第一篇：20070716关于开展全国重要信息系统安全等级保护定级工作的通知(公信安【2007】861号)
中华人民共和国公安部 国
家
保
密
局
国家密码管理局 国务院信息化工作办公室
关于开展全国重要信息系统安全等级保护
定级工作的通知
公信安[2007]861号
各省、自治区、直辖市公安厅（局）、保密局、国家密码管理局（国家密码管理委员会办公室）、信息化领导小组办公室，新疆生产建设兵团公安局、保密局、国家密码管理局、信息化领导小组办公室，中央和国家机关各部委保密委员会办公室、密码工作领导小组办公室、信息化领导小组办公室，各人民团体保密委员会办公室：
为进一步贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》和公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于信息安全等级保护工作的实施意见》、《信息安全等级保护管理办法》（以下简称《管理办法》）精
— 1 — 神，提高我国基础信息网络和重要信息系统的信息安全保护能力和水平，根据国家网络与信息安全协调小组2007年的工作部署，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室定于2007年7月至10月在全国范围内组织开展重要信息系统安全等级保护定级工作（以下简称“定级工作”通知如下：
一、定级范围
（一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。
（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。
（三）市（地）级以上党政机关的重要网站和办公信息系统。
（四）涉及国家秘密的信息系统
二、定级工作的主要内容
（一）开展信息系统基本情况的摸底调查。运营使用单位要组织开展对所属信息系统的摸底调查，全面掌握信息系统的数量、分布、业务类型、应用或服务范围、系统结构等基本情况，按照《管理办法》和《信息系统安全等级保护定级 — 2 —）。现就有关事项
（以下简称“涉密信息系统”）。各行业主管部门、指南》的要求，确定定级对象。各行业主管部门要根据行业特点提出指导本地区、本行业定级工作的具体意见。
（二）初步确定安全保护等级。各信息系统主管部门和运营使用单位要按照《管理办法》和《信息系统安全等级保护定级指南》，初步确定定级对象的安全保护等级，起草定级报告（报告模版见附件1）。跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
（三）评审与审批。初步确定信息系统安全保护等级后，可以聘请专家进行评审。对拟确定为第四级以上信息系统的，由运营使用单位或主管部门请国家信息安全保护等级专家评审委员会评审。运营使用单位或主管部门参照评审意见最后确定信息系统安全保护等级，形成定级报告。当专家评审意见与信息系统运营使用单位或其主管部门意见不一致时，由运营使用单位或主管部门自主决定信息系统安全保护等级。信息系统运营使用单位有上级行业主管部门的，所确定的信息系统安全保护等级应当报经上级行业主管部门审批同意。
（四）备案。根据《管理办法》，信息系统安全保护等级为第二级以上的信息系统运营使用单位或主管部门到公安部网站下载《信息系统安全等级保护备案表》（见附件持填写的备案表和利用辅助备案工具生成的备案电子数据，到公安机关办理备案手续，提交有关备案材料及电子数据文件。其中，2）和辅助备案工具，3 —
— 第二级信息系统的备案单位只需填写备案表中的表
一、表二和表三，第三级以上信息系统的备案单位还应当同时提交备案表表四所列各项内容的书面材料。隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，向当地设区的市级以上公安机关备案。
涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级保护备案表》（见附件3），按照属地化管理原则，中央和国家机关单位的涉密信息系统向国家保密局备案；地方单位的涉密信息系统向所在地的市（地）级以上保密工作部门备案；中央和国家机关地方所属单位的涉密信息系统，向所在地的省级保密工作部门备案。
（五）备案管理。公安机关和国家保密工作部门负责受理备案并进行备案管理。信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全保护等级备案证明。发现不符合《管理办法》及有关标准的，应当通知备案单位予以纠正。发现定级不准的，应当通知运营使用单位或其主管部门重新审核确定。各级保密工作部门加强对涉密信息系统定级工作的指导、监督和检查。
