網(wǎng)上投稿
摘 要：《網(wǎng)絡安全審查辦法》正式發(fā)布，相比《網(wǎng)絡產(chǎn)品和服務安全審查辦法（試行）》提供了更具針對性、更為詳細明確的審查制度規(guī)定，從適用范圍，到審查對象、審查機構、審查流程等方面出發(fā)構建了偏重供應鏈自主可控的“新網(wǎng)絡安全觀”。針對這一審查制度， 網(wǎng)絡產(chǎn)品和服務供應鏈各個環(huán)節(jié)中符合審查適用范圍的企業(yè)，從供應商到運營商，如何從自身角度出發(fā)把控合規(guī)風險和保障網(wǎng)絡安全尤為重要。
中圖分類號：TN915.08
文獻標志碼：A
文章編號：1009-8054(2020)06-0005-06
引 言
2020 年 4 月 27 日，國家互聯(lián)網(wǎng)信息辦公室、國家發(fā)改委等 12 個部門聯(lián)合發(fā)布了《網(wǎng)絡安全審查辦法》（以下簡稱“《辦法》”），確認國家互聯(lián)網(wǎng)信息辦公室下設的網(wǎng)絡安全審查辦公室作為網(wǎng)絡安全審查的監(jiān)管部門，負責制定網(wǎng)絡安全審查相關制度規(guī)范，組織網(wǎng)絡安全審查，而被審查主體關鍵信息基礎設施運營者（以下簡稱“運營者”）則對其采購網(wǎng)絡產(chǎn)品和服務負有預判風險、提前申報審查的義務?！掇k法》于 2020 年 6 月 1 日正式實施，《網(wǎng)絡產(chǎn)品和服務安全審查辦法（試行）》（以下簡稱“《試行辦法》”）同時廢止。
《辦法》與《試行辦法》相比，針對性更為突出，也更具有操作性。從適用范圍，到審查對象、審查機構、審查流程等，都有更加明確和詳細的規(guī)定。
然而， 筆者認為，《辦法》最大的價值在于塑造一種新的網(wǎng)絡安全觀。在復雜的國際大背景下，規(guī)范關鍵信息基礎設施運營者采購網(wǎng)絡產(chǎn)品和服務，維護網(wǎng)絡空間的基礎安全架構。
1. 制度價值目標的完善與“新網(wǎng)絡安全觀”的構建
在《試行辦法》中，核心的價值觀念目標側重于技術安全，而《辦法》則更加側重供應鏈安全和關鍵網(wǎng)絡設備的自主可控。
《試行辦法》第一條開宗明義規(guī)定“為提高網(wǎng)絡產(chǎn)品和服務安全可控水平，防范網(wǎng)絡安全風險……制定本辦法?！盵1]《試行辦法》雖然提到了“全面安全”的觀念，但在更加偏重技術風險和信息安全風險，對供應鏈安全風險規(guī)定較為簡單。如《試行辦法》第四條規(guī)定：網(wǎng)絡安全審查重點審查網(wǎng)絡產(chǎn)品和服務的安全性、可控性，主要包括：
（一）產(chǎn)品和服務自身的安全風險，以及被非法控制、干擾和中斷運行的風險；
（二）產(chǎn)品及關鍵部件生產(chǎn)、測試、交付、技術支持過程中的供應鏈安全風險；
（三）產(chǎn)品和服務提供者利用提供產(chǎn)品和服務的便利條件非法收集、存儲、處理、使用用戶相關信息的風險；
（四）產(chǎn)品和服務提供者利用用戶對產(chǎn)品和服務的依賴，損害網(wǎng)絡安全和用戶利益的風險。
其中僅有第二項涉及供應鏈安全。與美國參議院于 2020 年 2 月 27 日批準的《安全 和 可 信 電 信 網(wǎng) 絡 法》（Secure and Trusted Telecommunications Networks Act）相比，技術性更強，而保護供應鏈安全的屬性則偏弱?！对囆修k法》與美國《安全和可信電信網(wǎng)絡法》對于電信及網(wǎng)絡產(chǎn)品準入安全審查采用的價值判斷標準是不同的，中國偏重于從技術標準認定。準入標準，客觀性更強；而美國則以認定企業(yè)是否威脅國家安全作為準入標準，主觀性更強 [3]。
