120万用户数据泄露后的报告与跨境
某电商平台注册用户约120万，主要为中国境内自然人。周三22:00，安全团队发现订单数据库被拖库，涉及姓名、手机号、收货地址和订单金额，不含支付卡号和密码；攻击者利用未修复的SQL注入，周四01:00完成阻断。溯源发现攻击者IP在境外，数据被上传到境外云盘，部分备份文件也被访问。泄露数据约80万条，其中手机号去重后约60万个；攻击者还留下勒索邮件，要求支付20万美元。公司注册地在中国境内，应用日志仅保留30天，网络日志保留90天。法务询问：是否需要向监管部门和用户报告，时限如何把握？公司正计划把备份迁到海外云，以降低约30%的存储成本，涉及用户订单和部分收货地址。客服建议“先不通知用户，避免恐慌”，市场部担心品牌影响；CEO要求安全团队当天给出结论。平台未认定关键信息基础设施，但当地网信部门曾要求其按重要数据开展风险评估。数据库账号使用root，应用与数据库之间未做最小权限；WAF仅记录不阻断，近半年已有两次类似注入告警未修复。公司没有数据分类分级清单，也没有个人信息保护负责人；距离双十一还有两周。用户协议中未写明第三方共享，但备份供应商在境外；平台与两家物流公司共享收货信息。安全团队建议先发布简版公告，但法务要求先确认法律义务。
1. 该事件是否属于应报告的网络数据安全事件？请说明中国法下的依据和时限把握。
Read the worked answer
很可能属于应报告事件。泄露字段包括姓名、手机号、地址和订单金额，能识别到特定自然人，属于个人信息；约80万条、去重手机号60万个，已达到需要认真履行通知义务的规模。依据：《网络安全法》第42条要求发生或可能发生个人信息泄露时立即补救，并按规定及时告知用户、报告主管部门；《数据安全法》第29条要求发生数据安全事件立即处置并按规定报告；《个人信息保护法》第57条要求立即补救，并通知履职部门和个人，除非采取措施能有效避免危害。中国法下不是一律“72小时”，72小时是GDPR的表述；应“立即”启动并按行业监管要求报告。若被认定为重要数据，按《网络数据安全管理条例》通常要在24小时内向设区的市级以上网信部门报告，最终以现行条文和行业要求为准。客服“先不通知”不可取，是否通知个人要看能否有效避免危害，并由法务留痕判断。
2. 应用日志30天、网络日志90天是否合规？应如何整改？
Read the worked answer
网络日志90天不合规。《网络安全法》第21条要求采取监测、记录网络运行状态和网络安全事件的技术措施，并按规定留存相关网络日志不少于六个月。应用日志30天虽不一定直接违反该条，但对入侵溯源、订单审计和监管检查明显不足，也不能支撑“立即处置”的要求。整改：网络设备、防火墙、WAF、VPN、DNS日志统一接入日志平台，热存至少180天，冷备更长；应用侧记录登录、权限变更、订单和敏感数据访问，保留不少于180天并防篡改；时钟统一NTP，日志含来源IP、账号、操作对象和结果；设置访问控制，避免日志本身泄露个人信息；每季度做一次日志可用性和溯源演练。
3. 把备份迁到海外云是否可行？请给出判断步骤，不要只回答“可以/不可以”。
Read the worked answer
不能直接迁。步骤：1）先做数据映射：备份里是否有个人信息、订单、地址，是否含重要数据；2）判断出境路径：非关基运营者向境外提供个人信息，需按《个人信息保护法》第38条走安全评估、标准合同或认证；累计出境个人信息超过100万人，自当年1月1日起算，通常触发安全评估，10万至100万人可走标准合同并备案；重要数据出境须经安全评估；3）做必要性最小化：能否脱敏、加密、只备元数据，或留在境内；4）评估云商所在地法律与访问风险，签数据处理协议，明确删除和审计；5）若无法满足，改用境内云或境内异地备份。成本降低30%不能作为唯一理由，合规评估和法务意见要先于迁移。