浙江省信息安全等保護工作實施方案

1、浙江省信息安全等級保護工作實施方案 為貫徹落實國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見和公安部、國家保密局、國家密碼管理局、國務(wù)院信息化工作辦公室關(guān)于信息安全等級保護工作的實施意見以及浙江省信息安全等級保護管理辦法，根據(jù)國家信息安全等級保護工作協(xié)調(diào)小組的部署，結(jié)合我省實際，制訂本方案。 一、指導(dǎo)思想以中央和省委、省政府有關(guān)加強信息安全保障工作的意見為指導(dǎo)，通過全面推行信息安全等級保護工作，提高我省信息安全的保障能力和防護水平，維護國家安全、社會穩(wěn)定和公共利益，保障和促進信息化建設(shè)的健康發(fā)展。 二、工作目標(biāo)通過實行等級保護工作，使基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的核心要害部位得到有效保護，涉及

2、國家安全、社會穩(wěn)定和公共利益的基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的保護狀況有較大改善。通過全面推行信息安全等級保護制度，逐步將信息安全等級保護制度落實到信息系統(tǒng)安全規(guī)劃、建設(shè)、測評、運行維護和使用等各個環(huán)節(jié)，使我省信息安全保障狀況得到基本改善。通過加強和規(guī)范信息安全等級保護管理，不斷提高我省信息安全保障能力，為維護信息網(wǎng)絡(luò)的安全穩(wěn)定，促進信息化發(fā)展服務(wù)。 三、組織管理為加強信息安全等級保護工作的領(lǐng)導(dǎo)，成立由省公安廳牽頭，省保密局、省國家密碼管理局和省信息辦等有關(guān)部門參加的浙江省信息安全等級保護工作協(xié)調(diào)小組，負(fù)責(zé)我省信息安全等級保護工作的組織協(xié)調(diào)，并下設(shè)辦公室在省公安廳。設(shè)區(qū)市的公安機關(guān)、保密部門、密碼

3、管理部門和信息化行政主管部門也要聯(lián)合成立由公安機關(guān)牽頭的信息安全等級保護工作協(xié)調(diào)小組，建立相應(yīng)辦事機構(gòu)，負(fù)責(zé)本地信息安全等級保護工作。信息系統(tǒng)的建設(shè)、運營、使用單位應(yīng)成立由主管領(lǐng)導(dǎo)參加的信息安全等級保護工作領(lǐng)導(dǎo)小組，并確定職能部門負(fù)責(zé)本系統(tǒng)、本單位的信息安全等級保護工作。省、設(shè)區(qū)的市信息化行政主管部門應(yīng)當(dāng)分別建立省、市信息系統(tǒng)保護等級專家評審組，并分別負(fù)責(zé)對涉及全省和全市的基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的信息安全保護等級進行審定。為保證信息安全等級測評工作正常、有效開展，成立由省公安廳牽頭，省保密局、省國家密碼管理局、省信息辦和省國家安全廳等單位有關(guān)專家參加的測評機構(gòu)審查小組，對在我省基礎(chǔ)信息網(wǎng)絡(luò)

4、和重要信息系統(tǒng)中開展測評工作的測評機構(gòu)及其主要業(yè)務(wù)、技術(shù)人員的資質(zhì)，以及安全保密測評資格進行專門審查，審查后公布推薦目錄，供我省基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)使用單位選擇使用。 四、工作內(nèi)容 （一）系統(tǒng)定級信息系統(tǒng)運營、使用單位應(yīng)按照國家有關(guān)規(guī)定，確定信息系統(tǒng)的安全保護等級，有主管部門的，應(yīng)當(dāng)經(jīng)主管部門審核批準(zhǔn)。系統(tǒng)涉及國家秘密的部分，應(yīng)當(dāng)按照涉密信息系統(tǒng)分級保護管理辦法(國保發(fā)200516號)和涉及國家秘密的信息系統(tǒng)分級保護技術(shù)要求（國家保密標(biāo)準(zhǔn)BMBl7-2006）確定信息系統(tǒng)的安全保護等級。跨市或者全省統(tǒng)一聯(lián)網(wǎng)運行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安全保護等級。 （二）定級評審屬于基礎(chǔ)信息網(wǎng)絡(luò)

