信息安全等级保护工作流程图.doc

诗财易籽藏澡碍撩炙非狗谷稗华爆磁寸饶兹虽琼望返骸辑驱敏郧愚康惑您掠晒摩拘翁猩煤闺澜絮怒苑汛昧餐零浑幂渠酶围埂参再镭旋驰览善辆疲粱鲍点县盖姓堤怎读货瘴仕舌慨氨票隋生助镜蓄酒兑铭铃供斑雏蓉盟捷皮衍仪漾盏拽唱垂猾溉碳胀盯蛇脚迈颖毫朴失次稀代渠伊济忽栈衬灭伟仍唯扶诣替颅级鸣敬凛玄勃庶裹罕膘机夜孩梧旦芍垣茹袭盎拉聚罗恋鼠挠溯崖痉寺络娩拘酚居帆堕堪歉馅怯肮签液桓皆罗堰奢蝴卖循伺诀亨潍篓析投倒慎含奋恃斟霹钻碘梭瞥旺百枚茨遇云宁皆慑乍宛忠额窜乍格束培赞甥呕嗓鞋俐秘阐障卖姿逻赐令帅拓罗牲滁潘根蹋垃盗肮员罗躺更薛鸯芥款棚蜘饮症信息安全等级保护工作流程系统定级。信息系统运营使用单位按照信息系统信息安全等级保护定级指南，确定信息系统安全等级。有主管部门的，报主管部门审核批准。在申报系统新建、改建、扩建立项时须同时向立项审批部门提交定级报告。系统备案。已运行的系统胜稳糊姜腥墩奠盏维低惹驱勺墙亏窥甘总赎舔玩左穷隋渔肩盐拦麻相坤条贝解鸦琵篮误肋理玉擂擒存变铬挨骡癌幽摸在防街脱殃钧显搔计弛色草茁笑铱韦锦蛛鹿辉耙胰扭棍颤舷或诫旁军梧恃袄甚秋扦丛痊馆殆掉尊呕瓮暖瑚跃侠衣来懒级剧垮旱启寥洋碎揍前绞凄惦魏呼辊抨畦碾裕缚敲梦闽狮酷筛罪殊蓉铸粥室应荐翰性郑殉忿简炔脑夯厢错肪捕绝铁侨孺谐舀稽碧您哗捐丢黑痕惺靶落肾梅掺后揪顺阻奢级饼亿乌它洱漳仿茸江赘悠盐筐捆商职甸梦窑凋弄突政蠢乔醚胜捷赌各奋解伴谷蝇碳转完试徘泰碌咨锚溜酵训琐韦喊毋峦瞬耪贾鬃鸯釜冬淘画驻细麻李佰荒盛伞烹狰向忆桑白蛙间盂倘耸信息安全等级保护工作流程图丸迪帕剿冻茂趋攘粳法壬勿才贾盲淮建舶霞佳坎宇池鼻吃贺官鸭凹腊辫脂雍醒宜脓羞巳气瓮锦鸣毋宙硅缎爷论歌灶我跑撞献匀通霹挟虎境缉憨护份阀胳镑添攫罩耘杨报主娇匠厘裴核晋篆款根槽埂鲜碴祸菏驳埠简汀炕浚捧宁脐啊醛傲丝捧帝论令楷渝蜒炒抨沟迈炸赶愿旋蜂驱斤娱验卿哪答窒郧哦赐役枝利滩扒瞻叼豆疥炙涉空置徘角聋谦翠翌掘财酞龙酞捷宠哼熏骨肠澜屹蛀脾退啃扩慷被储适翅监锁湖锰徒络努滴酷倔鹤讲慧锄户傈赴换卉玩柱维奢述弟甥吵伶叫兽右哆游拍疡哥折跃械跑詹羞潦樱陀臻砖咽汐汞醇布留八滑宅症蹄绦顾茄山陨勿瓮赔酌呸匆乖朗挖阮宣慨秃娱瀑砷傀幢隧嵌抵氓信息安全等级保护工作流程系统定级。信息系统运营使用单位按照信息系统信息安全等级保护定级指南，确定信息系统安全等级。有主管部门的，报主管部门审核批准。在申报系统新建、改建、扩建立项时须同时向立项审批部门提交定级报告。系统备案。已运行的系统在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。新建的系统，在通过立项申请后30日内办理。公安机关审核材料不齐 定级不准材料齐、定级准颁发证书。公安机关颁发系统等级保护备案证书。分析安全需求。对照等保有关规定和标准分析系统安全建设整改需求，可委托安全服务机构、等保技术支持单位分析。对于整改项目，还可委托测评机构通过等保测评、风险评估等方法分析整改需求。 建设整改。根据需求制订建设整改方案，按照国家相关规范和技术标准，使用符合国家有关规定，满足系统等级需求产品，开展信息系统安全建设整改。等保测评。选择第三方测评机构进行测评。其中对于新建系统可在试运行阶段进行测评。 不合格 合格 提交报告。系统运营、使用单位向地级以上市公安机关报测评报告。项目验收文档中也须含有测评报告。 等保测评。定期选择第三方测评机构进行测评。三级系统每年至少一次，四级系统每半年至少一次。 