网络安全事关党的长期执政，事关国家长治久安，事关经济社会发展和人民群众切身利益。习近平总书记强调指出，没有网络安全就没有国家安全，没有信息化就没有现代化。全国人大常委会高度重视网络安全工作，2012年12月审议通过《全国人民代表大会常务委员会关于加强网络信息保护的决定》，2016年11月审议通过《中华人民共和国网络安全法》(以下简称“一法一决定”)。根据2017年监督工作计划，全国人大常委会执法检查组于2017年8月至10月对“一法一决定”的实施情况进行了检查。现在，我代表执法检查组向常委会作报告。
一、执法检查的工作情况
8月25日，执法检查组召开第一次全体会议，传达张德江委员长的重要批示。会议听取了国家互联网信息办公室、工业和信息化部、公安部、国家新闻出版广电总局、最高人民法院关于“一法一决定”贯彻实施情况的汇报，教育部、科技部、交通运输部等单位提交了书面汇报材料。
根据安排，王晨副委员长兼秘书长、沈跃跃、张平、万鄂湘、陈竺副委员长和我六位副委员长参加这次执法检查。检查组赴内蒙古、黑龙江、福建、河南、广东、重庆等6省（区、市）进行检查，期间，检查组听取了有关省、市、县政府的汇报，先后召开30余次座谈会，实地考察了部分网络安全指挥平台和关键信息基础设施运营单位。另外，还委托12个省（区、市）人大常委会对本行政区域“一法一决定”实施情况进行检查。
为了深入了解“一法一决定”实施情况，这次执法检查在方式方法上作了一些新的尝试：一是请第三方专业机构参与。9月上旬至10月中旬，检查组在实地检查的6个省（区、市）各选取20个重要信息系统，委托中国信息安全测评中心进行漏洞扫描和模拟攻击，并就所检测系统的网络安全情况出具专业检测报告。检查组还委托中国青年报社社会调查中心就“一法一决定”中与公众关系密切的10个方面的问题，在全国31个省（区、市）进行了民意调查，出具了调查报告。共有10370人参与这次调查。第三方机构的有序参与，增强了本次检查的专业性、权威性和客观公正性。二是专家参与。考虑到网络安全专业性较强，执法检查期间，检查组先后从国家信息技术安全研究中心等单位聘请21名网络安全专家和长期从事网络安全工作的专业技术人员参加检查，为检查组提供技术支持，增强检查的针对性和实效性。三是随机抽查。各检查小组均按检查方案要求，随机选取若干关键信息基础设施运营单位，在不打招呼的情况下进行临时抽查。6个检查小组共对13个单位进行了随机抽查。远程检测的120个重要信息系统也均由执法检查组随机选取，在运营单位不知情的情况下完成检测。
二、贯彻实施“一法一决定”的做法和成效
近年来，各级党委政府认真组织学习习近平总书记系列重要讲话和关于网络安全的重要论述，深入贯彻中央关于“建设网络强国”的战略部署，把网络安全纳入经济社会发展全局来统筹谋划部署，大力推进网络安全和网络信息保护工作，法律实施取得了积极成效。
（一）深入开展宣传教育，增强网络安全意识
（二）制定配套法规政策，构建网络安全制度体系
（三）提升安全防范能力，着力保障网络运行安全
（四）治理违法违规信息，维护网络空间清朗
各地各有关部门认真落实法律要求，扎实做好网络意识形态工作，坚决清理各类违法违规信息。通过开展“扫黄打非”、“剑网”等系列行动，对互联网站、应用程序、论坛、博客、微博、公众账号、即时通讯工具、网络直播中宣扬恐怖暴力、淫秽色情等信息及时清理。2015年以来，国家互联网信息办公室等部门依法约谈违法违规网站2200余家，取消违法违规网站许可或备案、关停违法网站13000多家，有关网站按照用户服务协议关闭违法违规账号近1000万个，对网上各类违法行为形成有力震慑。中国青年报社社会调查中心提供给检查组的万人调查分析报告(以下简称“万人调查报告”)显示，在参与调查的10370人中，超过90%的受访者对治理成效给予肯定，其中有63.5%的人认为近年来网络上危害国家安全、宣扬恐怖暴力、淫秽色情等违法违规信息明显减少。法律实施主管部门还建立了网络信息巡查机制和公众举报平台，及时清理违法违规信息。重庆等地重视加强网络内容建设，积极创作优秀网络作品，做强网上正面宣传。
