内容提要

公安网安部门在护网专项行动中公布3起案件：医疗机构权限混乱、导出的医护数据存放于无防护联网电脑；企业来访登记系统不设防；话务公司忽视测试服务器安全管理，均被依法处罚。

正文

医疗机构的系统里存着病历、诊断、检验、用药、护理记录，这些都属于敏感个人信息。可有的单位为了省事，把权限管理和终端防护都省略了。公安网安部门在"护网—2026"专项工作中公布3起不履行数据安全保护义务、网络安全保护义务的案件，正好对应三类常见疏漏。

第一起发生在福建漳州。某医疗机构的信息管理系统内部权限管理混乱，工作人员可以跨权限操作；部分人员为图方便，把1800余条工作数据导出，存放在未采取有效安全防护措施的互联网电脑上。属地公安机关依据数据安全法对涉事机构予以处罚。医疗工作数据一旦泄露或被非法使用，可能侵害患者人格尊严，也可能危及人身、财产权益。

第二起在福建龙岩。某公司自建的来访登记系统存储了访客姓名、来访事由、联系方式等信息，公司认为非核心业务系统就没有安全风险，既未采取技术措施，也未落实管理义务，数据长期处于不设防状态。公安机关依据数据安全法予以行政处罚并责令改正。这类边缘系统往往是最薄弱的一环：考勤打卡、会议室预约、访客登记，系统不大，个人信息不少。

第三起在福建泉州。某公司话务系统出现大量异常外拨行为，检查发现其长期忽视测试服务器的安全管理，联网开展业务测试时未按网络安全法的要求采取防护措施，被依法处罚并责令限期改正，网络攻击入侵另案处理。

三起案件的共同点是义务缺位，而不是技术落后。数据安全法第二十七条要求建立全流程数据安全管理制度、开展教育培训、采取技术措施；第二十九条要求加强风险监测，发现缺陷漏洞立即补救，发生安全事件立即处置并按规定告知用户、报告主管部门。网络安全法第二十三条则明确网络安全等级保护制度，要求制定内部管理制度、留存网络日志不少于六个月、对重要数据分类备份加密。违反上述义务的，可处警告、罚款，对直接负责的主管人员和其他直接责任人员也可处罚。

从合规角度看，几项动作最值得先做：一是权限最小化，按岗位设定访问权限，禁止跨权限操作和默认超级权限，转岗离职及时回收账号；二是数据导出可管控，敏感数据导出须审批、加密、脱敏，禁止长期存放在联网个人终端；三是把非核心系统纳入统一安全基线，凡涉及个人信息处理就应落实等保要求；四是留存日志并建立异常告警，出事后能追溯、能举证。数据安全没有局外人，把这几件事做实，比事后补救划算得多。

文章来源

本文来源：新华网。 查看原文