發(fā)布時間：2023-11-28 14:52:13
序言：寫作是分享個人見解和探索未知領(lǐng)域的橋梁，我們?yōu)槟x了8篇的個人信息安全應(yīng)急演練樣本，期待這些樣本能夠為您提供豐富的參考和啟發(fā)，請盡情閱讀。
從8月15日開始，北京、上海、濟南、廣州、重慶等地的中國工商銀行的網(wǎng)絡(luò)數(shù)度陷入“癱瘓”：網(wǎng)上銀行無法登錄，柜臺業(yè)務(wù)和ATM處理速度緩慢或者中斷。由于系統(tǒng)出現(xiàn)問題，業(yè)務(wù)無法辦理，導(dǎo)致很多營業(yè)網(wǎng)點出現(xiàn)排長隊現(xiàn)象。工商銀行后來解釋了出現(xiàn)故障的原因是由于當(dāng)日購買基金、發(fā)放養(yǎng)老金和工資的業(yè)務(wù)量太大導(dǎo)致系統(tǒng)壓力驟增，但無論原因到底是什么，這件事至少表明工商銀行在確保業(yè)務(wù)連續(xù)性上有所欠缺。
事實上，因為信息系統(tǒng)癱瘓影響業(yè)務(wù)正常運轉(zhuǎn)我們已經(jīng)不是第一次聽到，比如首都機場就曾因離港系統(tǒng)和行李系統(tǒng)出現(xiàn)故障，影響了多個航班的進(jìn)出港。如今，信息系統(tǒng)的使用大大提高了組織信息處理和業(yè)務(wù)運行的效率。然而，由于信息系統(tǒng)的廣泛使用，使得這些信息系統(tǒng)一旦不能正常支持組織的業(yè)務(wù)，給整個組織的業(yè)務(wù)帶來的影響越來越大，有時甚至?xí)斐呻y以估量的損失。正因為業(yè)務(wù)連續(xù)性管理(Business Continuity Management，BCM)對組織的業(yè)務(wù)和信息安全如此重要，而一旦發(fā)生業(yè)務(wù)中斷所造成的損失又如此巨大，使得對業(yè)務(wù)連續(xù)性的關(guān)注已經(jīng)成為信息安全領(lǐng)域關(guān)注的一大焦點。
業(yè)務(wù)連續(xù)性管理的過程
在信息安全管理國際標(biāo)準(zhǔn)ISO 27001（BS7799）中已經(jīng)建立了信息安全管理體系的模型，其中業(yè)務(wù)連續(xù)性管理（BCM）被作為一個重要部分包括在模型中。去年11月BSI了一個新的標(biāo)準(zhǔn)BS25999-1，這是業(yè)務(wù)連續(xù)性管理的最佳實踐標(biāo)準(zhǔn)，相應(yīng)的認(rèn)證標(biāo)準(zhǔn)BS25999-2也將在今年出臺。這對于公共基礎(chǔ)設(shè)施的提供者，金融電信等信息時代的基礎(chǔ)支撐行業(yè)來說，不但有了實踐的指南還有了檢驗的標(biāo)準(zhǔn)。
根據(jù)這些最佳實踐指南，業(yè)務(wù)連續(xù)性管理的實施包括一系列企業(yè)管理行為，具體實施過程可以分為以下六個步驟，其中核心是制定并實施業(yè)務(wù)連續(xù)性計劃。
下面詳細(xì)介紹BCM實施過程中各步驟所需要執(zhí)行的主要任務(wù)。
步驟1: 啟動項目
項目啟動階段的主要工作是為項目分配必需的資源和進(jìn)行前期的準(zhǔn)備工作。項目啟動階段所包括的工作主要有：
1．得到領(lǐng)導(dǎo)層對項目的支持
組織中信息化或信息安全的領(lǐng)導(dǎo)（如CIO或CSO）應(yīng)參與項目實施，并通過各種形式（如文件、會議等）向組織內(nèi)所有成員傳達(dá)領(lǐng)導(dǎo)層對該項目的重視和支持。最重要的是讓管理層知道組織的真正風(fēng)險在哪里，這些風(fēng)險造成的后果是什么，每一項風(fēng)險會造成的潛在損失有多大。沒有這種理解，管理層對BCM的支持不能落到實處，也不能保證在實施過程對必要的資源、資金和時間方面的投入，最后可能會導(dǎo)致項目實施的失敗。
2．明確項目實施的組織結(jié)構(gòu)和角色責(zé)任
項目實施需要合適的人員來完成特定的任務(wù)，明確項目實施的組織機構(gòu)和相關(guān)人員的角色責(zé)任是項目啟動階段非常重要的一項任務(wù)。項目實施的組織機構(gòu)與組織的規(guī)模和涉及的系統(tǒng)有關(guān)，一般可以分為項目管理機構(gòu)和項目實施機構(gòu)兩種。項目管理機構(gòu)負(fù)責(zé)項目實施過程中的決策，項目實施機構(gòu)負(fù)責(zé)項目的具體實施，可以進(jìn)一步細(xì)分為損害評估小組、服務(wù)器恢復(fù)小組、網(wǎng)絡(luò)恢復(fù)小組、物理/人員安全小組等等。
3．為項目實施分配資源
包括管理機構(gòu)和實施機構(gòu)在內(nèi)的項目成員通過對項目規(guī)模、難度等各方面的估計，確定項目實施所需的資源，包括人員、場地、資金和時間等。引入外部的服務(wù)提供商是解決資源不足問題的可行辦法。服務(wù)提供商可以提供BCM的咨詢服務(wù)，也可以解決組織在提高業(yè)務(wù)連續(xù)性方面所需的備用設(shè)備、場地、設(shè)施等方面的需求。
4．安排項目的實施進(jìn)度與時間
為使項目能夠順利實施，需要將項目實施劃成分若干階段，并安排每個階段的進(jìn)度計劃和主要任務(wù)。由于業(yè)務(wù)連續(xù)性管理可能會涉及到多個部門之間的協(xié)調(diào)，而且往往復(fù)雜度較高，最好在項目實施進(jìn)度中留出一定的機動時間，保證整個項目最終完成時間不會改變。
在上述幾項工作完成后，BCM項目已經(jīng)明確了項目實施的組織機構(gòu)，明確了角色和職責(zé)，安排了所需的資源，制定了項目的實施時間。接下來，項目就可以進(jìn)入下一步――業(yè)務(wù)影響分析階段。
步驟2: 業(yè)務(wù)影響分析
業(yè)務(wù)連續(xù)性管理必須考慮到所有可能發(fā)生的安全事故和災(zāi)難，并對其潛在的損害做出估計，以制定可行的控制策略，進(jìn)而預(yù)防這些事故的發(fā)生，而這正是業(yè)務(wù)影響分析（Business Impact Analysis，BIA）所要關(guān)注的方面，它是實施BCM的關(guān)鍵性的一步。
對業(yè)務(wù)安全性的威脅一般可以分為以下三類：
來自自然的威脅，如颶風(fēng)、龍卷風(fēng)、洪水和火災(zāi)；
來自人類自己的，如操作員錯誤、破壞、植入有害代碼和恐怖襲擊；
其他威脅，如設(shè)備故障、軟件錯誤、電信網(wǎng)絡(luò)中斷和電力故障。
最重要的是找出所有的威脅，分析這些威脅發(fā)生的概率，估算對組織業(yè)務(wù)所帶來的損失。風(fēng)險評估與分析是進(jìn)行業(yè)務(wù)影響分析的常用方法，它收集定性和定量的信息，包括威脅信息、組織脆弱點信息、已有的安全控制信息等，通過風(fēng)險分析方法得出風(fēng)險的大小和可能造成的損失。要注意的是，業(yè)務(wù)影響分析與風(fēng)險管理并不完全相同，業(yè)務(wù)影響分析更為關(guān)注業(yè)務(wù)的中斷以及業(yè)務(wù)中斷所帶來的損失。BIA階段一般包括以下這些任務(wù)：
1．確定關(guān)鍵業(yè)務(wù)功能和損失標(biāo)準(zhǔn)
需要確定基本的業(yè)務(wù)功能，這些業(yè)務(wù)功能可能包括: IT網(wǎng)絡(luò)支持、數(shù)據(jù)處理、會計、軟件開發(fā)、采購、通信等。由于這些業(yè)務(wù)功能和它們的實施部門之間存在依賴關(guān)系，因此在保護(hù)和恢復(fù)時也應(yīng)該按照一定的步驟進(jìn)行。
明確了威脅和確定了關(guān)鍵的業(yè)務(wù)功能之后，就可以對每種威脅造成的影響制定特定的損失標(biāo)準(zhǔn)，需要考慮的因素包括利潤的損失、運行費用的增加、違反合同造成的損失、生產(chǎn)力方面的損失、組織聲望的損失等。這些損失可能是直接的，也可能是間接的，有些是有定量數(shù)字的，有些是定性估計的，都應(yīng)該以合適的方式計入。
2．確定最大容忍時間
確定了組織賴以生存的關(guān)鍵系統(tǒng)之后，應(yīng)根據(jù)事故或災(zāi)難所造成的損失標(biāo)準(zhǔn)估計萬一不幸事件發(fā)生時，組織可以容忍的最大時間。一般來說，最大容忍時間可以分為以下幾個級別：
無關(guān)緊要：30天;
正常：7天;
重要：72小時;
緊急：24小時;
關(guān)鍵：幾分鐘到幾小時，一般不超過12小時。
3．確定恢復(fù)的優(yōu)先順序
