一、 国家安全动态、政策和法规

定期了解国家安全动态、政策和法规，以及相关行业规范标准，有助于完善单位自身的信息安全管理体系。
以下是2023年12月份国家新发布的法规政策以及行业相关动态：

1.1 “餐饮外卖类”App个人信息收集情况测试报告

发布来源：中国网络空间安全协会
发布时间：2023-12-11
发布链接：
https://mp.weixin.qq.com/s/l5qQ_QP9vYBjtg9yppkFtA
内容概要：
中国网络空间安全协会对“餐饮外卖类”公众大量使用的部分App收集个人信息情况进行了测试。测试对象有6款App：美团、饿了么、盒马、叮咚买菜、口碑、京东到家和多点。本次测试包括系统权限调用、个人信息上传、网络上传流量3项内容。
附件内容详情请看链接： 
https://mp.weixin.qq.com/s/l5qQ_QP9vYBjtg9yppkFtA

1.2 国家互联网信息办公室关于《网络安全事件报告管理办法（征求意见稿）》公开征求意见的通知

发布来源：中国网信网
发布时间：2023-12-08
发布链接：
http://www.cac.gov.cn/2023-12/08/c_1703609634347501.htm
内容概要：
为了规范网络安全事件的报告，减少网络安全事件造成的损失和危害，维护国家网络安全，依据《中华人民共和国网络安全法》等法律法规，国家互联网信息办公室起草了《网络安全事件报告管理办法（征求意见稿）》，现向社会公开征求意见。公众可通过以下途径和方式提出反馈意见：
1.登录中华人民共和国司法部 中国政府法制信息网（www.moj.gov.cn、www.chinalaw.gov.cn），进入首页主菜单的“立法意见征集”栏目提出意见。
2.通过电子邮件方式发送至：wlaqyj@cac.gov.cn。
3.通过信函方式将意见寄至：北京市海淀区阜成路15号国家互联网信息办公室网络安全协调局，邮编100048，并在信封上注明“网络安全事件报告管理办法征求意见”。意见反馈截止时间为2024年1月7日。
附件内容详情请看链接：
http://www.cac.gov.cn/2023-12/08/c_1703609634347501.htm 

1.3 关于对《网络安全标准实践指南——大型互联网平台网络安全评估指南（征求意见稿）》公开征求意见的通知

发布来源：全国信安标委
发布时间：2023-12-23
发布链接：
https://www.tc260.org.cn/front/postDetail.html?id=20231223120722
内容概要：
为指导大型互联网平台评估发现和防范可能影响社会稳定、公共利益的网络安全风险，秘书处组织编制了《网络安全标准实践指南——大型互联网平台网络安全评估指南（征求意见稿）》。
根据《全国信息安全标准化技术委员会<网络安全标准实践指南>管理办法（暂行）》要求，秘书处现组织对《网络安全标准实践指南——大型互联网平台网络安全评估指南（征求意见稿）》面向社会公开征求意见。如有意见或建议，请于2024年1月5日前反馈至秘书处。
联系人：
王秉政010-64102746  
wangbz@cesi.cn或wbz2010558@163.com
附件内容详情请看链接：
https://www.tc260.org.cn/upload/2023-12-23/1703304324460038090.pdf

1.4 关于征求国家标准《信息安全技术 政务计算机终端核心配置规范》（征求意见稿）意见的通知

发布来源：全国信安标委
发布时间：2023-12-04
发布链接：
https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20231204144131&norm_id=20221102145137&recode_id=53582
内容概要：
全国信息安全标准化技术委员会归口的国家标准《信息安全技术 政务计算机终端核心配置规范》现已形成标准征求意见稿。
根据《全国信息安全标准化技术委员会标准制修订工作程序》要求，现将该标准征求意见稿面向社会公开征求意见。标准相关材料已发布在信安标委网站，如有意见或建议请于2024年2月3日24:00前反馈秘书处。
联系人：
王姣   13661025214   wangjiao@cesi.cn
附件内容详情请看链接：
https://www.tc260.org.cn/front/bzzqyjDetail.html?id=20231204144131&norm_id=20221102145137&recode_id=53582

1.5 粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引

发布来源：中国网信网
发布时间：2023-12-13
发布链接：
http://www.cac.gov.cn/2023-12/13/c_1704042786237103.htm
内容概要：
落实《中华人民共和国国家互联网信息办公室与香港特别行政区政府创新科技及工业局 关于促进粤港澳大湾区数据跨境流动的合作备忘录》关于“共同制定粤港澳大湾区个人信息跨境标准合同并组织实施，加强个人信息跨境标准合同备案管理”的合作措施，国家互联网信息办公室与香港创新科技及工业局共同制定《粤港澳大湾区（内地、香港）个人信息跨境流动标准合同实施指引》，并公布。
附件内容详情请看链接：
http://www.cac.gov.cn/2023-12/13/c_1704042786237103.htm

