安全措施不足导致资料外泄 两组织被罚款 | 联合早报

吉宝讯通和新加坡医学专科学院因为没有采取妥善的安全措施，导致个人资料外泄，分别被个人资料保护委员会开罚12万元和9000元。

个人资料保护委员会于上星期五（8月2日）在网站上公布对吉宝讯通（Keppel Telecommunications & Transportation）和新加坡医学专科学院（Academy of Medicine Singapore）的裁决。

吉宝讯通逾2万用户信息面临外泄威胁

根据判决书，吉宝讯通与旗下物流子公司Geodis Logistics于2022年10月向委员会通报伺服器遭非法入侵，导致员工、前员工、董事和股东的个人数据外泄。

吉宝讯通在同年7月脱售该子公司，在此之前双方共用伺服器。经过调查，委员会发现吉宝讯通因为将资料库完全从旧伺服器转移至云端储存，间接导致了资料泄露。

公司的IT部门并没有提醒职员在转移资料后从旧的伺服器删除个人资料。不仅如此，公司也继续使用旧伺服器，而非按照惯例停止使用，让入侵者有机可乘。

延伸阅读

[新大辅导中心被指泄露学生隐私 校方展开调查

](https://www.bdggg.com/2024/zaobao/news_2024_07_09_693368) [暗网出现兜售本地居民资料贴文

](https://www.bdggg.com/2024/zaobao/news_2024_07_08_693216) 共有超过2万名用户的信息因此面临外泄的威胁，当中可能有超过7000名用户的信息实际落入不法之徒手中。

医学院遭勒索软件攻击 6000人个资泄露

新加坡专科医学院则是于2023年7月向委员会通报数据外泄的情况，起因是伺服器遭遇勒索软件的攻击。

判决书透露，医学院职员于2023年7月13日发现网络连接异常，医学院在接到通报后就立刻暂停使用伺服器并展开调查。

尽管如此，还是有6000人的个人资料外泄，当中包括超过1000人的信用卡信息。这些个资甚至还被放到暗网上。

由于新加坡专科医学院系统中存在安全隐患，间接导致了资料外泄，因此除了被委员会被处以罚款，医学院也被委员会要求进行网络安全审计和纠正这些漏洞。

医学院须在60天内，即9月30日之前，向委员会通报审计和纠正工作，当中包括考虑额外设立防火墙、分开个资的储存空间、加强个资的加密性等。

我国从2013年起开始实施个人资料保护法令（Personal Data Protection Act），个人资料保护委员会也于同年成立，至今已经针对超过250起资料外泄事件展开调查。