解读《网络安全法》
《中华人民共和国网络安全法》是为保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展而制定的法律。
《网络安全法》第二条中定义，“在中华人民共和国境内建设、运营、维护和使用网络”均为适用范围。即，无论内外商，均为《网络安全法》的适用对象，包括内资和外资企业，只要在我国境内提供网络服务，都受《网络安全法》的各项规定和要求约束。
此外，《网络安全法》明确了“网络运营者”这一核心概念，其指“网络的所有者、管理者和网络服务提供者”，而“网络服务提供者”即为“通过网络提供服务”的主体。对该等“服务”，《网络安全法》未做进一步的限制或明确，这就让《网络安全法》对“网络服务提供者”及“通过网络提供服务”的适用覆盖范围可以是十分广泛的，不只局限于传统互联网企业，像应用商店、电商平台、网约车平台等，还可能包括需要借助网络向线上延伸业务的传统线下企业。因此，《网络安全法》实际上是影响了当前网络服务业态的方方面面。
在《网络安全法》出台以前，我国就有不少针对网络安全的规定，如《电信和互联网用户个人信息保护规定》，《互联网信息服务管理办法》，《互联网安全保护技术措施规定》等，在跨国联网场景，还有像《计算机信息网络国际联网安全保护管理办法》等的具体要求。
但上述法规普遍存在条款少，涵盖面局限，法律责任不够详细等问题。而《网络安全法》不仅博采众长，还提出了创新型的义务性规定，包括但不限于：（1）网络运营者有对公民个人信息的保护义务；（2）网络运营者需向用户、向社会及时发布产品和服务的安全缺陷、漏洞风险；（3）网络运营者需设置举报、投诉的入口等等。
此外，《网络安全法》对法律责任也有更加明确的规定。在此之前，部分规定或办法未规定法律责任；另一部分则存在较为笼统或一刀切的规定。《网络安全法》针对不同的违法行为，根据轻重影响，分别列出了不同程度的法律责任，更为科学、合理。
关键信息基础设施保护是《网络安全法》新设立的重要制度，那么，关键信息基础设施的范围如何确定？
《网络安全法》第三十一条明确了“关键信息基础设施的范围：
“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。”
关键信息基础设施的“保护”具体如何操作？
关键信息基础设施的”保护”，可以理解为一种加强措施，相关行业的企业们不仅要满足对于网络运营者一般性的基础规定，还要做好在《网络安全法》第三十四条中列举的更高要求的合规工作。
《网络安全法》第二十一条：
国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；
（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；
（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；
（四）采取数据分类、重要数据备份和加密等措施；
（五）法律、行政法规规定的其他义务。
《网络安全法》第三十四条：
除本法第二十一条的规定外，关键信息基础设施的运营者还应当履行下列安全保护义务：
（一）设置专门安全管理机构和安全管理负责人，并对该负责人和关键岗位的人员进行安全背景审查；
（二）定期对从业人员进行网络安全教育、技术培训和技能考核；
（三）对重要系统和数据库进行容灾备份；
（四）制定网络安全事件应急预案，并定期进行演练；
（五）法律、行政法规规定的其他义务。
《网络安全法》对数据存储、出境是这么规定的：
《网络安全法》第三十七条：
关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。
结合《网络安全法》的具体规定以及网信办负责人的介绍，可明确以下几点：
（1）这是对关键信息基础设施运营者提出的要求，而不是对所有网络运营者的要求。
（2）不针对所有的数据，只限于个人信息和重要数据，这里的重要数据是对国家而言，而不是针对企业和个人。
（3）对于确需出境的数据，法律作了制度上的安排，经过安全评估认为不会危害国家安全和社会公共利益的，可以出境。
（4）经个人信息主体同意的，个人信息可以出境。
另外，拨打国际电话、发送国际电子邮件、通过互联网跨境购物以及其他个人主动行为，视为已经个人信息主体同意。
就跨国贸易、并购等商业交易来说，如果数据采集点是在境外，需要注意的是国外司法辖区的相关规定。但如果是境内的企业（不论内资外资）需要将本地采集的数据传输给境外的关联公司、商业伙伴的，就要十分注意了。
《网络安全法》第二十三条：
网络关键设备和网络安全专用产品应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。国家网信部门会同国务院有关部门制定、公布网络关键设备和网络安全专用产品目录，并推动安全认证和安全检测结果互认，避免重复认证、检测。
《网络关键设备和网络安全专用产品目录（第一批）》已于2017年6月9日出台。包括有路由器、交换机、服务器、防火墙、反垃圾邮件软件等。列入《网络关键设备和网络安全专用产品目录》的设备和产品，应当按照相关国家标准的强制性要求，由具备资格的机构安全认证合格或者安全检测符合要求后，方可销售或者提供。而具备资格的机构指国家认证认可监督管理委员会、工业和信息化部、公安部、国家互联网信息办公室按照国家有关规定共同认定的机构。
《网络安全法》对用户个人信息数据的收集、存储、使用都给出了严格的规定，说其严格，不仅因为对运营商设定的义务多而全，还因为设定了较高的法律责任，在常规行政罚款之余，还规定有“责令暂停相关业务、停业整顿、关闭网站，吊销相关业务许可证或者吊销营业执照”。
具体需要注意的是：
信息收集时：
1. 向用户明示并取得同意；公开收集、使用规则，明示收集、使用目的。
2. 要求用户提供真实信息。尤其是运营者提供的业务中，涉及到办理网络接入、域名注册、固定电话、移动电话等入网手续，或者为用户提供信息发布、即时通讯等服务的，如果用户不提供真实身份核验，就不能为其提供相关服务。
信息管理、使用中：
1. 不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意， 不得向他人提供个人信息，但是，经过处理无法识别特定个人且不能复原的除外。
2. 采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。
3. 用户若发现网络运营者收集、存储的个信有误，有权要求其更正；若发现网络运营者违规使用，有权要求其删除。
4. 关于数据存储、转移，参考第5点。
就《网络安全法》来看，主要是行政违法责任，如果有关部门责令整改后无果，可能面临五万到一百万不等的罚款，直接负责的主管人员和相关责任人会面临个人罚款，情节严重，还会被暂停相关业务、停业整顿、关闭网站、吊销相关业务许可证或者吊销营业执照。
刑事层面,“拒不履行信息网络安全管理义务罪”、“侵犯公民个人信息罪”也将成为整治违法网络运营者的一剂良方。
《网络安全法》第四十九条：
网络运营者应当建立网络信息安全投诉、举报制度，公布投诉、举报方式等信息，及时受理并处理有关网络信息安全的投诉和举报。
如果公民发现个人信息被滥用、侵犯等情况，可以向门户商业网站进行申诉，或者拨打12377（中国互联网违法和不良信息举报中心）、12311（网络不良与垃圾信息举报受理中心）进行申诉。
《民法总则》对于公民个人信息有明确的保护规定。《侵权责任法》、《消费者权益保护法》也是公民维护自身权利的有力保障。
