网络安全行政执法案例_132页_2mb

网络安全行政执法案例总结

核心内容

本报告由奇安信行业安全研究中心联合《安全内参》发布，分析了2019年1月至2020年5月期间，1000余起网络安全行政执法案例中的100则典型案例。主要涵盖政府及事业单位、公检法、金融、交通运输、运营商、医疗卫生等行业，揭示了政企机构在网络安全建设与运维管理方面的疏漏及其带来的严重后果。

主要观点

1. 建设运维管理疏失是主要问题：约62.4%的案例因政企机构在建设运维管理方面存在疏漏，如未落实等级保护制度、未及时修补漏洞、未制定内部安全管理制度等，导致信息泄露、网页篡改、系统瘫痪等问题。
2. 内部人员违规是重要风险源：约12.9%的案例涉及企业或机构内部人员违反法律法规，非法获取或出售公民信息，导致机构受损。
3. 外部入侵风险不可忽视：约15.8%的案例为外部黑客攻击，如DDOS攻击、木马植入、非法跳转等，对机构和公众利益造成严重影响。
4. 法律合规至关重要：多数案例涉及《网络安全法》《刑法》《计算机信息网络国际联网安全保护管理办法》等法律法规，强调网络运营者需履行安全保护义务，包括信息采集、使用、存储、备份、日志留存等。
5. 影响范围广泛：86.1%的案例涉及公众利益，72.3%涉及政企机构利益，表明网络安全问题对社会影响深远。

关键信息

1. 政府及事业单位典型案例

• 案例类型：信息泄露、网页篡改、未备案、未落实等保制度、弱口令、未有效管理等。
• 主要问题：
  • 内部人员泄露公民信息非法获利。
  • 未落实网络安全等级保护制度，导致信息泄露或系统被篡改。
  • 未对网络服务进行备案，违反相关规定。
• 处罚措施：行政警告、责令整改、罚款、停机整顿等。
• 法律依据：《网络安全法》第21条、第44条、第45条、第59条等。

2. 公检法行业典型案例

• 案例类型：内部人员非法出售或获取公民个人信息、黑客攻击、非法提供网络服务等。
• 主要问题：
  • 内部人员利用职务便利非法获取并出售个人信息。
  • 未建立安全管理制度，导致系统被非法入侵。
  • 未对用户身份进行有效校验，导致信息泄露。
• 处罚措施：刑事拘留、有期徒刑、罚金、责令整改等。
• 法律依据：《网络安全法》第44条、第45条、第64条等。

3. 金融行业典型案例

• 案例类型：信息泄露、非法采集用户数据、黑客攻击、漏洞利用等。
• 主要问题：
  • 金融机构未对用户身份信息进行有效校验。
  • 网络平台存在漏洞，被恶意利用。
  • 金融团队非法出售公民个人信息。
• 处罚措施：行政警告、罚款、责令整改、刑事处罚等。
• 法律依据：《网络安全法》第27条、第41条、第64条等。

4. 交通运输行业典型案例

• 案例类型：黑客攻击、未备案、信息泄露、漏洞利用等。
• 主要问题：
  • 未落实网络安全等级保护制度。
  • 未明示信息使用目的，涉嫌非法采集个人信息。
  • 未及时处置系统漏洞，导致信息泄露。
• 处罚措施：行政警告、罚款、责令整改等。
• 法律依据：《网络安全法》第21条、第27条、第59条等。

5. 运营商行业典型案例

• 案例类型：内部人员泄露客户信息、系统漏洞未修复等。
• 主要问题：
  • 员工利用职务之便非法获取并出售客户信息。
  • 系统存在高危漏洞，未及时修补，导致信息泄露。
• 处罚措施：行政警告、罚款、责令整改等。
• 法律依据：《网络安全法》第21条、第25条、第44条、第59条等。

6. 医疗卫生行业典型案例

• 案例类型：黑客攻击、未落实等保制度、内部人员非法出售信息等。
• 主要问题：
  • 医疗机构未落实等级保护制度，导致系统被攻击。
  • 内部人员利用职务便利非法获取并出售产妇、新生儿等敏感信息。
  • 医疗科技公司未明示隐私协议，涉嫌非法收集用户信息。
• 处罚措施：行政警告、罚款、责令整改等。
• 法律依据：《网络安全法》第21条、第41条、第44条、第59条等。

行业分布与违法主体

总结

网络安全行政执法案例表明，政企机构在网络安全建设与运维管理方面存在诸多疏漏，导致大量信息泄露、系统瘫痪、违法信息传播等事件。多数案件涉及内部人员违规，如非法出售个人信息、利用职务之便获取信息等，也有部分因外部黑客攻击或系统漏洞未及时修复而引发。法律对这些行为有明确处罚规定，强调了网络运营者必须履行安全保护义务，加强内部管理，落实等级保护制度，防止网络数据泄露、非法使用等行为的发生。各行业需高度重视网络安全，完善制度，加强技术防护，以避免类似问题再次发生。