《网络安全法》实施5年来，为依法治网、化解网络风险、让互联网在法治轨道上健康运行提供了基础性的法律保障。目前我国大力发展数字经济，需要《网络安全法》保驾护航。
《网络安全法》将原来散见于各种法规、规章中的规定上升到全国人大的法律层面，对网络运营者等主体的法律义务和责任作了全面规定。第四十一条第二款规定：网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。并在第六十四条作了法律责任规定，对保护公民个人信息提供了法律保障。
《网络安全法》的发布使中国的网络执法有了真正意义上的法律依据，它与国家先后出台的《保守国家秘密法》、《国家安全法》等一起，构成了整个国家安全法律制度体系，是国家安全法律制度体系中的重要一环。在此之前，所有的网络犯罪量刑和处罚都无法可依，或者要借鉴其他的法律法规。有了《网络安全法》后，无论执法者还是网络运营者、网络服务者，都有了法律依据。
《网络安全法》是一个框架属性的法律。《网络安全法》有8大类明确的制度、13大类隐形的制度，每一条都可能扩充为一部法律，成为它的下位法或者成为一个管理条例，最低也可能是一个办法。比如第4章第2节里提到了个人信息保护，国家现在已经着手在制定《个人信息保护法》。因此，《网络安全法》需要在它的框架内进行扩充，将配套的法律法规结合在一起，完善里面每一条相对应的具体法律法规。
山石网科积极帮助用户理解《网络安全法》，实现法律合规。首先，免费为用户提供普法教育，帮助用户满足法律法规要求。山石网科从2023年迄今，在教育、医疗、政府等行业做过50场以上针对法律法规和国家配套政策的分享，仅在疫情期间就进行过5场线上分享。其次，提升用户的全员安全意识，减少内部人员的非法行为。近几年，我们不但给企业的IT运维人员做安全意识培训，也给企业的管理者、甚至操作工做安全意识培训。当前超过90%的网络安全事件都是内部人员造成的，不管是内部人员的误操作还是恶意行为，究其原因都是企业管理者和普通员工安全意识不足。例如今年的微盟删库事件就是内部人员的恶意行为，我们也亲身经历过保洁人员在机房里擦机柜时按到了电源开关，造成某市的社保系统瘫痪了28小时。
最后，结合国家政策、个人信息保护等，用通俗易懂的方式进行普法教育。通俗易懂的普法教育，也是网络安全的普适性教育，因为涉及听众自身的利益，如个人信息保护和隐私保护，往往会取得非常好的效果。
《网络安全法》正式实施三年里，国家相关政策法规及执法监管多管齐下，相关企业积极落实主体责任，我国网络安全防护水平得到全面提升。与此同时，国际网络空间博弈形势进入“新常态”，网络空间政治化军事化趋势越来越明显，国内网络安全威胁也暗涌不断，这些都影响着《网络安全法》贯彻落实的关注重点和发展态势。
网络的技术特征以及风险的客观性决定了网络空间不可能实现绝对的安全，如何应对未知的网络威胁以及黑客、APT组织的恶意攻击是推动网络空间安全治理再上新台阶的重要课题。网络安全企业作为贯彻落实《网络安全法》的执行主体，既要持续应对传统网络安全威胁，又要发挥前沿安全技术优势研究新技术领域带来的新问题。
当前，很多网络安全企业将网络安全防御的重点放在对未知威胁的感知能力上，因为在过去的实践中我们发现：在针对网络攻击特别是未知的新型网络攻击的监测和分析方面，传统的安全检测方法愈显苍白；非全流量存储，无法对全网的安全事件做到完整的溯源取证和损失评估；碎片化的检测结果，缺乏事件关联分析。从追求更高安全水平，感知未知威胁的思路看，网络全流量分析技术，被认为是应对未知威胁的技术发展趋势。Gartner报告指出，网络流量分析技术（NTA技术）与网络回溯取证技术（NF技术）是应对未知高级网络攻击的重要手段。网络全流量分析是对网络数据的大数据分析，通过对网络全流量的协议识别，保存全量数据并快速回查，能够实现对未知威胁的快速发现、追踪、溯源与取证。这将赋能网络的全方位安全感知能力，实现网络监测无死角。
