對話人

亞太網絡法律研究中心主任、北京師范大學教授劉德良

中國傳媒大學教授、政治與法律學院副院長王四新

《法制日報》記者　趙　麗　實習生　周　思

對話動機

來自國家互聯網信息辦公室的消息稱,我國即將推出網絡安全審查制度。這項制度規定,關系國家安全和公共利益的系統使用的重要信息技術產品和服務,應通過網絡安全審查。為何要出臺此項制度?網絡安全的審查范圍和標準是什么?對信息產業和個人信息安全將產生哪些影響?就這些問題,《法制日報》記者與領域內的專家學者展開了對話。

網絡治理缺乏統一協調

記者:今年2月,中央網絡安全和信息化領導小組成立,中共中央總書記、國家主席、中央軍委主席習近平擔任組長,在中央網信領導小組第一次會議上,習近平提出“沒有網絡安全就沒有國家安全”,這標志著網絡安全上升至國家戰略高度。輿論普遍認為,網絡安全審查制度的推出和中央對網絡安全的重視有著密不可分的關系。

劉德良:從國家、國際以及個人層面上說,我們都將面臨一個網絡時代。從國際關系的角度上來講,在互聯網時代,一方面要保護狹義上的國家安全,比如國防、軍事、政治、經濟、文化等,同時在網絡時代的國際秩序的構建中,我們國家不能讓自己處于被動地位。從斯諾登事件所揭露的情況看,我國在網絡安全上所面臨的問題也越來越嚴重。在網絡安全領域,美國無論是在技術上還是實際應用上,都比我們領先很多。這都要求我國政府重新評估和認識我國網絡安全所面臨的威脅。

記者:國家互聯網信息辦公室發言人姜軍表示,近年來,我國政府部門、機構、企業、大學及電信主干網絡遭受大規模的侵入、監聽。去年6月初發生的“斯諾登事件”,為世界各國敲響了警鐘,充分印證了“沒有網絡安全就沒有國家安全”。

王四新:從互聯網進入中國開始,中國政府在大力發展網絡基礎設施的同時,也比較重視互聯網安全。政府制定的大量行政法規的相關規定,比如互聯網接入機構有義務保證互聯網通訊的安全,要將重要數據保存完整記錄60天以上,供相關機關查證核實等,都體現了政府對網絡安全的重視。

同時,中國在互聯網安全問題上采取的措施,也存在一些需要完善的地方。比如,涉及互聯網的立法普遍存在立法效力層級偏低和部門分割現象。我們的安全措施具有明顯的局部性,互聯網安全缺乏頂層設計,沒有把互聯網安全作為一個統一而龐大的系統工程來對待。雖然互聯網涉及的一些安全問題在立法中有所涉及,但網絡治理“九龍治水”和條塊分割的職權劃分,使得操作過程中各部分之間難以統一和有效協調,網絡安全也沒有上升到國家整體戰略的角度進行治理。

系列行動提升網絡安全保障

記者:雖然在過去的網絡治理的過程中,我們存在一些不足,但值得注意的是,在近一兩年,從中央到地方,在針對網絡安全的法制保障方面有了令人耳目一新的舉措。

王四新:的確是這樣。

在立法上,我們以保護個人數據安全為切入口,開始推行網絡實名制,目前保護個人數據也進入到了人大立法規劃里。去年,我國開始在立法層面展開針對互聯網信息管理立法的大量調研和論證工作。

在執法上,去年對網絡散布謠言等行為采取了有針對性的措施,“兩高”為此還專門出臺了司法解釋。這都可以看作是中國重構網絡秩序的努力。

現在要推行的網絡安全審查制度,就是在這個大背景下提出的。我們已意識到網絡安全的重要性,開始認真梳理我國網絡安全存在的問題,并且采取了一系列措施。實行網絡安全審查制度,代表著我們的網絡安全工作有了一個新的思路,開始從網絡硬件、網絡運營的基礎軟件來解決可能存在的安全問題。

記者:據了解,歐美國家針對信息安全的全鏈條建立了詳盡的審查體系。以美國為例,安全審查不僅局限于產品安全性能指標,還要審查產品的研發過程、程序、步驟、方法、產品的交付方法等。以往我國只是對網絡進行表層化管理,主要包括功能符合檢測和低層面的安全審查。目前網絡產品和服務逐漸向深層次發展,是否意味著對內容的審查也會更加徹底和嚴格?

