专家观点 | 以系统思维推进网络安全等级保护立法——兼谈重要数据和个人信息安全保护制度

李谦
李谦

中国信息安全

2026年10月19日 18:17
北京

去阅读

文 | 南京师范大学中国法治现代化研究院 李谦

制定网络安全等级保护条例，既要为网络用户自身合法权益维护提供充分保障，也要为网络运营者开展业务活动提供可预期、应遵循的制度要求，为网络安全监管部门高效履职提供有效依据。

今年5月公开发布的国务院2026年度立法工作计划将网络安全等级保护条例纳入预备制定项目。网络安全等级保护一端连接网络用户，一端连接网络运营者、网络安全监管部门等主体。网络安全等级保护既关系到网络用户自身合法权益维护，也关系到网络运营者规范开展业务活动，还关系到网络安全监管部门高效履职。推进网络安全等级保护立法，既要为网络用户自身合法权益维护提供充分保障，也要为网络运营者开展业务活动提供可预期、应遵循的制度要求，还要为网络安全监管部门高效履职提供有效依据，从而不断提升网络安全防范水准。

完善重要数据和个人信息安全保护制度

2018年6月，公安部公开发布的《网络安全等级保护条例（征求意见稿）》（以下简称《征求意见稿》）第三十一条规定，网络运营者应当建立并落实重要数据和个人信息安全保护制度。完善重要数据和个人信息安全保护制度，应在网络强国、数字中国建设及全面实施“人工智能+”行动下，坚持统筹发展和安全，以系统思维防范网络安全风险，营造良好网络生态。立法应保障重要数据和个人信息安全保护的适配度。要在网络安全等级保护中有效识别各种重要数据和个人信息安全风险，要加强技术、标准、制度与法律在完善重要数据和个人信息安全保护中的协同效应，特别是要在技术应用中注入标准原理和法律规则，倡导嵌入式保护。

尤其需要注意的是，人工智能时代重要数据和个人信息安全保护更应重视系统思维。来自新华社的报道显示，今年6月，一个OpenAI的AI智能体未经授权进入澳大利亚国民医疗保险体系数据门户，访问了公开及非公开文件。澳方直到9月才收到OpenAI的通报。这给重要数据和个人信息安全保护带来了诸多挑战。智能体具有较高自主性、交互性和学习能力，经API、通信协议等数据接口调用有关外部工具，与相关智能体联手后完成跨场景复杂任务，可能会引发权限滥用、数据非法访问、信息不当泄露等新型风险。妥善应对此类新型风险，要加强人、机、环境之间的协同应对。网络运营者应按照任务、场景及特定节点的变化，动态调整人机控制权，及时防控智能体非法访问。同时，网络运营者还要在场景中增设精准识别智能体的验证机制，如综合运用授权协议、接口密钥等方式，提升重要数据和个人信息安全保护适配治理的成熟度。

综合运用技术、标准与法律

建立并落实重要数据和个人信息安全保护制度，要综合运用技术、标准与法律。其本质在于通过代码、协议、数据标签等技术形式有机嵌入系统自身运行之中，其关键在于准确把握人、机、环境的互动过程。

以防范智能体非法访问重要数据和个人信息为例，决策权限方面，可通过技术先行、标准检验与制度运行的有机组合，进一步区分用户本人决策、需由用户授权决策和智能体自主决策，并可借助访问控制技术来界定授权范围。同时，智能体行为可能引发高风险场景时，制度运行上可提供用户二次授权机制，将对重要数据和个人信息的处理转化为可操作的具体流程。行为管控方面，网络运营者要通过分层区块链和包含输入验证、输出过滤、行为约束、人工干预等技术，加强安全风险精准识别和科学熔断，实现智能体访问检测和行为失控防护，有效保护重要数据和个人信息安全。

综合运用技术、标准与法律，不但可以强化重要数据和个人信息安全保护，而且可以提高网络安全监管部门履职效率。尤其是网络安全监管部门在执法中嵌入检测、追踪与处置技术时，执法效能将得到显著提高。《征求意见稿》第三十条明确了网络安全监测预警和信息通报制度。建立并落实该制度，可将硬件和软件的一体化设计融入网络安全架构中，由此可助力网络安全监管部门科学执法。此外，防范算法应用可能引发的数据安全风险，应将水印算法、元数据格式等标识技术要素纳入监管范围，这有助于网络安全监管部门结合备案内容快速识别风险来源及轨迹。

强化法律法规、部门规章、标准等规则的衔接与适用

建立并落实重要数据和个人信息安全保护制度，应注重数据安全法、个人信息保护法及相关行政法规、部门规章所涉及的法律规则衔接与适用，明确与地方性法规、地方政府规章之间的适用方法。针对重要数据和个人信息安全保护制度若干法律规则进行系统梳理，研判其衔接与适用过程中已存在的现实难题，避免规则不当叠加和适用冲突。

建立并落实的重要数据和个人信息安全保护制度，应和网络运营者的网络安全保护义务相衔接。目前，我国多部法律、行政法规和部门规章都已确立了网络运营者的网络安全保护义务体系。其中，有关数据分类分级、重要数据处理者开展的风险评估、重要数据的标签标识、数据跨境流动管理、个人信息保护影响评估等内容，对于建立并落实重要数据和个人信息安全保护制度具有重要指引作用。需要注意的是，现行网络安全保护制度所涉法律规则衔接与适用，还有待在执法和司法环节进一步考量和细化。

在此过程中，应突出重要数据和个人信息安全保护的技术标准对法律规则衔接与适用的指引功能。《征求意见稿》第三十一条规定，“采取保护措施，保障数据和信息在收集、存储、传输、使用、提供、销毁过程中的安全”。理解其中的“保护措施”，要关联运用个人信息保护法第五十一条规定的“采取相应的加密、去标识化等安全技术措施”，国家标准《信息安全技术 个人信息安全规范》（GB/T 35273-2020）中的去标识化处理，国家标准《信息安全技术 个人信息去标识化指南》（GB/T 37964-2019）中的去标识化技术规范和国家标准《信息安全技术 个人信息去标识化效果评估指南》（GB/T 42460-2023）中个人信息去标识化分级的内容，妥当进行法律规则衔接与适用。《征求意见稿》第三十一条还规定：“建立异地备份恢复等技术措施，保障重要数据的完整性、保密性和可用性”。把握其中的“异地备份恢复等技术措施”，要结合运用国家标准《信息安全技术 数据备份与恢复产品技术要求与测试评价方法》（GB/T 29765-2021）所涉技术措施的安全要求等内容，合理进行法律规则衔接与适用。此外，防范智能体应用安全风险时，还要关联考查《人工智能 智能体技术要求》（GB/Z 242-2026）等国家标准对法律规则衔接与适用的指引功能。

提升立法质量，应确保网络空间活动和业务有序开展、网络安全风险得以有效防控、违法犯罪活动得以及时制止，以及网络空间各主体合法利益得到最大程度保障。因此，要用系统思维推进网络安全等级保护立法，不断完善重要数据和个人信息安全保护制度，为营造安全有序的网络空间注入法治动能。

（来源：民主与法制时报）