涉及重要网络系统和数据安全 3起典型案例公布

　　中新网10月31日电 据“公安部网安局”微信公众号消息，公安网安部门深入开展“护网—2026”专项工作，全力维护重要网络系统和数据安全。今日，公布3起不履行数据安全保护义务或网络安全保护义务案。

　　案例1：某医疗机构不履行数据安全保护义务案

　　医疗机构信息管理系统承担着医护工作数据等敏感个人信息和重要数据的存储、处理与流转。然而，部分医疗机构追求业务便捷，忽视系统权限管理、数据安全防护和风险监测，导致医护工作数据面临泄露风险。近日，福建漳州公安网安部门依法查处一起不履行数据安全保护义务的案件。

　　经查，福建漳州某医疗机构的信息管理系统内部权限管理混乱，工作人员可跨权限操作；部分工作人员为方便工作，导出1800余条工作数据存储于未部署有效安全防护措施的互联网电脑。目前，属地公安机关依据《中华人民共和国数据安全法》对涉事医疗机构依法予以行政处罚，并责令改正。

　　网警提示

　　医疗工作数据涉及患者病历、诊断记录、检验检查、用药记录、护理记录等，属于敏感个人信息。一旦泄露或非法使用，容易导致患者人格尊严受侵害或人身、财产受危害。医疗机构应当切实落实制度全流程、权限最小化、导出可管控、终端有防护、风险能监测、事件可应急、人员有培训、责任能落地等要求，做好数据安全保护。

　　一是严格权限管控，落实最小授权。按岗位、职责设定系统访问权限，禁止跨权限操作和默认超级权限；对非本人负责的患者数据导出实行审批、留好记录；定期复核权限，人员转岗、离职及时回收账号。

　　二是规范数据流转，加强终端防护。敏感数据导出必须确有必要并加密、脱敏，严禁将病历等数据长期存放于未部署安全防护的互联网电脑和其他终端；对医护电脑统一安装终端安全、磁盘加密和防泄漏工具，落实网络安全等级保护要求，杜绝数据“裸奔”。

　　三是强化风险监测，完善应急机制。对系统登录、查询、导出等行为全程日志记录，并建立异常行为告警和数据库审计机制；定期开展漏洞扫描和安全评估，及时处置安全风险；制定数据安全事件应急预案，发生泄露立即处置并按规定上报主管部门，防止损失扩大。

　　四是健全管理制度，压实人员责任。建立全流程数据安全管理制度，明确医院及科室负责人责任；将数据安全纳入新员工入职和年度培训，提升其安全意识；与运维厂商等第三方签订保密协议，不定期抽查协议执行情况；对违规导出、存储等行为严肃问责，确保安全义务落到具体岗位和个人。

　　案例2：某公司不履行数据安全保护义务案

　　企事业单位的来访登记系统承载着访客姓名、来访事由、联系方式等信息。这类“边缘系统”往往因不属于核心业务系统而缺乏基本安全防护，沦为数据安全链条中最薄弱的一环，极易被攻击者利用，导致个人信息泄露。近日，福建龙岩公安网安部门依法查处一起此类不履行数据安全保护义务的案件。

　　经查，福建龙岩某公司自建的来访登记系统中存储了访客姓名、来访事由等个人信息，但该公司错误地认为“非核心业务系统”即“无安全风险”，既未采取有效的数据安全技术措施，也未落实数据安全管理义务，导致有关数据长期处于不设防状态，随时面临被窃取、篡改或泄露的风险。

　　目前，属地公安机关依据《中华人民共和国数据安全法》对涉事公司依法予以行政处罚，并责令改正。

　　网警提示

　　安全防护没有“局外人”，对“边缘系统”的疏忽，可能演变为数据安全的“溃堤之蚁”。各单位应当引以为戒，摒弃侥幸心理，把“四个务必”作为刚性要求，将数据安全保护融入系统建设与日常管理的每一个环节。

　　一是务必摸清“家底账”，消除管理盲区。全面梳理本单位所有自建系统，特别是来访登记、考勤打卡、会议室预约等非核心业务系统，建立清单、逐一体检，做到心中有数、不留死角。

　　二是务必装好“防护盾”，夯实技术基础。无论系统规模大小，凡涉及数据处理，就必须严格按照网络安全等级保护制度要求，部署防病毒、防火墙、入侵检测等基础安全措施，杜绝系统“带病运行”。

　　三是务必管好“责任人”，压实安全责任。明确每个系统的数据安全负责人，建立健全全流程数据安全管理制度，定期开展安全培训与风险自查，确保安全责任落实到岗、具体到人。

　　四是务必备好“应急案”，确保有备无患。针对非核心系统同步建立网络安全应急管理机制，明确应急责任人、处置流程和上报时限。一旦发生数据泄露或系统入侵，立即启动预案，先行断网止损、保全证据、留存日志，并第一时间向属地公安机关报告，杜绝迟报、漏报、瞒报。

　　案例3：某公司不履行网络安全保护义务案

　　福建泉州公安网安部门日常工作发现，辖区某公司话务系统存在大量异常外拨行为，随即对该单位开展线下检查，发现该公司长期忽视测试服务器的安全管理。在对其话务系统开展联网业务测试过程中，未按照《网络安全法》等法律法规要求，采取技术手段保障测试服务器的网络安全。在完成测试后亦未及时将话务系统关闭下线，致使该系统遭网络攻击入侵。攻击者在控制系统后，利用其外呼功能实施不法行为。

　　目前，属地公安机关依据《中华人民共和国网络安全法》对涉事公司依法予以行政处罚，并责令其限期改正。网络攻击入侵将另案处理。

　　网警提示

　　该案集中反映出部分企业作为网络运营者在履行网络安全保护义务方面存在主体责任落实不到位、网络安全意识薄弱、忽视测试环境防护、管理流程存在缺陷、监测响应机制缺失等问题，各网络运营者应当摒弃“测试环境无风险”的认知，将测试系统纳入统一安全基线，同步更新补丁、关闭非必要服务，并加强权限管理。同时建立应急响应预案，一旦遭遇网络攻击或发现异常，应当第一时间向属地公安机关报案。

　　法律解读

　　《中华人民共和国数据安全法》第二十七条第一款规定，开展数据处理活动应当依照法律、法规的规定，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全。利用互联网等信息网络开展数据处理活动，应当在网络安全等级保护制度的基础上，履行上述数据安全保护义务。

　　第二十九条规定，开展数据处理活动应当加强风险监测，发现数据安全缺陷、漏洞等风险时，应当立即采取补救措施；发生数据安全事件时，应当立即采取处置措施，按照规定及时告知用户并向有关主管部门报告。

　　第四十五条第一款规定，开展数据处理活动的组织、个人不履行本法第二十七条、第二十九条、第三十条规定的数据安全保护义务的，由有关主管部门责令改正，给予警告，可以并处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员可以处一万元以上十万元以下罚款；拒不改正或者造成大量数据泄露等严重后果的，处五十万元以上二百万元以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处五万元以上二十万元以下罚款。

　　《中华人民共和国网络安全法》第二十三条规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：

　　(一)制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；

　　(二)采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；

　　(三)采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；

　　(四)采取数据分类、重要数据备份和加密等措施；

　　(五)法律、行政法规规定的其他义务。

　　《中华人民共和国网络安全法》第六十一条第一款规定，网络运营者不履行本法第二十三条、第二十七条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告，可以处一万元以上五万元以下罚款；拒不改正或者导致危害网络安全等后果的，处五万元以上五十万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。