近日，马自达（中国）企业管理有限公司、丝芙兰（上海）化妆品销售有限公司通过数据出境安全评估。此次上海首批两家企业通过评估，对于我市更好开展完备性查验，指导企业完善申报材料工作具有重要的参考意义。截至4月28日，上海市网信办累计解答咨询电话3300余通，接收涉及金融、零售、商务服务、汽车、医疗等重点领域的申报材料超400件，通过完备性查验并报送国家网信办申报材料近60件。此外，还通过开通咨询电话、发布实务指南、组织系列宣讲、广泛开展调研等多种形式指导我市企业有序申报数据出境安全评估，合法依规开展数据出境活动。下一步，上海市网信办将以我市部分重点行业为切入点，广泛开展调研，梳理解决企业在开展数据出境合规工作的难点问题，服务企业高效申报数据出境安全评估，促进数据安全合规有序跨境流通，激活数据要素潜能，支撑数字经济高质量发展，提升开放型经济能级和水平。关注我们联系我们

近年来，使用手机处理公务的情形越来越普遍，很多公职人员将微信应用于日常工作，不少机关单位建立了微信工作群。微信办公确实可以为工作带来一些便利，一定程度上提高了工作效率。但与此同时，使用微信办公导致的泄密案件逐年递增。新冠肺炎疫情以来，多地连续发生数起泄露疫情防控信息问题，对全国疫情防控工作带来不良影响。为充分发挥警示教育作用，进一步严明纪律规矩，先通告如下典型案例。南丹县疾控中心微信群、QQ群泄露疫情防控工作材料被立案2020年1月26日，熊某在未经审批的情况下，擅自将该县新型冠状病毒感染的肺炎防控有关工作材料通过QQ发送到本单位QQ工作群。区某发现这一信息后，随即将原文转发到其个人微信群，并被其他群内成员转发扩散，在社会上造成不良影响。2月3日，南丹县监委决定对熊某、区某进行立案调查。湖南吉首市峒河街道计育组干部到警告处分2020年1月31日，向某某违反工作纪律，用手机将《吉首市疫情防控交办单》(第010号)内容拍照并将其发送至其亲属微信群，其亲戚又将交办单照片在微信上转发给他人，致使《吉首市疫情防控交办单》(第010号)照片在微信上肆意传播，造成信息泄露，引起不良影响。2月2日，向某某受到警告处分。柳江区发布未经核定、内容涉密的报告被警告、诫勉2月3日，柳江区疾控中心工作人员叶某将一份未经核定、内容涉及保密的调查报告上传至该中心的微信工作群。之后，该中心工作人员曾某、潘某、刘某3人私自将该调查报告转发，其中曾某将该调查报告转发至其家族微信群，其亲属再次进行转发，导致该调查报告被迅速在网络上转发传播，给柳江区疫情防控工作造成被动和不良社会影响。2月5日，柳江区监委给予叶某、曾某政务警告处分；给予潘某、刘某诫勉处理；并对该中心负责人进行约谈提醒。泄露疫情防控工作信息，河南一地3人被处分2022年1月12日，县疫情防控工作指挥部流调三组在组织开展对沈某某核酸检测出现可疑情况进行调查过程中，工作人员李某某将现场流调人员初步形成未经权威部门确认及官方发布的工作信息，在手机上截屏后使用微信转发到工作群。同在群内的流调三组工作人员王某某自将该信息外传至其微信亲属群，导致疫情防控工作信息大范围散播流传，造成不良社会影响。经固始县纪委监委介入调查并研究决定，给予直接责任人王某某内严重警告处分；给予责任人李某某党内警告处分；对负有领导责任的流调三组组长李某某诫勉谈话。连云港职业技术学院教师崔某某等人泄露涉疫文件问题3月7日，市刑警支队民警王某某在建立微信工作群时，误将连云港职业技术学院教师崔某某拉入该群。后王某某将关于疫情防控工作的3个内部文件发至该群，崔某某将相关内容转发至其他微信群，造成广泛传播。崔某某受到政务警告处分，王某某受到诫勉谈话处理。东海县交通运输局副局长孙某某等人泄露涉疫文件问题3月5日，东海县交通运输局办公室工作人员张某某未按规定程序办理涉疫内部文件，将其上传至微信工作群，该局副局长孙某某在群中看到该文件后，将其转发至家庭微信群，虽迅速撤回，仍造成不良影响。孙某某受到诫勉谈话处理，张某某受到批评教育处理。中国电信股份有限公司东海分公司党建管理员丁某等人外泄涉疫文件问题3月5日，中国电信股份有限公司东海分公司办公室工作人员赵某某违规通过微信将涉疫内部文件截图发送至公司负责疫情防控的工作人员许某某，许某某将文件截图转发至公司其他微信工作群，群成员丁某看到后，将其转发至其他社会人员微信群，被群成员东海县驼峰中学教师马某某再次转发，造成严重影响。丁某受到党内严重警告处分，停发3个月绩效工资；许某某受到党内警告处分，停发2个月绩效工资；赵某某停发1个月绩效工资；马某某受到诫勉谈话处理。此类泄密案件往往存在某种“客观因素”：待办公务紧急，其他通信方式不畅，无法当面交办或报告，技术失误乃至领导指示使用微信传送等，实际是当事人漠视保密法律法规，对发生泄密后果心存侥幸。微信办公导致泄密违反了《中华人民共和国保守国家秘密法》第四十八条第七款“在互联网及其他公共信息网络或者未采取保措施的有线和无线通信中传递国家秘密”，属于违法行为，情节严重的，还将被依法追究刑事责任。使用微信办公作为一种技术进步和发展趋势，本来无可厚非，问题并不在于微信本身，微信办公导致泄密的真正原因还是机关单位保密管理松懈，对干部职工保密教育培训不够，干部职工保密意识淡漠。机关、单位要加强保密宣传教育，把风险意识和责任意识层层传导到每一个人。领导干部要管好身边工作人员，做到经常提醒，干部职工不仅要保证自己不使用微信传密，发现此类情况还要及时报告有关部门。原则上不提倡使用微信办公，因工作需要组建的工作群，交流内容应严格限定为周知性的一般信息，禁止传播一切国家秘密和工作秘密。禁止涉密人员使用微信办公。将涉密载体全过程管理与智能手机使用保密管理结合起来，从源头上消除涉密文件数字化的隐患。关注我们联系我们

为贯彻落实党中央、国务院关于建设数字中国的重要部署，深入实施《国家信息化发展战略纲要》《“十四五”国家信息化规划》等战略规划，国家互联网信息办公室会同有关方面跟踪监测各地区、各部门数字化发展情况，开展数字中国发展水平评估工作，编制完成《数字中国发展报告（2021年）》（以下简称《报告》）。《报告》总结了党的十九大以来数字中国建设取得的显著成就和2021年的重要进展成效，评估了2021年各地区数字化发展水平，并对2022年数字中国建设进行了展望。《报告》全文如下：（来源：中国网信网）关注我们联系我们

7月26日消息，今日，阿里发布2022财年年报，年报显示，阿里巴巴与蚂蚁集团进一步修订《股权

市场监管总局7月21日公布《关于开展网络安全服务认证工作的实施意见（征求意见稿）》。《实施意见》提出，将确定并适时调整网络安全服务认证目录，组建网络安全服务认证技术委员会，从事网络安全服务认证活动的认证机构应当依法设立，具备从事网络安全服务认证活动的专业能力，并经市场监管总局征求中央网信办、公安部意见后批准取得资质等9项意见。公众可通过电子邮件及信函的方式提出意见，征求意见的截止日期为8月21日。为贯彻落实《网络安全法》等法律法规要求，充分发挥质量认证工作在加强网络安全服务机构管理、提升网络安全服务质量等方面的重要支撑作用，市场监管总局联合中央网信办、公安部研究起草了《关于开展网络安全服务认证工作的实施意见（征求意见稿）》，现向社会公开征求意见。公众可在8月21日前，通过如下方式以下途径和方式提出意见。一、通过电子邮件将意见发送至：xfprzc@samr.gov.cn。邮件主题请注明“《关于开展网络安全服务认证工作的实施意见（征求意见稿）》修改意见”字样。二、通过信函将意见邮寄至：北京市东城区安定门外大街56号院，国家市场监督管理总局认证监管司，邮政编码：100011。信封上请注明“《关于开展网络安全服务认证工作的实施意见（征求意见稿）》修改意见”字样。

西北工业大学微博6月22日发布了一则公开声明，称学校电子邮件系统遭受网络攻击，对学校正常教学生活造成负面影响。以下为公开声明全文：近期，我校电子邮件系统遭受网络攻击，对学校正常教学生活造成负面影响。我校第一时间报警，经公安机关初步判定，是境外黑客组织和不法分子发起的网络攻击行为。现公开声明如下：此次网络攻击事件中，有来自境外的黑客组织和不法分子向我校师生发送包含木马程序的钓鱼邮件，企图窃取相关师生邮件数据和公民个人信息，给学校正常工作和生活秩序造成重大风险隐患。长期以来，我校高度重视网络安全工作，经常性开展网络安全宣传教育，定期开展网络安全检查和技术监测，明确主动防御策略，全面采取技术防护措施。全校师生网络安全意识和敏锐性逐年提高，来自境外的钓鱼邮件暂未造成重要数据泄露，暂未引发重大网络安全事件，校园网络安全和广大师生的个人信息安全得到有效维护。为进一步查明事实，依法处理相关黑客组织和不法分子的网络攻击行为，采取有力措施筑牢校园网络安全屏障，维护广大师生合法权益，我校已就遭受境外网络攻击情况向公安机关报案，并保留进一步追诉的权利。在此，我校提醒广大互联网用户：网络空间不是法外之地，发送钓鱼邮件、侵犯公民个人信息属于犯罪行为。请广大网民文明用网、规范用网，严格遵守《中华人民共和国网络安全法》，共同营造清朗网络空间。截至发稿之前，西北工业大学遭受境外网络攻击的话题一度冲上热搜榜第七位，引发网友的广泛关注。据学校官网介绍，西北工业大学（简称西工大）坐落于陕西西安，是一所以发展航空、航天、航海等领域人才培养和科学研究为特色的多科性、研究型、开放式大学，是国家“一流大学”建设高校（A类），隶属于工业和信息化部。学校1960年被国务院确定为全国重点大学，“七五”“八五”均被国务院列为重点建设的全国15所大学之一，1995年首批进入“211工程”，2001年进入“985工程”，是“卓越大学联盟”成员高校，是“一带一路”航天创新联盟发起高校。关注我们联系我们

2020年1月1日，《中华人民共和国密码法》正式颁布施行，这是我国密码发展史上具有里程碑意义的大事。在密码法中，对于商用密码是这样定义的：“商用密码用于保护不属于国家秘密的信息。公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。”网络空间处处用到商用密码，商用密码在维护国家安全、促进经济社会发展、保护人民群众利益方面发挥着重要的作用。电信、电力、能源、金融、交通等国家关键信息基础设施，我们日常用到的刷卡消费、社保系统、电子邮件，都大量使用商用密码，用来实现网络和信息的加密保护和安全认证。随着以数据为核心的数字经济成为经济发展的新驱动力，数据安全上升到国家主权的高度，商用密码作为数据安全防护的核心技术和基础支持，成为了国家信息化发展战略及国家大数据战略的重要布局。商用密码是网络信任体系的重要基石，是目前世界上公认的，保障网络与信息安全最有效、最可靠、最经济的关键核心技术。《网络安全法》《密码法》《数据安全法》《个人信息保护法》《关键信息基础设施安全保护条例》等法律法规均不同程度地提到要使用商用密码。在信息互联时代，密码除传统加密外，主要体现在身份认证、权限管理、访问控制等。数字经济时代，密码的作用不断扩展到数据流通、数据共享等新维度，密码技术自身也需要持续革新。截至2021年4月，通过国家密码管理局审批的商用密码通用产品有2400余款，形成了从芯片、板卡、整机到系统和服务的完整产业链。那么商用密码产品都有哪些呢？下面为大家介绍35类主流商用密码产品。01.TF密码卡具有数字证书存储、身份认证、数字签名和数据加密存储，那么密码产品有哪些呢？我们进行一个简单的罗列。产品应用于手机、PDA、GPS、警务通、执法仪、笔记本电脑等智能移动电子设备中，作为强身份验证、数据加密保护的专用密码工具，且具有一定的存储空间。02.PCI-E密码卡为各类安全平台提供多线程、多进程和多卡并行处理的高速密码运算服务，具有数字签名/验证、非对称/对称加解密、数据完整性校验、真随机数生成、密钥生成和管理等功能。产品应用于签名验证服务器、IPSec/SSL

