對話人
亞太網(wǎng)絡(luò)法律研究中心主任、北京師范大學(xué)教授劉德良
中國傳媒大學(xué)教授、政治與法律學(xué)院副院長王四新
《法制日報》記者 趙 麗 實習生 周 思
對話動機
來自國家互聯(lián)網(wǎng)信息辦公室的消息稱,我國即將推出網(wǎng)絡(luò)安全審查制度。這項制度規(guī)定,關(guān)系國家安全和公共利益的系統(tǒng)使用的重要信息技術(shù)產(chǎn)品和服務(wù),應(yīng)通過網(wǎng)絡(luò)安全審查。為何要出臺此項制度?網(wǎng)絡(luò)安全的審查范圍和標準是什么?對信息產(chǎn)業(yè)和個人信息安全將產(chǎn)生哪些影響?就這些問題,《法制日報》記者與領(lǐng)域內(nèi)的專家學(xué)者展開了對話。
網(wǎng)絡(luò)治理缺乏統(tǒng)一協(xié)調(diào)
記者:今年2月,中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立,中共中央總書記、國家主席、中央軍委主席習近平擔任組長,在中央網(wǎng)信領(lǐng)導(dǎo)小組第一次會議上,習近平提出“沒有網(wǎng)絡(luò)安全就沒有國家安全”,這標志著網(wǎng)絡(luò)安全上升至國家戰(zhàn)略高度。輿論普遍認為,網(wǎng)絡(luò)安全審查制度的推出和中央對網(wǎng)絡(luò)安全的重視有著密不可分的關(guān)系。
劉德良:從國家、國際以及個人層面上說,我們都將面臨一個網(wǎng)絡(luò)時代。從國際關(guān)系的角度上來講,在互聯(lián)網(wǎng)時代,一方面要保護狹義上的國家安全,比如國防、軍事、政治、經(jīng)濟、文化等,同時在網(wǎng)絡(luò)時代的國際秩序的構(gòu)建中,我們國家不能讓自己處于被動地位。從斯諾登事件所揭露的情況看,我國在網(wǎng)絡(luò)安全上所面臨的問題也越來越嚴重。在網(wǎng)絡(luò)安全領(lǐng)域,美國無論是在技術(shù)上還是實際應(yīng)用上,都比我們領(lǐng)先很多。這都要求我國政府重新評估和認識我國網(wǎng)絡(luò)安全所面臨的威脅。
記者:國家互聯(lián)網(wǎng)信息辦公室發(fā)言人姜軍表示,近年來,我國政府部門、機構(gòu)、企業(yè)、大學(xué)及電信主干網(wǎng)絡(luò)遭受大規(guī)模的侵入、監(jiān)聽。去年6月初發(fā)生的“斯諾登事件”,為世界各國敲響了警鐘,充分印證了“沒有網(wǎng)絡(luò)安全就沒有國家安全”。
王四新:從互聯(lián)網(wǎng)進入中國開始,中國政府在大力發(fā)展網(wǎng)絡(luò)基礎(chǔ)設(shè)施的同時,也比較重視互聯(lián)網(wǎng)安全。政府制定的大量行政法規(guī)的相關(guān)規(guī)定,比如互聯(lián)網(wǎng)接入機構(gòu)有義務(wù)保證互聯(lián)網(wǎng)通訊的安全,要將重要數(shù)據(jù)保存完整記錄60天以上,供相關(guān)機關(guān)查證核實等,都體現(xiàn)了政府對網(wǎng)絡(luò)安全的重視。
