2023年10月9日，为贯彻落实《数据安全法》《工业和信息化领域数据安全管理办法（试行）》，指导地方行业主管部门、工业和信息化领域数据处理者规范开展风险评估工作，起草了《工业和信息化领域数据安全风险评估实施细则（试行）（征求意见稿）》。《工业和信息化领域数据安全风险评估实施细则（试行）（征求意见稿）》（以下简称《实施细则》），指导地方行业主管部门、工业和信息化领域数据处理者规范开展风险评估工作。有关情况说明如下：一、编制背景数据安全风险评估是做好重要数据和核心数据监管与保护工作的重要一环。《数据安全法》要求“重要数据的处理者应当按照规定对其数据处理活动定期开展风险评估”。《管理办法》提出了“工业和信息化领域重要数据和核心数据处理者应当自行或委托第三方评估机构，每年对其数据处理活动至少开展一次风险评估，及时整改风险问题，并向本地区行业监管部门报送风险评估报告”的具体细化要求。为进一步细化行业数据安全风险评估规则，规范风险评估活动，有效提升重要数据和核心数据保护水平，我们研究起草了《实施细则》。二、主要内容《实施细则》共十七条，确定了部省两级数据安全风险评估工作体系，细化了重要数据和核心数据处理者的评估义务，明确了行业主管部门监督管理评估活动的机制流程。主要内容包括：（一）关于适用范围及管理职责（第一至四条）。界定《实施细则》适用于工业和信息化领域重要数据、核心数据处理者对其数据处理活动的安全风险评估，明确工业和信息化部、地方行业监管部门的职责分工，并确立风险评估工作原则。（二）关于评估对象和内容（第五条）。明确评估对象为数据处理活动中涉及的目的和场景、管理体系、人员能力、技术工具、风险来源、安全影响等要素，并按照以上要素细化了具体评估内容。（三）关于评估机制要求（第六至十条）。提出了评估期限、重新申报评估的情形、可采取的评估方式，并对委托评估、评估协作、风险控制和评估报告报送等作出要求。（四）关于审核、监督和管理制度（第十一至十五条）。明确评估报告审核、评估机构认定、评估机构义务、监督检查、机构监管等要求，并提出建立支撑行业监管工作的第三方评估机构库。（五）关于保密等其他要求（第十六至十七条）。明确行业监管部门及委托支撑机构的工作人员的保密义务，提出涉及军事、国家秘密信息等数据处理活动参照有关规定执行。以下为实施细则全文工业和信息化领域数据安全风险评估实施细则（试行）（征求意见稿）第一条【目的依据】根据《中华人民共和国数据安全法》《中华人民共和国网络安全法》《工业和信息化领域数据安全管理办法（试行）》等法律法规、政策文件有关要求，引导工业和信息化领域数据处理者规范开展数据安全风险评估工作，提升数据安全管理水平，维护国家安全和发展利益，制定本细则。第二条【适用范围】本细则适用于中华人民共和国境内工业和信息化领域重要数据和核心数据处理者开展的数据安全风险评估活动。一般数据处理者可参照本细则开展数据安全风险评估。第三条【管理机构】工业和信息化部统一管理、监督和指导工业和信息化领域数据安全风险评估工作，组织开展相关评估标准制修订及推广应用。各省、自治区、直辖市及计划单列市、新疆生产建设兵团工业和信息化主管部门，各省、自治区、直辖市通信管理局和无线电管理机构（以下统称地方行业监管部门）依据职责分别负责监督管理本地区工业、电信、无线电重要数据和核心数据处理者开展数据安全风险评估工作。工业和信息化部及地方行业监管部门统称为行业监管部门。第四条【工作原则】重要数据和核心数据处理者按照及时、客观、有效的原则开展数据安全风险评估，形成真实、完整、准确的评估报告，并对评估结果负责。第五条【评估内容】重要数据和核心数据处理者按照国家法律法规、行业监管部门有关规定以及评估标准，对数据处理活动的目的和方式、业务场景、安全保障措施、风险影响等要素，开展数据安全风险评估，重点评估以下内容：（一）数据处理目的、方式、范围是否合法、正当、必要；（二）数据安全管理制度、流程策略的制定和落实情况；（三）数据安全组织架构、岗位配备和职责履行情况；（四）数据安全技术防护能力建设及应用情况；（五）数据处理活动相关人员的数据安全意识、知识技能、从业背景情况；（六）发生数据遭到篡改、破坏、泄露、丢失或者被非法获取、非法利用等安全事件，对国家安全、公共利益的影响范围、程度等风险；（七）涉及数据提供、委托处理、转移的，数据提供方、接收方的安全保障能力、诚信守法和责任义务约束情况；（八）涉及国家法律法规中规定需要申报的数据出境安全评估情形，履行数据出境安全评估要求落实情况；已通过国家有关部门组织的数据出境安全评估且在有效期内的，实际数据出境的规模、范围、种类、敏感程度等要素与申报事项的符合情况。第六条【评估期限】重要数据和核心数据处理者每年完成至少一次数据安全风险评估，并形成评估报告。数据安全风险评估结果有效期为一年，自评估报告首次出具之日起计算。在有效期内出现以下情形之一的，重要数据和核心数据处理者对发生变化及其影响的部分，重新开展数据安全风险评估，并更新评估报告：（一）拟新增跨主体提供、委托处理、转移重要数据或者核心数据的；（二）重要数据、核心数据安全状态发生变化对数据安全造成不利影响的，包括但不限于数据处理目的、方式、适用范围和安全制度策略等发生重大调整的；（三）发生涉及重要数据、核心数据的安全事件的；（四）行业监管部门要求进行评估的其他情形。第七条【评估方式】重要数据和核心数据处理者可以自行或者委托具有工业和信息化数据安全工作经验的第三方评估机构开展评估。评估过程应当建立至少包括组织管理、业务运营、技术保障、安全合规等人员的专业化评估团队，制定完备的评估工作方案，配备有效的技术评测工具。第八条【委托评估】重要数据和核心数据处理者委托第三方评估机构开展数据安全风险评估的，可以通过订立合同或者其他具有法律效力的文件，明确双方的权利和责任，向第三方评估机构提供必需的材料和条件，确保相关材料的真实性和完整性，并确认评估结果。第九条【风险控制】重要数据和核心数据处理者对评估中发现的数据安全风险隐患，及时采取适当措施消除或降低风险隐患。第十条【评估报送】重要数据和核心数据处理者在评估工作完成后的10个工作日内，向本地区行业监管部门报送或更新评估报告。中央企业督促指导所属企业履行属地数据安全风险评估及评估报告报送要求，并将梳理汇总的企业集团本部、所属公司的评估报告报送工业和信息化部。根据工作需要，地方行业监管部门将本地区本领域重要数据和核心数据处理者的评估报告报送工业和信息化部备案。第十一条【报告审核】行业监管部门根据管理需要，可以自行或委托专业机构对评估报告进行审核，发现不符合国家及行业有关规定和标准的，通知重要数据和核心数据处理者改正。涉及跨境提供、转移、委托处理重要数据和核心数据的，或者跨主体提供、转移、委托处理核心数据的，地方行业监管部门对评估报告审查后，报工业和信息化部。工业和信息化部按照国家有关规定进行复核。第十二条【评估机构认定】鼓励具有工业和信息化领域数据安全工作经验的认证机构开展第三方评估机构的能力认证。相关认证机构配备相应的人员和技术保障能力，建立第三方评估机构能力评定制度，明确第三方评估机构在管理体系、人员能力、工具设施、评估领域等方面的规范要求，跟踪管理第三方评估机构的服务质量，督促第三方评估机构独立、公正、客观、科学的开展数据安全风险评估工作。第十三条【评估机构义务】第三方评估机构应当履行下列义务：（一）对评估工作中知悉的国家秘密、重要数据和核心数据的目录与内容、商业秘密、个人隐私等严格保密；（二）严格按照国家法律法规、行业监管部门有关规定以及评估标准，公正、独立地开展评估并出具评估报告，全面、准确地反映重要数据和核心数据处理者的数据安全风险状况，提供务实有效的风险整改建议措施；（三）除重要数据和核心数据处理者明确同意或者法律、行政法规另有规定外，不得向其他组织或个人提供其收集掌握的技术保护措施、关键岗位人员和安全风险等相关信息。第十四条【监督检查】工业和信息化部根据技术能力、人员配备、信誉资质等情况，择优遴选通过能力评定的第三方评估机构，建立工业和信息化领域数据安全风险评估支撑机构库。地方行业监管部门可以参照建立本地区数据安全风险评估支撑机构库。行业监管部门根据工作需要，可以自行或委托数据安全风险评估支撑机构库中的机构，对重要数据和核心数据处理者的数据处理活动开展专项风险评估，或对重要数据和核心数据处理者的风险评估工作落实情况进行监督检查。重要数据和核心数据处理者对行业监管部门开展的专项风险评估及监督检查予以配合，并对评估发现的相关问题及时进行改正。第十五条【机构监管】行业监管部门对于违反国家认证认可相关规定的认证机构，将相关线索移交市场监督管理部门处理。行业监管部门对第三方评估机构的评估活动进行监督管理，对违反法律法规、未按行业规定和标准开展评估活动、未履行保密义务的第三方评估机构，视情按照规定权限和程序进行约谈、通报或指导相关认证机构撤销认证。第十六条【保密要求】行业监管部门及委托支撑机构的工作人员对在履行职责中知悉的国家秘密、商业秘密、个人信息、评估工作信息等，负有保密义务。第十七条【其他规定参照】涉及军事、国家秘密信息等数据处理活动，按照国家有关规定执行。点击“阅读全文”查看官方内容来源：工业和信息化部网络安全管理局

工业和信息化部近日印发通知，组织开展2023年工业和信息化领域数据安全典型案例遴选工作。将面向工业领域、电信和互联网领域组织开展数据安全典型案例遴选，按照技术先进、特点突出的原则，挖掘行业广泛认可、企业应用效果良好的案例，树立行业标杆、扩大产业影响，促进数据安全产品、应用和服务的示范推广，全面推动数据安全能力建设和创新发展。坚持“以点带面、点面结合”原则，将案例划分为“工业领域”“电信和互联网领域”进行征集，每个领域遴选“四方向、十类型”数据安全典型案例。四个方向具体包括：数据安全基础共性方向、数据安全监测分析方向、数据安全体系整体设计实施方向以及其他方向。关于组织开展2023年工业和信息化领域数据安全典型案例遴选工作的通知为贯彻落实《中华人民共和国数据安全法》及《工业和信息化部等十六部门关于促进数据安全产业发展的指导意见》，充分发挥典型案例在数据安全产业发展中的示范引领作用，切实增强工业和信息化领域数据安全保障水平，现组织开展2023年工业和信息化领域数据安全典型案例遴选工作。有关事项通知如下：PART1工作目标面向工业领域、电信和互联网领域组织开展数据安全典型案例遴选，按照技术先进、特点突出的原则，挖掘行业广泛认可、企业应用效果良好的案例，树立行业标杆、扩大产业影响，促进数据安全产品、应用和服务的示范推广，全面推动数据安全能力建设和创新发展。PART2工作组织工业和信息化部统筹推进案例遴选工作，组织开展形式审查、专业初审和专家评审，并协调解决案例遴选过程中的重点难点问题。各省、自治区、直辖市、计划单列市及新疆生产建设兵团工业和信息化主管部门，各省、自治区、直辖市通信管理局，以及有关中央企业（以下统称推荐单位）负责本地区、本企业数据安全典型案例的推荐及上报等工作。PART3申报要求1