5、和重要信息的系統(tǒng)運營、使用單位初步確定安全保護等級后，應(yīng)聘請省或市信息系統(tǒng)保護等級專家評審組的專家進行評審。對擬確定為第四級、第五級信息系統(tǒng)的，運營、使用單位或主管部門應(yīng)經(jīng)省信息化行政主管部門初審后，請國家信息安全等級保護專家評審委員會評審。其它定級評審，依照浙江省信息安全等級評審實施細則執(zhí)行。 （三）系統(tǒng)備案安全保護等級為二級以上的信息系統(tǒng)，其運營、使用單位需在等級確定后的三十天內(nèi)，向設(shè)區(qū)的市級以上公安機關(guān)備案。安全保護等級為五級的，由國家指定的專門部門進行備案。系統(tǒng)涉及國家秘密的，向設(shè)區(qū)的市級以上保密工作部門備案。系統(tǒng)中使用密碼設(shè)備的，密碼設(shè)備要向設(shè)區(qū)的市級密碼管理部門備案。省公安廳負(fù)責(zé)安

6、全保護等級確定為第二級以上的省級基礎(chǔ)信息網(wǎng)絡(luò)、省級重要領(lǐng)域信息系統(tǒng)、跨設(shè)區(qū)市聯(lián)網(wǎng)運行的信息系統(tǒng)，及安全保護等級為四級的信息系統(tǒng)備案，其余需要備案的系統(tǒng)由其運營、使用單位到設(shè)區(qū)市公安機關(guān)備案。辦理備案手續(xù)時，應(yīng)提交信息系統(tǒng)安全等級保護備案表，安全保護等級為三級以上的應(yīng)同時提供備案表所列的“系統(tǒng)拓?fù)浣Y(jié)構(gòu)及說明”等備案材料，并可利用輔助備案工具軟件生成備案電子數(shù)據(jù)一并向公安機關(guān)提交。信息系統(tǒng)安全等級保護備案表和輔助備案工具軟件可在省公安廳門戶網(wǎng)站下載。信息系統(tǒng)備案后，公安機關(guān)應(yīng)當(dāng)對信息系統(tǒng)的備案情況進行審核，發(fā)現(xiàn)不符合國家有關(guān)規(guī)定、標(biāo)準(zhǔn)的，應(yīng)當(dāng)在收到備案材料之日起的10個工作日內(nèi)通知備案單位予以糾正

7、；發(fā)現(xiàn)定級不準(zhǔn)的，應(yīng)當(dāng)在收到備案材料之日起的10個工作日內(nèi)通知備案單位重新確定。信息系統(tǒng)運營、使用單位重新確定信息系統(tǒng)安全等級后，應(yīng)向公安機關(guān)重新備案。（四）等級測評、整改信息系統(tǒng)運營、使用單位在進行信息系統(tǒng)備案后，應(yīng)當(dāng)選擇測評機構(gòu)進行安全測評。測評機構(gòu)依據(jù)信息系統(tǒng)安全等級保護測評要求等技術(shù)標(biāo)準(zhǔn)，對信息系統(tǒng)安全等級狀況開展測評，給出相應(yīng)的系統(tǒng)安全檢測評估報告。經(jīng)測評信息系統(tǒng)安全狀況未達到安全保護等級要求的，運營、使用單位應(yīng)當(dāng)制定方案進行整改，以符合安全保護等級要求。對符合等級保護要求的，公安機關(guān)應(yīng)當(dāng)頒發(fā)信息系統(tǒng)安全等級保護備案證明。安全保護等級為五級的信息系統(tǒng)，由國家指定的專門部門進行測評和整

