2021 年 7 月 30 日，《關鍵信息基礎設施安全保護條例》（以下簡稱《條 例》）公布，新華社北京 8 月 17 日電李克強總理日前簽署國務院令正式簽署條例，標志著我國網絡安全保護進入了以關鍵信息基礎設施安全保護為重點的新階段。作為《網絡安全法》的重要配套立法，《條例》積極應對國內外網絡安全保護的主要問題和發展趨勢，為下一步加強關鍵信息基礎設施安全保護工作提供了重要法治保障。?
這兩個時間節點，對應近期部分國內企業數據海外泄漏等事件。為避免國有資產及品牌資產海外流失，我國出臺相應法規及條例起到了關鍵性作用！關鍵信息基礎設施安全保護立法是各國網絡安全戰略的重要一環。?
而針對與互聯網及域名行業來講，保障關鍵信息基礎設施安全和維護網絡安全將有法可依、有例可循；2013 年新網就已經開始設立品牌云監控系統并逐步完善，做到了域名鎖定及定期監控，有效打擊非法網站并做到定期報告化追溯流程、數據日志備案機制等域名安全防控體系，并在 2019 年融合商標機制做到了網絡端全方位數字品牌資產有效監控。?
一、針對互聯網行業來看，《條例》發布的大背景環境?
（一）全球網絡安全局勢復雜嚴峻，對各國關鍵信息基礎設施安全防護提出新挑戰。?
近期，多國基礎設施和重要信息系統遭受網絡攻擊，引發全球震蕩，對國家安全穩定造成巨大風險。特別是 2021 年，美國最大的燃油管道運營商、全球最大的肉類加工企業均因黑客攻擊而停擺，導致影響國家乃至全球經濟運行的基礎設施受損，對全產業鏈產生連鎖影響，也引發了全球關于加強關鍵信息基礎設施 安全保護的思考。?
近期，世界主要國家和地區均強化關鍵基礎設施安全防護。美國不僅大幅增加關鍵基礎設施網絡安全方面的資金投入，而且提出多部強化關鍵基礎設施網絡安全、預防勒索軟件攻擊等方面的法案和官方指南。歐盟也在《歐盟安全聯盟戰略》中將提升關鍵基礎設施的保護和恢復能力作為未來五年網絡安全工作的重中之重。?
（二）世界主要國家和地區將關鍵基礎設施立法作為網絡安全立法中最為關鍵的環節。?
美歐在關鍵基礎設施立法方面起步較早，美國早在 2001 年即頒布了《2001 年關鍵基礎設施保護法》，之后相繼出臺《改進關鍵基礎設施網絡安全行政令》、 《增強聯邦政府網絡與關鍵基礎設施網絡安全行政令》等相關立法。隨著網絡安全形勢的日益嚴峻，美國積極調整網絡安全保護戰略，近期發布了《2021 年臨時國家安全戰略方針》、《2021 年關于加強國家網絡安全的行政命令》等相關政策。歐盟出臺了《2008 年歐盟關鍵基礎設施認定和安全評估指令》、《2016 年網絡與信息安全指令》等多部關鍵基礎設施保護相關立法。俄羅斯 2017 年 頒布了《聯邦關鍵信息基礎設施安全法》，澳大利亞 2018 年頒布了《關鍵基礎設施安全法》。此外，英國、德國、日本等國也出臺了關鍵基礎設施保護的相關立法和政策。?
（三）我國《網絡安全法》強調對關鍵信息基礎設施適用更高水平保護。?
我國 2016 年出臺的《網絡安全法》在明確國家網絡安全基本制度體系的基礎上，對于關鍵信息基礎設施規定了更高水平的安全防護要求。《網絡安全法》 規定對關鍵信息基礎設施實行重點保護，并在第三章“網絡運行安全”中單設一節對關鍵信息基礎設施安全保護進行專門規定。針對關鍵信息基礎設施安全保護工作中涉及的技術措施、人員機制、數據安全、風險評估等安全管理舉措提出更高要求，并強調通過配套立法進一步完善關鍵信息基礎設施安全保護制度，突出了關鍵信息基礎設施在國家整體網絡安全制度體系中的重要地位。?

二、《條例》確立了我國關鍵信息基礎設施安全保護的具體制度要求?