劉德良:我們以往對基礎設施的審查不夠重視。事實上,國外的網絡安全更強調基礎設施的安全。所以我國在未來對構成網絡安全的產品和服務,都應進行審查。美國在進行具體相關網絡審查時,既包括產品的服務,也包括整個產業鏈,還包括主體,如企業的背景。我們未來的審查應比它更加嚴格,這既是為了保障我國的網絡安全,也是為了保障我國的民族產業。

王四新:我們需要對構成網絡運轉的所有部分,包括主要的硬件設施和重要的軟件設施,從總體上進行評估、審查,需要建立全國性的統一的、能夠將各種產品、各個職能部門都統攝起來的平臺。這些雖然不是信息,不是觀念,不是意識形態,但對意識形態安全、對整個網絡的平穩運行,都具有重要決定作用。

網絡審查應納入法制軌道

記者:有輿論認為,建設網絡安全審查制度是網絡安全法制保障的一項重要舉措。在保護網絡安全的過程中,法治在目前以及將來的作為應該還有很大的空間。

王四新:實行網絡安全審查制度是告訴大家,出于對網絡安全的考慮,今后我們要對網絡產品進行評估和審查。但是,具體怎么操作,目前還沒有太明確的流程和太具體的要求。要想使之成為長久發揮作用的制度,就必須逐步將其納入法制軌道。

劉德良:作為法治國家的中國,站在WTO的機制上來看,要依法進行網絡安全的保障,就要在立法上建立相應的保障網絡安全的法律制度。

以往的審查主要是針對防火墻、殺毒軟件等,沒有對硬件甚至是更底層的操作系統進行審查,所以未來對網絡安全的審查對象、范圍,審查程序以及未來的懲罰制裁的措施,要做到有法可依。

有了明確的法律依據后才能有法必依執法必嚴,一旦違反中國法律就要進行制裁,除了要求他們退出中國市場之外,還要追究他的法律責任,如起訴,司法介入等。

我們國家要大力鼓勵技術產業的發展,在技術上奮發進取,從觀念和意識上要重視,建立安全的意識,公民也要有網絡安全的憂患意識,但這一切的根本是要以法治為根基。

鏈接　美國的網絡安全審查

網絡安全審查,就是對關系國家安全和社會穩定信息系統中使用的信息技術產品與服務進行測試評估、監測分析、持續監督的過程。

2000年,美國率先在國家安全系統中對采購的產品進行安全審查,隨后陸續針對聯邦政府云計算服務、國防供應鏈等出臺了安全審查政策,實現了對國家安全系統、國防系統、聯邦政府系統的全面覆蓋。審查對象不僅涉及產品和服務,還會針對產品和服務提供商。隨后,美國等西方國家為保障國家安全、防范供應鏈安全風險,逐步建立了多種形式的網絡安全審查制度,將全方位、綜合性的供應鏈安全審查對策上升至國家戰略高度。

美國網絡安全審查標準和過程是不公開的。美國對供應鏈安全審查的過程、標準、機制完全封閉,不披露原因和理由,不接受供應方申訴,主要考慮對國家安全、司法和公共利益的潛在影響,且其審查沒有明確的時間限制。

美國網絡安全審查的內容不局限于技術。美國聯邦政府要求,不僅要審查產品安全性能指標,還要審查產品的研發過程、程序、步驟、方法、產品的交付方法等,要求企業自己證明產品已經達到了規定的安全強度。

美國要求被審查企業簽署網絡安全協議,協議通常包括:通信基礎設施必須位于美國境內；通信數據、交易數據、用戶信息等僅存儲在美國境內；若外國政府要求訪問通信數據必須獲得美國司法部、國防部、國土安全部的批準；配合美國政府對員工實施背景調查等。