等級(jí)保護(hù)：信息系統(tǒng)定級(jí)、備案、專家評(píng)審流程
【時(shí)間】2019-11-29
【編輯】Admin
【瀏覽量】
【等級(jí)保護(hù)QQ交流群】881590869
請(qǐng)參考GAT 1389—2017信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南（見第二步相關(guān)材料文件夾）定級(jí)，定級(jí)對(duì)象的運(yùn)營(yíng)使用單位應(yīng)組織專家召開專家定級(jí)評(píng)審會(huì)（專家組由最低由三名信息安全專家和業(yè)務(wù)專家組成，其中一名應(yīng)為等級(jí)保護(hù)高級(jí)測(cè)評(píng)師），出具初步定級(jí)建議并上報(bào)行業(yè)主管部門或上級(jí)主管部門審核后到公安機(jī)關(guān)備案（備案審查不通過運(yùn)營(yíng)使用單位重新組織定級(jí)工作）。
1、等保2.0定級(jí)備案流程：確定定級(jí)對(duì)象、初步確定等級(jí)、專家評(píng)審、主管部門審核、公安機(jī)關(guān)備案審查、最終確定等級(jí)。2、信息系統(tǒng)定級(jí)備案工作，甲方可以自己獨(dú)立完成，也可以聘請(qǐng)等保測(cè)評(píng)機(jī)構(gòu)、有等保安全建設(shè)服務(wù)機(jī)構(gòu)的安全廠商及其他有資質(zhì)單位協(xié)助完成定級(jí)備案工作。3、定級(jí)參考《GAT 1389—2017信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》第四章 定級(jí)原理及流程。4、等級(jí)保護(hù)對(duì)象的安全保護(hù)等級(jí)分為以下五級(jí)：a)第一級(jí)，等級(jí)保護(hù)對(duì)象受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益造成損害，但不損害國(guó)家安全、社會(huì)秩序和公共利益：b)第二級(jí)，等級(jí)保護(hù)對(duì)象受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成損害，但不損害國(guó)家安全；c)第三級(jí)，等級(jí)保護(hù)對(duì)象受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生特別嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成損害；d)第四級(jí)，等級(jí)保護(hù)對(duì)象受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成嚴(yán)重?fù)p害； e)第五級(jí)，等級(jí)保護(hù)對(duì)象受到破壞后，會(huì)對(duì)國(guó)家安全造成特別嚴(yán)重?fù)p害。5、定級(jí)范圍：包括基礎(chǔ)信息網(wǎng)絡(luò)、工業(yè)控制系統(tǒng)、云計(jì)算平臺(tái)、物聯(lián)網(wǎng)、其他信息系統(tǒng)、大數(shù)據(jù)等。6、以上信息確定好，根據(jù)甲方信息系統(tǒng)及機(jī)房實(shí)際情況，編寫《信息系統(tǒng)安全等級(jí)保護(hù)備案表》、《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告》。7、定級(jí)備案表和定級(jí)報(bào)告編寫完成，下一步進(jìn)行專家評(píng)審工作，專家組由最低由三名信息安全專家和業(yè)務(wù)專家組成，其中一名應(yīng)為等級(jí)保護(hù)高級(jí)測(cè)評(píng)師，專家現(xiàn)場(chǎng)會(huì)根據(jù)甲方負(fù)責(zé)人對(duì)公司及信息系統(tǒng)的介紹，提出定級(jí)是否合理相關(guān)建議并形成專家評(píng)審意見表；專家評(píng)審流程：根據(jù)要求確定專家評(píng)審名單、編輯專家評(píng)審會(huì)議程、專家簽到表、信息系統(tǒng)定級(jí)專家評(píng)審意見表、被定級(jí)單位及信息系統(tǒng)介紹PPT）。專家評(píng)審現(xiàn)場(chǎng)工作流程：專家到現(xiàn)場(chǎng)簽到入座、甲方會(huì)議負(fù)責(zé)人將定級(jí)備案表及定級(jí)報(bào)告紙質(zhì)版給專家查閱，甲方信息安全負(fù)責(zé)人宣布會(huì)議開始，由甲方負(fù)責(zé)人介紹公司及信息系統(tǒng)實(shí)際情況，專家根據(jù)公司介紹、現(xiàn)場(chǎng)訪談、備案表、定級(jí)報(bào)告等信息提出建議，專家提出建議形成專家評(píng)審意見表，現(xiàn)場(chǎng)打印由專家簽字，專家評(píng)審工作完成。