计算机信息系统安全等级保护按照国家规定的标准和要求, 坚持自主定级自主保护的原则第八条计算机信息系统安全保护等级根据计算机信息系统在国家安全经济建设社会生活中的重要程度, 计算机信息系统受到破坏后对国家安全社会秩序公共利益以及公民法人和其他组织的合法权益的危害程度等因素确定, 分为五级

Size: px

Start display at page:

Download "计算机信息系统安全等级保护按照国家规定的标准和要求, 坚持自主定级自主保护的原则第八条计算机信息系统安全保护等级根据计算机信息系统在国家安全经济建设社会生活中的重要程度, 计算机信息系统受到破坏后对国家安全社会秩序公共利益以及公民法人和其他组织的合法权益的危害程度等因素确定, 分为五级"

狂谈扬焦
7 years ago
Views:

1 广东省计算机信息系统安全保护条例颁布单位 : 广东省人民代表大会常务委员会文号 : 第 87 号颁布日期 : 执行日期 : 时效性 : 效力级别 : 地方性法规目录第一章总则第二章安全管理第三章安全秩序第四章安全监督第五章法律责任第六章附则 (2007 年 12 月 20 日广东省第十届人民代表大会常务委员会第三十六次会议通过 ) 第一章总则第一条为保护计算机信息系统安全, 根据中华人民共和国计算机信息系统安全保护条例及有关法律法规, 结合本省实际, 制定本条例第二条本条例所称的计算机信息系统, 是指由计算机及其相关的和配套的设备设施构成的, 按照一定的应用目标和规则对信息进行采集加工存储传输检索等处理的人机系统或者网络第三条本条例适用于本省行政区域内计算机信息系统的安全保护第四条计算机信息系统的安全保护, 应当保障计算机及其相关的和配套的设备设施网络的安全, 运行环境的安全, 保障信息的安全, 保障计算机功能的正常发挥, 以维护计算机信息系统的安全运行第五条县级以上人民政府公安机关主管本行政区域内计算机信息系统的安全保护工作县级以上人民政府国家安全机关保密工作部门密码管理部门和其他有关部门在各自职责范围内做好计算机信息系统的安全保护工作第六条任何组织或者个人, 不得利用计算机信息系统从事危害国家安全社会秩序公共利益以及公民法人和其他组织的合法权益的活动, 不得危害计算机信息系统的安全第二章安全管理第七条计算机信息系统实行安全等级保护

2 计算机信息系统安全等级保护按照国家规定的标准和要求, 坚持自主定级自主保护的原则第八条计算机信息系统安全保护等级根据计算机信息系统在国家安全经济建设社会生活中的重要程度, 计算机信息系统受到破坏后对国家安全社会秩序公共利益以及公民法人和其他组织的合法权益的危害程度等因素确定, 分为五级 : ( 一 ) 计算机信息系统受到破坏后, 可能对公民法人和其他组织的合法权益造成损害, 但不损害国家安全社会秩序和公共利益的, 为第一级 ; ( 二 ) 计算机信息系统受到破坏后, 可能对公民法人和其他组织的合法权益产生严重损害, 或者可能对社会秩序和公共利益造成损害, 但不损害国家安全的, 为第二级 ; ( 三 ) 计算机信息系统受到破坏后, 可能对社会秩序和公共利益造成严重损害, 或者可能对国家安全造成损害的, 为第三级 ; ( 四 ) 计算机信息系统受到破坏后, 可能对社会秩序和公共利益造成特别严重损害, 或者可能对国家安全造成严重损害的, 为第四级 ; ( 五 ) 计算机信息系统受到破坏后, 可能对国家安全造成特别严重损害的, 为第五级第九条计算机信息系统规划设计建设和维护应当同步落实相应的安全措施, 使用符合国家有关规定满足计算机信息系统安全保护需求的信息技术产品第十条计算机信息系统的运营使用单位应当按照国家有关规定, 建立健全计算机信息系统安全管理制度, 确定安全管理责任人, 负责计算机信息系统的安全保护工作计算机信息系统信息服务提供者应当设立信息审查员, 负责信息审查工作第十一条第二级以上计算机信息系统的运营使用单位应当建立安全保护组织, 并报地级以上市人民政府公安机关备案第十二条第二级以上计算机信息系统建设完成后, 运营使用单位或者其主管部门应当选择符合国家规定的安全等级测评机构, 依据国家规定的技术标准, 对计算机信息系统安全等级状况开展等级测评, 测评合格后方可投入使用第十三条计算机信息系统的运营使用单位及其主管部门应当按照国家规定定期对计算机信息系统开展安全等级测评, 并对计算机信息系统安全状况安全管理制度及措施的落实情况进行自查

