NISP1.2学习笔记

文章目录

一、国家的立法体系

1.我国的立法体系

• 立法是网络空间治理的基础工作
• 我国采取多级立法机制

二、网络安全法解析

1.网络安全法立法过程

2.《网络安全法》基本概念

网络

•     由计算机或者其他信息终端及相关设备按照一定规律和程序对信息进行搜集、存储、传输、交换、处理的系统。
  

•     《网络安全法》里面的网络实质上是网络空间，不仅对传统的IT领域的计算机网络，还包含相关处理信息的服务器和各种其他的软硬件。
  

网络空间

    通过采取必要的措施，防范对网络的攻击、干扰、破坏和非法使用以及意外事故，是网络处于稳定的可靠的运行状态，以及保障网络数据的完整性、保密性、可用性的能力。

关键信息基础设置

    指面向公众提供网络信息服务或支撑能源、通信、金融、交通、公用事业等重要行业的信息系统或工业控制系统。

网络运营者

    指网络的所有者管理者和网络服务的提供者

个人信息

    指以电子或其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的相关信息，包括但不限于人的姓名、出生日期、身份证号码、个人生物识别信息、住址、电话等

网络数据

    指通过网络收集、存储、传输、处理和生产的各种电子数据

2.《网络安全法》主要结构

《网络安全法》共计七章79条

第一章、总则

明确网络空间的主权原则，明确了网络安全的管理体制及其分工

作为我国网络安全治理的基本法，《网络安全法》在总则部分确立了网络主权原则，明确了网络安全管理体制和分工，及域外的适用效力

明确网络空间的主权原则

立法目的——保障空间安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法利益，促进经济社会信息化健康发展。

适用范围

在中华人民共和国境内建设运营、维护和使用网络，以及网络安全的监督管理

意志体现

国家坚持、国家鼓励、国家采取措施

第二章：网络安全支持与促进

建立和完善网络安全标准体系的建设

• 统筹规划，扶持网络安全产业（产品、服务等）
• 推动社会化网络安全服务体系建设
• 鼓励和开发数据安全保护和利用技术、创新网络安全管理方式
• 开展经常性网络安全教育
• 支持企业和高等学校、职业学校等教育机构开展网络安全相关教育与培训，采取多种方式培养网络安全人才，促进网络安全人才交流。

第三章：网络运行安全

明确要求落实网络安全等级保护机制

    第二十一条国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
     （一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
     （二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
     （三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
     （四）采取数据分类、重要数据备份和加密等措施；
     （五）法律、行政法规规定的其他义务。

网络产品、服务

•     应当符合相关国家标准的强制性要求
  

网络关键设备和网络安全专用产品

•     符合相关国家标准的强制性要求
  

•     具备资格的机构安全认证合格或者安全检测符合要求后，访客销售或者提供
  

网络运行着的责任

•     实名服务：提供服务前要求用户实名
  

•     紧急预案：制定网络安全应急预案
  

•     信息发布合规：开展网络安全活动、信息发布合规
  

•     技术支持与协作：为公安机关、国家机关提供支持
  

•     运营商合作：网络运营者之间进行紧密合作
  

网信部门责任和一般要求

• 网信部门要求：网信部门和有关部门在履行网络安全保护职责中获取的信息，只能用于维护网络安全的需要，不得用于其他用途。
• 一般要求 任何人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事入侵网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动，不得为其提供技术支持、广告推广、支付结算等帮助

关键信息基础设施保护

• 内涵：公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务重要行业和领域的关键信息基础设施，一旦遭到破坏、丧失功能或者数据泄漏，可能严重危害到国家安全、国计民生、公共利益的关键信息基础设施
• 外延：关键信息基础设施的集体范围由国务院指定。鼓励关键信息基础设施意外的网络运营者资源参与关键信息基础设施保护体系
• 管理机制：按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门具体负责实施本行业、本领域的关键信息基础设施保护工作。国家网信部门统筹泄题阿婆有关部门的关键信息基础设施采取安全保护措施。
• 建设要求：确保具有支持业务稳定、持续运行的性能。安全技术措施同步规划、同步建设、同步使用。

运营者安全保护义务

• 风险评估机制：自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关部门。

• 安全采购措施：采购网络产品和服务可能影响国家安全的，应当通过国家安全审查。应与网络产品和服务提供者签订安全保密协议

• 应急原机制：制定网络安全事件应急预案，并定期进行演练。

• 数据境境内留存

            在我国境内运营中收集和产生的个人信息和重要数据应当在境内存储。确需向境外提供的，需经国家安全评估；对重要系统和数据库进行容灾备份。
             关键基础设施运营中产生的数据必须境内存储，因业务需要向外提供的，按照国家网信部门会同国务院有关部门制定的办法进行安全评估，《个人信息和重要数据出境安全评估办法（征求意见稿）》个人信息和重要数据出境的范围
             影响国家安全、损害公共利益，或者难以有效保障个人信息安全的不得出境
             建立个人信息出境记录并且至少保存5年
             每2年或者个人信息出境目的、类型和境外保存时间发生变化时应当重新评估
  

