网络安全整改报告(精选5篇)

  • 网络安全整改报告(精选5篇)已关闭评论
  • A+
所属分类:文学
摘要

一、我院网络安全等级保护工作概况 根据上级主管部门和行业主管部门要求,我院高度重视并开展了网络安全等级保护相关工作,工作内容主要包含信息系统梳理、定级、备案、等级保护测评、安全建设整改等。我院目前运行的主要信息系统有:综合业务信息系统。综…

网络安全整改报告(精选5篇)

网络安全整改报告范文第1篇

商城县公安局网监大队:

我院在接到贵单位发来的《信息系统安全等保限期整改通知书》后,院领导高度重视,责成信息科按照要求进行整改,现在整改情况报告如下。

一、我院网络安全等级保护工作概况

根据上级主管部门和行业主管部门要求,我院高度重视并开展了网络安全等级保护相关工作,工作内容主要包含信息系统梳理、定级、备案、等级保护测评、安全建设整改等。我院目前运行的主要信息系统有:综合业务信息系统。综合业务信息系统是商城县人民医院核心医疗业务信息系统的集合,系统功能模块主要包括医院信息系统(HIS)、检验信息系统(LIS)、电子病历系统(EMRS)、医学影像信息系统(PACS),其中医院信息系统(HIS)、检验信息系统(LIS)、电子病历系统(EMRS)由福建弘扬软件股份有限公司开发建设并提供技术支持,医学影像信息系统(PACS)由深圳中航信息科技产业股份有限公司开发建设并提供技术支持。

我院已于2018年11月完成了综合业务信息系统的定级、备案、等级保护测评、专家评审等工作,系统安全保护等级为第二级(S2A2G2),等级保护测评机构为河南天祺信息安全技术有限公司,等级保护测评结论为基本符合,综合得分为76.02分。在测评过程中,信息科已根据测评人员建议对能够立即整改的安全问题进行了整改,如:服务器安全加固、访问控制策略调整、安装防病毒软件、增加安全产品等。目前我院正在进行门户网站的网络安全等级保护测评工作。

二、安全问题整改情况

此次整改报告中涉及到的信息系统安全问题是我院于2018年11月委托河南天祺公司对医院信息系统进行测评反馈的内容,主要包括应用服务器、数据库服务器操作系统漏洞和Oracle漏洞等。针对应用服务器系统漏洞,我院及时与安全公司进行沟通,沟通后通过关闭部分系统服务和端口,更新必要的系统升级包等措施进行了及时的处理。针对Oracle数据库存在的安全漏洞问题,我们与安全公司和软件厂商进行了沟通,我院HIS系统于2012年底投入使用,数据库版本为Oracle 11g,投入运行时间较早,且部署于内网环境中未及时进行漏洞修复。

经过软件开发厂商测试发现修复Oracle数据库漏洞会影响HIS系统正常运行,并存在未知风险,为了既保证信息系统安全稳定运行又降低信息系统面临的安全隐患,我们主要采取控制数据库访问权限,切断与服务器不必要的连接、限制数据库管理人员权限等措施来降低数据库安全漏洞造成的风险。具体措施为:第一由不同技术人员分别掌握数据库服务器和数据库的管理权限;第二数据库服务器仅允许有业务需求的应用服务器连接,日常管理数据库采用本地管理方式,数据库不对外提供远程访问;第三对数据库进行了安全加固,设置了强密码、开启了日志审计功能、禁用了数据库默认用户等。

我院高度重视网络安全工作,医院网络中先后配备了防火墙、防毒墙、入侵防御、网络版杀毒软件、桌面终端管理等安全产品,并正在采购网闸、堡垒机、日志审计等安全产品,同时组建了医院网络安全小组,由三名技术人员负责网络安全管理工作,使我院网络安全管理水平大幅提升。

“没有网络安全,就没有国家安全”。作为全县医疗救治中心,医院始终把信息网络安全和医疗安全放在首位,不断紧跟医院发展和形势需要,科学有效的推进网络安全建设工作,并接受各级主管部门的监督和管理。

