第一篇：阜外醫院率先通過國家信息安全等級保護第三級測評-胡睿

醫療信息安全參用軍隊考評體系

本報訊（記者 胡睿）1月6日，阜外心血管病醫院對外公布稱，“該院于2011年11月順利通過國家信息安全等級保護第三級測評，成為國內第一家通過三級測評的醫院”。衛生部統計信息中心網絡與應用處副處長楊龍頻解釋說，醫院信息安全保護測評方式最原始的參照版本是軍隊保密系統，第三級保護信息如果泄露，相當于對國家安全產生危害，或者是對社會秩序帶來不良影響。

據了解，早在2009年衛生部就已經提出要加強醫院信息安全保護，但由于我國醫院信息化相對滯后，應用范圍還相對有限，衛生部沒有對此項工作提出硬性要求。直到2011年，衛生部才正是下發了《關于全面開展衛生行業信息安全等級保護工作的指導意見》的通知（衛辦綜函【2011】1126號文）。

通知明確指出，國家信息安全等級保護制度將信息安全保護等級分為五級：第一級為自主保護級，第二級為指導保護級，第三級為監督保護級，第四級為強制保護級，第五級為專控保護級。根據現階段醫院信息化應用情況來看，我國要求三級甲等醫院的核心業務信息系統信息安全保護等級不低于第三級。

同時，通知要求各三級甲等醫院于2015年12月30日前完成信息安全等級保護建設整改工作，并通過等級測評，阜外心血管病醫院是提前三年完成了衛生部部署的工作。

阜外心血管病醫院信息中心主任趙偉說，近年來該院從技術、管理、保證系統連續性三個方面入手，已經建成了一套以電子病歷為核心、信息高度集成、流程嚴格控制、知識系統完備、具備事情控制能力、具備醫療成本控制體系、符合心血管專科醫療特色的信息化支撐平臺。這些系統的安全保護都不低于第三級，特別是電子病歷管理，目前已經達到了衛生部電子病歷系統功能應用五級標準。

“另外，為了確保急診患者信息不外露，阜外心血管病醫院專門開發了獨立于門診之外的急診信息應對系統，包括醫生工作站、護士工作站、化驗平臺、交費系統四個主體部分。這個系統雖然是獨立的，但他可以與門診系統實現互通，所有的資料都可以上傳給門診系統，以便應用于今后的科研、醫療、教學等方面”。趙偉如是說。

實際上，國家對信息安全保護早已對各行各業提出了明確要求，只是由于醫院的信息化建設晚于其他行業造成了現在的局面。北京公共衛生信息中心主任張文忠說，站在醫院的角度來說，通常會把信息安全放在信息化發展的第二位考慮，第一位是信息化的應用。這個道理很簡單，如果沒有應用就無從談及安全，所以說只有應用了信息化系統才能談到安全保護問題。阜外醫院通過等級評審，說明醫院信息化的應用已經開始考慮安全問題，這也預示著我國醫院信息化系統的應用已經步入了更高階段。

但中國醫院協會信息管理專業委員會副主任委員沈韜說，患者信息泄露的確會對社會造成一定的影響，但還不至于對社會秩序和國家安全造成較大影響。他認為，三級醫療機構的信息安全保護不低于第三級標準有些過高，不低于第二級已經可以確保醫療信息安全。

第二篇：國家信息安全等級保護制度第三級要求

CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

1.1.1.4 防雷擊(G3)本項要求包括: a)機房建筑應設置避雷裝置;b)應設置防雷保安器,防止感應雷;c)機房應設置交流電源地線。7.1.1.5 防火(G3)本項要求包括: a)機房應設置火災自動消防系統,能夠自動檢測火情、自動報警,并自動滅火;b)機房及相關的工作房間和輔助房應采用具有耐火等級的建筑材料;c)機房應采取區域隔離防火措施,將重要設備與其他設備隔離開。1.1.1.6 防水和防潮(G3)本項要求包括: a)水管安裝,不得穿過機房屋頂和活動地板下;b)應采取措施防止雨水通過機房窗戶、屋頂和墻壁滲透;c)應采取措施防止機房內水蒸氣結露和地下積水的轉移與滲透;d)應安裝對水敏感的檢測儀表或元件,對機房進行防水檢測和報警。1.1.1.7 防靜電(G3)本項要求包括: a)主要設備應采用必要的接地防靜電措施;b)機房應采用防靜電地板。1.1.1.8 溫濕度控制(G3)機房應設置溫、濕度自動調節設施,使機房溫、濕度的變化在設備運行所允許的范圍之內。

1.1.1.9 電力供應(A3)本項要求包括: CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

1.1.2.2 訪問控制(G3)本項要求包括: a)應在網絡邊界部署訪問控制設備,啟用訪問控制功能;b)應能根據會話狀態信息為數據流提供明確的允許/拒絕訪問的能力,控制粒度為端口級;c)應對進出網絡的信息內容進行過濾,實現對應用層HTTP、FTP、TELNET、SMTP、POP3 等協議命令級的控制;d)應在會話處于非活躍一定時間或會話結束后終止網絡連接;e)應限制網絡最大流量數及網絡連接數;f)重要網段應采取技術手段防止地址欺騙;g)應按用戶和系統之間的允許訪問規則,決定允許或拒絕用戶對受控系統進行資源訪問,控制粒度為單個用戶;h)應限制具有撥號訪問權限的用戶數量。1.1.2.3 安全審計(G3)本項要求包括: a)應對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄;b)審計記錄應包括:事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關的信息;c)應能夠根據記錄數據進行分析,并生成審計報表;d)應對審計記錄進行保護,避免受到未預期的刪除、修改或覆蓋等。1.1.2.4 邊界完整性檢查(S3)本項要求包括: a)應能夠對非授權設備私自聯到內部網絡的行為進行檢查,準確定出位置,并對其進行有效阻斷;b)應能夠對內部網絡用戶私自聯到外部網絡的行為進行檢查,準確定出位CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

本項要求包括: a)應對登錄操作系統和數據庫系統的用戶進行身份標識和鑒別;b)操作系統和數據庫系統管理用戶身份標識應具有不易被冒用的特點,口令應有復雜度要求并定期更換;c)應啟用登錄失敗處理功能,可采取結束會話、限制非法登錄次數和自動退出等措施;d)當對服務器進行遠程管理時,應采取必要措施,防止鑒別信息在網絡傳輸過程中被竊聽;e)應為操作系統和數據庫系統的不同用戶分配不同的用戶名,確保用戶名具有唯一性。

f)應采用兩種或兩種以上組合的鑒別技術對管理用戶進行身份鑒別。1.1.3.2 訪問控制(S3)本項要求包括: a)應啟用訪問控制功能,依據安全策略控制用戶對資源的訪問;b)應根據管理用戶的角色分配權限,實現管理用戶的權限分離,僅授予管理用戶所需的最小權限;c)應實現操作系統和數據庫系統特權用戶的權限分離;d)應嚴格限制默認帳戶的訪問權限,重命名系統默認帳戶,修改這些帳戶的默認口令;e)應及時刪除多余的、過期的帳戶,避免共享帳戶的存在。f)應對重要信息資源設置敏感標記;g)應依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作;7.1.3.3 安全審計(G3)本項要求包括: a)審計范圍應覆蓋到服務器和重要客戶端上的每個操作系統用戶和數據庫用戶;b)審計內容應包括重要用戶行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全相關事件;CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

