專家解讀｜云霓之望，《網(wǎng)絡(luò)安全審查辦法》修訂稿的重要意義
沒有網(wǎng)絡(luò)安全就沒有國家安全，就沒有經(jīng)濟社會穩(wěn)定運行，廣大人民群眾利益也難以得到保障。如果說，有哪件事情引起了全社會對網(wǎng)絡(luò)安全的高度關(guān)注，甚至到了婦孺皆知的程度，就不能不提及2021年7月幾家互聯(lián)網(wǎng)企業(yè)受到網(wǎng)絡(luò)安全審查事件。同期，已試行三年、正式實施一年的《網(wǎng)絡(luò)安全審查辦法》開始修訂，國家互聯(lián)網(wǎng)信息辦公室發(fā)布了征求意見稿。由于其將赴國外上市納入審查范圍，在資本市場引發(fā)震動。故半年以來，圍繞網(wǎng)絡(luò)安全審查制度的討論和猜測甚多，一些人甚至將這個制度的影響上升到了中美關(guān)系、經(jīng)濟發(fā)展的層面。
而今塵埃落定。2022年1月4日，《網(wǎng)絡(luò)安全審查辦法》(以下簡稱《辦法》)修訂后正式發(fā)布，成為網(wǎng)絡(luò)安全、數(shù)據(jù)安全領(lǐng)域的一件大事。愿得長如此，年年物候新。對這一重要文件，如何理解其意義？可以從四個角度去看待。
一、順應(yīng)形勢，直面網(wǎng)絡(luò)空間重大風(fēng)險挑戰(zhàn)
當(dāng)前，世界進(jìn)入百年未有之大變局，我們在網(wǎng)絡(luò)空間面臨的風(fēng)險挑戰(zhàn)呈現(xiàn)新特點，突出表現(xiàn)為中美在網(wǎng)絡(luò)空間對抗博弈加劇。戰(zhàn)略上，美西方國家在IT高科技領(lǐng)域?qū)ξ覈范陆亍⒎怄i限制，特別是動輒對我實施斷供，一些國外企業(yè)不惜充當(dāng)反華馬前卒、兩面派，我供應(yīng)鏈安全面臨前所未有的壓力。戰(zhàn)術(shù)上，數(shù)據(jù)安全被推向國際斗爭第一線，外國政府和情報機構(gòu)加大對我數(shù)據(jù)資源的攫取。尤其是，美國國會發(fā)布《外國公司問責(zé)法》，美國證券交易委員會(SEC)據(jù)此規(guī)定中概股應(yīng)加強信息披露，其要求獲取的企業(yè)審計底稿有可能使企業(yè)掌握的敏感數(shù)據(jù)悉數(shù)流失國外。
山雨欲來，當(dāng)有金石之計。為提高網(wǎng)絡(luò)產(chǎn)品和服務(wù)的安全可控水平，防范供應(yīng)鏈安全風(fēng)險，2017年5月，國家互聯(lián)網(wǎng)信息辦公室印發(fā)了《網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全審查辦法(試行)》。2020年4月，經(jīng)試行3年后，國家互聯(lián)網(wǎng)信息辦公室正式印發(fā)《網(wǎng)絡(luò)安全審查辦法》。該辦法實施僅一年半后，官方便發(fā)布修訂稿，這正是為了應(yīng)對一年以來的形勢變化，進(jìn)一步增強對網(wǎng)絡(luò)空間重大風(fēng)險挑戰(zhàn)的防范能力。尤其是，《辦法》在列舉國家安全風(fēng)險因素時，明確指出，要評估供應(yīng)渠道的可靠性以及因為政治、外交、貿(mào)易等因素導(dǎo)致供應(yīng)中斷的風(fēng)險，以及上市存在關(guān)鍵信息基礎(chǔ)設(shè)施、核心數(shù)據(jù)、重要數(shù)據(jù)或者大量個人信息被外國政府影響、控制、惡意利用的風(fēng)險。
二、撥云見日，回應(yīng)社會廣泛關(guān)切
社會對《辦法》的熱切期盼，主要來自于對幾個重大問題的高度關(guān)注。此次《辦法》的發(fā)布，使這些問題都有了最終答案。
一是赴港上市要不要申報網(wǎng)絡(luò)安全審查？《辦法》第七條明確，文件要求申報審查的情況之一是“赴國外上市”，未提及赴香港上市。當(dāng)然，這不意味著赴港上市不用再考慮數(shù)據(jù)安全因素，而是指赴港上市不必主動申報審查。如果網(wǎng)絡(luò)安全審查機制成員單位認(rèn)為赴港上市影響或可能影響國家安全的，可以由國家網(wǎng)絡(luò)安全審查辦公室報請中央網(wǎng)信委批準(zhǔn)后進(jìn)行審查。而且，在任何情況下，企業(yè)都應(yīng)當(dāng)履行數(shù)據(jù)安全保護(hù)義務(wù)，并遵守國家關(guān)于數(shù)據(jù)出境安全管理等制度的有關(guān)規(guī)定。
