1.原创 | 权利义务框架下的移动互联网APP个人信息保护——《个人信息保护法》

对APP个人信息保护影响分析

2021年11月1日，《个人信息保护法》正式生效施行，标志着我国个人信息保护新阶段的全面开启。当前数字经济大背景下，移动互联网应用程序（以下简称APP）的应用日益广泛，业已成为个人信息保护首当其冲的重点领域之一。在新的法律框架下，开展APP个人信息保护应当重点关注什么？相关各方需要推进哪些工作？等等这些问题都值得我们深入探讨。

https://mp.weixin.qq.com/s/SIfs45FiY0fINE9ScDJ7yQ

2.2021数据安全与个人信息保护技术白皮书

当前，以数字经济为代表的新经济成为经济增长新引擎，数据作为核心生产要素成为了基础战略资源，数据安全的基础保障作用也日益凸显。伴随而来的数据安全风险与日俱增，数据泄露、数据滥用等安全事件频发，为个人隐私、企业商业秘密、国家重要数据等带来了严重的安全隐患。

https://mp.weixin.qq.com/s/8vFIWaE8jeQTmEEVQM8KIw

3.重磅 | 数据出境“安检”新规——《数据出境安全评估办法（征求意见稿）》深度解读

随着全球化与数字经济的发展，数据作为具有极大经济价值的生产要素，在国际间的流动越来越频繁，而且数量呈逐年增长趋势。然而，数据跨境的无序流动会给数据主体和数据安全带来风险，还关乎国家安全和社会公共利益。为了防范数据跨境流动中存在的各种风险，我国一直积极推动相关立法规范数据的跨境流动，例如《汽车数据安全管理若干规定(试行)》和《网络安全审查办法(修订草案征求意见稿)》。

https://mp.weixin.qq.com/s/ooOBTSaDdy0iYsaanilZVQ

4.王源：《数据出境安全评估办法（征求意见稿）》解读

数据并非储量有限的“石油”，而是可再生的数字能源。数据价值实现的本质在于流通和联结，不同主体使用不同计算方法生产不同信息创造不同价值。

https://mp.weixin.qq.com/s/7OzDZ-p_PDczotIbXwzu7g

5.个人信息保护法，今日起实施

《中华人民共和国个人信息保护法》于2021年11月1日起施行。法律明确不得过度收集个人信息、大数据杀熟，对人脸信息等敏感个人信息的处理作出规制，完善个人信息保护投诉、举报工作机制等，充分回应了社会关切，为破解个人信息保护中的热点难点问题提供了强有力的法律保障。

https://mp.weixin.qq.com/s/2VZg1f50xLjI3t4lfiIMmg

6.禁止攻击性网络工具出口，美商务部新规90天生内效

美国商务部发布了新的规定，旨在阻止公司向中俄等国出售攻击性网络工具。任何目前受到美国武器禁运的国家都需要获得许可证才能获得某些技术。

https://mp.weixin.qq.com/s/GRROU_-H-zdI6cq4IbCXnA

7.警惕！国家安全部公布三起危害重要数据安全案例

新华社北京10月31日电(记者刘奕湛、刘硕)近年来，国家安全机关坚持以总体国家安全观为指导，统筹传统与非传统安全，陆续破获了一批非传统领域案件，消除了许多现实和潜在的危害。

https://mp.weixin.qq.com/s/2ZPc5iqfXc2_8HsuLbKETg

8.美“关基”保护新举措--CISA启动“具有系统性重要的关键基础设施”标定工作

美国网络安全和基础设施安全局局长伊斯特利(Jen Easterly)当地时间10月29日表示，该机构已经开始着手规划美国的关键基础设施保护，即启动“具有系统性重要的关键基础设施”标定计划，这类基础设施可谓“关基”中的“关基”，如果这些设施遭到黑客攻击，可能会对国家安全和经济利益造成严重后果。

https://mp.weixin.qq.com/s/a99QHCdru_wrwe5CEiYxqg

9.疑是伊朗黑客组织“Black Shadow”攻陷了以色列互联网公司并威胁要公布敏感数据

据以色列当地媒体报道，据信与伊朗有关的黑客组织入侵了以色列互联网托管公司Cyberserve，关闭了其几个网站。网络攻击造成包括以色列公共交通公司Dan and Kavim、儿童博物馆和公共广播电台的在线博客在内的多个网站下线，截至30日中午，用户都无法访问这些网站。

https://mp.weixin.qq.com/s/i6OW-p5SR9dVBclF69KIAg

10.原创 | 美国打击勒索软件的难点在哪里？

10月14号，美国、欧盟和其他30个国家的代表出席由美国主导的虚拟反勒索软件倡议会议，承诺降低勒索软件的风险并加强金融系统免受破坏生态系统的攻击，将勒索软件攻击称之为“不断升级的全球安全威胁，具有严重的经济和安全后果。”但是值得一提的是，这些国家里并不包括俄罗斯和中国。

