检查对象为依法获得电信主管部门许可的基础电信企业、互联网企业、域名注册管理和服务机构建设与运营的网络和系统。重点是电信和互联网行业网络基础设施、用户信息和网络数据收集、集中存储与处理的系统、企业门户网站和计费系统、域名系统、电子邮件系统、移动应用商店、移动应用程序及后台系统、公共云服务平台、公众无线局域网、公众视频监控摄像头等重点物联网平台、网约车信息服务平台、车联网信息服务平台等。
重点检查网络运行单位落实《中华人民共和国网络安全法》《通信网络安全防护管理办法》《电信和互联网用户个人信息保护规定》等法律法规情况，电信和互联网安全防护体系系列标准符合情况，可能存在的弱口令、中高危漏洞和其他网络安全风险隐患等。
以下为通知原文：
工业和信息化部办公厅关于开展2018年电信和互联网行业网络安全检查工作的通知
工信厅网安函〔2018〕261号
各省、自治区、直辖市通信管理局，中国电信集团有限公司、中国移动通信集团有限公司、中国联合网络通信集团有限公司、中国广播电视网络有限公司，互联网域名注册管理和服务机构，互联网企业，有关单位：
为深入贯彻习近平总书记在全国网络安全和信息化工作会议上的重要讲话精神，落实关键信息基础设施防护责任，提高电信和互联网行业网络安全防护水平，根据《中华人民共和国网络安全法》、《通信网络安全防护管理办法》(工业和信息化部令第11号)、《电信和互联网用户个人信息保护规定》(工业和信息化部令第24号)，决定组织开展2018年电信和互联网行业网络安全检查工作。现将有关要求通知如下：
一、总体要求
紧紧围绕加快推进网络强国建设战略目标，深入学习领会习近平总书记关于网络安全的系列重要讲话精神，加快落实《中华人民共和国网络安全法》，坚持以查促建、以查促管、以查促防、以查促改，以防攻击、防病毒、防入侵、防篡改、防泄密为重点，加强网络安全检查，认清风险现状，排查漏洞隐患，通报检查结果，督促整改问题，强化电信和互联网行业网络安全风险防范和责任落实，全面提升行业网络安全保障水平，保障公共互联网安全、稳定运行。
二、检查重点
(一)重点检查对象。检查对象为依法获得电信主管部门许可的基础电信企业、互联网企业、域名注册管理和服务机构(以下统称网络运行单位)建设与运营的网络和系统。重点是电信和互联网行业网络基础设施、用户信息和网络数据收集、集中存储与处理的系统、企业门户网站和计费系统、域名系统、电子邮件系统、移动应用商店、移动应用程序及后台系统、公共云服务平台、公众无线局域网、公众视频监控摄像头等重点物联网平台、网约车信息服务平台、车联网信息服务平台等。
(二)重点检查内容。重点检查网络运行单位落实《中华人民共和国网络安全法》《通信网络安全防护管理办法》《电信和互联网用户个人信息保护规定》等法律法规情况，电信和互联网安全防护体系系列标准符合情况，可能存在的弱口令、中高危漏洞和其他网络安全风险隐患等(法律法规和标准依据详见附件)。
三、工作安排
(一)定级备案。各网络运行单位要按照《通信网络安全防护管理办法》的规定，在工业和信息化部“通信网络安全防护管理系统”(https://www.mii-aqfh.cn)对本单位所有正式上线运行的网络和系统进行定级备案或变更备案。
(二)自查整改。各网络运行单位要对照法律法规和本次检查重点，对本单位网络安全工作进行自查自纠，对自查发现的安全问题逐一做好记录，能立即整改的，要边查边改，无法立即整改的，要采取防范措施，制定整改计划，确保整改落实。2018年9月31日前，基础电信企业集团公司、域名注册管理和服务机构应将本单位自查工作总结报告报部(网络安全管理局)，基础电信企业省级公司和互联网公司形成自查工作总结报告报当地通信管理局。