三、定级工作的要求
（一）加强领导，落实保障。各地区、各部门要加强对本地 — 4 — 区、本行业信息安全等级保护工作的组织领导，及时掌握工作进展情况，并可组织成立专家组，明确技术支持力量。信息系统运营使用单位要成立等级保护工作组，落实责任部门、责任人员和经费，保障定级工作顺利进行。
（二）明确责任，密切配合。定级工作由各级公安机关牵头，会同国家保密工作部门、国家密码管理部门和信息化领导小组办事机构共同组织实施。公安机关负责定级工作的监督、检查、指导；国家保密工作部门负责涉密系统定级工作的监督、检查、指导；国家密码管理部门负责定级工作中有关密码工作的监督、检查、指导；信息化领导小组办事机构负责定级工作的部门间协调。各信息系统主管部门组织本行业、本部门信息系统运营使用单位开展定级工作，督促其落实定级工作各项任务。各信息系统运营使用单位依据《管理办法》和本通知要求，具体实施定级工作。
（三）动员部署，开展培训。各地区、各部门要按照统一部署广泛进行宣传动员，举办形式多样的培训班、研讨班等，层层培训。公安部会同国家保密局、国家密码管理局、国务院信息化工作办公室对国家有关部委、各省级公安、保密、密码和信息化领导小组办事机构就《管理办法》和《信息系统安全等级保护定级指南》等内容进行培训。信息系统主管部门对所管辖的信息系统运营使用单位进行培训。各地参照上述培训模式开展培训工作。
（四）及时总结，提出建议。各地区、各部门要结合本地区、本行业开展定级工作的实际，认真总结经验和不足，提出改进和
— 5 — 完善定级方法的意见和建议。各地区、各部门负责等级保护的领导机构要及时总结定级工作经验，形成定级工作总结报告，并及时报送公安部。涉密信息系统定级工作总结报告向国家保密局报送。
此次定级工作完成后，理办法》和有关技术标准，继续开展信息系统安全等级保护的系统建设或整改、等级测评、自查自纠等后续工作，各级公安、保密、密码管理部门要开展等级保护工作的监督、检查和指导。执行中有何问题，请及时报告。公安部联系人郭启全，联系电话：国家保密局联系人魏力，联系电话：国家密码管理局联系人王家玮，联系电话：国务院信息办联系人李强，联系电话：公安部网址：
技术咨询电话：
— 6 请各主管部门、www.xiexiebang.com(互联网ftp://10.1.185.68（公安网）010—88530013运营使用单位按照《管
010-66261745 010-83086085 010-83084734 010-83083664)。88530015。、— 附件：
1、《信息系统安全等级保护定级报告》模版
2、《信息系统安全等级保护备案表》
3、《涉及国家秘密的信息系统分级保护备案表》
公 安 部
国家保密局
国家密码管理局
国务院信息化工作办公室
二〇〇七年七月十六日
抄送：中央办公厅、国务院办公厅。
中央和国家机关各部委，国务院各直属机构、办事机构、事业单位，国务院部委管理的 各国家局。
国家保密局、国家密码管理局、国务院信息化工作办公室有关部门。
公安部党委，部属有关局级单位。
第二篇：关于开展全国重要信息系统安全等级保护定级工作的通知
附件二：
中华人民共和国公安部 国
家
保
密
局
国家密码管理局 国务院信息化工作办公室
关于开展全国重要信息系统安全等级保护
定级工作的通知
公信安[2007]861号
各省、自治区、直辖市公安厅（局）、保密局、国家密码管理局（国家密码管理委员会办公室）、信息化领导小组办公室，新疆生产建设兵团公安局、保密局、国家密码管理局、信息化领导小组办公室，中央和国家机关各部委保密委员会办公室、密码工作领导小组办公室、信息化领导小组办公室，各人民团体保密委员会办公室：
为进一步贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》和公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于信息安全等级保护工作的实施意见》、《信息安全等级保护管理办法》（以下简称《管理办法》）精神，提高我国基础信息网络和重要信息系统的信息安全保护能力和水平，根据国家网络与信息安全协调小组2007年的工作部署，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室定于2007年7月至10月在全国范围内组织开展重要信息系统安全等级保护定级工作（以下简称“定级工作”）。现就有关事项通知如下：
一、定级范围
（一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。
（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。
