湖南某科技公司内网数据库暴露公共互联网+未建立网络安全和数据安全管理制度导致大量用户数据泄露风险案

【案件背景】
国家网信办在专项工作排查中发现，湖南某科技股份有限公司的内网数据库存在严重的数据泄露风险。经深入调查，该公司是一家承接合作项目的软件开发企业，在合作项目中掌握了大量甲方客户的用户数据。一名软件研发工程师为个人工作便利，将合作项目中掌握的大量用户数据擅自拷贝至企业内网数据库，并打开企业内网的公共互联网访问端口，导致本应被隔离保护的内网数据库及其中的敏感数据完全暴露在公共互联网上。

【违法事实】
经属地网信办调查认定，该公司存在以下严重违法行为：一是未依法建立网络安全和数据安全管理制度——公司处于一种'无制度、无管理、无责任'的三无状态，没有制度约束员工数据处理行为的边界；二是未对数据进行分类分级管理——合作项目中掌握的甲方用户数据本质上是受托处理的数据，法律要求其承担不低于甲方自身标准的保护义务，但公司未对这些数据的敏感程度进行任何评估和分级；三是内网数据库长期存在未授权访问漏洞和弱口令漏洞，相当于门锁使用'123456'这样的简单密钥；四是涉事员工在拷贝数据后擅自打开了公共互联网访问端口——这一行为本身就已经严重违规，但公司缺乏日常巡检和安全审计机制，导致违规操作长期未被发现。

【处罚决定】
属地网信办认定该公司违反了《网络安全法》《数据安全法》《网络数据安全管理条例》等相关规定，依法对其作出责令改正、给予警告并处以罚款的行政处罚。要求其立即关闭内网数据库的公网访问端口、全面排查数据安全隐患、建立并落实完整的数据安全管理制度和数据分类分级方案。

【典型意义】
本案是国家网信办公布的网络安全、数据安全、个人信息保护执法典型案例之一，深刻揭示了企业从管理到技术再到人员的'三重失守'。一是'内网'不等于'安全'——本案标题即为'内网非法外之地'，警示企业即使将数据存放在内网，如果存在安全漏洞和违规操作，仍然面临泄露风险。二是员工个人行为与企业管理责任的区分——虽然本案的直接触发是研发工程师的违规操作，但网信办的处罚对象是公司——因为企业有义务建立制度和监督机制来防止此类行为发生。三是受托处理数据的额外合规义务——作为合作项目的受托方，企业不仅要保护自有数据，还必须对受托处理的他方数据给予同等甚至更高的保护标准。