鐵路網絡信息安全保護法治化路徑研究

劉衛紅

(石家莊鐵道大學 文法學院，河北 石家莊 050043)

0 引言

鐵路信息系統屬于《網絡安全法》和《國家網絡空間安全戰略》規定需要重點保護的關鍵信息基礎設施之一。《網絡安全法》實施后，我國鐵路運輸企業作為網絡與信息安全的責任主體,建立了鐵路網絡安全信息保護制度，但結合《網絡安全法》，保護制度中涉及社會公眾信息保護的內容有待完善，且因企業的制度不具有法律效力，保護亟需建立完備的鐵路網絡與信息安全法律和制度體系，為鐵路網絡信息安全保護提供法律保障。同時需要建立科學有效的網絡信息與安全監管體系，打通監管主體與相關部門的協同協作機制。

1 我國鐵路網絡信息安全立法概述

2013年我國鐵路政企改革后，18家鐵路局集團成為中國鐵路總公司的全資控股公司。我國的鐵路計算機網絡分為中國鐵路總公司、鐵路局集團、基層站段三級網絡體系。我國鐵路計算機網絡面臨計算機病毒威脅、惡意網絡攻擊、突發事件威脅等安全問題[1]，不僅需要不斷更新鐵路信息技術，還需要完善鐵路網絡信息安全法律體系。目前我國鐵路網絡信息安全法律體系包括法律、法規、規章、規范性文件。

1.1 相關法律

鐵路網絡信息安全涉及的法律主要是《網絡安全法》、《國家安全法》、《反恐怖主義法》、《中華人民共和國突發事件應對法》、《刑法》、《民法總則》、《保密法》、《治安管理處罰法》等。其中《網絡安全法》確立了網絡安全保護和網絡空間治理的基本框架，確定了網絡安全運維、安全監測與應急處置以及個人信息保護等重要制度，為鐵路網絡信息安全法律體系完善提供了基本依據。《國家安全法》、《反恐怖主義法》、《中華人民共和國突發事件應對法》、《保密法》均強調關鍵信息基礎設施的保障體系系統建設；《刑法》、《民法總則》、《治安管理處罰法》規定個人信息的獲取、收集、使用和加工均應依法進行，違規入侵計算系統要受法律追究。如表1所示。

表1 涉及鐵路網絡信息安全的法律條款

1.2 相關行政法規、管理辦法

我國歷史上制定頒布了關于鐵路信息安全的條例和管理辦法(如表2所示)，為鐵路信息安全保護奠定了基礎。面對網絡信息安全形勢快速發展的新局面，當前國家正在抓緊制定與《網絡安全法》配套的法律法規，比如網絡安全等級保護制度、關鍵信息基礎設施的認定和保護辦法、數據跨境傳輸的安全評估辦法、網絡產品和服務的國家安全審查制度等，相關立法草案正在按照立法程序征詢各相關方的意見。相信鐵路信息安全相關的法律法規將作為《網絡安全法》的下位法，使《網絡安全法》的很多原則性規定能夠得到具體實施。

表2 鐵路信息安全主要條例和管理辦法匯總

2 我國鐵路網絡信息安全法治化困境

(1)法律法規體系建設有待完善。目前涉及鐵路網絡信息安全的規定主要有國務院頒發的《鐵路安全管理條例》、國家鐵路局頒發的《高速鐵路安全防護管理辦法(征求意見稿)》。其中《鐵路安全管理條例》規定鐵路運輸企業應當建立網絡與信息安全應急保障體系。《高速鐵路安全防護管理辦法(征求意見稿)》規定鐵路運輸企業應當建立高速鐵路網絡安全保障體系，落實網絡安全等級保護制度。

(2)制度體系和標準體系有待完善。目前，我國鐵路運輸企業針對鐵路網絡與信息安全制度尚有待完善，尤其在乘客個人信息保護方面的制度保障有待加強，鐵路乘客個人信息因為覆蓋面廣，更容易成為信息竊取的目標。同時，標準體系尚不完善，只有建立和完善鐵路行業信息安全等級保護標準體系，才能有利于監管主體有針對性地進行監管，確保鐵路管理信息化朝著一個安全、健康的方向發展。

(3)鐵路網絡信息安全監管系統不夠完備。目前我國鐵路網絡與信息安全的責任主體的問責制度、監管主體以及監管主體之間的監管職責邊界以及相關之間的協同協作機制均不明確，不利于鐵路網絡信息安全的有效監管。

(4)社會公眾個人信息保護缺乏法律支撐。目前涉及旅客個人信息保護的主要有《鐵路安全管理條例》、《鐵路旅客車票實名制管理辦法》等文件，規定鐵路運輸企業及其工作人員在鐵路火車票實名制制度實施過程中對旅客身份信息不得竊取或泄露。歐盟2018年開始生效實施的《通用數據保護條例》對涉及個人數據保護的各個方面進行了規定，實現了歐盟數字內部市場的統一立法和統一監管；美國不同于歐盟，其行業、領域都有各自適用的單行法，并通過和利益攸關方簽訂了雙邊協定，保護國內不同行業領域的個人數據。我國鐵路網絡信息安全的法律法規應充分參考借鑒國外成熟經驗，制定進程有待加快。

