【正文】 完成定級(jí)備案后，選擇縣公安局推薦的等級(jí)測(cè)評(píng)機(jī)構(gòu)，對(duì)已確定安全保護(hù)等級(jí)信息系統(tǒng)，按照國(guó)家信息安全等級(jí)保護(hù)工作規(guī)范和《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》等國(guó)家標(biāo)準(zhǔn)開(kāi)展等級(jí)測(cè)評(píng)。2014年年末首先對(duì)HIS系統(tǒng)進(jìn)行信息等級(jí)保護(hù)評(píng)測(cè)，2015年安排對(duì)電子病歷系統(tǒng)進(jìn)行評(píng)測(cè)，2016年安排對(duì)PACS系統(tǒng)、LIS系統(tǒng)進(jìn)行評(píng)測(cè)。六、實(shí)施原則信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施過(guò)程中，遵循以下四條基本原則： 自主保護(hù)原則：信息系統(tǒng)運(yùn)營(yíng)、使用單位及其主管部門按照國(guó)家相關(guān)法規(guī)和標(biāo)準(zhǔn)，自主確定信息系統(tǒng)的安全保護(hù)等級(jí)，自行組織實(shí)施安全保護(hù)。第三級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成損害。二、工作目標(biāo)信息系統(tǒng)運(yùn)營(yíng)使用單位在做好信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)備案工作基礎(chǔ)上，按照國(guó)家有關(guān)規(guī)定和標(biāo)準(zhǔn)規(guī)范要求，開(kāi)展信息安全等級(jí)保護(hù)安全建設(shè)整改工作。3在安裝系統(tǒng)補(bǔ)丁程序前應(yīng)經(jīng)過(guò)測(cè)試，并對(duì)重要文件進(jìn)行備份。2應(yīng)指定部門負(fù)責(zé)系統(tǒng)交付工作應(yīng)具有與產(chǎn)品供應(yīng)商、軟件開(kāi)發(fā)商、系統(tǒng)集成商、系統(tǒng)運(yùn)維商和等級(jí)測(cè)評(píng)機(jī)構(gòu)等相關(guān)安全服務(wù)商簽訂的協(xié)議（文檔中有保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容3選定的安全服務(wù)商應(yīng)提供一定的技術(shù)培訓(xùn)和服務(wù)3應(yīng)與安全服務(wù)商簽訂的服務(wù)合同或安全責(zé)任合同書六、系統(tǒng)運(yùn)維管理應(yīng)指定專人或部門對(duì)機(jī)房的基本設(shè)施（如空調(diào)、供配電設(shè)備等）進(jìn)行定期維護(hù)，由何部門/何人負(fù)責(zé)。應(yīng)設(shè)立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組（最高領(lǐng)導(dǎo)是否由單位主管領(lǐng)導(dǎo)委任或授權(quán)的人員擔(dān)任）應(yīng)對(duì)重要信息系統(tǒng)活動(dòng)進(jìn)行審批（如系統(tǒng)變更、重要操作、物理訪問(wèn)和系統(tǒng)接入、重要管理制度的制定和發(fā)布、人員的配備和培訓(xùn)、產(chǎn)品的采購(gòu)、外部人員的訪問(wèn)等），審批部門是何部門，審批人是何人。c)應(yīng)對(duì)系統(tǒng)相關(guān)的人員進(jìn)行應(yīng)急預(yù)案培訓(xùn),應(yīng)急預(yù)案的培訓(xùn)應(yīng)至少每年舉辦一次。 安全事件處置(G3)本項(xiàng)要求包括: a)應(yīng)報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件,但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)。 系統(tǒng)安全管理(G3)本項(xiàng)要求包括: ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺(tái)案經(jīng)過(guò)評(píng)審、審批后方可實(shí)施變更,并在實(shí)施后將變更情況向相關(guān)人員通告。 網(wǎng)絡(luò)安全管理(G3)本項(xiàng)要求包括: a)應(yīng)指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理,負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作。