公安網(wǎng)安部門(mén)深入開(kāi)展“護(hù)網(wǎng)—2026”專(zhuān)項(xiàng)工作，涉及數(shù)據(jù)全力維護(hù)重要網(wǎng)絡(luò)係統(tǒng)和數(shù)據(jù)安全。重網(wǎng)今日，絡(luò)系例被公布3起不履行數(shù)據(jù)安全保護(hù)義務(wù)或網(wǎng)絡(luò)安全保護(hù)義務(wù)案。統(tǒng)和

　　案例1

　　某醫(yī)療機(jī)構(gòu)不履行數(shù)據(jù)安全保護(hù)義務(wù)案

　　醫(yī)療機(jī)構(gòu)信息管理係統(tǒng)承擔(dān)著醫(yī)護(hù)工作數(shù)據(jù)等敏感個(gè)人信息和重要數(shù)據(jù)的存儲(chǔ)、處理與流轉(zhuǎn)。起典然而，型案部分醫(yī)療機(jī)構(gòu)追求業(yè)務(wù)便捷，公布忽視係統(tǒng)權(quán)限管理、涉及數(shù)據(jù)數(shù)據(jù)安全防護(hù)和風(fēng)險(xiǎn)監(jiān)測(cè)，重網(wǎng)導(dǎo)致醫(yī)護(hù)工作數(shù)據(jù)麵臨泄露風(fēng)險(xiǎn)。絡(luò)系例被近日，統(tǒng)和福建漳州公安網(wǎng)安部門(mén)依法查處一起不履行數(shù)據(jù)安全保護(hù)義務(wù)的安全案件。

　　經(jīng)查，起典福建漳州某醫(yī)療機(jī)構(gòu)的型案信息管理係統(tǒng)內(nèi)部權(quán)限管理混亂，工作人員可跨權(quán)限操作；部分工作人員為方便工作，導(dǎo)出1800餘條工作數(shù)據(jù)存儲(chǔ)於未部署有效安全防護(hù)措施的互聯(lián)網(wǎng)電腦。目前，屬地公安機(jī)關(guān)依據(jù)《中華人民共和國(guó)數(shù)據(jù)安全法》對(duì)涉事醫(yī)療機(jī)構(gòu)依法予以行政處罰，並責(zé)令改正。

　　網(wǎng)警提示

　　醫(yī)療工作數(shù)據(jù)涉及患者病曆、診斷記錄、檢驗(yàn)檢查、用藥記錄、護(hù)理記錄等，屬於敏感個(gè)人信息。一旦泄露或非法使用，容易導(dǎo)致患者人格尊嚴(yán)受侵害或人身、財(cái)產(chǎn)受危害。醫(yī)療機(jī)構(gòu)應(yīng)當(dāng)切實(shí)落實(shí)製度全流程、權(quán)限最小化、導(dǎo)出可管控、終端有防護(hù)、風(fēng)險(xiǎn)能監(jiān)測(cè)、事件可應(yīng)急、人員有培訓(xùn)、責(zé)任能落地等要求，做好數(shù)據(jù)安全保護(hù)。

　　一是嚴(yán)格權(quán)限管控，落實(shí)最小授權(quán)。按崗位、職責(zé)設(shè)定係統(tǒng)訪問(wèn)權(quán)限，禁止跨權(quán)限操作和默認(rèn)超級(jí)權(quán)限；對(duì)非本人負(fù)責(zé)的患者數(shù)據(jù)導(dǎo)出實(shí)行審批、留好記錄；定期複核權(quán)限，人員轉(zhuǎn)崗、離職及時(shí)回收賬號(hào)。

　　二是規(guī)範(fàn)數(shù)據(jù)流轉(zhuǎn)，加強(qiáng)終端防護(hù)。敏感數(shù)據(jù)導(dǎo)出必須確有必要並加密、脫敏，嚴(yán)禁將病曆等數(shù)據(jù)長(zhǎng)期存放於未部署安全防護(hù)的互聯(lián)網(wǎng)電腦和其他終端；對(duì)醫(yī)護(hù)電腦統(tǒng)一安裝終端安全、磁盤(pán)加密和防泄漏工具，落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)要求，杜絕數(shù)據(jù)“裸奔”。