（三）市（地）级以上党政机关的重要网站和办公信息系统。
（四）涉及国家秘密的信息系统（以下简称“涉密信息系统”）。
二、定级工作的主要内容
（一）开展信息系统基本情况的摸底调查。各行业主管部门、运营使用单位要组织开展对所属信息系统的摸底调查，全面掌握信息系统的数量、分布、业务类型、应用或服务范围、系统结构等基本情况，按照《管理办法》和《信息系统安全等级保护定级指南》的要求，确定定级对象。各行业主管部门要根据行业特点提出指导本地区、本行业定级工作的具体意见。
（二）初步确定安全保护等级。各信息系统主管部门和运营使用单位要按照《管理办法》和《信息系统安全等级保护定级指南》，初步确定定级对象的安全保护等级，起草定级报告（报告模版见附件1）。跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
（三）评审与审批。初步确定信息系统安全保护等级后，可以聘请专家进行评审。对拟确定为第四级以上信息系统的，由运营使用单位或主管部门请国家信息安全保护等级专家评审委员会评审。运营使用单位或主管部门参照评审意见最后确定信息系统安全保护等级，形成定级报告。当专家评审意见与信息系统运营使用单位或其主管部门意见不一致时，由运营使用单位或主管部门自主决定信息系统安全保护等级。信息系统运营使用单位有上级行业主管部门的，所确定的信息系统安全保护等级应当报经上级行业主管部门审批同意。
（四）备案。根据《管理办法》，信息系统安全保护等级为第二级以上的信息系统运营使用单位或主管部门到公安部网站下载《信息系统安全等级保护备案表》（见附件2）和辅助备案工具，持填写的备案表和利用辅助备案工具生成的备案电子数据，到公安机关办理备案手续，提交有关备案材料及电子数据文件。其中，第二级信息系统的备案单位只需填写备案表中的表
一、表二和表三，第三级以上信息系统的备案单位还应当同时提交备案表表四所列各项内容的书面材料。隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，向当地设区的市级以上公安机关备案。
涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级保护备案表》（见附件3），按照属地化管理原则，中央和国家机关单位的涉密信息系统向国家保密局备案；地方单位的涉密信息系统向所在地的市（地）级以上保密工作部门备案；中央和国家机关地方所属单位的涉密信息系统，向所在地的省级保密工作部门备案。
（五）备案管理。公安机关和国家保密工作部门负责受理备案并进行备案管理。信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全保护等级备案证明。发现不符合《管理办法》及有关标准的，应当通知备案单位予以纠正。发现定级不准的，应当通知运营使用单位或其主管部门重新审核确定。各级保密工作部门加强对涉密信息系统定级工作的指导、监督和检查。
三、定级工作的要求
（一）加强领导，落实保障。各地区、各部门要加强对本地区、本行业信息安全等级保护工作的组织领导，及时掌握工作进展情况，并可组织成立专家组，明确技术支持力量。信息系统运营使用单位要成立等级保护工作组，落实责任部门、责任人员和经费，保障定级工作顺利进行。
（二）明确责任，密切配合。定级工作由各级公安机关牵头，会同国家保密工作部门、国家密码管理部门和信息化领导小组办事机构共同组织实施。公安机关负责定级工作的监督、检查、指导；国家保密工作部门负责涉密系统定级工作的监督、检查、指导；国家密码管理部门负责定级工作中有关密码工作的监督、检查、指导；信息化领导小组办事机构负责定级工作的部门间协调。各信息系统主管部门组织本行业、本部门信息系统运营使用单位开展定级工作，督促其落实定级工作各项任务。各信息系统运营使用单位依据《管理办法》和本通知要求，具体实施定级工作。
（三）动员部署，开展培训。各地区、各部门要按照统一部署广泛进行宣传动员，举办形式多样的培训班、研讨班等，层层培训。公安部会同国家保密局、国家密码管理局、国务院信息化工作办公室对国家有关部委、各省级公安、保密、密码和信息化领导小组办事机构就《管理办法》和《信息系统安全等级保护定级指南》等内容进行培训。信息系统主管部门对所管辖的信息系统运营使用单位进行培训。各地参照上述培训模式开展培训工作。
（四）及时总结，提出建议。各地区、各部门要结合本地区、本行业开展定级工作的实际，认真总结经验和不足，提出改进和完善定级方法的意见和建议。各地区、各部门负责等级保护的领导机构要及时总结定级工作经验，形成定级工作总结报告，并及时报送公安部。涉密信息系统定级工作总结报告向国家保密局报送。