c)應(yīng)建立機(jī)房安全管理制度,對(duì)有關(guān)機(jī)房物理訪問(wèn),物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理做出規(guī)定。b)應(yīng)在系統(tǒng)發(fā)生變更時(shí)及時(shí)對(duì)系統(tǒng)進(jìn)行等級(jí)測(cè)評(píng),發(fā)現(xiàn)級(jí)別發(fā)生變化的及時(shí)調(diào)整級(jí)別并進(jìn)行安全改造,發(fā)現(xiàn)不符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn)要求的及時(shí)整改。 外包軟件開(kāi)發(fā)(G3)本項(xiàng)要求包括: a)應(yīng)根據(jù)開(kāi)發(fā)需求檢測(cè)軟件質(zhì)量。 外部人員訪問(wèn)管理(G3)本項(xiàng)要求包括: a)應(yīng)確保在外部人員訪問(wèn)受控區(qū)域前先提出書面申請(qǐng), ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺(tái)b)應(yīng)確保密碼產(chǎn)品采購(gòu)和使用符合國(guó)家密碼主管部門的要求。c)應(yīng)辦理嚴(yán)格的調(diào)離手續(xù),關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開(kāi)。c)關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。 評(píng)審和修訂(G3)本項(xiàng)要求包括: a)信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定。e)應(yīng)能夠?qū)σ粋€(gè)訪問(wèn)帳戶或一個(gè)請(qǐng)求進(jìn)程占用的資源分配最大限額和最小限額。d)應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限,并在它們之間形成相互制約的關(guān)系。 應(yīng)用安全 身份鑒別(S3)本項(xiàng)要求包括: a)應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別。g)應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作。e)應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名,確保用戶名具有唯一性。b)審計(jì)記錄應(yīng)包括:事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息。b)應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力,控制粒度為端口級(jí)。 防水和防潮(G3)本項(xiàng)要求包括: a)水管安裝,不得穿過(guò)機(jī)房屋頂和活動(dòng)地板下。落實(shí)信息系統(tǒng)主管部門對(duì)運(yùn)營(yíng)使用單位的監(jiān)督指導(dǎo)責(zé)任，建立職能部門、主管部門對(duì)信息系統(tǒng)的定期監(jiān)督檢查機(jī)制。對(duì)安全措施不符合要求的，要指導(dǎo)其落實(shí)整改措施。信息系統(tǒng)安全保護(hù)等級(jí)為第二級(jí)以上的信息系統(tǒng)運(yùn)營(yíng)使用單位或主管部門應(yīng)當(dāng)在系統(tǒng)投入運(yùn)行后（新建系統(tǒng)）或確定等級(jí)后（已運(yùn)營(yíng)的系統(tǒng)）30日內(nèi)到公安機(jī)關(guān)辦理備案手續(xù)；鼓勵(lì)第一級(jí)和第五級(jí)的信息系統(tǒng)到公安機(jī)關(guān)辦理備案手續(xù)。第三級(jí)信息系統(tǒng)運(yùn)營(yíng)、使用單位應(yīng)當(dāng)依據(jù)國(guó)家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。第二級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成損害，但不損害國(guó)家安全。第七章 附則第四十二條已運(yùn)行信息系統(tǒng)的運(yùn)營(yíng)、使用單位自本辦法施行之日起180日內(nèi)確定信息系統(tǒng)的安全保護(hù)等級(jí)；新建信息系統(tǒng)在設(shè)計(jì)、規(guī)劃階段確定安全保護(hù)等級(jí)。