SPEL表达式注入漏洞源于Spring

2021年网络安全优秀企业及产品评选活动由等级保护测评主办，旨在为促进我国网络安全产业自主创新能力，为共同做好网络安全工作做出鼓励与鞭策，同时为客户选择网络安全解决方案和产品提供参考依据。活动启动后，经推荐或自荐参选的累计申报项目达427项，期间大众投票环节参与人数达到88745人，累计预览量达247966次，累计总票数达736764票。最终，我们依托按专家评审评分60%与大众投票数量40%的比重计算，现予公示以下优秀企业及产品。公示时间为2022年1月12日至16日，公示期满后，将予以表彰。关注我们联系我们

整理丨一哥独家授权，未经许可不得转载近日，中国银保监会办公厅发布的《关于印发银行保险机构信息科技外包风险监管办法的通知》（银保监办发〔2021〕141号）明确要求：银行保险机构不得将信息科技管理责任、网络安全主体责任外包，保障网络和信息安全，加强重要数据和个人信息保护。《银行保险机构信息科技外包风险监管办法》中重要内容，一哥做了整理，供大家学习参考。第二条

公安部公布公安部8日对外公布了2021年侵犯公民个人信息犯罪十大典型案例。在这些案例中，有非法获取个人信息数十亿条通过暗网出售谋取不法利益，有非法获取老年人信息200余万条并骗取6万余名老年人1500余万元，还有非法注册游戏账号卖给未成年人牟利170余万元……

关于CNAS-CI01-A0XX：20XX《检验机构能力认可准则在网络安全等级保护测评领域的应用说明》文件网上征求意见的通知各相关机构及人员：为规范网络安全等级保护测评领域检验机构认可，中国合格评定国家认可委员会（CNAS）组织制订了CNAS-CI01-A0XX：20XX《检验机构能力认可准则在网络安全等级保护测评领域的应用说明》。目前已完成文件征求意见稿，现于网上公示征求意见。如对该文件有任何修改建议或意见，请填写附件中意见征询表，并于2021年11月28日前反馈CNAS秘书处。联系人：李洪、王志远电话：010-67105280、010-67105439Email：lih@cnas.org.cn，wangzhiyuan@cnas.org.cn

原创丨一哥出品丨北京一等一技术咨询有限公司独家授权，未经许可不得转载2021年11月19日，国家网络安全等级保护工作协调小组办公室发布了《关于撤销网络安全等级测评机构推荐证书的公告》，公告指出：自即日起，国家网络安全等级保护工作协调小组办公室撤销网络安全等级测评机构推荐证书，不再发布《全国网络安全等级测评机构推荐目录》，相关工作纳入国家认证体系。同时中关村信息安全测评联盟发布了关于启用《网络安全等级测评与检测评估机构服务认证证书》的公告，明确了经公安部第三研究所认证发放的《网络安全等级测评与检测评估机构服务认证证书》自颁发之日起即可使用。《网络安全等级测评与检测评估机构服务认证证书》参考样证根据此次发布的相关通知，一哥针对大家可能有疑问的一些问题做了一个小结，仅供大家参考，觉得有用就看看，觉得没用就不要看了。1、等保测评还要不要做了？等保测评肯定是还要继续做的，现在只是测评机构认证纳入国家认证体系，等级保护制度是《网络安全法》明确提出的，不会因为某一项规定的改变而废止。2、等保测评找谁做？等保测评当然还是找测评机构去做，目前就是找持有经公安部第三研究所认证发放的《网络安全等级测评与检测评估机构服务认证证书》的相关单位。这个目录见上周发布的相关文章，同时网络安全等级保护网也发布了，具体可以自己去查询。3、测评机构认定未来是谁来认定？网络安全等级测评机构此次是由公安部第三研究所认证发放的，为什么是公安部第三研究所？通知里明确说了公安部第三研究所是由国家认证认可委员会批准的认证机构。那么未来国家认证认可委员会会不会批准其他认证机构呢？网络安全等级测评机构的认证未来会不会像ISO9000等认证一样呢？这些都是未知数，我们拭目以待。但是可以肯定的是这项工作将会更加规范化、专业化和社会化，不然何必这样改革，4、系统需要定级备案去哪里？在没有明确通知的情况下，系统定级备案工作还是去各地公安机关网安部门去办理。这次只是测评机构认证改革，并没有涉及到定级备案的事。5、公安网安部门对等保工作还监管吗？系统的定级备案工作由各地公安网安部门负责，所以公安网安部门对等保工作肯定还是监管的，但是对测评机构监不监管这个事不好说，看各地网安部门，可以肯定的是在测评机构资质这块与公安网安部门无关，这是国家认证认可委员会做的事。6、测评机构是否有区域限制了?目前全国各地测评机构整体以区域测评机构为主，在本省开展业务，在全国都开展业务的除了电力等特定行业，其他的应该没有，一部分机构在部分外省开展业务。为什么是这样，各种原因都有，一方面大部分测评机构规模较小，不足以去外地开展业务；另一方面各地政策不一样，去外省开展业务有一定条件限制。当然之前主管部门从来没有限制过测评机构去外地，甚至是想让更多测评机构走向全国的。那么测评机构认证划到国家认证认可委员来管理认证的话，应该会有更多测评机构走向外省，走向全国。政策有了，测评机构不知道有没有准备好。7、安全厂商、集成商能否直接申请测评机构资质？在之前测评机构的申请要求中安全厂商、集成商是不能参与的，因为它们一旦参与可能会打破等保测评第三方的公正性。它们参与项目集成，涉及到各类安全产品，如果再参与等保测评确实不合适。那么未来呢？一哥认为依然不会允许安全厂商、集成商参与测评机构的申请。就像软件测试机构不能有软件产品销售一样的道理，测评机构也应当不能有安全产品的销售。8、国家认证体系是个什么体系？前文多处提到测评机构认证纳入国家认证体系，那么什么是国家认证体系？通俗点说就是由国家牵头的各类认证认可体系。牵头的是国家认证认可委员会，国家认证认可委员会全称国家认证认可监督管理委员会。国家认证认可监督管理委员会是国务院授权的履行行政管理职能，统一管理、监督和综合协调全国认证认可工作的主管机构，为国家市场监督管理总局管理。也就是说未来的等保测评机构的认证及管理工作将由国家认证认可监督管理委员会及国家市场监督管理总局来进行统一管理。9、未来的影响此次测评机构认证的改革对测评机构行业乃至整个网络安全行业的影响到底怎样，谁也不好说，得看主管部门的进一步动作，开弓没有回头箭，做就好了，一切都是最好的安排。可以确定的是测评机构的认证将会越来越规范，申请的机构也将会越来越多，未来的测评机构一定也会越来越多，大的测评机构走向全国也不会遥远。随着测评机构的增多，测评机构之间的竞争也必然会更加激烈。最后一哥提醒大家，2021年还有40天不到的时间，还没开展等保测评的单位抓紧开始做啊，再不做要来不及了，现在开始，时间也挺赶的。关注我们联系我们

关于撤销网络安全等级测评机构推荐证书的公告为贯彻落实国务院“放管服”改革要求，不断提升网络安全等级测评机构管理工作的规范化、专业化和社会化水平，经研究决定，自即日起，国家网络安全等级保护工作协调小组办公室撤销网络安全等级测评机构推荐证书，不再发布《全国网络安全等级测评机构推荐目录》，相关工作纳入国家认证体系。特此公告。国家网络安全等级保护工作协调小组办公室2021年11月19日关注我们联系我们

原创丨川流不息出品丨北京一等一技术咨询有限公司独家授权，未经许可不得转载在过去的两年，疫情的反复给社会和经济带来了巨大的挑战，同时我们也发现新技术新应用给工作和生活带来极大的便利，很多组织不断推动数字化转型，通过数据来不断改进产品、提升服务、知识更新、预测分析和决策辅助，数据无处不在贯穿在组织所有组织业务流程中，在不久的过去数据可以让组织活得更好，而在不久将来成为决定一个生死存亡的关键因素。随着数据安全法的颁布，对组织的数据安全也提出了更高要求，本文整理了7个数据安全必须突破的认知局限。

宣传国家网络安全等级保护政策及网络安全相关法律法规，分享最新行业动态、前沿知识，致力搭建全国性交流平台。

近日，永定公安网安大队接上级通报，永定区某健康公司网站系统被劫持攻击。接到通报后，网安大队立即组织民警对该健康公司进行网络安全突击检查，发现该健康公司未履行网络安全保护义务。

近日，由中国（中关村）网络安全与信息化产业联盟、中国保密协会产业分会共同主办的第四届中国数据安全治理高峰论坛在北京举行。继2018年至2019年第二、三届峰会连续发布《数据安全治理白皮书》1.0版和2.0版后，本次峰会再次重磅发布其3.0版!报告的正式推出再次联动业内专业、权威且有志于探索数据安全治理实践落地的企业和科研机构，共同围绕数据安全治理“新理论、新技术、新实践”，进行了一次系统汇总、梳理分析与集中呈现!中国工程院院士沈昌祥指出，数字经济时代机遇与挑战并存，需要构建网络安全主动免疫保障体系，落实等级保护要求，保障数字经济健康发展。近年来，5G、工业互联网、数据中心等备受重视和支持，新型基础设施建设迎来“风口”。“新基建一方面将加速推动我国数字化转型、网络化重构、智能化提升与产业化升级。与此同时，由于新基建下万物互联，网络攻击也将从数字空间延伸到物理空间，继而对网络安全提出严峻挑战。因此，必须积极应对网络空间霸权威胁，筑牢网络安全防线。”沈昌祥说。工信部网络安全产业发展中心副主任李新社表示，应妥善处理安全与发展的关系，当前数据安全治理面临的更多是管理问题而非技术问题。新技术、新模式的广泛应用令数据安全风险日趋复杂、多变，进行数据安全治理的目的应落到推动数字经济社会的安全发展上来。希望各方携手推动我国网络安全产业高质量、持续健康发展，共同营造良好的数字生态环境。中科院信息工程研究所大数据安全研究室主任王伟平认为，大数据带来的既是一场技术变革、经济变革，更是一场国家治理的变革。大数据时代的数据安全尤为重要，数据安全治理需要系统化的思维与建设框架。数据的安全性与可用性同等重要，要加快属性密码、共享学习等技术的发展和应用，保障各类数据共享应用场景安全。同时，希望产学研用各方能够持续加深合作，共同提升我国数据安全治理水平和技术支撑能力。结合数据安全相关法律要求以及等保2.0颁布实施以来的相关建设成果和实践经验，公安部信息安全等级保护评估中心技术部主任任卫红表示，应针对数据安全保护义务深化落实等级保护制度，从而持续有力推进国家数据安全建设发展。《数据安全治理白皮书3.0》主编单位负责人——中国（中关村）网络安全与信息化产业联盟数据安全治理专业委员会主任、北京安华金和科技有限公司创始人&CEO刘晓韬在发布仪式上表示，2021年《数据安全治理白皮书3.0》着重针对以下内容进行了修订：1.新增针对“数据安全、信息安全、网络安全”及“数据安全治理、数据安全管理”等近似概念间联系与区别的解读；2.更新“政务云及金融、能源、教育、电信运营商及医疗”等行业数据安全治理实践案例；3.新增数据安全相关政策、法律和标准介绍；4.新增数据安全治理国内外相关理论与介绍；5.新增数据安全治理发展进程中的问题与展望；6.更新国内外重大数据安全事件汇总；7.更新数据安全关键技术——新增数据资产梳理、差分隐私、数据安全运维、数据水印和数据使用行为溯源、多层次数据保护等内容；8.新增数据安全新兴前沿技术：多方计算、联邦学习、数据安全虚拟化引擎、数据安全SAAS能力等内容...关注本公众号“等级保护测评”，回复“白皮书”即可获取标准下载链接。关注我们联系我们