Nearby也把超声波技术融入到现有的无线标准中。除了Android上的应用（如，美国联合航空公司和药品零售商CVS的娱乐和照片服务），Google

9月28日，国家互联网信息办公室发布了《规范和促进数据跨境流动规定（征求意见稿）》公开征求意见的通知，进一步规范和促进了数据的依法有序自由流动。《规定》中提到：第五条、预计一年内向境外提供不满1万人个人信息的，不需要申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。但是，基于个人同意向境外提供个人信息的，应当取得个人信息主体同意。第六条、预计一年内向境外提供1万人以上、不满100万人个人信息，与境外接收方订立个人信息出境标准合同并向省级网信部门备案或者通过个人信息保护认证的，可以不申报数据出境安全评估；向境外提供100万人以上个人信息的，应当申报数据出境安全评估。但是，基于个人同意向境外提供个人信息的，应当取得个人信息主体同意。规范和促进数据跨境流动规定（全文）（征求意见稿）

全球重大网络安全事件频发，勒索软件攻击、关键基础设施攻击、大规模数据泄露、地缘政治相关黑客攻击等网络犯罪威胁持续上升。同时，随着网络攻击的敏捷化和产业化，网络攻击成本在不断降低，攻击方式也更加先进，对国家安全造成严重威胁。本文按行业进行分类整理了7种类别对网络攻击事件进行回顾，其中2023年上半年攻击事件主要集中在医疗、交通、企业三方面。来源：由数据安全域综合整理，转载请注明01教育01、5月31日，希腊教育部遭受了该国历史上最严重的网络攻击，攻击旨在瘫痪希腊高中考试平台。希腊教育部表示，这次分布式拒绝服务（DDoS）攻击已经进入第二天，试图超过考试平台的运转负荷。来自114个国家的计算机共同发起攻击，导致高中考试中断和延迟，但未能使系统瘫痪。02、6月13日，德国知名大学卡尔斯鲁厄应用技术大学（HS

IBM最近发布了2023版本《云威胁形势报告》，报告由IBM

中国人民银行发布《金融信息系统网络安全风险评估规范》（GB/T

人民法院、人民检察院、公安机关要充分认识网络暴力的社会危害，坚持严惩立场，依法能动履职，为受害人提供有效法律救济，维护公民合法权益，维护公众安全感，维护网络秩序。《指导意见》中提到：依法惩治侵犯公民个人信息行为。组织“人肉搜索”，违法收集并向不特定多数人发布公民个人信息，情节严重，符合刑法第二百五十三条之一规定的，以侵犯公民个人信息罪定罪处罚；依照刑法和司法解释规定，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。依法惩治拒不履行信息网络安全管理义务行为。网络服务提供者对于所发现的有关网络暴力违法犯罪的信息不依法履行信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，致使违法信息大量传播或者有其他严重情节，符合刑法第二百八十六条之一规定的，以拒不履行信息网络安全管理义务罪定罪处罚；依照刑法和司法解释规定，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。指导意见全文最高人民法院

全国学生清算中心（NSC）是一家总部位于美国的非营利组织，为教育机构、雇主和其他组织提供教育验证和报告服务。该组织披露了一起数据泄露事件，影响了大约900所使用其服务的美国学校。此安全漏洞是由于对MOVEit托管文件传输（MFT）中的漏洞进行网络攻击所导致的。该攻击是在五月底针对全球组织的大规模MOVEit黑客攻击活动的结果。根据与加州总检察长办公室分享的数据泄露通知信中所述：“2023年5月31日，我们的第三方软件供应商Progress

近日，广东省通信管理局公开通报25款未按要求完成整改App。其中包含2家银行的应用，分别为珠海农商银行悦农e付商户助手、广东揭阳农村商业银行榕江e贷，均为微信小程序，且所涉问题均为“违规收集个人信息”。其中，广东揭阳农村商业银行榕江e贷微信小程序于2021年5月27日注册。据介绍，“榕江e贷”智能零售信贷平台，是满足客户合法消费或生产经营的个人贷款平台项目。而珠海农商银行悦农e付商户助手微信小程序则未能搜索到结果。据悉，依据《个人信息保护法》《网络安全法》等法律法规，按照工信部《关于进一步提升移动互联网应用服务能力的通知》等工作部署，广东省通信管理局持续开展App隐私合规和数据安全专项整治行动，近期共监测发现114款App存在侵害用户权益和安全隐患问题，发出《违法违规App处置通知》责令App运营者限期整改，并通知相关应用商店协助督促App运营者整改。截至通报之时，尚有25款App未完成整改，因此予以通报。被通报的App应在9月21日前完成整改并反馈工作。逾期不整改的，该管理局将依法依规采取下一步处置措施。今年以来有多家银行旗下App因侵害用户权益，被省级通信管理局通报。相关案例：7月，深圳南山宝生村镇银行旗下宝生创客贷微信小程序被广东省通信管理局通报。5月26日，山西银行App、晋商银行App、山西省农信社旗下的晋享生活App被山西省通信管理局通报。4月20日，兰州银行旗下2款App，兰州银行企业版App、兰州银行App被甘肃省通信管理局通报。3月31日，宁波鄞州农商行旗下的鄞州银行手机银行被浙江省通信管理局通报。另外，吉林银行App等应用则曾被工信部通报。来源：安知迅END往期推荐

全球新一轮科技革命和产业变革深入发展，数字经济、人工智能等新技术、新业态已经成为促进经济社会发展的新动能。推进人工智能、物联网、大数据等新一代信息技术与交通运输深度融合发展，是推动交通运输质量变革、效率变革、动力变革的新机遇，也是加快建设交通强国的重要任务。习近平总书记高度重视发展数字经济、智慧交通。李强总理在国务院第三次集体学习时强调“协同推进数字产业化和产业数字化，促进数字技术和实体经济深度融合”。交通运输部党组多次进行研究部署，李小鹏部长最近发表署名文章，强调“大力发展智慧交通，为交通当好中国式现代化的开路先锋持续注入新动能”。《意见》共八个部分、30项内容，主要包括总体要求2项、主要任务六方面22项、保障措施6项。主要任务即“六提升、五推动、一筑牢”，包括提升设计施工、养护业务、路网服务、政务服务、技术标准、基础支撑的数字化水平，推动智慧建造、智慧养护、智慧出行、智慧治理、标准升级，筑牢数字底座。PART1数据治理与数据安全《意见》提出构建农村公路数字化综合监管体系。应用建设期资料和相关数据资源，结合日常巡检和路况检测、数字扫描和快速建模等技术，逐步推进农村公路数字化，完善基础设施数据库、高质量发展评价体系和养护管理数字化系统，构建部省两级农村公路数字化综合监管体系，实现农村公路“一张图”管理。构建公路安全应急数字管控体系。利用公路数字模型，完善公路基础设施安全监测预警体系。加强自然灾害综合风险公路承灾体数据库动态更新，提升地质灾害易发路段安全预警保障能力。推动应急管理多元数据汇聚融合，构建“公路综合风险一张图”，强化风险辨识和智能感知能力，逐步实现重要通道灾害事故仿真推演、灾情研判、应急预案、辅助决策智能化。推动应急信息共享。构建智慧路网监测调度体系。探索路网运行大数据、人工智能、机器视觉及区块链、北斗、5G等技术深度融合应用，建立实时交通流数字模型和重点区域路网信息智能处理系统，为出行规划和路网调度提供精准服务。在优化完善部省站三级监测调度体系的基础上，构建现代公路交通物流保障网络，实现会商调度、快速协同，人享其行、物畅其流，为公众安全出行提供有力支撑。《意见》提出要提升公路政务服务数字化水平，推动智慧治理。建立健全市场主体数据库。优化公路从业单位和从业人员信息库，规范信用录入审核机制，推动资质、业绩、信用、人员等信息联动管理，促进数据互联互通共享，不断提升业务协同能力。提升“一网通管”监管能力。完善“互联网+监管”模式和部省两级公路市场监管系统，加强对市场主体市场行为的数字化监管，强化招投标及合同履约、转包、违法分包等市场分析、自动研判、智能预警能力，推动招投标及监管数字化。构建农民工实名制系统。加快数字治超、非现场执法站点规划部署及联网。提升“一网通办”的政务服务水平。完善“互联网+政务服务”模式，在国家综合交通运输信息平台框架下强化部省两级公路政务服务联动，完善公路相关许可网上办理流程，推进跨省大件运输并联许可“掌上办”。不断改进涉企服务和个人服务，及时发布涉企政策。以数字化推动审批监管制度重塑。以公路行业全链条数字化推动公路建设、养护、运行管理以及服务等流程再造、规则重塑、政策机制完善，促进公路审查、审批、监管制度变革，逐步构建适应数字公路的规则与政策体系。《意见》提出夯实智慧公路高质量发展基础，加快构建行业大数据应用和网络数据安全保障体系与生态。建设完善公路基础数据库。依托国家综合交通运输信息平台部省联动建设，整合公路领域各类既有重点业务信息系统，依托建设与养护数字化，逐步完善公路基础数据库，支撑国家综合交通运输信息平台调度指挥、运行监测、政务服务等功能，全面提升公路服务和管理数字化水平。全面推广公路大数据技术应用。强化公路大数据共建共享、深度融合应用，加快构建与完善相关应用模型和专业算法，发挥数据潜能，强化数据分析、信息提炼、智能深度学习、智慧交互等功能，有力支撑公路数字化转型和产业化升级，壮大公路数字经济。强化公路数字化安全防护体系。按照“谁主管、谁负责”的原则，完善公路数据安全管理制度，强化数据安全分级分类管理、监测预警与应急响应能力，加强商用密码等基础技术应用，构建智慧公路安全防护体系。PART2意见图解来源：交通运输部END往期推荐