3 计算机信息系统安全状况经测评或者自查, 未达到安全等级保护要求的, 运营使用单位应当进行整改第十四条第二级以上计算机信息系统, 由运营使用单位在投入运行后三十日内, 到地级市以上人民政府公安机关备案第十五条计算机信息系统备案后, 对符合安全等级保护要求的, 公安机关应当在收到备案材料之日起十个工作日内颁发计算机信息系统安全等级保护备案证明 ; 对不符合安全等级保护要求的, 应当在收到备案材料之日起十个工作日内通知备案单位予以纠正运营使用单位或者其主管部门重新确定计算机信息系统等级的, 应当按照本条例向公安机关重新备案第十六条计算机信息系统的运营使用单位应当接受公安机关国家指定的专门部门的安全监督检查指导, 按照国家有关规定如实提供有关计算机信息系统安全保护的信息资料及数据文件对计算机信息系统中发生的案件和重大安全事故, 计算机信息系统的运营使用单位应当在二十四小时内报告县级以上人民政府公安机关, 并保留有关原始记录第十七条第二级以上计算机信息系统的运营使用单位应当制定重大突发事件应急处置预案第二级以上计算机信息系统发生重大突发事件, 有关单位应当按照应急处置预案的要求采取相应的处置措施, 并服从公安机关和国家指定的专门部门的调度第十八条第二级以上计算机信息系统的运营使用单位应当建立并执行下列安全管理制度 : ( 一 ) 计算机机房安全管理制度 ; ( 二 ) 安全责任制度 ; ( 三 ) 网络安全漏洞检测和系统升级制度 ; ( 四 ) 系统安全风险管理和应急处置制度 ; ( 五 ) 操作权限管理制度 ; ( 六 ) 用户登记制度 ; ( 七 ) 重要设备介质管理制度 ;

4 ( 八 ) 信息发布审查登记保存清除和备份制度 ; ( 九 ) 信息群发服务管理制度第十九条第二级以上计算机信息系统的运营使用单位应当采取下列安全保护技术措施 : ( 一 ) 系统重要部分的冗余或者备份措施 ; ( 二 ) 计算机病毒防治措施 ; ( 三 ) 网络攻击防范和追踪措施 ; ( 四 ) 安全审计和预警措施 ; ( 五 ) 系统运行和用户使用日志记录保存六十日以上措施 ; ( 六 ) 记录用户账号主叫电话号码和网络地址的措施 ; ( 七 ) 身份登记和识别确认措施 ; ( 八 ) 垃圾信息有害信息防治措施 ; ( 九 ) 信息群发限制措施第二十条涉密计算机信息系统应当依据国家信息安全等级保护的要求, 按照国家有关涉密计算机信息系统分级保护的管理规定和技术标准, 结合计算机信息系统实际情况进行保护第二十一条涉密计算机信息系统按照所处理信息的最高密级, 由低到高分为秘密机密绝密三个等级, 并实行涉密计算机信息系统分级保护第二十二条涉密计算机信息系统建设使用单位应当将涉密计算机信息系统定级和建设使用情况, 及时报业务主管部门和负责系统审批的保密工作部门备案, 并接受保密工作部门的监督检查指导第二十三条涉密计算机信息系统投入使用前, 应当按照国家有关规定报地级市以上人民政府保密工作部门审批, 通过审批后方可投入使用第二十四条计算机信息系统安全等级保护中密码的配备使用和管理等, 应当按照国家密码管理的有关规定执行第三章安全秩序第二十五条任何单位和个人不得利用计算机信息系统制作传播复制下列信息 :

