英國網絡信息安全問責制度與啟示

蓋宏偉　宋倩

摘要：自從進入信息化時代，網絡信息安全逐漸成為國家安全的重要組成部分，關系到國家主權的穩固及社會經濟的發展。英國作為世界上信息化水平最發達的國家之一，其社會經濟生活高度依賴互聯網，隨著信息安全形勢日益嚴峻，面對不斷出現的網絡攻擊和威脅，英國政府意識到網絡信息安全對于國家安全和經濟社會發展的重要作用，不斷加強對網絡空間領域的規范、管制活動，試圖通過加強對網絡信息安全的問責為英國的商業經濟發展創造良好的投資和經營環境，網絡信息安全問責制由此展開。

關鍵詞：英國；網絡；信息安全；問責

一、英國網絡信息安全的法律法規

第一、三R互聯網絡安全規則。三R互聯網絡安全規則，主要從分級認定、舉報告發、承擔責任三方面來協調實施。英國設立網絡安全基金會來負責網絡非法信息的舉報處理，以及支持對網絡上的內容信息進行分級認定的系統開發。對網絡上發布的合法內容提供一個合法標識，指明日常發布的信息內容是否非法以及屬于什么性質的非法內容。通過設立專門的熱線舉報電話以供公眾舉報網絡上的非法內容和危害社會的信息。公民可以通過電話、郵件、傳真等多種方式進行舉報，舉報內容會被隨即轉換成標準形式轉送給直接提供服務的機構和部門。網絡基金會用標準化的分級準則對舉報內容進行核實，并將檢測結果答復給舉報人，通知當事人撤銷信息，情況嚴重時可以聯系負責處理全國刑事案件的警察服務中心（NCIS）。

第二、英國網絡信息安全戰略。為了應對日益嚴峻的網絡安全問題，英國先后出臺兩份網絡信息安全戰略的重要文件。2009年英國首次出臺國家網絡信息安全方面的戰略文件——《英國網絡信息安全戰略》。文件指出英國政府將成立兩個網絡安全新部門——網絡安全辦公室（OCS）和網絡安全行動中心（CSOCA）。OCS負責處理政府內部關于網絡安全的各種方針政策，CSOCA負責協調政府與各民間機構的重要計算機安全保護工作。該戰略主要從降低網絡空間風險、抓住網絡發展機遇、提升政府對網絡安全事件的反應能力等方面做出規劃。2011年11月英國政府頒布了新的網絡信息安全戰略文件——《2012網絡信息安全戰略》，表示將建立更加可信和適應性更強的數字環境以促進經濟繁榮，提出英國正面臨來自其他國家的網絡安全攻擊和網絡犯罪的威脅，因此英政府要不斷提高國家的網絡安全水平，通過營造良好的網絡安全環境來保障英國的商業活力和經濟增長。強調要以網絡安全來促進經濟繁榮，此外通過與國際社會一道來形成國際網絡安全準則，建立互信機制，降低網絡風險。

第三、數據保護法。英國政府在1998年出臺了新的《數據保護法》并且在2000年3月1日生效。該法律對個人數據及某些敏感數據的使用和保存管理做了規范性要求，在強化個人權利的同時保障了個人的隱私安全。該法案要求數據控制者必須遵循以下原則：一是處理個人數據必須按照正當合法渠道和程序；二是獲得個人數據必須有明確合法的目的，未經數據主體允許，對個人數據進行使用和披露的行為都是違法行為；三是個人數據應當保持充分相關原則，不得超出約定的處置目的和范圍；四是保持個人信息的正確性，在必要時及時更新數據；五是依據一定目的被處置的個人數據保留時間不得超過約定目的所必需的時間。英國的數據保護法不僅賦予了公民享有個人信息安全的權利，也強調了公民必須履行不損害、披露非法使用他人個人數據信息的義務。這在保護公民個人隱私不受侵犯，維護網絡信息安全秩序的穩定方面起到積極性作用。

