【文章內(nèi)容簡介】 領(lǐng)導(dǎo)，建立健全信息安全管理責(zé)任制 51 我國信息安全 政策 的初步成效、后續(xù)展望 ?初步成效 ? 依托 2023年的 27號文（總體綱領(lǐng)），明確了信息安全保障工作的總體要求、工作原則和重點工作內(nèi)容 ? 圍繞信息安全保障體系，廣度結(jié)合深度，制定、發(fā)布并落實了一些典型的信息安全政策（風(fēng)險評估、等級保護、電子政務(wù)類、應(yīng)急預(yù)案等） ? 其他領(lǐng)域：災(zāi)難備份、管理體系、監(jiān)控、應(yīng)急、信任體系、產(chǎn)品和服務(wù)認(rèn)證、人員培訓(xùn)和認(rèn)證等 ?后續(xù)展望 ? “十一五”期間發(fā)布的各項政策均將進(jìn)入落實 期 ? 由電子政務(wù)領(lǐng)域向其他 領(lǐng)域拓 展 ? 盡快形成 “ 統(tǒng)一的 ” 信息安全服務(wù)資質(zhì)管理體制 ? 基于信息安全服務(wù)類的標(biāo)準(zhǔn)（政策帶動標(biāo)準(zhǔn)，標(biāo)準(zhǔn)支撐政策） ? 統(tǒng)一安全服務(wù)行業(yè)的企業(yè)資質(zhì)和人員資 質(zhì) ? 由 “ 狹義信息安全 ” 向 “ 廣義信息安全 ” 延伸 ?IT服務(wù)（外包）的 信息 安全保障 ?新技術(shù)、 新應(yīng)用下的信息安全保障 52 知識域：信息安全政策 ?知識 子域：信息安全相關(guān)國家政策 ? 了解 信息安全相關(guān)國家政策 ? 理解 風(fēng)險評估、保密管理、應(yīng)急處理、安全檢查和工控安全等涉及信息安全的相關(guān)內(nèi)容 ? 理解 信息安全等級保護政策體系 ，了解信息 安全等級保護相關(guān)政策 53 信息安全相關(guān)的政策 ?風(fēng)險評估相關(guān) 政策 ?保密管理相關(guān) 政策 ?應(yīng)急處理相關(guān) 政策 ?安全檢查相關(guān) 政策 ?工控安全相關(guān) 政策 ?等級保護相關(guān) 政策 ?加強信息安全保障相關(guān) 政策 ?物聯(lián)網(wǎng)安全相關(guān)政策 54 關(guān)于開展信息安全風(fēng)險評估工作 的意見 （ 國信 辦 [2023]5號） ?信息安全風(fēng)險評估 （基于風(fēng)險管理） ? 系統(tǒng)分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性 ? 評估安全事件一旦發(fā)生可能造成的危害程度 ? 提出有針對性的抵御威脅的防護對策和整改措施 ?基本工作要求 ? 應(yīng)貫穿于網(wǎng)絡(luò)和信息系統(tǒng)建設(shè)運行的全過程（ 設(shè)計、驗收、運維 ） ? 信息 安全風(fēng)險評估分自評估、檢查評估兩形式 ,應(yīng)以自評估為主，自評估和檢查評估相互結(jié)合、互為補充 ?相關(guān)保障 ? 參照標(biāo)準(zhǔn) :《 信息安全風(fēng)險評估規(guī)范 》 （ GB/T 209842023） 、 《 信息安全風(fēng)險管理指南 》 （ GB/Z 243642023） ? 服務(wù)資質(zhì)（ 對于涉及國計民生的基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)的風(fēng)險評估技術(shù)服務(wù)，要由國家?？氐年犖閬沓袚?dān) ） 55 風(fēng)險評估相關(guān)政策 《 關(guān)于 加強國家電子政務(wù)工程建設(shè)項目信息安全 風(fēng)險評估工作 的通知 》 （ 發(fā)改高技 [2023]2071號） ?依據(jù)和目的 ? 《 國家電子政務(wù)工程建設(shè)項目管理暫行辦法 》 國 家發(fā)改委令 [2023]第 55號 ? 目的 是為了貫徹 落實中 辦發(fā) [2023]27號 文 ， 加強基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全保障，加強和規(guī)范國家電子政務(wù)工程建設(shè)項目信息安全風(fēng)險評估工作 ?