Ⅰ 专家解读2019年《网络安全法》草案
一、重大历史进步
网络安全不是今天才重要,网络安全立法也不是今天才迫切。十二年前的中央文件曾罕见地以书名号明确了立法任务,可见决心之巨。只是网络安全立法之路实在艰辛,时国务院信息办审时度势,由信息安全条例角度入手,并连续数年推动其列入国务院法制办二类立法计划,之后未能再进一步。2008年后,国务院信息办职能整体划转至工业和信息化部,有关方面意识到制定条例未必就比人大立法容易,且国务院行政法规无力调整现行上位法的法律规定,遂决定返回制定信息安全法。然而国民经济和社会发展颇多领域亟待立法,国家立法资源有限,每个部门允许提出的立法建议屈指可数。工业和信息化部既要考虑信息化立法,还要考虑工业立法,一半指标已不得用,而信息化方向还有一部历史更为悠久的电信法望眼欲穿,信息安全法终究连个队都没排上。期间,人大建议、政协提案不计其数,社会公众翘首以盼,均无果。
此次草案公开征求意见,表明这项工作进入了实质性立法程序,这是一个重大历史进步。欢欣鼓舞之所在,不是因为草案具体内容,而源于征求意见本身的象征意义。时至今日,我们对网络安全立法不是搞清楚、看明白了,而是问题更多、更复杂了,很多观点分歧可能更大了,网络安全立法难度不降反升,但突破恰恰在此时。中央网络安全和信息化领导小组成立后,中央领导同志英明决策,切实将网络安全提升到了国家安全和发展的高度,不但作出“网络强国”的全局战略部署,更扎实推进各项工作取得积极进展。网络安全宣传周、网络空间安全一级学科等,无一不历经多年论证而蹉跎,今朝方开花结果。
诚然,网络安全立法工作十分艰巨,草案肯定有这样那样的问题,但今天的一小步,是国家网络安全工作的一大步。我们应该宽容它、呵护它,使其不断成熟、更加科学,成长为护佑国家网络安全和信息化发展的参天大树。
二、彰显国家意志,确立基本原则
草案在“总则”和“网络安全战略、规划与促进”部分提出的宣示性条款远较其他法律为多,还设立一条倡导性条款(即“倡导诚实守信、健康文明的网络行为”)。作为我国网络安全的基本法,这些“软性”法律规定确有必要,其意在于宣示国家网络安全工作的基本原则,明确建设网络安全保障体系的主要举措,从而为整体推进保障体系建设提供法律依据。
一是坚持网络安全和信息化发展并重原则。网络安全和信息化是一体之两翼,驱动之双轮,要坚持以安全保发展、以发展促安全,不能简单地通过不上网、不共享、不互联互通来保安全,或者片面强调建专网。要努力实现技术创新和体制机制创新,不断增强维护网络安全的新思路、新方法、新举措、新本领,而不是因噎废食、自甘落后。
二是提出了网络空间主权。网络空间主权是国家主权在网络空间的体现和延伸,网络空间主权原则是我国维护国家安全和利益、参与网络空间国际合作所坚持的重要原则。草案虽未作解释,且一笔带过,然犹有石破天惊之意。
三是开展国际合作。网络安全是全球面临的共同问题,中国对广泛开展国际合作持积极态度,合作重点包括但不限于网络治理、技术与标准、打击违法犯罪等,目标是推动构建和平、安全、开放、合作的网络空间。
四是建立统筹协调、分工负责的网络安全管理体制。多年 实践 和各国经验表明,网络安全工作离不开统筹协调。随着中央网络安全和信息化领导小组的成立,有必要通过立法增强领导小组及其办公室的权威性。草案规定,国家网信部门负责统筹协调网络安全工作和相关监督管理工作。具体包括,对监测预警和信息通报、网络安全应急、关键信息基础设施安全防护等跨部门工作,由网信部门统筹协调;对网络安全审查、重要数据跨境流动安全评估等新出现的综合性管理工作,由网信部门会同国务院有关部门制定办法或组织实施。由此,政府向解决分散、多头和重复管理迈出了关键一步。
五是加强行业自律。要充分发挥行业组织作用,指导行业组织成员加强网络安全防护,促进行业健康发展。
