2023年8月，北愛爾蘭警務處（PSNI）遭遇了一場數據泄露事件，導致9483名警官和文職人員的個人數據被曝光。這也是英國警方歷史上最嚴重的數據泄露事件，究其原因是警方網絡安全缺失，以及對數據保護的不重視（light touch approach）。12月11日，NPCC完成調查報告，并向PSNI和NIPB提交，對于此次數據泄露事件進行全面復盤，以發現英國警方內部網絡和數據安全建設的不足，吸取經驗教訓。

數據泄露事件回顧

北愛爾蘭警察局 (PSNI) 響應信息自由 (FOI) 請求，旨在確定 PSNI 官員的人數，但卻不慎將一個Excel電子表格進行了共享，該表格里包含了PSNI所有在職員工的敏感信息，包括姓名、職級，以及他們工作的位置和部門。

信息自由請求是個人或組織向政府機構或公共機構提出的正式詢問，以獲得該實體持有的記錄、文件或信息的訪問權限。信息自由請求的目的是通過允許公民請求和獲取有關政府機構的運作、決策和活動的信息來促進透明度、問責制和開放政府。

美國有線電視新聞網 (CNN) 報道稱，警員信息暴露給他們帶來了巨大的安全風險，甚至還包括人身風險。由于英國在該地區統治存在爭議，導致警方人員經常成為攻擊目標。

為此，北愛爾蘭警務處和北愛爾蘭警務委員會（NIPB）要求對該泄露事件進行獨立審查。由全國警察首席委員會（NPCC）信息安全負責人以及倫敦市警察局局長Pete O’Doherty領導的審查團隊，于2023年12月11日向PSNI和NIPB提交了他們的調查報告。

報告指出，該事件是由一個簡單的人為錯誤造成，包含官員和員工敏感信息的透視表隱藏在電子表格中，并且FOI在公布之前也沒有發現。

安全防護的疏漏之處在哪里？

同時報告強調，該泄露事件雖然看起來簡單，但卻并非由任何個人、團隊或部門的“單一孤立決策、行為或事件”所導致，相反，這是多種因素的后果。

因此，“人為錯誤”不過是表面原因，其根本原因在于，PSNI沒有做好相關的網絡安全防護，沒有更好、更主動地保障數據安全，沒有較早地識別和預防風險，缺乏符合當下實際情況的更敏捷、現代化的數據保護方式。

審查報告進一步指出，PSNI對數據保護和安全采取了“light touch approach”，即在這方面缺乏相應的安全策略。且2018年頒布實施的《數據保護法》（DPA）并未完全落實，實施過程可能存在“過于樂觀”或“夸大其詞”的地方。

“關于數據保護影響評估（DPIAs）的義務沒有實現，但在記錄中卻被標記為‘綠色’（通過），事實上未被通過的信息共享要求標記為‘琥珀色’。數據泄露事件的報告沒有進行分類分級，如果存在官方敏感（以及更高）標記，可能會促使PSNI以不同的方式處理信息，從而避免數據泄露。”

最后，審查報告還認為，PSNI在安全建設中還“沒有認識到數據保護官（DPO）角色的重要性，DPO沒有直接向組織最高層報告的機制，這已經違背了法律的要求。”

敲響英國警方的安全警鐘

在審查報告的前言部分中，Pete O’Doherty表示這一事件“對于英國各個地方的警隊是一個安全警鐘”，提醒他們要認真對待警方數據安全和信息保護。他進一步表示，審查報告中的很多內容不止針對PSNI，同樣適用于英國其他地方的警隊。由于此次數據泄露事件，根據已經收集到的信息，對PSNI的官員和員工產生了威脅。

這期數據泄露事件最終導致PSNI首席警司西蒙·伯恩在一個月內離職，此外還有超過50人因病缺勤。截止到目前，已經有超過4k名PSNI的員工（包括警官和平民員工）正在對警局采取法律行動。這些訴訟可能會使PSNI產生2400萬英鎊到3700萬英鎊（按當下匯率，約為2.16億-3.33億人民幣）的額外費用。

在一次新聞發布會上，PSNI新任警察局長喬恩·布徹表示這是一份“艱難地閱讀”的報告，強調將“充分接受并吸取其中的教訓”。正如審查報告所建議的那樣，PSNI已經成立數據委員會。

