文│北京师范大学网络法治国际中心执行主任 中国互联网协会研究中心秘书长 吴沈括

众所瞩目的《网络安全审查办法》（以下简称：《办法》）由国家互联网信息办公室、国家发改委等12个部门联合发布，将于2020年6月1日正式施行，其作为配套落实《国家安全法》与《网络安全法》等法律的重要部门规章有着丰富的制度涵义，既反映了新时期国家各职能机关基本的执法立场与监管重点，也对相关企业的主体责任履行与合规风控建设等提出了进一步的要求。

一、新背景：准确理解审查工作逻辑

《网络安全审查办法》的出台有着丰富的国内国际背景，这是相关企业准备贯彻落实工作的逻辑起点。一方面，随着我国数字化转型的加速，关键信息基础设施正日益广泛地发挥着更为显著的基础性战略作用，其安全既事关数字经济与公共福祉的稳步发展，更是事关经济安全与国家安全全面保障的战略优先事项。

另一方面，在全球化发展大潮下，关键信息基础设施的供应链安全问题已经成为世界各国高度关注的共同焦点，也日渐成为网络空间治理国际博弈的重要领域，如何在空前复杂严峻的国际安全形势下及早发现并避免采购产品和服务给关键信息基础设施运行带来风险和危害，确保我国关键信息基础设施的供应链安全具有突出的现实性和紧迫性。

因此，相关企业应当将国家安全与供应链安全的核心逻辑作为履行其主体责任的战略站位和价值导向，并以此为目标指引积极参与到网络安全审查工作之中：

首先，在《办法》适用主体层面，企业需要正确判断自身是否属于关键信息基础设施运营者，尤其是根据中央网络安全和信息化委员会《关于关键信息基础设施安全保护工作有关事项的通知》精神，是否属于电信、广播电视、能源、金融、公路水路运输、铁路、民航、邮政、水利、应急管理、卫生健康、社会保障、国防科技工业等行业领域的重要网络和信息系统运营者，从而判定自身是否担负网络安全审查主体责任。

其次，在《办法》适用对象层面，企业需要正确判断相关采购活动所涉及的产品和服务是否属于核心网络设备、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务，以及其他对关键信息基础设施安全有重要影响的网络产品和服务，从而判定自身是否担负下文所述的网络安全审查相关注意义务和作为义务。

二、新安全：全面建设合规风控体系

进入新时期以来，国际网络安全态势日趋严峻复杂，诸多技术性安全因素与非技术性安全因素错综交织，决定了需要以新的综合安全观指导关键信息基础设施的供应链安全保障工作，对此，正是基于新安全思维的《办法》为关键信息基础设施运营者在采购网络产品和服务的过程中重点建设全流程合规风控体系提供了一系列工具方法指引和体制机制支撑：

第一，作为关键信息基础设施运营者的企业需要建立采购业务安全风险预判机制，实现安全关口前移，在关键信息基础设施保护工作部门指导下通力合作、强化风险识别与其他能力建设。在提前判定目标采购产品和服务投入使用后影响或者可能影响国家安全时，应当及时向网络安全审查办公室申报网络安全审查，进而获得更为权威、更为全面的专业帮助支持。

第二，作为关键信息基础设施运营者的企业在设计采购业务安全风险预判清单、采用各种辅助研判工具时需要重点考虑《办法》提示的主要国家安全风险因素，尤其包括：

1. 产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险；

2. 产品和服务供应中断对关键信息基础设施业务连续性的危害；

3. 产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险；

4. 产品和服务提供者遵守中国法律、行政法规、部门规章情况；

5. 其他可能危害关键信息基础设施安全和国家安全的因素。

第三，作为关键信息基础设施运营者的企业需要立足商业生态以及业务场景等自身条件建立覆盖网络产品和服务采购全流程的供应商协议管理机制，充分发挥采购文件、协议等商业工具的协调约束作用，尤其是在《办法》要求的重要环节之中：其一，要求产品和服务提供者配合网络安全审查，包括配合提供审查补充材料以及承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。其二，督促产品和服务提供者履行网络安全审查中作出的承诺。

三、新担当：清晰认知保障责任机制

在新经济技术背景下，关键信息基础设施供应链有着极为复杂的多层次生态结构，往往呈现跨部门、跨区域的延伸态势，而关键信息基础设施运营者作为承上启下的枢纽节点有着举足轻重的主体地位。

《办法》秉持坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合的原则，赋予关键信息基础设施运营者新的安全担当，也为其合理配置了全面的权益保障与责任机制：

一方面，《办法》明确规定了网络安全审查程序包括特别审查程序各自的时限要求，作为关键信息基础设施运营者的企业可以据此合理安排自身的业务流程。同时，《办法》规定参与网络安全审查的相关机构和人员充分尊重和严格保护企业的知识产权，并且如果关键信息基础设施运营者或产品和服务提供者认为审查人员有失客观公正，或未能对审查工作中获悉的信息承担保密义务的，可以向网络安全审查办公室或有关部门举报，从而充分保障其合法权益。

另一方面，作为关键信息基础设施运营者的企业应当重视《办法》对于违反网络安全审查制度的法律责任援引《网络安全法》第六十五条规定所确立的双罚责任机制，也即企业本身与企业中直接负责的主管人员和其他直接责任人员应当各自承担相应的法律责任。对此企业内部需要及时建立网络安全审查分工负责制度与人员责任清单，落实清晰的定岗定人定责安排。

（本文刊登于《中国信息安全》杂志2020年第5期）

声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。