网络安全整改报告范文第2篇

一、高度重视,迅速贯彻落实

通过召开专题会议、发送微信通知,及时将上级的文件精神传达给每位干部职工,让全体党员干部充分认识到做好当前网络信息安全保障工作的重要性和必要性,并作为当前的一件头等大事来抓,确保网络安全。

二、强化管理,明确责任

为进一步完善网络信息安全管理机制,严格按照“谁主管谁负责、属地管理”的原则,明确了第一责任人和直接责任人,加强对本单位的内部办公网及其它信息网站的监督管理,防范黑客的入侵。严禁传播、下载、发表一切不利于党和国家的信息资料,坚决制止违纪违规行为发生,确保网络信息安全。按照上级要求,迅速成立了网络安全工作小组,负责网络安全应急工作,组织单位有关方面做好应急处置工作,组织开展局域网络安全信息的汇集、研判,及时向县网信办报告。当发生重大网络安全事件时,能及时做好应急响应相关工作。由办公室负责本区域网络安全事件的监测预警和应急处置工作,分管副局长为网络安全工作小组的副组长,负责办公室。建立了本单位计算机信息网络系统应用管理岗位责任制,明确主管领导,落实责任部门,各尽其职,常抓不懈,并按照“谁主管谁负责,谁运行谁负责,谁使用谁负责”的原则,切实履行好网络信息安全保障职责。

三、信息报告与应急支持

1.积极响应上级领导的有关要求,实时观测本区域网络安全信息,努力做到有效应对网络安全事件,一旦发生重大安全网络事件及时向县网信办报送网络安全事件和风险信息,并及时上报相关部门,积极配合协同做好应急准备工作或处置。

2.积极建立健全本系统、本部门、本行业重大网络安全事件应急响应机制。应急处置时,需要其他部门、行业或技术支撑队伍支持的,一定及时报请县网信办协调,同时配合其他部门尽快解决。

四、细化措施,排除隐患。

办公室将对对全局的网络设备、计算机进行一次细致的排查。检查安装桌面终端安全管理系统和杀毒软件,确保桌面终端安全管理系统注册率和360杀毒软件覆盖率达百分之百。对于在检查中发现的问题或可能存在的安全隐患、安全漏洞和薄弱环节,立即进行整改。进一步完善相关应急预案,落实应急保障条件。杜绝出现违规“自选动作”,遇重大突发敏感事件,一律按统一部署进行报道。各科室要严把网上宣传报道导向关,严格规范稿源,不得违规自采,不得违规转裁稿件,不得擅自篡改标题。严格网上新闻报道审校制度,防止出现低级错误,同时加大了对新闻跟帖的管理,组织本单位网评员积极跟帖。

五、应急值守

1.单位网络安全应急负责人、联系人要保持网络畅通,及时接收风险提示、预警信息和任务要求,并按要求报告相关情况。负责人、联系人名单或联系方式有调整的,及时函告县网信办。

2.值班期间,实行每日“零报告”制度,每日下午17:00前,报送当天本部门网络安全运行情况、受攻击情况和事件情况,一旦发生网络安全事件,立即启动应急预案,迅速应对,有效处置,并按规定程序及时报告有关情况。

六、工作要求

网络安全整改报告范文第3篇

一、工作目标

通过专项检查,认真查找网络与信息安全存在的隐患和漏洞,增强各单位的安全意识;全面落实安全组织、安全制度和技术防范措施,建立和完善安全防范机制,确保网络与信息安全。

二、组织领导

成立县网络与信息安全专项检查工作组,工作组由县政府电子政务办公室牵头,县经信委、县公安局、县保密局等相关部门组成,负责对全县政府网络与信息安全检查工作的督导,对重要信息系统进行现场检查,并做好检查的汇总分析和上报工作。各单位要制定具体的安全检查方案,并组织实施。

三、检查范围

专项检查的重点是党政机关门户网站和办公系统,以及基础信息网络(公众电信基础网络、广播电视传输网)和关系国计民生、国家安全、经济命脉、社会稳定的重要信息系统(金融、电力、交通、税务、财政、社会保障、供电供水等)。

