网络安全靠人民，网络安全为人民。2017年6月1号实施的《中华人民共和国网络安全法》是安全法律制度体系中一部重要法律，是网络安全领域的基本大法。《网络安全法》完善了、网络运营者、公民个人等角色的网络安全义务和责任，将原来散见于各种法规、规章中的网络安全规定上升到人大法律层面，并对网络运营者等主体的法律义务和责任做了全面规定。《网络安全法》规定，我国实行网络安全等级保护制度。网络安全等级保护制度是信息安全保障工作的基本制度、基本国策和基本方法，是促进信息化健康发展，维护安全、社会秩序和公共利益的根本保障。法规和系列政策文件明确规定，实现并完善网络安全等级保护制度，是统筹网络安全和信息化发展，完善网络安全保障体系，强化关键信息基础设施、重要信息系统和数据资源保护，提高网络综合治理能力，保障信息安全的重要手段。网络安全等级保护包括系统定级、系统备案、建设整改、等级测评和监督检查5个常规动作，贯穿信息系统的全阶段、全流程，是当今发达保护关键信息基础设施、保障网络安全的通行做法。对信息系统分级实施保护，在网络安全等级保护基础上，重点保护关键信息基础设施，能够有效地提高我国网络安全建设的整体水平，有利于在信息化建设过程中同步建设网络安全，保障网络安全与信息化建设相协调；有利于为信息系统网络安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制网络安全建设成本；有利于优化网络安全资源的配置。为了便于关键信息基础设施主管部门、运营部门、建设部门学习网络安全法、网络安全等级保护系列政策和法规内容，便于各级党委**、企事业单位开展网络安全风险评估、网络安全监测和通报预警、网络安全事件处置、网络安全保障工作全国综治考核评价工作，便于网信部门、网络安全保卫部门开展监督检查工作，在河南省**厅网络安全保卫总队的指导下，河南省信息安全等级保护工作协调小组办公室组织编写该书。

目 录
第1章 网络空间安全战略1
1.1 网络空间的新作用和新机遇1
1.2 网络空间安全面临严峻的新挑战3
1.3 战略目标与原则4
1.3.1 五大目标4
1.3.2 四项原则5
1.4 九项战略任务6
1.5 战略意义影响深远9
1.5.1 中国领导的中国自信9
1.5.2 网络强国的战略基石10
1.5.3 网络治理的解决之道10
1.5.4 网络空间安全的战略支撑点10
1.5.5 网络空间安全的中国特色11
第2章 网络安全法13
2.1 立法背景与意义13
2.2 基本内容14
2.2.1 相关概念14
2.2.2 法律框架15
2.3 法律特色18
2.3.1 网络安全基本大法18
2.3.2 三项基本原则19
2.3.3 六大显著特征19
2.3.4 九类网络安全保障制度20
2.3.5 惩罚措施23
2.3.6 全社会参与者24
2.4 十大热点话题25
第3章 从不同角度看《网络安全法》29
3.1 角度29
3.2 网信部门角度32
3.3 **部门角度34
3.4 网络用户角度36
3.5 网络运营者角度37
3.5.1 承担社会责任38
3.5.2 网络安全的责任主体38
3.5.3 做好网络安全运行工作38
3.5.4 做好个人信息保护39
3.5.5 违法信息传播的阻断40
3.5.6 网络经营者可能涉及的具体罪名40
3.6 网络产品和安全服务提供者角度42
3.6.1 服务要符合国标的强制性要求42
3.6.2 产品销售许可制度43
3.6.3 限制发布网络安全信息44
3.6.4 禁止网络犯罪和支持协助犯罪44
3.6.5 安全服务人员行业准入制度44
3.7 关键信息基础设施运营者角度45
3.7.1 关键基础设施的范围45
3.7.2 具有中国特色的网络安全管理机制46
3.7.3 严格的日常安全保护义务46
3.7.4 特殊的安全保障义务47
3.7.5 重点行业需要关注的十项重点工作48
第4章 《网络安全法》配套法律法规50
4.1 个人信息和重要数据出境安全评估办法50
4.1.1 基本概念50
4.1.2 立法目的51
4.1.3 哪些出境数据需要评估51
4.1.4 哪些数据禁止出境52
4.1.5 评估频率和责任主体52
4.1.6 网络运营者需要关注什么53
4.2 网络产品和服务安全审查办法54
4.2.1 审查对象54
4.2.2 审查用户54
4.2.3 审查内容55
4.2.4 审查工作流程55
4.2.5 第三方机构管理56
4.3 互联网新闻信息服务管理规定56
4.3.1 出台背景56
4.3.2 作用意义57
4.3.3 主要内容58
4.3.4 重点内容59
4.4 个人信息保护法规59