六是强化网络安全顶层设计。顶层设计至关重要,首先是要制定网络安全国家战略,对外宣示主张,对内指导工作;其次要由行业主管部门、其他有关部门制定重点行业、重点领域网络安全规划,确保战略落地,确保这些行业和领域的网络安全工作有目标、有任务、有举措、有监督。
七是建立和完善网络安全标准体系,充分发挥标准在网络安全建设中的指导性、规范性作用。
八是加大财政投入,以加快产业发展,深化技术研发,提升网络安全创新能力。
九是做好宣传教育和 人才 培养工作。首先,要开展经常性的网络安全宣传教育;其次,要通过学历教育和在职培训,采取多种方式培养网络安全人才。
三、关键信息基础设施保护工作进入正轨
关键信息基础设施保护(CIIP)是各国的通行举措。虽然关键基础设施保护(CIP)涉及物理设施安全,与前者不完全一致,但两者在多数情况下已可以混用。CIIP/CIP一直是各国网络安全战略的重点,有的国家甚至以CIIP/CIP战略代指国家网络安全战略。我们国家在2003年时已经要求“重点保障基础信息网络和重要信息系统安全”,并且在实践中明确了基础信息网络是广电网、电信网、互联网,重要信息系统是银行、证券、保险、民航、铁路、电力、海关、税务等行业的系统,即俗称的“2+8”,相关保护工作也常抓不懈。但整体而言,我们与国外差距很大,已是国家安全的软肋,草案为此设立了“关键信息基础设施的运行安全”一节。
一是扩展了保护范围。纵观世界各国,凡是已经开展了网络安全建设的国家,其关键基础设施的范围几乎都远超过我们,例如美国有17类,而我们则有很多重要系统尚未纳入保护视野。草案首次明确了关键信息基础设施范围,包括基础信息网络、重点行业信息系统、公共服务领域重要信息系统、军事网络、地市级以上国家机关政务网络、用户数量众多的网络服务商系统。最后一类系统中很多由私企运营,运营者可能对其列为国家关键信息基础设施不适应,但当网络服务商的用户达到一定规模时,其安全已经不再是企业自身问题,而成为一个公共问题、社会问题甚至国家安全问题,理应承担更多责任。一些国外机构可能会拿这个做文章,但事实上美国的关键基础设施有87%受私营企业控制。
二是明确了保护要求。等级保护是1994年《计算机信息系统安全保护条例》提出的制度,其对全国各类信息系统提出了分五个等级的通用安全要求。恰恰因为通用,这个要求只能是基线(即基本要求),其有必要但并不足够,特别是不足以反映应用模式日趋复杂的异构系统的动态防护需求。此外,保护关键信息基础设施涉及很多工作,不仅仅是提出系统自身的保护要求、加强系统安全建设那么简单,还包括一系列的管理工作和公共平台建设,不能由一项制度取代其他制度,理应对此建立专门制度。草案提出,关键信息基础设施安全保护办法由国务院制定。对于某些重点要求,如网络安全审查、风险评估等,草案则在具体条款中进行了明确。
三是划定了保护责任。草案规定了关键信息基础设施运营者的安全保护义务,解决了其保护责任模糊不明的问题。他们有必要从国家安全角度承担防护责任,但这个责任毕竟是有界限的。大家希望知道做到什么程度就无责了,也关心自身的权利如何保障。对很多重点行业的信息技术或网络安全部门来说,这不仅仅是免责的需要,也是推动工作的需要,因为这些内设机构如果没有强制性依据,很难得到业务部门的配合。此外,以前我国重点行业的网络安全监管责任也很不明确。似乎谁都可以进入机房检查,但谁都不用负责,重点行业往往无所适从、疲于应付。为此,草案明确了行业主管部门的监督指导职责,这是一个重要进步。考虑到关键信息基础设施保护的确涉及多个部门,草案授权国家网信部门统筹协调有关部门,建立协作机制。特别是在网络安全检查工作中,要杜绝某个部门前脚走,另一部门后脚来的现象。
四、兼具综合法与专门法的特点
