廣東省公安廳關于計算機信息系統安全保護的實施辦法
(廣東省公(gong)安廳2008年(nian)9月27日(ri)以粵公(gong)通(tong)字〔2008〕228號發布(bu) 自(zi)2008年(nian)12月1日(ri)起施行)
第一章 總則
第一條 為保護計算(suan)機信(xin)息(xi)系(xi)統安全(quan),促進(jin)信(xin)息(xi)化(hua)建設的健康發展,貫(guan)徹落實《廣(guang)東省計算(suan)機信(xin)息(xi)系(xi)統安全(quan)保護條(tiao)例》,根據有關(guan)法(fa)律法(fa)規,制定(ding)本辦法(fa)。
第二條 本辦法適用于廣東省行政(zheng)區域(yu)內計算機信息系統的安全保護。
第三條 縣級以(yi)上人(ren)民政府公安(an)機關公共(gong)信息(xi)網(wang)絡安(an)全監察部門具(ju)體(ti)負責本(ben)行政區域內(nei)計算機信息(xi)系統的安(an)全保護監管工(gong)作。
第二章 安全監督
第四條 公安機關公共信(xin)息(xi)(xi)網絡安全(quan)(quan)監(jian)察部門(men)對(dui)計算機信(xin)息(xi)(xi)系統安全(quan)(quan)保(bao)護工作行使(shi)下列職(zhi)責:
(一)監督、檢(jian)查、指導計算機信息系統安全保(bao)護(hu)工作(zuo);
(二)組織開展計算機信息系統安全等(deng)級保(bao)護;
(三)查處計(ji)算機違法犯罪(zui)案件;
(四)組織處置重大(da)計算機(ji)信息系統安全事故和事件;
(五)負責計算機病毒和其他有害數據防治管理;
(六)負責計算機信息系(xi)統安全服務的監(jian)督(du)指導;
(七(qi))負責計算機信息系(xi)統(tong)安(an)全(quan)專用(yong)產品的(de)監督管(guan)理;
(八)負責計算機信息(xi)系統安全培(pei)訓管理;
(九(jiu))法律(lv)、法規和規章(zhang)規定的其他(ta)職責。
第五條 公安(an)機關(guan)公共信息網絡安(an)全(quan)監察部門應當對計算機信息系統落實(shi)(shi)實(shi)(shi)體(ti)安(an)全(quan)、運行(xing)安(an)全(quan)、信息安(an)全(quan)和內容安(an)全(quan)措施的情況進行(xing)檢查。
對第三級(ji)計(ji)算機(ji)(ji)信(xin)息系統每年至少檢(jian)查(cha)一次,對第四級(ji)計(ji)算機(ji)(ji)信(xin)息系統每半年至少檢(jian)查(cha)一次。對第五級(ji)計(ji)算機(ji)(ji)信(xin)息系統,應當(dang)會同國家指定的專門(men)部門(men)進行(xing)檢(jian)查(cha)。
對其(qi)他計算機(ji)信息系統應當不定期開展檢查(cha)。
第六條 公(gong)安(an)機(ji)關(guan)公(gong)共信(xin)息(xi)網(wang)絡安(an)全監察部(bu)門(men)發(fa)現計算機(ji)信(xin)息(xi)系(xi)統的安(an)全保護等級和(he)安(an)全措施不符合有(you)關(guan)規定和(he)技術標準(zhun),或者存在安(an)全隱(yin)患的,應(ying)當通知運營、使用單位進行整改。
第七條 公安(an)(an)機(ji)關公共信(xin)息網絡(luo)安(an)(an)全監察部門應(ying)當向公眾提供報警求助渠道,提供計算機(ji)信(xin)息系統(tong)安(an)(an)全指導,發布安(an)(an)全動態,開(kai)展安(an)(an)全宣傳。
第三章 安全保護責任
第八條 單(dan)位和(he)個人(ren)應(ying)當依照有關法規、規章(zhang)和(he)標準,對其所(suo)有、使用和(he)管理的計算機信息(xi)系統(tong)承擔(dan)相(xiang)應(ying)的安全保護(hu)責任。
第九條 第二級以(yi)(yi)上計算機信息系統的運營、使用單(dan)位應當建(jian)立安全保護組織,并(bing)報所在地地級以(yi)(yi)上市(shi)人(ren)民政府公安機關公共信息網絡安全監察部門(men)備(bei)案。
