专家解读 | 筑牢政务系统第三方运维中的数据安全防线

本案属于政务系统第三方运维中较为常见的一类数据安全案件。GitHub等境外代码托管和协作平台在软件开发中使用较为普遍，国内技术开发人员也可能形成日常使用习惯。但在政务系统运维场景中，对于系统代码、测试数据、网络架构、安全配置和内部人员信息等敏感资料，未经授权不得上传至境外平台，也不可能因工作协作需要或者仓库未公开而例外。本案中，员工将系统敏感数据上传至个人公开仓库，反映出运维管理在协作工具管理、权限控制、制度执行和人员合规意识培训等方面存在系统性不足。

第三方运维是政务系统供应链安全的重要环节。委托单位对受托方负有管理和监督责任，运维企业则应当对受托处理数据的全过程采取安全保护措施。《数据安全法》第二十七条要求开展数据处理活动的主体建立健全全流程数据安全管理制度，组织开展安全教育培训，并采取相应的技术措施；第四十条进一步规定，国家机关委托他人建设、维护电子政务系统，应当监督受托方履行数据安全保护义务，受托方不得擅自留存、使用、泄露或者向他人提供政务数据。对不履行第二十七条保护义务的行为，第四十五条设置相应行政责任。《网络数据安全管理条例》政务数据委托运维场景作出细化规范，第十五条明确国家机关委托他人建设、运行、维护电子政务系统，存储、加工政务数据，应当按照国家有关规定经过严格的批准程序，明确受托方的网络数据处理权限、保护责任等，监督受托方履行网络数据安全保护义务；第十六条进一步压实受托方责任，要求其依照法律、法规的规定和合同约定履行网络数据安全保护义务，提供安全、稳定、持续的服务，并且未经委托方同意，不得访问、获取、留存、使用、泄露或者向他人提供网络数据，不得对网络数据进行关联分析。对委托方的违法行为，该条例第五十五条设置相应行政责任。

人员在日常工作中可能出现判断偏差和操作疏漏，数据安全保障应当建立在清晰、可执行、可检查的管理程序之上。通过规范协作环境、控制高风险权限、记录关键操作并及时发现和纠正问题，可以减少对个人自觉和经验的依赖，将人员操作可能带来的风险限制在可控范围内。

针对本案的经验教训，委托单位与运维企业应当重点做好以下工作：

一是加强对第三方运维的管理和监督。国家机关委托开展政务系统运维，应当明确受托方可以处理的数据范围、使用方式和保护责任，并将有关要求落实到合同管理和履约检查中。对于代码托管、系统测试和远程运维等容易产生数据外流的环节，应当掌握受托方实际使用的技术工具和协作方式，及时发现并纠正超出授权范围的数据处理活动。

二是将内部安全制度落实到具体业务场景。运维企业应当围绕代码开发、系统测试、文件共享和项目协作明确数据存储与使用规则，为工作人员提供统一管理的工作环境，并对个人仓库、网盘及其他外部协作工具进行必要管理。同时，应当结合真实工作场景开展安全培训，使人员准确理解不同操作可能带来的数据泄露风险。

三是完善权限管理和数据流转控制。委托单位应当按照运维任务确定授权范围，运维企业应当据此配置内部岗位权限，并将系统访问权限与数据复制、导出和对外上传权限分别管理。对于系统架构、安全配置和测试数据等资料，还应当明确允许使用的环境和流转范围，通过操作记录、异常告警等措施及时发现风险。

四是建立供应链安全事件协同处置制度。委托单位与运维企业应当事先明确事件通报渠道和处置分工。发现项目资料被公开或者异常外传后，应当及时控制传播、核查泄露范围并依法报告。对于已经暴露了网络架构和数据资料的，还应当重新评估安全风险，必要时调整相关配置和防护措施，防止数据泄露进一步转化为网络攻击和系统运行风险。

数据安全保障需要建立在规范、可执行的管理程序之上，将安全要求落实到具体流程，并通过必要的技术控制、定期自查等及时发现、纠正问题，才能切实降低数据泄露风险。