網(wǎng)絡(luò)安全等級保護(hù)及安全評估管理辦法

網(wǎng)絡(luò)安全等級保護(hù)及安全評估管理辦法第一章總則第一條為進(jìn)一步落實(shí)國家和電力行業(yè)網(wǎng)絡(luò)安全等級保護(hù)及安全評估要求，規(guī)范中國某集團(tuán)有限公司（以下簡稱集團(tuán)公司）相關(guān)工作，確保依法合規(guī)，依據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》、《貫徹落實(shí)網(wǎng)絡(luò)安全等級保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見》（公網(wǎng)安〔2020〕1960號）、《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》（國家發(fā)改委2014年第14號令）、《電力行業(yè)信息安全等級保護(hù)管理辦法》（國能〔2014〕318號）等法規(guī)和相關(guān)要求，結(jié)合集團(tuán)公司實(shí)際，制定本辦法。第二條按照“誰主管誰負(fù)責(zé)、誰運(yùn)營誰負(fù)責(zé)、誰使用誰負(fù)責(zé)”的原則，將網(wǎng)絡(luò)安全等級保護(hù)與安全防護(hù)評估工作納入日常安全生產(chǎn)管理體系，確保等級保護(hù)及安全防護(hù)評估責(zé)任層層落實(shí)，具體到人。第三條本辦法適用于集團(tuán)公司總部，各分子公司、直屬機(jī)構(gòu)、基層企業(yè)（以下簡稱為各級企業(yè)）。第四條集團(tuán)公司信息中心是集團(tuán)公司網(wǎng)絡(luò)安全等級保護(hù)與安全防護(hù)評估工作的歸口管理部門。第五條各級企業(yè)是網(wǎng)絡(luò)安全等級保護(hù)與安全防護(hù)評估工作的責(zé)任主體，要按照國家等級保護(hù)制度要求，將信息系統(tǒng)、基礎(chǔ)設(shè)施網(wǎng)絡(luò)、云計(jì)算平臺、大數(shù)據(jù)平臺、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)（電力監(jiān)控系統(tǒng)）納入保護(hù)范圍，深化網(wǎng)絡(luò)安全等級保護(hù)定級備案、安全建設(shè)、等級測評、安全整改、監(jiān)督檢查全過程工作。第二章等級保護(hù)第六條各級企業(yè)應(yīng)當(dāng)依據(jù)《網(wǎng)絡(luò)安全等級保護(hù)定級指南》國家標(biāo)準(zhǔn)和《電力行業(yè)信息系統(tǒng)安全等級保護(hù)定級工作指導(dǎo)意見》的要求，規(guī)范開展信息系統(tǒng)的定級備案工作。按照“確定定級對象、初步確定等級、專家評審、集團(tuán)公司審核、公安機(jī)關(guān)備案審查”流程確定安全保護(hù)等級，各級企業(yè)不再自主定級。第七條各級企業(yè)應(yīng)按照國家及行業(yè)要求及時(shí)到公安機(jī)關(guān)辦理備案手續(xù)，并向集團(tuán)公司報(bào)備。對新建系統(tǒng)，應(yīng)在可行性研究報(bào)告報(bào)批前確定網(wǎng)絡(luò)安全保護(hù)等級，并嚴(yán)格按照安全保護(hù)等級編制安全方案。對退役系統(tǒng)，應(yīng)按照國家及行業(yè)要求及時(shí)辦理備案撤銷手續(xù)。第八條各級企業(yè)應(yīng)依據(jù)國家及行業(yè)相關(guān)標(biāo)準(zhǔn)規(guī)范要求，對已定級備案系統(tǒng)的安全性進(jìn)行檢測評估。第三級及以上系統(tǒng)應(yīng)委托符合國家有關(guān)規(guī)定的等級測評機(jī)構(gòu)，每年開展一次網(wǎng)絡(luò)安全等級測評，并及時(shí)將等級測評報(bào)告提交受理備案的公安機(jī)關(guān)和集團(tuán)公司。第二級系統(tǒng)應(yīng)按照規(guī)定的周期委托有資質(zhì)的測評機(jī)構(gòu)開展等級保護(hù)測評工作。當(dāng)系統(tǒng)發(fā)生重大升級、等級變化、系統(tǒng)變更或遷移后需要重新進(jìn)行測評。新建第三級及以上系統(tǒng)，應(yīng)通過等保測評和問題整改后方可投入運(yùn)行。第九條各級企業(yè)應(yīng)當(dāng)定期對定級系統(tǒng)的安全狀況、安全保護(hù)制度及措施的落實(shí)情況進(jìn)行自查。第二級系統(tǒng)應(yīng)當(dāng)每兩年至少進(jìn)行一次自查，第三級系統(tǒng)應(yīng)當(dāng)每年至少一次開展自查。