搜索

[15312] 2020-04-29_《网络安全审查办法》与信安从业者有什么关系

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2020-04-29_《网络安全审查办法》与信安从业者有什么关系 《 网 络 安 全 审 查 办 法 》 与 信 安 从 业 者 有 什 么 关 系 宇 宸 d e 研 究 室   F r e e B u f   2 0 2 0 - 0 4 - 2 9 近 日 《 网 络 安 全 审 查 办 法 》 刷 遍 安 全 圈 ， 为 何 如 此 被 各 大 厂 商 争 相 转 载 。 那 么 《 办 法 》 与 我 们 信 安 从 业 者 又 有 近 日 《 网 络 安 全 审 查 办 法 》 刷 遍 安 全 圈 ， 为 何 如 此 被 各 大 厂 商 争 相 转 载 。 那 么 《 办 法 》 与 我 们 信 安 从 业 者 又 有 何 相 关 ？ 何 相 关 ？ 关 键 信 息 基 础 设 施 对 国 家 安 全 、 经 济 安 全 、 社 会 稳 定 、 公 众 健 康 和 安 全 至 关 重 要 。 我 国 建 立 网 络 安 全 审 查 制 度 ， 目 的 是 通 过 网 络 安 全 审 查 这 一 举 措 ， 及 早 发 现 并 避 免 采 购 产 品 和 服 务 给 关 键 信 息 基 础 设 施 运 行 带 来 风 险 和 危 害 ， 保 障 关 键 信 息 基 础 设 施 供 应 链 安 全 ， 维 护 国 家 安 全 。 随 着 中 国 对 网 络 安 全 的 重 视 程 度 不 断 提 升 ， 如 何 守 住 网 络 空 间 的 ” 边 防 ” 和 ” 后 院 ” ， 保 证 相 关 领 域 采 购 的 网 络 产 品 和 服 务 的 安 全 性 至 关 重 要 。 而 新 出 台 的 《 网 络 安 全 审 查 办 法 》 ， 则 为 此 提 供 了 重 要 的 制 度 保 障 和 法 律 依 据 。 一 、 一 、   关 键 点 汇 总 关 键 点 汇 总 2 0 2 0 . 4 . 1 3 日 正 式 颁 布 2 0 2 0 . 6 . 1 日 正 式 施 行 主 管 单 位 主 管 单 位 网 络 安 全 审 查 办 公 室 设 在 国 家 互 联 网 信 息 办 公 室 ， 负 责 制 定 网 络 安 全 审 查 相 关 制 度 规 范 ， 组 织 网 络 安 全 审 查 。 受 理 单 位 受 理 单 位 中 国 网 络 安 全 审 查 技 术 与 认 证 中 心 （ C C R C / I S C C C ） 在 网 络 安 全 审 查 办 公 室 的 指 导 下 ， 承 担 接 收 申 报 材 料 、 对 申 报 材 料 进 行 形 式 审 查 、 具 体 组 织 审 查 工 作 等 任 务 。
上 位 法 上 位 法 《 国 家 安 全 法 》 、 《 网 络 安 全 法 》 。 因 此 《 办 法 》 属 于 强 制 执 行 范 畴 。 原 则 原 则 过 程 公 正 透 明 、 事 前 审 查 事 后 持 续 监 督 、 企 业 社 会 共 同 监 督 。 事 前 ， 强 化 网 络 安 全 的 前 置 审 查 ； 事 中 ， 强 化 自 身 的 防 御 和 监 控 能 力 ； 事 后 ， 一 旦 出 现 问 题 ， 除 了 管 控 之 外 ， 还 要 进 行 溯 源 和 追 责 ， 通 过 这 三 个 阶 段 的 共 同 防 御 ， 把 风 险 降 到 最 低 。 涉 及 行 业 涉 及 行 业 电 信 、 广 播 电 视 、 能 源 、 金 融 、 公 路 水 路 运 输 、 铁 路 、 民 航 、 邮 政 、 水 利 、 应 急 管 理 、 卫 生 健 康 、 社 会 保 障 、 国 防 科 技 工 业 等 行 业 领 域 的 重 要 网 络 和 信 息 系 统 运 营 者 。 涉 及 范 围 涉 及 范 围 关 键 信 息 基 础 设 施 （ 之 前 被 认 定 为 关 基 的 ， 等 级 保 护 评 为 4 级 系 统 的 ） 运 营 者 采 购 的 产 品 和 服 务 。 