四、专项检查内容

(一)信息网络安全组织落实情况。信息安全工作职责的主管领导、专职信息安全员等设置情况。

(二)信息网络安全管理规章制度的建立和落实情况。各单位制订相关的信息网络安全管理制度,重点是信息网络系统中软环境、物理环境、运行环境、软件和数据环境等方面管理制度。机房安全、系统运行、人员管理、密码口令、网络通信安全、数据管理、信息审核登记、病毒检测、网络安全漏洞检测、账号使用登记和操作权限管理、安全事件倒查、领导责任追究等制度建立和执行情况。

(三)技术防范措施落实情况。各单位在实体、信息、运行、系统和网络安全等方面,是否制定安全建设规划和实施方案及应急计划。在防攻击、防病毒、防篡改、防瘫痪、防窃密方面,是否有科学、合理、有效的安全技术防范措施。党政重要系统中使用的信息产品和外包服务,是否经过国家认监委、工信部、公安、安全、密码管理等相关部门认证。

(四)执行计算机信息系统安全案件、事件报告制度情况。发生信息安全事件,是否按照报告制度向有关部门报告。

(五)有害信息的制止和防范情况。重点对利用互联网散布政治谣言、扰乱社会秩序、宣扬和封建迷信,以及传播、色情、暴力、等有害信息进行检查。

(六)党政机关保密工作。重点检查保密规章制度建设、领导干部的保密工作,重大活动和重要会议的各项内容事先是否经过保密审查审批,国家秘密文件、资料和其它物品的管理,的电子设备、通信和办公自动化系统是否符合保密要求。

(七)重要信息系统等级保护工作开展情况。重点检查等级保护工作部署和组织实施情况,信息系统安全等级保护定级备案情况,信息安全设施建设情况和信息安全整改情况。

五、专项检查方法与步骤

本次专项检查分三个阶段进行:

(一)自查阶段:6月15日—6月20日。

各单位根据专项检查内容对本单位的网络与信息安全工作进行一次全面的自查,对存在的突出安全隐患进行整改,切实加强本单位网络与信息安全的防护工作。

(二)抽查阶段:6月25日—7月16日。

县网络与信息安全专项检查工作组组织有关单位对部分单位进行抽查和信息安全风险测评,并提出整改意见。

(三)整改阶段:7月16日—7月31日。

各单位对自查和抽查中查出的问题、隐患进行整改,并将整改情况于7月31日前报县网络与信息安全专项检查工作组(联系人:联系电话:邮箱:),县网络与信息安全专项检查工作组汇总情况后报县政府、市网络与信息安全专项检查工作组、省网络与信息安全协调小组,并对全县网络与信息安全专项检查工作进行通报。

六、工作要求

(一)加强组织领导。各单位要充分认识信息安全及本次专项检查工作的重要性和紧迫性。要按照谁主管谁负责、谁运行谁负责的原则,明确分管领导和工作人员。认真按照网络和信息安全专项检查内容,建立健全安全组织、安全管理制度,落实安全防范措施,切实做好重要信息系统的安全建设和管理。

网络安全整改报告范文第4篇

2017关于互联网门户网站保密检查工作自查报告汇总

机关单位保密工作自查报告精选3篇

乡镇保密工作自查自评报告范文

保密工作自查自评报告范文

2017年保密工作自查自评报告

部队个人保密自查报告

互联网门户网站保密自查报告

2017关于互联网门户网站保密检查工作自查报告篇【一】

根据南信联发[xx]4号文件《关于开展**市电子政务网信息安全与网络管理专项检查的通知》文件精神,我局积极组织落实,认真对照,对网络安全基础设施建设情况、网络安全防范技术情况及网络信息安全保密管理情况进行了自查,对我局的网络信息安全建设进行了深刻的剖析,现将自查情况报告如下:

一、加强领导,成立了网络与信息安全工作领导小组

为进一步加强全局网络信息系统安全管理工作,我局成立了网络与信息系统安全保密工作领导小组,由局长任组长,下设办公室,做到分工明确,责任具体到人。确保网络信息安全工作顺利实施。