https://mp.weixin.qq.com/s/G4wPFl5HuU19aVkDLf7QVg

11.观测军事基地气象数据等，国家安全机关披露三起境外数据窃密案

手段高超的黑客隐藏在世界上某个角落的屏幕后，重要数据瞬间被窃取……这并不是只在电影中出现的场景。进入信息化时代，数据被广泛采集、汇聚，并被深度挖掘、利用，在促进科技进步、经济发展的同时，安全风险不断凸显。有的数据“看似非密、实则胜密”，一旦被窃取将威胁我国家安全。

https://mp.weixin.qq.com/s/L53dQJHDs1XppqM2upPbag

12.美国乳制品巨头遭勒索攻击：工厂瘫痪数天 食品供应链被扰乱

近日，美国乳制品供应商Schreiber Foods遭到勒索软件攻击，导致系统宕机。在瘫痪4天后，工厂与配送中心终于再度恢复运行。这家乳制品生产巨头已沦为近几个月勒索软件攻击下的又一家关键行业受害者。很明显，网络犯罪分子在袭击各行各业时毫不手软，对这家主要加工酸奶、天然奶酪及奶油奶酪的食品供应商同样痛下重手。

https://mp.weixin.qq.com/s/BZPuoQQ3Dr7IWgfBcZ3h7g

13.Signal回应美国当局对用户数据需求传票

Signal在安全性和隐私方面享有无与伦比的声誉，得到了美国国家安全局(NSA)举报人爱德华·斯诺登(Edward Snowden)和WhatsApp创始人布莱恩·阿克顿(Brian Acton)的高度认可。

https://mp.weixin.qq.com/s/YLR0a9rki5YOblXAE8qPEA

14.加拿大最大城市遭勒索攻击，公共交通IT系统几乎全部瘫痪

一次突如其来的勒索软件攻击，扰乱了加拿大最大城市多伦多的公共交通机构正常运行，导致司机及通勤乘客使用的多个系统陷入瘫痪。

多伦多交通委员会(TTC)表示，在10月28日(上周四)晚上发现这起攻击，上报者为委员会内部的一位IT人员，他发现了“异常网络活动”。

https://mp.weixin.qq.com/s/giN5UAizuD26hOq9rEtx1w

15.车联网时代的五个重点安全目标

车联网，作为信息化与工业化深度融合的重要领域，对促进汽车、交通、信息通信产业的融合和升级，及相关产业生态和价值链体系的重塑具有重要意义。伴随车联网智能化和网联化进程的不断推进，车联网网络安全事件出现，用户生命财产安全受到威胁，车联网安全已成为关系到其能否快速发展的重要因素。

https://mp.weixin.qq.com/s/lp-OyXKbGUMbOKfVpUxuGQ

16.网络攻击×虚假新闻引发挤兑风波！巴基斯坦央行紧急澄清

据两位消息人士披露，巴基斯坦国民银行(National Bank of Pakistan，NBP)刚刚遭遇了一次“破坏性”网络攻击。这起事件发生在上周五和周六(10月29-30日)夜间，受到影响的包括银行后端系统，以及用于实现各级分行间互连、控制银行ATM网络并支持银行手机应用的后端基础设施。

https://mp.weixin.qq.com/s/7VqKV3NYQxXDni3KmF4L2Q

17.乌克兰披露俄罗斯APT组织人员信息与通话录音

乌克兰安全局(SSU)于2021年11月4日披露了俄罗斯APT组织Gamaredon的五名成员真实身份，将其成员与俄罗斯联邦安全局(FSB)的克里米亚分部关联了起来。

https://mp.weixin.qq.com/s/X5oqkUJiGyuL38kznmBZow

18.英国第二大党遭受网络攻击

10月29日，英国工党获悉其第三方数据代理商遭受网络攻击后，立即做出应对，联合网络安全专家对内部数据系统重新审核，未发现自身数据系统存在安全隐患。

https://mp.weixin.qq.com/s/12nKm8JHDepEcIWIcPod3Q

19.美国务院悬赏1000万美元剑指DarkSide头目

美国国务院今日宣布悬赏高达1000万美元用于奖励提供关于臭名昭著的DarkSide勒索软件跨国有组织犯罪集团中担任关键领导职位的任何个人的身份或位置的信息。此外，该部门还提供500万美元的奖励，以获取导致在任何国家/地区逮捕和/或定罪的任何密谋参与或试图参与DarkSide勒索软件事件的个人的信息。

