讓網(wǎng)絡(luò)安全治理再上新臺(tái)階——兼談《網(wǎng)絡(luò)安全事件報(bào)告管理辦法（征求意見稿）》

作者|陳川 陳嘉煜

責(zé)編|薛應(yīng)軍

近期，國家互聯(lián)網(wǎng)信息辦公室發(fā)布《網(wǎng)絡(luò)安全事件報(bào)告管理辦法（征求意見稿）》（以下簡稱《征求意見稿》），向社會(huì)公開征求意見。《征求意見稿》進(jìn)一步貫徹落實(shí)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個(gè)人信息保護(hù)法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》等法律法規(guī)，規(guī)范網(wǎng)絡(luò)安全事件報(bào)告制度，減少網(wǎng)絡(luò)安全事件造成的損失、危害，以維護(hù)國家網(wǎng)絡(luò)安全。

網(wǎng)絡(luò)安全關(guān)涉國家與公民信息安全

安全是發(fā)展的前提和保障，網(wǎng)絡(luò)安全是國家安全的重要組成部分。加快推進(jìn)數(shù)字中國建設(shè)，必須切實(shí)維護(hù)網(wǎng)絡(luò)安全。2023年印發(fā)的《數(shù)字中國建設(shè)整體布局規(guī)劃》明確提出，筑牢可信可控的數(shù)字安全屏障。切實(shí)維護(hù)網(wǎng)絡(luò)安全，完善網(wǎng)絡(luò)安全法律法規(guī)和政策體系。增強(qiáng)數(shù)據(jù)安全保障能力，建立數(shù)據(jù)分類分級(jí)保護(hù)基礎(chǔ)制度，健全網(wǎng)絡(luò)數(shù)據(jù)監(jiān)測預(yù)警和應(yīng)急處置工作體系。一個(gè)強(qiáng)大而高性能的網(wǎng)絡(luò)，是保障數(shù)字中國發(fā)展的重要基礎(chǔ)。網(wǎng)絡(luò)安全除涉及個(gè)人隱私與財(cái)產(chǎn)安全外，還涉及國家特殊領(lǐng)域機(jī)密、關(guān)鍵基礎(chǔ)設(shè)施保護(hù)，因此，保障網(wǎng)絡(luò)安全對(duì)于國家與公民之安全至關(guān)重要。網(wǎng)絡(luò)原本是為人們便捷與高效進(jìn)行信息交流和資源共享而發(fā)展出來的一種技術(shù)或工具，但正是因?yàn)榫W(wǎng)絡(luò)信息共享的覆蓋面大，掌握公民個(gè)人信息的數(shù)量不斷增加，若其中某一系統(tǒng)出現(xiàn)漏洞則會(huì)導(dǎo)致“牽一發(fā)而動(dòng)全身”之嚴(yán)重后果。因此，為保障國家與公民信息安全，網(wǎng)絡(luò)安全有關(guān)部門需要在事件發(fā)生后以最快速度掌握網(wǎng)絡(luò)安全事件的基本情況。

此次《征求意見稿》將網(wǎng)絡(luò)安全事件定義為由于人為原因、軟硬件缺陷或者故障、自然災(zāi)害等，對(duì)網(wǎng)絡(luò)和信息系統(tǒng)或其中的數(shù)據(jù)造成危害，對(duì)社會(huì)造成負(fù)面影響的事件。該定義清晰地界定了網(wǎng)絡(luò)安全事件發(fā)生的原因與范圍，為規(guī)制網(wǎng)絡(luò)安全事件報(bào)告提供了明確指引。

厘清網(wǎng)絡(luò)安全主管部門職責(zé) 明確事件報(bào)告時(shí)間

《征求意見稿》第三條、第四條規(guī)定，有關(guān)國家網(wǎng)絡(luò)安全事件的報(bào)告與監(jiān)管工作由國家網(wǎng)信部門負(fù)責(zé)，有關(guān)本行政區(qū)域內(nèi)網(wǎng)絡(luò)安全事件的報(bào)告與監(jiān)管工作由地方網(wǎng)信部門負(fù)責(zé)。該規(guī)定根據(jù)地域范圍將不同領(lǐng)域的網(wǎng)絡(luò)安全事件劃分給確定的部門負(fù)責(zé)，厘清了各部門的管理責(zé)任，避免因權(quán)責(zé)不清導(dǎo)致管理真空或出現(xiàn)管理混亂的情況。

