1.从写代码数据化角度展开网络安全法研究。将科技与法律应用相结合。2.本书为公安部三所网络安全法40年三本书其中司法实务这本。3，本书从代码的角度阐述法律实务相关问题，视角新颖。

本书以信息和网络安全法律领域的两部基本法律《网络安全法》与《密码法》为法律依据，并通过比较国内外在相关领域中的立法和执法实践，介绍了两个法域交叉而又不同的合规要求，网络运营者等企业探索和实现合规的一般方法，并对这些法律规定如何影响企业和产业进行了适度评价，使得企业在进行法律遵从的过程中，可以对这些合规法律依据进行独立的思考和见解，得出符合企业自身特点的遵从路径，从而与监管、主管机构建立良性互动的行政相对关系，终提升企业与行业的整体网络安全风险管理水平，相信这也是立法的初衷和乐见所在。

江苏竹辉律师事务所合伙人。毕业于西安交通大学，经济学/法学双学士，法学硕士。为中华全国律协信息网络与高新技术专业委员会研讨员，中国科技法学会理事，江苏省信息网络安全协会法律专家，西安交通大学信息安全法律研究中心兼职研究员，西安交通大学苏州研究院兼职研究员。于较早期以密码法为硕士研究方向并曾获有CISSP （2007-2010）等资质，长期从事信息与网络安全合规管理与法律工作，以律师视角关注数据、密码、开源等技术细分领域的立法和司法实务，并为境内若干银行、部分跨国网络企业提供遵从建议和个案研判服务。译著有《软件安全开发生命周期》（合译，电子工业出版社，2008年1月）、《中国律师业务报告》（电子商务部分，北京大学出版社，2016年7月）、《网络安全法适用指南》（合著，中国民主法制出版社，2018年1月）、《互联网内容安全管理》（副编，中国人民公安大学出版社，2018年1月）、《涉外案例精选》（入选，中华全国律师协会编，法律出版社，2018年5月），部分论文发表于《信息网络与高新技术法律前沿》等。

第 一部分？ 网络安全法与合规 
1. 案例驱动：《网络安全法》的合规层级和实现路径 / 2 
2. 网络安全法律体系在执法与司法中的投射与验证 / 15 
3.《网络安全法》对不同责任主体的影响与隐性合规义务 / 17 
4. 区分运营主体的强制性义务自查机制 / 20 
5. 网络运营者的隐性合规义务 / 23 
6. 如何实现《网络安全法》第三十八条的年度风险评估合规要求 / 25 
7. 网络安全的实名制监管 / 28 
8. 数据企业如何实现执法协助的合规 / 31 
9.《网络安全法》对互联网企业的合规要求 / 36 
10. 约谈论 / 44 
11. 个人信息安全认证有感 / 50 
12. 网络服务提供者的信息提供义务——网络侵权司法解释条文与实证分析 / 54 
13. 何为网络产品——《网络安全法》第二十二条的合规指向 / 60 
14. 下一代移动通讯（5G）安全的法律储备研究 / 62 
15. 开源软件的网络安全问题——以开源协议和进出口监管的冲突展开 / 68 
16. 网络安全漏洞管理规定（征求意见稿）评价与建议 / 78 
17. 网络飞地的爬虫案例观察 / 84 
18. 第三方 SDK 与 APP 运营者的差异化合规 / 92 
19. 人的因素：网络安全文化建设之要旨分析 / 107 
20.《网络安全法》的新审视：回看与前瞻 / 113 
21. 疫情防控中的个人信息保护——以运营商途径信息查询服务为例 / 120 
22. 疫情防控中的网络安全事件应急启示——从突发事件的普遍性出发 / 126 
第二部分？ 密码法相关 
1. 取消部分审批许可后的商密管理合规与《网络安全法》的若干问题 / 132 
2.《网络安全法》中的密码法律问题 / 139 
3. 立法前置评估的考量——以《密码法》为例 / 145 
4.《密码法》的商用密码检测认证制度体系 / 153 
5.《密码法》的商用密码应用安全性评估制度概述 / 165 
6.《密码法》的商用密码进出口监管体系 / 175 
7. 何为大众消费类产品采用的商用密码——《密码法》第二十八条第二款分析 / 185 
8. 下一代密码法的若干构想 / 188 
第三部分？ 比较法相关 
1. 开放数据与网络安全立法和政策的冲突与暗合——以美国政府行政令为视角 / 194 
2. 以美网络安全立法进程为参照的《网络安全法》架构比较（上） / 202 
3. 以美网络安全立法进程为参照的《网络安全法》架构比较（中） / 217 
4. 以美网络安全立法进程为参照的《网络安全法》架构比较（下）——全球视野下 
的合规监管态势 / 228 
5. 合规之外：欧盟对中国 5G 安全的法律认识 / 247 
6. 美国网络安全法律下的主动防御引介 / 252 
7. 美 CLOUD 法案综述与对中国境内服务提供者影响 / 259 
8. 美东断网事件点评 / 263 
9. 日欧数据跨境充分性互认决定评析 / 265......

