信息安全等级保护测评工作管理规范(试行)完整篇.doc

(完整word版)信息安全技术网络安全等级保护测评要求

信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。

但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。

根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。

1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。

这就要求等级测评过程规范、测评结论准确、公正及可重现。

《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。

伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。

作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。

信息安全等级保护测评体系建设与测评工作规范性文件.

3
依据《信息安全等级保护测评工作管理规范》（试行），信息安全等级测评机构（以下简称测评机构）应当具备以下基本条件：
a)在中华人民共和国境内注册成立（港澳台地区除外）；
b)由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（具体要求参见8.2.1）
c)产权关系明晰，注册资金100万元以上；（具体要求参见8.2.2）
d)从事信息系统检测评估相关工作两年以上，无违法记录；（具体要求参见5.2.1）
e)工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；（具体要求参见8.2.1）
f)具有满足等级测评工作的专业技术人员和管理人员，测评技术人员不少于10人；
g)具备必要的办公环境、设备、设施，使用的技术装备、设施应当符合《信息安全等级保护管理办法》对信息安全产品的要求；（具体要求参见6.1）
h)具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；（具体要求参见4.5）
i)对国家安全、社会秩序、公共利益不构成威胁;
j)应当具备的其他条件。
4
4.1
说明：
1.测评机构管理者等级保护相关的政策法规，如《中华人民共和国计算机信息系统安全保护条例》（147号令）、《信息安全等级保护工作的实施意见》（66号文)、《信息安全等级保护管理办法》（43号文）、《信息安全等级保护测评工作管理规范》（公信安[2010]303号）等。
4.4
说明：
1.机构应以文件化的形式明确其岗位名称和职责。
2.应保证行政管理人员（如人力资源、财务等）的数量，并满足岗位能力要求。
4.5
说明：
1.各管理制度文档内容应覆盖相关要求。
2.各管理制度应按规范的审批流程在机构内发布、实施。

关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知(公信安0).doc

关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知(公信安303)1关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知公信安[2010]303号各省、自治区、直辖市公安厅、局网络安全保卫（公共信息网络安全监察、网络警察）总队（处）、新疆生产建设兵团公安局公共信息网络安全监察处：为进一步贯彻落实公安部《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）精神，加快信息安全等级保护测评体系建设，提高测评机构能力，规范测评活动，确保信息安全等级保护安全建设整改工作顺利进行，满足信息安全等级保护工作的迫切需要，决定在全国部署开展信息安全等级保护测评体系建设和等级测评工作。

现将有关事项通知如下：一、工作目标（一）通过广泛宣传和正确引导，鼓励更多的有关企事业单位从事信息安全等级保护测评工作，满足信息安全等级保护测评工作的迫切需要。

（二）通过对测评机构进行统一的能力评估和严格审核，保证测评机构的水平和能力达到有关标准规范要求。

（三）加强对测评机构的安全监督，规范其测评活动，保证为备案单位提供客观、公正和安全的测评服务。

（四）督促备案单位开展等级测评工作，为开展等级保护安全建设整改工作奠定基础，使信息系统安全保护状况逐步达到等级保护要求。

二、工作内容各地要按照《关于开展信息安全等级保护安全建设整改工作的指导意见》要求，结合本地实际组织开展以下工作：（一）统筹规划，正确引导，积极稳妥地推动等级测评机构建设。

结合本地已定级备案信息系统数量和分布情况，从满足等级测评工作的实际需要出发，统筹规划、合理布局测评机构的规模和数量，积极引导本地符合规定条件、有良好信誉的企事业单位从事等级测评工作，按照成熟一个发展一个的原则，有计划、积极稳妥地推动测评机构建设。

（二）规范流程，严格把关，确保测评机构的水平和能力符合测评工作要求。

依据《信息安全等级保护测评工作管理规范（试行）》（见附件一），对申请成为测评机构的单位严格把关，按照申请受理、测评能力评估、审核、推荐的流程，认真开展测评机构评审和推荐工作。