《網絡安全法》對關鍵信息基礎設施安全保護制度相關實施對象、責任主體、工作內容等進行了總體性規定，《條例》作為《網絡安全法》重要配套法規，立足落實工作，界定了適用范圍、監管主體、評估對象等關鍵信息基礎設施安全保護相關系列基本要素，提出了安全保護要求和安全保障措施，確保對象具體、權責清晰、任務明確，為安全保護工作開展提供系統指引和工作遵循。?
此次簽署條例基本釋義及范圍，配套《網絡安全法》明確了以下內容：?
（一）明確關鍵信息基礎設施范圍和保護工作原則目標，確定保護對象范圍。?
《條例》第二條給出了關鍵信息基礎設施明確定義，第九條提出了保護工作部門制定識別認定規則的重點考慮因素，確定了由保護工作部門負責制定本行業、 本領域關鍵信息基礎設施認定規則及清單。認定規則及清單的形成過程一方面須立足實際，充分結合本行業、本領域業務特性和重要性，在量化指標參數的基礎上實現清單范圍的準確界定；另一方面，清單應當伴隨國家網絡安全和信息化發 展，實現動態調整更新。?
（二）明確了監督管理體制、職責分工。?
為保障關鍵信息基礎設施安全保護工作順利開展,《條例》設置了科學嚴謹的監督管理工作機制。在國家層面,國家網信部門負責統籌協調,國務院公安部門負責指導監督,國務院電信主管部門和其他有關部門負責行業關鍵信息基礎設施安全保護和監督管理工作;在地方層面,由省級人民政府有關部門負責關鍵信息基礎設施安全保護和監督管理工作。既有效保障了關鍵信息基礎設施安全保護工作統一有序、協同推進,又能充分發揮具體行業部門的專業優勢,提升關鍵信息基礎 設施安全保護力度。?
（三）明確完善了關鍵信息基礎設施認定機制。?
《條例》明確了認定工作的組織方式和認定程序，依照行業認定規則，國家匯總并動態調整關鍵信息基礎設施認定結果，確保重要網絡設施、信息系統納入保護范圍。《條例》從我國國情出發，借鑒國外普遍做法，明確了關鍵信息基礎設施的定義和認定程序。
1、是明確關鍵信息基礎設施的定義。?
2、是明確關鍵信息基礎設施所在行業和領域的主管部門、監督管理部門是負責關鍵信息基礎設施安全保護工作的部門。?
3、是明確由保護工作部門結合本行業、本領域實際，制定關鍵信息基礎設施認定規則，并組織認定本行業、本領域的關鍵信息基礎設施。?
4、是規定關鍵信息基礎設施發生較大變化，可能影響其認定結果時，運營者應當及時報告保護工作部門，由保護工作部門重新認定。?
（四）明確運營者責任義務。?
依據《中華人民共和國網絡安全法》有關規定，按照“誰主管誰負責”的原則，《條例》明確了保護工作部門對本行業、本領域關鍵信息基礎設施的安全保護責任《條例》對關鍵信息基礎設施運營者落實網絡安全責任、建立健全網絡安全保護制度、設置專門安全管理機構、開展安全監測和風險評估、報告網絡安全事件或網絡安全威脅、規范網絡產品和服務采購活動等作了規定。強化安全主體責任。
《條例》強調關鍵信息基礎設施運營者（以下簡稱運營者）在關鍵信息基礎設施安全保護中承擔主體責任，并對于運營者自身安全管理機制的設置進行了嚴 格要求。
1、是強調主要負責人責任，明確運營者的主要負責人對關鍵信息基礎設施 的安全保護負責。?
2、是要求設立專門的安全管理機構，具體負責本單位關鍵信息基礎設施的安全保護工作。?
3、是對關鍵崗位人員實施安全背景審查，其中包括運營者專門安全管理機構的負責人及其認定的關鍵崗位人員。
4、是保障專門安全管理機構運行，為本單位專門安全管理機構提供經費和專業人員保障。?
（五）細化安全保護要求。?
《條例》強化關鍵信息基礎設施的安全保護，在《網絡安全法》的基礎上對運營者提出了更高的安全防護要求。
1、是落實“三同步”要求，要求安全保護措施與關鍵信息基礎設施同步規劃、同步建設、同步使用，關鍵信息基礎設施自列入關基清單之日起，在設計建設（改擴建）、運行維護、應急恢復、停用廢棄各階段，應確保落實覆蓋全生命周期的安全保護。?
