搜索

[16604] 2021-03-27_遭遇网络勒索：法律义务梳理与合规建议

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-03-27_遭遇网络勒索：法律义务梳理与合规建议 遭 遇 网 络 勒 索 ： 法 律 义 务 梳 理 与 合 规 建 议 史 宇 航   F r e e B u f   2 0 2 1 - 0 3 - 2 7 一 、 背 景 一 、 背 景 在 2 0 2 1 年 的 《 政 府 工 作 报 告 》 中 ， 李 克 强 总 理 提 出 要 加 快 数 字 化 发 展 ， 打 造 数 字 经 济 新 优 势 ， 协 同 推 进 数 字 产 业 化 和 产 业 数 字 化 转 型 。 在 数 字 化 发 展 的 过 程 中 ， 伴 随 着 效 率 的 提 升 ， 网 络 安 全 风 险 的 敞 口 也 不 断 增 大 网 络 安 全 风 险 的 敞 口 也 不 断 增 大 。 而 在 各 种 网 络 安 全 风 险 中 ， 勒 索 软 件 已 经 成 为 最 为 严 重 的 威 胁 之 一 勒 索 软 件 已 经 成 为 最 为 严 重 的 威 胁 之 一 ， 甚 至 会 直 接 危 害 人 身 安 全 。 2 0 2 0 年 9 月 德 国 杜 塞 尔 多 夫 大 学 医 院 遭 受 勒 索 软 件 攻 击 ， 一 名 患 者 被 转 移 至 附 近 的 其 他 医 院 后 不 幸 身 亡 。 勒 索 所 造 成 的 危 害 已 经 无 法 忽 视 。 勒 索 软 件 （ “ r a n s o m w a r e ” ） 也 被 称 为 勒 索 病 毒 ， 通 常 的 运 作 模 式 是 进 入 系 统 后 对 系 统 内 数 据 进 行 加 密 ， 直 接 导 致 系 统 中 数 据 无 法 正 常 使 用 ， 并 要 求 在 指 定 期 限 内 支 付 赎 金 。 赎 金 通 常 会 要 求 以 比 特 币 等 加 密 货 币 的 形 式 支 付 。 勒 索 软 件 不 仅 针 对 企 业 ， 也 会 针 对 政 府 部 门 与 事 业 单 位 展 开 无 差 别 攻 击 。 2 0 1 7 年 W a n n a C r y 在 全 球 范 围 内 的 肆 虐 让 勒 索 软 件 治 理 成 为 不 可 回 避 的 问 题 。 在 裁 判 文 书 网 中 稍 作 检 索 ， 就 能 发 现 W a n n a C r y 所 带 来 的 巨 大 破 坏 ， W a n n a C r y 直 接 导 致 数 家 公 安 机 关 以 电 子 形 式 存 储 的 证 据 无 法 恢 复 ， 以 至 于 公 安 机 关 在 诉 讼 中 需 要 向 法 院 专 门 说 明 证 据 的 收 集 、 存 储 情 况 。 直 到 今 日 ， 勒 索 软 件 的 阴 霾 也 没 有 烟 消 云 散 ， 反 而 形 成 了 完 整 的 产 业 链 。 而 且 不 同 勒 索 软 件 都 存 在 内 部 竞 争 ， 也 开 始 “ 内 卷 ” 。 近 年 来 新 兴 “ R a n s o m w a r e   a s   a   S e r v i c e ” （ “ R a a S ” ） 的 产 业 模 式 ， 更 是 大 大 降 低 了 发 动 勒 索 软 件 攻 击 的 门 槛 。 二 、 勒 索 软 件 的 预 防 、 处 置 无 法 与 法 律 绝 缘 二 、 勒 索 软 件 的 预 防 、 处 置 无 法 与 法 律 绝 缘 面 对 肆 虐 的 勒 索 软 件 ， 传 统 上 是 由 I T 或 信 息 安 全 部 门 负 责 处 置 ， 但 网 络 安 全 的 特 点 是 与 所 有 人 息 息 相 关 。 大 量 的 勒 索 软 件 所 引 发 事 件 显 示 ， 法 务 与 合 规 部 门 不 仅 需 要 加 入 到 处 置 勒 索 软 件 的 决 策 圈 中 ， 更 需 要 在 预 防 环 节 就 积 极 介 法 务 与 合 规 部 门 不 仅 需 要 加 入 到 处 置 勒 索 软 件 的 决 策 圈 中 ， 更 需 要 在 预 防 环 节 就 积 极 介 入 。 