9月20日播出的《新闻联播》节目，国务院总理李强主持召开国务院常务会议，审议通过《未成年人网络保护条例（草案）》。会议指出，要筑牢未成年人网络保护的法治支撑，推动各有关方面严格落实未成年人网络保护责任，引导支持相关企业积极落实条例，做到合规经营，促进未成年人健康成长。国家网信办发布的《未成年人网络保护条例（征求意见稿）》于去年3月公开征求意见，其对加强未成年人网络素养促进、网络信息内容规范、未成年人个人信息网络保护、未成年人网络沉迷防治等方面作出规定。有专家表示，征求意见稿细化了《未成年人保护法》中有关“网络保护”相关内容，明晰了不同情形的法律责任，便于社会各方关于未成年人网络保护的推进。去年3月公开征求意见，细化未保法相关内容2022年3月，国家网信办发布《未成年人网络保护条例（征求意见稿）》，时隔五年再次向社会公开征求意见。南都记者注意到，征求意见稿对社会普遍关切的未成年人网游沉迷、天价充值打赏、网络欺凌、应援集资等热点问题予以规制。征求意见稿明确了未成年人用户数量巨大、在未成年人群体具有显著影响力的重要互联网平台服务提供者应当履行的义务。具体而言，包括提供青少年模式或者未成年人专区等，便利未成年人获取有益身心健康的平台内产品或者服务；成立主要由外部成员组成的独立机构，对未成年人网络保护情况进行监督等。同时，重要互联网平台服务提供者在互联网平台服务的设计、研发、运营等阶段，应充分考虑未成年人身心健康发展特点，定期开展未成年人网络保护影响评估；每年发布专门未成年人网络保护社会责任报告，并通过公众评议等方式接受社会监督。由于心智尚未发育健全、自我保护意识和能力不足，青少年更容易成为网络暴力、网络欺凌问题的受害者。对此，征求意见稿规定，遭受网络欺凌的未成年人及其监护人有权通知网络产品和服务提供者采取删除、屏蔽、断开链接、限制账号功能、关闭账号等必要措施。网络产品和服务提供者接到通知后，应当及时采取必要措施予以制止，防止信息扩散。针对近年来屡见不鲜的未成年人打赏纠纷、非理智追星现象等，明确网络服务提供者应当采取措施，合理限制未成年人在使用网络产品和服务中的单次消费数额和单日累计消费数额，不得向未成年人提供与其民事行为能力不符的付费服务；不得诱导未成年人参与应援集资、投票打榜、刷量控评等网络活动等。北京青少年法律援助与研究中心主任佟丽华曾评价，征求意见稿不但细化了《未成年人保护法》中有关“网络保护”相关内容，还明晰了不同情形的法律责任，便于社会各方关于未成年人网络保护的推进。“从立法角度来说，规定得越具体明确，越便于企业、学校、家长、政府、社会等相关方去实施。”直播、游戏、青少年模式……近年监管动作不断随着移动互联网的普及和发展，未成年人拥有一台自己的手机、深度参与网络生活的情况已十分常见，如何打造对未成年人友好的网络环境成为各方关注重点。今年6至7月，南都记者随机选取头部、中部、尾部共12款网络社交类App，对平台内容生态治理情况等进行实测。结果显示，大多数被测App设置的适用年龄门槛形同虚设，用户任意填写18周岁及以上年龄，即可绕过App年龄验证环节。在“青少年模式”逐渐成为App“标配”的当下，仍有4款App没有建立这一模式，其中还包括头部App。在8款设有青少年模式的App中，部分App在开启该模式后，被禁用一切功能，用户无法进行任何操作，只能关闭“青少年模式”或者退出App；有App的青少年内容池仅有少量创作内容，且在测评开展的一周内几乎没有更新。为了解决“青少年模式”内容单一、覆盖程度不够等问题，8月2日，国家互联网信息办公室发布关于《移动互联网未成年人模式建设指南（征求意见稿）》。该征求意见稿的一大亮点在于“分龄原则”，分别以3周岁、8周岁、12周岁、16周岁和18周岁为界划定范围。同时将全面升级“青少年模式”为“未成年人模式”，推动模式覆盖范围由App扩大到移动智能终端、应用商店，实现软硬件三方联动，方便用户一键进入模式，为未成年人营造安全健康的网络环境。除此以外，监管方面近年来频频出手，在易对未成年人造成不良影响的重点领域，不断加大未成年人网络保护力度。更早之前，2020年11月，国家广播电视总局网站发布通知，明确网络秀场直播平台要对网络主播和“打赏”用户实行实名制管理。未实名制注册的用户、未成年用户不能打赏。2021年8月，国家新闻出版署下发《关于进一步严格管理

个人信息被泄露以及由此带来的麻烦甚至骚扰是非常常见的事情了，但是我们的信息究竟是怎样泄露的，又是怎样到了不法分子手里的呢？上海市市场监督管理局查处的一系列贷款中介黑色链条案，比较完整地揭开了个人信息从被泄露到被利用的过程。上海市市场监管局执法总队十四支队副支队长

数据安全治理落地难题人脸识别和健康码在疫情防控中提供了高效的手段，同时也引发了人们对收集和处理人脸信息等生物识别信息边界的关注。《个人信息保护法》规定所收集的个人图像、身份识别信息只能用于维护公共安全的目的，不得用于其他目的；取得个人单独同意的除外。国家高度重视个人隐私保护，密集颁布系列法律、法规、标准保障个人信息安全。对个人信息处理过程进行有效治理，促进个人信息合理利用与保护隐私并重，成为企业（组织）进行数据安全治理的又一关键目标。首先不同行业使用个人信息的情况不同，应对趋势也不同。一是金融、运营商行业，作为个人信息存储与处理的大户，在个人信息处理合规的落地上将一如既往走在市场前列，更为迅速和彻底。二是医疗与教育行业，作为个人信息密集处理和存储场所，在个人信息保护上的监管与落地动作必然更为精准。三是互联网企业把个人信息保护作为企业发展的重要风控管理对象的趋势将更为明显。四是外企与出海企业，跨境数据流动中涉及个人信息和敏感个人信息的合规落地将成为其迫在眉睫的重要事务，应采取个人信息标准合同备案或跨境数据安全评估。由于敏感个人信息与自然人的人格尊严等基本权利、重大人身利益和财产利益具有极为密切的联系，对此类个人信息的处理会对自然人的基本权利和人身财产安全产生重大风险，《个人信息保护法》对敏感个人信息的处理进行了专门规定。敏感个人信息的保护是我国《个人信息保护法》的重要内容之一，企业在处理敏感信息时会面临如下难题：1.

近日，根据人民银行河南省分行发布的行政处罚信息显示，浦发银行郑州分行因存在5项违法行为，被警告，并被罚款90.8万元。同时，2名相关负责人均被罚款。5项违法行为分别为：1、未按规定履行客户身份识别义务;2、与身份不明的客户进行交易;3、违反人民币流通管理规定;4、违反征信安全管理规定;5、违反金融产品和服务信息披露管理规定。今年以来人民银行针对商业银行涉及违反征信相关管理规定开出的多张罚单：1、原人民银行福州中心支行1月30日发布的行政处罚信息显示，厦门银行因“向金融信用信息基础数据库提供个人不良信息未事先告知信息主体本人”“因系统原因发生未经授权查询个人信用报告”“个人征信系统征信管理员用户兼任查询用户”“未准确、完整、及时报送个人信用信息”等23项违法行为，被警告，被没收违法所得767.17元，并被罚款764.6万元。2、人民银行福州中心支行1月30日发布的行政处罚信息显示，莆田农商银行因“向金融信用信息基础数据库提供个人不良信息未事先告知信息主体本人”“未经同意查询企业信贷信息”“未完整报送个人信用信息”等10项违法行为，被警告，并被罚款173.8万元。3、人民银行长沙中心支行2月24日发布的行政处罚信息显示，湖南安仁农商银行因“违反个人信用信息基础数据库安全管理要求”等9项违法行为，被警告，并被罚款515.5万元。4、人民银行绍兴市中心支行4月13日发布的行政处罚信息显示，招商银行绍兴分行因“违反征信管理相关规定”等6项违法行为，被警告，并被罚款115.1万元。5、人民银行西安分行6月5日发布的行政处罚信息显示，建设银行杨陵区支行因“违反征信管理规定”等2项违法行为，依据《个人信用信息基础数据库管理暂行办法》等规定，被警告，并被罚款7万元。6、人民银行长春中心支行7月7日发布的行政处罚信息显示，吉林银行因“违反信用信息采集、提供、查询及相关管理规定”，被罚款67万元。同时，16人对此负有责任，被罚款1万至4万元不等。来源：安知迅END往期推荐

《数据安全法》实施两年来，我国数据安全领域立法进程突飞猛进，逐渐深入且更加细化，行业性数据安全政策文件、法律法规等陆续出台，并且一些地方性法规在落实国家上位法基础上，结合当地实际，有针对性地建立更具体的数据安全保护制度。来源：由数据安全域综合整理自各地相关政策文件，转载请注明各地数据安全相关条例专章NO.1天津市促进大数据发展应用条例-第六章数据安全第四十六条

2023年9月16日，2023年国家网络安全宣传周“网络安全服务产业发展分论坛”在福州召开。论坛上，中国电子技术标准化研究院副院长刘贤刚介绍《中国网络安全产业分析报告（2023年）》。中国网络安全产业联盟（CCIA）依托行业力量，连续六年联合国内知名网络安全研究机构数说安全，调研国内近300家网络安全企业，追踪产业热点，刻画产业图景、研判发展趋势，完成《中国网络安全产业分析报告（2023年）》（以下简称“《报告》”）。《报告》坚持发展思维，尊重产业发展客观规律，以科学、严谨、中立的视角，深入剖析我国网络安全产业面临的国内外形势，以数据为基础，以企业为核心，从政策、技术、服务、资本、市场等多个方面，对网络安全法律法规、政策标准、产业现状、竞争格局、资本市场和发展热点等进行了全面详实的分析。在此基础上，对我国网络安全产业未来数年的发展进行了展望，希望能够为网络安全政策制定部门、监管机构、从业人员、行业组织、研究机构等提供参考。后台回复“0919”，获得完整报告！核心发现2022年，我国网络安全市场规模约为633亿元，同比增长3.1%，增长态势延续，增长率稳中趋缓。随着疫情平稳转段、网络安全相关政策法规和标准规范相继落地、网络安全治理日臻完善、网络安全技术加快迭代升级等正向激励效能显现，网络安全企业数量有所增长，网络安全市场需求持续扩大。预计未来三年产业增速将保持在10%以上，到2025年市场规模预计将超过800亿元。当前，全球经济进入下行通道，政府财力和企业利润空间进一步压缩，导致其对网络安全投入减少，网络安全市场需求萎靡，这削弱了网络安全企业盈利能力。国内主要网络安全企业迎难而上，以积极心态迎接市场挑战，不断加大研发和销售投入，新技术、新应用、新业务不断涌现。同时，数字经济发展进入快车道，开辟了更多网络安全产业“新赛道”，应用场景安全需求、新基建安全需求、新技术安全需求释放，为网络安全产业加速发展注入了新动力。国内对网络安全的重视程度、项目投入和客户分布呈现出一致性，经济发展状况与网络安全市场分布具有高度相关性。华北、华东和华南仍是网络安全投入高、客户分布相对集中的区域。2022年，网络安全企业在以上三个区域的合计收入占比达到71%。同时，网络安全企业积极响应共建“一带一路”倡议，加快探索海外市场。领军企业海外业务发展良好，创新型企业积极尝试突破，并取得一定成绩，海外市场占比小幅提升，预计未来海外市场将成为我国网络安全企业新的业务增长点。2022年以来，三未信安、亚信安全、浩瀚深度、永信至诚、盛邦安全相继登录科创板。2022年，网络安全行业投融并事件共有124起，融资额为67.8亿元，同比有所回落。投资机构对于成长期和中后期网络安全项目的投资更趋谨慎，早期项目获投数量增长较快。随着注册制改革加速及北交所开市，网络安全投资退出通道进一步丰富，将对网络安全投资产生正向激励。2023年，网络安全产业涌现10个发展热点，分别是生成式人工智能、人工智能对抗攻防技术、量子安全技术、云原生安全、网络安全保险服务、安全审计和合规性服务、网络安全防护有效性验证服务、云密码服务、数据安全治理，以及软件供应链安全治理。网络安全产业服务化发展趋势更加凸显。2023年上半年，服务型企业数量同比增长32.5%，成为网络安全市场扩容的主要力量。行业领军企业正在向“产品+服务”综合解决方案提供商转变，用户企业愈发看重网络安全服务的有效性、持续性和体系化，网络安全运营、安全审计和合规性服务、云密码服务等网络安全服务的重要性更加凸显。后台回复“0919”，获得完整报告！后台回复“0919”，获得完整报告！来源：中国网络安全产业联盟（CCIA）END往期推荐