1月12日，广东省网络安全应急响应中心（网络安全110）启动仪式在广州黄埔区举行。该中心由广东省公安厅联合广州市公安局、黄埔区委区政府共同建设，将参照110警务模式，采取“情报+指挥+处置”三位一体的网络安全应急处置模式，全天24小时受理处置我省关键信息基础设施、重要信息系统单位和高科技企业的网络安全求助，监测处置全省网络安全风险隐患，发布网络安全预警信息。副省长、省公安厅厅长李春生指出，党中央和省委省政府、公安部高度重视网络安全工作。广东省是互联网与信息化大省，建立与信息化发展尤其是新技术应用相适应的网络安全治理体系重要而紧迫。建设广东省网络安全应急响应中心，打造网络安全110，是新发展阶段广东公安网络安全工作的一次再出发。要充分发扬“闯”的精神、“创”的劲头、“干”的作风，立足服务定位，紧抓核心关键，稳步推动愿景目标实现，共同营造安全清朗的网络空间，为建设更高水平的平安广东、法治广东作出新的更大贡献。公安部网安局一级巡视员、副局长郭启全，广州市委常委、黄埔区委书记周亚伟，广州市副市长、市公安局长孙太平和相关负责同志、专家代表参加仪式。近年来，广东公安通过实施网络安全等级保护制度，创新开展“网络安全罩”和网络安全应急响应平台建设等举措，取得了良好成效。在此基础上，广东创新开启“广东省网络安全应急响应中心”建设，构建“公安机关、地方政府、安全企业、行业协会、运营公司”网络安全共建共治共享格局，带动网络安全人才、技术、产业聚集，推动我省网络安全产业发展。应急响应中心有一个“运行枢纽”即指挥调度中心、有一个“智慧大脑”即网络安全数据中心，同时有多支应急响应服务队伍分布全省。建设分为三期，目前已基本完成一期建设，后续将围绕服务关键信息基础设施、城市大脑、新基建等重点领域，开展城市智慧网络靶场、“红帽”人才工程、“数字风洞”、网络安全体验馆等配套建设。关注我们联系我们

12月21日，由公安部网络安全保卫局指导，公安部第三研究所和中关村信息安全测评联盟联合主办的“第十届全国网络安全等级保护测评体系建设会议”

作者丨山志出品丨北京一等一技术咨询有限公司独家授权，未经许可不得转载2019年5月网络安全等级保护三大核心标准（基本要求、测评要求、设计要求）正式发布，等级保护工作正式迈入等保2.0时代。网络安全等级保护制度是我国网络安全的基本制度，为推动、规范行业等级保护工作的开展，各行业也陆续推动行业等级保护相关标准的制定工作。金融行业重要网络和信息系统关系到国际民生，是国家重点保护对象，为规范和指导金融行业等级保护工作的开展、提升金融行业网络和信息系统安全防护水平，《JR/T

11月6日，中国网络安全产业25年暨天融信成立25周年发展峰会在天融信科技集团北京总部新大楼成功举行。峰会以“融聚英才，信创未来”为主题，特邀领导、院士、专家共庆产业发展、共商发展大计、共话未来蓝图。

2018年全国网络安全和信息化工作会议，习近平总书记明确提出“没有网络安全就没有国家安全。”2019年10月26日，十三届全国人大常委会第十四次会议审议通过《中华人民共和国密码法》，习近平主席签署第三十五号主席令正式颁布，自2020年1月1日起施行。密码法是总体国家安全观框架下，国家安全法律体系的重要组成部分，其颁布实施将极大提升密码工作的科学化、规范化、法治化水平，有力促进密码技术进步、产业发展和规范应用，切实维护国家安全、社会公共利益以及公民、法人和其他组织的合法权益。自2019年10月26日，《中华人民共和国密码法》颁布已近一周年。密码安全事关国家安全，密码法是我国国家安全法律制度体系的重要组成部分。《密码法》的出台，标志着密码是国家重要的战略资源，保护密码安全是维护国家网络空间安全主权的重要举措，同时也是推动密码事业高质量发展的重要举措。在密码法颁布一周年之际，省商密协会整理了《最新国家密码政策宣讲》，进一步宣传普及密码相关的政策法规，推动密码法的贯彻实施，以供大家学习参考。以下是PPT全文：关注我们联系我们

2020年10月21日，全国大人常委会法工委发布了《中华人民共和国个人信息保护法（草案）》征求意见稿（以下简称“《个人信息保护法》”），就个人信息保护有关的立法问题向社会公开征求意见。在得到业内人士广泛响应的同时，我们认为这部法律的出台可谓意义重大，甚至将2020年称之为我国个人信息保护立法元年都不为过。长期以来，我国虽在不断出台有关个人信息保护的立法文件，但从没有一部法律法规能够如此系统及全面地对个人信息保护相关问题进行专门性立法。从现有颁布的法律来看，包括《民法典》、《刑法》、《电子商务法》、《网络安全法》、《消费者权益保护法》以及《广告法》等虽有部分内容与个人信息保护的话题相契合，但在社会实践中，这些法律的适用大多规定的较为原则，并不能满足人民群众对个人信息保护的各类迫切需求。此外，纵观其他法规及规范性文件，例如《关于加强网络信息保护的决定》、《电信和互联网用户个人信息保护规定》、《信息安全技术个人信息安全规范》（GB/T

