等保测评认证处罚案例

一些网络运营者对等保不够了解、重视，觉得网络安全工作以及等保开不开展都无所谓，那么对于这些没有及时开展的网络运营者，主管机关如何对他们进行处罚呢？

网络安全法，以及等级保护制度是我国基本的国家网络安全制度，已经上升到法律地位，同时国内不少行业（如教育、金融、海关、电力等）发过相关行业通知或要求大家及时开展网络安全工作，但是时至今日还有一些网络运营者对等保还不够了解，不够重视，觉得网络安全工作以及等保开不开展都无所谓，那么对于这些没有及时开展的网络运营者，主管机关可以如何对他们进行处罚呢？

案例一淮南职业技术学院未落实网络安全等级保护制度造成数据泄露，依法对淮南职业技术学院处以立即整改和行政警告的处罚措施

一、案件基本情况

2017年9月28日下午，市网络与信息安全信息通报中心（市公安局网安支队）接到国家网络与信息安全信息通报中心通报：淮南职业技术学院系统存在高危漏洞，系统存储的4000余名学生身份信息已经造成泄露。

接到通报后，市公安局网安支队立即组织警力携带专业技术工具前往淮南职业技术学院网络中心机房开展现场调查和勘验取证工作，并依法对网络中心系统管理员和操作维护人员进行询问。经过现场勘验和调查，确认淮南职业技术学院招生信息管理系统存在越权漏洞，后台登录密码弱口令，学院未落实网络安全管理制度，未建立网络安全防护技术措施、网络日志留存少于六个月，未采取数据分类、重要数据备份和加密措施，致使系统存储的4353名学生的身份信息泄露。

二、处理情况

根据现场勘验和调查取证工作情况，市公安局网安支队依法传唤学院分管网络信息安全工作的院长和网络中心主任及相关工作人员进行调查，确认该学校因未落实网络安全等级保护制度造成数据泄露，依法对淮南职业技术学院处以立即整改和行政警告的处罚措施。对泄露的学生身份信息流向，市公安局正在依法调查中。

案例二、蚌埠怀远县教师进修学校因未落实网络安全防等级保护制度学校法人及分管副县长被约谈同时处以相应罚款

一、案件基本情况

2017年8月12日，蚌埠怀远县教师进修学校网站因网络安全防护及等级保护制度落实不到位，遭黑客攻击入侵。蚌埠市公安局网安支队调查案件时发现，该网站自上线运行以来，始终未进行网络安全等级保护的定级备案、等级测评等工作，未落实网络安全等级保护制度，未履行网络安全保护义务。

二、处理情况

报经厅领导同意，2017年8月16日，安徽省公安厅网络安全保卫总队约谈怀远县教师进修学校法定代表人、怀远县人民政府分管副县长。蚌埠市局网安支队依法对网络运营单位怀远县教师进修学校处以一万五千元罚款，对负有直接责任的副校长处以五千元罚款。

相关法律条文

1、《网络安全法》第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（一）制定内部安全管理制度和操作规程，确定网络安全负责人，落实网络安全保护责任；（二）采取防范计算机病毒和网络攻击、网络侵入等危害网络安全行为的技术措施；（三）采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月；（四）采取数据分类、重要数据备份和加密等措施；（五）法律、行政法规规定的其他义务。

2、第五十九条：网络运营者不履行本法第二十一条、第二十五条规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。

3、《刑法》第二百八十六条：不履行信息网络安全管理义务罪。造成违法信息大量传播、用户信息泄漏，造成严重后果的。处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。

如何处罚未及时开展等保工作的网络运营者？

通过这两个案例可以确定的是：等保工作没做的，网络安全义务肯定没有履行到位，依照《网络安全法》就已经是违法行为了。至于怎么处罚要根据情况可轻可重。等保工作没开展的，首先我们依照网络安全法59条可以对相关网络运营者责令其改正，给予警告处罚，同时可以约谈相关网络安全责任人或其上级主管部门；其次对于拒不改正或者导致危害网络安全等后果的单位可以处以罚款，乃至追究相关民事或刑事责任。

网络安全及等级保护工作是网络安全基础性工作，等保测评是开展好等保安全建设整改的前提。通过等保测评可以了解到单位内部网络安全工作到底做的如何，有没有风险点，风险点在哪，可能会造成什么破坏，什么影响，后期应该如何对这些薄弱点进行加固。最后不得不等再强调下：大家尽早把等保工作常态化开展起来，补齐短板，加强网络安全防护，不做违法之人。网络安全责任是自己的，出了事得自己扛，基础性工作做扎实了，烦恼和压力会少很多。