此次定级工作完成后，请各主管部门、运营使用单位按照《管理办法》和有关技术标准，继续开展信息系统安全等级保护的系统建设或整改、等级测评、自查自纠等后续工作，各级公安、保密、密码管理部门要开展等级保护工作的监督、检查和指导。
执行中有何问题，请及时报告。
公安部联系人郭启全，联系电话：010-66261745 国家保密局联系人魏力，联系电话：010-83086085 国家密码管理局联系人王家玮，联系电话：010-83084734 国务院信息办联系人李强，联系电话：010-83083664 公安部网址：www.xiexiebang.com(互联网)；
ftp://10.1.185.68（公安网）。技术咨询电话：010—88530013、88530015。
附件：
1、《信息系统安全等级保护定级报告》模版
2、《信息系统安全等级保护备案表》
3、《涉及国家秘密的信息系统分级保护备案表》
公 安 部
国家保密局
国家密码管理局
国务院信息化工作办公室
二〇〇七年七月十六日
附件一：《信息系统安全等级保护定级报告》模版
《信息系统安全等级保护定级报告》
一、XXX信息系统描述
简述确定该系统为定级对象的理由。从三方面进行说明：一是描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该信息系统为本单位或部门的定级对象；二是该定级对象是否具有信息系统的基本要素，描述基本要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情况描述。
二、XXX信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》）
（一）业务信息安全保护等级的确定
1、业务信息描述
描述信息系统处理的主要业务信息等。
2、业务信息受到破坏时所侵害客体的确定
说明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定 说明信息受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、业务信息安全等级的确定
依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。
（二）系统服务安全保护等级的确定
1、系统服务描述
描述信息系统的服务范围、服务对象等。
2、系统服务受到破坏时所侵害客体的确定
说明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定 说明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、系统服务安全等级的确定
依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。
（三）安全保护等级的确定 信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定，最终确定XXX系统安全保护等级为第几级。
信息系统名称 XXX信息系统 安全保护等级
X
业务信息安全等级
X
系统服务安全等级
X
第三篇：四部门下发《关于开展全国重要信息系统安全等级保护定级工作的通知》
四部门下发《关于开展全国重要信息系统安全等级
保护定级工作的通知》
关于开展全国重要信息系统安全等级保护定级工作的通知 公信安[2007]861号
各省、自治区、直辖市公安厅（局）、保密局、国家密码管理局（国家密码管理委员会办公室）、信息化领导小组办公室，新疆生产建设兵团公安局、保密局、国家密码管理局、信息化领导小组办公室，中央和国家机关各部委保密委员会办公室、密码工作领导小组办公室、信息化领导小组办公室，各人民团体保密委员会办公室：
为进一步贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》和公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于信息安全等级保护工作的实施意见》、《信息安全等级保护管理办法》（以下简称《管理办法》）精神，提高我国基础信息网络和重要信息系统的信息安全保护能力和水平，根据国家网络与信息安全协调小组2007年的工作部署，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室定于2007年7月至10月在全国范围内组织开展重要信息系统安全等级保护定级工作（以下简称“定级工作”）。现就有关事项通知如下：
一、定级范围
（一）电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。
