信息化时代，网络已深刻地融入到社会生活的各个方面，网络安适威胁也随之向各层面渗透，而且已经从线上渗透到线下。为保障网络空间和国家安适，社会公共利益，掩护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展， 6 月 1 日起，《中华人民共和国网络安适法》（以下简称《网络安适法》）将正式施行。

那么问题来了，《网络安适法》对网站运营者提出了哪些要求，网站该如何做好应对办法？哪些新规和网站运营者息息相关？网站运营该做好哪些应对办法呢？为此，小编采访了百度安适专家，从网站安适建设、规范网络运营两大方面进行了解读，希望给网站提供一些操作性强的建议。

第一部分 关于企业自身的安适建设

问题一：按期给网站进行安适体检

 法律规定：《网络安适法》第九条规定，网络运营者开展经营和办事活动，必需遵守法律、行政法规，尊重社会公德，遵守商业道德，诚实信用，履行网络安适掩护义务，接受政府和社会的监督，承担社会责任。

第三十八条规定，关键信息基础设施的运营者应当自行或者委托网络安适办事机构对其网络的安适性和可能存在的风险每年至少进行一次检测评估,并将检测评估情况和改进办法报送相关负责关键信息基础设施安适掩护工作的部门。

专家解读：网站自身的安适是各种网络活动顺利展开的基石，也是掩护网民财产和隐私的基础。为此，网站要从以下几个方面做好准备：

一是按期为网站进行体检，及时发现网站的潜在风险并尽快修复。有条件的网站建议每个季度进行一次渗透测试，尤其是金融、电商这些重点行业企业。如果企业自己缺乏专业的能力和人才，可以与专业的第三方安适机构合作开展。

二是网站在产品研发和上线过程中，要始终坚持安适原则。重点产品上线前要经过代码安适审计和渗透测试，确保没有漏洞和后门的可能。

三是过去一些网络办事商出于各种目的习惯性的保存程序的后门，有的是为了后期提升用户体验，有的则是为了测试使用，还有的就是为了收集用户隐私。网络安适法实施之后，这样的行为将被禁止。因为这些后门给黑客打开了便利之门，经常会出现“螳螂捕蝉，黄雀在后”的情况。好比，苹果iOS系统 2014 年被曝出com.apple.pcapd办事存在后门，通过libpcap网络数据包捕获流入和流出iOS设备的HTTP数据，能够泄漏“大量情报”。

问题二：从四个层面完善网站安适建设

法律规定：《网络安适法》第十条规定，建设、运营网络或者通过网络提供办事，应当依照法律、行政法规的规定和国家尺度的强制性要求，采取技术办法和其他须要办法，保障网络安适、不变运行，有效应对网络安适事件，防范网络违法犯罪活动，维护网络数据的完整性、保密性和可用性。

专家解读：建立安适防护体系，不但是符合法律规定，更是为了掩护网站和网民的安适。为此，企业应从硬件安适、系统安适、数据安适、应用安适四个方面来安排完善的安适策略，可以自行研发，也可以与符合资质的安适办事商合作。目前安适市场有成熟的解决方案，从私有云安排到SaaS化的安适办事，再到混合云安排都可以支持，企业可以按照自身的业务重要性、资金实力、安适技术实力等，综合考虑选择。举例来说，中国超过77%的网站日拜候量低于100，这些网站大多架在云端，而且规模都不大，所以选择面向中小企业的SaaS化综合安适办事即可，好比百度云加速；而传统金融、互联网金融机构，就需要严格执行等级掩护的规定，并且要专门针对现在比较流行的DDoS攻击等，安排针对性的防御策略。

问题三：三分靠技术，七分靠办理

法律规定：《网络安适法》第二十一条规定，企业需制定内部安适办理制度和操作规程,确定网络安适负责人,落实网络安适掩护责任。

第三十四条规定，关键信息基础设施的运营者还应当设置专门安适办理机构和安适办理负责人，并对该负责人和关键岗位的人员进行安适配景审查；按期对从业人员进行网络安适教育、技术培训和技能考核；对重要系统和数据库进行容灾备份；制定网络安适事件应急预案，并按期进行演练；法律、行政法规规定的其他义务。

专家解读：安适历来是三分靠技术，七分靠办理。比来几年，互联网企业、传统企业在CTO、CIO基础上，很多都设立了专门的CSO（首席安适官），可见企业越来越重视安适。企业应从安适办理制度和架构设计、员工安适意识培训、安适应急响应处理流程等三个方面完善安适办理制度：首先要建立安适办理制度，包孕明确网络安适掩护的范围、员工行为规范、明确权责；其次对员工进行按期安适意识教育和培训，将安适培训纳入新员工入职培训，而且一年至少进行一次安适演练；三是提前制定安适应急处理流程，例如防范病毒入侵和网络攻击的策略，日志审计和分析，为事后攻击溯源、追究责任保存好证据等。

只有提前指定完善的办理制度，在黑客入侵时才能从容应对。

问题四：日志留存 6 个月 信息追踪更有依据