【华安星安全资讯】半月精选集（2024.7.29-8.11）

      为规范互联网平台停服数据处理活动，保障数据安全，促进数据依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益，秘书处组织编制了《网络安全标准实践指南—互联网平台停服数据处理安全要求（征求意见稿）》。根据《全国网络安全标准化技术委员会<网络安全标准实践指南>管理办法（暂行）》要求，秘书处现组织对《网络安全标准实践指南—互联网平台停服数据处理安全要求（征求意见稿）》面向社会公开征求意见。如有意见或建议，请于2024年8月22日前反馈至秘书处。

       全国网络安全标准化技术委员会归口的国家标准《网络安全技术 标识密码认证系统密码及其相关安全技术要求》和《数据安全技术 数据接口安全风险监测方法》现已形成标准征求意见稿。根据《全国网络安全标准化技术委员会标准制修订工作程序》要求，现将该2项标准征求意见稿面向社会公开征求意见。标准相关材料已发布在网安标委网站，如有意见或建议请于2024年10月1日24:00前反馈秘书处。

      为贯彻落实《中华人民共和国行政处罚法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》有关要求，中国人民银行拟对《中国人民银行关于进一步加强征信信息安全管理的通知》（银发〔2018〕102号）部分条款进行修改，起草了《修改<中国人民银行关于进一步加强征信信息安全管理的通知>有关公告（征求意见稿）》，现向社会公开征求意见。

       近日，巴黎检察官办公室表示，法国国家博物馆网络的IT系统于周日遭遇了一次“勒索软件攻击”，该网络包括大约40个博物馆，法国警方的网络犯罪部门已展开调查。巴黎大皇宫也是这个博物馆网络的成员。这是一家位于巴黎核心地带的展览厅兼博物馆，已被重新利用为体育场馆，用于举办巴黎2024年夏季奥运会的击剑和跆拳道比赛。检察官办公室表示：“目前尚未发现2024年奥运会赛事安排受到影响。”法国总理加布里埃尔·阿塔尔表示，在奥运会的前几天，法国已经阻止了68起网络攻击，其中有两起针对奥运场馆。

       近日，总部位于英国的移动设备管理（MDM）公司Mobile Guardian遭遇黑客攻击，导致上万台客户设备被远程抹除。Mobile Guardian表示，检测到平台遭到未授权访问，为控制事态并防止进一步的破坏，服务器被紧急关闭。此次攻击的动机尚不明确，黑客未经授权访问注册在Mobile Guardian平台上的大量iOS和Chrome OS设备，将这些设备从MDM平台中注销并远程抹除了设备中的数据。虽然事件目前仍在调查中，但Mobile Guardian在声明中表示，目前没有证据表明攻击者获取了用户数据。此次事件影响到了北美、欧洲和新加坡的多个客户。

      近日，印度银行业发生了一起重大的勒索软件攻击事件，导致近300家小型银行陷入运营混乱。该事故是印度银行的第三方技术服务提供商C-Edge Technologies遭勒索攻击所致，直接影响了这些银行的支付及客户服务系统。据了解，C-Edge Technologies是一家成立于2010年的公司，由印度国家银行（SBI）与塔塔咨询服务公司（TCS）合资成立，旨在为印度的银行和金融机构提供信息技术解决方案。根据印度国家支付公司（NPCI）的声明，受影响的银行客户无法进行包括ATM机存取款以及统一支付接口（UPI）在内的支付交易，对用户造成了极大的不便。

      网络安全风险管理和网络安全防护是两个密切相关但不可互换的概念，网络安全防护侧重于应对攻击和响应正在发生的安全事件，而网络安全风险管理则强调从更全面的视角去评估企业的安全状况和面临的威胁态势，包括了从对组织运营、商誉、财务和合规等多个方面整体应对各种可能发生的网络威胁。由于网络安全风险具有多面性，因此组织在开展相关风险管理时，也需要一系列广泛的能力支撑，才能有效管控各种特定的风险因素，该文罗列了做好网络安全风险管理必备的5种能力，主要包括资产管理能力、基于业务的风险识别能力、风险量化能力、风险优先级评估能力、持续的风险监控能力。

       在保护企业网络安全的战场上，密码技术一直都站在最前沿。但密码技术本身，也有着易遭破解、难于记忆、管理不便等不足和应用挑战。一旦企业中的密码被攻击者非法获取，它们就会成为威胁企业数字化发展的重大威胁隐患，为潜在的网络入侵和数据盗窃打开大门。为了最大程度地提升密码应用安全性，企业应了解并遵循的密码安全最佳实践主要包括：建立强密码应用策略、使用专用的密码管理器、确保密码被安全存储、定期更新密码、提供安全的密码恢复措施、对用户隐藏密码明文、对员工进行密码安全教育、全面监测密码应用活动。