一、三部基本法的时间线

日本的安全政策不是一次规划出来的，是二十年里一段段叠上去的。 三部基本法就是三个路标：

三部的重心在变：

IT 基本法问的是【怎么把网络铺起来】，网络安全基本法问的是【铺好了怎么守】，官民数据运用推进基本法问的是【守好之后怎么用起来】。 不到二十年，国家的关注点从建设走到了运用。

这三步的顺序值得琢磨，因为它和任何一个组织的演进路径完全相同：

• 第一步是【建设】——先把基础设施做出来，这时候安全不是主要话题；
• 第二步是【守成】——设施有了，被攻击的损失开始出现，于是安全单独立法、设专门机构；
• 第三步是【运用】——安全成了前提条件之后，重点转向【这些数据能创造什么价值】。

把这个顺序记住，比记住三个年份有用：它能解释为什么很多公司的安全建设也是这个节奏——先上业务，出了事再补安全，安全稳定了再谈数据价值。

另一个值得注意的点是【设机构】：IT 基本法设了 IT 战略本部，网络安全基本法设了网络安全战略本部。基本法这类法律的典型形态就是【定目标＋设机构＋排周期】——它本身不规定具体义务，靠后续的战略和个别法落地。 本篇第二、三节讲的战略与方向，就是这些基本法的落地产物。

二、动手 Demo：三部法律的重心怎么变

把三部法律的年份和关键词排在一起，变化就一目了然了：

# 节选自本节 Demo 脚本 d12()：三部基本法的时间线
rows = [
    ("2000", "IT 基本法", "把【建成高度信息通信网络社会】定为国家战略"),
    ("2014", "网络安全基本法", "首次把网络安全单列，设战略本部"),
    ("2016", "官民数据运用推进基本法", "定基础数据（准公共数据）的运用规则"),
]
for a, b, c in rows:
    print(pad(a, 10) + pad(b, 34) + c)

实跑输出：

==================================================================================================
一、三部基本法的时间线
==================================================================================================
  年份      法律                              定位
  2000      IT 基本法                         把【建成高度信息通信网络社会】定为国家战略
  2014      网络安全基本法                    首次把网络安全单列，设战略本部
  2016      官民数据运用推进基本法            定基础数据（准公共数据）的运用规则

  三部的重心在变：
    IT 基本法问的是【怎么把网络铺起来】，
    网络安全基本法问的是【铺好了怎么守】，
    官民数据运用推进基本法问的是【守好之后怎么用起来】。
  不到二十年，国家的关注点从建设走到了运用。

读这个输出：

• 三部法律的名称本身就是关键词：【高度信息通信网络社会】→【网络安全】→【官民数据运用】。从【网络】到【安全】到【数据】，主语一步步从基础设施变成了价值本身。
• 时间跨度值得注意：2000 到 2014 之间隔了 14 年，2014 到 2016 只隔了 2 年。前一个间隔说明【网络铺开之后，安全问题的积累需要时间才显现】；后一个间隔说明【安全问题一旦被承认为国家议题，后续立法的速度会明显加快】。这个模式在今天的 AI 立法上也能看到：一旦形成共识，后续的法律会以几年为单位连续出台。
• 【官民数据】这三个字是这一步的核心：它承认了【政府持有的数据】和【民间持有的数据】需要放在一起考虑。因为真正的判断依据——灾害应对、公共服务优化——往往需要两边数据的结合。 这也带出了后面要讲的一条重要转变：数据从【保护的物件】变成了【要利用的资源】。

三、2025 到 2026 的大转向

最值得注意的不是三部基本法，是最近两年发生的事：

【主动网络防御】在法律上由四根柱子组成：

• ① 官民协作：政府与企业双向共享威胁情报；
• ② 通信信息的利用：政府为安全目的使用通信信息；
• ③ 访问攻击源服务器并使其无害化；
• ④ 组织与制度的整备。

第 ③ 根柱子是这次最受争议的地方：

过去的做法是【对方打进来，我守住】；现在的做法是【看到征兆，就先动手处理对方的服务器】。 这也是为什么这套法律在国内外都引发了【到底还算不算防御】的讨论。

要理解这次转向的性质，需要把它和前面的基本法放在一起看：2000 年到 2024 年的日本安全政策，整体上是【防守型】的——立法设机构、定标准、要求企业配合，政府自己不主动出手。 而【主动网络防御】改变了这个姿态：政府从【组织者】变成了【行动者】。这一类转向在任何领域都会引发同样的争论：为国家行动设定的边界在哪里，谁来监督。 第 ④ 根柱子【组织与制度的整备】之所以重要，正是因为它要回答这个问题。

四、三大施策方向

新战略把工作分成三个方向：

第三个方向里有一句值得记住：2035 年前推进政府机关向抗量子加密迁移，这个目标被直接写进了国家战略。 也就是说，加密算法的换代不再只是技术部门的事，而是国家层面排了期的任务。

这条目标的来历值得补一句：抗量子加密要解决的问题是【今天被截获的数据，将来被量子计算机解密】——所以它有一个很特别的时间结构，叫【先存后破】。这也解释了为什么要在量子计算机还没实用化的时候就开始迁移：等到能破解的时候再换，那些当年被存下来的数据已经被读过了。

