關(guān)于印送《關(guān)于開展信息安全等級(jí)保護(hù)
安全建設(shè)整改工作的指導(dǎo)意見》的函
公信安[2009]1429號(hào)
中央和國家機(jī)關(guān)各部委，國務(wù)院各直屬機(jī)構(gòu)、辦事機(jī)構(gòu)、事業(yè)單位：
為進(jìn)一步貫徹落實(shí)國家信息安全等級(jí)保護(hù)制度，指導(dǎo)各地區(qū)、各部門在信息安全等級(jí)保護(hù)定級(jí)工作基礎(chǔ)上，深入開展信息安全等級(jí)保護(hù)安全建設(shè)整改工作，我部制定了《關(guān)于開展信息安全等級(jí)保護(hù)安全建設(shè)整改工作的指導(dǎo)意見》。現(xiàn)印送給你們，請?jiān)趯?shí)際工作中參照。
二〇〇九年十月二十七日
關(guān)于開展信息安全等級(jí)保護(hù)安全建設(shè)整改工作的指導(dǎo)意見
為進(jìn)一步貫徹落實(shí)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》和《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》、《信息安全等級(jí)保護(hù)管理辦法》（以下簡稱《管理辦法》）精神，指導(dǎo)各部門在信息安全等級(jí)保護(hù)定級(jí)工作基礎(chǔ)上，開展已定級(jí)信息系統(tǒng)（不包括涉及國家秘密信息系統(tǒng)）安全建設(shè)整改工作，特提出如下意見：
一、明確工作目標(biāo)
依據(jù)信息安全等級(jí)保護(hù)有關(guān)政策和標(biāo)準(zhǔn)，通過組織開展信息安全等級(jí)保護(hù)安全管理制度建設(shè)、技術(shù)措施建設(shè)和等級(jí)測評(píng)，落實(shí)等級(jí)保護(hù)制度的各項(xiàng)要求，使信息系統(tǒng)安全管理水平明顯提高，安全防范能力明顯增強(qiáng)，安全隱患和安全事故明顯減少，有效保障信息化健康發(fā)展，維護(hù)國家安全、社會(huì)秩序和公共利益，力爭在2012年底前完成已定級(jí)信息系統(tǒng)安全建設(shè)整改工作。
二、細(xì)化工作內(nèi)容
（一）開展信息安全等級(jí)保護(hù)安全管理制度建設(shè)，提高信息系統(tǒng)安全管理水平。按照《管理辦法》、《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》，參照《信息系統(tǒng)安全管理要求》、《信息系統(tǒng)安全工程管理要求》等標(biāo)準(zhǔn)規(guī)范要求，建立健全并落實(shí)符合相應(yīng)等級(jí)要求的安全管理制度：一是信息安全責(zé)任制，明確信息安全工作的主管領(lǐng)導(dǎo)、責(zé)任部門、人員及有關(guān)崗位的信息安全責(zé)任；二是人員安全管理制度，明確人員錄用、離崗、考核、教育培訓(xùn)等管理內(nèi)容；三是系統(tǒng)建設(shè)管理制度，明確系統(tǒng)定級(jí)備案、方案設(shè)計(jì)、產(chǎn)品采購使用、密碼使用、軟件開發(fā)、工程實(shí)施、驗(yàn)收交付、等級(jí)測評(píng)、安全服務(wù)等管理內(nèi)容；四是系統(tǒng)運(yùn)維管理制度，明確機(jī)房環(huán)境安全、存儲(chǔ)介質(zhì)安全、設(shè)備設(shè)施安全、安全監(jiān)控、網(wǎng)絡(luò)安全、系統(tǒng)安全、惡意代碼防范、密碼保護(hù)、備份與恢復(fù)、事件處置、應(yīng)急預(yù)案等管理內(nèi)容。建立并落實(shí)監(jiān)督檢查機(jī)制，定期對各項(xiàng)制度的落實(shí)情況進(jìn)行自查和監(jiān)督檢查。
（二）開展信息安全等級(jí)保護(hù)安全技術(shù)措施建設(shè)，提高信息系統(tǒng)安全保護(hù)能力。按照《管理辦法》、《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》，參照《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》、《信息系統(tǒng)通用安全技術(shù)要求》、《信息系統(tǒng)安全工程管理要求》、《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》等標(biāo)準(zhǔn)規(guī)范要求，結(jié)合行業(yè)特點(diǎn)和安全需求，制定符合相應(yīng)等級(jí)要求的信息系統(tǒng)安全技術(shù)建設(shè)整改方案，開展信息安全等級(jí)保護(hù)安全技術(shù)措施建設(shè)，落實(shí)相應(yīng)的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全等安全保護(hù)技術(shù)措施，建立并完善信息系統(tǒng)綜合防護(hù)體系，提高信息系統(tǒng)的安全防護(hù)能力和水平。
