专业文章
从“美光”事件谈网络安全审查
2023年3月31日，国家互联网信息办公室网站（以下简称“网信办”）发布《关于对美光公司在华销售产品启动网络安全审查的公告》。网络安全审查办公室对美光科技公司（Micron Technology, Inc.）（以下简称“美光公司”）在华销售的产品实施网络安全审查。该事件再次引发大众对网络安全审查的关注。本文旨在对网络安全审查的沿革、要点和实践进行梳理，并对该事件进行评析。
一、网络安全审查的主要沿革
网络安全审查发端于《中华人民共和国国家安全法》[1]和《中华人民共和国网络安全法》[2]规定的国家安全审查制度。《国家安全法》第59条规定：“国家建立国家安全审查和监管的制度和机制，对影响或者可能影响国家安全的......网络信息技术产品和服务......进行国家安全审查，有效预防和化解国家安全风险。”《网络安全法》第35条规定：“关键信息基础设施的运营者采购网络产品和服务，可能影响国家安全的，应当通过国家网信部门会同国务院有关部门组织的国家安全审查。”
2020年4月13日发布，2020年6月1日实施的《网络安全审查办法（2020）》（以下简称“《2020版办法》”）主要系以确保关键信息基础设施供应链安全，维护国家安全为目标，对关键信息基础设施运营者影响或可能影响国家安全的采购网络产品和服务的行为进行网络安全审查。
2021年12月28日发布，2022年2月15日实施的《网络安全审查办法（2021）》（以下简称“《2021版办法》”）将保障网络安全和数据安全纳入规制目标。在《2020版办法》的基础上，《2021版办法》新增两项适用情形，包括：1、网络平台运营者开展数据处理活动，影响或者可能影响国家安全的；2、掌握超过100万用户个人信息的网络平台运营者赴国外上市。相应地，《2021版办法》在审查要素上新增了对核心数据、重要数据、大量个人信息的安全和是否会被外国政府控制等事宜的相关规定。
二、网络安全审查的要点
根据《2021版办法》，网络安全审查的要点如下：
三、网络安全审查的实践
在美光公司被启动网络安全审查前，由网络安全审查办公室依职权启动的历次网络安全审查概况如下[3]：
除上述依职权启动的网络安全审查案例外，根据公开资料检索，不少赴国外上市企业亦已经向网络安全审查办公室申报了网络安全审查，如于纳斯达克上市的厦门一品威客网络科技股份有限公司[11]、于纳斯达克上市的北京量子之歌科技有限公司[12]等。
四、“美光案”的启示
美光公司成立于1978年，是一家全球领先的半导体制造商，其总部位于美国爱达荷州博伊西。美光公司的主营业务为生产半导体器件，包括动态随机存取存储器，闪存和固态驱动器，其主要产品包括DRAM、NAND快闪存储器、CMOS影像感测器、其它半导体元件和内存模组[13]。值得注意的是，作为全球存储芯片三巨头之一，中国市场占据美光公司整体营收的10%以上[14]。
与此前依职权启动的网络安全审查案例不同，本次针对美光公司启动之网络安全审查的对象并非该公司本身，而是针对其在华销售的产品，且将审查重点首次明确为保障关键信息基础设施的供应链安全。
网络安全审查所针对的“网络产品和服务”包括核心网络设备、重要通信产品、高性能计算机和服务器、大容量存储设备、大型数据库和应用软件、网络安全设备、云计算服务等。美光公司生产的诸多产品，如MT25Q NOR Flash[15]、Micron 9400 NVMe™ SSD[16]，均可能会被纳入上述网络产品的范围。美光在华销售之产品的安全性、开放性、透明性及使用该等产品是否存在被非法控制的风险等，均会是本次审查的重点。
当前，国际形势日益复杂。在数字化浪潮纵深发展的背景下，网络安全审查作为保障国家安全的重要手段，将会发挥更有力的作用。因此，建议涉及采购由外国公司生产或提供的网络产品或服务的企业，尤其是关键信息基础设施运营者，关注对已采购或拟采购的外国产品或服务的自查，确保其安全可靠，避免因该等产品或服务断供或出现安全问题导致业务持续性遭受负面影响。