包 括 ： 核 心 网 络 设 备 （ 路 由 器 、 交 换 机 、 V P N 设 备 、 网 闸 、 前 置 机 等 ） 、 高 性 能 计 算 机 和 服 务 器 、 大 容 量 存 储 设 备 、 大 型 数 据 库 和 应 用 软 件 、 网 络 安 全 设 备 （ 防 火 墙 、 I D P S 、 U T M 、 W A F 、 上 网 行 为 管 理 、 E D R 等 ） 、 云 计 算 服 务 （ 虚 拟 机 、 虚 拟 存 储 、 容 器 等 ） ， 以 及 其 他 对 关 键 信 息 基 础 设 施 安 全 有 重 要 影 响 的 网 络 产 品 和 服 务 。 （ 《 办 法 》   第 二 十 条 ） 主 要 风 险 因 素 主 要 风 险 因 素 产 品 和 服 务 使 用 后 带 来 的 关 键 信 息 基 础 设 施 被 非 法 控 制 、 遭 受 干 扰 或 破 坏 ， 以 及 重 要 数 据 被 窃 取 、 泄 露 、 毁 损 的 风 险 ； 产 品 和 服 务 供 应 中 断 对 关 键 信 息 基 础 设 施 业 务 连 续 性 的 危 害 ； 产 品 和 服 务 的 安 全 性 、 开 放 性 、 透 明 性 ， 来 源 的 多 样 性 ， 供 应 渠 道 的 可 靠 性 以 及 因 为 政 治 、 外 交 、 贸 易 等 因 素 导 致 供 应 中 断 的 风 险 ； 产 品 和 服 务 提 供 者 遵 守 中 国 法 律 、 行 政 法 规 、 部 门 规 章 情 况 ； 其 他 可 能 危 害 关 键 信 息 基 础 设 施 安 全 和 国 家 安 全 的 因 素 。 相 关 人 员 相 关 人 员 上 述 行 业 省 （ 包 括 省 会 城 市 ） 级 公 司 的 I T 部 门 、 安 全 部 门 、 运 维 部 门 、 包 括 总 监 、 负 责 人 、 C I O 、 C I S O 等 人 员 ， 以 及 产 品 供 应 商 、 服 务 供 应 商 的 所 有 项 目 组 成 员 （ 包 括 驻 场 和 外 包 人 员 ） 。 二 、 《 办 法 》 和 网 络 安 全 相 关 人 员 有 什 么 关 系 二 、 《 办 法 》 和 网 络 安 全 相 关 人 员 有 什 么 关 系 《 办 法 》 第 五 条 《 办 法 》 第 五 条   应 当 预 判 该 产 品 和 服 务 投 入 使 用 后 可 能 带 来 的 国 家 安 全 风 险 。 影 响 或 者 可 能 影 响 国 家 安 全 的 ， 应 当 向 网 络 安 全 审 查 办 公 室 申 报 网 络 安 全 审 查 。 运 营 者 采 购 产 品 和 服 务 ， 首 先 要 自 证 这 些 产 品 和 服 务 （ 包 括 供 应 商 ） 是 安 全 的 ， 没 有 潜 在 安 全 隐 患 ， 申 报 审 查 就 是 提 交 证 据 ， 要 提 交 哪 些 证 据 呢 ？ 常 规 来 看 ， 一 般 包 括 ： 安 全 测 试 报 告 、 风 险 评 估 报 告 、 产 品 知 识 产 权 、 厂 商 服 务 资 质 、 成 功 案 例 、 产 品 P O C 报 告 等 等 。 那 么 对 于 服 务 ， 尤 其 是 外 包 服 务 （ 开 发 、 运 维 、 安 全 等 服 务 ） ， 可 能 就 需 要 通 过 签 订 保 密 协 议 、 赔 偿 条 款 之 类 的 合 同 。 《 办 法 》 第 七 条 有 明 确 提 交 的 文 件 名 称 ， 当 然 还 有 一 些 关 键 的 辅 助 审 查 材 料 。 这 是 一 个 双 向 的 过 程 ， 甲 方 要 收 集 证 据 ， 乙 方 要 提 供 证 据 ， 双 方 达 成 一 致 而 后 提 交 审 查 中 心 进 行 评 判 。 《 办 法 》 还 建 议 关 键 信 息 基 础 设 施 保 护 工 作 部 门 可 以 制 定 本 行 业 、 本 领 域 预 判 指 南 。 这 条 建 议 可 能 会 成 为 必 选 项 ， 一 些 关 键 信 息 基 础 设 施 运 营 企 业 应 该 都 会 制 定 一 份 符 合 自 己 业 务 情 况 的 指 南 。 不 过 按 以 往 的 经 验 来 看 ， 多 数 会 有 外 包 的 服 务 商 来 编 写 ， 运 营 方 进 行 监 督 审 阅 。 《 办 法 》 第 六 条 《 办 法 》 第 六 条     承 诺 不 利 用 提 供 产 品 和 服 务 的 便 利 条 件 非 法 获 取 用 户 数 据 、 非 法 控 制 和 操 纵 用 户 设 备 ， 无 正 当 理 由 不 中 断 产 品 供 应 或 必 要 的 技 术 支 持 服 务 等 。