組織內(nèi)一般包括有多個業(yè)務(wù)功能，而組織的各種資源是有限的。在發(fā)生較大的事故或災(zāi)難（如電力中斷、地震）時，多個業(yè)務(wù)功能都可能會受到影響，所以，必須根據(jù)各業(yè)務(wù)功能的關(guān)鍵程度和最大容忍時間，確定各業(yè)務(wù)功能恢復(fù)的優(yōu)先順序，并為關(guān)鍵的業(yè)務(wù)功能優(yōu)先提供所需要的資源。
步驟3: 確定恢復(fù)策略
確定恢復(fù)策略指的是確定和指導(dǎo)備用業(yè)務(wù)恢復(fù)運行策略的選擇，以便在指點的恢復(fù)時間內(nèi)恢復(fù)信息系統(tǒng)，以支持機構(gòu)的關(guān)鍵業(yè)務(wù)。
根據(jù)業(yè)界的實踐，業(yè)務(wù)中斷所造成的損失是隨著中斷時間的增大而大幅上升的，而恢復(fù)業(yè)務(wù)的費用則隨著恢復(fù)時間的縮短而大幅上升。對于組織來說，確定恢復(fù)策略的一個關(guān)鍵任務(wù)就是在業(yè)務(wù)中斷時間和業(yè)務(wù)恢復(fù)費用之間取得適當(dāng)?shù)钠胶狻?/p>
從備份站點來看，可以分為冷站（cold site）、暖站（warm site）、熱站（hot site）三種方式。冷站只提供基本的工作環(huán)境、電線、空調(diào)等，在恢復(fù)時要花費很長的時間，可能會有幾個星期;熱站則具有完全的配置，一般使用在分鐘級或小時級的恢復(fù)環(huán)境下，也最為昂貴。從備份類型來看，可以分為增量備份、差量備份、完全備份傳遞三種方式;從備份數(shù)據(jù)傳輸方式來看，可以分為手工傳送、電子備份傳送、實時備份等方式。組織還可以選擇與內(nèi)部或外部機構(gòu)簽訂互惠協(xié)議，或者與設(shè)備供應(yīng)商簽署服務(wù)合同。具體選擇時，組織要綜合考慮邏輯性、可行性、經(jīng)濟性等多方面因素，確定適合自身業(yè)務(wù)要求的恢復(fù)策略。
步驟4: 編制業(yè)務(wù)連續(xù)性計劃
業(yè)務(wù)連續(xù)性計劃（BCP）樣式有多種，但一般都包括以下內(nèi)容：支持信息、通知/啟動、業(yè)務(wù)恢復(fù)和業(yè)務(wù)復(fù)原。
1．支持信息
支持信息部分提供了重要的背景或相關(guān)信息，使得BCP更容易被理解、實施和維護(hù)。支持信息部分一般包括以下內(nèi)容：
目的。介紹制定BCP的原因和定義BCP的目標(biāo)。
范圍。說明有哪些部門和運營業(yè)務(wù)需要實施BCP。另外，BCP所包括的業(yè)務(wù)中斷范圍也要說明，如計劃可能不會涉及預(yù)計持續(xù)時間小于四個小時的短期中斷。
組織。描述應(yīng)急團(tuán)隊的整體結(jié)構(gòu)，包括各團(tuán)隊的等級劃分、協(xié)調(diào)機制、角色與職責(zé)等。
資源需求。人員、設(shè)備、技術(shù)/數(shù)據(jù)、安全、運輸、福利和緊急事件的費用。
系統(tǒng)描述。對有必要包括在BCP中的IT系統(tǒng)的一般描述，包括系統(tǒng)的架構(gòu)、現(xiàn)有安全防護(hù)措施等。
變化記錄。對BCP變更的記錄。
2．通知/啟動
也稱為應(yīng)急響應(yīng)。該部分定義了在探測到系統(tǒng)中斷或緊急情況發(fā)生或即將到來時采取的初步行動，如通知恢復(fù)人員、評估系統(tǒng)損害和實施計劃的活動。一般包括以下內(nèi)容：
告知規(guī)程。包括告知樹、告知信息、通信方法等。
損害評估。評估事件可能帶來的業(yè)務(wù)影響和損害。
計劃的啟動。計劃的啟動條件和恢復(fù)策略確定。
3．業(yè)務(wù)恢復(fù)
業(yè)務(wù)恢復(fù)集中于建立臨時IT處理能力、修復(fù)原系統(tǒng)、在原系統(tǒng)或新設(shè)施中恢復(fù)運行能力等應(yīng)急措施。在恢復(fù)階段完成后，系統(tǒng)將可以運行并執(zhí)行計劃中指定的功能。業(yè)務(wù)恢復(fù)計劃一般也被稱為災(zāi)難恢復(fù)計劃（DRP）。
計劃的這一部分應(yīng)該按照操作手冊的形式編排，由一系列簡單明確的指令構(gòu)成，這樣恢復(fù)團(tuán)隊可以完全按照這些指令進(jìn)行恢復(fù)操作。各種操作之間的相互關(guān)系也必須加以明確說明，所有的指令和說明必須明白無誤，以免因可能引起誤解或不明了而導(dǎo)致時間損失。
4．業(yè)務(wù)復(fù)原
為業(yè)務(wù)運營復(fù)原原有場所或新建場所應(yīng)采取的步驟等應(yīng)在此加以說明。需要標(biāo)明每個團(tuán)隊負(fù)責(zé)人的責(zé)任和任務(wù)，一般包括：
提供基礎(chǔ)設(shè)施，如電力、辦公設(shè)備等。
系統(tǒng)安裝，包括軟硬件。
測試被恢復(fù)系統(tǒng)的運行。
將應(yīng)急系統(tǒng)中的運行數(shù)據(jù)上載到被恢復(fù)系統(tǒng)中。
關(guān)閉應(yīng)急系統(tǒng)。
應(yīng)急場所中敏感信息與材料的處置。
其他操作。
步驟5: 測試和演練計劃
技術(shù)、業(yè)務(wù)方法以及員工角色和責(zé)任的變化都將影響和降低業(yè)務(wù)應(yīng)急計劃的效率并最終影響到機構(gòu)的準(zhǔn)備狀態(tài)。因此，通過對業(yè)務(wù)應(yīng)急計劃的測試來測量其可用性和有效性是很重要的。測試還將使員工熟悉恢復(fù)站點的位置以及中斷期間所需的恢復(fù)規(guī)程。測試的目標(biāo)是確保機構(gòu)在啟動業(yè)務(wù)連續(xù)性計劃后能夠按照計劃可靠、及時和有效地恢復(fù)運行。
測試的過程需要進(jìn)行詳細(xì)的規(guī)劃，測試計劃還應(yīng)該包括每項測試的詳細(xì)時間表和測試的參與者。測試計劃還應(yīng)該清晰地描述測試范圍、場景和后勤。場景可以選擇為最糟糕的事故或最有可能發(fā)生的事故，并盡量模仿真實情況。
有兩種基本的演練方式：
課堂演練 課堂演練的參與者在桌面上對規(guī)程進(jìn)行排演而不實際進(jìn)行恢復(fù)操作。在兩種演練類型中課堂演練是最基本和最經(jīng)濟的，應(yīng)該在執(zhí)行功能演練之前執(zhí)行。
功能演練 功能演練比桌面上的演練更進(jìn)一步，要求虛構(gòu)事件。功能演練包括模擬和戰(zhàn)術(shù)演練。通常會為扮演外部機構(gòu)的角色演員寫好腳本或者有真正的相關(guān)機構(gòu)或供應(yīng)商參與。功能演練可以包括針對備用站點的實際配置和（或）系統(tǒng)切換。
組織對其業(yè)務(wù)連續(xù)性計劃一年至少要測試一次。管理層應(yīng)該參與到測試中并熟悉其在計劃啟動時的角色和責(zé)任。
步驟6: 維護(hù)與更新計劃
業(yè)務(wù)連續(xù)性計劃必須周期性地加以檢查和維護(hù)。為了使其更加有效，計劃必須維持在能夠正確反映系統(tǒng)需求、規(guī)程、機構(gòu)架構(gòu)和策略的就緒狀態(tài)。計劃應(yīng)該至少每年進(jìn)行一次針對正確性和完整性的檢查，一旦有新的系統(tǒng)、新的業(yè)務(wù)流程或者新的商業(yè)行動計劃加入企業(yè)的生產(chǎn)系統(tǒng)或者信息系統(tǒng)，引起企業(yè)整體系統(tǒng)發(fā)生變化時，就更應(yīng)該強制啟動這種檢查程序。某些部分應(yīng)該得到更頻繁的檢查，如聯(lián)絡(luò)清單。根據(jù)系統(tǒng)類型和重要程度的不同，對計劃內(nèi)容和規(guī)程的評估可能會更加頻繁。計劃的檢查至少要關(guān)注以下內(nèi)容：
運行需求;
安全需求;
技術(shù)規(guī)程;
硬件、軟件和其他設(shè)備（類型、規(guī)格和數(shù)量）;
團(tuán)隊成員的姓名和聯(lián)絡(luò)信息;
供應(yīng)商，包括備用和離站供應(yīng)商協(xié)調(diào)人的姓名和聯(lián)絡(luò)信息;
備用和離站設(shè)施需求;
關(guān)鍵記錄（電子的或硬拷貝）。
每一次在執(zhí)行這種檢查程序時，最好是與對BCP的改進(jìn)相互結(jié)合。例如，在測試過程中發(fā)現(xiàn)的問題、組織為了實現(xiàn)連續(xù)性對機構(gòu)所做的調(diào)整或者在保持業(yè)務(wù)連續(xù)性測試時發(fā)現(xiàn)了更好的行動方式和計劃等等。因此，BCP的維護(hù)應(yīng)該是變化和改進(jìn)的結(jié)合與不斷促進(jìn)。另外，BCP中可能包含有潛在的敏感操作和個人信息，所以對BCP的分發(fā)應(yīng)該根據(jù)需要進(jìn)行標(biāo)記和控制。（本文作者為BSI中國公司的咨詢顧問）
