新聞源 財富源

2024年10月13日 星期天

財經 > 滾動新聞 > 正文

字號:  

多地社保系統現資訊漏洞:超千萬居民數據未修復

  • 發佈時間:2015-04-23 19:48:00  來源:新華網  作者:周蕊 鄧中豪 徐博  責任編輯:羅伯特

  低級錯誤和懶政是這場危機的重要原因——多地社保系統現資訊安全漏洞追蹤

  近日,知名漏洞響應平臺曝光江蘇、陜西、四川、浙江、山西等全國至少19省份的社保系統存在漏洞,數千萬用戶的社保資訊遭遇洩露危機。據“新華視點”記者了解,目前,40%的漏洞已經修復,但仍有涉及超過千萬居民的數據漏洞未能修復。

  對此,人力資源和社會保障部副部長胡曉義回應,已要求涉事地區排查隱患。確實存在漏洞的,要在第一時間採取措施,予以封堵。同時,從目前的監控情況看,全國社保系統總體運作平穩,未發現公民個人資訊洩露事件。

  記者調查發現,低級錯誤和懶政行為是這場危機的重要原因。

  5200萬居民遭遇資訊洩露危機

  記者從補天漏洞響應平臺獲得的數據顯示,從2014年4月以來,涉及居民社保資訊洩露的報告達46個,其中高危44個,至少涉及江蘇、陜西、四川、浙江、山西等19省份,涉及人員高達5200萬。其中超過千萬居民的相關資訊漏洞至今未修復。

  補天漏洞響應平臺安全專家鄧煥表示,社保系統裏的資訊包括居民身份證、社保、薪酬等敏感資訊。這些資訊一旦洩露,造成的危害不僅是個人隱私全無,還會被犯罪分子利用。例如,被用於複製身份證、盜辦信用卡、盜刷信用卡等一系列刑事犯罪和經濟犯罪。

  記者了解到,截至22日,多省市社保系統已對漏洞進行修復。根據補天平臺排查的數據顯示,40%的漏洞已經修復。比如,涉及822萬人的遼寧省瀋陽市社保局某系統SQL注入問題、涉及643萬人的山東省煙臺市社保網上辦事大廳安全漏洞問題、涉及213萬人的陜西省人力資源和社會保障廳社保系統漏洞等均已經修復。

  此外,還有部分省市社保系統未能修復。比如,吉林省長春市某醫保系統漏洞,可導致參保的學校和企業單位用戶的醫保資訊洩露,涉及772萬人。這個資訊漏洞發現三個多月,至今未能修復;陜西省銅川市某系統漏洞導致居民資訊洩露,包括個人企業資訊、就業失業資訊、個人企業貸款資訊、退休老人管理等,涉及90萬人。從1月資訊漏洞被發現至今,仍未修復。

  胡曉義説,社保資訊系統牽涉廣大群眾的切身利益,人社部高度關注這一問題,將採取必要的措施進行漏洞修補,以負責任的態度保障參保人的個人資訊安全和社保基金安全。目前,人社部資訊中心已向平臺了解其所監控到的漏洞資訊,同時向多個地方人社部門了解情況,要求這些地區對隱患進行排查。確實存在漏洞的,要在第一時間採取措施,予以封堵。

  多地社保部門在平臺漏洞出現數月間沒有採取措施

  補天漏洞響應平臺此次曝光的名單,或許只是公民社保類資訊洩露的“冰山一角”。另一家同類平臺——烏雲漏洞報告平臺負責人孟卓向記者介紹,該平臺從2011年以來提交的社會保障、醫保和公積金類的資訊洩露名單,數量高達近200個,至少涉及20個省份。

  專家分析,政府網站出現大面積的資訊漏洞,一方面是管理人員對其所採用的系統不夠了解,技術水準不高,導致存在很多技術性安全漏洞。但更重要原因,則是相關管理人員的安全意識不夠,責任心不強。

