欧盟网络安全立法

① 关于电信网络关键信息基础设施保护的思考

文 华为技术有限公司中国区网络安全与用户隐私保护部 冯运波 李加赞 姚庆天

根据我国《网络安全法》及《关键信息基础设施安全保护条例》，关键信息基础设施是指“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施和信息系统”。其中，电信网络自身是关键信息基础设施，同时又为其他行业的关键信息基础设施提供网络通信和信息服务，在国家经济、科教、文化以及 社会 管理等方面起到基础性的支撑作用。电信网络是关键信息基础设施的基础设施，做好电信网络关键信息基础设施的安全保护尤为重要。

一、电信网络关键信息基础设施的范围

依据《关键信息基础设施安全保护条例》第 9条，应由通信行业主管部门结合本行业、本领域实际，制定电信行业关键信息基础设施的认定规则。

不同于其他行业的关键信息基础设施，承载话音、数据、消息的电信网络（以 CT 系统为主）与绝大多数其他行业的关键信息基础设施（以 IT 系统为主）不同，电信网络要复杂得多。电信网络会涉及移动接入网络（2G/3G/4G/5G）、固定接入网、传送网、IP 网、移动核心网、IP 多媒体子系统核心网、网管支撑网、业务支撑网等多个通信网络，任何一个网络被攻击，都会对承载在电信网上的话音或数据业务造成影响。

在电信行业关键信息基础设施认定方面，美国的《国家关键功能集》可以借鉴。2019 年 4 月，美国国土安全部下属的国家网络安全和基础设施安全局（CISA）国家风险管理中心发布了《国家关键功能集》，将影响国家关键功能划分为供应、分配、管理和连接四个领域。按此分类方式，电信网络属于连接类。

除了上述电信网络和服务外，支撑网络运营的大量 IT 支撑系统，如业务支撑系统（BSS）、网管支撑系统（OSS），也非常重要，应考虑纳入关键信息基础设施范围。例如，网管系统由于管理着电信网络的网元设备，一旦被入侵，通过网管系统可以控制核心网络，造成网络瘫痪；业务支撑系统（计费）支撑了电信网络运营，保存了用户数据，一旦被入侵，可能造成用户敏感信息泄露。

二、电信网络关键信息基础设施的保护目标和方法

电信网络是数字化浪潮的关键基础设施，扮演非常重要的角色，关系国计民生。各国政府高度重视关键基础设施安全保护，纷纷明确关键信息基础设施的保护目标。

2007 年，美国国土安全部（DHS）发布《国土安全国家战略》，首次指出面对不确定性的挑战，需要保证国家基础设施的韧性。2013 年 2 月，奥巴马签发了《改进关键基础设施网络安全行政指令》，其首要策略是改善关键基础设施的安全和韧性，并要求美国国家标准与技术研究院（NIST）制定网络安全框架。NIST 于 2018 年 4 月发布的《改进关键基础设施网络安全框架》（CSF）提出，关键基础设施保护要围绕识别、防护、检测、响应、恢复环节，建立网络安全框架，管理网络安全风险。NIST CSF围绕关键基础设施的网络韧性要求，定义了 IPDRR能力框架模型，并引用了 SP800-53 和 ISO27001 等标准。IPDRR能力框架模型包括风险识别（Identify）、安全防御（Protect）、安全检测（Detect）、安全响应（Response）和安全恢复（Recovery）五大能力，是这五个能力的首字母。2018 年 5 月，DHS 发布《网络安全战略》，将“通过加强政府网络和关键基础设施的安全性和韧性，提高国家网络安全风险管理水平”作为核心目标。

2009 年 3 月，欧盟委员会通过法案，要求保护欧洲网络安全和韧性；2016 年 6 月，欧盟议会发布“欧盟网络和信息系统安全指令”（NISDIRECTIVE），牵引欧盟各国关键基础设施国家战略设计和立法；欧盟成员国以 NIS DIRECTIVE为基础，参考欧盟网络安全局（ENISA）的建议开发国家网络安全战略。2016 年，ENISA 承接 NISDIRECTIVE，面向数字服务提供商（DSP）发布安全技术指南，定义 27 个安全技术目标（SO），该SO 系列条款和 ISO 27001/NIST CSF之间互相匹配，关键基础设施的网络韧性成为重要要求。

借鉴国际实践，我国电信网络关键信息基础设施安全保护的核心目标应该是：保证网络的可用性，确保网络不瘫痪，在受到网络攻击时，能发现和阻断攻击、快速恢复网络服务，实现网络高韧性；同时提升电信网络安全风险管理水平，确保网络数据和用户数据安全。

我国《关键信息基础设施安全保护条例》第五条和第六条规定：国家对关键信息基础设施实行重点保护，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。我国《国家网络空间安全战略》也提出，要着眼识别、防护、检测、预警、响应、处置等环节，建立实施关键信息基础设施保护制度。

参考 IPDRR 能力框架模型，建立电信网络的资产风险识别（I）、安全防护（P）、安全检测（D）、安全事件响应和处置（R）和在受攻击后的恢复（R）能力，应成为实施电信网络关键信息基础设施安全保护的方法论。参考 NIST 发布的 CSF，开展电信网络安全保护，可按照七个步骤开展。一是确定优先级和范围，确定电信网络单元的保护目标和优先级。二是定位，明确需要纳入关基保护的相关系统和资产，识别这些系统和资产面临的威胁及存在的漏洞、风险。三是根据安全现状，创建当前的安全轮廓。四是评估风险，依据整体风险管理流程或之前的风险管理活动进行风险评估。评估时，需要分析运营环境，判断是否有网络安全事件发生，并评估事件对组织的影响。五是为未来期望的安全结果创建目标安全轮廓。六是确定当期风险管理结果与期望目标之间的差距，通过分析这些差距，对其进行优先级排序，然后制定一份优先级执行行动计划以消除这些差距。七是执行行动计划，决定应该执行哪些行动以消除差距。

三、电信网络关键信息基础设施的安全风险评估

做好电信网络的安全保护，首先要全面识别电信网络所包含的资产及其面临的安全风险，根据风险制定相应的风险消减方案和保护方案。

1. 对不同的电信网络应分别进行安全风险评估

不同电信网络的结构、功能、采用的技术差异很大，面临的安全风险也不一样。例如，光传送网与 5G 核心网（5G Core）所面临的安全风险有显著差异。光传送网设备是数据链路层设备，转发用户面数据流量，设备分散部署，从用户面很难攻击到传送网设备，面临的安全风险主要来自管理面；而5G 核心网是 5G 网络的神经中枢，在云化基础设施上集中部署，由于 5G 网络能力开放，不仅有来自管理面的风险，也有来自互联网的风险，一旦被渗透攻击，影响面极大。再如，5G 无线接入网（5GRAN）和 5G Core 所面临的安全风险也存在显著差异。5G RAN 面临的风险主要来自物理接口攻击、无线空口干扰、伪基站及管理面，从现网运维实践来看，RAN 被渗透的攻击的案例极其罕见，风险相对较小。5G Core 的云化、IT 化、服务化（SBA）架构，传统的 IT 系统的风险也引入到电信网络；网络能力开放、用户端口功能（UPF）下沉到边缘等，导致接口增多，暴露面扩大，因此，5G Core 所面临的安全风险客观上高于 5G RAN。在电信网络的范围确定后，运营商应按照不同的网络单元，全面做好每个网络单元的安全风险评估。

