【一周安全资讯1014】交通运输部发布《公路工程设施支持自动驾驶技术指南》；多地网信办对违反数据安全法规企业作出行政处罚

要闻速览

1.交通运输部发布《公路工程设施支持自动驾驶技术指南》
2.数据泄漏被传输境外后擅自删库！某科技公司被上海市网信办依法处罚
3.浙江省网信办对杭州某科技公司未履行数据安全保护义务依法作出行政处罚
4.超140亿元资金失窃？印度一支付网关服务被黑，损失创纪录
5.中国煤炭工业协会发布《煤炭行业信息技术应用创新发展报告》
6.全球最大移动虚拟运营商遭网络攻击，导致数百万用户通信中断

一周政策要闻

交通运输部发布《公路工程设施支持自动驾驶技术指南》

近日，交通运输部发布《公路工程设施支持自动驾驶技术指南》（JTG/T 2430-2023，简称《指南》）。《指南》立足公路工程设施数字化、智能化发展趋势，从更好地支持车辆在公路上进行自动驾驶的需求出发，提出了公路工程设施支持自动驾驶总体架构和主要技术指标，将于今年12月1日起施行。

编制背景

国内外的研究与实践表明，通过适度提升公路基础设施的智能水平，依据自动驾驶车辆的认知和行为特点，为自动驾驶车辆提供辅助信息，可以加快自动驾驶技术实用化的进程。

为了更好地支持车辆在公路上进行自动驾驶，针对当前我国自动驾驶测试和试点情况，交通运输部制定了《指南》，对公路工程设施中的自动驾驶云控平台、交通感知设施、交通控制与诱导设施、通信设施、定位设施、路侧计算设施、供配电设施和网络安全设施以及技术指标进行了统一，提出公路工程设施提供辅助信息的能力与范围，用以指导目前自动驾驶试验的公路工程的相关设施建设与发展。

主要特点

（一）推动自动驾驶和智慧公路发展
《指南》聚焦党中央、国务院关于加强自动驾驶研发和交通信息基础设施建设的决策部署，提出了公路工程设施支持自动驾驶总体架构和主要技术指标，适用于目前自动驾驶试验公路，其中自动驾驶不是狭义的无人驾驶，是车辆以自动的方式持续地执行部分或全部动态驾驶任务的行为，也可称为驾驶自动化。运用自动驾驶技术，以及辅助驾驶技术和公路本身的智能化的交通工程技术的结合，将加大车与路协调融合，对未来自动驾驶和智慧公路技术发展发挥积极作用，这也是我国在公路支持自动驾驶方面经验积累和技术探索。

（二）形成适应我国管理特点的技术体系
考虑我国交通和环境特点，《指南》采用了“端-边-云”相结合的技术架构，建立了公路工程设施支持自动驾驶的技术体系。通过“边”的信息处理与交互，形成边缘云与中心云，分别为路段级、省（区域）级、部（全国）级管理平台提供数据支撑。技术体系充分考虑管理体系特点，便于较快推广应用和相关建设的开展。

（三）统一了兼顾自动驾驶应用需求 和公路工程设施建设现状的技术指标
公路工程设施支持自动驾驶建设不是一蹴而就的，《指南》在技术指标确定的过程中，充分考虑了既有的公路工程设施实际情况，在公路工程设施支持自动驾驶总体技术框架下，对公路工程设施支持自动驾驶过程中的作用和影响进行分析与研究，针对性提出支持自动驾驶时的功能要求、性能要求和布设要求。

主要内容
《指南》从更好地支持车辆在公路上进行自动驾驶的需求出发，对公路工程设施提供辅助信息的能力与范围进行研究和细化，共11章和2个附录，主要内容包括：

指南基本原则
《指南》指出公路工程设施是为车辆自动驾驶提供一定程度的信息辅助，不改变车辆控制主体地位。在此原则下，《指南》对公路工程设施提供辅助信息的能力与范围提出技术要求，指导公路工程设施建设。

公路工程设施支持自动驾驶的总体结构
《指南》指出可以通过自动驾驶云控平台、交通感知设施、交通控制与诱导设施等联合或单独实现支持自动驾驶的功能。建设这些公路工程设施时，同时需要考虑支持公路基础设施数字化和管控智能化的功能，并与既有交通安全设施、服务设施、管理设施等融合利用。

