日前瑞典媒体报道中提到，瑞典数以百万计运输人员的敏感信息和个人数据以及瑞典的军事机密已遭泄露，导致瑞典公民及国家安全处于风险之中。而泄露这些敏感数据的竟然是瑞典政府自己!
瑞典政府不慎泄露大量公民的个人信息
瑞典媒体报道称瑞典交通局发生大规模数据泄露事件，原因是该机构跟IBM错误地处理了一次外包交易，导致瑞典的所有车辆的隐私信息遭泄露，包括警察和军人使用的车辆信息。
被暴露的数据包括数以百万计的瑞典公民姓名、照片和家庭住址，包括瑞典空军战斗机飞行员、瑞典军方敏感部门成员、犯罪嫌疑人、证人迁移计划涉及人员、所有道路和桥梁的承重能力等信息。这起事件被认为是史无前例的最糟糕的政府信息安全灾难。
2015年，瑞典交通局交给IBM一份IT维护合同以管理其数据库和网络。然而，瑞典交通局将IBM的整个数据库上传到云服务器中。数据库中包含瑞典所有的车辆信息，包括警察和军事注册以及参加见证保护计划的个人。随后交通局将整个数据库通过邮件发送给订阅服务的营销人员。更糟糕的是这些信息以明文数据发送。当交通局发现这个错误时，仅新发送了一份含有新列表的新邮件并告知用户删除之前发送的列表。
更让人揪心的是，这次外包交易能让不在瑞典境内的IBM员工访问瑞典交通局的系统，而无需经过适当的安全检查。位于捷克共和国的IBM管理人员也能完全访问所有数据和日志。
Pirate Party的创始人兼VPN提供商Private Internet Access的隐私负责人Rick Falkvinge详细说明了这起丑闻事件，他指出该事件“披露并泄露了所有能想象到的机密数据库信息：战斗机飞行员、SEAL团队运营人员、警方嫌疑人、见证迁移计划人员的信息。”
个人及国家基础设施信息遭泄露
Falkvinge指出，被泄数据包括：
所有道路以及桥梁的承重能力(它是重要的战争信息，能让人们了解到战时会使用哪些道路)。空军战斗机飞行员的姓名、照片和家庭住址，在警署注册过的个人姓名、照片和家庭住址，据悉这些信息属于机密信息。军方最机密部门等同于SAS或SEAL团队的所有运营人员的姓名、照片和住址。见证迁移计划中每个人的姓名、照片和地址，出于某种原因这些人的身份受到保护。所有政府和军事车辆的类型、型号、重量以及所有缺陷问题，包括能够披露军事支持部门结构的运营人员信息。
尽管这起数据泄露事件发生于2015年，但瑞典秘密服务机构在2016年才发现并开始调查此事。此事导致交通局局长Maria Agren在2017年1月被解雇。Agren也被罚款8500美元，理由是她“对秘密信息的处理粗心大意”。
事件观察：基础设施信息安全
关键信息基础设施，指的是面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业运行的信息系统或工业控制系统，这些系统一旦发生网络安全事故，可能影响重要行业正常运行，对国家政治、经济、科技、社会、文化、国防、环境及人民生命财产造成严重损失。
瑞典此次事件，正是由于之前疏于对基础设施信息安全的防护，员工进行了不安全的操作，资料信息服务器进行了不正确的设置，以及事后没有进行积极处理，致使造成了现在的严重后果。
这起事件给我们的启示是，对于关键信息基础设施进行重点保护势在必行，我国网信办也因此制定了《基础信息设施保护安全条例(意见征求稿)》向社会大众征求意见。《信息设施保护条例(意见征求稿)》首先确定了保护关键信息基础措施的主体和相应责任主体，并从下列方面进行了相关细则描述。
- 支持与保障
- 关键信息基础设施范围
- 运营者安全保护
- 产品和服务安全
- 监测预警、应急处置和检测评估
- 法律责任
相信这部法律能和网络安全法一样，在社会广征意见中不断完善自身，从信息安全的根本，基础信息安全设施进行信息安全防护。
【本文为51CTO专栏“柯力士信息安全”原创稿件，转载请联系原作者(微信号：JW-assoc)】