第十條 安(an)全保護(hu)組(zu)織保障(zhang)本(ben)單(dan)(dan)位(wei)(wei)(wei)計(ji)算(suan)機(ji)(ji)信(xin)(xin)(xin)息系統(tong)的安(an)全運行,組(zu)織本(ben)單(dan)(dan)位(wei)(wei)(wei)計(ji)算(suan)機(ji)(ji)信(xin)(xin)(xin)息系統(tong)的有害(hai)信(xin)(xin)(xin)息防治工作(zuo),組(zu)織開展本(ben)單(dan)(dan)位(wei)(wei)(wei)計(ji)算(suan)機(ji)(ji)信(xin)(xin)(xin)息系統(tong)安(an)全教育和(he)培訓(xun),向公(gong)(gong)安(an)機(ji)(ji)關公(gong)(gong)共(gong)信(xin)(xin)(xin)息網絡安(an)全監(jian)(jian)察部(bu)門報告本(ben)單(dan)(dan)位(wei)(wei)(wei)計(ji)算(suan)機(ji)(ji)信(xin)(xin)(xin)息系統(tong)運行、服(fu)務和(he)安(an)全等(deng)情況(kuang),及時協助公(gong)(gong)安(an)機(ji)(ji)關公(gong)(gong)共(gong)信(xin)(xin)(xin)息網絡安(an)全監(jian)(jian)察部(bu)門查(cha)處違(wei)法犯罪和(he)處置突發事件。
第十一條 互(hu)聯單位、互(hu)聯網接入(ru)服(fu)務(wu)單位、互(hu)聯網數(shu)據中心應當對接入(ru)本網絡的用戶進行(xing)資格審查,確認符合國家和省有關規定后方可為其提供服(fu)務(wu)。
互(hu)聯網接入服務(wu)、信息服務(wu)單位以及互(hu)聯網數據(ju)中心應當向(xiang)用戶宣傳相(xiang)關法(fa)律法(fa)規,提供必要的安全保護措(cuo)施。
第十二條 個(ge)人主頁、博(bo)客(ke)、聊(liao)天室、點(dian)對點(dian)服(fu)務等互聯網信(xin)息服(fu)務的提供單位(wei)和(he)使用者(zhe)應當(dang)依照國家和(he)省有關(guan)規定,落實相(xiang)應的安全措施。
第十三條 網吧、圖書館(guan)、學校、賓館(guan)等(deng)提供互(hu)聯網上網服務的(de)場所應(ying)當(dang)安(an)(an)裝(zhuang)符(fu)合國(guo)家規定的(de)安(an)(an)全管(guan)理系統。
第十四條 互(hu)聯(lian)單位、互(hu)聯(lian)網接入服務單位以(yi)及(ji)互(hu)聯(lian)網數據中心應當每月將接入本網絡的用戶情況報地(di)級以(yi)上市公安(an)機(ji)關公共信息網絡安(an)全監察部(bu)門備案。
第十五條 計算機信息系統運(yun)營(ying)、使用單位(wei)應(ying)當接(jie)受公安(an)(an)機關公共信息網(wang)(wang)絡安(an)(an)全(quan)監(jian)(jian)(jian)察部門的監(jian)(jian)(jian)督、檢查、指導,如(ru)實提供(gong)安(an)(an)全(quan)保護(hu)有關信息、資料及數據文件,不得變(bian)相(xiang)拒(ju)絕、拖延、阻礙(ai)公安(an)(an)機關公共信息網(wang)(wang)絡安(an)(an)全(quan)監(jian)(jian)(jian)察部門依(yi)法執行公務(wu)。
第四章 安全專用產品和安全服務
第十六條 安(an)全專用(yong)產品必須取得(de)公安(an)部頒發的銷售(shou)許可證方可銷售(shou)。