5 ( 一 ) 反对宪法确定的基本原则的 ; ( 二 ) 危害国家统一主权和领土完整的 ; ( 三 ) 泄露国家秘密, 危害国家安全或者损害国家荣誉和利益的 ; ( 四 ) 煽动民族仇恨民族歧视, 破坏民族团结或者侵害民族风俗习惯的 ; ( 五 ) 破坏国家宗教政策, 宣扬邪教迷信的 ; ( 六 ) 散布谣言, 发布虚假信息, 扰乱社会秩序, 破坏社会稳定的 ; ( 七 ) 煽动聚众滋事, 损害社会公共利益的 ; ( 八 ) 宣扬淫秽色情赌博暴力凶杀恐怖的 ; ( 九 ) 教唆犯罪的 ; ( 十 ) 侮辱或者诽谤他人, 侵害他人合法权益的 ; ( 十一 ) 其他法律法规禁止的内容第二十六条任何单位和个人不得利用计算机信息系统实施下列行为 : ( 一 ) 未经允许进入计算机信息系统或者非法占有使用窃取计算机信息系统资源 ; ( 二 ) 窃取骗取夺取计算机信息系统控制权 ; ( 三 ) 擅自向第三方公开他人电子邮箱地址和其他个人信息资料 ; ( 四 ) 窃取他人账号和密码, 或者擅自向第三方公开他人账号和密码 ; ( 五 ) 假冒他人名义发送信息 ; ( 六 ) 未经允许, 对计算机信息系统功能进行删除修改增加或者干扰 ; ( 七 ) 未经允许, 对计算机信息系统中存储处理或者传输的数据和应用程序进行删除修改或者增加 ; ( 八 ) 故意制作传播计算机病毒恶意软件等破坏性程序 ; ( 九 ) 危害计算机信息系统安全的其他行为

6 第二十七条任何单位和个人不得利用计算机信息系统非法传递或者交易涉及国家秘密的文件资料和其他物品, 不得将涉密计算机信息系统与国际互联网其它公共信息网络相联接, 不得利用非涉密计算机信息系统处理涉及国家秘密的信息第二十八条提供互联网上网服务的场所应当安装国家规定的安全管理系统接入互联网的计算机信息系统的运营使用单位和互联网服务单位采取的安全保护技术措施, 应当具有符合公共安全行业技术标准的联网接口第二十九条接入服务提供者信息服务提供者以及数据中心服务提供者应当加强对本网络用户的安全宣传, 落实安全保护措施, 确保网络正常运行发现有害信息应当保存有关记录, 及时采取删除停止传输等技术措施, 同时报告公安机关, 配合公安机关查处违法犯罪行为第三十条生产销售或者提供含有计算机信息网络远程控制密码猜解漏洞检测信息群发技术的产品和工具的, 应当报地级以上市人民政府公安机关备案第三十一条计算机信息系统安全等级测评机构等安全服务机构和从事计算机信息系统安全保护工作的人员应当保守用户秘密, 不得擅自向第三方泄露用户信息, 不得非法占有使用用户的信息资源第四章安全监督第三十二条公安机关国家安全机关保密工作部门密码管理部门等有关部门应当按照国家规定, 对计算机信息系统运营使用单位的安全保护工作进行监督管理第三十三条公安机关应当为公众提供计算机信息系统安全指导, 加强安全动态分析, 积极开展安全宣传, 推动计算机信息系统安全保护能力的提高公安机关应当加强对计算机信息系统安全服务机构的指导, 推动安全服务质量和技术水平的提高第三十四条地级市以上人民政府公安机关国家安全机关为保护计算机信息系统安全, 在发生重大突发事件, 危及国家安全公共安全及社会稳定的紧急情况下, 可以采取二十四小时内暂时停机暂停联网备份数据等措施第三十五条地级市以上人民政府公安机关应当对第三级第四级计算机信息系统的运营使用单位的信息安全等级保护工作情况进行检查对第三级计算机信息系统每年至少检查一次, 对第四级计算机信息系统每半年至少检查一次对第五级计算机信息系统, 应当由国家指定的专门部门进行检查

