商城县公安局网监大队：
我院在接到贵单位发来的《信息系统安全等保限期整改通知书》后，院领导高度重视，责成信息科按照要求进行整改，现在整改情况报告如下。
一、我院网络安全等级保护工作概况
根据上级主管部门和行业主管部门要求，我院高度重视并开展了网络安全等级保护相关工作，工作内容主要包含信息系统梳理、定级、备案、等级保护测评、安全建设整改等。我院目前运行的主要信息系统有：综合业务信息系统。综合业务信息系统是商城县人民医院核心医疗业务信息系统的集合，系统功能模块主要包括医院信息系统(HIS)、检验信息系统(LIS)、电子病历系统(EMRS)、医学影像信息系统(PACS)，其中医院信息系统(HIS)、检验信息系统(LIS)、电子病历系统(EMRS)由福建弘扬软件股份有限公司开发建设并提供技术支持，医学影像信息系统(PACS)由深圳中航信息科技产业股份有限公司开发建设并提供技术支持。
我院已于2018年11月完成了综合业务信息系统的定级、备案、等级保护测评、专家评审等工作，系统安全保护等级为第二级（S2A2G2），等级保护测评机构为河南天祺信息安全技术有限公司，等级保护测评结论为基本符合，综合得分为76.02分。在测评过程中，信息科已根据测评人员建议对能够立即整改的安全问题进行了整改，如：服务器安全加固、访问控制策略调整、安装防病毒软件、增加安全产品等。目前我院正在进行门户网站的网络安全等级保护测评工作。
二、安全问题整改情况
此次整改报告中涉及到的信息系统安全问题是我院于2018年11月委托河南天祺公司对医院信息系统进行测评反馈的内容，主要包括应用服务器、数据库服务器操作系统漏洞和Oracle漏洞等。针对应用服务器系统漏洞，我院及时与安全公司进行沟通，沟通后通过关闭部分系统服务和端口，更新必要的系统升级包等措施进行了及时的处理。针对Oracle数据库存在的安全漏洞问题，我们与安全公司和软件厂商进行了沟通，我院HIS系统于2012年底投入使用，数据库版本为Oracle11g，投入运行时间较早，且部署于内网环境中未及时进行漏洞修复。
经过软件开发厂商测试发现修复Oracle数据库漏洞会影响HIS系统正常运行，并存在未知风险，为了既保证信息系统安全稳定运行又降低信息系统面临的安全隐患，我们主要采取控制数据库访问权限，切断与服务器不必要的连接、限制数据库管理人员权限等措施来降低数据库安全漏洞造成的风险。具体措施为：第一由不同技术人员分别掌握数据库服务器和数据库的管理权限；第二数据库服务器仅允许有业务需求的应用服务器连接，日常管理数据库采用本地管理方式，数据库不对外提供远程访问；第三对数据库进行了安全加固，设置了强密码、开启了日志审计功能、禁用了数据库默认用户等。
我院高度重视网络安全工作，医院网络中先后配备了防火墙、防毒墙、入侵防御、网络版杀毒软件、桌面终端管理等安全产品，并正在采购网闸、堡垒机、日志审计等安全产品，同时组建了医院网络安全小组，由三名技术人员负责网络安全管理工作，使我院网络安全管理水平大幅提升。
“没有网络安全，就没有国家安全”。作为全县医疗救治中心，医院始终把信息网络安全和医疗安全放在首位，不断紧跟医院发展和形势需要，科学有效的推进网络安全建设工作，并接受各级主管部门的监督和管理。
提升网络安全保护水平
《中华人民共和国网络安全法》(以下简称《网络安全法》)已于2017年6月1日起施行。《网络安全法》明确了网络安全保护和监管的工作原则、管理体制和管理制度，为维护我国网络空间主权、国家安全和社会公共利益提供了有力的法律保障，为公安网安部门履行网络安全监管职责提供了有力的法律武器，为公安机关维护社会大局稳定、促进社会公平正义、保障人民群众安居乐业提供了有力的支持。公安机关尤其是公安网安部门必须深入学习《网络安全法》，主动应对其带来的各种变化，依法履行网络安全监管职能，大力推动《网络安全法》执法实践。本文从深入理解领会、把握职能定位和厘清竞合适用三个维度探讨公安机关如何贯彻落实《网络安全法》，重点解读《网络安全法》与相关网络安全管理法律、行政法规和规章在七项管理制度上的交叉理解和竞合适用问题。
1
深入理解领会
作为我国第一部网络安全的基础性法律，《网络安全法》贯穿了网络空间主权维护、网络安全与信息化发展并重、网络安全综合治理、网络安全重点保护四项原则，体现了我国对网络安全规律认识的逐步深化；规定了国家网信部门统筹协调，电信、公安依法履行安全保护和监督管理的管理体制，有助于进一步强化各部门的资源整合和行动协同；确立或重申了网络安全等级保护、网络产品和服务管理、网络实名、个人信息保护、网络信息和应用管理、关键信息基础设施保护(含国家安全审查、个人信息和重要数据境内存储)、监测预警和应急处置等七大制度，规定了执法协助、危害行为规制、责任追究等三大项行政立法的整理要求(见下图)；总体来看，《网络安全法》形成了网络自身保护与网络服务保护相结合，网络技术安全与内容安全相结合，网络生命周期管控与网络供应链条管控相结合，教育、查处和信用惩戒相结合的制度体系。