采用密碼對(duì)涉及國(guó)家秘密的信息和信息系統(tǒng)進(jìn)行保護(hù)的，應(yīng)報(bào)經(jīng)國(guó)家密碼管理局審批，密碼的設(shè)計(jì)、實(shí)施、使用、運(yùn)行維護(hù)和日常管理等，應(yīng)當(dāng)按照國(guó)家密碼管理有關(guān)規(guī)定和相關(guān)標(biāo)準(zhǔn)執(zhí)行；采用密碼對(duì)不涉及國(guó)家秘密的信息和信息系統(tǒng)進(jìn)行保護(hù)的，須遵守《商用密碼管理?xiàng)l例》和密碼分類分級(jí)保護(hù)有關(guān)規(guī)定與相關(guān)標(biāo)準(zhǔn)，其密碼的配備使用情況應(yīng)當(dāng)向國(guó)家密碼管理機(jī)構(gòu)備案。第三十二條涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當(dāng)依據(jù)國(guó)家保密標(biāo)準(zhǔn)BMB202007《涉及國(guó)家秘密的信息系統(tǒng)分級(jí)保護(hù)管理規(guī)范》，加強(qiáng)涉密信息系統(tǒng)運(yùn)行中的保密管理，定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，消除泄密隱患和漏洞。涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當(dāng)依據(jù)涉密信息系統(tǒng)分級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，按照秘密、機(jī)密、絕密三級(jí)的不同要求，結(jié)合系統(tǒng)實(shí)際進(jìn)行方案設(shè)計(jì)，實(shí)施分級(jí)保護(hù)，其保護(hù)水平總體上不低于國(guó)家信息安全等級(jí)保護(hù)第三級(jí)、第四級(jí)、第五級(jí)的水平。第四章 涉密信息系統(tǒng)的分級(jí)保護(hù)管理第二十四條涉密信息系統(tǒng)應(yīng)當(dāng)依據(jù)國(guó)家信息安全等級(jí)保護(hù)的基本要求，按照國(guó)家保密工作部門有關(guān)涉密信息系統(tǒng)分級(jí)保護(hù)的管理規(guī)定和技術(shù)標(biāo)準(zhǔn)，結(jié)合系統(tǒng)實(shí)際情況進(jìn)行保護(hù)。公安機(jī)關(guān)、國(guó)家指定的專門部門應(yīng)當(dāng)對(duì)下列事項(xiàng)進(jìn)行檢查：（一）系統(tǒng)安全需求是否發(fā)生變化，原定保護(hù)等級(jí)是否準(zhǔn)確；（二）運(yùn)營(yíng)、使用單位安全管理制度、措施的落實(shí)情況；（三）運(yùn)營(yíng)、使用單位及其主管部門對(duì)信息系統(tǒng)安全狀況的檢查情況；（四）系統(tǒng)安全等級(jí)測(cè)評(píng)是否符合要求；（五）信息安全產(chǎn)品使用是否符合要求；（六）對(duì)信息系統(tǒng)開(kāi)展等級(jí)測(cè)評(píng)的技術(shù)測(cè)評(píng)報(bào)告；（七）信息安全產(chǎn)品使用的變更情況；（八）信息安全事件應(yīng)急預(yù)案，信息安全事件應(yīng)急處置結(jié)果報(bào)告；（九）信息系統(tǒng)安全建設(shè)、整改結(jié)果報(bào)告?？缡』蛘呷珖?guó)統(tǒng)一聯(lián)網(wǎng)運(yùn)行的信息系統(tǒng)在各地運(yùn)行、應(yīng)用的分支系統(tǒng)，應(yīng)當(dāng)向當(dāng)?shù)卦O(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)備案。第十四條信息系統(tǒng)建設(shè)完成后，運(yùn)營(yíng)、使用單位或者其主管部門應(yīng)當(dāng)選擇符合本辦法規(guī)定條件的測(cè)評(píng)機(jī)構(gòu)，依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》等技術(shù)標(biāo)準(zhǔn)，定期對(duì)信息系統(tǒng)安全等級(jí)狀況開(kāi)展等級(jí)測(cè)評(píng)。第三章等級(jí)保護(hù)的實(shí)施與管理 第九條信息系統(tǒng)運(yùn)營(yíng)、用單位應(yīng)當(dāng)按照《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》 具體實(shí)施等級(jí)保護(hù)工作。