(網(wǎng)經(jīng)社訊)《通信網(wǎng)絡(luò)安全防護(hù)管理辦法》(工信部第11號(hào)令)確定了定級(jí)備案制度、“三同步”制度、符合性評(píng)測(cè)制度、風(fēng)險(xiǎn)評(píng)估制度和監(jiān)督檢查制度等網(wǎng)絡(luò)安全防護(hù)工作基本制度。
根據(jù)《關(guān)于2020年年報(bào)“網(wǎng)絡(luò)信息安全表”中“網(wǎng)絡(luò)安全工作落實(shí)情況”項(xiàng)的填報(bào)要求》，電信和互聯(lián)網(wǎng)企業(yè)在提交年報(bào)時(shí)需要填寫一下有關(guān)內(nèi)容：
1.企業(yè)網(wǎng)絡(luò)及業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)安全定級(jí)備案。
2.網(wǎng)絡(luò)安全“三同步”落實(shí)情況報(bào)告。
3.針對(duì)各企業(yè)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)，分別完成網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估報(bào)告。
4.利用移動(dòng)應(yīng)用開(kāi)展公共服務(wù)的企業(yè)，完成由第三方專業(yè)機(jī)構(gòu)提供的移動(dòng)應(yīng)用安全評(píng)估評(píng)測(cè)報(bào)告。
填寫說(shuō)明：
1.自2019年起，企業(yè)需在部“通信網(wǎng)絡(luò)安全防護(hù)管理系統(tǒng)”中填報(bào)定級(jí)備案報(bào)告、三同步情況報(bào)告。
2.企業(yè)定級(jí)備案后的系統(tǒng)均需做符合性評(píng)測(cè)和風(fēng)險(xiǎn)評(píng)估，其中安全等級(jí)為二級(jí)的系統(tǒng)，每?jī)赡曜鲆淮畏闲栽u(píng)測(cè)和風(fēng)險(xiǎn)評(píng)估，安全等級(jí)為三級(jí)的系統(tǒng)，每年做一次符合性評(píng)測(cè)和風(fēng)險(xiǎn)評(píng)估。
3.以上評(píng)測(cè)和評(píng)估均可自行開(kāi)展評(píng)估或委托第三方。
那么什么是定級(jí)備案、符合性評(píng)測(cè)、風(fēng)險(xiǎn)評(píng)估報(bào)告？（“三同步”落實(shí)情況報(bào)告由于簡(jiǎn)化后只需要提交一份企業(yè)蓋章材料，按照更新上報(bào)，不在詳細(xì)說(shuō)明）
一、定級(jí)備案
通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)對(duì)本單位已正式投入運(yùn)行的通信網(wǎng)絡(luò)進(jìn)行單元?jiǎng)澐趾投?jí)，并將劃分和定級(jí)情況向電信管理機(jī)構(gòu)備案。
定級(jí)備案工作位于安全防護(hù)工作的第一步，需按照網(wǎng)絡(luò)和系統(tǒng)單元的總體設(shè)計(jì)和規(guī)劃方案預(yù)估定級(jí)對(duì)象社會(huì)影響力、規(guī)模和服務(wù)范圍以及重要性來(lái)進(jìn)行定級(jí)和備案，如定級(jí)對(duì)象在后續(xù)的實(shí)施和運(yùn)行階段產(chǎn)生變化，應(yīng)按照變動(dòng)的實(shí)際情況進(jìn)行重新定級(jí)。
根據(jù)網(wǎng)絡(luò)/系統(tǒng)單元的社會(huì)影響力I、規(guī)模和服務(wù)范圍R、所提供服務(wù)重要性V三個(gè)定級(jí)要素的賦值，采用以下公式來(lái)計(jì)算網(wǎng)絡(luò)/系統(tǒng)單元的安全等級(jí)值:
k=Round1{Log2[α×2I+β×2R+γ×2V]}