公路工程设施支持自动驾驶的建设指导
为了实现支持自动驾驶的应用场景，可以选择不同的技术方案遴选配置指南所列公路工程设施中的相关设施，实现支持自动驾驶。

自动驾驶云控平台技术要求
《指南》主要针对路段云提出功能与性能要求，要求路段云完成交通信息的汇聚、分析、处理、计算、存储、发布与交换，对公路工程设施支持自动驾驶的功能进行统一管理，接收自动驾驶车辆传送的信息，向自动驾驶车辆提供辅助信息。

交通感知设施技术要求
对交通流检测设施、交通事件检测设施、基础设施状态监测设施和交通气象环境监测设施提出了支持自动驾驶的功能、性能与布设要求。针对自动驾驶对机动车、非机动车、行人等交通参与者的识别和定位感知需求，提出交通参与者检测设施技术要求。

交通控制与诱导设施技术要求
对交通标志标线、交通信号控制设施、交通信息发布设施和交通警示设施等提出了支持自动驾驶的功能、性能与布设要求。为了提高自动驾驶对交通标志标线承载的交通规则、公路状态等信息的辨识度，提出数字交通标志标线技术要求。

通信设施技术要求
主要从满足自动驾驶安全类和非安全类应用场景的角度，对车路直连通信设施的功能、性能与布设提出了技术要求。

定位设施技术要求
对高精度导航卫星定位设施和路侧辅助定位设施提出技术要求。对于高精度导航卫星定位设施，公共位置服务能够满足应用需求时，使用公共位置服务；无公共位置服务或服务不能满足应用需求时，可按照功能和方案要求布设高精度导航卫星定位设施。路侧辅助定位设施，可采用基于无线通信技术或设置路侧特征标识物这两种方案实现。

路侧计算设施技术要求
《指南》主要对布设在公路沿线，具备信息汇聚和转发、数据快速处理与融合计算等功能的设施提出了基本的功能、性能与布设要求。

供配电设施技术要求
《指南》要求公路工程设施支持自动驾驶时，应为一级电力负荷并配备应急电源，且电能质量需要符合基本要求。

网络安全设施技术要求
《指南》主要从自动驾驶云控平台与路侧设施两方面考虑网络安全技术要求。
自动驾驶云控平台的网络安全等级不应低于现行《信息安全技术网络安全等级保护基本要求》（GB/T 22239）中的第三级安全要求。
路侧设施不应低于现行《信息安全技术网络安全等级保护基本要求》（GB/T 22239）中的第二级安全要求，并符合本指南路侧设施安全物理环境、安全通信网络、安全区域边界、安全计算环境的技术要求。

需要获取技术指南详情请在评论区留言“技术指南” ，小铭哥会第一时间为您提供相关资料。
信息来源： 交通运输部 https://mp.weixin.qq.com/s/l2ohY1irkOTm7OlW8iWBRg

业内新闻速览

数据泄漏被传输境外后擅自删库！某科技公司被上海市网信办依法处罚
上海市某科技公司相关数据库存在未授权访问漏洞，部分数据被窃并传输到境外。上海市网信办将相关情况通报涉事企业并要求立即核查整改，但该科技公司无视数据安全保护责任，未进行及时有效整改且擅自将涉事数据库一删了之，意图逃避处罚。上海市网信办依据《数据安全法》对该科技公司及公司直接责任人员予以行政处罚。
经调查核实，该科技公司主要从事为保险类企业提供互联网通信服务。2022年10月，公司安装配置了一台Elasticsearch数据库服务器，用于搜集多个应用系统的业务日志，并存储了包含用户姓名、身份证号码、手机号在内的大量个人信息。该公司未建立健全全流程数据安全管理制度，未采取相应的技术措施和其他必要措施保障数据安全，因数据库存在未授权访问漏洞，造成部分数据泄漏被传输到境外IP。同时企业私自删除涉事数据库逃避责任、没有按照规定及时向网信部门报告，未有效履行数据安全保护义务。针对以上违法情况，上海市网信办依据《数据安全法》第二十七条、第四十五条，对该科技公司作出责令改正，给予警告，并处人民币8万元罚款的行政处罚； 对公司直接责任人员作出罚款人民币1万元的行政处罚。

