第二起是企業(yè)系統(tǒng)存在漏洞,，致使個(gè)人信息泄露,。上海市網(wǎng)信辦通報(bào)，某醫(yī)療科技公司所屬系統(tǒng)存在網(wǎng)絡(luò)安全漏洞,，致使系統(tǒng)大量個(gè)人信息數(shù)據(jù)發(fā)生泄漏被境外IP訪問竊取,。經(jīng)調(diào)查核實(shí)，該公司的系統(tǒng)未采取有效網(wǎng)絡(luò)安全防護(hù)措施,，存在未授權(quán)訪問漏洞,，網(wǎng)絡(luò)和數(shù)據(jù)安全管理制度不完善，網(wǎng)絡(luò)日志留存不足6個(gè)月,，造成數(shù)據(jù)泄漏被竊取，違反了《數(shù)據(jù)安全法》第二十七條規(guī)定,。針對(duì)以上違法情況,，上海市網(wǎng)信辦依據(jù)《數(shù)據(jù)安全法》第四十五條規(guī)定對(duì)該醫(yī)療科技公司給予警告，并處以罰款的行政處罰,。通過這兩起案例可以看出,，無論是企業(yè)還是個(gè)人,，都需要承擔(dān)起保護(hù)個(gè)人信息安全的責(zé)任。特別是企業(yè),，作為數(shù)據(jù)處理的關(guān)鍵一環(huán),，企業(yè)必須確保個(gè)人信息在收集、存儲(chǔ),、使用,、傳輸?shù)雀鱾€(gè)環(huán)節(jié)中的安全。否則一旦發(fā)生個(gè)人信息的安全事件,，企業(yè)及相關(guān)個(gè)人可能將面臨法律的制裁,。二、優(yōu)化數(shù)據(jù)處理流程的實(shí)踐01明確數(shù)據(jù)收集目的與范圍企業(yè)應(yīng)明確數(shù)據(jù)收集的目的和范圍,，遵循“**小必要原則”,，只收集實(shí)現(xiàn)業(yè)務(wù)功能所必需的個(gè)人信息。同時(shí),，應(yīng)通過隱私政策等方式,，向個(gè)人信息主體清晰告知數(shù)據(jù)收集的目的、方式,、范圍及保護(hù)措施,，確保信息主體的知情權(quán)。02加強(qiáng)數(shù)據(jù)加密與存儲(chǔ)安全在數(shù)據(jù)存儲(chǔ)環(huán)節(jié),。 企業(yè)可以采取如下創(chuàng)新策略來應(yīng)對(duì)安全投入縮減的挑戰(zhàn),。江蘇銀行信息安全供應(yīng)商

    在數(shù)據(jù)泄露事件中，有近三分之一的事件源于數(shù)據(jù)機(jī)密性受到損害,，而個(gè)人信息是泄露**為嚴(yán)重的種類,；此外，報(bào)告注意到,，無加密勒索攻擊在持續(xù)增長(zhǎng),。至于目標(biāo)大多聚焦在哪些行業(yè)？據(jù)報(bào)告顯示,，醫(yī)療**行業(yè)（1220起）仍在眾多行業(yè)數(shù)據(jù)泄露事件統(tǒng)計(jì)排名中**,，教育（1537起）、科學(xué)技術(shù)服務(wù)業(yè)（1314起）因高價(jià)值數(shù)據(jù)以及相對(duì)滯后的安全保護(hù)措施,，異軍突起,，躍升為數(shù)據(jù)泄露**嚴(yán)重的行業(yè)，金融保險(xiǎn)業(yè)（1115起）,、公共管理（1085起）則緊隨其后,。數(shù)據(jù)安全事件盤點(diǎn)（不完全統(tǒng)計(jì)）安言按照數(shù)據(jù)安全法給出的事件類型，盤點(diǎn)了2024年國(guó)內(nèi)外數(shù)據(jù)安全事件，以下是具體內(nèi)容,。01數(shù)據(jù)泄露1,、****企業(yè)薩博公司內(nèi)部數(shù)據(jù)遭泄露據(jù)知道創(chuàng)宇暗網(wǎng)雷達(dá)監(jiān)測(cè)，薩博SAAB公司內(nèi)部數(shù)據(jù)在***泄露,，初步判定數(shù)據(jù)為2022-2023時(shí)間段,，數(shù)據(jù)大小GB，售價(jià)1500$,。2,、泰國(guó)5500萬公民*苗信息疑遭泄漏泰國(guó)網(wǎng)站*苗登記記錄中獲得的5500萬泰國(guó)公民個(gè)人信息。泰國(guó)刑事法院緊急發(fā)布命令***了該網(wǎng)站,。3,、“數(shù)據(jù)泄露之母”：12TB；260億條泄露數(shù)據(jù)記錄網(wǎng)絡(luò)安全研究人員發(fā)現(xiàn)了一個(gè)巨型數(shù)據(jù)庫(kù),，其中包含了至少260億條泄露的數(shù)據(jù)記錄,，被視為迄今為止**大的泄露數(shù)據(jù)庫(kù)，堪稱“數(shù)據(jù)泄露之母”,。4,、美國(guó)某金融公司遭遇網(wǎng)絡(luò)攻擊。 江蘇金融信息安全管理繼續(xù)致力于推動(dòng)數(shù)據(jù)安全管理工作的深入開展和創(chuàng)新實(shí)踐,，為企業(yè)業(yè)務(wù)的穩(wěn)健發(fā)展提供堅(jiān)實(shí)保障,。