捍卫国家网络安全是一个动态、长久的过程。未来，我国应持续完善强化网络安全法法律法规和制度体系，加强《网络安全法》配套法规建设；技术方面应该思考如何发挥前沿技术优势，分析和发现未知威胁，降低安全风险，提高网络安全防御能力。
作为网络安全行业的创业厂商，我们切身体会到网络安全法在规范产业、协调生态上的积极作用：各行各业日益重视安全，安全行业不断创新，不仅促进了网络安全产业的发展，也给社会各个层面带来了积极的影响，共同来维护网络空间的清朗。
从国家政策法规角度来看，《网络安全法》的发布和实施，促进了后续多部网络安全政策、法规、标准和规范的出台落地，为我国细化和完善网络安全法律法规体系提供了充足的法律依据。
从企业角度来看，《网络安全法》的实施，让安全开始成为企业的刚需，企业必须把安全机制放到与业务发展同等重要的位置来考虑，在法律合规的要求下，企业必须考虑企业其平台所承载的用户信息、数据、业务等方面的安全，同步规划和构建有效的安全机制，担负起应有的责任和义务。
从安全行业角度来看，过去我国网络安全支出在信息化建设中占比严重不足，《网络安全法》的实施明确了网络安全和信息化发展并重的原则，激励了网络安全市场的快速增长，拉动和催生了新兴的安全细分领域，创新安全创业企业不断涌现，让行业呈现高速、良性发展的趋势。
最后，《网络安全法》推动了全社会安全意识的提升，企业也更加重视平台用户数据的规范使用和安全保护。
但随着新技术、新业态的发展，新型安全威胁不断涌现，《网络安全法》以及配套的法律法规仍需与时俱进和逐步完善，不仅要跟上新技术和新应用的发展变化，还要贴近行业的特点和实际需求，让各行业的安全规范标准都有法可依，
在落实《网络安全法》的举措上，作为大数据安全公司，志翔科技一方面帮助用户保护其重要和敏感数据，防止数据因外部攻击、内部恶意窃取或者误操作等造成泄露，避免企业业务受到影响，或造成用户信息泄露等社会性事件带来的追责与处罚。另一方面，针对国家网络安全等级保护制度的要求，志翔科技为企业提供合规业务，帮助企业的流程机制等符合政策法规的安全合规要求，实现业务合规、安全不降级，做到高效工作、轻松运维，专注于业务的发展创新。
现代社会是信息网络社会，网络是社会治理的重要领域。因此，网络安全事关全社会的和谐稳定，事关党的执政地位的稳固，事关全社会弘扬社会主义核心价值观。党中央、国务院高度重视网络安全，中央设立网络安全和信息化委员会，由习近平总书记亲自担任委员会的主任。
2023年6月1日，全国人大颁布的《网络安全法》正式开始实施，至今已有五年了。五年来，《网络安全法》在打击网络传播违法不良信息行为、规范网络信息服务提供者的运营行为、保护公民个人信息方面发挥了重要的作用。
作为一名执业律师和民主党派成员，在网络领域要坚决坚持正确的政治方向，坚决坚持正确的舆论导向，坚决维护党和政府的公信力，坚决维护党中央的集中统一领导。在网络领域，始终与中国共产党想在一起、站在一起、干在一起，与党和政府保持高度的一致，坚守网络领域的正能量。
《网络安全法》正式实施三周年以来，我国网络安全工作进入法治快车道，国家信息化和网络安全得到立体化安全保护。但在网络安全法实施过程当中，仍有细节待提升。在此提出几点建议供参考。
第一、行业“领头羊”网络运营者应是网络安全法监管第一对象。过去三年，安全判例监管对象多为市级及以下企事业单位，甚至是不超过百人的小微企业。但网络安全威胁随着组织暴露面增加而呈现指数级增加，大型企业的安全风险应更加突出。因此，有必要从重点行业重点企业着手，强化安全执法监管工作。