2、是開展定期安全檢測和風險評估，運營者須每年至少進行一次網絡安全檢測和風險評估，可以自行或委托網絡安全服務機構進行。
3、是履行安全事件和威脅報告義務，在發生重大網絡安全事件或發現重大網絡安全威脅時，運營者應當向相關部門報告。?
4、是落實網絡安全審查要求，運營者采購網絡產品和服務可能影響國家安全的，應當按照國家網絡安全規定進行安全審查。?

5、是強化監測預警和信息共享，《條例》提出建立健全關鍵信息基礎設施網絡安全監測預警制度，準確把握關鍵信息基礎設施運行狀況，促進網絡安全信息共享。?
（六）明確了保障和促進措施。?
《條例》對制定行業安全保護規劃、建立信息共享機制、建立健全監測預警制度、明確網絡安全事件應急處置要求、組織安全檢查檢測、提供技術支持和協 助等作了規定。?
（七）強化重點安全保障。
1、是針對關鍵信息基礎設施實施的漏洞探測、滲透測試等活動，應得到國家網信部門、國務院公安部門批準或者保護工作部門、運營者授權。對基礎電信網絡實施漏洞探測、滲透測試等活動，應當事先向國務院電信主管部門報告。
2、是能源、電信行業為金融、水利和交通等行業關鍵信息基礎設施穩定運行提供重要支撐及資源保障，基礎電信網絡還具有基礎性、全局性，承載著其他關鍵信息基礎設施。國家將采取措施，優先保障能源、電信等關鍵信息基礎設施安全運行。能源、電信行業將為其他行業和領域的關鍵信息基礎設施安全運行提供重點保障。?
（八）明確了法律責任。
《條例》對關鍵信息基礎設施運營者未履行安全保護主體責任、有關主管部門以及工作人員未能依法依規履行職責等情況，明確了處罰、處分、追究刑事責任等處理措施。對實施非法侵入、干擾、破壞關鍵信息基礎設施，危害其安全活動的組織和個人，依法予以處罰。
三、《條例》實施對域名行業的影響?
本次《條例》是《網絡安全法》配套法規。而早在 2016 年 11 月 7 日，第十二屆全國人民代表大會常務委員會第二十四次會議上就通過了《中華人民共和 國網絡安全法》，并自 2017 年 6 月 1 日起施行。從這幾年國家對網絡安全的重視程度，我們不難看出國家對網絡及數據的安全已經逐步提高到立法高度！此項法規中“網絡安全事件”關鍵詞出現了超過 15 次；并且在其第二十四條中，明確域名注冊服務必須實名制；在其五十五條中規定出現網絡安全事件必須及時處理并公布示警等；（第二十四條 網絡運營者為用戶辦理網絡接入、域名注冊服務，辦理固定電話、移動電話等入網手續，或者為用戶提供信息發布、即時通訊等服務，在與用戶簽訂協議或者確認提供服務時，應當要求用戶提供真實身份信息。用戶不提供真實身份信息的，網絡運營者不得為其提供相關服務。
國家實施網絡可信身份戰略，支持研究開發安全、方便的電子身份認證技術， 推動不同電子身份認證之間的互認。
第五十五條發生網絡安全事件，應當立即啟動網絡安全事件應急預案，對網絡安全事件進行調查和評估，要求網絡運營者采取技術措施和其他必要措施， 消除安全隱患，防止危害擴大，并及時向社會發布與公眾有關的警示信息。）
眾所周知域名作為互聯網的入口標識，在應用推廣中起到了關鍵性的推廣和實用性作用。因為互聯網起源于美國，我們常見的.com、.net、.shop 和.site 的注冊局都非中國，但是在注冊域名的時候都需要提供相關信息，那么這些信息是否存在外泄的可能性？或者違反當前的法律法規？下面將從以下方面進行解答：
常見域名注冊局的國家管轄?
因 ICANN 在 2012~2013 年審核開放了一批新頂級域名后，我們日常見到的域名不光有.com 和.cn 等，也會遇到如.我愛你、.百度和.xin 等，其中不乏有中國公司管理的。
如.cn/.中國/.公司/.網絡/.網址/.集團/.top/.ren/.我愛你/.百度和.xin 等后綴 的注冊局均為中國企業進行管理。
如.com/.net/.shop/.site/.online/.co/.biz/.cloud 等后綴的注冊均為國外企業管理。
國外注冊局對國內的域名注冊信息的影響?