作者丨尹培培作者介绍：尹培培，南京师范大学法学院讲师，法学博士，中国法治现代化研究院研究员，江苏区域法治发展协同创新中心副研究员。一、问题与研究进路信息技术给社会结构带来了最深刻的变革，“因为不断伸张和密织的互联网，确实在相当大的程度上瓦解了由电话公司、出版社、报刊编辑部等建构起来的人工秩序，实现了哈耶克所设想的那种分散而自律的构想。可以说，无论对不对、好不好，某种无组织、无目的、无计划的‘自生秩序’已经出现在电脑世界，并且开始占优势”。①此种变革也为法治提出了新的任务。正是在“网络技术迅猛发展，网络问题日益凸显，网络安全已成为关系国家安全和发展，关系人民群众切身利益的重大问题”②这一背景之下，《网络安全法》应运而生。《网络安全法》为网络运营者设定了网络安全保护义务。通过对条文的解读可以发现，该法以“发现违法信息”为前提课予网络运营商及其直接责任人以具体处置义务，从规范层面排除了运营商对于“未被发现”以及“未能被发现”的违法信息所应承担的法律后果，将主观要素纳入网络安全行政处罚的责任要件。那么，该规定在实际运行中的状况如何呢？因为《网络安全法》刚刚颁布不久，这一问题尚未引起学界的充分关注，已有的研究大多基于纯粹的理论层面，对我国应当在行政处罚领域确立主观归责原则进行浅尝辄止的探讨和呼吁，③而忽视了这一制度本身的实效性。对于实践层面运行状况的关注不足或许无助于对主观归责原则确立和运行机理的理解，进而不可避免地对其在今后各个领域的适用产生影响。笔者以《网络安全法》生效后的部分行政执法事例为研究对象，试图从规范和事实两个层面，对网络行政处罚主观归责原则的实际应用状况作一个考察，进而尝试在我国行政管理机构独特的执法逻辑以及风险社会的语境之下，对其中存在的问题进行解释。规范层面，本文通过对《网络安全法》相关责任条款及关联规定的分析，尝试归纳出立法机关将主观要素纳入网络安全行政处罚的制度机理，进而探究其在现有行政执法体制下的效力问题。事实层面，笔者将以“腾讯、新浪微博等违反网络安全法被重罚”事件以及“58同城、赶集网等因违法违规发布‘大棚房’租售信息被约谈”等事件为分析对象，试图从执法机构的处罚行为及处罚措施中探究网络安全行政处罚主观归责原则在具体行政执法事例中的适用状况。笔者尝试将问题置于我国行政执法系统“政策实施型”行为逻辑的背景下，在当前风险社会这一语境中，对《网络安全法》中的责任条款进行剖析，在规范分析的基础上，明确其适用要件，并尝试对其背后的法理依据加以梳理，同时对网络安全主观归责原则在实践运作中存在的问题进行剖析和解释，以此折射出网络安全处罚的内在逻辑，揭示其运行原理，并尝试提出可能的解决路径。二、网络安全行政处罚主观归责之学理梳理与规范解读通过对《网络安全法》中涉及网络运营者责任的条款分析后发现，广义上的网络安全保护义务可以细分为防范义务、④发现后的处置义务⑤以及配合义务。⑥狭义上，即通常意义上的网络安全保护义务仅指网络运营者“发现后的处置义务”。笔者采狭义上的“网络安全保护义务说”。《网络安全法》第47条规定：“网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告。”该条课予了网络运营者加强对网络环境管理的义务，具体表现为发现违法信息后应当立即采取的系列处置行为。同时，为确保其实效性，该法亦明确了网络运营者违反法定义务的法律后果。第68条规定：“网络运营者违反本法第47条规定，对法律、行政法规禁止发布或者传输的信息未停止传输、采取消除等处置措施、保存有关记录的，由有关主管部门责令改正，给予警告，没收违法所得；拒不改正或者情节严重的，处十万元以上五十万元以下罚款，并可以责令暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。”根据《网络安全法》第47条的规定，网络运营商负有“发现违法信息”后的具体处置义务。第68条规定，违反该义务的，由有关部门责令改正的同时处以警告、没收违法所得等行政处罚。对这一规定进行文义解释便可得知，网络运营者负有该义务的前提条件是必须已经发现了违法信息。因此，“发现违法信息”可以作为其履行法定义务的必要条件推导出来。对这一规定进行反向解释，也就意味着《网络安全法》从规范层面排除了运营商对于客观上“未被发现”以及“未能被发现”的违法信息所应承担的法律后果，将主观要素纳入到网络安全行政处罚的责任要件，在对违反网络安全保护义务的处罚上采主观归责原则。该条责任规定所采取的不完全罗列构成要件的准用性规范方式，在适用上需要结合其他相关法规范以及具体状况进行解释，由此留下了从规范以及法理层面对其归责原则进行探讨的空间。（一）主观归责原则主观归责原则关注的重心在于行政相对人实施违法行为时所具有的主观心理状态，即刑法学上的“罪过”。此种“罪过”意味着“任何犯罪行为都是基于一定的罪过心理实施的；罪过在犯罪中的重要性表现为：没有罪过的行为，不是犯罪行为；除严格责任犯罪之外，不能够证明罪过的存在，也就不能证明犯罪的存在。”⑦已有的行政法基础理论，无论是传统的抑或是现代的，对于行政处罚的主观要件究竟应当如何确定和安放，都不曾有过较为深入的论证。然而，这一问题在行政法实务当中往往事关“罚”与“不罚”，因此，对其研究具有理论和实践层面的双重意义。⑧行政处罚的归责原则，是行政法的一个基础理论问题，它决定着行政处罚责任的构成与配置，对于整个归责体系的建构起着基础性的指导和统帅作用。与归责原则直接相关的一个概念是责任要件。责任要件的具备与否直接取决于一国有关行政处罚的法律规定中所确立的归责原则。所谓责任要件，主要系指行为人的主观犯意，即行为人能对其行为有一定之意思决定，因此，若其决定从事违反行政法上义务之行为，即得对其非难，要求其承担责任，此种责任要件主要有两种，即故意与过失。⑨以法律后果的承担是否需要具备主观上的故意或过失这一责任要件为标准，可以区分主观归责原则和客观归责原则。具有总则性质的《行政处罚法》第3条规定：“公民、法人或者其他组织违反行政管理秩序的行为，应当给予行政处罚的，依照本法由法律、法规或者规章规定，并由行政机关依照本法规定的程序实施。”这意味着，行政处罚的基本功能在于维护社会正常发展所需要的“行政管理秩序”。而这一基本的功能定位体现在行政处罚的归责原则上即表现为，通常情况下，是否承担行政处罚法律责任并不要求相对人主观上存在故意或过失的心理状态。⑩比较法上，或许是基于行政处罚与刑罚皆为国家公权力对不法行为制裁的手段这一同源性之故，世界各国对于行政处罚责任要件的规定通常与刑罚并无二致，基本以主观上存在故意或过失作为行政处罚的“入罪”要件。比如，德国《违反秩序罚法》第10条规定：“只有故意行为方可作为违反秩序行为处罚，但是法律明确规定对过失行为应当处以罚款的情形除外。”据此，德国在行政罚领域确立了主观归责原则，以处罚故意行为为原则，过失行为为例外，且对于过失行为仅能给予罚款处罚，排除了罚款以外的处罚种类。即，只有故意行为和法定的过失行为具有可罚性。而对于究竟何种情形构成“故意”，德国《违反秩序罚法》尽管没有直接对其含义进行界定，但通过体系解释和反向解释的方法可以从相关条文中获得。该法第11条第1款规定：“实施行为时未意识到一种情形属于法定事实构成，不是故意行为。过失行为的可处罚性不受影响。”由该条文可推出，所谓故意行为，是指实施行为时明知该情形属于法定事实构成而继续为之的情形。因此，德国法上的故意以“行为时的明知”为判断标准。奥地利早在1925年颁布的《行政罚法》中就明确了主观归责原则，(11)此后，“无过错即无责任原则与法无明文规定不处罚、禁止溯及既往等基本理论一样，均成为行政处罚适用上确定不移的法律原则”。(12)因此，在行政处罚领域确立主观归责原则，即以行政相对人是否存在主观过错作为行政违法的责任要件，是符合现代行政处罚理论的发展趋势的。此外，将行政相对人主观过错纳入责任要件当中亦为行政相对人提供了接受处罚的心理基础，由此可以提升行政相对人对行政处罚的可接受程度，否则，行政处罚便难以产生预期的法律效果。与此同时，对于主观要素的充分考量可以收缩行政机关在认定行政相对人行政违法行为构成上的自由裁量权。如果在行政法理上不强调行政违法行为构成的主观要件，可能会导致行政机关根据“需要”认定违法行为。(13)（二）网络安全主观归责原则之确立机理：基于处罚目的与互联网之特性任何制度的产生都有其特定的机理，主观归责原则的确立也不例外。网络安全领域主观规则原则的确立亦是基于《网络安全法》的处罚目的以及互联网相对于传统规制领域的特殊性而生成的。1.处罚目的解读行政处罚与刑罚同为国家对于不法行为的制裁手段，两者对于违法行为的制裁仅存有量的不同，并无质的差异。(14)因此，于制裁目的而言，两者的差异本身并不能阻断刑事制裁原理在行政处罚领域的参考适用。在刑事领域，制裁处罚之目的功能有如下三种：(15)(1)衡平(对等)正义：报应理论(因果报应法则，以牙还牙)，属于绝对刑罚理论。采取报复原则，要求罪责平衡，亦即罪责与处罚间的绝对平等。所处制裁处罚与其行为产生侵害他人或社会国家法益之程度，亦即所产生危害结果，应维持衡平，以符合“责罚相当性原则”。由此实现个别案件正义。(2)分配正义：特别预防功能(改过自新功能)，属于相对的刑罚理论。按照行为人之个人人格标准处罚，以再社会化，警告以及排除危险，所处罚款应能防止违规行为人嗣后再犯之可能性。由此实现个别案件正义及社会正义。(3)法律正义：一般预防功能(以儆效尤功能)。按照社会需要的标准处罚，以使社会恢复原状，维持社会秩序不被破坏。包括积极的一般预防(以使社会稳定，防卫法律秩序)；以及消极的一般预防(一般性的威吓)。上述三种见解各有其合理性，但是每一种见解本身又都不足以全面证成制裁目的正当性。对于报应理论，正如费因伯格所认为的那样，所谓“刑罚，就是各种类型违法行为的价格标签”。(16)由该理论所衍生出的制裁正当性在于，应当根据违法行为造成的危害来判定其应付出的代价。因此，“责罚相当性原则”自然应当得到如铁律般的遵守。而分配正义和法律正义理论所强调的预防功能其实是异曲同工的，两者均强调对于个案本身进行的制裁应当同时能够关注到社会层面所产生的后果，以此为基础强调惩罚所具有的预防功能。然而实际状况是，处罚本身就是对不法行为人所施加的不利影响，即便不刻意加以强调，此种因“限制、剥夺权利”对当事人本身乃至社会所产生恐吓作用也是不言而喻的，唯需注意的是惩罚程度的不同对于预防功能实效性发挥的影响。由此观之，在考量制裁的正当性问题时，既要充分遵循“责罚相适应”原则，亦应当考虑到处罚手段、程度的强弱对于个案当事人乃至社会的影响，从而尽可能地增强行政处罚预防功能的有效性。《网络安全法》以“保障网络安全、维护网络空间主权和国家安全、社会公共利益”为立法目的。立法目的作为一部法律的灵魂指引着具体制度规则的建构，由此形成的规则最终服务于立法目的的落实。法律于互联网是“张力”性的存在。一方面，法律应当对网络空间所产生的负面效应进行规制，但另一方面，亦须通过此种规制促进互联网的有序发展。《网络安全法》所欲达成的目的主要在于“保障网络安全”和“维护网络空间主权和国家安全以及社会公共利益”。然而，对于法律目的的探寻而言，除了目的条款本身之外，似应包括个别法条、个别制度的规范目的。(17)通过《网络安全法》的第二章可以看到，其立法目的之一还在于“促进经济社会信息化健康发展”。因此，该法在消极保障之外，还担负有积极支持与促进网络发展这一目的。将主观过错纳入其中一方面有力维护了网络安全管理秩序，同时也避免了如同客观归责那般严厉的制裁可能会带来的阻断运营者积极性的后果，因而兼顾了《网络安全法》“消极维护”和“积极促进”的双重目的。2.互联网平台的特性互联网平台相较于现实空间具有怎样的特殊性，进而使得在网络安全行政处罚领域确立主观归责这一原则成为必要？在四通八达的网络信息时代，传统组织架构中部门间的壁垒被打破，“以上传下达为主要内容的中间管理层可以逐步被缩减乃至最终被取消，行政机构可以在一定程度上得到精简，因信息传递不及或错误所造成的内部消耗可以大大减少，行政流程进一步简化”，(18)从而加速信息在横向和纵向上的流动效率以及提高信息传递的精准性。中间层级的弱化使得现代组织结构向中空化方向发展。此种根本性的变化一方面避免了传统组织架构之下经过层级传播导致信息失真的弊端；但另一方面，信息源与决策层之间的人为阻隔的消除也意味着在某种程度上充当缓冲功能的中间层级的失灵，从而直接削弱了管理层对于信息本身的控制能力。在某种程度上而言，网络运营者并不具备如同现实世界那样通过层级汇报制度来管控信息发布的能力。因此，网络平台区别于现实组织的特殊性恰恰在于其责任人与行为人的严重分离。从表面来看，政府要规制的是网络平台，但平台本身只是一个媒介，其监管的重点实质上是平台背后数以亿计的网络用户，法律规定给运营商的监督义务实际上是在行政机关(网络监管部门)与运营商之间进行责任分配的结果。在互联网时代，由于行政执法部门身负监管压力，又受资源和预算的约束，比如跨地域取证困难，网络的匿名性等特征使得传统上基于管辖权划分的行政执法体系难以适应网络环境下的复杂状况，在此种情形下，监管部门自然希望扩张平台注意义务的范围，促使其帮助甚至替代自身去履行监督审查义务，从而减轻监管压力。(19)那么，对于此种行为人与责任人分离的状态，对运营者进行处罚是否欠缺妥当性呢？譬如，一些运营商为扩展信息的流动性和开放性，在页面中设置了可以直达其他平台的网页链接以方便网络使用者能够更加快捷地获取其所关注的内容，然而，该运营商本身对于这些“外部信息”的合法性是无从控制的。此种情形之下，倘若将此种链接按照“自身发布的信息”进行处罚，那么是否会造成运营商因惧怕处罚而使得一些虽然于网络发展大有益处但却存在违法风险的信息发布行为被遏制呢？如前文所述，《网络安全法》的主要目的之一就在于“保障网络安全”，结合《〈网络安全法〉(草案)的说明》可知，该法是在“网络技术迅猛发展，网络安全已成为关系国家安全和发展，关系人民群众切身利益的重大问题”这一背景之下应运而生的，其中“加强网络主权的维护以及对于个人信息的保护”等需求更是具有相当的迫切性。因此，出于此目的的实现，确有必要落实网络运营者责任，以提高法的威慑力和实效性。而面对行为人与责任人相分离的情形，该法以“发现违法信息”为前提课予网络运营者以具体处置义务，从规范层面排除了运营商对于“未被发现”以及“未能被发现”的违法信息所应承担之法律后果，将主观要素纳入网络安全行政处罚的责任要件，已经在相当程度上消除了此种疑虑。三、网络安全行政处罚主观归责的实践样态及其解释《网络安全法》生效后，与之相关的执法实践迅速展开。很快，一则题为《腾讯新浪微博等违反〈网络安全法〉被重罚》的新闻标题就出现在了公众的视野。广东省、北京市网信办根据《网络安全法》第47条和第68条的规定，分别对腾讯公司、新浪微博作出“最高罚款”的处罚决定，对百度贴吧作出“从重罚款”的处罚决定。紧接着，“58同城、赶集网等因违法违规发布‘大棚房’租售信息被约谈”，北京市网信办、北京市规划国土委同样根据《网络安全法》第47条和第68条作出处理，但处理结果是“下达行政执法检查记录，责令网站落实整改”。对上述两则执法事例进行剖析，可以从实践层面呈现出对网络运营者进行网络安全行政处罚的客观运行样态。（一）实践样态：违反网络安全保护义务的“罚”与“不罚”上述执法事例发布后，简单对比后便不难发现，同样是违反《网络安全法》第47条所设定的“发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告”这一法定义务，在实践当中却直接事关“罚”与“不罚”的问题。1.从重处罚据“网信广东”(20)微信公众号发布的消息称，广东省网信办于2017年8月11日对腾讯公司微信公众号平台存在用户传播暴力恐怖、虚假信息、淫秽色情等危害国家安全、公共安全、社会秩序的信息问题依法展开立案调查。调查结果显示，腾讯公司对其微信公众号平台用户发布的有关法律法规禁止发布的信息未尽到管理义务，其行为违反《网络安全法》第47条的规定。根据《网络安全法》第68条，广东省网信办对腾讯公司作出最高罚款的处罚决定。几乎与此同时，北京市网信办也依据《网络安全法》就新浪微博对其用户发布传播“淫秽色情信息、宣扬民族仇恨信息及相关评论信息”未尽到管理义务以及百度贴吧对其用户发布传播“淫秽色情信息、暴力恐怖信息帖文及相关评论信息”未尽到管理义务的违法行为作出从重罚款的处罚决定。从基本案情来看，两起事例均将网络运营者未尽到对其用户发布传播“淫秽色情信息、宣扬民族仇恨信息及相关评论信息”以及传播“淫秽色情信息、暴力恐怖信息帖文及相关评论信息”行为的管理义务视为“情节严重”这一法定从重处罚情形，且由主管部门直接依照《网络安全法》第68条规定的“拒不改正或情节严重”所对应的法律后果分别进行了顶格罚款和从重罚款。就公布的事实来看，两者尽管在论证环节存在区别，即广东省网信办进一步将“淫秽色情信息、宣扬民族仇恨信息及相关评论信息”界定为“危害国家安全、公共安全、社会秩序的信息”，但这一认定并未对双方所应承担的法律后果产生实质性影响。2.仅责令整改据新华社北京2017年8月17日电，北京市网信办、北京市规划国土委就违法违规发布“大棚房”租售信息一事，联合依法约谈58同城、赶集网、百度等网站。对此，北京市网信办、北京市规划国土委两部门要求，“不得发布‘大棚房’信息广告，发布农业大棚信息时不得含有可居住等信息内容；不得发布含有生活设施的农业大棚房源照片；各网站要严格遵守《网络安全法》《互联网新闻信息服务管理规定》，不得发布违法违规信息，更不得通过发布谣言、标题党等行为误导网民，对违法违规从事互联网新闻信息服务业务的网站将予以相应的行政处罚”，(21)进而根据《网络安全法》第47条及《互联网新闻信息服务管理规定》第16条(22)相关规定下达了行政执法检查记录，责令网站落实整改。事实上，《网络安全法》和《互联网新闻信息服务管理规定》对于网络运营者、互联网新闻信息服务提供者未尽到对于违法信息管理义务的规定并不完全一致。前者对一般违反义务的情形规定了“责令改正，给予警告，没收违法所得”这一法律后果；而后者仅规定了“给予警告，责令限期改正”。尽管规定不尽相同，但两者均不存在免予处罚的仅责令改正的情形，(23)而是均要求给予警告处罚。但从北京市网信办的决定来看，其并未对相关部门发布传播违法信息的行为给予处罚，仅仅是责令整改。与此同时，北京市规划国土委执法总队相关负责人在论证这一网络发布行为的违法性时进一步指出，“‘大棚房’是利用大棚结构将农业生产用地改造成居住生活用地，其行为违反土地管理、城乡规划法律法规，属于违法用地违法建设，对耕地及基本农田造成严重破坏。按照要求，北京市严禁建设‘大棚房’，现有的‘大棚房’也要坚决予以拆除。相关网站发布的‘大棚房’租售信息，给不了解情况的网民造成错误引导，极易产生经济损失，并引发后续不良社会影响”。