3 鐵路網絡與信息安全法律體系完善建議

隨著鐵路運輸信息化依賴程度逐漸提高，鐵路運輸面臨的網絡空間安全威脅不斷加劇，為更好地保障鐵路運輸關鍵信息基礎設施網絡運行安全、重要數據安全和個人隱私安全，需要完善鐵路網絡與信息安全法律體系和完善技術標準體系，依法落實責任體系。

(1)完善相關立法

《網絡安全法》、《民法總則》等對構建我國鐵路網絡信息安全法制體系建設提供了基本法律依據，我國鐵路網絡信息安全法制體系應保證國家經濟社會穩定運行的同時，保證社會公眾的合法權益。國務院根據網絡安全法的規定對鐵路領域關鍵信息基礎設施的具體范圍和安全保護辦法。交通運輸部根據國務院關于關鍵性基礎設施的保護辦法制定交通網絡與信息安全辦法，國家鐵路局制定《鐵路網絡與信息安全管理規定》等規范性文件。鐵路網絡信息安全法制體系應明晰鐵路網絡與信息安全責任主體的權利義務以及對企業的問責制度；明確鐵路網絡信息安全保護的監管主體、各監管主體之間的職責和權責邊界。

(2)完善鐵路網絡信息安全制度和技術標準

①完善鐵路網絡信息安全制度體系

結合鐵路行業重要信息系統等級保護和安全測評工作，鐵路運輸企業應制定相關運維管理制度、內部運維人員管理、外部攻擊入侵防護、安全產品使用和運維管理責任劃分等[4]。確立關鍵信息基礎設施目錄，對關鍵信息基礎設施進行安全運維；制定鐵路行業的安全監測預警機制和信息通報制度。

②完善鐵路網絡信息安全技術標準

我國鐵路行業的網絡信息安全標準體系尚不完善，建立系統科學并且適合于我國鐵路行業的標準體系，保障鐵路運輸平穩運行，則顯得尤為緊迫[5]。

根據《標準化法》的規定，鐵路網絡信息安全技術標準屬于保障人身健康和生命財產安全、國家安全、生態環境安全以及滿足經濟社會管理基本需要的技術要求，應當制定強制性國家標準，行業標準，完善企業標準。

(3)建立鐵路網絡信息安全監管系統

①鐵路網絡信息安全監管系統建設方面的法律缺失，鐵路監管機關與相關部門在鐵路運營網絡信息領域建立鐵路信息安全監管系統，以監管主體為中心，由監管主體確定整個系統的管理體系，將涉及的整個鐵路網絡系統作為一個整體[6]。鐵路網絡信息安全監管主體在各自的職能范圍內依法履行對鐵路網絡信息安全的的監管職責。鐵路監管機關主要表現在組織、指導、協調的職能。鐵路監管部門應對鐵路運輸企業網絡應急管理機制、安全等級保護制度、技術服務等方面進行重點監管。

②鐵路運輸企業與相關部門建立聯動協作機制

鐵路網絡信息安全除了依靠鐵路部門依法履行責任主體的義務，還需要鐵路監管部門的協調與監督，鐵路反恐部門、公安機關等相關部門的配合，因此鐵路運輸企業應建立與相關部門的協作機制，定期召開聯席會議制度。

(4)完善對個人信息保護具體措施

鐵路信息化建設進程中不斷采用新技術，提高了鐵路運輸的效率和客戶體驗，也在無意中制造了漏洞，帶來了一系列安全挑戰。鐵路信息系統中存儲的運輸安全相關數據資源以及大量敏感信息和公民個人信息一旦泄露，將會影響整個鐵路運輸行業的穩定運行，危及國家安全和人民群眾的生命、財產安全。根據《網絡安全法》第七十四條的規定違反本法規定，給他人造成損害的，依法承擔民事責任。《民法總則》頒布前，對自然人的個人信息的保護主要由行政法和刑法予以規制，救濟手段多為懲罰性或者管理性手段，《民法總則》設定了侵權人承擔民事責任的救濟手段。《民法總則》雖然規定任何組織和個人需要獲取他人個人信息的應當依法取得并確保信息安全。但是我國法律未規定個人信息保護案件的舉證責任機制，導致司法機關無法可依，無法真正保護旅客的個人信息。因此應明確侵犯個人信息案件中鐵路運輸企業負有舉證責任，才能倒逼鐵路運輸企業構建個人信息保護制度，強化系統權限管理機制，操作應留下痕跡，下載有提示功能，避免因為舉證不當而承擔責任。

4 結論

鐵路網絡信息安全需要鐵路網絡信息安全法律、法規保駕護航。鐵路網絡信息安全法治化路徑為國務院加快制定關鍵信息基礎設施網絡與信息安全保護的行政法規，交通運輸部出臺《鐵路網絡信息安全保護辦法》，確定鐵路網絡信息安全保護的責任主體、監管主體等主體的權利義務以及權責邊界等內容，國家鐵路局會同相關機關制定鐵路網絡信息安全保護的行業標準，鐵路監管機關應與相關部門共同構建鐵路網絡與信息監管協同、聯動機制。