深入推進網絡安全法治化建設

文/盧超

深入推進網絡安全法治化建設

文/盧超

《國家安全法》對信息安全體系建設作出戰略部署，從網絡技術研發、關鍵信息基礎設施保護、網絡違法犯罪治理、網絡空間主權維護等多個視角對信息安全制度建設進行了頂層設計，確立了針對網絡信息技術產品與服務的國家安全審查機制。網絡安全法（草案）從保障網絡產品和服務安全、網絡運行安全、網絡數據安全、網絡信息安全等諸多方面進行了具體制度設計。作為落實《國家安全法》的部門法，網絡安全法不僅將《國家安全法》中涉及信息安全的事項予以細化，更以網絡空間為載體，統籌政治、經濟、文化等國家安全各個領域。

網絡安全是事關國家安全和經濟社會發展的重大戰略問題。習近平總書記在中央網絡安全和信息化領導小組第一次會議上，提出了“沒有網絡安全就沒有國家安全”的科學論斷。2015年7月1日通過的《國家安全法》，對信息安全體系建設作出戰略部署，從網絡技術研發、關鍵信息基礎設施保護、網絡違法犯罪治理、網絡空間主權維護等多個視角對信息安全制度建設進行了頂層設計，確立了針對網絡信息技術產品與服務的國家安全審查機制。

在互聯網時代，我國面臨嚴峻的網絡安全挑戰，需要從國家治理現代化的戰略高度，在《國家安全法》的基礎上，通過網絡安全法等專項立法實現對網絡安全的全面掌控。2015年6月24日，十二屆全國人大常委會十五次會議初次審議了網絡安全法（草案）。草案從保障網絡產品和服務安全、網絡運行安全、網絡數據安全、網絡信息安全等諸多方面進行了具體制度設計。作為落實《國家安全法》的部門法，網絡安全法不僅將《國家安全法》中涉及信息安全的事項予以細化，更以網絡空間為載體，統籌政治、經濟、文化等國家安全各個領域。

“十三五”規劃進一步提出，強化信息安全保障，統籌網絡安全和信息化發展，完善國家網絡安全保障體系，強化重要信息系統和數據資源保護，提高網絡治理能力，保障國家信息安全。可以預見，隨著信息化程度的日益加深，網絡安全將成為維護國家安全的關鍵著力點。總的看，草案基本滿足了我國當下維護國家安全的需要，但在關鍵信息基礎設施保障、網絡安全技術研發、網絡安全自我規制等方面仍需進一步深化完善。

加大關鍵信息基礎設施網絡安全保障力度

在互聯網時代，國家安全可以說主要取決于關鍵信息基礎設施是否擁有一個穩固的網絡環境。確保網絡系統對關鍵信息基礎設施提供安全支持，是政府應當擔負的重要職責。

關鍵信息基礎設施的網絡安全監管主要難題在于，由于許多關鍵信息基礎設施的所有權掌握在私人運營商手中，基礎設施所有者和運營者不會充分考慮國家利益和國家安全問題。西方國家是通過信息共享來破解這一難題的，即政府與關鍵信息基礎設施所有者、運營者、相關行業組織之間建立信息共享機制，由政府來診斷并控制網絡安全風險，盡量減輕網絡安全規制手段對商業秘密的不利影響。

相比西方國家來說，我國關鍵信息基礎設施涉及的領域更多屬于國家所有，政府獲取信息相對比較容易。但隨著我國信息安全市場和產業的發展，越來越多的原始安全信息將逐步集中在網絡、電信等私營企業手中。由于電信、電力、運輸、銀行、證券等國家關鍵信息基礎設施的管理法規不健全，在發生突發事件和緊急狀態情況下, 應急預案、違法犯罪信息和安全測試等可用于安全防范的信息難以共享，關鍵信息基礎設施行業內部也缺乏有效的信息交流與協調，個別部門甚至為了自身利益刻意隱瞞、封鎖有關信息，嚴重削弱網絡安全維護的快速反應、統一調配能力。因此，建立政府與企業之間的信息共享機制顯得日益必要和緊迫。

網絡安全法草案第33條第3款規定，“國家網信部門應當統籌協調有關部門，建立協作機制。對關鍵信息基礎設施的安全保護可以采取下列措施：……（三）促進有關部門、關鍵信息基礎設施運營者以及網絡安全服務機構、有關研究機構等之間的網絡安全信息共享”。這一條款旨在確立我國關鍵信息基礎設施的網絡安全信息共享機制，但仍略顯粗糙，一是沒有明確共享信息的用途限制，這不利于保護關鍵信息基礎設施運營者的合法商業利益，二是對信息共享的運作機構和程序缺乏具體規定。