（五）加强个人信息保护，打击侵犯用户信息安全违法犯罪
（六）加大支持力度，推进网络安全核心技术创新
为落实网络安全法“扶持重点网络安全技术产业和项目，支持网络安全技术的研究开发和利用”等要求，科技部会同国家互联网信息办公室共同编制了专项研究计划，立足网络空间安全发展现状，围绕提高我国关键信息基础设施和数据安全的防护能力、支撑网络空间可信管理和数字资产保护、提升网络空间防护能力等目标，确立若干重点研究方向。为了加大对网络安全技术研究开发和应用的支持，科技部、工业和信息化部等部门，在“十三五”国家重点研发计划中优先启动了“网络空间安全重点专项”，投入国拨经费13.84亿元，系统部署了47项研究任务，力争到2020年，基本形成自主可控的网络空间安全核心技术体系。另外，在“科技创新2030——重大项目”中，也将优先安排一批网络空间安全重大研究项目，为提升我国信息监管、泄密窃密防范、网络防御等提供技术支持。教育部创新网络安全人才培养模式，增设了网络空间安全一级学科，与有关部门共同下发了《关于加强网络安全学科建设和人才培养的意见》，启动了一流网络安全学院建设示范项目，为网络安全技术创新提供人才支持。
三、工作中存在的困难和问题
从检查情况看，各地在贯彻实施“一法一决定”、维护网络安全方面还存在一些困难和问题。
（一）网络安全意识亟待增强
许多关键信息基础设施运营单位对网络安全的重要性认识不到位，认为受到网络攻击只是小概率事件，对可能受到的网络攻击的危害性缺乏认知。在信息化方面“重建设、轻安全；重使用、轻防护”，缺乏主动防御意识，不愿在安全防护方面进行必要投入；在处理业务信息系统可用性和安全性的关系时，往往更重视可用性，在二者有冲突时，往往会降低安全性要求。不少地方政府和部门领导干部不能从国家安全的高度认识网络安全，没有把网络安全工作列入本级政府和部门工作重要议程，或者只是口头上重视，“说起来重要，干起来次要，忙起来不要”。社会公众网络安全意识总体不强，“万人调查报告”显示，有55.4%的受访者认为，他们身边的许多人缺乏网络安全意识，对网络安全“知其然不知其所以然”。
（二）网络安全基础建设总体薄弱
（三）网络安全风险和隐患突出
为了解网络运行情况，执法检查组委托中国信息安全测评中心对随机选取的120个关键信息基础设施(60个门户网站和60个业务系统)进行了远程渗透测试和漏洞扫描。该中心出具的报告显示，本次远程测试的120个关键信息基础设施中，共存在30个安全漏洞，包括高危漏洞13个，其中某省级部门互联网监管综合平台存在越权上传、越权下载、越权删除文件等3个高危漏洞，严重威胁了系统及服务器安全，也存在严重的用户信息泄露风险。远程检测还发现，多个设区的市政府门户网站存在页面被篡改风险。执法检查组现场抽查时发现，许多单位没有依照法律规定留存网络日志，这可能导致发生网络安全事件时无法及时进行追溯和处置；有的单位从未对重要信息系统进行风险评估，对可能面临的网络安全态势缺乏认知。检查还发现，在许多单位，内网和专网安全建设没有引起足够重视，有的单位对内网系统未部署任何安全防护设施，长期不进行漏洞扫描，存在重大网络安全隐患。随着各地区各领域信息化建设的推进，各行业各领域数据化、在线化、远程化趋势更加明显，对网络安全提出了更高要求。
（四）用户个人信息保护工作形势严峻
（五）网络安全执法体制有待进一步理顺
网络安全监管“九龙治水”现象仍然存在，权责不清、各自为战、执法推诿、效率低下等问题尚未有效解决，法律赋予网信部门的统筹协调职能履行不够顺畅。一些地方网络信息安全多头管理问题比较突出，但在发生信息泄露、滥用用户个人信息等信息安全事件后，用户又经常遇到投诉无门、部门之间推诿扯皮的问题。“万人调查报告”显示，有18.9%的受访者反映，在遇到网络安全问题后，他们不知该向哪个部门举报和投诉，即使举报了也往往不予处理或者没有结果。参加座谈的多数网络运营单位反映，行政执法过程中存在不同执法部门对同一单位、同一事项重复检查且检查标准不一等问题，不同法律实施主管机关采集的数据还不能实现“互联互通”，经常给网络运营商增加额外负担。不少人认为，如果不能合理定位，准确厘清部门之间的职责，等级保护制度和关键信息基础设施保护制度落实过程中也会产生执法不协调问题。另外，检查发现，城市轨道交通控制系统等工控系统网络安全管理责任边界不清，运营单位落实网络安全责任制存在困难；通信行业监管和行政执法力量严重不足，执法力量与当前网络安全事件频发多发的严峻形势不相适应。
