信息泄露
概述
信息泄露（情報流出，Data Breach）是指组织或个人所持有、管理的个人信息、营业秘密、技术资料等机密数据，因黑客攻击、内部人员泄露、配置错误、物理遗失等原因被带出到外部、脱离控制的安全事故。它已超越单纯的黑客事件，被视为会对企业信誉、国家安全、个人隐私造成直接损害的复合性风险。近年来，随着云计算与生成式 AI 的普及，泄露路径日益多样化，该领域已成为必须同时设计技术管控与法律规制的对象。
主要内容
定义与范围
信息泄露主要从三个角度被定义。第一，从法律角度看，指依据《个人信息保护法》发生个人信息遗失、被盗、泄露、伪造、变造或毁损的事故。第二，从技术角度看，指未经授权的主体访问、复制或传输数据的事件。第三，从经营角度看，指组织核心资产脱离控制范围，导致竞争优势或信任资本受损的状态。因此，同一事件在监管机构、安全团队与经营层眼中可能各有不同的定性。
类型与路径
泄露路径可分为外部侵害与内部因素。外部侵害型以勒索软件、供应链攻击、漏洞利用、通过钓鱼·短信钓鱼导致的账号窃取为典型。内部因素型则包括拟离职人员的资料带出、权限滥用、因失误造成的公开配置（云存储·数据库无认证暴露）等。此外，物理介质遗失、经由合作企业的二次泄露、在暗网上的转售等也是主要路径。在实际事故中，多数情况下是多种路径连锁结合。
损害的扩散结构
泄露的数据即便未被立即滥用，也会被长期反复利用。个人信息会成为电话诈骗、账号窃取、身份盗用的素材，企业机密则会转化为竞争对手泄露或谈判用的胁迫资料。尤其由于在多个服务中使用同一密码的习惯，一次泄露往往引发连锁登录事故，即所谓的“凭据填充（Credential Stuffing）”损害屡见不鲜。损害规模不仅取决于单纯的泄露数量，还因数据的敏感度、是否加密、从泄露到发现所耗时间的不同而大相径庭。
法律规制与责任
在韩国，《个人信息保护法》《信息通信网法》《信用信息法》等规定了泄露申报义务与罚款·课征金标准。发生一定规模以上的泄露时，须通知信息主体与监管机构，违反时可按销售额比例征收罚款。欧盟的 GDPR 规定了 72 小时内申报以及最高达全球销售额 4% 的罚款，形成了国际标准；美国则存在各州法律与各行业规制并存的情况。近来，个人信息集体诉讼与惩罚性损害赔偿的讨论呈扩大趋势。
技术性与管理性应对
技术性应对包括数据加密、访问控制与最小权限原则、多因素认证（MFA）、数据防泄露（DLP）解决方案、异常行为检测（UEBA）、引入零信任架构等。管理性应对方面，资产识别与分类、权限定期审查、离职人员下线（offboarding）流程、供应链安全审查、员工安全教育至关重要。事故发生之后，通常按照隔离·阻断、取证分析、申报与通知、受害者救济、制定防止再发对策的顺序进行应对。
最新动向
2024~2025 年信息泄露环境的核心变化是攻击的产业化与规制的强化。勒索软件组织不再止步于加密数据，而是将泄露本身作为胁迫手段，使“双重勒索”成为标准做法；攻击以 RaaS（Ransomware-as-a-Service，勒索软件即服务）形式实现分工化，进入门槛随之降低。供应链攻击与零日漏洞利用增加，即便自身安全坚固，也会经由合作企业遭到入侵的案例不断增多。
生成式 AI 的普及也是新的变量。员工在将业务资料输入外部 AI 服务时，机密作为训练数据流出的事故，通过提示注入（Prompt Injection）窃取内部数据，以及 AI 模型本身的权重·训练数据泄露，作为新类型浮出水面。对此，企业正引入内部专用 AI 网关、数据脱敏、输入日志记录政策。
在规制层面，韩国国内外均朝着强化事前预防义务的方向发展。基于风险的方法、个人信息影响评估、跨境传输管控、AI 训练数据合法性举证要求正在扩大，要求公开披露泄露事故的证券市场规则也在完善之中。在技术层面，零信任、机密计算、同态加密、数据访问记录的不变记录（基于区块链的审计日志）等作为下一代应对手段受到关注。
归根结底，信息泄露应对的方向正从“事后应对”转向“缩短发现时间与最小化损害”。由于 100% 阻止事故在现实中十分困难，将早期发现、快速阻断、透明公开、恢复信任作为核心能力的组织才能长期生存下去，这一认识正在扩散。
相关主题
- [[个人信息保护法]]
- [[勒索软件]]
- [[零信任]]
- [[网络安全]]
- [[GDPR]]
- [[供应链攻击]]