信息安全等级保护等级测评实施细则doc信息安全等级测评

信息安全等级保护等级测评实施细则doc信息安全

等级测评

第二条【适用范畴】本细则适用于等级测评机构、测评人员和测评活动的规范治理。

第三条【等级测评定义】等级测评是测评机构依据国家信息安全等级爱护制度规定，受有关单位托付，按照有关治理规范和技术标准，对信息系统安全等级爱护状况进行检测评估的活动。

第五条【差不多原则】测评机构应当按照有关规定和统一标准提供“客观、公平、安全”的测评服务，按照统一的测评报告模版出具测评报告。

第七条【治理体制】测评机构应当同意各级信息安全等级爱护和谐（领导）小组和公安网安部门的监督治理，并同意有关部门的业务治理和技术指导。

第二章测评机构

第八条【总体要求】测评机构分为地区性、行业性测评机构，按照属地治理和行业治理相结合的原则进行建设和治理。

第九条【职责分工】国家信息安全等级爱护和谐小组办公室主管等级测评机构的建设和治理工作，指导行业等级测评机构的建设和治理工作，并托付专门的技术能力审验机构对测评机构的技术能力进行评估、审查并确认。

各省（区、市）等级爱护和谐（领导）小组办公室负责本地等级测评机构的建设治理工作。

第十条【差不多条件】申请成为等级测评机构的单位（以下简称申请单位）应当具备以下差不多条件：

（一）在中华人民共和国境内注册成立（港澳台地区除外）；

（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；

（三）产权关系明晰，注册资金100万元以上；

（四）从事信息系统检测评估相关工作两年以上；

（五）单位法人及要紧工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；

（六）具有胜任等级测评工作的专业技术人员和治理人员，大学本科（含）以上学历所占比例不低于80%。其中测评技术人员许多于10人；

（七）具备必要的办公环境、设备、设施及完备的安全治理制度；

（八）对国家安全、社会秩序、公共利益不构成威逼;

（九）应当具备的其他条件。

第十一条【申请提交】地点申请单位应向属地省（区、市）等级爱护和谐（领导）小组办公室提交申请，行业申请单位向国家信息安全等级爱护工作和谐小组办公室提交申请，并填写申请书，申请成为等级测评机构。

第十二条【申请材料】申请单位在申请时应提供以下材料，并对申请材料的真实性负责。

（一）《信息安全等级爱护测评机构申请书》；

（二）当地公安网安部门的举荐意见；

（三）营业执照及其他注册证明文件；

（四）《内设组织机构与岗位设置情形表》；

（五）《工作人员差不多情形表》、证明材料和声明；

（六）《办公场地、设备与设施情形表》；

（七）《安全测评设备、工具配备情形表》；

（八）信息系统安全测评能力报告；

（九）保密治理、项目治理、质量治理、人员治理和培训教育等相关治理文件；

（十）需要提供的其他材料。

第十三条【初审】省级（含）以上等级爱护和谐（领导）小组办公室收到申请材料后，应在30日内完成初审。

第十四条【技术能力审验】初审通过的，由技术能力审验机构评估、审查并确认申请单位的技术能力。

技术能力审验周期最长为一个月。审验期满前，技术能力审验机构应向等级爱护和谐（领导）小组办公室出具审验意见，并加盖专门印章。

第十五条【核准】省级（含）以上等级爱护和谐（领导）小组办公室对通过技术能力审验的申请单位进行复核，并出具核准意见。

第十六条【名目公布】测评机构实行名目治理。各省级信息安全等级爱护和谐（领导）小组办公室公布本地等级测评机构名目，并向国家信息安全等级爱护工作和谐小组办公室备案。国家信息安全等级爱护工作和谐小组办公室公布《全国信息安全等级测评机构名目》。

第十七条【业务范畴】测评机构应当在规定的业务范畴内开展测评业务。

（一）地点测评机构在本地开展测评业务，行业测评机构在行业内开展测评业务。行业测评机构在地点开展测评业务前，应与本地等级爱护和谐（领导）小组办公室和谐；

（二）承担有关部门托付的安全测评专项任务；

（三）配合当地公安网安部门对信息系统进行监督、检查；

（四）开展风险评估、信息安全培训、咨询服务和信息安全工程监理；

（五）为当地信息安全等级爱护工作提供技术支持和服务；

（六）其他有关文件规定的职责任务。

第十八条【禁止行为】测评机构不得从事下列活动：

（一）承担信息系统安全建设整改工作；

（二）将等级测评任务分包、外包；

（三）信息安全产品开发、营销和信息系统集成活动；

（四）限定被测评单位购买、使用其指定的信息安全产品；

（五）未经许可占有、使用有关测评信息、资料及数据文件；

（六）其他可能阻碍测评客观、公平的活动。

第十九条【风险告知】在开展测评过程中，对可能阻碍信息系统正常运行的，测评机构应当事先告知被测评单位，并协助其采取相应的预防措施。

第二十条【人员治理】测评机构应当建立完备的人员档案，严格履行人员录用、考核、离岗等程序，对进入重要信息系统进行测评的人员，应该进行背景审查，确保人员可靠。

第二十一条【制度治理】测评机构应当建立并落实保密治理、项目治理、质量治理、人员治理、培训教育等治理制度。

第二十二条【能力建设】测评机构要加强技术能力和治理能力建设，应在测评机构举荐名目公布后两年内至少通过一项实验室或检查机构资质认定。

第三章人员治理

第二十三条【人员要求】测评人员应遵守国家有关法律法规、技术标准和测评人员行为准则，认真履行本细则规定的责任和义务，为用户提供安全、客观、公平的测评服务，保证测评的质量和成效。