第十七條 生產(chan)、銷售或者(zhe)提供含有計算(suan)機(ji)信息(xi)網(wang)絡遠程控制(zhi)、密碼猜(cai)解、安(an)全(quan)(漏洞)檢測、信息(xi)群發(fa)技(ji)術(shu)的(de)產(chan)品(pin)和工具(ju)的(de),應(ying)當在領取營業執照后30日(ri)內(nei)(沒有營業執照的(de),自開辦(ban)之(zhi)日(ri)起30日(ri)內(nei))向單位所在地地級以上市人(ren)民政(zheng)府(fu)公(gong)安(an)機(ji)關公(gong)共信息(xi)網(wang)絡安(an)全(quan)監察(cha)部門(men)備案,填寫《廣東省計算(suan)機(ji)信息(xi)網(wang)絡安(an)全(quan)特種技(ji)術(shu)備案表》,并提交(jiao)如下資料:
(一)單位簡況;
(二(er))營業(ye)執照(或(huo)其他有效證明)復(fu)印件;
(三)研發和(he)服務管理(li)制度;
(四)主要經營管理人(ren)員、技(ji)術人(ren)員和服(fu)務人(ren)員有效證件復印(yin)件;
(五)主要產品情況。
第十八條 安全保(bao)護等級為第三級以上的計(ji)算機信息系統應當選用(yong)符合下列條(tiao)件(jian)的安全專(zhuan)用(yong)產(chan)品:
(一)產(chan)品研制、生產(chan)單位是由中國(guo)公民(min)、法(fa)人投資或者(zhe)國(guo)家(jia)投資或者(zhe)控股的(de),在中華人民(min)共和國(guo)境內(nei)具有(you)獨立(li)的(de)法(fa)人資格(ge);
(二)產品的核心技(ji)術(shu)、關鍵部件具有(you)我國(guo)自(zi)主知識產權(quan);
(三)產(chan)品(pin)研制、生(sheng)產(chan)單位(wei)及(ji)其主要(yao)業務、技術(shu)人員(yuan)無犯罪記錄;
(四)產(chan)品(pin)研(yan)制(zhi)、生產(chan)單位聲明沒有(you)故(gu)意留(liu)有(you)或(huo)者設置漏洞、后門、木(mu)馬等程(cheng)序(xu)和功(gong)能(neng);
(五)對(dui)國家(jia)安全(quan)、社會(hui)秩序、公共利(li)益不(bu)構(gou)成(cheng)危(wei)害。
第十九條 符(fu)合第十八(ba)條規定的安(an)全(quan)專用產(chan)品和生產(chan)單位應(ying)當(dang)到(dao)省公(gong)安(an)廳公(gong)共信息網(wang)絡安(an)全(quan)監察部門備案(an)。
第二十條 為(wei)加強安全(quan)服務機構的(de)(de)指導(dao),推動(dong)安全(quan)服務質量和技術水平的(de)(de)提高,廣東省對從事計算機信息系統安全(quan)設計、建設、檢測(ce)、評估等安全(quan)服務的(de)(de)機構,根據其注冊資本、服務業(ye)績(ji)、技術力(li)量、組織(zhi)管理情(qing)況實行分(fen)級指導(dao)。
第五章 安全等級測評
第二十一條 第二級以上的計(ji)算(suan)機信息(xi)系(xi)統的安全測評應當選擇符合下列條件的計(ji)算(suan)機信息(xi)系(xi)統安全等級測評機構(簡稱測評機構)承擔:
(一)在中華人民共和國境內注冊成立(港澳臺地(di)區除外),具(ju)有相應經營(ying)(ying)范圍(wei)的(de)營(ying)(ying)業執照,注冊資本100萬(wan)元以(yi)上;
(二)由中(zhong)國公民(min)投(tou)資、中(zhong)國法人投(tou)資或(huo)者國家投(tou)資的企事業(ye)單位(港澳臺(tai)地區(qu)除(chu)外);
(三)近3年完成的測(ce)評項(xiang)目總值150萬元(yuan)以上(shang);
(四)具有(you)計(ji)算機安(an)全(quan)或(huo)相關專(zhuan)業資格證書的(de)專(zhuan)業技術(shu)人(ren)員不少于(yu)(yu)20人(ren),其中大學本科以上學歷的(de)人(ren)員不少于(yu)(yu)15人(ren);
(五)管理人員應當具有3年以上(shang)從事計算機(ji)信(xin)息(xi)系統(tong)安(an)(an)全(quan)技(ji)術(shu)(shu)領域企業管理工作經歷,技(ji)術(shu)(shu)負責人已獲得(de)計算機(ji)信(xin)息(xi)系統(tong)安(an)(an)全(quan)技(ji)術(shu)(shu)相關專業的高級職稱,從事安(an)(an)全(quan)測評工作不少于3年,無(wu)犯罪記錄;