信息系统安全等级测评-测评资料管理制度1.doc

信息系统安全等级测评-测评资料管理制度1内部信息系统安全等级测评测评资料管理制度[BH.IS/MD.CP-07.1:2011]XX公司2011年9月20日关于本文件分发控制[受控文件填写]第一章总则第一条为保护等级测评活动中涉及到的被测评单位及被测信息系统的国家秘密和工作秘密，加强测评相关资料的管理，依据公司相关管理制度，制订本制度第二条本规定适用于测评活动中获取及产生的所有文件、资料和信息的管理。

第二章测评资料的范围第三条被测单位提供的文件、资料和信息1．被测信息系统总体描述文件2．被测信息系统安全需求分析报告3．被测信息系统安全总体方案4．被测信息系统验收报告5．被测信息系统定级报告第四条测评过程中产生的工作产品和记录1．被测信息系统基本情况调查表2．信息系统安全等级测评-测评方案3．信息系统安全等级测评测评现场记录4．信息系统安全等级测评-测评报告第五条测评过程中产生的其他文档1．信息系统安全等级测评-委托协议2．信息系统安全等级测评-保密协议3．信息系统安全等级测评-现场测评协议书4．信息系统安全等级测评-风险告知书5．信息系统安全等级测评-项目计划书6．信息系统安全等级测评-项目管理计划7．信息系统安全等级测评-等级测评会议记录8．信息系统安全等级测评-测评现场交接归还文档清单9．信息系统安全等级测评-项目控制报告10．信息系统安全等级测评-质量监督报告11．信息系统安全等级测评-项目总结报告12．各类评审记录表第三章测评资料的管理第六条本制度第三条及第四条所涉及资料为受控II级。

此类资料在信息安全部内部调阅须由部门领导授权批准；其他部门或外单位人员调阅须由技术副总经理授权批准。

第七条本制度第五条涉及资料为受控I级文档。

此类文档单位内部调阅须由信息安全部经理授权批准；外单位人员调阅须由技术副总经理批准。

第八条其他管理要求按照公司《档案管理制度》的规定执行。

第四章附则第九条本制度未尽事宜，参照公司相关制度执行。

信息安全等级保护测评工作管理规范(试行)完整篇.doc

信息安全等级保护测评工作管理规范(试行)1附件一：信息安全等级保护测评工作管理规范（试行）第一条为加强信息安全等级保护测评机构建设和管理，规范等级测评活动，保障信息安全等级保护测评工作（以下简称“等级测评工作”）的顺利开展，根据《信息安全等级保护管理办法》等有关规定，制订本规范。

第二条本规范适用于等级测评机构和人员及其测评活动的管理。

第三条等级测评工作，是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。

等级测评机构，是指具备本规范的基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室（以下简称为“等保办”）推荐，从事等级测评工作的机构。

第四条省级以上等保办负责等级测评机构的审核和推荐工作。

公安部信息安全等级保护评估中心（以下简称“评估中心”）负责测评机构的能力评估和培训工作。

第五条等级测评机构应当具备以下基本条件：（一）在中华人民共和国境内注册成立（港澳台地区除外）；（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（三）产权关系明晰，注册资金100万元以上；（四）从事信息系统检测评估相关工作两年以上，无违法记录；（五）工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；（六）具有满足等级测评工作的专业技术人员和管理人员，测评技术人员不少于10人；（七）具备必要的办公环境、设备、设施，使用的技术装备、设施应当符合《信息安全等级保护管理办法》对信息安全产品的要求；（八）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；（九）对国家安全、社会秩序、公共利益不构成威胁;（十）应当具备的其他条件。

第六条测评机构及其测评人员应当严格执行有关管理规范和技术标准，开展客观、公正、安全的测评服务。

测评机构可以从事等级测评活动以及信息系统安全等级保护定级、安全建设整改、信息安全等级保护宣传教育等工作的技术支持。

《信息安全等级保护管理办法》.doc

《信息安全等级保护管理办法》1 信息安全等级保护管理办法（公通字[2007]43号）作者: 来源: 公安部、国家保密局、国家密码管理局、字体：大中小国务院信息工作办公室时间：2007-06-22第一章总则第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。

