一、申請條件及要求
1. 申請單位需在中國境內注冊成立，由我國公民、法人投資或國家投資的企事業(yè)單位。
2. 產權關系清晰，注冊資金需達到500萬元以上，且獨立經營核算，無違法違規(guī)記錄。
3. 申請單位需從事網絡安全服務兩年以上，并具備一定網絡安全檢測評估能力。
4. 法人、主要負責人及測評人員需為中國公民，且無犯罪記錄。
5. 擁有至少15名以上具備網絡安全相關工作經歷的技術和管理人員，其中專職滲透測試人員不少于2人，崗位職責明確，人員相對穩(wěn)定。
6. 申請單位需具備固定的辦公場所，并配備滿足測評業(yè)務需求的檢測評估工具、實驗環(huán)境等。
7. 申請單位需建立完善的規(guī)章制度，包括安全保密管理、項目管理、質量管理、人員管理、檔案管理及培訓教育等。
8. 申請單位不得涉及網絡安全產品開發(fā)、銷售或信息系統(tǒng)安全集成等可能影響測評結果公正性的業(yè)務（自用除外）。
二、初步申請及復審流程
1. 初步申請通過后，申請單位需提交相關材料，如人員資質、技術設備、業(yè)務經驗等。
2. 復審主要針對測評師的要求，申請單位應至少有15人獲得測評師證書，其中高級測評師不少于1人，中級測評師不少于5人。
3. 對于滿足申請條件并通過復審的單位，等保辦將頒發(fā)《網絡安全等級保護測評機構推薦證書》。
三、監(jiān)督檢查及年審流程
1. 等保辦將定期對所推薦的測評機構進行監(jiān)督檢查，確保其業(yè)務活動符合相關法規(guī)和標準。
2. 年審時，等保辦將對測評機構的業(yè)務活動、人員資質、技術設備等進行全面檢查。年審通過的機構，等保辦將在推薦證書副本上加蓋等級保護專用章或等保辦印章，并發(fā)放測評師注冊標識。
3. 年審未通過的機構，等保辦將責令其限期整改。拒不整改或整改不符合要求的機構，其等級測評業(yè)務將被暫停。
四、信息安全等級保護工作監(jiān)督檢查指導責任方
一、監(jiān)督管理部門及其職責
1. 為了規(guī)范信息安全等級保護管理，提高信息安全保障能力和水平，維護國家安全、社會穩(wěn)定和公共利益，保障和促進信息化建設，根據(jù)相關法律法規(guī)制定本辦法。
2. 國家通過制定統(tǒng)一的信息安全等級保護管理規(guī)范和技術標準，組織公民、法人和其他組織對信息系統(tǒng)進行分等級安全保護。國家公安機關負責信息安全等級保護工作的監(jiān)督、檢查和指導。
3. 國家保密工作部門和密碼管理部門分別負責等級保護工作中有關保密工作和密碼工作的監(jiān)督、檢查和指導。其他職能部門管轄范圍的事項，由相關職能部門依照國家法律法規(guī)進行管理。
二、信息系統(tǒng)安全保護等級及實施要求
1. 信息系統(tǒng)的安全保護等級根據(jù)信息系統(tǒng)在國家安全、經濟建設、社會生活中的重要程度，以及信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的危害程度確定。
2. 信息系統(tǒng)的安全保護等級分為五級，從第一級至第五級，危害程度逐漸增大。各級信息系統(tǒng)運營、使用單位需依據(jù)本辦法和相關技術標準進行保護，接受國家有關信息安全監(jiān)管部門的監(jiān)督管理。
3. 第一級至第三級信息系統(tǒng)的運營、使用單位需依據(jù)《信息系統(tǒng)安全等級保護實施指南》具體實施等級保護工作。第四級以上信息系統(tǒng)的定級需經國家信息安全保護等級專家評審委員會評審。
4. 運營、使用單位在確定信息系統(tǒng)的安全保護等級后，需按照國家信息安全等級保護管理規(guī)范和技術標準，使用符合國家有關規(guī)定的信息技術產品，開展信息系統(tǒng)的安全建設或改建工作。
