第一篇：國家信息安全等級保護(hù)制度第三級要求

CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

1.1.1.4 防雷擊(G3)本項(xiàng)要求包括: a)機(jī)房建筑應(yīng)設(shè)置避雷裝置;b)應(yīng)設(shè)置防雷保安器,防止感應(yīng)雷;c)機(jī)房應(yīng)設(shè)置交流電源地線。7.1.1.5 防火(G3)本項(xiàng)要求包括: a)機(jī)房應(yīng)設(shè)置火災(zāi)自動消防系統(tǒng),能夠自動檢測火情、自動報(bào)警,并自動滅火;b)機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料;c)機(jī)房應(yīng)采取區(qū)域隔離防火措施,將重要設(shè)備與其他設(shè)備隔離開。1.1.1.6 防水和防潮(G3)本項(xiàng)要求包括: a)水管安裝,不得穿過機(jī)房屋頂和活動地板下;b)應(yīng)采取措施防止雨水通過機(jī)房窗戶、屋頂和墻壁滲透;c)應(yīng)采取措施防止機(jī)房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透;d)應(yīng)安裝對水敏感的檢測儀表或元件,對機(jī)房進(jìn)行防水檢測和報(bào)警。1.1.1.7 防靜電(G3)本項(xiàng)要求包括: a)主要設(shè)備應(yīng)采用必要的接地防靜電措施;b)機(jī)房應(yīng)采用防靜電地板。1.1.1.8 溫濕度控制(G3)機(jī)房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施,使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。

1.1.1.9 電力供應(yīng)(A3)本項(xiàng)要求包括: CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

1.1.2.2 訪問控制(G3)本項(xiàng)要求包括: a)應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備,啟用訪問控制功能;b)應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力,控制粒度為端口級;c)應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾,實(shí)現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3 等協(xié)議命令級的控制;d)應(yīng)在會話處于非活躍一定時間或會話結(jié)束后終止網(wǎng)絡(luò)連接;e)應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù);f)重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙;g)應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則,決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問,控制粒度為單個用戶;h)應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。1.1.2.3 安全審計(jì)(G3)本項(xiàng)要求包括: a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄;b)審計(jì)記錄應(yīng)包括:事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息;c)應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析,并生成審計(jì)報(bào)表;d)應(yīng)對審計(jì)記錄進(jìn)行保護(hù),避免受到未預(yù)期的刪除、修改或覆蓋等。1.1.2.4 邊界完整性檢查(S3)本項(xiàng)要求包括: a)應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查,準(zhǔn)確定出位置,并對其進(jìn)行有效阻斷;b)應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查,準(zhǔn)確定出位CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

本項(xiàng)要求包括: a)應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別;b)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份標(biāo)識應(yīng)具有不易被冒用的特點(diǎn),口令應(yīng)有復(fù)雜度要求并定期更換;c)應(yīng)啟用登錄失敗處理功能,可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施;d)當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時,應(yīng)采取必要措施,防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽;e)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的不同用戶分配不同的用戶名,確保用戶名具有唯一性。

f)應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別。1.1.3.2 訪問控制(S3)本項(xiàng)要求包括: a)應(yīng)啟用訪問控制功能,依據(jù)安全策略控制用戶對資源的訪問;b)應(yīng)根據(jù)管理用戶的角色分配權(quán)限,實(shí)現(xiàn)管理用戶的權(quán)限分離,僅授予管理用戶所需的最小權(quán)限;c)應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離;d)應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限,重命名系統(tǒng)默認(rèn)帳戶,修改這些帳戶的默認(rèn)口令;e)應(yīng)及時刪除多余的、過期的帳戶,避免共享帳戶的存在。f)應(yīng)對重要信息資源設(shè)置敏感標(biāo)記;g)應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作;7.1.3.3 安全審計(jì)(G3)本項(xiàng)要求包括: a)審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)用戶和數(shù)據(jù)庫用戶;b)審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件;CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

a)應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄;b)應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定;c)應(yīng)對重要服務(wù)器進(jìn)行監(jiān)視,包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況;d)應(yīng)限制單個用戶對系統(tǒng)資源的最大或最小使用限度;e)應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警。7.1.4 應(yīng)用安全 7.1.4.1 身份鑒別(S3)本項(xiàng)要求包括: a)應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別;b)應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別;c)應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能,保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識,身份鑒別信息不易被冒用;d)應(yīng)提供登錄失敗處理功能,可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施;e)應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能,并根據(jù)安全策略配置相關(guān)參數(shù)。

7.1.4.2 訪問控制(S3)本項(xiàng)要求包括: a)應(yīng)提供訪問控制功能,依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問;b)訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作;c)應(yīng)由授權(quán)主體配置訪問控制策略,并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限;d)應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限,并在它們之間形成相互制約的關(guān)系。

e)應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能;CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

7.1.4.8 軟件容錯(A3)本項(xiàng)要求包括: a)應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能,保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求;b)應(yīng)提供自動保護(hù)功能,當(dāng)故障發(fā)生時自動保護(hù)當(dāng)前所有狀態(tài),保證系統(tǒng)能夠進(jìn)行恢復(fù)。

7.1.4.9 資源控制(A3)本項(xiàng)要求包括: a)當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未作任何響應(yīng),另一方應(yīng)能夠自動結(jié)束會話;b)應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制;c)應(yīng)能夠?qū)蝹€帳戶的多重并發(fā)會話進(jìn)行限制;d)應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制;e)應(yīng)能夠?qū)σ粋€訪問帳戶或一個請求進(jìn)程占用的資源分配最大限額和最小限額;f)應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警;g)應(yīng)提供服務(wù)優(yōu)先級設(shè)定功能,并在安裝后根據(jù)安全策略設(shè)定訪問帳戶或請求進(jìn)程的優(yōu)先級,根據(jù)優(yōu)先級分配系統(tǒng)資源。

7.1.5 數(shù)據(jù)安全及備份恢復(fù) 7.1.5.1 數(shù)據(jù)完整性(S3)本項(xiàng)要求包括: a)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復(fù)措施;b)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復(fù)措施。

7.1.5.2 數(shù)據(jù)保密性(S3)本項(xiàng)要求包括: CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

c)應(yīng)組織相關(guān)人員對制定的安全管理制度進(jìn)行論證和審定;d)安全管理制度應(yīng)通過正式、有效的方式發(fā)布;e)安全管理制度應(yīng)注明發(fā)布范圍,并對收發(fā)文進(jìn)行登記。7.2.1.3 評審和修訂(G3)本項(xiàng)要求包括: a)信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進(jìn)行審定;b)應(yīng)定期或不定期對安全管理制度進(jìn)行檢查和審定,對存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂。

7.2.2 安全管理機(jī)構(gòu) 7.2.2.1 崗位設(shè)置(G3)本項(xiàng)要求包括: a)應(yīng)設(shè)立信息安全管理工作的職能部門,設(shè)立安全主管、安全管理各個方面的負(fù)責(zé)人崗位,并定義各負(fù)責(zé)人的職責(zé);b)應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位,并定義各個工作崗位的職責(zé);c)應(yīng)成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組,其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán);d)應(yīng)制定文件明確安全管理機(jī)構(gòu)各個部門和崗位的職責(zé)、分工和技能要求。7.2.2.2 人員配備(G3)本項(xiàng)要求包括: a)應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等;b)應(yīng)配備專職安全管理員,不可兼任;c)關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。7.2.2.3 授權(quán)和審批(G3)本項(xiàng)要求包括: a)應(yīng)根據(jù)各個部門和崗位的職責(zé)明確授權(quán)審批事項(xiàng)、審批部門和批準(zhǔn)人等;CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

a)應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用;b)應(yīng)嚴(yán)格規(guī)范人員錄用過程,對被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查,對其所具有的技術(shù)技能進(jìn)行考核;c)應(yīng)簽署保密協(xié)議;d)應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員,并簽署崗位安全協(xié)議。7.2.3.2 人員離崗(G3)本項(xiàng)要求包括: a)應(yīng)嚴(yán)格規(guī)范人員離崗過程,及時終止離崗員工的所有訪問權(quán)限;b)應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備;c)應(yīng)辦理嚴(yán)格的調(diào)離手續(xù),關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開。

7.2.3.3 人員考核(G3)本項(xiàng)要求包括: a)應(yīng)定期對各個崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核;b)應(yīng)對關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核;c)應(yīng)對考核結(jié)果進(jìn)行記錄并保存。7.2.3.4 安全意識教育和培訓(xùn)(G3)本項(xiàng)要求包括: a)應(yīng)對各類人員進(jìn)行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn);b)應(yīng)對安全責(zé)任和懲戒措施進(jìn)行書面規(guī)定并告知相關(guān)人員,對違反違背安全策略和規(guī)定的人員進(jìn)行懲戒;c)應(yīng)對定期安全教育和培訓(xùn)進(jìn)行書面規(guī)定,針對不同崗位制定不同的培訓(xùn)計(jì)劃,對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進(jìn)行培訓(xùn);d)應(yīng)對安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保存。7.2.3.5 外部人員訪問管理(G3)本項(xiàng)要求包括: a)應(yīng)確保在外部人員訪問受控區(qū)域前先提出書面申請,批準(zhǔn)后由專人全程CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

b)應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求;c)應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)產(chǎn)品的采購;d)應(yīng)預(yù)先對產(chǎn)品進(jìn)行選型測試,確定產(chǎn)品的候選范圍,并定期審定和更新候選產(chǎn)品名單。

7.2.4.4 自行軟件開發(fā)(G3)本項(xiàng)要求包括: a)應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開,開發(fā)人員和測試人員分離,測試數(shù)據(jù)和測試結(jié)果受到控制;b)應(yīng)制定軟件開發(fā)管理制度,明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則;c)應(yīng)制定代碼編寫安全規(guī)范,要求開發(fā)人員參照規(guī)范編寫代碼;d)應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南,并由專人負(fù)責(zé)保管;e)應(yīng)確保對程序資源庫的修改、更新、發(fā)布進(jìn)行授權(quán)和批準(zhǔn)。7.2.4.5 外包軟件開發(fā)(G3)本項(xiàng)要求包括: a)應(yīng)根據(jù)開發(fā)需求檢測軟件質(zhì)量;b)應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼;c)應(yīng)要求開發(fā)單位提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南;d)應(yīng)要求開發(fā)單位提供軟件源代碼,并審查軟件中可能存在的后門。7.2.4.6 工程實(shí)施(G3)本項(xiàng)要求包括: a)應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實(shí)施過程的管理;b)應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過程,并要求工程實(shí)施單位能正式地執(zhí)行安全工程過程;c)應(yīng)制定工程實(shí)施方面的管理制度,明確說明實(shí)施過程的控制方法和人員行為準(zhǔn)則。

7.2.4.7 測試驗(yàn)收(G3)CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

a)在系統(tǒng)運(yùn)行過程中,應(yīng)至少每年對系統(tǒng)進(jìn)行一次等級測評,發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時整改;b)應(yīng)在系統(tǒng)發(fā)生變更時及時對系統(tǒng)進(jìn)行等級測評,發(fā)現(xiàn)級別發(fā)生變化的及時調(diào)整級別并進(jìn)行安全改造,發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時整改;c)應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測評單位進(jìn)行等級測評;d)應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)等級測評的管理。7.2.4.11 安全服務(wù)商選擇(G3)本項(xiàng)要求包括: a)應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定;b)應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議,明確約定相關(guān)責(zé)任;c)應(yīng)確保選定的安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾,必要的與其簽訂服務(wù)合同。