相關(guān)
業(yè)務(wù)連續(xù)性管理的關(guān)鍵點
在實行BCM過程中，以下因素是組織應(yīng)重點考慮的：
爭取管理層的支持和參與。沒有管理層的支持，業(yè)務(wù)連續(xù)性計劃的制定和實施都是十分困難的，很有可能會流產(chǎn)。
建立業(yè)務(wù)連續(xù)性管理文化。通過培訓(xùn)和意識教育，使業(yè)務(wù)連續(xù)性管理成為企業(yè)核心價值和有效管理的一部分。
業(yè)務(wù)連續(xù)性計劃團(tuán)隊要有明確的組織結(jié)構(gòu)，角色和責(zé)任應(yīng)明確、清晰，要對相關(guān)人員進(jìn)行培訓(xùn)。如果參與人員不能清楚地知道自己該做什么，災(zāi)難發(fā)生時只能是一片混亂。
恢復(fù)策略的確定要綜合考慮恢復(fù)成本與災(zāi)難損失，在其中取得一個適當(dāng)?shù)钠胶恻c。超過損失的恢復(fù)是毫無意義的。
截至2014年6月底，作為非P2P網(wǎng)絡(luò)小額貸款的典型代表，阿里金融旗下的小額貸款公司累計發(fā)放貸款超過2000億元，服務(wù)小微企業(yè)達(dá)80萬家。眾籌融資。截至2014年6月底，全國約有眾籌融資平臺100家，其中“天使匯”自創(chuàng)立以來累計有8000個創(chuàng)業(yè)項目，創(chuàng)業(yè)者會員超過20000人，融資總額超過2.5億元?；诨ヂ?lián)網(wǎng)的基金銷售。截至2014年9月底，支付寶平臺的“余額寶”規(guī)模達(dá)5349億元，用戶數(shù)增至1.49億，天弘基金由此成為國內(nèi)規(guī)模最大的基金管理公司。
二、互聯(lián)網(wǎng)金融信息安全風(fēng)險分析
互聯(lián)網(wǎng)金融的迅猛發(fā)展，在給我國經(jīng)濟金融帶來活力、給大眾帶來便利的同時，也存在著大量的風(fēng)險隱患。同所有金融業(yè)務(wù)一樣，互聯(lián)網(wǎng)金融存在流動性風(fēng)險、信用風(fēng)險、洗錢風(fēng)險等，在此，本文僅從信息安全的角度分析互聯(lián)網(wǎng)金融風(fēng)險。
（一）客戶端安全認(rèn)證風(fēng)險。客戶端通常采用用戶名和密碼方式進(jìn)行認(rèn)證，用戶計算機在感染病毒、木馬程序或被黑客攻擊后，用戶的賬戶、密碼、驗證碼等敏感信息會在未經(jīng)安全認(rèn)證的情況下，通過鍵盤記錄或屏幕錄制等方式，被發(fā)送至黑客指定服務(wù)器的后端，嚴(yán)重威脅互聯(lián)網(wǎng)金融賬戶和密碼安全。
（二）信息通信風(fēng)險?；ヂ?lián)網(wǎng)金融業(yè)務(wù)通過網(wǎng)絡(luò)在銀行、互聯(lián)網(wǎng)金融機構(gòu)、用戶之間進(jìn)行數(shù)據(jù)傳輸，數(shù)據(jù)傳輸過程要求進(jìn)行數(shù)據(jù)加密。網(wǎng)絡(luò)傳輸系統(tǒng)被侵入或者加密算法被黑客攻破，將導(dǎo)致用戶的資金、賬號、密碼在網(wǎng)絡(luò)中以明文傳輸，造成客戶信息泄露，嚴(yán)重影響客戶資金及信息安全。
（三）系統(tǒng)漏洞風(fēng)險。互聯(lián)網(wǎng)金融業(yè)務(wù)系統(tǒng)無論采用Java技術(shù)還是其他技術(shù)進(jìn)行開發(fā)，均可能存在一些系統(tǒng)漏洞和安全隱患。黑客會搜尋并利用系統(tǒng)漏洞進(jìn)行攻擊來獲得非法利益，給互聯(lián)網(wǎng)金融業(yè)務(wù)帶來巨大的信息安全風(fēng)險。
（四）數(shù)據(jù)安全風(fēng)險。互聯(lián)網(wǎng)金融業(yè)務(wù)數(shù)據(jù)要求絕對安全和保密。用戶基本信息、支付信息、資金信息、業(yè)務(wù)處理信息、數(shù)據(jù)交換信息等丟失、泄露和被篡改，都會給商業(yè)銀行及互聯(lián)網(wǎng)金融機構(gòu)帶來不可估量的損失。在互聯(lián)網(wǎng)的開放式環(huán)境中，互聯(lián)網(wǎng)金融業(yè)務(wù)系統(tǒng)應(yīng)確保數(shù)據(jù)輸入和傳輸?shù)耐暾浴踩耘c可靠性，防止對數(shù)據(jù)的非法篡改，實現(xiàn)對數(shù)據(jù)非法操作的監(jiān)控與制止。
（五）系統(tǒng)應(yīng)急風(fēng)險。目前，大多數(shù)互聯(lián)網(wǎng)金融機構(gòu)在系統(tǒng)建設(shè)和運行中，特別是尚未納入監(jiān)管體系的P2P等機構(gòu)，不能嚴(yán)格執(zhí)行應(yīng)急演練計劃。電力中斷、地震、洪水等災(zāi)害的發(fā)生，將導(dǎo)致系統(tǒng)數(shù)據(jù)丟失，給互聯(lián)網(wǎng)金融機構(gòu)造成巨大損失。
（六）內(nèi)部控制風(fēng)險。互聯(lián)網(wǎng)金融內(nèi)控制度是為了保護(hù)金融資產(chǎn)的安全完整，形成的一系列具有控制職能的方法、措施和程序。互聯(lián)網(wǎng)金融業(yè)務(wù)內(nèi)控制度建設(shè)或執(zhí)行不到位，會導(dǎo)致業(yè)務(wù)操作處理過程中出現(xiàn)安全隱患，如由單個系統(tǒng)管理員重置客戶密碼或調(diào)整客戶賬戶信息等，將造成互聯(lián)網(wǎng)金融信息安全風(fēng)險。
（七）外包管理風(fēng)險。由于專業(yè)技術(shù)人員不足，許多互聯(lián)網(wǎng)金融機構(gòu)通過購買第三方外部服務(wù)的方式來獲取技術(shù)支持。外包服務(wù)管理不到位、外包服務(wù)公司經(jīng)營不善或破產(chǎn)，都會給互聯(lián)網(wǎng)金融機構(gòu)帶來數(shù)據(jù)泄密的風(fēng)險，嚴(yán)重影響互聯(lián)網(wǎng)金融業(yè)務(wù)安全穩(wěn)定運行。
（八）操作風(fēng)險。操作風(fēng)險來源于機構(gòu)內(nèi)部員工或用戶的錯誤操作、惡意操作?；ヂ?lián)網(wǎng)金融機構(gòu)員工對業(yè)務(wù)不熟悉，可能導(dǎo)致業(yè)務(wù)操作風(fēng)險，從而危及互聯(lián)網(wǎng)金融業(yè)務(wù)的總體安全。同樣，互聯(lián)網(wǎng)金融業(yè)務(wù)也可能因為客戶缺乏網(wǎng)絡(luò)安全知識、安全意識淡薄而面臨相當(dāng)高的操作風(fēng)險。
（九）法律風(fēng)險。法律風(fēng)險來源于網(wǎng)上交易過程中違反相關(guān)法律、法規(guī)和制度，以及未能遵守有關(guān)權(quán)利義務(wù)的規(guī)定。電子商務(wù)和互聯(lián)網(wǎng)金融業(yè)務(wù)在我國正處于加快發(fā)展階段，政府相關(guān)法律法規(guī)對網(wǎng)上交易權(quán)利與義務(wù)的規(guī)定仍不清晰，互聯(lián)網(wǎng)金融存在著相當(dāng)大的法律風(fēng)險。
三、互聯(lián)網(wǎng)金融信息安全風(fēng)險防范
（一）構(gòu)建互聯(lián)網(wǎng)金融信息安全保障體系。一是改善互聯(lián)網(wǎng)金融的運行環(huán)境。在硬件配置方面，加大對計算機信息安全設(shè)備的投入，增強系統(tǒng)的抗攻擊、防病毒能力；在系統(tǒng)運行方面，通過身份識別、分級授權(quán)、短信驗證等多種登錄方式，限制非法用戶登錄互聯(lián)網(wǎng)金融網(wǎng)站。二是加強數(shù)據(jù)安全管理。將互聯(lián)網(wǎng)金融納入現(xiàn)代金融體系的發(fā)展規(guī)劃，制訂統(tǒng)一的技術(shù)標(biāo)準(zhǔn)規(guī)范；利用數(shù)字證書與加密技術(shù)保障互聯(lián)網(wǎng)金融業(yè)務(wù)的交易主體的信息安全，防范交易過程中的不法行為。三是開發(fā)具有自主知識產(chǎn)權(quán)的信息安全技術(shù)。大力發(fā)展國產(chǎn)加密技術(shù)、密鑰管理技術(shù)及數(shù)字簽名技術(shù)，提高信息系統(tǒng)的安全技術(shù)水平和關(guān)鍵設(shè)備的安全防御能力，保護(hù)互聯(lián)網(wǎng)金融安全。
