华东某区级政府开发的政务服务一体化平台，整合了工商注册、税务登记、社保开户、消防审批等多项政务服务功能，覆盖了全区数万家企业的法人信息和经营数据。企业和个体工商户可以通过该平台在线办理各类行政事项，极大地方便了群众办事。平台上线后运行平稳，用户数量持续增长。
某天，一位网络安全研究人员在使用该平台时发现了一个严重的安全漏洞。平台的企业信息查询功能在传递参数时没有进行充分的数据权限校验，用户在修改网页请求中的某些参数后，可以查询到权限范围之外的其他企业的完整注册信息，包括企业法人代表的姓名、身份证号、联系电话、注册地址和统一社会信用代码等全部敏感信息。这位研究人员将该漏洞报告给了有关部门。
有关部门接报后迅速启动了应急响应，技术人员对平台进行了紧急加固和修复。但漏洞存在的时间已经较长，无法确定在此期间是否已经有其他数据被不当获取。网信部门责成技术服务提供商对平台的源代码进行全面安全审查，查找是否存在其他类似的安全漏洞。平台因此下线了一周左右的时间进行集中修复和安全测试，期间所有线上政务服务的正常办理受到了一定程度的影响。
政府公共服务平台的API接口安全是一个容易被忽视的问题。在开发过程中，开发团队更多关注的是功能是否实现、业务逻辑是否正确，对于接口越权、权限校验缺失等安全问题的重视程度不够。在很多情况下，接口的安全测试是在开发阶段之后才进行的，甚至有的项目根本没有安排独立的安全测试环节，完全依赖开发人员的个人经验来保障代码的安全性。
这个案例也再次说明，数字政府建设不能重建设轻安全。在追求政务服务效率和便利性的同时，必须同步投入足够的安全资源。政府的信息化项目在立项、招标、开发和验收的全过程中，都应当将信息安全作为一项核心指标。在项目验收时，应当要求提供第三方安全检测报告，确认系统上线前已经排除了常见的安全漏洞。在系统上线后，应当建立持续的安全监控和定期安全评估机制，及时发现和修复新出现的安全问题。政务服务承载着大量企业法人和公民的个人信息，一旦出现安全问题，不仅影响政务服务体验，更会对公民的合法权益和企业的商业秘密造成实质性的损害。政府信息化项目的信息安全投入，是对公众负责的基本体现。
从这次事件的应对过程来看，政府相关部门在信息安全事件应急响应方面还存在不少需要提升的方面。漏洞发现后，从接到报告到完成修复之间有一定的时间间隔，在这段时间内系统仍然处于风险暴露状态。同时，在事件通报和公众沟通方面，信息发布不够及时和透明，导致了一些不必要的猜疑和担忧。地方政府在推进数字政务转型的过程中，不仅需要关注系统的功能完善和使用体验，更要把信息安全和数据保护放在与服务质量同等重要的位置。信息系统安全防护是一项需要持续投入和不断更新的工作，不是一次性的项目可以完成的。政府的信息化项目管理者需要有安全运营的长期思维，将安全评估、渗透测试和应急演练作为系统运行阶段的标准工作内容，而不是在出现问题后才想起这些工作的重要性。市民和企业的信任来之不易，应当用持续稳定的安全保障来维护和巩固。