風(fēng)險評估的主要內(nèi)容 ? 分析信息系統(tǒng)資產(chǎn)的重要程度，評估信息系統(tǒng)面臨的安全威脅、存在的脆弱性、已有的安全措施和殘余風(fēng)險的影響等 ?兩類信息系統(tǒng)的工作開展 ? 涉密信息系統(tǒng)參照“分級保護” ? 非涉密信息系統(tǒng)參照“等級保護” ? 相關(guān) 要點 ? 要求將“信息安全風(fēng)險評估”作為電子政務(wù)項目驗收的重要 內(nèi)容 ? 對信息安全風(fēng)險評估機構(gòu)的指定（ 1家 +3家） ? 投入運行后，應(yīng)定期開展信息安全風(fēng)險評估 56 風(fēng)險評估相關(guān)政策 關(guān)于加強政府信息系統(tǒng)安全和保密管理工作的通知（ 國 辦發(fā) [2023]17號） ?加強組織領(lǐng)導(dǎo)，明確安全責(zé)任 ? 把 信息安全和保密工作列入重要議事日程，明確主管領(lǐng)導(dǎo) ? 誰主管誰負(fù)責(zé)、誰運行誰負(fù)責(zé)、誰使用誰負(fù)責(zé) ?強化教育培訓(xùn)，提高安全意識和防護技能 ? 組織信息安全和保密基本技能 培訓(xùn) ? 深入 學(xué)習(xí)宣傳信息安全“五禁止”規(guī)定 ?建立健全安全管理制度，完善安全措施和手段 ? 管理制度 +技術(shù)手段 ?做好信息安全檢查工作，依法追究責(zé)任 ? 詳見 《 政府信息系統(tǒng)安全檢查辦法 》 57 保密管理相關(guān)政策 關(guān)于印發(fā)國家網(wǎng)絡(luò)與信息安全事件應(yīng)急預(yù)案的通知（ 國 辦函 [2023]168號） ?背景 ? 2023年：國務(wù)院成立應(yīng)急辦，頒布了 《 國家突發(fā)公共衛(wèi)生事件應(yīng)急條例 》 ? 2023年： 《 國家突發(fā)公共事件總體應(yīng)急預(yù)案 》 （ 4大類公共事件） 《 國家網(wǎng)絡(luò)與信息安全事件應(yīng)急預(yù)案 》 ? 2023年：制定發(fā)布 《 國家突發(fā)事件應(yīng)對法 》 ? 2023年，國務(wù)院辦公廳 發(fā)布 本 通知 （國辦函 [2023]168號） ?預(yù)案要點 ? 網(wǎng)絡(luò)與信息安全事件的分類分級 ? 參照標(biāo)準(zhǔn)： 《 信息安全事件分類分級指南 》 （ GB/Z 20986） ? 應(yīng)急流程 階段 ：預(yù)防預(yù)警 — 應(yīng)急處置 — 后期處置 ? 參照標(biāo)準(zhǔn)： 《 信息安全事件管理指南 》 （ GB/Z 20985） ? 組織體系和應(yīng)急保障 ? 應(yīng)急隊伍、經(jīng)費、物資、通信、科技。 ?監(jiān)督管理 ? 宣傳教育、培訓(xùn)、演練、 責(zé)任與獎懲 58 應(yīng)急處理相關(guān)政策 關(guān)于印發(fā)政府信息系統(tǒng)安全檢查辦法的通知（ 國 辦發(fā) [2023]28號） ?概述 ? 依據(jù) 《 關(guān)于加強政府信息系統(tǒng)安全和保密管理工作的通知 》 （國辦發(fā) [2023]17號） ?檢查范圍 ? 各級政府及其部門對自行運行和維護管理以及委托其他機構(gòu)進(jìn)行和維護管理的辦公系統(tǒng)、業(yè)務(wù)系統(tǒng)、網(wǎng)站系統(tǒng)等，每半年要進(jìn)行一次全面的安全檢查。 ?檢查重點 ? 國務(wù)院各部門和地方政府的辦公系統(tǒng)、重要業(yè)務(wù)系統(tǒng)、門戶網(wǎng)站以及重要新聞網(wǎng)站，要作為檢查重點。 ?檢查方式 ? 各單位自查 + 統(tǒng)一組織抽查 + 安全檢測（按需） ? 工信部負(fù)責(zé)協(xié)調(diào)、指導(dǎo)、監(jiān)督，公安 /安全 /保密 /密碼等部門按職責(zé)分工 ? 《 2023年度政府信息系統(tǒng)安全檢查指南 》 （工信部協(xié) [2023]168號） ? 