7 第三十六条公安机关发现计算机信息系统的安全保护等级和安全措施不符合国家信息安全等级保护管理规范和技术标准, 或者存在安全隐患的, 应当通知运营使用单位进行整改运营使用单位应当按照整改通知要求进行整改, 并将整改报告向公安机关备案第三十七条地级市以上人民政府公安机关和人事部门应当组织计算机信息系统的运营使用单位的安全保护组织成员管理责任人信息审查员参加信息安全专业技术培训第三十八条保密工作部门依法对涉密计算机信息系统分级保护工作实施指导监督和检查, 具体负责下列工作 : ( 一 ) 指导涉密计算机信息系统建设使用单位规范信息定密, 合理确定系统保护等级 ; ( 二 ) 参与涉密计算机信息系统分级保护方案论证, 指导建设使用单位做好保密设施的同步规划设计 ; ( 三 ) 依法对涉密计算机信息系统集成资质单位进行监督管理 ; ( 四 ) 按照国家规定进行系统测评和审批工作并监督检查涉密计算机信息系统建设使用单位分级保护管理制度和技术措施的落实情况 ; ( 五 ) 按照国家规定定期对涉密计算机信息系统进行监督检查 ; ( 六 ) 了解各级各类涉密计算机信息系统的管理使用情况, 查处各种违法行为和泄密事件第三十九条密码管理部门应当对计算机信息系统安全保护工作中密码配备使用和管理的情况进行检查和测评, 发现存在安全隐患违反密码管理相关规定或者未达到密码相关标准要求的, 应当按照国家密码管理的相关规定进行处置第五章法律责任第四十条违反本条例, 有下列行为之一的, 由公安机关责令限期改正, 给予警告 ; 逾期不改的, 对单位的主管人员其他直接责任人员可以处五千元以下罚款, 对单位可以处一万五千元以下罚款 : ( 一 ) 第二级以上计算机信息系统的运营使用单位违反本条例第十一条规定, 未建立安全保护组织的 ;

8 ( 二 ) 第二级以上计算机信息系统的运营使用单位违反本条例第十二条规定, 计算机信息系统投入使用前未经符合国家规定的安全等级测评机构测评合格的 ; ( 三 ) 计算机信息系统的运营使用单位未依照本条例第十六条第一款规定如实提供有关计算机信息系统安全保护的信息资料及数据文件的 ; ( 四 ) 第二级以上计算机信息系统的运营使用单位违反本条例第十七条规定, 在重大突发事件应急处置中不服从公安机关和国家指定的专门部门调度的 ; ( 五 ) 第二级以上计算机信息系统的运营使用单位未依照本条例第十八条规定建立安全管理制度的 ; ( 六 ) 第二级以上计算机信息系统的运营使用单位未依照本条例第十九条规定采取安全保护技术措施的 ; ( 七 ) 接入互联网的计算机信息系统的运营使用单位和互联网服务单位违反本条例第二十八条第二款规定, 采取的安全保护技术措施不具有符合公共安全行业技术标准的联网接口的 ; ( 八 ) 接入服务提供者信息服务提供者以及数据中心服务提供者违反本条例第二十九条规定, 发现有害信息不及时采取删除停止传输等技术措施的 ; ( 九 ) 含有计算机信息网络远程控制密码猜解漏洞检测信息群发技术的产品和工具的生产者销售者或者提供者违反本条例第三十条规定, 没有向地级以上市人民政府公安机关备案的前款第 ( 一 ) 项至第 ( 八 ) 项行为, 有违法所得的, 没收违法所得 ; 情节严重的, 并给予六个月以内的停止联网停机整顿的处罚 ; 必要时公安机关可以建议原许可机构撤销许可或者取消联网资格第四十一条违反本条例第二十五条第二十六条第 ( 一 ) 项第 ( 二 ) 项第 ( 五 ) 项第 ( 六 ) 项第 ( 七 ) 项第 ( 八 ) 项第 ( 九 ) 项规定的, 违反第二十六条第 ( 三 ) 项第 ( 四 ) 项规定窃取他人账号和密码以营利或者非正当使用为目的擅自向第三方公开他人电子邮箱地址和其他个人信息资料以非正当使用为目的擅自向第三方公开他人账号和密码的, 由公安机关给予警告, 有违法所得的, 没收违法所得 ; 对个人可以并处五千元以下罚款, 对单位可以并处一万五千元以下罚款 ; 情节严重的, 并可以给予六个月以内停止联网停机整顿的处罚 ; 必要时公安机关可以建议原许可机构撤销许可或者取消联网资格 ; 违反中华人民共和国治安管理处罚法的, 依法予以处罚 ; 构成犯罪的, 依法追究刑事责任第四十二条计算机信息系统的运营使用单位违反本条例第十四条规定, 没有向地级市以上人民政府公安机关备案的, 或者违反本条例第三十六条规定, 接

