【闪捷信息】2023年度数据泄露态势分析报告_26页_2mb

2023年度数据泄露态势分析报告总结

核心内容

2023年是数据安全行业快速发展的一年，随着相关法律法规的出台，我国数据安全法制化建设初具规模，数据安全保护责任和数据资源开发利用需求日益凸显。国家数据局的成立标志着我国数字经济进入新阶段，同时《“数据要素×”三年行动计划》也进一步推动了数据要素价值的释放。

主要观点

• 数据泄露事件在2023年呈现明显的季节性波动，9月至11月占比超过全年30%，可能与国际冲突（如巴以冲突、俄乌战争）有关。
• 数据泄露的主要动机是利益驱动，占比超过70%，同时也有表达立场主张的动机，如APT攻击。
• 数据泄露原因中，内部人员和黑客攻击占比相近，分别为35%和39%，数据访问凭据泄露和数据处置不当也构成重要风险。
• 数据泄露事件主要发生在存储阶段（占比超60%），其次是使用阶段（占比超15%）和交换阶段（占比10%）。
• 个人信息泄露在金融、医疗、政府和运营商行业尤为严重，其中金融行业占比最高（25%），医疗行业紧随其后（20%）。
• 个人信息泄露的严重程度差异明显，高等危害和严重危害事件占比合计57%，表明部分泄露事件对个人和社会危害极大。
• 人工智能技术的发展也带来了新的数据安全挑战，如OpenAI的ChatGPT因Redis客户端漏洞导致部分用户信息泄露。

关键信息

数据泄露类型与占比

数据泄露人员类型与占比

泄露数据类型与占比

泄露数据源占比

个人信息泄露严重程度占比

典型案例回顾

• MOVEit数据泄露事件：黑客利用CVE-2023-34362漏洞，通过WebShell控制系统，导致大量组织的数据泄露，影响超6,200万人，主要集中在北美地区。
• ChatGPT数据泄露事件：因Redis客户端开源库redis-py的漏洞，部分用户信息被错误缓存并泄露，OpenAI通过技术手段进行修复，加强了数据匹配验证。

建议

1. 加强合作伙伴的安全能力评估
   建立评估机制，审查合作伙伴的安全政策、技术措施和人员素质，识别潜在风险，持续监督改进。

2. 建设数据分类分级保护能力
   根据数据敏感性和重要性制定分类分级标准，采取差异化的安全措施，加强全生命周期管理。

3. 开展全链路数据流转风险监控
   部署数据流转监控软件，实时审计异常行为，结合数据防泄漏和脱敏技术，降低流转风险。

4. 加强企业云上数据防护
   制定云安全策略，部署一体化防护体系，加强与云服务商的合作，定期进行安全检查和应急演练。

5. 建立数据安全运营能力
   构建数据安全运营平台，实现数据资产的持续防护与优化，完善事件响应机制，提升整体安全运营水平。

数据来源说明

本报告数据来源于闪捷信息安全与战略研究中心、合作伙伴及互联网，采用VERIS框架进行整理和分析，未来将不断改进和细化，以形成适用于国内的数据安全事件记录体系。

附录信息

• MITRE ATT&CK框架侦察技术列表：包括主动扫描、收集目标主机信息、身份信息、网络信息、机构信息、钓鱼收集、搜索不开放信息源、搜索开放技术数据库、搜索开放站点/域名等。
• 个人信息泄露严重程度评估表：根据泄露数量和真实性判断危害等级，如泄露数量 <50万为低危害，>100万为严重危害。

参考法规

1. 《中华人民共和国数据安全法》
2. 《信息安全技术个人信息安全规范》GB/T35273-2020
3. 《信息安全技术网络数据处理安全要求》GB/T41479-2022