【石家庄投放广告】让您的业务迅速成长！

wanfabijiaofengfu，duozhongduoyangdeyouximoshi，zhuduodeyouxinandu，duogeyouxinandubumingdemijingtansuo，jidaditigaozishendezhengtishilizudui，quanxinshengjidezhandouhuodong，dengzhenicanjiajinqu；zhehensanguoguozibanshouyouxiazaiAIyanjiusuanfatigonglemianbuxihuameibaiqusipizuoyouyanxihuameirongyinxingyanjingzuibuweitiaodengmeironggongneng。zhenshidechangjingzaiqizhongmiaohui，gezhongdehaochedoukeyirangniqingsongdeshiyong學(xue)生(sheng)信(xin)息(xi)被(bei)非(fei)法(fa)獲(huo)取(qu)並(bing)按(an)顏(yan)值(zhi)打(da)分(fen)，高(gao)校(xiao)數(shu)據(ju)安(an)全(quan)再(zai)敲(qiao)警(jing)鐘(zhong)

7月(yue)1日(ri)，中(zhong)國(guo)人(ren)民(min)大(da)学壹(yi)名(ming)畢(bi)業(ye)生涉(she)嫌(xian)非法获取全校学生個(ge)人信息并制(zhi)作(zuo)“颜值打分”網(wang)站(zhan)的(de)事(shi)件(jian)引(yin)發(fa)廣(guang)泛(fan)關(guan)註(zhu)，并將(jiang)高校网絡(luo)信息安全問(wen)題(ti)再度(du)推(tui)到(dao)公(gong)眾(zhong)視(shi)野(ye)。雖(sui)然(ran)嫌疑(yi)人馬(ma)某(mou)某已(yi)被警方(fang)依(yi)法刑(xing)事拘(ju)留(liu)，但(dan)陸(lu)續(xu)有(you)学生和(he)网民在(zai)社(she)交(jiao)平(ping)臺(tai)討(tao)論(lun)，希(xi)望(wang)学校進(jin)一步(bu)公布(bu)信息泄(xie)露(lu)具(ju)體(ti)情(qing)況(kuang)和原(yuan)因(yin)，以(yi)及(ji)将如(ru)何(he)加(jia)強(qiang)数据安全防(fang)護(hu)。有專(zhuan)家(jia)指(zhi)出(chu)，此(ci)事件給(gei)网络平台及高校敲響(xiang)了(le)警钟，个人隱(yin)私(si)等(deng)敏(min)感(gan)信息應(ying)只(zhi)掌(zhang)握(wo)在受(shou)過(guo)专业訓(xun)練(lian)的工(gong)作人員(yuan)手(shou)中。

有在校生認(ren)為(wei)信息泄露自(zi)新(xin)生入(ru)学问卷(juan)

涉事网站“RUC IR FACE”进入学生视野，源(yuan)於(yu)7月1日一位(wei)匿(ni)名用(yong)戶(hu)在中国人民大学校內(nei)学生论壇(tan)“小(xiao)喇(la)叭(ba)”裏(li)发帖(tie)。帖子(zi)附(fu)帶(dai)的网站截(jie)圖(tu)顯(xian)示(shi)，网站收(shou)錄(lu)了2014-2020級(ji)該(gai)大学本(ben)科(ke)、碩(shuo)士(shi)、博(bo)士生的照(zhao)片(pian)、姓(xing)名、学號(hao)、院(yuan)校、籍(ji)貫(guan)和生日等多(duo)項(xiang)个人信息，照片旁(pang)邊(bian)還(hai)出現(xian)了每(mei)个人的颜值評(ping)分。目(mu)前(qian)，该网站已無(wu)法訪(fang)问，论坛原帖也(ye)已被刪(shan)除(chu)。

涉事网站截图。

此次(ci)中国人民大学学生被泄露的信息從(cong)何而(er)來(lai)？目前尚(shang)未(wei)有官(guan)方信息披(pi)露。在社交平台上(shang)，有中国人民大学在校学生指出，马某某非法获取的学生信息中，包(bao)含(han)“个人身(shen)高”這(zhe)一通(tong)常(chang)在信息系(xi)統(tong)中不(bu)會(hui)存(cun)儲(chu)的数据，因此懷(huai)疑信息泄露自新生入学時(shi)填(tian)寫(xie)的“住(zhu)宿(xiu)習(xi)慣(guan)調(tiao)查(zha)问卷”和“迎(ying)新簽(qian)批(pi)表(biao)單(dan)”。相(xiang)关表单中包含的学生信息字(zi)段(duan)恰(qia)好(hao)與(yu)涉事网站公開(kai)的信息字段相吻(wen)合(he)。