　　三是強(qiáng)化風(fēng)險(xiǎn)監(jiān)測(cè)，完善應(yīng)急機(jī)製。對(duì)係統(tǒng)登錄、查詢(xún)、導(dǎo)出等行為全程日誌記錄，並建立異常行為告警和數(shù)據(jù)庫(kù)審計(jì)機(jī)製；定期開(kāi)展漏洞掃描和安全評(píng)估，及時(shí)處置安全風(fēng)險(xiǎn)；製定數(shù)據(jù)安全事件應(yīng)急預(yù)案，發(fā)生泄露立即處置並按規(guī)定上報(bào)主管部門(mén)，防止損失擴(kuò)大。

　　四是健全管理製度，壓實(shí)人員責(zé)任。建立全流程數(shù)據(jù)安全管理製度，明確醫(yī)院及科室負(fù)責(zé)人責(zé)任；將數(shù)據(jù)安全納入新員工入職和年度培訓(xùn)，提升其安全意識(shí)；與運(yùn)維廠商等第三方簽訂保密協(xié)議，不定期抽查協(xié)議執(zhí)行情況；對(duì)違規(guī)導(dǎo)出、存儲(chǔ)等行為嚴(yán)肅問(wèn)責(zé)，確保安全義務(wù)落到具體崗位和個(gè)人。

　　案例2

　　某公司不履行數(shù)據(jù)安全保護(hù)義務(wù)案

　　企事業(yè)單位的來(lái)訪登記係統(tǒng)承載著訪客姓名、來(lái)訪事由、聯(lián)係方式等信息。這類(lèi)“邊緣係統(tǒng)”往往因不屬於核心業(yè)務(wù)係統(tǒng)而缺乏基本安全防護(hù)，淪為數(shù)據(jù)安全鏈條中最薄弱的一環(huán)，極易被攻擊者利用，導(dǎo)致個(gè)人信息泄露。近日，福建龍巖公安網(wǎng)安部門(mén)依法查處一起此類(lèi)不履行數(shù)據(jù)安全保護(hù)義務(wù)的案件。

　　經(jīng)查，福建龍巖某公司自建的來(lái)訪登記係統(tǒng)中存儲(chǔ)了訪客姓名、來(lái)訪事由等個(gè)人信息，但該公司錯(cuò)誤地認(rèn)為“非核心業(yè)務(wù)係統(tǒng)”即“無(wú)安全風(fēng)險(xiǎn)”，既未采取有效的數(shù)據(jù)安全技術(shù)措施，也未落實(shí)數(shù)據(jù)安全管理義務(wù)，導(dǎo)致有關(guān)數(shù)據(jù)長(zhǎng)期處?kù)恫辉O(shè)防狀態(tài)，隨時(shí)麵臨被竊取、篡改或泄露的風(fēng)險(xiǎn)。

　　目前，屬地公安機(jī)關(guān)依據(jù)《中華人民共和國(guó)數(shù)據(jù)安全法》對(duì)涉事公司依法予以行政處罰，並責(zé)令改正。

　　網(wǎng)警提示

　　安全防護(hù)沒(méi)有“局外人”，對(duì)“邊緣係統(tǒng)”的疏忽，可能演變?yōu)閿?shù)據(jù)安全的“潰堤之蟻”。各單位應(yīng)當(dāng)引以為戒，摒棄僥幸心理，把“四個(gè)務(wù)必”作為剛性要求，將數(shù)據(jù)安全保護(hù)融入係統(tǒng)建設(shè)與日常管理的每一個(gè)環(huán)節(jié)。

　　一是務(wù)必摸清“家底賬”，消除管理盲區(qū)。全麵梳理本單位所有自建係統(tǒng)，特別是來(lái)訪登記、考勤打卡、會(huì)議室預(yù)約等非核心業(yè)務(wù)係統(tǒng)，建立清單、逐一體檢，做到心中有數(shù)、不留死角。