綜合考慮我國國情和域外經驗，建議在網絡安全法草案修訂過程中，重點考慮以下兩方面問題：一是借鑒西方國家有關信息共享引發的商業秘密泄露教訓，在網絡安全法中以專門條款明確規定對關鍵信息基礎設施運營者提供的相關信息進行嚴格保護，僅用于維護網絡安全之目的，以確保相關信息不被泄露和濫用；注意與政府信息公開條例、企業信息公示暫行條例等行政法規、規章銜接，對于因泄露信息而引發的商業損失和不利后果，規定相關機構及其負責人承擔相應的法律責任。二是在網絡安全法中規定建立固定的信息協調機構，比如成立信息共享與分析中心，負責關鍵信息基礎設施網絡威脅信息的收集、分析、通報和警告，統籌關鍵信息基礎設施行業之間的溝通協調。通過行業主管部門與信息共享與分析中心的聯系，加強各行業各部門之間的風險信息共享。

健全網絡安全技術研發扶植機制

網絡安全技術研發由于高成本、長周期、低回報，企業缺乏研發投資熱情，對此政府應當加強財政補貼與資金投入，以增強網絡企業的投資信心。相比美國等西方發達國家而言，對于網絡安全產品，我國缺乏具有強大研發實力的企業，只有國家成為網絡安全研發資金投入的主體，才能真正有效建立起網絡安全技術保障體系。

在網絡安全立法中確立政府對網絡安全技術研發的扶植義務，是一個國際通例。以美國網絡安全監管立法為例，2002年2月美國頒布的《網絡安全研究與發展法》，在網絡安全研究機構建設、研究計劃管理、資金投入與管理、專門科研人才培養等方面初步確立了保障美國信息安全技術研發的制度；2013年通過的《網絡安全提升法案》，進一步對網絡安全科研成果的產業轉化機制、科研資助方式、網絡安全人才教育機制、網絡安全科技標準的提升手段等進行修訂。

我國網絡安全法草案確立了網絡安全技術研發的政府扶植機制和法定義務，體現了貫徹落實《國家安全法》的要求。草案第14條規定，“國務院和省、自治區、直轄市人民政府應當統籌規劃，加大投入，扶持重點網絡安全技術產業和項目，支持網絡安全技術的研究開發、應用和推廣，保護網絡技術知識產權，支持科研機構、高等院校和企業參與國家網絡安全技術創新項目”。第16條規定，“國家支持企業和高等院校、職業學校等教育培訓機構開展網絡安全相關教育與培訓，采取多種方式培養網絡安全技術人才，促進網絡安全技術人才交流”。 盡管草案上述兩個條款設定了各級政府扶植網絡安全技術研發的義務，但缺乏嚴格的責任機制和可行的操作機制。建議借鑒國外經驗，在網絡安全法頒布后，制定行政法規或部門規章，詳細規定政府為網絡安全技術研發提供資金支持的具體手段，并明確資助范圍、申請條件、辦理程序和獎懲機制等。

注重運用行業自律和自我規制手段

就網絡安全監管而言，以政府為主導的命令—控制型規制手段，可能無法充分滿足維護網絡安全任務的需要。相比傳統的政府監管機制，行業自律和自我規制擁有相對獨特優勢。首先，自我規制能夠消除網絡安全監管中的信息不對稱現象，因為企業通常比監管者更加了解自身網絡系統的漏洞，以及何種安全應對措施更為有效，設定何種安全標準最為適宜。其次，科技發展的日新月異使得監管機構難以制定恒久不變的網絡安全規則，實踐中網絡安全議題層出不窮，立法和標準制定往往耗時費力，自律機制和行業標準反而能夠作出靈活反應，及時有效地應對安全風險。最后，如果監管機構制定出具體強制標準，企業將失去尋求更有效安全應對措施的動力，這可能造成遏制技術創新的不利后果。雖然自我規制無法取代傳統的政府規制，但面對紛繁復雜且技術含量極高的網絡安全難題，以行業自律和自我規制為主導，帶有實驗主義色彩的多中心治理方式，往往能夠取得良好的合作治理效果。

現代社會已發展成為一個風險社會。就網絡而言，政府無法全面防范各類安全風險，而互聯網市場主體愿意通過自律方式管控風險，市場主體從降低成本、提高效率的角度也愿意制定行業標準，以實現網絡安全的事前防范。網絡安全法草案適應當前形勢發展需要，規定了網絡安全的自我規制體系。第8條規定，“網絡相關行業組織按照章程，加強行業自律，制定網絡安全行為規范，指導會員依法加強網絡安全保護，提高網絡安全保護水平，促進行業健康發展”。第13條規定，“國家支持企業參與網絡安全國家標準、行業標準的制定，并鼓勵企業制定嚴于國家標準、行業標準的企業標準”。在今后的網絡安全監管實踐中，應當以此為依據，通過建立體系化的網絡安全行業標準，充分發揮行業自律和自我規制對網絡安全政府監管的協作補充作用。

（作者系中國社會科學院法學研究所副研究員）