新基建主题系列——互联网数据中心网络和数...

随着新基建政策的出台，互联网数据中心（“数据中心”）的建设发展进入快车道。在建设、运营数据中心过程中，数据中心的网络与数据安全是运营者自始至终需要重视的课题。保障数据中心的安全，既是《电信条例》[1]项下电信业务经营者从申请到经营过程中应遵守的法律义务，也是《网络安全法》[2]项下网络运营者应当履行的网络安全义务。

在从电信业务合规和网络安全保护的角度对数据中心的安全问题展开讨论之前，我们需要先关注数据中心的选址，数据中心建在何处影响着数据中心自身的安全。为确保数据中心的安全，数据中心企业需要从源头上让数据中心远离各类安全风险。安全风险既包括自然因素，如雷击、洪水、地震等，也包括人为因素，如周遭的化工厂、断电事故，甚至该地区的高犯罪率。

数据中心安全事件并非耸人听闻，国内外均有发生。2011年4月，上海电信大楼13楼机房起火致4人死亡。2011年8月，亚马逊爱尔兰数据中心附近的一个变压器因为雷击导致起火爆炸，连带附近的供电设施无法启动导致停电。2014年5月，位于美国德克萨斯州的一家名为ThePlanet H1的数据中心因电力短路引发爆炸。[3]

在数据中心选址上，我国的相关国家标准提供了重要的参考要求。根据《数据中心设计规范》(GB50174—2017)[4]，独立的数据中心在选址上应符合电力供给充足可靠，通信快速畅通，交通便捷；采用水蒸发冷却方式制冷的数据中心，水源充足；远离产生粉尘、油烟、有害气体以及生产或贮存具有腐蚀性、易燃、易爆物品的场所；远离水灾、地震等自然灾害隐患区域；远离强振源和强噪声源；避开强电磁场干扰等要求。设置在建筑物内局部区域的数据中心，在确定主机房的位置时，应对安全、设备运输、管线敷设、雷电感应、结构荷载、水患及空调系统室外设备的安装位置等问题进行综合分析和经济比较。[5]

数据中心内部署了大量的计算机和相关设备，《计算机场地安全要求》(GB/T 9361-2011)[6]同样对选址提出了要求，例如，应避开火灾危险程度高的地区；应避开低洼、潮湿、落雷、重盐害区域和地震频繁的地方等。[7]

云计算服务是当下飞速发展的一项业务，而提供云计算服务需要一个用以存储大量数据的数据中心。对于云计算数据中心，根据《云计算数据中心基本要求》(GB/T 34982-2017)[8]，在选址方面，应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；宜建在土地资源较充裕的地区；宜建在空气质量较好的地区；宜建在人力资源有基本保障的地区等。[9]

安全稳定的自然和社会环境与数据中心的安全息息相关，以上述提到的“人力资源有基本保障”为例，看似与数据中心的安全并无直接关联，却体现着应对潜在安全风险的考虑。当数据中心运维发生问题急需人手时，该人力资源有保障的优势就将得以体现。

以苹果在贵州的数据中心为例，不仅选址符合安全的要求，整体环境气候适合服务器运行，远离自然和人为的安全隐患，还能享受优惠的地方政策，在当地运营的经济成本也较低，有助于配备充足的运维团队。像这样的数据中心，既契合监管机关在安全方面对电信业务经营者审查监管的要求，也符合网络运营者保障网络和数据安全方面的要求。本篇分为（上）（下）两篇从电信业务合规和网络安全保护两个角度，为数据中心企业梳理相关要求。

根据《电信条例》，国家对电信业务经营按照电信业务分类，实行许可制度。经营电信业务，应当取得电信业务经营许可证，未取得许可证不得从事电信业务经营活动。《电信业务分类目录（2015版）》中明确规定了“B11互联网数据中心业务”这一类别。因此，数据中心电信业务经营者应当取得“互联网数据中心业务”增值电信业务许可证（“电信许可证”）。除申请许可外，数据中心电信业务经营者还应当遵守电信安全的相关规定，建立健全内部安全保障，与国家安全、电信网络安全的需要做到“三同步”。[10]