二、我局网络安全现状

我局的统计信息自动化建设从一九九七年开始,经过不断发展,逐渐由原来的小型局域网发展成为目前与国家局、自治区局以及县区局实现四级互联互通网络。网络核心采用思科7600和3600交换机,数据中心采用3com4226交换机,汇集层采用3com4226交换机、思科2924交换机和联想天工 ispirit 1208e交换机,总共可提供150多个有线接入点,目前为止已使用80个左右。数据中心骨干为千兆交换式,百兆交换到桌面。因特网出口统一由市信息办提供,为双百兆光纤;与自治区统计局采用2兆光纤直联,各县区统计局及三个开发区统计局采用天融信vpn虚拟专用网络软件从互联网上连接进入到自治区统计局的网络,vpn入口总带宽为4兆,然后再连接到我局。横向方面,积极推进市统计局与政府网互联,目前已经实现与100多家市级党政部门和12个县区政府的光纤连接。我局采用天融信硬件防火墙对网络进行保护,采用伟思网络隔离卡和文件防弹衣软件对重点计算机进行单机保护,安装正版金山毒霸网络版杀毒软件,对全局计算机进行病毒防治。

三、我局网络信息化安全管理

为了做好信息化建设,规范统计信息化管理,我局专门制订了《**市统计局信息化规章制度》,对信息化工作管理、内部电脑安全管理、机房管理、机房环境安全管理、计算机及网络设备管理、数据、资料和信息的安全管理、网络安全管理、计算机操作人员管理、网站内容管理、网站维护责任等各方面都作了详细规定,进一步规范了我局信息安全管理工作。

针对计算机保密工作,我局制定了《涉密计算机管理制度》,并由计算机使用人员签订了《**市统计局计算机保密工作岗位责任书》,对计算机使用做到谁使用谁负责对我局内网产生的数据信息进行严格、规范管理。

此外,我局在全局范围内每年都组织相关计算机安全技术培训,计算站的同志还积极参加市信息办及其他计算机安全技术培训,提高了网络维护以及安全防护技能和意识,有力地保障我局统计信息网络正常运行。

四、网络安全存在的不足及整改措施

目前,我局网络安全仍然存在以下几点不足:一是安全防范意识较为薄弱;二是病毒监控能力有待提高;三是遇到恶意攻击、计算机病毒侵袭等突发事件处理不够及时。

针对目前我局网络安全方面存在的不足,提出以下几点整改办法:

1、加强我局计算机操作技术、网络安全技术方面的培训,强化我局计算机操作人员对网络病毒、信息安全的防范意识;

2、加强我局计算站同志在计算机技术、网络技术方面的学习,不断提高我局计算机专管人员的技术水平。

2017关于互联网门户网站保密检查工作自查报告篇【二】

根据铜保局发【2012】1号文件要求,我局迅速对我单位互联网门户网站的保密工作进行检查落实,现将自查情况报告如下:

一、领导重视、责任落实

为加强对保密工作的领导,把保密工作落到实处,我局及时调整了保密工作领导小组。由一把手担任局保密工作领导小组组长,对保密工作总负责;分管领导任副组长,负责指导、协调和督促、检查保密事务,及时处理保密工作中的重大问题和失泄密事件;领导小组成员由局属各股室、站、大队负责人组成。局党组把保密工作列入议事日程,同业务工作一同研究部署,指定责任领导、责任单位、责任人,定期听取保密工作情况汇报,确保保密工作落到实处。领导小组不定期对单位保密工作执行情况进行检查指导,督促保密工作的落实,推进了保密工作的发展。

二、完善制度,强化责任

我局十分重视保密审查制度建设,先后建立完善了《县环保局保密工作制度》、《文印室保密管理制度》等保密工作制度。修订和完善保密领导小组工作职责和各项保密规章制度,层层签订保密承诺书,完善约束机制,明确责任和义务,严格加强公文保密管理规定,切实履行公文的收发、传递、借阅、清退、归档和销毁等各个环节的登记、签字手续,严禁公文随处丢放。秘密文件严格限制知悉范围,从不随意扩散、复印。传达秘密文件按照有关的管理规定,除公务需要外不得擅自携带秘密文件外出。从制度上确保了涉密信息不上网,上网信息不涉密。

