企业如何落实网络安全等级保护制度?

Size: px

Start display at page:

Download "企业如何落实网络安全等级保护制度?"

綦街黠廖
5 years ago
Views:

合规法律评述 2018 年 6 月企业如何落实网络安全等级保护制度? 作者 : 潘永建李天航朱晓阳 I. The Predecessor of GNSP. The GNSP is an upgrade of the graded computer information system security protection system dated back to 1994.

Unlike the prior rules, the CSL provides that all network operators shall have the obligations to implement the GNSP.

1 合规法律评述 2018 年 6 月企业如何落实网络安全等级保护制度? 作者 : 潘永建李天航朱晓阳 I. The Predecessor of GNSP. The GNSP is an upgrade of the graded computer information system security protection system dated back to In promulgating the CSL, the provisions of GNSP are further confirmed, updated and upgraded in the CSL. II. Shall Companies Implement GNSP? Unlike the prior rules, the CSL provides that all network operators shall have the obligations to implement the GNSP. Those who fail to implement the GNSP will face administrative penalties including ordered rectification and fines. 如您需要了解我们的出版物, 请与下列人员联系 : 郭建良 : (86 21) Publication@llinkslaw.com 通力律师事务所 III. How Should Companies Implement the GNSP? The GNSP is difficult for a company to implement on its own. Companies are advised to engage professional and qualified assessment agent to assist with the implementation of the GNSP. In addition, companies themselves shall fulfill certain mandatory obligations imposed by law. 1

2 IV. Reminders 1. The company is ultimately responsible for the accuracy of the grading of its network system. 2. Those network operators that are graded as level III and above shall conduct regular assessments. 3. Network operators GNSP obligations are not fulfilled with network architectures such as SaaS. Even under such circumstances, companies are still obligated to implement the GNSP, and shall divide such obligations with the service providers based on the boundary of the relevant network 年 6 月 1 日是中国网络安全法正式生效实施一周年之日为帮助企业清晰理解网安法下企业的责任与义务, 通力律师事务所网络安全与数据服务团队从 6 月 1 日起陆续推出 < 网络安全法 > 实务 30 问系列双语指引, 通过对法律规定的解读, 结合典型实践案例, 深度剖析企业的责任与义务, 助力企业合规经营, 有效防范风险本篇为 < 网络安全法 > 实务 30 问系列双语指引的第二篇, 将对网络安全等级保护制度进行简要分析, 以期为相关人士提供参考一. 网络安全等级保护制度的前身网络安全等级保护制度不是新事物, 是计算机信息系统安全等级保护制度的升级版 1994 年颁布的中华人民共和国计算机信息系统安全保护条例 ( 下称计算机安保条例 ) 最早明确了对计算机信息系统实行安全等级保护, 由公安机关作为主管部门负责监管实施此后, 公安部会同其他相关部门逐步完善了等级保护制度和管理的具体内容, 主导完善了计算机信息系统安全保护等级划分准则 (GB ) 等一系列国家标准随着社会的发展, 网络的外延不断扩展, 出现了云计算大数据物联网工业控制系统等形态, 计算机信息系统等级保护制度已经不能适应, 因此, 网络安全法确认并更新了等级保护 ( 下称等保 ) 制度的内容同时, 相关配套的国家标准正在制定修订或完善中受侵害客体对客体的危害程度一般严重特别严重用户自身利益一级二级二级 ( 拟修改为三级 ) 公众利益社会秩序二级三级四级国家安全三级四级五级 2

