2024网络安全执法案例集.docx

2024网络安全执法案例集

发布机构：安全内参、奇安信行业安全研究中心2024年9月

报告简介

?本报告由《安全内参》和奇安信行业安全研究中心联合编写，旨在结合具体执法案例，帮助网络安全工作者、政企机构管理者加强网络安全合规建设水平。

?报告收录的全部案例，均来自《安全内参》收集整理的2023年~2024年6月底互联网公开信息，每页案例备注部分均提供了相关新闻链接。您可以在《安全内参》官方网站上检索相关新闻原文：/

?本次报告共收录：政府与事业单位（2起）、能源（2起）、交通运输（3起）、教育培训（4起）、医疗卫生（8起）、IT信息技术（8起）、生活服务（4起）这七大行业的典型网络安全执法案例31起（包括行政处罚与刑事案件）。

?其中，涉及数据安全的事件27起、涉及个人信息安全事件14起、一案双查事件18起，涉及个人及黑产团伙犯罪事件10起，涉及内鬼作案或内部人员违规事件5起。

主要观点

?从公开的执法案例信息总结来看，数据已泄露或存在重大数据泄露风险，是政企机构遭到网络安全行政处罚的首要原因。涉事企业普遍存在未建立健全全流程数据安全管理制度、未组织开展数据安全教育培训、未采取相应的技术措施和其他必要措施、未对其数据处理活动开展风险监测等问题。

?未履行必要的法律义务、安全建设与运维存在重大疏失，是造成涉事机构被处罚的主要原因。通常情况下，受处罚的不仅仅是涉事机构本身，其信息化主管人员或网络安全主要责任人个人，也会同样会遭到不同程度的处罚。就本次报告收录的案例而言，经济处罚（即罚款）仍然是当前最为主要的行政处罚形式。

主要观点

?黑产团伙的犯罪活动不容小觑。在本次报告收录的10起与网络犯罪活动相关的案例中，犯罪分子不仅会窃取相关机构的数据，还会进行篡改数据、操控系统、恶意抢号、盗刷医保卡等多种违法犯罪活动。而被攻击的政企机构，在事后还很有可能会遭到“一案双查”——被攻击的政企机构如果存在显著的未履行网络安全相关法律义务的行为，同样会遭到公安机关的行政处罚。

?此外，内鬼作案也不容忽视。本次报告共收录4起内鬼作案案例和1起内部人员显著违规操作案例。内鬼的身份多种多样，有的内鬼是技术人员、有的内鬼是供应商或合作伙伴、还有的内鬼仅仅是医院的护工。

相关法律依据

?本次报告收录的网络安全执法案例，处罚依据主要涉及以下几部法律法规

?《中华人民共和国刑法》，简称：《刑法》

?《中华人民共和国刑法修正案(七)》，简称：《刑法修正案(七)》

?《中华人民共和国网络安全法》，简称：《网络安全法》

?《中华人民共和国数据安全法》，简称：《数据安全法》

?《中华人民共和国个人信息保护法》，简称：《个人信息保护法》

?《信息安全等级保护管理办法》，简称：《等保条例》

目录

01政府与事业单位

02能源

03交通运输

04教育培训

05

06

07

医疗卫生

IT信息技术生活服务

行业：政府与事业单位

政府与事业单位行业综述

?本次报告共收录政府与事业单位网络安全执法典型案例2起。

?2起案例均为数据安全事件，一起为数据篡改事件、一起为数据泄露事件。其中，数据泄露事件将1.5万余条中国公民个人信息泄露至境外。

?特别值得注意的是，导致某地政府数据泄露事件，是由于承包商违规将政务数据置于互联网进行测试而导致的。这再次提醒我们供应链安全的重要行，同时，即便是开发过程中，或者是短时间的线上测试过程中，也必须严格遵守安全规则，都则就有可能成为攻击者的目标。

?与其他行业相比，政府及事业单位的数据安全事件，往往具有更大的社会影响面。但很多地方政府的网站平台，又恰恰缺乏有效的网络安全建设与运营，存在巨大安全风险。

?本章节的信息来源为《安全内参》：/

违法/犯罪主体

违法/犯罪主体

黑产团伙、政企机构

违法/犯罪性质

数据篡改、建设运维管理疏失

所属行业

政府与事业单位

影响范围

政企机构利益

关键词

信息系统数据遭篡改

触犯法条

《网络安全法》第二十一、五十九条

机构责任

未履行安全保护义务

涉及领域

数据安全

案例回顾

2023年9月，天津公安南开分局网络安全保卫支队接到线索：辖区内某单位的重要信息系统数据遭到恶意篡改，严重危害网络安全！

南开分局网络安全保卫支队分析发现，该单位运营使用的信息系统存在多重问题：一是防范网络侵入技术措施不完善，物理网络环境内部存在监测漏洞；二是监测、记录网络运行状态的网络日志不足6个月；三是对于安全缺陷、漏洞等风险，该单位未