2016年11月7日我国第一部网络安全法颁布。笔者作为安全行业的从业人员，认真阅读了相关条文。总体感觉：

1. 安全法不但对各种网络行为，明确了规范和法律责任，同时还是对我们如何建设网络安全提供了指引。从条文中，可以看到iso27001信息安全管理体系标准的影子。

2. 安全法的各种规范和要求，其实已经长期存在于各行业的行业标准和主管部门对社会网络行为的指引中，没有太大的意外。

但是这次是以法律的形式颁发，且法律条文清晰标示出禁止准入、行政处分和判罚、刑事判罚等一系列的红线，这让笔者不禁为大家抹了一把冷汗，因为太多的点需要注意了。接下来笔者挑出一些条文，让客户重点关注。

范围要看清 底线不能越

安全法把用户网络重要性分成2个层次定位：关键信息基础设施和非关键基础设施。

在第三十一条明确规定：”国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。”“关键信息基础设施的具体范围和安全保护办法由国务院制定”。第一句话明确了什么是关键信息基础设施，第二句明确了安全保护办法规范谁制定。有的网络服务提供商比如域名解析这类看起来不属于重点行业范畴，但是一但出问题会引起大面积网络无法响应，并造成公共利益受损。这种业务也会被主管部门纳入到重点管理的范畴。所以建议客户在条件允许下尽量谨慎一些，把安全等级提高。

管理归属网信部门 不配合就处罚

第八条明确规定了网信部门是负责统筹和监督网络安全工作的机构。电信主管部门、公安部门和其他机关部门在各自职责范围内负责网络安全保护和监督管理工作。第四十九条明确规定网络运营者必须对网信部门和有关部门依法实施的监督检查予以配合。如果不配合将按六十九条处以个人和单位罚款。注意这只是说不积极配合，如果不作为、抵制和违反规定那后果会更严重。一句话，主管部门的检查必须积极配合。

各单位要有编制 责任落实到人

从第二十一、三十四条对非关键和关键信息基础设置单位明确了要有网络安全负责人、要有网络安全管理机构、要有定期技能培训和考核。简单而言就是要有编制，培训投入和明确谁背责任。特别需要关注一点，本法对招聘安全技术人员的资格也提出的要求。在第六十三条规定违反第二十七条（也就是从事过非法网络攻击行为）受到治安管理处罚的人员，五年内不得从事网络安全管理和网络运营关键岗位的工作；受到刑事处罚的人员，终身不得从事网络安全管理和网络运营关键岗位的工作。这个规定将对已招收或者试图招收有非法前科黑客的单位敲响了警钟。

产品技术要达标 红线不能踩

本法更多的是从安全建设要达到的效果提出要求，并没有列出如何安全建设标准才能实现这一目标（实际上也不方便写出来）。不过我们从规定里面还是看到了一些比较具体的安全技术建设要求：第十条中提到依照法律、行政法规的规定和国家标准的强制性要求。也就是说关于在安全产品上必须满足国家标准的要去选购（也就是要关注国家颁发标准认证产品）。这里提到标准相信不少用户会遇到不同标准有时候会出现冲突、不一致等现象。

在第十五条中明确了：国务院标准化行政主管部门和国务院其他有关部门根据各自的职责，组织制定并适时修订有关网络安全管理以及网络产品、服务和运行安全的国家标准、行业标准。

第二十三条：网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。国家网信部门会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。 意思就说以后关键信息系统的产品采购需要在网信部门牵头发布的《网络关键设备和网络安全专用产品目录》中选取。非关键信息系统产品采购需要符合国家资格的机构安全认证合格或安全检测符合要求。比如说像目前的公安部颁发的安全产品销售许可证是最基本的产品认证要求。

第二十四条规定网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务，在与用户签订协议或者确认提供服务时，应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。这里要重点关注对于一些ICP提供用户信息发布、即时通讯等服务时候需要有足够的技术手段来保证用户真实身份。这里需要着重注意，目前技术和业务模式尚不能很好的解决这个问题，即便是在新用户注册的时候采用手机认证，也存在不少的漏洞。

第三十八条规定关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。这里规定了安全评估的必须性。

个人信息使用要明示 高压线不能碰

本法用不少篇幅的条文来规定网络产品、服务提供商对用户信息资料的收集和使用。

第二十二条 网络产品、服务具有收集用户信息功能的，其提供者应当向用户明示并取得同意；涉及公民个人信息的，应当遵守本法和有关法律、行政法规关于公民个人信息保护的规定。

第四十一条 网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者收集、使用个人信息，应当公开其收集、使用规则。网络运营者应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。

第四十五条 依法负有网络安全监督管理职责的部门及其工作人员，必须对在履行职责中知悉的个人信息、隐私和商业秘密严格保密，不得泄露、出售或者非法向他人提供。

笔者了解到众多ICP服务商在提供服务的时候并没有让用户明确同意就收集客户的信息，同时还存在与其他机构交换数据的情况。同时因为安全建设不到位导致黑客入侵，用户资料大量外泄。为了避免您触及法律红线，请及时咨询专业法律人士。