近日，一份以政府首席秘书署名义发出的通告，要求公务员停止使用导航应用程序Waze，并立即落实相关禁令，引起社会对国家数码安全的关注。
随著政府服务、商业活动及日常生活日益依赖数码平台，个人行踪、通讯记录与云端资料的数码安全，确实不容忽视。
无可否认，导航软件并非单纯提供路线指引的工具。这些应用程序可能收集定位、行程及设备相关资料。长期累积的位置数据，理论上可能揭示特定人员的活动规律、敏感设施的出入模式，甚至反映某些公务活动的时间与路线。
值得讨论的是，政府是根据什么标准判断哪些应用程序可以使用，哪些必须受到限制？
如果政府是基于数据安全风险限制Waze，就有必要进一步说明，相关风险究竟来自哪里，以及为何现有措施不足以应对。毕竟，谷歌地图（Google Maps）等其他导航应用同样涉及定位数据，若政府认为Waze存在特殊风险，就应提出相应的评估依据，解释限制该应用的必要性。
与此同时，政府鼓励使用TuJu，也为本土数码科技发展提供了机会。作为与大马大道局合作推动的本土导航应用，TuJu提供高速公路交通、收费站及休息站等相关资讯，有助于发展更贴近本地道路环境的数码服务。
然而，本土开发并不自动等于绝对安全，应用程序的价值最终仍取决于导航准确度、交通资讯的及时性、系统稳定性、隐私保护及用户体验。
政府可以鼓励民众使用TuJu，但也应通过实际测试、持续改善与独立安全评估，证明它能够满足不同用户的需要。
更深一层的问题，是马来西亚的数码安全不能只聚焦于导航软件。公务员日常使用的数码工具还包括电子邮件、即时通讯、云端储存及办公协作平台。
风险
这些服务可能涉及政府文件、会议记录、工作通讯及其他敏感资料。谷歌地图、Microsoft 365、WhatsApp及海外云端服务所处理的数据类型各不相同，风险也不能一概而论。
即使资料储存在马来西亚，也不代表海外服务商必然无法接触相关数据；反过来说，外国企业提供的服务也不代表必然危险。
因此，与其逐一禁止个别应用程序，政府更需要建立统一、透明且以风险为依据的数码安全标准。
首先，政府应根据数据敏感程度、应用程序权限及潜在影响，对不同平台进行系统性的安全评估。
其次，应明确规定政府资料的储存方式、保留期限、第三方共享及存取权限，并定期进行网络安全审查。
第三，对于涉及机密资料或关键基础设施的公务活动，政府可以采取更严格的限制。
最后，有关政策也应有清楚的执行指引，让各部门知道哪些应用可以使用、哪些资料不能上传，以及发生安全事故时应如何处理。
归根结底，此项禁令是我们检视数码安全政策的一个契机，但不应成为讨论的终点。
最重要的是，政府能否根据明确的风险评估制定合理的限制措施，并以一致的标准管理各种数码服务。
本文观点，不代表《东方日报》立场。
