2024年第1周安全周报 | 本周安全要闻速览

为进一步完善银行保险机构操作风险监管规则，提升银行保险机构的操作风险管理水平，金融监管总局对《商业银行操作风险管理指引》进行了修订，形成《银行保险机构操作风险管理办法》，现正式发布，于2024年7月1日起施行。《办法》共六章五十二条及附录，坚持审慎性、全面性、匹配性、有效性原则，主要内容包括：一是明确风险治理和管理责任。明确董事会、监事（会）和高级管理层的责任，界定三道防线的具体范围和职责，压实分支机构和附属机构的操作风险管理责任。二是规定风险管理基本要求。明确银行保险机构应当建立操作风险管理基本制度、操作风险偏好和传导机制，建立健全操作风险的管理信息系统，培育良好的操作风险管理文化。三是细化管理流程和管理工具。要求银行保险机构对操作风险进行全流程管理。规定了内部控制、业务连续性管理、网络安全、数据安全、业务外包管理等操作风险控制、缓释措施的基本要求，建立操作风险情况和重大操作风险事件报告机制，应用操作风险损失数据库等三大基础管理工具以及新型工具。四是完善监督管理职责。金融监管总局及其派出机构要检查评估银行保险机构操作风险管理体系的健全性和有效性，行业协会应当发挥自律和服务作用。五是在《办法》附录中对部分规定内容的含义进行了说明和举例，以便于银行保险机构落实执行。自《办法》实施之日起，《商业银行操作风险管理指引》（银监发〔2007〕42号）、《中国银行业监督管理委员会关于加大防范操作风险工作力度的通知》（银监发〔2005〕17号）废止。

国家数据局等17部门近日联合印发《“数据要素×”三年行动计划（2024—2026年）》，旨在充分发挥数据要素乘数效应，赋能经济社会发展。《行动计划》以推动数据要素高水平应用为主线，以推进数据要素协同优化、复用增效、融合创新作用发挥为重点，强化场景需求牵引，带动数据要素高质量供给、合规高效流通，培育新产业、新模式、新动能，充分实现数据要素价值，为推动高质量发展、推进中国式现代化提供有力支撑。《行动计划》强调坚持需求牵引、注重实效，试点先行、重点突破，有效市场、有为政府，开放融合、安全有序等4方面基本原则，明确了到2026年底的工作目标。《行动计划》选取工业制造、现代农业、商贸流通、交通运输、金融服务、科技创新、文化旅游、医疗健康、应急管理、气象服务、城市治理、绿色低碳等12个行业和领域，推动发挥数据要素乘数效应，释放数据要素价值。《行动计划》从提升数据供给水平、优化数据流通环境、加强数据安全保障等3方面，强化保障支撑。

美国《联邦公报》上周发布有关“网络安全成熟度模型认证”CMMC 2.0的拟议规则，披露了国防部对承包商和其他组织实施五角大楼CMMC计划的最新成本预测。根据该计划要求，处理联邦合同信息（FCI）和受控非机密信息（CUI）的国防承包商及分包商，必须根据信息类型和敏感程度，实施不同等级的网络安全标准，并评估自身合规满足情况。为了简化规则，CMMC 2.0具备三大特征：首先是采用分层模型，要求承包商根据信息敏感程度，按三个不同等级实施网络安全标准。其次是要求进行评估，允许国防部核验标准的实施情况。第三是以合同的形式落实，一旦CMMC规则生效，处理敏感信息的国防部承包商必须达到特定的CMMC等级才能赢得合同。一旦CMMC纳入《联邦法规第48编》，国防部将在招标书和随后的合同中指定所需的CMMC级别。新规则可能影响超过20万家国防工业公司。

维多利亚法院服务中心(CSV)表示，澳大利亚的法院案件和法庭受到网络安全事件的影响，攻击者可能会访问听证会记录。CSV在2024年1月2日的一份声明中披露了这一事件。此公告是在CSV于2023年12月21日首次收到有关网络事件的警报后约12天发布的。CSV表示，需要时间来确定哪些录音和笔录受到影响。该事件导致CSV系统遭到未经授权的访问，导致法庭内视听技术网络中断，包括视频录制、录音和转录服务。虽然该机构立即隔离并禁用了受影响的网络，但 2023年11月1日至12月21日期间的一些听证会录音可能已在网络攻击中被访问。其中包括在该州最高法院维多利亚州最高法院审理的案件。存储在网络上的11月1日之前的一些听证会也有可能被访问。一些被泄露的录音可能涉及身份受法院命令或立法保护的人。所有法院都能够运作，并已做出安排，以便在CSV重建受影响网络的同时能够继续安全可靠地运作。该机构表示，在这次攻击中没有访问其他法院系统或记录，包括员工或财务数据。它已将此事件通知所有相关当局，包括维多利亚警方，他们正在协助调查和应对。

法国西北部布列塔尼沿海城镇Pays Fouesnantais的市长宣布，他的市政当局受到了“大规模”网络攻击，导致所有社区服务瘫痪。市长向当地报纸《法国西部报》表示，该事件是“一个大问题”，并确认当局的所有IT服务均已无法运行。唯一有效的系统是护照和国民身份证服务，该服务与该镇自己的IT网络分开，并由法国政府集中管理。该委员会网站上的一条消息警告说，“社区的所有服务都受到影响”，包括当地的水上休闲中心和该镇的社区社会行动中心，这是法国国家资助的社区中心，为弱势群体提供支持。勒戈夫表示，12月29日发现了这次袭击，工作人员“正在分析损失情况”。法国是反勒索软件倡议最近承诺“公开谴责勒索软件和那些实施这些毁灭性攻击的人”的40个签署国之一，并拒绝在发生攻击时支付费用。

西班牙最大的移动运营商之一表示，黑客操纵该公司互联网基础设施的关键信息造成服务中断后，该公司已恢复服务。Orange España1月3日在社交媒体上承认了这一事件，称这“影响了我们的一些客户”，但截至当晚该服务“实际上已恢复”。目前尚不清楚互联网中断是否直接影响了这家总部位于马德里的公司的移动电话服务，但总体而言，与互联网相关的中断持续了大约三个小时。攻击者分享了其管理帐户访问的图像，Orange España甚至回复了这条推文，承认正在解决该问题。网络安全公司Hudson Rock的研究人员将此次漏洞追溯到一名Orange Spain员工的计算机，该员工于今年早些时候被信息窃取者感染。Orange的RIPE管理员帐户使用的口令是‘ripeadmin’，这个非常弱。通过访问RIPE帐户，黑客能够破坏Orange的互联网地址在边界网关协议(BGP)中的显示方式，而边界网关协议是处理全球数字流量的基石。攻击者还为Orange创建了无效的资源公钥基础设施(RPKI)配置。RPKI本来应该帮助保护BGP路由，但在这次事件中，黑客使用它来确保切换到AS编号导致了问题。