比如.com、.cloud 和.co 的注冊局均屬于國外的企業，注冊域名時填寫的個人信息是否有外泄到國外域名管理機構或第三方企業的可能？
首先，這些國外的注冊局如需在國內經營，必須經過工信部資質許可，在域名經營管理中都將符合中國的法律法規。
其次，用戶通過注冊商注冊域名時提交的數據也只會被托管到國內的指定單位，并進行合規存放，不會到這些注冊局的國外管理公司。
最后，域名的實名制審核也是在國內指定的核驗機構進行處理的。根據現行的《互聯網域名管理辦法》，明確規定了國內域名注冊服務及管理機構的監管制度。
所以，包括新網在內的國內注冊商及取得在國內經營的國外注冊局，不存在泄露數據和被調用的可能性。
《互聯網域名管理辦法》在 2017 年 8 月 16 日工業和信息化部第 32 次部務會議審議通過，現予公布，自 2017 年 11 月 1 日起施行。管理辦法中在第二 章域名管理的第九條、第十條、第十一條、第十二條和第十三條明確了在境內設立域名根服務器及域名根服務器運行機構、域名注冊管理機構和域名注冊服務機構的，應當依據本辦法取得工業和信息化部或者省、自治區、直轄市通信管理局（以下統稱電信管理機構）的相應許可。并且對根服務器設立、注冊局、注冊商也做了明確申請要求。所以現階段新網在官網中公示和出售的域名都是合規域名，可以放心購買和續費使用。
注：域名注冊局核實域名是否實名并不是真正的看核驗機構的核驗資料信息， 而是通過固定的標識進行識別，所以不管是常規的域名注冊數據還是實名制數據都不會出現外泄的可能性，相反都會在政策制定的核驗機構進行合規存放。
域名注冊、采集數據是否每個企業都可以？
根據當前的法律法規，企業如需成為域名注冊商開展業務，必須在合規的情況下取得當地通信管理局的審核批復（無批復或無批復后綴是不能開展注冊的）， 域名注冊商對域名的管理及數據管理需要在相關部門進行安全等級保護核驗，保障企業內部審計合規的同時，也會定期收到監管單位的督導檢查，自查和監管督查進行保障數據管理及保存的合規安全性。
綜上所述，現在域名注冊管理環節完全是合規的，不存在和數據安全法或相關法律法規不符的情況。
四、《網絡安全法》及《條例》實施對注冊商與企業的影響?
《條例》作為《網絡安全法》的配套組成部分，注冊商和企業還應該關注與 《條例》同時（2021 年 9 月 1 日）施行的《中華人民共和國數據安全法》；并且在公眾還未將《條例》相關內容完全消化時，緊跟著在本月 20 日表決通過《中華人民共和國個人信息保護法》。并于 2021 年 11 月 1 日起施行。由此可見， 國家對信息及數據安全的重視程度已經再度提升，需要企業、注冊商及注冊者本人積極響應！?
（一）需更加規范注冊局及注冊商對域名注冊實名驗證。
（二）需更加規范注冊局及注冊商對域名信息安全的保護。
（三）注冊局及注冊商更要嚴格執行《互聯網域名管理辦法》；尤其針對其三十條及三十二條，對信息驗證及保護、信息存儲及公布等條例更加規范施行 操作。
（四）對優秀注冊機構及注冊服務機構的后臺系統是一大考驗；是否能夠有效的對數據的存儲、信息安全、漏洞查處、應急響應、公共信息共享、網絡安全監測預警等事項有配套解決方案。
（五）相關運營企業需要設立專屬部門，責任到人；更需要企業方與數據安全方、注冊商更好的配合，做到互聯互通，第一時間預警及處置網絡安全事件。
（六）注冊商針對相關行業內容及操作規范定期與企業做好培訓及新系統、 新解決方案的培訓與指導工作，企業與注冊商相互培訓，對關鍵信息基礎設施設計、建設、運行、維護等服務實施安全管理。
五、《條例》的實時，針對企業從域名安全角度應該做哪些措施？
在此以企業客戶在新網管理相關自身企業域名為例：?
（一）品牌企業多部門管理其相關數字資產超過 50 個域名及商標的，推薦選擇新網大客戶服務及新網品牌云系統進行企業內部的合規化管理及動態風險監控。?
（二）重點域名必須做好信息安全管控，必須添加域名注冊商鎖定服務及注 冊局鎖定服務，專人專管。?