第二級(jí)信息系統(tǒng)運(yùn)營(yíng)、使用單位應(yīng)當(dāng)依據(jù)國(guó)家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。信息系統(tǒng)的安全保護(hù)等級(jí)應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活中的重要程度，信息系統(tǒng)遭到破壞后對(duì)國(guó)家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。第三條公安機(jī)關(guān)負(fù)責(zé)信息安全等級(jí)保護(hù)工作的監(jiān)督、檢查、指導(dǎo)。2 制定目的 規(guī)范信息安全等級(jí)保護(hù)管理。第四條信息系統(tǒng)主管部門應(yīng)當(dāng)依照本辦法及相關(guān)標(biāo)準(zhǔn)規(guī)范，督促、檢查、指導(dǎo)本行業(yè)、本部門或者本地區(qū)信息系統(tǒng)運(yùn)營(yíng)、使用單位的信息安全等級(jí)保護(hù)工作。第五級(jí)，信息系統(tǒng)受到破壞后，會(huì)對(duì)國(guó)家安全造成特別嚴(yán)重?fù)p害。國(guó)家信息安全監(jiān)管部門對(duì)該級(jí)信息系統(tǒng)信息安全等級(jí)保護(hù)工作進(jìn)行強(qiáng)制監(jiān)督、檢查。第十一條信息系統(tǒng)的安全保護(hù)等級(jí)確定后，運(yùn)營(yíng)、使用單位應(yīng)當(dāng)按照國(guó)家信息安全等級(jí)保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，使用符合國(guó)家有關(guān)規(guī)定，滿足信息系統(tǒng)安全保護(hù)等級(jí)需求的信息技術(shù)產(chǎn)品，開(kāi)展信息系統(tǒng)安全建設(shè)或者改建工作。第十五條已運(yùn)營(yíng)（運(yùn)行）的第二級(jí)以上信息系統(tǒng)，應(yīng)當(dāng)在安全保護(hù)等級(jí)確定后30 日內(nèi)，由其運(yùn)營(yíng)、使用單位到所在地設(shè)區(qū)的市級(jí)以上公安機(jī)關(guān)辦理備案手續(xù)。對(duì)第三級(jí)信息系統(tǒng)每年至少檢查一次，對(duì)第四級(jí)信息系統(tǒng)每半年至少檢查一次。第二十一條第三級(jí)以上信息系統(tǒng)應(yīng)當(dāng)選擇使用符合以下條件的信息安全產(chǎn)品：（一）產(chǎn)品研制、生產(chǎn)單位是由中國(guó)公民、法人投資或者國(guó)家投資或者控股的，在中華人民 共和國(guó)境內(nèi)具有獨(dú)立的法人資格；（二）產(chǎn)品的核心技術(shù)、關(guān)鍵部件具有我國(guó)自主知識(shí)產(chǎn)權(quán)；（三）產(chǎn)品研制、生產(chǎn)單位及其主要業(yè)務(wù)、技術(shù)人員無(wú)犯罪記錄；（四）產(chǎn)品研制、生產(chǎn)單位聲明沒(méi)有故意留有或者設(shè)置漏洞、后門、木馬等程序和功能；（五）對(duì)國(guó)家安全、社會(huì)秩序、公共利益不構(gòu)成危害；（六）對(duì)已列入信息安全產(chǎn)品認(rèn)證目錄的，應(yīng)當(dāng)取得國(guó)家信息安全產(chǎn)品認(rèn)證機(jī)構(gòu)頒發(fā)的認(rèn)證證書。保密工作部門和機(jī)構(gòu)應(yīng)當(dāng)監(jiān)督指導(dǎo)涉密信息系統(tǒng)建設(shè)使用單位準(zhǔn)確、合理地進(jìn)行系統(tǒng)定級(jí)。第三十條涉密信息系統(tǒng)建設(shè)使用單位在申請(qǐng)系統(tǒng)審批或者備案時(shí)，應(yīng)當(dāng)提交以下材料：（一）系統(tǒng)設(shè)計(jì)、實(shí)施方案及審查論證意見(jiàn)；（二）系統(tǒng)承建單位資質(zhì)證明材料；（三）系統(tǒng)建設(shè)和工程監(jiān)理情況報(bào)告；（四）系統(tǒng)安全保密檢測(cè)評(píng)估報(bào)告；（五）系統(tǒng)安全保密組織機(jī)構(gòu)和管理制度情況；（六）其他有關(guān)材料。信息系統(tǒng)運(yùn)營(yíng)、使用單位采用密碼進(jìn)行等級(jí)保護(hù)的，應(yīng)當(dāng)遵照《信息安全等級(jí)保護(hù)密碼管理辦法》、《信息安全等級(jí)保護(hù)商用密碼技術(shù)要求》等密碼管理規(guī)定和相關(guān)標(biāo)準(zhǔn)。