企业动态

    2024年9月10日，《安全内参》和奇安信行业安全研究中心联合发布了《2024网络安全执法案例集》，旨在结合具体执法案例，帮助网络安全工作者、政企机构管理者加强网络安全合规建设与安全运营水平。

    本次报告收录的案例，主要来自《安全内参》收集整理的2023年-2024年6月底互联网公开信息，具体包括政府与事业单位、能源、交通运输、教育培训、医疗卫生、IT信息技术、生活服务等七个行业的典型网络安全执法案例31起。其中既包括行政处罚案例，也包括刑事案件，涉及数据安全事件的案例27起，涉及个人信息安全事件的案例14起，一案双查事件18起，涉及个人及黑产团伙犯罪事件10起，涉及内鬼作案或内部人员违规事件5起。

    报告采用了案例、法条、主体、责任相结合的分析方法，读者可以在了解案例基本信息的同时，快速把握相关事件所触犯的具体法条及社会影响。

    从公开的执法案例信息总结来看，政企机构遭到网络安全行政处罚的首要原因，是数据已泄露或存在重大数据泄露风险。涉事企业普遍存在未建立健全全流程数据安全管理制度、未组织开展数据安全教育培训、未采取相应的技术措施和其他必要措施、未对其数据处理活动开展风险监测等问题。

    造成涉事机构被处罚的主要原因是未履行必要的法律义务或安全建设与运维存在重大疏失。通常情况下，受处罚的不仅仅是涉事机构本身，其信息化主管人员或网络安全主要责任人个人，也会遭到不同程度的处罚。就本次报告收录的案例而言，经济处罚（即罚款）仍然是当前最为主要的行政处罚形式。

    此外，黑产团伙的犯罪活动不容小觑。本次报告收录的10起与网络犯罪活动相关的案例中，犯罪分子不仅会窃取相关机构的数据，还会开展篡改数据、操控系统、恶意抢号、盗刷医保卡等多种违法犯罪活动。被攻击的政企机构，在事后还很有可能会遭到“一案双查”——被攻击的政企机构如果存在显著的未履行网络安全相关法律义务的行为，同样会遭到公安机关的行政处罚。

    值得注意的是，内鬼作案问题突出。本次报告共收录4起内鬼作案案例和1起内部人员显著违规操作案例。内鬼的身份多种多样，有的内鬼是技术人员，有的内鬼是供应商或合作伙伴，还有的内鬼仅仅是医院的护工。

    《2024网络安全执法案例集》为未来的网络安全工作提供了宝贵的参考和启示，它提醒我们，网络安全不仅是技术问题，更是法律问题。遵守相关法律法规，加强合规建设，是每个组织和个人应尽的义务。