2025年第27周安全周报 | 本周安全要闻速览
● 国家互联网信息办公室发布《网信部门行政处罚裁量权基准适用规定》
近日，国家互联网信息办公室发布《网信部门行政处罚裁量权基准适用规定》，2025年8月1日起施行。该《规定》旨在规范网信部门行政处罚行为，保护相关主体合法权益。其明确了行政处罚裁量权基准的含义，指出网信部门适用时应遵循的原则，还划分了不予处罚、减轻处罚等裁量阶次并明确各情形。此外，省、市等网信部门可结合实际制定本区域内的裁量权基准，上级部门要对下级行使该权力的工作进行监督。
来源：国家互联网信息办公室
● 三部门印发《关于进一步加强医疗机构电子病历信息使用管理的通知》
近日，国家卫生健康委、国家中医药局、国家疾控局三部门联合印发《关于进一步加强医疗机构电子病历信息使用管理的通知》，旨在规范医疗机构电子病历信息管理，强化患者隐私保护，提升医疗数据安全水平。指出，电子病历是医疗机构通过信息系统生成的文字、符号、图表、影像等数字化医疗记录，涵盖门（急）诊病历和住院病历。医疗机构作为电子病历信息管理的“第一责任人”，需依法依规严格保护患者隐私，不得以非医疗、教学、研究目的泄露患者信息。同时，要求医疗机构明确牵头部门，统筹协调医务、科教、信息等相关部门落实管理责任，并将电子病历规范使用情况纳入行政管理人员和医务人员绩效评价。对违规操作、信息泄露等行为，将依法依规追究责任。并提出建立电子病历信息分级分类访问控制机制。电子病历系统需实现操作痕迹、时间及操作人员等信息的可查询、可追溯。医疗机构建立电子病历信息泄露应急处置制度，对就医诊疗相关舆情及时封存涉事信息，无关人员不得访问或转发记录。
来源：人民政府网
● 2025年护航新型工业化网络安全专项行动启动
深入学习贯彻习近平总书记关于新型工业化的重要论述，全面贯彻落实中央经济工作会议精神和全国新型工业化推进大会部署，扎实推进2025年护航新型工业化网络安全专项行动，工业和信息化部印发《2025年护航新型工业化网络安全专项行动方案》。聚焦突出重点管理、做优服务模式，以推动重点企业、重要系统、关键产品防护能力升级为核心，提出3方面、8项重点任务，推动提高工业领域网络安全保障水平，着力支撑制造业高质量发展，为实现“十五五”良好开局奠定坚实基础。工作目标包括：建立完善工业领域网络安全防护重点企业清单，深入实施工业互联网安全分类分级管理，面向不少于800家工业企业开展网络安全贯标达标试点，更新不少于100个车联网服务平台的定级备案，有效提高重点企业综合防护水平；深化工业控制系统网络安全评估，探索开展工业控制产品安全检测认证；组织全国范围新型工业化网络安全政策标准宣贯，推动各地方宣贯工作覆盖属地不少于20%的规上工业企业，切实增强工业领域网络安全意识和保障能力，以高水平网络安全护航制造业高质量发展。
来源：工信微报
● 日本内阁官房成立国家网络安全办公室
日本于 7 月 1 日在内阁官房成立国家网络安全办公室（NCO：National Cybersecurity Office），负责综合协调网络安全领域政策，实施“主动网络防御”。该办公室是通过改组内阁网络安全中心（NISC）成立的，设置“国家网络安全官”职位管理该部门。日本5 月16日颁布《增强网络应对能力强化法》，将“主动网络防御”引入法律，允许政府与关键基础设施运营商签订协议并获取通信信息，以监控网络攻击风险，为防止产生严重损害，警察厅和自卫队在获得国家网络安全办公室批准后，可直接访问攻击者服务器并采取措施将攻击失效。日本首相石破茂表示：“网络空间威胁对国家安全影响严重，加强应对能力的举措迫在眉睫”，其指示相关内阁大臣，年内制定网络安全相关战略，切实推进法律中规定措施的实施。
来源：科荟智库
● 澳航遭遇“重大”网络攻击，数百万客户信息恐遭泄露
澳大利亚澳洲航空公司7月2日说，该公司正在调查一起“重大”网络攻击事件。据其通报，黑客入侵了澳航一个存有大约600万客户隐私信息的数据系统，恐致大规模数据泄露。澳航在一份声明中说，该公司6月30日发现其第三方客户服务平台出现“异常活动”，显示黑客入侵了一个客户联络中心系统，可获取约600万客户的姓名、电子邮件地址、手机号码、生日等隐私信息。“我们仍在调查具体有多少数据被盗，但预计泄露规模较大。”澳航强调，被“黑”系统未存储客户的信用卡、个人财务和护照号码等信息，因此这类数据未受影响。澳航常旅客账号及密码、登录信息等也未被盗取。此次事件也未对澳航日常运营及航空安全造成影响。目前，澳航正在联系受影响客户，通报事件详情，并说明公司可提供的具体支持方案。澳航首席执行官瓦妮萨·赫德森代表澳航“真诚地向受影响客户道歉”，表示公司正就此事与澳大利亚政府网络安全专家“密切合作”。