7.2.5 系統(tǒng)運(yùn)維管理 7.2.5.1 環(huán)境管理(G3)本項(xiàng)要求包括: a)應(yīng)指定專門的部門或人員定期對機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理;b)應(yīng)指定部門負(fù)責(zé)機(jī)房安全,并配備機(jī)房安全管理人員,對機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理;c)應(yīng)建立機(jī)房安全管理制度,對有關(guān)機(jī)房物理訪問,物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理做出規(guī)定;d)應(yīng)加強(qiáng)對辦公環(huán)境的保密性管理,規(guī)范辦公環(huán)境人員行為,包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙、不在辦公區(qū)接待來訪人員、工作人員離開座位應(yīng)確保終端計(jì)算機(jī)退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等。

7.2.5.2 資產(chǎn)管理(G3)本項(xiàng)要求包括: a)應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)清單,包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容;CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

d)應(yīng)對終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理,按操作規(guī)程實(shí)現(xiàn)主要設(shè)備(包括備份和冗余設(shè)備)的啟動/停止、加電/斷電等操作;e)應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機(jī)房或辦公地點(diǎn)。7.2.5.5 監(jiān)控管理和安全管理中心(G3)本項(xiàng)要求包括: a)應(yīng)對通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測和報(bào)警,形成記錄并妥善保存;b)應(yīng)組織相關(guān)人員定期對監(jiān)測和報(bào)警記錄進(jìn)行分析、評審,發(fā)現(xiàn)可疑行為,形成分析報(bào)告,并采取必要的應(yīng)對措施;c)應(yīng)建立安全管理中心,對設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級、安全審計(jì)等安全相關(guān)事項(xiàng)進(jìn)行集中管理。

7.2.5.6 網(wǎng)絡(luò)安全管理(G3)本項(xiàng)要求包括: a)應(yīng)指定專人對網(wǎng)絡(luò)進(jìn)行管理,負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作;b)應(yīng)建立網(wǎng)絡(luò)安全管理制度,對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補(bǔ)丁、口令更新周期等方面作出規(guī)定;c)應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進(jìn)行更新,并在更新前對現(xiàn)有的重要文件進(jìn)行備份;d)應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描,對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時的修補(bǔ);e)應(yīng)實(shí)現(xiàn)設(shè)備的最小服務(wù)配置,并對配置文件進(jìn)行定期離線備份;f)應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn);g)應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入;h)應(yīng)定期檢查違反規(guī)定撥號上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略的行為。7.2.5.7 系統(tǒng)安全管理(G3)本項(xiàng)要求包括: CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

案經(jīng)過評審、審批后方可實(shí)施變更,并在實(shí)施后將變更情況向相關(guān)人員通告;c)應(yīng)建立變更控制的申報(bào)和審批文件化程序,對變更影響進(jìn)行分析并文檔化,記錄變更實(shí)施過程,并妥善保存所有文檔和記錄;d)應(yīng)建立中止變更并從失敗變更中恢復(fù)的文件化程序,明確過程控制方法和人員職責(zé),必要時對恢復(fù)過程進(jìn)行演練。

7.2.5.11 備份與恢復(fù)管理(G3)本項(xiàng)要求包括: a)應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等;b)應(yīng)建立備份與恢復(fù)管理相關(guān)的安全管理制度,對備份信息的備份方式、備份頻度、存儲介質(zhì)和保存期等進(jìn)行規(guī)范;c)應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運(yùn)行的影響,制定數(shù)據(jù)的備份策略和恢復(fù)策略,備份策略須指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運(yùn)輸?shù)姆椒?d)應(yīng)建立控制數(shù)據(jù)備份和恢復(fù)過程的程序,對備份過程進(jìn)行記錄,所有文件和記錄應(yīng)妥善保存;e)應(yīng)定期執(zhí)行恢復(fù)程序,檢查和測試備份介質(zhì)的有效性,確?？梢栽诨謴?fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。

7.2.5.12 安全事件處置(G3)本項(xiàng)要求包括: a)應(yīng)報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件,但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn);b)應(yīng)制定安全事件報(bào)告和處置管理制度,明確安全事件的類型,規(guī)定安全事件的現(xiàn)場處理、事件報(bào)告和后期恢復(fù)的管理職責(zé);c)應(yīng)根據(jù)國家相關(guān)管理部門對計(jì)算機(jī)安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響,對本系統(tǒng)計(jì)算機(jī)安全事件進(jìn)行等級劃分;d)應(yīng)制定安全事件報(bào)告和響應(yīng)處理程序,確定事件的報(bào)告流程,響應(yīng)和處置的范圍、程度,以及處理方法等;e)應(yīng)在安全事件報(bào)告和響應(yīng)處理過程中,分析和鑒定事件產(chǎn)生的原因,收集證據(jù),記錄處理過程,總結(jié)經(jīng)驗(yàn)教訓(xùn),制定防止再次發(fā)生的補(bǔ)救措施,過程形成的CHISC.NET-國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

所有文件和記錄均應(yīng)妥善保存;f)對造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報(bào)告程序。

7.2.5.13 應(yīng)急預(yù)案管理(G3)本項(xiàng)要求包括: a)應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案,應(yīng)急預(yù)案框架應(yīng)包括啟動應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培訓(xùn)等內(nèi)容;b)應(yīng)從人力、設(shè)備、技術(shù)和財(cái)務(wù)等方面確保應(yīng)急預(yù)案的執(zhí)行有足夠的資源保障;c)應(yīng)對系統(tǒng)相關(guān)的人員進(jìn)行應(yīng)急預(yù)案培訓(xùn),應(yīng)急預(yù)案的培訓(xùn)應(yīng)至少每年舉辦一次;d)應(yīng)定期對應(yīng)急預(yù)案進(jìn)行演練,根據(jù)不同的應(yīng)急恢復(fù)內(nèi)容,確定演練的周期;e)應(yīng)規(guī)定應(yīng)急預(yù)案需要定期審查和根據(jù)實(shí)際情況更新的內(nèi)容,并按照執(zhí)行。

第二篇：國家信息安全等級保護(hù)制度

《信息安全等級保護(hù)管理辦法》 四部委下發(fā)公通字[2007]43號文 《信息安全等級保護(hù)管理辦法》是為規(guī)范信息安全等級保護(hù)管理，提高信息安全保障能力和水平，維護(hù)國家安全、社會穩(wěn)定和公共利益，保障和促進(jìn)信息化建設(shè)，根據(jù)《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》等有關(guān)法律法規(guī)而制定的辦法。由四部委下發(fā)，公通字200743號文。2 制定目的 規(guī)范信息安全等級保護(hù)管理。文號

公通字200743號文 第一章 總則 第一條

為規(guī)范信息安全等級保護(hù)管理，提高信息安全保障能力和水平，維護(hù)國家安全、社會穩(wěn)定和公共利益，保障和促進(jìn)信息化建設(shè)，根據(jù)《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》等有關(guān)法律法規(guī)，制定本辦法。第二條

國家通過制定統(tǒng)一的信息安全等級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，組織公民、法人和其他組織對信息系統(tǒng)分等級實(shí)行安全保護(hù)，對等級保護(hù)工作的實(shí)施進(jìn)行監(jiān)督、管理。第三條

公安機(jī)關(guān)負(fù)責(zé)信息安全等級保護(hù)工作的監(jiān)督、檢查、指導(dǎo)。國家保密工作部門負(fù)責(zé)等級保護(hù)工作中有關(guān)保密工作的監(jiān)督、檢查、指導(dǎo)。國家密碼管理部門負(fù)責(zé)等級保護(hù)工作中有關(guān)密碼工作的監(jiān)督、檢查、指導(dǎo)。涉及其他職能部門管轄范圍的事項(xiàng)，由有關(guān)職能部門依照國家法律法規(guī)的規(guī)定進(jìn)行管理。國務(wù)院信息化工作辦公室及地方信息化領(lǐng)導(dǎo)小組辦事機(jī)構(gòu)負(fù)責(zé)等級保護(hù)工作的部門間協(xié)調(diào)。第四條

信息系統(tǒng)主管部門應(yīng)當(dāng)依照本辦法及相關(guān)標(biāo)準(zhǔn)規(guī)范，督促、檢查、指導(dǎo)本行業(yè)、本部門或者本地區(qū)信息系統(tǒng)運(yùn)營、使用單位的信息安全等級保護(hù)工作。第五條

信息系統(tǒng)的運(yùn)營、使用單位應(yīng)當(dāng)依照本辦法及其相關(guān)標(biāo)準(zhǔn)規(guī)范，履行信息安全等級保護(hù)的義務(wù)和責(zé)任。

第二章 等級劃分與保護(hù) 第六條

國家信息安全等級保護(hù)堅(jiān)持自主定級、自主保護(hù)的原則。信息系統(tǒng)的安全保護(hù)等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。第七條

信息系統(tǒng)的安全保護(hù)等級分為以下五級：

第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。

第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對社會秩序和公共利益造成損害，但不損害國家安全。

第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重?fù)p害，或者對國家安全造 1

成損害。

第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對國家安全造成嚴(yán)重?fù)p害。

第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴(yán)重?fù)p害。第八條

信息系統(tǒng)運(yùn)營、使用單位依據(jù)本辦法和相關(guān)技術(shù)標(biāo)準(zhǔn)對信息系統(tǒng)進(jìn)行保護(hù)，國家有關(guān)信息安全監(jiān)管部門對其信息安全等級保護(hù)工作進(jìn)行監(jiān)督管理。

第一級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。第二級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行指導(dǎo)。第三級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行監(jiān)督、檢查。第四級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范、技術(shù)標(biāo)準(zhǔn)和業(yè)務(wù)專門需求進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行強(qiáng)制監(jiān)督、檢查。第五級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范、技術(shù)標(biāo)準(zhǔn)和業(yè)務(wù)特殊安全需求進(jìn)行保護(hù)。國家指定專門部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行專門監(jiān)督、檢查。第三章等級保護(hù)的實(shí)施與管理 第九條

信息系統(tǒng)運(yùn)營、用單位應(yīng)當(dāng)按照《信息系統(tǒng)安全等級保護(hù)實(shí)施指南》 具體實(shí)施等級保護(hù)工作。第十條

信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)本辦法和《信息系統(tǒng)安全等級保護(hù)定級指南》確定信息系統(tǒng)的安全保護(hù)等級。有主管部門的，應(yīng)當(dāng)經(jīng)主管部門審核批準(zhǔn)?？缡』蛘呷珖y(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安全保護(hù)等級。對擬確定為第四級以上信息系統(tǒng)的，運(yùn)營、使用單位或者主管部門應(yīng)當(dāng)請國家信息安全保護(hù) 等級專家評審委員會評審。第十一條

信息系統(tǒng)的安全保護(hù)等級確定后，運(yùn)營、使用單位應(yīng)當(dāng)按照國家信息安全等級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，使用符合國家有關(guān)規(guī)定，滿足信息系統(tǒng)安全保護(hù)等級需求的信息技術(shù)產(chǎn)品，開展信息系統(tǒng)安全建設(shè)或者改建工作。第十二條