第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。

第三条公安机关负责信息安全等级保护工作的监督、检查、指导。

国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。

国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。

涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。

国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。

第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。

第五条信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。

第二章等级划分与保护第六条国家信息安全等级保护坚持自主定级、自主保护的原则。

信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

第七条信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

关于明确信息安全等级保护测评机构管理有关事项的通知(广公(网监))【2009】421号

关于明确信息安全等级保护测评机构管理有关事项的通知地级以上市公安局网警支队（网监科）、信息安全等级保护测评机构：6月18日，公安部十一局在上海召开会议，对等级测评机构管理相关问题进行了明确，要求开展等级测评的单位不得从事下列活动：一是承担信息系统安全建设整改工作；二是将等级测评任务分包、外包；三是信息安全产品开发、营销和信息系统集成活动；四是限定被测评单位购买、试用其指定的信息安全产品；五是未经许可占有、使用被测评单位有关信息、资料及数据文件。

为贯彻落实会议精神，进一步规范我省等级测评单位管理，现将有关事项明确如下：一、进一步规范测评服务管理。

根据公安部十一局要求，为确保测评活动的公正性，承担测评工作的机构不宜从事信息安全整改、集成服务。

为此，已在我省办理信息安全等级保护测评机构备案的单位，要在7月20日前，以单位名义向原受理的公安网监部门以及我总队提供承诺书，声明在我省开展等级测评工作不违反以上要求。

新申请等级测评的单位，也须提供申请书和承诺书。

我总队将对提供承诺书的情况在备案目录中公示，以便于信息系统运营、使用单位、主管部门选用提供各类测评服务。

未提供承诺书的单位，我总队也将予以公示，供信息系统运营、使用单位在实施安全整改时选用提供差距评估服务。

二、提高测评工作装备水平。

为统一工具标准，我总队制定了《信息安全等级保护测评工具选用指引》（以下简称《指引》），对测评所需的必备工具和选用工具进行了明确。

各测评机构要对照《指引》要求，结合本单位实际，对测评工具进行补充完善，切实满足测评工作需求，提升测评工作质量。

三、推动信息安全等级保护整改。

各级公安网监部门要按照《广东省深化信息系统安全等级保护工作方案》要求，加大各类测评机构和安全服务机构的监督指导力度，发挥其作用，为信息系统运营、使用单位、主管部门提供差距评估、整改方案制订和实施、安全测评等服务，大力推动信息系统的安全整改，切实推动我省信息安全等级保护工作深入开展。

公安机关信息安全等级保护检查工作规范(试行)

公安机关信息安全等级保护检查工作规范（试行）第一条为规范公安机关公共信息网络安全监察部门开展信息安全等级保护检查工作，根据《信息安全等级保护管理办法》（以下简称《管理办法》），制定本规范。

第二条公安机关信息安全等级保护检查工作是指公安机关依据有关规定，会同主管部门对非涉密重要信息系统运营使用单位等级保护工作开展和落实情况进行检查，督促、检查其建设安全设施、落实安全措施、建立并落实安全管理制度、落实安全责任、落实责任部门和人员。

第三条信息安全等级保护检查工作由市（地）级以上公安机关公共信息网络安全监察部门负责实施。

每年对第三级信息系统的运营使用单位信息安全等级保护工作检查一次，每半年对第四级信息系统的运营使用单位信息安全等级保护工作检查一次。

第四条公安机关开展检查工作，应当按照“严格依法，热情服务”的原则，遵守检查纪律，规范检查程序，主动、热情地为运营使用单位提供服务和指导。

第五条信息安全等级保护检查工作采取询问情况，查阅、核对材料，调看记录、资料，现场查验等方式进行。

第六条检查的主要内容：（一）等级保护工作组织开展、实施情况。

安全责任落实情况，信息系统安全岗位和安全管理人员设置情况；（二）按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况；（三）信息系统定级备案情况，信息系统变化及定级备案变动情况；（四）信息安全设施建设情况和信息安全整改情况；（五）信息安全管理制度建设和落实情况；（六）信息安全保护技术措施建设和落实情况；（七）选择使用信息安全产品情况；（八）聘请测评机构按规范要求开展技术测评工作情况，根据测评结果开展整改情况；（九）自行定期开展自查情况；（十）开展信息安全知识和技能培训情况。

