8月20日，一则新闻震惊全球网络安全圈：某国政务系统发生大规模数据泄露，全国大半民众的姓名、身份证号、住址、甚至生物识别信息被曝光在暗网上。事件后果极其严重——主管部门管理层集体引咎辞职。
这场泄露并非黑客炫技的“高难度动作”，而是典型的数据安全管理缺失。调查显示，涉事系统存在多个基础性漏洞：
这不是孤例。近年来政务数据泄露事件频发，从某省健康码系统被脱库，到某市社保数据在暗网被公开售卖，政务数据已成为黑产眼中的“金矿”。原因很简单：数据量大、价值高、防守却相对薄弱。
这次事件恰好撞上了一个关键时间点——《网络数据安全风险评估办法》正在公开征求意见。新规明确要求：重要数据处理者应当定期开展风险评估，重点评估数据的合法性、安全性、可控性。
通俗来说，风险评估就是给系统做“全身体检”：
遗憾的是，很多政企单位把风险评估当作“走过场”，报告写完就束之高阁。等到真出事，才追悔莫及。
为什么这次泄露能波及“全国大半民众”？一个核心原因是：系统把所有数据一视同仁地存储和保护，没有做分类分级。
根据《数据安全法》和配套标准，数据应分为核心数据、重要数据、一般数据三个级别，不同级别对应不同的保护强度。如果政务系统将公民生物识别信息、社保记录等标记为“重要数据”，就必须启用加密存储、访问留痕、专人专管等强保护措施。
分类分级的意义在于“好钢用在刀刃上”——把有限的安全资源投入到最关键的数据上。不做分类分级，就像把钻石和石头放在同一个没有锁的抽屉里，黑客一拉抽屉，全部拿走。
值得注意的是，近期红雨滴团队披露了AI时代国产Electron软件供应链攻击活动。攻击者通过污染软件更新通道，在合法软件中植入后门，进而控制整个系统。
政务系统高度依赖第三方软件和服务，供应链攻击正成为数据泄露的新通道。攻击者不需要直接攻破政务内网，只需在某个上游软件供应商的更新服务器上做手脚，就能“曲线入侵”。
对于普通民众而言，我们无法控制政务系统的安全建设，但可以做到：