郑州两家公司因违反《数据安全法》被处罚

郑州市某互联网信息服务有限公司因未妥善配置数据库，导致空口令账户的存在，使得黑客通过该账户成功登录数据库，窃取了包含姓名、身份证号、手机号、邮箱地址等大量敏感信息。

从这一案例中可以看出，企业在日常管理中忽视了最基本的网络安全防护措施——数据库账户配置管理。空口令账户是一种极为低级的安全漏洞，意味着黑客无需密码即可登录系统。这种基础配置的失误不仅表明企业缺乏网络安全意识，也反映出其在数据保护流程和技术管理制度上的薄弱。

根据《数据安全法》第二十七条、第四十五条的规定，企业有义务采取必要的技术措施和其他安全措施，以防止数据泄露。该公司不仅未能遵守这一规定，且未建立全流程的数据安全管理制度，导致数据泄露的后果进一步扩大。针对该公司的违法行为，网信办责令其改正，给予警告并处以罚款。

郑州市某科技有限公司在数据库配置上存在未授权访问漏洞，攻击者通过该漏洞访问数据库，并窃取了大量数据。更严重的是，该公司系统未开启访问日志功能，无法追踪攻击者的行为，且数据库配置不当，未对用户敏感信息进行脱敏处理，进一步增加了安全风险。

未授权访问漏洞属于网络安全领域中的常见问题之一，其主要原因是企业对系统配置缺乏有效管理，未能及时修补安全漏洞。更为严重的是，日志功能未开启，使得企业无法监控系统中的异常行为。这不仅妨碍了事件后的调查和取证工作，还使得攻击者得以在系统中自由活动，增加了数据泄露的风险。

从上述两起案例中可以看出，企业在数据安全管理方面的疏漏主要集中在以下几个方面：

• 数据库配置不当

无论是空口令账户还是未授权访问漏洞，问题的根源在于数据库配置不当。数据库作为企业存储核心数据的场所，必须受到严格的安全管理。企业应当定期检查数据库配置，杜绝诸如空口令、弱密码等低级错误，同时及时修补漏洞，避免攻击者利用漏洞获取数据。

• 缺乏数据分类分级管理

《数据安全法》明确要求企业对重要数据进行分级分类管理，但许多企业在实际操作中未能落实这一要求。数据的分级分类不仅有助于企业明确保护重点，还能够根据数据的重要性采取不同级别的安全措施，降低数据泄露的风险。

• 系统日志管理缺失

日志管理是网络安全中不可或缺的一环。通过监控系统日志，企业可以及时发现异常行为，并在事件发生后进行溯源分析。未开启日志功能或日志留存不足，意味着企业失去了监控和追踪网络攻击的能力，增加了安全事件处理的难度。因此，企业应确保日志功能的启用，并且妥善留存至少六个月的日志数据。

• 网络安全意识薄弱

针对以上痛点，企业应采取以下几项措施加强数据安全保护：

• 健全数据安全管理制度

企业必须建立健全从数据收集、存储、处理到销毁的全流程安全管理制度。特别是在数据存储和访问权限管理方面，必须严格控制，避免出现低级安全配置错误。

• 强化技术防护措施

企业应当采用更为严格的技术手段进行防护。例如，部署防火墙、入侵检测系统、身份验证系统、数据库审计等安全设备，并定期进行系统漏洞扫描和修补。

• 定期安全审计与渗透测试

定期对系统进行安全审计和渗透测试，能够及时发现和修复系统中的潜在安全漏洞。尤其是对于数据库系统，企业应重点检查账户配置、权限分配等关键环节，确保其安全性。

• 提升员工安全意识

员工是企业网络安全的第一道防线，企业应通过安全意识培训和应急演练，帮助员工树立良好的安全习惯。例如，要求定期修改密码、不使用弱密码、及时报告可疑行为等。

• 遵守国家法律法规

《数据安全法》是企业进行数据安全管理的基本准则，企业应熟悉法律法规的要求，并在日常管理中加以贯彻执行。特别是在重要数据的分级分类管理、日志留存等方面，企业必须严格遵守相关规定，避免因安全管理疏忽带来法律风险。

数据安全关乎企业的生存和发展，网络安全事件的发生不仅会给企业带来经济损失，还可能损害其声誉。郑州市网信办此次通报的两起数据泄露案件，再次提醒我们，数据安全管理绝不是可有可无的事情。每一家企业都必须增强网络安全意识，健全数据安全管理制度，采取必要的技术和管理措施，确保数据安全，从而为企业的长远发展奠定坚实的基础。