網(wǎng)絡(luò)安全立法是否需要大而全?

責(zé)任編輯:editor007

作者:蔡雄山

2015-08-24 16:59:24

摘自:人民郵電報

網(wǎng)絡(luò)安全法(草案)公開征求意見工作在不斷推進(jìn),從草案中公布的相關(guān)內(nèi)容以及國外的先進(jìn)經(jīng)驗來看,這份立法的涉及內(nèi)容、關(guān)鍵信息基礎(chǔ)的界定以及是否需要大篇幅涉及個人信息保護(hù)內(nèi)容等三個問題值得斟酌。

網(wǎng)絡(luò)安全法(草案)公開征求意見工作在不斷推進(jìn),從草案中公布的相關(guān)內(nèi)容以及國外的先進(jìn)經(jīng)驗來看,這份立法的涉及內(nèi)容、關(guān)鍵信息基礎(chǔ)的界定以及是否需要大篇幅涉及個人信息保護(hù)內(nèi)容等三個問題值得斟酌。

涉及內(nèi)容是否需要無所不包?

網(wǎng)絡(luò)安全的概念眾說紛紜,歸納看來可以分三個層面來定義:第一層面指網(wǎng)絡(luò)層面的安全,主要涉及網(wǎng)絡(luò)設(shè)施等;第二層面的安全包括網(wǎng)絡(luò)層面的安全及信息內(nèi)容的安全,如違法有害信息處理等;第三層面的網(wǎng)絡(luò)安全主要是網(wǎng)絡(luò)空間的安全,既包括第一及第二層面,又包括其他因網(wǎng)絡(luò)引起的安全,如反恐、網(wǎng)絡(luò)詐騙等網(wǎng)絡(luò)犯罪等。這三個層面的概念由小到大,依次遞進(jìn)。

從國際經(jīng)驗來看,美國沒有統(tǒng)一的綜合性網(wǎng)絡(luò)安全法。網(wǎng)絡(luò)安全主要由一系列的州和聯(lián)邦法規(guī),以及特殊行業(yè)立法實現(xiàn)。目前美國50多個州法直接或間接對網(wǎng)絡(luò)安全予以規(guī)定,并且在內(nèi)容上主要強(qiáng)調(diào)的是網(wǎng)絡(luò)層面的安全,包括關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全等。

需要指出的是,美國部分立法中也出現(xiàn)“信息安全”字樣,但其含義與我國立法中信息安全并不一致。我國的信息安全更強(qiáng)調(diào)內(nèi)容安全,而美國的信息安全指的是保護(hù)信息及信息系統(tǒng)免于非授權(quán)訪問、使用、泄露、干擾、修改或破壞以保障信息的完整性、秘密性及可用性。在《聯(lián)邦信息安全現(xiàn)代化法案》中,該概念與網(wǎng)絡(luò)安全并沒有實質(zhì)區(qū)別,只是表述不同。

另外,反恐及網(wǎng)絡(luò)犯罪等內(nèi)容各國通常在其他立法中進(jìn)行規(guī)定,而非網(wǎng)絡(luò)安全法。如近年英國通過的《反恐及安全法案》,要求互聯(lián)網(wǎng)服務(wù)提供商和移動運(yùn)營商保存用戶IP地址并應(yīng)向監(jiān)管機(jī)構(gòu)要求提交等。

從我國的網(wǎng)絡(luò)安全法草案中“重點對網(wǎng)絡(luò)自身的安全作出制度性安排,同時在信息內(nèi)容方面也作出相應(yīng)的規(guī)范性規(guī)定,從網(wǎng)絡(luò)設(shè)備設(shè)施安全、網(wǎng)絡(luò)運(yùn)行安全、網(wǎng)絡(luò)數(shù)據(jù)安全、網(wǎng)絡(luò)信息安全等方面建立和完善相關(guān)制度”的內(nèi)容可以看出,我國要立的是一部綜合性的、無所不包的網(wǎng)絡(luò)安全法,涵蓋網(wǎng)絡(luò)層面安全、信息安全,甚至整個網(wǎng)絡(luò)空間安全。

網(wǎng)絡(luò)安全的概念界定也是立法的核心問題。當(dāng)前草案指出,網(wǎng)絡(luò)安全是指通過采取必要措施,防范對網(wǎng)絡(luò)的攻擊、入侵、干擾、破壞和非法使用以及意外事故,使網(wǎng)絡(luò)處于穩(wěn)定可靠運(yùn)行的狀態(tài),以及保障網(wǎng)絡(luò)存儲、傳輸、處理信息的完整性、保密性、可用性的能力,但立法內(nèi)容遠(yuǎn)遠(yuǎn)大于此概念,尤其大篇幅闡述個人信息保護(hù),這點需要斟酌。

個人信息保護(hù)是否還需濃墨重彩?