第七条检查项目：（一）等级保护工作部署和组织实施情况1．下发开展信息安全等级保护工作的文件，出台有关工作意见或方案，组织开展信息安全等级保护工作情况。

2．建立或明确安全管理机构，落实信息安全责任，落实安全管理岗位和人员。

等保测评管理制度模板

一、总则第一条为加强我单位信息系统的安全管理，提高信息系统安全防护能力，依据《中华人民共和国网络安全法》及国家相关法律法规，特制定本制度。

第二条本制度适用于我单位所有涉及信息系统的建设和运维过程，包括但不限于网络、主机、数据库、应用系统等。

第三条本制度旨在规范等保测评工作流程，明确各部门职责，确保信息系统安全防护措施得到有效实施。

二、组织机构及职责第四条成立等保测评工作领导小组，负责等保测评工作的组织、协调和监督。

第五条等保测评工作领导小组下设以下部门：（一）办公室：负责等保测评工作的日常管理、协调和沟通。

（二）技术部门：负责信息系统安全防护措施的技术实施和保障。

（三）运维部门：负责信息系统安全防护设施的运维和维护。

（四）法务部门：负责等保测评工作的法律事务和合规性审查。

三、等保测评工作流程第六条系统定级（一）根据业务需求、信息资产、安全风险等因素，对信息系统进行定级。

（二）定级结果经等保测评工作领导小组审批后，报上级主管部门备案。

第七条系统备案（一）持定级报告及相关材料，向当地公安机关申请备案。

（二）备案手续完成后，获得等保测评资质。

第八条建设整改（一）根据定级要求，制定安全防护方案。

（二）对信息系统进行整改，包括物理安全、网络安全、主机安全、数据安全、应用安全等方面。

（三）整改完成后，进行内部验收。

第九条等级测评（一）选择具备相应资质的测评机构进行等级测评。

（二）测评机构按照国家标准和方法，对信息系统进行安全测评。

（三）测评完成后，出具测评报告。

第十条测评结果应用（一）根据测评报告，对信息系统进行整改。

（二）对整改情况进行跟踪和评估，确保整改措施落实到位。

四、监督检查与持续改进第十一条等保测评工作领导小组定期对信息系统安全防护措施进行监督检查。

第十二条对信息系统安全防护设施进行定期检查、维护和升级。

第十三条发现安全漏洞和风险时，及时采取措施进行整改。

第十四条定期对员工进行信息安全意识培训。

五、附则第十五条本制度由等保测评工作领导小组负责解释。

(完整word版)信息安全技术网络安全等级保护测评要求

信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。

但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。

根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。

1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。

这就要求等级测评过程规范、测评结论准确、公正及可重现。

《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。

伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。

作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。

信息安全等级保护管理办法范本（2篇）

信息安全等级保护管理办法范本一、总则为加强对信息系统安全的管理，保护国家重要信息资源的安全，依据《中华人民共和国网络安全法》等相关法律法规，制定本办法。

二、管理要求（一）等级划分1.按照信息系统对国家安全、经济建设、社会生活等的重要程度，将信息系统划分为不同等级。

2.等级划分应综合考虑信息系统的规模、功能、对外联网情况、所属行业、技术复杂性等因素。

3.等级划分原则上采用五级，即绝密级、机密级、秘密级、内部资料级、一般级。

（二）安全保护要求1.绝密级信息系统应采取最高级别的安全保护措施，确保信息的机密性、完整性和可用性。