在信息系統(tǒng)建設(shè)過程中，運(yùn)營、使用單位應(yīng)當(dāng)按照《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》（GB17859-1999）、《信息系統(tǒng)安全等級保護(hù)基本要求》等技術(shù)標(biāo)準(zhǔn)，參照《信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求》（GB/T20271-2006）、《信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》（GB/T20270-2006）、《信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求》（GB/T20272-2006）、《信息安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求》（GB/T20273-2006）、《信息安全技術(shù)服務(wù)器技術(shù)要求》、《信息安全技術(shù)終端計(jì)算機(jī)系統(tǒng)安全等級技術(shù)要求》（GA/T671-2006）等技術(shù)標(biāo)準(zhǔn)同步建設(shè)符合該等級要求的信息安全設(shè)施。第十三條

運(yùn)營、使用單位應(yīng)當(dāng)參照《信息安全技術(shù) 信息系統(tǒng)安全管理要求》（GB/T20269-2006）、《信息安全技術(shù)信息系統(tǒng)安全工程管理要求》（GB/T20282-2006）、《信息系統(tǒng)安全等級保護(hù)基本要求》等管理規(guī)范，制定并落實(shí)符合本系統(tǒng)安全保護(hù)等級要求的安全管理制度。第十四條

信息系統(tǒng)建設(shè)完成后，運(yùn)營、使用單位或者其主管部門應(yīng)當(dāng)選擇符合本辦法規(guī)定條件的測評機(jī)構(gòu)，依據(jù)《信息系統(tǒng)安全等級保護(hù)測評要求》等技術(shù)標(biāo)準(zhǔn)，定期對信息系統(tǒng)安全等級狀況開展等級測評。

第三級信息系統(tǒng)應(yīng)當(dāng)每年至少進(jìn)行一次等級測評，第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進(jìn)行一次等級測評，第五級信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進(jìn)行等級測評。信息系統(tǒng)運(yùn)營、使用單位及其主管部門應(yīng)當(dāng)定期對信息系統(tǒng)安全狀況、安全保護(hù)制度及措施的落實(shí)情況進(jìn)行自查。第三級信息系統(tǒng)應(yīng)當(dāng)每年至少進(jìn)行一次自查，第四級信息系統(tǒng)應(yīng)當(dāng)每 半年至少進(jìn)行一次自查，第五級信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進(jìn)行自查。經(jīng)測評或者自查，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級要求的，運(yùn)營、使用單位應(yīng)當(dāng)制定方案進(jìn)行整改。第十五條

已運(yùn)營（運(yùn)行）的第二級以上信息系統(tǒng)，應(yīng)當(dāng)在安全保護(hù)等級確定后30 日內(nèi)，由其運(yùn)營、使用單位到所在地設(shè)區(qū)的市級以上公安機(jī)關(guān)辦理備案手續(xù)。新建第二級以上信息系統(tǒng)，應(yīng)當(dāng)在投入運(yùn)行后30日內(nèi)，由其運(yùn)營、使用單位到所在地設(shè)區(qū)的市級以上公安機(jī)關(guān)辦理備案手續(xù)。隸屬于中央的在京單位，其跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行并由主管部門統(tǒng)一定級的信息系統(tǒng)，由主管部門向公安部辦理備案手續(xù)?？缡』蛘呷珖y(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)在各地運(yùn)行、應(yīng)用的分支系統(tǒng)，應(yīng)當(dāng)向當(dāng)?shù)卦O(shè)區(qū)的市級以上公安機(jī)關(guān)備案。第十六條

辦理信息系統(tǒng)安全保護(hù)等級備案手續(xù)時，應(yīng)當(dāng)填寫《信息系統(tǒng)安全等級保護(hù)備案表》，第三級以上信息系統(tǒng)應(yīng)當(dāng)同時提供以下材料：

（一）系統(tǒng)拓?fù)浣Y(jié)構(gòu)及說明；

（二）系統(tǒng)安全組織機(jī)構(gòu)和管理制度；

（三）系統(tǒng)安全保護(hù)設(shè)施設(shè)計(jì)實(shí)施方案或者改建實(shí)施方案；

（四）系統(tǒng)使用的信息安全產(chǎn)品清單及其認(rèn)證、銷售許可證明；

（五）測評后符合系統(tǒng)安全保護(hù)等級的技術(shù)檢測評估報(bào)告；

（六）信息系統(tǒng)安全保護(hù)等級專家評審意見；

（七）主管部門審核批準(zhǔn)信息系統(tǒng)安全保護(hù)等級的意見。

第十七條

信息系統(tǒng)備案后，公安機(jī)關(guān)應(yīng)當(dāng)對信息系統(tǒng)的備案情況進(jìn)行審核，對符合等級保護(hù)要求的，應(yīng)當(dāng)在收到備案材料之日起的10個工作日內(nèi)頒發(fā)信息系統(tǒng)安全等級保護(hù)備案證明；發(fā)現(xiàn)不符合本辦法及有關(guān)標(biāo)準(zhǔn)的，應(yīng)當(dāng)在收到備案材料之日起的10個工作日內(nèi)通知備案單位予以 糾正；發(fā)現(xiàn)定級不準(zhǔn)的，應(yīng)當(dāng)在收到備案材料之日起的10個工作日內(nèi)通知備案單位重新審核確定。運(yùn)營、使用單位或者主管部門重新確定信息系統(tǒng)等級后，應(yīng)當(dāng)按照本辦法向公安機(jī)關(guān)重新備案。第十八條

受理備案的公安機(jī)關(guān)應(yīng)當(dāng)對第三級、第四級信息系統(tǒng)的運(yùn)營、使用單位的信息安全等級保護(hù)工作情況進(jìn)行檢查。對第三級信息系統(tǒng)每年至少檢查一次，對第四級信息系統(tǒng)每半年至少檢查一次。對跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)的檢查，應(yīng)當(dāng)會同其主管部門進(jìn)行。對第五級信息系統(tǒng)，應(yīng)當(dāng)由國家指定的專門部門進(jìn)行檢查。公安機(jī)關(guān)、國家指定的專門部門應(yīng)當(dāng)對下列事項(xiàng)進(jìn)行檢查：

（一）系統(tǒng)安全需求是否發(fā)生變化，原定保護(hù)等級是否準(zhǔn)確；

（二）運(yùn)營、使用單位安全管理制度、措施的落實(shí)情況；

（三）運(yùn)營、使用單位及其主管部門對信息系統(tǒng)安全狀況的檢查情況；

（四）系統(tǒng)安全等級測評是否符合要求；

（五）信息安全產(chǎn)品使用是否符合要求；

（六）對信息系統(tǒng)開展等級測評的技術(shù)測評報(bào)告；

（七）信息安全產(chǎn)品使用的變更情況；

（八）信息安全事件應(yīng)急預(yù)案，信息安全事件應(yīng)急處置結(jié)果報(bào)告；

（九）信息系統(tǒng)安全建設(shè)、整改結(jié)果報(bào)告。

第二十條

公安機(jī)關(guān)檢查發(fā)現(xiàn)信息系統(tǒng)安全保護(hù)狀況不符合信息安全等級保護(hù)有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的，應(yīng)當(dāng)向運(yùn)營、使用單位發(fā)出整改通知。運(yùn)營、使用單位應(yīng)當(dāng)根據(jù)整改通知要求，按照管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行整改。整改完成后，應(yīng)當(dāng)將整改報(bào)告向公安機(jī)關(guān)備案。必要時，公安機(jī)關(guān)可以對整改情況組織檢查。

第二十一條

第三級以上信息系統(tǒng)應(yīng)當(dāng)選擇使用符合以下條件的信息安全產(chǎn)品：

（一）產(chǎn)品研制、生產(chǎn)單位是由中國公民、法人投資或者國家投資或者控股的，在中華人民 共和國境內(nèi)具有獨(dú)立的法人資格；

（二）產(chǎn)品的核心技術(shù)、關(guān)鍵部件具有我國自主知識產(chǎn)權(quán)；

（三）產(chǎn)品研制、生產(chǎn)單位及其主要業(yè)務(wù)、技術(shù)人員無犯罪記錄；

（四）產(chǎn)品研制、生產(chǎn)單位聲明沒有故意留有或者設(shè)置漏洞、后門、木馬等程序和功能；

（五）對國家安全、社會秩序、公共利益不構(gòu)成危害；

（六）對已列入信息安全產(chǎn)品認(rèn)證目錄的，應(yīng)當(dāng)取得國家信息安全產(chǎn)品認(rèn)證機(jī)構(gòu)頒發(fā)的認(rèn)證證書。第二十二條

第三級以上信息系統(tǒng)應(yīng)當(dāng)選擇符合下列條件的等級保護(hù)測評機(jī)構(gòu)進(jìn)行測評：

（一）在中華人民共和國境內(nèi)注冊成立（港澳臺地區(qū)除外）；

（二）由中國公民投資、中國法人投資或者國家投資的企事業(yè)單位（港澳臺地區(qū)除外）；

（三）從事相關(guān)檢測評估工作兩年以上，無違法記錄；

（四）工作人員僅限于中國公民；

（五）法人及主要業(yè)務(wù)、技術(shù)人員無犯罪記錄；

（六）使用的技術(shù)裝備、設(shè)施應(yīng)當(dāng)符合本辦法對信息安全產(chǎn)品的要求；

（七）具有完備的保密管理、項(xiàng)目管理、質(zhì)量管理、人員管理和培訓(xùn)教育等安全管理制度；

（八）對國家安全、社會秩序、公共利益不構(gòu)成威脅。第二十三條

從事信息系統(tǒng)安全等級測評的機(jī)構(gòu)，應(yīng)當(dāng)履行下列義務(wù)：

（一）遵守國家有關(guān)法律法規(guī)和技術(shù)標(biāo)準(zhǔn)，提供安全、客觀、公正的檢測評估服務(wù)，保證測評的質(zhì)量和效果；

（二）保守在測評活動中知悉的國家秘密、商業(yè)秘密和個人隱私，防范測評風(fēng)險(xiǎn)；

（三）對測評人員進(jìn)行安全保密教育，與其簽訂安全保密責(zé)任書，規(guī)定應(yīng)當(dāng)履行的安全保密義務(wù)和承擔(dān)的法律責(zé)任，并負(fù)責(zé)檢查落實(shí)。第四章 涉密信息系統(tǒng)的分級保護(hù)管理

第二十四條

涉密信息系統(tǒng)應(yīng)當(dāng)依據(jù)國家信息安全等級保護(hù)的基本要求，按照國家保密工作部門有關(guān)涉密信息系統(tǒng)分級保護(hù)的管理規(guī)定和技術(shù)標(biāo)準(zhǔn)，結(jié)合系統(tǒng)實(shí)際情況進(jìn)行保護(hù)。非涉密信息系統(tǒng)不得處理國家秘密信息。第二十五條

涉密信息系統(tǒng)按照所處理信息的最高密級，由低到高分為秘密、機(jī)密、絕密三個等級。涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當(dāng)在信息規(guī)范定密的基礎(chǔ)上，依據(jù)涉密信息系統(tǒng)分級保護(hù)管理辦法和國家保密標(biāo)準(zhǔn)BMB17-2006《涉及國家秘密的計(jì)算機(jī)信息系統(tǒng)分級保護(hù)技術(shù)要求》確 定系統(tǒng)等級。對于包含多個安全域的涉密信息系統(tǒng)，各安全域可以分別確定保護(hù)等級。保密工作部門和機(jī)構(gòu)應(yīng)當(dāng)監(jiān)督指導(dǎo)涉密信息系統(tǒng)建設(shè)使用單位準(zhǔn)確、合理地進(jìn)行系統(tǒng)定級。第二十六條

涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當(dāng)將涉密信息系統(tǒng)定級和建設(shè)使用情況，及時上報(bào)業(yè)務(wù)主管部門的保密工作機(jī)構(gòu)和負(fù)責(zé)系統(tǒng)審批的保密工作部門備案，并接受保密部門的監(jiān)督、檢查、指導(dǎo)。

第二十七條

涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當(dāng)選擇具有涉密集成資質(zhì)的單位承擔(dān)或者參與涉密信息系統(tǒng)的設(shè)計(jì)與實(shí)施。涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當(dāng)依據(jù)涉密信息系統(tǒng)分級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，按照秘密、機(jī)密、絕密三級的不同要求，結(jié)合系統(tǒng)實(shí)際進(jìn)行方案設(shè)計(jì)，實(shí)施分級保護(hù)，其保護(hù)水平

總體上不低于國家信息安全等級保護(hù)第三級、第四級、第五級的水平。第二十八條

涉密信息系統(tǒng)使用的信息安全保密產(chǎn)品原則上應(yīng)當(dāng)選用國產(chǎn)品，并應(yīng)當(dāng)通過國家保密局授權(quán)的檢測機(jī)構(gòu)依據(jù)有關(guān)國家保密標(biāo)準(zhǔn)進(jìn)行的檢測，通過檢測的產(chǎn)品由國家保密局審核發(fā)布目錄。

第二十九條

涉密信息系統(tǒng)建設(shè)使用單位在系統(tǒng)工程實(shí)施結(jié)束后，應(yīng)當(dāng)向保密工作部門提出申請，由國家保密局授權(quán)的系統(tǒng)測評機(jī)構(gòu)依據(jù)國家保密標(biāo)準(zhǔn)BMB22-2007《涉及國家秘密的計(jì)算機(jī)信息系統(tǒng)分級保護(hù)測評指南》，對涉密信息系統(tǒng)進(jìn)行安全保密測評。涉密信息系統(tǒng)建設(shè)使用單位在系統(tǒng)投入使用前，應(yīng)當(dāng)按照《涉及國家秘密的信息系統(tǒng)審批管理規(guī)定》，向設(shè)區(qū)的市級以上保密工作部門申請進(jìn)行系統(tǒng)審批，涉密信息系統(tǒng)通過審批后方可投入使用。已投入使用的涉密信息系統(tǒng)，其建設(shè)使用單位在按照分級保護(hù)要求完成系統(tǒng)整改后，應(yīng)當(dāng)向保密工作部門備案。

第三十條

涉密信息系統(tǒng)建設(shè)使用單位在申請系統(tǒng)審批或者備案時，應(yīng)當(dāng)提交以下材料：

（一）系統(tǒng)設(shè)計(jì)、實(shí)施方案及審查論證意見；

（二）系統(tǒng)承建單位資質(zhì)證明材料；

（三）系統(tǒng)建設(shè)和工程監(jiān)理情況報(bào)告；

（四）系統(tǒng)安全保密檢測評估報(bào)告；

（五）系統(tǒng)安全保密組織機(jī)構(gòu)和管理制度情況；

（六）其他有關(guān)材料。第三十一條

涉密信息系統(tǒng)發(fā)生涉密等級、連接范圍、環(huán)境設(shè)施、主要應(yīng)用、安全保密管理責(zé)任單位變更時，其建設(shè)使用單位應(yīng)當(dāng)及時向負(fù)責(zé)審批的保密工作部門報(bào)告。保密工作部門應(yīng)當(dāng)根據(jù)實(shí)際情況，決定是否對其重新進(jìn)行測評和審批。第三十二條

涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當(dāng)依據(jù)國家保密標(biāo)準(zhǔn)BMB20-2007《涉及國家秘密的信息系統(tǒng)分級保護(hù)管理規(guī)范》，加強(qiáng)涉密信息系統(tǒng)運(yùn)行中的保密管理，定期進(jìn)行風(fēng)險(xiǎn)評估，消除泄密隱患和漏洞。第三十三條

國家和地方各級保密工作部門依法對各地區(qū)、各部門涉密信息系統(tǒng)分級保護(hù)工作實(shí)施監(jiān)督管理，并做好以下工作：

（一）指導(dǎo)、監(jiān)督和檢查分級保護(hù)工作的開展；

（二）指導(dǎo)涉密信息系統(tǒng)建設(shè)使用單位規(guī)范信息定密，合理確定系統(tǒng)保護(hù)等級；

（三）參與涉密信息系統(tǒng)分級保護(hù)方案論證，指導(dǎo)建設(shè)使用單位做好保密設(shè)施的同步規(guī)劃設(shè)計(jì)；

（四）依法對涉密信息系統(tǒng)集成資質(zhì)單位進(jìn)行監(jiān)督管理；

（五）嚴(yán)格進(jìn)行系統(tǒng)測評和審批工作，監(jiān)督檢查涉密信息系統(tǒng)建設(shè)使用單位分級保護(hù)管理制度和技術(shù)措施的落實(shí)情況；

（六）加強(qiáng)涉密信息系統(tǒng)運(yùn)行中的保密監(jiān)督檢查。對秘密級、機(jī)密級信息系統(tǒng)每兩年至少進(jìn)行一次保密檢查或者系統(tǒng)測評，對絕密級信息系統(tǒng)每年至少進(jìn)行一次保密檢查或者系統(tǒng)測評；

（七）了解掌握各級各類涉密信息系統(tǒng)的管理使用情況，及時發(fā)現(xiàn)和查處各種違規(guī)違法行為和泄密事件。第五章

信息安全等級保護(hù)的密碼管理 第三十四條

國家密碼管理部門對信息安全等級保護(hù)的密碼實(shí)行分類分級管理。

根據(jù)被保護(hù)對象在國家安全、社會穩(wěn)定、經(jīng)濟(jì)建設(shè)中的作用和重要程度，被保護(hù)對象的安全防護(hù)要求和涉密程度，被保護(hù)對象被破壞后的危害程度以及密碼使用部門的性質(zhì)等，確定密碼的等級保護(hù)準(zhǔn)則。信息系統(tǒng)運(yùn)營、使用單位采用密碼進(jìn)行等級保護(hù)的，應(yīng)當(dāng)遵照《信息安全等級保護(hù)密碼管理辦法》、《信息安全等級保護(hù)商用密碼技術(shù)要求》等密碼管理規(guī)定和相關(guān)標(biāo)準(zhǔn)。第三十五條

信息系統(tǒng)安全等級保護(hù)中密碼的配備、使用和管理等，應(yīng)當(dāng)嚴(yán)格執(zhí)行國家密碼管理的有關(guān)規(guī)定。

第三十六條

信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)充分運(yùn)用密碼技術(shù)對信息系統(tǒng)進(jìn)行保護(hù)。采用密碼對涉及國家秘密的信息和信息系統(tǒng)進(jìn)行保護(hù)的，應(yīng)報(bào)經(jīng)國家密碼管理局審批，密碼的設(shè)計(jì)、實(shí)施、使用、運(yùn)行維護(hù)和日常管理等，應(yīng)當(dāng)按照國家密碼管理有關(guān)規(guī)定和相關(guān)標(biāo)準(zhǔn)執(zhí)行；采用密碼對不涉及國家秘密的信息和信息系統(tǒng)進(jìn)行保護(hù)的，須遵守《商用密碼管理?xiàng)l例》和密碼分類分級保護(hù)有關(guān)規(guī)定與相關(guān)標(biāo)準(zhǔn)，其密碼的配備使用情況應(yīng)當(dāng)向國家密碼管理機(jī)構(gòu)備案。第三十七條

運(yùn)用密碼技術(shù)對信息系統(tǒng)進(jìn)行系統(tǒng)等級保護(hù)建設(shè)和整改的，必須采用經(jīng)國家密碼管理部門批準(zhǔn)使用或者準(zhǔn)于銷售的密碼產(chǎn)品進(jìn)行安全保護(hù)，不得采用國外引進(jìn)或者擅自研制的密碼產(chǎn)品；未經(jīng)批準(zhǔn)不得采用含有加密功能的進(jìn)口信息技術(shù)產(chǎn)品。第三十八條

信息系統(tǒng)中的密碼及密碼設(shè)備的測評工作由國家密碼管理局認(rèn)可的測評機(jī)構(gòu)承擔(dān)，其他任何部門、單位和個人不得對密碼進(jìn)行評測和監(jiān)控。第三十九條

各級密碼管理部門可以定期或者不定期對信息系統(tǒng)等級保護(hù)工作中密碼配備、使用和管理的情況進(jìn)行檢查和測評，對重要涉密信息系統(tǒng)的密碼配備、使用和管理情況每兩年至少進(jìn)行一次檢查和測評。在監(jiān)督檢查過程中，發(fā)現(xiàn)存在安全隱患或者違反密碼管理相關(guān)規(guī)定或者未達(dá) 到密碼相關(guān)標(biāo)準(zhǔn)要求的，應(yīng)當(dāng)按照國家密碼管理的相關(guān)規(guī)定進(jìn)行處置。第六章 法律責(zé)任 第四十條

第三級以上信息系統(tǒng)運(yùn)營、使用單位違反本辦法規(guī)定，有下列行為之一的，由公安機(jī)關(guān)、國家保密工作部門和國家密碼工作管理部門按照職責(zé)分工責(zé)令其限期改正；逾期不改正的，給予警告，并向其上級主管部門通報(bào)情況，建議對其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員予以處理，并及時反饋處理結(jié)果：

（一）未按本辦法規(guī)定備案、審批的；

（二）未按本辦法規(guī)定落實(shí)安全管理制度、措施的；

（三）未按本辦法規(guī)定開展系統(tǒng)安全狀況檢查的；

（四）未按本辦法規(guī)定開展系統(tǒng)安全技術(shù)測評的；

（五）接到整改通知后，拒不整改的；

（六）未按本辦法規(guī)定選擇使用信息安全產(chǎn)品和測評機(jī)構(gòu)的；

（七）未按本辦法規(guī)定如實(shí)提供有關(guān)文件和證明材料的；

（八）違反保密管理規(guī)定的；

（九）違反密碼管理規(guī)定的；

（十）違反本辦法其他規(guī)定的。

違反前款規(guī)定，造成嚴(yán)重?fù)p害的，由相關(guān)部門依照有關(guān)法律、法規(guī)予以處理。第四十一條

信息安全監(jiān)管部門及其工作人員在履行監(jiān)督管理職責(zé)中，玩忽職守、濫用職權(quán)、徇私舞弊的，依法給予行政處分；構(gòu)成犯罪的，依法追究刑事責(zé)任。第七章 附則

第四十二條

已運(yùn)行信息系統(tǒng)的運(yùn)營、使用單位自本辦法施行之日起180日內(nèi)確定信息系統(tǒng)的安全保護(hù)等級；新建信息系統(tǒng)在設(shè)計(jì)、規(guī)劃階段確定安全保護(hù)等級。第四十三條本辦法所稱“以上”包含本數(shù)（級）。第四十四條本辦法自發(fā)布之日起施行，《信息安全等級保護(hù)管理辦法（試行）》（公通字[2006]7 7

號）同時廢止。

第三篇：國家信息安全等級保護(hù)制度介紹

CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺 的信息安全等級保護(hù)工作。各地級以上市參照成立相應(yīng)工作機(jī)制。重要信息系統(tǒng)運(yùn)營使用單位成立信息安全等級保護(hù)工作組，負(fù)責(zé)組織本單位的信息系統(tǒng)安全等級保護(hù)工作。