a)應通過設定終端接入方式、網絡地址范圍等條件限制終端登錄;b)應根據安全策略設置登錄終端的操作超時鎖定;c)應對重要服務器進行監視,包括監視服務器的CPU、硬盤、內存、網絡等資源的使用情況;d)應限制單個用戶對系統資源的最大或最小使用限度;e)應能夠對系統的服務水平降低到預先規定的最小值進行檢測和報警。7.1.4 應用安全 7.1.4.1 身份鑒別(S3)本項要求包括: a)應提供專用的登錄控制模塊對登錄用戶進行身份標識和鑒別;b)應對同一用戶采用兩種或兩種以上組合的鑒別技術實現用戶身份鑒別;c)應提供用戶身份標識唯一和鑒別信息復雜度檢查功能,保證應用系統中不存在重復用戶身份標識,身份鑒別信息不易被冒用;d)應提供登錄失敗處理功能,可采取結束會話、限制非法登錄次數和自動退出等措施;e)應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能,并根據安全策略配置相關參數。

7.1.4.2 訪問控制(S3)本項要求包括: a)應提供訪問控制功能,依據安全策略控制用戶對文件、數據庫表等客體的訪問;b)訪問控制的覆蓋范圍應包括與資源訪問相關的主體、客體及它們之間的操作;c)應由授權主體配置訪問控制策略,并嚴格限制默認帳戶的訪問權限;d)應授予不同帳戶為完成各自承擔任務所需的最小權限,并在它們之間形成相互制約的關系。

e)應具有對重要信息資源設置敏感標記的功能;CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

7.1.4.8 軟件容錯(A3)本項要求包括: a)應提供數據有效性檢驗功能,保證通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定要求;b)應提供自動保護功能,當故障發生時自動保護當前所有狀態,保證系統能夠進行恢復。

7.1.4.9 資源控制(A3)本項要求包括: a)當應用系統的通信雙方中的一方在一段時間內未作任何響應,另一方應能夠自動結束會話;b)應能夠對系統的最大并發會話連接數進行限制;c)應能夠對單個帳戶的多重并發會話進行限制;d)應能夠對一個時間段內可能的并發會話連接數進行限制;e)應能夠對一個訪問帳戶或一個請求進程占用的資源分配最大限額和最小限額;f)應能夠對系統服務水平降低到預先規定的最小值進行檢測和報警;g)應提供服務優先級設定功能,并在安裝后根據安全策略設定訪問帳戶或請求進程的優先級,根據優先級分配系統資源。

7.1.5 數據安全及備份恢復 7.1.5.1 數據完整性(S3)本項要求包括: a)應能夠檢測到系統管理數據、鑒別信息和重要業務數據在傳輸過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施;b)應能夠檢測到系統管理數據、鑒別信息和重要業務數據在存儲過程中完整性受到破壞,并在檢測到完整性錯誤時采取必要的恢復措施。

7.1.5.2 數據保密性(S3)本項要求包括: CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

c)應組織相關人員對制定的安全管理制度進行論證和審定;d)安全管理制度應通過正式、有效的方式發布;e)安全管理制度應注明發布范圍,并對收發文進行登記。7.2.1.3 評審和修訂(G3)本項要求包括: a)信息安全領導小組應負責定期組織相關部門和相關人員對安全管理制度體系的合理性和適用性進行審定;b)應定期或不定期對安全管理制度進行檢查和審定,對存在不足或需要改進的安全管理制度進行修訂。

7.2.2 安全管理機構 7.2.2.1 崗位設置(G3)本項要求包括: a)應設立信息安全管理工作的職能部門,設立安全主管、安全管理各個方面的負責人崗位,并定義各負責人的職責;b)應設立系統管理員、網絡管理員、安全管理員等崗位,并定義各個工作崗位的職責;c)應成立指導和管理信息安全工作的委員會或領導小組,其最高領導由單位主管領導委任或授權;d)應制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。7.2.2.2 人員配備(G3)本項要求包括: a)應配備一定數量的系統管理員、網絡管理員、安全管理員等;b)應配備專職安全管理員,不可兼任;c)關鍵事務崗位應配備多人共同管理。7.2.2.3 授權和審批(G3)本項要求包括: a)應根據各個部門和崗位的職責明確授權審批事項、審批部門和批準人等;CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

a)應指定或授權專門的部門或人員負責人員錄用;b)應嚴格規范人員錄用過程,對被錄用人的身份、背景、專業資格和資質等進行審查,對其所具有的技術技能進行考核;c)應簽署保密協議;d)應從內部人員中選拔從事關鍵崗位的人員,并簽署崗位安全協議。7.2.3.2 人員離崗(G3)本項要求包括: a)應嚴格規范人員離崗過程,及時終止離崗員工的所有訪問權限;b)應取回各種身份證件、鑰匙、徽章等以及機構提供的軟硬件設備;c)應辦理嚴格的調離手續,關鍵崗位人員離崗須承諾調離后的保密義務后方可離開。

7.2.3.3 人員考核(G3)本項要求包括: a)應定期對各個崗位的人員進行安全技能及安全認知的考核;b)應對關鍵崗位的人員進行全面、嚴格的安全審查和技能考核;c)應對考核結果進行記錄并保存。7.2.3.4 安全意識教育和培訓(G3)本項要求包括: a)應對各類人員進行安全意識教育、崗位技能培訓和相關安全技術培訓;b)應對安全責任和懲戒措施進行書面規定并告知相關人員,對違反違背安全策略和規定的人員進行懲戒;c)應對定期安全教育和培訓進行書面規定,針對不同崗位制定不同的培訓計劃,對信息安全基礎知識、崗位操作規程等進行培訓;d)應對安全教育和培訓的情況和結果進行記錄并歸檔保存。7.2.3.5 外部人員訪問管理(G3)本項要求包括: a)應確保在外部人員訪問受控區域前先提出書面申請,批準后由專人全程CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

b)應確保密碼產品采購和使用符合國家密碼主管部門的要求;c)應指定或授權專門的部門負責產品的采購;d)應預先對產品進行選型測試,確定產品的候選范圍,并定期審定和更新候選產品名單。

7.2.4.4 自行軟件開發(G3)本項要求包括: a)應確保開發環境與實際運行環境物理分開,開發人員和測試人員分離,測試數據和測試結果受到控制;b)應制定軟件開發管理制度,明確說明開發過程的控制方法和人員行為準則;c)應制定代碼編寫安全規范,要求開發人員參照規范編寫代碼;d)應確保提供軟件設計的相關文檔和使用指南,并由專人負責保管;e)應確保對程序資源庫的修改、更新、發布進行授權和批準。7.2.4.5 外包軟件開發(G3)本項要求包括: a)應根據開發需求檢測軟件質量;b)應在軟件安裝之前檢測軟件包中可能存在的惡意代碼;c)應要求開發單位提供軟件設計的相關文檔和使用指南;d)應要求開發單位提供軟件源代碼,并審查軟件中可能存在的后門。7.2.4.6 工程實施(G3)本項要求包括: a)應指定或授權專門的部門或人員負責工程實施過程的管理;b)應制定詳細的工程實施方案控制實施過程,并要求工程實施單位能正式地執行安全工程過程;c)應制定工程實施方面的管理制度,明確說明實施過程的控制方法和人員行為準則。

