本文7532字阅读约需20分钟

    《说文解字》曰，，，“规，，，有法度也。”《孟子·离娄章句上》提到，，，“不以端正，，，不能成周遭”，，，《韩非子·解老》也指出，，，“万物莫不有端正”。端正就是法度与礼节，，，它无处不在，，，没有端正，，，难成周遭；；；没有端正，，，全国就会大乱。

    现实世界如此，，，虚构数字空间同样合用，，，在网络安全（注：：本文中的网络安满是广义概念，，，即CyberSecurity）行业约30年的发展过程中，，，合规始终是一个极其重要的安全发展驱动引擎。1994年2月颁布的《中华人民共和国推算机信息系统安全保；；ぬ趵，，，是我国第一个推算机安全律例。2007年《信息安全等级保；；ぶ卫矸ㄗ印返陌洳，，，标志取等保1.0时期正式开启，，，被公以为第一轮网络安全行业鼓起的起点。

    尔后，，，网络安全司法律规陪伴着行业高速成长而不休美满和丰硕。从2017年6月执行的《中华人民共和国网络安全法》，，，再到2019年12月执行的网络安全等级保；；ぶ贫2.0尺度（简称：：等保2.0），，，以及2021年陆续执行的《关键信息基础设施安全保；；ぬ趵、、、《中华人民共和国数据安全法》，，，以及《中华人民共和国小我信息保；；しā返鹊，，，2022年《网络数据安全治理条例》也正式纳入立法过程。无论是政策律例、、、规章条例的数量之多，，，还是近期政策推出的频度之密，，，都凸显了网络安全合规的重要性和紧迫性。

    图：：我国重要的网络安全政策律例

    2022年9月14日，，，执行了5年多的《网络安全法》迎来初次批改。其中蕴含进一步压实网络安全责任、、、大幅提高重大网络安全变乱的？罘、、、处罚力度与公司交易额挂钩、、、增长禁业处罚措施，，，增长对关键信息基础设施运营者违法行为罚则等等，，，这势必将显著提升了对大型政企机构对于网络安全的器重水平。

    那么，，，国度有关部门为何近年来显著加大网络安全的合规力度，，，其背后的深层逻辑又有哪些呢？

    一、、、内外部局势严格网络安全加强合规建设火烧眉毛

    哲学以为，，，事物的发展是内外因共同起作用的了局。网络安全在合规驱动的路线上，，，至少有国际外部环境、、、国度战术要求，，，数字化经济发展、、、威胁大局变动等多重成分的结合驱动。

    首先，，，国际环境波云诡谲，，，网络匹敌威胁日益严格。

    9月5日，，，中国有关部门对外颁发，，，此前西北工业大学申明遭逢境外网络攻击，，，攻击方是美国国度安全局（NSA）特定入侵行动办公室（TAO）。尔后国度推算机病毒应急处置中心与北京奇安盘古尝试室对这次入侵事务进一步深刻分析，，，在最新的调查汇报中，，，美国执行攻击的技术细节被公开：：即在41种网络兵器中名为“饮茶”的嗅探窃密类网络兵器就是导致大量敏感数据遭窃的最直接“罪魁祸首”之一。

    图：：国度战术与网络安全司法律规概览

    当前，，，世界百年未有之大变局正在加快演进，，，和世纪疫情交错叠加，，，国际环境日趋复杂，，，网络霸权主义对世界和平与发展组成威胁，，，全球产业链、、、供给链遭逢冲击，，，网络空间安全面对的局势持续复杂多变。数字化空间的匹敌已成为大邦交锋的重要战场，，，网络安全已经成为了国度安全的重中之重。这也就不难理解我国在平衡安全与发展之间关系时的逻辑。强化安全司法系统构建与合规要求，，，若何强调其重要性都不为过。