网络安全包含的内容太多,当前需要立法规范的事项也很多,于是就有了综合法与专门法的争议。一个基本事实是,目前世界上鲜见网络安全的综合法,有名的美国《计算机安全法》实际上针对的是美国联邦政府信息系统安全保护,近几年美国国会讨论的《网络安全法》或《网络安全增强法》则主要解决关键基础设施的安全保护问题。
作为第一部网络安全法(《电子签名法》不应该计算在内),草案首先要体现综合性,其侧重点应该在以下四个方面:
一是要明确部门、企业、社会组织和个人的权利、义务和责任。
二是规定国家网络安全工作的基本原则和理念。
三是将成熟的政策规定和措施上升为法律,为政府部门的工作提供法律依据,体现依法治国要求。这首先是政府部门的工作需要(如对境外违法信息予以阻断、实施网络通信管制等);其次,这些规定和措施往往经过了实践检验,部门间争议较小,有利于提高立法效率。
四是建立国家网络安全的一系列基本制度、形成制度框架,这些基本制度带有全局性、基础性,是推动基础性工作、夯实基础能力所必需。
此外,为了突出实用性,草案还应部分体现专门法的特点。这应从三个方面去考虑:
一是实施重点防护,对关键信息基础设施、网络信息内容等重点安全关注予以优先考虑。
二是防范重大威胁。例如,信息系统安全受控于人是我们面临的心腹大患,斯诺登事件使我们进一步看清风险所在,这就要对供应链安全进行规范。
三是对普遍性、长期存在的社会诉求予以响应。
总体看,草案比较好地处理了综合法与专门法的关系问题,但个别条款还是过于纠结细枝末节(如网络运营者的分项安全保护义务不必展开),或细致到了足可取代部分专门法的地步(如个人信息保护应制定专门法,原有条款似可删减后将重心转向规范信息内容安全)。除了个人信息外,草案没有突出对公民个人权益的更多保护,如对危害网络安全行为的举报并不是为了解决公民作为受害者“报案无门”的困窘,这不能不说是小的遗憾。
五、“网络安全”的定义还可以更为妥帖
“网络”和“网络安全”是“网络安全法”的题眼。但草案给出的这两个定义却使整篇草案黯然失色,效果有云泥之别。近年的工作中,我们用过“信息安全”,也用过“网络安全”,学者们各抒己见,一些部门也喜欢朝向有利于自身职能的角度去解释,这些自不待言。但中央网络安全和信息化领导小组成立后,已经基本将其统一为“网络安全”。当然,国安委还是使用“信息安全”,《国家安全法》使用的是“网络与信息安全”,但这些已不会造成工作上的障碍。
只是这个“网络安全”实是“CyberSecurity”之译,非“NetworkSecurity”。这里面的“网络”其实指的是“网络空间”(Cyberspace)。因此,当草案试图从“网络空间”的内涵上去解释“网络”时,便挑战了大众的科技常识底线,且出现了“网络是指网络和系统”的尴尬。当然,如果就这么用下去,倒也自成一脉,但草案转眼就去使用狭义的“网络”了,如“建设、运营、维护和使用网络”、“网络基础设施”、“网络数据”、“网络接入”等,这里都是指的“network”。由此,草案中频繁出现自己与自己打架的情况。
而草案中的“网络安全”定义也需修改。现有定义不但丢掉了信息内容安全,更是与“网络空间主权”没有关联。
解决这个问题的途径是,网络就是网络,不要让网络去包括信息系统。即,自始至终使用传统意义上的“Network”概念。对于“网络安全”,则按“网络空间安全”去解释即可。
另外,草案的起草坚持问题导向,对一些确有必要,但尚缺乏实践经验的制度安排做出原则性规定。这一处理十分务实、有益,但对于什么是“原则性规定”则要仔细琢磨。
Ⅱ 网络安全法的立法重点