消息来源： 网信上海 https://mp.weixin.qq.com/s/3LKOKFVUM9EMZ_CEdoRVhw

浙江省网信办对杭州某科技公司未履行数据安全保护义务依法作出行政处罚
近日，浙江省网信办依据《数据安全法》《行政处罚法》等法律法规，对杭州某科技公司作出罚款5万元的行政处罚，对该公司直接负责人作出罚款1万元的行政处罚。
根据国家网信办移交的问题线索，浙江省网信办依法对杭州某科技公司未履行数据安全保护义务的问题进行立案调查。经查实，该公司旗下某生活类APP相关数据库服务端口直接暴露在互联网环境中，存在未授权访问漏洞，未按要求履行数据安全保护义务，违反《数据安全法》第二十七条之规定。

消息来源：网信浙江 https://mp.weixin.qq.com/s/6bVE1RjKW0DiZMt2Cl8tUw

超140亿元资金失窃？印度一支付网关服务被黑，损失创纪录
安全内参10月11日消息，近日一起重大网络犯罪事件浮出水面。黑客成功入侵印度支付网关服务提供商Safexpay公司（STPL）账户，窃取了超过1618亿卢比（约合人民币141.84亿元，19.44亿美元）资金。
据报道，攻击者对Safexpay发动攻击后进行非法操作，系统性地从各种银行账户中挪去资金，其中一些已经非法转移到国外，转移过程持续了很长一段时间。印度马哈拉施特拉邦塔那警察当局披露了STPL公司遭遇的网络攻击事件。
当地高级官员宣布，该邦的斯利那加警察局已将Safexpay网络攻击事件记录在案，塔那警察网络犯罪小组正在合作调查此事。

黑客攻击事件详情
这起骗局曝光得益于一次客户投诉。投诉者指控不明身份人士成功侵入有六年历史的STPL支付网关，随后将资金转移到数百个银行账户。
调查STPL网络攻击的人员追踪到，从STPL挪至他处的款项高达2.5亿卢比（约合300万美元）之巨。这些款项存入了Riyal Enterprises公司在印度发展信贷银行（HDFC）开设的账户。
Riyal Enterprises公司总部位于塔那，在塔那市及其郊区设有五家分支机构。警方表示：“黑客控制了该公司在一家著名国有银行开设的托管银行账户，并将大约2.5亿卢比转移到不同的未知账户。”
通过对Riyal Enterprises进一步调查，警方发现一张至少由260个账户构成的网络。这些账户分散在各个银行，都与这起金融欺诈有牵连。
警方对这260个账户展开初步调查，发现约1600亿卢比（约20亿美元）遭大规模挪用，其中相当一部分被转移到国外账户。
塔那警方发布声明，他们实地走访了Riyal Enterprises公司，发现了多个银行账户和协议。

此类网络攻击并非新事
根据对STPL网络攻击的相关报道，这一骗局已经持续了一段时间。直到今年4月有人发起投诉，称有超过2.5亿卢比资金被非法转移，攻击事件才为人所知。
后续调查显示，最初的投诉只是冰山一角。这一骗局涉及的总金额可能超过1600亿卢比。
上周五，瑙伯达警方依据印度刑法和信息技术法多项条款，对多名个人正式出具“第一信息报告”（FIR），包括Jitendra Pandey、Sanjay Singh、Amol Andhale（化名Aman）和Sameer Dighe（化名Kedar）。
塔那警方及其网络犯罪小组正在对Safexpay网络攻击事件展开持续调查。