信息安全內(nèi)控度量正是要解決這種問題，通過大量可量化的,、具有代表性的指標(biāo)對(duì)信息安全管理情況進(jìn)行量化的分析和評(píng)價(jià),。安全度量的必要性度量和審計(jì)的差異與關(guān)聯(lián)比較項(xiàng)審計(jì)度量發(fā)起方內(nèi)部/外部?jī)?nèi)部關(guān)注重點(diǎn)合規(guī)性包括但不限于合規(guī)性活動(dòng)持續(xù)時(shí)間階段周期/持續(xù)評(píng)價(jià)方式定性為主定量為主產(chǎn)出物審計(jì)報(bào)告安全管理績(jī)效3.實(shí)施方法論和依據(jù)信息安全內(nèi)控度量體系理論支持任何體系的構(gòu)建都需要相應(yīng)的標(biāo)準(zhǔn)及理論支持，信息安全度量作為評(píng)價(jià)信息安全管理的重要手段之一也不例外,，國(guó)際上已經(jīng)有了一些較為成熟的體系及標(biāo)準(zhǔn)為度量體系的建設(shè)提供支持,，Cobit和ISO27004就是較為典型的兩個(gè)。作為IT治理框架,，Cobit提供了一個(gè)IT管理框架以及配套的支撐工具集,，這些都是為了幫助管理者通過IT過程管理IT資源實(shí)現(xiàn)IT目標(biāo)滿足業(yè)務(wù)需求。Cobit建立了一個(gè)包含7個(gè)業(yè)務(wù)需求,、20個(gè)業(yè)務(wù)目標(biāo),、28個(gè)IT目標(biāo)、34個(gè)IT過程,、100多個(gè)控制管理目標(biāo)的IT管理框架,，通過控制度、度量,、標(biāo)準(zhǔn)三個(gè)緯度來度量IT過程能力,。ISO27004作為ISO27000系列中的一個(gè)重要組成部分,，對(duì)信息安全度量目標(biāo),、度量項(xiàng),、度量過程、度量值乃至度量實(shí)施都給出了指引,。

    信息安全｜關(guān)注安言車聯(lián)網(wǎng)安全作為智能網(wǎng)聯(lián)汽車領(lǐng)域的重要組成部分,，正日益成為影響汽車行業(yè)發(fā)展、道路交通安全乃至**信息安全的關(guān)鍵因素,。隨著物聯(lián)網(wǎng),、大數(shù)據(jù)、云計(jì)算,、人工智能等技術(shù)的飛速發(fā)展,，車輛與車輛、車輛與道路基礎(chǔ)設(shè)施,、車輛與云端平臺(tái)之間的數(shù)據(jù)交互日益頻繁,，為駕駛者提供了更加便捷、智能的出行體驗(yàn),。然而,，這種高度互聯(lián)的狀態(tài)也帶來了前所未有的安全挑戰(zhàn)，包括數(shù)據(jù)安全,、隱私保護(hù),、系統(tǒng)穩(wěn)定性及車輛控制安全等多個(gè)方面。為了有效應(yīng)對(duì)這些挑戰(zhàn),，2024年9月20日,，**市場(chǎng)監(jiān)督管理總局、**標(biāo)準(zhǔn)化管理**會(huì)批準(zhǔn)發(fā)布了《汽車整車信息安全技術(shù)要求》等8項(xiàng)強(qiáng)制性**標(biāo)準(zhǔn)和《智能網(wǎng)聯(lián)汽車術(shù)語和定義》等10項(xiàng)推薦性**標(biāo)準(zhǔn),。其中,，有3項(xiàng)強(qiáng)制性**標(biāo)準(zhǔn)和1項(xiàng)推薦性**標(biāo)準(zhǔn)與車聯(lián)網(wǎng)數(shù)據(jù)安全及網(wǎng)絡(luò)安全有關(guān)。發(fā)布標(biāo)準(zhǔn)的目的在于增強(qiáng)汽車領(lǐng)域安全防護(hù)能力,、筑牢汽車網(wǎng)絡(luò)和數(shù)據(jù)安全防護(hù)基線,、提升汽車產(chǎn)品性能質(zhì)量、促進(jìn)技術(shù)創(chuàng)新發(fā)展和產(chǎn)業(yè)轉(zhuǎn)型升級(jí),。車聯(lián)網(wǎng)安全所面臨的挑戰(zhàn)從近年來發(fā)生的車聯(lián)網(wǎng)安全事件來看,，車聯(lián)網(wǎng)系統(tǒng)面臨著來自***和惡意用戶的網(wǎng)絡(luò)攻擊，包括但不限于**,、篡改,、偽造數(shù)據(jù)等，這些攻擊可能導(dǎo)致車輛被非法控制,、數(shù)據(jù)泄露或系統(tǒng)癱瘓,。同時(shí)。 經(jīng)濟(jì)欠佳，企業(yè)往往會(huì)在安全投入方面進(jìn)行縮減,。然而,，這并不意味著企業(yè)需要放棄對(duì)數(shù)據(jù)安全的管理。