7.2.4.7 測試驗收(G3)CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

a)在系統運行過程中,應至少每年對系統進行一次等級測評,發現不符合相應等級保護標準要求的及時整改;b)應在系統發生變更時及時對系統進行等級測評,發現級別發生變化的及時調整級別并進行安全改造,發現不符合相應等級保護標準要求的及時整改;c)應選擇具有國家相關技術資質和安全資質的測評單位進行等級測評;d)應指定或授權專門的部門或人員負責等級測評的管理。7.2.4.11 安全服務商選擇(G3)本項要求包括: a)應確保安全服務商的選擇符合國家的有關規定;b)應與選定的安全服務商簽訂與安全相關的協議,明確約定相關責任;c)應確保選定的安全服務商提供技術培訓和服務承諾,必要的與其簽訂服務合同。

7.2.5 系統運維管理 7.2.5.1 環境管理(G3)本項要求包括: a)應指定專門的部門或人員定期對機房供配電、空調、溫濕度控制等設施進行維護管理;b)應指定部門負責機房安全,并配備機房安全管理人員,對機房的出入、服務器的開機或關機等工作進行管理;c)應建立機房安全管理制度,對有關機房物理訪問,物品帶進、帶出機房和機房環境安全等方面的管理做出規定;d)應加強對辦公環境的保密性管理,規范辦公環境人員行為,包括工作人員調離辦公室應立即交還該辦公室鑰匙、不在辦公區接待來訪人員、工作人員離開座位應確保終端計算機退出登錄狀態和桌面上沒有包含敏感信息的紙檔文件等。

7.2.5.2 資產管理(G3)本項要求包括: a)應編制并保存與信息系統相關的資產清單,包括資產責任部門、重要程度和所處位置等內容;CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

d)應對終端計算機、工作站、便攜機、系統和網絡等設備的操作和使用進行規范化管理,按操作規程實現主要設備(包括備份和冗余設備)的啟動/停止、加電/斷電等操作;e)應確保信息處理設備必須經過審批才能帶離機房或辦公地點。7.2.5.5 監控管理和安全管理中心(G3)本項要求包括: a)應對通信線路、主機、網絡設備和應用軟件的運行狀況、網絡流量、用戶行為等進行監測和報警,形成記錄并妥善保存;b)應組織相關人員定期對監測和報警記錄進行分析、評審,發現可疑行為,形成分析報告,并采取必要的應對措施;c)應建立安全管理中心,對設備狀態、惡意代碼、補丁升級、安全審計等安全相關事項進行集中管理。

7.2.5.6 網絡安全管理(G3)本項要求包括: a)應指定專人對網絡進行管理,負責運行日志、網絡監控記錄的日常維護和報警信息分析和處理工作;b)應建立網絡安全管理制度,對網絡安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規定;c)應根據廠家提供的軟件升級版本對網絡設備進行更新,并在更新前對現有的重要文件進行備份;d)應定期對網絡系統進行漏洞掃描,對發現的網絡系統安全漏洞進行及時的修補;e)應實現設備的最小服務配置,并對配置文件進行定期離線備份;f)應保證所有與外部系統的連接均得到授權和批準;g)應依據安全策略允許或者拒絕便攜式和移動式設備的網絡接入;h)應定期檢查違反規定撥號上網或其他違反網絡安全策略的行為。7.2.5.7 系統安全管理(G3)本項要求包括: CHISC.NET國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

案經過評審、審批后方可實施變更,并在實施后將變更情況向相關人員通告;c)應建立變更控制的申報和審批文件化程序,對變更影響進行分析并文檔化,記錄變更實施過程,并妥善保存所有文檔和記錄;d)應建立中止變更并從失敗變更中恢復的文件化程序,明確過程控制方法和人員職責,必要時對恢復過程進行演練。

7.2.5.11 備份與恢復管理(G3)本項要求包括: a)應識別需要定期備份的重要業務信息、系統數據及軟件系統等;b)應建立備份與恢復管理相關的安全管理制度,對備份信息的備份方式、備份頻度、存儲介質和保存期等進行規范;c)應根據數據的重要性和數據對系統運行的影響,制定數據的備份策略和恢復策略,備份策略須指明備份數據的放置場所、文件命名規則、介質替換頻率和將數據離站運輸的方法;d)應建立控制數據備份和恢復過程的程序,對備份過程進行記錄,所有文件和記錄應妥善保存;e)應定期執行恢復程序,檢查和測試備份介質的有效性,確保可以在恢復程序規定的時間內完成備份的恢復。

7.2.5.12 安全事件處置(G3)本項要求包括: a)應報告所發現的安全弱點和可疑事件,但任何情況下用戶均不應嘗試驗證弱點;b)應制定安全事件報告和處置管理制度,明確安全事件的類型,規定安全事件的現場處理、事件報告和后期恢復的管理職責;c)應根據國家相關管理部門對計算機安全事件等級劃分方法和安全事件對本系統產生的影響,對本系統計算機安全事件進行等級劃分;d)應制定安全事件報告和響應處理程序,確定事件的報告流程,響應和處置的范圍、程度,以及處理方法等;e)應在安全事件報告和響應處理過程中,分析和鑒定事件產生的原因,收集證據,記錄處理過程,總結經驗教訓,制定防止再次發生的補救措施,過程形成的CHISC.NET-國內第一醫療信息化網站 ,為業內人士提供最強大的交流共享平臺

所有文件和記錄均應妥善保存;f)對造成系統中斷和造成信息泄密的安全事件應采用不同的處理程序和報告程序。

7.2.5.13 應急預案管理(G3)本項要求包括: a)應在統一的應急預案框架下制定不同事件的應急預案,應急預案框架應包括啟動應急預案的條件、應急處理流程、系統恢復流程、事后教育和培訓等內容;b)應從人力、設備、技術和財務等方面確保應急預案的執行有足夠的資源保障;c)應對系統相關的人員進行應急預案培訓,應急預案的培訓應至少每年舉辦一次;d)應定期對應急預案進行演練,根據不同的應急恢復內容,確定演練的周期;e)應規定應急預案需要定期審查和根據實際情況更新的內容,并按照執行。

第三篇：信息安全等級保護測評

TopSec可信等級體系 天融信等級保護方案

Hacker.cn 更新時間:08-03-27 09:37 來源:硅谷動力 作者:中安網

1.等級保護概述

1.1為什么要實行等級保護？

信息系統與社會組織體系是具有對應關系的，而這些組織體系是分層次和級別的，因此各種信息系統是具有不同等級的重要性和社會、經濟價值的。對信息系統的基礎資源和信息資源的價值大小、用戶訪問權限的大小、大系統中各子系統的重要程度進行區別對待就是級別的客觀要求。信息安全必須符合這些客觀要求，這就需要對信息系統進行分級、分區域、分階段進行保護，這是做好國家信息安全的必要條件。