入 。 勒 索 软 件 作 为 网 络 安 全 事 件 的 主 要 诱 因 之 一 ， 也 要 求 机 构 在 网 络 安 全 事 件 处 置 机 制 的 大 框 架 下 ， 针 对 勒 索 软 件 的 特 点 进 行 预 先 部 署 。 根 据 网 络 安 全 的 定 义 （ 《 网 络 安 全 法 》 第 7 6 条 ） ， 保 障 网 络 数 据 的 机 密 性 （ C o n f i d e n t i a l i t y ） 、 完 整 性 （ I n t e g r i t y ） 、 可 用 性 （ A v a i l a b i l i t y ） 的 能 力 是 网 络 安 全 的 重 要 组 成 部 分 。 勒 索 软 件 主 要 破 坏 数 据 的 可 用 性 与 机 密 性 ， 即 使 数 据 无 法 继 续 ， 或 是 让 本 应 保 密 的 数 据 公 之 于 众 。 法 律 部 门 之 所 以 需 要 积 极 介 入 勒 索 软 件 的 应 对 工 作 ， 不 仅 是 因 为 勒 索 软 件 的 预 防 、 处 置 不 仅 涉 及 网 络 安 全 法 律 义 务 的 履 行 ， 也 因 为 网 络 系 统 一 旦 被 勒 索 软 件 感 染 ， 可 能 也 会 面 临 对 外 服 务 无 法 继 续 正 常 提 供 的 问 题 ， 直 接 需 要 面 对 违 约 或 侵 权 责 任 。 三 、 预 防 与 处 置 三 、 预 防 与 处 置 应 对 勒 索 软 件 ， 预 防 最 为 重 要 。 在 中 国 法 下 ， 完 成 网 络 安 全 等 级 保 护 已 经 成 为 最 好 的 免 责 事 由 之 一 。 等 级 保 护 制 度 从 技 术 与 管 理 两 个 角 度 对 网 络 系 统 的 安 全 能 力 提 出 了 具 体 的 要 求 ， 本 身 就 可 以 提 升 机 构 的 网 络 安 全 能 力 。 在 完 成 等 级 保 护 情 况 下 ， 机 构 的 网 络 系 统 即 使 遭 受 勒 索 软 件 的 攻 击 ， 可 以 在 没 有 “ 后 顾 之 忧 ” 的 情 况 下 进 行 报 案 。 除 了 完 成 等 级 保 护 ， 应 对 勒 索 软 件 最 有 效 的 措 施 就 是 对 数 据 定 期 进 行 异 地 备 份 ， 以 确 保 网 络 系 统 一 旦 被 勒 索 软 件 感 染 ， 数 据 可 以 得 到 有 效 恢 复 。 这 不 仅 需 要 机 构 建 立 数 据 备 份 机 制 （ 《 网 络 安 全 法 》 第 2 1 （ 4 ） 条 ） ， 也 需 要 定 期 进 行 演 练 ， 确 保 备 份 的 数 据 能 够 真 实 被 恢 复 。 另 一 方 面 ， 对 机 构 员 工 进 行 教 育 培 训 也 是 预 防 勒 索 软 件 、 提 升 全 员 安 全 意 识 的 有 效 途 径 （ 《 数 据 安 全 法 （ 草 案 ） 》 第 2 5 条 ） 。 在 国 家 计 算 机 病 毒 应 急 处 理 中 心 针 对 勒 索 软 件 的 建 议 中 ， 包 括 ： 加 强 安 全 防 范 意 识 ， 做 好 日 常 备 份 （ 最 好 是 异 地 备 份 ）
