網(wǎng)站不做保的將面臨處罰
《網(wǎng)絡(luò)安全法》第二十一條規(guī)定:
網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求，履行下列安全保護(hù)義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改：
《網(wǎng)絡(luò)安全法》第三章第三十四條規(guī)定：除本法第二十一條的規(guī)定外，關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者還應(yīng)當(dāng)履行下列安全保護(hù)義務(wù)：（一）設(shè)置專門安全管理機(jī)構(gòu)和安全管理負(fù)責(zé)人，并對(duì)該負(fù)責(zé)人和關(guān)鍵崗位的人員進(jìn)行安全背景審查；（二）定期對(duì)從業(yè)人員進(jìn)行網(wǎng)絡(luò)安全教育、技術(shù)培訓(xùn)和技能考核；（三）對(duì)重要系統(tǒng)和數(shù)據(jù)庫進(jìn)行容災(zāi)備份；（四）制定網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案，并定期進(jìn)行演練；（五）法律、行政法規(guī)規(guī)定的其他義務(wù)。
《網(wǎng)絡(luò)安全法》第六章第五十九條：拒不改正或者導(dǎo)致危害網(wǎng)絡(luò)安全等后果的，處一萬元以上十萬元以下罰款；對(duì)直接負(fù)責(zé)的主管人員處五千元以上五萬元以下罰款。
解讀：
網(wǎng)絡(luò)運(yùn)營者應(yīng)當(dāng)設(shè)置專門安全管理機(jī)構(gòu)以及負(fù)責(zé)人，來保障網(wǎng)站的安全，若導(dǎo)致危害網(wǎng)絡(luò)安全等后果，將面臨罰款。
案列：
（一）重慶永川公安經(jīng)核實(shí)發(fā)現(xiàn)，某私立醫(yī)院因未按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求履行安全保護(hù)義務(wù)造成業(yè)務(wù)癱瘓——醫(yī)院HIS、LIS、PACS、EMR等后臺(tái)系統(tǒng)業(yè)務(wù)以及醫(yī)院網(wǎng)站等主要系統(tǒng)業(yè)務(wù)全部放置在同一套服務(wù)器中，未安裝邊界防護(hù)設(shè)備、未安裝日志行為審計(jì)設(shè)備，未設(shè)置數(shù)據(jù)安全備份策略等其他網(wǎng)絡(luò)安全技術(shù)措施，使得黑客可以通過互聯(lián)網(wǎng)攻破醫(yī)院系統(tǒng)后植入勒索病毒，導(dǎo)致醫(yī)院業(yè)務(wù)停擺。針對(duì)此案，公安部門對(duì)醫(yī)院按照《中華人民共和國網(wǎng)絡(luò)安全法》第五十九條之規(guī)定，對(duì)醫(yī)院處以罰款一萬元，對(duì)直接負(fù)責(zé)的主管人員處以罰款五千元的行政處罰。
（二）江蘇泰州某事業(yè)單位集中監(jiān)控系統(tǒng)遭黑客攻擊破壞。經(jīng)查，該單位網(wǎng)絡(luò)安全意識(shí)淡薄，曾因存在安全隱患、不落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度被責(zé)令整改。整改期滿后，未采取有效管理措施、技術(shù)防護(hù)措施。泰州警方依據(jù)《網(wǎng)絡(luò)安全法》第21條、第59條規(guī)定，對(duì)該單位予以6萬元罰款，對(duì)相關(guān)責(zé)任人予以2萬元罰款，同時(shí)責(zé)令該單位停機(jī)整頓，開展定級(jí)備案、測評(píng)整改等網(wǎng)絡(luò)安全等級(jí)保護(hù)工作。
哪些單位需要做等級(jí)保護(hù)
《中華人民共和國網(wǎng)絡(luò)安全法》強(qiáng)調(diào)在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施實(shí)行重點(diǎn)保護(hù)，明確關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)營者負(fù)有更多的安全保護(hù)義務(wù)，并配以國家安全審查、重要數(shù)據(jù)強(qiáng)制本地存儲(chǔ)等法律措施，確保關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行安全。那么哪些單位需要做等級(jí)保護(hù)呢？