1.2等級保護的政策文件

信息安全等級保護工作非常重要，為此從2003年開始國家發布了一系列政策文件，具體如下：

2003年9月，中辦國辦頒發《關于加強信息安全保障工作的意見》（中辦發[2003]27號），這是我國第一個信息安全保障工作的綱領性文件，戰略目標為經過五年努力，基本形成國家信息安全保障體系，實行等級保護制度。

2004年11月，四部委會簽《關于信息安全等級保護工作的實施意見》（公通字[2004]66號）：等級保護是今后國家信息安全的基本制度也是根本方法、等級保護制度的重要意義、原則、基本內容、工作職責分工、工作要求和實施計劃。2005年9月，國信辦文件，《關于轉發《電子政務信息安全等級保護實施指南》的通知》（國信辦[2004]25號）：基本原理、定級方法、安全規劃與設計、實施與運營、大型復雜電子政務系統等級保護過程。

2005年，公安部標準：《等級保護安全要求》、《等級保護定級指南》、《等級保護實施指南》、《等級保護測評準則》。

2006年1月，四部委會簽《關于印發《信息安全等級保護管理辦法的通知》（公通字[2006]7號）。

1.3 等級保護的管理結構－北京為例

等級保護的實施和落實離不開各級管理機構的指導和監督，這在等級保護的相關文件中已經得到了規定，下面以北京市為例來說明管理機構的組成和職責，具體如下圖所示：

1.4等級保護理論的技術演進

在等級保護理論被提出以后，經過相關部門的努力工作，逐漸提出了一系列原則、技術和框架，已經具備實施等級保護工作的基礎條件了，其具體演進過程如下圖所示：

1.5等級保護的基本需求

一個機構要實施等級保護，需要基本需求。由于等級保護是國家推動的旨在規范安全工作的基本工作制度，因此各級組織在這方面就存在如下需求：

（1）政策要求－符合等級保護的要求。系統符合《基本要求》中相應級別的指標，符合《測評準則》中的要求。

（2）實際需求－適應客戶實際情況。適應業務特性與安全要求的差異性，可工程化實施。

1.6基本安全要求的結構

對系統進行定級后，需要通過努力達到相應等級的基本安全要求，在總體上分為技術要求和管理要求，技術上又分為物理安全、網絡安全、主機安全、應用安全、數據安全，在管理要求中又分為安全管理機構、安全管理制度等5項，具體如下圖所示：

2.等級保護實施中的困難與出路

由于等級保護制度還處于探討階段，目前來看，尚存在如下困難：

1.標準中從“單個系統”出發，但實際工作是從組織整體出發，整體考慮所有系統，否則：

a)各系統單獨保護，將沖突和割裂，形成信息孤島

b)復雜大系統的分解和差異性安全要求描述很困難

c)各系統安全單獨建設，將造成分散、重復和低水平

2.在建立長效機制方面考慮較少，難以做到可持續運行、發展和完善

3.管理難度太大，管理成本高

4.大型客戶最關注的關鍵要求指標超出《基本要求》規定

針對上述問題，在下面幾小節分別給出了堅決辦法。

2.1安全體系設計方法

需求分析－1

問題1：標準中從“單個系統”出發，但實際工作是從組織整體出發，整體考慮所有系統

a)各系統單獨保護，將沖突和割裂，形成信息孤島

需求：從組織整體出發，綜合考核所有系統

方法：引入體系設計方法

2.2保護對象框架設計方法

需求分析－2

1.標準中從“單個系統”出發，但實際工作是從組織整體出發，整體考慮所有系統

a)各系統單獨保護，將沖突和割裂，形成信息孤島

b)復雜大系統的分解和差異性安全要求描述很困難

需求：準確地進行大系統的分解和描述，反映實際特性和差異性安全要求

方法：引入保護對象框架設計方法

保護對象框架－政府行業

保護對象框架－電信行業

保護對象框架－銀行業

2.3安全平臺的設計與建設方法

需求分析－3

1.標準中從“單個系統”出發，但實際工作是從組織整體出發，整體考慮所有系統

a)各系統單獨保護，將沖突和割裂，形成信息孤島

b)復雜大系統的分解和差異性安全要求描述很困難

c)各系統安全單獨建設，將造成分散、重復和低水平

需求：統一規劃，集中建設，避免重復和分散，降低成本，提高建設水平

方法：引入安全平臺的設計與建設方法

平臺定義：為系統提供互操作性及其服務的環境

2.4建立安全運行體系

需求分析－4

1.標準中從“單個系統”出發，但實際工作是從組織整體出發，整體考慮所有系統

a)各系統單獨保護，將沖突和割裂，形成信息孤島

b)復雜大系統的分解和差異性安全要求描述很困難

c)各系統安全單獨建設，將造成分散、重復和低水平

2.在建立長效機制方面考慮較少，難以做到可持續運行、發展和完善

需求：建立長效機制，建立可持續運行、發展和完善的體系

方法：建立安全運行體系

2.5安全運維工作過程

需求分析－5

1.標準中從“單個系統”出發，但實際工作是從組織整體出發，整體考慮所有系統

a)各系統單獨保護，將沖突和割裂，形成信息孤島

b)復雜大系統的分解和差異性安全要求描述很困難

c)各系統安全單獨建設，將造成分散、重復和低水平

2.在建立長效機制方面考慮較少，難以做到可持續運行、發展和完善

3.管理難度太大，管理成本高

需求：需要高水平、自動化的安全管理工具

方法：TSM安全管理平臺

2.6 TNA可信網絡架構模型

需求分析－6

1.標準中從“單個系統”出發，但實際工作是從組織整體出發，整體考慮所有系統

a)各系統單獨保護，將沖突和割裂，形成信息孤島

b)復雜大系統的分解和差異性安全要求描述很困難

c)各系統安全單獨建設，將造成分散、重復和低水平

2.在建立長效機制方面考慮較少，難以做到可持續運行、發展和完善

3.管理難度太大，管理成本高

4.大型客戶最關注的關鍵指標超出《基本要求》規定

需求：在《基本要求》基礎上提出更強的措施，滿足客戶最關注的指標

方法：引入可信計算的理念，提供可信網絡架構

3.總體解決方案－TopSec可信等級體系

按照上面解決等級保護目前困難的方法，總體解決方案就是建立TopSec可信等級體系：

遵照國家等級保護制度、滿足客戶實際需求，采用等級化、體系化和可信保障相結合的方法，為客戶建設一套覆蓋全面、重點突出、節約成本、持續運行的安全保障體系。

實施后狀態：一套持續運行、涵蓋所有安全內容的安全保障體系，是企業或組織安全工作所追求的最終目標

特質：

等級化：突出重點，節省成本，滿足不同行業、不同發展階段、不同層次的要求

整體性：結構化，內容全面，可持續發展和完善，持續運行

針對性：針對實際情況，符合業務特性和發展戰略

3.1可信等級體系設計方法

3.2信息安全保障體系總體框架

3.3體系設計的成果

安全組織體系

安全策略體系

安全技術體系

安全運行體系

3.4安全體系的實現

4.成功案例

某國有大型企業已經采用了我們的可信等級體系，取得了良好的效果。

第四篇：國家信息安全等級保護制度

《信息安全等級保護管理辦法》 四部委下發公通字[2007]43號文 《信息安全等級保護管理辦法》是為規范信息安全等級保護管理，提高信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化建設，根據《中華人民共和國計算機信息系統安全保護條例》等有關法律法規而制定的辦法。由四部委下發，公通字200743號文。2 制定目的 規范信息安全等級保護管理。文號

