一文读懂“网络空间资产测绘业务的法律合规要点”

网络空间测绘不同于网络空间资产测绘，根据中国基本建设优化研究会于2024年4月10日发布并实施的《信息安全技术 网络空间资产测绘安全要求》团体标准（标准编号为T/COSOCC 007—2024）的规定，网络空间资产测绘是指通过网络探测、采集、处理、分析等方式，获得网络空间基础设施、用户及服务等网络资产在网络空间的相关属性，并将这些属性以逻辑图的形式绘制出来，从而直观实时地反映出当前网络空间资产各个属性的状态、发展趋势等。

根据2024年3月14日发布实施的《信息技术 网络空间测绘体系结构》（征求意见稿），网络空间测绘是以网络空间坐标系为基础，以网络空间地图为目标，在统一的网络空间时空基准和资源定义下，通过网络测量手段获取网络空间资源位置及其属性信息，实现网络空间多尺度和多维度全景展现。

（一）主流产品介绍

（二）网络空间资产测绘业务的应用场景介绍

1.电力能源行业：通过主动探测与被动流量监测，对电力行业的业务系统、工业控制设备等进行全面测绘，帮助构建挂图作战资产底图，排查隐患资产。

2.工业互联网领域：通过多点联动的协同发现、融合分析，形成跨地区、跨行业的工业互联网资源地图，帮助主管部门摸清工业互联网资源的底数和安全状态。

3.智慧城市建设：在城市产业项目中投入运营，提供全面可视化的数据和技术支撑，持续监测网络安全事件，为城市网络安全管理提供重要依据和支撑。

4.公安系统：为公安局提供网络空间资产探测系统，帮助监管单位全面了解关键信息基础设施的资产信息，快速响应安全事件，提供科学决策和指挥调度的依据。

5.企业资产管理：网络资产测绘产品帮助企业摸清家底，实时监测安全漏洞，及时处置安全威胁，构建网络安全防线，推动全场景纵深防御体系的持续完善。

（一）通用法律合规要求

1.制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任。

2.采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施。

3.采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。

4.采取数据分类、重要数据备份和加密等措施。

5.不得设置恶意程序，发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。

6.应当为其产品、服务持续提供安全维护；在规定或者当事人约定的期限内，不得终止提供安全维护。

7.应当制定网络安全事件/数据安全事件/个人信息保护事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入、数据泄露、个人信息泄露等风险；在发生危害网络/数据/个人信息安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。

8.不得从事非法侵入他人网络、干扰他人网络正常功能等危害网络安全的活动，收集数据应当采取合法、正当的方式，不得窃取或者以其他非法方式获取数据。

9.应建立健全全流程数据安全管理制度，采取相应的技术措施和其他必要措施，保障数据安全。

10.收集个人信息应当遵循合法、正当、必要、诚信、公开原则，保证个人信息收集、使用等处理环节的合法合规。

11.应定期开展个人信息保护/数据安全/网络安全相关法律法规及业务培训。

（二）网络空间资产测绘行业特定的法律合规要求

1. 【数据存储】在中华人民共和国境内实施资产测绘过程中所收集的个人信息及其他重要测绘数据，在境内进行存储，并选用国产化存储设备。存储环境应确保安全，必要时应物理断网。

2. 【数据分析】网络空间资产数据分析应在数据所有方授权的情况下实施，并对所获取的网络空间资产数据进行敏感检测、分级处理，进行有限度的关联分析等。

3. 【敏感数据处理】网络空间资产测绘活动过程中获取的数据，若涉及客户资料、技术资料、个人信息等高价值敏感数据，应及时停止测绘活动并上报管理机构备案，所获取敏感数据应及时封存或销毁。对于用户方拒绝被披露的资产信息，应停止进行测绘和收集。

4. 【脱敏处理】应对网络空间资产测绘活动中获取的必要敏感数据进行处理。如数据库隐去用户手机号、通信地址、网络身份标识、服务记录等需要脱敏的字段。

5. 【溯源处理】具备网络空间资产信息溯源规则，提供网络空间资产信息溯源的相关技术措施，建立记录日志，且溯源信息的存档时间不少于6个月。

6. 【数据销毁】资产测绘数据在数据所有方明确授意等情况下，应采取测绘数据销毁措施，以确保数据无法被恢复和用于未经授权的目的，防止敏感信息的泄露。

7. 【审核流程】网络空间资产测绘活动所获取数据支撑的对外业务或网络空间资产测绘活动，对外共享进行数据租售，实现数据资产变现都应经过必要的审核流程，确保所提供、共享的资产数据合法合规。

8. 【安全机制】网络空间资产测绘活动的实施机构及个人，应定期进行测绘数据的风险评估、报告、信息共享、监测预警机制建设及执行，并向有关管理机构备案。

9. 【服务运营】建立违法信息、不良信息数据库和异常行为用户列表，并定期维护更新；定期进行网络空间资产更新、运营风险评估和系统供应链安全审查。

（一）建立数据全生命周期安全管理：企业应建立覆盖网络空间资产测绘数据的收集、存储、使用、加工、传输、提供、公开、删除等环节的安全管理制度，确保数据持续处于有效保护和合法利用的状态。

（二）数据分类与分级：企业应对网络空间资产测绘数据进行分类和分级，明确不同类别和级别的数据所对应的安全保护要求。

（三）数据境内存储管理：企业应将网络空间资产测绘数据在境内进行存储，并选用国产化存储设备。

（四）合规管理体系建立：建议企业参考ISO27001和ISO27701等建立、运行、维护和改进合规管理体系，以提高合规管理能力。

（五）数据安全意识与培训：企业应提升员工的数据安全意识，通过培训让员工了解网络空间资产测绘数据安全的重要性和操作规范。

李胜男律师毕业于华东政法大学刑事法律实务硕士方向，担任德禾上海数据合规与网络安全业务委员会委员、中国网络空间安全协会个人信息保护专家组成员，为中国移动、蚂蚁集团、携程集团等数百家企业提供数据合规、数据出境、数据资产、常年法律顾问等项目。