加强网络安全标准化支撑网络安全法实施

11月7日，全国人大常委会表决通过了《网络安全法》。作为我国网络安全领域首部综合性、框架性的基础法律，这部法律对网络安全标准化工作给予了大量关注，不仅将其提升到前所未有的战略高度，也对标准化工作本身提出了更高要求。归根结底，标准是法规落地执行的“操作手册”，也是安全产品、管理、评估等各个环节的“通用语言”。那么，《网络安全法》究竟在标准化方面“划”了哪些“重点”？后续的标准化工作又该如何推进？

一、《网络安全法》赋予网络安全标准更高的使命

网络安全标准的核心作用，可以概括为四个“器”：它是政策法规落地的“保障器”，是网络安全管理的重要“手段”，是安全防范的“工具”，也是技术研发和产业发展的“支撑器”。在构建安全网络空间、推动网络治理体系变革的过程中，标准发挥着基础性、规范性和引领性的作用。 《网络安全法》直接提及“标准”或“规范”的条款共有7条（第七条、第十条、第十一条、第十五条、第二十二条、第二十三条、第二十九条）。归纳来看，法律对标准化工作的要求主要集中在四个方面：第一，要以标准体系为“纲”，推动网络安全防护体系的整体建设；第二，要以强制性标准为“刀”，用国家强制力保障核心领域的网络安全；第三，要以国家和行业标准为“绳”，引导网络空间治理和行业自律；第四，要以重要领域标准为“基”，加快提升整体安全防护水平。 当然，法律中提到的关键信息基础设施保护、个人信息保护等条款，虽然没直接写“标准”二字，但标准同样是它们落地实施不可或缺的技术支撑。可以说，未来很长一段时期，网络安全标准将充分发挥提升国家网络安全管理、促进产业发展、保障民生的重要作用，成为《网络安全法》落实的“最强助攻”。

二、加强网络安全标准化工作，切实落实《网络安全法》相关要求

今年8月，中央网信办、国家质检总局、国家标准委三部门联合发布了《关于加强国家网络安全标准化工作的若干意见》（以下简称《若干意见》）。这份文件可以看作是落实《网络安全法》标准化要求的“操作指南”，也是指导当前和今后一段时期我国网络安全标准化工作的顶层设计。结合《若干意见》的部署和《网络安全法》的要求，接下来标准化工作将重点围绕以下几个方面展开。 **一是建立完善网络安全标准体系。** 网络安全标准体系，本质上是一幅“蓝图”——它把网络安全领域内所有有内在联系的标准组织成一个科学有机的整体，让标准制定不再是“头疼医头、脚疼医脚”。《网络安全法》第十五条明确提出了建立和完善标准体系的要求。近年来，在国家网信办、国标委等主管部门的推动下，我国已初步建立了网络安全标准化工作体系和标准体系，发布了190项信息安全国家标准，涵盖基础标准、技术与机制、安全管理、安全评估以及保密、密码和通信安全等多个领域。这些标准为国家和社会网络安全保障提供了有力支撑。 《网络安全法》的出台，为依法治理、依规治理、依标治理的新体系筑牢了根基。《若干意见》也明确要求“科学构建标准体系”，并强调要推动网络安全标准与国家相关法律法规的配套衔接。接下来，全国信息安全标准化技术委员会将在主管部门指导下，组织企业、研究机构、高校和行业专家深入研讨，加快完善标准体系，定期发布标准体系建设指南，确保标准制定工作有计划、有步骤地推进。重点领域包括网络安全审查、网络空间可信身份、工业控制系统安全、大数据安全、智慧城市安全等，在这些方向上，会加快制定推荐性国家标准。 **二是加快核心领域强制性国家标准制定。** 在网络安全领域，强制性国家标准可不是“纸老虎”，它是行政法规赋予强制力的技术法规，是保障国家关键领域网络安全的有力抓手。《网络安全法》第十一条、第二十二条、第二十三条都对强制性标准提出了要求，明确其在提升防护能力、关键产品检测等方面的关键作用。 随着技术和产业的飞速发展，网络安全强制性国家标准必须跟上新形势、新要求。《若干意见》也明确提出，要按标准化工作改革方案的要求，整合精简强制性标准，优先在国家关键信息基础设施保护、涉密网络等领域制定强制性国家标准。更进一步，还要研究在关键信息基础设施保护、个人信息保护等关系国家安全和国计民生的核心领域，制定具有强约束力的标准，真正用“硬标准”锁住安全底线。 **三是提升标准质量，加强标准宣贯。** 标准质量是标准能否落地的生命线。要落实《网络安全法》的要求，首先要从标准质量抓起。具体措施包括：鼓励和吸收更多产业界的一线专家实质性参与标准制定的全生命周期；缩短标准制修订周期；建立完备的标准制定过程管理制度和工作程序。通过这些举措，有效提高标准的适用性、先进性和规范性。 标准的研制和宣贯必须“两手抓、两手都要硬”。一方面，要利用传统媒体和互联网等多种渠道，加大对标准的解读和宣传力度；另一方面，要加快制定指南、解读、案例等配套文件。同时，邀请产业界、学术界的专家从不同角度撰写标准解读文章，让一线工程师和管理者能更透彻地理解、更高效地使用标准。定期开展优秀标准应用案例的征集活动，推广实施效果好、示范效应强的标准。此外，还要加强标准专业机构的基础能力建设，提升我国在标准化战略和基础理论方面的研究能力，以及标准的验证和符合性测试能力。最终，让网络安全标准真正为国家、为产业、为人民提供优质服务。 **四是加强国际标准化工作。** 网络安全标准化工作在提升国际话语权、推动企业“走出去”等方面，其重要性怎么强调都不为过。目前来看，我国网络安全国际标准化工作相对薄弱，具体表现为国际标准注册专家人数少、参加国际会议的专家数量少、在会议上发言的机会少——整体参与程度较低。 《网络安全法》第七条明确提出了积极开展标准制定方面的国际交流与合作的要求，《若干意见》也对国际标准化工作做了重点部署。后续的重点是坚持国际标准化与国内标准化工作并重，打造一支专业精、外语强的复合型国际标准化专家队伍，提高国际标准注册专家数量和参会人数，推动我国专家在国际标准化组织中担任更多职务、提出更多提案、贡献更多力量，真正实质性参与国际标准制定。同时，积极采用适用于我国国情的国际标准，推动将我国自主制定的国家标准转化为国际标准。积极参与网络空间国际规则和标准规则的制定，切实提升我国的国际话语权。 《网络安全法》的颁布，开启了网络安全标准研制工作的新篇章。围绕这部法律的重点工作部署，网络安全标准化工作者将肩负起使命，努力做好各项工作的贯彻落实，为网络强国战略保驾护航。