中国网络安全保护进入新阶段

刘艳　谢雨鲲

国务院总理李克强日前签署国务院令，公布《关键信息基础设施安全保护条例》（以下简称《条例》），自2021年9月1日起施行。

中国信息通信研究院院长余晓晖说：“我国网络安全保护自此进入以关键信息基础设施安全保护为重点的新阶段。作为网络安全法的重要配套立法，《条例》积极应对国内外网络安全保护的主要问题和发展趋势，为下一步加强关键信息基础设施安全保护工作提供了重要法治保障。”

这是我国首部专门针对关键信息技术设施安全保护工作的行政法规。

志翔科技高级副总裁伍海桑博士对笔者说：“关键信息基础设施是网络安全保障的核心，针对这一关乎国家安全和利益的战略性资源，《条例》从范围定义、责任义务归属、实施落地甚至追责等方面，进行了细致具体的规定，进一步明确了‘要做什么和‘如何去做，将有力指导各环节的分工定责和贯彻执行。”

全国信息安全标准化委员会委员、北京威努特技术有限公司首席技术官黄敏介绍，《条例》进一步明确了关键信息基础设施的具体范围和判断标准，即一旦遭到破坏、丧失功能或者数据泄露，可能严重危害涉及国家安全、国计民生、公共利益的重要网络设施和信息系统。公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域等都包含在內。

奇安信集团安全专家杨波表示，从《条例》看，关键信息基础设施的认定，行业主管部门有重要决定权，是否属于关键信息基础设施，核心要看业务是否重要。关键信息基础设施的范围会随着业务的影响而改变，随着信息化潮流的发展，肯定会逐年扩展。

《条例》通过明确各级责任，拉起了一个国家统筹和监督部门、行业保护部门、运营者多级的立体化协同综合防控体系。

杨波说：“无论从网络安全理论还是实践看，攻击都是无法完全避免的，因此只能通过安全保护能力的提升来尽可能延长攻击成功的时间，同时通过协同机制尽可能加快风险检测和风险处置的时间。构建立体化的综合防控体系，旨在通过共享情报、掌握全局态势、贯通多级指挥调度，快速处置有组织、大规模的网络攻击事件。”

对实施危害关键信息基础设施安全活动的个人和组织，或未经授权或批准，对关键信息基础设施实施漏洞探测、渗透性测试等活动的个人和组织，《条例》作了哪些规范？

司法部、网信办、工业和信息化部、公安部负责人就《条例》指出：任何个人和组织不得实施非法侵入、干扰、破坏关键信息基础设施的活动，不得危害关键信息基础设施安全;未经国家网信部门、国务院公安部门批准或者保护工作部门、运营者授权，任何个人和组织不得对关键信息基础设施实施漏洞探测、渗透性测试等可能影响或者危害关键信息基础设施安全的活动;对基础电信网络实施漏洞探测、渗透性测试等活动，应当事先向国务院电信主管部门报告。