चीनको साइबर सुरक्षा कानून के हो? पालना गर्दा ध्यान दिनुपर्ने मुख्य बुँदाहरूको व्याख्या

帝国データバンクको विशेष परियोजना: जापानी कम्पनीहरूको “चीन प्रवेश” प्रवृत्ति सर्वेक्षण (सन् 2022)[ja] अनुसार, चीनमा प्रवेश गरेका जापानी कम्पनीहरूको संख्या 12,706 पुगेको छ। चीनसँग सम्बन्धित व्यवसाय गरिरहेका कम्पनीहरूको संख्या यसभन्दा बढी हुन सक्छ। चीनमा, सन् 2017 (Heisei 29) मा “चीन साइबर सुरक्षा कानून” लागू भएको थियो।

यसका कारण, चीनमा व्यवसाय विस्तार गर्नका लागि, कानूनी नियमहरूको संशोधन र प्राविधिक सुरक्षा उपायहरू गर्न आवश्यक भएको छ। तर, कस्तो प्रकारको कानून हो भन्ने थाहा नभएका वा कसरी प्रतिक्रिया दिने भन्ने थाहा नभएका व्यक्तिहरू पनि हुन सक्छन्।

त्यसैले यस लेखमा, चीन साइबर सुरक्षा कानूनको सारांश, नियमनको विषयवस्तु, र लिनुपर्ने उपायहरूलाई व्याख्या गरिनेछ। चीनमा व्यवसाय विस्तार गरिरहेका वा भविष्यमा प्रवेश गर्ने सोच बनाइरहेका व्यक्तिहरूले यसलाई अवश्य सन्दर्भको रूपमा लिनुहोस्।

चीनको साइबर सुरक्षा कानुनको संक्षिप्त विवरण

चीनको साइबर सुरक्षा कानुन (网络安全法) भनेको २०१७ (Heisei 29) को जुन महिनामा लागू भएको चीनको कानुन हो। यस कानुनको उद्देश्य पहिलो धारा अनुसार तल उल्लेखित छन्:

• नेटवर्कको सुरक्षा सुनिश्चित गर्नु
• साइबर स्पेसको सार्वभौमसत्ता, राष्ट्रिय सुरक्षा, र सार्वजनिक हितको रक्षा गर्नु
• नागरिक, कानुनी व्यक्ति र अन्य संस्थाहरूको वैध अधिकार र हितको संरक्षण गर्नु
• आर्थिक र सामाजिक सूचना प्रविधिको विकासलाई प्रोत्साहन गर्नु

नेटवर्क भनेको “कम्प्युटर, अन्य सूचना उपकरणहरू र सम्बन्धित उपकरणहरूद्वारा संरचित, र निश्चित नियम वा कार्यक्रम अनुसार सूचना संकलन, भण्डारण, प्रसारण, आदानप्रदान, प्रशोधन गर्ने वस्तु (धारा 76)” भनेर परिभाषित गरिएको छ, जसमा इन्टरनेट मात्र नभई इन्ट्रानेट पनि समावेश हुन्छ।

चीनको साइबर सुरक्षा कानुन, EU को सामान्य डेटा संरक्षण नियम (GDPR) वा जापानी व्यक्तिगत सूचना संरक्षण कानुन भन्दा फरक छ, किनकि यसले “व्यक्तिगत वा संगठनात्मक जानकारीको संरक्षण” मात्र नभई “चीनको राष्ट्रिय सुरक्षा र सार्वजनिक हितको संरक्षण” पनि उद्देश्य राखेको छ। यस कानुनले लक्षित व्यवसायहरूलाई साइबर सुरक्षा स्तरको संरक्षणको कार्यान्वयन, अनुपालनको पालना, र अधिकार तथा कर्तव्यको स्पष्टिकरण जस्ता कुराहरू निर्धारण गर्दछ।

सुरक्षासँग सम्बन्धित कानुनहरूमा, चीनको डेटा सुरक्षा कानुन पनि छ।

सम्बन्धित लेख: चीन डेटा सुरक्षा कानुन के हो? जापानी कम्पनीहरूले लिनुपर्ने उपायहरूको व्याख्या[ja]