2. 做好电信网络三个平面的安全风险评估

电信网络分为三个平面：控制面、管理面和用户面，对电信网络的安全风险评估，应从三个平面分别入手，分析可能存在的安全风险。

控制面网元之间的通信依赖信令协议，信令协议也存在安全风险。以七号信令（SS7）为例，全球移动通信系统协会（GSMA）在 2015 年公布了存在 SS7 信令存在漏洞，可能导致任意用户非法位置查询、短信窃取、通话窃听；如果信令网关解析信令有问题，外部攻击者可以直接中断关键核心网元。例如，5G 的 UPF 下沉到边缘园区后，由于 UPF 所处的物理环境不可控，若 UPF 被渗透，则存在通过UPF 的 N4 口攻击核心网的风险。

电信网络的管理面风险在三个平面中的风险是最高的。例如，欧盟将 5G 管理面管理和编排（MANO）风险列为最高等级。全球电信网络安全事件显示，电信网络被攻击的实际案例主要是通过攻击管理面实现的。虽然运营商在管理面部署了统一安全管理平台解决方案（4A）、堡垒机、安全运营系统（SOC）、多因素认证等安全防护措施，但是，在通信网安全防护检查中，经常会发现管理面安全域划分不合理、管控策略不严，安全防护措施不到位、远程接入 VPN 设备及 4A 系统存在漏洞等现象，导致管理面的系统容易被渗透。

电信网络的用户面传输用户通信数据，电信网元一般只转发用户面通信内容，不解析、不存储用户数据，在做好终端和互联网接口防护的情况下，安全风险相对可控。用户面主要存在的安全风险包括：用户面信息若未加密，在网络传输过程中可能被窃听；海量用户终端接入可能导致用户面流量分布式拒绝服务攻击（DDoS）；用户面传输的内容可能存在恶意信息，例如恶意软件、电信诈骗信息等；电信网络设备用户面接口可能遭受来自互联网的攻击等。

3. 做好内外部接口的安全风险评估

在开展电信网络安全风险评估时，应从端到端的视角分析网络存在的外部接口和网元之间内部接口的风险，尤其是重点做好外部接口风险评估。以 5G 核心网为例，5G 核心网存在如下外部接口：与 UE 之间的 N1 接口，与基站之间的 N2 接口、与UPF 之间的 N4 接口、与互联网之间的 N6 接口等，还有漫游接口、能力开放接口、管理面接口等。每个接口连接不同的安全域，存在不同风险。根据3GPP 协议标准定义，在 5G 非独立组网（NSA）中，当用户漫游到其他网络时，该用户的鉴权、认证、位置登记，需要在漫游网络与归属网络之间传递。漫游边界接口用于运营商之间互联互通，需要经过公网传输。因此，这些漫游接口均为可访问的公网接口，而这些接口所使用的协议没有定义认证、加密、完整性保护机制。

4. 做好虚拟化/容器环境的安全风险评估

移动核心网已经云化，云化架构相比传统架构，引入了通用硬件，将网络功能运行在虚拟环境/容器环境中，为运营商带来低成本的网络和业务的快速部署。虚拟化使近端物理接触的攻击变得更加困难，并简化了攻击下的灾难隔离和灾难恢复。网络功能虚拟化（NFV）环境面临传统网络未遇到过的新的安全威胁，包括物理资源共享打破物理边界、虚拟化层大量采用开源和第三方软件引入大量开源漏洞和风险、分层多厂商集成导致安全定责与安全策略协同更加困难、传统安全静态配置策略无自动调整能力导致无法应对迁移扩容等场景。云化环境中网元可能面临的典型安全风险包括：通过虚拟网络窃听或篡改应用层通信内容，攻击虚拟存储，非法访问应用层的用户数据，篡改镜像，虚拟机（VM）之间攻击、通过网络功能虚拟化基础设施（NFVI）非法攻击 VM，导致业务不可用等。

5. 做好暴露面资产的安全风险评估

电信网络规模大，涉及的网元多，但是，哪些是互联网暴露面资产，应首先做好梳理。例如，5G网络中，5G 基站（gNB）、UPF、安全电子支付协议（SEPP）、应用功能（AF）、网络开放功能（NEF）等网元存在与非可信域设备之间的接口，应被视为暴露面资产。暴露面设备容易成为入侵网络的突破口，因此，需重点做好暴露面资产的风险评估和安全加固。

四、对运营商加强电信网络关键信息基础设施安全保护的建议

参考国际上通行的 IPDRR 方法，运营商应根据场景化安全风险，按照事前、事中、事后三个阶段，构建电信网络安全防护能力，实现网络高韧性、数据高安全性。

1. 构建电信网络资产、风险识别能力

建设电信网络资产风险管理系统，统一识别和管理电信网络所有的硬件、平台软件、虚拟 VNF网元、安全关键设备及软件版本，定期开展资产和风险扫描，实现资产和风险可视化。安全关键功能设备是实施网络监管和控制的关键网元，例如，MANO、虚拟化编排器、运维管理接入堡垒机、位于安全域边界的防火墙、活动目录（AD）域控服务器、运维 VPN 接入网关、审计和监控系统等。安全关键功能设备一旦被非法入侵，对电信网络的影响极大，因此，应做好对安全关键功能设备资产的识别和并加强技术管控。

2. 建立网络纵深安全防护体系

一是通过划分网络安全域，实现电信网络分层分域的纵深安全防护。可以将电信网络用户面、控制面的系统划分为非信任区、半信任区、信任区三大类安全区域；管理面的网络管理安全域（NMS），其安全信任等级是整个网络中最高的。互联网第三方应用属于非信任区；对外暴露的网元（如 5G 的 NEF、UPF）等放在半信任区，核心网控制类网元如接入和移动管理功能（AMF）等和存放用户认证鉴权网络数据的网元如归属签约用户服务器（HSS）、统一数据管理（UDM）等放在信任区进行保护，并对用户认证鉴权网络数据进行加密等特别的防护。二是加强电信网络对外边界安全防护，包括互联网边界、承载网边界，基于对边界的安全风险分析，构建不同的防护方案，部署防火墙、入侵防御系统（IPS）、抗DDoS 攻击、信令防护、全流量监测（NTA）等安全防护设备。三是采用防火墙、虚拟防火墙、IPS、虚拟数据中心（VDC）/虚拟私有网络（VPC）隔离，例如通过防火墙（Firewall）可限制大部分非法的网络访问，IPS 可以基于流量分析发现网络攻击行为并进行阻断，VDC 可以实现云内物理资源级别的隔离，VPC 可以实现虚拟化层级别的隔离。四是在同一个安全域内，采用虚拟局域网（VLAN）、微分段、VPC 隔离，实现网元访问权限最小化控制，防止同一安全域内的横向移动攻击。五是基于网元间通信矩阵白名单，在电信网络安全域边界、安全域内实现精细化的异常流量监控、访问控制等。