(24)结合上述意见发现，在完成了对违法事实，即相关网站发布的信息内容系属于违法信息，并造成误导网民进而极易产生经济损失并引发不良社会影响的后果的论证后，主管部门却并未按照相关法律规定赋予该法律事实对应的法律效果。3.因忽略主观状态导致处罚的随意性综合上述执法事例可以发现，执法机关基于类似的法律事实——网络运营者未能尽到对用户发布的违法信息的管理义务，分别赋予该法律事实以“罚”与“不罚”的法律后果，处罚决定的作出似乎具有相当的随意性。在重罚运营者的事例中，并未看到行政机关对于从重理由的说明，而是在对法律事实进行简单阐述后，直接进行了法定处罚的升格，对网络运营者顶格处罚和从重处罚。而在“约谈案”中，在对违法事实及其危害后果进行明确认定后，却转而作出“责令改正”这一决定，并未对该违法行为予以处罚。关于从重处罚，《网络安全法》并无明确规定。与之相关联的《行政处罚法》第38条第2款规定：“对情节复杂或者重大违法行为给予较重的行政处罚，行政机关的负责人应当集体讨论决定。”该条款尽管涉及“较重行政处罚”，但也仅仅从处罚决定作出的程序视角来规范处罚行为。尽管我们无法从上述执法事例中看出该从重处罚决定的作出是否经过了行政机关负责人集体讨论这一程序，但就这一规定本身而言，很显然意味着“较重行政处罚决定”的作出应当坚持审慎的义务。即，只有在充分论证出基本的法律事实情节复杂或者违法行为达到“重大”程度，且经过较为严格的程序方能作出。此外，根据《行政处罚法》第25、26条的规定，在决定是否对违法行为人从轻处罚、减轻处罚甚至是不予处罚时，相对人违法时的主观状态亦是重要的考量要素之一。从体系解释出发，得出是否从重处罚亦需要将违法者的主观状态考虑在内这一结论应当并不存在方法论上的障碍。在腾讯、百度被重罚的事例当中，根据主管部门所依据的《网络安全法》第68条的规定，对于一般的违法行为，仅仅对应“警告，没收违法所得”这一法律后果，只有存在“拒不改正或情节严重”的情形时才可作出“罚款”处罚。从“当然解释”的角度出发，仅适用“罚款”这一处罚种类况且需要“情节严重”这一论证过程，直接作出顶格处罚或从重处罚则当然不可缺少更加有力的论据支撑，其中亦应当包括对于网络运营者是否尽到管理义务的主观状态的考量。同样，在对58同城、赶集网等违反网络安全保护义务却不予处罚的事例中，对于相关网站履行监管义务的主观状态的忽略使得整个论证过程呈现出逻辑上的混乱和断裂。上述实践情形意味着，在网络安全行政处罚的执法实践当中，执法机构缺乏对网络运营者在实际层面上是否尽到管理义务的论证和考量，而是在发现违法信息后，直接认定网络运营者未尽到网络安全保护义务，并未将法定的主观要素考虑在内，导致了处罚行为的随意性。（二）则网络安全处罚实践忽略主观状态审查的原因1.审查动力不足(1)专项治理的执法逻辑。现代行政法下的行政权是一种需要严格依法行使的有限权力。然而，与有限制的行政权相并列的是有效率的行政权。“行政需要效率是行政的生命，现代社会中的行政权对效率尤其渴望。”(25)基于这样的理念，行政权的行使尽管离不开法律的严格控制，但同时也要求法律同行政一道，高效率地、积极主动地介入社会各领域，协调复杂的利益关系，从而在最大限度内确保公民基本人权的实现。然而，“随着立法规模的扩大，行政机关所承担的执法职责也随之增加。执法任务与执法资源之间的矛盾是客观存在的。从理论上说，行政机关应当将所有的执法资源平等地分配到每一部法律的执行中。但是，立法往往对这一问题未置可否。因此，如何分配执法资源成为裁量的事项。实践中，轻重缓急是由行政机关独自拿捏的。选择取舍中的顾此失彼、厚此薄彼也不可避免地成为不同法律以及同一部法律不同事项实施中的常态。”(26)在运动式治理、专项治理模式一直被视作公共政策高效推行的中国经验这一背景下，(27)某种程度上，对法律的实施是通过制定政策开展专项治理的方式加以推进的。《网络安全法》制定实施后，各部门紧接着下发了学习《网络安全法》的通知，并同时制定了“加强网络安全管理，净化网络环境”等具体的工作要求，全方位地按照上述目标开展相关工作。“公安部会同有关单位组织开展了大型互联网企业专项保卫行动、网站安全和互联网电子邮件安全专项整治行动，发现整改了一批网络安全深层次问题和隐患。各地也通过开展‘扫黄打非’、‘剑网’等系列行动，对互联网站、应用程序、论坛、博客、微博、公众账号、即时通讯工具、网络直播中宣扬恐怖暴力、淫秽色情等信息及时清理。”(28)如同一位大数据领域的创业者所感受到的那样，“《网络安全法》正式实施前后，像一场寒流，席卷了整个大数据行业”。(29)在以专项整治的方式推进《网络安全法》的实施过程中，网络环境的确在相当短的时间内达到了政策推行的目标，亦保证了《网络安全法》第8条“县级以上地方人民政府有关部门的网络安全保护和监督管理职责”的实现。此种专项治理下追求治理效率和效果的执法逻辑必然导致行政执法机构对于法条本身规定的主观状态的审查动力不足，而仅仅根据“违法行为—法律后果”这一客观归责模式，力求在最短的时间内实现专项整治的打击目标。(2)忽视《网络安全法》所承载的“积极促进”目的。如前文所述，《网络安全法》具有“网络安全之保障”与“网络信息化发展之促进”的双重目的。但无论是《网络安全法》出台后各部门为配合法律的执行所制定的相关配套法规，抑或是开展的各项专项整治行动来看，其偏重点均在于打击违法行为这一突出的问题导向。从上述文件中不难发现，其规范和强调的重点均在于构建严密的规范体系以应对网络安全日趋复杂的严峻形势，至少从规范层面几乎未见对于促进网络信息化发展这一积极目的的考量。在执法实践上，“各地各有关部门认真落实法律要求，扎实做好网络意识形态工作，坚决清理各类违法违规信息；法律实施主管部门还建立了网络信息巡查机制和公众举报平台，及时清理违法违规信息”。(30)尽管从实用主义的角度来讲，对于违法行为打击当然有助于促进网络信息化的健康发展，但作为法律之灵魂存在的立法目的这一核心条款直接指引着具体制度规则的建构。因此，对《网络安全法》所承载的“积极促进”目的的忽视也不可避免地引导执法者单纯专注于打击违法行为的实质性效果上，使得执法机构在实践中对规范层面所要求的主观过错审查的动力严重不足。2.过度的预防性规制使得处罚行为脱离法治框架当下已经进入风险社会。在这一急剧转型时期，个人言行失范、脱序的现象与社会正常发展之间一直处于紧张状态之中。作为行政机关，其首要任务在于维系社会秩序的稳定，这是其他一切活动得以开展的前提。现行法律规范中大量“罚”则的存在也多少可以说明这一点。但另一方面，这种紧张状态往往成为执法者僭越立法的正当理由，也极其容易获得社会公众道义上的支持。因为社会公众也急迫地需要政府来整合不稳定的社会秩序，以此在风险社会当中求得更多的安全感。“风险社会的规范议题不再是强调国家统治权力过度集中，或是自由如何分配等，而是聚焦在社会持续处于一种高度信赖社会控制机制的氛围，亦即要求国家积极采取行动排除或降低风险(恐惧)，或是实现安全保证之需求。”(31)因此，个人的生存风险亟待通过国家层面的具体制度举措获得消解，否则，个人出于本能对风险的抵御很有可能通过危害社会秩序的极端方式进行，以此便会进一步加剧其他生存者的焦虑和不安。这样的现实亦对风险社会下的政府治理提出了新的要求。(1)从行为控制转向源头控制。复杂交互的网络技术、匿名化的网络环境都意味着风险的不可避免性，面对铺天盖地的“违法行为”，应当建构一种整体性的治理与规制策略，在此指导之下，考虑如何从源头开始，对导致危险现实化的相应环节进行必要控制，构建新的归责机制，以避免无人负责现象的蔓延。(32)但与此同时，若是规制举措本身超出了“必要控制”的范畴进而过度追求对于未来秩序的可控性，那么新的风险源便伴随而来，即政府本身的管制行为规避了法治框架的约束。(2)预防性规制策略本身蜕变为新的危险源。“在传统的规制领域，任何政策执行点上，行政权都会有立法者无法控制的政策回旋空间存在，包括执行工具的选择、标准的制定、甚至是政策价值间的优先设定与选择等，”(33)在牵涉到复杂的互联网技术变革的网络空间更是如此。然而“预防总是与无限制相联系，具有不确定性和难以捉摸的特性，具有与生俱来的‘越早越好’的内在扩张逻辑”，(34)基于这样的逻辑，行政机关也因此获得了巨大的权力行使空间。当预防性规制策略抑制了规制对象发展的内在动力，那么此种规制手段可能会导致的后果就在于，借由对未来秩序之可控性的追求这一看似正当的目的而弱化法治的约束，进而使得为控制风险所采取的预防性规制手段本身蜕变为新的危险源。《网络安全法》实施后，为尽可能保障网络安全，行政执法机构对于网络安全管理秩序的维护进行了积极介入与干预，一旦发现违法行为便迅速进行处置。此种高效率的执法行为一方面在短时间内获得了突破性的执法成果，但与此同时，也不可避免地规避了《网络安全法》中关于主观要件的规定，产生了弱化法治约束这一新的风险。四、通过“区分信息种类和内容”分别建构主客观归责路径尽管网络安全行政处罚主观归责原则实效性危机的存在有着深刻的原因，但并不能以此减免行政执法弱化法治框架约束的正当性拷问。就《网络安全法》的现行规定而言，主观归责原则的“一刀切”也的确给执法实践带来了一定的障碍。一方面，该原则的确立充分考虑了网络安全领域违法行为的特殊性及《网络安全法》的立法目的，因而有其合理性；但另一方面，此种“一刀切”式的规定使得行政执法机构出于执法效率的考虑，在应当考量主观要素的场域对该要件作出选择性忽略。因此，基于网络安全保护的实效性与网络法治秩序的平衡，对于网络运营者的网络安全保护义务应当通过“区分信息种类和内容”分别建构主客观归责路径。（一）法定监督义务之类型区分《网络安全法》要求网络运营者加强对网络用户的发布和传输行为的监管，但并未就信息的种类和内容本身作出规定。但发布和传输这一界分本身就意味着网络运营者所要监控和管理的信息在内容上是存在不同的。尽管信息源头均来自网络用户，但用户发布和传输的内容可能是终极信息，亦有可能是中间层信息，即不直接显示内容的链接信息。倘若如此，在不区分信息内容和种类的情况下要求网络运营者行使监督职责是否具有期待可能性呢？在比较法上，德国在1997年即颁布了《多媒体法》，是世界范围内首个制定互联网规制法律规范的国家。该部法律对运营商的责任作了分层处理，其基本原则在于，网络服务提供者对其自身提供的信息负责；对于来源于第三方的信息，只有在运营商了解并掌握了该信息的内容并且在技术上存在阻止其传播的可能性的情形下才负有责任；对于只是通过该平台促成对第三方信息的使用的情形不负有责任。尽管该规定出台于20世纪，但其中的分层处理方式于今天的网络空间规制仍然有借鉴意义。即，在认定运营商责任时，需要区分平台本身所发布的信息和以该平台充当中介所发布的来源于第三方的信息，即运营商和信息来源之间的关系问题。新加坡在《互联网行业准则》中明确了网络内容的主要责任人是信息的作者，而非运营商，但是明确了运营商在政府调查过程中的协助义务。因此，新加坡网络规制立法的特殊性在于，在管制过程中，仅对运营商设定了较为宽松的配合义务，而并未为其设定事先审查以及事中监控互联网内容的义务，一方面体现了政府在网络治理中与运营商进行共治的协作模式，另一方面尽可能地为网络的发展减轻阻碍和提供充足的空间。同时，《准则》为了保证运营商提供服务的积极性，还规定了相应的免责条款，包括按照政府的要求取消对于包含违禁内容的网站的订阅以及立即消除对于此类网站的链接等。因此，新加坡总体而言所采用的是一种较为柔性的治理方式，在保障国家和公共利益的基础上，尽可能低限度地限制互联网的使用以保障民众的言论自由，同时也赋予了运营商足够的发展空间，从而达到促进信息技术发展的目的。同时，对于违反法律规定的平台责任人，在政府对其进行处罚之前，先行给予一次自行纠正的机会。由此观之，在新加坡和最早进行互联网规制立法的德国，均以区分信息来源作为对运营商创设义务的前提。除了为运营者及其平台负责人设定了较为宽松的监督和配合义务之外，(35)新加坡《互联网行业准则》更是追根溯源，直接从源头上对信息的作者进行处罚。此外，亦有一些国家通过与运营商签订协议的形式来实现对互联网的规制，而政府在此过程中会不断为运营商提供技术支持，如过滤软件等。(36)（二）通过区分信息种类和内容实现监督义务的期待可能性相比较之下，我国对于互联网的规范制度较为严格，这样的规定是与当前较为严峻的网络安全环境相适应的，尽管如此，倘若在不对信息种类和内容加以区分的状况下为责任主体设定监督义务，此种义务很有可能会因为不具有期待可能性而根本无从履行。期待可能性理论产生于德国，同时也是我国刑法理论中的重要问题。德国学者威尔泽尔认为：“人总是预先确定目标并选择达成此目标的手段，进而使用选择的手段而向达成目标的方向努力，此种目的性才是行为的本质要素。”(37)尽管这句话是对于“规范责任”的阐述，但该理论以期待可能性为核心，使得我们能够从中窥知一二。日本学者大塚仁教授曾经对期待可能性理论作过如下评价：“期待可能性正是想对在强有力的国家法规范面前喘息不已的国民的脆弱性倾注刑法的同情之泪的理论。”(38)期待可能性对于法律规范设定的限制在于，对于不具有可实现性的义务，不应当作为入罪的责任要件。作为同为国家制裁违法行为的行政处罚，该理论亦可为其所用。实践中，尽管网络运营者投入了大量的人力、物力从事信息的审核以及不良信息的处置工作，但面对海量的互联网信息难免挂一漏万。出于网络安全保护之实效性与网络法治秩序之平衡，应当以“区分信息种类和内容”分别建构主客观归责路径。当然，此种区分无须如同新加坡那般过度追溯，直接将责任落实于信息作者头上即可，否则会架空运营商的监督义务，使得《网络安全法》的规定形同虚设。此外，在区分的基础上需要附加一定的说明义务，即运营商在发布该外部信息时的确不知晓或者在技术上不存在鉴别的可能性，此种情形下当然不能再期待其监督义务的实现。（三）基于区分信息种类和内容这一前提分别建构主客观归责路径基于网络安全保护的实效性与网络法治秩序的平衡，应当通过区分“能够直接获取实际内容的终极信息”与“通过该运营平台发布的中间信息”，以及“高度敏感性信息”和“模糊性信息”分别设定不同程度的监督义务。具体可分为两个步骤进行：对该信息作“终极信息”与“中间信息”的区分，若是后者，则因具体内容的不可控性而采主观归责原则；若是前者，则进一步对该信息作“高度敏感性信息”抑或是“模糊性信息”的界分。对于前者，由于此类信息的传播可能产生的重大危害后果，因而应当采取较为审慎的态度，采客观归责原则；对于后者，应当采过错推定原则，即若是运营者能够证明自己已经尽到管理义务，即用尽技术措施及监控手段均无法发现或判断的，可免于处罚责任。具体如下：(1)对于“通过该运营平台发布的中间信息”，因具体信息内容具有变动性和不可控性，因此采主观归责原则。(2)对于“能够直接获取实际内容的终极信息”，若是其内容属于“高度敏感性信息”，网络运营者应当负有审慎的处置义务。应当在发现后立即删除；若是属于“模糊性信息”，一方面，对信息作出是否具有违法性的判断势必导致删除行为的滞后性；另一方面，对模糊性信息本身的违法性界定亦存在主观性。因此，对此种情形应当采过错推定原则。根据《网络安全法》第47条和68条之规定，法律为网络运营者设定了采取对违法发布或传输信息的具体处置义务。按照上述判断步骤，若是所涉违法信息属于终极信息中的模糊性信息，网络运营者若是未履行对此种信息的处置义务，则可推定其主观上具有过错，依法处“警告，没收违法所得”等处罚。但如前所述，网络运营者履行这一义务的前提条件在于其能够发现违法信息，故而应当排除对于“未被发现”以及“未能被发现”的违法信息的处置义务。由此，网络运营者能够证明其已经穷尽技术手段、且并未违反事前的“防范”义务时，即无须承担违法责任。此时，尽管运营者可以免受第68条规定的“警告、没收违法所得”等处罚，但这并不意味着正常的网络秩序无法得到修复。《网络安全法》对网络秩序的规范举措是多方位的，除了监管处置义务外，亦包括配合义务，(39)同时创设了约谈、(40)警告等多种方式作为辅助手段来实现对网络安全秩序的维护。另外，《刑罚修正案(九)》亦专门增设了拒不履行网络安全管理义务罪。互联网技术的发展日益推动着行政法学领域知识形态的改变。尽管在实践和学说领域都不乏对于互联网规制以及行政处罚归责原则等话题的探讨，但如何将互联网规制中的具体责任条款整体嵌入甚至覆盖到行政处罚法益当中，则是一个需要我们以全新的视角去看待的问题。必须明确的是，在讨论互联网规制的诸多问题时，仅在现实世界中既定法律规范的“螺蛳壳里做道场”固然不可行，但若是仅仅将眼光流连于现实中已经改变的格局，片面沉溺于信息技术的汪洋大海当中随波逐流的做法亦不可取。因此，本文将视线聚焦于规范与事实之间，着眼于信息网络技术的发展对于现实规制所提出的要求进行阐释，以期有裨于网络安全行政处罚归责原则的进一步具体建构和完善。①季卫东：《大变局下的中国法治》，北京大学出版社2013年版，第115页。②参见《〈中华人民共和国网络安全法〉(草案)的说明》。③从理论层面对行政处罚归责原则所作的研究，可参见彭爽：《论行政处罚的归责原则》，《中南林业科技大学学报(社会科学版)》2010年第5期，第58—60页；刘席宏：《行政处罚主观归责研究》，《黑龙江省政法管理干部学院学报》2015年第1期，第28—31页。④《网络安全法》第21、25、59条。⑤《网络安全法》第47、68条。⑥《网络安全法》第69条。⑦刘生荣：《犯罪构成要件原理》，法律出版社1997年版，第187页。⑧崔建远：《合同责任研究》，吉林大学出版社1992年版，第50页。⑨翁岳生：《行政法(上册)》，中国法制出版社2009年版，第847页。⑩关于行政处罚的归责原则，学界并未形成通说。尽管多数学者认为《行政处罚法》确立了以客观归责为主的归责原则，但该法第25、26条亦包含主观归责要素的考量。(11)除了故意和过失外，奥地利《行政罚法》还确立了“推定过失”原则，但该原则的适用有着严格的法定要件，体现在《行政罚法》第5条第1项：“于行政法规无关于责任条件之特别规定时，过失行为已足为处罚之理由，仅系违反禁止命令或作为命令之行为，而无须以引起损害或危险作为违反行政义务行为之构成要件者，如行为人不能证明其无法避免行政法规之违反，应认为有过失。”章剑生：《现代行政法基本理论(上卷)》，法律出版社2015年版，第364页。(12)城仲模：《行政法之基础理论》，台湾三民书局1994年版，第197页。(13)参见章剑生：《现代行政法基础理论》，法律出版社2015年版，第363页。(14)关于此观点论证，可参见尹培培：《不予行政处罚论——基于〈行政处罚法〉第27条第2款规定之展开》，《政治与法律》2015年第11期。(15)[德]亚图考夫曼：《法律哲学》，刘幸义等译，法律出版社2011年版，第162页。(16)Report