公通字200743號文 第一章 總則 第一條

為規范信息安全等級保護管理，提高信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化建設，根據《中華人民共和國計算機信息系統安全保護條例》等有關法律法規，制定本辦法。第二條

國家通過制定統一的信息安全等級保護管理規范和技術標準，組織公民、法人和其他組織對信息系統分等級實行安全保護，對等級保護工作的實施進行監督、管理。第三條

公安機關負責信息安全等級保護工作的監督、檢查、指導。國家保密工作部門負責等級保護工作中有關保密工作的監督、檢查、指導。國家密碼管理部門負責等級保護工作中有關密碼工作的監督、檢查、指導。涉及其他職能部門管轄范圍的事項，由有關職能部門依照國家法律法規的規定進行管理。國務院信息化工作辦公室及地方信息化領導小組辦事機構負責等級保護工作的部門間協調。第四條

信息系統主管部門應當依照本辦法及相關標準規范，督促、檢查、指導本行業、本部門或者本地區信息系統運營、使用單位的信息安全等級保護工作。第五條

信息系統的運營、使用單位應當依照本辦法及其相關標準規范，履行信息安全等級保護的義務和責任。

第二章 等級劃分與保護 第六條

國家信息安全等級保護堅持自主定級、自主保護的原則。信息系統的安全保護等級應當根據信息系統在國家安全、經濟建設、社會生活中的重要程度，信息系統遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度等因素確定。第七條

信息系統的安全保護等級分為以下五級：

第一級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。

第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。

第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造 1

成損害。

第四級，信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。

第五級，信息系統受到破壞后，會對國家安全造成特別嚴重損害。第八條

信息系統運營、使用單位依據本辦法和相關技術標準對信息系統進行保護，國家有關信息安全監管部門對其信息安全等級保護工作進行監督管理。

第一級信息系統運營、使用單位應當依據國家有關管理規范和技術標準進行保護。第二級信息系統運營、使用單位應當依據國家有關管理規范和技術標準進行保護。國家信息安全監管部門對該級信息系統信息安全等級保護工作進行指導。第三級信息系統運營、使用單位應當依據國家有關管理規范和技術標準進行保護。國家信息安全監管部門對該級信息系統信息安全等級保護工作進行監督、檢查。第四級信息系統運營、使用單位應當依據國家有關管理規范、技術標準和業務專門需求進行保護。國家信息安全監管部門對該級信息系統信息安全等級保護工作進行強制監督、檢查。第五級信息系統運營、使用單位應當依據國家管理規范、技術標準和業務特殊安全需求進行保護。國家指定專門部門對該級信息系統信息安全等級保護工作進行專門監督、檢查。第三章等級保護的實施與管理 第九條

信息系統運營、用單位應當按照《信息系統安全等級保護實施指南》 具體實施等級保護工作。第十條

信息系統運營、使用單位應當依據本辦法和《信息系統安全等級保護定級指南》確定信息系統的安全保護等級。有主管部門的，應當經主管部門審核批準。跨省或者全國統一聯網運行的信息系統可以由主管部門統一確定安全保護等級。對擬確定為第四級以上信息系統的，運營、使用單位或者主管部門應當請國家信息安全保護 等級專家評審委員會評審。第十一條

信息系統的安全保護等級確定后，運營、使用單位應當按照國家信息安全等級保護管理規范和技術標準，使用符合國家有關規定，滿足信息系統安全保護等級需求的信息技術產品，開展信息系統安全建設或者改建工作。第十二條

在信息系統建設過程中，運營、使用單位應當按照《計算機信息系統安全保護等級劃分準則》（GB17859-1999）、《信息系統安全等級保護基本要求》等技術標準，參照《信息安全技術信息系統通用安全技術要求》（GB/T20271-2006）、《信息安全技術網絡基礎安全技術要求》（GB/T20270-2006）、《信息安全技術 操作系統安全技術要求》（GB/T20272-2006）、《信息安全技術數據庫管理系統安全技術要求》（GB/T20273-2006）、《信息安全技術服務器技術要求》、《信息安全技術終端計算機系統安全等級技術要求》（GA/T671-2006）等技術標準同步建設符合該等級要求的信息安全設施。第十三條

運營、使用單位應當參照《信息安全技術 信息系統安全管理要求》（GB/T20269-2006）、《信息安全技術信息系統安全工程管理要求》（GB/T20282-2006）、《信息系統安全等級保護基本要求》等管理規范，制定并落實符合本系統安全保護等級要求的安全管理制度。第十四條

信息系統建設完成后，運營、使用單位或者其主管部門應當選擇符合本辦法規定條件的測評機構，依據《信息系統安全等級保護測評要求》等技術標準，定期對信息系統安全等級狀況開展等級測評。

第三級信息系統應當每年至少進行一次等級測評，第四級信息系統應當每半年至少進行一次等級測評，第五級信息系統應當依據特殊安全需求進行等級測評。信息系統運營、使用單位及其主管部門應當定期對信息系統安全狀況、安全保護制度及措施的落實情況進行自查。第三級信息系統應當每年至少進行一次自查，第四級信息系統應當每 半年至少進行一次自查，第五級信息系統應當依據特殊安全需求進行自查。經測評或者自查，信息系統安全狀況未達到安全保護等級要求的，運營、使用單位應當制定方案進行整改。第十五條

已運營（運行）的第二級以上信息系統，應當在安全保護等級確定后30 日內，由其運營、使用單位到所在地設區的市級以上公安機關辦理備案手續。新建第二級以上信息系統，應當在投入運行后30日內，由其運營、使用單位到所在地設區的市級以上公安機關辦理備案手續。隸屬于中央的在京單位，其跨省或者全國統一聯網運行并由主管部門統一定級的信息系統，由主管部門向公安部辦理備案手續。跨省或者全國統一聯網運行的信息系統在各地運行、應用的分支系統，應當向當地設區的市級以上公安機關備案。第十六條

辦理信息系統安全保護等級備案手續時，應當填寫《信息系統安全等級保護備案表》，第三級以上信息系統應當同時提供以下材料：

（一）系統拓撲結構及說明；

（二）系統安全組織機構和管理制度；

（三）系統安全保護設施設計實施方案或者改建實施方案；

（四）系統使用的信息安全產品清單及其認證、銷售許可證明；

（五）測評后符合系統安全保護等級的技術檢測評估報告；

（六）信息系統安全保護等級專家評審意見；

（七）主管部門審核批準信息系統安全保護等級的意見。

第十七條

信息系統備案后，公安機關應當對信息系統的備案情況進行審核，對符合等級保護要求的，應當在收到備案材料之日起的10個工作日內頒發信息系統安全等級保護備案證明；發現不符合本辦法及有關標準的，應當在收到備案材料之日起的10個工作日內通知備案單位予以 糾正；發現定級不準的，應當在收到備案材料之日起的10個工作日內通知備案單位重新審核確定。運營、使用單位或者主管部門重新確定信息系統等級后，應當按照本辦法向公安機關重新備案。第十八條