1.6 通过云计算服务安全评估的云平台

发布来源：中国网信网
发布时间：2023-12-15
发布链接：
http://www.cac.gov.cn/2023-12/15/c_1704305100407709.htm
内容概要：
由中国网信网公布的关于通过云计算服务安全评估的云平台检测结果清单，共75个云平台通过云计算服务安全评估。详细结果请看链接：
http://www.cac.gov.cn/2023-12/15/c_1704305100407709.htm

二、 境内安全事件

汇总本月发生的重大安全事件，分析事件的发生原因、影响和对应解决方案，可提高对相应事件的应对能力，实现“防患于未然”。

2.1 一招聘APP遭撞库攻击：黑客拿“万能钥匙”偷走300万条数据

事件日期：2023-12-01
事件概况：
北京警方接到辖区内一互联网公司报案，称该公司的求职招聘类app的短信验证码接口遭受攻击达1300余万次，并且成功匹配注册账号30余万个。
警方调查发现2名嫌犯利用网站漏洞制作黑客软件并实施“撞库”攻击，获取大量个人信息和公司账号数据在境外出售。北京警方迅速行动，将犯罪嫌疑人喻某抓获，据其交代，他发现该网站的签名算法相对单一，便利用该弱点编写指令，制作黑客软件对网站进行“撞库”攻击。
后续，警方又在四川成都将另一名嫌疑人焦某抓获，现场起获各类公司、人员数据330余万条。

如何防范：
管理上：
1、安全政策与意识： 建立健全的安全政策，包括密码策略、访问控制、员工培训等。确保员工具备基本的网络安全意识，并定期进行网络安全培训，教育员工避免潜在的网络威胁。
2、风险评估与漏洞管理： 定期进行安全风险评估和漏洞管理，及时修补系统和应用程序中发现的漏洞，以减少黑客入侵的可能性。
3、安全审计和监控： 建立全面的安全审计和监控机制，实时监测系统和网络的活动，及时发现异常行为，并采取必要的措施进行应对。
4、数据备份与恢复： 定期进行数据备份，并将备份数据存储在离线或安全的位置，以防止黑客攻击导致数据丢失。
技术上：
1、防火墙和入侵检测系统(IDS/IPS)： 部署防火墙来监控网络流量，并使用IDS/IPS系统实时检测潜在的入侵行为，阻止不明来源的流量进入内部网络。
2、加密通信和数据： 使用加密协议保护重要数据和敏感信息的传输。同时，确保数据库和存储中的数据也进行加密，即使数据被盗取也不会泄露敏感信息。
3、安全补丁和更新： 及时更新操作系统、应用程序和安全软件的补丁，确保系统能够抵御已知的安全漏洞。
4、安全审计和日志监控： 记录系统和网络的日志，并定期进行审计和监控，以便于快速发现异常行为和入侵活动。
 

2.2 网信部门依法查处花椒直播、天天吉历APP等破坏网络生态案件

事件日期：2023-12-29
事件概况：
近日，针对花椒直播、天天吉历APP、超级手电筒APP、大姨妈APP等网站平台破坏网络生态问题，国家网信办指导北京市、上海市网信办，依据《网络安全法》《网络信息内容生态治理规定》等有关规定，依法约谈上述网站平台负责人，责令限期整改、从严处理责任人，整改期间采取自行暂停新用户注册、暂停问题版块信息更新等处置措施。
 
如何防范：
管理上：
1、遵守相关法律法规：停止发布和传播低俗不良、炒作绯闻、丑闻、劣迹等违规内容，以避免进一步扩大违法范围。
2、清理违规内容：删除已经发布的违规内容，清理平台上的不良信息，确保企业App中的内容符合法律法规。
3、强化内部管理机制：完善内部审核机制，建立更加严格的内容审核流程，确保新发布的内容不违反相关法规。
4、加强社区管理：强化用户举报机制，建立有效的社区管理体系，及时发现并处理用户反馈的违规内容。
5、整改报告和公告：向用户发布整改公告，说明问题的原因、采取的整改措施以及今后将如何确保合规经营，增强公众对企业的信任。
6、与相关部门合作：主动与相关监管部门沟通合作，展示企业整改的决心，并根据监管部门的建议进行整改。
7、建立长效机制：设计长期有效的内容管理机制，包括定期的内部审核和监管部门的合规检查，确保企业持续合规运营。