我国信息安全法律法规体系中的计算机网络安全管理

随着经济全球化和信息化的快速发展,信息安全威胁日益严峻。恶性病毒的危害、黑客攻击的日益猖獗、垃圾邮件的不断侵扰及不良信息内容的肆意传播,使得全球信息安全形势愈发严峻。美国、俄罗斯、日本和韩国等国家均把信息安全摆到与国家安全同等高度进行了相应的机构整合,制定了指导整个国家信息安全发展的战略和规划。我国政府对信息安全工作也给予了高度重视,进一步明确了国家信息安全领导体制,组织研究国家信息安全发展战略,实行积极防御、综合防范的方针,全面、系统地规划我国的信息安全保障体系建设。

在我国信息安全保障体系的建设中,法律环境的建设是必不可少的一环,也可以说是至关重要的一环,信息安全的基本原则和基本制度、信息安全保障体系的建设、信息安全相关行为的规范、信息安全中各方权利义务的明确、违反信息安全行为的处罚等,都是通过相关法律法规予以明确的。有了一个完善的信息安全法律体系,有了相应的严格司法、执法的保障环境,有了广大机关、企事业单位及个人对法律规定的遵守及应尽义务的履行,才可能创造信息安全的环境,保障国家、经济建设和信息化事业的安全。经过十多年的发展,目前我国现行法律法规及规章中,与信息安全有关的已有近百部,它们涉及网络与信息系统安全、信息内容安全、信息安全系统与产品、保密及密码管理、计算机病毒与危害性程序防治、金融等特定领域的信息安全、信息安全犯罪制裁等多个领域,在文件形式上,有法律、有关法律问题的决定、司法解释及相关文件、行政法规、法规性文件、部门规章及相关文件、地方性法规与地方政府规章及相关文件多个层次,初步形成了我国信息安全的法律法规体系。^[1]

1.我国信息安全法律法规体系的组成

按照法律位阶列举如下。

（1）法律类

①《中华人民共和国刑法》（1997年3月14日全国人民代表大会修订,1997年10月1日起施行）。

②《全国人大常委会关于维护互联网安全的决定》（2000年12月28日第九届全国人民代表大会常务委员会第十九次会议通过）。

③《中华人民共和国电子签名法》（2004年8月28日第十届全国人民代表大会常务委员会第十一次会议通过,2005年4月1日起施行）。

（2）行政法规类

①《计算机软件保护条例》（2001年10月1日国务院发布并实施）。

②《中华人民共和国计算机信息系统安全保护条例》（1994年2月18日国务院发布并施行）。

③《中华人民共和国计算机信息网络国际联网管理暂行规定》（1996年2月1日国务院发布并施行,根据1997年5月20日《国务院关于〈中华人民共和国计算机信息网络国际联网管理暂行规定〉的决定》修正公布）。

④《中华人民共和国电信条例》（2000年9月25日国务院发布并施行）。

⑤《互联网信息服务管理办法》（2000年9月20日国务院发布并施行）。

⑥《信息网络传播权保护条例》（2006年7月1日国务院发布并施行）。

（3）司法解释类

《关于审理扰乱电信市场管理秩序案件具体应用法律若干问题的解释》（2000年5月12日最高人民法院发布,2000年5月24日起施行）。

（4）行政规章类

①《计算机信息网络国际联网出入口信道管理办法》[1996年4月9日原邮电部（现为工业和信息化部）发布并施行]。

②《计算机信息网络国际联网安全保护管理条例》（1997年12月11日由国务院批准,1997年12月30日由公安部发布并施行）。

③《中华人民共和国计算机信息网络国际联网管理暂行规定实施办法》（1998年2月13日国务院信息化工作领导小组发布并施行）。

④《计算机信息系统国际联网保密管理暂行规定》（1998年2月26日国家保密局发布并实行）。(www.xing528.com)

⑤《计算机信息系统国际联网保密管理规定》（国家保密局发布,2000年1月1日起施行）。

⑥《计算机病毒防治管理办法》（2000年4月26日公安部发布并施行）。

⑦《互联网电子公告服务管理规定》[2000年11月7日原信息产业部（现为工业和信息化部）发布并施行]。

⑧《互联网站从事登载新闻业务管理暂行规定》（2000年11月7日国务院新闻办公室、信息产业部发布并施行）。

（5）其他

《关于对〈中华人民共和国计算机信息系统安全保护条例〉中涉及的“有害数据”问题的批复》（1996年5月9日公安部发布）。

2.我国信息安全法律法规体系的主要特点

（1）信息安全法律法规体系初步形成

目前,我国现行法律法规及规章中,与信息安全直接相关的是65部,它们涉及网络与信息系统安全、信息内容安全、信息安全系统与产品、保密及密码管理、计算机病毒与危害性程序防治、金融等特定领域的信息安全、信息安全犯罪制裁等多个领域,在文件形式上,有法律及有关法律问题的决定、司法解释及相关文件、行政法规、法规性文件、部门规章及相关文件、地方性法规与地方政府规章及相关文件多个层次。