其中，k代表安全等級(jí)值，I代表社會(huì)影響力賦值、R代表規(guī)模和服務(wù)范圍賦值、V代表所提供服務(wù)的重要性賦值，Round1{}表示四舍五入處理，保留1位小數(shù)，Log2[]表示取以2為底的對(duì)數(shù)，α、β、γ分別表示網(wǎng)絡(luò)/系統(tǒng)單元的社會(huì)影響力、規(guī)模和服務(wù)范圍、所提供服務(wù)的重要性賦值所占的權(quán)重，分別為1/3、1/3、1/3。
安全等級(jí)值k安全等級(jí)
1≤k<1.5第1級(jí)
1.5≤k<2.5第2級(jí)
2.5≤k≤4第3級(jí)
4<k<4.5第4級(jí)
4.5≤k≤5第5級(jí)
定級(jí)報(bào)告的標(biāo)準(zhǔn)還在修改中，以后還是調(diào)整難度，應(yīng)該也會(huì)簡(jiǎn)化。
二、符合性評(píng)測(cè)
通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)落實(shí)與通信網(wǎng)絡(luò)單元級(jí)別相適應(yīng)的安全防護(hù)措施，并進(jìn)行符合性評(píng)測(cè)。
“網(wǎng)絡(luò)單元”是指由系統(tǒng)和（或）網(wǎng)絡(luò)構(gòu)成的，符合業(yè)務(wù)清晰、邊界清晰、責(zé)任清晰原則的相對(duì)獨(dú)立的安全域。網(wǎng)絡(luò)單元的常見(jiàn)類別有：互聯(lián)網(wǎng)接入服務(wù)、互聯(lián)網(wǎng)數(shù)據(jù)中心、信息服務(wù)業(yè)務(wù)系統(tǒng)（門戶綜合網(wǎng)站系統(tǒng)、網(wǎng)絡(luò)交易系統(tǒng)、信息社區(qū)服務(wù)系統(tǒng)等）。其他還包括：固定通信網(wǎng)、移動(dòng)通信網(wǎng)、增值業(yè)務(wù)網(wǎng)－消息網(wǎng)、增值業(yè)務(wù)網(wǎng)－智能網(wǎng)、接入網(wǎng)、傳送網(wǎng)、IP承載網(wǎng)、信令網(wǎng)、同步網(wǎng)、支撐網(wǎng)、非核心生產(chǎn)單元、網(wǎng)上營(yíng)業(yè)廳、域名服務(wù)系統(tǒng)、互聯(lián)網(wǎng)云服務(wù)平臺(tái)、互聯(lián)網(wǎng)內(nèi)容分發(fā)網(wǎng)絡(luò)、移動(dòng)互聯(lián)網(wǎng)聯(lián)網(wǎng)應(yīng)用、移動(dòng)定位系統(tǒng)、WAP網(wǎng)關(guān)系統(tǒng)、大數(shù)據(jù)平臺(tái)、集中化安全管理系統(tǒng)、IPTV平臺(tái)、RCS融合通信平臺(tái)、融合網(wǎng)絡(luò)等。
符合性評(píng)測(cè)表一般包含業(yè)務(wù)安全、網(wǎng)絡(luò)安全、主機(jī)安全、中間件安全、安全域邊界安全、災(zāi)難備份及恢復(fù)、安全管理制度、第三方服務(wù)安全、用戶個(gè)人信息安全等方面。不一樣單元類型表格內(nèi)容有差異，企業(yè)需根據(jù)自身情況選擇對(duì)應(yīng)的網(wǎng)絡(luò)安全防護(hù)符合性評(píng)測(cè)表，并根據(jù)評(píng)測(cè)表各檢查點(diǎn)內(nèi)容及要求，按照定級(jí)對(duì)象實(shí)際情況選擇相應(yīng)的檢查結(jié)果選項(xiàng)（是、否、不適用），需對(duì)相關(guān)情況補(bǔ)充說(shuō)明的可以填寫補(bǔ)充說(shuō)明信息。
過(guò)去符合性評(píng)測(cè)是風(fēng)險(xiǎn)評(píng)估報(bào)告的一部分，現(xiàn)在最新要求已經(jīng)需要單獨(dú)成報(bào)告。
三、風(fēng)險(xiǎn)評(píng)估報(bào)告
