写在前面“学安全会不会违法”“渗透测试在什么情况下是合法的”“白帽黑客的法律边界在哪里”这是每一个网络安全从业者都会问的问题。技术可以让你强大但不懂法律会让你瞬间从白帽变成犯罪嫌疑人。不少技术牛人因为不懂法在渗透测试中越界最终面临刑事处罚。也有人因为只是好奇扫描了别人的系统结果被请去喝茶。我曾经见过一个案例一个安全研究员发现了一个漏洞没有授权就直接测试了生产系统结果公司报警最终虽然没被判刑但留下了案底。这完全是可以通过了解法律来避免的。今天我把网络安全相关的法律法规系统整理出来哪些法律需要知道、做了什么会违法、怎么做才合法。看完这篇你对网安法律边界会有清晰认知。⚠️ 本文不构成法律建议具体法律问题请咨询专业律师。一、网安法律体系全景三大核心法律法律施行时间核心内容《网络安全法》2017年6月1日网络安全基本法奠定整体框架《数据安全法》2021年9月1日数据分类分级、数据安全保护《个人信息保护法》2021年11月1日个人信息处理规则、权益保护 三法并称网安三法构成了中国网络安全和数据保护的法律基石。配套法规与规章法规名称类型重点内容等级保护2.0标准国家标准信息系统安全分级保护《关键信息基础设施保护条例》行政法规关键基础设施安全保护《网络安全审查办法》部门规章数据出境、采购安全审查《数据出境安全评估办法》部门规章数据跨境传输管理《网络安全漏洞管理规定》部门规章漏洞发现、报告、修复《App违法违规收集使用个人信息行为认定方法》规范性文件App个人信息合规二、《网络安全法》核心解读适用范围在中华人民共和国境内建设、运营、维护和使用网络以及网络安全的监督管理适用本法。关键条款第27条——不得从事的危害网络安全的行为禁止行为说明非法侵入他人网络未授权访问任何系统干扰他人网络正常功能DDoS等破坏行为窃取网络数据未授权获取数据提供侵入/破坏网络程序制作、售卖黑客工具其他危害网络安全的活动兜底条款⚠️ 重点第27条是网安从业者最容易触犯的条款。未授权的渗透测试、提供黑客工具都可能违反此条。第28条——网络运营者义务落实网络安全等级保护制度采取技术措施防范计算机病毒和网络攻击采取技术措施监测、记录网络运行状态和安全事件按照规定留存网络日志不少于六个月对数据和用户信息保密法律行政法规规定的其他义务第44条——个人信息保护个人信息包括但不限于姓名、出生日期、身份证号码、个人生物识别信息、住址、电话号码等。任何个人和组织不得窃取或者以其他非法方式获取个人信息不得非法出售或者非法向他人提供个人信息。三、《刑法》涉网犯罪条款常见涉网罪名罪名刑法条款量刑说明非法获取计算机信息系统数据罪第285条第二款3年以下或3-7年未授权获取数据非法控制计算机信息系统罪第285条第二款3年以下或3-7年未授权控制系统提供侵入/非法控制程序工具罪第285条第三款3年以下或3-7年提供黑客工具破坏计算机信息系统罪第286条5年以下或5-15年破坏系统功能侵犯公民个人信息罪第253条之一3年以下或3-7年非法获取/出售个人信息帮助信息网络犯罪活动罪第287条之二3年以下“帮信罪”非法利用信息网络罪第287条之一3年以下设网站/通讯群实施诈骗“帮信罪”帮助信息网络犯罪活动罪近年来最高发的涉网犯罪断卡行动的核心罪名。入罪标准满足其一为3个以上对象提供帮助的支付结算金额20万元以上的违法所得1万元以上的提供5张以上银行卡的⚠️ 提示出借银行卡、售卖网络账号、提供服务器托管等行为都可能构成帮信罪。典型案例参考案例行为罪名判决某安全研究员渗透案未授权渗透企业系统非法获取计算机数据罪有期徒刑1年某黑客工具售卖案在网上售卖扫描工具提供侵入程序罪有期徒刑2年某DDoS攻击案对游戏服务器DDoS破坏计算机系统罪有期徒刑3年某数据泄露案非法获取用户数据出售侵犯公民个人信息罪有期徒刑5年四、渗透测试的法律边界合法渗透测试的三个前提1. 书面授权 2. 明确范围 3. 