(三)开展抽查。电信主管部门选取部分网络和系统，委托专业技术机构采取现场询问、查阅资料、现场检测、远程渗透、代码检测等方式进行检查。对省级基础电信企业和专业公司网络和系统的检查分别按照《2018年省级基础电信企业网络与信息安全工作考核要点与评分标准》《2018年基础电信企业专业公司网络与信息安全工作考核要点与评分标准》进行量化评分，评分结果分别作为2018年省级基础电信企业和专业公司网络与信息安全责任考核依据。各地通信管理局除抽查省级基础电信企业外，至少抽查当地十家以上增值电信企业，将检查工作总结报告于10月31日前报部(网络安全管理局)。
四、工作要求
(一)加强领导，落实责任。各地电信主管部门、网络运行单位应严格落实工作责任制，精心组织制定工作方案，落实机构、队伍和工作经费，确保检查工作不走过场，确保检查发现的问题得到及时有效整改。发现问题的单位要举一反三，健全网络安全问题闭环管理机制，加强定期巡查、整改核验、考核问责，以检查为契机，不断完善电信和互联网行业网络安全保障体系。
(二)规范检查，严明纪律。各单位要
欧洲议会颁布的《一般数据保护法案》(以下简称“GDPR”)于2018年5月25日在欧盟各国正式生效。作为一部用来保护欧盟公民个人隐私和数据安全的新法案，其颁布使得欧盟对于数据保护的监管达到了前所未有的高度。
事实上，面对互联网业务的高速发展，越来越频繁的个人数据泄露引发了公众的焦虑和担忧。网络安全保险应运而生。那么，GDPR的实施，能否促进网络安全保险的大发展呢?
近日，记者采访了苏黎世财产保险(中国)有限公司(以下简称“苏黎世中国”)金融险相关专家，他表示，GDPR无疑会对网络安全保险市场起到推动作用，今后与欧盟国家企业签订商品服务合同的以及海外扩张走出去的中国企业，可能会越来越多地在合同文本里发现网络安全保险相关的投保要求。
据了解，GDPR并不是一个很新的概念, 早在2012年欧洲各国就在讨论推行一部新的关于信息数据保护的法案,用于替代已经稍显过时的旧指令(Data Protection Directive 95/46/EC)。经过近四年的讨论，欧洲议会于2016年4月14日通过了新的法案，即《一般数据保护法案》(General Data Protection Regulation (GDPR))。法案于2018年5月25日在28个欧盟成员国统一实施生效。
该法案把可以直接或间接识别到的某一个个体的任何信息都视为个人信息，包括了从姓名、照片、身份证号、邮箱地址、银行账户、健康记录到网络用户名、位置定位、社交媒体发布的信息、计算机IP地址等各个方面，堪称目前世界范围内最宽泛的个人信息定义。作为一部用来保护欧盟公民个人隐私和数据安全的新法案，其颁布使得欧盟对于数据保护的监管达到了前所未有的高度。
值得关注的是，GDPR对于个人数据泄漏通知做出了明确规定。当发生个人数据泄漏事故之后，企业要在发现后72小时内向监管机构报告，并对报告的内容做了详细的规定。
苏黎世中国金融险专家认为，相较于国内实施的《网络安全法》的相关规定，GDPR对告知义务的规定更加具体和明确，对企业的实际操作更有指导意义，未按此执行可能会导致企业面临更大的合规风险。
此外，GDPR对于企业违规设置了昂贵的处罚规定。对于不遵守GDPR法案的企业处以严厉的制裁和巨额罚款，根据违规性质的严重程度，分为一般违法行为和严重违法行为。对于一般违法行为，处以全年营收额2%或1000万欧元的罚款，两者以高者为限;对于严重违法行为，处以全年营收额4%或2000万欧元的罚款，两者以高者为限。
相较于《网络安全法》100万元人民币单项罚款的上限，GDPR的罚款对于违法企业来说是一项极其难以承受的损失，违法成本大大提高。
苏黎世中国金融险专家表示，GDPR无疑会对网络安全保险市场起到推动作用。从过往几年的网络安全保险的发展来看,按保费规模计，美国一直是全球最大的网络安全保险市场,原因在于其拥有健全的法律环境和强大的诉讼文化。然而从2017年开始，欧洲的网络安全保险业务开始迅速增长，GDPR在2018年正式实施，推动着欧洲企业的保险需求不断提高。不仅投保的企业数量增加，投保限额也从开始带有试水性质的1000-2000万欧元甚至增加到上亿欧元，目前根据相关资料所了解到的最高限额达3.75亿欧元。