24. 在信息系統(tǒng)建設過程中，運營和使用單位需遵循《計算機信息系統(tǒng)安全保護等級劃分準則》（GB17859-1999）、《信息系統(tǒng)安全等級保護基本要求》等標準，同時參照《信息安全技術信息系統(tǒng)通用安全技術要求》等一系列相關技術標準，同步建設符合安全保護等級要求的信息安全設施。
25. 運營和使用單位應當參照一系列安全管理規(guī)范，如《信息安全技術信息系統(tǒng)安全管理要求》等，制定并執(zhí)行符合本系統(tǒng)安全保護等級要求的安全管理制度。
26. 當信息系統(tǒng)建設完成后，運營或使用單位應選擇符合規(guī)定的測評機構，依據(jù)相關技術標準定期對信息系統(tǒng)安全等級狀況進行等級測評。不同等級的信息系統(tǒng)應按照特殊安全需求進行定期的等級測評。
27. 信息系統(tǒng)運營和使用單位及其主管部門應定期自查信息系統(tǒng)的安全狀況、安全保護制度及措施的落實情況。自查頻率應根據(jù)信息系統(tǒng)的安全等級而定。
28. 若經測評或自查發(fā)現(xiàn)信息系統(tǒng)安全狀況未達到安全保護等級要求，運營和使用單位需制定整改方案并進行整改。
29. 對于已運營的第二級及以上信息系統(tǒng)，運營和使用單位需在安全保護等級確定后的30日內，到所在地設區(qū)的市級以上公安機關辦理備案手續(xù)。
30. 對于新建的第二級及以上信息系統(tǒng)，應在投入運行后的30日內，由運營和使用單位到相應公安機關辦理備案手續(xù)。
31. 隸屬于*的在京單位的信息系統(tǒng)，由主管部門向公安部辦理備案手續(xù)。而跨省或全國統(tǒng)一聯(lián)網運行的信息系統(tǒng)的分支系統(tǒng)，則需向當?shù)卦O區(qū)的市級以上公安機關備案。
32. 在辦理信息系統(tǒng)安全保護等級備案手續(xù)時，應填寫《信息系統(tǒng)安全等級保護備案表》，并提交相關材料，包括系統(tǒng)拓撲結構、安全組織和管理制度、安全保護設施設計方案等。
33. 公安機關在收到備案材料后，應對信息系統(tǒng)的備案情況進行審核。符合要求的，應在10個工作日內頒發(fā)備案證明；不符合要求的，應通知運營單位予以糾正。
34. 若信息系統(tǒng)等級發(fā)生變化，運營單位或主管部門應重新向公安機關備案。
35. 受理備案的公安機關應對第三級和第四級信息系統(tǒng)的運營和使用單位的信息安全等級保護工作情況進行檢查，確保其符合相關標準和規(guī)定。
36. 對于第五級信息系統(tǒng)，應由國家指定的專門部門進行檢查，確保其信息安全。
37. 公安機關和國家指定的專門部門應檢查信息系統(tǒng)的安全需求、運營使用單位的安全管理制度和措施的落實情況、對信息系統(tǒng)的檢查情況等多個方面。
38. 信息系統(tǒng)運營和使用單位應接受公安機關和國家指定部門的監(jiān)督、檢查和指導，并如實提供相關信息資料及數(shù)據(jù)文件。
39. 若公安機關檢查發(fā)現(xiàn)信息系統(tǒng)安全保護狀況不符合規(guī)定，應發(fā)出整改通知，運營單位需按照管理規(guī)范和技術標準進行整改，并將整改報告向公安機關備案。
40. 選擇使用第三級及以上信息系統(tǒng)的信息安全產品時，應優(yōu)先考慮由中國公民、法人投資或國家投資或控股的企業(yè)生產的產品，并確保其具有我國自主知識產權，且無犯罪記錄和技術安全隱患等。
41. 選擇等級保護測評機構時，應選擇在境內注冊、符合相關檢測評估工作要求、無違法記錄、工作人員均為中國公民且符合其他相關要求的機構。
