件人點擊超連結下載附有病毒文件的欺詐電郵。稅務局強調與這些欺詐電郵絕無任何關係。

納稅人應對任何聲稱由稅務局發出且未經預期的通訊保持警惕，尤其是符合以下特徵的通訊：

• 要求立即採取行動或威脅處以罰款
• 索取密碼、信用卡資料或銀行帳戶詳情
• 包含可疑連結或附件
• 發件人電郵地址與稅務局官方域名不符

如有疑問，納稅人應直接透過稅務局網站上列出的官方渠道聯絡稅務局，切勿回覆任何可疑訊息。

返回頂部

未來保安強化措施

人工智能與個人資料保障

2024年6月11日，個人資料私隱專員公署（私隱專員公署）發布了《人工智能：個人資料保障模範框架》。這是私隱專員公署首份針對採購、實施及使用人工智能系統的機構，就其遵守《個人資料（私隱）條例》（PDPO）所提供的指引文件。

隨著稅務局持續推進系統現代化，在整合人工智能技術以進行欺詐偵測、風險評估及提升服務時，必須與私隱保障要求取得平衡。該框架為負責任地實施人工智能提供了路線圖，在推動創新的同時保障納稅人的資料安全。

關鍵基礎設施保護

政府於2024年12月公布了《保障關鍵基礎設施（電腦系統）條例草案》。該條例草案旨在保護關鍵基礎設施，包括若發生資料洩漏事故時，會對維持香港關鍵社會或經濟活動造成重大影響的基礎設施。

根據條例草案，關鍵基礎設施營運者須實施網絡安全管理計劃並進行保安風險評估。鑑於徵收稅款對政府財政及經濟穩定至關重要，「稅務易」平台日後或須根據此法例遵守更高的保安要求，進一步增強其抵禦網絡威脅的防禦能力。

保安架構持續演進

稅務局透過定期更新平台並採用最新的最佳實踐，展現出持續提升安全性的堅定承諾。該局的安全策略並非一成不變，而是因應不斷變化的威脅環境、技術進步以及用戶需求而不斷演進。

展望未來，我們可以預期在以下範疇將持續有所改善：

• 在現有「智方便」功能的基礎上，提供更多進階的生物特徵認證選項
• 運用機器學習與行為分析技術進行先進威脅偵測
• 改善用戶體驗，在安全性與便利性之間取得平衡
• 在確保數據保障的同時，進一步與國際稅務資訊交換系統整合
• 隨著密碼技術進步，採用最新的加密標準

返回頂部

結論

香港的「稅務易」平台代表了一套兼顧易用性、功能與安全性的全面安全數碼稅務管理方案。透過整合「智方便」/「智方便+」等先進認證機制、穩健的加密協定、嚴格遵守《個人資料（私隱）條例》以及全面的審計追蹤，稅務局為數以百萬計的納稅人建立了一個值得信賴的履行稅務責任環境。

該平台的安全架構不僅限於技術層面，更涵蓋機構管治、定期獨立審計、與國際標準接軌以及持續的用戶教育。保留七年紀錄的要求確保歷史數據可用於合法用途，同時恪守私隱原則。

隨著香港持續推進數碼轉型，「稅務易」平台成為典範，展示了政府服務如何善用科技提升效率與便利，同時維持數據保護和安全的最高標準。根據新興威脅與最佳實踐而不斷演進的安全措施，確保納稅人的數據在日益複雜的網絡安全環境中始終受到保護。

對納稅人而言，了解這些保安功能不僅能增強使用數碼平台的信心，亦凸顯了他們透過遵循最佳常規以維護安全的重要角色。稅務局的技術管控措施與用戶具備保安意識的行為相輔相成，共同構建一個穩健的生態系統，以保護香港的稅務行政基礎設施及其所處理的敏感資料。

資料來源：

• 香港「稅務易」指南 - Fastlane Global
• 「智方便」- 數字政策辦公室
• 智方便 - 主頁
• 「智方便」4.0 推出 - news.gov.hk
• 開立個人稅務門戶網站（ITP）帳戶 - 跨境公共服務
• 香港：自動交換資料（AEOI）門戶網站更新加密工具 - 畢馬威
• 專訪稅務局局長陳施維 - 香港律師