2.机密级信息系统应采取适当的安全保护措施，确保信息的机密性和完整性。

3.秘密级信息系统应采取一定程度的安全保护措施，确保信息的机密性。

4.内部资料级信息系统应采取基本的安全保护措施，确保信息的完整性。

5.一般级信息系统应采取相对较低的安全保护措施，确保信息的可用性。

（三）安全保护措施1.与信息系统安全等级相匹配的物理安全措施，包括安全区域划分、存储设备加密、门禁进出管控等。

2.与信息系统安全等级相匹配的网络安全措施，包括网络隔离、入侵检测和防护、数据加密传输等。

3.与信息系统安全等级相匹配的访问控制措施，包括用户权限管理、身份认证机制、审计日志监控等。

4.与信息系统安全等级相匹配的应用安全措施，包括软件漏洞管理、安全编码规范等。

（四）安全审计和评估1.定期对信息系统进行安全审计，评估其安全性。

2.安全审计应包括对物理安全、网络安全、访问控制和应用安全等方面的审查。

3.安全评估应通过实施网络渗透测试、漏洞扫描等方式进行。

三、保护措施（一）责任制度1.建立信息安全保护责任制，明确各级单位的安全管理责任和义务。

2.信息系统管理部门负责对本单位信息系统的安全管理和维护工作。

3.各部门及人员应按照安全保护要求，严格执行安全管理规定。

（二）人员管理1.对涉及信息系统安全的员工进行安全培训，提高其信息安全意识和技能。

信息安全等级保护管理办法模版（三篇）

信息安全等级保护管理办法模版第一章总则第一条为规范信息安全等级保护工作，根据《网络安全法》等相关法律法规，制定本管理办法。

第二条本管理办法适用于我国境内的各类组织、个人从事信息系统建设、运营维护和信息安全等级评定及保护工作。

第三条信息安全等级保护的原则是依法规范、综合治理、分类管理、动态调整、继续完善。

第四条信息安全等级保护的目标是明确组织责任、规范信息处理、保障信息安全、促进信息创新、保护国家安全。

第二章信息安全等级保护适用和等级评定第五条信息安全等级保护工作适用于以下情况：（一）网络和信息系统的建设、运营维护工作；（二）国家重点领域和关键信息基础设施的建设、运营维护工作；（三）信息系统运营商、信息系统运维服务商的服务提供和运营工作；（四）其他涉及本办法规定的信息系统管理和信息处理工作。

第六条信息安全等级评定是根据信息系统的安全风险等级、信息系统的功能需求等因素，对信息系统进行评估、等级划分和安全保护措施的确定；信息安全等级评定包括初评、核查、评定和审批等环节。

第七条信息安全等级评定按照国家标准进行评定，评定结果应当按照相关规定进行公示。

第三章信息安全等级保护责任和义务第八条信息安全等级保护责任和义务由信息系统运营者或者使用者承担。

第九条信息系统运营者应当履行以下责任和义务：（一）制定和完善信息安全管理制度和标准，按照评定结果确定的安全等级履行保护义务；（二）对信息系统进行保密、存储、传输和处理等安全管理，采取技术和管理手段保障信息安全；（三）提供必要的信息安全培训和教育，提升员工信息安全意识和能力；（四）及时报告和处理信息安全事件，采取措施防范和应对威胁和攻击；（五）按照国家有关规定进行备案和申报，接受相关部门的监督检查。

第十条信息系统使用者应当履行以下责任和义务：（一）遵守信息安全管理制度和安全操作规程，正确使用和保护系统和网络资源；（二）提供真实、准确、完整的个人和组织信息进行备案和/或注册；（三）按照规定的权限和职责使用信息系统，禁止未经授权的操作和访问；（四）对收集到的个人信息进行安全保护，不得泄露、篡改、毁损；（五）及时报告和处理信息安全事件，并积极配合有关部门的调查和处理。

公安机关信息安全等级保护检查工作规范

公安机关信息安全等级保护检查工作规范内部编号：（YUUT-TBBY-MMUT-URRUY-UOOY-DBUYI-0128）公安机关信息安全等级保护检查工作规范（试行）第一条为规范公安机关公共信息网络安全监察部门开展信息安全等级保护检查工作，根据《信息安全等级保护管理办法》（以下简称《管理办法》），制定本规范。