第二、《网络安全法》及配套法律法规需持续性宣传教育和投入。近年来，《网络安全法》的宣贯在一些地方存在“热得快，冷得快”的现象。如果缺乏实效性的宣传和教育，网络空间违法事件可能不断反复，甚至持续升级。建议部委机关在本行业网络安全落地监管工作中，应加强行业领头企事业单位的《网络安全法》宣传教育考核，推动行业领头企事业单位的总体安全意识提升。其次以区、县为单位，公检法单位、大型企事业单位，以及社区居委会等，轮流开展“《网络安全法》进单位、进社区”活动，推动人民群众网络安全法意识持续提升。最后要发挥安全企业力量。目前国内超100员工的安全企业已超过500家，是国家网络安全战线重要组成力量。区县网信办和公安机关可协调行政区域内安全企业，筛选“安全宣传员”组织进驻中小企业活动，定期开展《网络安全法》宣教，推动中小企业网络安全意识提升。
第三、关注中小企业网络安全能力建设。过去三年中，中小企业网络安全工作面临来自组织、资金、技术等方面的压力。为加强中小企业网络安全能力建设，建议第一推进外聘安全顾问制度，缓解中小企业设置安全专职岗位困难、人才匮乏的局面。第二为中小企业提供专项安全资金政策，比如安全投入税费优惠或返还，开展网络安全关键基础设施专项资金扶持等。第三在利用安全云化平台技术推广方面，给予中小企业相关入驻政策。
当前，网络安全已成为政企领域“一把手”工程，落实《网络安全法》要求，建立健全网络安全防护体系，已成各单位重点任务之一。从目前的执法案例可以看出，教育、互联网、医疗、公共服务等领域主要集中在未定级备案、未按期进行等级测评、未按规定留存网络日志、未采取安全保护技术措施、未采取数据分类和重要数据备份等方面；从处罚背景来看，除执法检查外，多数案件源于处罚对象发生漏洞利用攻击、重要信息泄露等网络安全事件。这表明网络运营单位不只要实现“合规”动作，还要提升安全保障能力，务实处置安全风险，避免重大安全事件的发生。
《网络安全法》第三章《网络运行安全》和第四章《网络信息安全》是网络运营者在践行法律时重点关注的内容。第三章主要对系统保护提出要求，网络运营者要落实等级保护制度；第四章主要对数据保护提出要求，特别强调个人信息保护。
网络安全等级保护制度是《网络安全法》中要求网络运营单位必须落实的工作之一，绿盟科技从安全能力塑造出发，对等级保护建设提出“始于合规，忠于安全”的价值主张，从合规要求和攻防对抗两个角度，以保护业务运行安全和数据安全为核心目标，从安全技术、安全管理两个层面出发，落实贯彻“实战化、体系化、常态化”的新安全理念，结合业务实际和现实需求进行设计，实现网络安全综合防御能力和水平的有效提升。
在数据保护方面，《网络安全法》已对数据保护提出基本原则和要求，使后续的相关细则、标准有了上位法。现已提请审议的《数据安全法》（草案），对外征求意见的《个人信息出境安全评估办法》等配套法律法规，数据保护核心对象都是“个人信息”和“重要数据”。数据安全将成企业安全防护的重中之重。绿盟的数据安全解决方案，围绕数据安全合规性管理、个人信息安全保护、重要数据安全保护来设计，通过“知识控察行”的科学方法论体系，对数据全生命周期各层面实行综合的数据状态跟踪与风险监测，实现数据安全的合规监管与态势感知。
“网络空间是亿万民众共同的精神家园。”《网络安全法》实施五年来，执法工作不断深入，执法活动日趋普遍，执法案例不断丰富，依法对“滴滴出行”“BOSS直聘”“运满满”等企业实施的网络安全审查，让相关执法活动越来越多的进入公众视野，管理部门积累了执法经验，具备了更清晰的执法路径，更保障了亿万群众的根本利益。网络安全法律体系不断完善，也为企业合规提供了正反面教材，越来越多的互联网企业从法律、组织、管理到技术层面不算完善、规范，积极在向“为人民，靠人民”、企业良性发展的轨道上不断进取。
作为我国网络空间安全保障体系的顶层设计，《网络安全法》的实施强化了各责任主体的网络安全意识和能力，指引和促进了整个产业的良性发展。
