淺析《國家安全法》中的網路安全審查制度

2015年7月1日，我國第十二屆全國人民代表大會常務委員會第十五次會議通過了新的《國家安全法》，該部立法被認為是我國真正意義上的首部國家安全法，對於切實維護我國的國家安全意義重大。除首次明確界定了“國家安全”的基本涵義以外，《國家安全法》更是在國家安全保障的制度設計方面有所突破，其中涉及網路安全審查的規定格外受到關注。從立法的功能性和結構性分析，《國家安全法》中的網路安全審查規定具有嚴謹的邏輯結構，基本確立了我國網路安全審查的制度框架和總體思路。

一、《國家安全法》為網路安全審查制度明確了邊界要素

在網路安全審查過程中，最棘手的問題就是立法對國家安全基本涵義的界定。出於對國家安全敏感性的考慮，立法通常不會對“國家安全”進行過於細化的描述，以使立法具有足夠的延展性。但是“國家安全”的模糊性又成為網路安全審查中最受人詬病的弊端，因為缺乏明確邊界的“國家安全”很容易成為實質性貿易壁壘的藉口，進而動搖網路安全審查的正當性。在此方面，我國《國家安全法》具有明顯的突破，其中第二條明確規定 “國家安全”是指“國家政權、主權、統一和領土完整、人民福祉、經濟社會可持續發展和國家其他重大利益相對處於沒有危險和不受內外威脅的狀態，以及保障持續安全狀態的能力。”在網路安全的語境下，該定義完整涵蓋了國家安全、社會穩定、經濟發展和公民隱私這四大網路安全支柱，可以作為網路安全審查制度利益保障的參照要素。同時，將國家安全界定為“沒有危險和不受威脅的狀態”與各國立法中關於國家安全的表述保持一致，而將其界定為“保障能力”則是本法概念性提升的一大亮點。從網路安全的國家保障角度來看，網路安全的核心思想即是形成穩固的保障能力，其通常與資訊系統的“脆弱性”相關，旨在將可能受到的安全風險和威脅降低到可以接受的程度。與代表終極目的的安全狀態不同，能力建設更側重於實現對安全風險的動態反應和控制過程，因此在制度實施中更具有“彈性”，能夠在固化的法律規定中獲得最大程度的解釋空間。這對於廣泛具有“技術屬性”的網路安全保障意義非凡，可以避免資訊科技快速發展對法律穩定性構成的衝擊。因此，我國《國家安全法》中界定的“國家安全”既有相對明確的內涵邊界，又具備必要的延展性，為網路安全審查制度的可行性提供了必要的支撐，也間接明確了網路安全審查制度的範圍。

二、《國家安全法》為網路安全審查制度明確了安全與發展的關係

我國《國家安全法》在總體安全觀下強調了協同發展的重要思想，其中第八條規定“維護國家安全，應當與經濟社會發展相協調。國家安全工作應當統籌內部安全和外部安全、國土安全和國民安全、傳統安全和非傳統安全、自身安全和共同安全。”上述規定使得我國立法對於國家安全的認知更加豐富，改變了傳統國家安全偏重軍事政治安全的狹隘性，能夠更多地考慮國家經濟利益、貿易自由、關鍵基礎設施保障、科技利用等等，而這些要素恰恰是網路安全審查最為需要關注和平衡的內容。應當認識到，當技術利用和經濟發展成為國家進步的核心動力時，不同的安全領域具有了相當程度的同質性，其實質都體現為實現國家的穩定狀態，保證國家生產生活的正常執行。因此，片面強調國家安全的審查活動必然帶有利益保護的偏在性，盲目排外和充斥不信任的審查制度可能造成國家喪失利用先進技術的機會，也會間接對高度依賴數字框架的經濟發展構成障礙。我國《國家安全法》關於“國家安全和經濟社會協調發展”的規定確立了網路安全審查制度的指導理念，特別是關於“統籌內部安全和外部安全、國土安全和國民安全、傳統安全和非傳統安全、自身安全和共同安全”的闡述具有一定程度的先進性，這構成了網路安全審查制度進行利益平衡的基礎，能夠避免非理性審查活動的出現，在維護國家安全的同時兼顧經濟和社會發展，最大化網路安全審查制度的功能。