第二条公安机关信息安全等级保护检查工作是指公安机关依据有关规定，会同主管部门对非涉密重要信息系统运营使用单位等级保护工作开展和落实情况进行检查，督促、检查其建设安全设施、落实安全措施、建立并落实安全管理制度、落实安全责任、落实责任部门和人员。

第三条信息安全等级保护检查工作由市（地）级以上公安机关公共信息网络安全监察部门负责实施。

每年对第三级信息系统的运营使用单位信息安全等级保护工作检查一次，每半年对第四级信息系统的运营使用单位信息安全等级保护工作检查一次。

第四条公安机关开展检查工作，应当按照“严格依法，热情服务”的原则，遵守检查纪律，规范检查程序，主动、热情地为运营使用单位提供服务和指导。

第五条信息安全等级保护检查工作采取询问情况，查阅、核对材料，调看记录、资料，现场查验等方式进行。

第六条检查的主要内容：（一）等级保护工作组织开展、实施情况。

安全责任落实情况，信息系统安全岗位和安全管理人员设置情况；（二）按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况；（三）信息系统定级备案情况，信息系统变化及定级备案变动情况；（四）信息安全设施建设情况和信息安全整改情况；（五）信息安全管理制度建设和落实情况；（六）信息安全保护技术措施建设和落实情况；（七）选择使用信息安全产品情况；（八）聘请测评机构按规范要求开展技术测评工作情况，根据测评结果开展整改情况；（九）自行定期开展自查情况；（十）开展信息安全知识和技能培训情况。

第七条检查项目：（一）等级保护工作部署和组织实施情况1．下发开展信息安全等级保护工作的文件，出台有关工作意见或方案，组织开展信息安全等级保护工作情况。

信息安全等级保护管理办法.doc

信息安全等级保护管理办法1 信息安全等级保护管理办法（试行）第一章总则第一条为加强信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等国家有关法律法规，制定本办法。

第二条信息安全等级保护，是指对国家秘密信息及公民、法人和其他组织的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

第三条信息系统的安全保护等级应当根据信息和信息系统在国家安全、经济建设、社会生活中的重要程度，信息和信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度，信息和信息系统应当达到的基本的安全保护水平等因素确定。

第四条信息系统的安全保护等级分为以下五级：（一）第一级为自主保护级，适用于一般的信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益。

（二）第二级为指导保护级，适用于一般的信息系统，其受到破坏后，会对社会秩序和公共利益造成轻微损害，但不损害国家安全。

（三）第三级为监督保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成损害。

（四）第四级为强制保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成严重损害。

（五）第五级为专控保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成特别严重损害。

第五条信息系统运营、使用单位及个人依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全职能部门对其信息安全等级保护工作进行监督管理。

安机关信息安全等级保护检查工作规范.doc

安机关信息安全等级保护检查工作规范1 安机关信息安全等级保护检查工作规范（一）开展信息系统安全等级测评，为信息系统安全提供保障。

选择由省级（含）以上信息安全等级保护工作协调小组办公室审核并备案的测评机构，对第三级（含）以上信息系统开展等级测评工作。

等级测评机构依据《信息系统安全等级保护测评要求》等标准对信息系统进行测评，对照相应等级安全保护要求进行差距分析，排查系统安全漏洞和隐患并分析其风险，提出改进建议，按照公安部制订的信息系统安全等级测评报告格式编制等级测评报告。

经测评未达到安全保护要求的，要根据测评报告中的改进建议，制定整改方案并进一步进行整改。

各部门要及时向受理备案的公安机关提交等级测评报告。

对于重要部门的第二级信息系统，可以参照上述要求开展等级测评工作。

（二）开展信息安全等级保护安全管理制度建设，提高信息系统安全管理水平。

按照《管理办法》、《信息系统安全等级保护基本要求》，参照《信息系统安全管理要求》、《信息系统安全工程管理要求》等标准规范要求，建立健全并落实符合相应等级要求的安全管理制度：一是信息安全责任制，明确信息安全工作的主管领导、责任部门、人员及有关岗位的信息安全责任；二是人员安全管理制度，明确人员录用、离岗、考核、教育培训等管理内容；三是系统建设管理制度，明确系统定级备案、方案设计、产品采购使用、密码使用、软件开发、工程实施、验收交付、等级测评、安全服务等管理内容；四是系统运维管理制度，明确机房环境安全、存储介质安全、设备设施安全、安全监控、网络安全、系统安全、恶意代码防范、密码保护、备份与恢复、事件处置、应急预案等管理内容。

