国家互联网信息办公室等十三部门联合修订发布《网络安全审查办法》（以下简称《办法》），自2022年2月15日起施行。此次修订在原有基础上，进一步细化和强化了对网络平台运营者，特别是大型互联网企业（俗称“互联网大厂”）的数据安全与网络安全监管要求，为其戴上了新的“紧箍咒”。本文将梳理新规核心要点，并分析互联网大厂面临的主要挑战与应对方向。

一、 新规核心要点：聚焦数据处理与平台责任

此次修订的《办法》重点围绕“数据安全”和“平台责任”两大核心，对网络平台运营者提出了更系统、更严格的要求：

1. 审查范围扩大，聚焦数据处理活动：明确将“数据处理活动”纳入网络安全审查范围。这意味着，互联网大厂不仅需要关注传统意义上的网络运行安全，更需对其海量用户数据的收集、存储、使用、加工、传输、提供、公开等全生命周期活动进行合规管理，防范因数据处理带来的国家安全风险。

1. 审查门槛明确，压实平台主体责任：规定了网络平台运营者赴国外上市必须申报网络安全审查的具体情形，特别是掌握超过100万用户个人信息的运营者。这直接针对了此前部分企业“带病出海”、数据跨境流动风险管控不足的问题，要求企业将国家安全和数据安全置于商业决策的前置考量位置。

1. 风险评估前置，强调供应链安全：《办法》要求，网络平台运营者采购网络产品和服务，影响或可能影响国家安全的，应当进行网络安全审查。这促使大厂必须对其供应链，尤其是关键信息基础设施的供应链，进行更严格的安全评估，防止因使用存在安全隐患的产品服务而引入系统性风险。

1. 审查因素细化，关注数据控制风险：审查重点评估核心数据、重要数据或大量个人信息被窃取、泄露、毁损、非法利用或出境的风险，以及国外上市后关键信息基础设施、核心数据、重要数据或大量个人信息被国外政府影响、控制、恶意利用的风险。这直接指向了数据主权与控制权问题。

二、 互联网大厂面临的“新紧箍咒”

基于上述规定，互联网大厂在以下方面将面临更直接、更具体的合规压力：

1. 数据治理体系亟待升级：企业不能再满足于基础的隐私政策或数据加密，必须建立贯穿数据全生命周期的、系统化的治理架构。这包括数据分类分级、权限精细化管理、数据流转监控、数据出境安全评估机制等，确保数据处理活动合法合规且风险可控。

1. 资本运作路径需重新评估：对于有上市计划，尤其是考虑境外上市的企业，必须将网络安全审查作为必经程序进行规划。上市时间表、架构设计、信息披露等均需充分考虑审查要求与潜在的不确定性，融资与扩张策略面临调整。

1. 供应链安全管理责任加重：从服务器、数据库软件到第三方SDK、云服务，大厂需对其技术供应链进行全面的安全审查与持续监控，建立供应商准入与退出机制，确保供应链的可靠性与安全性，责任链条进一步延伸。

1. 合规成本与运营成本显著上升：建立并运行符合新规要求的数据安全治理体系、设置专门的合规团队、进行常态化的安全审计与评估、应对可能的审查程序，都将带来巨大的人力、物力与财力投入。

1. 业务创新与数据利用的平衡更难把握：在利用数据驱动业务增长、进行算法推荐、开展精准营销的必须严格遵循“最小必要”原则，防止过度收集和滥用。如何在合规框架下继续挖掘数据价值，成为摆在所有大厂面前的现实难题。

三、 应对之道：从被动合规到主动治理

面对新的监管环境，互联网大厂不应仅视其为约束，更应将其视为推动自身转型、构建长期竞争力的契机。

1. 战略层面高度重视：将数据安全和网络安全提升至企业核心战略高度，董事会与管理层需直接负责，确保资源投入与战略执行。

1. 构建纵深防御体系：技术层面，加强基础设施安全防护，应用隐私计算、可信执行环境等新技术降低数据滥用风险；管理层面，完善内控流程与审计机制，建立覆盖全员的安全意识培训文化。

1. 拥抱透明与可控：主动向监管机构、用户和社会展示其数据保护措施与成效，增强透明度。在数据跨境、重要业务系统变更等关键决策上，建立内部严格的审查与控制流程。

1. 探索合规与发展新模式：在合法合规前提下，探索数据要素市场化配置的新路径，如发展隐私保护下的数据协作技术、参与数据交易所试点等，将合规要求内化为新的业务能力。

新修订的《网络安全审查办法》标志着中国网络空间治理进入以数据安全为关键抓手的新阶段。对于互联网大厂而言，这既是必须应对的严格监管要求，也是倒逼其告别粗放增长、迈向更安全、更可持续、更负责任发展模式的重要推动力。唯有将安全内化于基因，才能在未来的数字竞争中行稳致远。