《网络安全法》的体系架构图
2
把握职能定位
在网络安全监督管理体制方面，《网络安全法》第八条规定国家网信部门负责统筹协调网络安全工作和相关监督管理工作。国务院电信主管部门、公安部门和其他有关机关依照本法和有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。目前其他规定网络安全职责问题的“法律、行政法规”主要有《中华人民共和国警察法》、《互联网信息服务管理办法》、《中华人民共和国计算机信息系统安全保护条例》(以下简称《条例》)、《计算机信息网络国际联网安全保护管理办法》(以下简称《办法》)等。《中华人民共和国警察法》、《条例》和《办法》分别明确了公安机关的人民警察主管计算机信息系统安全监察工作、公安部主管全国计算机信息系统安全保护工作、公安部计算机管理监察机构负责计算机信息网络国际联网的安全保护管理工作。综上所述，国家网信部门是网络安全的统筹协调部门，而公安机关是网络安全的法定主管部门，因而《网络安全法》中，除了明确规定由公安机关负责的事项，对于未列明监管部门或者宽泛规定由“有关主管部门”负责的事项，公安机关均应承担监管职责。公安机关应准确把握职能定位，推动各级公安网安部门积极开展《网络安全法》的执法工作。
3
厘清竞合适用
《网络安全法》不少制度、条款、术语与其他网络安全管理相关法律、行政法规、规章存在交叉和不一致，网络安全等级保护、网络实名、个人信息保护、网络信息和应用软件管理、关键信息基础设施保护、执法协助、危害行为规制等七项管理制度须重点进行关联解读和适用理解。
1)网络安全等级保护
《网络安全法》第二十一条、第二十五条规定了等级保护目的在于“保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改”，从管理制度、操作规程、安全负责人、防病毒、攻击、侵入、数据保护以及应急处置等方面强化网络安全等级保护义务，并明确了还需落实“法律、行政法规规定的其他义务”，违者根据第五十九条处罚。目前，明确对网络安全等级保护做出规定的行政法规有《条例》第九条“计算机信息系统实行安全等级保护。安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。”并在第二十条规定违反等级保护制度可以警告或者停机整顿的行政处罚。为落实《条例》，公安部会同国家保密局、国家密码管理局、国家信息化领导小组办公室于2007年出台了《信息安全等级保护管理办法》，规定了等级保护的定级、备案、建设、整改、测评等流程以及三级以上信息系统选用安全专用产品和测评机构的要求，在具体的安全管理制度和技术措施方面则指向了推荐性的行业标准。因此，违反《信息安全等级保护管理办法》关于流程方面的强制性规定，则违反了《条例》第九条，可以按照《条例》第二十条处罚。而根据《网络安全法》的规定，《条例》及《信息安全等级保护管理办法》规定的等级保护有关义务属于《网络安全法》第二十一条规定的“法律、行政法规规定的其他义务”，因此，应适用《网络安全法》第五十九条处罚。此外，还有《办法》中规定的安全义务，虽然未列明属于等级保护，但如其属于实体安全、运行安全、数据安全范畴，目的在于“保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改”的，也应适用《网络安全法》第五十九条处罚。而根据《办法》制订的《互联网安全保护技术措施规定》(以下简称《规定》)规定的运行安全、数据安全义务，在处罚时应引用《办法》，将《规定》规定的细化要求视为《办法》中有关安全义务的解释，在此基础上运用《网络安全法》实施处罚。
2)网络实名
《网络安全法》第二十四条规定了“网络接入、域名注册服务，办理固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务”等服务，“应当要求用户提供真实身份信息。用户不提供真实身份信息的，网络运营者不得为其提供相关服务。”第六十一条规定了处罚。而《中华人民共和国反恐怖主义法》(以下简称《反恐法》)第二十一条规定，“电信、互联网、金融、住宿、长途客运、机动车租赁等业务经营者、服务提供者，应当对客户身份进行查验。对身份不明或者拒绝身份查验的，不得提供服务”，并在第八十六条规定了处罚。《规定》第八条、第九条、第十条则规定了接入服务、互联网数据中心服务单位和联网单位要记录并留存用户注册信息，开办电子公告服务的，具有用户注册信息和发布信息审计功能。综上所述，网络实名的完整要求包括了要求用户提供真实身份信息、真实身份信息的核验、对真实身份信息的留存、不提供则不服务四个方面，分别在《网络安全法》、《反恐法》、《规定》作了要求，对违反者应分别适用相应依据处罚。
