关于网络安全立法的思考

关于网络安全立法的思考一、网络安全是不仅限于国家网络安全无论是从逻辑上，还是从实际上，抑或是从法律上，从（攸关）主体（利益）上看，网络安全都应该包括国家网络安全、公共网络安全和私人网络安全。

所谓的国家网络安全，应该是指攸关国家安全利益的网络及其信息系统的安全。

一般来说，它包括涉及国家政治、军事和经济机密与安全的重要网络及其信息系统。

所谓的公共网络安全，是指攸关不特定多数人人身和财产利益的网络及其信息系统的安全，这是一个被忽视的网络安全问题。

实际上，网络空间跟现实空间一样，都存在所谓的公共空间及其安全问题。

这里的公共空间不是指网络空间及其信息系统的归属而言，而是指它是不特定多数人---公众可以自由访问、可能攸关不特定多数人利益的空间。

在实际中，有人利用他人网站的技术漏洞并在其中埋置木马、病毒等有害程序，一旦不特定的用户访问该网站或网页，很可能会被这些木马和病毒程序侵入，从而导致其利益损害（如窃取隐私、盗取财产等）的问题。

由于木马和病毒程序跟现实空间的危险物品一样，可以对不特定人的利益造成损害，因此，在网络上传授、制作、销售和使用木马和病毒程序的行为跟现实空间里的非法制作、运输、销售和使用危险物品一样都是一种对公共安全利益构成威胁的行为，因此，立法也应该将这些行为视为危害公共安全的行为，予以规制。

所谓的私人网络安全，实际上是指特定的个人或企业对其自己所有的网络及其信息系统所享有的安全利益不受非法侵害。

虽然针对私人网络及其信息系统的侵害属于侵权行为，规范一般的网络侵权行为应该是私法（侵权法）而非公法（网络安全法、刑法治安管理处罚法）的任务，但是，对于严重的侵害私人网络安全的行为同样应该被纳入到公法规制的范围。

目前正在起草的网络安全法草案来看，它显然只注意到了国家网络安全，而忽略了公共网络安全以及私人网络安全问题。

从现行刑法以及修正案（九）的内容来看，现行刑法第285条的款所规定的所谓“侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的”的行为实际上是针对国家网络安全利益的侵害，理应属于危害国家安全犯罪的，而不应该纳入到妨害社会管理秩序罪中予以规制的。

而从修正案的内容来看，并没有认识到现行刑法的错误并予以改正。

现行刑法第285第三款、286条第三款有关规定放在妨害社会管理秩序罪的做法是有问题的。

由于像病毒、木马等有害程序类似于现实空间的危险物品，如果利用（除了攸关国家安全利益之外的）一般网站或网页的技术漏洞埋置这些有害程序的话，很可能会使不特定的访问用户的财产利益遭受损害，符合刑法理论关于危害公共安全罪的界定。

而危害公共安全罪和妨害社会管理秩序罪是两种性质不同的犯罪，后者在社会危害性与刑事责任的轻重有显著区别。

因此，在公共网络空间上制作、传播、销售和使用有害程序的行为应该作为危害公共安全犯罪而不是妨害社会管理秩序罪来规范。

可见，现行刑法第285第三款、286第三款的规定是有问题的，而修正案中并未认识到现行法律的这种缺陷并予以改正。

因此，未来应该在完善有关内容后纳入到危害公共安全罪中进行规范。

另外，应该根据所破坏和侵入信息系统的性质区分不同的犯罪行为，而不是不加区分地把所有破坏信息系统的犯罪行为都纳入到同一种犯罪中予以规定。

从现行刑法第286条所谓的破坏计算机信息系统罪的内容来看，它并未区分不同性质的信息系统，而是笼统地把所有破坏信息系统的犯罪行为都一视同仁地纳入到妨害社会管理秩序罪中予以规定。