二、英國政府網絡信息安全責任的體系構成

（一）信息安全審查機構

英國對于信息安全審查比美國這一信息化強國更加透明，因為英國缺乏強實力的信息技術企業，政府采購的電子產品大多需要從國外引進。為了保障國家信息安全，英國探索建立了對公共部門采購的信息產品進行源代碼審查和托管的制度。在英國負責信息源代碼審查和安全認證工作的是電子通信安全組被稱為英國的信息保證能力部門，部分被CESG認可的商業機構可以幫助CESG進行一些具體的測試工作。通常源代碼審查工作需要細化到不同的業務上，針對不同的客戶和信息產品進行分類審查。在英國，進入政府及公共部門的關鍵信息類基礎設施都要接受源代碼審查，通過后才能為政府和公共部門提供信息產品和服務。目前英國已建立起比較完善的源代碼審查和安全認證操作流程，設備商需要向CESG申請，提交源代碼以及可執行代碼，CESG經過嚴格審查后對產品的安全等級做出評定。

（二）政府責任

英國是具有濃厚自由主義傳統的憲政國家，政府在互聯網空間領域的規范和管制具有不可避免的責任。英國的網絡信息安全監管將政府、行業、國家安全部門與民眾相結合，是一種政府指導下的行業自治模式。政府對于網絡信息安全的管制，主要涉及互聯網安全、兒童色情、個人信息及隱私保護、網絡犯罪等方面，分領域設立諸多安全機構。英政府于2003年成立通信辦公室重點負責對網絡信息的安全維護和內容管制，推動建立以分級認證和信息過濾為基礎的網絡系統，引導網絡終端用戶正確、安全選擇網絡內容。各個機構既有獨立的工作內容又相互協作，并且與歐盟國家積極開展合作交流。2016年英國財政大臣哈蒙德提出，英國政府將在未來五年里投資19億美元進行“世界級”互聯網安全建設，這將對英國受到的網絡攻擊和威脅做出強有力的回應。

（三）行業自律組織

英國的網絡安全管理具有輕政府管制、重行業自律的特點，一直貫徹“監督而不監控”的理念，主要依靠行業組織來發揮作用而非強制性的政府行為。1996年在政府的鼓勵下，英國網絡服務商成立網絡觀察基金會?；饡闹饕ぷ魇潜O督網民的非法及不道德行為，協助英國工業貿易部、內政部、城市警察蜀解決互聯網違法、犯罪問題。其管理原則包括：一切其他媒介適用的法律如刑法、公共秩序法、猥褻出版物法等都適用于互聯網安全管理；二是對網絡非法內容的認定主要指兒童色情內容，對于那些非兒童色情內容但是會引起用戶反感的不良信息采取分級認定和標注系統，尊重用戶使用的個人意愿。基金會進行監督管理的依據主要來自《三R互聯網絡安全規則》協議，此外基金會還自主制定了從業人員行為守則，它是由網絡服務提供商協會、倫敦互聯網交流平臺和安全網絡基金聯合頒布。英國政府還重視與私營部門開展合作，發揮學術科研機構的智囊作用，鼓勵社會各界人士參與到網絡安全保護的行動中去。

（四）社會及公眾監督

目前英國有70%的家庭使用互聯網，普通公眾在確保網絡信息安全也具有重要作用。英國政府通過開展多樣化的教育，提高網民的網絡安全意識和監督意識，促使公民積極參與到網絡安全管理的活動中。網民可通過熱線電話、郵件、傳真等方式對網絡非法內容實行舉報?；饡ν对V內容開展評估檢驗，一旦確認內容為非法信息，則通過網絡地址定位該信息發布源，將其移交到相應的執法機構進行處理，同時通知網絡服務商對非法內容進行撤銷。此外新聞媒體對網絡信息安全的維護也發揮了強大的輿論監督作用。英國的憲法規定新聞媒體具有相對獨立的地位，保障其監督作用的發揮。新聞媒體針對網絡犯罪、違紀行為進行曝光和揭露，抑惡揚善，以達到對社會公眾的警示作用。此外新聞媒體也為政府發布國家網絡信息安全戰略、信息安全法律法規政策提供有效宣傳途徑，幫助公民及時準確地了解國家在一定時期內的政策方針。

