编者按
明天起，《数据安全法》《要害信息基础设施平安爱护条例》《网络产品安全漏洞治理规定》这三部对网络安全行业意义重大的政策法规正式施行，它们无一例外对企业的网络安全主体责任做了具体的明确和标准。
同样在明天实施的法规，还有新订正的《中华人民共和国平安生产法》。本文将以大家容易了解的“生产平安”作为比照和参照，来解读“网络安全”相干政策，探讨新规之下的企业和管理层该当如何转换视角，了解和践行肩负的网络安全主体责任。
作者：晓 丹
编辑：罐 子
专家反对：陈颢明
2021 年 6 月，政府颁布了新订正的《中华人民共和国平安生产法》，将于 9 月 1 日正式实施，规定了管行业必须管平安、管业务必须管平安、管生产经营必须管平安，进一步明确平安生产责任。
2021 年 8 月，《党委（党组）网络安全工作责任制实施办法》颁布，从责任主体、责任范畴、责任事项、保障措施等范畴落实网络安全责任。
8 月 17 日，《要害信息基础设施平安爱护条例》正式颁布，要求履行“一把手负责制”，并设置专门平安管理机构，进一步强化和落实要害信息基础设施运营者的主体责任。
短短 3 个月工夫，从生产平安到网络安全，主体责任相干问题先后通过多部法规政策的出台和订正进行了明确和细化。
为何对于企业平安主体责任愈发器重？法规对于平安的主体责任相干问题做了哪些规定？企业如何了解和落实本人的网络安全主体责任？
网络安全主体责任正在向生产平安看齐
生产平安问题从来是企业治理的重中之重，因为波及职工生命安全、老百姓人身财产平安的小事，安全事件假使产生，将对企业的经营收入、名声口碑等方面造成重大不利影响，是企业的生存性问题。
随同数字信息时代的慢步倒退，数字转型成为企业主广泛和迫切的诉求，网络安全也因而愈发被器重，既代表着一项科技硬实力指标，也成为企业必备的防守基本功，关乎企业倒退命根子。
- 生产平安主体责任曾经成为广泛共识
通过多年的要求与具体实际，相干企业对生产平安的责任主体、责任范畴的界定了解较为清晰。比方在餐饮、制造业成熟的产业中，消防的主体责任根本已成常识，假如经营场所失火，经营者尽管是受害者然而也要负责任。不少企业外部还会将生产平安会作为罕用的工作机制和监管形式，确保从领导班子到生产线的器重。
- “三个必须”对主体责任再次进行压实
新订正的《生产安全法》提出的“三个必须”——管行业必须管平安、管业务必须管平安、管生产经营必须管平安，除了强调“一把手”对本单位平安生产的主体责任之外，更要求建立健全全员平安生产责任制，让平安生产的责任清晰落实到全员。
- 政策条例要求把网络安全与生产平安等同对待
坦白说，网络安全目前在国内大多数企业中还没有失去应有的器重。有证券界分析师指出，国内网络安全占信息化的投入比例约为 3%，而欧美等发达国家均在 10% 以上，相较甚远。现在《实施办法》和《爱护条例》的出台实质上就是明确企业一把手对企业网络安全负主体责任，只有出了网络安全事件，不仅企业会被问责，一把手也会受到较大影响。只有把网络安全与生产平安等同对待，能力真正抵挡危险，应答挑战。
以民用交通行业为例，以往企业第一负责人会主抓生产平安，定期深刻查看，毕竟人命关天，出不得半点过错。随着数字化的推动和政策的落实，当前，企业第一负责人也必须以同样的器重水平对待网络安全，定期检查。
只管相较生产平安更为欠缺、成熟的体系，企业对网络安全重要水平的认知，对其主体责任的认知还有待更多工夫来积淀、塑造，但置信《实施办法》和《爱护条例》的出台正在关上这条“认知之路”，也为网络安全产业降级提供重要推动力。
政策对网络安全主体责任做了怎么的规定？
以后整个网络安全产业有组织、有目标的网络攻击能力强悍、频繁产生，重大影响企业经营流动与营收，甚至成为“黑灰产”追捧的财产明码。
网络安全产业的标准倒退一方面有赖于对“黑灰产”等违法犯罪行为进行无力的打击，另一方面也须要企业外部从组织架构、人员、技术等方面逐渐增强安全意识和防守能力。《实施办法》《爱护条例》的配套出台就是对企业平安能力晋升的倒逼伎俩。
其中，《实施办法》将平安的责任从上到下，从执行、监管、问责的全周期管理体系进行了非常粗疏的具体和残缺，意味着国家对于网络安全畛域管理者的平安责任要求越来越高。具体体现为如下几个方面：
1.《实施办法》明确要求一把手作为网络安全第一责任人
《实施办法》第二条规定，各级对本地区本部门网络安全工作负主体责任，领导班子次要负责人是第一责任人，主管网络安全的领导班子成员是间接责任人。
过来，企业的网络安全通常由信息管理部间接负责，归 CIO（首席信息官）兼顾治理，CIO 招募管理员治理企业的网络安全。但当初，很多企业曾经成立了信息安全治理委员会来兼顾整个企业的信息安全管理工作，委员会的第一负责人即企业的第一负责人。这也意味着，一旦产生网络安全事变，企业一把手作为平安的第一负责人将会被间接追责。
2.《实施办法》首次明确网络安全被纳入审计范畴
《实施办法》第十一条规定，各级审计机关在无关部门和单位的审计中，该当将网络安全建设和绩效纳入审计范畴。
咱们通常认为波及到企业的财政、资金、经济相干的事项才须要审计，第十一条的规定正体现了网络安全曾经成为与财政、资金等同重要的事项。当网络安全被纳入审计监督范畴，将来也肯定会有配套的审计制度出台。通过审计制度来进行要求，各企业次要负责人对网络安全的器重水平和履职尽责的志愿势必将大大提高。
能够说《实施办法》的颁布推动网络安全成为 CEO 的策略关注问题，真正成为“一把手工程”。
结语
诚然网络安全主体责任的认知和具体实际与生产平安相比仍有较大差距，但随同着企业数字化的停顿放慢，更多法规政策对网络安全主体责任做明确和细分，造成更紧密、更欠缺的全周期管理体系，将会有越来越多企业领导层意识到网络安全的重要性，涌现更多具备参考性、可行性的案例实际。咱们也无妨期待，作为“一把手工程”的网络安全事业将迎来全新的、充满活力的产业风貌。