3. 构建全面威胁监测能力

在电信网络外部边界、安全域边界、安全域内部署网络层威胁感知能力，通过部署深度报文检测（DPI）类设备，基于网络流量分析发现网络攻击行为。基于设备商的网元内生安全检测能力，构建操作系统（OS）入侵、虚拟化逃逸、网元业务面异常检测、网元运维面异常检测等安全风险检测能力。基于流量监测、网元内生安全组件监测、采集电信网元日志分析等多种方式，构建全面威胁安全态势感知平台，及时发现各类安全威胁、安全事件和异常行为。

4. 加强电信网络管理面安全风险管控

管理面的风险最高，应重点防护。针对电信网络管理面的风险，应做好管理面网络隔离、运维终端的安全管控、管理员登录设备的多因素认证和权限控制、运维操作的安全审计等，防止越权访问，防止从管理面入侵电信网络，保护用户数据安全。

5. 构建智能化、自动化的安全事件响应和恢复能力

在网络级纵深安全防护体系基础上，建立安全运营管控平台，对边界防护、域间防护、访问控制列表（ACL）、微分段、VPC 等安全访问控制策略实施统一编排，基于流量、网元日志及网元内生组件上报的安全事件开展大数据分析，及时发现入侵行为，并能对攻击行为自动化响应。

（本文刊登于《中国信息安全》杂志2021年第11期）

② 电子商务立法中数据保护的解读

电子商务立法中数据保护的解读

备受外界期待的电子商务法草案正在征求意见中，关于近期热议的个人信息如何保护问题，电子商务法被寄予厚望。

电子商务中的消费者数据保护问题，是电子商务发展中的核心法律问题。这一问题一直得到中国立法与司法部门的高度关注。

在2013年修订的《消费者权益保护法》第14条中，明确规定：“消费者享有个人信息得到保护的权利。”

该法第29条则更加具体地规定：“经营者收集、使用消费者个人信息，应当遵循合法、正当、必要的原则，明示收集、使用信息的目的、方式和范围，并经消费者同意。经营者收集、使用消费者个人信息，应当公开其收集、使用规则，不得违反法律、法规的规定和双方的约定收集、使用信息。经营者及其工作人员对收集的消费者个人信息必须严格保密，不得泄露、出售或者非法向他人提供。经营者应当采取技术措施和其他必要措施，确保信息安全，防止消费者个人信息泄露、丢失。在发生或者可能发生信息泄露、丢失的情况时，应当立即采取补救措施。经营者未经消费者同意或者请求，或者消费者明确表示拒绝的，不得向其发送商业性信息。”

中国的《消费者权益保护法》的上述规定，为网络交易中的消费者数据保护问题，提供了基本的法律依据。由工商总局组织草拟的“消费者权益保护法实施条例”(目前该法律草案正处于征求意见阶段)，对如何保护消费者的个人信息，在该草案的第20到22条中，设置了更加具体而且具有可操作性的法律规则。根据相关的立法计划，该条例将在不久的将来由国务院颁布。这一条例的颁布，也将对网络交易中的消费者数据保护问题，起到非常积极的作用。

不仅只是上述法律、法规，关注了消费者数据保护问题，中国的诸多部门规章以及最高法院颁布的司法解释，都或多或少地涉及到个人信息保护问题。由于中国目前还没有一部统一的“个人信息保护法”，因此如何协调这些由不同的部门所颁布，具有不同的法律效力等级，涉及不同领域的法律规范，是一个相当大的挑战。

正是在这样的情况下，目前正在制定的“电子商务法”草案中，对网络交易中的消费者数据保护问题，给予了高度关注。由于拟制定的电子商务法具有较高的效力等级，以及对相关问题的规定比较详尽，所以这一法律中关于消费者数据保护的规定，有望成为中国法律体系涉及网络交易中消费者数据保护的，基础性、框架性的规定。

在此笔者以这一法律的草案为基础，简要地梳理一下，这一立法中处理消费者数据保护问题的基本思路。需要强调的是，这一法律的草案目前仍然处于征求意见之中，因此这里的介绍并不代表其最终的形态。

电子商务法草案在“关于电子商务交易保障”的第四章，专门设置了一节的内容，规定电子商务数据信息的相关问题。这一节主要涉及以下几个方面的问题。

第一，关于消费者数据保护的基本法律制度构架。

关于信息保护问题，中国的法学界一直在隐私权保护与建立一个独立类型的个人信息权，这两种模式的选择问题上进行深入讨论。草案拟采取后一种方案，明确规定“电子商务消费者享有对其个人信息自主决定的权利。”这主要是考虑到现代信息技术的发展，以及数据保护的需求，已经超出了通过传统民法的隐私权保护的限度。个人信息权，作为一种私权性质的主观权利、民事权利，如果能够在立法层面上确定下来，能够最大限度地满足消费者数据保护的需求。

第二，如何界定电子商务消费者个人信息的范围。

草案中将其界定为：信息收集人在电子商务活动中收集的姓名、身份证件号码、住址、联系方式、位置信息、交易记录、支付记录、快递物流记录等能够单独或者与其他信息结合识别特定消费者身份的信息。这是一种结合了“具体列举”与“概括描述”相结合的，关于个人信息范围的界定方法，其重点在于“可识别性”要素。通过这个要素，试图将个人信息，与作为电子商务企业重要的资产形态的大数据区分开来。后者也可能建立在相关的个人信息的集合的基础之上，但经过了严格的匿名化的处理，在不对个人信息权构成侵害的前提下，可以进行商业化的利用。但必须确保，这种匿名化的过程必须是不可逆的，这一才能够确保不会导致对消费者个人信息的侵害。

第三，关于电子商务消费者个人信息的收集原则。

草案原则上要求，信息收集人收集电子商务消费者个人信息，应当遵循合法、必要、正当原则，事先告知消费者信息收集、处理和利用的规则，并征得消费者的同意。需要强调的是，关于这里的同意应该理解为是明示同意，也就是将缺省状态设置为不同意，但消费者可以明确选择同意(opt in)，而非将缺省状态设置为同意，允许消费者另行选择不同意(opt out)。为了限制经营者在这一问题上通过格式条款等方法，侵犯消费者实质性的选择权，草案还规定，信息收集人不得以拒绝为消费者提供服务为由强迫消费者同意其收集、处理、利用个人信息。这一规定的目的在于，结合信息数据收集上的必要性原则，限制经营者滥用其在合同缔结方面的优势地位。

草案还规定，禁止采用非法交易、非法入侵、欺诈、胁迫或者其他未经消费者授权的手段收集个人信息。信息收集人修改个人信息收集、处理、利用规则的，应当取得消费者的同意。消费者不同意的，信息收集人应当提供相应的救济方法。

第四，关于电子商务消费者个人信息的查询、更正和补充，体现了消费者对于个人信息的.支配权能。

草案规定，电子商务消费者有权查询与本人有关的个人信息。信息收集人收到消费者查询请求的，应当在核实身份后及时提供查询结果。电子商务消费者对错误信息提出更正补充请求的，信息收集人应当及时更正补充。