（二）健全互聯(lián)網(wǎng)金融信息風(fēng)險管理體系。一是加強互聯(lián)網(wǎng)金融機構(gòu)的內(nèi)部控制?；ヂ?lián)網(wǎng)金融機構(gòu)應(yīng)制定完備的計算機安全管理辦法和互聯(lián)網(wǎng)金融風(fēng)險防范制度，加強制度學(xué)習(xí)落實，完善業(yè)務(wù)操作規(guī)程；充實內(nèi)部科技力量，建立從事防范互聯(lián)網(wǎng)金融信息風(fēng)險的專業(yè)技術(shù)隊伍。二是加快社會信用體系建設(shè)。以人民銀行的企業(yè)、個人征信系統(tǒng)為基礎(chǔ)，建立客觀全面的企業(yè)、個人信用評估體系和電子商務(wù)身份認(rèn)證體系，避免互聯(lián)網(wǎng)金融業(yè)務(wù)提供者因信息不對稱作出不利選擇；針對從事互聯(lián)網(wǎng)金融業(yè)務(wù)的機構(gòu)建立信用評價體系，降低互聯(lián)網(wǎng)金融業(yè)務(wù)的不確定性，避免客戶因不了解互聯(lián)網(wǎng)金融機構(gòu)的業(yè)務(wù)服務(wù)質(zhì)量而作出逆向選擇。
（三）加強防范互聯(lián)網(wǎng)金融信息風(fēng)險的法制體系建設(shè)。一是加大互聯(lián)網(wǎng)金融的立法力度。及時制定和頒布互聯(lián)網(wǎng)金融法律法規(guī)，在電子交易的合法性、電子商務(wù)的安全性以及禁止利用互聯(lián)網(wǎng)犯罪等方面加快立法，明晰互聯(lián)網(wǎng)金融業(yè)務(wù)各交易主體的權(quán)利和義務(wù)。二是修改完善現(xiàn)行法律法規(guī)。修訂現(xiàn)有法律法規(guī)中不適合互聯(lián)網(wǎng)金融發(fā)展的部分，對利用互聯(lián)網(wǎng)實施金融犯罪的行為加大量刑力度，明確造成互聯(lián)網(wǎng)金融信息風(fēng)險應(yīng)承擔(dān)的法律責(zé)任。三是制定網(wǎng)絡(luò)公平交易規(guī)則。在識別數(shù)字簽名、保存電子交易憑證、保護(hù)消費者個人信息、明確交易主體的責(zé)任等方面作出詳細(xì)規(guī)定，確保互聯(lián)網(wǎng)金融業(yè)務(wù)的有序開展。
湖南省通信條例
第一章 總 則
第一條 為了規(guī)范通信設(shè)施的建設(shè)，提高通信服務(wù)質(zhì)量，保障通信安全，促進(jìn)通信業(yè)的健康發(fā)展，維護(hù)通信用戶和通信業(yè)務(wù)經(jīng)營者的合法權(quán)益，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》、國務(wù)院《電信條例》和有關(guān)法律、行政法規(guī)，結(jié)合本省實際，制定本條例。
第二條 本省行政區(qū)域內(nèi)通信設(shè)施的建設(shè)和保護(hù)、通信服務(wù)的規(guī)范、通信安全的保障以及通信業(yè)監(jiān)督管理等活動，適用本條例。
本條例所稱通信，是指個人、組織相互之間利用有線、無線的電磁系統(tǒng)或者光電系統(tǒng)傳送、發(fā)射、接收語音、文字、數(shù)據(jù)、圖像以及其他形式信息，實現(xiàn)信息互通的活動。
本條例所稱通信設(shè)施，是指為社會公眾提供通信服務(wù)，用于實現(xiàn)通信功能的交換設(shè)備、傳輸設(shè)備和配套設(shè)備等;通信基礎(chǔ)設(shè)施，是指通信機房、通信光纜、電纜、通信桿路、移動基站等通信設(shè)施。
第三條 縣級以上人民政府應(yīng)當(dāng)將通信業(yè)納入國民經(jīng)濟和社會發(fā)展規(guī)劃，將通信基礎(chǔ)設(shè)施專項規(guī)劃納入城鄉(xiāng)規(guī)劃，加強通信業(yè)監(jiān)管體系建設(shè)，統(tǒng)籌協(xié)調(diào)解決通信業(yè)發(fā)展中的重大問題。
第四條 省通信管理機構(gòu)應(yīng)當(dāng)根據(jù)本省國民經(jīng)濟和社會發(fā)展規(guī)劃組織編制全省通信行業(yè)發(fā)展規(guī)劃并對全省通信業(yè)實施監(jiān)督管理。省通信管理機構(gòu)可以委托有關(guān)行政機關(guān)或者具有管理公共事務(wù)職能的組織(以下與省通信管理機構(gòu)統(tǒng)稱通信管理機構(gòu))履行有關(guān)監(jiān)管職責(zé)。
縣級以上人民政府經(jīng)濟和信息化、網(wǎng)信、住房和城鄉(xiāng)建設(shè)、城鄉(xiāng)規(guī)劃、公安、環(huán)境保護(hù)、無線電管理等有關(guān)行政主管部門按照各自職責(zé)，做好通信業(yè)相關(guān)工作。
鄉(xiāng)鎮(zhèn)人民政府、街道辦事處和村(居)民委員會協(xié)助做好通信設(shè)施建設(shè)、保護(hù)等方面的相關(guān)工作。
第二章 通信設(shè)施
第五條 設(shè)區(qū)的市、自治州人民政府城鄉(xiāng)規(guī)劃行政主管部門會同通信管理機構(gòu)編制通信基礎(chǔ)設(shè)施專項規(guī)劃，報本級人民政府批準(zhǔn)后實施。
編制通信基礎(chǔ)設(shè)施專項規(guī)劃，應(yīng)當(dāng)符合城市總體規(guī)劃、縣城總體規(guī)劃和土地利用總體規(guī)劃，并遵循統(tǒng)籌協(xié)調(diào)、集約建設(shè)的原則，避免重復(fù)建設(shè)和資源浪費。
第六條 省通信管理機構(gòu)應(yīng)當(dāng)組織協(xié)調(diào)推進(jìn)全省通信基礎(chǔ)設(shè)施均衡建設(shè)，加強農(nóng)村通信基礎(chǔ)設(shè)施建設(shè)和城市舊城區(qū)通信基礎(chǔ)設(shè)施改造，完善網(wǎng)絡(luò)覆蓋。
第七條 規(guī)劃道路、橋梁、隧道等公共基礎(chǔ)設(shè)施，應(yīng)當(dāng)同步考慮通信設(shè)施建設(shè)需要，及時與通信管理機構(gòu)協(xié)商預(yù)留通信管線等事宜。
新建、改建、擴建民用建筑，建設(shè)單位應(yīng)當(dāng)按照國家標(biāo)準(zhǔn)將配套通信設(shè)施納入建設(shè)項目的設(shè)計文件，隨主體工程同步施工、驗收并將所需經(jīng)費納入建設(shè)項目概算，但移動通信基站應(yīng)當(dāng)由通信業(yè)務(wù)經(jīng)營者建設(shè)并承擔(dān)所需費用。
第八條 通信業(yè)務(wù)經(jīng)營者進(jìn)入居民住宅內(nèi)新建或者改建通信設(shè)施的，應(yīng)當(dāng)征得業(yè)主同意;在其他已有建筑物上新建或者改建通信設(shè)施，應(yīng)當(dāng)事先告知建筑物的所有人、管理人或者使用人。
已有建筑物的所有人、管理人或者使用人應(yīng)當(dāng)為新建、改建通信設(shè)施提供通行便利和必要的場地，場地使用費按照國家和省人民政府的規(guī)定執(zhí)行。
第九條 通信業(yè)務(wù)經(jīng)營者不得通過與建筑物的建設(shè)單位、所有人、管理人或者使用人簽訂排他性協(xié)議等方式，阻礙其他通信業(yè)務(wù)經(jīng)營者接入和使用配套通信設(shè)施，限制通信用戶自主選擇權(quán)。建筑物的建設(shè)單位、所有人、管理人或者使用人應(yīng)當(dāng)為各通信業(yè)務(wù)經(jīng)營者提供平等接入和使用配套通信設(shè)施的條件。
第十條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)在大型公共場所和建筑物內(nèi)的移動通信信號盲區(qū)、弱區(qū)，設(shè)置移動通信網(wǎng)絡(luò)室內(nèi)分布系統(tǒng)。
移動通信網(wǎng)絡(luò)室內(nèi)分布系統(tǒng)的設(shè)計、建設(shè)應(yīng)當(dāng)符合國家有關(guān)標(biāo)準(zhǔn)，滿足多套移動蜂窩網(wǎng)絡(luò)數(shù)據(jù)系統(tǒng)共享要求。
第十一條 省通信管理機構(gòu)應(yīng)當(dāng)根據(jù)通信行業(yè)發(fā)展規(guī)劃和通信基礎(chǔ)設(shè)施專項規(guī)劃，組織通信業(yè)務(wù)經(jīng)營者開展通信設(shè)施共建共享工作，推進(jìn)通信網(wǎng)與廣播電視傳輸網(wǎng)、互聯(lián)網(wǎng)的共建共享，避免資源浪費和重復(fù)建設(shè)。