四、信息安全等級保護(hù)等級劃分和監(jiān)管方式

（一）信息系統(tǒng)的安全保護(hù)等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。信息系統(tǒng)的安全保護(hù)等級分為以下五級：

第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。

第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對社會秩序和公共利益造成損害，但不損害國家安全。

第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重?fù)p害，或者對國家安全造成損害。

第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對國家安全造成嚴(yán)重?fù)p害。

第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴(yán)重?fù)p害。

（二）信息系統(tǒng)運(yùn)營、使用單位依據(jù)本辦法和相關(guān)技術(shù)標(biāo)準(zhǔn)對信息系統(tǒng)進(jìn)行保護(hù)，國家有關(guān)信息安全監(jiān)管部門對其信息安全等級保護(hù)工作進(jìn)行監(jiān)督管理。

第一級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。

第二級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行指導(dǎo)。

第三級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行監(jiān)督、檢查。

第四級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家有關(guān)管理規(guī)范、技術(shù)標(biāo)準(zhǔn)和業(yè)務(wù)專門需求進(jìn)行保護(hù)。國家信息安全監(jiān)管部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行強(qiáng)制監(jiān)督、檢查。

第五級信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)國家管理規(guī)范、技術(shù)標(biāo)準(zhǔn)和業(yè)務(wù)特殊安全需求進(jìn)行保護(hù)。國家指定專門部門對該級信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行專門監(jiān)督、檢查。

五、信息安全等級保護(hù)制度的原則

信息安全等級保護(hù)的核心是對信息安全分等級、按標(biāo)準(zhǔn)進(jìn)行建設(shè)、管理和監(jiān)督。信息安 CHISC.NET國內(nèi)第一醫(yī)療信息化網(wǎng)站 ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺

（五）依法履行備案手續(xù)。信息系統(tǒng)安全保護(hù)等級為第二級以上的信息系統(tǒng)運(yùn)營使用單位或主管部門應(yīng)當(dāng)在系統(tǒng)投入運(yùn)行后（新建系統(tǒng)）或確定等級后（已運(yùn)營的系統(tǒng)）30日內(nèi)到公安機(jī)關(guān)辦理備案手續(xù)；鼓勵第一級和第五級的信息系統(tǒng)到公安機(jī)關(guān)辦理備案手續(xù)。隸屬于中央的在京單位，其跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行并由主管部門統(tǒng)一定級的信息系統(tǒng)，由主管部門向公安部辦理備案手續(xù)。跨地區(qū)或全省統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)由省級主管部門組織向省公安廳備案。跨地區(qū)、跨省或者全省、全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)在各地運(yùn)行、應(yīng)用的分支系統(tǒng)，向地級以上市公安局備案。涉密信息系統(tǒng)建設(shè)使用單位依據(jù)《管理辦法》和國家保密局的有關(guān)規(guī)定，到保密工作部門備案。

（六）加強(qiáng)安全監(jiān)督檢查。公安機(jī)關(guān)應(yīng)當(dāng)會同有關(guān)部門加強(qiáng)對信息系統(tǒng)的監(jiān)督檢查，對未依法履行定級、備案手續(xù)的單位，督促其限期改正。發(fā)現(xiàn)定級不準(zhǔn)的，應(yīng)當(dāng)通知運(yùn)營使用單位或其主管部門重新審核確定。對安全措施不符合要求的，要指導(dǎo)其落實(shí)整改措施。各級保密工作部門加強(qiáng)對涉密信息系統(tǒng)安全等級保護(hù)工作的指導(dǎo)、監(jiān)督和檢查。國家密碼管理部門加強(qiáng)對信息安全等級保護(hù)密碼管理。

（七）建設(shè)技術(shù)支撐體系。省公安廳會同有關(guān)部門根據(jù)《管理辦法》建立健全管理制度，向社會推薦一批符合要求的安全專用產(chǎn)品、安全測評機(jī)構(gòu)。組織開展繼續(xù)教育工作，加強(qiáng)對安全專業(yè)技術(shù)人員的培訓(xùn)，提高信息系統(tǒng)運(yùn)營使用單位和主管部門以及安全專用產(chǎn)品研發(fā)機(jī)構(gòu)、安全服務(wù)機(jī)構(gòu)安全專業(yè)技術(shù)人員的技術(shù)和法律知識水平。

（八）健全長效工作機(jī)制。在信息安全等級保護(hù)職能部門、信息系統(tǒng)主管部門、運(yùn)營使用單位間建立暢通的聯(lián)絡(luò)機(jī)制。落實(shí)信息系統(tǒng)主管部門對運(yùn)營使用單位的監(jiān)督指導(dǎo)責(zé)任，建立職能部門、主管部門對信息系統(tǒng)的定期監(jiān)督檢查機(jī)制。爭取省人大和省政府法制辦公室支持，制訂《廣東省計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》及實(shí)施細(xì)則，使信息安全等級保護(hù)工作獲得地方立法的支撐。

第四篇：信息安全等級保護(hù)

信息安全等級保護(hù)(二級)信息安全等級保護(hù)(二級)備注：其中黑色字體為信息安全等級保護(hù)第二級系統(tǒng)要求，藍(lán)色字體為第三級系統(tǒng)等保要求。

一、物理安全

1、應(yīng)具有機(jī)房和辦公場地的設(shè)計(jì)/驗(yàn)收文檔（機(jī)房場地的選址說明、地線連接要求的描述、建筑材料具有相應(yīng)的耐火等級說明、接地防靜電措施）

2、應(yīng)具有有來訪人員進(jìn)入機(jī)房的申請、審批記錄；來訪人員進(jìn)入機(jī)房的登記記錄

3、應(yīng)配置電子門禁系統(tǒng)(三級明確要求)；電子門禁系統(tǒng)有驗(yàn)收文檔或產(chǎn)品安全認(rèn)證資質(zhì)，電子門禁系統(tǒng)運(yùn)行和維護(hù)記錄

4、主要設(shè)備或設(shè)備的主要部件上應(yīng)設(shè)置明顯的不易除去的標(biāo)記

5、介質(zhì)有分類標(biāo)識；介質(zhì)分類存放在介質(zhì)庫或檔案室內(nèi)，磁介質(zhì)、紙介質(zhì)等分類存放

6、應(yīng)具有攝像、傳感等監(jiān)控報(bào)警系統(tǒng)；機(jī)房防盜報(bào)警設(shè)施的安全資質(zhì)材料、安裝測試和驗(yàn)收報(bào)告；機(jī)房防盜報(bào)警系統(tǒng)的運(yùn)行記錄、定期檢查和維護(hù)記錄；

7、應(yīng)具有機(jī)房監(jiān)控報(bào)警設(shè)施的安全資質(zhì)材料、安裝測試和驗(yàn)收報(bào)告；機(jī)房監(jiān)控報(bào)警系統(tǒng)的運(yùn)行記錄、定期檢查和維護(hù)記錄

8、應(yīng)具有機(jī)房建筑的避雷裝置；通過驗(yàn)收或國家有關(guān)部門的技術(shù)檢測；

9、應(yīng)在電源和信號線上增加有資質(zhì)的防雷保安器；具有防雷檢測資質(zhì)的檢測部門對防雷裝置的檢測報(bào)告

10、應(yīng)具有自動檢測火情、自動報(bào)警、自動滅火的自動消防系統(tǒng)；自動消防系統(tǒng)的運(yùn)行記錄、檢查和定期維護(hù)記錄；消防產(chǎn)品有效期合格；自動消防系統(tǒng)是經(jīng)消防檢測部門檢測合格的產(chǎn)品

11、應(yīng)具有除濕裝置；空調(diào)機(jī)和加濕器；溫濕度定期檢查和維護(hù)記錄

12、應(yīng)具有水敏感的檢測儀表或元件；對機(jī)房進(jìn)行防水檢測和報(bào)警；防水檢測裝置的運(yùn)行記錄、定期檢查和維護(hù)記錄

13、應(yīng)具有溫濕度自動調(diào)節(jié)設(shè)施；溫濕度自動調(diào)節(jié)設(shè)施的運(yùn)行記錄、定期檢查和維護(hù)記錄

14、應(yīng)具有短期備用電力供應(yīng)設(shè)備（如UPS）；短期備用電力供應(yīng)設(shè)備的運(yùn)行記錄、定期檢查和維護(hù)記錄

15、應(yīng)具有冗余或并行的電力電纜線路（如雙路供電方式）

16、應(yīng)具有備用供電系統(tǒng)（如備用發(fā)電機(jī)）；備用供電系統(tǒng)運(yùn)行記錄、定期檢查和維護(hù)記錄

二、安全管理制度

1、應(yīng)具有對重要管理操作的操作規(guī)程，如系統(tǒng)維護(hù)手冊和用戶操作規(guī)程

2、應(yīng)具有安全管理制度的制定程序：

3、應(yīng)具有專門的部門或人員負(fù)責(zé)安全管理制度的制定（發(fā)布制度具有統(tǒng)一的格式，并進(jìn)行版本控制）

4、應(yīng)對制定的安全管理制度進(jìn)行論證和審定，論證和審定方式如何（如召開評審會、函審、內(nèi)部審核等），應(yīng)具有管理制度評審記錄

5、應(yīng)具有安全管理制度的收發(fā)登記記錄，收發(fā)應(yīng)通過正式、有效的方式（如正式發(fā)文、領(lǐng)導(dǎo)簽署和單位蓋章等）----安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進(jìn)行登記。

6、信息安全領(lǐng)導(dǎo)小組定期對安全管理制度體系的合理性和適用性進(jìn)行審定，審定周期多長。（安全管理制度體系的評審記錄）

7、系統(tǒng)發(fā)生重大安全事故、出現(xiàn)新的安全漏洞以及技術(shù)基礎(chǔ)結(jié)構(gòu)和組織結(jié)構(gòu)等發(fā)生變更時應(yīng)對安全管理制度進(jìn)行檢查，對需要改進(jìn)的制度進(jìn)行修訂。（應(yīng)具有安全管理制度修訂記錄）

三、安全管理機(jī)構(gòu)

1、應(yīng)設(shè)立信息安全管理工作的職能部門

2、應(yīng)設(shè)立安全主管、安全管理各個方面的負(fù)責(zé)人

3、應(yīng)設(shè)立機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等重要崗位（分工明確，各司其職），數(shù)量情況（管理人員名單、崗位與人員對應(yīng)關(guān)系表）

4、安全管理員應(yīng)是專職人員

5、關(guān)鍵事物需要配備2人或2人以上共同管理，人員具體配備情況如何。

6、應(yīng)設(shè)立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組（最高領(lǐng)導(dǎo)是否由單位主管領(lǐng)導(dǎo)委任或授權(quán)的人員擔(dān)任）

7、應(yīng)對重要信息系統(tǒng)活動進(jìn)行審批（如系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入、重要管理制度的制定和發(fā)布、人員的配備和培訓(xùn)、產(chǎn)品的采購、外部人員的訪問等），審批部門是何部門，審批人是何人。審批程序：

8、應(yīng)與其它部門之間及內(nèi)部各部門管理人員定期進(jìn)行溝通（信息安全領(lǐng)導(dǎo)小組或者安全管理委員會應(yīng)定期召開會議）

9、應(yīng)組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的安全工作會議文件或會議記錄，定期：