实际上，破坏或侵入涉及国家机密和安全的网络基础设施及其信息系统的行为和破坏或侵入一般企业或一般个人的信息系统的行为的性质和危害后果完全不同。

前者是对国家安全利益的侵害，性质最为严重；后者有的是对公共网络安全利益的侵害，其性质比较严重；有的是对私人网络安全利益的侵害，其性质最轻。

因此，从刑法理论上讲，应该区分这三种不同类型的非法侵入或破坏网络及其信息系统行为并分别纳入到危害国家安全犯罪、危害公共安全犯罪和破坏、非法侵入或破坏私人网络及其信息系统犯罪。

显然，现行刑法的这种规定是有问题的，从修正案的内容来看，它并未认识到刑法的这种缺陷并予以改正。

二、有关安全战略、规划与促进等方面的内容不应纳入到网络安全法中网络安全战略是国家根据本国的国情和所面临的国际形势就本国网络安全所采取的政策和策略，在我国它是由最高层来决策的。

因此，把这种本不应该由法律来调整的内容放在法律条文中的做法实在是令人匪夷所思。

就网络安全的规划与促进问题来说，它是属于国家的产业政策或政府政策规划方面的内容，也不应该属于法律规范所调整的内容。

而且，从草案规定的内容来看，这部分都是宣示性、很虚的条文。

总体来看，将国家战略和政策规划纳入到法律的这种做法混淆了法律与战略、政策，不仅浪费了立法资源，也破坏了法律的严肃性、可操作性。

因此，这部分应该删掉。

三、网络安全立法应该兼顾公民通信秘密和通信自由宪法第四十条规定，中华人民共和国公民的通信自由和通信秘密受法律的保护。

除因国家安全或者追查刑事犯罪的需要，由公安机关或者检察机关依照法律规定的程序对通信进行检查外，任何组织或者个人不得以任何理由侵犯公民的通信自由和通信秘密。

通信自由和通信秘密在传统时代主要体现为使用邮政通信的自由与邮政通信秘密，因此，为了落实宪法的这种规定，现行刑法第252、253条做出了保障公民享有使用邮政通信自由和通信秘密。

随着互联网的普及，网络通信已经取代了传统的邮政通信方式，现行刑法第252、253则无法适应网络通信自由和通信秘密保障要求。

因此，如何从立法上落实宪法第49条的规定，对公民使用包括电子邮件通信在内的网络通信自由和通信秘密进行保护，对实施非法监听、拦截公民通信内容的行为进行规制，已经成为刑法修改的一大任务。

然而，从网络安全法草案以及正在起草的刑法修正案的内容来看，并未着眼于网络时代公民通信自由与通信秘密权利的实现与保障对现行刑法的缺陷予以完善。

四、网络安全的保障需要双重机制来实现的对于网络安全价值的实现而言，网络安全法一方面需要通过立法保障网络及其基础设施上的软硬件本身的物理安全和逻辑安全，从而构筑起安全可信可靠的网络基础设施和信息系统。

另一方面，对于网络安全价值的实现还必须要针对外界的非法攻击和侵入行为实施有效的打击和预防，即通过立法构建起有效的法律制度来打击非法破坏、攻击和侵入网络基础设施和信息系统之盾。

纵观已经公布的网络安全法草案，其基本着眼点在于构筑安全的网络和信息系统设施，而缺乏对破坏和非法侵入行为的应有规制，因此是片面的，不利于全面和真正保障网络安全。

五、网络信息安全不等于个人信息保护信息安全在法律上和技术上讲具有不同的内涵。

技术上的信息安全是指信息本身的保密性、真实性、完整性、未授权拷贝和所寄生系统的安全性。

在我国的法律上，信息安全是具有特定含义的，即它特指信息内容本身是否合法有害，尤其是从国家安全的角度上看网络信息安全只能是指信息本身是否合法有害，而不是指个人信息保护和垃圾信息发送行为的规制问题。

但从网络安全法草案第四章有关网络信息安全的具体内容来看，它恰恰没有规定哪些信息是违法有害的，发布违法有害信息应该承担什么样的责任等内容，而基本上成为个人信息保护法和垃圾信息防治法了。

