近日，山東煙臺公安網(wǎng)安部門在工作中發(fā)現(xiàn)，某機構(gòu)門戶網(wǎng)站遭網(wǎng)絡(luò)攻擊，網(wǎng)站被篡改并植入違法內(nèi)容，嚴(yán)重擾亂網(wǎng)絡(luò)空間秩序，造成不良社會影響。

01

案情回顧

公安網(wǎng)安部門接報后立即開展調(diào)查，發(fā)現(xiàn)：

該機構(gòu)將門戶網(wǎng)站委托給某第三方開發(fā)運維公司建設(shè)與維護。

該公司在系統(tǒng)開發(fā)調(diào)試階段未落實基本網(wǎng)絡(luò)安全防護措施，未修復(fù)已知漏洞，亦未履行風(fēng)險告知義務(wù)，將存在安全隱患的系統(tǒng)交付上線。

與此同時

該機構(gòu)作為網(wǎng)絡(luò)運營者，未依法履行網(wǎng)絡(luò)安全主體責(zé)任。既未建立網(wǎng)絡(luò)安全管理制度，也未按網(wǎng)絡(luò)安全等級保護制度要求部署必要防護措施，對托管系統(tǒng)的安全狀況失察失管，導(dǎo)致平臺被入侵、篡改。

小貼士

此案暴露出，當(dāng)前信息系統(tǒng)供應(yīng)鏈安全管理缺位的典型縮影：

使用單位“一托了之”，服務(wù)商“交付即走”，雙方均忽視法定安全義務(wù)，形成責(zé)任真空，最終釀成安全事件。

02

依法處理

依據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》相關(guān)規(guī)定，網(wǎng)安部門依法作出處理：

涉事機構(gòu)

涉事機構(gòu)未履行網(wǎng)絡(luò)安全保護義務(wù)、未建立網(wǎng)絡(luò)安全管理制度等行為，依據(jù)第二十一條、第五十九條第一款，責(zé)令限期改正。

涉事開發(fā)運維公司

涉事開發(fā)運維公司未采取安全措施、未按規(guī)定告知和報告系統(tǒng)風(fēng)險等行為，依據(jù)第二十二條第一款、第六十條，責(zé)令限期改正。

03

法律依據(jù)

《中華人民共和國網(wǎng)絡(luò)安全法》第二十一條規(guī)定

網(wǎng)絡(luò)運營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護制度的要求，履行安全保護義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改。

《中華人民共和國網(wǎng)絡(luò)安全法》第二十二條之第一款規(guī)定

網(wǎng)絡(luò)產(chǎn)品、服務(wù)應(yīng)當(dāng)符合國家標(biāo)準(zhǔn)的強制要求，網(wǎng)絡(luò)產(chǎn)品、服務(wù)的提供者不得設(shè)置惡意程序，發(fā)現(xiàn)其網(wǎng)絡(luò)產(chǎn)品、服務(wù)存在安全缺陷、漏洞風(fēng)險時，應(yīng)當(dāng)立即采取補救措施，并按照規(guī)定及時告知用戶并向有關(guān)主管部門報告。

系統(tǒng)可以外包，責(zé)任不能外卸。

使用單位須切實履行主體責(zé)任，將安全要求寫入合同、納入驗收；

開發(fā)運維單位須依法保障所提供產(chǎn)品和服務(wù)的安全性，做到“交付即安全、運維即負(fù)責(zé)”。

雙方共擔(dān)責(zé)任，才能筑牢供應(yīng)鏈安全防線。

編輯：張紅艷