二是網(wǎng)絡(luò)安全審查與數(shù)據(jù)安全審查關(guān)系是什么？《辦法》第二十二條明確，國家對數(shù)據(jù)安全審查另有規(guī)定的，應(yīng)當(dāng)同時符合其規(guī)定。國家互聯(lián)網(wǎng)信息辦公室在答記者問時指出，2021年9月1日，《數(shù)據(jù)安全法》正式施行，明確規(guī)定國家建立數(shù)據(jù)安全審查制度，網(wǎng)信辦據(jù)此對《網(wǎng)絡(luò)安全審查辦法》進(jìn)行了修訂，將網(wǎng)絡(luò)平臺運營者開展數(shù)據(jù)處理活動影響或者可能影響國家安全等情形納入網(wǎng)絡(luò)安全審查范圍，這說明，網(wǎng)絡(luò)安全審查是落實《數(shù)據(jù)安全法》的要求，是在網(wǎng)絡(luò)數(shù)據(jù)領(lǐng)域的安全審查。當(dāng)然，整個《數(shù)據(jù)安全法》的范圍更廣。
三是如何理解審查的啟動條件？此前，外界普遍認(rèn)為，某企業(yè)受到審查，是因為其已被列為關(guān)鍵信息基礎(chǔ)設(shè)施，采購的產(chǎn)品或服務(wù)可能影響國家安全。這是對網(wǎng)絡(luò)安全審查啟動條件的誤讀。事實上，除了主動申報外，還可由網(wǎng)絡(luò)安全審查工作機制成員單位提請審查(《辦法》第十六條)，或由社會舉報(《辦法》第十九條)，這與被審查對象是否屬于關(guān)鍵信息基礎(chǔ)設(shè)施、是否采購產(chǎn)品或服務(wù)、是否赴國外上市沒有必然關(guān)系。
《辦法》還回應(yīng)了社會的另一個關(guān)切：某些被審查企業(yè)被要求停止注冊新用戶，這顯然是一種防范風(fēng)險擴大的措施。那么，在審查結(jié)論還沒有作出的情況下，何時會采取此類措施呢？《辦法》第十六條明確，為了防范風(fēng)險，當(dāng)事人應(yīng)當(dāng)在審查期間按照網(wǎng)絡(luò)安全審查要求采取預(yù)防和削減風(fēng)險的措施。這說明，這類措施不是因主動申報而起，而是被審查機制成員單位發(fā)現(xiàn)威脅或風(fēng)險后，采取的應(yīng)對措施。
三、辯證統(tǒng)一，聚焦主要矛盾、支持經(jīng)濟發(fā)展
網(wǎng)絡(luò)安全審查制度有著獨特的定位，這是一種國家安全審查。為此，《辦法》著力處理好幾對關(guān)系，體現(xiàn)了辯證統(tǒng)一。
一是自主和開放的統(tǒng)一。有的人認(rèn)為，2021年7月審查幾家國內(nèi)互聯(lián)網(wǎng)企業(yè)是網(wǎng)絡(luò)安全審查制度“首次亮劍”。還有人質(zhì)疑，這個制度不是為了維護(hù)國家安全嗎，怎么專挑國內(nèi)企業(yè)“下手”？這都是錯誤的認(rèn)識。首先，網(wǎng)絡(luò)安全審查制度不區(qū)分國內(nèi)和國外，對任何產(chǎn)品和服務(wù)一視同仁，目的是防范產(chǎn)品和服務(wù)帶來的國家安全風(fēng)險——事實上，在去年7月之前，國家有關(guān)部門已經(jīng)對多家外國企業(yè)的產(chǎn)品和服務(wù)進(jìn)行了審查。其次，網(wǎng)絡(luò)安全審查制度不是為了把國外產(chǎn)品“趕出去”，而是要建立開放環(huán)境下維護(hù)國家安全的能力。即，在全球化條件下，任何國家不可能隔絕于世界之外，不可能只使用自己的產(chǎn)品和服務(wù)。那么在使用國外產(chǎn)品和服務(wù)的時候，要有能力防范其中的風(fēng)險，要安全地使用國外產(chǎn)品和服務(wù)。