（一）查询模式是否导致个人信息泄露 
输入特定编辑的字段查询手机相关服务，由于上述查询过程中的验证环节 
存在，且本文假定运营商采取了行业必要水准的安全保护机制，一般而言不会 
产生数据泄露问题。当然有几种情形会产生第三方查询和获得信息的情况，比 
如手机和身份证信息同时为第三方获得或控制，运营商基于特定指令查询或在 
某些执法、司法程序中向第三方提供，等等。但本质上这些字段或信令是手机 
用户与运营商特定交互的方式，已经属于标准化和公开信息，并不构成隐秘指 
令或“后门”，而从刑事等执法、协助执法目的的信息收集或监听，也无需局限 
于此种基础方式。因此查询本身一般不会导致数据泄露问题。 
（二）运营商持有这些信息是否合法 
在手机使用过程中，无论是本地或漫游状态均会在不同的基站等服务端产 
生验证、会话等记录，这些记录基本上都是实时产生并自动存储在运营商服务 
端，不管是早先的相关立法还是《网络安全法》，以及运营商的规范中均对留存 
方式和期限作出规定和规程，同时也体现在运营商与个人用户的相关协议中。 
因此无论是法律强制性的数据留存或是协议性的数据保留，都导致运营商持有这些信息，但对于这些信息的权属问题仍有待讨论。这里的问题主要在于，目 
前对这些信息持有的方式和期限不够透明，导致用户会产生原来运营商可以长 
期保存到访地或途径地的感慨。 
对于运营商是否直接向疫情联防联控机构提供的问题，有观点认为企业在 
疫情中处理个人信息及相应的数据保护义务分为三种情况：一是直接发现和疫 
情相关的信息应当主动向主管部门报告，不受个人信息保护规则的限制（如 
小化原则）。二是按照主管部门要求，或受其委托对用户数据开展分析、利用、 
研究，辅助疫情防控工作的，应当按照要求或委托的内容进行数据处理，不能 
超过主管部门的相关职责权限，同时不受常态下个人信息保护规则的限制。三 
是自主对用户数据进行分析、利用，用于开发疫情防控相关产品和服务的，应 
当履行常态下的个人信息保护义务。本文认为其适用于用户途径信息的前提在 
于如何定义“疫情相关信息”，由于运营商本身并不具有甄别疫情信息的专业能 
力，因此从朴素和善意的理解考虑，在当前按照《国家突发公共事件总体应急 
预案》《国家突发公共卫生事件应急预案》等启动重大突发公共卫生事件Ⅰ级响 
应的情形和《关于做好个人信息保护利用大数据支撑联防联控工作的通知》（以 
下简称《通知》）的要求下，可以认为疫情相关信息的范围与本文所讨论的途径 
信息不完全“重合”，由此运营商持有的“不特定的”个人用户途径信息在提供 
前应该做相应的数据脱敏处理工作，且在提供前考虑数据不会因聚集或聚合而 
重新产生个人信息的风险性后果，否则如未来产生用户隐私权争议，将无法援 
引重大突发公共安全事件为由免责。 
（三）个人用户向第三方提供的注意事项 
个人用户在收到运营商返回的短信后，一般会以截屏（也可能拍照或复制， 
本文不讨论完整性或可篡改性）的形式向用人单位、楼宇物业、村居委等属地 
机构提供，作为途径轨迹看是否符合医学意义上 14 天潜伏期或隔离期的要求， 
进而会逐级提交或提供给当地联防联控机构（如各地设立的各级防控指挥部） 
作为返程或复工的依据之一。由于提供和报送等转移情况，这些信息存在向非 
必要的第三方提供，或非疫情防控目的的用途使用的可能。

