近期网安资讯动态盘点(2024-5上)
国内动态/事件盘点
中华人民共和国和法兰西共和国关于人工智能和全球治理的联合声明
应法兰西共和国总统埃马纽埃尔·马克龙邀请，中华人民共和国主席习近平于2024年5月5日至7日对法国进行国事访问。在两国建交60周年之际，两国元首重申共同致力于深化2023年4月5日至7日法兰西共和国总统访华期间达成的共识，并开辟新的合作渠道。
两国元首深信两国之间持续对话对于为全球挑战提供持久解决方案的重要性，决定加强中法关系作为全球挑战国际治理推动力的作用。中国将继续以适当级别参加2023年6月新全球融资契约峰会的后续委员会会议，认真研究《人类与地球巴黎契约》(4P)。
为此，在2023年4月7日《中法联合声明》达成共识的基础上，两国元首尤其在人工智能方面达成共识。
详见：
中华人民共和国和法兰西共和国关于人工智能和全球治理的联合声明
《全国人大常委会2024年度立法工作计划》公布，包括《网络安全法》（修改）
2024年是中华人民共和国成立75周年，是实现“十四五”规划目标任务的关键之年，也是全国人民代表大会成立70周年。全国人大常委会立法工作的总体要求是：在以习近平同志为核心的党中央坚强领导下，坚持以习近平新时代中国特色社会主义思想为指导，全面贯彻党的二十大和二十届二中全会精神，深刻领悟“两个确立”的决定性意义，增强“四个意识”、坚定“四个自信”、做到“两个维护”，深入学习贯彻习近平法治思想，坚持党的领导、人民当家作主、依法治国有机统一，加强人民当家作主制度保障，坚持好、完善好、运行好人民代表大会制度，加强重点领域、新兴领域、涉外领域立法，深入推进科学立法、民主立法、依法立法，稳中求进推动立法工作高质量发展，完善以宪法为核心的中国特色社会主义法律体系，为以中国式现代化全面推进强国建设、民族复兴伟业提供坚实法治保障。
《十四届全国人大常委会立法规划》贯彻落实党的二十大战略部署，对本届立法工作作出统筹安排。结合分解落实立法规划，与中央有关方面的工作要点、计划相衔接，对2024年度法律案起草和审议等工作安排包含：
推进国家安全体系和能力现代化，制定突发事件应对管理法、危险化学品安全法，修改保守国家秘密法、治安管理处罚法、国防教育法、网络安全法。加强涉外法制建设，制定关税法，修改国境卫生检疫法、反洗钱法，并注重在相关法律中完善涉外规定。
详见：
http://www.npc.gov.cn/npc/c2/c30834/202405/t20240508\_436982.html
国务院办公厅关于印发《国务院2024年度立法工作计划》的通知
经党中央、国务院同意，国务院办公厅日前印发《国务院2024年度立法工作计划》（以下简称《国务院立法计划》）。
《国务院立法计划》坚决贯彻落实党中央决策部署，以高质量立法服务保障党和国家工作大局。一是围绕推动高质量发展，列明民营经济促进法草案、招标投标法修正草案，制定公平竞争审查条例，修订保障中小企业款项支付条例等；二是围绕加强政府自身建设，列明统计法修正草案，修订法规规章备案条例等；三是围绕实施科教兴国、文化强国战略，列明科学技术普及法修订草案，制定红色资源保护传承条例、修订植物新品种保护条例等；四是围绕增进民生福祉，列明突发公共卫生事件应对法草案，制定城市公共交通条例、住房租赁条例等；五是围绕推动绿色发展，列明国家公园法草案，制定古树名木保护条例等；六是围绕健全国家安全法治体系，列明监狱法修订草案，制定网络数据安全管理条例等；七是围绕加强涉外法治建设，列明仲裁法修订草案、反洗钱法修订草案、海商法修订草案等。同时，《国务院立法计划》还对全面深化改革、政府职能转变、国家安全急需、加快国防和军队现代化建设等的立法项目作了概括性安排。
详见：
https://www.gov.cn/zhengce/content/202405/content\_6950093.htm
财政部、国家网信办印发《会计师事务所数据安全管理暂行办法》
近日，财政部、国家网信办联合印发《会计师事务所数据安全管理暂行办法》（财会〔2024〕6号，以下简称《暂行办法》），自2024年10月1日起施行。
《暂行办法》主要包括五方面内容，一是总则，主要明确制定依据、适用对象、责任主体；二是数据管理，主要包括总体责任、责任人员、数据分类分级、日志管理、数据传输管理、数据加密管理、数据备份、业务约定书、技术保护手段、日常安全监测、数据出境等内容；三是网络管理，主要包括网络管理制度、资源投入、访问控制、系统账户管理等内容；四是监督检查，主要包括信息共享、日常检查、重点检查对象、安全审查、行政监管措施、行政处罚等内容；五是附则。
从具体内容看，主要对六方面内容进行了规范：
一是明确适用对象。二是规范数据分类分级。三是规范底稿管理。四是强化网络管理。五是聚焦安全可控。六是压实监管责任。
