公安机关信息安全等级保护检查工作规范new

《公安机关信息安全等级保护检查工作规范new》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、公安机关信息安全等级保护检查工作规范 第一条为规范公安机关公共信息网络安全监察部门开展信息安全等级保护检查工作，根据《信息安全等级保护管理办法》（以下简称《管理办法》），制定本规范。第二条公安机关信息安全等级保护检查工作是指公安机关依据有关规定，会同主管部门对非涉密重要信息系统运营使用单位等级保护工作开展和落实情况进行检查，督促、检查其建设安全设施、落实安全措施、建立并落实安全管理制度、落实安全责任、落实责任部门和人员。第三条信息安全等级保护检查工作由市（地）级以上公安机关公共信息网络安全监察部门负责实施。每年对第三级信息系统的运营使用单位信息安全等级保护工作检查一次，每半年对第四级

2、信息系统的运营使用单位信息安全等级保护工作检查一次。第四条公安机关开展检查工作，应当按照“严格依法，热情服务”的原则，遵守检查纪律，规范检查程序，主动、热情地为运营使用单位提供服务和指导。第五条信息安全等级保护检查工作采取询问情况，查阅、核对材料，调看记录、资料，现场查验等方式进行。第六条检查的主要内容：（一）等级保护工作组织开展、实施情况。安全责任落实情况，信息系统安全岗位和安全管理人员设置情况；（二）按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况；（三）信息系统定级备案情况，信息系统变化及定级备案变动情况；（四）信息安全设施建设情况和信息安全整改情况；（五）信息安

3、全管理制度建设和落实情况；（六）信息安全保护技术措施建设和落实情况；（七）选择使用信息安全产品情况；（八）聘请测评机构按规范要求开展技术测评工作情况，根据测评结果开展整改情况；（九）自行定期开展自查情况；（十）开展信息安全知识和技能培训情况。第七条检查项目： （一）等级保护工作部署和组织实施情况1．下发开展信息安全等级保护工作的文件，出台有关工作意见或方案，组织开展信息安全等级保护工作情况。2．建立或明确安全管理机构，落实信息安全责任，落实安全管理岗位和人员。3．依据国家信息安全法律法规、标准规范等要求制定具体信息安全工作规划或实施方案。4．制定本行业、本部门信息安全等级保护行业标准

4、规范并组织实施。（二）信息系统安全等级保护定级备案情况1．了解未定级、备案信息系统情况以及第一级信息系统有关情况，对定级不准的提出调整建议。2．现场查看备案的信息系统，核对备案材料，备案单位提交的备案材料与实际情况相符合情况。3．补充提交《信息系统安全等级保护备案登记表》表四中有关备案材料。4．信息系统所承载的业务、服务范围、安全需求等发生变化情况，以及信息系统安全保护等级变更情况。5．新建信息系统在规划、设计阶段确定安全保护等级并备案情况。（三）信息安全设施建设情况和信息安全整改情况1．部署和组织开展信息安全建设整改工作。2．制定信息安全建设规划、信息系统安全建设整改方案。3．按照

5、国家标准或行业标准建设安全设施，落实安全措施。（四）信息安全管理制度建立和落实情况1．建立基本安全管理制度，包括机房安全管理、网络安全管理、系统运行维护管理、系统安全风险管理、资产和设备管理、数据及信息安全管理、用户管理、备份与恢复、密码管理等制度。2．建立安全责任制，系统管理员、网络管理员、安全管理员、安全审计员是否与本单位签订信息安全责任书。3．建立安全审计管理制度、岗位和人员管理制度。4．建立技术测评管理制度，信息安全产品采购、使用管理制度。5．建立安全事件报告和处置管理制度，制定信息系统安全应急处置预案，定期组织开展应急处置演练。6．建立教育培训制度，定期开展信息安全知识和技

6、能培训。（五）信息安全产品选择和使用情况1．按照《管理办法》要求的条件选择使用信息安全产品。2．要求产品研制、生产单位提供相关材料。包括营业执照，产品的版权或专利证书，提供的声明、证明材料，计算机信息系统安全专用产品销售许可证等。3．采用国外信息安全产品的，经主管部门批准，并请有关单位对产品进行专门技术检测。（六）聘请测评机构开展技术测评工作情况1．按照《管理办法》的要求部署开展技术测评工作。对第三级信息系统每年开展一次技术测评，对第四级信息系统每半年开展一次技术测评。2．按照《管理办法》规定的条件选择技术测评机构。3．要求技术测评机构提供相关材料。包括营业执照、声明、证明及资质材料

7、等。4．与测评机构签订保密协议。5．要求测评机构制定技术检测方案。6．对技术检测过程进行监督，采取了哪些监督措施。7．出具技术检测报告，检测报告是否规范、完整，检查结果是否客观、公正。8．根据技术检测结果，对不符合安全标准要求的，进一步进行安全整改。（七）定期自查情况1．定期对信息系统安全状况、安全保护制度及安全技术措施的落实情况进行自查。第三级信息系统是否每年进行一次自查，第四级信息系统是否每半年进行一次自查。2．经自查，信息系统安全状况未达到安全保护等