關于上海市公共信息系統(tǒng)安全測評管理辦法

《上海市公共信息系統(tǒng)安全測評管理辦法》已經(jīng)2006年4月17日市政府第104次常務會議通過，現(xiàn)予公布，自2006年7月1日起施行。

市長韓正

二○○六年五月七日

上海市公共信息系統(tǒng)安全測評管理辦法

(2006年5月7日上海市人民政府令第58號公布)

第一條 (立法目的)

為了規(guī)范本市公共信息系統(tǒng)安全測評活動，保障公共信息系統(tǒng)正常運行，制定本辦法。

第二條 (定義)

本辦法所稱的公共信息系統(tǒng)安全測評，是指依據(jù)有關信息安全標準、規(guī)范，對本市承擔公共管理職能的機構(gòu)(以下簡稱公共管理機構(gòu))以及提供社會公共服務的單位(以下簡稱公共服務單位)的計算機信息系統(tǒng)，進行安全保障性能測試、評估的活動。

第三條 (適用范圍)

本市行政區(qū)域內(nèi)的公共信息系統(tǒng)安全測評及其管理活動，適用本辦法。法律、法規(guī)另有規(guī)定的，從其規(guī)定。

第四條 (管理部門)

上海市信息化委員會(以下簡稱市信息委)負責本市公共信息系統(tǒng)安全測評的組織協(xié)調(diào)和監(jiān)督管理工作。

第五條 (責任制度)

公共管理機構(gòu)、公共服務單位的負責人應當承擔開展公共信息系統(tǒng)安全測評的管理責任。各有關主管部門應當督促所屬的公共管理機構(gòu)、公共服務單位開展公共信息系統(tǒng)安全測評。

第六條 (測評年度計劃)

市信息委應當會同各有關主管部門，制定公共信息系統(tǒng)安全測評年度計劃，組織公共管理機構(gòu)、公共服務單位實施，并進行指導、監(jiān)督。

第七條 (新建系統(tǒng)的測評)

新建公共信息系統(tǒng)的，公共管理機構(gòu)、公共服務單位應當在系統(tǒng)建設前將安全設計方案報送市信息委審查;市信息委應當在15日內(nèi)提出審查意見。新建的公共信息系統(tǒng)試運行結(jié)束后30日內(nèi)，應當進行安全測評。

第八條 (測評機構(gòu))

公共信息系統(tǒng)安全測評，應當由國家有關部門認可的信息安全測評機構(gòu)(以下簡稱測評機構(gòu))實施。公共管理機構(gòu)的公共信息系統(tǒng)，由市信息委指定的測評機構(gòu)統(tǒng)一實施安全測評;公共服務單位的公共信息系統(tǒng)，由該單位委托的測評機構(gòu)實施安全測評。

第九條 (測評協(xié)議)

公共管理機構(gòu)、公共服務單位應當與測評機構(gòu)簽訂公共信息系統(tǒng)安全測評協(xié)議，明確測評的范圍、內(nèi)容、方案、期限、費用和違約責任等事項。公共信息系統(tǒng)安全測評協(xié)議的示范文本，由市信息委制定。

第十條 (測評要求)

測評機構(gòu)應當依據(jù)國家和本市信息技術、信息系統(tǒng)安全的標準、規(guī)范，實施公共信息系統(tǒng)安全測評，保證測評活動的客觀、公正。

第十一條 (安全事項告知與協(xié)助義務)

安全測評的實施過程可能影響公共信息系統(tǒng)正常運行的，測評機構(gòu)應當事先告知公共管理機構(gòu)、公共服務單位，并協(xié)助其采取相應的預防措施。

第十二條 (測評報告)

測評機構(gòu)實施公共信息系統(tǒng)安全測評后，應當出具包括以下內(nèi)容的測評報告：

(一)測評范圍、內(nèi)容;

(二)測評所依據(jù)的相關標準、規(guī)范;

(三)系統(tǒng)安全的評估結(jié)論、整改建議。測評報告應當由測評機構(gòu)負責人簽署。

第十三條 (安全整改)

公共管理機構(gòu)、公共服務單位應當根據(jù)測評報告的整改建議，對公共信息系統(tǒng)采取安全整改措施;測評機構(gòu)應當給予協(xié)助和指導。公共管理機構(gòu)完成安全整改后15日內(nèi)，應當將整改情況報送市信息委備案;公共服務單位完成安全整改后15日內(nèi)，應當將整改情況報送其主管部門備案。

第十四條 (測評實施情況的報告)

測評機構(gòu)應當每季度將實施公共信息系統(tǒng)安全測評的匯總情況向市信息委報告;發(fā)現(xiàn)公共信息系統(tǒng)存在重大安全問題時，應當立即向市信息委報告。

第十五條 (動態(tài)復測)

公共信息系統(tǒng)安全測評后，應當每兩年進行一次復測;系統(tǒng)的網(wǎng)絡結(jié)構(gòu)、信息處理流程等發(fā)生重大變更的，應當及時進行復測。公共信息系統(tǒng)的復測應當包括以下內(nèi)容：

(一)系統(tǒng)前次測評時發(fā)現(xiàn)的主要問題;

(二)核心網(wǎng)絡設備、服務器、安全防護設施、應用軟件等系統(tǒng)關鍵部分發(fā)生變更，可能出現(xiàn)的安全隱患;

(三)新的信息技術可能對系統(tǒng)安全造成的影響。

第十六條 (測評機構(gòu)的保密義務)

測評機構(gòu)對公共信息系統(tǒng)安全測評過程中取得的技術數(shù)據(jù)、業(yè)務資料等信息負有保密義務，不得以任何方式將相關信息提供給第三方。

第十七條 (測評機構(gòu)的行為禁止)