信息系统安全等级保护的必要性（共5则）

第一篇：信息系统安全等级保护的必要性

信息系统安全等级保护的必要性

随着我国信息技术的快速发展，为维护国家安全和社会稳定，维护信息网络安全，国务院于1994年颁布了《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）。

2003年中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）明确指出“实行信息安全等级保护”。

2007年公安部会同国家保密局、国家密码管理局和国务院信息化工作办公室下发《信息安全等级保护管理办法》（公通字[2007]43号）明确规定“定期对信息系统安全等级状况开展等级测评”。“第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评„„”。并制定了包括《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护定级指南》、《信息系统安全等级保护基本要求》等50多个国家标准和行业标准，形成了信息安全等级保护标准体系。具体如下图所示：

2012年，CSDN网站因未落实国家信息安全等级保护制度，造成了大量用户信息泄露的严重后果。依据《中华人民共和国计算机信息系统安全保护条例》，北京市公安局对CSDN网站运营公司做出行政警告处罚。可见，开展等级保护工作是企业义不容辞的信息安全义务。

各行业或监管部门落实信息安全等级保护工作的具体工作 随着国家相关机关不断出台等级保护规范标准，各行业或监管部门迅速发文响应并落实行业内信息系统安全等级保护工作。例如，卫生部2011年印发（卫办发[2011]85号）《卫生行业信息安全等级保护工作的指导意见》的通知，明确卫生行业信息系统实行“定级备案、建设与整改、等级测评”工作。中国人民银行2012年制定了《金融行业信息安全等级保护测评服务安全指引》、《金融行业信息信息系统信息安全等级保护测评指南》和《金融行业信息系统信息安全等级保护实施指引》，2013年制定了《征信机构管理办法》（中国人民银行令[2013]第1号），明确和规范金融机构开展的信息系统安全等级保护测评工作。教育部2014年发布《教育部关于加强教育行业网络与信息安全工作的指导意见》（教技[2014]4号）明确规定“各单位信息系统要按照教育行业有关规范准确定级和备案”，“按照国际和教育行业有关标准规范要求进行等级测评”。还有财政部、人力资源社会保障、交通运输行业、电力行业等监管部门或行业都发布相应文件明确落实信息系统安全等级保护工作，建立、健全信息安全管理制度，落实安全保护技术措施，全面贯彻落实信息安全等级保护制度。

等级保护测评的工作内容

为了达到各级的安全保护能力要求，国家等级保护基本安全要求提出了技术要求和管理要求两大类，涵盖了物理（机房）、网络、主机、应用、数据安全、安全管理制度、安全管理机构、人员、系统建设、系统运维十个方面的内 容。如下图所示

信息系统安全等级保护测评(简称“等级保护测评”)包括系统定级、系统备案、安全建设整改、等级保护测评、定期安全检查五个阶段。等级保护工作的实施过程如下图所示：

等级保护测评是指信息系统运营、使用单位委托具有等级保护测评资质的测评机构对其建设的已定级的信息系统进行等级保护测评过程，测评机构在测评过程中采用访谈、检查和测试三大类的测评方法，具体细分为人员访谈、文档审查、配置核查、现场观测和工具测试等五个小类，对信息系统进行安全测评和风险评估，验证信息系统是否满足相应安全保护等级要求，并形成信息安全等级保护测评报告。其所包含的测评工作流程可参考下图：