個人信息保護(hù)是網(wǎng)絡(luò)時代的重要法律問題,但是否需要在網(wǎng)絡(luò)安全法中占據(jù)大量篇幅值得商榷。

當(dāng)前世界各國個人信息保護(hù)立法無非兩種模式,歐盟模式和美國模式,即統(tǒng)一立法與分散立法模式。歐盟各成員國有專門的《個人數(shù)據(jù)保護(hù)法》,美國并沒有統(tǒng)一的個人數(shù)據(jù)保護(hù)法,而是分散在各行業(yè)立法中,例如《健康保險可攜帶性和責(zé)任法案》、《金融服務(wù)現(xiàn)代化法案》、《公平準(zhǔn)確信用交易法案》、《兒童線上隱私保護(hù)法案》等??v觀歐美兩種模式,個人信息保護(hù)立法或通過專門的《個人信息保護(hù)法》解決,或通過各行業(yè)分散的立法解決,均沒有通過統(tǒng)一的網(wǎng)絡(luò)安全立法來解決個人信息保護(hù)問題。

在此問題上,我國已經(jīng)頒布了一些相應(yīng)的法律。2012年,我國頒布《全國人大關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》;2013年,工信部頒布《電信和互聯(lián)網(wǎng)個人信息保護(hù)規(guī)定》,《信息安全技術(shù)公共及商用服務(wù)信息系統(tǒng)個人信息保護(hù)指南》正式實施;目前,工信部正在制定《電信和互聯(lián)網(wǎng)服務(wù)用戶個人信息保護(hù)技術(shù)要求》等系列標(biāo)準(zhǔn)??傮w而言個人信息保護(hù)制度已經(jīng)初步形成,是否還要在網(wǎng)絡(luò)安全法中再繼續(xù)規(guī)范一遍也值得考慮。

事實上,個人信息保護(hù)制度與網(wǎng)絡(luò)安全制度在某種程度是沖突的。如個人信息保護(hù)制度要求在服務(wù)結(jié)束后盡快刪除個人信息,而網(wǎng)絡(luò)安全角度則需要個人信息保留越長越好。

關(guān)鍵基礎(chǔ)設(shè)施如何過渡到關(guān)鍵信息基礎(chǔ)設(shè)施?

這份草案提出,國家對提供公共通信、廣播電視傳輸?shù)确?wù)的基礎(chǔ)信息網(wǎng)絡(luò),能源、交通、水利、金融等重要行業(yè)和供電、供水、供氣、醫(yī)療衛(wèi)生、社會保障等公共服務(wù)領(lǐng)域的重要信息系統(tǒng),軍事網(wǎng)絡(luò),設(shè)區(qū)的市級以上國家機(jī)關(guān)等政務(wù)網(wǎng)絡(luò),用戶數(shù)量眾多的網(wǎng)絡(luò)服務(wù)提供者所有或者管理的網(wǎng)絡(luò)和系統(tǒng)(以下稱關(guān)鍵信息基礎(chǔ)設(shè)施),實行重點保護(hù)。這里誕生一個新概念,即“關(guān)鍵信息基礎(chǔ)設(shè)施”。

從美國立法情況來看,僅有關(guān)鍵基礎(chǔ)設(shè)施概念,并沒有關(guān)鍵信息基礎(chǔ)設(shè)施的概念。根據(jù)美國國土安全局官方解釋,關(guān)鍵基礎(chǔ)設(shè)施指任何資產(chǎn)或網(wǎng)絡(luò)系統(tǒng),無論是物理設(shè)備或虛擬的(系統(tǒng)),只要其失?;蛘邠p毀將對美國的安全、國家經(jīng)濟(jì)安全或國民公共健康健全造成嚴(yán)重?fù)p害,都將視為關(guān)鍵基礎(chǔ)設(shè)施。2014年2月,美國白宮發(fā)布《促進(jìn)關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全機(jī)制》。這份文件主要包括三個方面內(nèi)容:機(jī)制核心,機(jī)制藍(lán)圖,以及機(jī)制執(zhí)行分級。其中,機(jī)制核心列出了在關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域常見的網(wǎng)絡(luò)安全活動,相應(yīng)的標(biāo)準(zhǔn)和最佳范例等,目的在于促進(jìn)機(jī)構(gòu)內(nèi)部不同層級之間(包括高級行政層面和日常運(yùn)營層面)關(guān)于網(wǎng)絡(luò)安全信息的溝通。這份文件指出,關(guān)鍵基礎(chǔ)設(shè)施社群通過信息技術(shù)或者工業(yè)控制系統(tǒng)對基礎(chǔ)設(shè)施功能運(yùn)行提供支撐服務(wù),對于技術(shù)及通信的依靠,IT技術(shù)的互連接性及工業(yè)控制系統(tǒng)加劇了基礎(chǔ)設(shè)施的脆弱性并增加了潛在運(yùn)行風(fēng)險。例如,工業(yè)控制系統(tǒng)和信息技術(shù)中產(chǎn)生的數(shù)據(jù)正廣泛應(yīng)用于提供關(guān)鍵服務(wù),支持商業(yè)決策,網(wǎng)絡(luò)安全事故的潛在影響對于相關(guān)組織商業(yè)、資產(chǎn)、健康及個人安全、環(huán)境等影響都需要考慮。