也被错误配置为允许“完全控制”而不是“只读”权限，这意味着任何知道在哪里查看的人都可能删除、替换和注入恶意内容进入其中。Wiz

2021年9月1日《中华人民共和国数据安全法》施行以来，北京市公安局网安部门按照“依法管网、依法治网”的思路，加大对《中华人民共和国数据安全法》的宣传力度，教育首都广大互联网企业积极学习贯彻《中华人民共和国数据安全法》，推进依法治企，同时依据《中华人民共和国数据安全法》加大行政处罚力度。近期，北京昌平、朝阳网安部门充分运用《中华人民共和国数据安全法》，对未制定数据安全管理制度、未充分落实网络安全管理等级保护制度的相关违法企业依法给予行政处罚，起到了良好的警示教育效果。2023年6月7日，昌平网安部门工作中发现，辖区内某软件有限公司研发的“某数据分析系统”存在数据泄露隐患。经查，该公司研发的“数据分析系统”内存有用户姓名、基因数据等数据信息。通过进一步核实，该系统内数据信息未采用加密措施，系统服务器未采取任何网络防护和技术防护措施，造成19.1GB公民隐私数据暴露在互联网。北京市公安局昌平分局根据《中华人民共和国数据安全法》第二十七条、第四十五条第一款之规定，给予该企业警告，并处罚款五万元人民币，责令限期改正。2023年6月13日，北京朝阳网安部门接市公安局网安总队通报，辖区某科技公司存在数据泄露隐患，分局迅速组织相关力量前往该科技公司进行现场网络安全检查。经工作发现，该科技公司一款APP产品后台存储的客户姓名、手机号、微信账号、邮箱等信息46万余条数据被暴露在互联网上，该数据一旦被不法分子获取，将导致大量公民个人信息泄露，给广大人民群众个人合法权益造成重大影响。北京市公安局朝阳分局根据《中华人民共和国数据安全法》第二十七条、第四十五条第一款之规定，给予该科技公司警告的行政处罚。下一步，北京公安机关网安部门将持续贯彻《网络安全法》《数据安全法》《关键信息基础设施安全保护条例》等法律法规，全方位加强网络安全监督检查，严厉打击整治涉数据安全领域违法犯罪活动，指导监督网络运营者依法履行网络安全防护主体责任，做好源头防控，坚决维护国家网络安全和数据安全。相关案例：安全域盘点

近日，据媒体报道，马自达发文称，公司内部系统服务器遭到外部入侵，或超10万个人信息被泄露。据了解，这些信息都源自公司员工及合作方人员的姓名及电话号码，共计约104732条信息。官方表示：截至目前没有发现个人信息遭到滥用的情况，被泄露的信息中不包含顾客信息。可能泄漏的个人信息包括本公司及集团公司员工、分包商员工、业务合作伙伴部分信息，涉及姓名、电子邮件地址、部门及职务、电话号码等。马自达称：此次的信息遭入侵一事，主要是因为贵公司安装的应用服务器中的一个漏洞引起的。同时，提醒员工和合作方注意个人信息安全，加强密码保护，并建议使用多重身份验证等安全措施。针对此事马自达方面也进行了道歉且表示已就此事报案，并向个人信息保护委员会进行了必要的报告，后续将采取一切可能的措施防止事件再次发生。值得注意的是，关于信息泄露的问题不单单只有马自达遭遇到。早在去年丰田汽车就发布声明称：从2017年12月到今年9月15日，开发

前期，据有关部门在跟踪调查中发现，上海市某政府信息系统技术承包商违规将政务数据置于互联网进行测试期间，相关存储端存在高危漏洞，导致大量公民数据泄露，以致成为境外不法分子窃取政务数据的“供应链”入口，2022年7月，相关公民个人信息在境外黑客论坛被披露兜售。针对问题线索，上海市网信办联合有关部门对涉事公司未严格履行数据安全保护义务的违法行为，开展现场网络安全检查。经查，该公司主要从事政务信息系统技术支撑工作。2022年，该公司租用1台私有云服务器用于对未交付政务系统的研发测试和演示验收工作，存储了大量公民信息和政务信息，涉及公民个人信息数据1.5万余条。现场检查发现，该公司在开展数据处理活动中未能有效履行数据安全和个人信息保护义务，没有建立全流程数据安全管理制度，未采取技术防护措施保障数据安全和公民个人信息安全，导致平台频繁遭受境外远程访问和数据泄露风险。日前，上海市网信办协调有关部门已要求该公司立即下线政府网站页面、关闭相关云服务端口、配合开展网络资产清查，并对该公司作出行政处罚。近期，上海市网信办会同相关部门正在推进“亮剑浦江·消费领域个人信息权益保护专项执法行动”，聚焦8个社会关注高、个人信息被过度索取的消费场景开展专项整治。上海市网信办再次强调，各类企业要合法合规收集、储存、使用公民个人信息，采取必要管理措施和技术手段，防止未经授权的访问以及公民个人信息泄露、篡改、丢失。下一步，上海市网信办将会同有关部门，持续贯彻落实《网络安全法》、《数据安全法》、《个人信息保护法》等法律法规要求，加强网络安全、数据安全和个人信息保护工作和监督检查，做好源头防控，督促企业切实履行主体责任，坚决打击危害网络安全、数据安全乃至对国家安全构成威胁的违法行为。来源：网信上海END往期推荐

2023年9月14日，据福建日报报道：今年2月底，厦门市某教育培训机构的多名学员和员工接到诈骗电话，存在公民个人信息泄露的情况。厦门市公安局网安支队牵头思明公安分局，迅速介入调查，快速锁定并抓获涉嫌侵犯公民个人信息的犯罪嫌疑人朱某某;同时启动“一案双查”，对不履行数据安全保护义务的教育培训机构及其主管人员处以行政处罚。8月11日，犯罪嫌疑人朱某某被思明区人民法院依法判处有期徒刑并处罚金，没收全部非法所得。培训机构学员频繁接到诈骗电话

医保基金是人民群众的“看病钱”“救命钱”。国家医保局近日发布关于进一步深入推进医疗保障基金智能审核和监控工作的通知，明确将实施大数据实时动态智能监控，实现医保基金支付智能审核全覆盖，构建事前、事中、事后全环节监管的基金安全防控机制。通知明确，到2023年底前全部统筹地区上线智能监管子系统，智能审核和监控数据准确上传国家医保信息平台，全面开展经办智能审核，初步实现全国智能监控“一张网”；到2025年底，基本建立规范化、科学化、常态化的智能审核和监控体系，形成经办日常审核与现场核查、大数据分析、全场景智能监控等多种方式的常态化监管体系。通知要求，医保基金智能审核和监控工作与协议管理工作相结合，采取有效措施，激励定点医药机构主动对接智能监管子系统，系统对接情况与定点医药机构年度考核等挂钩。同时，探索对于主动加强智能监管系统应用、开展自查自纠的医药机构，给予减少现场检查频次等政策。国家医保局有关负责人介绍，总体上看，医疗机构可以通过智能监控，对医务人员明显违规的行为进行自动提醒和拦截，对可疑违规行为进行实时提醒。目前，越来越多定点医院主动借助智能监控实现自查自纠，减少违规行为发生。该负责人介绍，智能化监管手段加强医保基金监管不会对参保人的正常看病就医行为产生影响。对于明确的违法违规，要加强监管和干预，逐步实现对可刚性约束的违法违规问题自动拦截；对于涉及医疗合理类的问题，在系统检出疑点问题后，要及时反馈至定点医药机构，由其进行申诉，充分听取医药机构申诉意见并经必要的复审、合议、终审等程序后确定是否支付。国家医保局发文，加强医保基金智能审核和监管的力度，表明国家正在重视和强化医保基金的管理和监督工作。这举措将对以下几个问题保障：1、改进医保基金使用：国家医保局可能意识到有必要提高医保基金的使用效率，确保资金更多地用于覆盖医疗费用，减少浪费和滥用的可能性。2、防止欺诈行为：强化智能审核和监管可以帮助防止医保欺诈行为，包括虚假报销、虚构疾病和医疗服务的不正当索赔等问题。3、提高监管效能：国家医保局可能希望通过智能审核和监管，提高监管工作的效率和精确度，减轻了人工审核的工作负担。4、保障医保基金安全：确保医保基金的安全和稳定，防范资金的滥用或不当支出，以维护医疗保障体系的可持续性。5、推动信息技术应用：国家医保局可能鼓励医疗行业采用先进的信息技术，以提高审核和监管的水平，确保医保数据的准确性和透明度。这一举措旨在提高医保基金的管理效能，保障公众的医疗保障权益，同时减少医保系统中的不正当行为。以下为通知全文来源：国家医保局END往期推荐

2023年9月13日，据厦门市交通管理局公告，近日，厦门市运输事业发展中心发布关于高德、胖哒、神州、妥妥、搭顺、携华等平台未按规定传输运营数据问题的通报。通报显示，厦门市运输事业发展中心对接入高德聚合平台日活接单车辆比例存在异常情况的五家网约车平台企业开展暗访抽查，通过高德打车共抽查25单，其中有18单未按规定向行业监管系统传输运营数据，漏传比例达72%，严重违反了“网约车聚合平台及合作网约车平台公司按照有关规定，向网约车监管信息交互系统实时传输有关网约车运营信息数据，确保数据传输质量”以及“严格数据安全保护和管理，采取有效措施防止驾驶员、约车人和乘客等个人信息泄露、损毁、丢失”等要求。01通报内容显示为落实《交通运输部办公厅

个国家和地区已制定数据保护相关法律，数据安全、算法应用有关立法进程加快，合规本地化的全球性趋势将进一步加强。全球数据合规领域执法力度加强，截至

9月12日消息，斯里兰卡政府云系统“兰卡政府云”（LGC）遭受一次大规模勒索软件攻击。该国已经启动调查程序。这次调查由斯里兰卡计算机网络应急技术处理协调中心（CERT|CC）负责。斯里兰卡信息与通信技术局（ICTA）于9月11日向多家本地新闻媒体确认了这次攻击。这次攻击很可能从8月26日开始，当时，一个gov.lk域名用户表示他们在过去几周里收到了可疑的链接，有人可能点击了其中一条链接。“兰卡政府云”的服务和备份系统迅速被加密。斯里兰卡信息与通信技术局首席执行官Mahesh

近日，美国司法部表示，威瑞森商业网络服务有限责任公司(Verizon

《中华人民共和国网络安全法》于2017年6月1日正式实施，是我国首部网络空间管辖基本法，对于建设国家网络安全体系、维护网络空间主权、发展网络强国战略、贯彻依法治国基本方针具有重大意义。本周是网络安全宣传周，数据安全域盘点了近几年违反《网络安全安全法》的典型案例，供大家学习！本文由数据安全域综合整理，转载请注明END往期推荐