    其次，，，数字化潮水大势所趋，，，安全底板重要性凸显。

    蓬勃发展的“数字经济”正成为拉动中国经济增长的新引擎。凭据中国信通院颁布的汇报显示，，，2021年，，，我国数字经济规模达到45.5万亿元，，，同比名义增长16.2%，，，占GDP比重由2005年的14.2%提升到2021年的39.8%。数字经济发展速度之快、、、辐射领域之广、、、影响水平之深前所未有，，，正在成为重组全球身分资源、、、重塑全球经济结构、、、扭转全球竞争格局的关键力量。

    数字经济的高速发展离不建国度宏观规划和政策的支持。2021年3月，，，“中华人民共和国国民经济和社会发展第十四个五年规划和2035年蓝图指标纲领”获表决通过并正式颁布。其中第五篇“加快数字化发展建设数字中国”，，，提出迎接数字时期，，，激活数据身分潜能，，，推动网络强国建设，，，加快建设数字经济、、、数字社会、、、数字当局，，，以数字化转型整体驱动出产方式、、、生涯方式和治理方式刷新。

    在本纲领中，，，“安全”一词共计出现175次，，，仅次于出现468次的“发展”、、、349次的“建设”、、、206次的“制度”，，，成为纲领中排名第四的高频热词。在175次提及安全有关的内容中，，，有14次与网络安全有关，，，5次与数据安全有关。在“加快数字化发展建设数字中国”的篇章中，，，专门对网络安全保；；そ辛寺凼觯；；在“两全发展与安全建设更高水平的安然中国”篇章，，，也给出了“全面加强网络安全保险系统和能力建设”的论述？杉，，，网络安全已成为国度、、、社会发展面对的重要议题，，，建设“安全中国”也将成为十四五规划中的战术重点和发展方向，，，更带来了网络安全建设的巨大机缘。

    今年4月，，，《中共中央国务院关于加快建设全国统一大市场的定见》提到，，，要加快造就数据身分市场，，，成立健全数据安全、、、权势保；；、、、跨境传输治理、、、买卖流通、、、盛开共享、、、安全认证等基础制度和尺度规范，，，深刻发展数据资源调查，，，推动数据资源开发利用。！！抖非康，，，要把安全贯通数据治理全过程，，，守住安全底线，，，明确监管红线，，，加强重点领域法律司法，，，把必须管住的坚定管到位。要构建当局、、、企业、、、社会多方协同治理模式，，，强化分行业监管和跨行业协同监管，，，压实企业数据安全责任。

    2022年6月22日，，，中央全面深入鼎新委员会第二十六次会议审议通过了《关于构建数据基础制度更好阐扬数据身分作用的定见》等，，，对数据确权、、、流通、、、买卖、、、安全等方面做出部署。；；嵋槊魅，，，数据基础制度建设事关国度发展和安全大局，，，要守护国度数据安全，，，保；；ば∥倚畔⒑兔骋装旅，，，推进数据高效流通使用、、、赋能实体经济，，，两全推动数据产权、、、流通买卖、、、收益分配、、、安全治理，，，加快构建数据基础制度系统。

    与此同时，，，国务院印发《关于加强数字当局建设的领导定见》（以下简称《领导定见》），，，就自动适应经济社会数字化转型趋向，，，充分开释数字化发展盈利，，，全面开创数字当局建设新局面作出部署。在构建数字当局全方位安全保险系统方面，，，《领导定见》强化安全治理责任，，，落实安全制度要求，，，提升安全保险能力，，，提高自主可控水平，，，筑牢数字当局建设安全防线。

    最后，，，网络空间威胁局势日月牙异，，，影响领域与维度不休扩大，，，也是网络安全政策律例密集出台的有一大推动成分。近年来，，，安全攻击出现出以下四个新趋向：：

    第一是勒索攻击事务出现显著上升趋向。有关数据统计，，，2021年均匀每11秒就有一个企业受到勒索病毒攻击。而AB钱包应急响应中心统计的数据也显示，，，2021年，，，大中型政企机构的应急响应事务中勒索攻击占到了近30%。

