返回案例列表
行政法规

中华人民共和国计算机信息系统安全保护条例 第1条 案例评析

朱俊男律师8分钟2 阅读
**中华人民共和国计算机信息系统安全保护条例 第1条 案例评析** **案情简介** 2023年5月，某省属高校后勤管理处委托一家本地IT公司开发“智慧报修平台”，用于统一受理师生宿舍、教室等场所的设施维修申请。该系统接入校园网，与学校教务、学工及一卡通系统存在低频数据接口调用（仅读取用户身份编号与院系信息，无写入权限）。项目上线后未开展等级保护测评，也未向公安机关备案。同年9月，因该公司技术人员在测试环境中误将含1.2万条师生姓名、学号、报修记录的数据库导出文件上传至公开GitHub仓库，引发信息泄露。虽未造成直接财产损失，但被省教育厅通报批评，并由当地网安部门依据《计算机信息系统安全保护条例》立案调查。 值得注意的是：涉事系统未存储身份证号、银行卡号等敏感个人信息，亦未被认定为“国家事务、经济建设、国防建设、尖端科学技术等重要领域的计算机信息系统”；其安全事件未导致系统瘫痪或数据篡改，仅构成数据暴露风险。 **法律分析** 本案争议焦点在于：对非关键领域、未造成实质危害的一般业务系统发生数据暴露事件，能否适用《计算机信息系统安全保护条例》（以下简称《条例》）进行行政监管？其规范依据是否成立？ 关键即在于准确理解《条例》**第一条**的立法目的定位：“为了保护计算机信息系统的安全，促进计算机的应用和发展，保障社会主义现代化建设的顺利进行，制定本条例。” 该条虽为原则性宣示条款，但具有三重规范功能： 其一，**界定适用范围之基础**。《条例》调整对象并非仅限于“重要领域”系统（该限定见于第2条“本条例所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统”），而是覆盖所有“计算机信息系统”——只要具备信息处理功能且处于运行状态，即落入《条例》规制射程。本案“智慧报修平台”完全符合该定义。 其二，**确立监管正当性之根源**。“保护安全”是首要目的，而“安全”在行政法语境下包含**保密性、完整性、可用性**三重维度。GitHub误传事件虽未破坏系统运行（可用性），但导致未授权访问风险，直接危及数据保密性，已触碰《条例》所欲防范的安全底线。 其三，**支撑监管逻辑之闭环**。第一条将“促进应用发展”与“保障现代化建设”相联结，表明立法者预见到：若放任一般信息系统疏于防护，将累积系统性风险，最终侵蚀数字社会整体信任基础。故对高校这类公共服务主体的信息系统，不能因其“非核心”而豁免基本安全义务——这正是《条例》作为行政法规区别于刑法、民法的预防性、前置性治理逻辑所在。 **案件处理结果与启示** 经调查，公安机关依据《条例》第20条（“违反本条例的规定，有下列行为之一的，由公安机关处以警告或者停机整顿……（三）不按照规定时间报告计算机信息系统中发生的案件的”）及第23条（“故意输入计算机病毒以及其他有害数据危害计算机信息系统安全的，由公安机关处以警告或者处以5000元以下罚款”），考虑到主观非故意、及时删除、未造成扩大损害，最终对该IT公司予以**警告处罚**，并责令高校限期完成等保备案与整改。 本案启示在于：《条例》第一条绝非空洞口号，而是整部行政法规的“价值锚点”。它表明，我国对计算机信息系统安全的监管，自始秉持**全口径覆盖、全过程防控、全责任压实**的基本立场。哪怕是一套小型业务系统，只要纳入信息化运行体系，就承载着公共管理秩序与公民权益保护的法定期待。 **律师建议** 对企业及事业单位而言，须摒弃“系统小、数据轻、不出事就没事”的侥幸心理。紧扣《条例》第一条确立的立法宗旨，重点落实三项合规动作： ✅ **主动识别系统属性**：凡具备信息处理功能的软硬件组合，无论是否联网、是否涉密，均应纳入本单位信息系统台账； ✅ **分级落实基础防护**：参照《网络安全等级保护基本要求》（GB/T 22239-2019），即使定级为第一级，也须完成边界防护、访问控制、日志留存等基本措施； ✅ **健全内部管理闭环**：建立开发、部署、运维全流程安全审查机制，尤其强化第三方合作中的代码与数据交付管控——本案GitHub误传，本质是开发流程失控，而非技术能力不足。 唯有将《条例》第一条的“安全”二字，真正转化为组织内生的制度习惯与操作标准，方能在数字化浪潮中筑牢法治堤坝。 （全文约1280字）