二是安全與發(fā)展的統(tǒng)一。國家安全極端重要，但不能泛化，不能什么都是國家安全�！掇k法》聚焦影響國家安全的主要行為，借鑒了國際上同類審查的主要做法，考慮了近些年網(wǎng)絡(luò)空間國際對抗博弈的特征變化，有著明確的指向和定位。同時，《辦法》也顧及經(jīng)濟發(fā)展特別是數(shù)據(jù)驅(qū)動的數(shù)字經(jīng)濟發(fā)展的客觀需要，不屬于國家安全的事項、能利用常規(guī)手段(如產(chǎn)品測評認(rèn)證制度)解決的，不納入網(wǎng)絡(luò)安全審查范圍。
在處罰上，《辦法》也充分考慮了經(jīng)濟發(fā)展，體現(xiàn)了寬嚴(yán)相濟的特點。如前所述，要求停止注冊新用戶、下架App等措施，對企業(yè)影響很大，故當(dāng)企業(yè)主動申報審查時一般不采取這些措施，其適用于已經(jīng)監(jiān)測發(fā)現(xiàn)風(fēng)險的特定情況。
四、協(xié)同聯(lián)動，共同構(gòu)筑國家網(wǎng)絡(luò)安全屏障
當(dāng)前，我國正在建立“三法兩條例”為主的網(wǎng)絡(luò)安全法律法規(guī)體系。除《網(wǎng)絡(luò)安全法》于2017年6月實施外，《數(shù)據(jù)安全法》《個人信息保護(hù)法》《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》均于2021年發(fā)布和實施，《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例》2021年列入國務(wù)院立法計劃、已經(jīng)完成首輪公開征求意見。因此，《辦法》與多部法律法規(guī)同步出臺，是我國網(wǎng)絡(luò)安全法律法規(guī)體系的內(nèi)在組成部分，同其他網(wǎng)絡(luò)安全政策法規(guī)以及其他領(lǐng)域的相關(guān)政策保持了協(xié)同。文件在實施時，也將充分考慮協(xié)同聯(lián)動問題，以求整體效果。
首先，《辦法》與《國務(wù)院關(guān)于境內(nèi)企業(yè)境外發(fā)行證券和上市的管理規(guī)定》等證券行業(yè)監(jiān)管制度保持一致。后者由證監(jiān)會會同國務(wù)院有關(guān)部門研究起草，已于2021年12月公開征求意見。按該文件第八條規(guī)定，境內(nèi)企業(yè)境外發(fā)行上市的，應(yīng)當(dāng)嚴(yán)格遵守外商投資、網(wǎng)絡(luò)安全、數(shù)據(jù)安全等國家安全法律法規(guī)和有關(guān)規(guī)定，切實履行國家安全保護(hù)義務(wù)。涉及安全審查的，應(yīng)當(dāng)依法履行相關(guān)安全審查程序。
其次，《辦法》與數(shù)據(jù)安全監(jiān)管制度保持一致�！掇k法》此次修訂的主要變化，是增加了對赴國外上市的要求，這主要出于數(shù)據(jù)安全等方面的考慮。本質(zhì)上，赴國外上市是一種數(shù)據(jù)出境行為，要納入我國數(shù)據(jù)出境安全管理制度進(jìn)行管理。但如果已經(jīng)對其進(jìn)行了網(wǎng)絡(luò)安全審查，則當(dāng)然不必再重復(fù)進(jìn)行出境安全評估，相關(guān)風(fēng)險在審查中一并考慮即可。根據(jù)《辦法》精神，赴香港上市不用申報網(wǎng)絡(luò)安全審查，那么此類活動就需要直接落實我國數(shù)據(jù)出境安全管理規(guī)定。這也體現(xiàn)了我國網(wǎng)絡(luò)安全政策的嚴(yán)密性以及內(nèi)在的協(xié)同性。
有人關(guān)心，《網(wǎng)絡(luò)數(shù)據(jù)安全管理條例(征求意見稿)》曾將赴香港上市列為網(wǎng)絡(luò)安全審查對象，鑒于條例級別高于部門規(guī)章，那么今后的政策是否還會生變？這需要考慮到時間因素，目前《辦法》是最新的政策，相信有關(guān)政策法規(guī)會在這個問題上做好協(xié)調(diào)。(作者：左曉棟，中國信息安全研究院副院長)