自 1978 年政府工作报告提出大力发展新兴科学技术，特别是加速发展集成 
电路和电子计算机研究并加强推广应用以来，我国互联网产业已发展 40 余年。 
40 年间，我国网信事业取得了举世瞩目的成就。 
40 年的网络产业发展史，同样也是我国网络安全法治建设史，尤其是党的 
十八大以来，我国网络安全法治建设高速发展，以《网络安全法》为核心的网 
络安全法律体系构建已初步完成。作为初一批的网络安全法学学者，我亲历 
了我国网络安全法律体系从无到有、由弱到强、变被动为主动的发展历程，深 
切地体会到其过程的不易与坎坷，也由衷地为我国如今取得的成就倍感欣慰。 
但在网络安全法治高速发展的当下，诸多研究急于思考未来发展之路，而 
缺乏对过去网络安全法治脉络的总体把握以至于研究犹如无本之木，乃至对我 
国网络安全立法存在理解误区，对发展进路出现误判。 
2017 年，本丛书的主编，也是我的学生黄道丽研究员向我表示计划出版系 
列丛书，对我国网络安全法治做个系统回顾，同时也把我们团队在网络安全领 
域深耕 30 余年的一点感悟、未来预判以及合规遵从意见传达给同仁们，以供交 
流。对此，我深表赞同但也深知此事的不易。据我所知，在丛书撰写过程中， 
撰写团队遇到了很多困难。黄道丽研究员也多次向我咨询意见。期间，他们专 
门组织研讨会请来了直接参与相关立法的同志讲述法律条文背后的故事，包括 
公安部网络安全保卫局原高 级工程师、我国首部信息安全法规主要起草人景乾 
元，原国务院信息办副司长、公安部网络安全保卫局原副巡视员郑静清，全国 
人大常委会法工委经济法室原副巡视员宋燕妮，公安部网络安全保卫局原巡视 
员顾坚等。这种求真务实的态度也让我对丛书的问世充满信心和期待。这也是丛书得以问世的背后故事。 
初见成稿，意识到我国已经在网络安全这一新兴法学领域探索耕耘了 40 
年，自我 1988 年开始研究网络安全立法也已有 30 余年，我除感慨时光荏苒外， 
同样牵动思绪。1978 年，我国进入改革开放和社会主义现代化建设新时期，这 
与互联网的全球商用普及几乎是同步的。1978 年政府工作报告对发展集成电路 
和电子计算机技术的重视，奠定了此后我国信息技术产业发展的基础，也使我 
国迅速意识到这种新技术应用可能产生的安全威胁。早在 1981 年，我国公安部 
门就发现计算机设备有通过信息复现产生数据泄露的风险。中 央对此高度重视， 
并要求建章立法，确保我国计算机信息系统安全保障工作有法可依。1982 年我 
国就开始围绕计算机信息系统安全保护进行立法调研，逐步开始探索网络安全 
法治之路。直至 1994 年 147 号令作为我国首部网络安全立法颁布实施，这一颇 
具里程碑意义的立法例开启了我国网络安全法治建设的新时代。 
不可否认的是，在相当长的一段历史时期内，我国网络安全法治建设的重 
点始终未能突破“机房思维”的限制，立法关注点集中于计算机信息系统安全， 
与我们今天理解的网络安全仍然相去甚远。当然，这与当时的技术发展水平是 
相适应的，也是由法律自身的“稳定性”与“滞后性”所决定的。2000 年之后， 
我国的信息化建设开始进入高速发展期，信息技术的社会化利用逐步泛化。当 
时国家层面对信息安全的重视程度也日益提升。2003 年 7 月，国务院信息办委 
托我研究信息安全法律、法规和执法情况，为列入国务院 2003 年立法工作计划 
的《网络信息安全条例》提供理论研究支撑。2004 年 4 月，国务院信息办组织 
的信息安全立法研讨会在西安交通大学召开，参加人员包括重点行业、国务院 
部委代表、重要企业代表等，会议的主题即探讨我国当时信息安全领域的重大 
问题及立法应对思路，也是对我完成课题的成果验收和集体论证。 
在后续的若干年中，信息技术开始融入社会肌理而与社会本身几乎无法区 
分。在数字经济成为新的“发展原动力”之后，信息技术推动现代社会进步的 
贡献率愈发明显，但是这种贡献依旧是有代价的——我们比以往任何时候都更 
加依赖技术和技术利用活动的安全性——“依赖性”是客观的，在法学领域， 
这促使构建于信息技术之上的社会关系成为一种独立的调整对象，并使网络安全问题上升为指涉国家、产业和个人的综合性议题。 
回到这一列系列丛书，有不少亮点和突破值得肯定。现有研究普遍习惯于 
将 147 号令作为我国网络安全法治的开端，但对 147 号令之前的立法动议及其 
时代背景几乎未能着墨。丛书将我国改革开放的发展节点同网络安全的法治建 
设结合起来确实是一个极富现实意义的突破，这极大地扩展了网络安全法学溯 
本逐源的视野，也使网络安全法治研究更贴近于技术进路的发展事实。