3. 网络运营者安全义务：等级保护制度、日志留存、用户信息保护与安全评估

网络运营者（Network Operator）是网络安全法的核心责任主体。根据《网络安全法》第二十一条、第三十七条、第四十条至第四十五条等条款，运营者必须履行以下四大核心安全义务。本章将逐一拆解，并辅以可视化图表帮助理解。

3.1 网络安全等级保护制度

等级保护（简称“等保”）是中国网络安全的基础性制度。网络运营者应当按照国家要求，对网络进行定级、备案、建设整改、测评与持续监督。

核心流程（等保2.0）

1. 自主定级：根据业务重要性、受破坏后的危害程度，确定安全保护等级（一级至五级）。
2. 专家评审与备案：二级及以上需组织专家评审，并向公安机关备案。
3. 安全建设与整改：按照对应等级的安全要求，部署技术与管理措施。
4. 等级测评：三级及以上每年至少进行一次测评；二级每两年一次。
5. 监督检查：公安机关、网信部门定期检查。

等级保护各级别要求速查表

等级	适用对象	测评频率	核心要求
第一级	小型企业、个人网站	自行评估	基本防护，自主保护
第二级	一般企事业单位	每两年一次	指导保护，备案管理
第三级	重要信息系统、政务平台	每年一次	强制保护，安全审计
第四级	国家关键信息基础设施	每半年一次	强制保护，安全监控

3.2 日志留存义务

《网络安全法》第二十一条明确规定：网络运营者应当采取技术措施，记录并留存网络日志不少于六个月。日志是事后溯源、取证、应急响应的关键证据。

日志留存合规要点

• 留存范围：用户登录日志、操作日志、系统运行日志、安全事件日志等。
• 留存期限：至少6个月（关键信息基础设施建议1年以上）。
• 完整性保护：日志不得被篡改、删除，需采用数字签名或区块链存证。
• 访问控制：仅授权人员可查看日志，操作需留痕。

3.3 用户信息保护

网络运营者收集、使用用户个人信息，必须遵循合法、正当、必要原则，并履行以下义务：

• 明示同意：收集前需告知目的、方式、范围，并获得用户明确同意。
• 最小化收集：只收集与业务直接相关的信息，不得过度收集。
• 安全保障：采取加密、脱敏、访问控制等措施防止泄露。
• 删除权：用户有权要求删除其个人信息，运营者应在合理期限内响应。
• 泄露通知：发生个人信息泄露时，应立即采取补救措施并通知用户与监管部门。

3.4 安全评估义务

网络运营者在以下情形下，必须进行安全评估：

• 上线前评估：新系统、新功能上线前，需进行安全风险评估。
• 重大变更评估：网络架构、数据处理方式发生重大变化时。
• 数据出境评估：向境外提供个人信息或重要数据，需通过安全评估。
• 第三方合作评估：委托第三方处理数据时，需评估其安全能力。

安全评估流程

1. 识别风险：梳理资产、威胁、脆弱性。
2. 风险分析：评估可能造成的损失与影响。
3. 制定措施：提出整改方案，降低风险至可接受水平。
4. 复测验证：整改后再次测试，确保风险闭环。
5. 文档归档：保存评估报告至少3年备查。

3.5 合规要点总结

义务类别	法律依据	核心要求	违规后果
等级保护	《网络安全法》第21条	定级、备案、测评、整改	罚款1-10万元，责令改正
日志留存	《网络安全法》第21条	留存≥6个月，防篡改	罚款5-50万元
用户信息保护	《网络安全法》第40-45条	明示同意、最小化、安全保障	罚款10-100万元，情节严重停业
安全评估	《网络安全法》第37条	数据出境评估、重大变更评估	罚款5-50万元，暂停业务

💡 合规小贴士： 建议网络运营者建立“安全义务清单”制度，将等级保护、日志留存、用户信息保护、安全评估四项义务纳入日常运维SOP，并定期开展内部审计与演练。