四部门联合发布《信息安全等级保护管理办法》

中新网 2007-7-24 14:39:31

　　第十七条 信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，应当在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明；发现不符合本办法及有关标准的，应当在收到备案材料之日起的10个工作日内通知备案单位予以纠正；发现定级不准的，应当在收到备案材料之日起的10个工作日内通知备案单位重新审核确定。

　　运营、使用单位或者主管部门重新确定信息系统等级后，应当按照本办法向公安机关重新备案。

　　第十八条 受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级信息系统每年至少检查一次，对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查，应当会同其主管部门进行。

　　对第五级信息系统，应当由国家指定的专门部门进行检查。

　　公安机关、国家指定的专门部门应当对下列事项进行检查：

　　(一) 信息系统安全需求是否发生变化，原定保护等级是否准确；

　　(二) 运营、使用单位安全管理制度、措施的落实情况；

　　(三) 运营、使用单位及其主管部门对信息系统安全状况的检查情况；

　　(四) 系统安全等级测评是否符合要求；

　　(五) 信息安全产品使用是否符合要求；

　　(六) 信息系统安全整改情况；

　　(七) 备案材料与运营、使用单位、信息系统的符合情况；

　　(八) 其他应当进行监督检查的事项。

　　第十九条 信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，如实向公安机关、国家指定的专门部门提供下列有关信息安全保护的信息资料及数据文件：

　　(一) 信息系统备案事项变更情况；

　　(二) 安全组织、人员的变动情况；

　　(三) 信息安全管理制度、措施变更情况；

　　(四) 信息系统运行状况记录；

　　(五) 运营、使用单位及主管部门定期对信息系统安全状况的检查记录；

　　(六) 对信息系统开展等级测评的技术测评报告；

　　(七) 信息安全产品使用的变更情况；

　　(八) 信息安全事件应急预案，信息安全事件应急处置结果报告；

　　(九) 信息系统安全建设、整改结果报告。

　　第二十条 公安机关检查发现信息系统安全保护状况不符合信息安全等级保护有关管理规范和技术标准的，应当向运营、使用单位发出整改通知。运营、使用单位应当根据整改通知要求，按照管理规范和技术标准进行整改。整改完成后，应当将整改报告向公安机关备案。必要时，公安机关可以对整改情况组织检查。

　　第二十一条 第三级以上信息系统应当选择使用符合以下条件的信息安全产品：

　　(一)产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格；

　　(二)产品的核心技术、关键部件具有我国自主知识产权；

　　(三)产品研制、生产单位及其主要业务、技术人员无犯罪记录；

　　(四)产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能；

　　(五)对国家安全、社会秩序、公共利益不构成危害；

　　(六)对已列入信息安全产品认证目录的，应当取得国家信息安全产品认证机构颁发的认证证书。

　　第二十二条 第三级以上信息系统应当选择符合下列条件的等级保护测评机构进行测评：

　　(一) 在中华人民共和国境内注册成立(港澳台地区除外)；

　　(二) 由中国公民投资、中国法人投资或者国家投资的企事业单位(港澳台地区除外)；

　　(三) 从事相关检测评估工作两年以上，无违法记录；

　　(四) 工作人员仅限于中国公民；

　　(五) 法人及主要业务、技术人员无犯罪记录；

　　(六) 使用的技术装备、设施应当符合本办法对信息安全产品的要求；