第五，关于电子商务消费者个人信息的处理和利用问题。

这一问题受到高度关注。必须在与数据利用相关的商业利益与个人信息保护，这二者之间寻求最完美的均衡。总的来说，电子商务法草案中的相关思路是，以保护消费者作为基本的出发点。电子商务消费者对个人信息的处理和利用应当符合消费者同意的处理、利用规则。信息收集人处理、利用个人信息的行为可能侵害消费者合法权益的，消费者有权请求信息收集人中止相关行为。信息收集人变更收集信息时约定的处理、利用的目的、方式和范围的，应当告知消费者，并征得消费者的明示同意。法定或者约定保存期限届满，信息收集人应当主动或者按照消费者的请求删除、停止处理、利用或者销毁相关个人信息。需要强调的是，这里提到的请求删除，不能完全等同于欧盟法意义上的被遗忘权。关于这一权利，中国学者有比较多的讨论，大多数意见认为，应该予以慎重对待。

第六，关于电子商务消费者个人信息安全问题。

草案规定，信息收集人应当建立健全内部控制制度，并采取必要措施防止信息泄露、丢失、毁损，确保消费者个人信息安全。在发生或者可能发生消费者个人信息泄露、丢失、毁损时，信息收集人应当向相关部门报告、采取补救措施，并及时告知消费者。欧盟不久前刚刚通过网络安全相关的法案。而中国的立法机构正在制定“网络安全法”。

网络安全中的重要内容就是消费者个人信息安全问题。互联网世界中已经发生多起大规模的个人信息泄露的事件，造成非常巨大的负面影响。因此中国的电子商务法草案对于从事电子商务经营活动的主体，课加了特别的信息安全保障义务。这是完全合理的，而且也是必要的。

第七，关于网络经营主体的数据信息提供问题。

由于网络交易在社会经济生活中占据越来越重要的地位，政府主管部门落实管理和监管措施，往往要依赖于电子商务经营者的配合。而这种配合在很多时候表现为，提供相关的数据信息。从政府的角度来看，这一要求是合理的，而且也是必要的。但从电子商务经营者来看，则存在一定的风险，因为经营者对消费者的个人信息附有相应的义务，如果提供给政府的相关数据发生泄露或不当使用，将直接导致经营者承担法律责任。为了平衡二者的需求，电子商务法草案规定电子商务管理部门应当依法要求电子商务经营主体提供电子商务数据信息，并采取必要措施保护相关数据信息的安全。因电子商务管理部门的过错导致数据信息泄露、丢失、毁损，侵害当事人合法权益的，电子商务管理部门应当依法承担损害赔偿责任。

关于这一问题，因为涉及企业的公法上的义务与私法上的义务的交叉影响，同时也与政府相关执法部门存在密切联系，因此如何合理界定其范围，平衡不同的诉求，还处于热烈的讨论之中。

第八，关于公共数据信息的公开共享问题。

中国电子商务的持续、健康发展，离不开政府相关部门的配合。这些配合中的最重要的内容，就是国家要采取有效措施，来推动公共数据信息公开共享机制。借助于数据共享，可以极大地提高交易效率，降低交易成本和法律风险，保障电子商务交易的真实性、可靠性和安全性。为了推动这一目标的实现，草案设置了专门的条文做出原则性的规定。但如何具体落实，必然要借助于进一步的实施细则的规定。

总的来说，中国的立法者，司法者以及相应的政府管理机构，都高度重视网络交易中的消费者数据保护问题。如果电子商务法能够顺利颁布实施，其中关于电子商务数据信息的相对完整和全面的规定，将非常有助于中国法律体制中关于数据保护的法律制度的进一步完善。

;

