首页 加入收藏

全国咨询热线:400-0909166

业务咨询:186-0472-2619

商业合作:139-0472-2919

公司新闻

咨询热线:

135-0000-0000

公司新闻

您当前的位置: 首页 公司新闻

等保工作环节

2020-08-20 11:32 公司新闻

一、等保工作基本环节

1、组织开展调查摸底

2、合理确定保护等级

3、有效进行专家评审

4、依法履行备案手续

5、开展安全建设整改

6、组织系统安全测评

7、加强日常测评自查

8、加强安全监督检查

注:实际工作中5,6顺序交换后开展工作,以利于系统运营使用单位准确把握整改内容。

二、主要环节及工作流程说明

1、定级及专家评审

1)等级划分

计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的重要程度,计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定,分为五级:

第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益。

第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全。

第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害。

第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害。

第五级,信息系统受到破坏后,会对国家安全造成特别严重损害。

2)、定级程序

信息系统运营、使用单位应当依据《信息系统安全等级保护定级指南》确定信息系统的安全保护等级。跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。

对拟确定为第四级以上信息系统的,运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。对拟确定为四级以下信息系统的,运营、使用单位或者主管部门应当请组织地区的等保专家委员会专家评审。

3)、定级注意事项

一级信息系统:适用于乡镇所属信息系统、县级某些单位中不重要的信息系统。小型个体、私营企业中的信息系统。中小学中的信息系统。

二级信息系统:适用于地市级以上国家机关、企业、事业单位内部一般的信息系统。例如小的局域网,非涉及秘密、敏感信息的办公系统等。

三级信息系统:适用于地市级以上国家机关、企业、事业单位内部重要的信息系统;重要领域、重要部门跨省、跨市或全国(省)联网运行的信息系统;跨省或全国联网运行重要信息系统在省、地市的分支系统;各部委官方网站;跨省(市)联接的信息网络等。

四级信息系统:适用于重要领域、重要部门三级信息系统中的部分重要系统。例如全国铁路、民航、电力等调度系统,银行、证券、保险、税务、海关等部门中的核心系统。

2、备案

1)新建第二级以上信息系统,应当在投入运行后30日内,由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

(2)备案时限:信息系统运营、使用单位或者其主管部门(以下简称“备案单位”)应当在信息系统设计阶段确定信息系统安全保护等级,并在安全保护等级确定后30日内,到公安机关网安部门办理备案手续。

(3)备案申请:办理备案手续,应当到公安机关指定网址下载信息安全等级保护备案软件,利用该软件填写生成《信息系统安全等级保护备案表》(简称《备案表》,下同)表一、表二、表三纸质WORD格式文档一式两份和电子数据(RAR格式),并准备好相关附件(一式两份),向公安机关网安部门提出备案申请。第三级以上信息系统应当同时提供以下材料:

A.系统拓扑结构及说明;

B.系统安全组织机构和管理制度;

C.系统安全保护设施设计实施方案或者改建实施方案;

D.系统使用的信息安全产品清单及其认证、销售许可证明;

E.测评后符合系统安全保护等级的技术检测评估报告;

F.信息系统安全保护等级专家评审意见;

(4) 备案审核:公安机关网安部门收到申请材料后,应当在10个工作日内进行审查。对符合要求的,公安机关网安部门应当在《备案表》加盖等保专用章并将其中一份反馈备案单位,并出具《信息系统安全等级保护备案证明》(以下简称《备案证明》)。《备案证明》由公安部统一监制。对不符合要求的,公安网安部门应当出具《信息系统安全等级保护备案审核结果通知》,通知备案单位进行整改。其中,对定级不准的备案单位,在通知整改的同时,应当建议备案单位重新定级。

(5)变更备案:《备案表》所载事项发生变更,备案单位应当自变更之日起30日内重新填写《备案表》报公安机关网安部门备案。其中,变更事项涉及《备案证明》的,公机关网安部门应当重新颁布《备案证明》。

(6) 重新备案:运营、使用单位或者主管部门重新确定信息系统等级后,应当按照本办法向公安机关重新备案。

3、安全建设和整改

计算机信息系统规划、设计、建设和维护应当同步落实相应的安全措施。运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准,使用符合国家有关规定,满足信息系统安全保护等级需求的信息技术产品,开展信息系统安全建设或者改建工作。

在信息系统建设过程中,运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》(GB17859-1999)、《信息系统安全等级保护基本要求》等技术标准,参照《信息安全技术 信息系统通用安全技术要求》(GB/T20271-2006)、《信息安全技术 网络基础安全技术要求》(GB/T20270-2006)、《信息安全技术 操作系统安全技术要求》(GB/T20272-2006)、《信息安全技术 数据库管理系统安全技术要求》(GB/T20273-2006)、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》(GA/T671-2006)等技术标准同步建设符合该等级要求的信息安全设施。

运营、使用单位应当参照《信息安全技术 信息系统安全管理要求》(GB/T20269-2006)、《信息安全技术 信息系统安全工程管理要求》(GB/T20282-2006)、《信息系统安全等级保护基本要求》等管理规范,制定并落实符合本系统安全保护等级要求的安全管理制度。

4、信息系统安全等级测评

信息系统建设完成后,二级以上的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。已投入运行信息系统在完成系统整改后也应当进行测评。经测评,信息系统安全状况未达到安全保护等级要求的,运营使用单位应当制定方案进行整改。

(1)、测评程序

计算机信息系统运营、使用单位委托安全测评机构测评,应当提交下列资料:

A:安全测评委托书;

B:计算机信息系统应用需求、系统结构拓扑及说明、系统安全组织结构和管理制度、安全保护设施设计实施方案或者改建实施方案、系统软件硬件和信息安全产品清单。

安全测评机构在收到委托材料后,应当与委托方协商制订安全测评计划,开展安全测评工作,并出具安全测评报告。

经测评,计算机信息系统安全状况未达到国家有关规定和标准的要求的,委托单位应当根据测评报告的建议,完善计算机信息系统安全建设,并重新提出安全测评委托。

(2)、测评监督

测评机构对计算机信息系统进行使用前安全测评,应当预先报告地级以上市公安机关网安部门。安全测评报告由计算机信息系统运营、使用单位报地级以上市公安机关网安部门。

(3)、日常测评

计算机信息系统投入使用后,存在下列情形之一的,应当进行安全自查,同时委托安全测评机构进行安全测评:

(一)变更关键部件;

(二)安全测评时间满一年;

(三)发生危害计算机信系统安全的案件或安全事故;

(四)公安机关网安部门根据应急处置工作的需要认为应当进行安全测评;

(五)其他应当进行安全自查和安全测评的情形。

计算机信息系统确定为第二级保护等级的,应当每两年至少进行一次系统安全等级测评,第三级计算机信息系统应当每年至少进行一次安全自查和安全测评,第四级计算机信息系统应当每半年至少进行一次安全自查和安全测评,第五级计算机信息系统应当依据特殊安全要求进行安全自查和安全测评。