不 要 访 问 包 含 未 知 风 险 的 网 站 或 打 开 不 明 来 历 的 电 子 邮 件 附 件 保 持 开 启 杀 毒 软 件 实 时 监 控 功 能 并 持 续 关 注 国 家 计 算 机 病 毒 应 急 处 理 中 心 网 站 上 关 于 勒 索 软 件 的 有 关 资 讯 。 除 了 从 机 构 内 部 着 手 准 备 应 对 措 施 ， 还 应 当 在 对 外 涉 及 I T 系 统 的 协 议 中 关 注 勒 索 软 件 的 攻 击 能 否 作 为 免 责 事 由 或 不 可 抗 力 。 2 0 2 0 年 1 月 ， 浙 江 维 尔 科 技 有 限 公 司 的 驾 校 服 务 平 台 因 为 遭 受 勒 索 病 毒 的 攻 击 ， 导 致 浙 江 南 浔 多 家 驾 校 的 教 练 车 持 续 数 天 不 能 正 常 上 路 教 学 ， 直 接 导 致 经 济 损 失 十 万 余 元 。 因 此 引 来 这 些 驾 校 共 同 对 该 公 司 提 起 违 约 之 诉 。 在 这 些 诉 讼 中 ， 法 院 认 为 受 到 勒 索 软 件 攻 击 不 属 于 免 责 事 由 ， 因 此 要 求 维 尔 科 技 承 担 违 约 责 任 。 计 算 机 系 统 一 旦 为 勒 索 病 毒 所 感 染 ， 那 么 当 务 之 急 是 判 断 是 否 能 够 恢 复 。 目 前 ， 国 家 计 算 机 病 毒 应 急 处 理 中 心 持 续 跟 踪 、 发 布 勒 索 软 件 的 解 密 方 法 。 2 0 1 6 年 7 月 ， 卡 巴 斯 基 实 验 室 与 荷 兰 警 方 、 欧 洲 刑 警 组 织 、 I n t e l   S e c u r i t y 公 司 等 联 合 设 立 了 “ N o   M o r e   R a n s o m ” 项 目 ， 也 提 供 部 分 勒 索 软 件 的 解 密 方 式 。 四 、 交 赎 金 还 是 报 案 四 、 交 赎 金 还 是 报 案 如 果 无 法 自 行 恢 复 数 据 ， 那 么 机 构 将 面 临 两 难 ， 是 支 付 赎 金 还 是 选 择 报 警 ， 抑 或 是 既 支 付 赎 金 又 同 时 报 警 。 但 无 论 如 何 选 择 ， 都 会 在 合 规 层 面 面 临 两 难 困 境 。 在 我 们 处 置 过 的 另 外 一 些 案 件 中 ， 黑 客 甚 至 会 专 门 选 择 “ 双 1 1 ” 等 重 要 促 销 活 动 前 夕 发 动 勒 索 软 件 攻 击 ， 以 索 取 更 高 额 的 赎 金 。 勒 索 软 件 相 较 于 其 他 类 型 的 计 算 机 病 毒 ， 最 大 的 特 点 是 要 求 支 付 赎 金 。 但 问 题 在 于 支 付 赎 金 并 不 能 够 确 保 文 件 一 定 但 问 题 在 于 支 付 赎 金 并 不 能 够 确 保 文 件 一 定 可 以 恢 复 ， 也 不 能 够 保 证 黑 客 一 定 会 删 除 违 法 窃 取 的 数 据 。 可 以 恢 复 ， 也 不 能 够 保 证 黑 客 一 定 会 删 除 违 法 窃 取 的 数 据 。 相 反 ， 支 付 赎 金 可 能 会 触 发 美 国 政 府 的 制 裁 支 付 赎 金 可 能 会 触 发 美 国 政 府 的 制 裁 ， 并 且 会 助 长 犯 罪 分 子 再 次 犯 罪 ， 因 此 几 乎 所 有 的 勒 索 软 件 应 对 指 引 都 不 建 议 支 付 赎 金 。 2 0 2 0 年 1 0 月 ， 美 国 财 政 部 外 国 资 产 控 制 办 公 室 2 0 2 0 年 1 0 月 发 布 A d v i s o r y   o n   P o t e n t i a l   S a n c t i o n s   R i s k s   f o r   F a c i l i t a t i n g R a n s o m w a r e   P a y m e n t s ， 提 醒 支 付 赎 金 可 能 会 因 为 向 受 制 裁 对 象 提 供 资 助 受 到 处 罚 ， 因 为 诸 多 勒 索 软 件 背 后 的 组 织 在 美 国 政 府 的 制 裁 名 单 上 榜 上 有 名 。 该 文 件 显 示 美 国 财 政 部 外 国 资 产 控 制 办 公 室 将 对 每 个 案 例 进 行 单 独 审 查 ， 主 动 、 及 时 、 完 整 地 将 勒 索 软 件 攻 击 报 告 给 执 法 部 门 或 与 执 法 部 门 合 作 将 有 助 于 避 免 民 事 处 罚 。 