香港同時面臨兩大數位轉型逆風：多個公共機構的網絡安全評級偏低，引發對關鍵基礎設施與資料保護的憂慮；企業端則在人工智能（AI）採用上遠落於全球同業，僅約2%的本地組織被歸類為「領先者」，對比全球13%。資安風險與AI基礎設施落差疊加，或推高營運成本、融資溢價與保險費率，迫使企業與投資者重新計價風險。
一方面，外部網安評估對部分政府部門與政策局給出偏低分數，雖然當局強調外部評級基於公開資料、未能全面反映內部控管，但市場對「制度韌性」與事件披露機制的關注已升溫；加上本地首部反駭客法規對政府部門的豁免安排，引發治理與問責的討論。另一方面，跨產業受訪的資深IT與業務決策者顯示，香港企業在AI路線圖、資料基礎設施與安全能力上的準備度不足，形成所謂「AI基礎設施債」（由長期延宕升級、妥協架構與低估資安需求所累積）。
為何這對資本市場重要
- 融資成本：風險供應鏈評估正滲透至銀行授信與ESG掛鉤貸款條款。較低的網安成熟度與AI基建不足，可能導致更高的風險溢價。
- 保險承保：網路保險（cyber insurance）續保嚴格度提高，風險控管不足者保費上升或自負額提高，壓縮利潤率。
- 合規與披露：上市公司在資訊安全事件與AI治理的披露預期升級，董事會需證明「可解釋、可追蹤、可審計」的AI流程及資安控制。
- 營運韌性：供應商安全弱點可觸發連鎖停擺。香港作為區域樞紐，一旦關鍵系統受擾，聲譽與客戶流失成本高昂。
數據速覽
- AI「領先者」比例：香港約2%，全球約13%。
- 領先者特徵：幾乎全部擁有明確AI路線圖；更積極擴大AI投資、加碼資料中心容量，並強化資安防護與投資追蹤。
- 路線圖缺口：本地僅約三成公司具明確AI藍圖，反映治理與資本規劃仍在起步。
投資者關注清單（適用於港股與亞洲配置）
- 披露品質：企業是否公布AI與資安治理架構、事件通報流程、第三方稽核結果與年度改善KPI。
- 資本開支方向：資料平台、算力與網安之CapEx占比是否提升；與業務成長指標的關聯度。
- 供應鏈韌性：關鍵供應商是否通過安全評級與合規審查，是否具備零信任架構與異地備援。
- 人才結構：數據科學、MLOps、威脅獵捕與合規法務的招募與留才計畫。
- 保險與事件歷史：保單條款、理賠紀錄與重大事件的平均復原時間（RTO）與資料恢復點（RPO）。
企業行動路線圖（12個月內）
- 治理先行：成立跨部門AI與資安委員會，董事會層級設KPI（如模型風險審核覆蓋率、重大弱點修補時效）。
- 數據底座：清查資料資產、分類與保留策略，建立數據目錄與權限分層，完善防洩露與主權合規。
- 架構升級：優先投資身份與存取管理、零信任網段隔離、備援與可觀測性；規劃混合雲與邊緣算力。
- 安全左移：在AI開發流程導入威脅建模、紅隊演練與模型治理（偏見審核、輸入輸出過濾、模型卡）。
- 量化回報：建立AI投資記分卡，追蹤生產力提升、事故減少與營收貢獻，為下一輪CapEx提供依據。
區域對比與機會
東南亞部分市場（如印尼、泰國）在AI採用上呈現「跨越式」機會，積極擴建資料中心與雲基礎。對資管機構而言，港股的數據中心、網安服務、IT基建與人才培訓供應鏈預期受惠於「補課型」資本開支。短期看，與AI與資安治理具體披露度高、現金流穩健的公司，有望獲得估值溢價。
時間線建議
- 未來90天：完成網安與AI治理差距評估，凍結高風險外掛與第三方介面，制定事件通報標準。
- 6個月：簽訂關鍵採購（身份存取、資料平台、可觀測性、模型治理工具），完成首輪紅隊演練。
- 12個月：AI與資安KPI納入董事會與薪酬機制；發布年度透明度報告，爭取保費與融資條件改善。
結論：網安評級壓力與AI準備度落後並非結構性宿命，但拖延將使「基礎設施債」複利化。對香港企業與決策者而言，現在是把資安與AI從成本中心轉為競爭優勢的關鍵窗口。