（六）网络安全法配套法规有待完善
不少单位反映，作为网络安全管理方面的基础性法律，网络安全法不少内容还只是原则性规定，真正“落地”还有赖于配套制度的完善。比如，网络安全法虽然对数据安全和利用作了规定，但现实中数据运用比较复杂，数据脱敏标准、企业间数据共享规则等，仍然需要有关法规规章予以明确；网络安全法仅明确了关键信息基础设施运营者数据出境需进行评估，但其他网络运营者掌握的重要数据出境是否进行安全评估，尚待进一步明确。关键信息基础设施保护制度是网络安全法一项重要制度，但对于什么是关键信息基础设施、关键信息基础设施认定的标准和程序等，目前认识尚不一致，需要配套法规予以明确。关键信息基础设施如何进行年度检测评估、网络运营者和管理部门如何统一发布网络安全预警信息、如何扶持网络安全自主知识产权等，也有待于配套法规规章予以明确。
（七）网络安全人才短缺
参与调查的10370人中，有超过69%的受访者认为，所在单位或者熟悉的人中，能够熟练从事网络安全防护的专业技术人才较少，无法满足现实需要，其中有21.6%的受访者认为所在单位基本上无人熟悉网络安全防护技术。从检查的情况看，不管是经济发达地区还是相对落后地区，网络安全技术人才都比较匮乏，现有的网络运营单位技术人才多侧重于系统使用、操作维护，对网络安全风险的监控、应急处置和综合防护能力不足，难以适应保障网络安全的需要。有的关键信息基础设施核心业务系统虽然安装了防护系统，但由于缺乏高水平的安全技术人才，不能对安全软件进行升级和打补丁，从而使网络安全防护产品难以有效发挥作用。不少政府门户网站没有专门的网络安全技术人才，网站管理人员没有接受过系统的网络安全技能培训。另外，网络安全主管部门专业人才也明显不足。受到编制、职务、薪资等因素制约，许多地方网信、公安、通信管理、工信等单位往往招不到或留不住专业技术人才，一线执法人员的专业素养和技能难以胜任网络运行安全常态化监管执法职责。
四、几点建议
根据检查情况，检查组对进一步贯彻实施“一法一决定”提出以下建议。
（一）进一步提高对网络安全重要性的认识
（二）正确处理安全和发展的关系
习近平总书记强调指出，网络安全和信息化是相辅相成的。安全是发展的前提，发展是安全的保障，安全和发展要同步推进。要充分认识到互联网在国家管理、经济发展和社会治理中的作用，继续推进电子政务、电子商务、新型智慧型城市建设，不断推进技术融合、业务融合、数据融合，打通经济社会发展的信息“大动脉”。要按照网络安全法“坚持网络安全与信息化发展并重”的要求，坚持一手抓网络和信息化发展，一手抓网络安全，“两手抓，两手都要硬”。对于网络安全，既要重视传统的信息安全和意识形态安全，营造风清气正、正能量充沛的网络空间，也要高度重视攻防能力提升，有效防范网络攻击，切实维护网络信息系统安全。要科学制定不同行业、不同单位的网络安全标准，认真研究解决有些单位提出的“网络安全合规成本过高”的问题。鼓励和支持网络安全产业的发展，发挥社会力量的作用，提供安全的产品和服务。
（三）加快完善网络安全法配套法规规章
要加快《关键信息基础设施安全保护条例》《网络安全等级保护条例》的立法进程，对实践中大家普遍感觉难以把握的问题，如什么是关键信息基础设施、如何认定关键信息基础设施等作出明确规定，并对等级保护制度和关键信息基础设施保护制度落实过程中的部门职责进一步予以明确。网信、工信、公安等部门要尽快制定配套规章或者文件，细化法律中个人信息和重要数据出境安全评估、网络数据管理、网络安全监测预警和信息通报、网络安全审查、网络安全认证和安全检测结果互认等制度。此前已制定的一些行政法规和部门规章也应根据网络安全法的要求以及法律实施中遇到的新情况新问题，及时予以修改完善。根据防范和打击网络违法犯罪的需要，加强互联网刑事立法，研究制定网络违法犯罪防治法，推动网络违法犯罪行政处罚与刑事处罚的有效衔接。
