虎符智库 | 重磅解读：网络安全“合规”建设迫在眉睫的深层因素

《说文解字》曰，“规，有法度也。”《孟子·离娄章句上》提到，“不以规矩，不能成方圆”，《韩非子·解老》也指出，“万物莫不有规矩”。规矩就是法度与礼仪，它无处不在，没有规矩，难成方圆；没有规矩，天下就会大乱。

现实世界如此，虚拟数字空间同样适用，在网络安全（注：本文中的网络安全是广义概念，即CyberSecurity）行业约30年的发展历程中，合规始终是一个极其重要的安全发展驱动引擎。1994年2月发布的《中华人民共和国计算机信息系统安全保护条例》，是我国第一个计算机安全法规。2007 年《信息安全等级保护管理办法》的发布，标志着等保 1.0 时代正式开启，被公认为第一轮网络安全行业兴起的起点。

此后，网络安全法律法规伴随着行业高速成长而不断完善和丰富。从2017年6月实施的《中华人民共和国网络安全法》，再到2019年12月实施的网络安全等级保护制度2.0标准（简称：等保2.0），以及2021年连续实施的《关键信息基础设施安全保护条例》、《中华人民共和国数据安全法》，以及《中华人民共和国个人信息保护法》等等，2022年《网络数据安全管理条例》也正式纳入立法过程。无论是政策法规、规章条例的数量之多，还是近期政策推出的频度之密，都凸显了网络安全合规的重要性和紧迫性。

9月5日，中国相关部门对外宣布，此前西北工业大学声明遭受境外网络攻击，攻击方是美国国家安全局（NSA）特定入侵行动办公室（TAO）。此后国家计算机病毒应急处理中心与北京奇安盘古实验室对此次入侵事件进一步深入分析，在最新的调查报告中，美国实施攻击的技术细节被公开：即在41种网络武器中名为“饮茶”的嗅探窃密类网络武器就是导致大量敏感数据遭窃的最直接“罪魁祸首”之一。

面对复杂而严峻的网络安全威胁形式，当前我国各个行业的合规落地实施仍存在诸多软肋和不足，具体表现在三个方面：

对于任何一家政企机构而言，网络安全事故的发生是一个概率事件，因此考虑到投入产出比，在很多客户看来，投资网络安全至少在明面上并不是一个“非常划算”的生意。即便是在《中华人民共和国网络安全法》正式实施以后，其最高罚款也不超过100万元，对于中大型企业尤其是各行业的头部公司而言，相较于复杂的网络安全技术与人才的投入，其处罚力度也远远不够。

这就带来了一个问题，网络安全主体责任并未压实。尤其越是头部的大型企业和政府机构，其发生网络安全事故后导致的后果也越严重，不仅是经济损失，更多时候其造成的国家安全与社会民生影响往往更为严重。这也是为什么在《关基保护条例》中，特别强调了从关基运营者的主体责任，以及保护工作部门的本行业本领域监测预警与指导任务。

9月14日，国家互联网信息办公室发布了关于修改《中华人民共和国网络安全法》的决定（征求意见稿），本次修改主要有以下几点。

一是完善违反网络运行安全一般规定的法律责任。并且拟调整违反网络安全保护义务或导致危害网络运行安全等后果的行为的处罚种类与处罚服务，使得罚款激增，对企业的罚款从最高100万提高到5000万或上一年度营业额的5%，并可以责令暂停相关业务进行停业整顿，甚至吊销相关业务许可与营业支招。对直接负责的主管人员从最高10万元提高到100万元。

二是新增禁业规定，对直接负责的主管人员和其他直接责任人员，可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员或者从事网络安全管理和网络运营关键岗位的工作。

三是修改关键信息基础设施安全保护相关的法律责任制度。

四是更加注重法律的衔接，尤其与《数据安全法》、《个人信息保护法》等相关新颁布法律的一致性。

可以预见的是，考虑到综合了五千万与营业额5%的顶格处罚，以及停业整顿、对于相关管理人员的从业禁止的综合处罚，即便是头部政企机构也不得不重新审视自己的网络安全责任落实与建设情况。

