網(wǎng)上投稿
摘 要：《網(wǎng)絡(luò)安全審查辦法》正式發(fā)布，相比《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法（試行）》提供了更具針對性、更為詳細明確的審查制度規(guī)定，從適用范圍，到審查對象、審查機構(gòu)、審查流程等方面出發(fā)構(gòu)建了偏重供應(yīng)鏈自主可控的“新網(wǎng)絡(luò)安全觀”。針對這一審查制度， 網(wǎng)絡(luò)產(chǎn)品和服務(wù)供應(yīng)鏈各個環(huán)節(jié)中符合審查適用范圍的企業(yè)，從供應(yīng)商到運營商，如何從自身角度出發(fā)把控合規(guī)風(fēng)險和保障網(wǎng)絡(luò)安全尤為重要。
中圖分類號：TN915.08
文獻標志碼：A
文章編號：1009-8054(2020)06-0005-06
引 言
2020 年 4 月 27 日，國家互聯(lián)網(wǎng)信息辦公室、國家發(fā)改委等 12 個部門聯(lián)合發(fā)布了《網(wǎng)絡(luò)安全審查辦法》（以下簡稱“《辦法》”），確認國家互聯(lián)網(wǎng)信息辦公室下設(shè)的網(wǎng)絡(luò)安全審查辦公室作為網(wǎng)絡(luò)安全審查的監(jiān)管部門，負責(zé)制定網(wǎng)絡(luò)安全審查相關(guān)制度規(guī)范，組織網(wǎng)絡(luò)安全審查，而被審查主體關(guān)鍵信息基礎(chǔ)設(shè)施運營者（以下簡稱“運營者”）則對其采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)負有預(yù)判風(fēng)險、提前申報審查的義務(wù)。《辦法》于 2020 年 6 月 1 日正式實施，《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法（試行）》（以下簡稱“《試行辦法》”）同時廢止。
《辦法》與《試行辦法》相比，針對性更為突出，也更具有操作性。從適用范圍，到審查對象、審查機構(gòu)、審查流程等，都有更加明確和詳細的規(guī)定。
然而， 筆者認為，《辦法》最大的價值在于塑造一種新的網(wǎng)絡(luò)安全觀。在復(fù)雜的國際大背景下，規(guī)范關(guān)鍵信息基礎(chǔ)設(shè)施運營者采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)，維護網(wǎng)絡(luò)空間的基礎(chǔ)安全架構(gòu)。
1. 制度價值目標的完善與“新網(wǎng)絡(luò)安全觀”的構(gòu)建
在《試行辦法》中，核心的價值觀念目標側(cè)重于技術(shù)安全，而《辦法》則更加側(cè)重供應(yīng)鏈安全和關(guān)鍵網(wǎng)絡(luò)設(shè)備的自主可控。
《試行辦法》第一條開宗明義規(guī)定“為提高網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全可控水平，防范網(wǎng)絡(luò)安全風(fēng)險……制定本辦法?！盵1]《試行辦法》雖然提到了“全面安全”的觀念，但在更加偏重技術(shù)風(fēng)險和信息安全風(fēng)險，對供應(yīng)鏈安全風(fēng)險規(guī)定較為簡單。如《試行辦法》第四條規(guī)定：網(wǎng)絡(luò)安全審查重點審查網(wǎng)絡(luò)產(chǎn)品和服務(wù)的安全性、可控性，主要包括：
（一）產(chǎn)品和服務(wù)自身的安全風(fēng)險，以及被非法控制、干擾和中斷運行的風(fēng)險；
（二）產(chǎn)品及關(guān)鍵部件生產(chǎn)、測試、交付、技術(shù)支持過程中的供應(yīng)鏈安全風(fēng)險；
（三）產(chǎn)品和服務(wù)提供者利用提供產(chǎn)品和服務(wù)的便利條件非法收集、存儲、處理、使用用戶相關(guān)信息的風(fēng)險；
（四）產(chǎn)品和服務(wù)提供者利用用戶對產(chǎn)品和服務(wù)的依賴，損害網(wǎng)絡(luò)安全和用戶利益的風(fēng)險。