《 2023年度政府信息系統(tǒng)安全檢查指南 》 （工信部協(xié) [2023]143號） ? 《 2023年度政府信息系統(tǒng)安全檢查指南》（工信部協(xié) [2023]214號） 59 安全檢查相關(guān)政策 關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知（工信部協(xié) [2023]451號） ?基本情況 ? 工信部協(xié) [2023]451號 ， 2023年 9月 29日 發(fā)布 ? 強調(diào) 了工業(yè)控制系統(tǒng)信息安全的重要性 ? 工業(yè)控制系統(tǒng)信息安全事關(guān)工業(yè)生產(chǎn)運行、國家經(jīng)濟安全和人民生命財產(chǎn)安全 ?四 個方面要求 ? 充分認(rèn)識加強工業(yè)控制系統(tǒng)信息安全管理的重要性和緊迫性 ? 明確重點領(lǐng)域工業(yè)控制系統(tǒng)信息安全管理要求 ? 建立工業(yè)控制系統(tǒng)安全測評檢查和漏洞發(fā)布制度 ? 進(jìn)一步加強工業(yè)控制系統(tǒng)信息安全工作的組織 領(lǐng)導(dǎo) 60 工控安全相關(guān)政策 等級保護 相關(guān)政策 ?信息安全等級保護的提出 ? 《 中華人民共和國計算機信息系統(tǒng)安全保護條例 》 （ 1994年國務(wù)院 147號令） ? 第九條 計算機信息系統(tǒng)實行安全等級保護。安全等級的劃分標(biāo)準(zhǔn)和安全等級保護的具體辦法，由公安部會同有關(guān)部門制定。 ? GB 178591999《 計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則 》 ? 定義 了 安全保護等級 的 五個 級別 61 信息安全等級保護法規(guī)政策體系 62 定 級 備 案 安 全 建 設(shè) 整 改 等 級 測 評 檢 查《 關(guān) 于 開展 全 國 重要 信 息 系統(tǒng) 安 全 等級 保 護 定級 工 作 的通 知 》（ 公 通 字【 2 0 0 7 】8 6 1 號 ）《 信 息安 全 等級 保 護備 案 實施 細(xì)則 》（ 公 信安【 2 0 0 7】 1 3 6 0號 ）《 關(guān) 于 開展 信 息 系統(tǒng) 等 級 保護 安 全 建設(shè) 整 改 工作 的 指 導(dǎo)意 見 》（ 公 信 安【 2 0 0 9 】1 4 2 9 號 ）《 關(guān) 于 加強 國 家 電子 政 務(wù) 工程 建 設(shè) 項目 信 息 安全 風(fēng) 險 評估 工 作 的通 知 》（ 發(fā) 改 高技【 2 0 0 8 】2 0 7 1 號 ）《 關(guān) 于 進(jìn)一 步 推 進(jìn)中 央 企 業(yè)信 息 安 全等 級 保 護工 作 的 通知 》 （ 公通 字【 2 0 1 0 】7 0 號 ）《 關(guān) 于 推動 信 息 安全 等 級 保護 測 評 體系 建 設(shè) 和開 展 等 級測 評 工 作的 通 知 》（ 公 信 安【 2 0 1 0 】3 0 3 號 ）關(guān) 于 印 發(fā)《 信 息 系統(tǒng) 安 全 等級 測 評 報告 模 板（ 試行 ） 》 的通 知 （ 公信 安【 2 0 0 9 】1 4 8 7 號 ）《 公 安 機關(guān) 信 息 安全 等 級 保護 檢 查 工作 規(guī) 范（ 試行 ） 》（ 公 信 安【 2 0 0 8 】7 3 6 號 ）《 關(guān) 于 開展 信 息 安全 等 級 保護 專 項 監(jiān)督 檢 查 工作 的 通知 》 （ 公信 安【 2 0 0 8 】7 3 6 號 ）關(guān) 于 印 發(fā) 《 信 息 安 全 等 級 保 護 管 理 辦 法 》 的 通 知 （ 公 通 字 【 2 0 0 7 】 4 3 號 ）《 關(guān) 于 信 息 安 全 等 級 保 護 工 作 的 實 施 意 見 》 （ 公 通 字 【 2 0 0 4 】 6 6 號 ）《 中 華 人 民 共 和 國 計 算 機 信 息 系 統(tǒng) 安 全 保 護 條 例 》（ 國 務(wù) 院 令 第 1 4 7 號 ， 1 9 9 4 ）《 國 家 信 息 化 領(lǐng) 導(dǎo) 小 組 關(guān) 于 加 強 信 息 安 全 保 障 工 作的 意 見 》 （ 中 辦 發(fā) 【 2 0 0 3 】 2 7 號 ）依據(jù)和指導(dǎo)文件 ?