您好,请登录或注册会员中心
网站首页 > 企业动态 > 行业动态

6月1日《网络安全法》正式实施,这些条文务必重点关注,关系到企业的生死!

2017-06-01 17:28:46 南京联成科技发展股份有限公司 阅读

今天,2017年6月1日,不仅是“熊孩子”节,还是《网络安全法》正式实施的日子。

这预示着,我们得网络安全正在成长。

总体感觉:安全法不但对各种网络行为,明确了规范和法律责任,同时还是对我们如何建设网络安全提供了指引。从条文中,可以看到 iso27001 信息安全管理体系标准的影子。

安全法的各种规范和要求,其实已经长期存在于各行业的行业标准和主管部门对社会网络行为的指引中,没有太大的意外。

但是这次是以法律的形式颁发,且法律条文清晰标示出禁止准入、行政处分和判罚、刑事判罚等一系列的红线,不禁为大家抹了一脸冷汗,因为太多的点需要注意了,有些条理可能直接关系到企业的生死了。

网络安全法.jpg

一、 网络运行基本安全要求

涉及行业: 事业单位、国企、传媒、金融、电商、游戏、社交媒体......

《网络安全法》第二十一条规定:

国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求,履行下列安全保护义务,保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改:

1. 制定内部安全管理制度和操作规程,确定网络安全负责人,落实网络安全保护责任;

2. 采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施;

3. 采取监测、记录网络运行状态、网络安全事件的技术措施,并按照规定留存相关的网络日志不少于六个月;

4. 采取数据分类、重要数据备份和加密等措施;作规程,确定网络安全负责人,落实网络安全保护责任;

条款解读

本条款提到的网络安全等级保护制度是公安部运营多年的信息系统安全等级保护制度,网络安全法的出台也加强了对等保执行力度的要求,不做等保就属于违法行为了。

1. 安全管理:网络运营者需在企业内部明确网络安全的责任,并通过完善的规章制度、操作流程为网络安全提供制度保障;

2. 技术层面:网络运营者应采取各种事前预防、事中响应、事后跟进的技术手段,应对网络攻击,降低网络安全的风险。值得注意的是,网络日志的保存期限已明确要求不低于六个月;

3. 数据安全方面:网络运营者需对重要数据进行备份、加密,以此来保障数据的可用性、保密性。

如何根据自身实际情况建立有效的安全管理体系、如何在技术层面选择合理的技术解决方案、如何加强自身的数据保护能力,都将成为网络运营者所重点关注的问题。

处罚:

拒不执行本条款要求或因此导致危害网络安全后果的网络运营者,处一万以上十万以下罚款,对于直接负责的主管人员处以5000元以上5万元以下罚款。

二、应急预案与响应要求

涉及行业: 事业单位 国企 传媒 金融 电商 游戏 社交媒体

《网络安全法》第二十五条规定:

网络运营者应当制定网络安全事件应急预案,及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险;在发生危害网络安全的事件时,立即启动应急预案,采取相应的补救措施,并按照规定向有关主管部门报告。

解读:

本条款的提出也是完善安全技术体系非常重要的一环,而响应能力的建设是当前网络运营者普遍存在的弱点。

整体缺乏事件危害评估、应急预案、处置措施、上报流程等一系列的规范,或者说有规范但在出现网络安全事件的时候,发现应急预案根本没办法起到作用。

在公共云或者可运营的政务云上,有着完整的安全运营体系,当发生大规模网络安全事件时,安全运营团队会第一时间处理相关问题。或者使用云盾管家服务,针对网络运营者的业务制定应急预案和定期演练。

处罚:

拒不执行本条款要求或因此导致危害网络安全后果的网络运营者,处一万以上十万以下罚款,对于直接负责的主管人员处以5000元以上5万元以下罚款。

三、政务安全治理

涉及行业: 政府机构 事业单位 公共服务职能部门

《网络安全法》第三十四条规定:

除本法第二十一条的规定外,关键信息基础设施的运营者还应当履行下列安全保护义务:

1. 设置专门安全管理机构和安全管理负责人,并对该负责人和关键岗位的人员进行安全背景审查;

定期对从业人员进行网络安全教育、技术培训和技能考核;

对重要系统和数据库进行容灾备份;

制定网络安全事件应急预案,并定期进行演练;

法律、行政法规规定的其他义务。

解读:

关键基础设施的安全隐患具有很大的破坏性和杀伤力,《网络安全法》在关键信息基础设施的运行安全、建立网络安全监测预警与应急处置制度等方面都作出了明确规定。阿里云可为关键基础设施提供通过中央网信办审查的政务云服务。

处罚:

不履行本法相关条款的网络安全保护义务的,拒不改正或者导致危害网络安全等后果的,处十万元以上一百万元以下罚款,对直接负责的主管人员处一万元以上十万元以下罚款。

四、个人信息保护

涉及行业: 事业单位 通信 传媒 金融 医疗 电商 游戏 社交媒体

《网络安全法》第四十一、四十二、四十三条规定:

第四十一条:网络运营者收集、使用个人信息,应当遵循合法、正当、必要的原则,公开收集、使用规则,明示收集、使用信息的目的、方式和范围,并经被收集者同意。网络运营者不得收集与其提供的服务无关的个人信息,不得违反法律、行政法规的规定和双方的约定收集、使用个人信息,并应当依照法律、行政法规的规定和与用户的约定,处理其保存的个人信息。

第四十二条:网络运营者不得泄露、篡改、毁损其收集的个人信息;未经被收集者同意,不得向他人提供个人信息。但是,经过处理无法识别特定个人且不能复原的除外。网络运营者应当采取技术措施和其他必要措施,确保其收集的个人信息安全,防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时,应当立即采取补救措施,按照规定及时告知用户并向有关主管部门报告。

第四十三条:个人发现网络运营者违反法律、行政法规的规定或者双方的约定收集、使用其个人信息的,有权要求网络运营者删除其个人信息;发现网络运营者收集、存储的其个人信息有错误的,有权要求网络运营者予以更正。网络运营者应当采取措施予以删除或者更正。

解读

从这三条条款中可以看出,《网络安全法》聚焦个人信息泄露,明确网络产品服务提供者、运营者的责任。严厉打击出售贩卖个人信息的行为,对保护公众个人信息安全将起到积极作用。

除严防个人信息泄露,《网络安全法》针对层出不穷的新型网络诈骗犯罪还规定:任何个人和组织不得设立用于实施诈骗,传授犯罪方法,制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组,不得利用网络发布与实施诈骗,制作或者销售违禁物品、管制物品以及其他违法犯罪活动的信息。

处罚‍

违反本法第二十二条第三款、第四十一条至第四十三条规定,侵害个人信息依法得到保护的权利的,由有关主管部门责令改正,可以根据情节单处或者并处警告、没收违法所得、处违法所得一倍以上十倍以下罚款,没有违法所得的,处一百万元以下罚款,对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款;情节严重的,并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。

五、等保测评

涉及行业:政府j机构 事业单位 传媒 金融 公共服务职能部门

《网络安全法》第三十八条规定:

关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估,并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门

解读

明确了关键基础设施单位,需要每年对其网络的安全性和可能存在的风险至少进行一次检测评估,等级保护测评至少从技术上可以满足这个要求,等级保护测评就是对单位重要信息系统做的一个安全检测评估。

处罚

不履行本条款的网络安全保护义务,由有关主管部门责令改正,给予警告;拒不改正或者导致危害网络安全等后果的,处十万元以上一百万元以下罚款,对直接负责的主管人员处一万元以上十万元以下罚款。

六、“双活”架构

第三十三条规定了关键信息网络需要考虑业务持续问题,防止单点故障的解决方案必须采用。

解读

两地三中心到分布式多活的异地多活技术将受到更广泛行业的需求。同时这也是对设备厂商的稳定性、使用年限、成熟度都提出更高的要求。

应对策略

成熟的容灾建设两地三中心解决方案:适用于业务的高可用性要求,要求业务在主站不可用时,有备用站点可以启用

七、淘汰国外产品

第三十五条规定关键信息基础设施的运营者采购网络产品和服务,可能影响国家安全的,应当通过国家网信部门会同国务院有关部门组织的国家安全审查。这条笔者理解,在最终采购决策上,法律会做出解释,但设备国产化或者会有优先权。

解读

建议客户在关键信息基础设施领域,尤其是可能影响到国家安全的问题上,尽早淘汰国外产品,既然写入了法律规定就不是建议或指引了。在第六十五条对违反的单位和负责人将处以重罚,并可责令停止使用。

应对策略

如果您现在正在使用WAS云、微软云和一些国外的小型厂商的CDN、安全等产品,需要尽快迁回国内的公有云上。


>