(網(wǎng)經(jīng)社訊)《通信網(wǎng)絡(luò)安全防護(hù)管理辦法》(工信部第11號令)確定了定級備案制度、“三同步”制度、符合性評測制度、風(fēng)險(xiǎn)評估制度和監(jiān)督檢查制度等網(wǎng)絡(luò)安全防護(hù)工作基本制度。
根據(jù)《關(guān)于2020年年報(bào)“網(wǎng)絡(luò)信息安全表”中“網(wǎng)絡(luò)安全工作落實(shí)情況”項(xiàng)的填報(bào)要求》，電信和互聯(lián)網(wǎng)企業(yè)在提交年報(bào)時(shí)需要填寫一下有關(guān)內(nèi)容：
1.企業(yè)網(wǎng)絡(luò)及業(yè)務(wù)系統(tǒng)網(wǎng)絡(luò)安全定級備案。
2.網(wǎng)絡(luò)安全“三同步”落實(shí)情況報(bào)告。
3.針對各企業(yè)網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)，分別完成網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估報(bào)告。
4.利用移動應(yīng)用開展公共服務(wù)的企業(yè)，完成由第三方專業(yè)機(jī)構(gòu)提供的移動應(yīng)用安全評估評測報(bào)告。
填寫說明：
1.自2019年起，企業(yè)需在部“通信網(wǎng)絡(luò)安全防護(hù)管理系統(tǒng)”中填報(bào)定級備案報(bào)告、三同步情況報(bào)告。
2.企業(yè)定級備案后的系統(tǒng)均需做符合性評測和風(fēng)險(xiǎn)評估，其中安全等級為二級的系統(tǒng)，每兩年做一次符合性評測和風(fēng)險(xiǎn)評估，安全等級為三級的系統(tǒng)，每年做一次符合性評測和風(fēng)險(xiǎn)評估。
3.以上評測和評估均可自行開展評估或委托第三方。
那么什么是定級備案、符合性評測、風(fēng)險(xiǎn)評估報(bào)告？（“三同步”落實(shí)情況報(bào)告由于簡化后只需要提交一份企業(yè)蓋章材料，按照更新上報(bào)，不在詳細(xì)說明）
一、定級備案
通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)對本單位已正式投入運(yùn)行的通信網(wǎng)絡(luò)進(jìn)行單元劃分和定級，并將劃分和定級情況向電信管理機(jī)構(gòu)備案。
定級備案工作位于安全防護(hù)工作的第一步，需按照網(wǎng)絡(luò)和系統(tǒng)單元的總體設(shè)計(jì)和規(guī)劃方案預(yù)估定級對象社會影響力、規(guī)模和服務(wù)范圍以及重要性來進(jìn)行定級和備案，如定級對象在后續(xù)的實(shí)施和運(yùn)行階段產(chǎn)生變化，應(yīng)按照變動的實(shí)際情況進(jìn)行重新定級。
根據(jù)網(wǎng)絡(luò)/系統(tǒng)單元的社會影響力I、規(guī)模和服務(wù)范圍R、所提供服務(wù)重要性V三個定級要素的賦值，采用以下公式來計(jì)算網(wǎng)絡(luò)/系統(tǒng)單元的安全等級值:
k=Round1{Log2[α×2I+β×2R+γ×2V]}
其中，k代表安全等級值，I代表社會影響力賦值、R代表規(guī)模和服務(wù)范圍賦值、V代表所提供服務(wù)的重要性賦值，Round1{}表示四舍五入處理，保留1位小數(shù)，Log2[]表示取以2為底的對數(shù)，α、β、γ分別表示網(wǎng)絡(luò)/系統(tǒng)單元的社會影響力、規(guī)模和服務(wù)范圍、所提供服務(wù)的重要性賦值所占的權(quán)重，分別為1/3、1/3、1/3。
安全等級值k安全等級
1≤k<1.5第1級
1.5≤k<2.5第2級
2.5≤k≤4第3級
4<k<4.5第4級
4.5≤k≤5第5級
定級報(bào)告的標(biāo)準(zhǔn)還在修改中，以后還是調(diào)整難度，應(yīng)該也會簡化。
二、符合性評測
通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)落實(shí)與通信網(wǎng)絡(luò)單元級別相適應(yīng)的安全防護(hù)措施，并進(jìn)行符合性評測。
“網(wǎng)絡(luò)單元”是指由系統(tǒng)和（或）網(wǎng)絡(luò)構(gòu)成的，符合業(yè)務(wù)清晰、邊界清晰、責(zé)任清晰原則的相對獨(dú)立的安全域。網(wǎng)絡(luò)單元的常見類別有：互聯(lián)網(wǎng)接入服務(wù)、互聯(lián)網(wǎng)數(shù)據(jù)中心、信息服務(wù)業(yè)務(wù)系統(tǒng)（門戶綜合網(wǎng)站系統(tǒng)、網(wǎng)絡(luò)交易系統(tǒng)、信息社區(qū)服務(wù)系統(tǒng)等）。其他還包括：固定通信網(wǎng)、移動通信網(wǎng)、增值業(yè)務(wù)網(wǎng)－消息網(wǎng)、增值業(yè)務(wù)網(wǎng)－智能網(wǎng)、接入網(wǎng)、傳送網(wǎng)、IP承載網(wǎng)、信令網(wǎng)、同步網(wǎng)、支撐網(wǎng)、非核心生產(chǎn)單元、網(wǎng)上營業(yè)廳、域名服務(wù)系統(tǒng)、互聯(lián)網(wǎng)云服務(wù)平臺、互聯(lián)網(wǎng)內(nèi)容分發(fā)網(wǎng)絡(luò)、移動互聯(lián)網(wǎng)聯(lián)網(wǎng)應(yīng)用、移動定位系統(tǒng)、WAP網(wǎng)關(guān)系統(tǒng)、大數(shù)據(jù)平臺、集中化安全管理系統(tǒng)、IPTV平臺、RCS融合通信平臺、融合網(wǎng)絡(luò)等。