同(tong)时，多名学生指出，马某某在校期(qi)間(jian)曾(zeng)參(can)与名为“OBE”的課(ke)程(cheng)作业系统开发，该系统可(ke)接(jie)入校内“微(wei)人大”认證(zheng)。上述(shu)表单後(hou)台同樣(yang)与“微人大”相关聯(lian)。有学生怀疑，马某某可能(neng)在“OBE”开发期间取得(de)过“微人大”相关權(quan)限(xian)，或(huo)发现安全漏(lou)洞(dong)，从中获取大量(liang)学生个人信息。

在校学生怀疑新生入学时曾填写的问卷正(zheng)是(shi)信息泄露来源。

案(an)例(li)：有高校因表单外(wai)傳(chuan)造(zao)成(cheng)信息泄露

南(nan)都(dou)大数据研(yan)究(jiu)院留意(yi)到，此前国内也曾有高校因问卷或表单外传造成学生个人信息泄露。

2020年(nian)6月，河(he)南鄭(zheng)州(zhou)西(xi)亞(ya)斯(si)学院发生个人信息泄露事件。經(jing)查，由(you)于校方工作人员缺(que)乏(fa)保(bao)密(mi)意識(shi)，大量学生的个人信息以表格(ge)形(xing)式(shi)在社交平台上流(liu)传。事发后，学校對(dui)直(zhi)接責(ze)任(ren)人予(yu)以解(jie)除勞(lao)動(dong)合同，对相关部(bu)門(men)負(fu)责人及兩(liang)名主(zhu)管(guan)校領(ling)導(dao)予以記(ji)过處(chu)分；警方通報(bao)稱(cheng)对郑州西亚斯学院、及负有领导责任的一名副(fu)校長(chang)和直接责任人进行(xing)了行政(zheng)处罰(fa)。

2022年9月，河南信陽(yang)師(shi)範(fan)学院有部分学生发现其(qi)学信碼(ma)被盜(dao)用，怀疑遭(zao)遇(yu)信息泄露。经学校调查，事件起(qi)因是校学生会一名学生幹(gan)部参加社会實(shi)踐(jian)活(huo)动期间，应某公司(si)业務(wu)人员要(yao)求(qiu)，協(xie)助(zhu)该公司擅(shan)自組(zu)織(zhi)学生填答(da)网上问卷，问卷中要求学生登(deng)录学信网并填写学信码，造成部分学生学信码泄露及被盗用。

在社交平台上，也有网民表示其所(suo)在高校曾通过公开表单采(cai)集(ji)学生个人信息，大量个人隐私信息一覽(lan)无遺(yi)，存在巨(ju)大的数据安全隐患(huan)。

社交平台上，部分网民表示其所在高校也曾通过公开表单采集学生个人信息。

专家：此事给网络平台及高校敲响警钟

相关怀疑目前尚未得到校方及警方证实。不过已陆续有专家公开发聲(sheng)，建(jian)議(yi)高校加强校内数据安全防护。

中国政法大学传播(bo)法研究中心(xin)副主任朱(zhu)巍(wei)认为，若(ruo)马某某是利(li)用職(zhi)务之(zhi)便(bian)竊(qie)取信息，則(ze)给网络平台及高校敲响了警钟，“不应讓(rang)有一定(ding)权限的内部人员，获取到如此高级別(bie)的个人信息，这些(xie)特(te)殊(shu)信息应掌握在受过专业训练的工作人员手中。”

中国政法大学网络法学研究所所长李(li)怀勝(sheng)表示，“此事件是近(jin)年来高校发生个人信息泄露影(ying)响力(li)比(bi)較(jiao)大的一次”，根(gen)据《网络安全法》，网络運(yun)營(ying)者(zhe)应该对其收集的用户信息嚴(yan)格保密，并建立(li)健(jian)全用户信息保护制度。當(dang)马某某擁(yong)有职务之便，则是网络运营者的一个组成部分，网络运营者不得泄露、篡(cuan)改(gai)、損(sun)毀(hui)搜(sou)集到的个人信息，未经被收集者同意，不得向(xiang)他(ta)人提(ti)供(gong)个人信息。

南开大学法学院副院长、教(jiao)授(shou)，競(jing)爭(zheng)法研究中心主任陳(chen)兵(bing)认为，“此次信息泄露事件的发生，說(shuo)明(ming)高校作为《个人信息保护法》上的个人信息处理(li)者在网络信息安全保护上尚存在一定漏洞，也为相关高校敲响警钟。”

陈兵表示，“根据《个人信息保护法》，个人信息处理者是个人信息保护的主要责任人，应与个人信息提供者一道(dao)发揮(hui)个人信息保护的作用。个人信息处理者应当对其个人信息处理活动负责，并采取必(bi)要措(cuo)施(shi)保障(zhang)所处理的个人信息的安全。此前，人們(men)对个人信息处理者的定義(yi)普(pu)遍(bian)是企(qi)业、政府(fu)等，但是往(wang)往忽(hu)视高校也有海(hai)量数据，对于个人信息处理者的范疇(chou)需(xu)要做(zuo)全面(mian)、準(zhun)確(que)、整(zheng)体的认识。”