（三）與自身企業品牌及重點產品相關域名，尤其是.cn 域名需要保護性注 冊。中文域名看企業戰略部署及預算而定，不重點推薦。
（四）重點品牌域名在海外注冊商管理的建議轉移到國內品牌注冊商下管理或在國內品牌注冊商進行域名的托管方案，并且轉移后立即加注冊商鎖定服務 及注冊局鎖定服務。
（五）建議品牌企業選擇國內信譽好并且正規在國家有備案資質的老牌注冊商下管理相關域名及數字品牌資產，建議域名分布縮減在五家注冊商以內管理；避免選擇一家注冊機服務構公司是同一個主體即有國內注冊資質還有多重海外注冊資質的，避免后期數據海外泄漏及國家監管核查風險。

六、新網針對本次《條例》是否有契合品牌企業的配套應急方案？
2019 年開始新網就極其重視品牌企業的互聯網信息及品牌數據保護工作， 結合《網絡安全法》、《互聯網域名管理辦法》以域名和商標為基礎全面梳理和監控其品牌企業自身的數字互聯網資產，自主研發“新網品牌云”監控系統，為品牌企業從域名根本上解決了：多集團、多部門、多賬號、多注冊商分布的管控難題。可以跨注冊商、跨平臺多賬號全面掌控自身的域名與商標，并且有效的監管其域名狀態，可以做到從注冊、狀態實時監控、ICP信息聯動、非法網站查處、 侵權預警及處置等一條龍的服務；并且為品牌企業自查自糾提供了便利服務，“新 網品牌云”會定期生成系統監控報告，并且新網大客戶部門也會為品牌企業提供年度定制化報告服務，為品牌企業在《條例》中第三章第十五條提供了保障便利。
七、關鍵信息基礎設施安全保護工作新階段的思考?
（一）完善配套標準規范體系。
1、是圍繞關鍵信息基礎設施共性安全需求和基線安全要求，加快制定出臺國家標準。
2、是保護工作部門聚焦行業實際和特點，深入推進行業關鍵信息基礎設施標準建設，并組織實施。
3、是圍繞運營者責任義務、信息共享模式、協同處置機制、安全防護能力認定等關鍵方面開展管理機制深入研究。
（二）深化行業監管職責落實。
1、是指導監督行業運營者落實安全主體責任，扎實做好網絡安全威脅監測與處置、網絡安全審查等關鍵信息基礎設施安全保護相關工作。
2、是完善監督檢查機制，加強行業關鍵信息基礎設施安全防護檢查與風險評估。
3、是構建完善應急保障體系，建立態勢感知、應急指揮等技術支撐手段， 組織開展場景式、專題化、聯合型應急演練，打造專家隊伍。
（三）加強新技術新模式應用示范。
1、是強化創新發展研究，積極利用云計算、大數據、人工智能等新技術提升關鍵信息基礎設施網絡安全能力。
2、是建立創新激勵機制，深化網絡安全先進技術創新應用和試點示范，匯聚網絡安全產業力量，強化面向關鍵信息基礎設施的網絡安全能力供給。
3、是開展關鍵信息基礎設施網絡安全能力評估與持續優化，客觀評定網絡 安全能力水平。科學選擇安全能力提升方向。
八、附則?
本次新網品牌云解讀結合并參考了相關具體條例：
1、 自 2017 年 6 月 1 日起施行《中華人民共和國網絡安全法》
2、 自 2017 年 11 月 1 日起施行《互聯網域名管理辦法》?
3、 2021 年 6 月 10 日，第十三屆全國人民代表大會常務委員會第二十九次會議通過。自 2021 年 9 月 1 日起施行《中華人民共和國數據安全法》
4、 2021 年 4 月 27 日國務院第 133 次常務會議通過，現予公布，自 2021 年 9 月 1 日起施行《關鍵信息基礎設施安全保護條例》?
5、 十三屆全國人大常委會第三十次會議 20 日表決通過自 2021 年 11 月 1 日起施行《中華人民共和國個人信息保護法》
6、 事件節點 2018 年 5 月 25 日生效的歐盟《通用數據保護條例（GDPR）》?
7、 ICANN（互聯網名稱與數字地址分配機構）于 2018 年 5 月 17 日公布《通用頂級域名注冊數據臨時規范（Temporary Specification for gTLD Registration Data）》
備注：以上內容純屬個人拙見，也是新網品牌云大客戶團隊對本月國家陸續公布的法規及條例的共同理解與分析，歡迎大家指正及共同研討。僅供品牌企業及相關人士參考與分享。
http://www.rscw.com.cn/domain/domain.html