Q1  什么是网络安全等级保护？

网络安全等级保护是一项所有网络运营者均需承担的义务。

网络安全等级保护强调分等级保护，针对等级保护对象在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等，将其由低到高划分为五个安全保护等级，并根据不同保护等级采取不同安全保护措施，有利于将有限的资源合理分配在不同风险的保护对象之中，以防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，并保障网络数据的完整性、保密性、可用性。

 Q2  目前与网络安全等级保护相关的制度主要有哪些？

（更多内容可参考：本团队发表于威科先行·法律信息库的《网络安全与数据隐私法律法规地图》）除此之外，金融、电力、广电、医疗、教育等行业的主管单位亦明确要求从业机构的信息系统要开展等级保护工作。比如在医疗行业，卫健委于2020年12月28日印发《三级医院评审标准（2020年版）》，将网络安全作为三级医院评审的前置要求，若在评审周期内“发生大规模医疗数据泄露或其他重大网络安全事件，造成严重后果”，将延期一年评审，延期期间原等次取消，按照“未定等”管理。前述评审标准要求落实《网络安全法》，实施国家信息安全等级保护制度，实行信息系统按等级保护分级管理，保障网络信息安全，保护患者隐私。推动系统运行维护的规范化管理，落实突发事件响应机制，保证业务的连续性。实施电子病历的医院，则应当建立电子病历的建立、记录、修改、使用、存储、传输、质控、安全等级保护等管理制度。

 Q3  网络等级保护具体包括哪些工作？

《信息安全技术网络安全等级保护实施指南》（GB/T 25058-2019）明确了网络安全等级保护实施的基本流程。各阶段的主要过程、活动、输入和输出可参考该国家标准附录A的内容。

上述流程图显示了网络安全等级保护工作的主要内容。定级备案是网络安全等级保护工作开展的首要环节，具体定级方法和定级流程可参照《信息安全技术网络安全等级保护定级指南》（GB/T 22240-2020）。定级完成后，需按照《信息安全等级保护管理办法》进行备案。

随后的“总体安全规划”、“安全设计与实施”以及“安全运行与维护”三个环节在于为不同等级保护对象设计与采取适当的安全保护措施。《网络安全法》第二十一条为网络运营者明确了选择安全保护措施的基本方向，其可参考《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）《信息安全技术网络安全等级保护安全设计技术要求》（GB/T 25070-2019）《信息安全技术网络安全等级保护实施指南》（GB/T 25058-2019）等国家标准设计和实施具体细致的网络安全保护措施。

需注意的是，网络安全保护等级存在动态变化，当等级保护对象因需求变化等原因导致局部调整而安全保护等级未改变时，应从上图中的安全运行与维护阶段返回安全设计与实施阶段，重新设计、调整和实施安全措施，以确保满足等级保护要求；当等级保护对象发生重大变更导致安全保护等级变化时，则需返回定级与备案环节，重新开始新一轮的网络安全等级保护的实施过程。

 Q4  网络安全等级保护2.0体系相较之前的1.0体系有何不同？

我国于1994年即确立计算机信息系统安全等级保护制度，并经过多年的发展形成涵盖法律、标准与政策多层次的规范体系，这一规范体系常常被称作“等保1.0”体系。以《网络安全法》和《网络安全等级保护条例（征求意见稿）》为标志，我国网络安全等级保护制度开始进入“等保2.0”时代。随着对网络安全等级保护制度的定级指南、基本要求、实施指南、测评过程指南、测评要求、设计技术要求等国家标准的修订和完善，等保2.0体系逐步建立。

总体而言，等保2.0体系存在名称、等级保护对象、定级模式、安全要求、防范要求等等内容的变化。以安全要求为例，如下表所示，《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）将原来各个级别的安全要求分为安全通用要求和安全扩展要求。安全通用要求是不管等级保护对象形态如何都必须满足的要求，而安全扩展要求是针对云计算、移动互联、物联网和工业控制系统的特殊要求。同时，还增加了附录C描述等级保护安全框架和关键技术、附录D描述云计算应用场景、附录E描述移动互联应用场景、附录F描述物联网应用场景、附录G描述工业控制系统应用场景、附录H描述大数据应用场景。

（更多内容可参考：本团队发表于律商联讯（LexisNexis）的《网络安全合规手册》）

 Q5  网络安全等级保护制度与关键信息基础设施保护制度有何不同？

关键信息基础设施亦属于等级保护对象，需落实定级备案工作。关键信息基础设施是指支撑国家关键基础设施的信息系统，其一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益，这一定义对应着安全保护等级第三级的要求。一般而言，关键信息基础设施的网络安全保护等级应不低于三级。根据《网络安全法》第二十一条，网络安全等级保护制度是一项普适性制度，适用于所有网络运营者，而关键信息基础设施保护制度则仅适用于被认定关键信息基础设施的运营者，但国家同时鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。

作者：吴丹君律师 张振君律师助理

来源：微信公众号“大数据法律研究”