3)个人信息保护
《网络安全法》第四十二条规定网络运营者“未经被收集者同意，不得向他人提供个人信息”，而第四十四条规定“任何个人和组织不得窃取或者以其他非法方式获取个人信息，不得非法出售或者非法向他人提供个人信息”，相应的法律责任分别由第六十四条第一款和第二款作了规定，存在竞合之处，前者规定的是特殊主体“网络运营者”，后者是一般主体“任何个人和组织”。对网络运营者的违法行为应依照第六十四条第一款处罚，对其他主体(包括网络运营者内部员工的个人违法行为)则依据依照第六十四条第二款处罚。
4)网络信息和应用软件管理
《网络安全法》第四十七条规定，“网络运营者应当加强对其用户发布的信息的管理，发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告”。但在第六十八条第一款仅规定“违反本法第四十七条规定，对法律、行政法规禁止发布或者传输的信息未停止传输、采取消除等处置措施、保存有关记录的”给予处罚，并将“向有关主管部门报告”纳入在内。而对违法信息未停止传输、采取消除等措施既包括了未“加强对用户发布的信息的管理”，还包括了“发现”违法信息但未采取措施。此外，《规定》中第九条、第十条明确了互联网信息服务、互联网数据中心服务提供者和联网单位要“在公共信息服务中发现、停止传输违法信息，并保留相关记录”，与《网络安全法》的规定竞合，应适用《网络安全法》。
另外，《网络安全法》第四十八条规定，“电子信息发送服务提供者和应用软件下载服务提供者，应当履行安全管理义务，知道其用户有前款规定行为的，应当停止提供服务，采取消除等处置措施，保存有关记录，并向有关主管部门报告。”并在第六十八条第二款明确了法律责任，其适用对象是电子信息发送服务提供者(似乎指的是通信网络的短信息)和应用软件下载提供者，将安全义务、处置义务、报告义务全面纳入，适用的行为是发送信息及提供应用软件，而不仅仅是发布信息。
5)关键信息基础设施保护
《网络安全法》第三十八条规定，“除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务”，并在第五十九条第二款规定了处罚。因此，第三十八条对关键信息基础设施运营者的安全义务的规定包含了第三十八条的内容，关键信息基础设施的运营者不履行第三十八条的义务，应按照第五十九条第二款处罚。第三十八条规定“关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。”其“检测评估”与《信息安全等级保护管理办法》规定的“等级测评”存在交叉。由于关键信息基础设施保护是“在网络安全等级保护制度的基础上，实行重点保护”，因此，关键信息基础设施的等级测评仍应开展。
6)执法协助
《网络安全法》规定了情况报告机制、技术支持协助、配合监督检查、配合信息处置等执法协助义务，与《反恐法》、《条例》、《办法》存在复杂的竞合关系，须正确理解适用。
(1)情况报告。《网络安全法》第十四条、第二十二条、第二十五条、第四十二条、第四十七条、第四十八条规定了危害网络安全行为举报、网络产品和服务风险报告、网络安全事件报告、个人信息事件报告、违法信息报告、恶意程序报告等制度。第十四条规定，“任何个人和组织有权对危害网络安全的行为向网信、电信、公安等部门举报”。第二十二条规定网络产品、服务“发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告”。第二十五条规定网络运营者“在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告”。第四十二条规定网络运营者“在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告”。第四十七条规定网络运营者“发现法律、行政法规禁止发布或者传输的信息的，应当立即停止传输该信息，采取消除等处置措施，防止信息扩散，保存有关记录，并向有关主管部门报告”。第四十八条规定电子信息发送服务提供者和应用软件下载服务提供者发现其用户发送的电子信息、提供的应用软件，设置恶意程序，或者含有法律、行政法规禁止发布或者传输的信息应“并向有关主管部门报告。”《网络安全法》第五十九条、第六十条、第六十四条、第六十八条规定违反网络产品和服务风险报告、网络安全事件报告、个人信息事件报告、电子信息发送服务提供者和应用软件下载服务提供者对违法信息和恶意程序的报告由有关主管部门处罚。而《条例》第十四条也规定“对计算机信息系统中发生的案件，有关使用单位应当在24小时内向当地县级以上人民政府公安机关报告”，并在第二十条中规定了处罚。因此，对于违反《网络安全法》规定的网络产品和服务风险报告、网络安全事件报告、个人信息事件报告，以及电子信息发送服务提供者和应用软件下载服务提供者的恶意程序和违法信息报告等责任，未向公安机关履行报告义务的，公安机关可以根据《网络安全法》相关条款处罚，对于其他案件包括违法信息的报告，其法律责任仍适用《条例》第二十条。