律(lv)师：当事人可能涉嫌多个罪(zui)名

对于学生的信息泄露，相关当事人和学校是否(fou)应当承(cheng)擔(dan)法律责任？

陜(shan)西恒(heng)達(da)律师事务所趙(zhao)良(liang)善(shan)律师分析(xi)，马某某的行为構(gou)成侵(qin)权，需承担民事侵权责任。其違(wei)反(fan)了《个人信息保护法》第(di)2條(tiao)規(gui)定：“公民个人信息受法律保护，任何组织、个人不得侵害(hai)”，以及《民法典(dian)》第111条规定：“自然人的个人信息受法律保护。任何组织或者个人需要获取他人个人信息的，应当依法取得并确保信息安全，不得非法收集、使(shi)用、加工、传輸(shu)他人个人信息。”

赵良善表示，如果(guo)马某某通过破(po)壞(huai)計(ji)算(suan)機(ji)系统等方式窃取信息的，马某某或涉嫌非法获取计算机信息系统数据罪，可判(pan)处3年以上有期徒(tu)刑。

上海申(shen)倫(lun)律师事务所律师夏(xia)海龍(long)表示，马某某所获取的学生信息包括(kuo)人像(xiang)照片、姓名、学号、生日等，均(jun)屬(shu)于《个人信息保护法》所规定的个人信息甚(shen)至(zhi)敏感个人信息，在未取得信息主体同意前不得获取、处理，“本案中，由于行为人获取的信息数量龐(pang)大，因此可以推測(ce)其采取了侵入相关信息系统等非法手段，可能涉嫌非法获取计算机信息系统数据罪、侵犯(fan)公民个人信息罪等多个罪名。”

夏海龙表示，“如果学校在管理学生数据时未依法采取必要保护措施，根据《个人信息保护法》第六(liu)十(shi)六条、《数据安全法》第四(si)十五(wu)条等规定，可能会受到罚款(kuan)等行政处罚。此外，学校及该毕业生也可能被相关学生提起民事侵权訴(su)訟(song)或被提起公益(yi)诉讼，承担民事賠(pei)償(chang)责任。”

经驗(yan)：部分高校積(ji)極(ji)部署(shu)数据安全防护

南都大数据研究院了解到，CERNET（中国教育(yu)和科研计算机网）近年一直在关注和推进高校数据安全保护工作。

2022年9月，CCERT（中国教育和科研计算机网緊(jin)急(ji)响应组）就(jiu)在其月报中指出，由于校園(yuan)内人员結(jie)构比较復(fu)雜(za)，往往很(hen)難(nan)有统一有效(xiao)的安全策(ce)略(lve)和防护手段，一些高價(jia)值的信息就很容(rong)易(yi)成为APT（Advanced Persistent Threat，高级持(chi)续性(xing)威(wei)脅(xie)）攻(gong)擊(ji)的目標(biao)。建议高校对校园网内的信息进行排(pai)查，对于高价值信息进行重(zhong)點(dian)保护，涉及国家或科研密码的信息应严格按照相关要求不上网。

据CERNET公开資(zi)料(liao)，部分高校近年已針(zhen)对数据安全保护制定相应管理制度，采取技(ji)術(shu)防护手段。相关经验或可供其他高校学习借(jie)鑒(jian)。

例如，武(wu)漢(han)大学早(zao)在2020年就部署了華(hua)中地(di)區(qu)高校首(shou)个数据泄露防护系统。据介(jie)紹(shao)，该系统上線(xian)运行后監(jian)测到多起敏感信息泄露，均由校方提前进行了有效处理。

同时，武汉大学还通过IP限制，访问方式限制等方式，最(zui)小化(hua)可以直接访问数据庫(ku)的設(she)備(bei)。并根据使用者的范圍(wei)、使用場(chang)景(jing)等开放(fang)使用授权。在制度建设層(ceng)面，武汉大学还出台了《武汉大学数据资源管理辦(ban)法》，由信息中心负责数据中心的数据安全保障，根据网络安全等级保护要求明确各(ge)類(lei)数据的安全级别，并建立相应的安全管理制度和技术保护方案，对数据操(cao)作实行痕(hen)跡(ji)管理。

华南理工大学则建立了信息化和网络安全的同步机制，即(ji)新建信息化项目整个生命(ming)周(zhou)期都由网信办进行网络安全指导和檢(jian)查，及时发现和处理网络安全隐患；同时分清(qing)开发和运行界(jie)面，并分别由两个不同部门负责，防止(zhi)开发者获取数据访问的不合理权限；以及完(wan)善数据访问的监控(kong)和審(shen)计，对日誌(zhi)实时进行異(yi)地存储，严格管理和定期检查管理员的密码。

出品(pin)：南都大数据研究院 数据安全治(zhi)理与发展(zhan)研究课题组

采写：南都研究员 李偉(wei)鋒(feng)返(fan)回(hui)搜狐(hu)，查看(kan)更(geng)多

责任編(bian)輯(ji)：