係統型案公布和數據安網絡全 起典涉及例被重要這3

　　公安網安部門深入開展“護網—2026”專項工作，涉及数据全力維護重要網絡係統和數據安全。重网今日，络系例被公布3起不履行數據安全保護義務或網絡安全保護義務案。统和

　　案例1

　　某醫療機構不履行數據安全保護義務案

　　醫療機構信息管理係統承擔著醫護工作數據等敏感個人信息和重要數據的存儲、處理與流轉。起典然而，型案部分醫療機構追求業務便捷，公布忽視係統權限管理、涉及数据數據安全防護和風險監測，重网導致醫護工作數據麵臨泄露風險。络系例被近日，统和福建漳州公安網安部門依法查處一起不履行數據安全保護義務的安全案件。

　　經查，起典福建漳州某醫療機構的型案信息管理係統內部權限管理混亂，工作人員可跨權限操作；部分工作人員為方便工作，導出1800餘條工作數據存儲於未部署有效安全防護措施的互聯網電腦。目前，屬地公安機關依據《中華人民共和國數據安全法》對涉事醫療機構依法予以行政處罰，並責令改正。

　　網警提示

　　醫療工作數據涉及患者病曆、診斷記錄、檢驗檢查、用藥記錄、護理記錄等，屬於敏感個人信息。一旦泄露或非法使用，容易導致患者人格尊嚴受侵害或人身、財產受危害。醫療機構應當切實落實製度全流程、權限最小化、導出可管控、終端有防護、風險能監測、事件可應急、人員有培訓、責任能落地等要求，做好數據安全保護。

　　一是嚴格權限管控，落實最小授權。按崗位、職責設定係統訪問權限，禁止跨權限操作和默認超級權限；對非本人負責的患者數據導出實行審批、留好記錄；定期複核權限，人員轉崗、離職及時回收賬號。

　　二是規範數據流轉，加強終端防護。敏感數據導出必須確有必要並加密、脫敏，嚴禁將病曆等數據長期存放於未部署安全防護的互聯網電腦和其他終端；對醫護電腦統一安裝終端安全、磁盤加密和防泄漏工具，落實網絡安全等級保護要求，杜絕數據“裸奔”。

　　三是強化風險監測，完善應急機製。對係統登錄、查詢、導出等行為全程日誌記錄，並建立異常行為告警和數據庫審計機製；定期開展漏洞掃描和安全評估，及時處置安全風險；製定數據安全事件應急預案，發生泄露立即處置並按規定上報主管部門，防止損失擴大。

　　四是健全管理製度，壓實人員責任。建立全流程數據安全管理製度，明確醫院及科室負責人責任；將數據安全納入新員工入職和年度培訓，提升其安全意識；與運維廠商等第三方簽訂保密協議，不定期抽查協議執行情況；對違規導出、存儲等行為嚴肅問責，確保安全義務落到具體崗位和個人。

　　案例2

　　某公司不履行數據安全保護義務案

　　企事業單位的來訪登記係統承載著訪客姓名、來訪事由、聯係方式等信息。這類“邊緣係統”往往因不屬於核心業務係統而缺乏基本安全防護，淪為數據安全鏈條中最薄弱的一環，極易被攻擊者利用，導致個人信息泄露。近日，福建龍岩公安網安部門依法查處一起此類不履行數據安全保護義務的案件。

　　經查，福建龍岩某公司自建的來訪登記係統中存儲了訪客姓名、來訪事由等個人信息，但該公司錯誤地認為“非核心業務係統”即“無安全風險”，既未采取有效的數據安全技術措施，也未落實數據安全管理義務，導致有關數據長期處於不設防狀態，隨時麵臨被竊取、篡改或泄露的風險。

　　目前，屬地公安機關依據《中華人民共和國數據安全法》對涉事公司依法予以行政處罰，並責令改正。

　　網警提示

　　安全防護沒有“局外人”，對“邊緣係統”的疏忽，可能演變為數據安全的“潰堤之蟻”。各單位應當引以為戒，摒棄僥幸心理，把“四個務必”作為剛性要求，將數據安全保護融入係統建設與日常管理的每一個環節。

　　一是務必摸清“家底賬”，消除管理盲區。全麵梳理本單位所有自建係統，特別是來訪登記、考勤打卡、會議室預約等非核心業務係統，建立清單、逐一體檢，做到心中有數、不留死角。

　　二是務必裝好“防護盾”，夯實技術基礎。無論係統規模大小，凡涉及數據處理，就必須嚴格按照網絡安全等級保護製度要求，部署防病毒、防火牆、入侵檢測等基礎安全措施，杜絕係統“帶病運行”。

　　三是務必管好“責任人”，壓實安全責任。明確每個係統的數據安全負責人，建立健全全流程數據安全管理製度，定期開展安全培訓與風險自查，確保安全責任落實到崗、具體到人。

　　四是務必備好“應急案”，確保有備無患。針對非核心係統同步建立網絡安全應急管理機製，明確應急責任人、處置流程和上報時限。一旦發生數據泄露或係統入侵，立即啟動預案，先行斷網止損、保全證據、留存日誌，並第一時間向屬地公安機關報告，杜絕遲報、漏報、瞞報。

　　案例3

　　某公司不履行網絡安全保護義務案

　　福建泉州公安網安部門日常工作發現，轄區某公司話務係統存在大量異常外撥行為，隨即對該單位開展線下檢查，發現該公司長期忽視測試服務器的安全管理。在對其話務係統開展聯網業務測試過程中，未按照《中華人民共和國網絡安全法》等法律法規要求，采取技術手段保障測試服務器的網絡安全。在完成測試後亦未及時將話務係統關閉下線，致使該係統遭網絡攻擊入侵。攻擊者在控製係統後，利用其外呼功能實施不法行為。

　　目前，屬地公安機關依據《中華人民共和國網絡安全法》對涉事公司依法予以行政處罰，並責令其限期改正。網絡攻擊入侵將另案處理。

　　網警提示

　　該案集中反映出部分企業作為網絡運營者在履行網絡安全保護義務方麵存在主體責任落實不到位、網絡安全意識薄弱、忽視測試環境防護、管理流程存在缺陷、監測響應機製缺失等問題，各網絡運營者應當摒棄“測試環境無風險”的認知，將測試係統納入統一安全基線，同步更新補丁、關閉非必要服務，並加強權限管理。同時建立應急響應預案，一旦遭遇網絡攻擊或發現異常，應當第一時間向屬地公安機關報案。