公安机关等安全监管部门进行信息安全等级保护监督检查时，系统运营、使用单位必须提交由具有等级测评资质的机构出具的等级测评报告。

哪些行业需要进行等级保护测评

 政府机关：各大部委、各省级政府机关、各地市级政府机关、各事业单位等；

  金融行业：金融监管机构、各大银行、证券、保险公司等；

电信行业：各大电信运营商、各省电信公司、各地市电信公司、各类电信服务商等；

   能源行业：电力公司、石油公司、烟草公司； 企业单位：大中型企业、央企、上市公司等； 其它有信息系统定级需求的行业与单位。

一些基于上级监管单位要求和政策的强制要求开展等级保护测评的企业。例如，中国人民银行要求征信机构必须进行等级保护测评，所以多数相关机构会委托经人民银行和国家信息安全管理机构批准成立的认证机构CFCA（中国金融认证中心）进行测评。CFCA是国家级权威安全认证机构，是国家重要的金融信息安全基础设施之一，汇集高、精、尖人才，拥有优秀的管理团队和工作扎实、饱含激情与活力的员工队伍。CFCA在2013年已获得公安部颁发的《等级保护测评机构能力评估合格证书》、《等级保护测评机构推荐证书》，CFCA成立的信息安全实验室拥有40多名具备信息安全等级测评师资质的工程师，大部分工程师在等级保护测评领域有五年以上的工作经验，是国内最权威的测评机构之一。

组织中哪些信息系统需要实施等级保护

 电信、广电行业的公用通信网、广播电视传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统。

 铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统

  市（地）级以上党政机关的重要网站和办公信息系统。涉及国家秘密的信息系统。

开展等级保护测评的益处

对于企业来说，实施信息安全等级保护测评能够有效地提高单位信息和信息系统安全建设的整体水平，有效控制企业信息安全建设成本；有利于明确国家、法人和其他组织、公民的信息安全责任，加强企业信息安全管理。

对于信息系统来说，通过等级保护测评可及时发现信息系统安全状况并制定方案进行整改，当信息系统完全达到安全保护能力要求时，信息系统就基本可做到“进不来、拿不走、改不了、看不懂、跑不了、可审计、打不垮”。

具体包括：

 保障基础设施安全，保障网络周边环境和物理特性引起的网络设备和线路的持续使用。

 保障网络连接安全，保障网络传输中的安全，尤其保障网络边界和外部接入中的安全。

 保障计算环境的安全，保障操作系统、数据库、服务器、用户终端及相关商用产品的安全。

 保障应用系统安全，保障应用程序层对网络信息的保密性、完整性和信源的真实的保护和鉴别，防止和抵御各种安全威胁和攻击手段，在一定程度上弥补和完善现有操作系统和网络信息系统的安全风险。

  保障数据安全及备份恢复，保障数据完整性、数据保密性、备份和恢复等。安全管理体系保障。根据国家有关信息安全等级保护方面的标准和规范要求，建立一套切实可行的安全管理体系，加强安全管理机制。

第二篇：西安市信息系统安全等级保护

西安市信息系统安全等级保护

责

任

书

西安市公安局网安支队印制

信息系统安全等级保护

责 任 书

甲方: 西安市公安局网安支队

乙方:

为加强我市信息系统安全等级保护工作，保证信息系统安全，建设平安西安、和谐西安，依据《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）文件精神和《信息安全等级保护管理办法》相关规定，制定本责任书。

一、双方职责及义务

（一）网安支队

按照相关法律法规赋予的职能，认真履行以下职责及义务：

1、负责西安市非涉密、非密码信息系统的安全等级保护工作；

2、负责对信息系统信息安全等级保护工作进行监督、检查、指导。审核等级保护单位填写的《信息系统安全等级保护备案表》，并对各单位提出定级建议；

3、负责对通过审核的信息系统进行备案管理。建立档案，进行备案统计，并按照国家有关规定逐级上报；

4、负责监督、检查各单位信息系统安全保护状况。依据《信息安全等级保护管理办法》规定组织运营、使用单位定期对信息系统安全等级状况开展等级测评及自查工作。对测评及自查后发现问题的单位，下发整改通知，督促其制定整改方案，整改存在问题。必要时，对整改情况组织检查；

5、负责督促从事信息系统安全等级测评的机构履行《信息安全等级保护管理办法》规定的义务；

6、负责对信息系统备案通过审核、符合等级保护要求的单位颁发信息系统安全等级保护备案证明。

7、负责定期对等保单位安全员组织信息系统安全等级保护相关知识培训。

（二）信息系统等级保护单位：

按照国家相关法律法规的规定，要认真履行以下职责及义务：

1、负责落实本单位及下属单位开展信息系统安全等级保护工作；

2、在公安机关的指导下，负责对本单位的信息系统自定等级，如实填写《信息系统安全等级保护备案表》和定级报告，到公安机关办理备案手续。建立本单位信息系统等级保护工作领导小组，并及时向公安机关部门报告领导小组人员