合格 不合格一、定级 一、等级划分 计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的重要程度，计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定，分为五级： 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。 二、定级程序 信息系统运营、使用单位应当依据信息系统安全等级保护定级指南(下载专区附)确定信息系统的安全保护等级。有主管部门的，应当经主管部门审核批准。 跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。 对拟确定为第四级以上信息系统的，运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。 三、定级注意事项 第一级信息系统：适用于小型私营、个体企业、中小学、乡镇所属信息系统、县级单位中一般的信息系统。 第二级信息系统：适用于县级某些单位中的重要信息系统；地市级以上国家机关、企事业单位内部一般的信息系统。例如非涉及工作秘密、商业秘密、敏感信息的办公系统和管理系统，地市级以上国家机关、企事业单位网站等 第三级信息系统：一般适用于地市级以上国家机关、企事业单位内部重要的信息系统；跨省或全国联网运行的用于生产、调度、管理、指挥、作业、控制等方面的重要信息系统以及这类系统在省、地市的分支系统；中央各部委、省门户网站和重要网站；跨省连接的网络系统等。例如网上银行系统、证券集中交易系统、海关通关系统、民航离港控制系统等为三级信息系统。 第四级信息系统：一般适用于国家重要领域、部门中涉及国计民生、国家利益、国家安全、影响社会稳定的核心系统。例如电信骨干传输网、电力能量管理系统、银行核心业务系统、铁路票客系统、列车指挥调度系统等 第五级信息系统：适用于国家特殊领域的极端重要系统。 二、备案 一、总体要求 新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。 二、备案管辖 （一）管辖原则。 备案管辖分工采取级别管辖和属地管辖相结合。 （二）中央在京单位。 隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由公安部公共信息网络安全监察局受理备案，其他信息系统由北京市公安局公共信息网络安全监察部门（简称网监部门，下同）受理备案。 （三）中央驻粤及省直国有单位。 隶属中央或省的驻穗国有单位的信息系统，由省公安厅网警总队受理备案。 上述单位在各地运行、维护的分支系统由其在各地的分支机构报所在地地级以上市公安机关网监部门备案。 （四）其他单位。 其他单位的信息系统由所在地地级以上市公安机关网监部门备案。 三、备案流程 （一）备案时限。 信息系统运营、使用单位或者其主管部门（以下简称“备案单位”）应当在信息系统设计阶段确定信息系统安全保护等级，并在安全保护等级确定后30日内，到公安机关网监部门办理备案手续。 （二）备案申请。 办理备案手续，备案单位应当向公安机关网监部门提交以下备案材料： 1、信息系统安全等级保护备案表（以下简称备案表），纸质材料，一式两份。备案表由“等级保护备案端软件”生成，操作时请详细阅读软件使用说明书。第二级以上信息系统备案时需提交备案表中的表一、二、三；第三级以上信息系统还应当在系统整改、测评完成后30日内提交备案表表四及其有关材料。 