10、信息安全管理委員會或領(lǐng)導(dǎo)小組安全管理工作執(zhí)行情況的文件或工作記錄（如會議記錄/紀(jì)要，信息安全工作決策文檔等）

11、應(yīng)與公安機(jī)關(guān)、電信公司和兄弟單位等的溝通合作（外聯(lián)單位聯(lián)系列表）

12、應(yīng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織等建立溝通、合作機(jī)制。

13、聘請信息安全專家作為常年的安全顧問（具有安全顧問名單或者聘請安全顧問的證明文件、具有安全顧問參與評審的文檔或記錄）

14、應(yīng)組織人員定期對信息系統(tǒng)進(jìn)行安全檢查（查看檢查內(nèi)容是否包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況）

15、應(yīng)定期進(jìn)行全面安全檢查（安全檢查是否包含現(xiàn)行技術(shù)措施有效性和管理制度執(zhí)行情況等方面、具有安全檢查表格，安全檢查報(bào)告，檢查結(jié)果通告記錄）

四、人員安全管理

1、何部門/何人負(fù)責(zé)安全管理和技術(shù)人員的錄用工作（錄用過程）

2、應(yīng)對被錄用人的身份、背景、專業(yè)資格和資質(zhì)進(jìn)行審查，對技術(shù)人員的技術(shù)技能進(jìn)行考核，技能考核文檔或記錄

3、應(yīng)與錄用后的技術(shù)人員簽署保密協(xié)議（協(xié)議中有保密范圍、保密責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容）

4、應(yīng)設(shè)定關(guān)鍵崗位，對從事關(guān)鍵崗位的人員是否從內(nèi)部人員中選拔，是否要求其簽署崗位安全協(xié)議。

5、應(yīng)及時終止離崗人員的所有訪問權(quán)限（離崗人員所有訪問權(quán)限終止的記錄）

6、應(yīng)及時取回離崗人員的各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備等（交還身份證件和設(shè)備等的登記記錄）

7、人員離崗應(yīng)辦理調(diào)離手續(xù)，是否要求關(guān)鍵崗位調(diào)離人員承諾相關(guān)保密義務(wù)后方可離開（具有按照離崗程序辦理調(diào)離手續(xù)的記錄，調(diào)離人員的簽字）

8、對各個崗位人員應(yīng)定期進(jìn)行安全技能考核；具有安全技能考核記錄，考核內(nèi)容要求包含安全知識、安全技能等。

9、對關(guān)鍵崗位人員的安全審查和考核與一般崗位人員有何不同，審查內(nèi)容是否包括操作行為和社會關(guān)系等。

10、應(yīng)對各類人員（普通用戶、運(yùn)維人員、單位領(lǐng)導(dǎo)等）進(jìn)行安全教育、崗位技能和安全技術(shù)培訓(xùn)。

11、應(yīng)針對不同崗位制定不同的培訓(xùn)計(jì)劃，并按照計(jì)劃對各個崗位人員進(jìn)行安全教育和培訓(xùn)（安全教育和培訓(xùn)的結(jié)果記錄，記錄應(yīng)與培訓(xùn)計(jì)劃一致）

12、外部人員進(jìn)入條件（對哪些重要區(qū)域的訪問須提出書面申請批準(zhǔn)后方可進(jìn)入），外部人員進(jìn)入的訪問控制（由專人全程陪同或監(jiān)督等）

13、應(yīng)具有外部人員訪問重要區(qū)域的書面申請

14、應(yīng)具有外部人員訪問重要區(qū)域的登記記錄（記錄描述了外部人員訪問重要區(qū)域的進(jìn)入時間、離開時間、訪問區(qū)域、訪問設(shè)備或信息及陪同人等）

五、系統(tǒng)建設(shè)管理

1、應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級（具有定級文檔，明確信息系統(tǒng)安全保護(hù)等級）

2、應(yīng)具有系統(tǒng)建設(shè)/整改方案

3、應(yīng)授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃，由何部門/何人負(fù)責(zé)

4、應(yīng)具有系統(tǒng)的安全建設(shè)工作計(jì)劃（系統(tǒng)安全建設(shè)工作計(jì)劃中明確了近期和遠(yuǎn)期的安全建設(shè)計(jì)劃）

5、應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技術(shù)框架、安全管理策略等相關(guān)配套文件進(jìn)行論證和審定（配套文件的論證評審記錄或文檔）

6、應(yīng)對總體安全策略、安全技術(shù)框架、安全管理策略等相關(guān)配套文件應(yīng)定期進(jìn)行調(diào)整和修訂

7、應(yīng)具有總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的維護(hù)記錄或修訂版本

8、應(yīng)按照國家的相關(guān)規(guī)定進(jìn)行采購和使用系統(tǒng)信息安全產(chǎn)品

9、安全產(chǎn)品的相關(guān)憑證，如銷售許可等，應(yīng)使用符合國家有關(guān)規(guī)定產(chǎn)品

10、應(yīng)具有專門的部門負(fù)責(zé)產(chǎn)品的采購

11、采購產(chǎn)品前應(yīng)預(yù)先對產(chǎn)品進(jìn)行選型測試確定產(chǎn)品的候選范圍，形成候選產(chǎn)品清單，是否定期審定和更新候選產(chǎn)品名單

12、應(yīng)具有產(chǎn)品選型測試結(jié)果記錄和候選產(chǎn)品名單及更新記錄（產(chǎn)品選型測試結(jié)果文檔）

13、應(yīng)具有軟件設(shè)計(jì)相關(guān)文檔，專人保管軟件設(shè)計(jì)的相關(guān)文檔，應(yīng)具有軟件使用指南或操作手冊

14、對程序資源庫的修改、更新、發(fā)布應(yīng)進(jìn)行授權(quán)和批準(zhǔn)

15、應(yīng)具有程序資源庫的修改、更新、發(fā)布文檔或記錄

16、軟件交付前應(yīng)依據(jù)開發(fā)協(xié)議的技術(shù)指標(biāo)對軟件功能和性能等進(jìn)行驗(yàn)收檢測

17、軟件安裝之前應(yīng)檢測軟件中的惡意代碼（該軟件包的惡意代碼檢測報(bào)告），檢測工具是否是第三方的商業(yè)產(chǎn)品

18、應(yīng)具有軟件設(shè)計(jì)的相關(guān)文檔和使用指南

19、應(yīng)具有需求分析說明書、軟件設(shè)計(jì)說明書、軟件操作手冊等開發(fā)文檔

20、應(yīng)指定專門部門或人員按照工程實(shí)施方案的要求對工程實(shí)施過程進(jìn)行進(jìn)度和質(zhì)量控制

21、應(yīng)具有工程實(shí)施過程應(yīng)按照實(shí)施方案形成各種文檔，如階段性工程進(jìn)程匯報(bào)報(bào)告，工程實(shí)施方案

22、在信息系統(tǒng)正式運(yùn)行前，應(yīng)委托第三方測試機(jī)構(gòu)根據(jù)設(shè)計(jì)方案或合同要求對信息系統(tǒng)進(jìn)行獨(dú)立的安全性測試（第三方測試機(jī)構(gòu)出示的系統(tǒng)安全性測試驗(yàn)收報(bào)告）

23、應(yīng)具有工程測試驗(yàn)收方案（測試驗(yàn)收方案與設(shè)計(jì)方案或合同要求內(nèi)容一致）

24、應(yīng)具有測試驗(yàn)收報(bào)告

25、應(yīng)指定專門部門負(fù)責(zé)測試驗(yàn)收工作（具有對系統(tǒng)測試驗(yàn)收報(bào)告進(jìn)行審定的意見）

26、根據(jù)交付清單對所交接的設(shè)備、文檔、軟件等進(jìn)行清點(diǎn)（系統(tǒng)交付清單）

27、應(yīng)具有系統(tǒng)交付時的技術(shù)培訓(xùn)記錄

28、應(yīng)具有系統(tǒng)建設(shè)文檔（如系統(tǒng)建設(shè)方案）、指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔（如服務(wù)器操作規(guī)程書）以及系統(tǒng)培訓(xùn)手冊等文檔。

29、應(yīng)指定部門負(fù)責(zé)系統(tǒng)交付工作

30、應(yīng)具有與產(chǎn)品供應(yīng)商、軟件開發(fā)商、系統(tǒng)集成商、系統(tǒng)運(yùn)維商和等級測評機(jī)構(gòu)等相關(guān)安全服務(wù)商簽訂的協(xié)議（文檔中有保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容

31、選定的安全服務(wù)商應(yīng)提供一定的技術(shù)培訓(xùn)和服務(wù)

32、應(yīng)與安全服務(wù)商簽訂的服務(wù)合同或安全責(zé)任合同書

11、采購產(chǎn)品前應(yīng)預(yù)先對產(chǎn)品進(jìn)行選型測試確定產(chǎn)品的候選范圍，形成候選產(chǎn)品清單，是否定期審定和更新候選產(chǎn)品名單

12、應(yīng)具有產(chǎn)品選型測試結(jié)果記錄和候選產(chǎn)品名單及更新記錄（產(chǎn)品選型測試結(jié)果文檔）

13、應(yīng)具有軟件設(shè)計(jì)相關(guān)文檔，專人保管軟件設(shè)計(jì)的相關(guān)文檔，應(yīng)具有軟件使用指南或操作手冊

14、對程序資源庫的修改、更新、發(fā)布應(yīng)進(jìn)行授權(quán)和批準(zhǔn)

15、應(yīng)具有程序資源庫的修改、更新、發(fā)布文檔或記錄

16、軟件交付前應(yīng)依據(jù)開發(fā)協(xié)議的技術(shù)指標(biāo)對軟件功能和性能等進(jìn)行驗(yàn)收檢測

17、軟件安裝之前應(yīng)檢測軟件中的惡意代碼（該軟件包的惡意代碼檢測報(bào)告），檢測工具是否是第三方的商業(yè)產(chǎn)品

18、應(yīng)具有軟件設(shè)計(jì)的相關(guān)文檔和使用指南

19、應(yīng)具有需求分析說明書、軟件設(shè)計(jì)說明書、軟件操作手冊等開發(fā)文檔

20、應(yīng)指定專門部門或人員按照工程實(shí)施方案的要求對工程實(shí)施過程進(jìn)行進(jìn)度和質(zhì)量控制

21、應(yīng)具有工程實(shí)施過程應(yīng)按照實(shí)施方案形成各種文檔，如階段性工程進(jìn)程匯報(bào)報(bào)告，工程實(shí)施方案

22、在信息系統(tǒng)正式運(yùn)行前，應(yīng)委托第三方測試機(jī)構(gòu)根據(jù)設(shè)計(jì)方案或合同要求對信息系統(tǒng)進(jìn)行獨(dú)立的安全性測試（第三方測試機(jī)構(gòu)出示的系統(tǒng)安全性測試驗(yàn)收報(bào)告）

23、應(yīng)具有工程測試驗(yàn)收方案（測試驗(yàn)收方案與設(shè)計(jì)方案或合同要求內(nèi)容一致）

24、應(yīng)具有測試驗(yàn)收報(bào)告

25、應(yīng)指定專門部門負(fù)責(zé)測試驗(yàn)收工作（具有對系統(tǒng)測試驗(yàn)收報(bào)告進(jìn)行審定的意見）

26、根據(jù)交付清單對所交接的設(shè)備、文檔、軟件等進(jìn)行清點(diǎn)（系統(tǒng)交付清單）

27、應(yīng)具有系統(tǒng)交付時的技術(shù)培訓(xùn)記錄

28、應(yīng)具有系統(tǒng)建設(shè)文檔（如系統(tǒng)建設(shè)方案）、指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔（如服務(wù)器操作規(guī)程書）以及系統(tǒng)培訓(xùn)手冊等文檔。