3 二. 企业有义务落实等级保护制度不少企业认为, 网络安全等保制度与自己企业关系不大在网络安全法正式施行前也许确实如此, 计算机安保条例第四条规定计算机信息系统的安全保护工作, 重点维护国家事务经济建设国防建设尖端科学技术等重要领域的计算机信息系统的安全但是, 与计算机等保条例有限的适用范围不同, 网络安全法规定网络运营者均负有实施网络安全等级保护制度的义务并且, 网络安全法第五十九条明确规定, 未落实网络安全等级保护义务的由有关主管部门责令改正, 给予警告 ; 拒不改正或者导致危害网络安全等后果的, 处一万元以上十万元以下罚款, 对直接负责的主管人员处五千元以上五万元以下罚款网络安全法实施后, 公安机关对未履行网络安全等保义务的企业已开始实施处罚例如, 2017 年 7 月 20 日汕头警方对汕头市某信息科技有限公司处以警告并责令改正 ; 2017 年 7 月 22 日, 四川省宜宾市警方对未开展等保相关工作未落实等保义务造成网站发生被黑客攻击入侵网络安全事件的翠屏区教师培训与教育研究中心处一万元罚款, 其法定代表人唐某处五千元罚款公安机关作为网络安全的主管机关之一, 在网络安全法配套规定和国家标准逐步完善之后, 将对网络安全等级保护制度作为网络安全领域的重点工作予以推进因此, 企业不应存有侥幸心理, 而应积极落实网络安全等级保护义务三. 网络安全等级保护制度的落实网络安全等级保护制度包括法律和技术制度, 企业仅靠自身力量实施等保义务的难度较大, 宜聘请专业的律所以及有资质的评测机构协助落实对于法律明确要求的义务, 企业应当立即落实 : (1) 制定内部安全管理制度和操作规程, 确定网络安全负责人 ; (2) 采取防范计算机病毒和网络攻击网络侵入等危害网络安全行为的技术措施 ; (3) 采取监测记录网络运行状态网络安全事件的技术措施, 并按照规定留存相关的网络日志不少于六个月 ; (4) 采取数据分类重要数据备份和加密等措施 ; 3

4 四. 应当注意的问题 1. 定级由评测机构和专业机构说了算? 虽然聘请了专业的评测机构进行评测以帮助落实等保义务, 但是对于网络信息系统定级准确性的责任由企业承担因此, 评测机构仅提出等级建议, 最终的级别需要企业正确把握对于确定为第二等级以上的, 应当在等级确定后 30 日内向所在地设区的市级公安机关备案 2. 一次等保抑或重复等保? 对定级为三级或三级以上的网络运营者而言, 等保评测与定级并非一劳永逸的事情, 三级网络运营者应当至少每一年进行一次评测和自查, 四级网络运营者应当至少每半年进行一次评测和自查 3. 采取 SaaS 等网络构架和租用云服务的网络运营者不承担等保义务? 当前采取 SaaS PaaS Issa 等网络构架或者租用云服务或系统由他人托管的情况比较普遍, 在前述情况下企业仍然负有落实等保的法律义务, 应参照相关国家标准与网络服务商根据网络边界切分厘清双方责任 4

5 < 网络安全法 > 实务 30 问系列双语指引问题清单 Schedule of 30 Questions About CSL 网络安全法体系下企业的责任与义务概览 Summary of Companies Responsibilities and Liabilities under the CSL 企业如何落实网络安全等级保护义务 How Should Companies Implement the Graded Network Security Protection System 企业正确应对国家机关调取数据的实务分析 How Should Companies Properly Respond to Authorities Requirement for Data Access? 企业使用微信企业号的合规要点 Key Compliance Issues in Using Enterprise WeChat 浅析网络运营者的刑事责任 Criminal Liabilities of Network Operators VPN 使用与跨境联网的合规要点 Key Compliance Issues in Use of VPN and Cross-border Connectivity 互联网信息服务提供者责任义务辨析 Analysis on The Responsibilities and Obligations of Internet Information Services Providers 隐私政策的合规要点与最佳实践 Key Compliance Issues and Best Practices for Privacy Policies 企业与第三方关于个人信息保护责任划分 Division of Responsibilities Between Companies and Third Parties Regarding Personal Information Protection 员工信息收集使用合规要点 Key Compliance Issues in Collection and Use of Employee Information 数据出境比你想象的常见数据出境情形分析 Data Cross-border Transfer Happens More Than You Imagine Analysis of Data Cross-border Transfer Scenarios 个人信息安全事件的妥善应对 Proper Response to Personal Information Security Incidents 个人信息和重要数据本地化存储的实务分析 Practical Analysis on Local Storage of Personal Information and Important Data 网络安全事件应对 - 兼论网络安全应急预案的必要性 Network Security Emergency Response and Discussion on Necessity of Network Security Emergency Plans 网络关键设备网络安全专用产品网络产品及服务涉及的网络安全审查制度 Network Security Review on Key Network Equipment, Specialized Network Products and Network Products and Services 5

