隨著信息技術(shù)的飛速發(fā)展，信息系統(tǒng)在國家安全、社會(huì)穩(wěn)定、經(jīng)濟(jì)發(fā)展以及公民個(gè)人權(quán)益保護(hù)中扮演著日益重要的角色。然而，隨之而來的是信息安全威脅的日益嚴(yán)峻和復(fù)雜，各類網(wǎng)絡(luò)攻擊、數(shù)據(jù)泄露事件頻發(fā)，給國家安全和社會(huì)穩(wěn)定帶來了巨大挑戰(zhàn)。為了有效應(yīng)對(duì)這些挑戰(zhàn)，確保信息系統(tǒng)的安全穩(wěn)定運(yùn)行，保障國家利益和公民個(gè)人信息安全，根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》等相關(guān)法律法規(guī)，特制定本《信息安全等級(jí)保護(hù)管理辦法》。

一、總則

1、目的與依據(jù)：制定辦法旨在規(guī)范信息安全等級(jí)保護(hù)管理，提升保障能力，維護(hù)國家安全、社會(huì)穩(wěn)定和公共利益，促進(jìn)信息化建設(shè)，依據(jù)相關(guān)法律法規(guī)。

2、國家管理：國家制定統(tǒng)一的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，組織公民、法人等實(shí)施分等級(jí)的信息安全保護(hù)，并進(jìn)行監(jiān)督和管理。

3、部門職責(zé)：公安機(jī)關(guān)、國家保密部門、國家密碼管理部門等負(fù)責(zé)相應(yīng)領(lǐng)域內(nèi)的監(jiān)督、檢查和指導(dǎo)；多部門協(xié)調(diào)合作，確保等級(jí)保護(hù)工作的全面覆蓋。

4、主管部門責(zé)任：各行業(yè)、部門或地區(qū)的信息系統(tǒng)主管部門需督促、檢查、指導(dǎo)本領(lǐng)域內(nèi)的信息安全等級(jí)保護(hù)工作。

5、運(yùn)營使用單位責(zé)任：信息系統(tǒng)的運(yùn)營、使用單位需履行等級(jí)保護(hù)的相關(guān)義務(wù)和責(zé)任，確保系統(tǒng)安全。

 二、等級(jí)劃分與保護(hù)

1、自主定級(jí)與保護(hù)原則：國家信息安全等級(jí)保護(hù)遵循自主定級(jí)和自主保護(hù)的原則，依據(jù)信息系統(tǒng)的重要性、破壞后的危害程度等因素確定保護(hù)等級(jí)。

2、等級(jí)劃分：

第一級(jí)：對(duì)公民、法人等合法權(quán)益造成損害，不影響國家安全、社會(huì)秩序和公共利益。

第二級(jí)：對(duì)公民、法人等合法權(quán)益或社會(huì)秩序、公共利益造成損害，但不危害國家安全。

第三級(jí)：對(duì)社會(huì)秩序、公共利益或國家安全造成損害。

第四級(jí)：對(duì)社會(huì)秩序、公共利益或國家安全造成特別嚴(yán)重?fù)p害。

第五級(jí)：對(duì)國家安全造成特別嚴(yán)重?fù)p害。

3、保護(hù)責(zé)任與監(jiān)管：

運(yùn)營、使用單位需依據(jù)相關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)對(duì)信息系統(tǒng)進(jìn)行保護(hù)。

第一、二級(jí)系統(tǒng)依據(jù)國家標(biāo)準(zhǔn)保護(hù)，監(jiān)管部門對(duì)第三級(jí)進(jìn)行監(jiān)督、檢查，對(duì)第四級(jí)進(jìn)行強(qiáng)制監(jiān)督、檢查，對(duì)第五級(jí)則由指定專門部門進(jìn)行專門監(jiān)督、檢查。

隨著信息系統(tǒng)等級(jí)的提高，國家監(jiān)管力度逐步加強(qiáng)，特別是針對(duì)高等級(jí)信息系統(tǒng)的保護(hù)，有更加嚴(yán)格的監(jiān)管措施。