在当今高度数字化竞争的时代，网络安全已成为重中之重。保护敏感信息和防御网络威胁对于个人和企业都至关重要。与此同时，随着传统网络安全边界的消失，以数据和身份为中心，以“人的因素”为支点的纵深防御安全方法正在得到企业界的普遍认可。对于刚刚进入网络安全行业的开发者来说，快速入门的捷径就是通过开发一款“小”产品，快速熟悉现代网络安全技术堆栈和方法，点亮网络安全职业道路的科技树。以下，我们从web安全、物联网、安全意识（密码管理、社会工程、网络钓鱼）、恶意软件（勒索软件）、数据安全（文件加密、流量分析）等热点领域挑选了十个“难度低、见效快”的，适合刚入行的开发者热身的网络安全产品：01密码管理器开发一个安全的密码管理器应用程序，为各种帐户存储和生成高强度密码，用于实施加密技术来保护密码，并鼓励用户采取更好的密码卫生措施。该项目旨在降低密码泄露的风险并增强整体帐户安全性。02网络钓鱼意识游戏创建一个交互式游戏，向用户传授网络钓鱼技术并帮助他们识别和避免网络钓鱼尝试。通过模拟场景，用户可以学习识别可疑电子邮件、网站和消息，从而最大限度地降低成为网络犯罪分子的风险。03loT设备安全扫描器构建一个工具来扫描连接到网络的物联网(IoT)设备并识别潜在的漏洞。扫描仪应该提供保护这些设备的建议，保护用户免受潜在的黑客攻击和未经授权的访问其智能家居设备。04恶意软件监测应用程序开发一个使用机器学习算法来检测和隔离计算机和移动设备上的恶意软件的应用程序。该项目用于保护用户免受病毒、勒索软件和其他可能窃取数据和隐私的恶意软件的侵害。05网络流量分析器设计一个监控网络流量并能分析数据包以识别可疑模式和异常流量的工具。该分析器能帮助用户检测并防止未授权访问和数据泄露，提供有关潜在网络威胁的宝贵见解。06安全文件加密开发一个文件加密工具，使用户能够加密和解密敏感文件。该产品可用于实施强大的加密算法和安全密钥管理实践，确保数据在传输和存储过程中免受未经授权的访问。07网络安全知识和意识测试应用程序开发一个吸引人的测验应用程序，其中包含有关网络安全概念、最佳实践和常见威胁的问题。该应用程序应帮助用户测试安全知识并提高对基本网络安全原则的认识。08Web应用程序防火墙开发一个Web应用程序防火墙，用于过滤和阻止针对Web应用程序的恶意流量。防火墙应能防范常见的基于Web的攻击，例如SQL注入和跨站点脚本编写，保护用户数据并维护Web服务的完整性。09双因素身份验证（2FA）实施创建一个库，开发人员可以轻松地将其集成到他们的应用程序中，从而在传统密码之外添加额外的安全层。2FA实施应支持各种身份验证方法，例如短信代码、身份验证器应用程序或硬件令牌，以增强用户帐户保护。10社会工程防御模拟器设计一个模拟器，向用户呈现各种社会工程场景，例如网络钓鱼电话/邮件或骗局剧本。该模拟器应该向用户介绍常见的社会工程策略，并帮助他们制定策略来识别和抵制网络攻击者的操纵和攻击。上述项目复杂程度相对较低，同时又具备较高的适用性和实用性，且都是企业网络安全的关键功能。更重要的是，开发者还能在开发过程中不断拓展和提高自己的网络安全技术、知识、经验和意识，为将来开发更加复杂的网络安全工具或防御高级安全威胁打下良好的基础。来源：GoUpSecEND往期推荐

国家金融监督管理总局9月8日发布的行政处罚信息显示，北京中关村银行因“发生重要信息系统突发事件但未向监管部门报告，严重违反审慎经营规则”，依据《中华人民共和国银行业监督管理法》第四十六条，被北京监管局罚款20万元。相关案件原银保监会2023年4月27日罚单显示，大华银行（中国）因“重要信息系统访问控制管理存在不足”，被责令整改，并被罚款35万元。原银保监会2022年9月9日罚单显示，广西北部湾银行因“迟报重要信息系统突发事件”，被罚款20万元，相关负责人被警告。原银保监会2021年11月29日罚单显示，北京银行因“发生重要信息系统突发事件但未向监管部门报告，严重违反审慎经营规则”，被罚款40万元。原银保监会2021年1月29日罚单显示，农业银行因“发生重要信息系统突发事件未报告”“网络信息系统存在较多漏洞”等多项主要违法违规事实，被罚款420万元。原银保监会2020年6月5日罚单显示，焦作中旅银行因“业务连续性及运维管理不到位引发重要信息系统中断”，被罚款30万元。《银行业金融机构重要信息系统投产及变更管理办法》中对重要信息系统的定义是，指支撑重要业务，其信息安全和服务质量关系公民、法人和其他组织的权益，或关系社会秩序、公共利益乃至国家安全的信息系统。包括面向客户、涉及账务处理且实时性要求较高的业务处理类、渠道类和涉及客户风险管理等业务的管理类信息系统，以及支撑系统运行的机房和网络等基础设施。原银监会发布的《银行业重要信息系统突发事件应急管理规范（试行）》（以下简称“《规范》”）提到，突发事件是指银行业金融机构重要信息系统以及为之提供支持服务的电力、通讯等系统突然发生的，影响业务持续开展，需要采取应急处置措施应对的事件。《规范》要求，银行业金融机构应在重要信息系统突发事件发生后60分钟之内将突发事件相关情况上报银监会或其派出机构信息系统应急管理部门，并在事件发生后12小时内提交正式书面报告。银行业金融机构应将应急处置重大进展情况及时上报银监会或其派出机构，直至应急结束。I级突发事件发生后，银行业金融机构应每2小时将应急处置进展情况上报，直至应急结束。上报银监会或其派出机构的书面报告内容应包括突发事件时间、地点、现象、影响的业务范围、原因分析、后果的初步判断、已采取的措施、后续拟采取方案的建议、事件报告单位、联系人及联系方式、其他与本突发事件有关的内容，并在报告中重点明确需要银监会协调的事项。来源：数据法盟END往期推荐

各位周一好，以下是第二周的【安全域周报】，我们总结推荐了政策法规、热点资讯、安全事件和数据泄漏共十条，供大家参考。NO.1CISA发布关于采用DDoS缓解措施的指南美国网络安全和基础设施安全局(CISA)发布了新指南，帮助联邦机构采用分布式拒绝服务(DDoS)缓解措施。DDoS攻击是一种网络攻击，其中威胁行为者用互联网流量淹没服务器或网络，耗尽其资源并使目标无法访问。资料链接：🔗NO.2关于加强电力可靠性数据治理深化可靠性数据应用发展的通知近日，国家能源局发布通知，强调电力可靠性数据治理与应用发展的重要性。通知要求建立基于实时数据的电力可靠性管理体系。同时，通知提出优化电力可靠性评价体系，引导电力行业科学评估和提升可靠性管理水平。此外，通知鼓励电力企业和设备制造企业应用可靠性数据，推动产品设计、检测、生产控制等领域的提质增效。在数据安全方面，通知强调确保信息安全前提下的数据采集与管理。资料链接：🔗NO.32023外滩大会·数据安全与隐私保护未来趋势及产业融合实践论坛9月8日上午，由中国软件评测中心（工业和信息化部软件与集成电路促进中心）、上海交通大学、蚂蚁集团联合主办的外滩大会数据安全与隐私保护未来趋势及产业融合实践论坛在上海·黄埔世博园成功举办。资料链接：🔗NO.4数据安全与治理论坛9月5日，作为2023中国国际数字经济博览会系列活动之一，数据安全与治理论坛在石家庄（正定）国际会展中心举办。论坛以“加强数据安全体系建设，构筑工业互联网安全底座”为主题，邀请业内专家学者共同探讨数字安全的高质量发展之路。资料链接：🔗NO.5涉嫌违法处理个人信息，知网被罚5000万元9月6日消息，根据网络安全审查结论及发现的问题和移送的线索，国家互联网信息办公室依法对知网（CNKI）涉嫌违法处理个人信息行为进行立案调查。经查实，知网（CNKI）主要运营主体为同方知网（北京）技术有限公司、同方知网数字出版技术股份有限公司、《中国学术期刊（光盘版）》电子杂志社有限公司三家公司，其运营的手机知网、知网阅读等14款App存在违反必要原则收集个人信息、未经同意收集个人信息、未公开或未明示收集使用规则、未提供账号注销功能、在用户注销账号后未及时删除用户个人信息等违法行为。

近日，广州市荔湾区人民法院公布了一起侵犯公民个人信息罪案件，两名医院护工利用工作便利出售死亡患者个人信息获利10万余元，最终被依法判刑。易某和唐某是广州某医院护工，两人利用工作便利，在跟随医院救护车急救过程中，未经同意擅自将包括急救病人及丧者家属的居住住址、联系方式等公民个人信息，分别按照每条1000元、2000元的价格非法出售给某殡葬服务公司实际控制人劳某（另案处理）。经统计，2019年9月至2022年3月，易某因非法出售公民个人信息违法获利87000元，而唐某则在短短4个月内便收取劳某合作费5000元、信息费20000元，违法获利合计25000元。公诉机关以侵犯公民个人信息罪对易某和唐某提起公诉。荔湾法院经审理认为，易某、唐某违反国家有关规定，向他人出售公民个人信息，其行为已构成侵犯公民个人信息罪。考虑到易某、唐某分别主动全额退出违法所得，认罪认罚，法院依法判处易某、唐某犯侵犯公民个人信息罪，判处有期徒刑三年至一年，缓刑四年至一年六个月，并处罚金。法官提示死亡自然人个人信息仍受法律保护，非法出售可追究刑事责任广州市荔湾区人民法院法官赵丹表示，本案系因非法出售涉及死者的个人信息引发的刑事案件，争议焦点在于死亡自然人的个人信息是否属于刑法所保护的公民个人信息。实践中，公民个人信息的认定，并不以相关自然人的生存状态为判断依据，即使自然人已经死亡，其个人信息依然受到法律保护，不得以非法获取、出售、提供等手段实施侵犯。《中华人民共和国民法典》《个人信息保护法》的有关规定均为死亡自然人的个人信息的保护提供了法律依据。因此，死亡自然人的个人信息同样属于刑法保护的公民个人信息，出售死者的个人信息达到法定程度的，构成侵犯公民个人信息罪。在本案中，被告人并非被出售个人信息的死亡患者的近亲属，故其不具有处理死者个人信息的主体资格。其出售信息是为非法牟利，并非为了自身的合法正当利益，故其动机、目的不合法；其对信息的处理形式为非法出售，故其手段不合法。同时，两被告人出售个人信息的违法所得分别达到五千元以上和五万元以上，均已达到构成犯罪、应当追究刑事责任的程度，故法院依法追究刑事责任。法官提醒广大读者，应谨慎对待他人个人信息，不能随意使用或者泄露，更加不能用以牟利。来源：南都报道END往期推荐