https://mp.weixin.qq.com/s/V7wl4uRUPURRiBQeD3rXEA

20.航空产业已成境外情报机构重点网络攻击目标

2021年10月31日，国家安全机关公布某航空公司数据被境外间谍情报机关网络攻击窃取案，其称在2020年1月，某航空公司向国家安全机关报告，该公司信息系统出现异常，怀疑遭到网络攻击。国家安全机关立即进行技术检查，确认相关信息系统遭到网络武器攻击，多台重要服务器和网络设备被植入特种木马程序，部分乘客出行记录等数据被窃取。

https://mp.weixin.qq.com/s/fXGsf_uzd3JsjLXcxaPu9g

21.重要数据 | 国家安全视野中的数据分类分级保护

对数据分类分级，是开展数据安全治理的起始点。目前，在我国网络安全和数据安全相关的法律法规中，数据分类分级的要求多有体现，但基本上这些分类分级的思路和方案均站在组织内部的视角，目的是提升组织的数据安全管理能力和水平。本文将之称为“自下而上”的数据分类分级。

https://mp.weixin.qq.com/s/65Y1hIo5Qwz8CPUo9PRaDQ

22.深度学习如何广泛用于恶意软件检测和分类

人工智能(AI)不断发展，并在过去十年中取得了巨大进步。深度学习(DL, Deep Learning)是机器学习(ML, Machine Learning)领域中一个新的研究方向，深度学习是学习样本数据的内在规律和表示层次，这些学习过程中获得的信息对诸如文字，图像和声音等数据的解释有很大的帮助。

https://mp.weixin.qq.com/s/JfR0wEQkgFC32AJ83t3yFw

23.勒索攻击组织运营发展的七大趋势

勒索软件攻击仍然是许多网络犯罪分子的首选，稳妥地勒索或大或小的受害者，追求一个安全、容易和可靠的收益来源。但勒索软件本身仍在以多种方式发展演化。例如，新玩家不断出现，而大牌偶尔会退出江湖。一些犯罪团伙采用复杂的勒索软件即服务的方式，吸引并利用网络渗透、谈判、恶意软件开发等方面的专家。

https://mp.weixin.qq.com/s/-kGzL1uHPOuL7k34-GQoww

24.Shrootless：macOS漏洞可绕过系统完整性保护

微软在macOS系统中发现了一个安全漏洞，该漏洞CVE编号为CVE-2021-30892。攻击者利用该漏洞可以绕过macOS的系统完整性保护（System Integrity Protection，SIP），并在设备上执行任意操作。研究人员还发现了一个类似的技术使得攻击者可以在受影响的设备上实现root级的权限提升。

https://mp.weixin.qq.com/s/x7dH-QwErsm4Z-cDneDRsw

25.工控网络攻击后果堪比武器

鉴于工控(OT)威胁的加速增长，IBM Security X-Force观察到的一些针对OT网络组织的最常见威胁，包括勒索软件和漏洞利用。IBM还将强调几种可以增强OT网络安全性的措施，这些措施基于X-Force 红队渗透测试团队的见解和X-Force事件响应经验，帮助OT客户应对安全事件。其中包括对数据记录系统和网络架构(如域控制器)的关注。

https://mp.weixin.qq.com/s/l3D0uXDPRotXV0O2RvkUeg

26.来自印度的网络攻击者攻击我国国防军事企业单位

11月1日，《环球时报》记者获悉，今年以来集团捕获了多起针对我国和南亚次大陆国家的钓鱼攻击活动，来自印度的网络攻击者试图攻击我国国防军事以及国企单位。这份分析报告即将对外公开发布。

https://mp.weixin.qq.com/s/9BL2znReMFeSwxQh-p3DCQ

27.工业网络安全：OT和IT融合有多么艰难？

数字化转型背景下，IT与OT的融合早已不是一个新鲜的话题，但却仍然是一个永恒的话题。工业网络安全的范式转变也在期盼IT安全与OT安全的融合，二者各为其主、自说自话的现状并不鲜见。原因就在于IT和OT之间的鸿沟是根深蒂固的。

https://mp.weixin.qq.com/s/7QAFFHhZTAK3ylCM81JTEw

28.原创 | CVE-2021-35052：WinRAR远程代码执行漏洞分析

WinRAR是一款功能强大的压缩包管理工具，广泛应用于Windows系统的RAR、ZIP等类型的压缩文件的创建与解压中。2021年10月20日，Positive Technologies公司的Psych0tr1a(https://twitter.com/Psych0tr1a)公开披露WinRAR 5.70试用版及以前版本存在远程代码执行漏洞，此漏洞允许攻击者拦截和修改发送给用户的请求，以达到执行远程代码的目的。

