一周安全资讯 个人信息保护法正式通过，巴西财政部遭勒索攻击，网络与信息安全软件开发路径探索

本周网络安全领域迎来了里程碑事件——我国《个人信息保护法》正式通过，标志着个人信息保护进入新阶段；巴西财政部内网遭遇勒索软件攻击，再次敲响政务安全的警钟。在两极事件背后，网络与信息安全软件开发如何适应新合规要求、应对勒索威胁，成为行业关注焦点。

一、《个人信息保护法》正式通过：合规成为安全软件开发刚需
8月20日，十三届全国人大常委会第三十次会议表决通过《个人信息保护法》，自2021年11月1日起施行。该法明确了处理个人信息应遵循合法、正当、必要和诚信原则，并确立了告知同意、最小必要、公开透明等规则，对违规行为设定了严厉处罚。

对于网络与信息安全软件开发而言，这意味产品设计必须嵌入隐私保护能力：

• 数据最小化采集：安全软件在采集日志、终端信息时需严格限定范围，避免过度收集；
• 内置隐私合规检测：开发数据分类分级、敏感数据识别、脱敏脱密等功能模块，帮助企业自动化满足合规要求；
• 权限与审计机制：确保安全产品自身操作可审计、可追溯，防止内部滥用。

安全厂商需将法律要求转化为技术需求，推动隐私增强技术（PET）在软件开发中的落地，例如联邦学习、差分隐私、可信执行环境等，以技术手段平衡安全与隐私。

二、巴西财政部内网遭勒索软件攻击：政务网络的安全反思
当地时间8月18日，巴西财政部证实其内部网络遭勒索软件攻击，部分系统被加密，攻击者索要赎金。初步调查显示，攻击通过钓鱼邮件或漏洞利用入侵，并在内网横向移动。事件导致部分财政业务中断，虽未造成核心数据泄露，但暴露出政务网络在边界防护、内部隔离、应急响应等方面的不足。

勒索软件攻击的防范需从软件开发层面构建纵深防御：

1. 端点检测与响应（EDR）：开发具备行为分析能力的EDR产品，实时阻断加密行为；
2. 零信任架构：网络与信息安全软件应支持微隔离和持续身份验证，限制横向移动；
3. 备份与恢复：提供不可篡改的备份方案，确保攻击后能快速恢复；
4. 威胁情报联动：安全软件集成威胁情报，提前预警勒索家族活动。

三、网络与信息安全软件开发：在合规与对抗中演进
面对日益严格的法规和不断升级的攻击，安全软件开发呈现三大趋势：

• 合规驱动：将《个人信息保护法》《数据安全法》《网络安全法》的要求融入产品基线，开发合规检查工具和自动化报告功能；
• 智能对抗：利用AI/ML提升恶意软件检测和异常行为分析能力，缩短响应时间；
• 安全左移：将安全能力嵌入DevSecOps流程，在软件开发早期实施代码审计、威胁建模，从源头减少漏洞。

针对关键信息基础设施的供应链安全，安全软件开发需强化自身安全性，建立可信开发环境，防范供应链投毒。

四、一周短讯
- 国家网信办就《网络安全审查办法（修订草案征求意见稿）》公开征求意见，拟要求掌握超100万用户个人信息的企业赴国外上市须申报网络安全审查；
- 某知名芯片厂商曝出高危漏洞，可导致敏感数据泄露，已发布补丁；
- 2021年上半年全球勒索软件攻击同比增长显著，教育、医疗、政务成重灾区。

****
《个人信息保护法》的实施和巴西财政部勒索事件，从合规和实战两个维度为网络安全行业指明方向。网络与信息安全软件开发必须兼顾隐私保护与主动防御，以技术创新为盾，以法律合规为纲，方能在复杂威胁环境下守住安全底线。