为进一步加强网络安全管理压紧压实网络安全主体责任湖南公安网安部门主动出击排查辖区网络风险对不履行网络安全保护义务的公司依法给予行政处罚。衡阳依法处罚一家企业7月13日，衡阳市衡阳县公安局网安大队对属地一企业依法予以行政处罚。经核查，该企业网站因未落实网络安全保护责任，导致该企业网站发布资讯中的下载链接被篡改跳转至涉黄网页，同时，该公司网站未落实公安备案，违反了《中华人民共和国网络安全法》《计算机信息网络国际联网安全保护管理办法》等法律法规。针对上述违法违规行为，衡阳县公安局网安大队对该企业作出行政处罚，并责令该网站负责人进行整改，严格落实主体责任。该企业网站负责人表示存在涉黄链接的资讯已被其删除，下一步，将依法依规注销企业网站。长沙依法处罚十五家企业近日，长沙市高新区公安分局网安科积极上门走访辖区互联网企业单位，对网络安全管理制度、网络应急预案制定落实、网络安全责任人等情况逐一核查。深入机房查看网络安全防护技术措施等情况，督促重点单位落实网络安全等级保护制度，并对检查中发现的网络安全隐患问题提出整改建议。其中，有十五家企业不履行网络安全保护义务，长沙高新公安根据《中华人民共和国网络安全法》《计算机信息网络国际联网安全保护管理办法》等相关法律法规，依法作出行政处罚。益阳依法处罚四家单位8月以来，益阳市公安局大通湖分局网安大队联合河坝派出所持续开展网络安全专项检查，对不履行网络安全保护义务的单位依法予以处罚。检查中，民警通过实地查看、现场询问、查阅台账、安全检测等方式，重点就内部安全管理、日志留存、技术防护措施、网络安全责任制落实等情况进行了细致检查，对检查中发现的问题隐患现场反馈，并要求相关单位限期整改到位，常态化做好网络安全防护工作。检查发现，全区四家单位存在未制定内部安全管理制度和操作流程、未落实网络安全保护责任、未部署技术防护措施等问题，根据《中华人民共和国网络安全法》等相关法律法规，大通湖公安分局对四家不履行网络安全保护义务的单位予以行政处罚。通过专项检查，增强了企业网站对信息网络安全的重要性认识，有效防范信息安全案件、事件（事故）的发生，进一步提高了各单位网络安全防范意识和责任意识，及时排查消除了网络安全风险隐患，筑牢了网络安全坚实防线。网警普法《中华人民共和国网络安全法》第二十一条

数据安全关乎国家安全，“数据安全”连续三年被写入政府工作报告。随着相关法律法规出台，我国数据安全法制化建设已初具规模，对于各领域各部门的规制作用和影响力将进一步深化。本文搜集了2023年上半年数据安全相关行业报告，以供大家参考。1、《数据安全治理实践指南2.0》发布时间：2023年1月5日报告来源：数据安全推进计划概述：本指南依据大量行业调研和企业实践，在《指南（1.0）》的基础上优化了数据安全治理总体视图，并针对数据分类分级难落地、管理与技术易脱钩等焦点问题的建设方案进行了初步探索，进一步细化了数据安全治理实践路线。2、《大数据白皮书》发布时间：2023年1月5日报告来源：中国信通院概述：本白皮书聚焦过去一年来大数据领域不断涌现的新技术、新模式、新业态，分析总结全球和我国大数据发展的总体态势，并重点针对数据存储与计算、数据管理、数据应用、数据流通、数据安全五大核心领域，逐一分析、探讨其发展现状、特征、问题和趋势，最后对我国大数据未来发展进行展望与研判。3、《2023-2023数据安全体系数据绿洲建设指南》发布时间：2023-01-07报告来源：启明星辰概述：本报告以国家法律法规和政策要求为基础，全面分析了当前数据安全领域发展特点，落实数据安全建设体系，

9月5日消息，一些公司开始将首席执行官和其他高层领导的奖金与网络安全指标挂钩。治理专家表示，这一举措可能使公司更安全地抵御黑客攻击。这一做法在美国大公司中逐渐普及。会计和咨询公司安永的最新研究显示，2022年财富100强公司中，有9家将特定高管的部分短期奖金与网络安全目标相关联。安永表示，2018年还没有公司采取上述措施。美国知名代理咨询公司机构股东服务（ISS）的数据部门ISS

2023年9月6月，据网信重庆报道：重庆网信办依法对属地2家单位做出罚款行政处罚。一、江津区网信办依法对属地一高校网站的违法违规行为作出行政处罚近日，江津区网信办对区内某职业学院相关负责人开展执法约谈，并依法对该学院作出行政警告处罚。经查，该学院未严格落实信息发布“三审三校”制度，未履行好网站管理主体责任，导致学院官网上存在法律法规禁止传播的信息，违反《网络安全法》《互联网信息服务管理办法》《网络信息内容生态治理规定》等互联网法律法规。江津区网信办责令其全面清理存量有害信息，并举一反三开展深入排查，完善相关管理制度。该学院相关负责人表示，已认识到问题严重性和危害性，将严格按照网信部门要求即刻整改，建立健全内部管理机制，强化日常信息发布审核，维护好清朗有序的网络环境。下一步，江津区网信办将持续深入推进依法管网治网，严厉打击属地各类网络违法违规行为，营造风清气正的网络生态空间。二、万州区网信办依法对属地某互联网企业做出罚款行政处罚近日，万州区网信办依法对属地某互联网企业涉嫌违法行为进行立案查处。经查实，该企业运营的网站平台存在法律法规禁止传播的信息，未履行好网站平台主体责任，违反了《中华人民共和国网络安全法》《互联网信息服务管理办法》《网络信息内容生态治理规定》等互联网法律法规。万州区网信办依法责令该企业限期整改，举一反三全面清理有害信息，完善相关管理制度，并处罚款1万元的行政处罚。下一步，万州区网信办将持续加强属地互联网企业监督管理，加大网络执法力度，严厉打击互联网违法违规行为，全力维护清朗网络生态。来源：网信重庆END往期推荐

一杯奶茶也许不贵，但订单里却包含着消费者的个人信息和消费轨迹。对商家来说，成千上万笔订单背后的用户数据堪称一笔重要的“财富”。扫码点餐、会员专享、入群领取优惠……这些眼花缭乱的营销手段有没有对用户数据的过度采集？采集的数据商家有没有进行妥善保管呢？大量个人数据如同“石油”被商家“过度采、强制要、诱导取、违规用”相比直接窃取个人信息的案件，人们碰到更多的是在扫码点餐、停车缴费、商超购物等场景下，被商家索取姓名、位置、手机号码等个人信息，然后由于各种原因导致信息泄露。互联网安全专家表示，个人信息泄露主要的危害有两类：一类是黑灰产对个人信息的利用；另一类是企业滥用用户信息，获取更多非正常的商业报酬、商业利益。除此以外，还会通过个人信息建立情报体系、树立行业壁垒。尽管消费者抱怨声不断，为什么企业仍热衷于收集消费者个人信息呢？专家表示，在数字经济时代，数据就像石油。尤其是大量数据，具有非常大的价值。把这些数据全部整合在一起，形成每个人的画像，就是最具有商业价值的事。一句话概括：数据就是打开财富大门的钥匙。因此，不少用户的个人信息被商家“过度采、强制要、诱导取、违规用”。针对这些乱象，从6月中旬起，上海市网信办会同市场监管局开展了为期半年的专项执法行动，重点聚焦餐饮店、停车扫码、少儿学习培训、商超购物、理财小贷、房产中介、汽车4S店以及租借充电器等八个消费领域。强制索取信息、信息保管、隐私权政策为执法焦点通过对上海29家知名度较高的奶茶店、快餐店明察暗访中，执法小组发现了几个比较突出的问题。首先就是强制或者超范围索取信息。这种现象在餐厅、奶茶店、咖啡店非常普遍。用户已经抵达消费场所，仍被告知要通过App或者小程序扫码点餐，而在扫码过程中又强制或者以送优惠券、加入会员等理由诱导用户提供姓名、手机号码、位置信息等超出点餐范围的需求，否则就无法完成点餐。专家表示，这种做法既违反了最小必要原则，也剥夺了消费者的自主选择权，违反了消费者权益保护法。门店越多，产生的数据也越多，有时甚至达到惊人的地步。比如，某知名连锁奶茶品牌每收到一笔订单，就会产生87条数据，目前已累计产生超过100亿条。其中，涉及消费者姓名、电话、位置等敏感个人信息的达6.7亿条。专家表示，在数字经济时代，数据通常被用于经营管理，这有利于提高工作效率、提升经济效益。个人信息是可以被采集使用，但在采集信息的过程中，必须遵循“合法、正当、必要”三原则。据了解，要搭建一个收集消费者个人信息的技术平台，门槛很低，费用也不高。网络安全专家表示，扫码点餐存在一定的风险性，尤其是在小商家扫描那些来路不明的二维码。那么，这些被商家用扫码点餐、诱导提交等手段收集来的信息是否得到了妥善保管呢？调查发现，不少企业在保管用户信息时，存在一定的隐患。比如，采集数据量巨大的某知名奶茶店，根据网络安全法和数据保护法，应该按照三级标准进行等级保护，但是这家企业却没有做这些工作。此外，隐私权政策也是本次检查的重点内容之一。所谓隐私权政策，就是信息收集方就如何收集个人信息所发布的声明。简单讲，就是告诉用户采集个人信息的目的、用途以及如何保管等。执法人员发现，不少企业要么没有隐私权政策，要么不完善。还有些企业虽然制定了隐私权政策，但过于冗长，用户体验非常不友好。有的隐私权政策洋洋洒洒近万字，与其说是为了告知用户，倒不如说是为了保护企业自己。多地出台合规指引加强个人信息保护为了加强个人信息保护，上海市消保委自7月起针对扫码点餐、停车缴费、少儿培训和共享充电宝等四种消费场景，分别出台了合规指引、自律承诺和合规清单。未来，还将针对房产中介、商超购物等主要消费场景作出相应指引。近日，北京市也发布了扫码消费服务违规收集使用消费者个人信息案例解析及合规指引，整理出六类违规行为并作出相应规定。国家网信办8月3日发布的《个人信息保护合规审计管理办法（征求意见稿）》重磅！国家网信办发布《个人信息保护合规审计管理办法》规定，处理超过100万人个人信息的处理者，应当每年至少开展一次个人信息保护合规审计；其他个人信息处理者应当每两年至少开展一次个人信息保护合规审计。数据被称为信息时代的“石油”，而包含个人信息的数据更是优质“石油”，是商家争夺的焦点。商家采集用户个人信息不是不可以，但应该采之有界，用之有度，护之有责。如何规范各种消费场景下商家的信息采集、使用行为，如何监督引导商家做好对消费者个人信息的保护，应该引起我们足够的重视。来源：央视新闻END往期推荐

据网信中国微信公众号9月6日消息，根据网络安全审查结论及发现的问题和移送的线索，国家互联网信息办公室依法对知网（CNKI）涉嫌违法处理个人信息行为进行立案调查。经查实，知网（CNKI）主要运营主体为同方知网（北京）技术有限公司、同方知网数字出版技术股份有限公司、《中国学术期刊（光盘版）》电子杂志社有限公司三家公司，其运营的手机知网、知网阅读等14款App存在违反必要原则收集个人信息、未经同意收集个人信息、未公开或未明示收集使用规则、未提供账号注销功能、在用户注销账号后未及时删除用户个人信息等违法行为。