(六)工作人員僅限于中國(guo)公民,法人及(ji)主要(yao)業務(wu)、技術(shu)人員無犯罪記錄;
(七)具有與所承(cheng)擔項目適應的技術裝備;
(八)具(ju)有完備的(de)保密管(guan)理(li)、項目管(guan)理(li)、質量管(guan)理(li)、人(ren)員管(guan)理(li)和培訓(xun)教(jiao)育(yu)等(deng)安全管(guan)理(li)制度;
(九)對國家安全、社會秩序、公共利益不(bu)構(gou)成威脅。
第二十二條 廣東省對(dui)測評(ping)機構(gou)(gou)實施備(bei)案制(zhi)度。符合第二(er)十一條(tiao)規定的(de)(de)條(tiao)件,承擔第二(er)級以上(shang)的(de)(de)計(ji)算機信息系統測評(ping)工(gong)作的(de)(de)機構(gou)(gou)應(ying)當到省公安(an)廳公共信息網絡安(an)全監察部門備(bei)案。
第二十三條 省(sheng)公(gong)安廳公(gong)共信息網絡安全監察部門對已(yi)備案的測評(ping)機構進行公(gong)布。
第二十四條 測評機構應當(dang)履行(xing)下(xia)列義務(wu):
(一)遵守國(guo)家(jia)有關法律(lv)法規和(he)技術標準(zhun),提(ti)供安全(quan)、客觀、公正的(de)檢測評估服務,保證測評的(de)質量和(he)效果(guo);
(二(er))保守在測評(ping)活動中知(zhi)悉的國家(jia)秘(mi)(mi)密、商業秘(mi)(mi)密和個人隱私,防(fang)范測評(ping)風險;
(三)對測評人(ren)員進(jin)行(xing)安全(quan)(quan)保(bao)密教育,與其簽訂安全(quan)(quan)保(bao)密責任書,規(gui)定應當履行(xing)的(de)安全(quan)(quan)保(bao)密義務(wu)和承擔的(de)法律責任,并負責檢查落實。
第二十五條 第二級以(yi)上的計(ji)算機信(xin)息系統建設完(wan)成后,使用單位應當委托符合規定(ding)的測(ce)評(ping)機構安(an)全(quan)測(ce)評(ping)合格方可投入使用。測(ce)評(ping)活動(dong)應當接受公(gong)安(an)機關公(gong)共信(xin)息網絡安(an)全(quan)監(jian)察部門的監(jian)督。
第二十六條 計算機(ji)信息系統運營、使用(yong)單(dan)位委(wei)托安全測評機(ji)構測評,應當提交下列資料:
(一)安(an)全(quan)測評委托書;
(二)計算機信息系(xi)(xi)統(tong)應(ying)用需求、系(xi)(xi)統(tong)結構(gou)拓(tuo)撲(pu)及說明、系(xi)(xi)統(tong)安(an)全(quan)組織結構(gou)和管理(li)制度、安(an)全(quan)保護設(she)施設(she)計實施方案或(huo)者改建實施方案、系(xi)(xi)統(tong)軟件(jian)硬件(jian)和信息安(an)全(quan)產品清單(dan)。
第二十七條 安(an)(an)(an)全(quan)測評(ping)(ping)機構在(zai)收到(dao)委(wei)(wei)托材料后,應當與委(wei)(wei)托方協(xie)商制訂安(an)(an)(an)全(quan)測評(ping)(ping)計劃,開展(zhan)安(an)(an)(an)全(quan)測評(ping)(ping)工(gong)作,并(bing)出具(ju)安(an)(an)(an)全(quan)測評(ping)(ping)報告。
經測評(ping),計(ji)算機信(xin)息(xi)系統安(an)(an)全狀(zhuang)況未達(da)到國家有關(guan)規定和(he)標準(zhun)的要求,委(wei)(wei)托(tuo)單(dan)位應當根據測評(ping)報(bao)告的建(jian)議(yi),完(wan)善(shan)計(ji)算機信(xin)息(xi)系統安(an)(an)全建(jian)設,并重新提(ti)出安(an)(an)全測評(ping)委(wei)(wei)托(tuo)。