（二）铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。
（三）市（地）级以上党政机关的重要网站和办公信息系统。
（四）涉及国家秘密的信息系统（以下简称“涉密信息系统”）。
二、定级工作的主要内容
（一）开展信息系统基本情况的摸底调查。各行业主管部门、运营使用单位要组织开展对所属信息系统的摸底调查，全面掌握信息系统的数量、分布、业务类型、应用或服务范围、系统结构等基本情况，按照《管理办法》和《信息系统安全等级保护定级指南》的要求，确定定级对象。各行业主管部门要根据行业特点提出指导本地区、本行业定级工作的具体意见。
（二）初步确定安全保护等级。各信息系统主管部门和运营使用单位要按照《管理办法》和《信息系统安全等级保护定级指南》，初步确定定级对象的安全保护等级，起草定级报告（报告模版见附件1）。跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
（三）评审与审批。初步确定信息系统安全保护等级后，可以聘请专家进行评审。对拟确定为第四级以上信息系统的，由运营使用单位或主管部门请国家信息安全保护等级专家评审委员会评审。运营使用单位或主管部门参照评审意见最后确定信息系统安全保护等级，形成定级报告。当专家评审意见与信息系统运营使用单位或其主管部门意见不一致时，由运营使用单位或主管部门自主决定信息系统安全保护等级。信息系统运营使用单位有上级行业主管部门的，所确定的信息系统安全保护等级应当报经上级行业主管部门审批同意。
（四）备案。根据《管理办法》，信息系统安全保护等级为第二级以上的信息系统运营使用单位或主管部门到公安部网站下载《信息系统安全等级保护备案表》（见附件2）和辅助备案工具，持填写的备案表和利用辅助备案工具生成的备案电子数据，到公安机关办理备案手续，提交有关备案材料及电子数据文件。其中，第二级信息系统的备案单位只需填写备案表中的表
一、表二和表三，第三级以上信息系统的备案单位还应当同时提交备案表表四所列各项内容的书面材料。隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，向当地设区的市级以上公安机关备案。
涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级保护备案表》（见附件3），按照属地化管理原则，中央和国家机关单位的涉密信息系统向国家保密局备案；地方单位的涉密信息系统向所在地的市（地）级以上保密工作部门备案；中央和国家机关地方所属单位的涉密信息系统，向所在地的省级保密工作部门备案。
（五）备案管理。公安机关和国家保密工作部门负责受理备案并进行备案管理。信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全保护等级备案证明。发现不符合《管理办法》及有关标准的，应当通知备案单位予以纠正。发现定级不准的，应当通知运营使用单位或其主管部门重新审核确定。各级保密工作部门加强对涉密信息系统定级工作的指导、监督和检查。
三、定级工作的要求
（一）加强领导，落实保障。各地区、各部门要加强对本地区、本行业信息安全等级保护工作的组织领导，及时掌握工作进展情况，并可组织成立专家组，明确技术支持力量。信息系统运营使用单位要成立等级保护工作组，落实责任部门、责任人员和经费，保障定级工作顺利进行。
（二）明确责任，密切配合。定级工作由各级公安机关牵头，会同国家保密工作部门、国家密码管理部门和信息化领导小组办事机构共同组织实施。公安机关负责定级工作的监督、检查、指导；国家保密工作部门负责涉密系统定级工作的监督、检查、指导；国家密码管理部门负责定级工作中有关密码工作的监督、检查、指导；信息化领导小组办事机构负责定级工作的部门间协调。各信息系统主管部门组织本行业、本部门信息系统运营使用单位开展定级工作，督促其落实定级工作各项任务。各信息系统运营使用单位依据《管理办法》和本通知要求，具体实施定级工作。
（三）动员部署，开展培训。各地区、各部门要按照统一部署广泛进行宣传动员，举办形式多样的培训班、研讨班等，层层培训。公安部会同国家保密局、国家密码管理局、国务院信息化工作办公室对国家有关部委、各省级公安、保密、密码和信息化领导小组办事机构就《管理办法》和《信息系统安全等级保护定级指南》等内容进行培训。信息系统主管部门对所管辖的信息系统运营使用单位进行培训。各地参照上述培训模式开展培训工作。
