2017年08月08日
最近朋友圈被重慶網(wǎng)安總隊(duì)查處重慶違反《網(wǎng)絡(luò)安全法》第一案小刷了一個(gè)屏幕，大概內(nèi)容是：重慶某公司自2017年6月1日后，在提供互聯(lián)網(wǎng)數(shù)據(jù)中心服務(wù)時(shí)，存在未依法留存用戶登錄相關(guān)網(wǎng)絡(luò)日志的違法行為，根據(jù)《網(wǎng)絡(luò)安全法》第二十一條（三）項(xiàng)：采取監(jiān)測、記錄網(wǎng)絡(luò)運(yùn)行狀態(tài)、網(wǎng)絡(luò)安全事件的技術(shù)措施，并按照規(guī)定留存相關(guān)的網(wǎng)絡(luò)日志不少于六個(gè)月；第五十九條之規(guī)定，決定給予該公司警告處罰，并責(zé)令限期十五日內(nèi)進(jìn)行整改。
前兩天是汕頭網(wǎng)警依照《網(wǎng)絡(luò)安全法》對沒有及時(shí)開展等級保護(hù)測評的單位進(jìn)行處罰。另外也有家網(wǎng)警對一個(gè)違法行為依照《網(wǎng)絡(luò)安全法》進(jìn)行處罰的，內(nèi)容沒細(xì)看，記不清具體是哪個(gè)地方的了。這是目前不得不等看到的公開報(bào)道的三個(gè)案例。
后續(xù)預(yù)計(jì)全國各地首例依據(jù)《網(wǎng)絡(luò)安全法》處罰的案例會越來越多，星星之火已點(diǎn)起，燎原之勢還會遠(yuǎn)嗎。不得不等分析下除了已報(bào)道的違法行為外還有哪些行為可能會被處罰：
1、第二十一條（二）項(xiàng)，采取防范計(jì)算機(jī)病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害網(wǎng)絡(luò)安全行為的技術(shù)措施。服務(wù)器在裸奔的，單位網(wǎng)絡(luò)系統(tǒng)在裸奔的，安全防護(hù)措施明顯不到位的，會被依照此條款進(jìn)行責(zé)令整改；
2、第二十一條（四）項(xiàng)，采取數(shù)據(jù)分類、重要數(shù)據(jù)備份和加密等措施。沒有對重要數(shù)據(jù)進(jìn)行備份和加密的會被依照此條款進(jìn)行責(zé)令整改；
3、第二十五條 網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，及時(shí)處置系統(tǒng)漏洞、計(jì)算機(jī)病毒、網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等安全風(fēng)險(xiǎn)；在發(fā)生危害網(wǎng)絡(luò)安全的事件時(shí)，立即啟動應(yīng)急預(yù)案，采取相應(yīng)的補(bǔ)救措施，并按照規(guī)定向有關(guān)主管部門報(bào)告。沒有網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案的，沒有及時(shí)處置高危漏洞、網(wǎng)絡(luò)攻擊的；在發(fā)生網(wǎng)絡(luò)安全事件時(shí)處置不恰當(dāng)?shù)模瑫灰勒沾藯l款責(zé)令整改，拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處一萬元以上十萬元以下罰款，對直接負(fù)責(zé)的主管人員處五千元以上五萬元以下罰款。
4、關(guān)鍵信息基礎(chǔ)設(shè)施單位除了以上幾點(diǎn)，還有可能會被依據(jù)：
第三十四條（三）項(xiàng)：對重要系統(tǒng)和數(shù)據(jù)庫進(jìn)行容災(zāi)備份。沒有對重要系統(tǒng)和數(shù)據(jù)庫進(jìn)行容災(zāi)備份的會被依照此條款責(zé)令改正。
第三十四條（四）項(xiàng)：制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，并定期進(jìn)行演練。沒有網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案的，或者沒有定期演練的，會被依照此條進(jìn)行責(zé)令改正。這條不得不等認(rèn)為很多單位都不符合，這個(gè)要處罰起來一大片等著呢。
5、關(guān)鍵信息基礎(chǔ)設(shè)施單位：第三十八條 關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者應(yīng)當(dāng)自行或者委托網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)對其網(wǎng)絡(luò)的安全性和可能存在的風(fēng)險(xiǎn)每年至少進(jìn)行一次檢測評估，并將檢測評估情況和改進(jìn)措施報(bào)送相關(guān)負(fù)責(zé)關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)工作的部門。每年沒有做過安全檢測評估的單位要被責(zé)令改正。
大概就是這些行為容易被處罰，因?yàn)檫@些行為很容易判斷和取證，處罰起來相對客觀，好操作。這樣就結(jié)束了嗎？網(wǎng)絡(luò)安全法：第八條 國家網(wǎng)信部門負(fù)責(zé)統(tǒng)籌協(xié)調(diào)網(wǎng)絡(luò)安全工作和相關(guān)監(jiān)督管理工作。國務(wù)院電信主管部門、公安部門和其他有關(guān)機(jī)關(guān)依照本法和有關(guān)法律、行政法規(guī)的規(guī)定，在各自職責(zé)范圍內(nèi)負(fù)責(zé)網(wǎng)絡(luò)安全保護(hù)和監(jiān)督管理工作。除了公安外，還有網(wǎng)信辦、工信部、通管局、保密局、密碼管理局等主管單位，這么多主管單位都依據(jù)網(wǎng)絡(luò)安全法進(jìn)行執(zhí)法的話，應(yīng)該會有更多的單位會被處罰吧。在不久的將來，預(yù)計(jì)會有一些單位會被除公安以外的主管單位處罰。我們一同見證首例的誕生。
處罰不是目的，目的是通過處罰督促大家盡快落實(shí)自己的網(wǎng)絡(luò)安全義務(wù)，保護(hù)自己單位的網(wǎng)絡(luò)安全，最終保障國家安全。安全是自己的，責(zé)任是自己的，自己的事不去上心做，還指望誰幫你嗎？不要等著被處罰了再去整改，不要等著出了安全事件再去整改。有時(shí)會收不了場的，或者不是你去整改了。
江蘇國駿信息科技有限公司在信息網(wǎng)絡(luò)安全、運(yùn)維平臺建設(shè)、動漫設(shè)計(jì)、軟件研發(fā)、數(shù)據(jù)中心領(lǐng)域具備十多年的行業(yè)沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養(yǎng)”、“制度流程”、“技術(shù)產(chǎn)品”三個(gè)視角提供全面、可信的方案，業(yè)務(wù)涵蓋咨詢、評估、規(guī)劃、管控、建設(shè)、培訓(xùn)等。