同時,中國在互聯(lián)網(wǎng)安全問題上采取的措施,也存在一些需要完善的地方。比如,涉及互聯(lián)網(wǎng)的立法普遍存在立法效力層級偏低和部門分割現(xiàn)象。我們的安全措施具有明顯的局部性,互聯(lián)網(wǎng)安全缺乏頂層設(shè)計,沒有把互聯(lián)網(wǎng)安全作為一個統(tǒng)一而龐大的系統(tǒng)工程來對待。雖然互聯(lián)網(wǎng)涉及的一些安全問題在立法中有所涉及,但網(wǎng)絡(luò)治理“九龍治水”和條塊分割的職權(quán)劃分,使得操作過程中各部分之間難以統(tǒng)一和有效協(xié)調(diào),網(wǎng)絡(luò)安全也沒有上升到國家整體戰(zhàn)略的角度進行治理。
系列行動提升網(wǎng)絡(luò)安全保障
記者:雖然在過去的網(wǎng)絡(luò)治理的過程中,我們存在一些不足,但值得注意的是,在近一兩年,從中央到地方,在針對網(wǎng)絡(luò)安全的法制保障方面有了令人耳目一新的舉措。
王四新:的確是這樣。
在立法上,我們以保護個人數(shù)據(jù)安全為切入口,開始推行網(wǎng)絡(luò)實名制,目前保護個人數(shù)據(jù)也進入到了人大立法規(guī)劃里。去年,我國開始在立法層面展開針對互聯(lián)網(wǎng)信息管理立法的大量調(diào)研和論證工作。
在執(zhí)法上,去年對網(wǎng)絡(luò)散布謠言等行為采取了有針對性的措施,“兩高”為此還專門出臺了司法解釋。這都可以看作是中國重構(gòu)網(wǎng)絡(luò)秩序的努力。
現(xiàn)在要推行的網(wǎng)絡(luò)安全審查制度,就是在這個大背景下提出的。我們已意識到網(wǎng)絡(luò)安全的重要性,開始認真梳理我國網(wǎng)絡(luò)安全存在的問題,并且采取了一系列措施。實行網(wǎng)絡(luò)安全審查制度,代表著我們的網(wǎng)絡(luò)安全工作有了一個新的思路,開始從網(wǎng)絡(luò)硬件、網(wǎng)絡(luò)運營的基礎(chǔ)軟件來解決可能存在的安全問題。
記者:據(jù)了解,歐美國家針對信息安全的全鏈條建立了詳盡的審查體系。以美國為例,安全審查不僅局限于產(chǎn)品安全性能指標,還要審查產(chǎn)品的研發(fā)過程、程序、步驟、方法、產(chǎn)品的交付方法等。以往我國只是對網(wǎng)絡(luò)進行表層化管理,主要包括功能符合檢測和低層面的安全審查。目前網(wǎng)絡(luò)產(chǎn)品和服務(wù)逐漸向深層次發(fā)展,是否意味著對內(nèi)容的審查也會更加徹底和嚴格?
劉德良:我們以往對基礎(chǔ)設(shè)施的審查不夠重視。事實上,國外的網(wǎng)絡(luò)安全更強調(diào)基礎(chǔ)設(shè)施的安全。所以我國在未來對構(gòu)成網(wǎng)絡(luò)安全的產(chǎn)品和服務(wù),都應(yīng)進行審查。美國在進行具體相關(guān)網(wǎng)絡(luò)審查時,既包括產(chǎn)品的服務(wù),也包括整個產(chǎn)業(yè)鏈,還包括主體,如企業(yè)的背景。我們未來的審查應(yīng)比它更加嚴格,這既是為了保障我國的網(wǎng)絡(luò)安全,也是為了保障我國的民族產(chǎn)業(yè)。
王四新:我們需要對構(gòu)成網(wǎng)絡(luò)運轉(zhuǎn)的所有部分,包括主要的硬件設(shè)施和重要的軟件設(shè)施,從總體上進行評估、審查,需要建立全國性的統(tǒng)一的、能夠?qū)⒏鞣N產(chǎn)品、各個職能部門都統(tǒng)攝起來的平臺。這些雖然不是信息,不是觀念,不是意識形態(tài),但對意識形態(tài)安全、對整個網(wǎng)絡(luò)的平穩(wěn)運行,都具有重要決定作用。
網(wǎng)絡(luò)審查應(yīng)納入法制軌道