第二十四条【个人声明】测评人员应当提供本人社会背景、工作经历和奖惩情形的证明材料，声明相关材料的真实性并承担法律责任。

第二十五条【持证上岗】测评人员上岗前应同意培训，培训合格的由测评机构颁发上岗证。测评人员持证上岗。

第二十六条【分级治理】测评机构技术人员实行分级治理，由低到高分为初级等级测评师、中级等级测评师和高级等级测评师。

测评技术人员应当同意专门业务培训，考试合格的获得等级测评师证书。

第二十七条【培训与考试】国家信息安全等级爱护和谐小组办公室制定并公布培训打算，指定专门培训机构具体承担等级测评师的培训、考试工作。专门培训机构向考试合格的人员颁发等级测评师证书。

第二十八条【证书治理】专门培训机构依据等级测评师证书治理方法办理证书的审核、颁发、建档、公布、查询、年审、换发和撤销，并向省级以上等级爱护工作和谐小组办公室备案。

第二十九条【备案】行业测评机构每年应将本单位等级测评师培训、获证情形向国家信息安全等级爱护工作和谐小组办公室备案。

地点测评机构每年应将本单位等级测评师培训、获证情形向本省（区市）等级爱护和谐（领导）小组办公室备案。

各地等级爱护和谐（领导）小组办公室每年应将本地等级测评师培训、获证情形向国家等级爱护和谐小组办公室备案。

第三十条【年审治理】等级测评师实行年审制度。专门培训机构对等级测评师每年进行一次年审，并将年审结果报等级爱护和谐（领导）小组办公室。

对未通过年审的等级测评师，测评机构应暂停其开展测评工作。专门培训机构应对年审不通过的等级测评师开展培训。

第三十一条【变更告知】等级测评机构的要紧治理人员和技术人职员作变动的，应及时到等级爱护和谐（领导）小组办公室变更备案。

第三十二条【人员法律责任】测评人员在测评工作中具有徇私舞弊、收受贿赂等违反有关法律法规行为的，应由专门培训机构撤销违规人员等级测评师证书，并按照有关规定进行处罚。

第三十三条【用户要求】信息系统运营使用单位应当选择《等级测评机构举荐名目》中的等级测评机构，定期对信息系统开展等级测评，并加强对测评过程的监督治理。

第三十四条【整改前测评】信息系统安全建设整改前，信息系统运营使用单位能够选择测评机构进行等级测评，把

握信息系统安全状况，排查系统安全隐患和薄弱环节，明确安全建设整改需求。

第三十五条【整改后测评】信息系统安全建设整改后，信息系统运营使用单位应当再选择测评机构进行等级测评，检测系统安全爱护状况与标准要求的符合性，进一步查找安全隐患和咨询题，并进行风险分析，为进一步整改提供依据。

第三十六条【定期测评】第三级以上（含）信息系统应当每年至少进行一次等级测评，测评完成后，信息系统运营使用单位应及时向受理备案的公安机关提交测评报告。

第三十七条【测评机构规范】测评机构应建立规范的质量治理体系，依据《信息系统安全等级爱护测评要求》等标准规范对信息系统进行测评，按照公安部制订的信息系统安全等级测评报告格式编制测评报告。

第三十八条【测评费用】测评机构应当参照国家信息化工程建设项目人工计费标准合理收取测评服务费用。为防止恶意竞争，阻碍测评质量，测评机构开展测评业务收费应当不低于最低收费限额。

第三十九条【安全责任】测评机构应当针对等级测评工作制定保密治理规范，明确保密岗位与职责，定期对工作人员进行保密教育，与其签订《保密责任书》，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。

第五章监督治理

测评机构显现以下情形之一的，按照相应规定和程序，由等级爱护和谐（领导）机构决定撤销其测评机构资格并及时向社会公告。

（一）违反法律、法规并被起诉的；

（二）发生重大泄密事件的；

（三）运营治理不规范，严峻阻碍测评质量，经整改仍无法达到要求的；

（四）与被测评单位共同隐瞒在安全评估过程中发觉的安全漏洞，未按要求写入评估报告的；

（五）在评估过程中弄虚作假，编造安全评估报告的；

（六）不履行规定的责任和义务，经通报批判、警告仍不改正的；

（七）测评机构成立后一年内不开展测评业务的；

（八）由于自身缘故主动提出退出的；

（九）连续两次年审未通过的；

（十）违反其他有关规定的。