《辦法》對于《試行辦法》的上述局限性做出了修正?！掇k法》第一條開宗明義的規(guī)定：“為了確保關鍵信息基礎設施供應鏈安全……制定本辦法?！迸c《試行辦法》相比，表述有明顯差異，從“提高網(wǎng)絡產(chǎn)品和服務安全可控水平， 防范網(wǎng)絡安全風險”到“關鍵信息基礎設施供應鏈安全”，其所展現(xiàn)的價值目標差異顯而易見。
在《辦法》第九條則規(guī)定，網(wǎng)絡安全審查重點評估采購網(wǎng)絡產(chǎn)品和服務可能帶來的國家安全風險，主要考慮以下因素：
( 一 ) 產(chǎn)品和服務使用后帶來的關鍵信息基礎設施被非法控制、遭受干擾或破壞，以及重要數(shù)據(jù)被竊取、泄露、毀損的風險；
( 二 ) 產(chǎn)品和服務供應中斷對關鍵信息基礎設施業(yè)務連續(xù)性的危害；
( 三) 產(chǎn)品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿(mào)易等因素導致供應中斷的風險；
( 四 ) 產(chǎn)品和服務提供者遵守中國法律、行政法規(guī)、部門規(guī)章情況 [2]。
《辦法》在進行國家安全風險審查時，將“產(chǎn)品和服務供應中斷對關鍵信息基礎設施業(yè)務連續(xù)性的危害”以及“供應渠道的可靠性以及因為政治、外交、貿(mào)易等因素導致供應中斷的風險”， 作為安全風險審查的重要內(nèi)容，特別強調(diào)對于產(chǎn)品與服務“供應中斷”風險的審查。而《辦法》對于“供應渠道的可靠性”規(guī)定，應該是與商務部的 “不可靠實體清單”制度相對應的。
從上述規(guī)定可以看出，《辦法》的頒布，意味著網(wǎng)絡安全觀從更加側重技術性規(guī)則到更加側重核心供應鏈“自主可控”。
2.審查對象的安全判斷維度清晰、聚焦
與《試行辦法》相比，《辦法》所涉及的審查維度更加清晰聚焦。兩個辦法對于安全的審查，都涉及“主體”和“網(wǎng)絡產(chǎn)品與服務（簡稱“產(chǎn)品”）”兩個安全判斷維度?！对囆修k法》對于這兩個維度的界定不夠清晰，操作性和針對性均較差。
2.1 審查對象的主題維度
《辦法》第二條明確了被審查的主體為關鍵信息基礎設施運營者，第二十條確認了關鍵信息基礎設施運營者是指經(jīng)關鍵信息基礎設施保護工作部門認定的運營者。
《試行辦法》對于被審查主體的界定不夠清晰，有被擴大理解的空間。如《試行辦法》第二條規(guī)定：“關系國家安全的網(wǎng)絡和信息系統(tǒng)采購的重要網(wǎng)絡產(chǎn)品和服務，應當經(jīng)過網(wǎng)絡安全審查?！痹谶@一規(guī)定中，由于“國家安全” 這一界定缺乏必要的標準，似乎所有的信息系統(tǒng)的采購，無論采購方是否屬于關鍵信息基礎設施運營者，都需要實施網(wǎng)絡安全審查。《試行辦法》第十條規(guī)定：“公共通信和信息服務、能源、交通、水利、金融、公共服務、電子政務等重要行業(yè)和領域，以及其他關鍵信息基礎設施的運營者采購網(wǎng)絡產(chǎn)品和服務，可能影響國家安全的， 應當通過網(wǎng)絡安全審查。產(chǎn)品和服務是否影響國家安全由關鍵信息基礎設施保護工作部門確定?！痹摋l規(guī)定提出了“重要行業(yè)和領域”以及“其他關鍵信息基礎設施的運營者”，這兩個表述是否具有同一性？《試行辦法》的界定并不清晰?！掇k法》將審查的對象明確界定為“關鍵信息技術設施運營者”，有利于在執(zhí)法中統(tǒng)一標準， 也有利于相關主體對于規(guī)則的準確理解。
