目录
上篇
一、数据泄露事件是如何发生的？-- 以国泰航空数据泄露事件为例
二、监管机构如何处罚数据泄露违规行为？
（一）根据违法行为性质划分两类处罚标准
（二）处罚考量因素
下篇
三、数据泄露受害者能否获得赔偿？
（一）谁来承担责任
（二）谁能获得索赔
（三）索赔依据及赔偿金额
（四）索赔人加入集体诉讼的期限
（五）维权成本
四、数据泄露应该如何预防？
（一）维护数据资产的最新完整清单
（二）监测外部攻击面及显性风险
（三）强化设备、软件安全更新和补丁管理
（四）定期进行渗透性测试
（五）管理权限控制
（六）持续检测高风险项
近年来，个人数据泄露事件频频被爆出，公主号邮轮承认2019年发现了大量未经授权的电子邮件账号可能存在个人数据被窃取；英国多个火车站的免费Wi-Fi将用户数据暴露在未受保护的数据库中；超10亿张患者医学图像被泄漏，但始终没引起医疗机构重视；安全研究人员发现亚马逊上销售的儿童智能手表存在严重安全漏洞；2100万Mixcloud用户数据在暗网出售等等，一波未平一波又起，时刻牵动着人们紧绷的神经，急速消耗着人们对于产品和服务安全的信任感。担忧、质疑、不信任逐渐成为信息时代的一道挥之不去、无法消散的阴霾。
一、数据泄露事件是如何发生的？-- 以国泰航空数据泄露事件为例
图片来源：Cathay Pacific
国泰航空有限公司（Cathay Pacific Airways Limited）因在2014年10月至2018年5月期间，计算机系统缺乏适当的安全保障措施导致客户个人数据泄露，违反英国1998年通过的《数据保护法》，被英国数据保护监管机构ICO（Information Commissioner’s Office，信息专员办公室）调查。2019年9月10日，ICO向国泰航空发布了处罚通知。2019年11月14日，国泰航空回复陈述意见。2020年2月10日，ICO考虑了国泰航空的陈述意见并作出最终处罚决定，对国泰航空罚款500,000英镑。
国泰航空做错了什么？
2018年10月25日，国泰航空向ICO报告数据泄露事件。调查认为，未经授权进入国泰航空系统的最早日期是2014年10月15日，未经许可访问个人数据的最早日期是2015年7月2日。由于采取了补救措施，未经授权访问个人数据的最后一天是2018年5月11日。在此期间总共约有940万个数据主体受到数据泄露的影响。泄露的个人数据类型包括：乘客姓名、国籍、出生日期、电话号码、电子邮件地址、邮政地址、护照和身份证号码、飞行常客会员号、客户服务说明和历史旅行信息。受影响的系统有4个：(1)系统A，一个报告工具，在多个不同的数据库上编译报告，包括客户数据库；(2)系统B，用于处理和记录会员详细信息；(3)系统C，一个共享的后端数据库，主要用于支持基于Web的应用程序；(4)系统D，一个瞬时数据库，允许亚洲里程会员兑换非空中奖项。
1）数据库备份未加密，未遵守公司加密例外政策及流程，违反公司加密政策；
2）未能管理、修复扫描到的已公开的低难度漏洞（包括修复方法），使远程攻击者绕过身份验证并通过直接请求获得面向互联网的服务器的管理访问权限；
3）第三方可能通过VPN访问管理员控制台，国泰航空未对公众可访问的网站进行第三方访问风险评估，没有实施此类情况的控制措施，违反了国泰航空第三方访问政策；
4）受数据泄露影响的系统A使用的操作系统不再发布安全更新，构成明显的攻击目标，存在较大风险；
5）客户数据库系统以及已停用的系统A和系统D没有服务器硬化（指任何不必要的应用程序、功能、服务和端口都应删除，从而最小化攻击点）记录，无法确认攻击者使用的端口是否被授权开放；