記者:有輿論認為,建設(shè)網(wǎng)絡(luò)安全審查制度是網(wǎng)絡(luò)安全法制保障的一項重要舉措。在保護網(wǎng)絡(luò)安全的過程中,法治在目前以及將來的作為應(yīng)該還有很大的空間。
王四新:實行網(wǎng)絡(luò)安全審查制度是告訴大家,出于對網(wǎng)絡(luò)安全的考慮,今后我們要對網(wǎng)絡(luò)產(chǎn)品進行評估和審查。但是,具體怎么操作,目前還沒有太明確的流程和太具體的要求。要想使之成為長久發(fā)揮作用的制度,就必須逐步將其納入法制軌道。
劉德良:作為法治國家的中國,站在WTO的機制上來看,要依法進行網(wǎng)絡(luò)安全的保障,就要在立法上建立相應(yīng)的保障網(wǎng)絡(luò)安全的法律制度。
以往的審查主要是針對防火墻、殺毒軟件等,沒有對硬件甚至是更底層的操作系統(tǒng)進行審查,所以未來對網(wǎng)絡(luò)安全的審查對象、范圍,審查程序以及未來的懲罰制裁的措施,要做到有法可依。
有了明確的法律依據(jù)后才能有法必依執(zhí)法必嚴,一旦違反中國法律就要進行制裁,除了要求他們退出中國市場之外,還要追究他的法律責任,如起訴,司法介入等。
我們國家要大力鼓勵技術(shù)產(chǎn)業(yè)的發(fā)展,在技術(shù)上奮發(fā)進取,從觀念和意識上要重視,建立安全的意識,公民也要有網(wǎng)絡(luò)安全的憂患意識,但這一切的根本是要以法治為根基。
鏈接 美國的網(wǎng)絡(luò)安全審查
網(wǎng)絡(luò)安全審查,就是對關(guān)系國家安全和社會穩(wěn)定信息系統(tǒng)中使用的信息技術(shù)產(chǎn)品與服務(wù)進行測試評估、監(jiān)測分析、持續(xù)監(jiān)督的過程。
2000年,美國率先在國家安全系統(tǒng)中對采購的產(chǎn)品進行安全審查,隨后陸續(xù)針對聯(lián)邦政府云計算服務(wù)、國防供應(yīng)鏈等出臺了安全審查政策,實現(xiàn)了對國家安全系統(tǒng)、國防系統(tǒng)、聯(lián)邦政府系統(tǒng)的全面覆蓋。審查對象不僅涉及產(chǎn)品和服務(wù),還會針對產(chǎn)品和服務(wù)提供商。隨后,美國等西方國家為保障國家安全、防范供應(yīng)鏈安全風險,逐步建立了多種形式的網(wǎng)絡(luò)安全審查制度,將全方位、綜合性的供應(yīng)鏈安全審查對策上升至國家戰(zhàn)略高度。
美國網(wǎng)絡(luò)安全審查標準和過程是不公開的。美國對供應(yīng)鏈安全審查的過程、標準、機制完全封閉,不披露原因和理由,不接受供應(yīng)方申訴,主要考慮對國家安全、司法和公共利益的潛在影響,且其審查沒有明確的時間限制。
美國網(wǎng)絡(luò)安全審查的內(nèi)容不局限于技術(shù)。美國聯(lián)邦政府要求,不僅要審查產(chǎn)品安全性能指標,還要審查產(chǎn)品的研發(fā)過程、程序、步驟、方法、產(chǎn)品的交付方法等,要求企業(yè)自己證明產(chǎn)品已經(jīng)達到了規(guī)定的安全強度。
美國要求被審查企業(yè)簽署網(wǎng)絡(luò)安全協(xié)議,協(xié)議通常包括:通信基礎(chǔ)設(shè)施必須位于美國境內(nèi)；通信數(shù)據(jù)、交易數(shù)據(jù)、用戶信息等僅存儲在美國境內(nèi)；若外國政府要求訪問通信數(shù)據(jù)必須獲得美國司法部、國防部、國土安全部的批準；配合美國政府對員工實施背景調(diào)查等。