由此可見,美國是定義了“關(guān)鍵基礎(chǔ)設(shè)施”,隨后指出關(guān)鍵基礎(chǔ)設(shè)施社群通過信息技術(shù)手段或者工業(yè)控制系統(tǒng)對基礎(chǔ)設(shè)施功能運(yùn)行提供支撐服務(wù)。因此強(qiáng)調(diào)了關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全問題。我國草案中并沒有明確定義“關(guān)鍵基礎(chǔ)設(shè)施”,如何過渡到“關(guān)鍵信息基礎(chǔ)設(shè)施”值得討論。

建議

建議網(wǎng)絡(luò)安全法內(nèi)容與附則中網(wǎng)絡(luò)安全定義保持一致。即網(wǎng)絡(luò)安全,是指通過采取必要措施,防范對網(wǎng)絡(luò)的攻擊、入侵、干擾、破壞和非法使用以及意外事故,使網(wǎng)絡(luò)處于穩(wěn)定可靠運(yùn)行的狀態(tài),以及保障網(wǎng)絡(luò)存儲、傳輸、處理信息的完整性、保密性、可用性的能力。據(jù)此定義,網(wǎng)絡(luò)安全主要指網(wǎng)絡(luò)運(yùn)行方面安全。而目前草案中大篇幅的個人信息保護(hù)內(nèi)容應(yīng)刪除,包括第三十七條,公民發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營者違反法律、行政法規(guī)的規(guī)定或者雙方的約定收集、使用其個人信息的,有權(quán)要求網(wǎng)絡(luò)運(yùn)營者刪除其個人信息;發(fā)現(xiàn)網(wǎng)絡(luò)運(yùn)營者收集、存儲的其個人信息有錯誤的,有權(quán)要求網(wǎng)絡(luò)運(yùn)營者予以更正。此類內(nèi)容并不屬于網(wǎng)絡(luò)安全范疇,而屬于個人信息保護(hù)法的范疇,可在個人信息保護(hù)立法中涉及。

建議細(xì)化數(shù)據(jù)存儲本地化要求。這份草案第三十一條規(guī)定,關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者應(yīng)當(dāng)在中華人民共和國境內(nèi)存儲在運(yùn)營中收集和產(chǎn)生的公民個人信息等重要數(shù)據(jù);因業(yè)務(wù)需要,確需在境外存儲或者向境外的組織或者個人提供的,應(yīng)當(dāng)按照國家網(wǎng)信部門會同國務(wù)院有關(guān)部門制定的辦法進(jìn)行安全評估。從國際經(jīng)驗來看,目前僅俄羅斯一項最新法律規(guī)定所有收集俄羅斯公民信息的互聯(lián)網(wǎng)公司都應(yīng)當(dāng)將這些數(shù)據(jù)存儲在俄羅斯國內(nèi),該立法將于2016年實施。但在實踐中,由于互聯(lián)網(wǎng)的互聯(lián)互通及全球性,這一規(guī)定很難實施,且會對產(chǎn)業(yè)帶來相應(yīng)損失。今年巴西曾在相關(guān)立法草案提出數(shù)據(jù)存儲本地化要求,但經(jīng)過激烈爭論,最終刪除了該規(guī)定。當(dāng)前草案關(guān)于網(wǎng)絡(luò)數(shù)據(jù)的概念極為廣泛,網(wǎng)絡(luò)數(shù)據(jù)是指通過網(wǎng)絡(luò)收集、存儲、傳輸、處理和產(chǎn)生的各種電子數(shù)據(jù),此種概念各國立法并沒有先例。目前即使俄羅斯的立法也僅規(guī)定個人數(shù)據(jù)的本地化,因此,建議立法對于數(shù)據(jù)限定明確范圍,細(xì)化數(shù)據(jù)存儲本地化要求。

建議將用戶數(shù)量眾多的網(wǎng)絡(luò)服務(wù)提供者所有或者管理的網(wǎng)絡(luò)和系統(tǒng)納入關(guān)鍵信息基礎(chǔ)設(shè)施的內(nèi)容再加斟酌。主要原因在于,關(guān)鍵信息基礎(chǔ)設(shè)施概念需明確,目前用語模糊,可能所有的網(wǎng)站都可被納入關(guān)鍵基礎(chǔ)設(shè)施并施加相應(yīng)義務(wù)。

此外,目前草案在預(yù)留眾多立法接口,相關(guān)概念的統(tǒng)一性及一致性等方面都需要進(jìn)一步推敲。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號