消息来源：安全内参 https://www.secrss.com/articles/59553

中国煤炭工业协会发布《煤炭行业信息技术应用创新发展报告》

9月26-27日，2023煤炭行业两化深度融合推进现场会暨“数字煤炭”建设发展论坛在淮南召开。会上发布了煤炭行业首部信创专题报告——《煤炭行业信息技术应用创新发展报告（2023）》（以下简称“《报告》”）。《报告》由中国煤炭工业协会信息化分会联合国家能源集团信息技术公司、工信部电子五所、华为、深信服等多家信创产业生态单位共同编制。
《报告》指出，煤炭行业在信创领域整体仍处于起步阶段，但发展势头良好。煤炭行业在网络基础设施、网络安全、综合办公系统等领域信创应用情况较好，但在核心设备生产控制系统、工业操作系统、数据库、工控安全等方面，仍然以外国厂商产品为主导，行业信创工作除国家能源集团等个别企业已经开始体系化推进外，多数企业处在局部场景应用阶段，尚未明确整体发展目标任务。整体上看，受政策指引、基础条件、技术储备、产业特性、技术发展等诸多因素影响，煤炭行业信创工作还存在诸多困难和问题。
《报告》提出，煤炭行业信创是一项复杂的系统性工程，涉及面广、难度大，周期长，需要持续迭代。煤炭行业信创建设应遵循“循序渐进、风险最低、技术成熟度、业务关联性”的基本原则，宜按照“网络基础设施优先，办公终端设备其次，数据中心/云基础设施及三类应用系统先易后难统一建设，核心关键技术最后启动”的节奏推进；煤炭企业信创工作过程可分为规划设计、改造适配、性能测评、迁移割接四个阶段，需要煤炭企业、应用系统提供商、测评机构以及信创基础设施提供商共同配合完成。
《报告》还首次绘制了煤炭行业信创图谱，整理了网信基础设施、信创安全建设、综合办公类系统、经营管理类系统、生产管理类系统、信创适配认证等关键领域的实施方案及实践案例。

需要获取报告详情请在评论区留言“报告” ，小铭哥会第一时间为您提供相关资料。

消息来源：中国煤炭工业协会 https://mp.weixin.qq.com/s/lnjzcEdF8bo36Wx_fsfnWA

全球最大移动虚拟运营商遭网络攻击，导致数百万用户通信中断
安全内参10月9日消息，英国移动虚拟运营商巨头莱卡移动（Lyca Mobile）确认遭遇网络攻击，导致数百万用户的服务中断。
莱卡移动自称是全球最大的移动虚拟运营商，基于英国网络运营商EE的基础设施开展业务，业务覆盖23个国家/地区，拥有超过1600万客户。
莱卡移动日前发布声明，确认安全事件导致客户无法通过其网站、应用程序或商店完成充值，一些国内、国际通话也受到干扰。

根据莱卡移动的简短声明，除美国、澳大利亚、乌克兰和突尼斯外，上述问题影响了该公司其他所有市场。莱卡移动称，攻击者至少访问了系统中保存的部分个人信息，正在“紧急调查”是否还有个人信息在此期间遭到泄漏。
莱卡移动在声明中说：“我们有信心所有记录都已完全加密。我们将与专业合作伙伴一起核实情况，并随时向客户提供更新。”
莱卡移动发言人Cara Whitehouse在接受采访时，拒绝就网络攻击的性质发表评论，但表示公司“重点是将我们所有的运营服务恢复正常运行。” 莱卡移动未透露具体与哪家第三方事件响应者合作调查事件，也未回答其使用何种加密方式的问题。
莱卡移动补充说，已经在所有地区市场恢复移动电信服务，但表示某些运营服务尚未彻底恢复。
英国信息专员办公室发言人Adele Burns表示，该数据保护监管机构尚未收到莱卡移动的数据泄露报告。一般情况下，公司必须在发现数据泄露后72小时内通知信息专员办公室。
莱卡移动官网声明网页含有“noindex”代码。这条代码告知搜索引擎忽略该网页，导致受影响的客户难以通过搜索引擎找到这条声明。莱卡移动承认这一情况，但没有解释为什么要在官网隐藏这条声明。

消息来源：安全内参 https://www.secrss.com/articles/59491

来源:本安全周报所推送内容由网络收集整理而来，仅用于分享，并不意味着赞同其观点或证实其内容的真实性，部分内容推送时未能与原作者取得联系，若涉及版权问题，烦请原作者联系我们，我们会尽快删除处理，谢谢！