年全球运营技术与网络安全态势研究报告》（以下简称报告）发布。这项基于第三方权威研究机构针对全球570

《数据安全法》施行近两年来，江苏公安机关网安部门聚焦信息数据泄露、滥用、篡改等行业领域问题乱象，加大监督检查、通报预警和行政执法力度。警方严厉惩治不履行数据安全保护义务的违法行为，全面压紧压实网络运营单位数据安全主体责任，已累计依据《数据安全法》办理行政案件336起。01宿迁某医学检验机构近期，江苏宿迁公安网安部门对当地某医学检验机构检查时发现，该机构运营的医学检验信息平台存在SQL注入漏洞、弱口令等网络安全隐患，且未建立数据安全管理制度，未组织数据安全教育培训，未采取相应技术措施保障数据安全，未对其数据处理活动开展风险监测和定期风险评估，可致敏感业务数据泄露，涉嫌未履行数据安全保护义务。宿迁公安机关依据《数据安全法》第45条规定，对该机构予以行政警告并处罚款10万元。02成都某科技有限公司近期，江苏苏州公安网安部门工作发现，成都某科技有限公司在为苏州某信息科技股份有限公司相关系统运维过程中，未建立健全全流程数据安全管理制度，为图工作方便，私自将该公司30余万条运营数据上传至互联网，且未落实任何技术防护措施保障数据安全，未对其数据处理活动开展风险监测，可致该批数据泄露，涉嫌未履行数据安全保护义务。苏州公安机关依据《数据安全法》第45条规定，对该公司予以行政警告并处罚款5万元。03泰州某不动产登记中心近期，江苏泰州公安网安部门工作发现，当地某不动产登记中心的“业务练兵系统”存在Elasticsearch未授权访问安全漏洞，且未建立健全全流程数据安全管理制度，未落实有效的数据安全防护措施，可致该系统中存储的24万余条业务数据泄露，涉嫌未履行数据安全保护义务。泰州公安机关依据《数据安全法》第45条规定，对该不动产登记中心予以行政警告并责令改正；对该系统的建设运维单位北京某科技发展研究中心予以行政警告并处罚款5万元。04盐城某医药公司近期，江苏盐城公安网安部门在对当地某医药公司检查时发现，该公司医疗健康信息的会员管理系统存有大量公民个人信息，经现场检测发现该系统存在网络安全漏洞，且该公司未建立数据安全管理制度，未组织开展数据安全教育培训，也未采取相应技术措施保障数据安全，涉嫌未履行数据安全保护义务。盐城公安机关依据《数据安全法》第45条规定，对该公司予以行政警告并责令限期改正。05南通某科技有限公司近期，江苏南通公安网安部门对当地某科技有限公司检查时发现，该公司对包含生产工艺流程、操作手册、员工个人信息等数据的MySQL数据库（数据量达百万条），未建立数据安全管理制度，也未采取相应技术措施保障数据安全，并且存在使用“弱口令”即可登录平台、访问数据的情况，涉嫌未履行数据安全保护义务。南通公安机关依据《数据安全法》第45条规定，对该公司予以行政警告并责令限期改正。!网警提醒医疗、金融、不动产等行业领域重要数据一旦泄露，将会对公共利益、经济运行、个人权益造成重大危害，甚至会影响国家安全和社会稳定。《数据安全法》作为我国首部数据安全领域的基础性立法，以总体国家安全观为立法目标，聚焦数据安全领域的突出问题，建立了数据分级分类、重要数据保护、安全风险评估、监测预警、应急处置、交易管理等基本制度，并明确了相关责任主体的安全保护义务。公安机关将继续紧盯数据安全领域最新动态，加强风险监测、监督检查和行政执法，不断规范各类数据处理活动，完善数据防护技术措施，筑牢数据安全屏障体系，为数字经济发展保驾护航。来源：江苏网警END往期推荐

方面的当前方法和挑战。8.“华为杯”第二届中国研究生网络安全创新大赛地点：杭州主办单位：中国学位与研究生教育学会、中国科协青少年科技中心

2021年9月1日，《中华人民共和国数据安全法》（以下简称《数据安全法》）正式施行，标志着我国数据安全进入有法可依、依法建设的新发展阶段。两年来，公众在数据安全领域感受到哪些变化？监管部门执法行动取得哪些成效？南都大数据研究院推出“《数据安全法》两周年成效观察”系列报道，从公众感知、执法案例、政策盘点、专家解读等方面回顾《数据安全法》施行以来取得的成果及社会期望。本期我们盘点《数据安全法》实施两年来政策新走向、新趋势。“数据安全是数字经济发展的底板工程”“数据安全政策越来越细化”“数据分类分级关键级别就是重要数据的保护”……2021年9月1日《中华人民共和国数据安全法》（以下简称《数据安全法》）开始施行以来，数据安全问题越来越受到高度关注，对数据安全监管更强化，一系列分行业分领域细化政策、法规相继出台，人脸识别、网上购物、网络支付、个人信息安全工程等领域数据安全国家标准构建全面深化，不断充实数据安全制度体系。数据安全由“或有”变成“刚需”作为新型生产要素，数据是国家基础性战略资源，但其面临被侵害的风险也与日俱增。数据安全机构报告显示，2021年度全球公开披露的数据泄露事件有4145起，导致227.7亿条数据泄露。《中国政企机构数据安全风险分析报告》《中国政企机构数据安全风险分析报告》发布也提到，2022年1月至10月全球数据泄露相关安全事件93起。而针对机构数据的外部威胁，57.4%是为窃取数据，数据破坏问题占全球数据安全事件的23.3%。2021年，《数据安全法》《个人信息保护法》相继施行，与《网络安全法》构建起数据保护领域的“三驾马车”，不仅完善我国网络安全的顶层设计与总体布局，而且对数据安全、个人信息安全保障提出明确的法律要求，以数据安全保障数据开发利用以及产业发展全面进入法治化轨道。对此，北京理工大学法学院教授洪延青在《我国数据安全法的体系逻辑与实施优化》中提到，《数据安全法》应运而生，系统性应对数据安全领域的内生性风险，同时应对愈演愈烈的国家间数据竞争，有着强烈的现实针对性、必要性。《数据安全法》是一部授权性法律，意在对标域外主要国家和地区对数据的立法和规制措施，赋予相关主管监管部门权限，以开展后续的数据安全管理和监督工作。《数据安全法》与《国家安全法》《网络安全法》《密码法》《个人信息保护法》《民法典》形成“五法一典”安全体系，紧密关联又各有侧重。炼石网络发布的《2022数据安全与个人信息保护技术白皮书》提到，我国数据安全立法监管加强，基于《信息安全技术网络数据处理安全要求》等相关标准规范开展数据安全管理认证工作，不断推进我国数据安全法制化建设，不断完善监管体系，数据安全由“或有”变成“刚需”。数据安全领域立法逐渐深入更细化南都大数据研究院梳理发现，《数据安全法》实施两年来，我国数据安全领域立法进程突飞猛进，逐渐深入且更加细化，行业性数据安全政策文件、法律法规等陆续出台，进一步强化了前期法规的纵深推进与落地实施，为安全领域的技术发展与应用深化提供了指导、参考，筑牢国家数据安全屏障。具体而言，2021年10月1日开始施行的《汽车数据安全管理若干规定（试行》浙江、上海开展2022年度汽车数据安全管理情况报送工作，北京、天津开展2022年度汽车数据安全管理情况报送工作，是我国首次针对汽车数据安全制定的专项法规，开启汽车数据合规使用新阶段；2023年1月1日起施行的《工业和信息化领域数据安全管理办法（试行）》附全文

采取“撞库”方式查询并下载保存他人征信报告，非法获取工号、密码办理大量手机号用于电信网络诈骗，离职后通过前同事查询航班信息，共同出售他人航班行踪轨迹信息……近年来，公民隐私数据泄露问题日益突出，个人信息安全与保护引发全社会高度关注。2023年8月23日，北京市高级人民法院召开北京法院侵犯公民个人信息犯罪案件审判情况新闻通报会，通报侵犯公民个人信息罪案件审判情况，并发布典型案例。2018年以来，北京三级法院共审结侵犯公民个人信息犯罪案件219件，其中一审179件、二审40件，判处犯罪分子294人。北京高院党组成员、副院长孙玲玲介绍到，涉案公民个人信息类型中高度敏感信息占比突出，所有已结案件中24.6%的案件涉及包括行踪轨迹信息、通信内容、征信信息和财产信息等高度敏感信息，涉案公民个人信息的数量规模日渐庞大，侵犯公民个人信息的犯罪手段越发隐蔽。不法分子多是通过社交软件群、网站论坛等平台买卖或交换个人信息，“爬虫”软件成为收集大量信息时的常用软件之一。五成案件的被告人有较为固定的工作单位或职业，从学历、职务看，不乏有被告人拥有较高的学历水平，在大型互联网公司、电商平台、通讯运营商等任较高职务。此外，侵犯公民个人信息犯罪与其他违法犯罪活动相关联，排除买卖、交换等中间环节，39.6%的涉案信息被用于违法甚至犯罪活动，如违规提取公积金或办理信用卡、同行不正当竞争、电信网络诈骗等。孙玲玲指出，此类犯罪的成因主要有以下三方面：从内部看，行业“内鬼”屡屡犯案，且团队化作案模式愈加成熟，一些“内外勾结”型犯罪甚至可以组建起从获取、交易直至变现、非法利用个人信息的全链条犯罪团伙；从外部看，监督管理体系仍需完善，防止信息流失滥用的制度功能还不足，超范围收集、使用等方面的问题仍较为突出，特别是面对格式条款、“一揽子”使用协议，公民寻求救济的途径、方式不明确，很难高效、有力维权；最后，技术升级迭代显著提升了信息非法获取的速度和体量，随着“木马”程序、“静默”插件、“爬虫”软件等信息技术手段的广泛运用，任意、快速抓取信息数据进而滥用、泄露的情况已不鲜见，且有不少知名互联网企业多次成为被侵害对象。据统计，有近三分之一的案件涉案公民个人信息来源于技术窃取。自2015年《刑法修正案（九）》对侵犯公民个人信息犯罪的相关规定修改以来，北京法院依法履行刑事审判职责，重点打击侵害个人高敏及敏感信息、未成年人等特殊群体个人信息、批量个人信息的案件。近三年来，司法机关借助“断卡”行动、打击“养老诈骗”等专项行动，加强对关联犯罪的纵深打击，从下游切断犯罪的利益链条。同时，坚持依法办案，加强审判规范化建设，全市法院落实以审判为中心的刑事诉讼制度改革，扎实推进庭审实质化，利用繁案精审、简案快审的繁简分流机制，提高审判质效。“全市法院着眼‘抓前端、治未病’，坚持治罪和治理并重，推动个人信息保护体系的建立和完善，为社会、行业的综合治理提供司法智慧。”孙玲玲表示，北京法院加大普法宣传力度，持续开展京法巡回讲堂普法工作，通过典型案例向社会公众以案释法。针对此类案件中暴露出的行业监管漏洞，及时制发司法建议，推动完善行业内部治理，从源头减少个人信息泄露风险。此次通报会发布了三起典型案例，分别是被告人沈某侵犯公民征信信息案、被告人胡某等人侵犯公民个人信息案、被告人秦某等人侵犯公民行踪轨迹信息案。北京高院刑事审判第一庭庭长肖江峰表示，这些案件涉及的信息类型多为高度敏感信息，与其他违法犯罪活动关联较紧密，体现了相关行业内部从业人员泄露个人信息的危害性。例如，被告人沈某曾任某大型国际信托有限公司项目经理，与某银行等金融机构多有业务往来，利用金融从业人员的职业便利以及“撞库”等非法技术手段获取了大量公民征信信息，社会危害严重，依法判处有期徒刑一年，并处罚金人民币四千元。被告人胡某以某科技有限公司的名义向北京某大型通信运营商申请批量办理手机号，通过被告人张某雇佣他人作为经办人，有偿使用张某提供的他人身份证件办理手机号，用于电信网络诈骗，诈骗金额共计约170余万元。最终，胡某犯侵犯公民个人信息罪、帮助信息网络犯罪活动罪，被判处有期徒刑四年，并处罚金人民币十二万元。被告人秦某、李某，直接或间接利用查询航班信息的工作便利，违反国家有关规定，共同及各自非法获取公民个人信息后向他人出售，导致众多不特定公民的行踪轨迹、身份证件等个人信息受到侵害，致使社会公共利益受损，法院在依法从严追究被告人刑事责任的同时，对附带民事公益诉讼部分进行了妥善审理，要求被告人承担相应的民事责任。他表示，希望社会和公众切实增强个人信息安全保护意识，谨防个人隐私数据被不法分子利用，给自己和他人带来不必要的损失；同时提醒企业进一步增强社会责任，完善管理制度，依法合规采集、使用公民个人信息。“全市法院将坚持以习近平新时代中国特色社会主义思想为指导，坚决践行习近平法治思想，依法履行好宪法和法律赋予的审判职责，准确惩治侵犯公民个人信息犯罪，加强法治宣传教育，深入参与社会治理，既充分保护个人信息合法权益，又积极促进个人信息合理利用，努力满足人民群众对美好生活的向往，为首都数字经济蓬勃发展做出更大的贡献。”孙玲玲说。来源：北京法院网END往期推荐

