《员工数据合规培训体系搭建》
第4章 核心法律法规（三）
4、核心法律法规（三）：《网络安全法》（CSL）与关键信息基础设施保护
《中华人民共和国网络安全法》（CSL）于2017年6月1日正式施行，是我国网络安全领域的基础性法律。该法确立了网络安全等级保护制度，并首次在法律层面明确了关键信息基础设施（CII）的概念及其特殊保护要求。作为企业数据合规培训的核心内容，每一位员工都应当理解CSL的基本框架与CII保护的责任边界。
4.1 《网络安全法》核心框架
CSL共七章七十九条，构建了“一个中心、三重防护、持续监测”的合规体系。以下为法律核心要素的归纳：
| 章节 | 核心内容 | 企业合规要点 |
|---|---|---|
| 第一章 总则 | 立法目的、适用范围、监管职责 | 明确企业网络安全主体责任 |
| 第二章 网络安全支持与促进 | 国家战略、标准体系、人才培养 | 参与行业标准制定，开展内部培训 |
| 第三章 网络运行安全 | 等级保护制度、CII保护、安全义务 | 落实等保2.0，建立安全管理制度 |
| 第四章 网络信息安全 | 用户信息保护、违法信息处置 | 数据分类分级，用户同意机制 |
| 第五章 监测预警与应急处置 | 安全监测、通报预警、应急预案 | 建立安全事件响应流程 |
| 第六章 法律责任 | 行政处罚、刑事责任、民事赔偿 | 违规后果：最高100万元罚款+吊销执照 |
4.2 关键信息基础设施（CII）识别与保护
CII是指一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的信息基础设施。根据《关键信息基础设施安全保护条例》，以下行业通常被纳入CII范围：
- 能源（电力、石油、天然气）
- 交通（航空、铁路、水路、公路）
- 金融（银行、证券、保险）
- 通信与互联网（骨干网、云平台）
- 电子政务（政府服务平台）
- 水利、医疗、教育等公共服务领域
CII运营者需额外履行的五大核心义务：
- 设置专门安全管理机构和安全管理负责人
- 对CII进行安全检测评估（每年至少一次）
- 采购网络产品和服务应通过安全审查
- 数据境内存储，确需出境的应进行安全评估
- 制定网络安全事件应急预案并定期演练
4.3 员工合规行为指南
作为企业员工，在日常工作中应遵守以下CSL合规红线：
| 场景 | 合规要求 | 禁止行为 |
|---|---|---|
| 账号管理 | 使用强密码，开启MFA | 共享账号、使用弱口令 |
| 数据处理 | 遵循最小必要原则 | 私自导出、拷贝敏感数据 |
| 系统操作 | 按权限操作，记录日志 | 越权访问、删除日志 |
| 外部合作 | 签署保密协议，安全审查 | 向第三方泄露内部信息 |
| 事件报告 | 发现异常立即上报 | 隐瞒、迟报安全事件 |
4.4 违规案例警示
案例：某金融科技公司因未对CII进行安全检测评估，导致核心交易系统被植入后门，造成客户数据泄露约50万条。监管部门依据CSL第59条，对该公司处以80万元罚款，并对直接负责的主管人员处以5万元罚款。
教训：
- CII运营者必须严格执行年度安全检测评估义务
- 安全事件发生后应在1小时内向主管部门报告
- 员工发现系统异常应立即通过内部渠道上报
📌 本节核心记忆点：
- CSL是网络安全领域的基本法，确立了等级保护与CII保护制度
- CII覆盖能源、交通、金融、通信等关键行业
- CII运营者需履行五大义务：设机构、做评估、审供应链、数据存境内、有预案
- 员工合规行为：不共享账号、不越权访问、不泄露数据、及时报告