（四）及时总结，提出建议。各地区、各部门要结合本地区、本行业开展定级工作的实际，认真总结经验和不足，提出改进和完善定级方法的意见和建议。各地区、各部门负责等级保护的领导机构要及时总结定级工作经验，形成定级工作总结报告，并及时报送公安部。涉密信息系统定级工作总结报告向国家保密局报送。
此次定级工作完成后，请各主管部门、运营使用单位按照《管理办法》和有关技术标准，继续开展信息系统安全等级保护的系统建设或整改、等级测评、自查自纠等后续工作，各级公安、保密、密码管理部门要开展等级保护工作的监督、检查和指导。
公 安 部 国家保密局
国家密码管理局 国务院信息化工作办公室
二〇〇七年七月十六日
第四篇：关于开展电力行业信息系统安全等级保护定级工作的通知
关于开展电力行业信息系统安全等级保护定级工作的通知
电监信息〔2007〕34号
国家电网公司，南方电网公司，华能、大唐、华电、国电、中电投集团公司，各有关电力公司：
为贯彻落实公安部、国家保密局、国家密码管理局、国务院信息化工作办公室《关于印发<信息安全等级保护管理办法>的通知》（公通字〔2007〕43号）和《关于开展全国重要信息系统安全
等级保护定级工作的通知》（公信安〔2007〕861号）要求，提高电力行业网络和信息系统的信息安全保护能力和水平，定于2007年8月至10月在电力行业组织开展信息系统安全等级保护定级工作。现就有关事项通知如下：
一、工作组织
电力行业网络与信息安全领导小组：统一协调领导电力行业信息系统安全等级保护定级工作。
电力行业网络与信息安全领导小组办公室（以下简称领导小组办公室）：具体负责组织开展电力行业信息系统安全等级保护定级工作，监督指导信息系统运营使用单位的定级工作。
电力行业信息系统安全等级保护定级工作专家组（以下简称专家组）：对电力行业信息系统安全定级工作进行指导、咨询，对定级结果进行评审。
各有关电力公司（名单附后）等级保护责任部门（以下简称公司责任部门）：负责组织开展本单位（系统）信息系统安全等级保护定级工作。
信息系统运营使用单位（以下简称运营使用单位）：具体负责所运营、使用的信息系统的安全定级工作。
技术支持单位：中国电力科学研究院信息安全研究所等单位为本次信息系统安全定级工作的技术支持单位，负责提供技术支持。
二、主要工作内容
1、摸底调查
各公司责任部门要组织本系统的信息系统运营使用单位，开展对所属网络和信息系统的摸底调查工作，全面掌握信息网络和信息系统的数量、分布、业务类型、系统结构、应用或服务范围等基本情况。
2、初步定级
各单位在摸底调查的基础上，要按照《信息安全等级保护管理办法》（以下简称《管理办法》，附件1）和《信息系统安全等级保护定级指南》（附件2）的要求，确定各定级对象。并初步确定定级对象的安全保护等级，起草定级报告（报告模板见附件3）。各公司责任部门将本单位（系统）运营使用单位的定级报告汇总后统一报送领导小组办公室。
涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
3、评审
领导小组办公室组织专家对上报的定级报告进行分类评审。评审后领导小组办公室印发《电力行业信息系统安全等级保护定级实施指南》，指导各电力公司和信息系统运营使用单位的定级工作。
对于跨电力公司联网运行的信息系统，由领导小组办公室统一确定安全保护等级。
对于属同一电力公司，但跨省联网运行的信息系统，由公司责任部门统一确定安全保护等级。对于通用信息系统，由领导小组办公室提出安全保护等级建议，运营使用单位自主确定安全保护等级。
对于运营使用单位所特有的信息系统，各运营使用单位自行确定安全保护等级。
对拟确定为第四级以上信息系统的，由领导小组办公室邀请国家信息安全保护等级专家评审委员会评审。
4、审批与备案
根据《管理办法》，信息系统安全等级确定为二级以上的信息系统运营使用单位到公安部网站下载《信息系统安全等级保护备案表》（见附件4）和辅助备案工具，持填写的备案表和利用辅助备案工具生成的备案电子数据，到公安机关办理备案手续，提交有关备案材料及电子数据文件。其中，第二级信息系统的备案单位只需填写备案表中的表
一、表二和表三，第三级以上信息系统的备案单位还应当同时提交备案表表四所列各项内容的书面材料。
各运营使用单位要参照《电力行业信息系统安全等级保护定级实施指南》，结合本单位实际，填写备案表，由公司责任部门审定后，统一汇总报送领导小组办公室审批。
备案表经领导小组办公室审查批准后，各有关单位应根据下列要求到公安机关办理备案手续。
（1）跨电力公司联网运行，且由领导小组办公室统一确定安全等级的信息系统，领导小组办公室负责统一向公安部办理备案手续。
（2）电力公司内部跨省联网运行，且由公司责任部门统一确定安全等级的信息系统，由公司责任部门负责统一向公安部办理备案手续。
（3）其它信息系统的由运营使用单位直接向当地设区的市级以上公安机关备案。