三、已的信息是否存在涉密现象

按照《中华人民共和国政府信息公开条例》等规定要求,我局成立了保密检查工作领导小组。召开专题会议并制定实施方案对保密检查工作进行部署和安排,局属各股室、站、大队严格按照要求,对办公网络、计算机、移动存储介质进行拉网式检查,我局互联网和政务公开网上已的信息不存在涉密、泄密现象。

四、下一步工作计划

我们将在全体干部职工中进一步深入开展保密宣传教育,努力提高干部职工对新形势下保密工作重要性的认识,增强维护国家秘密安全的自觉性。及时传达学习上级关于保密工作的文件精神,增强保密意识;运用典型事例开展保密教育,把泄密事件作为典型反面教材,反复宣传教育,使全体人员从中得到警示。

网络安全整改报告范文第5篇

提升网络安全保护水平

《中华人民共和国网络安全法》(以下简称《网络安全法》)已于2017年6月1日起施行。《网络安全法》明确了网络安全保护和监管的工作原则、管理体制和管理制度,为维护我国网络空间主权、国家安全和社会公共利益提供了有力的法律保障,为公安网安部门履行网络安全监管职责提供了有力的法律武器,为公安机关维护社会大局稳定、促进社会公平正义、保障人民群众安居乐业提供了有力的支持。公安机关尤其是公安网安部门必须深入学习《网络安全法》,主动应对其带来的各种变化,依法履行网络安全监管职能,大力推动《网络安全法》执法实践。本文从深入理解领会、把握职能定位和厘清竞合适用三个维度探讨公安机关如何贯彻落实《网络安全法》,重点解读《网络安全法》与相关网络安全管理法律、行政法规和规章在七项管理制度上的交叉理解和竞合适用问题。

1

深入理解领会

作为我国第一部网络安全的基础性法律,《网络安全法》贯穿了网络空间主权维护、网络安全与信息化发展并重、网络安全综合治理、网络安全重点保护四项原则,体现了我国对网络安全规律认识的逐步深化;规定了国家网信部门统筹协调,电信、公安依法履行安全保护和监督管理的管理体制,有助于进一步强化各部门的资源整合和行动协同;确立或重申了网络安全等级保护、网络产品和服务管理、网络实名、个人信息保护、网络信息和应用管理、关键信息基础设施保护(含国家安全审查、个人信息和重要数据境内存储)、监测预警和应急处置等七大制度,规定了执法协助、危害行为规制、责任追究等三大项行政立法的通用要求(见下图);总体来看,《网络安全法》形成了网络自身保护与网络服务保护相结合,网络技术安全与内容安全相结合,网络生命周期管控与网络供应链条管控相结合,教育、查处和信用惩戒相结合的制度体系。

《网络安全法》的体系架构图

2

把握职能定位

在网络安全监督管理体制方面,《网络安全法》第八条规定国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定,在各自职责范围内负责网络安全保护和监督管理工作。目前其他规定网络安全职责问题的“法律、行政法规”主要有《中华人民共和国警察法》、《互联网信息服务管理办法》、《中华人民共和国计算机信息系统安全保护条例》(以下简称《条例》)、《计算机信息网络国际联网安全保护管理办法》(以下简称《办法》)等。《中华人民共和国警察法》、《条例》和《办法》分别明确了公安机关的人民警察主管计算机信息系统安全监察工作、公安部主管全国计算机信息系统安全保护工作、公安部计算机管理监察机构负责计算机信息网络国际联网的安全保护管理工作。综上所述,国家网信部门是网络安全的统筹协调部门,而公安机关是网络安全的法定主管部门,因而《网络安全法》中,除了明确规定由公安机关负责的事项,对于未列明监管部门或者宽泛规定由“有关主管部门”负责的事项,公安机关均应承担监管职责。公安机关应准确把握职能定位,推动各级公安网安部门积极开展《网络安全法》的执法工作。

3

厘清竞合适用

《网络安全法》不少制度、条款、术语与其他网络安全管理相关法律、行政法规、规章存在交叉和不一致,网络安全等级保护、网络实名、个人信息保护、网络信息和应用软件管理、关键信息基础设施保护、执法协助、危害行为规制等七项管理制度须重点进行关联解读和适用理解。