符合性評測表一般包含業(yè)務(wù)安全、網(wǎng)絡(luò)安全、主機(jī)安全、中間件安全、安全域邊界安全、災(zāi)難備份及恢復(fù)、安全管理制度、第三方服務(wù)安全、用戶個人信息安全等方面。不一樣單元類型表格內(nèi)容有差異，企業(yè)需根據(jù)自身情況選擇對應(yīng)的網(wǎng)絡(luò)安全防護(hù)符合性評測表，并根據(jù)評測表各檢查點(diǎn)內(nèi)容及要求，按照定級對象實(shí)際情況選擇相應(yīng)的檢查結(jié)果選項(xiàng)（是、否、不適用），需對相關(guān)情況補(bǔ)充說明的可以填寫補(bǔ)充說明信息。
過去符合性評測是風(fēng)險(xiǎn)評估報(bào)告的一部分，現(xiàn)在最新要求已經(jīng)需要單獨(dú)成報(bào)告。
三、風(fēng)險(xiǎn)評估報(bào)告
通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)組織對通信網(wǎng)絡(luò)單元進(jìn)行安全風(fēng)險(xiǎn)評估，及時(shí)消除重大網(wǎng)絡(luò)安全隱患。
風(fēng)險(xiǎn)評估報(bào)告需要包含：系統(tǒng)概況、評測方法和工具、測評內(nèi)容、風(fēng)險(xiǎn)評估結(jié)果等。符合性評測不再作為風(fēng)險(xiǎn)評估報(bào)告的一部分。
公安機(jī)關(guān)的等級保護(hù)測評報(bào)告不得代替作為以上各評測報(bào)告。
年報(bào)信用管理制度
每年5月，對拒不履行年報(bào)義務(wù)的企業(yè)，電信管理機(jī)構(gòu)應(yīng)將其列入電信業(yè)務(wù)經(jīng)營不良名單。在相關(guān)企業(yè)補(bǔ)充履行年報(bào)義務(wù)后，電信管理機(jī)構(gòu)可將其從不良名單中移出。
進(jìn)入不良名單條件:
(一)未按規(guī)定報(bào)告年報(bào)信息，且在電信管理機(jī)構(gòu)限期內(nèi)仍未履行年報(bào)義務(wù)的;
(二)在電信業(yè)務(wù)經(jīng)營許可證載明信息發(fā)生變化時(shí)，未按規(guī)定及時(shí)辦理變更手續(xù)，受到行政處罰的;
(三)在電信管理機(jī)構(gòu)監(jiān)督檢查中，被發(fā)現(xiàn)其年報(bào)信息、日常經(jīng)營活動、落實(shí)網(wǎng)絡(luò)與信息安全管理責(zé)任、停止經(jīng)營時(shí)的善后工作、執(zhí)行國家和電信管理機(jī)構(gòu)有關(guān)規(guī)定等事項(xiàng)存在違法違規(guī)行為，受到行政處罰的(需直接列入電信業(yè)務(wù)經(jīng)營失信名單的除外);
進(jìn)入失信名單條件:
(一)受到吊銷經(jīng)營許可證處罰的;
(二)擅自經(jīng)營電信業(yè)務(wù)或者超范圍經(jīng)營電信業(yè)務(wù)，情節(jié)嚴(yán)重、受到責(zé)令停業(yè)整頓處罰的;
(三)列入不良名單后，三年內(nèi)再次受到責(zé)令停業(yè)整頓處罰的;
(四)以欺騙、賄賂等不正當(dāng)手段取得電信業(yè)務(wù)經(jīng)營許可證，被撤銷該行政許可的;(五)屬于第二條第一款第一項(xiàng)情形，屆滿三年仍未補(bǔ)充履行相關(guān)義務(wù)的;
(六)無正當(dāng)理由、逾期不履行行政處罰決定的;
(七)按照國家有關(guān)規(guī)定、屬于嚴(yán)重失信需要依法聯(lián)合懲戒的。
作者介紹：
陳思
杭州市律協(xié)互聯(lián)網(wǎng)信息專業(yè)委員會秘書長
清科集團(tuán)沙丘創(chuàng)業(yè)中心特聘導(dǎo)師
浙江省法學(xué)會網(wǎng)絡(luò)法制研究會理事
郵箱：chensi@dentons.cn
擅長社交電商企業(yè)合規(guī)、互聯(lián)網(wǎng)、金融領(lǐng)域。
孫鵬程
北京大成（杭州）律師事務(wù)所合伙人
浙江省法學(xué)會網(wǎng)絡(luò)法制研究會理事
郵箱：pengcheng.sun@dentons.cn
擅長互聯(lián)網(wǎng)、金融領(lǐng)域。
鐘海華
杭州世平信息科技有限公司
郵箱：zhonghh@shipinginfo.com
李婷
浙江御安信息技術(shù)有限公司
郵箱：lit@yuan-info.com