(2)技术支持协助。《网络安全法》第二十八条规定“网络运营者应当为公安机关、国家安全机关依法维护国家安全和侦查犯罪的活动提供技术支持和协助”，并在法律责任中规定了由有关主管部门处罚。该条系借鉴《反恐法》第十八条所作的规定。但未明确提到十八条规定的“接术接口和解密”。《反恐法》规定了由主管部门处罚，情节严重的并可以由公安机关处以行政拘留。而《办法》第八条则规定“从事国际联网业务的单位和个人应当接受公安机关的安全监督、检查和指导，如实向公安机关提供有关安全保护的信息、资料及数据文件，协助公安机关查处通过国际联网的计算机信息网络的违法犯罪行为”，并规定了公安机关对拒不如实提供有关安全保护的信息、资料及数据文件行为的处罚。《规定》第十六条规定“互联网服务提供者依照本规定采取的互联网安全保护技术措施应当具有符合公共安全行业技术标准的联网接口”，并规定了违者适用《办法》予以处罚。具体适用上，如属于防范、调查恐怖活动的情形，适用《反恐法》，如属于其他维护国家安全和侦查犯罪的情形，适用《网络安全法》。如果不属于维护国家安全、侦查犯罪以及防范和调查恐怖活动的情形，未如实提供有关安全保护的信息、资料及数据文件，互联网服务提供者互联网安全保护技术措施未具有符合公共安全行业技术标准的联网接口，则适用《办法》。
(3)配合监督检查。《网络安全法》第六十九条规定了对“拒绝、阻碍有关部门依法实施的监督检查”的行为实施处罚。而《中华人民共和国治安管理处罚法》(以下简称《治安管理处罚法》)第五十条规定了对“阻碍人民警察依法执行职务”的处罚。因此，拒绝公安机关依法实施的网络安全监督检查的，根据《网络安全法》第六十九条第(二)项处罚。阻碍公安机关依法实施的网络安全监督检查的，对“单位”根据《网络安全法》第六十九条第(二)项处罚，对“其直接负责的主管人员和其他直接责任人员”依据《治安管理处罚法》第五十条予以处罚。
(4)配合信息处置。《网络安全法》第五十条规定，“国家网信部门和有关部门依法履行网络信息安全监督管理职责，发现法律、行政法规禁止发布或者传输的信息的，应当要求网络运营者停止传输，采取消除等处置措施，保存有关记录；对来源于中华人民共和国境外的上述信息，应当通知有关机构采取技术措施和其他必要措施阻断传播。”并在第六十九条规定了处罚。而《办法》第十八条规定“公安机关计算机管理监察机构发现含有本办法第五条所列内容的地址、目录或者服务器时，应当通知有关单位关闭或者删除”。《反恐法》第十九条第二款规定“网信、电信、公安、国家安全等主管部门对含有恐怖主义、极端主义内容的信息，应当按照职责分工，及时责令有关单位停止传输、删除相关信息，或者关闭相关网站、关停相关服务。有关单位应当立即执行，并保存相关记录，协助进行调查。对互联网上跨境传输的含有恐怖主义、极端主义内容的信息，电信主管部门应当采取技术措施，阻断传播。”并在第八十四条规定了处罚。因此，不按照公安机关的要求对法律、行政法规禁止发布或者传输的信息，采取停止传输、消除等处置措施的，公安机关可以依照《网络安全法》第六十九条给予处罚。电信业务经营者、互联网服务提供者未落实安全、信息内容监督制度和安全技术防范措施，造成含有恐怖主义、极端主义内容的信息传播，由公安机关依照《反恐法》处罚。至于处置措施，除了停止传输、消除外，还可使用《反恐法》所提到的关闭相关网站、关停相关服务，还有《办法》提到的关闭地址、目录、服务器。
7)危害行为规制
《网络安全法》第二十七条规定了“任何个人和组织不得从事非法侵入他人网络、干扰他人网络正常功能、窃取网络数据等危害网络安全的活动；不得提供专门用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动的程序、工具”，并在第六十三条规定了违反第二十七条的行政处罚，其目的是与《刑法》第二百八十五条、第二百八十六条相衔接，但在细节上有所不同，在危害网络安全活动的程序、工具方面，《刑法》列明是“用于侵入、非法控制”。而《网络安全法》列明“用于从事侵入网络、干扰网络正常功能及防护措施、窃取网络数据等危害网络安全活动”，隐含了“非法控制”这一类。