人是安全的核心，网络安全工作的一切根基皆是解决人的问题，急需建设一支“高素质的网络安全和信息化人才队伍”，《网络安全法》里对加强人才培养，切实提升自身安全防护能力工作给出了明确指示。作为网络安全人才培养领域的专业企业，永信至诚积极践行《网络安全法》对人才培养的要求，通过多元化、多层次、实战化的网络安全人才培养体系，为行业培养了7万余专业人才；通过与院校、行业开展产学研合作，向各用人单位提供线上和线下的网络安全实训服务，帮助1500余家政府、企业、高校解决人才培养中的体系、平台、选拔、评价等问题；通过组织网络安全竞赛，模拟真实场景的攻防演习，提升各行各业的安全意识，为其安全技能训练和人才选拔提供专业支撑。这些举措有效弥补了当前专业人才匮乏的局面，为我国网络安全保障能力建设奠定了坚实的人才基础。
在践行人才培养的同时，《网络安全法》强调应“建立健全网络安全风险评估和应急工作机制，制定网络安全事件应急预案并定期组织演练”，对网络安全实效性进行了明确要求。然而，现实情况是很多单位虽然重视网络安全，但认知和意识存在偏差，仅把合规作为安全工作重点，忽略了实战实效；其次虽然积极建设安全防护体系，但实际效能得不到验证，无法有效评估真实防御水平；三是尽管积极落实防护责任，但过于依赖外部力量，忽略了自身人才培养的长效机制，防御常态化准备不足。
为此，企业应建立一套高度贴合实战标准，能够检验效果、发现问题、优化结果的检验平台，以进行常态化的“加强检验性、对抗性训练，加强应急应战训练”。网络靶场可以通过模拟各种关键信息基础设施单位的网络场景，构建虚实结合的网络攻防作战环境，对人、系统、设备、方案、效能等进行常规性检验与测试，帮助企业对自身的安全防御体系“查缺补漏”，有效提升整体防护能力。
随着《网络安全法》的施行，各行业、各地区、各类型系统都纳入了网络安全等级保护的范围，新技术场景下业务与数字基础设施的结合更为紧密，合规建设不再是独立于业务之外的单纯的安全要求。以等级保护建设为例，为了兼顾国家标准和行业特性要求，各行业等级保护建设必须紧密结合核心业务、重要数据、关键网络的实际安全需求，并结合用户当前所处的建设阶段，有序地推进等级保护整改建设工作。
按照等级保护建设的几个阶段，各行业可以按照高风险加固、完整规划、等保+的整改建设思路逐步推进等保整改建设：
1、高风险加固
高风险项是安全建设、等级测评、执法检查关注的重点，消减高风险项则是合规的基线，因此高风险加固是行业等保建设的首要任务。《等级测评报告模板2023版》中则明确指出：“如果存在高风险安全问题则直接判定等级测评结论为‘差’”，即不合格。通过技术和管理措施进行高风险项的安全加固，是等级保护测评通过的基础，同时消减高风险有利于保障业务的可用性、有利于应对主管部门检查。
2、完整规划
等级保护2。0在对抗外部威胁和风险、标准适用性、时效性、易用性、可操作性等方面较等级保护1。0做了很多扩展和增强，充分体现“一个中心、三重防护”的思想，完成了从被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变。各行业应从技术和管理方面梳理等级保护2。0新增或增强要求，完整规划技术和管理体系建设的内容，重构和强化整体安全架构，增强网络安全整体防护水平和能力。
3、“等保+”建设
“等保+”建设强调的是对核心业务安全保护措施的重点加强。脱离业务谈安全和脱离安全谈业务都是不现实的。各行业业务、数据、网络均具有特殊性，结合业务特性，重点针对核心业务、重要数据、关键网络加强安全保护措施，最终确保业务的安全效果。深信服等级保护2。0解决方案从用户自身核心业务、重要数据、关键网络的防护需求出发，以消减高风险为基础，全面重构和强化等级保护2。0安全技术和管理体系建设，并通过“等保+”建设，为行业用户带来“持续保护、不止合规”的安全价值。