चीनको साइबर सुरक्षा कानुन अन्तर्गतको नियमनको दायरा

जापानी कम्पनीहरू चीनको साइबर सुरक्षा कानुन अन्तर्गत निम्न अवस्थामा नियमनको दायरामा पर्छन्:

• चीन भित्र जानकारीको व्यवस्थापन गरिन्छ
• चीनबाट जापानमा जानकारी स्थानान्तरण गरिन्छ

मुख्यालय जापानमा भए तापनि, माथिका अवस्थाहरूमा पर्ने कम्पनीहरू कानुनको दायरामा पर्छन्। साथै, नियमनको दायरामा पर्ने व्यक्तिहरूमा “नेटवर्क सञ्चालनकर्ता” र “महत्वपूर्ण जानकारी पूर्वाधार सुविधाको सञ्चालनकर्ता” जस्ता व्यक्तिहरू समावेश हुन्छन्।

नेटवर्क सञ्चालनकर्ता भन्नाले नेटवर्कको मालिक वा व्यवस्थापक, वा नेटवर्क सेवा प्रदान गर्ने व्यक्तिलाई जनाउँछ।

महत्वपूर्ण जानकारी पूर्वाधार सुविधाको सञ्चालनकर्ता भन्नाले त्यस्ता क्षेत्रहरूमा काम गर्ने व्यक्तिलाई जनाउँछ, जसले क्षति भएमा राष्ट्रको सुरक्षा खतरामा पार्न सक्छ (जस्तै ऊर्जा, यातायात, वित्त, सार्वजनिक सेवा आदि), र जसले क्षति वा डाटा चुहावटको कारणले राष्ट्रिय सुरक्षा, जनजीवन, र सार्वजनिक हितलाई गम्भीर रूपमा हानि पुर्याउन सक्छ।

चीनको साइबर सुरक्षा कानुनको सामग्री

चीनको साइबर सुरक्षा कानुनले निम्नलिखित जस्ता दायित्वहरू निर्धारण गरेको छ।

• साइबर सुरक्षा स्तरको स्थापना
• राष्ट्रिय अनिवार्य मापदण्डहरूको अनुकूलता
• वास्तविक नाम दर्ता आवश्यक छ
• महत्वपूर्ण सूचना पूर्वाधार सुविधा सञ्चालकहरूका लागि दायित्व
• व्यवस्थापन र प्रतिक्रिया प्रणालीको निर्माण

यहाँ, प्रत्येकको विवरण व्याख्या गरिन्छ।

साइबर सुरक्षा अन्तर्गत जापानी कानुनमा श्रेणी निर्धारण

चीनको साइबर सुरक्षा कानुनको धारा 21 अनुसार, नेटवर्क सञ्चालनकर्ताले पालना गर्नुपर्ने “श्रेणी संरक्षण प्रणाली” को व्यवस्था गरिएको छ। चीन भित्र नेटवर्कको स्वामित्व राख्ने कम्पनी वा संगठनहरूले श्रेणी संरक्षण प्रमाणपत्र प्राप्त गर्न आवश्यक हुन्छ।

श्रेणी संरक्षण प्रणाली भनेको नेटवर्क सुरक्षा व्यवस्थापन प्रणालीको लागि सार्वजनिक मूल्यांकन प्रणाली हो। यसको दायरामा निम्न समावेश छन्:

• नेटवर्क इन्फ्रास्ट्रक्चर
• IoT
• औद्योगिक नियन्त्रण प्रणाली
• ठूलो इन्टरनेट साइटहरू र डाटा सेन्टरहरू
• सार्वजनिक सेवा प्लेटफर्म

श्रेणी संरक्षण प्रणालीमा, सूचना प्रणालीमा क्षति पुगेको अवस्थामा प्रभावको दायरा र क्षतिको आकार अनुसार, तलका 5 श्रेणीहरूमा वर्गीकृत गरिएको छ।

श्रेणी अनुसारको परिभाषा निम्नानुसार छ:

प्रत्येक श्रेणी अनुसार, पालना गर्नुपर्ने सूचना सुरक्षा मापदण्डहरू निर्धारण गरिएको छ। नेटवर्क सञ्चालनकर्ताहरूले दोस्रो श्रेणी वा माथिको, र महत्वपूर्ण सूचना इन्फ्रास्ट्रक्चर सञ्चालनकर्ताहरूले तेस्रो श्रेणी वा माथिको श्रेणी लागू गर्नुपर्ने हुन्छ।

श्रेणी प्राप्त गर्नका लागि, सम्बन्धित अधिकारीलाई श्रेणीको स्व-आवेदन गर्नुपर्छ, तर अन्ततः सार्वजनिक सुरक्षा विभागबाट सहमति प्राप्त गर्न आवश्यक हुन्छ। साथै, श्रेणी संरक्षण प्रणालीमा, दोस्रो श्रेणी वा माथिको लागि मूल्यांकन संस्थाबाट मूल्यांकन गरिनु पर्छ। श्रेणी संरक्षण प्रणालीको उल्लङ्घन गर्दा जरिवाना लाग्न सक्ने सम्भावना हुन्छ, त्यसैले ध्यान दिनु आवश्यक छ।

जापानमा राष्ट्रिय अनिवार्य मापदण्डहरूसँगको अनुपालन

इन्टरनेट उत्पादन र सेवाहरूको प्रदायकहरूले जापानमा राष्ट्रिय अनिवार्य मापदण्डहरूसँग अनुपालन गर्नुपर्छ (अनुच्छेद 22)। प्रदायकहरूले दुर्भावनापूर्ण प्रोग्रामहरू स्थापना गर्नु हुँदैन।

त्यसैगरी, यदि उत्पादन वा सेवामा कुनै त्रुटि, कमजोरी, वा अन्य जोखिमहरू फेला परेमा, तुरुन्तै उपायहरू लिनु र प्रयोगकर्तालाई सूचित गर्नुका साथै सम्बन्धित अधिकारिक निकायलाई रिपोर्ट गर्नु आवश्यक छ।

सेप्टेम्बर 2021 (रेइवा 3) मा, नेटवर्क सञ्चालनकर्ताहरूलाई लक्षित गर्दै “इन्टरनेट उत्पादन सुरक्षा कमजोरी व्यवस्थापन नियम (网络产品安全漏洞管理规定)” लागू गरिएको छ, त्यसैले यस नियमलाई पनि सन्दर्भ गर्दै आवश्यक कदमहरू लिनु पर्नेछ।

प्रयोगकर्ताको वास्तविक नाम दर्ता आवश्यक छ

जब नेटवर्क जडान सेवा, स्थिर फोन वा मोबाइल फोनको नेटवर्क जडान प्रक्रिया, जानकारी साझेदारी सेवा, वा इन्स्ट्यान्ट मेसेज सेवा जस्ता सेवाहरू जापानमा प्रयोगकर्तालाई प्रदान गरिन्छ, तब प्रयोगकर्ताको वास्तविक नाम दर्ता गर्न आवश्यक छ। यदि प्रयोगकर्ताले वास्तविक नाम दर्ता गर्दैन भने, सेवा प्रदान गर्नु हुँदैन।

साथै, नेटवर्क सञ्चालनकर्ताले प्रयोगकर्ताले प्रसारित गर्ने जानकारीले जापानी कानुन उल्लङ्घन गरेको छैन भनेर जाँच गर्ने दायित्व पनि राख्छ।

जापानमा महत्वपूर्ण सूचना पूर्वाधार सुविधाका सञ्चालकहरूका लागि कर्तव्यहरू

महत्वपूर्ण सूचना पूर्वाधार सुविधाका सञ्चालकहरूले, नेटवर्क सञ्चालकहरूलाई लगाइएको सुरक्षा उपायहरू मात्र लागू गर्नु हुँदैन, तर निम्न उपायहरू पनि आवश्यक पर्ने बताइएको छ।

