專家解讀網絡安全法草案：為建設網絡強國提供制度保障

　　沈逸 復旦大學國際關系學院副教授

　　《網絡安全法》(草案)的出臺，預示著建設網絡強國的制度保障正在努力邁出堅實的一步。

　　建設網絡強國，是中國國家主席習近平同志提出的宏偉戰略目標。要有效實現這一目標，離不開堅實有效的制度保障，正是在此背景下，《網絡安全法》(草案)的出臺，預示著建設網絡強國的制度保障正在努力邁出堅實的一步?！毒W絡安全法》(草案)的立法說明中，清晰而明確的闡述了如何在現有條件下，盡力嘗試將已經有的網絡安全實踐上升為法律制度，并使其符合中國的網絡空間安全需求。其中，特色比較鮮明的包括：

　　其一，明確了我國維護網絡空間安全、利益以及參與網絡空間國際治理所堅持的指導原則是網絡主權原則，并明確在第二章提出了有關國家網絡安全戰略和重要領域安全規劃等問題的法律要求。這有助于實現推進中國在國家網絡安全領域明晰戰略意圖，確立清晰目標，厘清行為準則，不僅能夠提升中國保障自身網絡安全的能力，還有助于推進中國與其他國家和行為體就網絡安全問題展開有效的戰略博弈。同時，這也意味著，一旦草案通過，中國政府將有義務公布并制定更加詳細明確的國家網絡安全戰略文件。從法律適用的范圍規定，即“在中華人民共和國境內建設、運營、維護和使用網絡，以及網絡安全的監督管理，適用本法(草案第二條)”，中國仍然奉行的是防御型的國家網絡安全戰略觀念，將安全戰略的焦點聚焦于境內，這當然是中國一貫愛好和平的戰略理念在網絡安全領域的重要體現，同時也為中國將來進一步考慮如何在更加開放和高速流動的全球網絡空間內有效保障自身的網絡安全提供了一個起點，一個充分體現“韜光養晦”的起點。

　　其二，明確了保障關鍵信息基礎設施安全的戰略地位和價值。保障關鍵信息基礎設施安全，在公布的《網絡安全法》(草案)中占據了相當的篇幅。草案的第三章第二節專門用于規范關鍵信息基礎設施的安全。此次列入關鍵信息基礎設施范圍的，涵蓋了涉及國家安全、經濟安全和保障民生等領域，具體范圍包括基礎信息網絡、重要行業和領域的重要信息系統、軍事網絡、重要政務網絡、用戶數量眾多的商業網絡等。保障關鍵信息基礎設施的安全，從全球各國的實踐來看，是國家網絡安全戰略中最為重要和主要的內容，這與人們日常生活對網絡關鍵基礎設施的強烈依賴密不可分。有效的識別和分析威脅的來源，并采取相應的安全保障措施，是問題的關鍵?！毒W絡安全法》(草案)對網絡產品和服務提供者的安全義務有了明確的規定(草案第十八條)，將現行的安全認證和安全檢測制度上升成為了法律(草案第十九條)，強化了安全審查制度(第三十條)，明確等級保護制度在保障國家網絡安全中所處的地位(第十七條)。這些措施，從已經有的實踐來看，一定程度上可以滿足保障國家網絡安全的需求，應對由非國家行為體，從國內外可能實施的網絡攻擊所帶來的威脅；但就中長期前景來看，中國面臨的戰略任務是如何在持續開放互聯的全球網絡空間內，有效預防來自強勢行為體，包括占據優勢能力地位的國家行為體，對中國關鍵信息基礎設施構成的威脅挑戰；基于條線分工形成的多點靜態網絡安全保障體系，很難有效勝任應對這種真正的國家級的安全威脅，這也是后續修訂相關法律，完善戰略，構建新的實踐操作程序時，必須認真思考的問題。

　　其三，保障網絡數據安全進入了國家網絡安全的視野。數據是網絡時代的石油，是對國家安全至關重要的戰略資源。草案對此做了三個方面的規定，分別是要求網絡運營者采取數據分類、重要數據備份和加密等措施，防止網絡數據被竊取或者篡改(草案第十七條)；加強對公民個人信息的保護，防止公民個人信息數據被非法獲取、泄露或者非法使用(草案第三十四條至第三十九條)；要求關鍵信息基礎設施的運營者在境內存儲公民個人信息等重要數據；確需在境外存儲或者向境外提供的，應當按照規定進行安全評估(草案第三十一條)。這些規定在構建中國特色的數據安全保障體系，落實數據主權，保障數據安全方面，做出了非常有益的嘗試。同時，在大數據時代，保障網絡數據安全不能僅僅通過強化對運營者的法律監管來實現，還需要有效的提升國家對數據流動，尤其是網絡空間與特定數據資源相關的行為的感知能力，進而在此基礎上，構建國家級的網絡入侵防御系統來有效的實現。參考美國2008年小布什政府時期提出并實施的全面國家網絡安全倡議，要保障中國的網絡數據安全，同樣需要像美國一樣，將情報-反情報能力融入國家網絡反入侵系統的建設之中，并通過這種系統，將負責國內安全、對外情報、國防等不同安全領域的職能部門有效的整合起來，才能真正有效的迎接并有效應對國家在網絡數據領域面臨的戰略威脅與挑戰。