遵守约定前提具体要求书面授权甲方目标系统所有者签署授权书明确范围授权书中写明测试IP、域名、系统范围遵守约定不超范围测试、不破坏数据、不留后门授权书模板要素一份有效的渗透测试授权书应包含委托方与受托方信息双方名称、联系方式授权范围IP段、域名、系统名称、功能模块测试时间起止时间测试方法黑盒/白盒/灰盒禁止事项不得进行的操作数据处理约定测试数据的存储和销毁责任划分双方权利义务签字盖章双方签字并盖章常见法律风险行为行为法律风险正确做法未经授权扫描非法侵入先获授权再测试测试超出授权范围违约违法严格遵守授权范围发现漏洞后不报告违反漏洞管理规定通过合法渠道报告制作并售卖扫描工具提供侵入程序罪仅限合法用途在测试中植入后门非法控制罪测试不留后门留存用户数据侵犯个人信息罪测试后销毁数据五、《数据安全法》核心要点数据分类分级级别说明示例核心数据关系国家安全、经济运行国防数据、人口普查数据重要数据影响国家安全和公共利益大量个人信息、行业关键数据一般数据其他数据企业一般经营数据数据处理者义务义务说明建立全流程数据安全管理制度覆盖收集、存储、使用、加工、传输、提供、公开加强数据安全风险监测定期风险评估定期开展数据安全教育培训员工安全意识重要数据风险评估每年至少一次数据安全事件报告发生后立即报告六、《个人信息保护法》核心要点处理个人信息的原则合法、正当、必要、诚信原则 ↓ 最小必要原则 → 只收集实现目的所需的最少信息 ↓ 知情同意原则 → 充分告知并获得明确同意 ↓ 目的明确原则 → 不得超范围使用个人信息分类分类说明示例一般个人信息一般性身份信息姓名、性别、年龄敏感个人信息泄露可能造成损害身份证号、生物识别、医疗健康、金融账户、14岁以下儿童信息敏感信息处理要求处理敏感个人信息需要具有特定的目的和充分的必要性取得个人单独同意进行个人信息保护影响评估采取严格保护措施七、等级保护2.0等保五级级别对象监管第一级一般系统自主定级第二级一般信息系统公安机关备案第三级重要业务系统公安机关定期检查第四级核心业务系统严格监管第五级特殊系统专门监管等保2.0测评内容技术要求 ├── 安全物理环境 ├── 安全通信网络 ├── 安全区域边界 ├── 安全计算环境 └── 安全管理中心 管理要求 ├── 安全管理制度 ├── 安全管理机构 ├── 安全管理人员 ├── 安全建设管理 └── 安全运维管理八、漏洞披露的法律边界漏洞管理规定要点要求说明报告时限发现漏洞后应向产品提供者报告不得发布在修复前不得发布漏洞信息不得留存不得收集、留存他人网络数据不得利用不得利用漏洞进行未授权操作合法漏洞挖掘渠道平台说明CNVD国家信息安全漏洞共享平台官方漏洞平台CNNVD国家信息安全漏洞库官方漏洞库各SRC安全应急响应中心企业漏洞平台补天平台漏洞响应平台漏洞盒子漏洞响应平台⚠️ 在未修复前公开漏洞细节可能面临法律风险。正确做法是先报告等待修复后再公开。九、跨境数据流动数据出境条件条件说明安全评估关键信息基础设施运营者、处理100万人以上个人信息标准合同未达安全评估门槛的认证通过个人信息保护认证需要安全评估的情形关键信息基础设施运营者处理100万人以上个人信息的运营者累计向境外提供10万人以上个人信息累计向境外提供1万人以上敏感个人信息十、从业者合规清单个人合规Checklist检查项是否完成了解网安三法核心内容☐知道刑法涉网条款☐渗透测试前获取书面授权☐不超范围测试☐不制作/售卖攻击工具☐漏洞先报告后公开☐不留存/出售用户数据☐不出借银行卡/账号☐了解帮信罪风险☐关注法律更新☐企业合规Checklist检查项是否完成完成等级保护备案☐建立网络安全管理制度☐日志留存不少于6个月☐个人信息处理合规☐数据分类分级管理☐数据出境安全评估☐关键信息基础设施认定☐安全事件应急响应预案☐员工安全教育培训☐第三方供应链安全管理☐学习资源网络安全不只是技术法律合规同样重要。很多技术大牛栽跟头不是技术不行而是不懂法。了解网络安全法律法规是每一个从业者必备的基本功。从渗透测试的授权边界到漏洞披露的合规流程从数据安全分级到个人信息保护这些知识能帮你守住法律底线安全合法地从事安全工作。如果你对网络安全感兴趣想系统学习更多知识——包括渗透测试合法流程、安全合规、等保2.0实操、红蓝对抗技术、CTF实战等——可以参考下面整理的完整学习资料包。内容涵盖从零基础到实战进阶200节视频课程配套工具和靶场环境系统掌握攻防全生命周期知识。这些东西我都可以免费分享给大家需要的可以点这里自取:网安入门到进阶资源总结网络安全法律法规是从业者的安全带。记住以下核心原则原则内容授权优先没有授权一切都是违法最小必要只做授权范围内的事合法合规工具制作和使用都要合法先报后公漏洞先报告再公开保护数据不留存不传播用户数据 牢记技术让你变得强大法律让你变得安全。不守法的白帽终将变成阶下囚。————————————————