測(ce)評(ping)機(ji)構對(dui)計(ji)算機(ji)信(xin)息系統(tong)進(jin)行使(shi)用前安(an)(an)全(quan)測(ce)評(ping),應當預先(xian)報告地級以(yi)上(shang)市公(gong)安(an)(an)機(ji)關(guan)公(gong)共信(xin)息網絡安(an)(an)全(quan)監察部(bu)門。安(an)(an)全(quan)測(ce)評(ping)報告由計(ji)算機(ji)信(xin)息系統(tong)運營、使(shi)用單位報地級以(yi)上(shang)市公(gong)安(an)(an)機(ji)關(guan)公(gong)共信(xin)息網絡安(an)(an)全(quan)監察部(bu)門。
第二十八條 第三級計(ji)算機(ji)信息系統應當(dang)每(mei)年至少進(jin)(jin)行一(yi)次安全(quan)(quan)測(ce)評,第四級計(ji)算機(ji)信息系統應當(dang)每(mei)半年至少進(jin)(jin)行一(yi)次安全(quan)(quan)測(ce)評,第五級計(ji)算機(ji)信息系統應當(dang)依(yi)據特殊安全(quan)(quan)要求(qiu)進(jin)(jin)行安全(quan)(quan)測(ce)評。
第六章 應急處置
第二十九條 公(gong)安機關公(gong)共信(xin)息(xi)(xi)網絡(luo)安全監察部門(men)與所在地安全服務機構、互聯網運營(ying)(ying)單位(wei)和(he)其他計算(suan)機信(xin)息(xi)(xi)系(xi)(xi)統運營(ying)(ying)、使用(yong)單位(wei)應當建(jian)立聯防(fang)機制(zhi),依(yi)法(fa)及時查處通過計算(suan)機信(xin)息(xi)(xi)系(xi)(xi)統進行的違法(fa)犯罪行為,組(zu)織(zhi)處置重大(da)突發事件。
第三十條 對計(ji)算(suan)機(ji)信息系(xi)統中發(fa)生的案件和(he)重大安(an)全事故,計(ji)算(suan)機(ji)信息系(xi)統的運營、使用(yong)單位應(ying)當在二十四小(xiao)時內報(bao)告縣級以上人民(min)政(zheng)府公安(an)機(ji)關(guan)公共信息網絡安(an)全監察(cha)部門,并保留有關(guan)原始記錄。
第三十一條 第二級以上的計算機(ji)信息系統運營、使用單位應當(dang)制定(ding)重大突發事件(jian)應急(ji)處置預案并定(ding)期實(shi)施演練。
第三十二條 計(ji)算機(ji)信息系統發生重大突發事件,有(you)關單位應(ying)當按照應(ying)急處(chu)置預案的(de)要求采取相應(ying)的(de)處(chu)置措施,并服從公安機(ji)關和國家指(zhi)定的(de)專(zhuan)門部門的(de)調度。
第三十三條 地級市以上人(ren)民(min)政府公安(an)(an)機關(guan)公共信息網絡安(an)(an)全(quan)監察(cha)部門經本(ben)機關(guan)主管領導批準,為(wei)保護計算機信息系統(tong)安(an)(an)全(quan),在發(fa)生重大(da)突發(fa)事(shi)件(jian),危及(ji)國家(jia)安(an)(an)全(quan)、公共安(an)(an)全(quan)及(ji)社會穩定的緊急情況下,可(ke)以采取二十四(si)小時內暫(zan)時停(ting)機、暫(zan)停(ting)聯網、備份數(shu)據等措施。
第七章 安全培訓
第三十四條 省(sheng)公安廳、人事(shi)廳聯合成立的省(sheng)信息(xi)網絡安全(quan)(quan)專業(ye)技(ji)(ji)術人員(yuan)繼續教育(yu)工(gong)(gong)(gong)(gong)作領導小組,負責全(quan)(quan)省(sheng)信息(xi)網絡安全(quan)(quan)專業(ye)技(ji)(ji)術人員(yuan)繼續教育(yu)工(gong)(gong)(gong)(gong)作的組織和領導。下設省(sheng)信息(xi)網絡安全(quan)(quan)專業(ye)技(ji)(ji)術人員(yuan)繼續教育(yu)工(gong)(gong)(gong)(gong)作辦公室,具體負責日(ri)常(chang)管理(li)工(gong)(gong)(gong)(gong)作。
