0310-3111082
3047798688@qq.com 本文是对《网络安全法》内容中关键信息基础设施内容的一些解读。
01
第三十一条国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。
国家鼓励关键信息基础设施以外的网络运营者自愿参与关键信息基础设施保护体系。
本条规定了关键信息基础设施保护，以及与网络安全等级保护制度的关系。关系国家重大利益、人民群众生命财产安全和社会生产生活秩序，一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施、信息系统和数据资源等，属于关键信息基础设施。
02
第三十二条按照国务院规定的职责分工，负责关键信息基础设施安全保护工作的部门分别编制并组织实施本行业、本领域的关键信息基础设施安全规划，指导和监督关键信息基础设施运行安全保护工作。
本条规定了负责关键信息基础设施安全保护工作的部门组织开展关键信息基础设施安全保护、监督和指导等工作。
一是行业主管部门要组织制定并实施本行业、本领域关键信息基础设施安全规划，监督、指导本行业、本领域关键信息基础设施安全保护工作，落实主管责任。
二是国家网信、公安、保密、密码、安全等部门，按照法律赋予的职责，根据任务分工，分别组织制定并实施关键信息基础设施安全保护规划，统筹协调，监督检查指导行业主管部门、网络运营者落实安全规划，开展关键信息基础设施安全保护各项工作，落实责任制，加强考核和督办。
03
第三十三条建设关键信息基础设施应当确保其具有支持业务稳定、持续运行的性能，并保证安全技术措施同步规划、同步建设、同步使用。
本条规定了关键信息基础设施的功能性能要求和“三同步”要求。重要行业部门建设关键信息基础设施时，着重考虑两个要素：一个是功能、性能要求；另一个是安全要求。建设关键信息基础设施投资较大，在规划设计阶段，要充分论证，以满足业务需求，保证业务的连续性和稳定性。
为了保证该项规定的落实，业务部门和信息化部门在制定网络、系统建设方案时，一定要确定关键信息基础设施安全保护等级，根据其安全等级，按照国家标准和行业标准同步制定安全建设方案，聘请专家进行评审，方案通过后方可进行建设、运行。关键信息基础设施在上线之前，还要进行源代码检测、等级测评、风险评估，确保网络系统运行安全和数据、信息安全。
04
第三十四条除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：
(一)设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；
(二)定期对从业人员进行网络安全教育、技术培训和技能考核；
(三)对重要系统和数据库进行容灾备份；
(四)制定网络安全事件应急预案，并定期进行演练；
(五)法律、行政法规规定的其他义务。
本条规定了关键信息基础设施运营者应落实的重点措施。关键信息基础设施运营者除落实本法第二十一条规定的措施外，还要落实几项重点措施。
一是建立完善领导体系，成立专门的网络安全管理机构，明确专门负责网络安全的领导，确保政令畅通。
二是对负责人、管理员、运维人员等关键岗位人员进行背景审查，确保关键岗位、部门的人员可靠。
三是建设或利用合作单位培训、训练环境，采取网上网下等多种形式，对关键岗位人员、从业人员进行意识教育、网络安全技术培训及攻防对抗演练，提高网络安全业务能力和实战能力。
四是对有关岗位人员进行分级分类管理，分类考核，将考核成绩纳入年终考评。
五是对重要系统和数据库进行容灾备份，包括同城、异地方式及冷备、热备方式，保证系统运行安全、数据和信息安全。
六是制定网络安全事件应急预案，备建队伍、装备，建立与有关部门、企业的配合机制，并定期进行演练，以检验预案的有效性和针对性。
七是落实《国家安全法》《反恐怖主义法》《中华人民共和国计算机信息系统安全保护条例》等法律、行政法规规定的其他义务。
05
第三十五条关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。
本条规定了国家安全审查机制是非常态化的，只有在可能影响国家安全的特殊情况下才能启动，不是对网络产品和服务开展的常态的网络安全认证和检测。
06
第三十六条关键信息基础设施的运营者采购网络产品和服务，应当按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。
本条规定了关键信息基础设施运营者、服务商在采购网络产品和服务时的安全责任和义务，防范外包服务安全，关注供应链安全。关键信息基础设施运营者在采购网络产品和服务时：
一要采购符合国家有关规定的网络产品和服务，慎重选择提供者；
二要与网络产品和服务提供者签订安全保密协议，明确其安全保密责任和义务；
三要采取有效措施，监督网络产品和服务提供者落实安全保密责任和义务。
07
第三十七条关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。
本条规定了对关键信息基础设施运营者的数据留存和提供的要求。在我国境内运营中收集和产生的个人信息和重要数据，应当在境内存储。因业务需要，确需向境外提供的，应当进行安全评估。个人信息出境，应向个人信息主体说明数据出境的目的、范围、内容、接收方及接收方所在的国家或地区，并经其同意。行业主管部门负责本行业数据出境安全评估工作，定期组织开展本行业数据出境安全检查。
08
第三十八条关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。
本条规定了关键信息基础设施运营者开展安全检测评估的规定。安全检测评估活动主要包括等级测评、风险评估、渗透测试等第三方检测机构的技术服务活动。
09
第三十九条国家网信部门应当统筹协调有关部门对关键信息基础设施的安全保护采取下列措施：
(一)对关键信息基础设施的安全风险进行抽查检测，提出改进措施，必要时可以委托网络安全服务机构对网络存在的安全风险进行检测评估；
(二)定期组织关键信息基础设施的运营者进行网络安全应急演练，提高应对网络安全事件的水平和协同配合能力；
(三)促进有关部门、关键信息基础设施的运营者以及有关研究机构、网络安全服务机构等之间的网络安全信息共享；
(四)对网络安全事件的应急处置与网络功能的恢复等，提供技术支持和协助。
本条规定了关键信息基础设施保护中应当统筹协调采取的措施。国家网信部门应当统筹协调有关部门积极支持，网络安全职能部门、行业主管部门、信息安全企业等充分发挥作用，形成合力，支持关键信息基础设施运营者对关键信息基础设施的安全保护采取安全监测、通报预警、态势感知、风险评估、应急演练、信息共享、应急处置等措施，建立关键信息基础设施综合防御体系，提高综合防御能力。