鑒于《網(wǎng)絡安全法》第三十一條規(guī)定關鍵基礎設施的具體范圍和安全保護辦法由國務院制定，且目前尚未正式發(fā)布關鍵信息基礎設施的具體認定細則，對于《辦法》中關鍵信息基礎設施運營者范圍的界定尚未有明確的法規(guī)規(guī)定。針對這一問題，國家互聯(lián)網(wǎng)信息辦公室有關負責人在就《辦法》答記者問中，明確了《辦法》中規(guī)定的應當預判風險申報網(wǎng)絡安全審查的義務主體為“電信、廣播電視、能源、金融、公路水路運輸、鐵路、民航、郵政、水利、應急管理、衛(wèi)生健康、社會保障、國防科技工業(yè)等行業(yè)領域的重要網(wǎng)絡和信息系統(tǒng)運營者”。在關鍵信息基礎設施的具體認定細則正式出臺之前，上述范圍內(nèi)的運營者將作為《辦法》的被審查主體承擔申報審查的義務。
2.2 審查對象的產(chǎn)品維度
對于納入安全審查的網(wǎng)絡產(chǎn)品和服務，《辦法》的規(guī)定也更加突出網(wǎng)絡基礎安全層面。《辦法》第二十條規(guī)定：“本辦法所稱網(wǎng)絡產(chǎn)品和服務主要指核心網(wǎng)絡設備、高性能計算機和服務器、大容量存儲設備、大型數(shù)據(jù)庫和應用軟件、網(wǎng)絡安全設備、云計算服務，以及其他對關鍵信息基礎設施安全有重要影響的網(wǎng)絡產(chǎn)品和服務?！?/span>
《試行辦法》對于納入安全審查的產(chǎn)品和服務的規(guī)定則較為籠統(tǒng)，僅規(guī)定“重要網(wǎng)絡安全與服務”。該界定不夠清晰和具體，可能會產(chǎn)生擴大適用的情況，從而影響正常的網(wǎng)絡產(chǎn)品及服務采購。
從《辦法》的規(guī)定可以看出，納入產(chǎn)品審查范圍的設施界定更加清晰，從網(wǎng)絡結構角度看，涉及到了網(wǎng)絡系統(tǒng)的物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層等基礎層面。從功能角度看， 涉及到了信息傳輸、運算、存儲、網(wǎng)絡安全、數(shù)據(jù)庫、云計算等各個重要方面。
《辦法》在我國開啟“新基建”的關鍵時期發(fā)布，具有積極的規(guī)范意義。從“新基建” 的角度看，毫無疑問，關鍵信息基礎設施運營者將成為“新基建”的主要建設任務承擔者， 而對關鍵信息基礎設施安全有重要影響的網(wǎng)絡產(chǎn)品和服務，無疑是保障“新基建”基礎設施安全、可控的基礎。因此，將安全審查聚焦于“關鍵信息基礎設施運營者”采購“對安全有重要影響的網(wǎng)絡產(chǎn)品和服務”，在“新基建”與國際上圍繞信息網(wǎng)絡安全所展開的大博弈背景下， 其意義可謂深遠。
主體與產(chǎn)品兩個維度，其關系具體如圖 1 所示：
圖 1 “主體”和“網(wǎng)絡產(chǎn)品與服務”關系圖
3. 審查主體全面覆蓋
