一周安全漫谈丨网络安全法制建设加速 《网信部门行政执法程序规定》 出炉

3月23日，国家网信办公布《网信部门行政执法程序规定》，自2023年6月1日起施行。

据悉，2017年5月7日，国家网信办公布《互联网信息内容管理行政执法程序规定》后，该规定便一直作为相关执法领域的重要参考。而本次发布的《规定》则是在过去《互联网信息内容管理行政执法程序规定》的基础上进行了全面修订，对网信部门行政执法程序进行了规范。规定要求：

《规定》核心亮点之一在于明确了“一事不二罚”的基本原则。针对同一行为违反多个法律规范的竞合情形，《规定》指出，对当事人的同一个违法行为，不得给予两次以上罚款的行政处罚。同一个违法行为违反多个法律规范应当给予罚款处罚的，按照罚款数额高的规定处罚。

有业内人士表示，当前网信部门执法领域已由单一的网络信息内容扩展为网络信息内容、网络安全、数据安全、个人信息保护多个领域，《规定》的出台预示着网信执法常态化时代的来临。因此，随着法律体系的不断完善，面向趋严的监管形势，企业务必在网络安全、数据安全和个人信息保护的问题上做好安全合规工作，毕竟滴滴80亿处罚事件还殷鉴不远。

安全419注意到，此外，奇安信集团董事长齐向东在3月21日下午的公司内部年会上提出了一个鲜明的观点：没有10%的预算占比，就没有可靠的网络安全保障。

齐向东表示，网络安全表面上看是技术问题，但实际上可以用投资问题来概括。数字时代，我们的数字化系统更加复杂、面临的网络安全威胁更加严峻，网络安全已经变成基础设施，而基础设施的好坏，与投资数额直接相关。

放眼全球网络安全市场，我国网络安全投入占比不足的问题非常突出，以美国网络安全投入和中国的差距为例：从网络安全预算占IT预算比重来看，美国政府在IT上每投入10块钱，就有2块钱花在安全上。其中2021财年美国政府的网络安全预算占IT预算的比重是20.4%，国土安全部、司法部的这一比重更高，分别为35.7%和28.5%。

我国政企机构网络安全投资占信息化比例只有3%，距离工信部2021年发布的《网络安全产业高质量发展三年行动计划(2021-2023年)(征求意见稿)》中要求达到10%占比尚有3.3倍的差距，再考虑数字化转型加速，我国网络安全产业未来拥有指数级增长空间。

我们注意到有一些业界朋友对此进行了转发讨论，那么大家是怎么看待这一观点的？也可以在评论区交流探讨。

3月21日，法拉利首席执行官本尼迪克特·维尼亚（Benedetto Vigna）发文称，法拉利旗下的一家子公司近日遭遇了一起网络攻击事件，有不明身份的黑客入侵其系统并窃取了部分用户数据，包括姓名、地址、电子邮箱和电话号码。不过，经法拉利方面调查，目前用户付款信息、银行账号等敏感信息未被泄露。日前，一名黑客以曝光用户信息为由勒索法拉利方面，要求支付高额赎金。

对此，法拉利发布公告称，本次攻击并未对公司业务造成实际影响，已明确表示不会向黑客支付赎金，并称支付赎金的做法无法从根本上改变数据泄露的事实，只会“继续为犯罪活动提供资金”，使黑客的勒索行为得以持续。目前，法拉利方面已及时联系受影响的相关客户告知泄露事件，并上报政府部门展开调查。

事实上，法拉利这次遭受的勒索攻击早有迹象可循，2022年10月，一个名为RansomEXX的黑客组织在暗网上声称入侵了法拉利的内部系统，发布了7GB的数据证明其攻击事件的真实性。但法拉利否认了这两起事件的关联性。

众所周知，一台法拉利价格动辄百万千万，车主可都是身家不菲，或许就算法拉利为此支付了高昂的赎金，黑客组织想必也仍然会以高价把这些车主数据转售出去。此前国内某新势力造车品牌，在遭受黑客攻击后同样做出了拒付赎金的选择。事实上，我们对拒付赎金的做法还是赞同的，支付赎金的口子开不得。但最终还是希望这些车企们再努努力，把数据安全能力提上去，虽然数据泄露这事儿也不新鲜了，但相信哪个车主都不希望自己的隐私数据成为被卖来卖去的商品不是？