详见：
国家金融监管总局发布关于银行业保险业做好金融“五篇大文章”的指导意见
5月9日，国家金融监管总局发布关于银行业保险业做好金融“五篇大文章”的指导意见。《指导意见》提出“焦效能和安全促进数字金融发展。数字金融要把握机遇、重视安全，提高金融服务便利性和竞争力。积极引导银行保险机构数字化转型，提升数字化经营服务能力，强化业务管理、改进服务质量、降低服务成本。以数字金融创新巩固拓展数字经济优势。加强数据安全、网络安全、科技外包等风险管理，防范新技术应用带来的风险，提高运营韧性。鼓励科技领先金融机构向中小金融机构输出风控工具和技术服务。大力发展移动互联网终端业务，拓展线上渠道，加强线上线下业务协同。健全适应数字化时代的金融监管体系，增强数字化监管能力和金融消费者保护能力。”
详见：
https://www.cbirc.gov.cn/cn/view/pages/ItemDetail.html?docId=1161211&itemId=928
国家金融监督管理总局发布《关于促进企业集团财务公司规范健康发展提升监管质效的指导意见》
《指导意见》提出“加强信息科技风险管理。财务公司应当加强信息化建设，推动数字化转型，科学运用数字技术提高金融服务能力。建立信息科技风险管理体系并将其纳入全面风险管理，加强网络安全管理、数据安全管理、业务连续性管理和信息科技外包管理等工作，充分识别、监测和控制信息科技风险，保障信息系统安全稳定运行。”
详见：
https://www.cbirc.gov.cn/cn/view/pages/ItemDetail.html?docId=1160172&itemId=928
北京市通信管理局 发布《2024年度北京地区电信和互联网行业数据安全管理实施方案》
为全面贯彻《工业和信息化领域数据安全管理办法（试行）》及《北京地区电信领域数据安全管理实施细则》，发挥电信和互联网行业力量，助推北京建设全球数字经济标杆城市，护航京津冀一体化协同发展，夯实首都经济社会高质量发展安全基石，结合2024年度工业和信息化领域数据安全工作重点及北京地区数据安全工作实际，制定本实施方案。
重点任务包括：
（一）持续推进数据安全风险治理能力提升；（二）全面助力数据安全事件应急处置能力提升；（三）重点推进行业数据安全管理能力全面提升；
详见：
https://mp.weixin.qq.com/s/fVtc8BHU_HosMSwvZb2OHw
全国网络安全标准化技术委员会归口的16项国家标准正式发布
根据2024年4月25日国家市场监督管理总局、国家标准化管理委员会发布的中华人民共和国国家标准公告（2024年第6号），全国网络安全标准化技术委员会归口的16项国家标准正式发布。
具体清单如下：
详见：
https://mp.weixin.qq.com/s/aBnH5AgYfgR1acPRJi98gA
国务院新闻办公室就第七届数字中国建设峰会有关情况举行发布会
5月10日下午，国务院新闻办公室就第七届数字中国建设峰会有关情况举行发布会。国家发展改革委党组成员、国家数据局局长刘烈宏介绍第七届数字中国建设峰会有关情况，并就数字中国建设、“数据要素×”三年行动计划等主题答记者问。据发布会消息，第七届数字中国建设峰会确认将于5月24日至25日在福建省福州市举行。本届峰会是国家数据工作体系优化调整后首次举办的数字中国建设峰会，主题是“释放数据要素价值，发展新质生产力”。
会上，刘烈宏介绍了全国各省数据主管机构组建情况。总体来看，上下联动、横向协同的数据工作体系基本形成。下一步，国家数据局将从以下六个方面推进数字中国建设：
※全面加强统筹推进；
※推进数据要素市场化配置改革；
※努力夯实数字底座；
※持续提升关键能力（加快研究数据安全技术体系，着力提升数据安全的技术保障水平，筑牢网络安全屏障。推动数据领域技术创新不断取得新突破）；
※将全面赋能转型发展；
※不断优化发展环境；
详见：
https://www.gov.cn/lianbo/bumen/202405/content\_6950412.htm
国际动态/事件盘点
美国务院发布《美国国际网络空间和数字政策战略》
5月6日，美国务院发布《美国国际网络空间和数字政策战略》，旨在指导国际社会参与技术外交并推动《美国国家安全战略》和《美国国家网络安全战略》。该战略重点提出“数字团结”的概念，通过未来三到五年优先考虑的三项指导原则和四个行动领域，来建立广泛的“数字团结”。其中三项指导原则包括：一是以国际法（包括国际人权法）为基础的安全和包容性网络空间的积极愿景；二是网络安全、可持续发展和技术创新的融合；三是在整个数字生态系统中利用适当的外交工具和国际治理手段的全面政策方法。四个行动领域包括推进开放和安全的数字环境；与国外合作伙伴协调尊重权利的数字和数据治理方法；通过与国际伙伴的接触，促进在网络空间采取负责任的行动，抵御对网络空间和关键基础设施的威胁；加强和扩大合作伙伴的数字和网络能力。