    第二是数据窃密事务指数级攀升。2022年4月，，，国度安全机关颁布，，，有间谍窃取我国电信运营商、、、航空公司等单元的部门数据并发送至境外，，，严重威胁到我国关键基础设施的数据安全。IBM颁布的《2021年数据泄露成本汇报》指出，，，2021年每起数据泄露事务带来的均匀损失高达424万美元，，，同比增长10%，，，达到了七年来的最大增幅。

    第三是有组织的APT攻击威胁不减。之前国度推算机病毒应急处置中心披露的《西北工业大学遭逢美国NSA网络攻击调查汇报》，，，其幕后是“饮茶”嗅探窃密工具与Bvp47木马法式其他组件共同执行结合攻击，，，堪称典型的APT攻击。另一路震惊全球的APT事务是，，，9月7日，，，北约成员国阿尔巴尼亚颁发与伊朗断绝外交关系，，，缘由是伊朗APT组织在7月对阿国进行了大规模网络攻击,这是世界上第一路因网络攻击导致两国断交的事务。

    第四是供给链安全已成为网络安全的新战场。凭据行业估计，，，供给链攻击此刻占所有网络攻击的50％，，，去年同比激增了78％。多达三分之二的公司经历了至少一次供给链攻击事务，，，均匀成本达110万美元。美国的Solarwinds供给链安全事务，，，也使得全球看到了这类攻击伎俩的深度利用，，，促使各重点行业，，，从这个新维度视角思考供给链安全领域。Verizon颁布的《2021年数据泄露调查汇报》显示，，，62%的系统入侵事务是由供给链造成的。

    二、、、从合规系统美满到现实成效落地尚存在三大缺失

    面对复杂而严格的网络安全威胁大局，，，当前我国各个行业的合规落地执行仍存在诸多软肋和不及，，，具体表此刻三个方面

    第一，，，网络安全的主体责任未压实

    对于任何一家政企机构而言，，，网络安全变乱的产生是一个概率事务，，，因而思考到投入产出比，，，在好多客户看来，，，投资网络安全至少在明面上并不是一个“极度；；”的生意。即就是在《中华人民共和国网络安全法》正式执行以来，，，其最高？钜膊怀100万元，，，对于中大型企业尤其是各行业的头部公司而言，，，相较于复杂的网络安全技术与人才的投入，，，其处罚力度也远远不够。

    这就带来了一个问题，，，网络安全主体责任并未压实。尤其越是头部的大型企业和当局机构，，，其产生网络安全变乱后导致的后果也越严重，，，不仅是经济损失，，，更多时辰其造成的国度安全与社会民生影响往往更为严重。这也是为什么在《关基保；；ぬ趵分，，，出格强调了从关基运营者的主体责任，，，以及保；；すぷ鞑棵诺谋拘幸的芰τ蚣嗖庠ぞ肓斓脊ぷ。

    9月14日，，，国度互联网信息办公室颁布了关于批改《中华人民共和国网络安全法》的决定（征求定见稿），，，本次批改重要有以下几点。

    一是美满违反网络运行安全通常划定的司法责任。并且拟调整违反网络安全保；；な姑虻贾挛：：ν缭诵邪踩群蠊男形拇ΨＶ掷嘤氪Ψ７务，，，使得？罴ぴ，，，对企业的？畲幼罡100万提高到5000万或上一年度交易额的5%，，，并能够责令暂停有关业务进行破产整顿，，，甚至撤除有关业务许可与交易支招。对直接掌管的主管人员从最高10万元提高到100万元

    二是新增禁业划定，，，对直接掌管的主管人员和其他直接责任人员，，，能够决定不容其在肯定期限内担任有关企业的董事、、、监事、、、高级治理人员或者从事网络安全治理和网络运营关键岗位的工作。