• प्रणाली र डाटाबेसको नियमित ब्याकअप लिनु
• सुरक्षा घटनाहरूको लागि प्रतिक्रिया योजना तयार गर्नु
• वार्षिक सुरक्षा मूल्याङ्कन
• डाटा स्थानीयकरण

डाटा स्थानीयकरण: डाटा उत्पन्न भएको देशको सीमाभित्र डाटालाई भण्डारण र प्रशोधन गर्ने प्रक्रिया

जापानमा २०२१ (Reiwa 3) सेप्टेम्बरमा लागू भएको “महत्वपूर्ण सूचना पूर्वाधार सुविधा सुरक्षा संरक्षण अध्यादेश” ले महत्वपूर्ण सूचना पूर्वाधार सुविधाको व्यवस्थापन, प्रमाणिकरण, र सञ्चालकहरूको कर्तव्यहरूलाई अझ विशेष रूपमा परिभाषित गरेको छ, त्यसैले यसलाई पनि सन्दर्भ गर्न आवश्यक छ।

व्यवस्थापन र प्रतिक्रिया प्रणालीको निर्माण

नेटवर्क सञ्चालनकर्ताहरूलाई जापानमा आवश्यक पर्ने कुराहरूमा निम्नलिखित समावेश छन् (धारा 21)।

• सुरक्षा व्यवस्थापन प्रणाली र सञ्चालन नियमहरूको स्थापना
• नेटवर्कको सुरक्षा जिम्मेवार व्यक्तिको निर्धारण
• सुरक्षा घटनाहरूको प्रतिक्रिया योजना तयार पार्ने र प्राविधिक उपायहरूको व्यवस्थापन
• नेटवर्कको निगरानी प्रविधिको कार्यान्वयन, लगहरूको संरक्षण (कम्तीमा 6 महिना)
• डेटा वर्गीकरण, महत्वपूर्ण डेटाको ब्याकअप र एन्क्रिप्शन जस्ता सुरक्षा उपायहरू

जापानी साइबर सुरक्षा कानून उल्लङ्घनको लागि प्रावधानहरू

जापानमा श्रेणी संरक्षण प्रणाली अन्तर्गत माग गरिएका सुरक्षा आवश्यकताहरूको उल्लङ्घन भएमा, सुधार आदेश र चेतावनी जारी गरिन्छ। आदेश अस्वीकार गरेमा वा नेटवर्कको सुरक्षामा खतरा पुर्‍याएमा, १०,००० युआन (CNY) भन्दा बढी र १००,००० युआन (CNY) भन्दा कम जरिवाना तिर्नुपर्ने हुन्छ। साथै, प्रत्यक्ष जिम्मेवार व्यक्तिलाई ५,००० युआन (CNY) भन्दा बढी र ५०,००० युआन (CNY) भन्दा कम जरिवाना लाग्न सक्छ।

त्यसैगरी, दुर्भावनापूर्ण प्रोग्राम स्थापना गरेमा वा उत्पादन वा सेवाका त्रुटिहरू वा सुरक्षा कमजोरीहरू जस्ता जोखिमहरूमा उपाय नअपनाएमा पनि सुधार आदेश र चेतावनी जारी गरिन्छ, र यसलाई अस्वीकार गरेमा जरिवाना तिर्नुपर्ने हुन्छ।

उल्लङ्घनको प्रकृतिअनुसार जरिवानाको रकम फरक हुन सक्छ, र वेबसाइट बन्द गर्ने, व्यापार अनुमति रद्द गर्ने, वा व्यवसाय सञ्चालन रोक्ने आदेश पनि हुन सक्छ, त्यसैले सावधानी आवश्यक छ। विगतमा, उल्लङ्घनका कारण जरिवाना र जिम्मेवार व्यक्तिलाई आजीवन समान व्यवसायमा संलग्न हुन प्रतिबन्ध लगाइएको घटनाहरू पनि भएका छन्, त्यसैले जापानी साइबर सुरक्षा उपायहरू अत्यावश्यक छन्।