29、應(yīng)指定部門負(fù)責(zé)系統(tǒng)交付工作

30、應(yīng)具有與產(chǎn)品供應(yīng)商、軟件開發(fā)商、系統(tǒng)集成商、系統(tǒng)運(yùn)維商和等級測評機(jī)構(gòu)等相關(guān)安全服務(wù)商簽訂的協(xié)議（文檔中有保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容

31、選定的安全服務(wù)商應(yīng)提供一定的技術(shù)培訓(xùn)和服務(wù)

32、應(yīng)與安全服務(wù)商簽訂的服務(wù)合同或安全責(zé)任合同書

六、系統(tǒng)運(yùn)維管理

1、應(yīng)指定專人或部門對機(jī)房的基本設(shè)施（如空調(diào)、供配電設(shè)備等）進(jìn)行定期維護(hù)，由何部門/何人負(fù)責(zé)。

2、應(yīng)具有機(jī)房基礎(chǔ)設(shè)施的維護(hù)記錄，空調(diào)、溫濕度控制等機(jī)房設(shè)施定期維護(hù)保養(yǎng)的記錄

3、應(yīng)指定部門和人員負(fù)責(zé)機(jī)房安全管理工作

4、應(yīng)對辦公環(huán)境保密性進(jìn)行管理（工作人員離開座位確保終端計(jì)算機(jī)退出登錄狀態(tài)、桌面上沒有包含敏感信息的紙檔文件）

5、應(yīng)具有資產(chǎn)清單（覆蓋資產(chǎn)責(zé)任人、所屬級別、所處位置、所處部門等方面）

6、應(yīng)指定資產(chǎn)管理的責(zé)任部門或人員

7、應(yīng)依據(jù)資產(chǎn)的重要程度對資產(chǎn)進(jìn)行標(biāo)識

8、介質(zhì)存放于何種環(huán)境中，應(yīng)對存放環(huán)境實(shí)施專人管理（介質(zhì)存放在安全的環(huán)境（防潮、防盜、防火、防磁，專用存儲空間））

9、應(yīng)具有介質(zhì)使用管理記錄，應(yīng)記錄介質(zhì)歸檔和使用等情況（介質(zhì)存放、使用管理記錄）

10、對介質(zhì)的物理傳輸過程應(yīng)要求選擇可靠傳輸人員、嚴(yán)格介質(zhì)的打包（如采用防拆包裝置）、選擇安全的物理傳輸途徑、雙方在場交付等環(huán)節(jié)的控制

11、應(yīng)對介質(zhì)的使用情況進(jìn)行登記管理，并定期盤點(diǎn)（介質(zhì)歸檔和查詢的記錄、存檔介質(zhì)定期盤點(diǎn)的記錄）

12、對送出維修或銷毀的介質(zhì)如何管理，銷毀前應(yīng)對數(shù)據(jù)進(jìn)行凈化處理。（對帶出工作環(huán)境的存儲介質(zhì)是否進(jìn)行內(nèi)容加密并有領(lǐng)導(dǎo)批準(zhǔn)。對保密性較高的介質(zhì)銷毀前是否有領(lǐng)導(dǎo)批準(zhǔn)）（送修記錄、帶出記錄、銷毀記錄）

13、應(yīng)對某些重要介質(zhì)實(shí)行異地存儲，異地存儲環(huán)境是否與本地環(huán)境相同（防潮、防盜、防火、防磁，專用存儲空間）

14、介質(zhì)上應(yīng)具有分類的標(biāo)識或標(biāo)簽

15、應(yīng)對各類設(shè)施、設(shè)備指定專人或?qū)ｉT部門進(jìn)行定期維護(hù)。

16、應(yīng)具有設(shè)備操作手冊

17、應(yīng)對帶離機(jī)房的信息處理設(shè)備經(jīng)過審批流程，由何人審批（審批記錄）

18、應(yīng)監(jiān)控主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用系統(tǒng)的運(yùn)行狀況等

19、應(yīng)有相關(guān)網(wǎng)絡(luò)監(jiān)控系統(tǒng)或技術(shù)措施能夠?qū)νㄐ啪€路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測和報(bào)警

20、應(yīng)具有日常運(yùn)維的監(jiān)控日志記錄和運(yùn)維交接日志記錄

21、應(yīng)定期對監(jiān)控記錄進(jìn)行分析、評審

22、應(yīng)具有異?，F(xiàn)象的現(xiàn)場處理記錄和事后相關(guān)的分析報(bào)告

23、應(yīng)建立安全管理中心，對設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級、安全審計(jì)等相關(guān)事項(xiàng)進(jìn)行集中管理

24、應(yīng)指定專人負(fù)責(zé)維護(hù)網(wǎng)絡(luò)安全管理工作

25、應(yīng)對網(wǎng)絡(luò)設(shè)備進(jìn)行過升級，更新前應(yīng)對現(xiàn)有的重要文件是否進(jìn)行備份（網(wǎng)絡(luò)設(shè)備運(yùn)維維護(hù)工作記錄）

26、應(yīng)對網(wǎng)絡(luò)進(jìn)行過漏洞掃描，并對發(fā)現(xiàn)的漏洞進(jìn)行及時修補(bǔ)。

27、對設(shè)備的安全配置應(yīng)遵循最小服務(wù)原則，應(yīng)對配置文件進(jìn)行備份（具有網(wǎng)絡(luò)設(shè)備配置數(shù)據(jù)的離線備份）

28、系統(tǒng)網(wǎng)絡(luò)的外聯(lián)種類（互聯(lián)網(wǎng)、合作伙伴企業(yè)網(wǎng)、上級部門網(wǎng)絡(luò)等）應(yīng)都得到授權(quán)與批準(zhǔn)，由何人/何部門批準(zhǔn)。應(yīng)定期檢查違規(guī)聯(lián)網(wǎng)的行為。

29、對便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入應(yīng)進(jìn)行限制管理

30、應(yīng)具有內(nèi)部網(wǎng)絡(luò)外聯(lián)的授權(quán)批準(zhǔn)書，應(yīng)具有網(wǎng)絡(luò)違規(guī)行為（如撥號上網(wǎng)等）的檢查手段和工具。

31、在安裝系統(tǒng)補(bǔ)丁程序前應(yīng)經(jīng)過測試，并對重要文件進(jìn)行備份。

32、應(yīng)有補(bǔ)丁測試記錄和系統(tǒng)補(bǔ)丁安裝操作記錄

33、應(yīng)對系統(tǒng)管理員用戶進(jìn)行分類（比如：劃分不同的管理角色，系統(tǒng)管理權(quán)限與安全審計(jì)權(quán)限分離等）

34、審計(jì)員應(yīng)定期對系統(tǒng)審計(jì)日志進(jìn)行分析（有定期對系統(tǒng)運(yùn)行日志和審計(jì)數(shù)據(jù)的分析報(bào)告）

35、應(yīng)對員工進(jìn)行基本惡意代碼防范意識的教育，如告知應(yīng)及時升級軟件版本（對員工的惡意代碼防范教育的相關(guān)培訓(xùn)文檔）

36、應(yīng)指定專人對惡意代碼進(jìn)行檢測，并保存記錄。

37、應(yīng)具有對網(wǎng)絡(luò)和主機(jī)進(jìn)行惡意代碼檢測的記錄

38、應(yīng)對惡意代碼庫的升級情況進(jìn)行記錄（代碼庫的升級記錄），對各類防病毒產(chǎn)品上截獲的惡意代碼是否進(jìn)行分析并匯總上報(bào)。是否出現(xiàn)過大規(guī)模的病毒事件，如何處理

39、應(yīng)具有惡意代碼檢測記錄、惡意代碼庫升級記錄和分析報(bào)告 40、應(yīng)具有變更方案評審記錄和變更過程記錄文檔。

41、重要系統(tǒng)的變更申請書，應(yīng)具有主管領(lǐng)導(dǎo)的批準(zhǔn)

42、系統(tǒng)管理員、數(shù)據(jù)庫管理員和網(wǎng)絡(luò)管理員應(yīng)識別需定期備份的業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)（備份文件記錄）

43、應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性

44、應(yīng)有系統(tǒng)運(yùn)維過程中發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件對應(yīng)的報(bào)告或相關(guān)文檔

45、應(yīng)對安全事件記錄分析文檔

46、應(yīng)具有不同事件的應(yīng)急預(yù)案

47、應(yīng)具有應(yīng)急響應(yīng)小組，應(yīng)具備應(yīng)急設(shè)備并能正常工作，應(yīng)急預(yù)案執(zhí)行所需資金應(yīng)做過預(yù)算并能夠落實(shí)。

48、應(yīng)對系統(tǒng)相關(guān)人員進(jìn)行應(yīng)急預(yù)案培訓(xùn)（應(yīng)急預(yù)案培訓(xùn)記錄）

49、應(yīng)定期對應(yīng)急預(yù)案進(jìn)行演練（應(yīng)急預(yù)案演練記錄）50、應(yīng)對應(yīng)急預(yù)案定期進(jìn)行審查并更新

51、應(yīng)具有更新的應(yīng)急預(yù)案記錄、應(yīng)急預(yù)案審查記錄。

第五篇：信息安全等級保護(hù)的各個環(huán)節(jié)以及相關(guān)要求

一、信息安全等級保護(hù)的各個環(huán)節(jié)

一、基本環(huán)節(jié)

（一）組織開展調(diào)查摸底

（二）合理確定保護(hù)等級

（三）開展安全建設(shè)整改

（四）組織系統(tǒng)安全測評

（五）依法履行備案手續(xù)

（六）加強(qiáng)日常測評自查

（七）加強(qiáng)安全監(jiān)督檢查

二、主要環(huán)節(jié)

定級-安全建設(shè)-安全測評-備案

二、定級

一、等級劃分

計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級根據(jù)計(jì)算機(jī)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，計(jì)算機(jī)信息系統(tǒng)受到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定，分為五級：

第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。

第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對社會秩序和公共利益造成損害，但不損害國家安全。第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重?fù)p害，或者對國家安全造成損害。

第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對國家安全造成嚴(yán)重?fù)p害。

第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴(yán)重?fù)p害。

二、定級程序

信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)依據(jù)《信息系統(tǒng)安全等級保護(hù)定級指南》確定信息系統(tǒng)的安全保護(hù)等級。有主管部門的，應(yīng)當(dāng)經(jīng)主管部門審核批準(zhǔn)。

跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安全保護(hù)等級。

對擬確定為第四級以上信息系統(tǒng)的，運(yùn)營、使用單位或者主管部門應(yīng)當(dāng)請國家信息安全保護(hù)等級專家評審委員會評審。

三、定級注意事項(xiàng)

一級信息系統(tǒng)：適用于鄉(xiāng)鎮(zhèn)所屬信息系統(tǒng)、縣級某些單位中不重要的信息系統(tǒng)。小型個體、私營企業(yè)中的信息系統(tǒng)。中小學(xué)中的信息系統(tǒng)。

二級信息系統(tǒng)：適用于地市級以上國家機(jī)關(guān)、企業(yè)、事業(yè)單位內(nèi)部一般的信息系統(tǒng)。例如小的局域網(wǎng)，非涉及秘密、敏感信息的辦公系統(tǒng)等。