4.4.1 网络安全法59
4.4.2 两院关于侵犯公民个人信息入刑的主要内容61
4.4.3 两院关于侵犯公民个人信息入刑的规定64
4.4.4 侵犯公民个人信息犯罪典型案例66
4.5 关键信息基础设施安全保护条例66
4.5.1 安全保护意识的三种思维方式67
4.5.2 关键信息基础设施保护范围67
4.5.3 运营者履行的安全保护68
4.5.4 核心部门的责任69
4.6 互联网论坛社区服务管理规定70
4.6.1 互联网论坛社区服务管理规定的出台背景70
4.6.2 互联网论坛社区服务提供者要做什么70
4.6.3 互联网论坛社区服务提供者不能做什么71
4.6.4 真实身份认证72
4.7 网络安全法执法典型案例72
第5章 网络安全等级保护2.0时代77
5.1 等级保护2.0时代77
5.1.1 网络安全的现状77
5.1.2 如何理解等级保护2.079
5.1.3 开展等级保护的重要意义81
5.2 信息安全和等级保护82
5.2.1 信息安全保障82
5.2.2 信息安全模型82
5.2.3 等级保护86
5.3 网络安全等级保护的基本内容88
5.3.1 角色及其职责88
5.3.2 工作环节89
5.3.3 实施过程的基本要求91
5.3.4 实施等级保护的基本原则92
5.4 信息安全等级保护的政策依据93
5.4.1 法律和政策依据93
5.4.2 **机关开展等级保护工作的依据94
5.5 信息安全等级保护的标准体系96
5.5.1 信息安全等级保护相关标准体系99
5.5.2 信息安全等级保护主要标准简介103
5.6 信息安全等级保护的发展历程和工作现状106
第6章 等级保护107
6.1 定级107
6.1.1 基本工作概述107
6.1.2 如何理解定级对象109
6.1.3 如何理解安全保护等级110
6.1.4 定级工作如何开展113
6.1.5 等级如何审批和变更117
6.2 备案118
6.2.1 备案需要什么资料118
6.2.2 备案工作流程118
6.2.3 如何受理备案119
6.2.4 **机关受理备案要求119
6.2.5 定级不准怎么办120
6.3 建设整改120
6.3.1 基本工作概述120
6.3.2 如何整改安全管理制度124
6.3.3 如何整改安全技术措施127
6.3.4 如何制定整改方案131
6.4 等级测评132
6.4.1 基本工作概述133
6.4.2 测评工作流程有哪些134
6.4.3 测评指标知多少141
6.4.4 测评结果是如何研判的142
6.4.5 谁来开展等级测评144
6.4.6 如何规避测评风险146
6.4.7 读懂测评报告148
6.5 网络安全等级保护151
6.5.1 体系架构151
6.5.2 等级保护指标数量153
第7章 信息安全管理和风险评估155
7.1 信息安全管理155
7.1.1 基本概念155
7.1.2 基本内容156
7.1.3 安全管理原则158
7.1.4 安全管理方法159
7.1.5 重点单位信息安全管理159
7.1.6 不履行信息网络安全管理义务罪160
7.2 信息安全治理161
7.2.1 安全治理行动原则和模型161
7.2.2 安全治理过程162
7.3 信息安全风险管理163
7.3.1 风险管理常见名称163
7.3.2 安全风险管理过程164
7.4 信息安全风险评估166
7.4.1 法规依据166
7.4.2 信息安全风险评估基本内容167
7.4.3 风险评估准备阶段169
7.4.4 资产识别阶段169
7.4.5 威胁识别阶段171
7.4.6 脆弱性识别阶段173
7.4.7 风险分析阶段173
7.4.8 风险评估所需资料174
7.5 信息安全风险处置176
7.5.1 风险处置流程176
7.5.2 风险降低178
7.5.3 风险保留178
7.5.4 风险规避179
7.5.5 风险转移179
7.5.6 风险接受179
7.5.7 风险沟通179
7.5.8 风险监视180
第8章 网络安全事件管理和应急响应181
8.1 法规依据181
8.1.1 中华人民共和国突发事件应对法181
8.1.2 中华人民共和国网络安全法182
8.1.3 突发公共事件总体应急预案183
8.1.4 突发事件应急预案管理办法184
8.1.5 信息安全技术信息安全事件分类分级指南185
8.1.6 网络安全事件应急预案185
8.2 网络安全事件的分类分级管理186
8.2.1 七类网络安全事件186
8.2.2 四级网络安全事件186
8.3 组织机构和保障措施188