《网络安全法》的实施是国家社会网络空间治理的一件大事，也是我国实现国家治理体系和治理能力现代化的标志性事件。作为我国网络空间的基础性立法，网安法进一步梳理明确我国网络安全领域的监管体制以及网络运营者的责任义务，为网络运营者合规以及监管部门执法提供指引。网安法正式施行后，我国网络安全执法更加常态化、体系化、规范化，网络安全行政责任与刑事责任的衔接更加明朗，网络安全治理形势得到优化改善。
《网络安全法》作为我国网络空间安全管理的基本法律，框架性地构建了许多法律制度和要求。目前网络安全法涉及相关法律法规标准已相对完善，网络安全等级保护基本要求、测评要求、技术设计要求、实施指南、定级指南，以及安全产品技术等相关标准已陆续发布实施，关键信息基础设施安全保护基本要求已进入报批稿阶段。更多法律法规配套措施的落地，将为我们实施网络安全保护提供更好的合规及法律支撑。
《网络安全法》的执行对安全的保障作用显而易见，但发展依然是硬道理，网络安全产业依然是弱势群体，不长足发展难以走出大而不强的境地。《网络安全法》实施应该是网络安全产业的重大利好，应借《网络安全法》的重大契机，政策、项目、资金三位一体，大力发展网络安全产业。为进一步发挥《网络安全法》对产业的推动作用，加强我国的整体网络安全建设，建议一是充分发挥龙头企业的示范引领作用；二是推动网络安全核心技术创新突破，构建多领域、多层次的网络安全技术创新体系，有效应对不断变化的安全风险。三是构建良好的网络安全生态，引导重要行业及重要领域加大网络安全的投入，打造政企协同联动，产、学、研、用于一体的网络安全产业生态。
实施《网络安全法》本质是做好服务而不是加强管制，落实《网络安全法》，无论是完善条文，还是结合国家法制体系，都要牢记立法的根本目的，执政的基本依靠，同时还要毫不犹豫地体现法制的威慑效应。
《网络安全法》是新形势下中国互联网治理理念、治理经验的全面总结和提炼，是我国第一部全面规范网络空间安全管理的基础性法律。《网络安全法》的实施标志着网络安全产业步入全新发展阶段，一方面明确了在保障网络安全方面，政府、企业和个体三者的职责、权限、权利和义务，对互联网参与各方都会起到规范和指引的作用；另一方面有效指导了ICT企业及相关的参与方，对网络安全领域的发展战略、发展规划和内部规范体系的建设，是互联网在法治轨道上健康运行的重要保障。
从《网络安全法》第五条可以看出，国家对网络安全风险和威胁坚持积极主动防御原则，在日常工作中实时监控网络安全态势，对网络信息进行分析处理，评估潜在的安全威胁并加以预防，以期将网络安全危机清除在初始阶段。明确了我国需要建设“战略清晰”的网络安全保障体系，执行积极主动防御的技术路线。
针对网络安全趋势和用户需求的变化，紫光旗下新华三集团在2023年提出和倡导主动安全理念。在《网络安全法》的指导下，基于自身技术创新和生态合作，新华三集团打造了全栈、智能的主动安全防护体系，目标是帮助政府、企业等用户实现从事后补救到提前预警，从局部分割到全面防护，从被动安全到主动安全的转变，构筑主动、智能、全面的安全防护体系，践行国家提出的“积极防御、综合防范”的信息安全战略目标，为各行业数字化转型提供稳固的安全保障。
同时，《网络安全法》将网络安全等级保护制度上升到法律法规层面，要求网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。新华三集团参与了《云计算安全等级保护标准与测评要求》以及《政务云等级保护基本要求及实施指南》等相关标准制定，拥有对应标准的系列安全产品和服务，具备等级保护建设一体化交付能力。未来新华三集团将积极响应“网络强国”号召，在《网络安全法》的指引下，以AI为引擎、业务为中心、合规为先导、数据为驱动、体验为目标，积极助力我国数字经济发展。