    三是批改关键信息基础设施安全保；；び泄氐乃痉ㄔ鹑沃贫。

    四是越发正视司法的衔接，，，尤其与《数据安全法》、、、《小我信息保；；しā返扔泄匦掳洳妓痉ǖ囊恢滦。

    能够预感的是，，，思考到综合了五千万与交易额5%的顶格处罚，，，以及破产整顿、、、对于有关治理人员的从业不容的综合处罚，，，即就是头部政企机构也不得不重新审视自己的网络安全责任落实与建设情况。

    第二，，，网络安全“能力系统”的亟待美满

    必要确把稳的是，，，网络安全从律例到落地执行，，，必要大量的能力支持，，，这些能力中蕴含技术、、、治理、、、运行能力，，，这种综合能力系统的构建，，，就必要有框架、、、参考架构、、、尺度、、、指南作为领导。

    近两年来我国网络安全司法律规美满速度非？，，，已经走在了全球前列，，，但在网络安全能力系统的建设上，，，相比最先进的系统而言，，，中央这层的能力指引缺失却在肯定水平上故障了我国网络安全整体水平的进取。

    2021年5月，，，美国总统拜登签署《改善国度网络安全的行政号令》（下文简称“行政令”），，，提出多项行动以加强美国网络安全防御能力，，，蕴含谍报共享、、、零信赖架构、、、供给链安全事务的防备等多个方面，，，解决美国当前易受网络攻击的安全问题。

    在这些方面，，，美都城有相对美满的参考架构与技术指南作为指引。

    例如在关基保；；し矫，，，2018年美国河山安全数专门整合伙源组建了“网络安全与基础设施安全局（CISA）”，，，在关基保；；さ恼策制订、、、防御协同、、、能力指南、、、谍报共享、、、安全演习等方面阐扬作用。除了拜登当局《改善国度网络安全》行政令，，，CISA也颁布了《云推算安全技术参考架构》、、、《零信赖成熟度模型》；；；2021年2月拜登签署《确保信息和通讯技术及服务供给链安全》的行政令，，，NIST也急剧着手制订有关尺度，，，2022年9月《利用安全的软件开发功夫加强软件供给链安全行》的备忘录随即出台；；；2022年，，，颁布了《2022年关键基础设施网络事务汇报法案》。而在这之前，，，美国在关基保；；さ牧煊蚧、、、保；；は低吵闪⒎矫嬖缫崖叫鎏烁骼嗟恼策、、、法案、、、技术指南、、、尺度等系统化内容。覆盖面宽，，，落地治理细节凭据较为齐全，，，且配套的能力系统构建指引、、、有关尺度规范丰硕。

    在威胁谍报方面，，，美国联邦系统安全节制建议（NIST800-53）、、、美国联邦网络威胁信息共享指南（NIST800-150）、、、STIX结构化威胁表白式、、、CyboX网络可观察表白式以及指标信息的可信自动化互换TAXII等都为国际间威胁谍报的互换和分享题攻克靠得住参考。而这些尺度，，，不仅得到了蕴含IBM、、、思科、、、戴尔、、、大型金融机构以及美国国防部、、、国度安全局等重要安全行业机构的支持，，，还堆集了大量实际经验，，，在实际中不休优化。更是有如美国谍报共同体这样的组织机制来进行支持。

    在零信赖方面，，，早在2021年5月，，，美国总统签署了行政号令，，，强制要求当部门门全面迈向零信赖架构。与此同时，，，美国国度尺度与技术钻研院（NIST）在颁布《零信赖安全架构尺度》之后，，，再次为联邦治理人员颁布了一份规划指南，，，概述了若何将NIST风险治理框架（RMF）利用于执行零信赖架构。RMF提出了一种步骤，，，其中蕴含一组集成到企业风险分析、、、规划、、、开发和运营中的步骤和工作。这些步骤分为七个行动：：筹备、、、分类、、、选择、、、执行、、、评估、、、授权和监控。