第三十五條 下列人(ren)員(yuan)應當參(can)加信息網絡(luo)安(an)全(quan)專業技(ji)術(shu)人(ren)員(yuan)繼續(xu)(xu)教育,取得省信息網絡(luo)安(an)全(quan)專業技(ji)術(shu)人(ren)員(yuan)繼續(xu)(xu)教育工作(zuo)辦公室頒發的信息網絡(luo)安(an)全(quan)專業技(ji)術(shu)人(ren)員(yuan)繼續(xu)(xu)教育合格證書,持證上崗:
(一)計算(suan)機信(xin)息(xi)系統運(yun)營(ying)、使用單位信(xin)息(xi)安全管(guan)理責(ze)任人(ren)、信(xin)息(xi)審查員;
(二)互聯網接入服(fu)務(wu)(wu)、數據中心服(fu)務(wu)(wu)、信息(xi)服(fu)務(wu)(wu)、上網服(fu)務(wu)(wu)提供單位安全管理員、專(zhuan)業技術(shu)人(ren)員;
(三)安全專(zhuan)用產(chan)品生(sheng)產(chan)單位專(zhuan)業(ye)技術人員(yuan);
(四)安(an)全(quan)服務機(ji)構專業(ye)技(ji)術人員、安(an)全(quan)服務管理人員;
(五)其他從事計算機信息系(xi)統安全(quan)保護工作的人員。
第三十六條 信(xin)息網(wang)絡安全專業技術人員繼續(xu)教育(yu)由省信(xin)息網(wang)絡安全專業技術人員繼續(xu)教育(yu)工作辦公(gong)室(shi)授權的(de)施(shi)教機構負責(ze)實施(shi)。施(shi)教機構實行統(tong)籌規劃。
第三十七條 信(xin)息網絡安全專業技術人員繼續(xu)教育培訓和考試(shi)按照(zhao)有(you)關規定(ding)進行,實(shi)行統(tong)一(yi)教學大綱,統(tong)一(yi)教材,統(tong)一(yi)考試(shi),統(tong)一(yi)發證。
考試合格的,由省信(xin)息網(wang)絡(luo)安全專業技術(shu)人員繼續教育工(gong)作辦(ban)公室(shi)發給信(xin)息網(wang)絡(luo)安全專業技術(shu)人員繼續教育證(zheng)書(shu)。
第八章 法律責任
第三十八條 違(wei)反(fan)本辦法的規(gui)定,依照有關法律(lv)、法規(gui)和(he)規(gui)章處罰。
第九章 附則
第三十九條 本細則下列用語的含(han)義:實體(ti)安全(quan),指保護計算機信(xin)息(xi)系統的環(huan)境(jing),計算機設備、設施(含(han)網絡)以及其(qi)它媒體(ti)免遭地震、水災、火(huo)災、雷(lei)電(dian)、有害氣體(ti)和其(qi)它環(huan)境(jing)事故(gu)(如(ru)電(dian)磁污(wu)染等)破壞(huai)。
運行(xing)安全,指保護計(ji)算(suan)機(ji)信息(xi)系統的(de)信息(xi)處理過程順利進行(xing)。
信息(xi)安全,指保(bao)(bao)障信息(xi)的完(wan)整(zheng)性、保(bao)(bao)密性、可(ke)用性和可(ke)控性。
內容安(an)全,指確(que)保計算機信(xin)息系統中傳輸(shu)的(de)信(xin)息所承(cheng)載的(de)內容的(de)合法性(xing)。
安(an)全(quan)(漏(lou)洞(dong))檢測(ce),指利用計(ji)算機(ji)技術手段(duan)掃描(miao)、探測(ce)計(ji)算機(ji)信息(xi)系統安(an)全(quan)漏(lou)洞(dong)。
第四十條 本(ben)辦法規定(ding)的“以上(shang)”含(han)本(ben)數。
第四十一條 本(ben)辦法(fa)規定(ding)的(de)有(you)關表格和證書由(you)省公安廳制定(ding)式樣,統一監制。
第四十二條 本辦法由省公安廳負責解釋。
第四十三條 本辦(ban)法自2008年12月1日起施行。