https://mp.weixin.qq.com/s/FVNXzkKZXw-BcJn1yNojnA

29.黑客们正在“深海钓鱼”，我们该如何应对？

黑客正在使用一种我称之为“深海网络钓鱼”的方法提升他们的攻击水平，即结合使用下面我将提到的一些技术来使自己变得更具攻击性。为了跟上步伐，网络安全创新者一直在努力开发工具、技术和资源来提高防御能力。但是，组织如何才能应对尚未启动甚至尚未构想出来的不断演变的威胁呢？

https://mp.weixin.qq.com/s/yyZb9PkvIDUlnU3VGQ1eQw

30.美国CISA命令联邦机构紧急修复数百个正在被利用的安全漏洞

CISA发布了今年的第一个约束性操作指令(BOD)，命令联邦民事机构在规定的时间范围内消除安全漏洞。根据CISA管理的漏洞目录中规定的时间表修复每个漏洞。该目录详细列出对联邦企业带来重大风险的已利用漏洞，并要求在6个月内修复具有2021年之前分配的通用漏洞和暴露 (CVE) ID编号的漏洞，并在即日起两周内修复所有其他漏洞。

https://mp.weixin.qq.com/s/ypD6qqsqI_JD0-MgrfLq2A

31.《个人信息保护法》正式实施的意义

11月1日，《中华人民共和国个人信息保护法》正式实施，标志着我国个人信息保护立法体系进入新的阶段。该法立足于数据产业发展的实践和个人信息保护的迫切需求，标志着我国在个人信息保护方面的制度更加完备，法律保障更加坚实。

https://mp.weixin.qq.com/s/4iUPozSwaRXNA3egK3HO5g

32.实战化背景下，网络安全如何运营？

近年来，在合规驱动，以及实战演练成为常态化的大背景下，网络安全防护体系建设不再是简单的堆砌设备，也不再是头疼医头、脚痛医脚式的应付做法，开始呈现走向实战化攻防的趋势，注重建立实战化安全运营的能力。

https://mp.weixin.qq.com/s/p2C-AlRdL84pSlyEolvT-A

33.过程传感器的网络安全问题--危言耸听还是真实存在？

2021年10月28日，美国能源部长格兰霍姆召开了她的顾问委员会(SEAB)第一次会议。本次会议议题包括能源部的“能源地球射击(Earthshot)计划”和对清洁能源的关注。Michael Mabee、Joe Weiss、David Bardin 和 Tommy Waller 等行业专家在会上陈述了意见建议。

https://mp.weixin.qq.com/s/6QcDFavrIR1oS8aFjnONHw

34.NSA和CISA发布关于保护5G云基础设施的安全指南第一部分--预防和检测横向移动

美国国家安全局和国土安全部的网络安全和基础设施安全局(CISA)当地时间10月28日发布了保护5G云基础设施的一系列指导文件中的第一份，关于保护云原生5G网络免受旨在通过拆除云基础设施来破坏信息或拒绝访问的攻击的指南，该第一部分的主题是防止和检测横向移动。

https://mp.weixin.qq.com/s/d4Jcs-e_lbiI0NvkMqaLkA

35.原创 | 从研究工控设备到发现供应链威胁

近年来供应链攻击频发，供应链攻击和勒索软件攻击正成为黑客谋利的重要手段，对社会危害非常巨大。供应链攻击是一种以软件开发人员和供应商为目标的威胁, 攻击者通过感染合法应用的方式分发恶意软件来访问源代码、构建过程或更新机制从而达到对开发人员和供应商进行攻击的目的。

https://mp.weixin.qq.com/s/9XYNqpW0vXivykvmFx0HEQ

36.国内首个汽车数据安全技术文件《汽车采集数据处理安全指南》发布

2021年10月，我国首个汽车数据安全技术文件《汽车采集数据处理安全指南》(以下简称《指南》)正式发布。《指南》通过技术文件建议的方式明确了境内汽车重要及敏感数据的采集、传输、存储和出境要求，将对汽车制造商实施数据安全保护产生广泛影响。

https://mp.weixin.qq.com/s/o3lej6bc4QIx0pGbw9Im2g

37.密码技术在5G安全中的应用

随着第五代移动通信(Fifth Generation：5G)技术标准的完善，5G 在各个领域受到前所未有的关注，然而 5G 依然面临一些安全挑战。针对 5G 终端的接入安全和数据安全问题，指出合适的密码技术解决方案。

https://mp.weixin.qq.com/s/fmd4wSx3zdmGb0B865iX0Q

38.原创 | 云内微隔离帮助企业安全上云

网络病毒如同新冠病毒一样在云环境中扩散，云内安全防护越来越引人关注。运用零信任的云内微隔离技术，可以有效地使企业上云更加放心、安全。

https://mp.weixin.qq.com/s/JKBPGD5rDfbZnDr93eLg7A

（来源：关键基础设施安全应急响应中心）

（原文链接：https://mp.weixin.qq.com/s/kUATl9V2ZapZ1io_QX9IRA）