8.3.1 多层组织机构188
8.3.2 十大保障措施188
8.4 监测和预警190
8.4.1 预警分级190
8.4.2 预警监测190
8.4.3 预警研判和发布190
8.5 网络安全事件应急处置191
8.5.1 发生事件要及时报告191
8.5.2 四级别应急响应191
8.5.3 应急结束后的通报制度192
8.6 如何制定应急响应预案192
8.6.1 总则192
8.6.2 角色及职责193
8.6.3 预防、监测和预警机制193
8.6.4 应急处置流程194
8.6.5 保障措施和监督管理196
8.7 如何做好网络安全事件应急预案196
8.7.1 做到六个必须196
8.7.2 抓好七个关键点198
8.7.3 防止三大问题出现200
8.7.4 做好网络安全事件的日常管理工作200
第9章 网络安全监测预警和信息通报202
9.1 法规依据202
9.1.1 中华人民共和国网络安全法202
9.1.2 关于加快推进网络与信息安全信息通报机制建设的通知203
9.1.3 十三五信息化规划204
9.1.4 关于加强网络安全信息通报预警工作的指导意见204
9.1.5 关于加强智慧城市网络安全管理工作的若干意见204
9.1.6 互联网网络安全信息通报实施办法205
9.2 信息通报中心205
9.2.1 信息通报中心组建205
9.2.2 信息通报中心职责205
9.2.3 信息通报中心成员与职责206
9.2.4 建立信息通报日常工作机制207
9.3 信息通报中心工作规范208
9.3.1 信息通报中心工作内容208
9.3.2 信息通报内容和方式208
9.3.3 网络安全事件通报处置209
9.3.4 信息通报机制209
9.3.5 签订网络安全承诺书209
第10章 网络安全保障工作综治考核211
10.1 背景和意义211
10.2 综治考评法规依据212
10.2.1 综治工作（平安建设）考核评价实施细则212
10.2.2 健全落实社会治安综合治理领导责任制规定213
10.2.3 网络安全保障工作全国综治考核评价213
10.2.4 加强社会治安防控体系建设214
10.3 网络安全保障工作考核指标214
10.3.1 信息安全等级保护工作214
10.3.2 网络与信息安全通报预警工作215
10.3.3 重要信息系统和**网站发生的案（事）件情况215
10.3.4 综合防控和打击网络规范犯罪情况216
10.3.5 网络社会治安防控体系建设216
10.3.6 信息安全服务管理工作216
第11章 网络安全监管218
11.1 **机关监督检查工作的法规依据218
11.1.1 中华人民共和国计算机信息系统安全保护条例218
11.1.2 中华人民共和国警察法219
11.1.3 关于信息安全等级保护工作的实施意见219
11.1.4 信息安全等级保护管理办法219
11.1.5 **机关信息安全等级保护检查工作规范220
11.1.6 关于开展信息安全等级保护专项监督检查工作的通知220
11.2 **机关的监督检查工作内容220
11.2.1 工作目的220
11.2.2 信息安全等级保护监督检查内容220
11.2.3 检查方式和检查要求222
11.2.4 **机关对不符合监督检查工作要求的处理223
11.3 **和互联网网站的安全监管工作224
11.3.1 网站安全管理的重要性和紧迫性224
11.3.2 网站安全现状和常见威胁分析224
11.3.3 **网站监管工作的法规依据226
11.3.4 **机关的网站监管工作内容229
11.4 新型智慧城市安全监管233
11.4.1 智慧城市概述233
11.4.2 新型智慧城市235
11.4.3 政策和标准体系238
11.4.4 智慧城市中的新一代信息技术240
11.4.5 智慧城市中的新技术安全246
11.4.6 智慧城市安全监管253
11.4.7 **机关要做好智慧城市网络安全监管工作255
附录A 中华人民共和国网络安全法256
章 总则256
第二章 网络安全支持与促进257
第三章 网络运行安全258
第四章 网络信息安全260
第五章 监测预警与应急处置261
第六章 法律责任262
第七章 附则264
附录B 互联网论坛社区服务管理规定265
附录C 关键信息基础设施安全保护条例267
章 总则267
第二章 支持与保障268
第三章 关键信息基础设施范围268
第四章 运营者安全保护269
第五章 产品和服务安全270
第六章 监测预警、应急处置和检测评估270
第七章 法律责任271
第八章 附则272
参考文献273