其中僅有第二項涉及供應(yīng)鏈安全。與美國參議院于 2020 年 2 月 27 日批準的《安全 和 可 信 電 信 網(wǎng) 絡(luò) 法》（Secure and Trusted Telecommunications Networks Act）相比，技術(shù)性更強，而保護供應(yīng)鏈安全的屬性則偏弱。《試行辦法》與美國《安全和可信電信網(wǎng)絡(luò)法》對于電信及網(wǎng)絡(luò)產(chǎn)品準入安全審查采用的價值判斷標準是不同的，中國偏重于從技術(shù)標準認定。準入標準，客觀性更強；而美國則以認定企業(yè)是否威脅國家安全作為準入標準，主觀性更強 [3]。
《辦法》對于《試行辦法》的上述局限性做出了修正。《辦法》第一條開宗明義的規(guī)定：“為了確保關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全……制定本辦法?！迸c《試行辦法》相比，表述有明顯差異，從“提高網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全可控水平， 防范網(wǎng)絡(luò)安全風(fēng)險”到“關(guān)鍵信息基礎(chǔ)設(shè)施供應(yīng)鏈安全”，其所展現(xiàn)的價值目標差異顯而易見。
在《辦法》第九條則規(guī)定，網(wǎng)絡(luò)安全審查重點評估采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)可能帶來的國家安全風(fēng)險，主要考慮以下因素：
( 一 ) 產(chǎn)品和服務(wù)使用后帶來的關(guān)鍵信息基礎(chǔ)設(shè)施被非法控制、遭受干擾或破壞，以及重要數(shù)據(jù)被竊取、泄露、毀損的風(fēng)險；
( 二 ) 產(chǎn)品和服務(wù)供應(yīng)中斷對關(guān)鍵信息基礎(chǔ)設(shè)施業(yè)務(wù)連續(xù)性的危害；
( 三) 產(chǎn)品和服務(wù)的安全性、開放性、透明性、來源的多樣性，供應(yīng)渠道的可靠性以及因為政治、外交、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險；
( 四 ) 產(chǎn)品和服務(wù)提供者遵守中國法律、行政法規(guī)、部門規(guī)章情況 [2]。
《辦法》在進行國家安全風(fēng)險審查時，將“產(chǎn)品和服務(wù)供應(yīng)中斷對關(guān)鍵信息基礎(chǔ)設(shè)施業(yè)務(wù)連續(xù)性的危害”以及“供應(yīng)渠道的可靠性以及因為政治、外交、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險”， 作為安全風(fēng)險審查的重要內(nèi)容，特別強調(diào)對于產(chǎn)品與服務(wù)“供應(yīng)中斷”風(fēng)險的審查。而《辦法》對于“供應(yīng)渠道的可靠性”規(guī)定，應(yīng)該是與商務(wù)部的 “不可靠實體清單”制度相對應(yīng)的。
從上述規(guī)定可以看出，《辦法》的頒布，意味著網(wǎng)絡(luò)安全觀從更加側(cè)重技術(shù)性規(guī)則到更加側(cè)重核心供應(yīng)鏈“自主可控”。
2.審查對象的安全判斷維度清晰、聚焦
與《試行辦法》相比，《辦法》所涉及的審查維度更加清晰聚焦。兩個辦法對于安全的審查，都涉及“主體”和“網(wǎng)絡(luò)產(chǎn)品與服務(wù)（簡稱“產(chǎn)品”）”兩個安全判斷維度?！对囆修k法》對于這兩個維度的界定不夠清晰，操作性和針對性均較差。
2.1 審查對象的主題維度
《辦法》第二條明確了被審查的主體為關(guān)鍵信息基礎(chǔ)設(shè)施運營者，第二十條確認了關(guān)鍵信息基礎(chǔ)設(shè)施運營者是指經(jīng)關(guān)鍵信息基礎(chǔ)設(shè)施保護工作部門認定的運營者。
《試行辦法》對于被審查主體的界定不夠清晰，有被擴大理解的空間。如《試行辦法》第二條規(guī)定：“關(guān)系國家安全的網(wǎng)絡(luò)和信息系統(tǒng)采購的重要網(wǎng)絡(luò)產(chǎn)品和服務(wù)，應(yīng)當經(jīng)過網(wǎng)絡(luò)安全審查?！痹谶@一規(guī)定中，由于“國家安全” 這一界定缺乏必要的標準，似乎所有的信息系統(tǒng)的采購，無論采購方是否屬于關(guān)鍵信息基礎(chǔ)設(shè)施運營者，都需要實施網(wǎng)絡(luò)安全審查?！