英国ICO训诫ACRO刑事记录办公室：网络安全缺陷致上万敏感数据可能暴露

ICO指出ACRO存在多项网络安全缺陷：补丁管理被外包给第三方但内部责任归属不清，关键系统漏洞长达近四年未修复，防病毒软件告警长期无人阅读，安全警报未得到充分调查。这些疏漏使入侵者在系统中长期滞留而未被察觉。

监管机构认定ACRO违反了英国GDPR第32条关于处理安全的规定，但考虑到其网络分段措施将攻击者隔离在网站环境之外、未波及核心系统，且事后补救积极，最终选择训诫而非罚款，体现了对整改配合态度的宽容。

本案为数据控制者敲响警钟：将安全功能外包并不意味着责任转移，控制者必须能证明补丁更新与告警响应有明确的管理责任人。在AI驱动威胁升级的背景下，董事会层面的安全问责正成为监管审查的核心焦点。