大數據時代，數據成為推動經濟社會創新發展的關鍵生產要素，基於數據的開放與開發推動了跨組織、跨行業、跨地域的協助與創新，催生出各類全新的產業形態和商業模式，全面激活了人類的創造力和生產力。
然而，大數據在為組織創造價值的同時，也面臨著嚴峻的安全風險。壹方面，數據經濟發展特性使得數據在不同主體間的流通和加工成為不可避免的趨勢，由此也打破了數據安全管理邊界，弱化了管理主體風險控制能力；另壹方面，隨著數據資源商業價值的凸顯，針對數據的攻擊、竊取、濫用、劫持等活動持續泛濫，並呈現出產業化、高科技化和跨國化等特性，對國家的數據生態治理水平和組織的數據安全管理能力提出全新挑戰。在內外雙重壓力下，大數據安全重大事件頻發，已經成為全社會關註的重大安全議題。
綜合近年來國內外重大數據安全事件發現，大數據安全事件正在呈現以下特點：（1）風險成因復雜交織，既有外部攻擊，也有內部泄露，既有技術漏洞，也有管理缺陷；既有新技術新模式觸發的新風險，也有傳統安全問題的持續觸發。（2）威脅範圍全域覆蓋，大數據安全威脅滲透在數據生產、流通和消費等大數據產業鏈的各個環節，包括數據源的提供者、大數據加工平臺提供者、大數據分析服務提供者等各類主體都是威脅源；(3)事件影響重大深遠。數據雲端化存儲導致數據風險呈現集聚和極化效應，壹旦發生數據泄露等其影響都將超越技術範疇和組織邊界，對經濟、政治和社會等領域產生影響，包括產生重大財產損失、威脅生命安全和改變政治進程。
隨著數據經濟時代的來臨，全面提升網絡空間數據資源的安全是國家經濟社會發展的核心任務，如同環境生態的治理，數據生態治理面臨壹場艱巨的戰役，這場戰役的成敗將決定新時期公民的權利、企業的利益、社會的信任，也將決定數據經濟的發展乃至國家的命運和前途。為此，我們建議重點從政府和企業兩個維度入手，全面提升我國大數據安全
從政府角度，報告建議持續提升數據保護立法水平，構築網絡空間信任基石；加強網絡安全執法能力，開展網絡黑產長效治理；加強重點領域安全治理，維護國家數據經濟生態；規範發展數據流通市場，引導合法數據交易需求；科學開展跨境數據監管，切實保障國家數據主權。
從企業角度，報告建議網絡運營者需要規範數據開發利用規則，明確數據權屬關系，重點加強個人數據和重點數據的安全管理，針對采集、存儲、傳輸、處理、交換和銷毀等各個環節開展全生命周期的保護，從制度流程、人員能力、組織建設和技術工具等方面加強數據安全能力建設。
附十大典型事件（時間順序）：
1. 全球範圍遭受勒索軟件攻擊
關鍵詞：網絡武器泄漏，勒索軟件，數據加密，比特幣
2017年5月12日，全球範圍爆發針對Windows操作系統的勒索軟件（WannaCry）感染事件。該勒索軟件利用此前美國國家安全局網絡武器庫泄露的WindowsSMB服務漏洞進行攻擊，受攻擊文件被加密，用戶需支付比特幣才能取回文件，否則贖金翻倍或是文件被徹底刪除。全球100多個國家數十萬用戶中招，國內的企業、學校、醫療、電力、能源、銀行、交通等多個行業均遭受不同程度的影響。
安全漏洞的發掘和利用已經形成了大規模的全球性黑色產業鏈。美國政府網絡武器庫的泄漏更是加劇了黑客利用眾多未知零日漏洞發起攻擊的威脅。2017年3月，微軟就已經發布此次黑客攻擊所利用的漏洞的修復補丁，但全球有太多用戶沒有及時修復更新，再加上眾多教育系統、醫院等還在使用微軟早已停止安全更新的Windows XP系統，網絡安全意識的缺乏擊潰了網絡安全的第壹道防線。