③ 谁能给我介绍各国关于网络的相关规定

网络传播的负面影响，已经引起各国各界的广泛关注。人们越来越意识到，进入网络时代以后，一方面，过去在现实空间中遇到的各种道德和法律问题，不可避免地会反映到网络空间中来；另一方面，网络空间又产生了许多现实空间中没有过的新的道德和法律问题。因此，各国政府都高度重视网络管理，陆续颁布了一系列有关计算机网络的法律法规。 美国是世界上互联网络最为发达的国家。早在1978年8月，美国佛罗里达州就率先通过了《佛罗里达计算机犯罪法》。该法规涉及了侵犯知识产权、侵犯计算机装置和设备、侵犯计算机用户权益等问题，并作出了种种规定。随后，美国共有47个州相继颁布了计算机犯罪法。1984年，美国国会通过了《联邦禁止利用电子计算机犯罪法》。1987年，国会通过一项方案，批准成立国家计算机安全技术中心，并制定了《计算机安全法》。美众院司法委员会要求，色情邮件须加标注，使得用户可以不打开邮件直接将邮件删除；因特网接入服务提供商可以起诉滥发垃圾邮件者，并提出索赔要求。1996年2月，美国总统签署了国会通过的《通讯净化法》，明确规定互联网不得向未成年人传播有伤风化的文字及图像。这一法案尽管受到健康舆论的广泛支持，但却遭到美国公民自由联盟、出版界（包括网上刊物出版界）和电脑界一些组织的反对，声称它违反了关于言论自由的宪法修正案，从而引起了一场诉讼。1997年美国最高法院判定这一法案违宪，使它终于未能实行。不过2000年4月美国贸易委员会制定的《儿童网上保护法》却得到了实施。该法规定商业网站收集年龄在13岁以下少年的个人信息以及这些未成年人进入网上聊天室时必须得到其父母的同意。① 在德国，政府明确表示不能让互联网成为传播色情和宣扬新纳粹思想的场所，强调要防止互联网络受到“污染”，要求经营联网业务的企业承担义务，使青少年免受不良信息的危害。1997年8月，德国制订的《信息和通讯服务法》（即《多媒体法》）正式实施。这是世界上第一部对互联网空间的行为实施全面的法律规范的专门立法，法案确立了传播自由和责任并重的原则。该法关于网络服务商的责任提到了三点：1.对自己提供的网上信息内容负全部责任；2.对网上提供来自他人的内容只是在一定条件下才负有责任；3.对于仅仅提供了进入通道的网上信息不负责任.。一般认为它将对世界各国的相关立法会产生重要影响。 英国在1996年以前主要依据《黄色出版物法》、《青少年保护法》、《录像制品法》、《禁止泛用电脑法》和《刑事司法与公共秩序修正法》惩处利用电脑和互联网络进行犯罪的行为。1996年9月23日，英国政府颁布了第一个网络监管行业性法规《3R安全规则》。“3R”指的是分级认定、举报告发、承担责任。1999年英国政府公布了《电子通信法案》的征求意见稿。这一草案酝酿已久，其主要目的是为促进英国电子商务发展，并为社会各界树立对电子商务的信心提供法律上的保证。英国广播电视的主管机关--独立电视委员会（ITC）宣称，依照英国1990年的《广播法》，它有权对互联网上的电视节目以及包含静止或活动图象的广告进行管理，但它目前并不打算直接行使其对互联网的管理权力，而是致力于指导和协助网络行业建立一种自我管理的机制。 新加坡政府在1996年3月颁布了有关网络的管理条例，要求提供联网服务的公司对进入网络的信息内容进行监督，以防止传播色情和容易引发宗教及政治动荡的信息。1996年7月，新加坡广播管理局依法对互联网络实行管制，宣布实施分类许可证制度，以便鼓励正当使用互联网络，促进其在新加坡的健康发展，保护网络用户、尤其是年轻人免受非法和不健康信息传播的侵害。 在韩国，为了加强对信息通信网的管理，政府的情报通信部2001年出台了《关于保护个人信息和确立健全的信息通信秩序》的法规。这一法规明确规定个人信息管理者的权限和责任，对向第三者泄漏个人信息者将予以重罚。与此同时，这一法规还将加强对淫秽、暴力、犯罪等非法信息流通的管理。 由于网络传播的国际性，各国政府越来越意识到，要有效地规范网上行为、尤其是打击网络犯罪，单靠一国立法是远远不够的。各国执法部门在工作中遇到的许多挑战，只有通过国际条约来解决。为此，欧盟委员会曾于1996年10月通过了《互联网有害和违法信息通信》和《在新的电子信息服务环境中保护未成年人和人的尊严》绿皮书。绿皮书中规定网络主机服务商和检索服务商应该对其主机和服务器上的违法和有害信息承担法律责任。欧盟委员会还建议对互联网信息建立评级制度，鼓励开发和采用过滤软件和评级系统，鼓励网民报告违法和有害网址。从1998年起，泛欧组织欧洲委员会决定由欧洲犯罪问题委员会下属的网络空间犯罪专家委员会负责起草《网络犯罪公约》草案，美国也参与了起草。这是国际社会第一个正在草拟的有关计算机系统、网络或数据的犯罪行为的多边协定。人们预期它会带来在网络管理方面更多的国际合作。 回顾历史，人类的传播活动和新闻事业，总是随着传播技术的进步、传播方式的更新而不断发展的。而新的传播技术和传播方式往往是把双刃剑，既能带来新的飞跃也会带来新的挑战。世纪之交兴起的互联网络的情况也是如此。相信经过世界各国政府、组织和进步人类的共同努力，互联网事业也必定能兴利除弊，把人类的传播活动和世界新闻事业带进一个全新的时代。 http://www.cmic.zju.e.cn/cmkj/web-wgxws/9/5/2.html 互联网络的迅猛发展，给人类的信息交流和新闻传播提供了极大的便利，产生了广泛的影响。但是它的发展也带来某些负面后果，出现了一些新的问题。其中最为突出的有： 首先，由于网络传播具有开放性，任何人都可以在没有检查控制的情况下在网上传播信息，因而为有害信息的传播带来极大的方便。特别在一些非正规的网站网页或个人传播活动中，各种信息泥沙俱下，良莠混杂。散布虚假消息、谣言传闻者有之，宣扬迷信、传播邪教者有之，煽动民族仇恨、助长种族歧视者有之，这些都会危害社会稳定和发展。资料显示，世界各种邪教组织如日本的奥姆真理教、意大利的末世派等都设有网站，法**组织在全球25个国家都设有网站，光在美国就拥有八十多个网站，还有13种语言版本。至于传统媒介上常见的色情内容更是网络天地间挥之不去的有害气体。据卡内基-梅隆大学一个专家组在1995年的调查报告称，在美国多数家庭电脑连通的网络中，有85%带有不同程度色情内容的图片、文章和录像，电子公告板储存的数据图像有五分之四含有淫秽内容。这些都严重污染着社会风气，对青少年成长更有极为不利的影响。 其次，网络传播具有很强的自由度，发布的言论不易查究责任，因而很容易出现侵害他人权利的行为。在网上散布流言蜚语、造谣诽谤他人，损害别人的名誉权，侵犯他人的隐私权，这些现象时有所见。也有的故意在网上制造舆论，伤害法人或自然人的信誉，为不正当的商业竞争或政治斗争服务。另外，网络服务商为了管理或个性化服务的需要，一般都要求消费者登记自己的有关情况，这里也往往存在收集和使用不当的问题，造成对个人隐私的侵犯。 第三，由于网络空间的虚拟性，网上行为不象现实世界中那样可触可摸、有据可查，因而也为某些刑事犯罪带来了可乘之隙。通过网络诈骗钱财、从事毒品交易、密谋恐怖活动、甚至为卖淫嫖娼牵线，诸如此类的犯罪活动并不罕见。也有些计算机高手，通过网络窃取商业机密、政治军事情报。还有一些出于种种目的蓄意攻击破坏网络的“黑客”，严重威胁着计算机的安全。据美国军方一份报告透露，1999年五角大楼计算机网络受到“黑客”攻击达25万次之多，其中60%达到了目的。2000年2月7-9日，由美国开始的一起严重的黑客袭击事件，包括Yahoo！（雅虎）、ebay.com（电子港湾）、amazon.com（亚马逊网上书店）、CNN（美国有线电视新闻网）在内的8家世界著名网站遭到有组织的猛烈攻击，网站运作瘫痪数小时，震惊了全世界。 http://www.cmic.zju.e.cn/cmkj/web-wgxws/9/5/1.html 中国网址导航 www.pronoti.com

④ 国外的网络安全法律法规对我们有何启示

在实践上，应加强公私部门合作，加大网络安全保障力度。
可借鉴英国、欧盟等的做法。
成立网络犯罪中心，科学合理地划分各个部门的职责；建立情报事务处理部门，负责网络安全威胁信息的搜集与研判；建立网络安全国际合作部门，负责加强国际网络安全合作。
加强公私部门之间的联动机制，发挥公私部门的优势。引导私营部门成立网络安全小组或协会，加强业内之间、业内与政府之间的网络安全威胁信息共享与沟通，提升应对网络威胁和攻击的能力；同时可加强产学研和政企合作，通过企业与高校合作、政府与企业合作、政府与高校合作等多方机制，培养高学历、高水平的网络安全人才。
一、关键信息基础设施的运营者还应当履行下列安全保护义务：
1.设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；
2.定期对从业人员进行网络安全教育、技术培训和技能考核；
3.对重要系统和数据库进行容灾备份；
4.制定网络安全事件应急预案，并定期进行演练；
5.法律、行政法规规定的其他义务。
二、网络安全法下列用语的含义：
1.网络，是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。
2.网络安全，是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。
3.网络运营者，是指网络的所有者、管理者和网络服务提供者。
4.网络数据，是指通过网络收集、存储、传输、处理和产生的各种电子数据。
5.个人信息，是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。
法律依据：《中华人民共和国网络安全法》
第二十五条 网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。
第二十六条 开展网络安全认证、检测、风险评估等活动，向社会发布系统漏洞、计算机病毒、网络攻击、网络侵入等网络安全信息，应当遵守国家有关规定。
第二十七条任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具；明知他人从事危害网络安全的活动的，不得为其提供技术支持、广告推广、支付结算等帮助。

⑤ 欧盟立法强化数字监管，数字市场法有何作用

欧盟正通过立法等手段加强对社交媒体、电子商务平台等网络平台的监管，以保护和支持自身数字产业的发展，维护自身的数字主权。相信欧盟正在制定的相关立法将有助于遏制不正当竞争，规范欧洲数字市场秩序。

