构筑网络安全保护壁垒

8月17日，《关键信息基础设施安全保护条例》（下称《安全保护条例》）发布，将于今年9月1日起同《数据安全法》和《网络产品安全漏洞管理规定》一起正式施行。“这是我国首部专门针对关键信息技术设施安全保护工作的行政法规，同时也是《网络安全法》的重要配套法规。”中昂律师事务所律师陈兴呈在接受《外贸知识">外贸知识》记者采访时表示。

中国信息通信研究院院长余晓晖表示，《安全保护条例》的公布标志着我国网络安全保护进入了以关键信息基础设施安全保护为重点的新阶段。《安全保护条例》积极应对国内外网络安全保护的主要问题和发展趋势，为下一步加强关键信息基础设施安全保护工作提供了重要法治保障。

奇虎360科技有限公司创始人、董事长周鸿祎认为，《安全保护条例》不仅为我国关键信息基础设施安全保护提供了先进的理念，可操作的解决方案，精细的工作指导，同时《安全保护条例》也以《网络安全法》为法律基础，对“关键信息基础设施的运行安全”进行落实、细化和完善，体现了国家顶层设计的通盘考虑。

《安全保护条例》明确了关键信息基础设施保护的责任体系。陈兴呈介绍说，根据条例规定，在国家网信部门统筹协调下，国务院公安部门负责指导监督关键信息基础设施安全保护工作。国务院电信主管部门和其他有关部门依照条例和有关法律、行政法规的规定，在各自职责范围内负责关键信息基础设施安全保护和监督管理工作。省级人民政府有关部门依据各自职责对关键信息基础设施实施安全保护和监督管理。关键信息基础设施安全保护坚持综合协调、分工负责、依法保护，强化和落实关键信息基础设施运营者主体责任，充分发挥政府及社会各方面的作用，共同保护关键信息基础设施安全。

同时，《安全保护条例》细化了关键信息基础设施运营者的责任义务。“条例强调运营者依照条例和网络安全法等有关法律、行政法规的规定以及国家标准的强制性要求，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。”陈兴呈表示，运营者应当落实关键信息基础设施建设“三同步”要求：建立健全网络安全保护制度和责任制，保障人力、财力、物力投入；设置专门安全管理机构，并对专门安全管理机构负责人和关键岗位人员进行安全背景审查；定期开展安全检测和风险评估，履行安全事件和威胁报告义务；落实网络安全审查要求；强化监测预警和信息共享等。

此外，针对关键信息基础设施面临的网络安全形势日趋严峻、事故隐患易发多发，《安全保护条例》加强了保障和促进措施。陈兴呈表示，条例规定，国家网信部门统筹协调有关部门建立网络安全信息共享机制，及时汇总、研判、共享、发布网络安全威胁、漏洞、事件等信息，促进有关部门、保护工作部门、运营者以及网络安全服务机构等之间的网络安全信息共享；统筹协调国务院公安部门、保护工作部门对关键信息基础设施进行网络安全检查检测，提出改进措施。保护工作部门应当制定本行业、本领域关键信息基础设施安全规划，建立健全监测预警制度和网络安全事件应急预案，定期组织应急演练和网络安全检查检测。

方达律师事务所合伙人尹云霞表示，很多企业因2017年公布的《关键信息基础设施安全保护条例（征求意见稿）》以“单位”为标准划定关键信息基础设施范围，进而认为一旦企业自身被认定为关键信息基础设施运营单位后，企业的所有系统均需要进行本地化设置。但《安全保护条例》以“设施”本身作为关键信息基础设施的认定标准，可能意味着即便企业的业务系统被认定为关键信息基础设施，也不代表企业的其他系统，如员工系统、财务系统等系统也自动地被相应认定为关键信息基础设施。

“同时，重要数据不仅与关键信息基础设施运营者相关，非关键信息基础设施网络运营者也可能在重要数据的出境问题上，需要继续关注相关安全评估措施及配套出境安全管理办法的落地。”尹云霞表示。