1)网络安全等级保护

《网络安全法》第二十一条、第二十五条规定了等级保护目的在于“保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改”,从管理制度、操作规程、安全负责人、防病毒、攻击、侵入、数据保护以及应急处置等方面强化网络安全等级保护义务,并明确了还需落实“法律、行政法规规定的其他义务”,违者根据第五十九条处罚。目前,明确对网络安全等级保护做出规定的行政法规有《条例》第九条“计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法,由公安部会同有关部门制定。”并在第二十条规定违反等级保护制度可以警告或者停机整顿的行政处罚。为落实《条例》,公安部会同国家保密局、国家密码管理局、国家信息化领导小组办公室于2007年出台了《信息安全等级保护管理办法》,规定了等级保护的定级、备案、建设、整改、测评等流程以及三级以上信息系统选用安全专用产品和测评机构的要求,在具体的安全管理制度和技术措施方面则指向了推荐性的行业标准。因此,违反《信息安全等级保护管理办法》关于流程方面的强制性规定,则违反了《条例》第九条,可以按照《条例》第二十条处罚。而根据《网络安全法》的规定,《条例》及《信息安全等级保护管理办法》规定的等级保护有关义务属于《网络安全法》第二十一条规定的“法律、行政法规规定的其他义务”,因此,应适用《网络安全法》第五十九条处罚。此外,还有《办法》中规定的安全义务,虽然未列明属于等级保护,但如其属于实体安全、运行安全、数据安全范畴,目的在于“保障网络免受干扰、破坏或者未经授权的访问,防止网络数据泄露或者被窃取、篡改”的,也应适用《网络安全法》第五十九条处罚。而根据《办法》制订的《互联网安全保护技术措施规定》(以下简称《规定》)规定的运行安全、数据安全义务,在处罚时应引用《办法》,将《规定》规定的细化要求视为《办法》中有关安全义务的解释,在此基础上运用《网络安全法》实施处罚。

2)网络实名

《网络安全法》第二十四条规定了“网络接入、域名注册服务,办理固定电话、移动电话等入网手续,或者为用户提供信息、即时通讯等服务”等服务,“应当要求用户提供真实身份信息。用户不提供真实身份信息的,网络运营者不得为其提供相关服务。”第六十一条规定了处罚。而《中华人民共和国反恐怖主义法》(以下简称《反恐法》)第二十一条规定,“电信、互联网、金融、住宿、长途客运、机动车租赁等业务经营者、服务提供者,应当对客户身份进行查验。对身份不明或者拒绝身份查验的,不得提供服务”,并在第八十六条规定了处罚。《规定》第八条、第九条、第十条则规定了接入服务、互联网数据中心服务单位和联网单位要记录并留存用户注册信息,开办电子公告服务的,具有用户注册信息和信息审计功能。综上所述,网络实名的完整要求包括了要求用户提供真实身份信息、真实身份信息的核验、对真实身份信息的留存、不提供则不服务四个方面,分别在《网络安全法》、《反恐法》、《规定》作了要求,对违反者应分别适用相应依据处罚。

3)个人信息保护

《网络安全法》第四十二条规定网络运营者“未经被收集者同意,不得向他人提供个人信息”,而第四十四条规定“任何个人和组织不得窃取或者以其他非法方式获取个人信息,不得非法出售或者非法向他人提供个人信息”,相应的法律责任分别由第六十四条第一款和第二款作了规定,存在竞合之处,前者规定的是特殊主体“网络运营者”,后者是一般主体“任何个人和组织”。对网络运营者的违法行为应依照第六十四条第一款处罚,对其他主体(包括网络运营者内部员工的个人违法行为)则依据依照第六十四条第二款处罚。

