广西一公司泄露22万个人信息，被罚23万

近日，广西北海公安网安部门发现，北海某公司网站存在严重数据泄露问题，约22万个人信息数据已挂在暗网售卖。

经查，涉案公司主要提供网上咨询服务，在日常工作中收集了个人和企业等大量公民信息，但公司存放数据的服务器安全防护措施不足，仅能对SQL注入、XSS、WebShell等简单攻击手段进行防御，存在被多个境外IP攻击入侵的情况。

该公司未采取数据加密等有效的技术保护措施，不能确保其收集的个人信息安全，以及不能防止信息泄露、毁损、丢失，在发现公司发生个人信息泄露的情况下，未及时告知用户和主动向公安机关报告。

对此，广西北海公安机关根据《中华人民共和国网络安全法》第四十二条的规定，对公司及直接负责人员分别作出罚款20万元、3万元的行政处罚。

在企业发展过程中，如何安全合规使用敏感数据，保护数据是每个企业必须关注的重点。如果是未加保护的重要数据，一旦泄露会对企业机构造成的影响以及损失是无法计算和挽回的。

那么，企业机构该如何保护数据安全？

1、对敏感且涉密数据进行加密授权保护

企业机构应加密传输和储存敏感数据，对数据加密可有效防控数据泄露，密文数据对黑客来说不具有利用价值。此外，对数据应有授权访问保护，无关人员无法打开浏览内容，更无法拷贝数据。

2、部署数据防泄漏系统（DLP）

政企等涉密机构，可部署数据防泄漏系统，可有效避免内部人员无意或恶意的数据外泄。数据防泄漏系统会对内容进行识别，通过识别可扩展到对数据泄露的防控，可定位敏感数据位置、监控敏感数据的使用情况以及采取阻断和审批加密的策略，防护敏感数据外泄。

3、数据管控

数据管控策略可有效避免“内鬼”将机密外泄。常见的管控技术有：访问权限管控、水印溯源管控、离职管控、加密管控、上传管控等。

同时，针对业务、财务、技术、研发、运维人员定期进行安全意识培训，以及培养良好的数据使用习惯，避免数据外泄。

企业级用户应与专业的安全机构开展合作，制定符合企业需求的网络安全措施和策略，才能有效避免系统漏洞、软件漏洞和人员管理缺失等安全问题，导致的敏感数据泄露。