受理備案的公安機關應當對第三級、第四級信息系統的運營、使用單位的信息安全等級保護工作情況進行檢查。對第三級信息系統每年至少檢查一次，對第四級信息系統每半年至少檢查一次。對跨省或者全國統一聯網運行的信息系統的檢查，應當會同其主管部門進行。對第五級信息系統，應當由國家指定的專門部門進行檢查。公安機關、國家指定的專門部門應當對下列事項進行檢查：

（一）系統安全需求是否發生變化，原定保護等級是否準確；

（二）運營、使用單位安全管理制度、措施的落實情況；

（三）運營、使用單位及其主管部門對信息系統安全狀況的檢查情況；

（四）系統安全等級測評是否符合要求；

（五）信息安全產品使用是否符合要求；

（六）對信息系統開展等級測評的技術測評報告；

（七）信息安全產品使用的變更情況；

（八）信息安全事件應急預案，信息安全事件應急處置結果報告；

（九）信息系統安全建設、整改結果報告。

第二十條

公安機關檢查發現信息系統安全保護狀況不符合信息安全等級保護有關管理規范和技術標準的，應當向運營、使用單位發出整改通知。運營、使用單位應當根據整改通知要求，按照管理規范和技術標準進行整改。整改完成后，應當將整改報告向公安機關備案。必要時，公安機關可以對整改情況組織檢查。

第二十一條

第三級以上信息系統應當選擇使用符合以下條件的信息安全產品：

（一）產品研制、生產單位是由中國公民、法人投資或者國家投資或者控股的，在中華人民 共和國境內具有獨立的法人資格；

（二）產品的核心技術、關鍵部件具有我國自主知識產權；

（三）產品研制、生產單位及其主要業務、技術人員無犯罪記錄；

（四）產品研制、生產單位聲明沒有故意留有或者設置漏洞、后門、木馬等程序和功能；

（五）對國家安全、社會秩序、公共利益不構成危害；

（六）對已列入信息安全產品認證目錄的，應當取得國家信息安全產品認證機構頒發的認證證書。第二十二條

第三級以上信息系統應當選擇符合下列條件的等級保護測評機構進行測評：

（一）在中華人民共和國境內注冊成立（港澳臺地區除外）；

（二）由中國公民投資、中國法人投資或者國家投資的企事業單位（港澳臺地區除外）；

（三）從事相關檢測評估工作兩年以上，無違法記錄；

（四）工作人員僅限于中國公民；

（五）法人及主要業務、技術人員無犯罪記錄；

（六）使用的技術裝備、設施應當符合本辦法對信息安全產品的要求；

（七）具有完備的保密管理、項目管理、質量管理、人員管理和培訓教育等安全管理制度；

（八）對國家安全、社會秩序、公共利益不構成威脅。第二十三條

從事信息系統安全等級測評的機構，應當履行下列義務：

（一）遵守國家有關法律法規和技術標準，提供安全、客觀、公正的檢測評估服務，保證測評的質量和效果；

（二）保守在測評活動中知悉的國家秘密、商業秘密和個人隱私，防范測評風險；

（三）對測評人員進行安全保密教育，與其簽訂安全保密責任書，規定應當履行的安全保密義務和承擔的法律責任，并負責檢查落實。第四章 涉密信息系統的分級保護管理

第二十四條

涉密信息系統應當依據國家信息安全等級保護的基本要求，按照國家保密工作部門有關涉密信息系統分級保護的管理規定和技術標準，結合系統實際情況進行保護。非涉密信息系統不得處理國家秘密信息。第二十五條

涉密信息系統按照所處理信息的最高密級，由低到高分為秘密、機密、絕密三個等級。涉密信息系統建設使用單位應當在信息規范定密的基礎上，依據涉密信息系統分級保護管理辦法和國家保密標準BMB17-2006《涉及國家秘密的計算機信息系統分級保護技術要求》確 定系統等級。對于包含多個安全域的涉密信息系統，各安全域可以分別確定保護等級。保密工作部門和機構應當監督指導涉密信息系統建設使用單位準確、合理地進行系統定級。第二十六條

涉密信息系統建設使用單位應當將涉密信息系統定級和建設使用情況，及時上報業務主管部門的保密工作機構和負責系統審批的保密工作部門備案，并接受保密部門的監督、檢查、指導。

第二十七條

涉密信息系統建設使用單位應當選擇具有涉密集成資質的單位承擔或者參與涉密信息系統的設計與實施。涉密信息系統建設使用單位應當依據涉密信息系統分級保護管理規范和技術標準，按照秘密、機密、絕密三級的不同要求，結合系統實際進行方案設計，實施分級保護，其保護水平

總體上不低于國家信息安全等級保護第三級、第四級、第五級的水平。第二十八條

涉密信息系統使用的信息安全保密產品原則上應當選用國產品，并應當通過國家保密局授權的檢測機構依據有關國家保密標準進行的檢測，通過檢測的產品由國家保密局審核發布目錄。

第二十九條

涉密信息系統建設使用單位在系統工程實施結束后，應當向保密工作部門提出申請，由國家保密局授權的系統測評機構依據國家保密標準BMB22-2007《涉及國家秘密的計算機信息系統分級保護測評指南》，對涉密信息系統進行安全保密測評。涉密信息系統建設使用單位在系統投入使用前，應當按照《涉及國家秘密的信息系統審批管理規定》，向設區的市級以上保密工作部門申請進行系統審批，涉密信息系統通過審批后方可投入使用。已投入使用的涉密信息系統，其建設使用單位在按照分級保護要求完成系統整改后，應當向保密工作部門備案。

第三十條

涉密信息系統建設使用單位在申請系統審批或者備案時，應當提交以下材料：

（一）系統設計、實施方案及審查論證意見；

（二）系統承建單位資質證明材料；

（三）系統建設和工程監理情況報告；

（四）系統安全保密檢測評估報告；

（五）系統安全保密組織機構和管理制度情況；

（六）其他有關材料。第三十一條

涉密信息系統發生涉密等級、連接范圍、環境設施、主要應用、安全保密管理責任單位變更時，其建設使用單位應當及時向負責審批的保密工作部門報告。保密工作部門應當根據實際情況，決定是否對其重新進行測評和審批。第三十二條

涉密信息系統建設使用單位應當依據國家保密標準BMB20-2007《涉及國家秘密的信息系統分級保護管理規范》，加強涉密信息系統運行中的保密管理，定期進行風險評估，消除泄密隱患和漏洞。第三十三條