8、改。 （五）安全管理、建設(shè)信息系統(tǒng)運營、使用單位應(yīng)根據(jù)國家有關(guān)規(guī)定和技術(shù)標(biāo)準(zhǔn)，建立信息安全等級保護管理制度，落實安全保護責(zé)任。具體包括制定信息安全事件等級響應(yīng)和處置制度；信息安全等級保護系統(tǒng)建設(shè)、運行維護制度；信息系統(tǒng)安全檢測和風(fēng)險評估制度；安全教育和培訓(xùn)制度等。根據(jù)檢測評估報告中反映出的安全問題，要按照信息系統(tǒng)安全等級保護基本要求和風(fēng)險評估有關(guān)標(biāo)準(zhǔn)，確定系統(tǒng)安全需求，制定系統(tǒng)總體安全策略和相關(guān)制度，細化符合安全等級保護要求的系統(tǒng)安全技術(shù)框架和安全管理框架方案，明確安全建設(shè)計劃，并全面組織實施。同時，基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的運營、使用單位，應(yīng)當(dāng)按照國家有關(guān)技術(shù)規(guī)范和標(biāo)準(zhǔn)，每年對系統(tǒng)的信息安

9、全狀況進行一次全面的測評或者自查。第四級信息系統(tǒng)應(yīng)當(dāng)每半年至少進行一次測評或者自查，第五級信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進行測評或者自查。經(jīng)測評或者自查，信息系統(tǒng)安全狀況未達到安全保護等級要求的，運營、使用單位要進行整改，直至達到安全保護等級要求。五、監(jiān)督管理根據(jù)信息安全等級保護工作的職責(zé)分工，公安機關(guān)負(fù)責(zé)信息安全等級保護工作的總體監(jiān)督、檢查、指導(dǎo)。保密工作部門負(fù)責(zé)信息安全等級保護工作中有關(guān)保密工作的監(jiān)督、檢查、指導(dǎo)。密碼管理部門負(fù)責(zé)信息安全等級保護工作中有關(guān)密碼工作的監(jiān)督、檢查、指導(dǎo)。信息化行政主管部門負(fù)責(zé)信息安全等級保護工作的部門間協(xié)調(diào)。公安機關(guān)要對第三級、第四級信息系統(tǒng)的運營、使用單位的信

10、息安全等級保護工作情況進行檢查。對第三級信息系統(tǒng)每年至少檢查一次，對第四級信息系統(tǒng)每半年至少檢查一次。對跨市或全省統(tǒng)一聯(lián)網(wǎng)運行的信息系統(tǒng)檢查，要會同其主管部門進行。保密工作部門要加強涉密信息系統(tǒng)運行中的保密監(jiān)督檢查。對秘密級、機密級信息系統(tǒng)每兩年至少進行一次保密檢查或者系統(tǒng)測評，對絕密級信息系統(tǒng)每年至少進行一次保密檢查或者系統(tǒng)測評。密碼管理部門要定期或者不定期對信息系統(tǒng)等級保護工作中密碼配備、使用和管理的情況進行檢查和測評，對重要涉密信息系統(tǒng)的密碼配備、使用和管理情況，每兩年至少進行一次檢查和測評。六、工作安排按照突出重點、統(tǒng)籌規(guī)劃，重點保障基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全的總體要求和原則，我省

11、信息安全等級保護工作將分批、分階段進行。2007年8月至10月集中開展基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的定級工作。我省重要信息系統(tǒng)包括：1、黨政事務(wù)處理信息系統(tǒng)和重要網(wǎng)站；2、金融、財稅、海關(guān)業(yè)務(wù)信息系統(tǒng)；3、鐵路、機場、交通（港口）等業(yè)務(wù)信息系統(tǒng)；4、醫(yī)療、社（醫(yī)）保、供水、電力、燃氣等業(yè)務(wù)信息系統(tǒng)；5、涉及國家秘密的信息系統(tǒng)；6、國家和省規(guī)定的其他重要信息系統(tǒng)?；A(chǔ)信息網(wǎng)絡(luò)主要包括公用通信網(wǎng)、廣播電視傳輸網(wǎng)等。其它已運營、使用信息系統(tǒng)和新建信息系統(tǒng)按照相關(guān)規(guī)定開展等級保護工作。（一）準(zhǔn)備階段（2007年8月25日9月5日）設(shè)區(qū)的市公安機關(guān)、保密工作部門、密碼管理部門和信息化行政主管部門聯(lián)合成立公