需要的注意的是，网络安全从法规到落地执行，需要大量的能力支撑，这些能力中包括技术、管理、运行能力，这种综合能力体系的构建，就需要有框架、参考架构、标准、指南作为指导。

近两年来我国网络安全法律法规完善速度非常快，已经走在了全球前列，但在网络安全能力体系的建设上，相比最先进的体系而言，中间这层的能力指引缺失却在一定程度上阻碍了我国网络安全整体水平的进步。

2021年5月，美国总统拜登签署《改善国家网络安全的行政命令》（下文简称“行政令”），提出多项行动以加强美国网络安全防御能力，包括情报共享、零信任架构、供应链安全事件的防范等多个方面，解决美国当前易受网络攻击的安全问题。

在这些方面，美国都有相对完善的参考架构与技术指南作为指引。

例如在关基保护方面，2018年美国国土安全部专门整合资源组建了“网络安全与基础设施安全局（CISA）”，在关基保护的政策制定、防御协同、能力指南、情报共享、安全演习等方面发挥作用。除了拜登政府《改善国家网络安全》行政令，CISA也发布了《云计算安全技术参考架构》、《零信任成熟度模型》；2021年2月拜登签署《确保信息和通信技术及服务供应链安全》的行政令，NIST也快速着手制定相关标准，2022年9月《利用安全的软件开发时间增强软件供应链安全行》的备忘录随即出台；2022年，发布了《2022年关键基础设施网络事件报告法案》。而在这之前，美国在关基保护的范围划定、保护体系建立方面早已陆续出台了各类的政策、法案、技术指南、标准等体系化内容。覆盖面宽，落地管理细节依据较为完整，且配套的能力体系构建指引、相关标准规范丰富。

在威胁情报方面，美国联邦系统安全控制建议（NIST 800-53）、美国联邦网络威胁信息共享指南（NIST 800-150）、STIX 结构化威胁表达式、CyboX 网络可观察表达式以及指标信息的可信自动化交换 TAXII 等都为国际间威胁情报的交流和分享题攻克可靠参考。而这些标准，不仅得到了包括 IBM、思科、戴尔、大型金融机构以及美国国防部、国家安全局等主要安全行业机构的支持，还积累了大量实践经验，在实践中不断优化。更是有如美国情报共同体这样的组织机制来进行支撑。

在零信任方面，早在2021年5月，美国总统签署了行政命令，强制要求政府部门全面迈向零信任架构。与此同时，美国国家标准与技术研究院（NIST）在发布《零信任安全架构标准》之后，再次为联邦管理人员发布了一份规划指南，概述了如何将NIST风险管理框架（RMF）应用于实施零信任架构。RMF 提出了一种方法，其中包括一组集成到企业风险分析、规划、开发和运营中的步骤和任务。这些步骤分为七个行动：准备、分类、选择、实施、评估、授权和监控。

图：美国NIST风险管理框架七个步骤

网络安全最终的效果需要从实战化的安全运营中体现，从2016年开始，我国有关部门都会在全国范围内组织一次较大规模的实战攻防演习，用以检验部分重要机构的网络安全建设成果和实战化攻防水平。除此之外，各省市、行业等自行组织的小范围实战攻防演习，更是数不胜数。

能够看到的是，历经数年的发展，实战攻防演习的水平越来越高，战况也越来越激烈，各种攻防手段层出不穷，对推动我国整体实战化水平和产业发展，起到了巨大的推动作用。

正如部分业内专家所谈论的那样，伴随着时代大潮，还有很多问题也隐藏其中。比如面对演习期间高频度的攻击，作为防守方不得不严阵以待、如履薄冰，加派人手修补潜在的安全隐患，处置每一个可疑的告警。而随着演习的结束，所有运营手段都又恢复成“老样子”：对那些高危甚至已经发生在野利用的漏洞视而不见、需要进行加固的策略无持续优化、安全设备的检测规则也不及时更新……

演习的主要目的是为了帮助防守方检查哪里还存在着不足，因此在演习结束后，大量机构都会根据自身情况采购最需要的产品和服务。但网络安全的本质是人与人的对抗，缺乏常态化和实战化运营的设备堆砌，很难起到保障企业网络安全的作用。如此一来，原本查漏补缺的目的就并未达到，借演习来提升常态化、实战化安全能力的目标也就随之落空。