此外，为更高效、安全的推进等级保护工作制度的落实，网络安全运营者还应对第三级以上的网络和重要信息系统要正确、有效采用密码技术进行保护，并进行商用密码应用安全性评估工作。

作者丨一哥出品丨等级保护测评近期全国各地不少各网络安全主管部门都在开展不同形式的网络安全行动，特别是网络安全攻防行动，该行动是以网络安全实战形式，以白客渗透攻击等方式，旨在发现各单位各系统的网络安全潜在风险，同时可以检验各单位的安全防护和应急处置能力，提高各单位网络安全事件应急处置及实战水平。面对此类网络安全攻防行动，首先我们了解下目前防守方普遍存在的一些问题。从过去的网络安全攻防行动来看，防守方普遍存在以下问题。防守方普遍存在的问题：1、互联网资产暴露面过多，对外的各类服务太多，缺乏有效维护和管理；2、弱口令大量存在，内外网系统都存在不同程度上的弱口令问题，要知道弱口令可是最容易被发现的高危风险；3、没有有效的纵深防御体系，重视外网边界防护，轻视内网防护，攻击方一旦突破到内网，则来去自如；4、敏感信息存在外泄情况，网络拓扑、用户信息等泄露在互联网，成为攻击方突破点；5、资产管理不到位，存在老、旧、长期不用的系统未及时关闭清理情况，容易成为攻击者的跳板；既然我们了解到这些普遍存在的问题，那么如何进行有效应对呢？防守方临时应对措施：1、减少互联网资产暴露面，如关闭不需要的网站、对外提供服务的业务系统等；收敛互联网出入口，尽量减少不必要的互联网出入口，减轻防守压力；2、弱口令排查与修改，全面排查并修改所属的信息系统的弱口令（如123456、admin、默认密码等），不同服务器及不同应用不应使用相同密码；3、对外泄在互联网上的敏感信息及时清除；4、清理整顿老旧资产，及时关闭不用的老旧资产、僵尸资产等，排查并清除应用的测试账号，防止成为攻击跳板；5、安全设备策略优化，将网络安全设备调至有效状态，避免安全设备成为摆设；6、如果对业务系统非常熟悉，可以设置进程白名单；这招对攻击方杀伤力很大，如果攻击方贸然在服务器上运行了白名单之外的程序，防守方利用日志分析系统就能很快定位出被攻破的服务器；7、及时封堵攻击方可疑IP，这是一个立竿见影的方案。不过这一招对于自身的安全防护能力并没有实质上的提升，这只是当下一个权宜之计，大家要切记。防守方加固措施：1、定期的漏洞检测与加固；全面开展主机、网络设备、安全设备、应用系统的漏洞检测和加固工作；2、在业务系统上线前需要进行安全测试，包括但不局限于：渗透测试、漏洞扫描、白盒代码审计、软件测试等；3、建立纵深防御体系，建立南北向网络安全纵深防护体系，防止出现一道防线被突破满盘皆输的情况。通过使用下一代防火墙、WAF、防病毒网关、入侵防御、数据库防火墙、网闸等建立多层防御体系，增加攻击者边界突破的难度；同时对于东西向流量也要最好管控与防护；4、终端杀毒软件一定要有，特别是服务器端的，另外网关层的防病毒最好和主机层的防病毒选用不同安全厂商的，做好异构，加强防病毒的能力；5、调整优化网络分区分域并做好安全隔离防护，根据不同业务类型与安全等级将网络区域划分为不同的网络安全区域，如划分为办公区、互联网区、内网服务器区、运维区等；在分区分域的基础上，针对各个区域边界建立不同的安全防护措施，做好边界隔离，加大攻击方内部渗透的难度；6、对重要设备及应用做好双因素认证；双因素认证能够有效的防止密码暴力破解，同时就算用户的密码是弱口令或者被撞库成功，攻击方也很难成功登录，这能在很大程度上影响攻击方的进攻脚步。重要的业务系统、远程办公系统(vpn、远程桌面、OA等)、堡垒机、单点登录认证系统等都应该加上双因素认证；7、做好日志审计与分析，对所有安全相关的行为与事件及时进行日志收集与分析，做到可查看、可溯源；重点关注重要账户的登录和变更日志，重要账户的任何异常行为应及时掌握；8、建立应急响应与处置体系，日常做好应急预案与演练，发生网络入侵事件时及时进行处置，防止一般网络安全问题演变为重大网络安全事件；9、定期开展全员安全意识培训，这个主要是针对员工进行安全意识培训，结合行业内或生活中实际案例，加强员工对网络安全的重视，防止被社会工程学等攻击，建立好基层防线；10、定期开展网络安全等级保护测评等合规性工作，通过第三方安全检测及时发现存在的网络安全风险，消除隐患，满足合规合法要求。目前，网络安全行动已是常态，不论是网络安全检查还是网络安全攻防已成为各主管部门的常规操作。做好以上这些措施，一哥认为可以轻松自如地应对各类网络安全行动。往期精彩回顾●