网络安全法》的颁布,其立法本意是要在我国领域内推广“安全可控”的产品和服务。“安全可控”包含着三方面的意思,首先,在于“产品的安全可控”,即禁止网络服务提供者通过网络非法控制和操纵用户设备,损害用户对设备和系统的控制权;其次,在于“数据的自主可控”,即禁止网络服务提供者利用提供产品或服务的便利条件非法获取用户重要数据,损害用户对自己数据的控制权;第三,在于“用户的选择可控”,即禁止服务提供者利用用户对其产品和服务的依赖性,限制用户选择使用其他产品和服务,损害用户的网络安全和利益。
要点一
网络空间主权原则制度。《网络安全法》前所未有的提出了网络空间主权概念,丰富了我国享有的主权范围,其将网络空间主权视为是我国国家主权在网络空间中的自然延伸和表现。将网络空间的概念上升为国家主权,更有利于保障我国合法网络权益不受他国或国外组织的侵害。一切在我国网络空间领域内非法入侵、窃取、破坏计算机及其他服务设备或提供相关技术的行为,都将被视作是侵害我国国家主权的行为。
要点二
网络安全等级保护制度。《网络安全法》确立的网络安全等级保护制度将网络安全分为五个等级,随着级别的增高,国家信息安全监管部门介入的强度越大,以此对信息系统安全保护起到监督和检查。
要点三
实名认证制度。《网络安全法》规定了网络服务经营者、提供者及其他主体在与用户签订协议或者确认提供服务时应当采取实名认证制度,包括但不限于网络接入、域名注册、入网手续办理、为用户提供信息发布、即时通讯等服务。实务中,这一制度灵活性及可操作性较强,可采取前台匿名,后台实名的方式进行。但是,实名认证的工作必须落实到位,若不实行网络实名制的,则最高可对平台处以50万元的罚款。
要点四
关键信息基础设施运营者采购网络产品、服务的安全审查制度。《网络安全法》对提高我国关键信息基础设施安全可控水平提出了相关法律要求,并配套相继出台了《网络产品和服务安全审查办法(试行)》(该《办法》与《网络安全法》均于2017年6月1日起生效),明确了关系国家安全的网络和信息系统采购的重要网络产品和服务,对网络产品和服务的安全性、可控性应当经过网络安全审查。涉及国家安全、军事领域等产品及服务的采购,若可能影响国家安全的,应当经过国家安全审查。
要点五
安全认证检测制度。针对网络关键设备和网络安全专用产品,《网络安全法》规定应当按照相关国家标准的强制性要求,由具备资格的机构安全认证合格或者安全检测符合要求后,方可销售或者提供。
要点六
重要数据强制本地存储制度。该制度主要调整的是关键信息基础设施运营者在搜集个人信息重要数据的合法性问题,规定了需要强制在本地进行数据存储。
要点七
境外数据传输审查评估制度。本地存储的数据若确属需要数据转移出境的,需要同时满足以下条件:1、经过安全评估认为不会危害国家安全和社会公共利益的;2、经个人信息主体同意的。另外,该制度还规定了一些法律拟制的情况,比如拨打国际电话、发送国际电子邮件、通过互联网跨境购物以及其他个人主动行为,均可视为已经取得了个人信息主体同意。
要点八
个人信息保护制度。《网络安全法》在如何更好的对个人信息进行保护这一问题上有了相当大的突破。它确立了网络运营者在收集、使用个人信息过程中的合法、正当、必要原则。形式上,进一步要求通过公开收集、使用规则,明示收集、使用信息的目的、方式和范围,经被收集者同意后方可收集和使用数据。另一方面,《网络安全法》加大了对网络诈骗等不法行为的打击力度,特别对网络诈骗严厉打击的相关内容,切中了个人信息泄露乱象的要害,充分体现了保护公民合法权利的立法原则。
要点九
个人信息流通制度。针对目前个人信息非法买卖、非法分享的社会乱象,《网络安全法》给出了一记重拳。规定了未经被收集者同意,网络运营者不得泄露、篡改、毁损其收集的个人信息的义务。但是,经过处理无法识别特定个人且不能复原的不在此列。这样的规定即杜绝了个人信息数据被非法滥用,又不影响网络经营者及管理者由于自身企业发展需要所面临的大数据分析问题。