显然，这种做法是对我国法律上信息安全的误解[1]，尤其是对网络安全立法意义上的信息安全的误解和背离。

因此，有关个人信息保护和垃圾信息防治的内容有关分别由未来个人信息保护法和垃圾信息防治法来规定，而不应该在网络安全法中予以规定。

六、网络安全法应处理好与有关法律之间的关系在网络时代的今天，网络空间作为独立于陆海空天之外的第五空间，已经是国家主权的管辖范围了。

因此，保障网络空间的安全也是宪法有关国家主权和安全利益的精神体现。

网络安全既涉及到国家和公众的安全利益，又涉及到个人的通信秘密与通信安全利益。

网络上的有害信息不仅会对国家安全、公共秩序乃至个人的身心健康造成危害。

因此，对于网络不同主体的网络安全利益的保护不仅仅是一部网络安全法所能够实现的，还需要刑法、治安管理处罚法、有害信息防治法[2]、侵权责任法、（软硬件）市场准入法、政府采购法等诸多部门法的配合才能实现。

另外，从立法依据来看，网络安全法作为保障国家在网络空间安全的一部法律，它首先应该是国际安全法第25条[3]规定在网络安全领域的具体化。

七、网络安全法的指导思想与宏观架构基于上述考虑，在制定网络安全法时应该兼顾到它与宪法、国家安全法、刑法、治安管理处罚法、（软硬件）市场准入法、政府采购法、有害信息防治法和侵权责任法等法律部门之间的关系以及有关条文的和谐一致，避免在执法和法律适用时产生分歧。

然而，纵观网络安全法草案，它不仅混淆了个人信息保护法和垃圾信息防治法与网络安全法，不当地将这些本来不应该由网络安全法规制的内容拉进来了；同时对于本应该协调的部门法关系却被疏漏了。

总之，未来的网络安全法在立法上应该是有关网络安全的基本法，因此它应该坚持（宪法、刑法、民法等）规范的体系化思维，把中国互联网作为一个整体来通盘考虑整体网络安全架构；树立国家利益、社会公共利益和私人利益一体化保护的思想；既要做到分级保护，更要确保整个社会网络在软硬件上（可信）安全。

既要注重权力管理，也要注重权利保护，尤其是个人通信秘密和通信自由以及企业合法正当权益的保护。

要坚持战略性思维，既要注重网络安全，也要注意信息安全。

这里的信息安全，不仅仅是违法信息的预防和治理，还包括云计算、大数据背景下的数据安全，防止敌对国家收集我们的企业、个人的数据[4]，用以开发、制作诸如基因武器之类的恶意行为。

为此，对互联网上的数据流向进行管控，防止其流向国外并被恶意利用也应该是未来的网络安全法规范的内容。

具体说来，未来的网络安全法在宏观架构上可以概括为“三纵四横”。

所谓的三纵，是指网络安全法在体系上应该包括国家网络安全、公共网络安全和私人网络安全这三个方面。

所谓的四横，是指网络安全的具体内容上包括（软硬件设施）市场准入、运行监管、信息内容管理与数据流向管控、非法侵入行为规制这四个方面。

这里的市场准入方面，既包括软硬件设施统一的市场准入基本规则，还包括政府采购方面的基本规范。

我们现在很多人以为网络安全就是国家关键网络基础设施和信息系统的安全，至于社会公共网络安全和私人网络安全问题，不是网络安全法关注的对象。

我觉得这种观点具有偏见性，既不符合现在互联网的实际，也不符合未来互联网安全的趋势。

如果按照这种思路进行立法的话，我们维护和保障网络安全的成本会更大、效率也更低。

这是因为无论是现在乃至未来，互联网“互联”的程度越来越紧密，包括国家关键基础设施和信息系统也越来越难以完全被隔离于其他互联网。

因此，我们可以通过在关键基础设施和信息系统的市场准入方面构建基于可信安全（标准），只有符合标准的软硬件设施才可以进入，从而减少整个网络安全的隐患。