Archives

近日，国家卫健委、公安部等五部门联合印发《医疗卫生机构数据安全和个人信息保护管理办法（试行）》（以下简称《办法》），为各级医疗机构划定数据安全管理底线，明确主体责任、全生命周期管控、分类分级保护等强制性要求。医疗数据泄露、违规共享、超范围采集患者信息等行为的处罚力度持续加大。

不同于大规模勒索攻击，现在的网络攻击不再单纯依靠攻破防火墙，而是瞄准人事、行政、研发等高频接收外部文件的岗位，以文档、简历、图纸、报价单为载体突破终端防线。防火墙、杀毒软件可以拦截已知病毒，却很难抵御变种木马、社工钓鱼。

电力、政务等关键基础设施是头号攻击目标，企业不能仅依靠杀毒软件，必须落地「员工钓鱼培训+EDR行为监控+网络流量审计+漏洞常态化修复」四层防护体系。后续基于LLM生成的恶意程序会持续增多，政企安全架构急需升级行为检测能力。

埃森哲已确认存在安全漏洞，但未证实威胁攻击者声称的数据范围和具体类型。在取证证据或数据样本泄露提供更强佐证前，建议安全团队将具体数据类型和数量视为未经证实。鉴于样本中提及的凭证类型，仍建议使用Azure DevOps的组织检查PAT轮换策略并审核代码库访问日志作为预防措施。

本篇为数据出境安全管理政策法规问答，针对国家互联网信息办公室持续加强数据出境安全管理政策法规宣介，指导和帮助数据处理者高效合规开展数据出境活动。经对近期收到的咨询问题进行研究，现将一些有代表性的问题和答复公布如下。

AI掀起新一轮产业变革，为各行各业带来颠覆性发展机遇。但每一次技术革命，最终比拼的都不是技术本身，而是企业将技术转化为生产力的能力。

Claude Code拥有完整访问企业研发环境的权限。后门机制等同于在企业内网埋下持续数据出口，源代码、自研算法、涉密业务逻辑可被批量外传。截至目前，阿里等头部企业已宣布办公环境全面禁用Claude Code，列入高风险软件清单，切换自研国产AI编程工具规避供应链隐患。

依据《网络安全法》《个人信息保护法》《网络数据安全管理条例》《App违法违规收集使用个人信息行为认定方法》等法律法规和有关规定，经国家计算机病毒应急处理中心检测，72款移动应用存在一项或者多项违法违规收集使用个人信息情况。

本指南适用于中华人民共和国境内能源行业非涉密数据的分类分级工作。 能源数据处理者开展涉及国家秘密，或汇聚关联后构成国家秘密的能源数据处理，遵照《保守国家秘密法》管理；本指南术语定义与《能源行业数据安全管理办法（试行）》保持统一。

网络关键设备和网络安全专用产品依据国家互联网信息办公室、工业和信息化部、公安部、财政部、国家认证认可监督管理委员会《关于调整网络安全专用产品安全管理有关事项的公告》（2023年第1号）开展安全管理，不列入《实施网络安全标识的产品目录》。