PSNI 八大安全建議

NPCC的審查報告中概述了37項建議，其中涉及一些不便公開的，這里分享8條可公開的建議：

• 記錄網絡和數據價值最大化及合規性相關的戰略風險，包括其在創新技術中的應用；
• 確保定期對數據功能進行審計，考慮與其他警務或公共部門的專家合作；
• 將高級信息風險所有者（SIRO）的職位定為副總警監一級。SIRO還應建立一個警力級別的數據委員會，包括明確的職責范圍和信息資產所有者（IAOs），數據業務領域負責人、數字化和組織變革等其他業務領域的負責人出席；
• 考慮引入一個類似于首席數據官的專家角色，監督和協調數據功能；
• 仔細審查DPO的角色，考慮法定要求、匯報線、足夠的資源、問責功能和風險管理；
• 將信息自由（FOI）流程記錄在一個標準操作程序中，簡化并去除所有相關文檔的重復操作；
• 緊急進行數據成熟度評估，以了解組織當下的情況，并制定新的工作計劃，持續改進和協調現有服務，建立包括數據治理和數據倫理在內的新能力；
• 考慮開展包括高層參與的組織安全意識提升活動，包括解釋信息自由的價值，信息安全和管理是每個人的工作，以及值班和非值班時的重要性。

網安大咖觀點

縱觀PSNI數據泄露事件，表面上看不過是員工的一次誤操作，卻產生了難以忍受的巨大損失。但隨著調查的深入，發現了英國警方存在的各類安全問題。

他山之石可以攻玉，在企業安全建設中是否同樣存在類似的問題，值得安全人深思。

張洪洋——西門子中國網絡安全審計師

作為在安全戰場上摸爬滾打多年的諸位都明白，在整個安全鏈條中最薄弱的一環就是人本身。因此，如何建立有效的機制和技術手段，從根上減少信息泄露的風險才是安全從業者所需要追求的。在本次泄漏事件中，由于未進行有效的數據分類分級，導致PSNI獲取信息披露所需數據的時候，并不知曉該文檔所包含數據的敏感性，進而未能夠引起警覺。并且，獲取如此敏感的數據之前，也未有任何審批、審核機制，其權限配置也讓人詬病。因此，所謂“人為失誤”不過是一系列安全防護手段缺失導致的一種必然結果罷了。

趙銳——某跨國企業首席安全官

對任何組織和個人來說數據泄漏事件都是一場災難，可能會造成嚴重的財務損失、聲譽損失、信任破裂、司法訴訟以及監管處罰等責任。

對于組織和個人來說，要做好應對數據泄漏事件的準備，并盡力降低數據泄漏事件的可能性和事件造成損失。

• 清楚了解并遵守相關法律法規：組織應根據業務所在國的數據保護法律法規和標準，妥善管理數據并保護個人信息。對于個人來說，要加強個人信息的保護意識，謹慎處理和分享個人敏感信息。
• 建立數據安全保護團隊并給予相應的資源：組織應建立從高級管理層直至基層業務運營的上下一體的數據安全保護團隊。明確數據負責人，和不同業務流程中的數據安全保護負責，并提供必要的資源，以便于開展各級數據安全保護工作。
• 加強數據保護措施：組織應基于開展的業務、對應的監管要求和內外部威脅，制定并實施嚴格的數據保護政策，包括：加密敏感數據、限制數據訪問權限、定期備份數據、隱私政策等。同時，完善數據相關的業務流程，更新和升級網絡安全設備和軟件，以確保系統能夠抵御最新的網絡攻擊。
• 持續監測和檢測：采用合適并不斷更新的安全事件和威脅情報監測技術，及時發現和阻止潛在的攻擊。定期進行開展漏洞掃描、滲透測試等安全評估，及早發現并修補系統漏洞。
• 做好人員教育和培訓：人是網絡安全中最薄弱的環節，通過培訓員工識別、降低、避免釣魚、惡意軟件、主動漏洞等網絡攻擊，可以大大降低數據泄漏的風險。
• 及時發現和響應：應建立緊急響應計劃，以應對數據泄漏事件。發現數據泄漏后，立即采取行動，中斷數據流失，修復和恢復損壞的系統。同時，在事件調查過程中與執法機構和相關利益相關者進行合作。
• 及時通知和溝通：當數據泄漏事件發生時，及時通知相關當事人，并提供必要的信息和支持。與利益相關的組織和個人建立積極的溝通渠道，向他們提供準確的情況說明和解決方案。
• 購買保險：可以考慮購買網絡安全保險，以減輕數據泄漏事件帶來的財務損失，并為組織提供司法、事件調查和業務恢復等方面的費用支持。