（4）跨省联网运行的信息系统，在各地运行、应用的分支系统，向当地设区的市级以上公安机关备案。
涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级 保护备案表》（见附件5），按照属地化管理原则，中央和国家机关单位的涉密信息系统向国家保密局备案；地方单位的涉密信息系统向所在地的市（地）级以上保密工作部门备案；中央和国家机关地方所属单位的涉密信息系统，向所在地的省级保密工作部门备案。
5、备案管理
公安机关和国家保密工作部门负责受理电力行业信息系统等级保护定级备案，并进行备案管理。信息系统备案后，公安机关对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全保护等级备案证明。发现不符合《管理办法》及有关标准的，将通知备案单位予以纠正。发现定级不准的，通知运营使用单位或者领导小组办公室重新审核确定。各级保密工作部门加强对涉密信息系统定级工作的指导、监督和检查。
三、进度安排
动员部署阶段，8月15日前印发通知，对定级工作进行动员部署。
摸底调查及初步定级阶段，8月31日前完成。开展信息系统基本摸底调查，初步确定定级对象的安全保护等级，起草定级报告。
评审阶段，9月24日前完成。领导小组办公室对上报的初步定级报告进行分类评审，并编制印发《电力行业信息系统安全等级保护定级实施指南》。
审批与备案阶段，10月15日前完成。各运营使用单位按照《电力行业信息系统安全等级保护定级实施指南》，填写备案表并上报领导小组办公室审核，审核批准后按要求向公安机关备案。
总结阶段，10月20日前完成。各公司责任部门对本单位（系统）信息系统安全定级工作进行总结，并向领导小组办公室报送总结报告。领导小组办公室对行业信息系统安全定级工作进行总结，并报送公安部。
四、工作要求
1、加强领导，落实保障
各电力公司要按照领导小组办公室的统一部署，明确等级保护责任部门，加强组织领导，及时掌握工作进展情况。信息系统运营使用单位要落实责任部门、责任人员和经费，保障定级工作顺利进行。
2、明确责任，密切配合
信息系统的运营使用单位是安全等级保护工作的责任主体，要切实落实运营使用单位的责任。电力公司对所属单位信息系统的安全等级保护工作负总责，各单位要承担起本单位（本系统）信息系统安全等级保护工作的组织管理职责。
各电力公司、各运营使用单位要按照领导小组办公室的部署，积极协调做好本系统、本单位信息系统的安全等级保护工作。
3、动员部署，开展培训
各单位要按照统一部署，广泛进行宣传动员，举办形式多样的培训班、研讨班等，层层培训。领导小组办公室将根据电力行业特点，按照国家要求，会同有关专业培训单位，组织开展电力行业等级保护培训工作。
4、及时总结，提出建议
各电力公司、运营使用单位要结合本单位、本系统开展定级工作的实际，认真总结经验和不足，提出改进和完善定级方法的意见和建议。各公司责任部门要及时总结定级工作经验，形成定级工作总结报告，及时报送领导小组办公室。
此次定级工作完成后，领导小组办公室将按照《管理办法》和有关技术标准，继续组织开展信息系统安全等级保护的系统建设或整改、等级测评、自查自纠等后续工作。
联系方式：
电力行业网络与信息安全领导小组办公室
联系人：胡红升 010-58681816 温红子 010-58681815 电子邮件：xxtb@serc.gov.cn 传真：010-58681835 技术支持电话：010-82812516 附件：1.《信息安全等级保护管理办法》 2.《信息安全等级保护定级指南》
3.《信息系统安全等级保护定级报告》模版 4.《信息安全等级保护备案表》
5.《涉及国家秘密的信息系统分级保护备案表》
二○○七年八月十三日
【来源】电监会办公厅 【日期】2007-08-20
【字体： 大 中 小】 【打印】 【关闭】
Copyright ®1998-2007 All Rights Reserved 国家电力监管委员会 版权所有
第五篇：信息系统安全等级保护定级报告(实例)
信息系统安全等级保护定级报告
（起草参考实例）
一、支付通网上支付服务系统描述
（一）该中间业务于*年*月*日由*省邮政局科技立项，省邮政信息技术局自主研发。目前该系统由技术局运行维护部负责运行维护。省邮政局是该信息系统业务的主管部门，省邮政局委托技术局为该信息系统定级的责任单位。
（二）此系统是计算机及其相关的和配套的设备、设施构成的，是按照一定的应用目标和规则对邮储金融中间业务信息进行采集、加工、存储、传输、检索等处理的人机系统。整个网络分为两部分，（图略），第一部分为省数据中心，第二部分为市局局域网。
在省数据中心的核心设备部署了华为的S**三层交换机，……
