关于未按规定留存网络日志的处罚通知

关于未按规定留存网络日志的处罚通知

根据《中华人民共和国网络安全法》第四十五条及《网络信息内容生态治理规定》第十六条相关规定，现就未按规定留存网络日志的行为作出如下处罚通知：

一、违规行为认定 经技术监测与执法检查发现，部分网络运营者存在以下情形：未建立符合国家标准的日志留存机制；日志保存周期不足六个月；日志内容缺失关键操作记录；未按规定向监管部门提供日志数据。此类行为严重违反《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》中关于日志管理的强制性规范。

二、处罚依据 依据《网络安全法》第六十四条，对拒不改正的单位处以五万元以上五十万元以下罚款；依据《数据安全法》第四十七条，对直接责任人处以一万元以上十万元以下罚款。对于造成重大数据泄露或网络安全事件的，将依法追加刑事责任。

三、典型案例警示 2023年3月，某电商平台因未留存用户登录日志，导致黑客入侵后无法追溯攻击路径，被处以28万元行政处罚。同年8月，某金融机构因日志保存周期不足，被认定为未履行安全保护义务，依法吊销其等保三级资质。

四、合规要求

1. 必须使用符合等保2.0标准的日志系统
2. 日志需包含时间戳、操作用户、操作内容、设备IP等要素
3. 保存周期不得少于六个月，关键业务系统应延长至三年
4. 建立日志分级分类管理制度，区分系统日志、安全日志、审计日志
5. 定期开展日志完整性检测与存储介质备份

五、整改期限 请相关单位于收到本通知之日起30日内完成以下整改：

1. 建立符合国家标准的日志留存制度
2. 配置专业日志管理系统
3. 完成现有日志数据的补全与归档
4. 建立日志安全防护机制
5. 提交整改方案至属地网信部门备案

六、监督举报 欢迎社会各界通过12377网络举报平台或属地网信部门进行监督举报。对主动自查并及时整改的单位，将依法从轻处罚；对拒不配合整改的，将从严处理。

特此通知。

国家互联网信息办公室 2023年11月