某市政府信访办公室运行的网上信访系统收到了大量市民提交的投诉和建议信息。这些信息中包含了投诉人的个人信息联系方式投诉对象投诉事由和处理过程等敏感内容。信访系统的信息安全直接关系到投诉人的人身安全和隐私保护特别是在投诉涉及行政执法敏感部门或复杂社会关系时投诉人的身份信息泄露可能导致打击报复等严重后果。

信访系统的安全审计人员在一次例行安全评估中发现系统的数据库审计日志存储在一个安全性较低的文件服务器上而且该服务器的访问权限配置存在明显缺陷。审计人员可以直接通过网络浏览器访问这部分日志文件日志中包含了数据库查询的完整记录可以从中还原出大量的用户投诉内容和投诉人个人信息。这个漏洞意味着任何能够访问该文件服务器的人都可以获取到信访系统的核心数据。

信访办公室信息安全负责人接到报告后立即对审计日志的存储位置和访问权限进行了修复将日志迁移到了加密的独立存储设备上。但无法确定在此之前是否已经有人发现了这个漏洞并访问了审计日志中的数据。更重要的是这起事件暴露了一个容易被忽视的安全问题安全审计系统本身也可能成为泄露数据的渠道。审计系统为了全面地记录操作行为会捕获大量的原始数据这些数据本身就包含了完整的信息内容如果审计数据的存储安全得不到保障那么审计系统就从一个安全保障手段变成了新的数据泄露渠道。

安全审计系统的设计和部署应当遵循与生产系统同等的安全标准。审计数据的存储应当进行加密并使用独立的安全存储设备审计数据的访问权限应当严格控制只有经过授权的人员才能查看。同时应当对审计系统本身进行定期的安全评估确保审计系统本身也不会成为安全风险点。信访工作涉及大量社会矛盾和个人隐私信息保护这些信息的安全不仅是技术责任更是法律责任和道义责任。在数字化治理不断深化的今天信访部门的信息安全工作需要从系统建设数据管理到人员培训建立起全方位的保障体系确保每一位投诉人的信息安全和合法权益都得到充分保护。北京企密安在服务政府信访部门的信息安全建设时始终强调投诉人隐私保护是最高优先级的安全目标因为这是公众对政府信息系统的信任基础。

本次事件引起了信访办公室上级主管部门的高度重视主管部门要求对全系统的安全审计机制进行专项检查和升级。在后续整改中信访系统将审计日志的生产存储和访问进行了严格的权限分离审计日志被存储在独立的加密存储设备上仅有授权的审计人员可以访问。同时信访办公室建立了定期安全审计制度每季度对系统进行一次全面的安全评估包括对审计系统本身的评估及时排查和修复安全漏洞。信访工作事关人民群众的切身利益和社会的和谐稳定信访信息的安全保护水平直接关系到公众对政府工作的信任和支持。在数字政府建设不断深入的过程中各级政府机构应当把公民个人信息保护作为信息系统建设的核心目标贯穿系统规划设计建设和运营的全生命周期。只有当每一位公众都相信他们的个人信息在政府系统中是安全的政府信息化才能真正发挥出服务群众提高效率的预期效果。