（三）開展信息系統(tǒng)安全等級(jí)測評(píng)，使信息系統(tǒng)安全保護(hù)狀況逐步達(dá)到等級(jí)保護(hù)要求。選擇由省級(jí)（含）以上信息安全等級(jí)保護(hù)工作協(xié)調(diào)小組辦公室審核并備案的測評(píng)機(jī)構(gòu)，對第三級(jí)（含）以上信息系統(tǒng)開展等級(jí)測評(píng)工作。等級(jí)測評(píng)機(jī)構(gòu)依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求》等標(biāo)準(zhǔn)對信息系統(tǒng)進(jìn)行測評(píng)，對照相應(yīng)等級(jí)安全保護(hù)要求進(jìn)行差距分析，排查系統(tǒng)安全漏洞和隱患并分析其風(fēng)險(xiǎn)，提出改進(jìn)建議，按照公安部制訂的信息系統(tǒng)安全等級(jí)測評(píng)報(bào)告格式編制等級(jí)測評(píng)報(bào)告。經(jīng)測評(píng)未達(dá)到安全保護(hù)要求的，要根據(jù)測評(píng)報(bào)告中的改進(jìn)建議，制定整改方案并進(jìn)一步進(jìn)行整改。各部門要及時(shí)向受理備案的公安機(jī)關(guān)提交等級(jí)測評(píng)報(bào)告。對于重要部門的第二級(jí)信息系統(tǒng)，可以參照上述要求開展等級(jí)測評(píng)工作。
三、落實(shí)工作要求
（一）統(tǒng)一組織，加強(qiáng)領(lǐng)導(dǎo)。要按照“誰主管、誰負(fù)責(zé)”的原則，切實(shí)加強(qiáng)對信息安全等級(jí)保護(hù)安全建設(shè)整改工作的組織領(lǐng)導(dǎo)，完善工作機(jī)制。要結(jié)合各自實(shí)際，統(tǒng)一規(guī)劃和部署安全建設(shè)整改工作，制定安全建設(shè)整改工作實(shí)施方案。要落實(shí)責(zé)任部門、責(zé)任人員和安全建設(shè)整改經(jīng)費(fèi)。要利用多種形式，組織開展宣傳、培訓(xùn)工作。
（二）循序漸進(jìn)，分步實(shí)施。信息系統(tǒng)主管部門可以結(jié)合本行業(yè)、本部門信息系統(tǒng)數(shù)量、等級(jí)、規(guī)模等實(shí)際情況，按照自上而下或先重點(diǎn)后一般的順序開展。重點(diǎn)行業(yè)、部門可以根據(jù)需要和實(shí)際情況，選擇有代表性的第二、三、四級(jí)信息系統(tǒng)先進(jìn)行安全建設(shè)整改和等級(jí)測評(píng)工作試點(diǎn)、示范，在總結(jié)經(jīng)驗(yàn)的基礎(chǔ)上全面推開。
（三）結(jié)合實(shí)際，制定規(guī)范。重點(diǎn)行業(yè)信息系統(tǒng)主管部門可以按照《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》等國家標(biāo)準(zhǔn)，結(jié)合行業(yè)特點(diǎn)，確定《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》的具體指標(biāo)；在不低于等級(jí)保護(hù)基本要求的情況下，結(jié)合系統(tǒng)安全保護(hù)的特殊需求，在有關(guān)部門指導(dǎo)下制定行業(yè)標(biāo)準(zhǔn)規(guī)范或細(xì)則，指導(dǎo)本行業(yè)信息系統(tǒng)安全建設(shè)整改工作。
（四）認(rèn)真總結(jié)，按時(shí)報(bào)送。自2009年起，要對定級(jí)備案、等級(jí)測評(píng)、安全建設(shè)整改和自查等工作開展情況進(jìn)行年度總結(jié)，于每年年底前報(bào)同級(jí)公安機(jī)關(guān)網(wǎng)安部門，各?。ㄗ灾螀^(qū)、直轄市）公安機(jī)關(guān)網(wǎng)安部門報(bào)公安部網(wǎng)絡(luò)安全保衛(wèi)局。信息系統(tǒng)備案單位每半年要填寫《信息安全等級(jí)保護(hù)安全建設(shè)整改工作情況統(tǒng)計(jì)表》并報(bào)受理備案的公安機(jī)關(guān)。
附件：1、《信息安全等級(jí)保護(hù)安全建設(shè)整改工作情況統(tǒng)計(jì)表》
2、《信息安全等級(jí)保護(hù)安全建設(shè)整改工作指南》