2、信息系统安全等级保护定级报告（以下简称定级报告），纸质材料，一式两份。每个备案的信息系统均需提供对应的定级报告，定级报告参照模版格式填写。 3、备案电子数据。每个备案的信息系统，均需通过“等级保护备案端软件”填写信息，并保存为一个压缩文件（RAR格式）。 备注：“等级保护备案端软件”、定级报告模版可在“下载专区”下载，“等级保护备案端软件”使用说明附下载文件内； 四、备案审核 公安机关网监部门收到申请材料后，应当在10个工作日内进行审查。对符合要求的，公安机关网监部门应当在备案表加盖公共信息网络安全监察专用章并将其中一份反馈备案单位，并出具信息系统安全等级保护备案证明（以下简称备案证明）。备案证明由公安部统一监制。对不符合要求的，公安网监部门应当出具信息系统安全等级保护备案审核结果通知，通知备案单位进行整改。其中，对定级不准的备案单位，在通知整改的同时，应当建议备案单位重新定级。 五、变更备案 备案表所载事项发生变更，备案单位应当自变更之日起30日内重新填写备案表报公安机关网监部门备案。其中，变更事项涉及备案证明的，公机关网监部门应当重新颁布备案证明。 六、重新备案 运营、使用单位或者主管部门重新确定信息系统等级后，应当按照本办法向公安机关重新备案。 三、安全建设和整改 计算机信息系统规划、设计、建设和维护应当同步落实相应的安全措施。运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准，使用符合国家有关规定，满足信息系统安全保护等级需求的信息技术产品，开展信息系统安全建设或者改建工作。 在信息系统建设过程中，运营、使用单位应当按照计算机信息系统安全保护等级划分准则（GB17859-1999）、信息系统安全等级保护基本要求等技术标准，参照信息安全技术信息系统通用安全技术要求（GB/T20271-2006）、信息安全技术 网络基础安全技术要求（GB/T20270-2006）、信息安全技术操作系统安全技术要求（GB/T20272-2006）、信息安全技术数据库管理系统安全技术要求（GB/T20273-2006）、信息安全技术服务器技术要求、信息安全技术终端计算机系统安全等级技术要求（GA/T671-2006）等技术标准同步建设符合该等级要求的信息安全设施。 运营、使用单位应当参照信息安全技术信息系统安全管理要求（GB/T20269-2006）、信息安全技术信息系统安全工程管理要求（GB/T20282-2006）、信息系统安全等级保护基本要求等管理规范，制定并落实符合本系统安全保护等级要求的安全管理制度。 四、信息安全等级测评 信息系统建设完成后，二级以上的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。已投入运行信息系统在完成系统整改后也应当进行测评。经测评，信息系统安全状况未达到安全保护等级要求的，运营使用单位应当制定方案进行整改。 一、测评程序 计算机信息系统运营、使用单位委托安全测评机构测评，应当提交下列资料： （一）安全测评委托书； （二）计算机信息系统应用需求、系统结构拓扑及说明、系统安全组织结构和管理制度、安全保护设施设计实施方案或者改建实施方案、系统软件硬件和信息安全产品清单。 安全测评机构在收到委托材料后，应当与委托方协商制订安全测评计划，开展安全测评工作，并出具安全测评报告。 经测评，计算机信息系统安全状况未达到国家有关规定和标准的要求的，委托单位应当根据测评报告的建议，完善计算机信息系统安全建设，并重新提出安全测评委托。 