【大紀元2012年10月18日訊】（大紀元記者韓香茗、張莉莉新西蘭奧克蘭綜合報導）10月15日，新西蘭社會發展部承認，工作和收入局（Winz）的計算機系統存在重大安全漏洞，而且已經存在了一年半之久，致使一些弱勢群體的私人資料洩漏。在向民眾致歉後，社會發展部當晚便採取行動，將所有自助網絡信息瀏覽機及服務器鎖住，並於次日委託專家著手調查，全國有700多家公共網站因此被暫時關閉。
Winz系統安全漏洞曝光過程
據電視一台報導，目前還不能確定到底有多少信息外洩，但可以肯定的是，至少兩名漏洞發現者瀏覽了系統中的私人信息。
第一個發現該漏洞的是IT分析師艾拉٠貝利（Ira Bailey），他是在一台Winz自助網絡信息瀏覽機上發現的。貝利接受採訪時說，他試圖在該機器上找自己的USB存儲器時，無意中發現這個漏洞。
另一位是網路博客基思•吳（Keith Ng）。他上週接到貝利關於信息漏洞的提示後，通過公共電腦訪問了Winz系統的兩個辦公室，點擊了該辦公室中的文件，並通過存儲器下載了大量私人信息。目前，他已將所獲得的7,000份文件移交給個人隱私專員，並且將這些資料從自己的電腦中刪除。
吳所瀏覽的資料有：
-青少年及家庭組織護理中心全址；
-問題兒童的全名，附部份就讀學校名稱；
-曾試圖自殺並獲得支持的人員名單；
-社會發展部法律案件的詳細資料，包括當事人的名稱及案件性質；
-收養和寄養父母的候選人的全名；
-社會發展部欠債人員名單及所欠金額；
-合同簽約人員清單，包括工作時間和薪酬。
社會發展部稱漏洞發現者幫了他們的忙
安全漏洞被曝光後，社會發展部中沒有人提出向警方起訴，因為該部人員一致認為這二人幫了他們的忙。
電視一台報導，貝利在透漏信息給吳之前，首先聯繫了社會發展部並提醒他們漏洞的存在，同時詢問他們是否和Google 或Facebook一樣會因他報告安全漏洞的存在而獲得獎金。
社會發展部部長本內特表示，儘管貝利曾詢問有關酬謝的問題，但那只是一個小的「枝節問題」。她認為貝利和吳幫了大忙， 她說：「我對他們沒有任何不好的感覺。坦率地講，這不是他們的錯。安全漏洞的存在，完全是社會發展部的責任。」
安全漏洞一年半之前已被發現，但未解決
社會發展部16日上午透露，Dimension數據公司去年4月份測試了Winz自助網絡信息瀏覽機就確定了漏洞的存在。本內特證實說，當時報告指出的問題與吳所發現的問題一樣。她表示，雖然該系統中存在重大安全漏洞在一年多前已被發現，但一直沒有解決，這「令人十分不安」。
該部首席執行官布倫丹•博伊爾（Brendan Boyle）也承認，18個月前已獲知的安全漏洞沒有被妥善解決。他說：「保護客戶信息，對維持公眾信譽非常重要。因此，我們一直委託KPMP會計師事務所及其他IT專家定期檢查我們網站的安全問題。通常測試報告都顯示運行系統強大安全。現在看來，即使這樣，系統仍然存在著基本的錯誤。我們對網絡信息的保障仍然不到位。」
社會發展部部長及首席執行官公開道歉
兩年來，Winz計算機網絡中的私人信息實際上處於開放狀態，對此，首席執行官博伊爾說：「這些信息都是應該保密的。這種事情的發生實在讓人無法接受。」 他表示，他無法推卸責任。Boyle說：「作為首席執行官，問題的責任在於我。出現如此尷尬又難以接受的問題，我們必須接受教訓。」
本內特說，現在考慮責任問題還為時過早，因為還沒有查出問題出現的原因，但她對安全漏洞造成個人信息的洩漏深表歉意。她說：「我對大家感到抱歉。社會發展部辜負了人們的信任，讓大家失望了。首席執行官向我表示歉意，我接受這份歉意，同時，將這份歉意轉達給所有的人。」
Deloittes公司被委託實施調查
博伊爾說，社會發展部必須立即解決安全問題，同時恢復公眾的信心。目前該部已經委託Deloittes公司調查出現的問題並就安全問題展開更廣范的審查。
15日晚間，社會發展部將所有Winz自助網絡信息瀏覽機及有安全漏洞的服務器鎖住，並禁止公司員工訪問。該部已經從1,500多台服務器中鎖定可能受到攻擊的服務器，即國民經濟核算中心服務器。
目前，社會發展部聘請了一位獨立的安全專家負責鎖定私人資料，並查找是否還有他人瀏覽了這些信息。他希望未來兩週內可以完成中期報告。
Deloittes的檢查工作包括兩個階段。第一階段是解決當前所有的Winz自助網絡信息瀏覽機的安全問題並預防再次發生的可能。第二階段將對社會發展部所有IT系統做全面的安全檢查，包括政策、管理和文化網絡系統等各個方面。
博伊爾表示，目前還無法確定Dimension 數據公司提出的安全建議是否妥當，因此希望通過Deloittes的檢查能夠得到確切的回答。社會發展部目前正在與KPMG會計師事務所的審計師一道，對所有網站和系統進行「滲透測試」，計劃在未來幾週內完成。
（責任編輯：易凡）