國家和地方各級保密工作部門依法對各地區、各部門涉密信息系統分級保護工作實施監督管理，并做好以下工作：

（一）指導、監督和檢查分級保護工作的開展；

（二）指導涉密信息系統建設使用單位規范信息定密，合理確定系統保護等級；

（三）參與涉密信息系統分級保護方案論證，指導建設使用單位做好保密設施的同步規劃設計；

（四）依法對涉密信息系統集成資質單位進行監督管理；

（五）嚴格進行系統測評和審批工作，監督檢查涉密信息系統建設使用單位分級保護管理制度和技術措施的落實情況；

（六）加強涉密信息系統運行中的保密監督檢查。對秘密級、機密級信息系統每兩年至少進行一次保密檢查或者系統測評，對絕密級信息系統每年至少進行一次保密檢查或者系統測評；

（七）了解掌握各級各類涉密信息系統的管理使用情況，及時發現和查處各種違規違法行為和泄密事件。第五章

信息安全等級保護的密碼管理 第三十四條

國家密碼管理部門對信息安全等級保護的密碼實行分類分級管理。

根據被保護對象在國家安全、社會穩定、經濟建設中的作用和重要程度，被保護對象的安全防護要求和涉密程度，被保護對象被破壞后的危害程度以及密碼使用部門的性質等，確定密碼的等級保護準則。信息系統運營、使用單位采用密碼進行等級保護的，應當遵照《信息安全等級保護密碼管理辦法》、《信息安全等級保護商用密碼技術要求》等密碼管理規定和相關標準。第三十五條

信息系統安全等級保護中密碼的配備、使用和管理等，應當嚴格執行國家密碼管理的有關規定。

第三十六條

信息系統運營、使用單位應當充分運用密碼技術對信息系統進行保護。采用密碼對涉及國家秘密的信息和信息系統進行保護的，應報經國家密碼管理局審批，密碼的設計、實施、使用、運行維護和日常管理等，應當按照國家密碼管理有關規定和相關標準執行；采用密碼對不涉及國家秘密的信息和信息系統進行保護的，須遵守《商用密碼管理條例》和密碼分類分級保護有關規定與相關標準，其密碼的配備使用情況應當向國家密碼管理機構備案。第三十七條

運用密碼技術對信息系統進行系統等級保護建設和整改的，必須采用經國家密碼管理部門批準使用或者準于銷售的密碼產品進行安全保護，不得采用國外引進或者擅自研制的密碼產品；未經批準不得采用含有加密功能的進口信息技術產品。第三十八條

信息系統中的密碼及密碼設備的測評工作由國家密碼管理局認可的測評機構承擔，其他任何部門、單位和個人不得對密碼進行評測和監控。第三十九條

各級密碼管理部門可以定期或者不定期對信息系統等級保護工作中密碼配備、使用和管理的情況進行檢查和測評，對重要涉密信息系統的密碼配備、使用和管理情況每兩年至少進行一次檢查和測評。在監督檢查過程中，發現存在安全隱患或者違反密碼管理相關規定或者未達 到密碼相關標準要求的，應當按照國家密碼管理的相關規定進行處置。第六章 法律責任 第四十條

第三級以上信息系統運營、使用單位違反本辦法規定，有下列行為之一的，由公安機關、國家保密工作部門和國家密碼工作管理部門按照職責分工責令其限期改正；逾期不改正的，給予警告，并向其上級主管部門通報情況，建議對其直接負責的主管人員和其他直接責任人員予以處理，并及時反饋處理結果：

（一）未按本辦法規定備案、審批的；

（二）未按本辦法規定落實安全管理制度、措施的；

（三）未按本辦法規定開展系統安全狀況檢查的；

（四）未按本辦法規定開展系統安全技術測評的；

（五）接到整改通知后，拒不整改的；

（六）未按本辦法規定選擇使用信息安全產品和測評機構的；

（七）未按本辦法規定如實提供有關文件和證明材料的；

（八）違反保密管理規定的；

（九）違反密碼管理規定的；

（十）違反本辦法其他規定的。

違反前款規定，造成嚴重損害的，由相關部門依照有關法律、法規予以處理。第四十一條

信息安全監管部門及其工作人員在履行監督管理職責中，玩忽職守、濫用職權、徇私舞弊的，依法給予行政處分；構成犯罪的，依法追究刑事責任。第七章 附則

第四十二條

已運行信息系統的運營、使用單位自本辦法施行之日起180日內確定信息系統的安全保護等級；新建信息系統在設計、規劃階段確定安全保護等級。第四十三條本辦法所稱“以上”包含本數（級）。第四十四條本辦法自發布之日起施行，《信息安全等級保護管理辦法（試行）》（公通字[2006]7 7

號）同時廢止。

第五篇：《信息安全等級保護測評機構管理辦法》最新

信息安全等級保護測評機構管理辦法

第一條 為加強信息安全等級保護測評機構管理，規范等級測評行為，提高測評技術能力和服務水平，根據《信息安全等級保護管理辦法》等有關規定，制定本辦法。

第二條 等級測評工作，是指等級測評機構依據國家信息安全等級保護制度規定，按照有關管理規范和技術標準，對非涉及國家秘密信息系統安全等級保護狀況進行檢測評估的活動。

等級測評機構，是指依據國家信息安全等級保護制度規定，具備本辦法規定的基本條件，經審核推薦，從事等級測評等信息安全服務的機構。

第三條 等級測評機構推薦管理工作遵循統籌規劃、合理布局、安全規范的方針，按照“誰推薦、誰負責，誰審核、誰負責”的原則有序開展。

第四條 等級測評機構應以提供等級測評服務為主，可根據信息系統運營使用單位安全保障需求，提供信息安全咨詢、應急保障、安全運維、安全監理等服務。

第五條 國家信息安全等級保護工作協調小組辦公室（以下簡稱“國家等保辦”）負責受理隸屬國家信息安全職能部門和重點行業主管部門申請單位提出的申請，并對其推薦的等級測評機構進行監督管理。