4)网络信息和应用软件管理

《网络安全法》第四十七条规定,“网络运营者应当加强对其用户的信息的管理,发现法律、行政法规禁止或者传输的信息的,应当立即停止传输该信息,采取消除等处置措施,防止信息扩散,保存有关记录,并向有关主管部门报告”。但在第六十八条第一款仅规定“违反本法第四十七条规定,对法律、行政法规禁止或者传输的信息未停止传输、采取消除等处置措施、保存有关记录的”给予处罚,并将“向有关主管部门报告”纳入在内。而对违法信息未停止传输、采取消除等措施既包括了未“加强对用户的信息的管理”,还包括了“发现”违法信息但未采取措施。此外,《规定》中第九条、第十条明确了互联网信息服务、互联网数据中心服务提供者和联网单位要“在公共信息服务中发现、停止传输违法信息,并保留相关记录”,与《网络安全法》的规定竞合,应适用《网络安全法》。

另外,《网络安全法》第四十八条规定,“电子信息发送服务提供者和应用软件下载服务提供者,应当履行安全管理义务,知道其用户有前款规定行为的,应当停止提供服务,采取消除等处置措施,保存有关记录,并向有关主管部门报告。”并在第六十八条第二款明确了法律责任,其适用对象是电子信息发送服务提供者(似乎指的是通信网络的短信息)和应用软件下载提供者,将安全义务、处置义务、报告义务全面纳入,适用的行为是发送信息及提供应用软件,而不仅仅是信息。

5)关键信息基础设施保护

《网络安全法》第三十八条规定,“除本法第二十一条的规定外,关键信息基础设施的运营者还应当履行下列安全保护义务”,并在第五十九条第二款规定了处罚。因此,第三十八条对关键信息基础设施运营者的安全义务的规定包含了第三十八条的内容,关键信息基础设施的运营者不履行第三十八条的义务,应按照第五十九条第二款处罚。第三十八条规定“关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估,并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。”其“检测评估”与《信息安全等级保护管理办法》规定的“等级测评”存在交叉。由于关键信息基础设施保护是“在网络安全等级保护制度的基础上,实行重点保护”,因此,关键信息基础设施的等级测评仍应开展。

6)执法协助

《网络安全法》规定了情况报告机制、技术支持协助、配合监督检查、配合信息处置等执法协助义务,与《反恐法》、《条例》、《办法》存在复杂的竞合关系,须正确理解适用。

(1)情况报告。《网络安全法》第十四条、第二十二条、第二十五条、第四十二条、第四十七条、第四十八条规定了危害网络安全行为举报、网络产品和服务风险报告、网络安全事件报告、个人信息事件报告、违法信息报告、恶意程序报告等制度。第十四条规定,“任何个人和组织有权对危害网络安全的行为向网信、电信、公安等部门举报”。第二十二条规定网络产品、服务“发现其网络产品、服务存在安全缺陷、漏洞等风险时,应当立即采取补救措施,按照规定及时告知用户并向有关主管部门报告”。第二十五条规定网络运营者“在发生危害网络安全的事件时,立即启动应急预案,采取相应的补救措施,并按照规定向有关主管部门报告”。第四十二条规定网络运营者“在发生或者可能发生个人信息泄露、毁损、丢失的情况时,应当立即采取补救措施,按照规定及时告知用户并向有关主管部门报告”。第四十七条规定网络运营者“发现法律、行政法规禁止或者传输的信息的,应当立即停止传输该信息,采取消除等处置措施,防止信息扩散,保存有关记录,并向有关主管部门报告”。第四十八条规定电子信息发送服务提供者和应用软件下载服务提供者发现其用户发送的电子信息、提供的应用软件,设置恶意程序,或者含有法律、行政法规禁止或者传输的信息应“并向有关主管部门报告。”《网络安全法》第五十九条、第六十条、第六十四条、第六十八条规定违反网络产品和服务风险报告、网络安全事件报告、个人信息事件报告、电子信息发送服务提供者和应用软件下载服务提供者对违法信息和恶意程序的报告由有关主管部门处罚。而《条例》第十四条也规定“对计算机信息系统中发生的案件,有关使用单位应当在24小时内向当地县级以上人民政府公安机关报告”,并在第二十条中规定了处罚。因此,对于违反《网络安全法》规定的网络产品和服务风险报告、网络安全事件报告、个人信息事件报告,以及电子信息发送服务提供者和应用软件下载服务提供者的恶意程序和违法信息报告等责任,未向公安机关履行报告义务的,公安机关可以根据《网络安全法》相关条款处罚,对于其他案件包括违法信息的报告,其法律责任仍适用《条例》第二十条。