变更调整情况；

3、负责落实本单位的信息系统安全等级保护措施。建立健全信息系统安全保护制度及措施，及时修订信息系统安全应急方案，积极配合公安机关对本单位信息系统安全等级状况开展测评，对测评后存在的问题及时出台整改措施进行整改；

4、负责如实向公安机关提供开展等级保护工作所需要的所有文档材料。

二、双方负有的安全责任

（一）网安支队

1、指导各单位落实信息系统安全保护制度，检查各单位等级保护工作开展情况，做好信息系统安全等级保护备案工作。

2、审查等保评测机构资质，指导做好测评工作，努力减少系统漏洞。

3、查办信息系统案件。

4、依据《信息安全等级保护管理办法》，组织各单位、部门定期开展信息系统等级测评工作。

（二）信息系统安全等级保护单位

信息系统安全等级保护单位及相关人员，在公安机关指导下开展本单位信息系统安全保护工作。

1、要指定专人负责，制定并落实等保人防措施，不断完

善等等保技术手段，确保信息系统平稳、安全运行。

2、配合公安机关组织开展的信息系统测评工作，根据测评情况及时认真实施整改。

3、制定信息系统应急预案，保证系统不间断运行。

4、及时向公安机关报告本系统发生的问题，协助公安机关的查处工作。

5、做好本单位等保宣传教育工作，确保信息系统安全。

三、本责任书未尽事宜，严格按照法律法规的规定执行。

本责任书自签字盖章后两年内有效，一式两份，双方各执一份。

网安支队领导签字：

（单位盖章）（单位盖章）

年 月 日 年 月 日

信息系统安全等级保护

单位领导签字：

第三篇：五、信息系统安全等级保护自查报告(范本)

某单位信息安全等级保护工作自查报告

为进一步做好某单位信息安全等级保护工作工作，提高全辖人民银行系统信息安全保障能力和水平，根据《人民银行长沙中心支行2012年信息安全等级保护工作方案》精神，结合我行实际，组织开展了信息安全等级保护自查工作。通过自查，进一步明确了我行信息安全等级保护工作职责，规范了信息安全等级保护工作标准，完善了信息安全等级保护工作制度，提升了信息安全等级保护工作水平。现将自查情况报告如下：

一、等级保护工作部署和组织实施情况

某单位在上级行的统一领导和部署下，按照《信息安全等级保护管理办法》和《人民银行信息系统信息安全等级保护实施指引（试行）》的要求，组织开展辖内人民银行系统信息安全等级保护工作。一是成立了某单位信息安全等级保护工作领导小组，由主管科技的副行长任组长，各科室主要负责人为成员，全面负责全辖人民银行系统信息安全等级保护工作，领导小组下设办公室，安排专人负责计算机信息系统安全管理，明确了各自的职责。二是建立健全了各项信息安全管理制度，做到了有章可循。三是加强相关工作人员的培训学习，增强信息系统安全工作的自觉性，提高信息系统安全工作管理水平。

二、信息系统安全保护等级备案情况

我行根据《人民银行长沙中心支行2012年信息安全等级保护工作方案》精神，将《郴州中支业务网网络系统》和《郴州中支财库行横向联网系统》信息安全保护等级定为第二级，其他系统定为第一级，并将定为第二级的系统向市公安局网监支队报备。

三、下一步工作计划

目前，某单位信息安全等级保护工作正在不断完善中，今后还需要在以下几个方面不断加强：一是进一步加强信息安全管理力度，督促各支行、各科室加强信息安全等级保护工作；二是加强网络信息安全队伍建设，提高网络管理人员和维护人员的技术水平和安全管理意识；三是进一步完善信息安全管理制度，开展信息系统安全评估和自测评；四是规范和完善安全事件处理流程。

