2023年第20周安全周报 | 本周安全要闻速览
● 工业和信息化部科技伦理委员会、工业和信息化领域科技伦理专家委员会成立
为深入贯彻《中华人民共和国科学技术进步法》《中共中央办公厅 国务院办公厅关于加强科技伦理治理的意见》，认真落实党中央、国务院关于加强科技伦理治理的决策部署，提升工业和信息化领域科技伦理治理能力，工业和信息化部近日正式成立工业和信息化部科技伦理委员会、工业和信息化领域科技伦理专家委员会。下一步，工业和信息化部将以习近平新时代中国特色社会主义思想为指导，深入贯彻落实党的二十大精神，坚持促进创新和防范风险相统一，统筹发展和安全，进一步健全产业科技创新体系，完善工业和信息化领域科技伦理治理体系，将科技伦理要求贯穿于产业科技创新活动全过程，加强科技伦理审查和监管，组织制定重点领域科技伦理审查规范和标准，开展重点领域科技伦理敏捷治理，强化科技伦理管理培训和宣传教育，加强人才队伍建设，不断提升科技伦理治理能力。
来源：工业和信息化部科技司
● 关于国家标准《信息安全技术 网络和终端隔离产品技术规范》征求意见稿征求意见的通知
全国信息安全标准化技术委员会归口的《信息安全技术 网络和终端隔离产品技术规范》国家标准现已形成标准征求意见稿。根据《全国信息安全标准化技术委员会标准制修订工作程序》要求，现将该标准征求意见稿面向社会公开征求意见。截止到2023年07月14日前。
来源：全国信息安全标准化技术委员会
● 关于国家标准《信息安全技术 人工智能计算平台安全框架》征求意见稿征求意见的通知
全国信息安全标准化技术委员会归口的《信息安全技术 人工智能计算平台安全框架》国家标准现已形成标准征求意见稿。根据《全国信息安全标准化技术委员会标准制修订工作程序》要求，现将该标准征求意见稿面向社会公开征求意见。截止到2023年07月14日前。
来源：全国信息安全标准化技术委员会
● 美国政府正在修订关基安全保护顶层政策
为了保护关键基础设施，拜登政府正在修改一份十年前的总统令。官员和专家表示，面对不断变化的网络世界，这条2013年发布的总统令亟需修改。美国政府或将采取新的措施，进一步保护银行、能源、农业等领域关键目标免受潜在的网络攻击。
来源：washingtonpost
● 美国交通部遭入侵，23.7万政府人员数据遭泄露
美国交通部（USDOT）发生了一起数据泄露事件，暴露了23.7万名现任和前任联邦政府人员的个人信息。该事件攻击了用于处理TRANServe交通福利的系统，这些福利津贴用于发放政府人员的一些通勤费用。目前尚不清楚这些个人信息是否被用于犯罪目的。路透社了解到，USDOT在一封电子邮件中通知国会，其对数据泄露的初步调查“将违规行为隔绝在行政职能部门的某些系统，例如员工交通福利处理“。USDOT在给路透社的一份声明中表示，此次违规行为并未影响任何运输安全系统。但还尚不清楚这次事件的幕后黑手。该部门正在调查这起违规事件，并冻结了对过境福利系统的访问，直到该系统得到保护和恢复。
来源：cybernews
● 国家关键基础设施该如何认定？国际最新认定指南发布
澳大利亚网络和基础设施安全中心（CISC）日前发布《关键基础设施资产类别定义指南》，适用于所有相关的基础设施行业。指南简化了关键基础设施责任主体和直接利益相关方的义务，有助于提高运营弹性、降低复杂性。作为类别定义文件，指南对关键基础设施资产分类提供了指导意见。关键基础设施资产的定义可参见2018年《关键基础设施安全法案》（SOCI法案），或者《SOCI定义规则》（LIN 21/039）。指南要求资产所有者和经营者参考《SOCI法案》和《SOCI定义规则》，确定他们的资产具体符合哪一项关键基础设施资产的定义。指南涵盖了10大类别，共计22个关键基础设施行业。
来源：industrialcyber
● 法国大型制造企业遭网络攻击，三大工厂被迫关闭超一周
国际电子产品制造商Lacroix日前遭受网络攻击，致使其全球超三分之一的工厂暂时关闭。该公司称目前事件已经得到控制，但受到影响的生产工厂可能继续关停一周。该公司表示，其本地基础设施已遭黑客加密，目前正在对事件开展调查。目前尚不清楚该公司是否收到勒索要求或已经支付了赎金，但从其中涉及数据加密和泄露来看，此次事件很有可能属于勒索软件攻击。该公司希望尽快恢复工厂生产，并在一份声明中表示“尽管目前公布确切恢复时间还为时过早，但Lacroix已经定下了在5月22日星期一重新开放的目标。”
来源：techmonitor.ai
● 法国知名徒步旅游公司90万客户信息遭泄露
近日，专为徒步旅行者提供服务的法国旅游公司La Malle Postale发现其系统出现了数据泄露，泄露的信息包括姓名、电话号码、电子邮件、通过短信进行的私人通信、密码和员工的凭据。这些信息一旦被泄露，会随之带来各种网络攻击的风险。其一就是身份盗窃。欺诈者可能利用这些泄露的个人信息，来冒充信息遭遇泄露的个人，并获得其财务账户或其他敏感信息。此外，犯罪分子可以直接用这些数据假冒本人去申请贷款或信用卡。其二就是被泄露信息的客户个人信息可能被用来制作有针对性的网络钓鱼电子邮件，通过这种“看起来很可信的”邮件，去引导收件人上当受骗。最后，威胁行为者还可能利用La Malle Postale在客户中的信誉进行社会工程攻击。
来源：MUST READ
● 【APT 组织·响尾蛇】持续攻击我国和巴基斯坦实体组织
The Hacker News 网站披露，网络安全研究人员近期发现 APT 组织 SideWinder 正在“集中火力”猛攻位于我国和巴基斯坦境内的实体组织。APT 组织 SideWinder 至少从 2012 年起就开始活跃，其攻击链主要利用鱼叉式网络钓鱼作为入侵机制，在受害目标的网络环境中“站稳脚跟”，从其以往的攻击目标来看， 受攻击最频繁的国家包括巴基斯坦、中国、斯里兰卡、阿富汗、孟加拉国、缅甸、菲律宾、卡塔尔和新加坡等。并已经将目光投向了金融、政府和执法机构，以及专门从事电子商务和大众传媒的公司。
来源： FreeBuf