類似事件：2016年11月舊金山市政地鐵系統感染勒索軟件，自動售票機被迫關閉，旅客被允許在周六免費乘坐輕軌。
2.京東內部員工涉嫌竊取50億條用戶數據
關鍵詞：企業內鬼，數據販賣，數據內部權限
2017年3月，京東與騰訊的安全團隊聯手協助公安部破獲的壹起特大竊取販賣公民個人信息案，其主要犯罪嫌疑人乃京東內部員工。該員工2016年6月底才入職，尚處於試用期，即盜取涉及交通、物流、醫療、社交、銀行等個人信息50億條，通過各種方式在網絡黑市販賣。
為防止數據盜竊，企業每年花費巨額資金保護信息系統不受黑客攻擊，然而因內部人員盜竊數據而導致損失的風險也不容小覷。地下數據交易的暴利以及企業內部管理的失序誘使企業內部人員鋌而走險、監守自盜，盜取販賣用戶數據的案例屢見不鮮。管理咨詢公司埃森哲等研究機構2016年發布的壹項調查研究結果顯示，其調查的208家企業中，69％的企業曾在過去壹年內“遭公司內部人員竊取數據或試圖盜取”。未采取有效的數據訪問權限管理，身份認證管理、數據利用控制等措施是大多數企業數據內部人員數據盜竊的主要原因。
類似事件：2016年4月，美國兒童撫養執行辦公室500萬個人信息遭前員工盜竊。
3. 雅虎遭黑客攻擊10億級用戶賬戶信息泄露
關鍵詞：漏洞攻擊，用戶密碼，俄羅斯黑客
2016年9月22日，全球互聯網巨頭雅虎證實至少5億用戶賬戶信息在2014年遭人竊取，內容涉及用戶姓名、電子郵箱、電話號碼、出生日期和部分登錄密碼。2016年12月14日，雅虎再次發布聲明，宣布在2013年8月，未經授權的第三方盜取了超過10億用戶的賬戶信息。2013年和2014年這兩起黑客襲擊事件有著相似之處，即黑客攻破了雅虎用戶賬戶保密算法，竊得用戶密碼。2017年3 月，美國檢方以參與雅虎用戶受到影響的網絡攻擊活動為由，對俄羅斯情報官員提起刑事訴訟。
雅虎信息泄露事件是有史以來規模最大的單壹網站數據泄漏事件，當前，重要商業網站的海量用戶數據是企業的核心資產，也是民間黑客甚至國家級攻擊的重要對象，重點企業數據安全管理面臨更高的要求，必須建立嚴格的安全能力體系，不僅需要確保對用戶數據進行加密處理，對數據的訪問權限進行精準控制，並為網絡破壞事件、應急響應建立彈性設計方案，與監管部門建立應急溝通機制。
類似事件：2015年2月，美國第二大健康醫療保險公司Anthem公司信息系統被攻破，將近8000萬客戶和員工的記錄遭遇泄露。
4. 順豐內部人員泄漏用戶數據
關鍵詞：轉賣內部數據權限，惡意程序
2016年8月26日，順豐速遞湖南分公司宋某被控“侵犯公民個人信息罪”在深圳南山區人民法院受審。此前，順豐作為快遞行業領頭羊，出現過多次內部人員泄漏客戶信息事件，作案手法包括將個人掌握的公司網站賬號及密碼出售他人；編寫惡意程序批量下載客戶信息；利用多個賬號大批量查詢客戶信息；通過購買內部辦公系統地址、賬號及密碼，侵入系統盜取信息；研發人員從數據庫直接導出客戶信息等。
順豐發生的系列數據泄漏事件暴露出針對內部人員數據安全管理的缺陷，由於數據黑產的發展，內外勾結盜竊用戶數據謀取暴利的行為正在迅速蔓延。雖然順豐的IT系統具備事件發生後的追查能力，但是無法對員工批量下載數據的異常行為發出警告和風險預防，針對內部人員數據訪問需要設置嚴格的數據管控，並對數據進行脫敏處理，才能有效確保企業數據的安全。
類似事件：2012年1號店內部員工與離職、外部人員內外勾結，泄露90萬用戶數據。