通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)根據(jù)技術(shù)可行、節(jié)約資源、合理負(fù)擔(dān)的原則，協(xié)商共建共享通信設(shè)施。新建、改建、擴建桿塔、基站、管道等通信設(shè)施應(yīng)當(dāng)實行聯(lián)合建設(shè);已有的管道、桿塔、基站等通信設(shè)施應(yīng)當(dāng)開放共享，不具備共享條件的應(yīng)當(dāng)采取技術(shù)改造、擴建等方式進(jìn)行共建共享。因資源整合或者布局調(diào)整，移動通信基站等通信設(shè)施不再使用的，應(yīng)當(dāng)及時拆除。
第十二條 通信業(yè)務(wù)經(jīng)營者在建筑物上附掛通信線路或者設(shè)置小型天線、移動通信基站等通信設(shè)施時，應(yīng)當(dāng)符合建筑物荷載要求，保證建筑物安全、正常使用;造成人身傷害、財產(chǎn)損失的，應(yīng)當(dāng)依法承擔(dān)賠償責(zé)任。
第十三條 鼓勵設(shè)區(qū)的市、縣(市)人民政府統(tǒng)籌規(guī)劃建設(shè)地下綜合管廊，為通信線路入地提供條件。具備通信線路入地條件的，在城市規(guī)劃區(qū)內(nèi)不得建設(shè)架空通信線路，城市建成區(qū)內(nèi)已有的架空通信線路應(yīng)當(dāng)逐步入地。
在風(fēng)景名勝區(qū)、文物保護(hù)區(qū)和歷史文化街區(qū)、名鎮(zhèn)、名村建設(shè)通信設(shè)施，應(yīng)當(dāng)采取景觀化或者隱蔽化建設(shè)方案。
第十四條 通信設(shè)施建設(shè)應(yīng)當(dāng)文明、安全施工，避免或者減少影響居民、單位的正常生產(chǎn)生活。施工結(jié)束后，應(yīng)當(dāng)將施工過程中損壞的建筑物、綠地、道路等恢復(fù)原狀;不能恢復(fù)原狀的，應(yīng)當(dāng)按照國家相關(guān)規(guī)定給予補償或者賠償。
第三章 通信服務(wù)
第十五條 在本省經(jīng)營通信業(yè)務(wù)，應(yīng)當(dāng)依法取得行政許可。運用新技術(shù)試辦《電信業(yè)務(wù)分類目錄》未列出的新型電信業(yè)務(wù)的，應(yīng)當(dāng)向省通信管理機構(gòu)備案。
通信業(yè)務(wù)經(jīng)營者許可或者備案事項發(fā)生變更的，應(yīng)當(dāng)向原許可或者備案機關(guān)辦理變更手續(xù)。
第十六條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)執(zhí)行國家服務(wù)標(biāo)準(zhǔn)，為通信用戶提供準(zhǔn)確、安全、便捷、暢通和價格合理的通信服務(wù)，采取多種形式廣泛聽取通信用戶意見，提升服務(wù)質(zhì)量。
第十七條 通信用戶辦理網(wǎng)絡(luò)接入、變更、注銷等手續(xù)時，應(yīng)當(dāng)提供真實身份信息，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)對通信用戶身份信息進(jìn)行核驗。通信用戶不提供真實身份信息的，通信業(yè)務(wù)經(jīng)營者不得為其提供通信服務(wù)。
第十八條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)通過系統(tǒng)監(jiān)控、日常巡查、定期查訪等方式加強對通信業(yè)務(wù)商的管理，及時采取有效措施規(guī)范商的行為。
第十九條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)公開服務(wù)項目及其資費標(biāo)準(zhǔn)，為通信用戶交費和查詢提供方便。通信用戶要求提供收費清單的，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)免費提供。收費清單應(yīng)當(dāng)按照國家規(guī)定詳細(xì)記錄相關(guān)內(nèi)容。
第二十條 通信業(yè)務(wù)經(jīng)營者在為用戶辦理入網(wǎng)、變更、注銷等手續(xù)時，應(yīng)當(dāng)根據(jù)國家相關(guān)要求簽訂通信服務(wù)協(xié)議。通信服務(wù)協(xié)議中不得含有對通信用戶不公平、不合理的條款，通信服務(wù)協(xié)議中的限制性條件及其他需要注意的事項，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)用顯著的方式告知通信用戶。
通信服務(wù)協(xié)議有效期間，通信業(yè)務(wù)經(jīng)營者有義務(wù)保存所訂立的協(xié)議。
第二十一條 通信業(yè)務(wù)經(jīng)營者對固定語音、移動語音、短信息、固定寬帶、移動數(shù)據(jù)等業(yè)務(wù)進(jìn)行組合銷售時，應(yīng)當(dāng)另行提供單項業(yè)務(wù)服務(wù)。
第二十二條 通信用戶產(chǎn)生超出前三個月平均通信費用五倍以上的異常通信費用時，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)立即告知通信用戶，并采取相應(yīng)的措施。
第二十三條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)規(guī)范消費提醒方式，采用相對固定的渠道和統(tǒng)一方式向通信用戶提供消費提醒服務(wù)。
因通信用戶預(yù)付通信費不足可能導(dǎo)致暫停通信服務(wù)的，通信業(yè)務(wù)經(jīng)營者應(yīng)在合理的時段內(nèi)，提前提醒通信用戶及時交納通信費用。
通信業(yè)務(wù)經(jīng)營者未按照國家規(guī)定提供消費提醒服務(wù)，不得向通信用戶收取通信費用違約金。
第二十四條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)定期委托有資質(zhì)的第三方檢測機構(gòu)對計費系統(tǒng)進(jìn)行檢測，向社會公布檢測結(jié)果并向省通信管理機構(gòu)報告。
省通信管理機構(gòu)應(yīng)當(dāng)不定期地對通信業(yè)務(wù)經(jīng)營者的計費系統(tǒng)進(jìn)行抽查，將抽查結(jié)果告知通信業(yè)務(wù)經(jīng)營者并向社會公布。
第二十五條 通信業(yè)務(wù)經(jīng)營者、電子信息內(nèi)容提供者未與通信用戶約定，不得向其發(fā)送商業(yè)性電子信息。
通信業(yè)務(wù)經(jīng)營者發(fā)現(xiàn)電子信息內(nèi)容提供者違反前款規(guī)定發(fā)送商業(yè)性電子信息的，應(yīng)當(dāng)暫停或者停止為其提供相關(guān)的通信資源或者服務(wù)，并保存有關(guān)記錄。
第二十六條 因工程施工或者通信設(shè)施建設(shè)等原因可能影響正常通信服務(wù)的，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)提前七十二小時告知相關(guān)用戶;可能對通信服務(wù)造成重大影響的，應(yīng)當(dāng)向省通信管理機構(gòu)報告。
第二十七條 通信用戶申告通信服務(wù)故障的，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)及時修復(fù)。故障發(fā)生在城鎮(zhèn)的，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)自接到申告之日起四十八小時內(nèi)修復(fù);故障發(fā)生在農(nóng)村的，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)自接到申告之日起七十二小時內(nèi)修復(fù);因特殊原因不能在上述時限內(nèi)修復(fù)的，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)及時通知通信用戶，并免收故障期間的服務(wù)費用。但是，屬于通信用戶終端設(shè)備的原因造成通信服務(wù)障礙的除外。
