北京昌平区网络安全事件典型案例及警示

网络空间同现实社会一样，既要提倡自由，也要保持秩序。自由是秩序的目的，秩序是自由的保障。我们既要尊重网民交流思想、表达意愿的权利，也要依法构建良好网络秩序，这有利于保障广大网民合法权益。

——2015年12月16日，习近平在第二届世界互联网大会开幕式上的讲话

要树立正确的网络安全观，加强信息基础设施网络安全防护，加强网络安全信息统筹机制、手段、平台建设，加强网络安全事件应急指挥能力建设，积极发展网络安全产业，做到关口前移，防患于未然。

——2018年4月20日，习近平在全国网络安全和信息化工作会议上的讲话

国家网络安全工作要坚持网络安全为人民、网络安全靠人民，保障个人信息安全，维护公民在网络空间的合法权益。

——2019年9月，习近平对国家网络安全宣传周作出的重要指示

各级党委和政府要担当责任，网络平台、社会组织、广大网民等要发挥积极作用，共同推进文明办网、文明用网、文明上网，以时代新风塑造和净化网络空间，共建网上美好精神家园。

——2021年11月19日，习近平致首届中国网络文明大会的贺信

近年来，我区以网络安全工作责任制为抓手，强化网络安全服务保障，开展网络安全专项检查，组织网络安全演习演练，及时妥善处置网络安全事件，有力确保了网络空间平安稳定。在此选取部分网络安全事件典型案例，以期起到警示作用。

案例一：某软件公司未履行数据安全保护义务导致存在数据泄露风险隐患被处罚

2023年6月，市公安局昌平分局警务支援大队工作发现，北京速跑软件有限公司研发的“某数据分析系统”存在数据泄露隐患。经查，该公司研发的“数据分析系统”内存有用户敏感数据。通过进一步核实，该系统内数据信息未采用加密措施，系统服务器未采取任何网络防护措施和技术防护措施，造成19.1GB个人敏感信息暴露在互联网。同时，该公司未制定数据安全管理制度、未充分落实网络安全等级保护制度。北京市公安局昌平分局根据《中华人民共和国数据安全法》第二十七条、第四十五条第一款之规定，给予该企业警告，并处罚款五万元，责令限期改正。该案是北京市首宗适用《数据安全法》进行执法的行政案件。

警示：数据作为第五大生产要素，其安全已经成为事关国家安全与经济社会发展的重大问题。根据《中华人民共和国数据安全法》相关规定，各单位开展数据处理活动必须在网络安全等级保护制度的基础上，建立健全全流程数据安全管理制度，组织开展数据安全教育培训，采取相应的技术措施和其他必要措施，保障数据安全，依法做到数据采集合规、数据留存保护、数据使用合法。对于不履行数据安全保护义务的违法行为，公安机关将依法坚决打击，切实保障数字经济健康发展。

案例二：某公司未履行网络安全保护义务导致系统遭受黑客攻击篡改被处罚

2023年3月，市公安局昌平分局警务支援大队工作发现，北京市燕都泰华企业管理集团有限公司使用的OA系统被攻击入侵。经查，该公司未履行网络安全保护义务，未采取防范网络攻击、网络入侵等危害网络安全行为的技术措施，未留存网络日志，导致公司OA系统被黑客入侵并篡改。北京市公安局昌平分局根据《中华人民共和国网络安全法》第二十一条第二项、第三项、第五十九条第一款之规定，给予该企业警告并处罚款五万元，网络安全主管人员罚款五千元，责令限期改正。

警示：网络运营者应当按照网络安全等级保护制度的要求，制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；采取数据分类、重要数据备份和加密等措施；保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

案例三：某公司未履行网络安全保护义务被依法处罚

2022年3月，市公安局昌平分局警务支援大队工作发现，某公司使用的信息系统存在漏洞风险。经查，该公司未履行网络安全保护义务，未制定并落实网络安全管理制度和操作流程，未采取防范网络攻击、网络入侵等危害网络安全行为的技术措施，导致公司使用的信息系统存在漏洞风险。北京市公安局昌平分局根据《中华人民共和国网络安全法》第二十一条第二项、第三项、第五十九条第一款之规定，给予该企业行政警告，责令限期改正。

警示：网络漏洞属于常见的网络安全隐患，但若不及时处置，容易引发黑客攻击或数据泄露风险，导致企业或公民个人信息、财产的泄漏和损失。《中华人民共和国网络安全法》规定网络运营者应承担相应的网络安全责任和义务，采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施，及时发现并修复网络漏洞，若因未及时修复网络漏洞造成网络安全危害后果的，公安机关将依法追究其法律责任。

广大群众做到“三个不”

一是不乱扔，妥善保管、处置好个人信息的载体，包括文件、快递单、外卖单等；

二是不乱给，勿在互联网公开平台随意发布个人信息或者提供给他人使用，特别是个人身份证号、电话号码、家庭住址、银行卡号等；

三是不乱点，勿随意点击和下载来历不明的网址链接、二维码、免费Wifi热点等，勿随意点击App手机软件获取设备权限的“同意”按钮。

网络运营者做到“三个不”

一是不乱收，要遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经被收集者同意；

二是不乱存，要依法履行网络安全等级保护制度，采取必要的管理和技术保护措施，集中统一存储并防止信息泄露、毁损和丢失；

三是不乱用，要认真履行数据安全主体责任，对数据采取分级分类管理，不得泄露、出售或者非法向他人提供公民个人信息。