5. 徐玉玉遭電信詐騙致死
關鍵詞：安全漏洞，拖庫，個人數據，精準詐騙，黑產
2016年8月，高考生徐玉玉被電信詐騙者騙取學費9900元，發現被騙後突然心臟驟停，不幸離世。據警方調查，騙取徐玉玉學費的電信詐騙者的信息來自網上非法出售的個高考個人信息，而其源頭則是黑客利用安全漏洞侵入了“山東省2016高考網上報名信息系統”網站，下載了60多萬條山東省高考考生數據，高考結束後開始在網上非法出售給電信詐騙者。
近年來，針對我國公民個人信息的竊取和交易已經形成了龐大黑色產業鏈，遭遇泄露的個人數據推動電信詐騙、金融盜竊等壹系列犯罪活動日益“精準化”、“智能化”，對社會公眾的財產和人身安全構成嚴峻威脅。造成這壹現狀的直接原因在於我國企事業單位全方位收集用戶數據，但企業網絡安全防護水平低下和數據安全管理能力不足，使黑客和內鬼有機可乘，而個人信息泄漏後缺乏用戶告知機制，加大了犯罪活動的危害性和持續性。
類似事件：2016年8月23日，山東省臨沭縣的大二學生宋振寧遭遇電信詐騙心臟驟停，不幸離世。
6. 希拉裏遭遇“郵件門”導致競選失敗
鍵詞：私人郵箱，公務郵件,維基解密，黑客
希拉裏“郵件門”是指民主黨總統競選人希拉裏·克林頓任職美國國務卿期間，在沒有事先通知國務院相關部門的情況下使用私人郵箱和服務器處理公務，並且希拉裏處理的未加密郵件中有上千封包含國家機密。同時，希拉裏沒有在離任前上交所有涉及公務的郵件記錄，違反了國務院關於聯邦信息記錄保存的相關規定。2016年7月22日，在美國司法部宣布不指控希拉裏之後，維基解密開始對外公布黑客攻破希拉裏及其親信的郵箱系統後獲得的郵件，最終導致美國聯邦調查局重啟調查，希拉裏總統競選支持率暴跌。
作為政府要員，希拉裏缺乏必要的數據安全意識，在擔任美國國務卿期間私自架設服務器處理公務郵件違反聯邦信息安全管理要求，觸犯了美國國務院有關“使用私人郵箱收發或者存儲機密信息為違法行為”的規定。私自架設的郵件服務器缺乏必要的安全保護，無法應對高水平黑客的攻擊，造成重要數據遭遇泄露並被國內外政治對手充分利用，最終導致大選落敗。
類似事件：2016年3月，五角大樓公布美國防部長阿什頓·卡特數百份郵件是經由私人電子郵箱發送，卡特再次承認自己存在過失，但相關郵件均不涉密。
7. 法國數據保護機構警告微軟Windows10過度搜集用戶數據
關鍵詞：過度收集數據，知情同意，合規，隱私保護
2016年7月，法國數據保護監管機構CNIL向微軟發出警告函，指責微軟利用Windows 10系統搜集了過多的用戶數據，並且在未獲得用戶同意的情況下跟蹤了用戶的瀏覽行為。同時，微軟並沒有采取令人滿意的措施來保證用戶數據的安全性和保密性，沒有遵守歐盟“安全港”法規，因為它在未經用戶允許的情況下就將用戶數據保存到了用戶所在國家之外的服務器上，並且在未經用戶允許的情況下默認開啟了很多數據追蹤功能。CNIL限定微軟必須在3個月內解決這些問題，否則將面臨委員會的制裁。
大數據時代，各類企業都在充分挖掘用戶數據價值，不可避免的導致用戶數據被過度采集和開發。隨著全球個人數據保護日趨嚴苛，企業在收集數據中必須加強法律遵從和合規管理，尤其要註重用戶隱私保護，獲取用戶個人數據需滿足“知情同意”、“數據安全性”等原則，以保證組織業務的發展不會面臨數據安全合規的風險。例如歐盟2018年即將實施新的《壹般數據保護條例》就規定企業違反《條例》的最高處罰額將達全球營收的4%，全面提升了企業數據保護的合規風險。