《辦法》第四條規(guī)定：“在中央網(wǎng)絡安全和信息化委員會領導下，國家互聯(lián)網(wǎng)信息辦公室會同中華人民共和國國家發(fā)展和改革委員會、中華人民共和國工業(yè)和信息化部、中華人民共和國公安部、中華人民共和國國家安全部、中華人民共和國財政部、中華人民共和國商務部、中國人民銀行、國家市場監(jiān)督管理總局、國家廣播電視總局、國家保密局、國家密碼管理局建立國家網(wǎng)絡安全審查工作機制?！?/span>
由上述規(guī)定可以看出，網(wǎng)絡安全審查機制中，中央網(wǎng)絡安全和信息化委員會是領導機構， 但并不直接參與審核，而是領導和協(xié)調(diào)審查機制的建立。參與審查機制的機構則包括國家互聯(lián)網(wǎng)信息辦公室，以及十一個中央政府職能部門，參與主體職能分布相當廣泛。
為什么要這樣設立審查機制呢？其核心仍是“新網(wǎng)絡安全觀”的體現(xiàn)。網(wǎng)絡產(chǎn)品和服務的采購，必然涉及國家產(chǎn)業(yè)政策、網(wǎng)絡系統(tǒng)維護與管理、網(wǎng)絡系統(tǒng)的信息安全、國家安全、財政資金的使用和劃撥、對外貿(mào)易政策的制定與調(diào)整、金融安全與金融支持、市場秩序的維護與清理、新聞發(fā)布與傳播、保守國家秘密、以及密碼體系的安全與可靠。這些功能，任何一個部門均無法單獨完成，為了避免在安全審查上的漏洞和標準不一，需要建立多部門的強力協(xié)同機制 [4]。
相較之下，《試行辦法》的規(guī)定過于簡單， 僅在第五條規(guī)定，國家互聯(lián)網(wǎng)信息辦公室會同有關部門成立網(wǎng)絡安全審查委員會，負責審議網(wǎng)絡安全審查的重要政策，統(tǒng)一組織網(wǎng)絡安全審查工作，協(xié)調(diào)網(wǎng)絡安全審查相關重要問題。該規(guī)定對于如何形成安全審查委員會，并沒有制度性的安排，不利于發(fā)揮審查制度的作用。
4.“多樣、可控”新理念
具體而言，《辦法》第九條規(guī)定了網(wǎng)絡安全審查過程中，對于國家安全影響的重要考量因素。其中第三款的規(guī)定特別值得關注，“產(chǎn)品和服務的安全性、開放性、透明性、來源的多樣性，供應渠道的可靠性以及因為政治、外交、貿(mào)易等因素導致供應中斷的風險”。該條款的關鍵詞包括“來源的多樣性”以及“供應渠道的可靠性”。
應該說，這一規(guī)則有深刻的國際信息技術博弈的大背景。近幾年來， 中國的網(wǎng)絡設備與服務領域面臨巨大的不確定性，對于國家安全形成一定壓力。如美國政府對于納入“實體清單”的中國企業(yè)或其他機構，在采購美國相關網(wǎng)絡產(chǎn)品或服務時， 設置了諸多審查或限制， 而這些限制往往與政治、外交、貿(mào)易沖突等背景緊密相關 [5]。同時，由于在諸多核心技術領域，中國對于境外供應商的依賴度較高，來源過于集中。一旦受到其他因素影響“斷供”，對于網(wǎng)絡安全與正常運營將帶來巨大沖擊。
“渠道單一化”，一旦遭遇“供應渠道的不可靠”，其疊加效果將會非常巨大。因此， 通過對“來源的多樣性”以及“供應渠道的可靠性”進行規(guī)定，并作為審查的重要內(nèi)容，有利于促成企業(yè)選擇多元產(chǎn)品和更為“可靠”的渠道。通過企業(yè)的選擇，可以進一步培育“多元化”的供應鏈。
從某種意義上講，“來源的多樣性”以及“供應渠道的可靠性”并不是一個傳統(tǒng)意義上的網(wǎng)絡安全技術審核標準，而是一個供應鏈安全的標準。這一標準的設立，不僅有利于國際間網(wǎng)絡信息技術的均衡分布與合理流動，也有利于國內(nèi)相關網(wǎng)絡產(chǎn)品及服務提供者的長期發(fā)展。