在省数据中心的网络中配置了两台与外部网络互联的边界设备：天融信 NGFW 4**防火墙和Cisco 2**路由器……
省数据中心网络中剩下的一部分就是与下面各个地市的互联。其中主要设备部署的是……整个省数据中心网络中的所有设备系统都按照统一的设备管理策略，只能现场配置，不可远程拨号登录。
整个信息系统的网络系统边界设备可定为NGFW 4** 与 Cisco 2**。Cisco 2** 外联的其它系统都划分为外部网络部分，而
NGFW 4** 以内的部分包括与各地市互联的部分都可归为中心的内部网络，与中间业务系统相关的省数据中心网络边界部分和内部网络部分都是等级保护定级的范围和对象。在此次定级过程中，将各市的网络和数据中心连同省中心统一作为一个定级对象加以考虑，统一进行定级、备案。各市的网络和数据中心还要作为整个系统的分系统分别进行定级、备案。
（三）该支付服务系统业务主要包含：网络表够电、IC卡购电、抄表购电等便民缴费服务。用户不必受网点营业时间限制，足不出户在线完成各类行业IC卡的充值及信用卡还款、手机充值、游戏点卡、航空客票购买等增值服务。支付宝账号充值和订单支付服务。为银行和银行卡用户提供服务通道，借助支付通平台和支付通终端提供的通路，银行卡用户可在线办理银行卡余额查询、转账等银行卡业务。信息订阅：针对支付通平台用户提供各类信息订阅，为用户提供合作商户及支付通的各类优惠打折信息订阅，主要是通过手机短信或彩信、网页显示方式推送给用户。支付宝账号充值和订单支付服务。后续还会有诸如歌华宽带、速通卡业务、各类手机账单缴费业务、账单支付业务等。
涵盖了网上购物、保险、教育、旅游、交通等行业的电子商务业务的网络支付服务。系统针对业务实现的差异分别提供实时联机处理和批量处理两种方式。其中：通过网络与第三方机构的连接，均采用约定好的报文格式进行通讯，业务处理流程实时完
成。
业务处理系统以省集中结构模式，负责各类中间业务的业务处理，包括与第三方实时连接、接口协议转换、非实时批量数据的采集、业务处理逻辑的实现、与会计核算系统的连接等。
二、X省邮政金融网中间业务系统安全保护等级的确定
（一）业务信息安全保护等级的确定
1、业务信息描述
金融网中间业务信息包括：代收费情况信息，缴费公民、法人和其他组织的的个人（单位）信息，欠费情况，以及代收费的银行、电信、燃气、税务、保险等部门的信息等。属于公民、法人和其他组织的专有信息。
2、业务信息受到破坏时所侵害客体的确定（侵害的客体包括：1国家安全，2社会秩序和公共利益，3公民、法人和其他组织的合法权益等共三个客体）
该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益。
侵害的客观方面（客观方面是指定级对象的具体侵害行为，侵害形式以及对客体的造成的侵害结果）表现为：一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害（形式可以包括丢失、破坏、损坏等），会对公民、法人和其他组织的合法权益造成影响和损害，可以表现为：影响正常工作的开展，导致业务能力下降，造成不良影响，引起法律纠纷等。
3、信息受到破坏后对侵害客体的侵害程度（即上述分析的结果的表现程度）
上述结果的程度表现为严重损害，即工作职能收到严重影响，业务能力显著先将，出现较严重的法律问题，较大范围的不良影响等。
4、确定业务信息安全等级
查《定级指南》表2知，业务信息安全保护等级为第二级。
（二）系统服务安全保护等级的确定
1、系统服务描述
该系统属于提供第三方支付服务的系统，其服务范围为全省范围内的普通公民、法人等。
2、系统服务受到破坏时所侵害客体的确定
该业务信息遭到破坏后，所侵害的客体是公民、法人和其他组织的合法权益，同时也侵害社会秩序和公共利益但不损害国家安全。客观方面表现得侵害结果为：1可以对公民、法人和其他组织的合法权益造成侵害（影响正常工作的开展，导致业务能力下降，造成不良影响，引起法律纠纷等）；2可以对社会秩序公共利益造成侵害（造成社会不良影响，引起公共利益的损害等）。根据《定级指南》的要求，出现上述两个侵害客体时，优先考虑社会秩序和公共利益，另外一个不做考虑。
3、信息受到破坏后对侵害客体的侵害程度（即上述分析的结
果的表现程度）
上述结果的程度表现为：对社会秩序和公共利益造成严重损害，即会出现较大范围的社会不良影响和较大程度的公共利益的损害等。
4、确定系统服务安全等级
查《定级指南》表3知，由于侵害的客体有两个，侵害的程度也有两个，则业务信息安全保护等级为第二级。
（三）安全保护等级的确定
信息系统的安全保护等级由业务信息安全等级和系统服务安全务安等级的较高者决定。所以，X省邮政金融网中间业务系统安全保护等级为第三级。
点击咨询 