随着《网络安全法》《数据安全法》《个人信息保护法》等法律法规的陆续出台，关于数据安全宏观治理体系逐渐构建完整。数据安全和治理有通则，但行业细则更加重要。面对海量差异化的数据，行业安全状况表现如何？如何抓住行业痛点和难点保障安全？如何强化数据治理？成为数据安全行业治理需要回答和关注的问题。9月1日《数据安全法》实施两周年之际，南方财经合规科技研究院梳理金融、医疗、汽车三个行业的数据安全法律法规及相关治理实践。金融行业处于强监管之下，目前已经实施了多项金融数据标准，随着《中国人民银行业务领域数据安全管理办法（征求意见稿）》刚刚！央行发布《中国人民银行业务领域数据安全管理办法（征求意见稿）》（以下简称征求意见稿）的出台，金融数据安全的治理体系将更加完善。医疗数据安全关切用户个人隐私，在医疗行业数字化迅速推进的情况下，如何妥善处置医疗数据、如何强化医疗数据内部衔接与对接，成为医疗数据安全以及治理需要回答的问题。汽车数据安全方面，随着智能化、网联化的发展，汽车数据安全愈发重要，带有明显汽车产业特征的数据安全行业细则也已落地。金融数据：合规前提下明确促进开发利用作为一个数据密集型企业，数据对金融业的重要不言而喻。可以看到的是，金融数据具有高度敏感性，收集的信息涉及个人隐私、商业秘密，特定产业或企业的金融数据甚至涉及更高层面的机密和安全。作为现代经济核心角色的金融行业，安全是其发展底线。金融数据安全亦是数据要素流通、创造更大价值的底线。随着中国数据要素市场的建设和发展，在明确安全底线的前提下，促进金融数据要素流动以创造更大价值，成为金融机构和社会的内在需求。一段时间以来，监管层面频频释放信号，要求相关金融机构和产品重视金融数据安全。6月，国家金融监管总局向各地方银保监局、银行、保险、理财公司等机构下发了《关于加强第三方合作中网络和数据安全管理的通知》网银账户信息被窃取？监管出手整治银保机构外包服务！，要求各银行保险机构在与第三方商业机构开展业务合作时，应持续加强安全责任方面的跟踪监管。8月30日，国家金融监督管理总局、中国人民银行、中国证券监督管理委员会、国家互联网信息办公室、国家外汇管理局联合发布关于规范货币经纪公司数据服务有关事项的通知，指出要加强数据治理，确保数据安全，要求货币经纪公司需履行数据安全保护义务，将数据治理纳入公司治理范畴，严格落实信息科技监管要求等。法律法规层面，记者梳理发现，早在《数据安全法》出台之前，金融数据安全已经多个通知、指导文件，如2015年发布的《关于促进互联网金融健康发展的指导意见》提出网络与信息安全，《银行业金融机构数据治理指引》指导银行业金融机构加强数据治理，提高数据质量。标准建设方面，《信息技术安全技术信息安全管理体系》《证券期货业数据分类分级指引》《金融数据安全数据安全分级指南》一图读懂《金融数据安全

近日，接上级网信部门通报，南昌属地某高校所属IP疑似被黑客远程控制，并频繁对外发起网络攻击。经过立案调查、现场勘验、远程勘验（采样技术分析）、笔录问询等工作，查明：1.该高校未履行网络安全保护义务，未对运营的网络及信息系统开展网络安全等级保护测评等相关工作；2.该高校的防火墙配置策略存在缺陷，办公区域与服务器区域之间未作划分隔离，导致设备在感染了新型计算机病毒后横向传播，致使多台服务器和终端中毒；3.该高校未及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险，所属网络持续对内对外发起大规模网络攻击，导致产生危害网络安全的后果。该高校的相关行为违反了《中华人民共和国网络安全法》第二十一条、第二十五条的规定。8月21日，南昌市网信办依据《中华人民共和国网络安全法》第五十九条的规定，对该高校作出罚款5万元、对直接负责的主管人员作出罚款1万元的行政处罚。南昌市网信办将依法加大网络安全、数据安全、个人信息保护等领域执法力度，依法打击危害网络安全、数据安全、侵害公民个人信息等违法行为，切实维护网络安全、数据安全和社会公共利益，进一步营造安全稳定的网络环境。南昌某高校因数据泄露，被罚款80万！安全域盘点

Gartner最新发布的2023数据安全技术成熟度曲线（炒作周期图）增加了五项新技术：加密敏捷性、后量子密码学、量子密钥分发、主权数据策略和数字通信治理。此外，今年有八项技术被删除或重新分配。Gartner指出，一些CISO已经将量子计算视为一种不断变化的潜在威胁进行监控，并将监控委托给战略IT规划团队。Gartner还在今年的技术成熟度曲线（下图）中引入了加密敏捷性，以满足客户对该领域尽可能多的数据和知识的要求。Garnter表示，企业级数据安全集成是一个艰巨的挑战，Gartner预测这些挑战将改变或整合数据安全技术，包括数据安全态势管理(DSPM)、数据安全平台(DSP)和多云数据库活动监控(DAM)。Gartner认为，应对量子计算威胁、安全工具的融合和集成以及管理未知的影子IT数据是当务之急。Gartner数据安全技术成熟度曲线新增的五项技术将帮助CISO做好应对下一代量子威胁的准备，同时应对治理和数据主权方面的重大挑战。下面简单总结一下新增的五项技术：加密敏捷性加密敏捷性的目的是实时升级应用程序和系统中使用的加密算法，从而减轻基于量子计算的漏洞风险。Gartner表示，这将使企业能够用新的后量子加密技术取代易受攻击的算法，以抵御使用量子计算破解加密的攻击。随着未来五到七年量子计算能力的进步，加密敏捷性为CISO提供了一条安全加密的途径。后量子加密Gartner将这项新技术定义为基于新的量子安全算法，例如晶格密码学，这些算法可以抵抗量子计算机的解密。VentureBeat对金融贸易公司CISO的采访显示，后量子加密技术堆栈已经能够抵御量子计算风险和威胁。Gartner的最新补充内容可能会添加到路线图中，供负责商业银行和其他金融服务和机构的CISO进一步评估。领先的后量子加密技术供应商包括亚马逊、IBM和微软。量子密钥分发（QKD）该技术利用量子物理原理（包括光子纠缠）来创建和交换防篡改密钥。Gartner认为QKD是当今的一项利基技术，适用于对国家安全至关重要的应用场景，用于交换高价值数据。领先的供应商包括IDQuantique、MagiQTechnologies和东芝。主权数据策略主权数据策略是技术成熟度曲线的新增内容，支持数据安全治理、隐私影响评估、金融数据风险评估(FinDRA)和数据风险评估。主权数据战略反映了政府为其公民和经济提供强有力的治理和数据安全的努力。Gartner引用的用例包括隐私、安全、访问、使用、保留、共享法规、处理和持久性。Gartner表示，主权数据策略最终将成为任何需要跨主权司法管辖区完成交易的企业的必备能力。数字通信治理数字通信治理(DCG)解决方案用于监控、分析和执行员工消息传递、语音和视频合规政策。DCG平台还通过数据保留、监控、行为分析和电子发现来管理监管和公司治理要求，通过监控通信数据帮助合规团队识别不当行为并遵守法规。DCG还通过整合跨通信渠道的访问和执行，帮助CIO和CISO管理员工消息传递、语音和视频平台风险。领先的DCG供应商包括GlobalRelay、Proofpoint和Veritas。来源：GoUpSecEND往期推荐

门户、人力资源管理平台或公司电子邮件。此外，这些凭证还可以用于获得对公司网络的初始访问权限，以部署勒索软件、窃取或破坏内部文档、访问用户数据。【暴露的文件夹列表】暴露目录文件Cybernews

数据交易服务安全要求》征求意见稿征求意见的通知。为了进一步规范数据交易服务行业，为数据交易服务机构提供标准化管理依据，促进行业健康发展，国家标准化管理委员会于2023年下达针对《信息安全技术

2023年8月28日，杭州马拉松官网报名页面崩溃，显示大量报名者的个人信息，包括真实姓名、手机号码、身份证号等等。8月28日，杭州马拉松官网已紧急关闭报名入口，暂停报名。报名杭州马拉松的冯先生表示，他在官网登录自己的账号报名，却跳出来另一位参赛者刘先生的个人信息，包括姓名、身份证号、性别、出生日期、服装尺码等等。另有网友也在社交媒体表示，登录自己的账号查询是否成功报名，却显示了他人信息，包括姓名、身份证号、家庭住址、手机号等。官网信息显示，杭州马拉松的前身是西湖桂花国际马拉松和国际友好西湖马拉松赛，始于1987年10月，是中国历史上第三悠久的马拉松赛事。杭马的历史仅次于1981年9月创办的北京马拉松，和1987年5月创办的大连马拉松，是中国田协和国际马拉松及路跑协会(AIMS)备案的国际级马拉松赛事。据查询，杭州马拉松的运营服务商有过多次变更。2017年年末，浙江省体育局和阿里体育在杭州联合召开发布会，宣布签署战略合作，在平台、场馆、赛事等多个领域展开合作，包括用高科技互联网特色提升杭州马拉松的影响力等。随后，浙江采购网上公布了《2018-2021年杭州马拉松赛事市场开发和赛事运行服务合作方的中标候选人公示》。公示显示，阿里体育以超过1个亿的价格，成为第一中标候选人，智美赛事运营管理(浙江)公司为第二中标候选人。2022年，杭州马拉松与新的运营联合体，即浙江大丰体育文化发展有限公司、深圳赛格智美体育文化发展有限公司、浙江交通旅游传媒有限公司携手。官网显示，2023年杭州马拉松的运营商也是上述三家。最新情况：8月29日，杭州马拉松工作人员表示网站现已重新开放。来源：安知迅END往期推荐

近年来，全国信安标委、各行业标准委陆续发布了多项网络安全相关标准，指引着各行业网络安全建设工作有序开展。为全面了解近期标准建设情况，数据安全域整理了2023上半年我国发布的重要网络安全标准，供大家参考。1.