省級信息安全等級保護工作協調（領導）小組辦公室（以下簡稱“省級等保辦”）負責受理本省（區、直轄市）申請單位提出的申請，并對其推薦的等級測評機構進行監督管理。

第六條 申請成為等級測評機構的單位（以下簡稱“申請單位”）應具備以下基本條件：

（一）在中華人民共和國境內注冊成立，由中國公民、法人投資或者國家投資的企事業單位；

（二）產權關系明晰，注冊資金100萬元以上；

（三）從事信息系統安全相關工作兩年以上，無違法記錄；

（四）測評人員僅限于中華人民共和國境內的中國公民，且無犯罪記錄；

（五）具有信息系統安全相關工作經驗的技術人員，不少于10人；

（六）具備必要的辦公環境、設備、設施，使用的技術裝備、設施應滿足測評工作需求；

（七）具有完備的安全保密管理、項目管理、質量管理、人員管理和培訓教育等規章制度；

（八）自覺接受等保辦的監督、檢查和指導，對國家安全、社會秩序、公共利益不構成威脅；

（九）不涉及信息安全產品開發、銷售或信息系統安全集成等業務；

（十）應具備的其他條件。

第七條 申請時，申請單位應向等保辦提交以下材料：

（一）《信息安全等級保護測評機構申請表》；

（二）從事信息系統安全相關工作情況；

（三）檢測評估工作所需軟硬件及其他服務保障設施配備情況；

（四）有關管理制度建設情況；

（五）申請單位及其測評人員基本情況；

（六）應提交的其他材料。

等保辦收到申請材料后，應在10個工作日內組織初審，并出具初審結果告知書。

第八條 通過初審的申請單位，應及時參加指定評估機構組織的測評人員培訓。考試合格的人員，取得等級測評師證書。

等級測評師分為初級、中級和高級。申請單位應至少有10人獲得等級測評師證書，其中高級和中級測評師均不得少于1人。

第九條 指定評估機構應根據標準規范對申請單位開展能力評估，出具信息安全等級保護測評機構能力評估報告，并及時將申請單位能力評估有關情況報送等保辦。

第十條 等保辦組織專家對通過能力評估的申請單位進行審核。審核通過的，頒發《信息安全等級保護測評機構推薦證書》。

省級等保辦應及時將本地等級測評機構推薦情況報國家等保辦，國家等保辦定期發布公告，在《中國信息安全等級保護網》發布《全國信息安全等級保護測評機構推薦目錄》。

第十一條 下列事項發生變更時，等級測評機構應在變更后5個工作日內向等保辦報告。

（一）等級測評機構名稱、地址、測評人員和主要負責人發生變更的；

（二）等級測評機構法人、股權結構發生變更的；

（三）其他重大事項發生變更的。

省級等保辦應及時將等級測評機構變更情況報國家等保辦。

第十二條 信息安全等級保護測評機構推薦證書有效期為三年。等級測評機構應在推薦證書期滿前30日內，向等保辦申請復審。復審通過的等級測評機構應換發新證。復審未通過的，等保辦應督促其限期整改。

省級等保辦應及時將等級測評機構期滿復審情況報國家等保辦。

第十三條 等級測評師上崗前，等級測評機構應組織崗前培訓。培訓合格的，由等級測評機構配發上崗證。未取得測評師證書和上崗證的，不得參與等級測評項目。

等級測評師離職前，等級測評機構應與其簽訂離職保密承諾書，并收回上崗證。

第十四條 等級測評師應妥善保管等級測評師證書、上崗證，不得涂改、出借、出租和轉讓。

第十五條 等級測評機構應加強對本機構等級測評師的監督管理，定期組織開展安全保密教育和業務培訓。

第十六條 等級測評機構應嚴格按照信息安全等級保護標準規范公正、獨立地開展等級測評工作，依據模板出具信息系統安全等級測評報告，確保測評質量，全面、客觀地反映被測信息系統的安全保護狀況。

第十七條 等級測評機構開展測評項目不受地域、行業限制。等級測評機構應在測評項目合同簽訂以及項目完成后5個工作日內，向受理信息系統備案的公安機關報告等級測評項目有關情況。

第十八條 測評項目實施過程中，等級測評機構應接受等保辦的監督、檢查和指導。測評項目完成后，等級測評機構應請被測評信息系統運營使用單位對測評服務情況進行評價，評價情況由被測單位反饋等保辦。

第十九條 等級測評機構應定期向等保辦報送測評工作開展情況。根據測評實踐，每年底編制并報送信息系統安全狀況分析報告。第二十條 等級測評機構實行等級化管理。根據信息系統測評數量、機構規模、測評技術能力和服務質量等指標，對等級測評機構劃分為五個星級，最低為一星級，最高為五星級。等級測評機構星級評定標準由國家等保辦另行制定。

第二十一條 等級測評機構應于每年底向等保辦提交星級評定所需材料。

等保辦負責組織所推薦等級測評機構的星級評定審核工作，并出具星級評定意見。省級等保辦應及時將評定意見報國家等保辦審定，國家等保辦定期發布星級評定結果。

第二十二條 取得信息安全等級保護測評機構推薦證書未滿一年的，不參加星級評定。

第二十三條 等保辦負責對所推薦等級測評機構的日常監督檢查、測評項目抽查和年審工作，及時掌握等級測評機構工作情況。

第二十四條 等保辦應于每年底對所推薦的等級測評機構進行年審。等級測評機構自推薦之日起未滿6個月的，當年可免予年審。年審時，等級測評機構應提交以下材料：

（一）《信息安全等級保護測評機構年審表》；

（二）信息安全等級保護測評機構推薦證書副本；

（三）測評工作總結；

（四）其他所需材料。

第二十五條

國家等保辦負責組織開展等級測評機構能力驗證和抽查工作。

第二十六條 等級測評機構有下列情形之一的，等保辦應責令其限期整改；情形嚴重的，予以通報。

（一）未按照有關標準規范開展測評或未按規定出具信息系統安全等級測評報告的；

（二）影響被測評信息系統正常運行，危害被測評信息系統安全的；

（三）非授權占有、使用，未妥善保管等級測評相關資料及數據文件的；

（四）分包或轉包等級測評項目，以及擾亂測評市場秩序的；

（五）限定被測評單位購買、使用指定信息安全產品的；

（六）測評人員未取得等級測評師證書和上崗證從事等級測評活動的；

（七）未按本辦法規定向等保辦提交材料、報告情況或弄虛作假的；

（八）其他違反等級測評有關規定的行為。

第二十七條 等級測評機構有下列情形之一的，等保辦應取消其信息安全等級保護測評機構推薦證書，并向社會公告。

（一）因單位股權、人員等情況發生變動，不符合等級測評機構基本條件的；

（二）有信息安全產品開發、銷售或信息系統安全集成行為的；

（三）故意泄露被測評單位工作秘密、重要信息系統數據信息的；

（四）故意隱瞞測評過程中發現的安全問題，或者在測評過程中弄虛作假未如實出具等級測評報告的；

（五）一年內未開展信息系統測評工作或自愿退出《全國信息安全等級保護測評機構推薦目錄》的；

（六）連續兩年年審不合格或限期整改后仍未通過復審的；

（七）違反本辦法第二十六條規定，情節特別嚴重的。第二十八條 等級測評師有下列行為之一的，等保辦應責令等級測評機構督促其限期改正；情節嚴重的，責令等級測評機構暫停其參與測評工作；情形特別嚴重的，應注銷其等級測評師證書，并對其所在等級測評機構進行通報。

（一）未經允許擅自使用或泄露、出售等級測評工作中收集的數據信息、資料或信息系統安全等級測評報告的；

（二）違反本辦法第十四條規定，未妥善保管等級測評師證書、上崗證，有涂改、出借、出租和轉讓等行為的；

（三）測評行為失誤或不當，影響信息系統安全或造成運營使用單位利益損失的；

（四）其他違反等級測評有關規定的行為。第二十九條 等級測評機構及其等級測評師違反本辦法的相關規定，給被測評信息系統運營使用單位造成嚴重危害和損失的，由相關部門依照有關法律、法規予以處理。

第三十條 任何單位和個人如發現等級測評機構、等級測評師有違法、違規行為的，可向國家等保辦舉報、投訴。

第三十一條 本辦法由國家等保辦負責解釋。第三十二條 本辦法自發布之日起實施。