6）允许用户在没有多因素身份验证（Multi-Factor Authentication，MFA）的情况下通过VPN进行单因素身份验证，没有进行风险评估，识别风险；
7）承载受数据泄露影响的系统B的服务器和托管系统C使用未安装防病毒功能；
8）补丁管理缺失，未能提供任何关于受影响的系统A、系统C服务器最新补丁管理的证据，提供系统B服务器的补丁管理日志中缺少在2017年11月至2018年7月的8个月中解决公开已知漏洞的16个安全更新（其中12个被描述为“易于利用”）；
9）在监管机构调查期间缺失部分证据。在和第三方网络安全公司的调查中对服务器进行了证据分析，但在监管机构调查期间退役无法提供，没有做好证据保存；
10）受影响的日常用户账户有几个被不适当授予域管理权限，使攻击者能够更多地访问数据和设备。国泰航空没有遵守权限管理的最佳事件和自己的标准，在域管理员组中有90个永久权限账户；
11）自2016年11月以来，长达三年没有进行渗透率测试，另外系统A\B\C无法提供上次测试何时进行的信息；
12）系统B中的数据（用于处理各种忠诚度方案成员的数据）将无限期保留，并仅在连续七年的“不活跃”之后删除。国泰航空数据存储政策采用统一标准，没有提到具体类型的数据；
13）在数据泄露攻击发生时制定了一系列积极的安全措施和政策，但是没有有效管理、落实、坚持解决方案。
依据GDPR第58条第2款，各监管机构对违法行为有广泛的纠正权，包括但不限于：发布警示、发布惩戒、命令控制者或处理者满足数据主体提出的行使权利的合法请求、命令整改、命令控制者将个人数据泄露告知数据主体、对数据处理行为施加限制（包括禁令）、撤销认证、命令暂停向第三国或国际组织接受者的数据流动。此外，行政罚款作为执行制度的核心要素，是监督机构以期达到制裁效果的最大助力。
（一）根据违法行为性质划分两类处罚标准
GDPR第83条规定了对企业处以行政罚款的一般条件，并划分了两类处罚标准。两类处罚标准分别是：（1）Ⅰ类标准。对违规企业处最高1000万欧元或上一财务年度全球年营业总额2%的行政罚款（以较高者为准）。（2）Ⅱ类标准。对违规企业处最高2000万欧元或上一财务年度全球年营业总额4%的行政罚款（以较高者为准）。
（二）处罚考量因素
监管机构在对数据泄露的个案进行处罚时，一般会结合多个因素来最终决定是否处以行政罚款，以及罚款的数额。以GDPR第83条所规定的一般条件为例，主要包含以下内容：
违法行为的性质、严重性和持续时间，依据相关处理的性质、范围、目的以及受影响的数据主体数量和损害程度而确定；
违法行为是基于故意还是过失；
数据控制者或处理者为减轻数据主体遭受的损失而采取的任何措施；
依据数据控制者或处理者所实施的隐私保护设计和适当的技术措施和组织措施，确定其责任轻重程度；
数据控制者或处理者是否有前科；
与监管机构的合作程度；
案涉个人数据的种类；
是否主动告知违法行为以及披露的程度；
对因相同事项而受监管机构所实施的矫正性措施的执行情况；
对合理与透明、匿名化处置等行为准则以及数据保护认证机制的遵守情况；
其他，如因违法行为所获得的经济利益或所避免的损失。
题图来源：CSO Online
.... to be continued
本文撰写所需的信息采集自合法公开的渠道，我们无法对信息的真实性、完整性和准确性提供任何形式的保证；
本文仅为分享、交流、学习之目的，任何人都不应以本文全部或部分内容作为决策依据，因此造成的后果将由行为人自行负责。
美国参议员致联名信，要求美国商务部尽快完善防止出口中国的技术清单
“中兴大讲堂”学术讲座第三期在中南财经政法大学文泰楼如期举行