जापानी कम्पनीहरूले लिनुपर्ने साइबर सुरक्षा कानुनी उपायहरू

चीनको साइबर सुरक्षा कानुन जटिल छ, त्यसैले केबाट सुरु गर्ने भन्ने थाहा नपाउनेहरू पनि हुन सक्छन्। यहाँ, जापानी कम्पनीहरूले लिनुपर्ने उपायहरूको व्याख्या गरिन्छ।

सूचना प्रणाली विभाग र DX सम्बन्धित विभागसँग सहकार्य गर्ने प्रणाली तयार गर्नुहोस्

चीनको साइबर सुरक्षा कानुनको पालना गर्न, सञ्चालन प्रक्रिया निर्माण र व्यक्तिगत जानकारी व्यवस्थापन नियमहरूको निर्माण र थप गर्न आवश्यक छ। साथै, ग्रेडेड प्रोटेक्शन प्रणालीको पालना गर्न, आफ्नै प्रणालीमा प्राविधिक उपायहरू आवश्यक छन्।

कानुनी वा सामान्य प्रशासन विभागहरूले व्यक्तिगत रूपमा प्रतिक्रिया दिनुको सट्टा, सूचना प्रणाली विभाग र DX सम्बन्धित विभागसँग सहकार्य गर्ने प्रणाली तयार गर्नु आवश्यक छ।

आफ्नो कम्पनीको प्रत्येक प्रणाली कुन ग्रेडसँग मेल खान्छ भनेर निर्धारण गर्नुहोस्

पहिले, आफ्नो कम्पनीको प्रणालीको ग्रेड निर्धारण गर्नुहोस्। त्यस ग्रेड अनुसार, प्रत्येक विभागले साइबर सुरक्षा अनुसारको प्रतिक्रिया दिन आवश्यक छ। कानुनी वा सामान्य प्रशासन, जोखिम व्यवस्थापन विभागहरूले कानुनको पालना गर्ने नियमहरू वा सञ्चालनको पुनरावलोकन वा संशोधन गर्नुपर्छ, जबकि सूचना प्रणाली वा DX सम्बन्धित विभागहरूले प्राविधिक पक्षमा प्रतिक्रिया दिनुपर्छ। यहाँ, प्रत्येक प्रतिक्रियाको व्याख्या गरिन्छ।

कानुनी वा सामान्य प्रशासन, जोखिम व्यवस्थापन विभाग

ग्रेडमा निर्दिष्ट गरिएका विषयहरू र आफ्नो कम्पनीको व्यवस्थापन स्थिति, सूचना सुरक्षा प्रणालीको तुलना गरी, नियमहरूको थप वा सञ्चालन प्रणालीको पुनरावलोकन गर्नुहोस्। अनि, कसरी प्रतिक्रिया दिने भन्ने विचार गरी, प्रणालीको निर्माण वा संशोधन गर्न आवश्यक छ।

यदि ग्रेड दोस्रो स्तर वा माथि छ भने, अधिकारीहरूलाई सूचित गर्नुपर्छ। यदि आफ्नो कम्पनीलाई महत्वपूर्ण जानकारी पूर्वाधार सुविधा सञ्चालक मानिन्छ भने, तेस्रो स्तर वा माथिको ग्रेडेड प्रोटेक्शन प्रमाणपत्र प्राप्त गर्न आवश्यक छ। साथै, डेटा स्थानीयकरण नियमहरूको पालना, कर्मचारीहरूलाई नियमित रूपमा सूचना सुरक्षा शिक्षा र प्राविधिक तालिम दिनु आवश्यक छ। महत्वपूर्ण जानकारी पूर्वाधार सुविधा सञ्चालकको रूपमा मानिने सम्भावना भएमा, सल्लाहकार वकिलसँग परामर्श गरी, प्रतिक्रिया नीति निर्धारण गर्नु राम्रो हुन्छ।

हालैका वर्षहरूमा, चीनमा सुरक्षा सम्बन्धित प्रणालीहरू लगातार लागू भइरहेका छन्। त्यसैले, जोखिम व्यवस्थापन विभागले नयाँ नियमहरू अनुसार जोखिम प्रतिक्रिया आवश्यक हुनेछ।