風(fēng)險(xiǎn)評(píng)估服務(wù)的實(shí)施流程包括規(guī)劃與準(zhǔn)備階段：確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)和范圍,。這需要與組織的管理層和相關(guān)部門進(jìn)行溝通,，明確要評(píng)估的信息系統(tǒng)、業(yè)務(wù)流程和資產(chǎn)范圍,。例如,，是對(duì)整個(gè)企業(yè)的信息安全進(jìn)行多方面評(píng)估，還是只針對(duì)某個(gè)新上線的業(yè)務(wù)系統(tǒng)進(jìn)行評(píng)估,。組建評(píng)估團(tuán)隊(duì),，團(tuán)隊(duì)成員通常包括信息安全專業(yè)人員、網(wǎng)絡(luò)工程師,、系統(tǒng)管理員等專業(yè)人員,。收集相關(guān)的文檔和資料，如網(wǎng)絡(luò)拓?fù)鋱D,、系統(tǒng)配置文件,、安全策略文檔、業(yè)務(wù)流程說明等,，這些資料將為后續(xù)的評(píng)估工作提供基礎(chǔ),。對(duì)于在安全工作中表現(xiàn)突出的員工，企業(yè)應(yīng)給予相應(yīng)的獎(jiǎng)勵(lì)和表彰,。企業(yè)信息安全設(shè)計(jì)

通過分層同意（如區(qū)分必要與非必要數(shù)據(jù)收集）,，并在用戶撤回同意時(shí)提供替代服務(wù)方案。江蘇銀行信息安全供應(yīng)商

3.實(shí)施數(shù)據(jù)分類分級(jí)保護(hù)：對(duì)企業(yè)數(shù)據(jù)資產(chǎn)進(jìn)行***梳理和分類分級(jí),，明確各類數(shù)據(jù)的保護(hù)等級(jí)和相應(yīng)的保護(hù)措施,。對(duì)于重要數(shù)據(jù)和**數(shù)據(jù)，需采取更為嚴(yán)格的保護(hù)措施,，如加密,、訪問控制等。4.加強(qiáng)跨境數(shù)據(jù)流動(dòng)管理：對(duì)于需要跨境傳輸?shù)臄?shù)據(jù),，建立跨境數(shù)據(jù)流動(dòng)管理制度,，明確跨境數(shù)據(jù)流動(dòng)的安全評(píng)估和審批流程。同時(shí),，加強(qiáng)與**數(shù)據(jù)保護(hù)法規(guī)的對(duì)接,，確保跨境數(shù)據(jù)流動(dòng)的合法合規(guī),。5.關(guān)注互聯(lián)網(wǎng)平臺(tái)運(yùn)營(yíng)合規(guī)：對(duì)于運(yùn)營(yíng)互聯(lián)網(wǎng)平臺(tái)的企業(yè),，需密切關(guān)注相關(guān)法規(guī)的動(dòng)態(tài)變化,，確保平臺(tái)運(yùn)營(yíng)合規(guī)。在實(shí)施重大事項(xiàng)時(shí),，需及時(shí)申報(bào)網(wǎng)絡(luò)安全審查,，避免違規(guī)操作帶來的法律風(fēng)險(xiǎn)。6.制定應(yīng)急預(yù)案和響應(yīng)機(jī)制：建立完善的數(shù)據(jù)安全應(yīng)急預(yù)案和響應(yīng)機(jī)制,，確保在發(fā)生數(shù)據(jù)安全事件時(shí)能夠迅速響應(yīng),、有效控制事態(tài)發(fā)展,。加強(qiáng)應(yīng)急演練和培訓(xùn),，提高應(yīng)急處置能力?！毒W(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（草案）》的出臺(tái),，標(biāo)志著我國(guó)網(wǎng)絡(luò)數(shù)據(jù)安全管理進(jìn)入了一個(gè)新的階段。作為企業(yè)**的數(shù)據(jù)安全第一責(zé)任人,，我們應(yīng)深入理解《條例》的**內(nèi)容和適用場(chǎng)景,，并在年底做好明年的重點(diǎn)規(guī)劃措施。數(shù)據(jù)安全是當(dāng)前企業(yè)和**安全工作的重點(diǎn),，保障數(shù)據(jù)安全就是保障企業(yè)的生命線,。《網(wǎng)絡(luò)數(shù)據(jù)安全管理?xiàng)l例（草案）》指出,。 江蘇銀行信息安全供應(yīng)商