等級保護工作的 法律 依據(jù)和政策 依據(jù) ? 《中華人民共和國計算機信息系統(tǒng)安全保護條例》 ? 《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》 ?為 等級 保護工作 的 開展提供宏觀指導(dǎo)和 約束 ? 《關(guān)于信息安全等級保護工作的實施意見》 ? 《信息安全等級保護管理辦法》 63 關(guān)于信息安全等級保護工作的 實施意見 （ 公字通 [2023]66號） ?信息和信息系統(tǒng)的安全保護等級（ 及其適用范圍 ） ? 第一級為自主保護級 ? 第二級為指導(dǎo)保護級 ? 第三級為監(jiān)督保護級 ? 第四級為強制保護級 ? 第五級為?？乇Ｗo級 ?定級依據(jù) ? 根據(jù)信息和信息系統(tǒng)在國家安全、經(jīng)濟建設(shè)、社會生活中的重要程度 ? 遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度 ?實施要求 ? 完善標(biāo)準(zhǔn) ,分類指導(dǎo)（管理規(guī)范和技術(shù)標(biāo)準(zhǔn)） ? 科學(xué)定級 ,嚴(yán)格備案（專家評審 委員會） ? 建設(shè)整改 ,落實措施（ 信息系統(tǒng)：已有、 新建、改建、擴建） ? 自查自糾 ,落實要求（運營、 使用單位及其主管部門） ? 建立制度 ,加強管理（運營、 使用單位及其主管部門） ? 監(jiān)督檢查 ,完善保護（公安機關(guān) 重點對 第三、第四級 系統(tǒng) 監(jiān)督檢查 ） 64 關(guān)于印發(fā) 信息安全等級保護管理辦法 的通知（ 公字通 [2023]43號） ?《通知》是政策，《管理辦法》屬于 部門規(guī)章 ? 聯(lián)合發(fā)文：公安部、保密局、密碼管理局、原國信辦 ? 國家信息安全等級保護堅持“自主定級、自主保護”的原則 ? 信息系統(tǒng)的安全保護等級分為五級 ?實施與管理 ? 具體實施等級保護工作 參照標(biāo)準(zhǔn)： 《 信息系統(tǒng)安全等級保護實施指南 》 ? 確定安全保護等級 參照標(biāo)準(zhǔn)： 《 信息 系統(tǒng)安全等級保護定級指南 》 ? 系統(tǒng)建設(shè) 參照標(biāo)準(zhǔn)： 《 信息 系統(tǒng)安全等級保護 基本要求 》 等 ? 等級測評 參照標(biāo)準(zhǔn)： 《 信息 系統(tǒng)安全等級保護 測評要求 》 ? 二級以上系統(tǒng)的備案要求（由公安機關(guān)頒發(fā) 備案證明 ） ? 三級以上系統(tǒng)的定期自查、測評和檢查要求 ? 三級以上系統(tǒng)的信息安全產(chǎn)品選擇使用要求 ? 三級以上系統(tǒng) 等級保護測評機構(gòu) 的選擇要求 ?涉密信息系統(tǒng) 按 分級保護管理 ?對信息安全等級保護的密碼實行分類分級管理 65 關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的 通知 （ 公信安 [2023]861號） ?背景 ? 根據(jù)國家網(wǎng)絡(luò)與信息 安全協(xié)調(diào)小組 2023年 的工作部署 , 公安部、國家保密局、國家密碼管理局、國務(wù) 院信息化工作辦公室定于 2023年 7月至 10月 在全國范圍內(nèi)組織開 展重要信息系統(tǒng) 安全等級保護定級工作 ?定級范圍 ? 電信、廣電行業(yè)的公用通信網(wǎng)、 廣播電視傳輸網(wǎng)等基礎(chǔ)信息網(wǎng)絡(luò) ,經(jīng)營性公眾互聯(lián)網(wǎng)信息服務(wù)單位、 互聯(lián)網(wǎng)接入服務(wù)單位 、數(shù)據(jù)中心等單位 的重要信息系統(tǒng)