三級信息系統(tǒng)：適用于地市級以上國家機(jī)關(guān)、企業(yè)、事業(yè)單位內(nèi)部重要的信息系統(tǒng)；重要領(lǐng)域、重要部門跨省、跨市或全國（?。┞?lián)網(wǎng)運(yùn)行的信息系統(tǒng)；跨省或全國聯(lián)網(wǎng)運(yùn)行重要信息系統(tǒng)在省、地市的分支系統(tǒng)；各部委官方網(wǎng)站；跨?。ㄊ校┞?lián)接的信息網(wǎng)絡(luò)等。四級信息系統(tǒng)：適用于重要領(lǐng)域、重要部門三級信息系統(tǒng)中的部分重要系統(tǒng)。例如全國鐵路、民航、電力等調(diào)度系統(tǒng)，銀行、證券、保險(xiǎn)、稅務(wù)、海關(guān)等部門中的核心系統(tǒng)。

三、備案

一、總體要求

新建第二級以上信息系統(tǒng)，應(yīng)當(dāng)在投入運(yùn)行后30日內(nèi)，由其運(yùn)營、使用單位到所在地設(shè)區(qū)的市級以上公安機(jī)關(guān)辦理備案手續(xù)。

二、備案管轄

（一）管轄原則。

備案管轄分工采取級別管轄和屬地管轄相結(jié)合。

（二）中央在京單位。

隸屬于中央的在京單位，其跨省或者全國統(tǒng)一聯(lián)網(wǎng)運(yùn)行并由主管部門統(tǒng)一定級的信息系統(tǒng)，由公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局受理備案，其他信息系統(tǒng)由北京市公安局公共信息網(wǎng)絡(luò)安全監(jiān)察部門（簡稱網(wǎng)監(jiān)部門，下同）受理備案。

（三）中央駐粵及省直國有單位。

隸屬中央或省的駐穗國有單位的信息系統(tǒng)，由省公安廳網(wǎng)警總隊(duì)受理備案。上述單位在各地運(yùn)行、維護(hù)的分支系統(tǒng)由其在各地的分支機(jī)構(gòu)報(bào)所在地地級以上市公安機(jī)關(guān)網(wǎng)監(jiān)部門備案。

（四）其他單位。

其他單位的信息系統(tǒng)由所在地地級以上市公安機(jī)關(guān)網(wǎng)監(jiān)部門備案。

三、備案流程

（一）備案時限。

信息系統(tǒng)運(yùn)營、使用單位或者其主管部門（以下簡稱“備案單位”）應(yīng)當(dāng)在信息系統(tǒng)設(shè)計(jì)階段確定信息系統(tǒng)安全保護(hù)等級，并在安全保護(hù)等級確定后30日內(nèi)，到公安機(jī)關(guān)網(wǎng)監(jiān)部門辦理備案手續(xù)。

（二）備案申請。

辦理備案手續(xù)，應(yīng)當(dāng)?shù)焦矙C(jī)關(guān)指定網(wǎng)址下載信息安全等級保護(hù)備案軟件，利用該軟件填寫生成《信息系統(tǒng)安全等級保護(hù)備案表》（簡稱《備案表》，下同）表

一、表

二、表三紙質(zhì)WORD格式文檔一式兩份和電子數(shù)據(jù)（RAR格式），并準(zhǔn)備好相關(guān)附件（一式兩份），向公安機(jī)關(guān)網(wǎng)監(jiān)部門提出備案申請。第三級以上信息系統(tǒng)應(yīng)當(dāng)同時提供以下材料：

1．系統(tǒng)拓?fù)浣Y(jié)構(gòu)及說明； 2．系統(tǒng)安全組織機(jī)構(gòu)和管理制度；

3．系統(tǒng)安全保護(hù)設(shè)施設(shè)計(jì)實(shí)施方案或者改建實(shí)施方案； 4．系統(tǒng)使用的信息安全產(chǎn)品清單及其認(rèn)證、銷售許可證明； 5．測評后符合系統(tǒng)安全保護(hù)等級的技術(shù)檢測評估報(bào)告； 6．信息系統(tǒng)安全保護(hù)等級專家評審意見；

7．主管部門審核批準(zhǔn)信息系統(tǒng)安全保護(hù)等級的意見。

四、備案審核

公安機(jī)關(guān)網(wǎng)監(jiān)部門收到申請材料后，應(yīng)當(dāng)在10個工作日內(nèi)進(jìn)行審查。對符合要求的，公安機(jī)關(guān)網(wǎng)監(jiān)部門應(yīng)當(dāng)在《備案表》加蓋公共信息網(wǎng)絡(luò)安全監(jiān)察專用章并將其中一份反饋備案單位，并出具《信息系統(tǒng)安全等級保護(hù)備案證明》（以下簡稱《備案證明》）?！秱浒缸C明》由公安部統(tǒng)一監(jiān)制。對不符合要求的，公安網(wǎng)監(jiān)部門應(yīng)當(dāng)出具《信息系統(tǒng)安全等級保護(hù)備案審核結(jié)果通知》，通知備案單位進(jìn)行整改。其中，對定級不準(zhǔn)的備案單位，在通知整改的同時，應(yīng)當(dāng)建議備案單位重新定級。

五、變更備案

《備案表》所載事項(xiàng)發(fā)生變更，備案單位應(yīng)當(dāng)自變更之日起30日內(nèi)重新填寫《備案表》報(bào)公安機(jī)關(guān)網(wǎng)監(jiān)部門備案。其中，變更事項(xiàng)涉及《備案證明》的，公機(jī)關(guān)網(wǎng)監(jiān)部門應(yīng)當(dāng)重新頒布《備案證明》。

六、重新備案

運(yùn)營、使用單位或者主管部門重新確定信息系統(tǒng)等級后，應(yīng)當(dāng)按照本辦法向公安機(jī)關(guān)重新備案。

四、安全建設(shè)和整改

計(jì)算機(jī)信息系統(tǒng)規(guī)劃、設(shè)計(jì)、建設(shè)和維護(hù)應(yīng)當(dāng)同步落實(shí)相應(yīng)的安全措施。運(yùn)營、使用單位應(yīng)當(dāng)按照國家信息安全等級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，使用符合國家有關(guān)規(guī)定，滿足信息系統(tǒng)安全保護(hù)等級需求的信息技術(shù)產(chǎn)品，開展信息系統(tǒng)安全建設(shè)或者改建工作。

在信息系統(tǒng)建設(shè)過程中，運(yùn)營、使用單位應(yīng)當(dāng)按照《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則》（GB17859-1999）、《信息系統(tǒng)安全等級保護(hù)基本要求》等技術(shù)標(biāo)準(zhǔn)，參照《信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求》（GB/T20271-2006）、《信息安全技術(shù) 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求》（GB/T20270-2006）、《信息安全技術(shù) 操作系統(tǒng)安全技術(shù)要求》（GB/T20272-2006）、《信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求》（GB/T20273-2006）、《信息安全技術(shù) 服務(wù)器技術(shù)要求》、《信息安全技術(shù) 終端計(jì)算機(jī)系統(tǒng)安全等級技術(shù)要求》（GA/T671-2006）等技術(shù)標(biāo)準(zhǔn)同步建設(shè)符合該等級要求的信息安全設(shè)施。

運(yùn)營、使用單位應(yīng)當(dāng)參照《信息安全技術(shù) 信息系統(tǒng)安全管理要求》（GB/T20269-2006）、《信息安全技術(shù) 信息系統(tǒng)安全工程管理要求》（GB/T20282-2006）、《信息系統(tǒng)安全等級保護(hù)基本要求》等管理規(guī)范，制定并落實(shí)符合本系統(tǒng)安全保護(hù)等級要求的安全管理制度。

五、信息安全等級測評

信息系統(tǒng)建設(shè)完成后，二級以上的信息系統(tǒng)的運(yùn)營使用單位應(yīng)當(dāng)選擇符合國家規(guī)定的測評機(jī)構(gòu)進(jìn)行測評合格方可投入使用。已投入運(yùn)行信息系統(tǒng)在完成系統(tǒng)整改后也應(yīng)當(dāng)進(jìn)行測評。經(jīng)測評，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級要求的，運(yùn)營使用單位應(yīng)當(dāng)制定方案進(jìn)行整改。

一、測評程序

計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位委托安全測評機(jī)構(gòu)測評，應(yīng)當(dāng)提交下列資料：

（一）安全測評委托書；

（二）計(jì)算機(jī)信息系統(tǒng)應(yīng)用需求、系統(tǒng)結(jié)構(gòu)拓?fù)浼罢f明、系統(tǒng)安全組織結(jié)構(gòu)和管理制度、安全保護(hù)設(shè)施設(shè)計(jì)實(shí)施方案或者改建實(shí)施方案、系統(tǒng)軟件硬件和信息安全產(chǎn)品清單。安全測評機(jī)構(gòu)在收到委托材料后，應(yīng)當(dāng)與委托方協(xié)商制訂安全測評計(jì)劃，開展安全測評工作，并出具安全測評報(bào)告。

經(jīng)測評，計(jì)算機(jī)信息系統(tǒng)安全狀況未達(dá)到國家有關(guān)規(guī)定和標(biāo)準(zhǔn)的要求的，委托單位應(yīng)當(dāng)根據(jù)測評報(bào)告的建議，完善計(jì)算機(jī)信息系統(tǒng)安全建設(shè)，并重新提出安全測評委托。

二、測評監(jiān)督

測評機(jī)構(gòu)對計(jì)算機(jī)信息系統(tǒng)進(jìn)行使用前安全測評，應(yīng)當(dāng)預(yù)先報(bào)告地級以上市公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門。安全測評報(bào)告由計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位報(bào)地級以上市公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門。

三、日常測評

計(jì)算機(jī)信息系統(tǒng)投入使用后，存在下列情形之一的，應(yīng)當(dāng)進(jìn)行安全自查，同時委托安全測評機(jī)構(gòu)進(jìn)行安全測評：

（一）變更關(guān)鍵部件；

（二）安全測評時間滿一年；

（三）發(fā)生危害計(jì)算機(jī)信系統(tǒng)安全的案件或安全事故；

（四）公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門根據(jù)應(yīng)急處置工作的需要認(rèn)為應(yīng)當(dāng)進(jìn)行安全測評；

（五）其他應(yīng)當(dāng)進(jìn)行安全自查和安全測評的情形。

第三級計(jì)算機(jī)信息系統(tǒng)應(yīng)當(dāng)每年至少進(jìn)行一次安全自查和安全測評，第四級計(jì)算機(jī)信息系統(tǒng)應(yīng)當(dāng)每半年至少進(jìn)行一次安全自查和安全測評，第五級計(jì)算機(jī)信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全要求進(jìn)行安全自查和安全測評。自查報(bào)告連同測評報(bào)告應(yīng)當(dāng)由計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位報(bào)地級以上市公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門。

四、測評爭議解決

申請單位認(rèn)為安全測評報(bào)告的合法性和真實(shí)性存在重大問題的，可以向本單位所在地公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門提出申訴，提交異議申訴書及有關(guān)證明材料。公安機(jī)關(guān)公共信息網(wǎng)絡(luò)安全監(jiān)察部門應(yīng)當(dāng)在收到申訴材料后30個工作日內(nèi)進(jìn)行核查，作出異議處理決定。