与过去相比，这两个法案提出的新规在监管和制裁的方式和力度上都有很大不同。中欧数字协会理事长克劳迪娅·维诺蒂表示，未来欧盟将采取事前监管来解决恶性竞争问题，而不是像过去那样事后起诉和制裁，这将迫使大型互联网平台提前采取行动。此外，新出台的两项议案采取不对称规则，对大型科技企业和中小科技企业采取不同的监管标准，因此大型科技企业将面临更严厉的审查和更多的处罚。由于欧洲本土科技企业大多规模较小，欧盟此举有利于保护和支持本国数字产业的发展。

⑥ 法律如何保护网络隐私

从民法到刑法多层次保护，尽快制定专门法规
“网络隐私权保护是隐私权在网络环境中的延伸，对网络隐私权的维护，既有传统隐私权的普遍性，同时也要充分体现网络的特性。”柳经纬认为，“从我国立法来看，立法对传统隐私权的保护是多层次的。首先是宪法层面的保护，如宪法第40条对公民通信自由和通信秘密的保护；其次是民法层面的保护，这方面主要有两部法律，一部是民法通则，另一部是去年刚刚颁布的侵权责任法。后者第36条规定，网络用户、网络服务提供者利用网络侵害他人民事权益的，应当承担侵权责任。”
在刑事立法方面，北京师范大学刑事法律科学研究院教授吴宗宪在人民网访谈时指出，侵犯公民网络隐私权有可能构成非法获取公民个人信息罪，以及侵犯通信自由罪等。比如非法侵入他人的计算机信息，有可能会涉及非法获取公民个人信息罪，攻击他人的电子邮件系统也有可能涉及侵犯通信自由罪。
在网络服务提供者责任方面，柳经纬指出，根据侵权责任法第36条规定，网络用户利用网络服务实施侵权行为的，被侵权人有权通知网络服务提供者采取删除、屏蔽、断开链接等必要措施。网络服务提供者接到通知后未及时采取必要措施的，对损害的扩大部分与该网络用户承担连带责任；网络服务提供者知道网络用户利用其网络服务侵害他人民事权益，未采取必要措施的，与该网络用户承担连带责任。
值得注意的是，“我国在立法保障、政府监管等方面，对网络侵权行为虽然进行了规范和落实，但还需要根据网络技术的发展和隐私权侵犯的新特点，进行不断的创新和完善，尤其在网络运营商自律方面，我国目前还没有出台具体的自律规范和协调机制。”张新宝教授指出。
对于网络隐私的立法保护，相关专家认为，应在考虑本国国情，比较考察世界先进国家有关网络隐私权法律保护模式的基础上，从中吸取可行的经验措施，形成我国网络隐私权立法的一般方式和原则。具体来说，首先应从法律上明确隐私权作为一项独立的民事权利的地位，进而尽快制定隐私权保护法，加强对传统隐私权的法律保护；另外，还应重视对信息时代网络隐私权的调整，尽快制定保护网络隐私权的专门法规，建立一套完整的网络隐私权保护的法律法规体系，进一步加强个人网络隐私权的法律保护，为网络电子产业的发展开辟一条更为坦荡的道路。

国外建立的一些网络隐私保护法案：

1、美国颁布《电子通讯隐私法案》
美国是互联网技术和电子商务最发达的国家之一，比较重视个人隐私权的法律保护。2000年4月21日，美国联邦贸易委员会制定了美国第一部网络隐私法――《儿童在线隐私保护法》。
到目前为止，美国并没有一部综合性法典为个人信息的隐私权提供保护，但是宪法、联邦和州政府制定的各种类型的隐私和安全条例，都足以承担起保护个人信息的重任。其中，最为重要的是1986年颁布的《电子通讯隐私法案》。它规定了通过截获、访问或泄露保存的通信信息侵害个人隐私权的情况、例外及责任，禁止“向公众提供电子通信服务”的供应商将服务过程中产生的通讯内容提供给任何未经批准的实体。

2、欧盟建构完备的法律框架
欧盟在隐私保护的立法方面一直走在世界前列，尤其是网络环境保护下的隐私保护立法。1995年制定的《欧盟隐私保护指令》是网络隐私权保护的重要法规，对网络环境下的隐私保护做了较为全面、系统的规定。此后，欧盟颁布了《电子通讯资料保护指令》和《欧洲电子商务行动方案》。欧盟通过上述一系列法规和指令，建构起了一套完备的网络隐私权保护的法律框架，为用户、网络服务商、政府等提供了清晰可循的原则。
另外，与欧盟成员国有特殊关系的国际组织，如经济合作与发展组织（OECD）等也非常重视对网络隐私权，特别是针对个人数据资料的保护。

3、日本提出隐私保护五原则
20世纪80年代，日本成立了“私生活保护研究会”，对网络隐私权保护问题进行研究，并于1982年9月制定了《个人数据信息处理中隐私保护对策》，提出了隐私保护应遵循的五项基本原则，即：限制利用材料原则、限制收集原则、个人参与原则、责任明确原则、正确管理原则。此外，1998年，日本还通过了规制公共机构的《有关行政机关保有的与计算机处理有关的个人信息保护的法律》。

⑦ 网络安全法的颁布,对你的网络生活有了哪些积极影响

您好，
出台《网络安全法》，可以补上我国参与国际网络安全治理的短板。
我国的网络安全法制化水平和西方发达国家相比还较为落后，限制了我国与其他国家的网络安全合作和参与国际网络空间安全治理。很多国家的政府和行业组织在评估网络安全状况时，都明确指出中国缺乏明确的法律规定和保护能力，因此都不愿意和中国政策对等合作交流，限制中国代表参与相关的规则制定。
特别是在隐私保护、数据跨境和个人信息安全领域等关键网络空间国际规则制定的领域，对中国一直或明或暗的排斥。如美欧发布了新的《隐私盾》协议，规定美欧之间加入协议的企业可以自由的传输数据。但这些国家却不愿意跟中国签署类似的数据跨境传输协议，认为中国没有法律保障，不能对数据进行严格保护。因此，中国的数据可以向外流通到美欧，但是很多在欧美经营的中国企业，却不能将相关的数据传回中国。这不仅提高了企业经验成本，同时也对我国的国家主权是一种损害。《网络安全法》的发布和实施，可以有效提高网络安全保护水平，让我国能够有底气更主动、更积极的参与相应的国际规则制定。
其次，出台《网络安全法》将会激发广大发展中国家提高网络安全保护的动力。
与发达国家积极立法应对网络安全威胁相反，广大的发展中国家在应对网络安全威胁挑战上缺乏有效的治理手段和防御能力。我国《网络安全法》的出发点和所要应对的问题与很多发展中国家相似，有共同的理解基础。《网络安全法》制定和颁布，为发展中国家探索网络安全治理做出了良好的示范作用，法理制定过程中的经验可以被发展中国家借鉴和参考。
网络安全是全球性问题，很多专家都用“水桶理论”来形网络空间的安全状况，只要有一块短板，整个安全的水平就会下降。发展中国家数量占据了国际社会的主流，提高发展中国家应对网络安全威胁的能力，是提高全球网络安全水平的重要部分。《网络安全法》颁布之后，我国政府应当专门就《网络安全法》在起草和实施过程中所总结的经验教训向广大发展中国家分享，共同维护全球网络安全。
再次，出台《网络安全法》也有利于全球ICT企业更好的在华经营。
《网络安全法》两个版本的草案都面向社会公开征求意见。据相关报道，美国商会和欧盟商会也分别组织了在华的跨国企业积极研究《网络安全法》(草案)，并针对草案提交了大量反馈意见，其中有些意见也被吸纳进正式文本当中。
网络空间法制化是一个大的趋势，对很多跨国企业而言，虽然法律提高了成本，但通过合规性可以有效降低运营的战略风险。《网络安全法》的颁布可以帮助跨国企业更好的做好合规性工作，同时也可以用法律在保护自己在华的经营。