一直以来，很多企业都对合规存在误解，认为合规是网络安全工作的目标。事实上，合规仅仅是网络安全的基本要求和底线。企业不遵守安全规范，就像没有打牢地基，注定无法长久。

企业需要深刻认知到，安全的本质是要解决业务连续性和安全风险相关的问题，脱离业务就很难让安全达到很好的效果。企业在落实网络安全合规建设的同时，还需要从业务视角出发，基于动态风控的思路，实现面向业务风险的安全治理，最终达到守牢安全底线和保障业务经营的双重目标。

从9月份的《网安法修订稿》中可以看出，有两个信息和企业的经营负责人紧密相关。第一是顶格处罚激增，对企业罚款从最高100万元提高到5000万或上年度营业额的5%，甚至直接造成到企业运营停摆。第二，《网安法修订稿》特别增加了“禁止其在一定期限内担任相关企业的董事、监事、高级管理人员或者从事网络安全管理和网络运营关键岗位的工作”，有力强化对涉及违法行为的相关管理人员的惩戒效果。可见，网络安全是否合规，安全责任是否压实，不仅直接关乎企业的经营指标、利润盈亏，同时还和企业管理者的个人职业生涯密切相关。

为了避免企业遭受可能高达数十亿级的巨额罚款，以及管理者遭受禁业处罚，政企一把手需要对三个问题了如指掌，即：组织是否健全，责任是否落实，技术能力支撑是否到位。

具体落实上，企业应组建“网络安全合规专项工作组”，合规的第一责任人，需要从单纯的IT部门、网络安全部门负责人，上升到政企机构的一把手、经营管理负责人。通过一把手领导牵头，建立一个横跨公司管理、法务、技术、业务等多个部门的综合组织，才能将网络安全合规工作责任落到实处，满足监管需求，并避免安全和业务相脱节。

据统计，国内85%以上的政企机构在面对最新的数据安全法律法规的合规要求时，最需要“先理后治、补短固底”。“补短板、防违规”，是网络安全与数据安全的当务之急，更是合规建设的突破口。滴滴、知网等频遭审查或处罚的事件说明，企业迫切需要尽快自查隐藏的合规风险，分析问题原因，及时补齐安全短板，才能最大程度降低监管部门处罚的风险。

在补齐短板的同时，企业还需兼顾长期的体系化建设，以及常态化的安全运营。过去，企业只要按照要求部署产品，就是做到了合规，这就导致很多企业仅仅把合规当成“应试”和“交差”，觉得只要通过检查和测试就万事大吉了，没有把后续的实际效果和可持续性考虑在内，使得合规流于形式，面对新的监管和网络攻击时依然千疮百孔。

完整的网络安全能力体系的构建，与“新管理”的落地，和实战攻防演习不同，它是一个长期、有序、常态的过程。在数字化时代，缺乏能力体系支撑，缺乏安全技术控制点的合规条文，是难以最终落地的。所以网络安全的新管理，也需要从传统的“条文式管理”发展到有能力体系支撑的，有数据结果驱动的“效果型”管理上来。

在这个过程中，除了企业和监管单位的努力之外，还需要充分借助外部的专业力量，依托专业网络安全公司，以及第三方法律机构的参与和支持，对合规制度流程不断完善，对人员技术能力不断提升，对各类安全风险持续跟踪及修复，才能从长远角度提升企业的安全水平。

从无法可依到有法可依，从合规性驱动到合规性和强制性驱动并重，以《网络安全法》、《数据安全法》、《个人信息保护法》等为代表的网络空间安全法治建设，为维护国家总体安全、抵御网络空间各种不确定性因素和未知风险发挥了重要作用。然而，在当前国际严峻的威胁形势下，网络安全面对的挑战依然严峻，合规建设任重而道远。

只有落实体系化建设，实现国家指导、行业保护、网络服务机构支持、运营者落实等多方协同，才能落实相关合规监管要求，筑牢网络安全底板，筑牢网络安全底板，化解重大风险，保障业务正常运转，为我国数字强国之路保驾护航。