網路安全法與等級保護工作的關係

不得不等一直想寫一篇關於網路安全法與等級保護工作關係的文章， 法律是件很嚴謹、很規範的事， 做為一個法外人士， 特別是網路安全法細則還沒出來， 不敢貿然解讀。 今天不得不等就簡單解讀下網路安全法中十分明確的關於等級保護的一些條款。

我們知道2016年11月7日第十二屆全國人民代表大會常務委員會第二十四次會議通過《中華人民共和國網路安全法》， 網路安全法於2017年6月1日就開始正式實施了， 算算還有三個月不到的時間。 網路安全法裡面明確提出等保的條款有：

第二十一條 國家實行網路安全等級保護制度。 網路運營者應當按照網路安全等級保護制度的要求， 履行下列安全保護義務， 保障網路免受干擾、破壞或者未經授權的訪問， 防止網路資料洩露或者被竊取、篡改。

21條是等級保護工作的鮮明旗幟， 是從國家層面對等級保護工作的法律認可，

是網路安全法關於等級保護工作最重要的一條， 簡單點就是單位不做等級保護工作就是違法。

第三十八條 關鍵資訊基礎設施的運營者應當自行或者委託網路安全服務機構對其網路的安全性和可能存在的風險每年至少進行一次檢測評估， 並將檢測評估情況和改進措施報送相關負責關鍵資訊基礎設施安全保護工作的部門。

38條， 是明確了有關鍵資訊基礎設施單位， 需要每年對其網路的安全性和可能存在的風險至少進行一次檢測評估， 沒有明確這裡的檢測評估是什麼形式， 但是等級保護測評至少從技術上可以滿足這個要求， 等級保護測評就是對單位重要資訊系統做的一個安全檢測評估。

你做了等保肯定是滿足第38條了。 那哪些是關鍵資訊基礎呢？網路安全法大概說了下：國家對公共通信和資訊服務、能源、交通、水利、金融、公共服務、電子政務等重要行業和領域， 關鍵資訊基礎設施的具體範圍和安全保護辦法由國務院制定。 具體範圍還沒明確， 怎麼保護也沒明確， 但是可以從中看出一二， 大家自己去意會了， 現在沒法明確說明。

第五十九條 網路運營者不履行本法第二十一條、第二十五條規定的網路安全保護義務的， 由有關主管部門責令改正， 給予警告；拒不改正或者導致危害網路安全等後果的， 處一萬元以上十萬元以下罰款， 對直接負責的主管人員處五千元以上五萬元以下罰款。

關鍵資訊基礎設施的運營者不履行本法第三十三條、第三十四條、第三十六條、第三十八條規定的網路安全保護義務的， 由有關主管部門責令改正， 給予警告；拒不改正或者導致危害網路安全等後果的， 處十萬元以上一百萬元以下罰款， 對直接負責的主管人員處一萬元以上十萬元以下罰款。

59條很明確， 就是使用者單位不做等級保護測評， 使用者單位需要被罰款1萬-100萬；主管人員需要被罰款5000-10萬， 罰款不算少， 罰的多的話可以夠很多個系統的等級保護測評費用了。 罰款是一方面， 我想更多的是因為這件事對單位聲譽， 對個人聲譽， 對個人的職業發展非常不利。

不得不等最後苦口婆心， 費盡口舌的和各位朋友們說句：等級保護工作是國家網路安全的基礎性工作，

是網路安全法要求我們履行的一項安全責任， 我們務必重視， 務必儘快開展起等級保護測評工作， 時間真不多了， 三個月不到的時間， 到了6月1日， 說的嚴重點， 沒有開展等級保護工作的單位就是違法了， 耍流氓不一定違法， 不做等保測評一定是違法。

注意：以上解讀純屬不得不等個人的解讀， 可能有不準確的地方， 僅供參考， 請以官方最終說明為准。