建立并落实监督检查机制，定期对各项制度的落实情况进行自查和监督检查。

（三）开展信息安全等级保护安全技术措施建设，提高信息系统安全防护能力。

按照《管理办法》、《信息系统安全等级保护基本要求》，参照《信息系统安全等级保护实施指南》、《信息系统通用安全技术要求》、《信息系统安全工程管理要求》、《信息系统等级保护安全设计技术要求》等标准规范要求，结合行业特点和安全需求，制定符合相应等级要求的信息系统安全技术建设整改方案，开展信息安全等级保护安全技术措施建设，落实相应的物理安全、网络安全、主机安全、应用安全和数据安全等安全保护技术措施，建立并完善信息系统综合防护体系，提高信息系统的安全防护能力和水平。

等保测评工作规范

等保测评工作规范等保测评工作规范等保工作是各信息化项目建设必不可缺的内容，也是各项目网络安全建设的重要组成部分，是项目自身工作之一。

各项目组应积极主动的推进本项目的等保工作。

网络安全部负责组织、协助各项目完成等保工作。

一、等保测评对象校内已完成定级备案的二级及以上各类信息化系统、基础信息网络、云计算平台/资源、大数据应用/平台/资源、物联网和采用移动互联技术的系统等二、等保测评涉及校内人员及权责1、网信中心网络安全部–组织、协调测评活动测评前准备工作：1)提供等保备案证明2)搜集基本信息，并提供“信息系统等级测评基本信息表”现场准备工作：1)填写物理测评相关信息提供机房及供电房的物理访问2)填写网络测评相关信息网络设备用户名密码，登陆环境；或者配置文件网络安全设备用户名密码，登陆环境。

3)提供管理制度及文档等相关信息2、网信中心网络通讯部- 协助物理测评及网络测评测评前准备工作：1)提供网络拓扑2)提供对外开放网络拓扑现场准备工作：配合协助物理及网络测评3、信息化项目组–负责提供应用、主机相关信息、人员信息及供应商信息测评前准备工作：1)搜集项目信息填写“信息系统等级测评基本信息表”(查看表中备注信息，完成所有标黄的信息)主机信息-服务器台数-操作系统类型及版本-数据库类型及版本-中间件类型及版本系统基本信息-系统说明-供应商名称-软件名称其他相关信息-关键数据类别-安全人员信息2)将基本信息调查表提交给网络安全部现场准备工作:1)提供应用信息-应用系统用户名密码登陆环境。

-需进行接入扫描，扫描接入点线路和IP地址等。

-配合运维及建设情况进行访谈2)提供数据库访问权限3)提供主机访问权限三、等保测评周期通常定在每年5月及9月，根据备案及实际情况调整测评工作。

注：年初制定本年度的等保工作计划，确定年内要完成定级、测评的项目。

等保测评工作计划上下半年各做一次，上半年主要对已经完成建设的项目进行测评，下半年主要对本年度9月之前上线的项目进行测评，9月之前无法上线的项目，本年度不做测评，可根据项目进度在下一年度考虑是否进行测评。

信息安全等级保护测评工作管理规范

竭诚为您提供优质文档/双击可除信息安全等级保护测评工作管理规范篇一：信息安全等级保护测评工作管理规范(试行)附件一：信息安全等级保护测评工作管理规范（试行）第一条为加强信息安全等级保护测评机构建设和管理，规范等级测评活动，保障信息安全等级保护测评工作（以下简称“等级测评工作”）的顺利开展，根据《信息安全等级保护管理办法》等有关规定，制订本规范。