对囆修k法》第十條規(guī)定：“公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他關(guān)鍵信息基礎(chǔ)設(shè)施的運營者采購網(wǎng)絡(luò)產(chǎn)品和服務(wù)，可能影響國家安全的， 應(yīng)當通過網(wǎng)絡(luò)安全審查。產(chǎn)品和服務(wù)是否影響國家安全由關(guān)鍵信息基礎(chǔ)設(shè)施保護工作部門確定?！痹摋l規(guī)定提出了“重要行業(yè)和領(lǐng)域”以及“其他關(guān)鍵信息基礎(chǔ)設(shè)施的運營者”，這兩個表述是否具有同一性？《試行辦法》的界定并不清晰?！掇k法》將審查的對象明確界定為“關(guān)鍵信息技術(shù)設(shè)施運營者”，有利于在執(zhí)法中統(tǒng)一標準， 也有利于相關(guān)主體對于規(guī)則的準確理解。
鑒于《網(wǎng)絡(luò)安全法》第三十一條規(guī)定關(guān)鍵基礎(chǔ)設(shè)施的具體范圍和安全保護辦法由國務(wù)院制定，且目前尚未正式發(fā)布關(guān)鍵信息基礎(chǔ)設(shè)施的具體認定細則，對于《辦法》中關(guān)鍵信息基礎(chǔ)設(shè)施運營者范圍的界定尚未有明確的法規(guī)規(guī)定。針對這一問題，國家互聯(lián)網(wǎng)信息辦公室有關(guān)負責(zé)人在就《辦法》答記者問中，明確了《辦法》中規(guī)定的應(yīng)當預(yù)判風(fēng)險申報網(wǎng)絡(luò)安全審查的義務(wù)主體為“電信、廣播電視、能源、金融、公路水路運輸、鐵路、民航、郵政、水利、應(yīng)急管理、衛(wèi)生健康、社會保障、國防科技工業(yè)等行業(yè)領(lǐng)域的重要網(wǎng)絡(luò)和信息系統(tǒng)運營者”。在關(guān)鍵信息基礎(chǔ)設(shè)施的具體認定細則正式出臺之前，上述范圍內(nèi)的運營者將作為《辦法》的被審查主體承擔(dān)申報審查的義務(wù)。
2.2 審查對象的產(chǎn)品維度
對于納入安全審查的網(wǎng)絡(luò)產(chǎn)品和服務(wù)，《辦法》的規(guī)定也更加突出網(wǎng)絡(luò)基礎(chǔ)安全層面。《辦法》第二十條規(guī)定：“本辦法所稱網(wǎng)絡(luò)產(chǎn)品和服務(wù)主要指核心網(wǎng)絡(luò)設(shè)備、高性能計算機和服務(wù)器、大容量存儲設(shè)備、大型數(shù)據(jù)庫和應(yīng)用軟件、網(wǎng)絡(luò)安全設(shè)備、云計算服務(wù)，以及其他對關(guān)鍵信息基礎(chǔ)設(shè)施安全有重要影響的網(wǎng)絡(luò)產(chǎn)品和服務(wù)。”
《試行辦法》對于納入安全審查的產(chǎn)品和服務(wù)的規(guī)定則較為籠統(tǒng)，僅規(guī)定“重要網(wǎng)絡(luò)安全與服務(wù)”。該界定不夠清晰和具體，可能會產(chǎn)生擴大適用的情況，從而影響正常的網(wǎng)絡(luò)產(chǎn)品及服務(wù)采購。
從《辦法》的規(guī)定可以看出，納入產(chǎn)品審查范圍的設(shè)施界定更加清晰，從網(wǎng)絡(luò)結(jié)構(gòu)角度看，涉及到了網(wǎng)絡(luò)系統(tǒng)的物理層、數(shù)據(jù)鏈路層、網(wǎng)絡(luò)層、傳輸層等基礎(chǔ)層面。從功能角度看， 涉及到了信息傳輸、運算、存儲、網(wǎng)絡(luò)安全、數(shù)據(jù)庫、云計算等各個重要方面。
《辦法》在我國開啟“新基建”的關(guān)鍵時期發(fā)布，具有積極的規(guī)范意義。從“新基建” 的角度看，毫無疑問，關(guān)鍵信息基礎(chǔ)設(shè)施運營者將成為“新基建”的主要建設(shè)任務(wù)承擔(dān)者， 而對關(guān)鍵信息基礎(chǔ)設(shè)施安全有重要影響的網(wǎng)絡(luò)產(chǎn)品和服務(wù)，無疑是保障“新基建”基礎(chǔ)設(shè)施安全、可控的基礎(chǔ)。因此，將安全審查聚焦于“關(guān)鍵信息基礎(chǔ)設(shè)施運營者”采購“對安全有重要影響的網(wǎng)絡(luò)產(chǎn)品和服務(wù)”，在“新基建”與國際上圍繞信息網(wǎng)絡(luò)安全所展開的大博弈背景下， 其意義可謂深遠。
主體與產(chǎn)品兩個維度，其關(guān)系具體如圖 1 所示：
圖 1 “主體”和“網(wǎng)絡(luò)產(chǎn)品與服務(wù)”關(guān)系圖