在审核电信业务资质的申请时，网络与信息安全是监管机关考虑的重要因素。法律法规中关于增值电信业务经营者的规定适用于数据中心业务的申请者。根据《电信业务经营许可管理办法》，增值电信业务的申请材料中包括“网络与信息安全保障措施”[11]，工信部的《电信业务经营许可审批服务指南》[12]中对网络安全方面提出了具体要求，包括内部机构、管理人员及相关制度、工作等。具体来说，申请企业需要：

不仅如此，根据《关于进一步规范因特网数据中心（IDC）业务和因特网接入服务（ISP）业务市场准入工作的实施方案》[14]，对于数据中心业务的申请者，增值电信业务的申请材料中的“有与开展经营活动相适应的资金和专业人员”和“有必要的场地、设施及技术方案”被进一步细化明确。

在人员方面，对数据中心企业提出了以下要求：

在场地、设施和技术方面，对数据中心企业提出了以下要求：

在取得电信业务资质后，数据中心业务的经营者应当依法合规经营。根据《电信业务经营许可管理办法》，电信业务经营者应当按照国家和电信管理机构的规定，明确相应的网络与信息安全管理机构和专职网络与信息安全管理人员，建立网络与信息安全保障、网络安全防护、违法信息监测处置、新业务安全评估、网络安全监测预警、突发事件应急处置、用户信息安全保护等制度，并具备相应的技术保障措施。[17]为加强电信业务事中事后管理体系的建设，监管部门将通过信息年报和公示制度、随机抽查制度、不良名单和失信名单制度[18]等加强对电信业务经营者的监督检查。可见，数据中心业务的经营者并非申请获得电信业务资质后便能高枕无忧，网络与信息安全等合规要求将始终贯穿于企业的经营活动。

(1) 信息年报和公示制度是由原来的经营许可证年检制度变革而来，为电信企业设立了主动报告的义务。

持证的电信企业需要在每年第一季度通过电信业务市场综合管理信息系统向发证机关报告，填报时需要如实填写“网络与信息安全”表格，具体内容包括了安全管理组织机构和人员、安全管理制度建设、信息安全技术保障措施、信息安全工作落实情况、数据安全工作落实情况等[19]。信息年报将自动入库，网络与信息安全方面的信息可由企业自选是否向社会公示。

(2) 随机抽查机制是为电信企业设立的配合监管、接受检查的义务。

监管机关的随机抽查遵循“双随机一公开”[20]的原则，对电信业务经营者进行检查，检查的形式包括书面检查、实地核查、网络监测、委托第三方检查等。[21]监管机关对电信企业的抽查内容中包括电信企业的“网络信息保障措施”。[22]

(3) 不良名单和失信名单制度将信用管理与行政处罚、企业年报义务履行有机结合。

若企业未按规定履行年报的义务，责令整改仍未在限期内完成的，将被列入电信业务经营不良名单。[23]若企业列入电信业务经营不良名单后三年内再次受到责令停业整顿、吊销经营许可证处罚的，或直接被吊销经营许可证的，或具有工业和信息化部规定的其他情形的，将被列入电信业务经营失信名单。[24]根据监管机关的随机抽查、日常监督检查及行政处罚记录等，违规经营的企业将进入电信业务经营不良名单和失信名单。[25]

实践中，工信部每个季度都将更新这两张名单，例如，2020年第一季度就有24家违规企业被纳入电信业务经营不良名单。列入不良名单或失信名单后对于企业本身及企业的负责人均有严重的负面影响。一方面，这两份名单是其他电信业务经营者进行网络接入、代收费、业务合作时选择合作伙伴的重要因素，数据中心业务的经营者在这方面的合作需求可能较高，因此尤其需要注意。另一方面，列入名单的不仅仅是电信企业，也包括电信企业的主要经营管理人员，个人在一家数据中心企业被列入这两张名单，将成为其污点，日后在数据中心行业的工作可能都会受影响。

除《电信业务经营许可管理办法》中提及的事中事后监管制度外，关于数据中心的相关政策通知、经营许可证上的“特别注意事项”中也涵盖了网络与信息安全的相关合规义务。例如，《工业和信息化部关于清理规范互联网网络接入服务市场的通知》[26]中反复强调要求“落实IDC机房运行安全和网络信息安全要求，并通过相关评测”。数据中心许可证附页上的“特别注意事项”要求持证企业“开展网络和系统定级备案、符合性测评和风险评估；落实网络安全防护措施；落实安全主体责任，完善管理制度和技术手段，加强数据访问权限管理”等。