⑧ 结合国家相关政策及具体案例说明网络安全立法有什么重要性

日益严峻的网络信息安全问题，正越来越严重威胁着各国及全球的社会与经济安全，要求各国政府必须立即行动起来，采取有效措施加以解决。
加拿大颁布了《网络加密法》、《个人保护与电子文档法》、《保护消费者在电子商务活动中权益的规定》。
美国参议院去年提交了一份有关保护网络安全的法案，要求政府机构实施反黑客计划，目前正在计划制定新的法律条文以保护网络安全；1999年7月，美国政府责成联邦调查局组建了联邦入侵侦测网络（FIDNET），以监控政府机构计算机系统安全。另外，还计划2003年建成计算机安全防护系统。今年初，在黑客对美国网站进攻不到一周时间内，美国总统立即主持召开了网络安全会议，寻求对付黑客的策略。美国政府要求国会今年增加20亿美元用于提高网络安全，2003年将达到83亿美元。美国政府正在修改关于监视电子邮件的法律，以使执法部门能够更容易地监测互联网上的通信内容。政府表示，这项法案将增强对合法隐私的保护，因为它要求联邦调查局在进行互联网监听时，要像进行电话监听一样，获得司法部高级官员的批准。主要目的是更好地防治网络犯罪。
日本政府决定2000年度拨款24亿日元开发网络安全技术。国际刑警组织的总干事肯达尔曾宣布，该组织要与美国的AtomTangerine公司商谈，建立反计算机犯罪情报网络，以帮助各国政府和公司应付越来越多的计算机及网上犯罪活动。这个反犯罪情报网络一旦建成，就可以收集计算机及网上犯罪活动的情报，特别是犯罪分子即将攻击的目标和他们可能使用的手段，并将这些情况向各国政府和公司通报，以作防备。国际刑警组织也正在拟定防止计算机及网络犯罪的规章，但是，随着计算机及网上犯罪行动的日益猖獗，国际刑警组织认为，不仅要制定相应的法律规章，还要进一步采取行动。
欧盟执委会也宣布起草一份作战计划对抗网络犯罪行为，并与欧盟成员国及一些上网的公司举行一系列会谈，敲定书面政策。这套政策可能要求执法机关培训打击网络犯罪的技术，并着眼于加强欧盟诸国警力跨国合作。

⑨ 有谁知道欧洲数据保护法的主要内容或者谁能告诉我在哪能看到这方面的消息

《欧洲数据保护法》系统介绍了欧洲的数据保护法律制度，涵盖了欧盟及其主要成员国的最新进展情况。第一章 欧洲数据保护法律和制度
一、导言
二、欧盟机构
（一）欧盟委员会
（二）欧盟理事会
（三）欧洲议会
（四）欧洲法院
（五）欧盟数据保护专员
（六）第29条工作组
（七）第31条委员会
（八）其他机构
三、欧盟成员国机构
（一）数据保护机构
（二）其他机构和组织
四、法律文件
（一）欧盟法律
（二）成员国法律
（三）欧盟法律的最高地位和指令的执行
（四）标准化
五、立法程序
六、非欧盟的国际机构
（一）欧洲理事会
（二）oecd
（三）联合国
（四）柏林工作组
七、法律的执行
八、未来的方向
第二章基本法律概念
一、导言
二、获取权及相关权利
三、匿名数据或化名数据
四、同意
五、数据控制者和数据处理者
六、数据最少化
七、数据处理的定义和依据
八、数据主体
九、数据转移
十、分支机构
……
第三章法律适用和管辖
第四章跨国数据转移
第五章遵守的挑战和应对策略
附录1有用的网址
附录2欧洲数据保护机关
附录3欧盟数据保护指令95/46/ec的执行及其文本
附录4隐私与电子通讯指令2002/58/ec的执行及其文本
附录5欧盟数据留存指令2006/24/ec
附录6美国安全港原则和常见问题解答
附录7向第三国转移个人数据的标准合同文本（从控制者向控制者的转移）
附录8向第三国转移个人数据的标准合同文本（从控制者向处理者的转移）
附录9格式和范本
附录10欧盟成员国邮件、传真、电话和电子邮件直销的要求
附录11欧盟成员国有关商务和人力资源数据报告要求的概况
附录12标准合同文本备案要求
附录13欧盟主要成员和第29条工作组自2002年9月至2006年5月以来所采取的主要执行措施
附录14第29条工作组2006年8月之前所通过的文件
附录15与约束性公司规则有关的资料