三、《國家安全法》為網路安全審查制度明確了“風險控制”的目標和思路

我國《國家安全法》第二十五條規定“國家建設網路與資訊保安保障體系，提升網路與資訊保安保護能力，加強網路和資訊科技的創新研究和開發應用，實現網路和資訊核心技術、關鍵基礎設施和重要領域資訊系統及資料的安全可控;加強網路管理，防範、制止和依法懲治網路攻擊、網路入侵、網路竊密、散佈違法有害資訊等網路違法犯罪行為，維護國家網路空間主權、安全和發展利益。”本條規定明確了我國網路安全審查制度的細化目標。在制度的功能性方面，網路安全審查制度無疑屬於網路與資訊保安保障體系中的重要內容和措施，那麼其理應具備上述目的。特別是是其中關於“實現網路和資訊核心技術、關鍵基礎設施和重要領域資訊系統及資料的安全可控，防範和制止網路攻擊、網路入侵、網路竊密等違法犯罪活動”的規定，與2014年5月22日國家網際網路資訊辦公室釋出的公告基本一致，該公告稱我國將實行網路安全審查制度，主要針對關係國家安全和公共利益系統使用的重要技術產品和服務實行安全性和可控性審查，防止產品提供者非法控制、干擾、中斷使用者系統，非法收集、儲存、處理和利用使用者有關資訊。其也與日前公佈的《網路安全法(草案)》中關於關鍵基礎設施安全審查的規定相互呼應，保持了不同立法之間的協調性。同時，本條規定也明確了網路安全審查“風險控制”的基本思路，側重於關注資訊科技產品和服務在部署過程中可能引入的未知風險。2007年針對愛沙尼亞政府網路的攻擊、2009年針對韓國的大規模拒絕服務攻擊、2010年針對伊朗核設施的震網病毒攻擊等安全事件充分說明了國家網路安全審查風險控制的重要意義。美國審計局(GAO)也曾經提醒美國政府關注持續增加的網路威脅對聯邦資訊系統產生的風險，並認為這些風險主要包括政府重要資訊資源丟失或被盜，遭受未經授權的訪問和攻擊，敏感資訊遭受身份盜竊、網路間諜或其他形式的犯罪，政府關鍵部門執行的中斷，資料被篡改並用於欺詐或入侵等等。我國《國家安全法》的上述規定能夠反應全球網路安全保障的發展趨勢，提高網路審查制度的科學性和有效性。

四、網路安全審查制度承接《國家安全法》，成為網路法制體系的重要組成部分

概括而言，我國《國家安全法》第二條間接明確了網路安全審查的審查範圍，第八條明確了網路安全審查協同發展和利益平衡的審查理念，第二十五條明確了網路安全審查“安全可控”的審查目標和“風險控制”的審查思路。在此基礎上，《國家安全法》第五十九條最終確立了針對網路資訊科技產品和服務的國家網路安全審查制度，並在第六十條中規定中央國家機關各部門依照法律、行政法規行使國家安全審查職責，依法作出國家安全審查決定或者提出安全審查意見並監督執行，由此提出了完整的國家網路安全審查制度框架。值得注意的是，《國家安全法》第五十九條將外商投資、特定物項和關鍵技術、網路資訊科技產品和服務等審查內容並列表述，澄清了我國網路安全審查的制度獨立性問題，修正了目前外資併購國家安全審查和網路安全審查相互混同的情況。儘管隨著資訊科技全球化趨勢的加強，外資併購國家安全審查所關注的國家經濟安全和網路安全審查所關注的網路安全存在相互滲透的情況，而且同屬於國家安全的範疇，但二者的制度基礎仍然存在較大差別。網路安全審查制度既不應當等同於在2008年《反壟斷法》中業已確立的外資併購國家安全審查，也不應當從屬於外資併購國家安全審查中的網路安全部分，其應當具有制度獨立性。

五、在實踐中細化完善國家網路安全審查制度，不斷提升維護國家安全的法制效力

在網路安全審查制度的可實施性方面，我國《國家安全法》的現有規定仍然是原則性的，還不能對國家網路安全審查活動和企業遵從提供有效指引，需要在後續的配套立法或制度規範中進行細化和補充，對於未涉及的審查事項進行明確。首先，考慮到我國網路安全審查將主要圍繞網路資訊科技產品和服務而展開，那麼就應當對傳統“直接供應商”和“最終產品”的審查半徑進行擴充套件，延伸到整個資訊科技供應鏈。因為資訊科技利用的全球化是以供應鏈為基礎的，資訊科技產品和服務的提供更加依賴廣泛的全球市場，供應鏈的複雜程度客觀上造成網路安全風險將有更多的滲透渠道 ，在產品和服務的生產、組裝和分發過程中都可能引入不確定的安全風險，需要對資訊科技供應鏈整體施加審查要求。其次，由於資訊科技在現代社會中的泛在式部署，網路安全審查活動將極為複雜，在資訊科技服務中還可能受到資料跨境產生的管轄權爭議影響。因此，我國網路安全審查制度應當有所側重。從目前的國際立法實踐來看，網路安全審查與政府採購、認證認可和技術進出口等相關法律制度關係最為密切，可以考慮將我國網路安全審查的要求滲透進上述立法中。最後，為了避免網路安全審查成為政策性工具，有效實現網路安全審查的功能，必要的透明度必須予以保證，因此需要建立相關的審查標準。例如美國在《國家資訊保障採購政策》中要求所有國家安全資訊系統中採購的資訊科技產品必須經過評估和認證，滿足互認的國際資訊保安技術評估通用標準，滿足國家安全域性(NSA)、國家技術標準研究所(NIST)和國家資訊保障合作組織(NIAP)的評估認證要求，滿足NIST聯邦資訊處理標準(FIPS)的認證要求，並符合NSA的NSA批准的認證流程。這樣一方面可以為國家網路安全審查活動提供指引，另一方面可以為企業遵從提供參考框架。

本文轉自d1net（轉載）