怎样保护官方账户、身份资料和隐私？

一起设置登录、备援与恢复方式，识别资料收集用途，并找到适用的隐私投诉入口。

保护账户要同时照顾密码、第二项验证和失去验证工具后的恢复方式。每个重要账户使用独立凭据，开启可用的多因素认证，并在换电话或停用旧设备前安排备援。隐私方面，先确认谁收集什么、用来做什么，再判断适用的法律和投诉机构；政府服务与商业应用并不是同一个隐私制度。Get Cyber Safe账户安全、OPC加拿大隐私法分工

登录工具和政府服务不是同一件事

一项服务可能允许用自己的用户名、银行登录伙伴或省级凭据进入；失去凭据，应找管理该凭据的机构。以CRA为例，银行伙伴的用户名／密码由金融机构管理，省级伙伴凭据由相应省级伙伴管理；CRA自己的用户名／密码及账户内安全设置另有入口。CRA账户安全设置与登录方式

可以记一份账户清单：服务名称、自己使用的登录方式、官方网址、已设的验证与备援方式、恢复入口。清单不需要记录密码、验证码或完整SIN。办理地址变化还要逐机构更新，不能因为几个服务都在Canada.ca，就认为资料已经自动同步。迁居与地址更新

密码、第二因素与备援一起维护

不同账户使用独立、复杂的密码或密码短语，避免一个凭据泄漏后牵连多个账户。密码管理器可帮助保存不同账户凭据；选择时看是否支持多因素认证、弱密码／重复密码提醒，以及设备兼容，并保护管理器本身的主密码。Get Cyber Safe独立凭据建议、密码管理器指引

多因素认证（multi-factor authentication，MFA）在登录中增加验证环节，例如用手机、硬件或生物特征辅助验证。它增加保护，也让备援与恢复变得必要；不要把所有设备或机构支持的方式想成一样。Get Cyber Safe MFA说明

CRA实例：换号码前先检查设置

CRA账户帮助列有三种MFA方式：第三方认证应用、可保存／打印的passcode grid（验证码网格），以及接收短信或语音电话的号码。认证应用或网格不需要靠电话接收验证码；电话方式的号码及服务有适用范围，海外号码不能一概假定可用。CRA MFA方式及限制

对使用CRA用户名或银行登录伙伴的读者，可以按官方帮助这样检查：

从自己保存的官方入口登录，在Welcome页进入Security settings → Multi-factor authentication。
查看所登记的方式，增加仍能使用的备援，或更新电话号码。验证码网格须妥善保存；认证应用也要考虑换机后怎样继续使用。
根据页面指示完成设置；在停用旧号码或设备前确认新方式可用。以后号码丢失或收不到验证码，优先使用已经登记的其他方式。
所有登记方式都无法使用时，通过官方CRA联系方式请求恢复，按客服要求核实身份；不要持续猜验证码或把账号另交他人尝试。省级伙伴登录者的设置位置可能不同，按相应凭据帮助办理。

CRA MFA设置／收不到验证码帮助、不同登录方式的设置边界

CRA公布过真实的备援MFA门户示例，提供Authenticator app、Passcode grid与Set up a backup option later三个选项，可帮助识别这些字段。具体提示和是否可跳过，应按自己的当次账户页面与官方帮助确认；主动备援能减少丢失主要方式后的恢复困难。官方门户示例说明

收到登录提醒或验证码，先确认来源

不要向打来电话或发短信索要验证码的人提供代码。CRA明确不会打电话向你索要一次性验证码；若是你自己通过官方渠道致电CRA，身份核实过程可能允许你把代码提供给其语音系统或服务代表。来电索要与主动致电核实是不同情境。CRA验证码安全规则

以下为教学虚构的可疑消息：

Your account will be closed today. Reply with your password and verification code. 今天将关闭账户，请回复密码和验证码。

不要沿消息中的联系方式核实。另行打开已知官方入口或使用官网公布的联系方式，查看账户状态并询问机构。语言流畅、看起来像官方的图标或发件人名称，不能代替独立核实。Get Cyber Safe钓鱼消息说明、冒充机构与诈骗核实

给资料前，确认用途和管辖机构

隐私政策（privacy policy）可用来查：收集哪些资料、用途与共享对象、保留方式、保护措施、能否查阅／更正，以及负责人的联系方式。某个表格问更多资料时，可先问与服务有什么关系，区分必需字段和自愿用途；不要假设所有资料收集都必须以同一形式征得同意。OPC隐私政策识读

涉及的机构	先确认的制度和入口
联邦政府机构	Privacy Act处理其记录中的个人资料；先找该机构的Access to Information and Privacy（ATIP）协调员。
商业组织	查PIPEDA或适用的省级商业隐私法。AB、BC、QC有相应省法；联邦监管企业及商业资料跨省／跨国流动，仍须核实PIPEDA适用。
省／地区／市政府、学校、医疗等	查相应地方或行业制度及负责人，不能直接把联邦政府规则搬过去。

OPC隐私法分工、联邦政府与个人资料

认为资料被错误收集、使用或披露时，先向组织的隐私负责人说明日期、资料类别、问题和希望得到的答复，保留通信。联邦政府问题找ATIP，企业找privacy officer；仍未解决，再按适用法找隐私主管。OPC说明省、地区和市级政府问题不属于其管辖，可用其分流工具寻找正确机构。OPC提出隐私问题与分流

无法完成数字办理时，先问负责服务的机构是否有电话、纸本、现场或正式代表授权渠道，确认该事务的期限仍怎样计算。家人协助可以用于准备资料；需要代表办理时按授权流程确认，避免直接交出本人登录凭据。SIN用途与保护