　　二是務(wù)必裝好“防護(hù)盾”，夯實(shí)技術(shù)基礎(chǔ)。無(wú)論係統(tǒng)規(guī)模大小，凡涉及數(shù)據(jù)處理，就必須嚴(yán)格按照網(wǎng)絡(luò)安全等級(jí)保護(hù)製度要求，部署防病毒、防火牆、入侵檢測(cè)等基礎(chǔ)安全措施，杜絕係統(tǒng)“帶病運(yùn)行”。

　　三是務(wù)必管好“責(zé)任人”，壓實(shí)安全責(zé)任。明確每個(gè)係統(tǒng)的數(shù)據(jù)安全負(fù)責(zé)人，建立健全全流程數(shù)據(jù)安全管理製度，定期開(kāi)展安全培訓(xùn)與風(fēng)險(xiǎn)自查，確保安全責(zé)任落實(shí)到崗、具體到人。

　　四是務(wù)必備好“應(yīng)急案”，確保有備無(wú)患。針對(duì)非核心係統(tǒng)同步建立網(wǎng)絡(luò)安全應(yīng)急管理機(jī)製，明確應(yīng)急責(zé)任人、處置流程和上報(bào)時(shí)限。一旦發(fā)生數(shù)據(jù)泄露或係統(tǒng)入侵，立即啟動(dòng)預(yù)案，先行斷網(wǎng)止損、保全證據(jù)、留存日誌，並第一時(shí)間向?qū)俚毓矙C(jī)關(guān)報(bào)告，杜絕遲報(bào)、漏報(bào)、瞞報(bào)。

　　案例3

　　某公司不履行網(wǎng)絡(luò)安全保護(hù)義務(wù)案

　　福建泉州公安網(wǎng)安部門(mén)日常工作發(fā)現(xiàn)，轄區(qū)某公司話務(wù)係統(tǒng)存在大量異常外撥行為，隨即對(duì)該單位開(kāi)展線下檢查，發(fā)現(xiàn)該公司長(zhǎng)期忽視測(cè)試服務(wù)器的安全管理。在對(duì)其話務(wù)係統(tǒng)開(kāi)展聯(lián)網(wǎng)業(yè)務(wù)測(cè)試過(guò)程中，未按照《中華人民共和國(guó)網(wǎng)絡(luò)安全法》等法律法規(guī)要求，采取技術(shù)手段保障測(cè)試服務(wù)器的網(wǎng)絡(luò)安全。在完成測(cè)試後亦未及時(shí)將話務(wù)係統(tǒng)關(guān)閉下線，致使該係統(tǒng)遭網(wǎng)絡(luò)攻擊入侵。攻擊者在控製係統(tǒng)後，利用其外呼功能實(shí)施不法行為。

　　目前，屬地公安機(jī)關(guān)依據(jù)《中華人民共和國(guó)網(wǎng)絡(luò)安全法》對(duì)涉事公司依法予以行政處罰，並責(zé)令其限期改正。網(wǎng)絡(luò)攻擊入侵將另案處理。

　　網(wǎng)警提示

　　該案集中反映出部分企業(yè)作為網(wǎng)絡(luò)運(yùn)營(yíng)者在履行網(wǎng)絡(luò)安全保護(hù)義務(wù)方麵存在主體責(zé)任落實(shí)不到位、網(wǎng)絡(luò)安全意識(shí)薄弱、忽視測(cè)試環(huán)境防護(hù)、管理流程存在缺陷、監(jiān)測(cè)響應(yīng)機(jī)製缺失等問(wèn)題，各網(wǎng)絡(luò)運(yùn)營(yíng)者應(yīng)當(dāng)摒棄“測(cè)試環(huán)境無(wú)風(fēng)險(xiǎn)”的認(rèn)知，將測(cè)試係統(tǒng)納入統(tǒng)一安全基線，同步更新補(bǔ)丁、關(guān)閉非必要服務(wù)，並加強(qiáng)權(quán)限管理。同時(shí)建立應(yīng)急響應(yīng)預(yù)案，一旦遭遇網(wǎng)絡(luò)攻擊或發(fā)現(xiàn)異常，應(yīng)當(dāng)?shù)谝粫r(shí)間向?qū)俚毓矙C(jī)關(guān)報(bào)案。