今年9月1日，《关键信息基础设施安全保护条例》（下称《条例》）正式施行，开启了基础设施安全保护元年。作为《中华人民共和国网络安全法》的重要配套法规，《条例》对关键信息基础设施的定义、监管职责分工、运营者的责任和义务都做出了明确的表述，迈出了我国信息安全建设的重要一步。同日，《数据安全法》和《网络产品安全漏洞管理规定》两项重要法规也正式施行。

而在不久后的11月1日，《中华人民共和国个人信息保护法》（下称《个信法》）也将正式施行。《个信法》在个人信息保护方面形成了更加完备的制度、提供了更有力的法律保障，从国家层面对个人信息保护问题作出重大基础性法律制度安排，是我国第一部个人信息保护方面的专门法律。

从一经颁布就已引发热议的《数据安全法》，到《条例》和《个信法》的施行，一系列政策法规组合拳的出台，意味着数字经济已经告别了过去“粗放型”的管理模式，进入到规范化、精细化运行的阶段。在此形势下，企业应该如何进行网络安全建设，提升网络安全能力，以适应最新的变化呢？

体系化指导架构搭建 执行性拆解法例要求

从最新施行的法规对象看，《条例》面向公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的关键政企，《个信法》则是面向国内处理自然人个人信息的活动。在日益完善的数字化建设与转型中，法规几乎涵盖了所有类型的公司主题。但相对中小型企业来说，大型政企涉及个人信息的业务数据更多，业务内容也更加复杂，这就要求政企在网络安全建设中不仅具有体系化的思维，还要有可执行、能落地的能力。

关键领域政企通常规模庞大，业务部门众多，网络和信息环境也较为复杂。同时，收集到的个人信息可能涉及业务的方方面面，运营、销售、客服等都是信息数据的主要使用部门。因此，要体系化地建立网络安全机制，才能避免日后在个别功能修补中付出大量的额外成本。企业首先需要从数据合规角度出发，对业务数据与收集到的个人数据进行初步梳理，内部分类分级，确认各个部门的使用权限和范围。其次，制定各个部门相关数据安全策略，建立相关责任体系并落实到人。最后，在日常业务中使用身份认证、动态审计等多种手段，增强对信息安全的管控。在体系化的构建思路指引下，更好地与研发人员统一思路，有序进行网络安全建设。

由于企业业务、经营模式的不同，网络信息安全需求很难一概而论。因此政企基于法例规定，结合自身需求，制定有执行性、可落地的信息安全建设规划，是网络信息安全合规的必要保障。即在法例条款指引下，按照体系及分工进行具体标准的细化。例如由运营者确定政企专门安全管理机构的甄选标准，由运营者及安全管理机构共同确定每年进行网络安全检测和风险评估的形式与频次，由数据使用部门确定企业对已收集个人信息数据的保存期限等等，确保政企行之有效地进行信息安全建设。

业内专家指出，现阶段多数企业，尤其是关键信息基础设施领域政企，并不缺乏体系化的网络安全思维框架。但面对日益复杂的全球网络态势，如何结合自身实际情况落地网络安全建设并持续改进，才是更应该受到重视的部分。

产品服务屡受认可 锦行助力政企合规

《条例》和《个信法》的施行对政企网络安全建设与信息安全合规提出了更高的要求，也为网络安全行业带来了新的增长点。可以预见的是，有资质、有经验的网络安全公司将从中获得更大的发展空间。拥有近20年网络安全实战攻防经验的锦行科技，就是受益者之一。

致力于服务国内金融、能源、电力及党政军企等关键基础设施行业客户的锦行科技，近年来为“十九大”、奥运会、深圳大运会以及上合峰会等多次国家重大活动提供网络安全保障，通过过硬的实战技术能力屡获好评。其拳头产品“幻云”，更是首款获得公安部安全专用产品销售许可证的欺骗防御产品。

“由于关键信息基础设施的规模庞大，运营者通常会找到网络安全公司为其提供服务。这就要求网络安全公司对政策法规和客户业务都有更深层次的理解，同时也是对其产品研发和解决方案制订能力的考验。”锦行科技CTO吴建亮表示，“例如《条例》第十七条规定，运营者应当自行或者委托网络安全服务机构对关键信息基础设施每年至少进行一次网络安全检测和风险评估。锦行的‘天穹’攻防对抗演练平台就能很好地满足该需求。通过云计算平台和虚拟化技术，搭建与真实环境相近的仿真环境，定期进行实战靶场演练和安全课程培训，提升政企网络安全人员水平”。

“针对试图对关键信息基础设施的非法侵入、干扰、破坏，锦行‘幻云’以‘界外反制+主动溯源’的场景构建，有效抵御入侵并为反制创造条件。此外，我们还有特权账号管理平台‘安权’、多维度安全巡检平台‘大舜’、自动化应用漏洞审计平台‘神农’等多款网络安全产品，通过零信任架构网络安全解决方案，全方位保护个人信息数据安全，助力政企网络信息安全合规。在我们擅长的领域，为‘十四五’乃至全面建设社会主义现代化国家，贡献自己的一份力量”，吴建亮如是说。