2024中国政企机构数据安全风险研究报告

研究背景 1综合形势篇 2第一章全球公开数据安全事件形势分析 2一、事件综述 2二、行业分布 4三、事发原因 4四、事件影响 5数据泄露篇 7第二章境内机构数据泄露风险分析 7一、行业分布 7二、泄露类型 7三、个人信息 9四、关键字段 第三章互联网平台数据泄露监测分析 一、行业分布 二、泄露类型 三、泄露原因 四、典型案例 运营风险篇 第四章API敏感数据传输风险分析 一、数据安全检测行业分布 二、敏感数据传输风险 三、个人信息传输风险 四、各行业敏感字段举例 五、跨境敏感数据传输 六、安全建议 附录12024数据安全政策与法规建设盘点 22一、《数据安全治理能力通用评估方法》行标发布 二、国家网信办公布《促进和规范数据跨境流动规定》 三、国家网信办发布《数据出境安全评估申报指南(第二版)》和《个人信息出境标 四、《汽车企业数据安全管理体系要求》团体标准正式发布 五、《自然资源领域数据安全管理办法》印发 六、《民航数据管理办法》《民航数据共享管理办法》行业内征求意见 七、《会计师事务所数据安全管理暂行办法》：建立行业规范，筑牢数安防线 八、《2024年度北京地区电信和互联网行业数据安全管理实施方案》发布 九、《网络数据安全管理条例》发布 十、《工业和信息化领域数据安全合规指引》发布 十一、中国互联网金融协会发布《金融数据安全治理实施指南》等3项数据安全标准十二、国家发改委等六部门印发《关于促进数据产业高质量发展的指导意见》 附录22024年全球数据泄露事件泄露数据排行榜 30附录32024年全球勒索攻击事件勒索赎金排行榜 31附录4网络安全威胁情报生态联盟 32附录5奇安信数据安全事业部 33附录6奇安信行业安全研究中心 35附录7天际友盟 361研究背景近年来，数据已成为产业发展的创新要素，不仅在数据科学与技术层次，而且在商业模式、产业格局、生态价值与教育层面，数据都能带来新理念和新思维。大数据与现有产业深度融合，在人工智能、自动驾驶、金融商业服务、医疗健康管理、科学研究等领域展现出广阔的前景，使得生产更加绿色智能、生活更加便捷高效，逐渐成为企业发展的有力一些信息技术领先企业向大数据转型，提升对大数据的认知和理解的同时，也要充分意识到大数据安全与大数据应用也是一体之两翼，驱动之双轮，必须从国家网络空间安全数据技术时代，数据成为业务发展核心动力，也成为黑客的主要目标。对于数据拥有者来讲，数据泄露几乎等同于经济损失。在开放的网络化社会，蕴含着海量数据和潜在价值的大数据更受黑客青睐，近年来也频繁爆发信息系统邮箱账号、社保信息、银行卡号等数据大量被窃的安全事件。分布式的系统部署、开放的网络环境、复杂的数据应用和众多为更加充分的研究政企机构数据安全风险，奇安信行业安全研究中心联合、奇安信数括数据泄露、数据篡改、数据破坏等）展开深入的研究。希望该项研究能够对全国各地政2第一章全球公开数据安全事件形势分析的重大数据安全事件中，数据泄露事件的占3传统的勒索团伙主要通过勒索软件加密数据的方式向受害者勒索赎金。2020年以后，据，勒索者不但不会向受害者提供解码密钥，还会威胁公开其窃取的商业机密数据。3.7亿元人民币，攻击组织为Kernelware。4于内部原因和其他原因导致的。在内部原因中，操作失5根据数据的敏感度，我们把泄露的信息划分为以下几2）商业机密：企业经营活动中的商业机密信息，主要包括：客户信息、员工信息、投4）政府机密：有关政府部门的内部机密信息，主要包括：邮件、会议、重大项目、重6）软件源代码：企业开发的软件或网站系统平台的源代码，一般属于企业的核接下来，我们分别从数据泄露事件公开报道的数量、泄露数据规模（GB）和数据泄露数量（条数）三维度，来分析数据泄露的具体类涉及商业机密；9.6%的事件涉及用户数据和政府机密。具体分布如6从全球重大数据泄露事件泄露的数据泄露条数来看，在可确定的471.6亿条泄露数据），7第二章境内机构数据泄露风险分析本章节将使用数据泄露风险事件这一概念对国内政企机构的数据泄露风险展开评估分在无口令或弱口令等情况，数据可以被轻易获取；二是已经泄露的数据在黑市/暗网上被交8据本身的性质和类型来看，境内机构数据泄露风险事件中，个人信息泄露风险事件最多，9看到多个能源或热力公司存在数据泄露或数据暴露情况。我们看到存在app系统用户数据险事件事件。手机号排第三，涉及28.6%第三章互联网平台数据泄露监测分析在本章中，我们将结合网络安全威胁情报生态联盟（CEATI联盟）成员天际友盟的运营数据，对互联网知识共享平台上的数据泄露情况展开教育等，也都是对自身数据泄露问题更加关注，委托监测机构数量相对较多别是普通文档、源代码泄露和盗版数据。其2024年，天际友盟应急响应服务中心累计协助用户处置及溯源互联网知识共享平台数关材料有“仅限内部浏览”的字样。此事件属于一般商题会严重影响招聘遵守的公平性，造成一定程度上的人才第四章API敏感数据传输风险分析API接口，应当进行严格的权限限制并采取必要的数例，个人敏感数据有：个人财产信息（存款、信贷、消费流水）、个人健康生理信息（体从传输敏感信息的数量来看，医疗行业机构平均每天通过API接口传输的敏感数据多付所得税额、月缴存额、账户编号、总费用、银行名院号、病床号、入院科室