第二十八條 通信業(yè)務(wù)經(jīng)營者在通信服務(wù)中，不得有下列行為：
(一)未征得通信用戶同意，為其開通約定以外的通信服務(wù)項目;
(二)無正當(dāng)理由拒絕、拖延或者中止提供通信服務(wù);
(三)不履行公開作出的承諾或者作虛假宣傳;
(四)擅自增加收費項目、提高與通信用戶約定的資費標(biāo)準(zhǔn)或者擅自改變與通信用戶約定的計費方式、收費方法，偽造、篡改通信用戶的計費數(shù)據(jù)及其他與計費有關(guān)的記錄;
(五)捏造、散布虛假事實損害其他通信業(yè)務(wù)經(jīng)營者的合法權(quán)益或者貶低、詆毀其他通信業(yè)務(wù)經(jīng)營者的企業(yè)形象、商業(yè)信譽、業(yè)務(wù)品牌，惡意對其他通信業(yè)務(wù)經(jīng)營者的服務(wù)或者產(chǎn)品實施不兼容行為，欺騙、誤導(dǎo)或者強迫用戶不使用其他通信業(yè)務(wù)經(jīng)營者依法提供的服務(wù);
(六)其他損害通信用戶或者其他通信業(yè)務(wù)經(jīng)營者合法權(quán)益的行為。
第二十九條 通信用戶認(rèn)為通信業(yè)務(wù)經(jīng)營者侵犯自己合法權(quán)益的，可以向通信業(yè)務(wù)經(jīng)營者投訴，通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)在接到投訴之日起十五日內(nèi)答復(fù);對答復(fù)結(jié)果不滿意或者通信業(yè)務(wù)經(jīng)營者在十五日內(nèi)未答復(fù)的，通信用戶可以向省通信管理機構(gòu)或者其設(shè)立的專門申訴機構(gòu)申訴，收到申訴的機構(gòu)應(yīng)當(dāng)自收到申訴之日起三十日內(nèi)處理并向申訴者反饋處理結(jié)果。
通信用戶認(rèn)為通信業(yè)務(wù)經(jīng)營者侵犯自己合法權(quán)益的，也可以向消費者委員會投訴或者向人民法院起訴。
第四章 通信安全
第三十條 省通信管理機構(gòu)應(yīng)當(dāng)建立健全應(yīng)急通信相關(guān)制度，確保通信暢通。
第三十一條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)根據(jù)通信管理機構(gòu)的要求加強應(yīng)急通信保障體系建設(shè)，制定通信保障應(yīng)急預(yù)案，并開展應(yīng)急演練。
通信業(yè)務(wù)經(jīng)營者在執(zhí)行應(yīng)急通信保障任務(wù)時，應(yīng)當(dāng)服從通信管理機構(gòu)的統(tǒng)一調(diào)度指揮，采取相應(yīng)的應(yīng)急措施。
第三十二條 經(jīng)公安交通管理部門批準(zhǔn)，執(zhí)行應(yīng)急通信任務(wù)的通信車輛在確保安全的前提下，可以不受禁止機動車通行標(biāo)志的限制。
第三十三條 任何個人和組織不得竊取或者以其他非法方式獲取用戶個人信息，不得非法出售或者非法向他人提供用戶個人信息。
第三十四條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)建立健全用戶個人信息保護(hù)制度，采取技術(shù)措施和其他必要措施，確保收集的用戶個人信息安全。
通信業(yè)務(wù)經(jīng)營者收集、使用用戶個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，明示收集、使用信息的目的、方式和范圍。通信業(yè)務(wù)經(jīng)營者不得違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用用戶個人信息;不得泄露、篡改、毀損其收集的用戶個人信息。
通信業(yè)務(wù)經(jīng)營者在發(fā)生或者可能發(fā)生用戶個人信息泄露、毀損、丟失的情況時，應(yīng)當(dāng)立即采取補救措施，按照規(guī)定及時告知用戶并向有關(guān)主管部門報告。
第三十五條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)依法加強對通信用戶、傳輸信息的管理，發(fā)現(xiàn)法律法規(guī)禁止、傳輸?shù)男畔⒌?，?yīng)當(dāng)立即停止傳輸、消除相關(guān)信息并保存有關(guān)記錄，向有關(guān)主管部門報告。
第三十六條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)采取技術(shù)、管理手段防范和打擊利用通信網(wǎng)絡(luò)實施的詐騙行為。
通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)規(guī)范號碼傳送和使用管理，嚴(yán)格按照國家相關(guān)規(guī)定和標(biāo)準(zhǔn)傳送真實號碼，建立虛假號碼主叫監(jiān)測和處置機制，對發(fā)現(xiàn)的虛假主叫號碼應(yīng)當(dāng)立即予以處置。
通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)采取措施保證出租通信線路的正當(dāng)使用，不得私自轉(zhuǎn)接國際來話和為非法網(wǎng)絡(luò)電話、改號電話提供語音接入服務(wù)。
第三十七條 通信用戶對于他人利用電話、短信等方式進(jìn)行騷擾的行為，可以向通信業(yè)務(wù)經(jīng)營者舉報。通信業(yè)務(wù)經(jīng)營者接到舉報后，應(yīng)當(dāng)及時向有關(guān)部門報告，并協(xié)助有關(guān)部門采取措施予以查處。
第三十八條 建立健全打擊生產(chǎn)、銷售和使用非法移動通信基站等違法行為的聯(lián)動機制，質(zhì)量技術(shù)監(jiān)督、工商行政管理等行政主管部門，無線電管理機構(gòu)和通信管理機構(gòu)應(yīng)當(dāng)配合公安機關(guān)對相關(guān)違法行為的查處。
第三十九條 通信業(yè)務(wù)經(jīng)營者建設(shè)移動通信基站應(yīng)當(dāng)符合國家電磁輻射安全標(biāo)準(zhǔn)，并按照國家環(huán)境保護(hù)相關(guān)規(guī)定開展電磁輻射環(huán)境影響評估，公布評估結(jié)果。
通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)委托具備檢測資質(zhì)的機構(gòu)對電磁輻射有爭議的移動通信基站進(jìn)行檢測，檢測結(jié)果應(yīng)當(dāng)在基站建設(shè)范圍內(nèi)公示，機構(gòu)出具的檢測報告應(yīng)當(dāng)向社會公開。
縣級以上人民政府環(huán)境保護(hù)行政主管部門應(yīng)當(dāng)履行電磁輻射監(jiān)管職責(zé)，對電磁輻射不符合國家標(biāo)準(zhǔn)的移動通信基站，應(yīng)當(dāng)依法處理。
通信管理機構(gòu)應(yīng)當(dāng)會同環(huán)境保護(hù)行政主管部門、新聞媒體開展通信設(shè)施電磁輻射安全知識的宣傳教育。
第四十條 通信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)加強通信設(shè)施的維護(hù)和管理，履行下列義務(wù)，保障通信設(shè)施安全運行：
(一)在通信設(shè)施周圍設(shè)置警示標(biāo)志、圍墻、柵欄等必要保護(hù)設(shè)施;
(二)對通信設(shè)施運行狀態(tài)進(jìn)行評估;
(三)建立通信設(shè)施日常巡查、維護(hù)、檢修制度，做好巡查、維護(hù)、檢修記錄;
(四)對通信機房、基站、重要傳輸線路進(jìn)行重點監(jiān)測，并保存監(jiān)測記錄。
第四十一條 在國家規(guī)定的通信設(shè)施安全保護(hù)范圍內(nèi)，實施下列可能影響通信設(shè)施安全行為的，建設(shè)單位或者施工單位應(yīng)當(dāng)事先告知通信設(shè)施所有人，并采取必要的安全防護(hù)措施：
(一)建造建筑物、構(gòu)筑物;
(二)新建、改建、擴建公路、鐵路、橋梁、隧道、城市軌道交通等公共設(shè)施;
(三)鋪設(shè)各類地下工程管線;
(四)采礦;
(五)建設(shè)生產(chǎn)易燃、易爆物品或者排放腐蝕性物質(zhì)的工廠;
(六)其他可能影響通信安全的行為。
第四十二條 禁止下列危害通信設(shè)施安全的行為：
(一)侵占、盜竊、破壞、毀損通信設(shè)施;
