網路安全法來了，政法行業的網路資訊保安該怎麼做？

2016年11月7日上午，十二屆全國人大常委會第二十四次會議表決，正式通過了《中華人民共和國網路安全法》。網路安全法將於2017年6月1日起施行。《網路安全法》為網路安全保護工作提出了新思路，明確了各參與方的責任歸屬，在實踐中應著重注意以下幾點：

　　一

　　網路安全與資訊化發展並重，將安全納入資訊化建設的程式

　　《網路安全法》第3條明確規定國家堅持網路安全與資訊化發展並重。對於政法行業來說，需要充分考慮當前網路的發展變化，瞭解網路空間包括的多個層次：封閉的專網，和網際網路有互動的辦公網，手機、iPad端所代表的移動網際網路，攝像頭等所代表的物聯網。網路安全和資訊化是一體之兩翼、驅動之雙輪，必須統一謀劃、統一部署、統一推進、統一實施。不同的網路特性需要考慮不同的安全策略，需將安全納入到資訊化系統的建設過程中。

　　二

　　推進行業標準的制定和網路安全治理體系的建立

　　《網路安全法》第7條明確提出有關標準制定和網路安全治理體系的內容，第12條也明確提出支援企業、研究機構、高等學校、網路相關行業組織參與網路安全國家標準、行業標準的制定。因此，國家制定國家的網路安全標準，其他主體需從自身實際情況和業務特性出發積極推進行業標準的制定，並制定出高度貼合本行業的網路安全治理體系。

　　三

　　建立長效資訊反饋機制，加強網路安全創新管理

　　1、《網路安全法》對資訊投訴、舉報及處理做出了明確規定，政法行業可通過移動網際網路和傳統網際網路相結合的模式接受群眾意見。最近國務院客戶端“簡政放權，我來@國務院”意見徵集活動就是一次利用新媒體的很好的實踐典範。

　　2、《網路安全法》明確指出國家支援創新網路安全管理方式，政法行業網路安全也不能再侷限於傳統的網路安全技術與產品，需要結合辦公移動化這一客觀趨勢，考慮將移動網際網路雲安全技術、應用層安全防禦技術、移動網際網路傳輸安全/資料安全技術等新型安全技術應用於政法系統的網路安全管理中。

　　3、《網路安全法》明確規定鼓勵企業、機構開展網路安全認證、檢測和風險評估等安全服務。政法行業涉及大量的資訊溝通與業務協同，在新技術的推動下，更加需要注重和企業合作，做好安全服務。相比較之下，傳統網路建設經歷了比較長的時間，相對比較成熟，而新興的移動網際網路安全及服務需要加強，包括學習、提高移動網際網路有關知識體系，制定相應的認證標準，增加安全檢測手段，惡意軟體、物理安全、資料備份等的風險評估。

　　四

　　保障關鍵資訊基礎設施和網路的安全執行

　　1、《網路安全法》明確了內部安全管理制度和操作規定，要求確定網路安全負責人，落實網路安全保護責任，避免由於人的因素引發網路安全事件。事實上，近年諸多重大資訊洩露事件里人的因素影響顯著。所以確認責任人，讓安全管理流程化、自動化意義深遠。

　　2、《網路安全法》中明確指出網路關鍵裝置和網路安全專用產品應當按照相關國家標準的強制性要求，政法行業採購或使用核心網路裝置和網路安全裝置時需注意裝置是否滿足相關規定。例如，是否具備公安部等機關的認證、銷售許可證，CCC認證等。不僅如此，還需要保證所使用的產品安全、可控。

　　3、《網路安全法》中明確了重要行業和領域的關鍵資訊基礎設施保護，政法行業應積極做好“資訊保安等級保護”評估與自查，確保符合國家要求的安全等級。

　　4、《網路安全法》重申了網路日誌的重要性，在實際操作和使用過程中，相關裝置的日誌輸出和備份工作應該常態化，並儲存備查。相關裝置包括終端裝置（音視訊裝置、物聯網裝置、虛擬現實裝置等），網路裝置（路由器、交換機、防火牆、業務伺服器等)、應用軟體（傳統和移動APP等）。

　　5、《網路安全法》明確了檢測評估規定，政法行業需要對系統、網路、應用做檢測評估，包括漏洞掃描及安全評估等安全服務。檢測評估的物件應該包括伺服器作業系統、業務系統、有線網路、無線網路、3G/4G、移動終端、移動APP等。

　　6、政法行業需要考慮網路、系統資料、網路資料的儲存、傳播、互動等各環節是否在可控範圍內。需要保障網路的可用性、健壯性，以便對安全事件進行審計、查詢、追溯。鑑於政法行業的特殊性質，應維護系統內資料的保密性，同時需保證資料不被篡改、破壞。

　　五

　　進一步完善個人資訊保護規則

　　《網路安全法》提出要加強個人資訊保護，對網路運營者主體的法律責任和義務做出了全面規定，並進一步量化了個人資訊洩露的處罰制度。中央網信辦正制定個人資訊收集規範標準，將更好地保護個人資訊。對於政法行業來說，需要推動並嚴格執行網路安全法中關於個人資訊保護的有關規定，並從政法行業立法角度去推動健全相關法律法規。

　　六

　　加快建立安全監測預警與應急處置制度

　　1、依照《網路安全法》中關於安全監測預警與應急處置制度的相關規定，政法行業應依法建立網路安全監測預警，對核心關鍵資訊設施（應包括資料庫伺服器、網路裝置、安全裝置、移動APP）資料進行實時蒐集、分析，對異常情況（安全事件）做出及時響應和通報。

　　2、依照《網路安全法》第53條的有關規定，政法行業同樣需要建立有效的安全事件管理制度，並嘗試進行攻防演練，深入瞭解系統安全性並制定突發事件的響應策略。

　　3、《網路安全法》總則第8條明確規定了有關機關在各自職責範圍內負責網路安全保護和監督管理工作。政法行業應承擔起對本行業內網路安全進行保護和監督管理的職責。

　　網路安全法的出臺為切實維護我國網路安全奠定了法治基礎，下一步要加強部門間資訊共享與業務協同，加快研究制定個人資訊保護法等配套法律體系，完善相關司法解釋，理順網路執法機制，做好內部資訊保安管控進而對本行業進行監督和保護等。另一方面，應加快建立政府引領，企業、社會組織、技術社群、公民等網路利益相關者共同參與、相互協作的網際網路治理機制。

本文轉自d1net（轉載）