  孟卓説,涉及政府部門網站的資訊洩露一般分為幾類:弱密碼洩露、數據庫與敏感資訊記錄文件直接洩露、密碼的暴力破解等諸多低級失誤。“與網際網路企業相比,政府機構網站的資訊安全漏洞都非常低級,不應該出現。”

  設置非常簡單、容易猜到管理密碼的弱密碼洩露,是此次資訊安全洩露的重要一類,修改密碼就能解決諸多相關問題。但是,多地社保部門在漏洞發現後的數月間,沒有採取任何行動,有的至今未修復漏洞。孟卓説:“弱密碼洩露在技術修復上不存在任何難度,甚至要不了幾分鐘。歷時多月而不修復,往往是管理人員的懶政導致的。”

  比如,涉及345萬人的湖北省十堰市社保某系統洩露社保資訊問題、涉及428萬人的四川省內江市社保某系統洩露參保1398家企業單位的員工社保資訊問題,都屬於通過簡單操作就能修復。但從今年1月漏洞被發現至今,均未做任何修復。

  專家還説,數據保管不當也是此次資訊洩露危機的重要原因。

  一些地方政府相關部門的懶政惰政,從漏洞報告平臺與之溝通的情況也可見端倪。補天平臺相關負責人告訴記者,該平臺對資訊安全漏洞的發佈和處理,會經過提交漏洞、確認漏洞、通報機構、機構確認、機構修復五個步驟。漏洞數據將被同步實時通報給公安部、網信辦和國家漏洞庫,相關情況還會反饋給涉事機構。但在實際操作中,如果涉事對像是政府網站,就往往得不到回應。“好一點的雖然不願意溝通,但至少能悄悄地把漏洞修復了。但還有一些,卻連花幾分鐘修復最簡單的漏洞都不願意。”

  不少政府部門的資訊系統重建設輕維護,專家稱應對資訊洩露追責

  專家指出,個人資訊保護變得越來越重要,要防堵政府網站的個人資訊洩露,需要提升意識、引入優秀人才,還要建立問責機制,責任到人,防止“集體負責”變成“無人負責”。

  公安部相關資訊安全專家指出,隨著社會保障體系的建設加快,機構管理與公民的互動日益加強,這使公民資訊的類別、屬性變得更加敏感,相關資訊安全管理也變得越來越重要。

  安天實驗室首席技術架構師肖新光説,我國網際網路發展速度快,但在資訊安全方面的防護能力、防護意識和防護水準都有待提升,尤其是政務資訊化安全水準較弱,應在思想意識上提升對資訊安全和數據安全重要性的認知。

  孟卓説,不少政府部門在資訊管理方面依然是重建設輕維護。政府機構的網站往往由傳統機構進行維護,有的簡單外包給第三方企業,對系統安全性不夠重視,技術人員對安全的理解也較為老舊,已經不能適應當今資訊安全的發展。

  啟明星辰首席戰略官、中國電腦學會常務理事潘柱廷説,我國現在缺乏對資訊安全洩露的問責機制。政府部門裏往往沒有人對資訊洩露負責,有些“集體負責”實際上是無人負責,有些“一把手負責”實際上也是沒人負責。應在體制機制上進行改革,在社保等重要部門要設立“首席資訊安全官”等職位負責資訊安全問題,並在經費投入等方面加大支援力度。

  胡曉義表示,人社部建立了覆蓋全國部、省、市三級的資訊安全監控體系,並委託國家網路安全專業檢測機構,對人社系統的網路安全性進行實時監控。從目前的監控情況看,全國社保系統總體運作平穩,未發現公民個人資訊洩露事件。“歡迎社會各界對社保系統安全提出建議和意見,對於發現的安全漏洞,通過合法渠道向國家有關部門報告,或直接與人社部聯繫。”(記者周蕊 鄧中豪 徐博)

熱圖一覽

高清圖集賞析

  • 股票名稱 最新價 漲跌幅