(2)技术支持协助。《网络安全法》第二十八条规定“网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助”,并在法律责任中规定了由有关主管部门处罚。该条系借鉴《反恐法》第十八条所作的规定。但未明确提到十八条规定的“接术接口和解密”。《反恐法》规定了由主管部门处罚,情节严重的并可以由公安机关处以行政拘留。而《办法》第八条则规定“从事国际联网业务的单位和个人应当接受公安机关的安全监督、检查和指导,如实向公安机关提供有关安全保护的信息、资料及数据文件,协助公安机关查处通过国际联网的计算机信息网络的违法犯罪行为”,并规定了公安机关对拒不如实提供有关安全保护的信息、资料及数据文件行为的处罚。《规定》第十六条规定“互联网服务提供者依照本规定采取的互联网安全保护技术措施应当具有符合公共安全行业技术标准的联网接口”,并规定了违者适用《办法》予以处罚。具体适用上,如属于防范、调查恐怖活动的情形,适用《反恐法》,如属于其他维护国家安全和侦查犯罪的情形,适用《网络安全法》。如果不属于维护国家安全、侦查犯罪以及防范和调查恐怖活动的情形,未如实提供有关安全保护的信息、资料及数据文件,互联网服务提供者互联网安全保护技术措施未具有符合公共安全行业技术标准的联网接口,则适用《办法》。

(3)配合监督检查。《网络安全法》第六十九条规定了对“拒绝、阻碍有关部门依法实施的监督检查”的行为实施处罚。而《中华人民共和国治安管理处罚法》(以下简称《治安管理处罚法》)第五十条规定了对“阻碍人民警察依法执行职务”的处罚。因此,拒绝公安机关依法实施的网络安全监督检查的,根据《网络安全法》第六十九条第(二)项处罚。阻碍公安机关依法实施的网络安全监督检查的,对“单位”根据《网络安全法》第六十九条第(二)项处罚,对“其直接负责的主管人员和其他直接责任人员”依据《治安管理处罚法》第五十条予以处罚。

(4)配合信息处置。《网络安全法》第五十条规定,“国家网信部门和有关部门依法履行网络信息安全监督管理职责,发现法律、行政法规禁止或者传输的信息的,应当要求网络运营者停止传输,采取消除等处置措施,保存有关记录;对来源于中华人民共和国境外的上述信息,应当通知有关机构采取技术措施和其他必要措施阻断传播。”并在第六十九条规定了处罚。而《办法》第十八条规定“公安机关计算机管理监察机构发现含有本办法第五条所列内容的地址、目录或者服务器时,应当通知有关单位关闭或者删除”。《反恐法》第十九条第二款规定“网信、电信、公安、国家安全等主管部门对含有恐怖主义、极端主义内容的信息,应当按照职责分工,及时责令有关单位停止传输、删除相关信息,或者关闭相关网站、关停相关服务。有关单位应当立即执行,并保存相关记录,协助进行调查。对互联网上跨境传输的含有恐怖主义、极端主义内容的信息,电信主管部门应当采取技术措施,阻断传播。”并在第八十四条规定了处罚。因此,不按照公安机关的要求对法律、行政法规禁止或者传输的信息,采取停止传输、消除等处置措施的,公安机关可以依照《网络安全法》第六十九条给予处罚。电信业务经营者、互联网服务提供者未落实安全、信息内容监督制度和安全技术防范措施,造成含有恐怖主义、极端主义内容的信息传播,由公安机关依照《反恐法》处罚。至于处置措施,除了停止传输、消除外,还可使用《反恐法》所提到的关闭相关网站、关停相关服务,还有《办法》提到的关闭地址、目录、服务器。

7)危害行为规制

《网络安全法》第二十七条规定了“任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动;不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具”,并在第六十三条规定了违反第二十七条的行政处罚,其目的是与《刑法》第二百八十五条、第二百八十六条相衔接,但在细节上有所不同,在危害网络安全活动的程序、工具方面,《刑法》列明是“用于侵入、非法控制”。而《网络安全法》列明“用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动”,隐含了“非法控制”这一类。