3. 審查主體全面覆蓋
《辦法》第四條規(guī)定：“在中央網(wǎng)絡(luò)安全和信息化委員會領(lǐng)導(dǎo)下，國家互聯(lián)網(wǎng)信息辦公室會同中華人民共和國國家發(fā)展和改革委員會、中華人民共和國工業(yè)和信息化部、中華人民共和國公安部、中華人民共和國國家安全部、中華人民共和國財政部、中華人民共和國商務(wù)部、中國人民銀行、國家市場監(jiān)督管理總局、國家廣播電視總局、國家保密局、國家密碼管理局建立國家網(wǎng)絡(luò)安全審查工作機制。”
由上述規(guī)定可以看出，網(wǎng)絡(luò)安全審查機制中，中央網(wǎng)絡(luò)安全和信息化委員會是領(lǐng)導(dǎo)機構(gòu)， 但并不直接參與審核，而是領(lǐng)導(dǎo)和協(xié)調(diào)審查機制的建立。參與審查機制的機構(gòu)則包括國家互聯(lián)網(wǎng)信息辦公室，以及十一個中央政府職能部門，參與主體職能分布相當廣泛。
為什么要這樣設(shè)立審查機制呢？其核心仍是“新網(wǎng)絡(luò)安全觀”的體現(xiàn)。網(wǎng)絡(luò)產(chǎn)品和服務(wù)的采購，必然涉及國家產(chǎn)業(yè)政策、網(wǎng)絡(luò)系統(tǒng)維護與管理、網(wǎng)絡(luò)系統(tǒng)的信息安全、國家安全、財政資金的使用和劃撥、對外貿(mào)易政策的制定與調(diào)整、金融安全與金融支持、市場秩序的維護與清理、新聞發(fā)布與傳播、保守國家秘密、以及密碼體系的安全與可靠。這些功能，任何一個部門均無法單獨完成，為了避免在安全審查上的漏洞和標準不一，需要建立多部門的強力協(xié)同機制 [4]。
相較之下，《試行辦法》的規(guī)定過于簡單， 僅在第五條規(guī)定，國家互聯(lián)網(wǎng)信息辦公室會同有關(guān)部門成立網(wǎng)絡(luò)安全審查委員會，負責(zé)審議網(wǎng)絡(luò)安全審查的重要政策，統(tǒng)一組織網(wǎng)絡(luò)安全審查工作，協(xié)調(diào)網(wǎng)絡(luò)安全審查相關(guān)重要問題。該規(guī)定對于如何形成安全審查委員會，并沒有制度性的安排，不利于發(fā)揮審查制度的作用。
4.“多樣、可控”新理念
具體而言，《辦法》第九條規(guī)定了網(wǎng)絡(luò)安全審查過程中，對于國家安全影響的重要考量因素。其中第三款的規(guī)定特別值得關(guān)注，“產(chǎn)品和服務(wù)的安全性、開放性、透明性、來源的多樣性，供應(yīng)渠道的可靠性以及因為政治、外交、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險”。該條款的關(guān)鍵詞包括“來源的多樣性”以及“供應(yīng)渠道的可靠性”。
應(yīng)該說，這一規(guī)則有深刻的國際信息技術(shù)博弈的大背景。近幾年來， 中國的網(wǎng)絡(luò)設(shè)備與服務(wù)領(lǐng)域面臨巨大的不確定性，對于國家安全形成一定壓力。如美國政府對于納入“實體清單”的中國企業(yè)或其他機構(gòu)，在采購美國相關(guān)網(wǎng)絡(luò)產(chǎn)品或服務(wù)時， 設(shè)置了諸多審查或限制， 而這些限制往往與政治、外交、貿(mào)易沖突等背景緊密相關(guān) [5]。同時，由于在諸多核心技術(shù)領(lǐng)域，中國對于境外供應(yīng)商的依賴度較高，來源過于集中。一旦受到其他因素影響“斷供”，對于網(wǎng)絡(luò)安全與正常運營將帶來巨大沖擊。
“渠道單一化”，一旦遭遇“供應(yīng)渠道的不可靠”，其疊加效果將會非常巨大。因此， 通過對“來源的多樣性”以及“供應(yīng)渠道的可靠性”進行規(guī)定，并作為審查的重要內(nèi)容，有利于促成企業(yè)選擇多元產(chǎn)品和更為“可靠”的渠道。通過企業(yè)的選擇，可以進一步培育“多元化”的供應(yīng)鏈。
從某種意義上講，“來源的多樣性”以及“供應(yīng)渠道的可靠性”并不是一個傳統(tǒng)意義上的網(wǎng)絡(luò)安全技術(shù)審核標準，而是一個供應(yīng)鏈安全的標準。這一標準的設(shè)立，不僅有利于國際間網(wǎng)絡(luò)信息技術(shù)的均衡分布與合理流動，也有利于國內(nèi)相關(guān)網(wǎng)絡(luò)產(chǎn)品及服務(wù)提供者的長期發(fā)展。