• 人员安全管理：设置专门安全管理机构和安全管理负责人；对负责人和关键岗位的人员进行安全背景审查；定期对从业人员进行网络安全教育、培训和考核。

明确我国实行网络安全审查制度

• 第三十五条 关键信息基础设施的运营者采购网络产品和服务可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。

《网络产品和服务安全审查办法（试行）》

• 就审查的目的、需要审查的网络产品和服务的范围、网络安全审查的管理部门（网络安全审查委员会）、审查的机构（国家统一认定网络安全审查第三方机构）和对党政机关和重点行业的审查工作提出要求。
• 与2017年6月1日同《网络安全法》一同实施。

重视对个人信息保护

保护规范【原则：合法、正当、必要（第41条）】

• 规则透明：公开规则、获得同意（第41条）
• 目的限制：不得超范围收集、违法和违约收集（41条）
• 安全保密：建立用户信息保护制度（第40条）不得泄露毁损、预防措施、补救措施（42条）
• 删除改正：删除违法、违约信息、改正有误信息（43条）

规范主体

• 网络运营者：安全保密、知情同意、目的限制、删除改正
• 任何个人和组织：不得窃取、非法出售个人信息
• 负责网络安全监督管理职责的部门及其工作人员（监督部门）：保密、不得泄漏出售

第四章: 网络信息安全

规范信息管理

确立信息管理中相关职责

第五章：检测预警与应急处置

工作制度化，法制化

对违反《网络安全法》的行为，第六章规定六民事责任、行政责任、刑事责任

三、网络安全相关法律

第一章：互联网信息安全内容安全

我国互联网新闻信息治理一步步具体和细化，构成了从法律、行政法规、部门规章到规范性文件较为完善的制度体系

• 《互联网信息服务管理办法》
• 《互联网新闻信息服务管理规定》
• 《互联网信息内容管理行政执法程序规定》
• 《互联网新闻信息服务许可管理实施细则》
• 《互联网新闻信息内容从业人员管理办法》

第二章：关键信息基础设施保护

关键信息基础设施是《网络安全法》中明确规定的保护重点

• 《关键信息基础设施安全保护条例(征求意见稿)》
• 《关键信息基础设施识别指南》
• 《网络安全审查办法》

第三章：个人信息和重要数据保护

网络空间时代的来临，个人信息和数据保护的重要性不断提升

• 《数据安全法》
• 《儿童个人信息网络保护规定》
• 《个人信息出境安全评估办法(征求意见稿)》
• 《个人信息保护法(草案)》
• 《密码法》

刑法

刑法第二百八十五条

• 违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。
• 违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金;情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。
• 提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。
• 单位犯前三款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各该款的规定处罚。

刑法第二百八十六条

• 违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。
• 拒不履行信息网络安全管理义务罪
• 网络服务提供者不履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒不改正，有下列情形之-一的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金:
• (一)致使违法信息大量传播的;
• (二) 致使用户信
• 息泄露，造成严重后果的;
• (三) 致使刑事案件证据灭失，情节严重的;
• (四) 有其他严重情节的。单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照前款的规定处罚。有前两款行为，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。

刑法第二百八十七条

• 利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。
• 第二百八十七条之一 非法利用信息网络罪
• 利用信息网络实施下列行为之一，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金:
• (一) 设立用于实施诈骗、传授犯罪方法、制作或者销售违禁物品、管制物品等违法犯罪活动的网站、通讯群组的;
• (二) 发布有关制作或者销售毒品、枪支、淫秽物品等违禁物品、管制物品或者其他违法犯罪信息的;
• (三) 为实施诈骗等违法犯罪活动发布信息的。单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。有前两款行为，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。
• 第二百八十七条之二 帮助信息网络犯罪活动罪
• 明知他人利用信息网络实施犯罪，为其犯罪提供互联网接入、服务器托管、网络存储、通讯传输等技术支持，或者提供广告推广、支付结算等帮助，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照第一款的规定处罚。有前两款行为，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。

国家安全法

第二十五条规定国家建设网络与信息安全保障体系，提升网络与信息安全保护能力，加强网络和信息技术的创新研究和开发应用，实现网络和信息核心技术、关键基础设施和重要领域信息系统及数据的安全可控;加强网络管理，防范、制止和依法惩治网络攻击、网络入侵、网络窃密、散布违法有害信息等网络违法犯罪行为，维护国家网络空间主权、安全和发展利益。