这三大方向还有一个共同点值得注意：它们都不只是【技术方向】，而是【组织方向】。第二条讲的是把安全能力扩散到全社会（地方政府、高校、中小企业），第三条讲的是人才供给与技术自主。这背后是一个现实判断：关键基础设施再强，只要供应链上有一家中小企业被打穿，整体就守不住。 这与 6-13 讲的【组织管不到的那部分 IT】是同一个问题的国家版。

五、⚠️ 2026 现状

• 【2026-10-01 是个具体的时间节点】。 2026-03-17 的内阁会议决定，部分主动防御措施从 2026-10-01 起实施——这意味着这套争议很大的制度正在从【法律文本】走进【实际操作】。值得关注的后续是配套的监督机制：因为主动防御涉及对他国服务器的操作，透明度与监督安排决定了它在国际上会被如何看待。
• 【2025-12-23 的新战略按 5 年规划】。 它覆盖未来 5 年，覆盖期内最可能出现的具体变化是【关键基础设施的合规要求】与【官民情报共享的接口】。对企业来说，这意味着接下来几年【来自政府的安全要求】会增加——而且往往是【必须配合】的性质，不是可选项。
• 【人才目标：5 年内翻一倍】。 7-13 会展开具体数字，但方向上可以说清楚：国家层面的判断是【缺口 17 万到 19 万人】，短期靠培养远远不够。这既是安全从业者的机会，也说明这个领域的供给紧张会持续多年。
• 【抗量子加密被写进国家战略，是整章里最超前的安排】。 它的意义不只是技术换代，而是标志着一件事：安全政策的时间尺度已经从【应对现在的威胁】拉长到了【为十年后的威胁做准备】。对照本章前面那些【出了事再立法】的例子（7-6 的不正访问禁止法、7-8 的计算机犯罪条款，都是攻击出现后的几年内立法），会发现这是一个明显的态度变化。 下一篇是本章的收尾：这些战略要落地，最终落到人身上——安全相关的资质。

30 秒实验

今天做两个动作，各 15 秒：

1. 上你们公司官网或招聘页，找一找有没有提到【网络安全人才】相关的岗位或培养计划。 人才缺口 17 万人以上这个数字，最终就落在这样的页面上——政策层面的战略，在个人层面的表现形式就是一条招聘启事。
2. 再想一下【先存后破】这件事：如果你今天发送的重要文件会被完整保存 10 年，你希望它用什么加密方式。 这就是抗量子加密被写进国家战略的理由——威胁还没到，但数据已经被存下来了。

这一节要带走的一句是：国家的安全政策走过三步——铺网络、守网络、用数据；而现在它正在跨出第四步：从【守】变成【主动】。

常见误区

1. 错误：基本法就是喊口号，跟实际工作没关系。——纠正：基本法的形态是【定目标＋设机构＋排周期】，它不规定具体义务，但决定了后续所有法律的走向。具体到实务，它会体现为三样东西：政府部门出台的战略文件、面向关键基础设施的合规要求、以及预算与人才培养的倾斜。 一个直接的例子：本篇第三节讲的抗量子加密迁移计划，就是从基本法体系里出来的，最终会变成采购要求与系统改造排期。
2. 错误：【主动网络防御】就是防守的加强版。——纠正：它改变了主客体关系。过去是【我被攻击，我加固】；现在包含【我看到征兆，就访问对方的服务器并使其无害化】。这意味着政府会主动进入第三方的系统——所以它必然涉及国内法上的授权边界、国际法上的合法性问题，以及监督机制的设计。 理解这一点，才能理解为什么这套法律讨论了这么多年才落地。
3. 错误：抗量子加密是遥远的事，企业不用管。——纠正：它有一个很特别的时间结构，叫【先存后破】。攻击者今天可以把加密的通信录下来，等将来量子计算机成熟后再解密——所以对【需要长期保密的数据】来说，威胁已经在发生了。 这也解释了一条实务原则：迁移的紧迫性不取决于量子计算机什么时候造出来，取决于你的数据要保密多少年。 需要保密 10 年以上的数据，现在就应该进入迁移规划。
4. 错误：既然有国家战略，企业只要被动等要求就好。——纠正：战略的方向会变成【要求】，但时间差里企业要自己决定投入。判断依据可以借用本章反复出现的那个框架：先看你的客户是谁（7-4 的那句），再看你属于不属于【关键基础设施】，最后看你的数据要保密多久。三个问题回答完，投入的优先级就清楚了。 等要求下来再动，通常意味着以【不得不快速整改】的姿态花更多的钱。

• ☐ 下一节（7-13 安全相关的资质）

相关笔记

• 运用信息安全监督机制提升安全等级 —— 微观版：一个组织怎么把安全水平提上去
• 信息系统部门无法掌控的 IT —— 供应链安全的国家版
• 安全相关的资质 —— 下一篇：战略最终落到人身上
• 电子文档管理的相关法律 —— 上一篇：数字世界的信任基础设施
• 🛡️ 网络与信息安全 · 索引 —— 全课路线图