此外，《征求意見稿》明確了網(wǎng)絡(luò)安全事件的報(bào)告時(shí)間?！毒W(wǎng)絡(luò)安全事件分級(jí)指南》將網(wǎng)絡(luò)安全事件劃分為較大、重大、特別重大三個(gè)等級(jí)，《征求意見稿》規(guī)定凡屬上述三類案件，均應(yīng)在1小時(shí)內(nèi)進(jìn)行報(bào)告。其中：網(wǎng)絡(luò)和系統(tǒng)歸屬于中央和國家機(jī)關(guān)各部門及其管理的企事業(yè)單位的重大、特別重大網(wǎng)絡(luò)安全事件，各部門網(wǎng)信工作機(jī)構(gòu)應(yīng)當(dāng)于1小時(shí)內(nèi)向國家網(wǎng)信部門報(bào)告；網(wǎng)絡(luò)和系統(tǒng)為關(guān)鍵信息基礎(chǔ)設(shè)施的重大、特別重大網(wǎng)絡(luò)安全事件，保護(hù)工作部門在收到報(bào)告后應(yīng)當(dāng)于1小時(shí)內(nèi)向國家網(wǎng)信部門、國務(wù)院公安部門報(bào)告；其他網(wǎng)絡(luò)和系統(tǒng)的重大、特別重大事件，屬地網(wǎng)信部門在收到報(bào)告后應(yīng)當(dāng)于1小時(shí)內(nèi)逐級(jí)向上級(jí)網(wǎng)信部門報(bào)告。有行業(yè)主管監(jiān)管部門的，運(yùn)營者還應(yīng)當(dāng)按照行業(yè)主管監(jiān)管部門要求報(bào)告。發(fā)現(xiàn)涉嫌犯罪的，運(yùn)營者應(yīng)當(dāng)同時(shí)向公安機(jī)關(guān)報(bào)告。

明確規(guī)定網(wǎng)絡(luò)運(yùn)營者責(zé)任

《征求意見稿》明確規(guī)定網(wǎng)絡(luò)運(yùn)營者的責(zé)任，以期通過約束運(yùn)營者的行為達(dá)到預(yù)防與補(bǔ)救有效結(jié)合消除隱患防止危害擴(kuò)大的目的。

事前制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案。《征求意見稿》第四條要求運(yùn)營者在發(fā)生網(wǎng)絡(luò)安全事件時(shí)需及時(shí)啟動(dòng)應(yīng)急預(yù)案進(jìn)行處置。應(yīng)急預(yù)案應(yīng)當(dāng)涵蓋處置系統(tǒng)漏洞、計(jì)算機(jī)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等安全風(fēng)險(xiǎn)的技術(shù)補(bǔ)救措施和其他必要措施，并按照規(guī)定向有關(guān)主管部門及時(shí)報(bào)告。

事中明確報(bào)告的基本內(nèi)容，及時(shí)準(zhǔn)確地掌握情況?！墩髑笠庖姼濉返谖鍡l要求運(yùn)營者按照《網(wǎng)絡(luò)安全事件信息報(bào)告表》報(bào)告事件，至少包括事發(fā)單位名稱、事件發(fā)現(xiàn)或發(fā)生時(shí)間、地點(diǎn)、事件類型、已造成的影響、事態(tài)發(fā)展趨勢及初步分析的事件原因等七項(xiàng)具體內(nèi)容。方便后續(xù)對(duì)該事件的解決進(jìn)行指導(dǎo)，對(duì)相關(guān)單位的改進(jìn)措施提出針對(duì)性建議。此外，《征求意見稿》規(guī)定因考慮到網(wǎng)絡(luò)空間涉及內(nèi)容的復(fù)雜性、保密性，在發(fā)生網(wǎng)絡(luò)安全問題時(shí)，運(yùn)營者可能無法在短時(shí)間內(nèi)找出原因，故為防止造成的危害結(jié)果進(jìn)一步擴(kuò)大，可先對(duì)事件的基本情況進(jìn)行報(bào)告，上級(jí)主管部門在知悉相關(guān)情況后可協(xié)助解決相關(guān)問題。