第十條經(jīng)測評或自查確認(rèn)未達(dá)到安全保護(hù)等級要求的系統(tǒng)，運(yùn)營單位應(yīng)當(dāng)制定方案進(jìn)行整改。第十一條第三級及以上系統(tǒng)應(yīng)按照《密碼法》等法律法規(guī)和標(biāo)準(zhǔn)規(guī)范要求，使用密碼技術(shù)進(jìn)行安全保護(hù)，密碼應(yīng)用與系統(tǒng)同步規(guī)劃、同步建設(shè)、同步運(yùn)行。在網(wǎng)絡(luò)安全等級測評中同步開展密碼應(yīng)用安全評估。第三章安全防護(hù)評估第十二條各單位應(yīng)按照《電力監(jiān)控系統(tǒng)安全防護(hù)總體方案等安全防護(hù)方案和評估規(guī)范》（國能安全〔[2015〕]）36號）等文件要求，在電力監(jiān)控系統(tǒng)的建設(shè)改造、運(yùn)行維護(hù)和廢棄節(jié)點(diǎn)開展安全防護(hù)評估工作。第十三條安全評估工作應(yīng)加快完善自評估為主、第三方評估為輔的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評估工作機(jī)制。第十四條對于第三級及以上電力監(jiān)控系統(tǒng)，應(yīng)結(jié)合等級保護(hù)測評工作委托測評機(jī)構(gòu)同步開展安全防護(hù)評估，評估周期最長不超過三年。單個(gè)評估周期內(nèi)，應(yīng)每年組織開展一次自評估。對于第二級電力監(jiān)控系統(tǒng)，應(yīng)每兩年組織一次自評估。第十五條電力監(jiān)控系統(tǒng)在正式投運(yùn)前，其運(yùn)營單位應(yīng)核查供應(yīng)商提供的型式安全評估報(bào)告。第十六條第三級及以上電力監(jiān)控系統(tǒng)新投運(yùn)前或發(fā)生重大變更時(shí)，應(yīng)委托第三方評估機(jī)構(gòu)進(jìn)行上線前安全防護(hù)評估，并報(bào)集團(tuán)公司審核。第二級系統(tǒng)可按要求自行組織。第十七條各級企業(yè)應(yīng)及時(shí)將第三級及以上電力監(jiān)控系統(tǒng)安全評估報(bào)告報(bào)集團(tuán)公司備案。第四章整改管理第十八條各級企業(yè)應(yīng)根據(jù)等級測評、安全評估結(jié)果制定整改計(jì)劃，明確整改的目標(biāo)、項(xiàng)目、進(jìn)度和責(zé)任人。第十九條各級企業(yè)應(yīng)根據(jù)發(fā)現(xiàn)問題嚴(yán)重程度，制定科學(xué)合理的整改方案，并及時(shí)將風(fēng)險(xiǎn)隱患和整改計(jì)劃錄入集團(tuán)公司網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管控平臺。（一）對于嚴(yán)重問題，應(yīng)該立刻制定方案進(jìn)行整改。（二）對一般性問題（設(shè)計(jì)配置策略調(diào)整、特征庫更新、補(bǔ)丁安裝、版本升級等問題），應(yīng)限期進(jìn)行整改。（三）對于需涉及立項(xiàng)、采購設(shè)備、部署系統(tǒng)等的整改，應(yīng)明確整改計(jì)劃，并落實(shí)過渡期間的安全防護(hù)措施。（四）對對普遍性或關(guān)鍵性的重大問題，應(yīng)組織開展技術(shù)攻關(guān)，研究制定整改方案。第二十條各級企業(yè)要強(qiáng)化評估發(fā)現(xiàn)問題整改的閉環(huán)管理，整改完成后應(yīng)及時(shí)進(jìn)行驗(yàn)收總結(jié)，確保整改徹底到位。第二十一條各級企業(yè)要加強(qiáng)等級保護(hù)測評及安全評估工作的保密管理，實(shí)施前應(yīng)簽署保密協(xié)議，確保評估機(jī)構(gòu)及其實(shí)施人員安全可靠，保證評估過程中產(chǎn)生或接觸的所有信息得到有效保障。第二十二條未經(jīng)集團(tuán)公司授權(quán)許可，禁止測評機(jī)構(gòu)及其人員向任何第三方泄露等保測評及安全評估中知悉的商業(yè)秘密、系統(tǒng)信息、防護(hù)策略、風(fēng)險(xiǎn)隱患、個(gè)人隱私等敏感信息，不得利用測評過程中知悉的信息或漏洞對集團(tuán)公司系統(tǒng)內(nèi)任何單位進(jìn)行探測和入侵。第五章保障及監(jiān)督第二十三條各級企業(yè)應(yīng)根據(jù)等級保護(hù)要求，統(tǒng)籌制定等級保護(hù)測評、安全評估、安全整改工作計(jì)劃，保障相關(guān)資金列入年度預(yù)算，確保系統(tǒng)等級保護(hù)測評及安全評估工作的順利開展。第二十四條未按要求開展網(wǎng)絡(luò)安全等級保護(hù)及安全防護(hù)評估工作的，或被監(jiān)管部門、集團(tuán)公司檢查通