三、評價及啟示

英國在網絡信息安全問責方面的實踐對我國的網絡安全問責的啟示體現在以下幾點。

第一、強化網絡信息安全問責的意識。每個社會成員受到各種意識形態文化的影響，西方國家問責制的成功實踐離不開其自由民主的傳統文化氛圍，具有濃厚的問責文化積淀。我國曾有兩千多年的封建專制歷史，民主自由意識、問責意識起步晚，在面對飛速發展的信息網絡社會的變遷，信息爆炸和網絡安全環境日趨復雜化的今天，我國公民還缺乏有效維護自身信息安全，應對網絡威脅的意識文化。許多公民在面對信息詐騙、個人隱私泄露、網絡犯罪行為，難以通過最直接有效的途徑去維護自身權益。因此這種安全意識的引導需要全社會共同的努力，尤其需要從國家治理的層面進行有意識的宣傳和教化。

第二、建立多元問責體系。英國的網絡信息安全問責并不是單靠政府力量，而是將各種機制相結合，是一種涉及復雜的利益博弈、多重價值目標選擇的網絡管理，也是政府與私營部門高度配合的模式。我國屬于一黨執政的國家，政府擁有相當大權力，政府管理涉及社會生活的各個方面，因此在網絡空間領域，政府的作用遠遠大于其他社會組織的作用，在中國目前還沒有建立起多樣化的網絡安全監管主體，大多數網絡安全問責還僅僅是政府內部問責，社會參與程度相比西方國家較低，形成多元化的網絡信息安全問責主體是信息安全問責成熟的表現。因此要完善我國的網絡信息安全問責，必須要逐步建立以輿論和民意為基礎，以人大監督為主導、其他國家機關、新聞媒體、社會組織等多方面參與配合的問責體系。

第三、加強問責立法保障。保障網絡安全問責有效開展的前提是立法先行，只有在法律法規完善的前提下才能為網絡信息安全保護提供有效規范措施以及可操作性的運行程序。我國的網絡信息安全立法建設主要包括網絡安全法、互聯網信息搜索服務管理、互聯網絡與民事糾紛適用法律、公共服務網絡與信息系統安全管理等方面，對于網絡信息安全問責相關的法律目前還缺乏。因此我國應該逐步建立具體的網絡信息安全問責法律法規，以法律的形式將網絡安全管理的主體、客體、內容、程序及責任后果明確化。建立起合理、準確、有序的網絡安全法律體系，使網絡安全管理能夠有法可依，違法必究，創造健康安全的網絡環境。

第四、建立健全信息安全審查制度。從國家層面來看，英國通過建立一整套的制度，對政府采購的IT產品和服務實施全面的安全審查，有效保障了國家的信息安全。目前網絡安全風險隨著信息全球化的快速發展逐漸加大，實施安全審查對于國家信息的保護至關重要。對于源代碼的審查是信息安全審查的重要內容，我國也已經開始實施安全審查制度。因此我國有必要完善對基礎設施產品的源代碼進行嚴格審查與托管。通過代碼的提取、審核、認證等方式，建立一套完整、透明、合理的審查機制。尤其是對政府內部的IT產品，國家關鍵基礎設施采用的IT產品進行嚴格的審查和風險防范。

參考文獻：

[1]尹建國.美國網絡信息安全治理機制及其對我國之啟示[J].法商研究，2013（02）.

[2]李孟剛.國家信息安全問題研究[M].社會科學文獻出版社，2012.

[3]何湘，胡海波.布萊切利莊園續寫傳奇——英國網絡信息安全戰略分析[J].中國信息安全，2012（07）.

[4]曹宇，賴文淵.英國國家檔案法律體系概述[J].遼寧大學學報（哲學社會科學版），2011（05）.

[5]劉國輝.英國信息安全審查及對我國的借鑒意義[J].網事縱橫，2014（08）.

*項目支持：河北省教育廳科學研究計劃項目《網絡信息生態失衡對個體決策行為的影響機理及調控機制研究》（項目編號：SQ171010）的階段性成果。

（作者單位：燕山大學文法學院）