英国立法禁止在物联网设备上使用默认弱密码
CyberSecurity消息，英国政府于2022年12月通过的《产品安全和电信基础设施法案2022》（PSTI法案）在2024年4月29日强制实施，在全球范围内率先明确物联网设备不得使用默认弱密码。PSTI为制造商引入了新的最低安全标准，并要求这些公司向消费者公开其产品的安全更新期限。该法案明确所有在线实体，包括服务、组织和个人，均被禁止使用诸如“admin”或“12345”等弱密码或容易被猜到的默认密码。该法案还要求智能设备制造商在用户首次启动设备时更改密码，以保护消费者免受密码攻击。不符合规定的产品可能会被召回，负有责任的公司可能会被处以最高1000万英镑或其全球收入4%的罚款，以金额较高者为准。
外媒：美国四大运营商因非法共享位置数据遭FCC重罚
【环球网科技综合报道】据外媒报道，近日，美国联邦通信委员会（FCC）对美国四大运营商AT&T、Sprint、T-Mobile和Verizon进行了总计近2亿美元的罚款。据FCC调查，这些运营商被发现存在非法共享客户位置数据的行为。
FCC指出，运营商们将客户位置信息的访问权限出售给了数据聚合商，而这些聚合商随后将此类信息的访问权限转售给了第三方的基于位置的服务提供商。更为严重的是，运营商试图推卸他们获取客户同意与下游接收者共享位置数据的责任。即使在意识到这个问题后，运营商们仍然未能有效限制对这些敏感信息的访问。
根据FCC的公告，各运营商的罚款金额有所不同。其中，T-Mobile面临的罚款最高，达到了8000万美元。Sprint，现已与T-Mobile合并，面临1200万美元的罚款。AT&T面临的罚款约为5700万美元，而Verizon则约为4700万美元。值得注意的是，T-Mobile和Verizon的罚款实际上低于该机构最初根据其对FCC最初通知的回应提出的罚款金额。
2024 RSAC会议在旧金山落下帷幕
5月10日，2024 RSAC会议在旧金山落下帷幕。。来自全球各地的安全专家、厂商和用户齐聚一堂，共同探讨网络安全领域的最新趋势和技术。今年的RSAC 2024以“The Art of Possible（可能的艺术）”为主题，聚焦网络安全的未来发展和技术创新。在为期四天的会议中，将有超过600主题场演讲、研讨会和产品展示，涵盖人工智能安全、云安全、身份和访问管理、威胁检测和响应、数据隐私等热点话题。美国国务卿首次现身2024 RSAC，，并公布了美国的《国际网络空间和数字政策战略》，凸显出在全球各地陷入了地缘政治冲突之际，网络安全在国家安全中的日益重要作用。
伦敦证券旗下数据库被窃取，泄露超500万条敏感信息
近日，威胁攻击者成功窃取并泄露了伦敦证券交易所集团（LSEG）旗下的 World-Check 数据库。据悉，该数据库中存储着超过500万条关于政治公众人物（PEP）、罪犯、风险组织以及其他机构的数据记录信息。
伦敦证券交易所集团 (LSEG) 是全球领先的金融市场基础设施提供商，为遍布 170 多个国家/地区的 40000 多名客户提供金融数据、分析、新闻和指数产品。
威胁攻击者成功获取了对 World-Check 数据库的访问权限后，立即将其中的数据上传至一个知名的数据泄露论坛（该论坛经常处理、交易被盗数据）。随后，一个自称名为 GhostR 的威胁攻击者高调宣称，早在 2024 年 3 月份，经过团队成员“精密合作”，很快就攻破受害者的网络防御系统，轻松获取包含 520 万条记录的数据库。LSEG 相关负责人强调，目前正在设法与客户取得联系，以确保的数据得到保护，并确保通知任何有关当局。
重大配置错误导致谷歌云服务中断一周 澳洲养老基金账户被删除
近日，据《卫报》报道，谷歌云服务近期发生了一起前所未见的重大配置错误事故，导致澳大利亚 UniSuper 基金云订阅账户被删除，服务中断长达一周。这一事故引起了广泛关注，也引发了人们对云服务安全性和可靠性的担忧。UniSuper 是一家非盈利性的养老基金，管理着约 1250 亿美元的庞大资金，投资者超五十万人。此次事故始于 5 月 2 日，当时 UniSuper 基金投资者反馈无法访问资金账户。经过一周的努力，相关服务才在 5 月 9 日基本恢复，但仍有部分账户信息未能完全更新。
据谷歌云 CEO 托马斯 · 库里安 ( Thomas Kurian ) 的说法，UniSuper 的服务中断是由一系列前所未见的事件引起的。具体来说，在配置 UniSuper 的私有云服务期间，无意的配置错误最终导致 UniSuper 的私有云订阅被删除。这一错误可能是由于人为因素或系统故障导致的，具体原因还需要进一步调查。