    图：：美国NIST风险治理框架七个步骤

    在供给链安全方面，，，2022年5月5日NIST颁布了新版《系统和组织网络安全供给链风险治理实际》，，，旨在提供鉴别、、、评估和应对整个供给链各级组织网络安全风险的领导，，，提高了组织在供给链内部和整个供给链中治理网络安全风险的能力。它是NIST对有关网络安全的行政号令的回应的一部门。订正后的尺度重要面向产品、、、软件和服务的采办者以及最终用户。该指南有助于各组织将网络安全供给链风险思考和要求纳入其收购流程，，，并强调了风险监控的重要性。

    第三，，，常态化、、、实战化的深度运营缺失

    网络安全最终的成效必要从实战化的安全运营中体现，，，从2016年起头，，，我国有关部门城市在全国领域内组织一次较大规模的实战攻防演习，，，用以检验部门重要机构的网络安全建设成就和实战化攻防水平。除此之外，，，各省市、、、行业等自行组织的小领域实战攻防演习，，，更是不可胜数。

    可能看到的是，，，历经数年的发展，，，实战攻防演习的水平越来越高，，，战况也越来越强烈，，，各类攻防伎俩层出不穷，，，对推动我国整体实战化水平和产业发展，，，起到了巨大的推作为用。

    正如部门业内专家所讨论的那样，，，陪伴着时期大潮，，，还有好多问题也暗藏其中。好比面对演习期间高频度的攻击，，，作为防守方不得不厉兵秣马、、、如履薄冰，，，加派人手修补潜在的安全隐患，，，措置每一个可疑的告警。而随着演习的实现，，，所有运营伎俩都又复原成“老样子”：：对那些高危甚至已经产生在野利用的缝隙视而不见、、、必要进行加固的战术无持续优化、、、安全设备的检测规定也不实时更新……

    演习的重要主张是为了援手防守方查抄哪里还存在着不及，，，因而在演习实现后，，，大量机构城市凭据自身情况采购最必要的产品和服务。但网络安全的性质是人与人的匹敌，，，不足常态化和实战化运营的设备堆砌，，，很难起到保险企业网络安全的作用。如此一来，，，正本查漏补缺的主张就并未达到，，，借演习来提升常态化、、、实战化安全能力的指标也就随之落空。

    三、、、推动合规落地需做好三项工作

    面对日益严格的外部局势，，，盘根错节的安全威胁，，，AB钱包以为，，，宽大政企机构应积极推动以下三项措施，，，尽快补齐合规短板，，，构筑牢固的安全防线。

    第一步是夯实地基，，，确保“合规不踩线”。

    一向以来，，，好多企业都对合规存在误会，，，以为合规是网络安全工作的指标。事实上，，，合规仅仅是网络安全的根基要求和底线。企业不遵守安全规范，，，就像没有打牢地基，，，注定无法悠久。

    企业必要深刻认知到，，，安全的性质是要解决业务陆续性和安全风险有关的问题，，，脱离业务就很难让安全达到很好的成效。企业在落实网络安全合规建设的同时，，，还必要从业务视角启程，，，基于动态风控的思路，，，实现面向业务风险的安全治理，，，最终达到守牢安全底线和保险业务经营的双重指标。

    第二步是角色转化，，，健全组织机制。

    从9月份的《网安法订正稿》中能够看出，，，有两个信息和企业的经营掌管人缜密有关。第一是顶格处罚激增，，，对企业？畲幼罡100万元提高到5000万或上年度交易额的5%，，，甚至直接造成到企业运营停摆。第二，，，《网安法订正稿》出格增长了“不容其在肯定期限内担任有关企业的董事、、、监事、、、高级治理人员或者从事网络安全治理和网络运营关键岗位的工作”，，，有力强化对涉及违法行为的有关治理人员的惩戒成效？杉，，，网络安满是否合规，，，安全责任是否压实，，，不仅直接关乎企业的经营指标、、、利润盈亏，，，同时还和企业治理者的小我职业生涯亲昵有关。