5.不同主體面的合規(guī)策略選擇
總體而言，《辦法》是一部體現(xiàn)全面網(wǎng)絡(luò)安全觀的規(guī)范。在強調(diào)技術(shù)帶來的網(wǎng)絡(luò)安全風(fēng)險的同時，對于產(chǎn)品與服務(wù)來源單一、供應(yīng)渠道不可靠性等供應(yīng)鏈安全風(fēng)險也提升到了重要的位置。對于《辦法》，企業(yè)也應(yīng)順勢而為。
5.1關(guān)鍵信息基礎(chǔ)設(shè)施運營者
關(guān)鍵信息基礎(chǔ)設(shè)施運營者，應(yīng)充分讀懂《辦法》所蘊含的深層含義與審查措施，并積極規(guī)劃自身的合規(guī)方案，在源頭采購環(huán)節(jié)就應(yīng)采用全面安全觀指導(dǎo)自己的采購行為。簡單的技術(shù)風(fēng)險容易解決，而產(chǎn)品組合不合理帶來的供應(yīng)鏈風(fēng)險，則不僅難以解決，而且成本巨大。
5.2 網(wǎng)絡(luò)產(chǎn)品與服務(wù)的供應(yīng)商
除常規(guī)的技術(shù)能力外，供應(yīng)商需要考慮的是，如何證明“供應(yīng)渠道的可靠性”以及如何避免被納入“因為政治、外交、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險”中。
境外供應(yīng)商，對于可靠性問題的考量通常更為復(fù)雜，因為不僅要受制于中國的法律規(guī)范， 還要受制于其所在國的法律規(guī)范。如何減少所在國法律、政治、貿(mào)易政策對于設(shè)備與服務(wù)出口造成影響，成為其首先應(yīng)考量的合規(guī)策略。
6.結(jié)論
習(xí)近平總書記在談到網(wǎng)絡(luò)安全觀的時候提到，沒有網(wǎng)絡(luò)安全就沒有國家安全，網(wǎng)絡(luò)安全和信息化應(yīng)當是一體之兩翼、驅(qū)動之雙輪，在加強信息化建設(shè)的同時，要加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系，從而為國民經(jīng)濟和信息化建設(shè)打造一個安全、可信的網(wǎng)絡(luò)環(huán)境 [6]?！掇k法》提供了關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系中的制度保障，是網(wǎng)絡(luò)安全觀內(nèi)涵的全面體現(xiàn)， 關(guān)鍵信息基礎(chǔ)設(shè)施運營者和供應(yīng)商應(yīng)當培養(yǎng)自身網(wǎng)絡(luò)安全意識，從降低自身合規(guī)風(fēng)險和維護國家網(wǎng)絡(luò)安全的角度出發(fā)，將《辦法》提出的規(guī)定和要求落到實處。
參考文獻：
1.中國網(wǎng)信網(wǎng). 網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法（試行） [EB/OL].(2017-05-02)[2020-05-14].http://www.cac. gov.cn/2017-05/02/c_1120904567.htm.
2.中國網(wǎng)信網(wǎng) . 網(wǎng)絡(luò)安全審查辦法 [EB/OL].(2020-04-
27)[2020-05-14] .htt p://www.cac.gov.cn/2020-04/27/ c_1589535450769077.htm.
3.吳衛(wèi)明 , 劉昀東 . 網(wǎng)絡(luò)產(chǎn)品安全審查制度及相關(guān)合規(guī)風(fēng)險—寫于美國關(guān)于禁用華為設(shè)備的法案獲批之后 [EB/OL].(2020-04-07)[2020-05-14].https://www. allbrightlaw.com/CN/10475/4574a0fa70b264e7.aspx.
4.吳衛(wèi)明 .《數(shù)字金融法律實務(wù)與風(fēng)險防控》[M]. 中國法制出版社 .2018.
5.求是網(wǎng) . 習(xí)近平談網(wǎng)絡(luò)安全觀 [EB/OL].(2016-09- 19)[2020-05-14] .htt p://www.cac.gov.cn/2016-09/19/ c_1119583507.htm.
滬公網(wǎng)安備 31010402007129號
