中国石化信息系统安全等级保护定级工作指导意见

附件四：

中国石化信息系统安全等级保护定级工作

指导意见

第一章总则

第一条为贯彻落实国家信息安全等级保护的有关文件精神，切实做好中国石化信息系统安全等级保护定级工作，根据公安部、国家保密局、国家密码管理局、国务院信息化工作办公室四部委联合发布的《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，结合中国石化实际，制定本指导意见。

第二条信息安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法，是中国石化开展信息系统安全保护工作的重要依据和有效途径。

第三条定级是等级保护工作的首要环节，是开展信息系统安全建设整改、等级测评、监督检查等后续工作的重要基础，各企事业单位要高度重视，按照“正确理解，把握尺度，准确定级”的总体要求完成定级工作。

第四条定级工作应遵循“谁主管谁负责，谁运行谁负责”、“自主定级，自主保护”、“属地化”与“总部管理”相结合的原则，各企事业单位应在总部和当地公安机关指导下，深入分析信息系统情况准确定级。

第五条本次定级的范围为已投入运行并正在使用的信息系统。新建信息系统应在项目规划、设计的同期确定安全等

级。

第二章组织与职责

第六条各企事业单位应明确责任部门，负责信息系统安全等级保护定级及其后续工作。

第七条信息系统使用部门为信息系统定级的责任单位，应主导对业务信息系统定级，并根据业务需要，提出适当的安全要求。

第八条信息管理部门负责组织定级工作，包括协助指导、组织评审、上报审批、备案等，并按照业务要求开展后续的安全保护工作。

第三章等级划分

第九条根据国家信息安全等级保护相关文件规定，信息系统的安全保护等级分为以下五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

第十条信息系统的安全保护等级由两个定级要素决定，即等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。

第十一条等级保护对象受到破坏时所侵害的客体包括以下三个方面：

(1)公民、法人和其他组织的合法权益；

(2)社会秩序、公共利益；

(3)国家安全。

第十二条等级保护对象受到破坏时对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的，因此，对客体的侵害外在表现为对等级保护对象的破坏，通过危害方式、危害后果和危害程度加以描述。对客体造成侵害的程度归结为以下三种：

(1)造成一般损害；

(2)造成严重损害；

(3)造成特别严重损害。

第十三条定级要素与等级的关系如表1所示。

表1 定级要素与安全保护等级的关系

第四章定级方法

第十四条各企事业单位应深入分析信息系统的业务种类、工作流程、服务范围、信息类型、用户分布、管理模式及软硬件情况，合理划分定级对象，作为定级对象的信息系统应具备三个基本条件,即“具备唯一确定的安全责任单位”、“具备信息系统的基本要素”以及“承载单一或相对独立的业务应用”。

第十五条信息系统安全包括业务信息安全和系统服务安全，业务信息安全指确保信息系统内信息的保密性、完整性和可用性等，系统服务安全指确保信息系统可以及时、有效地提供服务，以完成预定的业务目标。

第十六条信息系统定级应分别从上述两个方面准确评定两个定级要素，确定安全等级。从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级。从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。

第十七条定级要素与业务信息安全保护等级及系统服务安全保护等级的关系如表2所示。

表2定级要素与业务信息/系统服务安全保护等级的关系

第十八条确定信息系统安全保护等级的一般流程如下：

(1)确定作为定级对象的信息系统；

(2)确定业务信息安全受到破坏时所侵害的客体；

(3)根据不同的受侵害客体，从多个方面综合评定业务信息安全被破坏对客体的侵害程度；

(4)依据表2，得到业务信息安全保护等级；

(5)确定系统服务安全受到破坏时所侵害的客体；

(6)根据不同的受侵害客体，从多个方面综合评定系统服务安全被破坏对客体的侵害程度；

(7)依据表2，得到系统服务安全保护等级；

(8)将业务信息安全保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保护等级。

第十九条在针对不同的受侵害客体进行侵害程度的判断时，应参照不同的判别基准。如果受侵害客体是公民、法人或其他组织的合法权益，则以本人或本单位的总体利益作为判断侵害程度的基准；如果受侵害客体是社会秩序、公共利益或国家安全，则应以整个行业或国家的总体利益作为判断侵害程度的基准。

第二十条一般损害指工作职能受到局部影响，业务能力有所降低但不影响主要功能的执行，出现较轻的法律问题，较低的财产损失，有限的社会不良影响，对其他组织和个人造成较低损害。

第二十一条严重损害指工作职能受到严重影响，业务能

力显著下降且严重影响主要功能执行，出现较严重的法律问题，较高的财产损失，较大范围的社会不良影响，对其他组织和个人造成较严重损害。

第二十二条特别严重损害指工作职能受到特别严重影响或丧失行使能力，业务能力严重下降或功能无法执行，出现极其严重的法律问题，极高的财产损失，大范围的社会不良影响，对其他组织和个人造成非常严重损害。

第二十三条总部和企业联网运行的同类信息系统，企业应参照总部相应信息系统的定级情况确定安全等级。原则上企业同类信息系统的安全等级不高于总部。

第二十四条在信息系统的运行过程中，安全保护等级应随着信息系统所处理的信息和业务状态的变化进行适当的变更。

第五章评审与审批

第二十五条各企事业单位初步定级后可自行聘请专家进行咨询评审，并出具定级评审意见，填写定级情况申报表报总部信息系统管理部审批。

第二十六条拟定为四级及以上的信息系统，应邀请国家信息安全保护等级专家评审委员会进行评审。

第六章备案

第二十七条各企事业单位完成定级后，应将全部定级情况（包括一级）向总部信息系统管理部备案。

第二十八条拟定为二级及以上的信息系统应按照“属地

化”原则向当地市级以上公安机关备案。

第二十九条跨省或者全国统一联网运行并由总部统一定级的信息系统，由总部统一向公安部备案。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，由所属单位向当地市级以上公安机关备案。

第三十条参照《信息系统安全等级保护定级报告》模板及《信息系统安全等级保护备案表》填表说明，完成备案材料的整理和填写，及时向总部和公安机关进行备案，两级备案材料应一致。

第三十一条定级工作以备案完成为标志。

第七章附则

第三十二条本指导意见由中国石油化工股份有限公司信息系统管理部负责解释。

第三十三条本指导意见自正式发布之日起执行。