(二)在國家規(guī)定的通信設(shè)施安全保護(hù)范圍內(nèi)挖砂、取土、堆土;
(三)在埋有通信光纜、電纜、通信管道的地面上傾倒含酸、堿、鹽等腐蝕性的廢液、廢渣;
(四)在通信設(shè)施上附掛管線、物件，栓系牲畜或者攀爬通信桿塔;
(五)涂改、移動、拆除或者毀損通信設(shè)施保護(hù)標(biāo)志;
(六)其他危害通信設(shè)施安全的行為。
第四十三條 任何單位和個人不得阻礙合法的通信設(shè)施建設(shè)或者從事危害通信設(shè)施安全的行為，不得擅自改動、遷移他人的通信設(shè)施。確因特殊情況需要改動、遷移的，應(yīng)當(dāng)與通信設(shè)施所有人協(xié)商一致后方可施工。
第五章 監(jiān)督管理
第四十四條 通信管理機構(gòu)應(yīng)當(dāng)建立健全通信業(yè)的監(jiān)督管理制度，通過日常巡查、專項檢查等方式開展監(jiān)督檢查，并及時在通信管理機構(gòu)網(wǎng)站公布相關(guān)信息。
第四十五條 通信管理機構(gòu)應(yīng)當(dāng)重點加強對通信業(yè)務(wù)經(jīng)營者推進(jìn)通信普遍服務(wù)、通信服務(wù)質(zhì)量、通信業(yè)務(wù)公平競爭、通信用戶投訴處理等情況的監(jiān)督檢查。
省通信管理機構(gòu)進(jìn)行監(jiān)督管理時，可以采取下列措施：
(一)進(jìn)入通信業(yè)務(wù)經(jīng)營者相關(guān)場所進(jìn)行檢查和調(diào)查取證，提取相關(guān)資料、數(shù)據(jù);
(二)詢問當(dāng)事人和其他有關(guān)的組織和個人;
(三)責(zé)令終止傳輸違法信息;
(四)向社會公開通信業(yè)務(wù)經(jīng)營者的服務(wù)質(zhì)量狀況;
(五)法律法規(guī)規(guī)定的其他措施。
第四十六條 城市、縣人民政府城鄉(xiāng)規(guī)劃行政主管部門應(yīng)當(dāng)會同通信管理機構(gòu)加強通信基礎(chǔ)設(shè)施專項規(guī)劃執(zhí)行情況的監(jiān)督管理。
第四十七條 通信管理機構(gòu)應(yīng)當(dāng)會同縣級以上人民政府住房和城鄉(xiāng)建設(shè)、教育等行政主管部門加強居民住宅小區(qū)、學(xué)校等特定區(qū)域通信服務(wù)的監(jiān)督管理，保障通信用戶的自由選擇權(quán)。
第四十八條 通信管理機構(gòu)及其他行政機關(guān)實施監(jiān)督管理，不得妨礙被監(jiān)督管理對象正常的生產(chǎn)經(jīng)營活動，不得索取或者收受被監(jiān)督管理對象的財物或者謀取其他利益。
第六章 法律責(zé)任
第四十九條 違反本條例第九條規(guī)定，建筑物的建設(shè)單位、所有人、管理人或者使用人未為通信業(yè)務(wù)經(jīng)營者提供平等接入和使用配套通信設(shè)施條件的，由省通信管理機構(gòu)責(zé)令改正，拒不改正的，處一萬元以上五萬元以下罰款;通信業(yè)務(wù)經(jīng)營者與建設(shè)單位、所有人、管理人或者使用人簽訂排他性協(xié)議，阻礙其他通信業(yè)務(wù)經(jīng)營者接入和使用配套通信設(shè)施的，由省通信管理機構(gòu)責(zé)令改正，拒不改正的，處五萬元以上十萬元以下罰款。
第五十條 違反本條例第十七條規(guī)定，通信業(yè)務(wù)經(jīng)營者為不提供真實身份信息的用戶提供通信服務(wù)的，或發(fā)現(xiàn)用戶使用假冒、偽造、變造的證件仍然為其辦理登記手續(xù)的，由省通信管理機構(gòu)責(zé)令改正;拒不改正或者情節(jié)嚴(yán)重的，處五萬元以上二十萬元以下罰款，情節(jié)特別嚴(yán)重的，處二十萬元以上五十萬元以下罰款，并可以由有關(guān)主管部門責(zé)令暫停相關(guān)業(yè)務(wù)、停業(yè)整頓、關(guān)閉網(wǎng)站、吊銷相關(guān)業(yè)務(wù)許可證或者吊銷營業(yè)執(zhí)照，對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員處一萬元以上十萬元以下罰款。
第五十一條 違反本條例第二十五條規(guī)定，未與通信用戶約定向其發(fā)送商業(yè)性電子信息的，由省通信管理機構(gòu)責(zé)令改正，予以警告，可以并處一萬元以上三萬元以下罰款。
第五十二條 違反本條例第二十八條第一至第三項規(guī)定，通信業(yè)務(wù)經(jīng)營者在通信服務(wù)中損害通信用戶權(quán)益的，由省通信管理機構(gòu)責(zé)令改正、賠禮道歉、賠償損失;拒不改正的，予以警告，并處一萬元以上十萬元以下罰款。
第五十三條 違反本條例第三十三條規(guī)定，竊取或者以其他非法方式獲取、非法出售或者非法向他人提供用戶個人信息，尚不構(gòu)成犯罪的，由公安機關(guān)沒收違法所得，并處違法所得一倍以上五倍以下罰款;沒有違法所得的，處一萬元以上十萬元以下罰款。
違反本條例第三十四條規(guī)定，通信業(yè)務(wù)經(jīng)營者違反法律、行政法規(guī)的規(guī)定和雙方的約定收集、使用用戶個人信息或者泄露、篡改、毀損其收集的用戶個人信息的，由省通信管理機構(gòu)責(zé)令改正，可以根據(jù)情節(jié)單處或者并處警告、沒收違法所得，處違法所得一倍以上五倍以下罰款;沒有違法所得的，處一萬元以上五萬元以下罰款。
第五十四條 違反本條例第四十二條第二至第五項規(guī)定，危害通信設(shè)施安全的，由省通信管理機構(gòu)責(zé)令改正;造成損失的，依法予以賠償。
第五十五條 違反本條例第四十三條規(guī)定，阻礙通信設(shè)施建設(shè)的，由公安機關(guān)按照相關(guān)規(guī)定責(zé)令改正，依法處理;擅自改動、遷移他人通信設(shè)施的，由省通信管理機構(gòu)責(zé)令改正，并處一萬元以上三萬元以下罰款;造成損失的，依法予以賠償。
第五十六條 通信管理機構(gòu)及其他有關(guān)部門有下列情形之一的，對直接負(fù)責(zé)的主管人員和其他責(zé)任人員依法給予處分;構(gòu)成犯罪的，依法追究刑事責(zé)任：
(一)未編制或者組織實施通信基礎(chǔ)設(shè)施專項規(guī)劃的;
(二)未依法履行通信設(shè)施建設(shè)和保護(hù)監(jiān)督職責(zé)的;
(三)未依法履行應(yīng)急通信組織協(xié)調(diào)職責(zé)的;
(四)其他玩忽職守、濫用職權(quán)和徇私舞弊的行為。
第五十七條 對違反本條例規(guī)定的行為，有關(guān)法律、行政法規(guī)已經(jīng)作出法律責(zé)任規(guī)定的，從其規(guī)定。
關(guān)鍵詞 計算機網(wǎng)絡(luò)；安全狀況；防護(hù)措施
中圖分類號TP3 文獻(xiàn)標(biāo)識碼 A 文章編號 1674-6708（2015）138-0084-02
在科技快速發(fā)展的過程中，Internet技術(shù)在世界發(fā)展飛速，它在給人們創(chuàng)造便利的時刻，也帶來了威脅。雖然我們使用軟件技術(shù)系統(tǒng)，但是互聯(lián)網(wǎng)無論在哪個國家應(yīng)用，其計算機網(wǎng)絡(luò)的安全性都成為網(wǎng)絡(luò)時展的關(guān)鍵性問題?？萍嫉倪M(jìn)展使得計算機成為工具，虛擬網(wǎng)絡(luò)形成，網(wǎng)絡(luò)犯罪就原生于此。由于其犯罪的隱蔽性等特點，表現(xiàn)出多樣的犯罪。
1 網(wǎng)絡(luò)安全威脅大致分析
1）病毒侵襲。主要指的是在計算機網(wǎng)絡(luò)正常使用的過程中，病毒會對計算機系統(tǒng)造成破壞，從而影響到計算機系統(tǒng)的正常工作，甚至?xí)斐上到y(tǒng)癱瘓的現(xiàn)象。另外，由于病毒具有較強的傳播性，因此，在計算機網(wǎng)絡(luò)正常使用的過程中，可能通過網(wǎng)絡(luò)數(shù)據(jù)的傳輸，對其他計算機系統(tǒng)造成一定的破壞。
2）有兩類黑客攻擊：即破壞性、非破壞性。
3）內(nèi)外部泄密。主要指的是一些非法人員，在找到某個服務(wù)器網(wǎng)段內(nèi)IP地址之后，并根據(jù)其地址運用ARP的欺騙手段，來對計算機系統(tǒng)進(jìn)行網(wǎng)絡(luò)攻擊，致使計算機系統(tǒng)出現(xiàn)問題，甚至造成系統(tǒng)癱瘓無法運行。
