2024年3月份网络安全月报

一、 国家安全动态、政策和法规

定期了解国家安全动态、政策和法规，以及相关行业规范标准，有助于完善单位自身的信息安全管理体系。
以下是2024年3月份国家新发布的法规政策以及行业相关动态：

1.1 网络关键设备和网络安全专用产品安全认证和安全检测结果发布

发布来源：中国网信网
发布时间：2024-03-14
发布链接：
https://www.cac.gov.cn/2024-03/14/c_1712088015711631.htm
内容概要：
由中央网络安全和信息化委员会办公室公布最新的（2024年03月14日更新）关于网络关键设备和网络安全专用产品安全认证和安全检测结果，其中通过安全认证的设备含454台网络关键设备和1349台网络安全专用产品。
详细结果请看链接：
https://www.cac.gov.cn/2024-03/14/c_1712088015711631.htm

1.2 国家互联网信息办公室公布《促进和规范数据跨境流动规定》

发布来源：中国网信网
发布时间：2024-03-22
发布链接：
https://www.cac.gov.cn/2024-03/22/c_1712776612187994.htm
内容概要：
3月22日，国家互联网信息办公室公布《促进和规范数据跨境流动规定》（以下简称《规定》），自公布之日起施行。
国家互联网信息办公室有关负责人表示，数据跨境流动已经成为全球资金、信息、技术、人才、货物等资源要素交换、共享的基础。为了促进数据依法有序自由流动，激发数据要素价值，扩大高水平对外开放，《规定》对数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度作出优化调整。
《规定》明确了重要数据出境安全评估申报标准，提出未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。
《规定》规定了免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的数据出境活动条件：一是国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的；二是在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的；三是为订立、履行个人作为一方当事人的合同，确需向境外提供个人信息的；四是按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；五是紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；六是关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。
《规定》设立自由贸易试验区负面清单制度。提出自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内负面清单，经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
《规定》明确了应当申报数据出境安全评估的两类数据出境活动条件，一是关键信息基础设施运营者向境外提供个人信息或者重要数据；二是关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。同时，明确了应当订立个人信息出境标准合同或者通过个人信息保护认证的数据出境活动条件，即关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息。
《规定》同时对数据出境安全评估的有效期限和延期申请、数据安全保护义务和监督管理责任、与数据出境安全管理其他规定的衔接适用等作了规定。

1.3 国家互联网信息办公室发布《数据出境安全评估申报指南（第二版）》和《个人信息出境标准合同备案指南（第二版）》

发布来源：中国网信网
发布时间：2024-03-22
发布链接：
https://www.cac.gov.cn/2024-03/22/c_1712783131692707.htm
内容概要：
为了指导和帮助数据处理者规范有序申报数据出境安全评估、备案个人信息出境标准合同，国家互联网信息办公室编制了《数据出境安全评估申报指南（第二版）》、《个人信息出境标准合同备案指南（第二版）》，对申报数据出境安全评估、备案个人信息出境标准合同的方式、流程和材料等具体要求作出了说明，对数据处理者需要提交的相关材料进行了优化简化。
数据处理者因业务需要向境外提供重要数据和个人信息，应当遵守《数据出境安全评估办法》、《个人信息出境标准合同办法》和《促进和规范数据跨境流动规定》有关规定。符合数据出境安全评估适用情形的，按照申报指南申报数据出境安全评估；通过与境外接收方订立个人信息出境标准合同的方式向境外提供个人信息的，按照备案指南向所在地省级网信部门备案。
国家互联网信息办公室开通了“数据出境申报系统”，网址：https://sjcj.cac.gov.cn。数据处理者可以通过该系统申报数据出境安全评估、备案个人信息出境标准合同，具体使用说明见系统首页《用户手册》。
附件内容详情请看链接：
https://www.cac.gov.cn/cms/pub/interact/downloadfile.jsp?filepath=ekdHFflbXTKqZLE43DV~bbqEydxfUD7/3PLj0VDpAPf56IEYOPwPnP8nt7HBsXliNy0WFZDYOy78MIC8huRxBp3MoQYVYfXaOeBYjB154YQ=&fText=%E6%95%B0%E6%8D%AE%E5%87%BA%E5%A2%83%E5%AE%89%E5%85%A8%E8%AF%84%E4%BC%B0%E7%94%B3%E6%8A%A5%E6%8C%87%E5%8D%97%EF%BC%88%E7%AC%AC%E4%BA%8C%E7%89%88%EF%BC%89
https://www.cac.gov.cn/cms/pub/interact/downloadfile.jsp?filepath=ekdHFflbXTKqZLE43DV~bbqEydxfUD7/3PLj0VDpAPf56IEYOPwPnP8nt7HBsXliZ7r2c5/C4/74B6uhMvfMRJ3MoQYVYfXaOeBYjB154YQ=&fText=%E4%B8%AA%E4%BA%BA%E4%BF%A1%E6%81%AF%E5%87%BA%E5%A2%83%E6%A0%87%E5%87%86%E5%90%88%E5%90%8C%E5%A4%87%E6%A1%88%E6%8C%87%E5%8D%97%EF%BC%88%E7%AC%AC%E4%BA%8C%E7%89%88%EF%BC%89

