随着《网络安全法》、《密码法》、《数据安全法》等国家法规的颁布，从法律、制度、条例、标准等多个层面对运营单位网络安全提出了更高要求，网安合规获得了前所未有的重视，各界关于网安合规的理解与建议也如雨后春笋。

本文中，结合多年网安合规项目经验，就运营单位普遍关注的几个网络安全合规问题，汇总解答如下：

网络安全合规是指行业、企业为了实现依法、依规经营，防控网络安全风险，所建立的一种网络治理机制。

它主要体现在3方面：一是网络安全法律法规、制度标准；二是企业内部的网络安全规章、制度；三是企业应遵守的网络安全道德规范。

《网络安全法》第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

《数据安全法》第二十一条 国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。国家数据安全工作协调机制统筹协调有关部门制定重要数据目录，加强对重要数据的保护。

《密码法》第二十二条　国家建立和完善商用密码标准体系。国务院标准化行政主管部门和国家密码管理部门依据各自职责，组织制定商用密码国家标准、行业标准。

国家支持社会团体、企业利用自主创新技术制定高于国家标准、行业标准相关技术要求的商用密码团体标准、企业标准。

《商用密码应用安全性评估管理办法(试行)》第二章第十条 关键信息基础设施、网络安全等级保护第三级及以上信息系统，每年至少评估一次。

《个人信息保护法》第十一条　国家建立健全个人信息保护制度，预防和惩治侵害个人信息权益的行为，加强个人信息保护宣传教育，推动形成政府、企业、相关社会组织、公众共同参与个人信息保护的良好环境。

《党委（党组）网络安全工作责任制实施办法》第十条 各级党委（党组）应当建立网络安全责任制检查考核制度，完善健全考核机制，明确考核内容、方法、程序，考核结果送干部主管部门，作为对领导班子和有关领导干部综合考核评价的重要内容。

《网络安全审查办法》第五条 关键信息基础设施运营者采购网络产品和服务的，应当预判该产品和服务投入使用后可能带来的国家安全风险。影响或者可能影响国家安全的，应当向网络安全审查办公室申报网络安全审查。

《网络安全法》第七十二条 国家机关政务网络的运营者不履行本法规定的网络安全保护义务的，由其上级机关或者有关机关责令改正；对直接负责的主管人员和其他直接责任人员依法给予处分。

《数据安全法》第四十四条 有关主管部门在履行数据安全监管职责中，发现数据处理活动存在较大安全风险的，可以按照规定的权限和程序对有关组织、个人进行约谈，并要求有关组织、个人采取措施进行整改，消除隐患。

《密码法》第三十七条 关键信息基础设施的运营者违反本法第二十七条第一款规定，未按照要求使用商用密码，或者未按照要求开展商用密码应用安全性评估的，由密码管理部门责令改正，给予警告;拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

《党委（党组）网络安全工作责任制实施办法》第八条 各级党委（党组）违反或者未能正确履行本办法所列职责，按照有关规定追究其相关责任。

《个人信息法》第六十六条　违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

   网络安全合规主要包括等保合规、关保合规、数据安全合规、密码合规、个人信息保护合规等。

   等保是国家通过制定统一的安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护。

工作流程：

关保是针对面向公众提供网络信息服务或支撑能源、通信、金融、交通、公共事业等重要行业运行的信息系统、工业控制系统等关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。

工作流程：

    国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对      数据实行分类分级保护。

工作流程：

   密评是指对采用商业密码技术、产品和服务集成建设的网络和信息系统密码应用的合规性、正确性、有效性进行评估。

工作流程：