सूचना प्रणाली वा DX सम्बन्धित विभाग

सूचना प्रणाली वा DX सम्बन्धित विभागले ग्रेड अनुसार सुरक्षा संरक्षण उपायहरूको प्रणाली स्थापना गर्न आवश्यक छ। पहिले, आफ्नो कम्पनीको विद्यमान प्रणालीको सुरक्षा संरक्षण उपायहरूको समीक्षा गर्नुहोस्, र यदि कमी छ भने, साइबर सुरक्षा कानुन अनुसारको प्रणाली समावेश गर्नुहोस्।

साइबर सुरक्षा कानुन बाहेक, डेटा स्थानीयकरण नियमहरू, सीमा पार प्रतिबन्ध, सरकारको पहुँच जस्ता विषयहरूमा पनि प्रतिक्रिया दिनु आवश्यक छ। चीन बाहिर कुन डेटा स्थानान्तरण भइरहेको छ भनेर बुझ्नुहोस्, र आफ्नो कम्पनीको डेटा प्राप्ति वा भण्डारणको स्थिति पुनरावलोकन गर्नुहोस्।

साइबर सुरक्षा कानुनमा, नियमहरूको संशोधनमा मात्र सीमित नभई, प्राविधिक सुरक्षा उपायहरू पनि गर्नुपर्ने भएकाले, प्रतिक्रिया विभागहरूको सहकार्य आवश्यक छ।

सारांश: जापानमा आफ्नै कम्पनीको प्रतिक्रिया सम्बन्धी समस्यामा परेमा, विशेषज्ञसँग परामर्श गर्नुहोस्

चीनको साइबर सुरक्षा कानून भनेको चीनको राष्ट्रिय सुरक्षा सुनिश्चित गर्न बनाइएको प्रणाली हो। साइबर सुरक्षा कानूनको पालना गर्नका लागि, कानूनी विभाग र सामान्य प्रशासन विभागद्वारा नियमहरूको संशोधन मात्र होइन, तर प्राविधिक सुरक्षा उपायहरू पनि अपनाउनु आवश्यक छ।

साइबर सुरक्षा कानून लागू भएपछि, “इन्टरनेट उत्पादन सुरक्षा कमजोरी व्यवस्थापन नियम” र “साइबर सुरक्षा समीक्षा उपाय (राष्ट्रिय सुरक्षा समीक्षा प्रणालीलाई विशेष बनाउने प्रणाली)” जस्ता डेटा अनुपालन सम्बन्धी कानूनहरू लगातार बनाइएका छन्। उल्लङ्घन गर्दा जरिवाना, वेबसाइट बन्द, वा व्यापार अनुमति रद्द जस्ता प्रशासनिक सजायको सामना गर्नुपर्ने हुन सक्छ, त्यसैले सावधानी आवश्यक छ। चीनमा व्यापार विस्तार गरिरहेका वा भविष्यमा गर्ने योजना बनाइरहेका भएमा, चीनको कानूनमा विशेषज्ञता भएका वकिलसँग परामर्श गर्न सिफारिस गरिन्छ।

हाम्रो फर्मद्वारा प्रदान गरिने उपायहरूको जानकारी

मोनोलिथ कानूनी फर्म, IT, इन्टरनेट, र व्यवसायमा विशेष दक्षता राख्ने जापानी कानूनी फर्म हो। यसले चीन, अमेरिका, EU देशहरू लगायत विश्वका विभिन्न देशका मामिलाहरूमा सेवा प्रदान गर्दै आएको छ। विदेशमा व्यवसाय विस्तार गर्दा धेरै कानूनी जोखिमहरू सामाना गर्नुपर्ने हुनाले, अनुभवी वकिलहरूको सहयोग अत्यावश्यक हुन्छ। हाम्रो फर्म, स्थानीय कानूनी प्रणाली र नियमहरूमा राम्रोसँग परिचित छ र विश्वका विभिन्न कानूनी फर्महरूसँग सहकार्य गर्दछ।

मोनोलिथ कानूनी फर्मको कार्यक्षेत्र: अन्तर्राष्ट्रिय कानूनी सेवा र विदेशी व्यवसाय[ja]