（一）政府機(jī)關(guān)：各大部委、各省級(jí)政府機(jī)關(guān)、各地市級(jí)政府機(jī)關(guān)、各事業(yè)單位等；
（二）金融行業(yè)：金融監(jiān)管機(jī)構(gòu)、各大銀行、證券、保險(xiǎn)公司等；
（三）電信行業(yè)：各大電信運(yùn)營商、各省電信公司、各地市電信公司、各類電信服務(wù)商等；
（四）能源行業(yè)：電力公司、石油公司、煙草公司；（五）企業(yè)單位：大中型企業(yè)、央企、上市公司等；
（六）其它有信息系統(tǒng)定級(jí)需求的行業(yè)與單位。
如何對(duì)網(wǎng)站做保？
示例：醫(yī)療行業(yè)
一、合理開展系統(tǒng)定級(jí)備案工作
醫(yī)療行業(yè)目前急需落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)的系統(tǒng)有兩類，一是傳統(tǒng)核心業(yè)務(wù)系統(tǒng)，二是新建融合了各種新技術(shù)的信息系統(tǒng)。開展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作的第一步就是合理對(duì)這些系統(tǒng)進(jìn)行等級(jí)保護(hù)定級(jí)。
二、常規(guī)化風(fēng)險(xiǎn)評(píng)估、等級(jí)測評(píng)工作
醫(yī)療機(jī)構(gòu)在完成定級(jí)備案工作后，由信息安全管理部門牽頭進(jìn)行安全建設(shè)整改工作，可以自行開展安全評(píng)估，或者委托第三方單位開展安全評(píng)估工作，依據(jù)等級(jí)保護(hù)標(biāo)準(zhǔn)對(duì)評(píng)估結(jié)果進(jìn)行差距分析，查看是否符合等級(jí)保護(hù)基本要求。醫(yī)療機(jī)構(gòu)根據(jù)各系統(tǒng)的定級(jí)情況，安排當(dāng)年的等級(jí)測評(píng)工作，按照要求定級(jí)為三級(jí)及以上的系統(tǒng)每年開展一次測評(píng)，選擇公安部推薦目錄中的等級(jí)保護(hù)測評(píng)機(jī)構(gòu)開展安全測評(píng)。
醫(yī)療機(jī)構(gòu)應(yīng)按照要求常規(guī)化風(fēng)險(xiǎn)評(píng)估、等級(jí)測評(píng)工作，做到定期排查系統(tǒng)安全隱患，對(duì)于不符合要求項(xiàng)，信息系統(tǒng)運(yùn)營、使用單位及時(shí)開展安全整改。一般現(xiàn)場測評(píng)工作需要1周左右時(shí)間，測評(píng)完成后對(duì)未達(dá)到安全保護(hù)等級(jí)要求的問題進(jìn)行整改，整改時(shí)間及程度依據(jù)系統(tǒng)安全現(xiàn)狀及經(jīng)費(fèi)決定，不涉及購買設(shè)備、網(wǎng)絡(luò)架構(gòu)大變動(dòng)小規(guī)模系統(tǒng)需要2周左右時(shí)間，總體測評(píng)及出具最終符合公安機(jī)關(guān)要求的測評(píng)報(bào)告需至少一月時(shí)間。
三、強(qiáng)化縱深防御能力
對(duì)系統(tǒng)進(jìn)行了全方位的風(fēng)險(xiǎn)分析，完成了等級(jí)保護(hù)測評(píng)后，就需要對(duì)測評(píng)中發(fā)現(xiàn)的問題進(jìn)行整改。最快速簡單的整改辦法就是從網(wǎng)絡(luò)整體架構(gòu)出發(fā)，完善醫(yī)療機(jī)構(gòu)網(wǎng)絡(luò)安全建設(shè)，配備并配置必要的網(wǎng)絡(luò)安全設(shè)備，形成縱深防御能力，確保系統(tǒng)中無高風(fēng)險(xiǎn)問題，其次再逐漸修正一些中低風(fēng)險(xiǎn)問題。鑒于醫(yī)療行業(yè)數(shù)據(jù)的重要性，做好數(shù)據(jù)備份、數(shù)據(jù)加密存儲(chǔ)和傳輸工作，保障醫(yī)療數(shù)據(jù)的安全
蘇公網(wǎng)安備 32010502010503號(hào)