作者丨一妹出品丨等级保护测评客户困惑究竟该怎么进行整改？等级保护的标准怎么用？系统目前存在哪些问题？与等保要求差距多少？国家标准的普适性较强，但不针对具体行业，如何突出行业特点？整改中如何突出重点？第一级、第二级、第三级、第四级系统的整改工作是否同时进行？整改工作如何把握？对不同级别的系统，整改的措施是否一样？解决方案网络风险评估服务和安全建设咨询服务；分析最新的国家等级保护相关政策精神及要求；分析客户的组织架构、业务要求、行业特点、信息系统特点；对信息系统现在进行全面的风险评估；按照等级保护及网络安全建设现状，逐条对比分析客户制定适合自身特点的行业等保基本要求（可选服务）；按照国家政策文件和标准制定整改方案；协助客户落实安全要求，完成系统整改。安全建设整改是指在符合等级保护的要求的基础上，对新建或已经建的信息系统进行建设和整改。目的是使确定了等级的信息系统能够达到相应等级的基本的保护水平和满足自身需求的安全保护能力。安全建设整改工作是开展等级保护工作的核心和落脚点，无论是定级、测评还是监督检查工作最终都要服从和服务于安全建设整改工作。信息系统安全建设整改工作具体实施可以根据实际情况，将安全管理和安全技术整改内容一并或者分步实施，做到技术为基础，管理是关键，服务做支撑。具体安全建设整改工作可以分为五步进行，具体流程图如下：下面我们以一个典型网络结构举例说明：中间两个是核心交换机下级纵向接入区：类似市局接的下面区县的公安局的网络业务和数据区：放服务器的出口区：向上连接的，类似市局连接省公安厅联网区：这里应该把防火墙换成网闸比较好信息系统安全技术建设技术整改思路◆

作者丨一妹出品丨等级保护测评客户困惑 如何从复杂、庞大的信息系统中分解出定级对象如何对各个系统进行合理的定级不了解定级工作流程、难点和工作量缺少专业技术人员的指导不清楚提交哪些文档解决方案网络信息系统定级咨询服务分析最新的国家等级保护相关政策精神及要求；分析客户的组织架构、业务要求、信息系统等特点，确定并分析定级对象；综合以上信息，创建信息系统安全保护等级定级指南（可选服务）；针对定级对象，基于定级指南协助系统负责人确定信息系统的等级，编写《定级报告》；协助提交备案材料。协助定级备案。对于企业来说定级与备案是十分重要的步骤，便于企业明确自己应当施行的保护标准，假如不明确等级，施行保护标准低于定级会陷入违法的境地，实行保护标准高于定级则会浪费成本。在等级保护制度中，网络运营者依据定级指南进行规范定级，行业有定级指南的参照行业定级指南进行定级。按照重要程度由低到高将信息系统分为1-5级，不同等级按照相应的标准进行定级资料的撰写。定级与备案流程分为确定定级对象、初步确定等级、专家评审、主管部门核准以及备案审核五个步骤：涉及到等保实施中所有角色，包括运营单位、网络安全企业、主管部门、网络安全测评机构、网络安全服务机构以及公安机关。到当地公安机关的网安大队或网安支队进行备案（第二级（含）以上信息系统），需提供“定级报告、备案表”（如是三级系统还需要提供：拓扑图、组织结构图、系统安全方案、网络安全设备列表及销售许可证等），公安机关审核后颁发备案证明。下面，为大家展示一下定级和备案材料（网上版本，仅作为参考）《信息系统安全等级保护定级报告》一、XXX信息系统描述简述确定该系统为定级对象的理由。从三方面进行说明：◆

作者丨毛华庆出品丨等级保护测评头图丨freepik独家授权，未经许可不得转载前言上篇介绍了等保测评综合得分计算，本来单项测评项控制点得分计算相对比较简单，不想单写，但涉及到整体的测评结果分析，这次再继续写一下。下一篇会再为大家带来整体的测评结果分析，希望能对大家有所帮助。测评项控制点得分计算先给出新版测评报告中的描述与公式：根据附录D中测评项的符合程度得分，以算术平均法合并多个测评对象在同一测评项的得分，得到各测评项的多对象平均分。根据测评项权重，以加权平均合并同一安全控制点下的所有测评项的符合程度得分，并按照控制点得分计算公式得到各安全控制点的10分制得分。n为同一控制点下的测评项数，不含不适用的测评项。这里面提到的附录D是：单项测评结果记录，其目录结构如下：D.1安全物理环境

作者｜毛华庆出品｜等级保护测评作者独家授权，未经许可不得转载概述网络安全等级保护2.0正式实施后，等级测评结论的判定较等保1.0时代的判定方法有着重大的变化。等级测评报告应给出等级保护对象的等级测评结论，确认等级保护对象达到相应等级保护要求的程度。应结合各类的测评结论和对单项测评结果的风险分析给出等级测评结论：a）符合：定级对象中未发现安全问题，等级测评结果中所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分。b）基本符合：定级对象中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值。c）不符合：定级对象中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题会导致定级对象面临高等级安全风险，或者中低风险所占比例超过阀值。总而言之就是不能存在高风险项，以及分数要达到要求的阈值（一般为70，特殊行业要求会变高）。通俗的说，就是要满足两个条件：1.不能有高风险项，如果有，直接不通过2.分数要达到要求，这个要求一般是70分，也有特殊要求。在新版等保测评报告中，这个分数和风险要求还有一个具体表格：判别依据测评结论被测对象中存在安全问题，但不会导致被测对象面临中、高等级安全风险，且系统综合得分90分以上（含90分）。优被测对象中存在安全问题，但不会导致被测对象面临高等级安全风险，且系统综合得分80分以上（含80分）。良被测对象中存在安全问题，但不会导致被测对象面临高等级安全风险，且系统综合得分70分以上（含70分）。中被测对象中存在安全问题，而且会导致被测对象面临高等级安全风险，或被测对象综合得分低于70分。差这个表格和最终的结论挂钩！这个分数计算公式看上去比较麻烦，第一次计算建议先用excel公式逐步分解计算（详见多个对象计算的图例）。考虑到将来等保即使通过后，网安部门还有可能复查，所以不要偷懒，在做等保的时候只拿70或70多一点，起码分数应在75左右。下面，本文就等级测评综合得分的计算进行说明。公式及说明原版公式：其中，q为被测对象涉及的安全类，p(j)为某一安全类对应的测评项数（不含不适用项），m(k)为测评项k对应的测评对象数。wˆk为不符合测评项的权重，w′k为部分符合测评项的权重。在网络安全等级保护基本要求中，共包括10个安全类：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理，分别用D1、D2、D3、D4、D5、D6、D7、D8、D9、D10代表10个安全类/层面，其中只有D1、D4会涉及多个对象。因测评项量化集为(0,0.5,1)

2020年7月8日，国务院办公厅印发《国务院2020年立法工作计划》（以下简称“计划”）。计划明确的立法项目包括拟提请全国人大常委会审议的法律案（16件）、拟制定、修订的行政法规（26件）、拟完成的其他立法项目（5项）。其中拟制定、修订的行政法规中包括关键信息基础设施安全保护条例（网信办、工业和信息化部、公安部起草）。我国属于较早将网络安全专门立法提上立法议程的国家。2014年，国家成立了中央网络安全和信息化领导小组，要求抓紧制定立法规划，加强互联网领域立法，完善网络安全保护法律法规，最终于2016年11月颁布了《网络安全法》。其中第一次正式明确了关键信息基础设施的概念。2017年7月10日，国家互联网信息办公室又发布了《关键信息基础设施安全保护条例（征求意见稿）》（以下称“保护条例”）公开征求意见。《保护条例》重点解读《保护条例》第二章对国家、政府、监管部门、行业主管或监管部门、能源、电信、交通等行业、公安机关部门等核心部门确立了统筹协作、分工负责的监管机制。国家网信部门负责统筹协调关键信息基础设施安全保护工作和相关监督管理工作。《保护条例》第三章第18条沿用了《网络安全法》的关键信息基础设施范围外，保护范围在突出核心标准上的范围更大，将行业领域科研生产单位、新闻传播单位等纳入到保护中：

2020年06月29日，网络安全等级保护网（www.djbh.net）进行了最新全国网络等级保护测评机构公示，全国等保测评机构目前在册的共有198家。等保测评机构应具备有效的《网络安全等级保护测评机构推荐证书》，同时测评机构及其人员应当遵守国家有关法律法规，依据国家有关技术标准和本规范的相关规定，开展客观、公正、安全的测评服务。为加强网络安全等级保护测评机构规范化管理，提高测评机构的技术能力和服务水平，促进全国网络安全等级保护测评体系的健康发展，公安部定期会组织开展监督检查，不合规的机构将会下令整改或者被注销。等级保护测评机构推荐证书有效期为三年，等级测评机构应在推荐证书期满前30日内，向等保办申请复审。本次最新在册的全国198家等保测评机构已为大家整理完毕，可点击本文文末左下方

加固措施2：启用交换机telnet或SSH方式远程管理网络设备的登录用户验证以华为交换机为例，可启用SSH登录的aaa认证策略实现对SSH登录用户验证。

01中华人民共和国密码法《中华人民共和国密码法》已由中华人民共和国第十三届全国人民代表大会常务委员会第十四次会议于2019年10月26日通过，现予公布，自2020年1月1日起施行。密码工作是党和国家的一项特殊重要工作，直接关系国家政治安全、经济安全、国防安全和信息安全。密码法的通过对全面提升密码工作法治化水平起到了关键性作用。02国家政务信息化项目建设管理办法2020年1月21日，国务院办公厅印发了《国家政务信息化项目建设管理办法》（以下简称《办法》），对国家政务信息系统的规划、审批、建设、共享和监管作出规定。本办法自2020年2月1日起施行。2007年8月13日国家发展改革委公布的《国家电子政务工程建设项目管理暂行办法》同时废止。032020年教育信息化和网络安全工作要点2020年2月26日教育部办公厅印发《2020年教育信息化和网络安全工作要点》（简称“《工作要点》”）的通知。《工作要点》涵盖三个核心目标，一是全面落实党中央、国务院对教育领域网络安全和信息化的战略部署；二是深入实施教育信息化2.0行动计划；三是教育网络安全支撑体系不断完善，网络安全人才培养能力和质量全面提升，教育系统网络安全防护水平不断提高。04网络信息内容生态治理规定为了营造良好网络生态，保障公民、法人和其他组织的合法权益，维护国家安全和公共利益，构建天朗气清的网络空间，国家互联网信息办公室于2019年12月15日发布《网络信息内容生态治理规定》，自2020年3月1日起正式施行。05网络安全审查办法为了确保关键信息基础设施供应链安全，维护国家安全，国家互联网信息办公室、发展改革委、工信部等12部门27日联合发布《网络安全审查办法》将于今年6月1日起实施。（以下简称《办法》）。根据《办法》，网络安全审查重点评估采购网络产品和服务可能带来的国家安全风险，包括产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险；产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险；以及其他可能危害关键信息基础设施安全和国家安全的因素等。06信息安全技术个人信息安全规范国家市场监督管理总局、国家标准化管理委员会发布中华人民共和国国家标准公告（2020年第1号），全国信息安全标准化技术委员会归口的国家标准GB/T

近日，河南省公安机关公布了一批“净网2020”专项行动网络安全行政执法典型案例，其中一起为：郑州新郑市某中等专业学校不履行网络安全保护义务案。郑州新郑市公安局网安部门在工作中发现，郑州某中等专业学校信息系统遭到黑客攻击。经查，该校不履行网络安全保护义务，未制定内部安全管理制度和操作规程，未按照规定留存相关网络日志六个月。新郑警方依据《中华人民共和国网络安全法》第59条规定，对该校给予10000元罚款的行政处罚，对该校网络安全负责人给予5000元罚款的行政处罚。以上信息转自：河南网警根据违规内容：“该校不履行网络安全保护义务，未制定内部安全管理制度和操作规程，未按照规定留存相关网络日志六个月”可以推断公安部门应当是根据《网络安全法》第二十一条进行处罚的。第二十一条