事后全面分析事件，加強(qiáng)運(yùn)營服務(wù)安全。《征求意見稿》第七條規(guī)定了事后復(fù)盤的系列措施。如處置結(jié)束后運(yùn)營者應(yīng)當(dāng)于5個(gè)工作日內(nèi)對(duì)事件原因、應(yīng)急處置措施、危害、責(zé)任處理、整改情況、教訓(xùn)等進(jìn)行全面分析總結(jié)，形成報(bào)告按照原渠道上報(bào)。通過對(duì)已經(jīng)制定的網(wǎng)絡(luò)安全管理制度重新審查而予以調(diào)整，將之前概括的規(guī)定細(xì)致化，之前空缺的規(guī)定進(jìn)行補(bǔ)充。這讓運(yùn)營者更了解其自身不足的同時(shí)，也可以讓網(wǎng)信部門對(duì)該類安全問題予以重視，從而及時(shí)予以防范，以保障網(wǎng)絡(luò)安全，減少類似網(wǎng)絡(luò)安全事件發(fā)生。

建議進(jìn)一步細(xì)化瀆職與違法責(zé)任

《征求意見稿》第四條明確規(guī)定屬于重大、特別重大網(wǎng)絡(luò)安全事件的，都應(yīng)逐級(jí)向國家網(wǎng)信部門報(bào)告；第十條第三款規(guī)定，有關(guān)部門未按照本辦法規(guī)定報(bào)告網(wǎng)絡(luò)安全事件的，由上級(jí)機(jī)關(guān)責(zé)令改正，對(duì)直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員依法予以處分，涉嫌犯罪的，依法追究刑事責(zé)任。由此可見，在重大、特別重大網(wǎng)絡(luò)安全事件中涉及下級(jí)部門向上級(jí)部門逐級(jí)報(bào)告的情況，若其中某一部門未按照規(guī)定報(bào)告，則會(huì)造成上級(jí)部門信息閉塞無法及時(shí)對(duì)運(yùn)營者作出指示，最終造成損失擴(kuò)大。但該規(guī)定僅指出需要對(duì)負(fù)責(zé)人員予以處分，并未明確具體責(zé)任，可考慮進(jìn)一步細(xì)化處分的內(nèi)容，即主管人員、直接負(fù)責(zé)人失職至何種情況會(huì)給予警告、記過等處分。

建議進(jìn)一步明確運(yùn)營者的違法責(zé)任?！墩髑笠庖姼濉返谑畻l第一、第二款規(guī)定，運(yùn)營者未按照本辦法規(guī)定報(bào)告網(wǎng)絡(luò)安全事件的，網(wǎng)信部門按照有關(guān)法律、行政法規(guī)的規(guī)定進(jìn)行處罰。因運(yùn)營者遲報(bào)、漏報(bào)、謊報(bào)或者瞞報(bào)網(wǎng)絡(luò)安全事件，造成重大危害后果的，對(duì)運(yùn)營者及有關(guān)責(zé)任人員依法從重處罰。相較于2021年國務(wù)院出臺(tái)的《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》第四十條的規(guī)定可以看出，上述規(guī)定在運(yùn)營者違法責(zé)任方面較為簡略?！蛾P(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》第四十條針對(duì)在關(guān)鍵信息基礎(chǔ)設(shè)施發(fā)生重大網(wǎng)絡(luò)安全事件或者發(fā)現(xiàn)網(wǎng)絡(luò)安全威脅時(shí)，運(yùn)營者未按照規(guī)定向保護(hù)工作部門、公安機(jī)關(guān)報(bào)告情形下劃定了詳細(xì)的違法責(zé)任?！墩髑笠庖姼濉芬嗫稍谶`法責(zé)任部分針對(duì)運(yùn)營者不同程度的違法情形劃分責(zé)任類型，為執(zhí)法者、運(yùn)營者提供明確的行為指引。同樣，《征求意見稿》第十一條規(guī)定，發(fā)生網(wǎng)絡(luò)安全事件時(shí)運(yùn)營者已采取合理必要的防護(hù)措施，按照本辦法規(guī)定主動(dòng)報(bào)告，同時(shí)按照預(yù)案有關(guān)程序進(jìn)行處置，盡最大努力降低事件影響，可視情況免除或從輕追究運(yùn)營者及有關(guān)責(zé)任人的責(zé)任。該條款規(guī)定了排除或從輕追究運(yùn)營者的違法責(zé)任，但未對(duì)具體情形進(jìn)行規(guī)定，即降低事件影響應(yīng)當(dāng)以達(dá)到何種標(biāo)準(zhǔn)為依據(jù)。建議根據(jù)事件采取合理必要措施后安全等級(jí)是否下降至重大、較大或者一般來確定事件造成的影響，一旦符合較低或者更低等級(jí)的條件，即認(rèn)為運(yùn)營者努力降低事件影響，視具體情形免除或者免予追究責(zé)任。

（作者單位：山西大學(xué)法學(xué)院）