这 里 分 两 个 层 面 来 要 求 ， 一 是 个 人 信 息 保 护 工 作 和 未 授 权 操 作 用 户 设 备 ， 对 于 供 应 商 来 说 要 想 好 怎 么 自 证 你 这 块 是 做 得 好 的 ， 就 比 如 等 保 2 . 0 中 要 求 只 可 以 采 集 必 要 个 人 信 息 ， 可 以 存 放 ， 但 未 经 授 权 不 可 以 查 看 、 使 用 、 修 改 和 删 除 数 据 ， 这 点 光 靠 说 是 没 用 的 ， 还 是 提 供 你 实 际 是 如 何 去 做 的 证 明 ； 二 是 供 应 方 要 和 运 营 方 一 起 保 证 业 务 连 续 性 ， 包 括 设 备 和 技 术 支 持 两 方 面 的 持 续 服 务 提 供 ， 比 如 乙 方 驻 场 同 学 和 售 后 支 持 同 学 。 《 办 法 》 第 九 条 《 办 法 》 第 九 条     给 出 了 需 要 考 虑 的 潜 在 的 国 家 安 全 风 险 ， 这 里 汇 总 一 下 ： 后 门 、 木 马 、 预 植 入 芯 片 后 门 、 木 马 、 预 植 入 芯 片 这 里 其 实 主 要 是 推 广 可 信 计 算 、 国 产 化 技 术 ， 别 人 的 东 西 永 远 不 如 自 己 的 安 全 。 但 也 不 是 把 国 外 产 品 和 技 术 服 务 完 全 锁 在 门 外 。 国 家 考 虑 了 一 种 均 衡 的 开 放 的 方 式 。 中 国 是 向 世 界 开 放 的 ， 并 不 是 想 通 过 《 办 法 》 将 国 外 厂 商 关 在 门 外 。 在 答 记 者 问 中 ， 官 方 也 明 确 表 示 对 外 开 放 是 我 们 的 基 本 国 策 ， 我 们 欢 迎 国 外 产 品 和 服 务 进 入 中 国 市 场 的 政 策 没 有 改 变 ， 但 前 提 是 必 须 要 符 合 中 国 法 律 法 规 和 部 门 规 章 ， 这 就 需 要 产 品 厂 商 来 “ 自 证 清 白 ” 。 供 应 链 安 全 供 应 链 安 全 这 也 是 《 关 键 信 息 基 础 设 施 网 络 安 全 保 护 基 本 要 求 》 （ 征 求 意 见 稿 ） 中 首 次 提 出 的 安 全 问 题 。 关 键 信 息 基 础 设 施 的 运 营 者 所 采 购 的 产 品 和 服 务 本 身 ， 可 能 就 是 一 个 完 整 的 系 统 。 比 方 说 一 个 软 件 ， 它 包 含 了 很 多 的 代 码 ， 这 些 代 码 软 系 统 中 的 不 同 功 能 会 由 不 同 的 软 件 承 担 ， 那 么 这 些 软 件 有 不 同 的 厂 商 开 发 ， 最 终 进 行 一 个 总 集 成 ； 硬 件 也 是 类 似 的 情 况 。 供 应 链 中 的 每 一 个 环 节 ， 都 可 能 蕴 含 潜 在 的 风 险 。 当 某 项 产 品 或 服 务 被 采 购 、 被 运 用 ， 并 且 部 署 到 关 键 信 息 基 础 设 施 之 前 ， 通 过 这 样 一 个 国 家 网 络 安 全 的 审 查 ， 可 以 在 很 大 限 度 上 把 供 应 链 风 险 降 到 最 低 ， 保 证 供 应 来 源 多 样 、 渠 道 畅 通 可 靠 ， 采 购 的 产 品 和 服 务 更 加 安 全 、 开 放 、 透 明 。 从 这 个 意 义 上 来 说 ， 有 《 办 法 》 作 为 支 撑 ， 网 络 安 全 审 查 部 门 即 可 做 到 对 供 应 链 的 每 个 环 节 做 到 未 雨 绸 缪 、 重 点 考 量 。 