第二条本规范适用于等级测评机构和人员及其测评活动的管理。

第三条等级测评工作，是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。

等级测评机构，是指具备本规范的基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室（以下简称为“等保办”）推荐，从事等级测评工作的机构。

第四条省级以上等保办负责等级测评机构的审核和推荐工作。

公安部信息安全等级保护评估中心（以下简称“评估中心”）负责测评机构的能力评估和培训工作。

第五条等级测评机构应当具备以下基本条件：（一）在中华人民共和国境内注册成立（港澳台地区除外）；（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（三）产权关系明晰，注册资金100万元以上；（四）从事信息系统检测评估相关工作两年以上，无违法记录；（五）工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；（六）具有满足等级测评工作的专业技术人员和管理人员，测评技术人员不少于10人；（七）具备必要的办公环境、设备、设施，使用的技术装备、设施应当符合《信息安全等级保护管理办法》对信息安全产品的要求；（八）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；（九）对国家安全、社会秩序、公共利益不构成威胁;（十）应当具备的其他条件。

第六条测评机构及其测评人员应当严格执行有关管理规范和技术标准，开展客观、公正、安全的测评服务。

等级保护测评

当前的信息安全等级测评有关法规?信息安全等级保护管理办法公通字200743号?广东省计算机信息系统安全保护条例?广东省公安厅关于计算机信息系统安全保护的实施办法?关于贯彻广东省计算机信息系统安全保护条例和广东省公安厅关于计算机信息系统安全保护的实施办法的通知广公网监2008633号?关于开展信息安全等级保护测评体系建设试点工作的通知公信安2009812号?关于明确信息安全等级保护测评机构管理有关事项的通知广公网监2009421号?关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知公信安2010303号?信息安全等级保护测评工作管理规范试行?信息安全等级测评机构能力要求试行?等级测评师培训和考试指南国家对等级保护测评的要求?管理办法等级保护的实施与管理第十四条?信息系统建设完成后运营使用单位或者其主管部门应当选择符合本办法规定条件的测评单位依据信息系统安全等级保护测评要求等技术标准定期对信息系统安全等级状况开展等级测评
1.1.3国家对等级保护测评的要求
• 《管理办法》”等级保护的实施与管理“第十四条
• 信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。
• 第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。
• 分析与报告编制活动
– 本活动是给出等级测评工作结果的活动,是总结被测系统整体安全保护能力的综合评价活动。本活动的主要任务是根据现场测评结果和《信息系统安全等级保护测评要求》的有关要求,通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法,找出整个系统的安全保护现状与相应等级的保护要求之间的差距,并分析这些差距导致被测系统面临的风险,从而给出等级测评结论,形成测评报告文本。

信息安全等级保护管理办法.doc

信息安全等级保护管理办法1 信息安全等级保护管理办法（试行）第一章总则第一条为加强信息安全等级保护，规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等国家有关法律法规，制定本办法。

第二条信息安全等级保护，是指对国家秘密信息及公民、法人和其他组织的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

第三条信息系统的安全保护等级应当根据信息和信息系统在国家安全、经济建设、社会生活中的重要程度，信息和信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度，信息和信息系统应当达到的基本的安全保护水平等因素确定。

第四条信息系统的安全保护等级分为以下五级：（一）第一级为自主保护级，适用于一般的信息系统，其受到破坏后，会对公民、法人和其他组织的合法权益产生损害，但不损害国家安全、社会秩序和公共利益。

（二）第二级为指导保护级，适用于一般的信息系统，其受到破坏后，会对社会秩序和公共利益造成轻微损害，但不损害国家安全。

（三）第三级为监督保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成损害。

（四）第四级为强制保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成严重损害。

（五）第五级为专控保护级，适用于涉及国家安全、社会秩序和公共利益的重要信息系统的核心子系统，其受到破坏后，会对国家安全、社会秩序和公共利益造成特别严重损害。

第五条信息系统运营、使用单位及个人依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全职能部门对其信息安全等级保护工作进行监督管理。