三、涉及國家秘密信息系統(tǒng)的分級(jí)保護(hù)管理

1、涉密信息系統(tǒng)保護(hù)原則：

涉密信息系統(tǒng)需遵循國家信息安全等級(jí)保護(hù)及保密工作部門的管理規(guī)定和技術(shù)標(biāo)準(zhǔn)。

非涉密信息系統(tǒng)禁止處理國家秘密信息。

2、涉密信息系統(tǒng)分級(jí)：

涉密信息系統(tǒng)分為秘密、機(jī)密、絕密三級(jí)。

系統(tǒng)定級(jí)需依據(jù)信息規(guī)范定密及國家保密標(biāo)準(zhǔn)BMB17-2006。

多安全域系統(tǒng)可分別確定保護(hù)等級(jí)。

3、定級(jí)與備案：

建設(shè)使用單位需上報(bào)定級(jí)和建設(shè)使用情況至業(yè)務(wù)主管部門和保密工作部門備案。

接受保密部門的監(jiān)督、檢查、指導(dǎo)。

4、設(shè)計(jì)與實(shí)施：

選擇具有涉密集成資質(zhì)的單位承擔(dān)或參與設(shè)計(jì)與實(shí)施。

保護(hù)水平不低于國家信息安全等級(jí)保護(hù)三級(jí)至五級(jí)。

5、信息安全保密產(chǎn)品：

原則上選用國產(chǎn)品，并通過國家保密局授權(quán)的檢測(cè)機(jī)構(gòu)檢測(cè)。

6、安全保密測(cè)評(píng)與審批：

系統(tǒng)工程實(shí)施結(jié)束后需申請(qǐng)安全保密測(cè)評(píng)，通過審批后方可投入使用。

已使用系統(tǒng)需按分級(jí)保護(hù)要求整改后備案。

7、審批與備案材料：

包括設(shè)計(jì)實(shí)施方案、承建單位資質(zhì)、建設(shè)和監(jiān)理報(bào)告、安全保密檢測(cè)評(píng)估報(bào)告等。

8、變更管理：

系統(tǒng)變更需及時(shí)向保密工作部門報(bào)告，根據(jù)實(shí)際情況決定是否重新測(cè)評(píng)和審批。

9、運(yùn)行管理：

加強(qiáng)運(yùn)行中的保密管理，定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，消除隱患。

10、監(jiān)督管理：

保密工作部門依法實(shí)施監(jiān)督管理，包括指導(dǎo)、監(jiān)督、檢查、審批、測(cè)評(píng)及查處違規(guī)行為等。

對(duì)秘密級(jí)、機(jī)密級(jí)系統(tǒng)每?jī)赡曛辽僖淮螜z查，絕密級(jí)系統(tǒng)每年至少一次檢查。

四、信息安全等級(jí)保護(hù)的密碼管理

1、密碼分類分級(jí)管理：

國家密碼管理部門根據(jù)被保護(hù)對(duì)象的重要性、涉密程度、危害程度等因素，確定密碼等級(jí)保護(hù)準(zhǔn)則。

2、密碼管理規(guī)定與標(biāo)準(zhǔn)：

信息系統(tǒng)運(yùn)營、使用單位需遵循《信息安全等級(jí)保護(hù)密碼管理辦法》等密碼管理規(guī)定和相關(guān)標(biāo)準(zhǔn)。

3、密碼的配備、使用與管理：

嚴(yán)格執(zhí)行國家密碼管理的有關(guān)規(guī)定，確保密碼的合法、安全使用。

4、密碼技術(shù)的運(yùn)用：

鼓勵(lì)運(yùn)用密碼技術(shù)保護(hù)信息系統(tǒng)，涉及國家秘密的需報(bào)國家密碼管理局審批，并執(zhí)行相關(guān)規(guī)定和標(biāo)準(zhǔn)。

不涉及國家秘密的，需遵守《商用密碼管理?xiàng)l例》等規(guī)定，并備案密碼配備使用情況。

5、密碼產(chǎn)品與進(jìn)口信息技術(shù)產(chǎn)品的限制：

系統(tǒng)等級(jí)保護(hù)必須使用經(jīng)國家密碼管理部門批準(zhǔn)或準(zhǔn)銷的密碼產(chǎn)品，禁止擅自使用國外或自制密碼產(chǎn)品。

未經(jīng)批準(zhǔn)不得采用含加密功能的進(jìn)口信息技術(shù)產(chǎn)品。

6、密碼及設(shè)備的測(cè)評(píng)：

密碼及密碼設(shè)備的測(cè)評(píng)工作由國家密碼管理局認(rèn)可的測(cè)評(píng)機(jī)構(gòu)承擔(dān)，確保測(cè)評(píng)的專業(yè)性和權(quán)威性。

7、監(jiān)督檢查與測(cè)評(píng)：

密碼管理部門定期對(duì)密碼配備、使用和管理情況進(jìn)行檢查和測(cè)評(píng)，特別是對(duì)重要涉密信息系統(tǒng)進(jìn)行重點(diǎn)檢查。

發(fā)現(xiàn)安全隱患或違規(guī)行為，將按國家密碼管理相關(guān)規(guī)定進(jìn)行處置。

《信息安全等級(jí)保護(hù)管理辦法》作為保障國家信息安全的重要法規(guī)，其制定與實(shí)施對(duì)于提升我國信息系統(tǒng)的安全防護(hù)能力、維護(hù)國家安全和社會(huì)穩(wěn)定具有重要意義。通過明確信息系統(tǒng)的安全保護(hù)等級(jí)、規(guī)范等級(jí)保護(hù)的實(shí)施與管理流程、強(qiáng)化密碼管理等關(guān)鍵環(huán)節(jié)的監(jiān)管，本辦法為信息系統(tǒng)的運(yùn)營、使用單位提供了清晰的安全指引和操作規(guī)范。