全國人口數據泄露 瑞典只罰當事人半月工資

E安全7月25日訊 瑞典政府泄露了數百萬公民的個人敏感信息，堪稱瑞典政府迄今為止最大的紕漏，然而令人更匪夷所思的是，涉事官員只被罰款半個月薪水，即7萬瑞典克朗（約合人民幣5.75萬元）。

這起泄露事件發生在2015年9月，當時瑞典交通局（Swedish Transport Agency，STA）決定將資料庫和其它IT服務的管理外包給他國企業（捷克共和國的IBM公司和塞爾維亞的NCR公司）。

瑞典政府不再僱用IT技術人員，轉而將整個STA資料庫上傳至這兩家公司的伺服器，這兩家公司的特定員工具有訪問STA資料庫的所有許可權。

外國公民可獲取瑞典哪些數據？

2016年3月，瑞典特勤局（Swedish Secret Service）意識到該問題，並開始展開調查。特勤局警告其它政府機構，STA為了加速過渡到新IT系統而繞過必要的安全檢查，最終導致未經授權的外國公民控制了他們的IT系統。

據瑞典幾家媒體報道，泄露的數據包括：

• 瑞典所有駕駛執照數據；

• 瑞典證人重新安置計劃的所有個人信息；

• 瑞典精英軍事單位的個人資料；

• 瑞典戰機飛行員個人資料；

• 瑞典飛行員和空中管制員的個人資料；

• 一份警察登記冊中的所有瑞典公民資料；

• 所有瑞典政府和軍用車輛的詳細信息；

• 瑞典道路與交通基礎設施詳情。

所有這些資料目前由捷克共和國和塞爾維亞的公民管理，這兩國有些政權已日漸支持反歐盟和親俄議程。此外，IBM還允許11個其它國家的承包商訪問該資料庫。

私有互聯網訪問隱私負責人和首個海盜黨（Pirate Party）的創始人里克·法爾科維奇表示，這起泄露醜聞涉及海量數據，表現出的管理人員對敏感信息的馬虎和疏忽，但這實則是犯罪行為。

對過失人員的處罰標準是什麼？

遭遇如此重大的數據泄露事件之後，STA局長瑪麗亞·奧格倫引咎辭職，瑞典當局於2016年對她提出指控。本月初，瑞典法院認為她犯有過失罪，但最終的判決荒唐到令許多瑞典公民匪夷所思，因為這名負責人受到的處罰僅僅是半個月薪水。

法爾科維奇對此判決的評論是，考慮到當局會「互幫互助」，普通民眾面對這種情況可能會被判處終身監禁，他們一定會做非常可怕的事情，不僅僅是得到有罪的判決。

瑞典政府現在正處於危機之中。國防官員目前正在調查這起泄露事件的範圍，以及IBM或NCR員工是否有權訪問歐盟的STESTA內網或瑞典政府安全內網（SGSI）。目前 STA 資料庫仍由這兩家外國公司管理。

安全管理中應該注意哪些？

這次事件可以看出瑞典的安全管理並不十分規範。

政府、企業等在安全事件發生之前，是否進行了「定性」以及「定量」的安全事件劃分，安全責任劃分，是否有相應的追責制度？在這些的基礎上，一旦出了安全事件，在分析安全事件原因，追溯安全責任的時候，才能做到公平公正，在一定程度上也能促進安全相關管理人員更加恪盡職守。

政府、企業可根據信息系統的「業務」特點，劃分安全事件等級，以及相關等級的判斷標準，這不僅在責任追溯過程中能夠「量化安全責任懲罰力度」，也能在安全事件響應的時候起到積極的作用。

在中國信息安全等級保護《信息安全等級保護管理辦法》等文件中強調，各類機構安全管理講究「誰建設、誰負責、誰使用」原則，安全管理機構劃分安全領導層責任，以及安全管理員、網路管理員、系統管理員、資料庫管理員等角色，劃分職責內容，包括最小許可權劃分等，以做到各司其職，各類重要活動有相關文件或簽名，做到有據可查。如果涉及第三方機構，還應在相關合同和要求中明確相關責任。

瑞典此次政府系統泄露的公民的數據信息，除了自身管理機構存在相關安全管理不完善的情況，也可能對第三方託管機構的安全管理缺乏要求。

25

E安全推薦文章

官網：www.easyaq.com

2017年7月

01

02

03

04

05

06

07

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！