文章总结： 山东烟台某机构门户网站遭篡改案例揭示供应链安全问题：使用单位将系统委托第三方后一托了之，服务商交付即走，双方均未履行网络安全法定义务。依据网络安全法，网安部门对涉事机构和开发公司均责令限期改正。文章强调系统可外包但责任不能外卸，使用单位须履行主体责任，将安全要求写入合同纳入验收，开发运维单位须保障产品服务安全性，双方共担责任才能筑牢供应链安全防线。
综合评分： 88
文章分类： 供应链安全,政策法规,漏洞分析,安全建设,应急响应
护网—2025| 使用单位“一托了之”！服务商“交付即走”！网站被篡改，责任在谁？一起案件敲响供应链安全警钟！
公安部网安局
祺印说信安
2025年11月21日 00:01
河南
近日，山东烟台公安网安部门在工作中发现，某机构门户网站遭网络攻击，网站被篡改并植入违法内容，严重扰乱网络空间秩序，造成不良社会影响。
PART 01
案情回顾
公安网安部门接报后立即开展调查，发现：
该机构将门户网站委托给某第三方开发运维公司建设与维护。
该公司在系统开发调试阶段未落实基本网络安全防护措施，未修复已知漏洞，亦未履行风险告知义务，将存在安全隐患的系统交付上线。
与此同时，该机构作为网络运营者，未依法履行网络安全主体责任。既未建立网络安全管理制度，也未按网络安全等级保护制度要求部署必要防护措施，对托管系统的安全状况失察失管，导致平台被入侵、篡改。
小贴士
此案暴露出，当前信息系统供应链安全管理缺位的典型缩影：使用单位“一托了之”，服务商“交付即走”，双方均忽视法定安全义务，形成责任真空，最终酿成安全事件。
PART 02
依法处理
依据《中华人民共和国网络安全法》相关规定，网安部门依法作出处理：
01
涉事机构
涉事机构未履行网络安全保护义务、未建立网络安全管理制度等行为，依据第二十一条、第五十九条第一款，责令限期改正。
02
涉事开发运维公司
涉事开发运维公司未采取安全措施、未按规定告知和报告系统风险等行为，依据第二十二条第一款、第六十条，责令限期改正。
PART 03
法律依据
01
《中华人民共和国网络安全法》第二十一条规定
网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。
02
《中华人民共和国网络安全法》第二十二条之第一款规定
网络产品、服务应当符合国家标准的强制要求，网络产品、服务的提供者不得设置恶意程序，发现其网络产品、服务存在安全缺陷、漏洞风险时，应当立即采取补救措施，并按照规定及时告知用户并向有关主管部门报告。
系统可以外包，责任不能外卸。
使用单位须切实履行主体责任，将安全要求写入合同、纳入验收；
开发运维单位须依法保障所提供产品和服务的安全性，做到“交付即安全、运维即负责”。
双方共担责任，才能筑牢供应链安全防线！
素材| 山东烟台福山网警
什么是真正的信息安全服务？“专业公司”“专业人士”误导“安服”概念有多严重？
——等级保护
——数据安全
——工业控制系统
——错与罚**
关于“四川一科技公司因数据泄露被顶格罚款30万元”的几处疑点
——其他
浅谈网络“四法四条例四办法一意见”与山东数字政府建设改革方案
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：祺印说信安 公安部网安局《护网—2025| 使用单位“一托了之”！服务商“交付即走”！网站被篡改，责任在谁？一起案件敲响供应链安全警钟！》