9 到公安机关要求整改的通知后拒不按要求整改的, 由公安机关处以警告或者停机整顿第四十三条违反本条例第二十二条第二十三条第二十四条第二十七条和其他有关保密管理和密码管理规定的, 由保密工作部门或者密码管理部门按照职责分工责令限期改正 ; 逾期不改的, 给予警告, 并向其上级主管部门通报情况, 建议对其主管人员和其他直接责任人员予以处理 ; 构成犯罪的, 依法追究刑事责任第四十四条公安机关保密工作部门密码管理部门和政府其他有关部门及其工作人员有下列行为之一的, 对主管人员其他直接责任人员, 或者有关工作人员给予处分 ; 构成犯罪的, 依法追究刑事责任 : ( 一 ) 利用职权索取收受贿赂, 或者玩忽职守滥用职权的 ; ( 二 ) 泄露计算机信息系统的运营使用单位或者个人的有关信息资料及数据文件的 ; ( 三 ) 其他不履行法定职责的第六章附则第四十五条本条例所称的安全等级测评, 是指对计算机信息系统的安全状况进行测试评价判断本条例所称的安全服务, 是指从事计算机信息系统安全设计建设检测维护监理咨询培训等业务本条例所称的重大突发事件, 是指有害信息大范围传播大规模网络攻击计算机病毒疫情等危害计算机信息系统安全的重大事件第四十六条本条例自 2008 年 4 月 1 日起施行广东省人民代表大会常务委员会

第一级, 信息系统受到破坏后, 会对公民法人和其他组织的合法权益造成损害, 但不损害国家安全社会秩序和公共利益第二级, 信息系统受到破坏后, 会对公民法人和其他组织的合法权益产生严重损害, 或者对社会秩序和公共利益造成损害, 但不损害国家安全第三级, 信息系统受到破坏后, 会对社会秩序

第一级, 信息系统受到破坏后, 会对公民法人和其他组织的合法权益造成损害, 但不损害国家安全社会秩序和公共利益第二级, 信息系统受到破坏后, 会对公民法人和其他组织的合法权益产生严重损害, 或者对社会秩序和公共利益造成损害, 但不损害国家安全第三级, 信息系统受到破坏后, 会对社会秩序信息安全等级保护管理办法第一章总则第一条为规范信息安全等级保护管理, 提高信息安全保障能力和水平, 维护国家安全社会稳定和公共利益, 保障和促进信息化建设, 根据中华人民共和国计算机信息系统安全保护条例等有关法律法规, 制定本办法第二条国家通过制定统一的信息安全等级保护管理规范和技术标准, 组织公民法人和其他组织对信息系统分等级实行安全保护, 对等级保护工作的实施进行监督管理第三条公安机关负责信息安全等级保护工作的监督