其中,全面规范信息安全的法律法规有18部,包括1994年的《中华人民共和国计算机信息系统安全保护条例》等法规,也包括2003年的《广东省计算机信息系统安全保护管理规定》,1998年的《重庆市计算机信息系统安全保护条例》等地方法规；侧重于互联网安全的有7部,包括2000年《全国人民代表大会常务委员会关于维护互联网安全的决定》等法律层面的文件,也包括1997年的《计算机信息网络国际联网安全保护管理办法》等部门规章：侧重于信息安全系统与产品的有3部,包括1997年的《计算机信息系统安全专用产品检测和销售许可证管理办法》等部门规章；侧重于保密的有10部,既包括1989年的《中华人民共和国保守国家秘密法》等法律,也包括1998年的《计算机信息系统保密管理暂行规定》、2000年的《计算机信息系统国际联网保密管理规定》、1997年的《农业部计算机信息网络系统安全保密管理暂行规定》等部门规章；侧重于密码管理及应用的有5部,包括1999年的《商用密码管理条例》等法规,也包括2005年的《电子认证服务管理办法》《电子认证服务密码管理办法》等部门规章,还包括2002年的《上海市数字认证管理办法》、2001年的《海南省数字证书认证管理试行办法》等地方法规或规章；侧重于计算机病毒与危害性程序防治的有9部,包括2000年的《计算机病毒防治管理办法》等部门规章,也包括1994年的《北京市计算机信息系统病毒预防和控制管理办法》、2002年的《天津市预防和控制计算机病毒办法》等地方法规或规章；侧重于特定领域信息安全的有9部,包括1998年的《金融机构计算机信息安全保护工作暂行规定》、2003年的《铁路计算机信息系统安全保护办法》、2005年的《证券期货业信息安全保障管理暂行办法》等部门规章,也包括2003年的《广东省电子政务信息安全管理暂行办法》等地方法规或规章；侧重于信息安全监管的有3部,包括2004年的《上海市信息系统安全测评管理办法》等地方法规或规章；侧重于信息安全犯罪处罚的主要是我国刑法第285条、第286条、第287条等相关规定。

总体来看,这些信息安全法律法规或多或少所体现的我国信息安全的基本原则可以简单归纳为国家安全、单位安全和个人安全相结合的原则,等级保护的原则,保障信息权利的原则,救济原则,依法监管的原则,技术中立原则,权利与义务统一的原则；而基本制度可以简单归纳为统一领导与分工负责制度,等级保护制度,技术检测与风险评估制度,安全产品认证制度,生产销售许可制度,信息安全通报制度,备份制度等。

（2）与信息安全相关的司法和行政管理体系迅速完善

有了《中华人民共和国刑法》第217、第218、第285、第286、第287、第288条,《全国人民代表大会常务委员会关于维护互联网安全的决定》《中华人民共和国计算机信息系统安全保护条例》《电信条例》《互联网信息服务管理办法》等法律依据,有了《最高人民法院最高人民检察院关于办理利用互联网、移动通信端、声讯台制作、复制、出版、贩卖、传播、淫秽电子信息刑事案件具体应用法律若干问题的解释》等司法解释,一些危害信息安全的案例迅速得到裁判,如广州市中级人民法院裁判的吕薛文破坏计算机信息系统案、乌鲁木齐市中级人民法院裁判的何朴利用其担任银行计算机操作员的职务便利贪污巨额公款案等,震慑了违法犯罪分子,维护了计算机信息网络的正常秩序。经过多年的工作,在我国信息安全行政管理方面,信息安全保障体系建设也已初见成效,与信息安全法律法规体系相配套的标准体系建设、应急处理体系建设、等级保护体系建设、电子认证体系建设、安全测评体系建设、计算机病毒疫情调查和控制体系建设,以及违法和不良信息举报制度建设等都得到较快的发展,为电子政务、电子商务及信息化做出了贡献。

（3）目前,法律规定中法律少而规章等偏多,缺乏信息安全的基本法

虽然可以说目前我国信息安全的法律体系已初步形成,但还很不成熟,在这一体系中,部门规章、地方法规及规章等占了绝大多数,而法律、法规只占到65部中的8部,为12%。部门规章、地方法规及规章等效力层级较低,适用范围有限,相互之间可能产生冲突,也不能作为法院裁判的依据,直接影响了这些措施的效果。并且十分关键的是,目前我们还没有一部信息安全的基本法,对于信息安全的基本法,我们理解为一部确立信息安全的基本原则、基本制度及一些核心内容的法律,而我们前面提到的很多规定都应是从这部法律的基本框架中延伸出来的,只有有了这部法律,我们的信息安全法律体系才能说是有了主干。国外类似的法律如美国2002年的《联邦信息安全管理法》、1987年的《计算机安全法案》,俄罗斯1995年的《联邦信息、信息化和信息保护法》等。

（4）相关法律规定篇幅偏小,行为规范较简单

我国现有信息安全相关法律规定普遍存在的问题是篇幅较小,规定得比较笼统,如《全国人民代表大会常务委员会关于维护互联网安全的决定》共7条,《中华人民共和国计算机信息系统安全保护条例》共31条,《中华人民共和国计算机信息网络国际联网管理暂行规定》共17条,《计算机信息网络国际联网安全保护管理办法》（公安部）共25条,《互联网信息服务管理办法》共27条,《计算机信息系统安全专用产品检测和销售许可证管理办法》（公安部）共26条,《商用密码管理条例》共27条,《计算机信息系统国际联网保密管理规定》（国家保密局）共20条,《计算机病毒防治管理办法》（公安部）为22条。

此外,总体来看,目前这些法律法规主要存在3个有待完善的地方：第一,这些法律法规主要内容集中在对物理环境的要求、行政管理的要求等方面,对于涉及信息安全的行为规范一般都规定得比较简单,在具体执行上指引性还不是很强；第二,目前这些法律法规普遍在处罚措施方面规定得不够具体,导致在信息安全领域实施处罚时的法律依据不足；第三,在一些特定的信息化应用领域,如电子商务、电子政务、网上支付等,相应的信息安全规范相对欠缺,有待于进一步发展。

（5）与信息安全相关的其他法律有待完善

在建立健全信息安全法律体系的同时,与信息安全相关的其他法律法规的出台和完善也非常必要,如电信法、个人数据保护法等,这些法律法规与信息安全法律体系一起构成我国信息安全的法律大环境并且互为支撑、缺一不可。