提交網(wǎng)安大隊(duì)紙質(zhì)版：按照紙質(zhì)版文件夾內(nèi)材料進(jìn)行準(zhǔn)備，提交時(shí)備案材料按照第三步提交網(wǎng)安大隊(duì)紙質(zhì)版文件夾內(nèi)序號(hào)排列。電子版壓縮包要求：以“單位全稱-系統(tǒng)名稱”命名壓縮包，將以下文件放入壓縮包內(nèi)，提交紙質(zhì)材料的同時(shí)在釘釘內(nèi)向負(fù)責(zé)民警提交電子版壓縮包。原件掃描件要求，分辨率300dpi—jpg格式。1. 信息系統(tǒng)安全等級(jí)保護(hù)備案表一式兩份（封面單位名稱處蓋章）。應(yīng)填寫完整、無漏項(xiàng)，不得改動(dòng)備案表版面格式。機(jī)打，不可手寫，單面打印。2. 信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)報(bào)告一式兩份（定級(jí)表格處蓋章）。機(jī)打，單面打印。4. 相關(guān)證件復(fù)印件各一份：工商營(yíng)業(yè)執(zhí)照(或執(zhí)業(yè)許可證、事業(yè)單位證書、非盈利性機(jī)構(gòu)證書等許可證明)、法人代表身份證、組織機(jī)構(gòu)代碼證（如三證合一，省略）。5. 法人授權(quán)書（被授權(quán)人需攜帶本人身份證原件及復(fù)印近）。6. 實(shí)際辦公地的房產(chǎn)證或租房合同復(fù)印件。7.主機(jī)托管合同或云主機(jī)租用合同的復(fù)印件。8. 企業(yè)內(nèi)部信息安全部門、技術(shù)部門組織架構(gòu)人員登記信息表，左上角蓋章（表格中確定兩位24小時(shí)應(yīng)急處置網(wǎng)絡(luò)安全事件聯(lián)系人）。9.從事互聯(lián)網(wǎng)金融的企業(yè)（如網(wǎng)貸P2P平臺(tái)、證券交易系統(tǒng)等），備案時(shí)需提交紙質(zhì)版《信息安全等級(jí)保護(hù)備案證明使用承諾書》法人親筆簽字，加蓋單位公章。其他行業(yè)無需提交。(備案面審提交時(shí)請(qǐng)按照以上順序排列材料)以“單位全稱-系統(tǒng)名稱”命名壓縮包，將以下文件放入壓縮包內(nèi)，提交紙質(zhì)材料的同時(shí)在釘釘內(nèi)向負(fù)責(zé)民警提交電子版壓縮包。原件掃描件要求，分辨率300dpi—jpg格式。1.備案表、定級(jí)報(bào)告和信息安全承諾書蓋章掃描件2.備案表和定級(jí)報(bào)告word版；3.XX單位XX系統(tǒng)-專家評(píng)審意見（原件掃描件）4.（三級(jí)系統(tǒng)備案時(shí)需提交）《XX單位-信息安全工作管理制度》（word版，蓋章掃面件均可）5.（三級(jí)系統(tǒng)備案時(shí)需提交）XX單位系統(tǒng)使用的安全產(chǎn)品清單及認(rèn)證、銷售許可證明（蓋章掃描件）6.（三級(jí)系統(tǒng)備案時(shí)需提交）單位拓?fù)鋱D及說明（蓋章掃描件）7.三級(jí)系統(tǒng)需提交備案表表四全部?jī)?nèi)容。8.信息安全部、技術(shù)部組織架構(gòu)人員登記信息表，可編輯版。9.工商營(yíng)業(yè)執(zhí)照副本原件掃描件(或執(zhí)業(yè)許可證、事業(yè)單位證書、非盈利性機(jī)構(gòu)證書等許可證明)、組織機(jī)構(gòu)代碼證原件掃描件（如三、五證合一，省略）11.備案表表一中單位負(fù)責(zé)人身份證原件掃描件；12.從事經(jīng)營(yíng)性公眾互聯(lián)網(wǎng)行業(yè)及有交易投資活動(dòng)的信息系統(tǒng)的企業(yè)需要提交《信息安全等級(jí)保護(hù)備案證明使用承諾書》
三．現(xiàn)場(chǎng)備案人員要求
備案辦理人員需為單位法人授權(quán)的被授權(quán)人；被授權(quán)人需攜帶本人身份證原件、營(yíng)業(yè)執(zhí)照副本原件、法人授權(quán)書原件到現(xiàn)場(chǎng)備案；被授權(quán)人，應(yīng)為單位網(wǎng)絡(luò)安全分管領(lǐng)導(dǎo)（如主管副總裁或技術(shù)部門負(fù)責(zé)人），應(yīng)了解信息系統(tǒng)整體情況，參與日常信息系統(tǒng)安全運(yùn)維。三級(jí)系統(tǒng)備案，自備案證明領(lǐng)取之日起，30日內(nèi)提交測(cè)評(píng)報(bào)告，整改實(shí)施方案可在系統(tǒng)測(cè)評(píng)完成后同測(cè)評(píng)報(bào)告一同提交網(wǎng)安部門，并每年開展一次信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)。