人民银行郴州市中心支行 科技科

2012年8月2日

第四篇：信息系统安全等级保护备案表

信息系统安全等级保护备案表
单位名称 信息系统名称 信息系统类别 系统域名 系统 IP 地址 系统服务 情 况 系统网络平台 服务器情况 存储设备 情 况 服务范围 服务对象 覆盖范围 网络性质 是否有服务器 服务器位置 服务器操作系统 是否有专用存储 存储设备位置 □MySQL □windows □linux □是 □否 品牌及容量 □Access □SQLServer 年 □Oracle □其它_______ 月 日 □全国 □全（市、区）□全校 □全校师生员工 □三者均包括 □广域网 □互联网 □否 是否在学校机房寄存 □unix □是 □否 □Solaris □其它_______ □本单位 □其它__________ □其它__________ □单位内部人员 □社会公众人员 □局域网 □业务专网 □是 □校园网 □业务管理系统 □网站 □其他

□其它___________

系统数据库情况 系统何时投入运行使用 系统主要承建单位 系统目前维护单位 系统责任人 姓 管理员情况 办公电话 系统是否是分系统 上级系统名称 信息系统安全保护等级 系统密级（涉及保密的信息系统 需要填写本项）系统分级保护实施情况 填表人： 名

联系方式 E-mail 手 □是 机

□否（如选择是请填下两项）所属单位

□第一级 □秘密 □ 已经实施

□第二级 □机密

□第三级 □绝密

□第四级

□第五级

□正在实施 填表日期：

□计划________年实施 年 月 日

填报单位：（盖章）

第五篇：信息系统安全等级保护备案操作规范

信息系统安全等级保护备案操作规范

一、项目名称、性质

（一）名称：信息系统安全等级保护备案

（二）性质：非行政许可

二、设定依据

二ＯＯ七年六月二十二日公安部、国家保密局、国家密码管理局、国务院信息化工作办公室公通字[2007]43号印发《信息安全等级保护管理办法》第十五条规定：

已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设区的市级以上公安机关备案。

三、实施权限和实施主体

根据《信息安全等级保护管理办法》第十五条规定，实施主体和权限为： 隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续；

跨省或者全国统一联网运行的信息系统在自治区一级运行、应用的分支系统及各区直单位运营、使用的信息系统，应当向自治区公安厅网络警察总队备案。

跨省或者全国统一联网运行的信息系统在各市运行、应用的分支系统及各市直单位运营、使用的信息系统，应当向市级公安机关网络警察支队备案。

四、行政审批条件

无。

五、实施对象和范围

根据《信息安全等级保护管理办法》第十五条的规定，实施对象和范围是：不涉及国家涉密信息系统的运营使用单位、信息系统主管部门。

六、申请材料

（一）、《信息系统安全等级保护备案表》；

（二）、《信息系统安全等级保护定级报告》；

（三）根据《信息安全等级保护管理办法》第十六条的规定，第三级以上信息系统应当同时提供以下材料：（1）系统拓扑结构及说明；

（2）系统安全组织机构和管理制度；（3）系统安全保护设施设计实施方案或者改建实施方案；（4）系统使用的信息安全产品清单及其认证、销售许可证明；

（5）测评后符合系统安全保护等级的技术检测评估报告；（6）信息系统安全保护等级专家评审意见；

（七）主管部门审核批准信息系统安全保护等级的意见。(提交复印件的应交验原件，复印件规格统一采用A4纸,以上提交材料均为一份)。

七、办结时限

（一）法定办结时限：10个工作日。

（二）承诺办结时限：10个工作日。

八、行政审批数量 无数量限制。

九、收费项目、标准及其依据

不收费。

十、办理时间

夏令时：早上8：30-12：00，下午15：00-18：00

冬令时：早上8：30-12：00，下午14：30-17：30

信息系统安全等级保护备案流程图.doc 附件1.行政审批流程图

2.申请书示范文本

申请书示范文本.doc