　　其四，在國家網絡安全向相關信息共享，以及網絡安全監督管理體制建設方面，《網絡安全法》(草案)進行了有益的嘗試。努力打破部門壁壘，共享網絡安全相關的信息，是此次《網絡安全法》(草案)中值得高度關注的亮點之一，草案規定：要求國務院有關部門建立健全網絡安全監測預警和信息通報制度，加強網絡安全信息收集、分析和情況通報工作(草案第四十四條、第四十五條)；建立網絡安全應急工作機制，制定應急預案(草案第四十六條)；規定預警信息的發布及網絡安全事件應急處置措施(草案第四十七條至第四十九條)；為維護國家安全和社會公共秩序，處置重大突發社會安全事件，對網絡管制作了規定(草案第五十條)。同時，草案嘗試對網信、工信、公安等涉網管理部門的權限進行了明確的規定：國家網信部門負責統籌協調網絡安全工作和相關監督管理工作，并在一些條款中明確規定了其協調和管理職能。同時規定，國務院工業和信息化、公安等部門按照各自職責負責網絡安全保護和監督管理相關工作(草案第六條)。從實踐看，網絡安全領域走在前列的強國，如美國，都將重點聚焦于網絡安全保障的跨部門合作上：美國從2007-2008年間開始，借助部署網絡入侵監測系統(愛因斯坦2)以及網絡入侵預防系統(愛因斯坦3)，將國土安全部、美國計算機應急響應工作組、國家安全局、國防部等部門實施有效的整合，確保有關網絡攻擊的威脅信息能夠在國土安全、情報、國防三個條線內有效流轉和共享，然后視情況需要，調用全部戰略資源應對來自網絡空間的戰略威脅，并最終在高對抗性的戰略博弈中獲得壓倒性的優勢。坦率的說，相比美國的實踐，并對比中國客觀的國家網絡安全需求來看，《網絡安全法》(草案)中做出的嘗試和努力，只能說是非常初步的，還有漫長而艱巨的任務有待完成。

　　整體來看，《網絡安全法》(草案)的出臺，是中國在邁向網絡強國道路上至關重要的階段性成果，他意味著建設網絡強國，維護和保障中國國家網絡安全的戰略任務，正在轉化為一種可執行、可操作的制度性安排。與此同時，考慮到中國所處的國際環境、在網絡領域顯著而重大的利益需求、清晰而復雜的戰略威脅以及艱巨的能力建設道路，未來《網絡安全法》(草案)至少還可以在如下四個方向上做出更進一步的完善和努力：

　　首先，中國必須構建適應開放環境下有效保障網絡安全的大戰略?！毒W絡安全法》(草案)要明確認知中國所處的國際環境，即一個開放且數據呈現高速流動態勢的全球網絡空間。中國司法的具體管轄對象可以是中國境內具體的網絡基礎設施或者是行為者，但其真正生效的，是一個沒有顯著邊界的全球網絡空間。在這個空間中，拓展中國的國家網絡能力，保障中國的網絡利益，而不是簡單的將地理邊界投射到網絡空間，應該成為中國構建網絡安全戰略，提升國家網絡能力，建設網絡強國努力的宏觀目標。

　　其次，中國在網絡領域最重大的利益需求是用網絡推進發展?！鞍l展才是硬道理”，在冷戰結束后的世界里，這點并沒有過時，中國保障網絡安全的目標，是為了確保中國能夠從網絡空間發展所帶來的收益中獲得綜合國力的提升，提升自己在國際體系中的地位，縮小與最主要戰略競爭對手的實力差距。換言之，中國網絡安全戰略是中國國家安全戰略的組成部分，中國國家安全戰略服從和服務于中國的大戰略，中國大戰略追求的核心目標之一，就是有效的通過可持續的發展，在國際體系中生存下去。中國網絡安全戰略當然會形成自己聚焦的具體目標，但不能讓這種具體目標扭曲了國家總體的大戰略目標；同樣的，“發展才是硬道理”也意味著所有用于保障中國國家網絡安全戰略的措施都應該接受發展的檢驗，并在此基礎上調整乃至淘汰那些不適用的手段、政策以及機制安排。

　　第三，中國在網絡安全領域面臨的重大威脅，正從內部轉向外部，從信息安全轉向網絡安全。中國在網絡安全領域面臨的最大威脅，隨著中國整體實力的提升，正在從內部治理、社會治安問題，轉化成為外部威脅、國際競爭問題。今天的中國，對關鍵基礎設施的依賴，遠遠超過人們的想象，不說其他，但就股市而言，2015年6月至今的波動幅度牽動各方的神經，背后折射的是金融市場關鍵基礎設施的安全對于國家安全的重要性持續飆升，試想在劇烈波動時期金融市場的數據中心突然遭遇網絡攻擊，或者發生意外事故，對社會以及國家安全可能造成的沖擊，真真是細思恐極。

　　第四，中國必須在《網絡安全法》(草案)的修訂中真正聚焦有效的國家網絡能力建設。長期以來，中國的網絡安全保障實踐，是根據職能、條線的分工，在不同部門之間以行政管理、治安管理、社會管理的方式進行的；各種意義上的“合規性”檢驗取代了實質性的能力建設；在對抗性不強的非國家安全領域，合規性并不是太大的問題，金字塔形的資質需求也許是有效的，但是，上升到國家安全領域，掛在墻上的資質證書完全無法應對真刀真槍的戰略威脅。2015年5月，美國國防部新發布的網絡戰略中，網絡手段將和航母編隊一樣，成為美國總統和國防部長實施危機管控的有效工具之一。試想，如果再來一次類似1995-1996年的臺海危機，而美國選擇以網絡攻擊取代航母編隊，威懾中國；《網絡安全法》(草案)中包括等級保護在內的各項應對措施，有足以正面對抗美國網軍司令部的網絡安全能力么？在國家級的網絡安全戰略規劃中，認真思考此類威脅場景，然后真正從國家網絡安全戰略需求出發，而不是從習慣做法以及部門需求出發，來構建中國的國家網絡安全能力，應該成為《網絡安全法》(草案)未來修訂時的主要方向。

　　建設網絡強國的堅實步伐已經邁出，任重道遠，需要所有有識之士共同求索。