類似事件：2017年2月，樂視旗下Vizio因違規收集用戶數據被罰220萬美元。
8. 黑客攻擊SWIFT系統盜竊孟加拉國央行8100萬美元
關鍵詞：網絡攻擊，系統控制權限，虛假指令數據，網絡金融盜竊
2016年2月5日，孟加拉國央行被黑客攻擊導致8100萬美元被竊取，攻擊者通過網絡攻擊或者其他方式獲得了孟加拉國央行SWIFT系統的操作權限，攻擊者進壹步向紐約聯邦儲備銀行發送虛假的SWIFT轉賬指令。紐約聯邦儲備銀行總***收到35筆，總價值9.51億美元的轉賬要求，其中8100萬美元被成功轉走盜取，成為迄今為止規模最大的網絡金融盜竊案。
SWIFT是全球重要的金融支付結算系統，並以安全、可靠、高效著稱。黑客成功攻擊該系統，表明網絡犯罪技術水平正在不斷提高，客觀上要求金融機構等關鍵性基礎設施的網絡安全和數據保護能力持續提升，金融系統網絡安全防護必須加強政府和企業的協同聯動，並開展必要的國際合作。2017年3月1日生效的美國紐約州新金融條例，要求所有金融服務機構部署網絡安全計劃，任命首席信息安全官，並監控商業夥伴的網絡安全政策。美國紐約州的金融監管要求為全球金融業網絡安全監管樹立了標桿，我國的金融機構也需進壹步明確自身應當履行的網絡安全責任和義務，在組織架構、安全管理、安全技術等多個方面進行落實網絡安全責任。
類似事件：2016年12月2日,俄羅斯央行代理賬戶遭黑客襲擊,被盜取了20億俄羅斯盧布。
9．海康威視安防監控設備存在漏洞被境外IP控制
關鍵詞：物聯網安全，弱口令，漏洞，遠程挾持
2015年2月27日，江蘇省公安廳特急通知稱：江蘇省各級公安機關使用的海康威視監控設備存在嚴安全隱患，其中部分設備被境外IP地址控制。海康威視於2月27日連夜發表聲明稱：江蘇省互聯網應急中心通過網絡流量監控，發現部分海康威視設備因弱口令問題（包括使用產品初始密碼和其他簡單密碼）被黑客攻擊，導致視頻數據泄露等。
以視頻監控等為代表的物聯網設備正成為新的網絡攻擊目標。物聯網設備廣泛存在弱口令，未修復已知漏洞、產品安全加固不足等風險，設備接入互聯網後應對網絡攻擊能力十分薄弱，為黑客遠程獲取控制權限、監控實時數據並實施各類攻擊提供了便利。
類似事件：2016年10月，黑客通過控制物聯網設備對域名服務區發動僵屍攻擊，導致美國西海岸大面積斷網。
10. 國內酒店2000萬入住信息遭泄露
關鍵詞：個人隱私泄露，第三方存儲，外包服務數據權限，供應鏈安全
2013年10月，國內安全漏洞監測平臺披露，為全國4500多家酒店提供數字客房服務商的浙江慧達驛站公司，因為安全漏洞問題，使與其有合作關系的酒店的入住數據在網上泄露。數天後，壹個名為“2000w開房數據”的文件出現在網上，其中包含2000萬條在酒店開房的個人信息，開房數據中，開房時間介於2010年下半年至2013年上半年，包含姓名、身份證號、地址、手機等14個字段，其中涉及大量用戶隱私，引起全社會廣泛關註。
酒店內的Wi-Fi覆蓋是隨著酒店業發展而興起的壹項常規服務，很多酒店選擇和第三方網絡服務商合作，但在實際數據交互中存在嚴重的數據泄露風險。從慧達驛站事件中，壹方面，涉事酒店缺乏個人信息保護的管理措施，未能制定嚴格的數據管理權限，使得第三方服務商可以掌握大量客戶數據。另壹方面，第三方服務商慧達驛站公司網絡安全加密等級低，在密碼驗證過程中未對傳輸數據加密，存在嚴重的系統設計缺陷。