行业新闻

众所瞩目的《网络安全审查办法》（以下简称：《办法》）由国家互联网信息办公室、国家发改委等12个部门联合发布，将于2020年6月1日正式施行，其作为配套落实《国家安全法》与《网络安全法》等法律的重要部门规章有着丰富的制度涵义，既反映了新时期国家各职能机关基本的执法立场与监管重点，也对相关企业的主体责任履行与合规风控建设等提出了进一步的要求。

一、新背景：准确理解审查工作逻辑

二、新安全：全面建设合规风控体系

进入新时期以来，国际网络安全态势日趋严峻复杂，诸多技术性安全因素与非技术性安全因素错综交织，决定了需要以新的综合安全观指导关键信息基础设施的供应链安全保障工作，对此，正是基于新安全思维的《办法》为关键信息基础设施运营者在采购网络产品和服务的过程中重点建设全流程合规风控体系提供了一系列工具方法指引和体制机制支撑：第一，作为关键信息基础设施运营者的企业需要建立采购业务安全风险预判机制，实现安全关口前移，在关键信息基础设施保护工作部门指导下通力合作、强化风险识别与其他能力建设。在提前判定目标采购产品和服务投入使用后影响或者可能影响国家安全时，应当及时向网络安全审查办公室申报网络安全审查，进而获得更为权威、更为全面的专业帮助支持。第二，作为关键信息基础设施运营者的企业在设计采购业务安全风险预判清单、采用各种辅助研判工具时需要重点考虑《办法》提示的主要国家安全风险因素，尤其包括：1. 产品和服务使用后带来的关键信息基础设施被非法控制、遭受干扰或破坏，以及重要数据被窃取、泄露、毁损的风险；2. 产品和服务供应中断对关键信息基础设施业务连续性的危害；3. 产品和服务的安全性、开放性、透明性、来源的多样性，供应渠道的可靠性以及因为政治、外交、贸易等因素导致供应中断的风险；4. 产品和服务提供者遵守中国法律、行政法规、部门规章情况；5. 其他可能危害关键信息基础设施安全和国家安全的因素。第三，作为关键信息基础设施运营者的企业需要立足商业生态以及业务场景等自身条件建立覆盖网络产品和服务采购全流程的供应商协议管理机制，充分发挥采购文件、协议等商业工具的协调约束作用，尤其是在《办法》要求的重要环节之中：其一，要求产品和服务提供者配合网络安全审查，包括配合提供审查补充材料以及承诺不利用提供产品和服务的便利条件非法获取用户数据、非法控制和操纵用户设备，无正当理由不中断产品供应或必要的技术支持服务等。其二，督促产品和服务提供者履行网络安全审查中作出的承诺。

三、新担当：清晰认知保障责任机制

在新经济技术背景下，关键信息基础设施供应链有着极为复杂的多层次生态结构，往往呈现跨部门、跨区域的延伸态势，而关键信息基础设施运营者作为承上启下的枢纽节点有着举足轻重的主体地位。《办法》秉持坚持防范网络安全风险与促进先进技术应用相结合、过程公正透明与知识产权保护相结合、事前审查与持续监管相结合、企业承诺与社会监督相结合的原则，赋予关键信息基础设施运营者新的安全担当，也为其合理配置了全面的权益保障与责任机制：一方面，《办法》明确规定了网络安全审查程序包括特别审查程序各自的时限要求，作为关键信息基础设施运营者的企业可以据此合理安排自身的业务流程。同时，《办法》规定参与网络安全审查的相关机构和人员充分尊重和严格保护企业的知识产权，并且如果关键信息基础设施运营者或产品和服务提供者认为审查人员有失客观公正，或未能对审查工作中获悉的信息承担保密义务的，可以向网络安全审查办公室或有关部门举报，从而充分保障其合法权益。

另一方面，作为关键信息基础设施运营者的企业应当重视《办法》对于违反网络安全审查制度的法律责任援引《网络安全法》第六十五条规定所确立的双罚责任机制，也即企业本身与企业中直接负责的主管人员和其他直接责任人员应当各自承担相应的法律责任。对此企业内部需要及时建立网络安全审查分工负责制度与人员责任清单，落实清晰的定岗定人定责安排。

注：转载自安全牛