6 网络安全负责人的设立及职责辨析 Analysis on Network Security Officer and Its Duties and Responsibilities 个人信息使用合规分析 Compliance Analysis on Use of Personal Information 企业与员工关于个人信息保护的责任划分 Division of Responsibilities Between Companies and Employees Regarding Personal Information Protection 企业应当如何落实网络信息实名制要求 Hou Should Companies Implement Network Information Real-Name Requirements 中国法下的个人信息概念与范围辨析 Analysis on Definition and Scope of Personal Information Under PRC Law 客户信息收集使用合规要点 Key Compliance Issues in Collection and Use of Customer Information 电商等行业使用个人信息的合规要点 Key Compliance Issues for Use of Personal Information in E-Commerce [etc.] 信息安全技术个人信息安全规范作为推荐性国家标准 (GBT) 的实践价值分析 Practical Value Analysis on Information Security Technology Personal Information Security Specification as a Recommended National Standard (GBT) 收购兼并中涉及数据尽职调查要点分析 Key Issues of Data Due Diligence in M&A 浅析企业的个人信息保护义务 Brief Analysis on Companies Obligations of Personal Information Protection 关键信息基础设施的界定 Definition of Key Information Infrastructures 关键信息基础设施运营者的责任与义务 The Responsibilities and Obligations of Key Information Infrastructure Operators 重要数据的界定 Identification of Important Data 如何进行数据出境? 数据出境的基本流程 How to Transfer Data Abroad? The Basic Process of Data Cross-border Transfer. 数据出境评估 Assessment for Data Cross-border Transfer 6

7 如需进一步信息, 请联系 : 作者潘永建电话 : david.pan@llinkslaw.com 上海俞卫锋电话 : david.yu@llinkslaw.com 佘铭电话 : selena.she@llinkslaw.com 钱大立电话 : dali.qian@llinkslaw.com 吴炜电话 : david.wu@llinkslaw.com 刘贇春电话 : bernie.liu@llinkslaw.com 娄斐弘电话 : nicholas.lou@llinkslaw.com 孔焕志电话 : kenneth.kong@llinkslaw.com 潘永建电话 : david.pan@llinkslaw.com 姜琳电话 : elyn.jiang@llinkslaw.com 北京俞卫锋电话 : david.yu@llinkslaw.com 刘贇春电话 : bernie.liu@llinkslaw.com 杨玉华电话 : yuhua.yang@llinkslaw.com 香港 ( 与张慧雯律师事务所有限法律责任合伙联营 ) 俞卫锋电话 : david.yu@llinkslaw.com 吕红电话 : sandra.lu@llinkslaw.com 伦敦杨玉华电话 : +44 (0) yuhua.yang@llinkslaw.com < 网络安全法 > 实务 30 问系列双语指引独家授权威科先行网络安全与数据合规模块在线发布 7

企业使用企业微信的合规要点

企业使用企业微信的合规要点合规法律评述 2018 年 6 月作者 : 潘永建朱晓阳 Enterprise WeChat, as a one-stop solution APP for corporate management, is easy to use, highly efficient, and convenient to manage. This article aims to clarify some of the