12月16日，“教育移动互联网应用程序备案管理”网站公布了第一批教育APP备案名单。据了解，截至2019年12月16日，共有1321家企业，提交了2279个教育App的审核申请。根据《管理办法》要求，教育部组织各省教育行政部门对提交材料进行了审核，首批通过了152个教育App的审核。今年11月13日，教育部曾印发《教育移动互联网应用程序备案管理办法》。办法指出，教育行政部门、学校、企业和社会组织均向其住所地或注册地省级教育行政部门进行提供者备案。省级教育行政部门开发的教育移动应用向教育部进行备案。小程序、企业号等平台第三方应用统一到平台方提交备案信息，并由平台方向教育部共享备案信息。高度重视教育移动应用备案工作。各省级教育行政部门应组织本地区的企业、社会机构等单位做好提供者备案，指导本地区的教育行政部门和学校做好提供者备案和使用者备案。名单显示，教育APP备案来自北京市、天津市、河北省、吉林省、上海市、江苏省、浙江省、安徽省、福建省、河南省、湖北省、湖南省、广东省、广西壮族自治区、重庆市、四川省、宁夏回族自治区共17个地区。新东方、VIPKID、猿辅导、小盒科技、网易有道、晓黑板、一起教育科技、学霸君1对1、流利说等企业旗下多款APP都通过了审核。今年9月，教育部等八部门发布《关于引导规范教育移动互联网应用有序健康发展的意见》，针对教育类APP的供给质量、规范入校、个人数据、应用管理等方面做出相关规定。以下为第一批教育App备案名单《管理办法》要求，2019年12月1日至2020年1月31日为备案缓冲期，期间ICP备案和等级保护备案不作为备案的前置条件。教育移动应用提供者在2020年1月31日前完成ICP备案和等级保护备案，并及时在公共服务体系上传、更新信息。2020年2月1日起，未完成上述两个备案的教育移动应用备案将被撤销，并予以通报。以上信息整理于公众号：桃李在线其他文章：拒不履行信息网络安全管理义务可处三年以下有期徒刑等处罚印度关闭互联网说明了一个常识与全球市场比，我国网络安全支出比例仍较低

2019年11月1日起，最高人民法院、最高人民检察院日前联合发布的《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》（以下简称《解释》）正式实施。《解释》共十九条，对拒不履行信息网络安全管理义务罪的具体情形、定罪量刑标准及有关法律适用问题作了全面、系统的规定，具体如下：第三条

如何有效规制互联网，应对来自网络空间的安全威胁，是当前全球各国共同面临的一项重要任务。最近的一个案例是，因为签署并通过“公民身份法案（修正案）”引发的争议，印度阿萨姆邦和梅加拉亚邦的街头爆发了大规模抗议活动。为控制局势，印度政府派出军队并关闭当地的互联网。从20世纪50年代开始，美国就将印度视作为南亚民主的“橱窗”；在美国推行的所谓“印太战略”中，具有共同意识形态和相似政治制度的印度更是美国重要的地缘政治伙伴。同时，印度是世界第二大互联网市场，拥有6.5亿互联网用户，而阿萨姆邦和梅加拉亚邦拥有3200万用户。很显然，当国家安全面临显著威胁的时刻，印度同样毫不犹豫地采取了关闭相关地区的互联网作为一种应对策略。很显然，此次印度的实践证明，对互联网的规制是主权国家基于国家利益需求的一种正常选择，是国家主权在网络空间的投射与延展的正常体现。2019年是互联网问世50周年。冷战结束之后，互联网跨越地缘政治壁垒在全球高速扩展，催生了全球网络空间。如何治理全球网络空间，涉及到包括主权国家与非主权国家在内的多样化、多元化的行为体。从互联网自身发展的趋势来看，早期欧美发达国家的历史优势决定了在认知观念和具体实践上存在显著差距：非国家行为体与技术社群，倾向于套用欧美发达国家内部治理的模式，来认识和理解全球网络空间的治理实践；欧美发达国家则以乐见其成的方式，努力单向度地扩展自身主权的管辖范围，压缩新兴大国和发展中国家在网络空间的主权实践，以谋求一种非对称、不均衡的信息自由流动与多利益相关方的治理架构。这种架构的本质，是一种新的中心-外围的依附结构，推进这种结构的动力机制，除了欧美发达国家的历史积累，还因为在实践中，对主权国家核心利益的威胁在不同历史时期的扩散是不均衡的，欧美发达国家自信地认为可以凭借实力和制度“免疫”来自网络的威胁和挑战。但显然情况并非如此。印度在保卫国家安全的需要下，也会毫不犹豫地关闭互联网；而作为互联网发源地的美国，在国家安全的需求下删除内容、关闭账号、广泛监控等举措都已经是某种常态化的操作了。互联网无法成为独立于国家主权的存在，政府基于国家利益的需求对互联网进行管理，包括在紧急状态下进行必要的应急处理，是一项常态化的操作，也应成为各方的一种常识化操作。以上信息整理于：环球网其他文章：与全球市场比，我国网络安全支出比例仍较低首批23家金融机构APP备案管理工作正在开展政府采购信息发布管理办法自2020年3月1日起施行

保密性、完整性、可用性、不可抵赖性。一般而言，网络安全产品主要包括安全硬件、安全软件及安全服务。从产业链来看，网络安全行业的上游主要为工控机、服务器、存储器、芯片及操作系统、数据库等软硬件厂商。产

欢迎扫描关注我们，及时了解更多关于等级保护工作的知识

（来源：财政部条法司）其他文章：安徽公安机关“净网2019”专项行动执法典型案例第九届全国网络安全等级保护测评体系建设会议在福州召开被挂“暗链”，自家网站没管好！武汉网警查处6个“甩手掌柜”

今年以来，安徽公安机关网安部门坚决贯彻上级和厅党委的决策部署，深入推进“净网2019”专项工作，整顿网络秩序，治理网络乱象，查处了一批违反网络安全相关法律规定的案件，不断提升人民群众上网安全感、幸福感、获得感。

2019年12月9日-10日，由公安部网络安全保卫局指导，公安部三所和中关村信息安全测评联盟联合主办的“第九届全国网络安全等级保护测评体系建设会议”在福建省福州市召开。

湖北日报讯（记者饶纯武、通讯员黄赤橙、李振楠）12月4日从武汉警方了解到，在“净网2019”专项行动中，武汉网警集中整治武汉市未落实网络安全技术措施和不履行网络安全保护义务的网站。通过对3000余家网站进行云监测，对其中6家存在“暗链”等非法链接的网站和法定负责人给予了治安处罚。“暗链”是网站链接中的一种，意为看不见的网站链接。它和友情链接有相似之处，可以有效地提高PR值（谷歌网站安全等级排名，数值越小安全等级越高）。黑客取得网站控制权后，往往会在被控制网站的首页放置“暗链”，这些“暗链”大多为博彩、色情等非法网站链接，严重影响被“暗链”网站的信誉。这样，黑客既欺骗搜索引擎，使得所控制的网站在搜索引擎中的排名大幅上升，又为自己传播网络有害信息和涉网违法犯罪畅通渠道。11月27日，洪山辖区“武汉某网络科技有限责任公司”网站域名下的网页，被非法篡改链接至赌博网站。28日，网警上门核查并传唤该公司技术负责人配合调查。原来，违规网站由该公司技术部门负责管理和运维，网站托管在阿里云，因技术人员能力有限，网站只有云服务商提供的安全防护。该公司作为“云租户方”未采取任何防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施，发现网站被篡改植入暗链后也没有采取停止传输或消除等处置措施。武汉网警依据《中华人民共和国网络安全法》相关规定，对该公司依法予以警告，责令关闭网站并限期改正。武汉网警相关负责民警介绍，处罚并不是目的，而是要倒逼网站主体责任人主动管网，彻底杜绝“甩手掌柜”现象。目前，武汉网警已对全市重点网站开展两轮网络安全大检查，所发现的网络安全漏洞、隐患和存在的问题引起了各单位、网企的重视，网络安全意识得到了极大提升。全市1264家党政机关党委一把手和企业负责人签订了《网络安全责任承诺书》，网络安全主体责任真正做到落实到人。责任编辑：陈莉霖

即将过去的2019年，对我国网络安全业界而言，注定是不平常的一年。在万众期盼之下，GB/T

SSD盘固件需要紧急更新的声明等级保护2.0时代今日正式开启关于公示2019年度等级保护测评机构申请单位（第四批）的通知

HPD8https://support.hpe.com/hpsc/swd/public/detail?swItemId=MTX_27ab6329130849cb924fa3ef01Online

网络安全等级保护2.0标准于2019年12月1日正式实施，等级保护2.0时代今日正式开启。网络安全等级保护制度是我国网络安全领域的基本国策、基本制度，等级保护标准在1.0时代标准的基础上，注重主动防御，从被动防御到事前、事中、事后全流程的安全可信、动态感知和全面审计，实现了对传统信息系统、基础信息网络、云计算、大数据、物联网、移动互联网和工业控制信息系统等级保护对象的全覆盖。（以上信息整理于微信公众号：信息安全国家工程研究中心）关于等保2.0的若干问题小结：1、单位自建的云计算平台如何开展等级保护工作？在云计算环境中，将云计算平台作为基础设施、云租户系统作为信息系统，分别作为定级对象进行定级。对于大型云计算平台，当运管平台共用时，可将云计算基础设施与运管平台系统分开定级，责任分离，分别定级、各自备案。云计算基础设施的安全保护等级不低于其所支撑的业务系统的最高等级。针对私有云用户，也要按照云平台和云租户信息系统，分别进行定级。并且云平台的安全等级不低于其所支撑的业务系统的最高等级。对于云计算平台和云租户信息系统，则分别依据等保2.0基本要求中的通用要求和云计算安全扩展要求来开展等级保护工作。对于私有云，定级流程为云平台先定级测评，再将已定级应用系统向云平台迁移。2、部署在公有云上的信息系统如何开展等级保护工作？依据等保2.0，在对公有云环境下开展等级保护工作应遵循如下原则：（1）应确保云计算平台不承载高于其安全保护等级的业务应用系统。（2）应确保云计算基础设施位于中国境内。（3）云计算平台的运维地点应位于中国境内，如需境外对境内云计算平台实施运维操作应遵循国家相关规定。（4）云计算平台运维过程产生的配置数据、鉴别数据、业务数据、日志信息等存储于中国境内，如需出境应遵循国家相关规定。公有云开展等级保护一般分为两个部分：（1）是云平台本身，在等保2.0里面明确提出：对于公有云定级流程为云平台先定级测评，再提供云服务。（2）是云租户信息系统，比如政府单位门户网站系统，在迁入公有云平台后，还需要对这个门户网站独立定级备案、进行等保测评。其中，涉及云平台部分的内容可以不重复测评，测评结论直接引用即可。不同云计算服务模式需要采取不同职责划分方式：（1）对于IaaS（基础设施即服务）模式，云服务商的职责范围包括虚拟机监视器和硬件，云租户的职责范围包括操作系统、中间件和应用数据。（2）对于PaaS（平台即服务）模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统和中间件。云租户的职责范围为应用和数据。（3）对于SaaS（软件即服务）模式，云服务商的职责范围包括硬件、虚拟机监视器、操作系统、中间件和应用，云租户的职责范围包括部分应用职责及用户使用职责。3、对于工业控制系统如何开展等级保护工作？依据等保基本要求中的安全通用要求和工控扩展要求来对工业控制系统开展等级保护工作。工业控制系统主要包括现场采集/执行、现场控制、过程控制和生产管理等特征要素。其中，现场采集/执行、现场控制和过程控制等要素应作为一个整体对象定级，各要素不单独定级；生产管理要素可单独定级。对于大型工业控制系统，可以根据系统功能、责任主体、控制对象和生产厂商等因素划分为多个定级对象。工控扩展要求保护主要包括：室外控制设备防护、工业控制系统、网络架构安全、拨号使用控制无线使用控制、控制设备安全、漏洞和风险管理、恶意代码防范管理等方面内容。工业控制系统安全扩展要求主要针对现场控制层和现场设备层提出特殊安全要求，其他层次使用安全通用要求条款，对工业控制系统的保护需要根据实际情况使用基本要求。4、等保2.0测评是否更加严格？等保测评结论由1.0时代的符合、基本符合、不符合改为2.0时代的优、良、中、差四个等级。其中测评结论“差”的判别依据是被测对象中存在安全问题，而且会导致被测对象面临高等级安全风险，或被测对象综合得分低于70分。简单而言，“差”是在系统中存在高危风险或得分低于70分。相当于等保1.0时代中的不符合。但是可以看出来等保的及格线已经由原先的60分提高到了70分，等保对安全的最低要求已经在显然提高。因此，未来想通过等保测评需要扎扎实实地把安全工作做好才行。当然，等保不仅是一项合法合规工作，更是一项基本的安全工作，通过落实等级保护可以提高网络安全综合防御能力和水平，实现动态防御、主动防御、纵深防御、精准防护、整体防控以及联防联控。让更多的网络运营者从等保2.0时代中获取等保建设的红利。（关于等保2.0的若干问题小结转自微信公众号：深信服科技）其他文章：关于公示2019年度等级保护测评机构申请单位（第四批）的通知【净网2019】买卖我信息，你是什么“鬼”？2020年2月1日起，未完成ICP备案和等级保护备案的教育移动应用备案将被撤销，并予以通报

关于公示2019年度等级保护测评机构申请单位（第四批）的通知信安联[2019]