4）計算機系統(tǒng)漏洞的威脅。在日常計算機使用的過程中，經(jīng)常會發(fā)現(xiàn)計算機系統(tǒng)會提示使用者計算機此時已存在漏洞，急需修補的現(xiàn)象，這標(biāo)志著計算機系統(tǒng)需要及時更新來填補系統(tǒng)漏洞。而很多計算機使用者經(jīng)常會忽略這個操作，并不重視對計算機漏洞的修補，而這些漏洞也將成為網(wǎng)絡(luò)黑客攻擊的有利條件，致使存在系統(tǒng)漏洞的計算機在使用的過程中，有極大的可能會被黑客所攻擊，從而對計算機網(wǎng)絡(luò)的正常使用構(gòu)成一定的影響，也給計算機系統(tǒng)內(nèi)的信息帶來安全威脅。
2 計算機網(wǎng)絡(luò)系統(tǒng)安全威脅的防范措施
1）合理運用防火墻技術(shù)。防火墻對于熟悉計算機的人員都不陌生，防火墻作為計算機網(wǎng)絡(luò)安全的重要保護(hù)層，對網(wǎng)絡(luò)數(shù)據(jù)有著過濾的功能，將一些存在異樣的數(shù)據(jù)信息包過濾，確保計算機系統(tǒng)接收數(shù)據(jù)包的安全性，從而有效避免網(wǎng)絡(luò)病毒的傳播。
2）實施物理網(wǎng)絡(luò)安全措施。眾所周知，計算機網(wǎng)絡(luò)在使用的過程中，需要有著物理通信線路以及相應(yīng)的實體設(shè)備作為支持的，而實施的物理網(wǎng)絡(luò)安全措施，主要是為了避免這些物理通信鏈路以及實體設(shè)備等受到人為的破壞、自然災(zāi)害的破壞，為計算機網(wǎng)絡(luò)的運行營造一個安全可靠的外部工作環(huán)境。另外，由于計算機網(wǎng)絡(luò)運行是一項較為復(fù)雜的工程，其中涉及到的因素比較多，因此，解決安全的方案的制定需要從整體和宏觀上進(jìn)行控制把握。網(wǎng)絡(luò)安全解決方案是整合網(wǎng)絡(luò)信息系統(tǒng)安全，將各種系統(tǒng)技術(shù)措施等整合起來，構(gòu)筑網(wǎng)絡(luò)安全防護(hù)系統(tǒng)體系。只要我們做到技術(shù)和管理，安全技術(shù)和措施相結(jié)合，同時增強立、執(zhí)法的執(zhí)行力度，建立備份和恢復(fù)機制，制定標(biāo)準(zhǔn)措施，才能繞開網(wǎng)絡(luò)威脅和避免被攻擊。此外，由于病毒、犯罪等技術(shù)是分布在世界各處，因此必須進(jìn)行全球協(xié)作。
3）在網(wǎng)絡(luò)系統(tǒng)安全策略中，不僅需要采取網(wǎng)絡(luò)技術(shù)措施保護(hù)網(wǎng)絡(luò)，還須加強網(wǎng)絡(luò)的行政管理，制定規(guī)章制度。對于確保網(wǎng)絡(luò)系統(tǒng)的安全、運行，將會起到良好的功能性效應(yīng)。 網(wǎng)絡(luò)的安全管理，不僅要看所采用的技術(shù)和防范手段，而且要看它所采取的管理手段和執(zhí)行保護(hù)法律、法規(guī)的力度強弱。網(wǎng)絡(luò)的管理手段，包括對用戶的職業(yè)教育、建立相應(yīng)的管理機構(gòu)、不停完善和加強管理功能培訓(xùn)、加強計算機及網(wǎng)絡(luò)的立、執(zhí)法力度等。加強安全管理、加大用戶的法律、法規(guī)和道德觀念，提升使用者的安全防范意識，對防止犯罪、抵制黑客攻擊和防止病毒干擾，是重要的手段。
4）信息加密措施主要是安全保護(hù)網(wǎng)絡(luò)資源。
5）病毒防范措施。（1）將病毒風(fēng)險防控工作納入信息科技考核要點；（2）能夠以技術(shù)手段查找根源，定位病毒感染主機、追擊感染源，做好預(yù)防工作；（3）加大力度惠及，提高覺悟。
3 網(wǎng)絡(luò)系統(tǒng)安全將來發(fā)展方向
1）網(wǎng)絡(luò)系統(tǒng)管理和安全管理方面。隨著科技的不斷發(fā)展，網(wǎng)絡(luò)化技術(shù)的發(fā)展也極為迅速，而且，網(wǎng)絡(luò)所遍布的范圍也越來越廣，而要確保計算機網(wǎng)絡(luò)發(fā)展有著更好的延續(xù)性，就必須向著網(wǎng)絡(luò)系統(tǒng)管理以及安全管理方向發(fā)展，全面提升計算機網(wǎng)絡(luò)安全管理意識，進(jìn)而有效的避免或降低被黑客的攻擊以及病毒的破壞。網(wǎng)絡(luò)越先進(jìn)，安全越重要。在日常工作中，我們始終把系統(tǒng)安全穩(wěn)定運行作為信息科技的要務(wù)，并結(jié)合實際情況，采取措施保證安全生產(chǎn)。一是強化員工安全意識。二是加大信息系統(tǒng)安全檢查力度。三是細(xì)化應(yīng)急預(yù)案。四是創(chuàng)新安全防范技術(shù)。我們還應(yīng)探討和發(fā)現(xiàn)隱性問題，把問題消滅在源頭。
2）標(biāo)準(zhǔn)化網(wǎng)絡(luò)方面。由于互聯(lián)網(wǎng)沒有設(shè)定區(qū)域，這使得各國如果不在網(wǎng)絡(luò)上截斷Internet與本國的聯(lián)系就控制不了人們的見聞。這將使針對網(wǎng)絡(luò)通訊量或交易量納稅的工作產(chǎn)生不可見的效果。國家數(shù)據(jù)政策的不確定性將反映在混亂的條款中。標(biāo)準(zhǔn)化網(wǎng)絡(luò)一是提升了個人信息安全的識別，提示了風(fēng)險的隱蔽、可見性，提高整改防控意識。二是使安全生產(chǎn)有了明確的量化標(biāo)的。三是建立了激勵與約束。四是采取現(xiàn)場檢查方式進(jìn)行監(jiān)管檢查，風(fēng)險提示明確，問題處理表述清楚。五是規(guī)范工作流程。六是采取各點詳查、隨機抽查、現(xiàn)場提問使網(wǎng)點安全生產(chǎn)落實到實處。七是監(jiān)管評價與重點工作考核結(jié)合。
3）網(wǎng)絡(luò)軟件系統(tǒng)方面。隨著網(wǎng)絡(luò)信息系統(tǒng)法律法規(guī)健全，計算機軟件和網(wǎng)絡(luò)安全物權(quán)法需要制定。
4）計算機網(wǎng)絡(luò)系統(tǒng)法律、法規(guī)方面。在目前社會中，利用網(wǎng)絡(luò)信息系統(tǒng)的犯罪猖獗。法律、法規(guī)是規(guī)范人們通常社會行為的準(zhǔn)則，明確網(wǎng)絡(luò)系統(tǒng)工作人員和最終用戶的權(quán)利和義務(wù)。
5）網(wǎng)絡(luò)系統(tǒng)密碼技術(shù)方面。在系統(tǒng)中，使用密碼技術(shù)可以確保信息的隱密，完全、確定性。伴隨系統(tǒng)利用密碼技術(shù)，智能卡和數(shù)字認(rèn)證將會變得領(lǐng)先，用戶需要將密碼和驗證碼存放在穩(wěn)妥的地方。所以，一定采取網(wǎng)絡(luò)安全手段，研究網(wǎng)絡(luò)安全發(fā)展趨勢，堅決貫徹執(zhí)行網(wǎng)絡(luò)信息系統(tǒng)法律法規(guī)。（1）利用虛擬網(wǎng)絡(luò)技術(shù)，防止基于監(jiān)聽的入侵手段。（2）利用防火墻技術(shù)保護(hù)網(wǎng)絡(luò)免遭黑客攻擊。（3）安全掃描技術(shù)為發(fā)現(xiàn)網(wǎng)絡(luò)漏洞提供了保障。（4）利用病毒防護(hù)技術(shù)可以防、查和殺毒。（5）利用入侵檢測技術(shù)提供實時的入侵檢測及采取相應(yīng)的防護(hù)手段（6）采用認(rèn)證和數(shù)字簽名技術(shù)。認(rèn)證技術(shù)用以解決網(wǎng)絡(luò)通訊過程中通訊雙方的身份，數(shù)字簽名技術(shù)用于通信過程中的不可抵賴要求的實現(xiàn)。（7）要對移動存儲設(shè)備安全管理系統(tǒng)上線工作給予高度重視，按照要求在規(guī)定時限內(nèi)完成工作；要增強信息系統(tǒng)安全的責(zé)任意識，以風(fēng)險管控為前提，做好系統(tǒng)的日常維護(hù)和定期
演練。
6）加強網(wǎng)絡(luò)技術(shù)和新型網(wǎng)絡(luò)產(chǎn)品的開發(fā)研制、增強系統(tǒng)保護(hù)能力。
7）實行網(wǎng)絡(luò)域名注冊實名制。
8）加強網(wǎng)絡(luò)道德教育、加強安全意識教育。
參考文獻(xiàn)
[1]劉遠(yuǎn)生，辛一.計算機網(wǎng)絡(luò)安全[M].清華大學(xué)出版社，2009：5-8.
[2]網(wǎng)絡(luò)技術(shù)專業(yè)分析[N].重慶晚報，2012-08-13.
[3]計算機網(wǎng)絡(luò)技術(shù)需要延伸的素質(zhì).