第六章 法律責(zé)任 第四十條第三級(jí)以上信息系統(tǒng)運(yùn)營(yíng)、使用單位違反本辦法規(guī)定，有下列行為之一的，由公安機(jī)關(guān)、國(guó)家保密工作部門和國(guó)家密碼工作管理部門按照職責(zé)分工責(zé)令其限期改正；逾期不改正的，給予警告，并向其上級(jí)主管部門通報(bào)情況，建議對(duì)其直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員予以處理，并及時(shí)反饋處理結(jié)果：（一）未按本辦法規(guī)定備案、審批的；（二）未按本辦法規(guī)定落實(shí)安全管理制度、措施的；（三）未按本辦法規(guī)定開(kāi)展系統(tǒng)安全狀況檢查的；（四）未按本辦法規(guī)定開(kāi)展系統(tǒng)安全技術(shù)測(cè)評(píng)的；（五）接到整改通知后，拒不整改的；（六）未按本辦法規(guī)定選擇使用信息安全產(chǎn)品和測(cè)評(píng)機(jī)構(gòu)的；（七）未按本辦法規(guī)定如實(shí)提供有關(guān)文件和證明材料的；（八）違反保密管理規(guī)定的；（九）違反密碼管理規(guī)定的；（十）違反本辦法其他規(guī)定的。重要信息系統(tǒng)運(yùn)營(yíng)使用單位成立信息安全等級(jí)保護(hù)工作組，負(fù)責(zé)組織本單位的信息系統(tǒng)安全等級(jí)保護(hù)工作。第一級(jí)信息系統(tǒng)運(yùn)營(yíng)、使用單位應(yīng)當(dāng)依據(jù)國(guó)家有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進(jìn)行保護(hù)。國(guó)家指定專門部門對(duì)該級(jí)信息系統(tǒng)信息安全等級(jí)保護(hù)工作進(jìn)行專門監(jiān)督、檢查。（六）加強(qiáng)安全監(jiān)督檢查。組織開(kāi)展繼續(xù)教育工作，加強(qiáng)對(duì)安全專業(yè)技術(shù)人員的培訓(xùn)，提高信息系統(tǒng)運(yùn)營(yíng)使用單位和主管部門以及安全專用產(chǎn)品研發(fā)機(jī)構(gòu)、安全服務(wù)機(jī)構(gòu)安全專業(yè)技術(shù)人員的技術(shù)和法律知識(shí)水平。 防火(G3)本項(xiàng)要求包括: a)機(jī)房應(yīng)設(shè)置火災(zāi)自動(dòng)消防系統(tǒng),能夠自動(dòng)檢測(cè)火情、自動(dòng)報(bào)警,并自動(dòng)滅火。b)機(jī)房應(yīng)采用防靜電地板。g)應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則,決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn),控制粒度為單個(gè)用戶。b)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn),口令應(yīng)有復(fù)雜度要求并定期更換。d)應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問(wèn)權(quán)限,重命名系統(tǒng)默認(rèn)帳戶,修改這些帳戶的默認(rèn)口令。c)應(yīng)對(duì)重要服務(wù)器進(jìn)行監(jiān)視,包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況。 訪問(wèn)控制(S3)本項(xiàng)要求包括: a)應(yīng)提供訪問(wèn)控制功能,依據(jù)安全策略控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等客體的訪問(wèn)。b)應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制。 數(shù)據(jù)保密性(S3)本項(xiàng)要求包括: ,為業(yè)內(nèi)人士提供最強(qiáng)大的交流共享平臺(tái)c)應(yīng)組織相關(guān)人員對(duì)制定的安全管理制度進(jìn)行論證和審定。d)應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。d)應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員,并簽署崗位安全協(xié)議。b)應(yīng)對(duì)安全責(zé)任和懲戒措施進(jìn)行書面規(guī)定并告知相關(guān)人員,對(duì)違反違背安全策略和規(guī)定的人員進(jìn)行懲戒。c)應(yīng)制定代碼編寫安全規(guī)范,要求開(kāi)