目前，很多企业开始关心是否需要投保网络安全保险作为风险管理的一种手段，以及一旦发生信息泄漏事故自己的网络安全保险保单会如何应对。
网络安全保险就是一份保障企业发生网络安全事故和信息泄漏事故造成的第一方损失和第三者责任的保单。相比于传统保险险种，网络安全保险更加强调服务属性，除了保单合同本身提供的损失补偿外，还为投保企业提供各种附加服务，包括事故前的培训、评估、检测等，以及事故后的鉴证、谈判等服务。
此外，保障内容也在随着科技发展和客户需求与时俱进，目前在人员伤害财产损失、网络金融犯罪、社交工程、网络恐怖主义等保障方面正在进行进一步探索扩展。对于自身相对比较缺乏问题解决能力的中小企业来说，这些服务内容往往显得更加至关重要。
苏黎世中国金融险专家表示，在日益完善的法律环境下，保险作为健全风险管理体系中的重要性更加凸显出来，值得企业加强关注和投资。网络安全保险的价值不仅仅体现在对于损失的补偿上，还包括其所能给企业带来的如何应对网络风险以及数据泄漏事故的专业知识和经验，以及各种专家资源。
当然，保险并不是万能的，苏黎世中国金融险专家强调，一家信息安全管理到位的企业，需要有完善的管理架构，完整的内控制度，认真贯彻执行的纪律，定期的系统安全检测和威胁漏洞修复，定期评估公司的危机响应管理方案、灾备计划、业务可持续性计划是否有效，最后还包括合理地应用各种风险管理工具，以及员工要接受相关培训并具有良好的日常安全意识等多种要素的全面配合。
据了解，GDPR不仅适用于在欧盟国家注册的组织机构, 也同样适用于任何在欧盟以外地区注册但为欧盟地区提供商品和服务, 并监控个人行为和数据信息的组织机构。对于任何持有和处理欧盟国家公民个人信息的公司无论其公司所在地，皆受该法案管辖。随着国际化进程的推进， 越来越多的中国企业与欧洲企业开展了商业合作，这也意味着所有与欧洲企业有业务往来的中国企业也同样要遵守该法案并受其管辖，对中国企业的信息安全管理提出了更高的要求。今后与欧盟国家企业签订商品服务合同的以及海外扩张走出去的中国企业，可能会越来越多地在合同文本里发现网络安全保险相关的投保要求
规范检查方法和程序，避免检查工作影响网络和系统的正常运行，检查工作中发现重大问题应及时报我部。采用随机抽取检查对象、随机选派检查队伍的“双随机”方式安排实施检查。任何部门不得向被检查单位收取费用，不得要求被检查单位购买、使用指定的产品和服务。委托专业技术机构进行安全检查，要进行严格审查，签订保密承诺书，并明确专业技术机构及人员的安全责任。要严格遵守有关保密规定，检查结果除按规定报送外，不得提供给其他单位和个人。
(三)加强防范，及时整改。专业检测机构对检查发现的薄弱环节、安全漏洞和安全风险，要现场告知网络运行单位，并指导其防范整改。抽查发现的重大网络安全风险和隐患，电信主管部门可通过《网络安全问题整改通知书》等形式书面向网络运行单位通报，督促其限期整改。网络运行单位要对检查发现的薄弱环节和安全风险进行深入整改，对相关责任部门和责任人进行问责处理，并及时向电信主管部门报告问题整改和问责情况。
(四)强化协同，协调配合。各地通信管理局要强化与网信、公安等部门的协调沟通，按照网络安全工作责任制和中央网信办《关于加强和规范网络安全检查工作的通知》(中网办发文〔2015〕7号)要求，坚持跨部门、跨行业的网络安全检查应由当地网信部门统筹协调，其他部门对电信和互联网行业的网络安全检查应当会同电信主管部门进行，加强协同沟通，提倡开展联合检查，避免交叉重复，基础电信企业向非电信主管部门提供网络安全相关资料和数据的，应征得当地通信管理局同意，或由通信管理局统一协调提供。
京公网安备 11010502049343号