1.4 促进和规范数据跨境流动规定

发布来源：中国网信网
发布时间：2024-03-22
发布链接：
https://www.cac.gov.cn/2024-03/22/c_1712776611775634.htm
内容概要：
促进和规范数据跨境流动规定：
第一条 为了保障数据安全，保护个人信息权益，促进数据依法有序自由流动，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等法律法规，对于数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度的施行，制定本规定。
第二条 数据处理者应当按照相关规定识别、申报重要数据。未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估。
第三条 国际贸易、跨境运输、学术合作、跨国生产制造和市场营销等活动中收集和产生的数据向境外提供，不包含个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
第四条 数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
第五条 数据处理者向境外提供个人信息，符合下列条件之一的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证：
（一）为订立、履行个人作为一方当事人的合同，如跨境购物、跨境寄递、跨境汇款、跨境支付、跨境开户、机票酒店预订、签证办理、考试服务等，确需向境外提供个人信息的；
（二）按照依法制定的劳动规章制度和依法签订的集体合同实施跨境人力资源管理，确需向境外提供员工个人信息的；
（三）紧急情况下为保护自然人的生命健康和财产安全，确需向境外提供个人信息的；
（四）关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的。
前款所称向境外提供的个人信息，不包括重要数据。
第六条 自由贸易试验区在国家数据分类分级保护制度框架下，可以自行制定区内需要纳入数据出境安全评估、个人信息出境标准合同、个人信息保护认证管理范围的数据清单（以下简称负面清单），经省级网络安全和信息化委员会批准后，报国家网信部门、国家数据管理部门备案。
自由贸易试验区内数据处理者向境外提供负面清单外的数据，可以免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。
第七条 数据处理者向境外提供数据，符合下列条件之一的，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估：
（一）关键信息基础设施运营者向境外提供个人信息或者重要数据；
（二）关键信息基础设施运营者以外的数据处理者向境外提供重要数据，或者自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息）或者1万人以上敏感个人信息。
属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。
第八条 关键信息基础设施运营者以外的数据处理者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息）或者不满1万人敏感个人信息的，应当依法与境外接收方订立个人信息出境标准合同或者通过个人信息保护认证。
属于本规定第三条、第四条、第五条、第六条规定情形的，从其规定。
第九条 通过数据出境安全评估的结果有效期为3年，自评估结果出具之日起计算。有效期届满，需要继续开展数据出境活动且未发生需要重新申报数据出境安全评估情形的，数据处理者可以在有效期届满前60个工作日内通过所在地省级网信部门向国家网信部门提出延长评估结果有效期申请。经国家网信部门批准，可以延长评估结果有效期3年。
第十条 数据处理者向境外提供个人信息的，应当按照法律、行政法规的规定履行告知、取得个人单独同意、进行个人信息保护影响评估等义务。
第十一条 数据处理者向境外提供数据的，应当遵守法律、法规的规定，履行数据安全保护义务，采取技术措施和其他必要措施，保障数据出境安全。发生或者可能发生数据安全事件的，应当采取补救措施，及时向省级以上网信部门和其他有关主管部门报告。
第十二条 各地网信部门应当加强对数据处理者数据出境活动的指导监督，健全完善数据出境安全评估制度，优化评估流程；强化事前事中事后全链条全领域监管，发现数据出境活动存在较大风险或者发生数据安全事件的，要求数据处理者进行整改，消除隐患；对拒不改正或者造成严重后果的，依法追究法律责任。
第十三条 2022年7月7日公布的《数据出境安全评估办法》（国家互联网信息办公室令第11号）、2023年2月22日公布的《个人信息出境标准合同办法》（国家互联网信息办公室令第13号）等相关规定与本规定不一致的，适用本规定。
第十四条 本规定自公布之日起施行。

 

二、 境内安全事件

汇总本月发生的重大安全事件，分析事件的发生原因、影响和对应解决方案，可提高对相应事件的应对能力，实现“防患于未然”。

2.1 工业和信息化部通报存在问题的APP(SDK)名单

事件日期：2024-03-14
事件概况：
工业和信息化部依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，持续整治APP侵害用户权益的违规行为。近期对用户反映突出的“摇一摇”乱跳转、信息窗口“关不掉”以及违规收集使用个人信息等问题进行检查，共发现62款APP及SDK存在侵害用户权益行为，通报并要求整改。
部分清单截图如下，详细请看附件链接：
https://www.miit.gov.cn/xwdt/gxdt/sjdt/art/2024/art_424e1faa0479457689f7a49e113a5429.html
 
 

 
如何防范：
管理上：
1、定期法规合规检查：建立定期的法规合规检查流程，确保App的所有功能和操作都符合相关的隐私保护法规。
2、建立用户投诉渠道：设立用户投诉渠道，确保用户能够方便地提出隐私相关的问题和投诉。
3、内部员工培训：进行内部员工培训，使所有员工都了解隐私政策和合规操作的必要性。
技术上：
1、公开收集使用规则：完善App的用户协议和隐私政策，确保明确、详尽地公开收集使用规则。引入用户友好的界面，以便用户能够轻松访问并理解隐私政策，明确数据收集和处理的目的。
2、合规数据收集与处理：审查并更新数据收集和处理的流程，确保其符合相关法规和用户隐私保护的必要原则。采用数据最小化原则，只收集并处理必要的用户信息，减少不必要的数据采集。
3、数据加密和安全措施：引入端到端的数据加密技术，确保用户敏感信息在传输和存储过程中的安全性。加强对用户数据的安全控制，限制有权限的人员和系统能够访问敏感信息。