（四）着力提升网络安全防护能力
一是加快网络安全态势感知平台建设。要整合各部门资源，建立统一的全天候网络安全感知平台，以更好地发现风险、感知风险，进而构建统一高效的网络安全风险发现机制、报告机制、情报共享机制、研判处置机制，准确把握网络安全风险发生的规律、动向、趋势。二是依法组织开展风险评估。要尽快完善网络安全风险评估机制，加强对金融、能源、交通等重要行业和领域的评估，根据评估情况，适时调整网络安全工作方案和保护措施。三是定期组织应急演练。组织关键信息基础设施运营单位定期进行应急演练，使事关国家安全、关系国计民生的重要信息系统能够有效应对有组织的高强度网络攻击。四是要认真落实法律要求，加快关键信息基础设施数据的容灾备份建设，并定期开展灾备效果验证，提升信息系统的抗灾、减灾和恢复能力。要督促网络运营单位认真落实法律规定，依法留存网络日志。五是要加强网络安全保密保障体系建设，提升网络安全保密装备能力，推进网络安全保密技术保障基础设施建设。六是要大力推进国产化替代工程。加大技术研发力度，逐步提高重要工业企业信息控制系统的国产化率，提升关键信息基础设施和网络安全设备的自主可控能力。
（五）进一步加大用户个人信息保护力度
一是要加快个人信息保护法立法进程。通过专门立法，明确网络运营者收集用户信息的原则、程序，明确其对收集到的信息的保密和保护义务，不当使用、保护不力应当承担的责任，以及监督检查和评估措施。二是加强安全防护。强化数据安全监管手段建设，实施数据资源分级分类管理，推动大数据场景下的数据防窃密、防篡改、防泄露等安全技术的研发和部署。三是要认真研究用户实名制的范围和方式，坚决避免信息采集主体过多、实名登记事项过滥问题。各地区各单位对某一事项实施实名登记制度，应当有明确的法律依据。要改进实名信息采集方式，减少实名信息采集的内容。四是加大监督检查力度。建立第三方评估机制，督促网络运营和公共服务单位严格依法收集用户信息，建立健全内部管理制度，有效降低“内鬼”窃密风险。五是进一步加大打击力度。公安机关要加大对网络攻击、网络诈骗、网络有害信息等违法犯罪活动的打击力度，切断网络犯罪利益链条，持续形成高压态势，落实法律保护公民个人信息的规定，使广大公民的合法权益免受侵害。六是要完善投诉受理机制。研究建立统一高效的用户信息安全事件投诉受理机制，为用户投诉、举报提供便利，维护人民群众合法权益。
（六）强化网络安全工作统筹协调
（七）加快网络安全人才队伍建设
网络安全是技术更新最快的领域之一，网络空间的竞争，归根到底是人才的竞争；建设网络强国，最关键的资源是人才。要高度重视网络安全人才培养工作，不仅要培养精通信息系统使用和维护的技术人才，还要培养大批能够开展网络安全风险监控、应急处置和综合防护的人才，从而满足网络安全法实施提出的要求。要进一步加强网络安全学科建设，优化师资队伍结构，改革人才培养模式，培养更多满足实践需要的应用型人才。要鼓励网络和信息化人才发展体制机制改革先行先试，研究建立网络安全特殊人才培养、管理和激励制度，加大对网络安全高端人才、紧缺人才的培养、引进和支持力度，使党政机关、关键信息基础设施运营单位能够招得进、用得好、留得住精通网络安全技术的“高、精、尖”专业人才。
当前，互联网已深度融入经济发展和社会生活的方方面面，深刻改变着人们的生产和生活方式。我们要认真学习、全面贯彻党的十九大精神特别是习近平新时代中国特色社会主义思想，进一步提高政治站位，牢固树立正确的网络安全观，进一步增强贯彻实施法律的紧迫感和自觉性，推进“一法一决定”各项制度全面落实，切实维护网络空间主权和人民群众切身利益，为决胜全面建成小康社会、夺取新时代中国特色社会主义伟大胜利、实现中华民族伟大复兴的中国梦提供坚强保障。