某酒店集团旗下多家酒店客户入住信息数据库遭入侵后应急响应严重失当案

【案件背景】
2024年3月，某大型酒店集团旗下8家连锁酒店的客户入住信息系统遭到黑客入侵，导致约500万条客户信息泄露，包括入住人姓名、身份证号、手机号码、入住时间、房间号等敏感数据。该集团在事件应对过程中存在多项严重失误。

【违法事实】
经公安机关和网信部门联合调查：一是迟报漏报——酒店集团在2024年3月2日即发现异常登录，3月5日确认数据泄露，却直到3月15日才向主管部门报告，延迟10天之久，严重违反了网络安全等级保护制度关于安全事件报告时限的要求；二是应急处置措施不当——在发现入侵后，IT部门擅自关闭了部分日志系统以'减少影响'，导致关键证据灭失，且未第一时间隔离受感染服务器，致使攻击者在系统内横向移动，扩大了泄露范围；三是未建立有效的安全事件分级响应机制——涉及500万条个人信息的大规模泄露本应启动最高级别响应，但企业仅按一般IT故障流程处理，未调动管理层、法务、公关等多部门协同应对；四是事后对外信息披露不完整——企业对外发布的声明中严重低估泄露数据量，误导公众和投资者。

【处罚决定】
工业和信息化部、国家网信办联合执法，依据《网络安全法》《个人信息保护法》《数据安全法》，对该酒店集团处以人民币1200万元罚款，对集团首席信息安全官（CISO）处以50万元罚款，责令企业全面整改网络安全和数据安全管理制度，聘请第三方安全机构进行为期12个月的持续安全监测。

【典型意义】
本案全方位暴露了企业在数据安全事件响应中可能出现的系统性失败。一是'销毁证据式'的应急响应不仅是技术失误，更是合规红线——关闭日志系统的行为直接导致法律取证困难，可能构成毁灭证据；二是事件分级响应的缺失导致响应级别与风险严重程度严重不匹配——警告企业不能将数据泄露等同于普通IT故障处理；三是CSO/CISO等高管的个人责任风险日益凸显——本案对CISO的个人处罚释放了明确的监管信号：数据安全管理岗位不是'虚职'，而是承担实质法律责任。