Nationellt säkerhetsorgan avslöjar: Extern personal greps för att ha läckt forskningsdata till spioneri

Kinas nationella säkerhetsorgan har rapporterat om gripandet av en extern underhållsanställd som anklagas för att ha laddat ner kärnforskningsdata och lämnat över den till utländska underrättelsetjänster. Händelsen belyser de säkerhetsrisker som är förknippade med outsourcing av IT-tjänster, där allt fler organisationer förlitar sig på tredjepartsleverantörer för att hantera sina digitala och smarta funktioner.

Myndigheten varnar för att många organisationer outsourcar systemunderhåll, datainsamling och datasäkerhet utan tillräcklig övervakning. Denna praxis, där ansvaret överförs till leverantören utan omfattande säkerhetsmekanismer, skapar betydande risker för systemets datasäkerhet. Under de senaste åren har flera fall rapporterats där outsourcade datatjänster har lett till dataläckor och förluster.

Ett identifierat fall rörde en forskningsenhet som hade outsourcat driften av sin databas till ett externt företag. Företaget hade inte infört tillräckliga säkerhetsåtgärder, såsom bakgrundskontroller eller spårning av dataanvändning. Detta gjorde det möjligt för en extern anställd att ladda ner stora mängder känslig forskningsdata och överföra den utomlands. Även ansvariga personer inom forskningsenheten har ställts till svars.

Ett annat exempel avslöjade hur ett företag som tillhandahöll datatjänster inom hälso- och sjukvården i hemlighet samlade in över 280 000 patientuppgifter och lagrade dem i sin egen databas. Dessutom visade ett tredje fall hur externt underhåll av en webbplats utan adekvata säkerhetsåtgärder ledde till en cyberattack och spridning av olagligt innehåll.

Det nationella säkerhetsorganet betonar att säkerhetsriskerna med outsourcade datatjänster i hög grad är koncentrerade till personalens bakgrundskontroller, behörighetshantering och kontinuerlig övervakning. Landets lagstiftning, inklusive dataskyddslagen, kräver tydliga bestämmelser i kontrakt gällande databehandling och ansvar. Outsourcing befriar inte den ursprungliga enheten från sitt ansvar för datasäkerheten.