通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)組織對(duì)通信網(wǎng)絡(luò)單元進(jìn)行安全風(fēng)險(xiǎn)評(píng)估，及時(shí)消除重大網(wǎng)絡(luò)安全隱患。
風(fēng)險(xiǎn)評(píng)估報(bào)告需要包含：系統(tǒng)概況、評(píng)測(cè)方法和工具、測(cè)評(píng)內(nèi)容、風(fēng)險(xiǎn)評(píng)估結(jié)果等。符合性評(píng)測(cè)不再作為風(fēng)險(xiǎn)評(píng)估報(bào)告的一部分。
公安機(jī)關(guān)的等級(jí)保護(hù)測(cè)評(píng)報(bào)告不得代替作為以上各評(píng)測(cè)報(bào)告。
年報(bào)信用管理制度
每年5月，對(duì)拒不履行年報(bào)義務(wù)的企業(yè)，電信管理機(jī)構(gòu)應(yīng)將其列入電信業(yè)務(wù)經(jīng)營(yíng)不良名單。在相關(guān)企業(yè)補(bǔ)充履行年報(bào)義務(wù)后，電信管理機(jī)構(gòu)可將其從不良名單中移出。
進(jìn)入不良名單條件:
(一)未按規(guī)定報(bào)告年報(bào)信息，且在電信管理機(jī)構(gòu)限期內(nèi)仍未履行年報(bào)義務(wù)的;
(二)在電信業(yè)務(wù)經(jīng)營(yíng)許可證載明信息發(fā)生變化時(shí)，未按規(guī)定及時(shí)辦理變更手續(xù)，受到行政處罰的;
(三)在電信管理機(jī)構(gòu)監(jiān)督檢查中，被發(fā)現(xiàn)其年報(bào)信息、日常經(jīng)營(yíng)活動(dòng)、落實(shí)網(wǎng)絡(luò)與信息安全管理責(zé)任、停止經(jīng)營(yíng)時(shí)的善后工作、執(zhí)行國(guó)家和電信管理機(jī)構(gòu)有關(guān)規(guī)定等事項(xiàng)存在違法違規(guī)行為，受到行政處罰的(需直接列入電信業(yè)務(wù)經(jīng)營(yíng)失信名單的除外);
進(jìn)入失信名單條件:
(一)受到吊銷經(jīng)營(yíng)許可證處罰的;
(二)擅自經(jīng)營(yíng)電信業(yè)務(wù)或者超范圍經(jīng)營(yíng)電信業(yè)務(wù)，情節(jié)嚴(yán)重、受到責(zé)令停業(yè)整頓處罰的;
(三)列入不良名單后，三年內(nèi)再次受到責(zé)令停業(yè)整頓處罰的;
(四)以欺騙、賄賂等不正當(dāng)手段取得電信業(yè)務(wù)經(jīng)營(yíng)許可證，被撤銷該行政許可的;(五)屬于第二條第一款第一項(xiàng)情形，屆滿三年仍未補(bǔ)充履行相關(guān)義務(wù)的;
(六)無(wú)正當(dāng)理由、逾期不履行行政處罰決定的;
(七)按照國(guó)家有關(guān)規(guī)定、屬于嚴(yán)重失信需要依法聯(lián)合懲戒的。
作者介紹：
陳思
杭州市律協(xié)互聯(lián)網(wǎng)信息專業(yè)委員會(huì)秘書長(zhǎng)
清科集團(tuán)沙丘創(chuàng)業(yè)中心特聘導(dǎo)師
浙江省法學(xué)會(huì)網(wǎng)絡(luò)法制研究會(huì)理事
郵箱：chensi@dentons.cn
擅長(zhǎng)社交電商企業(yè)合規(guī)、互聯(lián)網(wǎng)、金融領(lǐng)域。
孫鵬程
北京大成（杭州）律師事務(wù)所合伙人
浙江省法學(xué)會(huì)網(wǎng)絡(luò)法制研究會(huì)理事
郵箱：pengcheng.sun@dentons.cn
擅長(zhǎng)互聯(lián)網(wǎng)、金融領(lǐng)域。
鐘海華
杭州世平信息科技有限公司
郵箱：zhonghh@shipinginfo.com
李婷
浙江御安信息技術(shù)有限公司
郵箱：lit@yuan-info.com