比 如 去 年 华 为 因 为 政 治 、 外 交 、 贸 易 等 因 素 ， 遭 遇 供 应 中 断 的 损 失 和 危 害 ， 或 许 可 以 降 到 最 低 。 从 国 外 的 重 大 安 全 事 件 来 看 （ F a c e b o o k 的 5 0 亿 美 元 罚 金 事 件 ） ， 绝 大 多 数 都 是 因 为 第 三 方 泄 露 敏 感 信 息 所 造 成 的 ， 完 全 由 于 甲 方 自 身 原 因 所 铸 成 的 重 大 安 全 事 件 只 占 极 少 数 。 因 此 可 以 考 虑 在 业 务 连 续 性 保 障 方 面 采 用 供 应 链 冗 余 ， 两 家 或 多 家 供 应 商 共 同 分 担 责 任 ， 能 互 补 能 A B 岗 ， 这 样 最 好 。 至 于 供 应 链 安 全 ， 其 实 1 家 还 是 2 家 供 应 商 ， 你 的 供 应 链 安 全 做 起 来 并 没 什 么 太 大 的 区 别 （ 当 然 如 果 企 业 对 接 8 - 9 家 甚 至 1 0 家 以 上 供 应 商 ， 这 种 情 况 另 当 别 论 ） 。 这 里 特 别 提 醒 ， 参 见 《 办 法 》 第 十 六 条 ， 很 多 情 况 下 是 甲 方 和 服 务 商 一 起 突 击 ， 时 间 紧 的 情 况 下 去 完 成 审 查 工 作 ， 这 个 过 程 中 就 容 易 出 现 纰 漏 ， 造 成 数 据 泄 露 等 问 题 ， 应 引 起 关 注 。 供 应 商 的 合 规 性 供 应 商 的 合 规 性 包 括 产 品 专 利 、 知 识 产 权 、 3 C 认 证 ， 服 务 商 的 服 务 资 质 、 合 规 性 认 证 等 。 这 里 对 于 甲 方 其 实 也 是 一 样 ， 比 如 公 有 云 供 应 商 ， 那 么 对 于 云 上 租 户 来 说 你 也 是 乙 方 ， B 2 B 的 业 务 模 式 下 ， 大 家 互 为 甲 乙 方 。 不 过 像 阿 里 云 、 腾 讯 云 、 A W S 这 类 的 厂 商 应 该 问 题 不 大 ， 主 要 问 题 可 能 会 集 中 在 一 些 中 型 或 省 级 地 市 级 的 公 有 云 平 台 上 。 其 他 因 素 其 他 因 素 各 类 其 他 威 胁 和 风 险 （ 参 见 前 文 主 要 风 险 因 素 ） 。 《 办 法 》 第 十 九 条 《 办 法 》 第 十 九 条     违 法 处 罚 条 款 参 照 《 中 华 人 民 共 和 国 网 络 安 全 法 》 第 六 十 五 条 ： “ 应 当 申 报 网 络 安 全 审 查 而 没 有 申 报 的 ， 或 者 使 用 网 络 安 全 审 查 未 通 过 的 产 品 和 服 务 ， 由 有 关 主 管 部 门 责 令 停 止 使 用 ， 处 采 购 金 额 一 倍 以 上 十 倍 以 下 罚 款 ； 对 直 接 负 责 的 主 管 人 员 和 其 他 直 接 责 任 人 员 处 一 万 元 以 上 十 万 元 以 下 罚 款 。 ” 三 、 网 络 安 全 审 查 的 流 程 三 、 网 络 安 全 审 查 的 流 程

这 里 的 流 程 是 在 正 常 情 况 下 的 ， 如 果 遇 到 特 殊 情 况 可 能 会 延 期 ， 而 且 补 充 材 料 的 时 间 不 计 入 办 理 流 程 的 工 作 日 ， 因 此 也 存 在 长 时 间 无 法 通 过 审 查 的 情 况 。 申 报 节 点 申 报 节 点 通 常 是 在 合 同 签 署 之 前 。 若 是 合 同 签 署 后 ， 则 需 要 双 方 约 定 在 合 同 中 注 明 此 合 同 须 在 产 品 和 服 务 采 购 通 过 网 络 安 全 审 查 后 方 可 生 效 。 附 ： 《 网 络 安 全 审 查 办 法 》 全 文 * 本 文 作 者 ： 宇 宸 ， 转 载 请 注 明 来 自 本 文 作 者 ： 宇 宸 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理