42. 從事信息系統(tǒng)安全等級測評的機構應提供客觀、公正的檢測評估服務，并保守在測評活動中知悉的國家秘密、商業(yè)秘密和個人隱私。
43. 第四章涉及國家秘密信息系統(tǒng)的分級保護管理。這類系統(tǒng)需按照國家保密工作部門的相關規(guī)定和技術標準進行保護，不得處理國家秘密信息。涉密信息系統(tǒng)的等級根據(jù)所處理信息的最高密級來確定。
44. 在進行涉密信息系統(tǒng)建設時，應依據(jù)涉密信息系統(tǒng)分級保護管理辦法和國家保密標準BMB17-2006《涉及國家秘密的計算機信息系統(tǒng)分級保護技術要求》確定系統(tǒng)等級。多個安全域的系統(tǒng)可分別確定各域的保護等級。
保密工作部門和機構應當加強對涉密信息系統(tǒng)建設的監(jiān)督指導，確保系統(tǒng)定級的準確性和合理性。涉密信息系統(tǒng)建設使用單位必須及時將系統(tǒng)的定級和建設情況上報主管部門和保密工作部門備案，并接受相關部門的監(jiān)督、檢查、指導。為了保障涉密信息系統(tǒng)的安全性，選擇具備涉密集成資質的單位來承擔或參與系統(tǒng)的設計實施是非常重要的。
涉密信息系統(tǒng)建設使用單位需要根據(jù)涉密信息系統(tǒng)分級保護管理規(guī)范和技術標準，結合系統(tǒng)的實際情況進行方案設計，實施分級保護。其保護水平應當達到國家信息安全等級保護第三級、第四級、第五級的標準。原則上，涉密信息系統(tǒng)使用的信息安全保密產品應當選用國產并通過國家授權的檢測機構檢測的產品。
涉密信息系統(tǒng)建設完成后，必須經過國家授權的系統(tǒng)測評機構的安全保密測評。在系統(tǒng)投入使用前，必須按照相關規(guī)定向保密工作部門申請審批。已經投入使用的涉密信息系統(tǒng)，在完成系統(tǒng)整改后，必須向保密工作部門備案。
在申請系統(tǒng)審批或備案時，涉密信息系統(tǒng)建設使用單位需要提交一系列材料，包括系統(tǒng)設計、實施方案、審查論證意見、系統(tǒng)承建單位資質證明材料等。當涉密信息系統(tǒng)的等級、連接范圍、環(huán)境設施、主要應用或安全保密管理責任單位發(fā)生變更時，必須及時向負責審批的保密工作部門報告。
涉密信息系統(tǒng)建設使用單位還需要根據(jù)國家保密標準，加強系統(tǒng)運行中的保密管理，定期進行風險評估，消除泄密隱患和漏洞。國家和地方各級保密工作部門依法對各地區(qū)、各部門的涉密信息系統(tǒng)分級保護工作實施監(jiān)督管理，指導、監(jiān)督和檢查工作的開展，并依法對涉密信息系統(tǒng)集成資質單位進行監(jiān)督管理。
國家密碼管理部門對信息安全等級保護的密碼實行分類分級管理，根據(jù)被保護對象的作用、重要程度、安全防護要求、被破壞后的危害程度等，確定密碼的等級保護準則。信息系統(tǒng)運營、使用單位采用密碼進行等級保護的，必須遵照相關的密碼管理規(guī)定和相關標準。涉密信息系統(tǒng)的密碼配備、使用和管理等必須嚴格執(zhí)行國家密碼管理的有關規(guī)定。
對于違反信息安全等級保護密碼管理規(guī)定的行為，將依法進行處理。已運行信息系統(tǒng)的運營、使用單位必須在規(guī)定時間內確定信息系統(tǒng)的安全保護等級。違反規(guī)定的，將依法追究相關責任。信息安全監(jiān)管部門及其工作人員在履行職責中的違規(guī)行為也將受到法律追究。
轉載：http://m.xvaqeci.cn/zixun_detail/255495.html