新闻快讯
< >

全国人口数据泄露,瑞典只罚当事人半月工资

E安全7月25日讯 瑞典政府泄露了数百万公民的个人敏感信息,堪称瑞典政府迄今为止最大的纰漏,然而令人更匪夷所思的是,涉事官员只被罚款半个月薪水,即7万瑞典克朗(约合人民币5.75万元)。

这起泄露事件发生在2015年9月,当时瑞典交通局(Swedish Transport Agency,STA)决定将数据库和其它IT服务的管理外包给他国企业(捷克共和国的IBM公司和塞尔维亚的NCR公司)。

瑞典政府不再雇用IT技术人员,转而将整个STA数据库上传至这两家公司的服务器,这两家公司的特定员工具有访问STA数据库的所有权限。

全国人口数据泄露,瑞典只罚当事人半月工资-E安全

外国公民可获取瑞典哪些数据?

2016年3月,瑞典特勤局(Swedish Secret Service)意识到该问题,并开始展开调查。特勤局警告其它政府机构,STA为了加速过渡到新IT系统而绕过必要的安全检查,最终导致未经授权的外国公民控制了他们的IT系统。

据瑞典几家媒体报道,泄露的数据包括:

  • 瑞典所有驾驶执照数据;

  • 瑞典证人重新安置计划的所有个人信息;

  • 瑞典精英军事单位的个人资料;

  • 瑞典战机飞行员个人资料;

  • 瑞典飞行员和空中管制员的个人资料;

  • 一份警察登记册中的所有瑞典公民资料;

  • 所有瑞典政府和军用车辆的详细信息;

  • 瑞典道路与交通基础设施详情。

所有这些资料目前由捷克共和国和塞尔维亚的公民管理,这两国有些政权已日渐支持反欧盟和亲俄议程。此外,IBM还允许11个其它国家的承包商访问该数据库。

私有互联网访问隐私负责人和首个海盗党(Pirate Party)的创始人里克·法尔科维奇表示,这起泄露丑闻涉及海量数据,表现出的管理人员对敏感信息的马虎和疏忽,但这实则是犯罪行为。

对过失人员的处罚标准是什么?

遭遇如此重大的数据泄露事件之后,STA局长玛丽亚·奥格伦引咎辞职,瑞典当局于2016年对她提出指控。本月初,瑞典法院认为她犯有过失罪,但最终的判决荒唐到令许多瑞典公民匪夷所思,因为这名负责人受到的处罚仅仅是半个月薪水。

法尔科维奇对此判决的评论是,考虑到当局会“互帮互助”,普通民众面对这种情况可能会被判处终身监禁,他们一定会做非常可怕的事情,不仅仅是得到有罪的判决。

瑞典政府现在正处于危机之中。国防官员目前正在调查这起泄露事件的范围,以及IBM或NCR员工是否有权访问欧盟的STESTA内网或瑞典政府安全内网(SGSI)。目前 STA 数据库仍由这两家外国公司管理。

安全管理中应该注意哪些?

这次事件可以看出瑞典的安全管理并不十分规范。

政府、企业等在安全事件发生之前,是否进行了“定性”以及“定量”的安全事件划分,安全责任划分,是否有相应的追责制度?在这些的基础上,一旦出了安全事件,在分析安全事件原因,追溯安全责任的时候,才能做到公平公正,在一定程度上也能促进安全相关管理人员更加恪尽职守。

政府、企业可根据信息系统的“业务”特点,划分安全事件等级,以及相关等级的判断标准,这不仅在责任追溯过程中能够“量化安全责任惩罚力度”,也能在安全事件响应的时候起到积极的作用。

在中国信息安全等级保护《信息安全等级保护管理办法》等文件中强调,各类机构安全管理讲究“谁建设、谁负责、谁使用”原则,安全管理机构划分安全领导层责任,以及安全管理员、网络管理员、系统管理员、数据库管理员等角色,划分职责内容,包括最小权限划分等,以做到各司其职,各类重要活动有相关文件或签名,做到有据可查。如果涉及第三方机构,还应在相关合同和要求中明确相关责任。

瑞典此次政府系统泄露的公民的数据信息,除了自身管理机构存在相关安全管理不完善的情况,也可能对第三方托管机构的安全管理缺乏要求。

E安全注:本文系E安全独家编译报道,转载请联系授权,并保留出处与链接,不得删减内容。联系方式:① 微信号zhu-geliang ②邮箱eapp@easyaq.com
@E安全,最专业的前沿网络安全媒体和产业服务平台,每日提供优质全球网络安全资讯与深度思考,欢迎关注微信公众号「E安全」(EAQapp),或登E安全门户网站www.easyaq.com , 查看更多精彩内容。