在 国 内 ， 网 络 系 统 一 旦 被 勒 索 软 件 攻 击 ， 同 样 面 临 如 何 报 案 的 问 题 。 除 了 拨 打 1 1 0 、 在 本 地 派 出 所 报 案 ， 还 可 以 在 公 安 部 网 安 局 主 办 的 “ 网 络 违 法 犯 罪 举 报 网 站 ” 进 行 举 报 ， 其 中 专 门 设 有 “ 入 侵 敲 诈 ” 的 举 报 类 型 。 近 年 来 ， 随 着 “ 一 案 双 查 ” 制 度 的 落 实 ， 在 网 络 安 全 事 件 发 生 后 ， 公 安 部 门 不 仅 会 去 追 查 发 动 攻 击 的 黑 客 ， 同 时 会 对 企 业 履 行 网 络 安 全 义 务 的 情 况 进 行 检 测 。 而 在 公 安 机 关 检 查 企 业 的 过 程 中 ， 会 依 据 《 网 络 安 全 法 》 第 2 1 条 关 注 企 业 是 否 完 成 等 级 保 护 ， 若 未 完 成 则 可 能 被 追 责 ， 相 关 负 责 人 甚 至 可 能 需 要 承 担 个 人 责 任 ：
因 为 报 案 会 触 发 “ 一 案 双 查 ” ， 因 此 很 多 企 业 会 考 虑 隐 瞒 事 件 ， 但 报 告 网 络 安 全 事 件 本 身 就 是 一 项 法 律 义 务 ， 《 网 络 安 全 法 》 第 2 5 条 ： “ … … 在 发 生 危 害 网 络 安 全 的 事 件 时 ， 立 即 启 动 应 急 预 案 ， 采 取 相 应 的 补 救 措 施 ， 并 按 照 规 定 向 有 关 主 管 部 门 报 告 。 ” 所 以 企 业 如 果 没 有 做 好 等 级 保 护 工 作 ， 做 好 应 对 勒 索 软 件 的 应 急 预 案 ， 那 么 可 能 会 陷 入 是 否 应 该 报 案 的 两 难 处 境 。 五 、 合 规 建 议 五 、 合 规 建 议 根 据 我 们 协 助 企 业 处 理 勒 索 软 件 的 经 验 ， 机 构 可 以 从 以 下 角 度 做 好 勒 索 软 件 应 对 的 合 规 工 作 ： 做 好 备 份 ！ 做 好 备 份 ！ 做 好 备 份 ！ 通 过 数 据 备 份 尽 可 能 降 低 勒 索 软 件 对 业 务 连 续 性 的 影 响 。 并 将 数 据 备 份 作 为 数 据 管 理 制 度 中 重 要 章 节 ， 或 独 立 作 为 一 项 制 度 存 在 。 在 中 国 境 内 的 系 统 应 当 完 成 网 络 安 全 等 级 保 护 ， 制 定 应 急 预 案 。 履 行 网 络 安 全 义 务 可 以 帮 助 机 构 消 除 被 勒 索 软 件 攻 击 后 报 案 的 “ 后 顾 之 忧 ” 。
在 对 外 签 署 的 协 议 中 ， 关 注 勒 索 软 件 所 造 成 的 业 务 中 断 是 否 属 于 免 责 事 由 。 提 前 购 买 网 络 安 全 保 险 ， 通 过 保 险 分 担 勒 索 软 件 可 能 造 成 的 风 险 。 聘 请 网 络 安 全 领 域 的 律 师 。 即 使 不 签 署 保 密 协 议 （ N D A ） ， 根 据 实 体 法 （ 《 律 师 法 》 ） 律 师 也 有 义 务 对 提 供 服 务 过 程 中 知 悉 的 信 息 保 密 。 鉴 于 机 构 有 时 并 不 希 望 自 己 遭 受 攻 击 的 情 况 被 公 开 ， 与 律 师 沟 通 可 以 最 大 限 度 对 事 件 进 行 保 密 。 且 网 络 安 全 事 件 发 生 后 ， 会 触 发 多 项 法 律 义 务 ， 可 以 通 过 律 师 对 后 续 处 理 方 式 提 供 法 律 方 面 的 意 见 。 如 果 机 构 决 定 支 付 赎 金 ， 需 要 判 断 该 行 为 是 否 可 能 触 发 美 国 政 府 关 于 制 裁 的 长 臂 管 辖 。 精 精 彩 彩 推 推 荐 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理