    为了预防企业遭逢可能高达数十亿级的巨额？，，，以及治理者遭逢禁业处罚，，，政企一把手必要对三个问题了如指掌，，，即：：组织是否健全，，，责任是否落实，，，技术能力支持是否到位。

    具体落实上，，，企业应组建“网络安全合规专项工作组”，，，合规的第一责任人，，，必要从单纯的IT部门、、、网络安全数门掌管人，，，上升到政企机构的一把手、、、经营治理掌管人。通过一把手辅导牵头，，，成立一个横跨公司治理、、、法务、、、技术、、、业务等多个部门的综合组织，，，能力将网络安全合规工作责任落到实处，，，满足监管需要，，，并预防安全和业务相脱节。

    第三步是补齐短板，，，两全长远，，，系统规划。

    据统计，，，国内85%以上的政企机构在面对最新的数据安全司法律规的合规要求时，，，最必要“先理后治、、、补短固底”。“补短板、、、防违规”，，，是网络安全与数据安全确当务之急，，，更是合规建设的突破口。滴滴、、、知网等频遭审查或处罚的事务注明，，，企业火急必要尽快自查暗藏的合规风险，，，分析问题原因，，，实时补齐安全短板，，，能力最大水平降低监管部门处罚的风险。

    在补齐短板的同时，，，企业还需两全持久的系统化建设，，，以及常态化的安全运营。从前，，，企业只有依照要求部署产品，，，就是做到了合规，，，这就导致好多企业仅仅把合规当成“应试”和“交差”，，，感触只有通过查抄和测试就安枕无忧了，，，没有把后续的现实成效和可持续性思考在内，，，使得合规流于大局，，，面对新的监管和网络攻击时依然千疮百孔。

    齐全的网络安全能力系统的构建，，，与“新治理”的落地，，，和实战攻防演习分歧，，，它是一个持久、、、有序、、、常态的过程。在数字化时期，，，不足能力系统支持，，，不足安全技术节制点的合规条文，，，是难以最终落地的。所以网络安全的新治理，，，也必要从传统的“条文式治理”发展到有能力系统支持的，，，罕见据了局驱动的“成效型”治理上来。

    在这个过程中，，，除了企业和监管单元的致力之外，，，还必要充分借助外部的专业力量，，，依附专业网络安全公司，，，以及第三方司法机构的参加和支持，，，对合规制度流程不休美满，，，对人员技术能力不休提升，，，对各类安全风险持续跟踪及修复，，，能力从长远角度提升企业的安全水平。

    四、、、实现语

    从无法可依到有法可依，，，从合规性驱动到合规性和强制性驱动并重，，，以《网络安全法》、、、《数据安全法》、、、《小我信息保；；しā返任淼耐缈占浒踩ㄖ谓ㄉ，，，为守护国度总体安全、、、招架网络空间各类不确定性成分和未知风险阐扬了重要作用。然而，，，在当前国际严格的威胁局势下，，，网络安全面对的挑战依然严格，，，合规建设任重而道远。

    只有落实系统化建设，，，实现国度领导、、、行业保；；、、、网络服务机构支持、、、运营者落实等多方协同，，，能力落实有关合规监管要求，，，筑牢网络安全底板，，，筑牢网络安全底板，，，化解重大风险，，，保险业务正常运行，，，为我国数字强国之路保驾护航。

    关于作者

    AB钱包战术规划设计院，，，基于“内生安全框架”为政企机构进行“顶层规划、、、系统设计、、、实现设计”，，，构建动态综合的网络安全防御系统与实战化运行系统。目前已援手超过百家的大型央企、、、当部门委、、、智能制作、、、数字城市、、、金融等机构发展了十四五或中持久网络安全规划工作，，，持续保险政企数字化业务发展。