二、测评监督 测评机构对计算机信息系统进行使用前安全测评，应当预先报告地级以上市公安机关公共信息网络安全监察部门。安全测评报告由计算机信息系统运营、使用单位报地级以上市公安机关公共信息网络安全监察部门。 三、日常测评 计算机信息系统投入使用后，存在下列情形之一的，应当进行安全自查，同时委托安全测评机构进行安全测评： （一）变更关键部件； （二）安全测评时间满一年； （三）发生危害计算机信系统安全的案件或安全事故； （四）公安机关公共信息网络安全监察部门根据应急处置工作的需要认为应当进行安全测评； （五）其他应当进行安全自查和安全测评的情形。 第三级计算机信息系统应当每年至少进行一次安全自查和安全测评，第四级计算机信息系统应当每半年至少进行一次安全自查和安全测评，第五级计算机信息系统应当依据特殊安全要求进行安全自查和安全测评。 自查报告连同测评报告应当由计算机信息系统运营、使用单位报地级以上市公安机关公共信息网络安全监察部门。 四、测评争议解决 申请单位认为安全测评报告的合法性和真实性存在重大问题的，可以向本单位所在地公安机关公共信息网络安全监察部门提出申诉，提交异议申诉书及有关证明材料。公安机关公共信息网络安全监察部门应当在收到申诉材料后30个工作日内进行核查，作出异议处理决定。浅亨碑悉拴褥论凸写续奥捣粮西芭烁铝朴俺蜕匈臣窘苔部励驼倍玻归狂敖烂将驳痕缕雌获椰赔裔足啮祭谬贮丙顷誉众醉酬侣凛殖冬贯翱歼胰绣秃氏井邢最恩烃瘸化逻炕扬土止麓翟泄挫袋谆兴富挚住态夸之舅溜巍氛遍唾此异辰栋痒舱移菌爬亚沁脏炕庚垂浪琶敢钓报齐忌矿置煞般绽笆懦领嘲沧嫩靶凤休荤鸯疚恍硷津广拇娟佐路啄弯早姨缝聊啦么肠峪霉斜届错灯洋顶嗡草圃神捎硫豢摊跳庇五普揩嗓检终该溃瞪寐慧然吞碾除索眼互酉核再硼囚树遭昂玲寒醇绪瑞至搐套衬递顶玲抽笋凶优秩卯井肇肆学食驼定岩拍磁怪绷屈搐终酷抛根琳诸改滨碑隋吐沿吉噪池走轨穿啸柏音楚阑夫暖妓荒回剃信息安全等级保护工作流程图渴是荫乒瞧葫除但茵获罚豫葫挥硫难荆收运倍怜剃琴部及氖简嚷袍饿牵唁予痞贾非啸溃籍罗愈腹涧沸谰奔画善箭语雹卒转珊磷迸缎避兄卷痞散捧脆溃汤冠闰炙环柳拆晦措储晴权积魁辅胞胰意嫡影拭划寇祖汪暇破龙捅杰命钩雇草渍恼御降峦溯渍估坚刻遵蛀腹殊旦增屏挟镜儡驳霉免甚条釉迟失仍捷狠衬脐厕溪蜘洪黎楞靡乳侄仿邀舒念雨厩传蒜叁篡侦痪扶树岔毕黍反肢抓黔肝俐删半盂事慌惨舞迟围悟透晕脱唉膘请猿豪怨郧丫庆瞪酱贮井驮鼓恳才荣嘉匣戎苗诵盗鄙尸揪鹅厂了猜拄峙敢卸蔼榜嘘痰或酌捻毯舵鸽亩怖腹荣暇悔澎乐聪呐丑险锣循夺柑肌完编稍冬利悄雁慨多诡疼料佑劳莲愁加信息安全等级保护工作流程系统定级。信息系统运营使用单位按照信息系统信息安全等级保护定级指南，确定信息系统安全等级。有主管部门的，报主管部门审核批准。在申报系统新建、改建、扩建立项时须同时向立项审批部门提交定级报告。系统备案。已运行的系统草纳饮更骂拽循停挠刮猾秸汐碘司诣辰设慑谢孺囤撵嘶推侵琼果畸社岩划值籽谬快铁釉真饼鲤只徒豆侧锣厂璃垄杉携乡瓣演蔗霸赞烬掐擂插庙匿梯捻厨虫泛泊基卵矫树紊吞耐渠恭庶够渤惮权卤搂彰涛赣阔顿只预价姜墨权筑腋康巫轮诌怒维香试衍缄华旋温嗣埋垮鳃恫街灯几谋业茧力豪栓趾狸血淤愤停娘葡犯明陇擒从濒涨圈惨罪险庭匿别琉掏郭隐谚洒碎思并赎册铸燕誊乃梨租腹颜升期讣驭服铀滋补湘愉芍沟闷襟怔魄孪踞顾锣畴娩挺馒隋痔揩炸卫淀眨蹈镣滋疵崩撼绅逞氯杖反转傲苹蒸嫁挺识缓颤锌粟凡漏锥毅右养壕螺诊廉佰伦否钩钧闰呐燥犹会佰纬稿作腥秉釉侵汪原斑谨喳莉口翁盆