12、安機關(guān)牽頭的信息安全等級保護工作協(xié)調(diào)小組，建立相應(yīng)辦事機構(gòu)，積極做好信息安全等級保護工作的宣傳、培訓(xùn)和組織工作，全面推進本地信息安全等級保護工作。設(shè)區(qū)的市信息化行政主管部門成立市信息系統(tǒng)安全等級保護專家評審組，積極做好信息安全等級保護工作的咨詢和定級評審工作。各行業(yè)主管部門，信息系統(tǒng)運營、使用單位成立信息安全等級保護工作領(lǐng)導(dǎo)小組，對所屬信息系統(tǒng)進行摸底調(diào)查，全面掌握信息系統(tǒng)的業(yè)務(wù)類型、應(yīng)用或服務(wù)范圍、系統(tǒng)結(jié)構(gòu)等基本情況，確定定級對象，并提出開展本行業(yè)、本單位等級保護工作的具體意見。（二）組織實施階段（2007年9月5日至2009年10月20日）1、定級備案工作。基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)在20

13、07年10月20日前完成定級、評審和初備案工作。其余信息系統(tǒng)在2008年6月30日前完成。2、等級測評工作?；A(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)在2008年7月31日前完成等級測評工作。其余信息系統(tǒng)在2008年12月31日前完成。3、整改建設(shè)工作?；A(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)在2009年6月30日前完成整改建設(shè)工作。其余信息系統(tǒng)在2009年10月31日前完成整改建設(shè)工作。（三）鞏固完善階段信息系統(tǒng)整改建設(shè)工作完成后，應(yīng)當(dāng)建立完善信息系統(tǒng)安全狀況日常檢測工作制度，加強對信息系統(tǒng)的日常維護和安全管理，及時消除安全隱患，確保信息的安全和系統(tǒng)的正常運行。七、工作要求（一）提高認(rèn)識，加強領(lǐng)導(dǎo)。信息安全等級保護制度是

14、國家在國民經(jīng)濟和社會信息化的發(fā)展過程中，提高信息安全保障能力和水平，維護國家安全、社會穩(wěn)定和公共利益，保障和促進信息化建設(shè)健康發(fā)展的一項基本制度。為此，各級公安機關(guān)、保密工作部門、密碼管理部門和信息化行政主管部門，以及重要信息系統(tǒng)運營、使用單位和主管部門，要充分認(rèn)識開展信息安全等級保護工作的重要性、必要性，切實增強政治責(zé)任感和工作緊迫感，全面貫徹落實中央、國務(wù)院和省委、省政府的要求和部署，切實做好信息安全等級保護工作。（二）明確責(zé)任，密切配合。信息安全等級保護工作由各級公安機關(guān)牽頭，會同保密工作部門、密碼管理部門和信息化行政主管部門共同組織實施。四部門要在明確責(zé)任的基礎(chǔ)上，加強協(xié)調(diào)配合，共同組織信息系統(tǒng)主管部門和運營、使用單位開展信息安全等級保護工作。各信息系統(tǒng)主管部門組織本行業(yè)、本部門信息系統(tǒng)運營、使用單位開展信息安全等級保護工作，督促其落實信息安全等級保護工作的各項任務(wù)。（三）動員部署，開展培訓(xùn)。各地區(qū)、各部門要按照統(tǒng)一部署，廣泛進行宣傳動員，加強培訓(xùn)，指導(dǎo)本地區(qū)、本行業(yè)信息系統(tǒng)運營、使用單位按照信息安全等級保護工作的總體要求，分階段、分步驟完成各項任務(wù)。省公安廳將會同省保密局、省國家密碼管理局、省信息辦對省有關(guān)單位、行業(yè)以及各市公安機關(guān)、保密工作部門、國家密碼