中国人民银行金融信息中心董贞良：浅谈对金融行业实施《中华人民共和国网络安全法》的思考

    （一）网络运行安全方面。一是《网络安全法》第二十一条规定，国家实行网络安全等级保护制度。包括金融业在内的各应用行业要结合云计算、大数据、人工智能等技术应用后新建系统特点和多年测评整改发现的问题落实等级保护备案、等级测评、安全建设整改工作。二是第三十一条规定，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏，丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护的基础上，实行重点保障。包括金融行业在内的各重要行业和领域需编制、实施本行业关键基础设施安全防护能力提升计划，明确行业、机构加强关键信息基础设施的具体措施。三是第三十五条规定，关键信息基础设施的运营者采购的网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。第三十六条规定，关键信息基础设施的运营者采购网络产品和服务，应按照规定与提供者签订安全保密协议，明确安全和保密义务与责任。在金融行业层面，须组织实施产品和服务的安全审查工作；在金融机构层面，须明确提请安全审查的服务、产品和实施规程，此外，严格落实与提供者签订保密协议，确保产品和服务提供者履行安全保密义务。四是第三十七条规定，关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的数据应当在境内存储。对于金融行业来说，个人金融有关数据亦应明确中国境内经营的金融机构对于个人金融信息等重要数据存储在境内。