⑩ 国家通过法律手段积极保护网络安全体现了什么

一、网络信息安全立法的系统规划
为了促使网络信息安全立法的基础性工作能够积极有序地进行，我们首先应当做好网络信息安全立法的系统规划，它同时也是有效提高立法水平的关键措施之一。在制定立法的系统规划时，我们需要科学整合立法的所有需求，促使立法之间能够实现相互协调，从而增强立法的预见性、科学性。
其一，立法的目的是促进发展。我们应当明确立法是为了更好地为发展提供规范依据和服务，是为了确保发展能够顺利进行。针对跟网络有联系的部分，我们可以将其归到传统的法律范围内，并尽量通过修订或完善传统法律来解决实际的问题。如果一些问题必须要通过制定新的法律才能解决，我们再实施新法律的制定也不迟。并且新法律必须具备良好的开放性，能够随时应对新问题的发生。
其二，要重视适度干预手段的运用。为了促使法律可以跟社会的现实需求相适应，我们应当积极改变那些落后的调整方式，将网络信息安全法律制度的完善重点转移到为建设并完善网络信息化服务，争取为网络信息的安全发展扫清障碍，从而通过规范发展来确保发展，并以确保发展来推动发展，构建良好的社会环境以促进我国网络信息化的健康发展，形成一个跟网络信息安全的实际需求高度符合的法治文化环境。
其三，要充分考虑立法应当遵循的一些基本原则。在立法的具体环节，我们不仅要考虑到消极性法律制定出来将造成的后果，还应当充分考虑积极性法律附带的法律后果。因此，我们不仅要制定出管理性质的法律制度，还要制定出能够促进网络信息产业及网络信息安全技术持续发展的法律制度，并涉及一些必要的、能够积极推动我国网络信息安全产业可持续发展的内容。
二、完善我国网络信息安全法律制度的具体措施
（一）及时更新我国网络信息的立法观念
当下，一些发展中国家及大多数发达国家正主动参与制定网络信息化的国际规则，尤其是电子商务的立法，这些国家的参与热情最高，欧盟、美国及日本正在想方设法将自己制定的立法草案发展成为全球网络信息立法的范本，其他国家也在加强对立法发言权的争取，于是国际电子商务规则的统一出台是我们指日可待的事情。从这一紧张且迫切的国际形势来看，中国在实施网络信息化立法时应当要适度超前我国实际的网络信息化发展进程，及时更新我国网络信息的立法观念，勇于吸取发达国家先进的立法经验，加快建设网络信息安全立法的速度，尽快将国内的网络信息化立法完善。与此同时，我国也应当积极争取在制定国际网络信息化规则时享有更多的发言权，切实将中国的利益维护好。
（二）加强研究我国网络信息的立法理论
发展到今天，已经有相当一部分国人在从事我国网络信息化的理论研究工作，取得了显著的研究成果，为完善我国网络信息安全的法律制度奠定了必要的理论依据。然而，这些研究工作并不具备必要的组织及协调，在力度和深度上都远远不够，至今也没有得出实际的法律草案，根本无法跟立法的需求相符。为了配合法律制度的完善，我们需要更加系统、更加深入地研究立法理论。具体地，我们要做好两个主要的工作：其一，建议我国的一些相关部门在全国范围内成立专门的学术研讨会，针对网络信息安全的法律政策进行研究，掀起我国研究立法理论的热潮，积极推动网络信息立法的实现。其二，积极研究国外的网络信息立法，借鉴其中较先进的法律体系及经验，同时要处理好网络信息安全立法跟其他法律之间的关系。
（三）积极移植国外先进的网络信息法规
跟中国相比，西方一些发达国家更早进行网络信息立法的研究和实践，并已经制定出很多保护网络信息安全的法律制度，个别发达国家甚至已经构建了完善的网络信息安全法律体系。所以，我们应提高对国外新的信息立法的关注度，争取把握好他们发展网络信息立法的趋势。但是，对于国外已经完善的网络信息安全法律，我们并不能照搬，而是要以中国的实际国情为基础，勇于借鉴它们先进的立法成果，致力于使我们制定出的法律制度跟中国的特色社会主义市场经济规律相符，从而真正提高我国网络信息安全法律制度的完善速度，提升我们的立法质量。
（四）完善网络信息法制建设的反馈机制
在制定并完善我国网络信息安全法律制度的全过程中，我们坚决不能忽视反馈。反馈能够确保我们顺利实施网络信息安全法律制度，并为网络信息安全法律制度建设的进一步完善提供积极的参考依据。然而长时间以来，我国并没有建立健全网络信息安全立法的反馈渠道，从提出需求、编制条文到执行法规、监督法规，几乎都是立法领域的主管机构在负责，这种管理方式自上而下，将法规的执行者摆在了被动的地位上，没有跟法规的制定者建立起良好的信息沟通关系，对网络信息安全法律制度的可行性、科学性等有极大的消极影响。所以，我们应当建立起通畅的网络信息立法反馈渠道，构建完善的安全法律制度反馈机制，进一步明确各执法部门的反馈职能，全面收集运行网络信息安全法律制度的相关信息，确保我国的网络信息安全立法是科学的、现实的，促使法律制度在运行时能够达到一个良好的动态平衡状态。
（五）健全我国网络信息安全的法律体系
网络信息化最重要的保障就是网络信息安全的基本法，因此我们应当尽快制定出这一基本法，加快健全我国网络信息安全的法律制度体系。中国至今仍不具备网络信息安全的基本法，这对建设及完善我国的网络信息安全法律制度有很大的制约作用。随着网络信息化在中国的快速发展，社会发展及国民经济当中信息网络占据的地位越来越重要，其作用也愈加关键，一旦网络瘫痪、数据丢失，人民的财产安全及社会的稳定都将遭受无可估量的巨大损失。也就是说加强保障我国网络信息的安全已经发展成为最重要的网络信息化工作之一。目前，网络安全事故造成的经济影响及社会影响正在逐渐加大，一旦事故发生，受到影响的将是数以千百万计的国人，我们将要遭受的经济损失将是几百上千亿。因此，我们更要进一步健全我国网络信息安全的法律体系，切实维护信息网络的数据安全、物理安全，将安全责任落实到人头，加强对安全管理的改革，通过法律制度的完善来严厉打击利用信息网络及针对信息网络实施的刑事犯罪。 （六）网络信息安全法律制度的执行重点
完善我国网络信息安全法律制度的执行重点应当体现在管理体制、网络信任、信息保护、等级保护、研发网络信息安全技术、应急处理、人才培养、监控体系以及应用推广网络信息安全标准、信息安全意识等各个方面。在实践这一系列重点措施的过程中，我们应特别加强对网络信息安全法律制度效率的提高。在信息网络技术迅猛发展的今天，网络信息安全法律制度拥有的积极作用不仅仅是滞后和适应，还应当充分体现为技术发展的前瞻性及主动规范性。网络信息安全的法律制度必须是能够促进网络信息技术发展进步的，于是我们务必要提升网络信息安全法律制度的效率，在法律制度的创设阶段要科学借鉴主流的技术中立思想，重视法律对特殊技术要求的符合程度，超前为发展技术和完善技术留下一定的空间，提高网络信息安全法律制度的社会适应性。在具体的执行过程中，我们应当加强研究国外先进的立法模式，取其精华、去其糟粕，借鉴其中有益自身发展的成分，有效解决法律制度跟技术之间存在的矛盾，积极鼓励创新技术，大力开发自主知识产权，完善我国网络信息安全的技术指标体系，提高法律制度的规范效率。
换言之，在完善我国网络信息安全法律制度时，我们不仅要遵循现有的法律体系，也要敢于跳出现行的立法理念，只要是跟现行的法律体系内容不符，我们就要将其突破；我们反对动辄立法，因为一些法律条文我们完全可以自行解释、执行。在创制网络信息安全法律时，我们不仅要重视制定管理性质的规范，也要颁布实施能够促进网络信息产业可持续发展的法律法规，并积极引导从业单位自律；积极防止对网络信息传播有害的管理机制的出现，进一步完善保障网络信息安全的法规体系，建立起通过网络信息弘扬我国优秀文化的激励机制。在执行网络信息安全法律制度时，我们不仅要完善其行政执法体制，还应当加强建立起一支专业的人才队伍，由具备专业的网络信息知识、拥有快速的安全反应能力的人员组成，以进一步明确职责，健全我们的执法机构，力求真正做到依法管理、依法行政、依法决策；加强完善我国网络信息领域的司法公工作，力求通过司法的途径切实维护好公民的合法权益，促使国家的经济安全和政治安全得到保障，进而大力推动我国网络信息有序、健康、安全地发展下去。
三、结语
我国网络信息安全法律制度的完善是一个十分庞大的工程，涉及的内容也非常广泛，于是在我们实际的生产生活中，我们必须要采取行之有效的措施加强完善我国网络信息安全的法律制度，争取为人们搭建一个安全的网络信息交流平台，在为大家提供方便的同时保护好大家的利益。