在数字经济时代，网络安全已成为国家安全的重要组成部分，被称为数字经济发展“生命线”。近年来，我国网络安全立法取得了积极进展。《数据安全法》、《个人信息保护法》、《网络安全审查办法》、《国家网络空间安全战略》、《关键信息基础设施安全保护条例》等相关法律法规的不断出台和修订，表明我国网络空间法治进程已进入新时代。

在最近举行的典型案例网络安全和个人信息保护领域的典型问题活动中，大晓律师事务所律师邓勇Apache以安全漏洞事件为例，介绍了网络安全规范的现状。

邓勇说，去年年底，工业和信息化部发布了阿帕奇奇Log4j2组件重大安全漏洞风险提示，提醒相关单位和公众密切关注阿帕奇Log4j2组件漏洞补丁发布，自有相关系统阿帕奇Log4j2组件使用情况，及时升级组件版本，风险。

去年12月22日，工业和信息化部再次报告，由于阿里云发现阿帕奇严重安全漏洞，未及时向电信部门报告，未有效支持工业和信息化部网络安全威胁和漏洞管理，决定暂停公司作为工业和信息化部网络安全威胁信息共享平台合作单位6个月。

12月23日，阿里云发布了开源社区阿帕奇log4j2.漏洞解释称，由于早期未意识到漏洞的严重性，未及时共享漏洞信息，将加强漏洞管理，提高合规意识，积极配合各方防范网络安全风险。

据报道，阿帕奇漏洞被认为是近年来最大的高风险计算机漏洞，影响广泛，影响了全球数亿台网络设备。因此，阿帕奇安全漏洞事件自发酵以来，引起了社会各界的广泛关注，从专业技术层面和数据合规方面有不同的观点。

根据《网络产品安全漏洞管理条例》（以下简称《条例》）第二条，中华人民共和国网络产品（包括硬件、软件）提供者和网络运营商，以及从事网络产品安全漏洞发现、收集、发布等活动的组织或者个人，应当遵守本规定。

“网络产品安全漏洞后，网络产品提供商有验证、评估、通知、提交、修复和通知义务。其中，阿里云公司没有履行提交义务，直接导致了阿帕奇漏洞事件的发酵。”邓勇说，《条例》没有明确规定如何处罚，只能以《网络安全法》第六十条的规定作为处罚依据。在本条中，“责令改正，给予警告”是首要处罚措施，“罚款”只有在拒绝纠正或造成有害后果时，才能采取处罚措施。因此，严格来说，暂停合作单位6个月不是法定处罚措施，更具象征意义“警告”。同时，行政机关在履行法定职责时，也应当遵守行政法律法规的合规要求。行政机关不得滥用权力处罚没有法律明确规定处罚措施的违规行为。

邓勇表示，《条例》于2021年7月12日发布，同年9月1日正式实施，中间留有一个半月“缓冲期”。规范范围内的主体阿里巴巴云发现安全漏洞信息后，只按行业惯例向海外基金会报告，未按规定流程履行报送义务，表明主体缺乏合规流程。同时，阿里巴巴云公司首先按照以往的惯例向美国阿帕奇基金会报告，而不是工业和信息化部。从现行法律法规的角度来看，也隐含着一定的合规风险。作为关键信息基础设施运营商，阿里巴巴云掌握的数据信息与国家安全密切相关。应注意这些数据是否可以出境，是否需要审查。我国《网络安全法》和《数据安全法》对重要数据的跨境流动和传输有明确规定。

“从企业合规经营的角度看，涉及重要数据和敏感信息的出境问题，数据经营者应谨慎，制定初步计划，逐步建立企业合规管理体系，避免此类违规行为。”邓勇表示。