来源： 央视新闻客户端
● 美国FERC终止CIP规则制定，聚焦协同网络攻击与低影响资产防护
国联邦能源监管委员会（FERC）宣布终止案卷号RM20-12-000下的关键基础设施保护（CIP）可靠性标准规则制定程序，并撤回2020年发布的调查通知。该通知原旨在评估现行CIP标准是否充分涵盖数据安全、异常检测和网络事件缓解等风险。尽管项目终止，FERC同时启动新一轮征询，聚焦对地理分布目标实施协同网络攻击的潜在威胁，并探讨是否需调整CIP标准应对新风险。FERC认为，尽管多数评论者称现有标准已足够覆盖NIST网络安全框架相关内容，但也有声音指出低影响资产仍存在漏洞。FERC和NERC在此期间已推进多项应对措施，如2023年批准CIP-015-1标准，强制实施内部网络安全监控，并于2024年审议了新版CIP-003-11，旨在通过身份验证、加密和恶意通信检测手段，降低分布式低影响系统被用于协同攻击的风险。Ampyx Cyber总裁帕特里克·米勒指出，RM20-12-000虽被撤销，但数据安全与协同攻击等关键议题已通过新标准得到延续性解决，CIP监管策略将继续采取渐进式路径。随着政治环境变化，相关标准在未来能否稳固实施仍面临考验。
来源：Industrial Cyber
● 俄罗斯收紧芯片本地化认证标准，2030年起强制使用国产材料
俄罗斯工业和贸易部提出修订第719号政府决议，拟全面收紧芯片本地化认定标准。根据草案，未来仅在俄罗斯注册知识产权将不再构成“国产”资格，处理器与集成电路产品需在俄境内完成包括封装和现代化在内的实际生产工艺，才能获得本地化满分认证。修订方案设定积分制评估体系，一级微电路需满100分，预计到2030年将强制使用俄产光敏电阻，2031年起全面采用本地外壳、基板、焊线等材料，2035年起转向国产光掩模及设计软件。政府此举旨在提升技术主权，保障关键基础设施供应安全。GS集团等企业已在推进本地封装能力建设，但专家指出，俄罗斯当前尚不具备完整处理器全流程产能，将生产全迁至本土至少需2年及50亿卢布投入，与全新芯片研发成本相当。目前Baikal、Elbrus等芯片仍主要在境外代工，预计其产品在新规下将被归类为第二或第三级本地化。工贸部表示该改革方案已与主要企业达成共识，国家对微电子产业的资金支持将于2024年达到2100亿卢布。
来源：SecurityLab
● 俄罗斯启动SIM卡实名生物识别制度，外国人7月起逐步断网
俄罗斯自7月1日起对未完成统一生物识别系统（UBS）注册的外国公民实施通信限制。根据俄罗斯数字发展部新规，所有外国人必须在7月1日前完成生物识别数据登记，否则将面临逐步断网。限制措施分阶段执行：若手机号连续3个月未使用将被立即停用；活跃号码将先被限制国际和长途通话，降低网速，30天后彻底断开。目前已有逾200万外国人完成注册，但俄罗斯境内登记外国人总数近990万，仍有大量用户面临通信中断风险。为配合政策，俄罗斯政府提供便捷注册流程，包括通过ruID应用实现SNILS申请、国家服务账户激活及远程身份确认。新规还限制每人最多注册10个号码，2025年起购卡还须提供IMEI信息、SNILS号及Gov服务门户账户。数字发展部表示，此举旨在提升对境内外国人的通信管理水平并推进数字身份统一。
来源：SecurityLab
● 谷歌开源零知识证明技术，隐私保护迎来重大变革
在网络安全领域，谷歌近期推出了一项名为“零知识证明”（Zero-Knowledge Proofs, ZKP）的新技术，旨在提升用户隐私保护和数据安全性。这项技术的核心在于允许一方（证明者）向另一方（验证者）证明某个陈述的真实性，而无需透露任何额外信息。这一创新不仅为身份验证和数据共享提供了新的解决方案，也为区块链和加密货币等领域带来了新的可能性。谷歌的研究团队表示，零知识证明技术可以在不暴露用户敏感信息的情况下，验证用户身份或交易的合法性。例如，在金融交易中，用户可以证明自己拥有足够的资金进行交易，而无需透露具体的账户余额。这种方式大大降低了数据泄露的风险，增强了用户对在线服务的信任。此外，谷歌还强调了零知识证明在保护用户隐私方面的潜力。这一举措不仅是技术上的突破，也反映了行业对隐私保护的重视。随着越来越多的企业和组织意识到数据安全的重要性，零知识证明有望成为未来网络安全的标准之一。
来源：helpnetsecurity