要点十
网络通信管制制度。网络通信管制制度的确立目的是在发生重大事件的情况下,通过赋予政府行政介入的权力,牺牲部分通信自由权,来维护国家安全和社会公共秩序的制度。该做法是国际通行做法,例如在发生暴恐事件中,可切断不法分子的通联渠道,避免事态进一步恶化,保障用户的合法权益,维护社会稳定。但是这种管制影响是比较大的,因此《网络安全法》严谨地规定实施临时网络管制,需要经过国务院决定或者批准。一般来说,网络通信管制制度的实施是短时性的,一旦事件处置结束,政府会立即恢复正常通信,以尽可能小的对个人通信带来不便。
Ⅲ 国家安全教育日是每年几月几日
国家安全教育日是每年的4月15日。2015年7月1日,第十二届全国人民代表大会常务委员会第十五次会议通过的《中华人民共和国国家安全法》第十四条规定:“每年4月15日为全民国家安全教育日。
2015年7月1日,全国人大常委会通过的《国家安全法》规定,国家安全是指国家政权、主权、统一和领土完整、人民福祉、经济社会可持续发展和国家其他重大利益相对处于没有危险和不受内外威胁的状态,以及保障持续安全状态的能力。
(3)网络空间主权是我国首次提出什么的概念扩展阅读:
国家安全是安邦定国的重要基石,维护国家安全是全国各族人民根本利益所在。要完善国家安全战略和国家安全政策,坚决维护国家政治安全,统筹推进各项安全工作。健全国家安全体系,加强国家安全法治保障,提高防范和抵御安全风险能力。
Ⅳ 我国首部网络安全的法律
法律分析:十二届全国人大常委会第二十四次会议7日上午经表决,通过了《中华人民共和国网络安全法》,该法自2017年6月1日起施行。
这是中国第一部有关网络安全方面的法律,首次明确了网络空间主权的原则、网络产品和服务提供者及运营者的安全义务,进一步完善个人信息保护规则,建立了关键信息基础设施安全保护制度,增加惩治破坏我国关键信息基础设施的境外组织和个人,确立了关键信息基础设施重要数据跨境传输的规则等。
法律依据:《中华人民共和国网络安全法》
第一条 为了保障网络安全,维护网络空间主权和国家安全、社会公共利益,保护公民、法人和其他组织的合法权益,促进经济社会信息化健康发展,制定本法。
第二条 在中华人民共和国境内建设、运营、维护和使用网络,以及网络安全的监督管理,适用本法。
第三条 国家坚持网络安全与信息化发展并重,遵循积极利用、科学发展、依法管理、确保安全的方针,推进网络基础设施建设和互联互通,鼓励网络技术创新和应用,支持培养网络安全人才,建立健全网络安全保障体系,提高网络安全保护能力。
Ⅳ 网络安全法确立了三大基本原则
网络安全法的基本原则包括网络空间主权原则、网络安全与信息化发展并重原则、共同治理原则等。网络安全法基本原则包括国家主权原则、信息化和监管并重原则及合作治理原则等。强调主权,就是在我国境内的内外资网络运营商,都要遵守网络安全法,没有特权和法外之地。而共同治理则强调的国际合作,共同维护网络安全。
法律依据:《网络安全法》
第1条规定:要维护我国网络空间主权。网络空间主权是一国国家主权在网络空间中的自然延伸和表现。
第2条规定:本法适用于我国境内网络以及网络安全的监督管理。这是我国网络空间主权对内最高管辖权的具体体现。
第3条规定:国家坚持网络安全与信息化并重,遵循积极利用、科学发展、依法管理、确保安全的方针;既要推进网络基础设施建设,鼓励网络技术创新和应用,又要建立健全网络安全保障体系,提高网络安全保护能力。
《网络安全法》坚持共同治理原则,要求采取措施鼓励全社会共同参与,政府部门、网络建设者、网络运营者、网络服务提供者、网络行业相关组织、高等院校、职业学校、社会公众等都应根据各自的角色参与网络安全治理工作中来。
Ⅵ 什么是“网络主权”解读来了!
关注