5.不同主體面的合規(guī)策略選擇
總體而言，《辦法》是一部體現(xiàn)全面網(wǎng)絡安全觀的規(guī)范。在強調(diào)技術帶來的網(wǎng)絡安全風險的同時，對于產(chǎn)品與服務來源單一、供應渠道不可靠性等供應鏈安全風險也提升到了重要的位置。對于《辦法》，企業(yè)也應順勢而為。
5.1關鍵信息基礎設施運營者
關鍵信息基礎設施運營者，應充分讀懂《辦法》所蘊含的深層含義與審查措施，并積極規(guī)劃自身的合規(guī)方案，在源頭采購環(huán)節(jié)就應采用全面安全觀指導自己的采購行為。簡單的技術風險容易解決，而產(chǎn)品組合不合理帶來的供應鏈風險，則不僅難以解決，而且成本巨大。
5.2 網(wǎng)絡產(chǎn)品與服務的供應商
除常規(guī)的技術能力外，供應商需要考慮的是，如何證明“供應渠道的可靠性”以及如何避免被納入“因為政治、外交、貿(mào)易等因素導致供應中斷的風險”中。
境外供應商，對于可靠性問題的考量通常更為復雜，因為不僅要受制于中國的法律規(guī)范， 還要受制于其所在國的法律規(guī)范。如何減少所在國法律、政治、貿(mào)易政策對于設備與服務出口造成影響，成為其首先應考量的合規(guī)策略。
6.結論
習近平總書記在談到網(wǎng)絡安全觀的時候提到，沒有網(wǎng)絡安全就沒有國家安全，網(wǎng)絡安全和信息化應當是一體之兩翼、驅(qū)動之雙輪，在加強信息化建設的同時，要加快構建關鍵信息基礎設施安全保障體系，從而為國民經(jīng)濟和信息化建設打造一個安全、可信的網(wǎng)絡環(huán)境 [6]。《辦法》提供了關鍵信息基礎設施安全保障體系中的制度保障，是網(wǎng)絡安全觀內(nèi)涵的全面體現(xiàn)， 關鍵信息基礎設施運營者和供應商應當培養(yǎng)自身網(wǎng)絡安全意識，從降低自身合規(guī)風險和維護國家網(wǎng)絡安全的角度出發(fā)，將《辦法》提出的規(guī)定和要求落到實處。
參考文獻：
1.中國網(wǎng)信網(wǎng). 網(wǎng)絡產(chǎn)品和服務安全審查辦法（試行） [EB/OL].(2017-05-02)[2020-05-14].http://www.cac. gov.cn/2017-05/02/c_1120904567.htm.
2.中國網(wǎng)信網(wǎng) . 網(wǎng)絡安全審查辦法 [EB/OL].(2020-04-
27)[2020-05-14] .htt p://www.cac.gov.cn/2020-04/27/ c_1589535450769077.htm.
3.吳衛(wèi)明 , 劉昀東 . 網(wǎng)絡產(chǎn)品安全審查制度及相關合規(guī)風險—寫于美國關于禁用華為設備的法案獲批之后 [EB/OL].(2020-04-07)[2020-05-14].https://www. allbrightlaw.com/CN/10475/4574a0fa70b264e7.aspx.
4.吳衛(wèi)明 .《數(shù)字金融法律實務與風險防控》[M]. 中國法制出版社 .2018.
5.求是網(wǎng) . 習近平談網(wǎng)絡安全觀 [EB/OL].(2016-09- 19)[2020-05-14] .htt p://www.cac.gov.cn/2016-09/19/ c_1119583507.htm.
滬公網(wǎng)安備 31010402007129號
