上海市關于印發(fā)《上海市信息系統(tǒng)安全測評管理辦法》的通知

市政府各委、辦、局信息化工作機構，各區(qū)、縣信息委(辦)，各有關單位：

現將《上海市信息系統(tǒng)安全測評管理辦法》印發(fā)給你們，請遵照執(zhí)行。

上海市信息化辦公室

二00三年一月二十二日

上海市信息系統(tǒng)安全測評管理辦法

第一條 (制定目的)

為了規(guī)范本市信息系統(tǒng)安全測評活動，加強本市信息安全監(jiān)督管理，保障信息系統(tǒng)正常運行，結合本市實際，制定本辦法。

第二條 (定義)

本辦法所稱的信息系統(tǒng)安全測評，是指依據國家和本市有關信息技術標準，對信息系統(tǒng)的完整性、保密性、可靠性等安全保障性能進行科學、公正的綜合評估的活動。

第三條 (適用范圍)

本市行政區(qū)域內使用財政性資金建設的信息系統(tǒng)和關系到國計民生的社會公共信息系統(tǒng)的安全測評及其管理活動，適用本辦法。

第四條 (管理部門)

上海市國民經濟和社會信息化領導小組負責統(tǒng)一部署全市信息安全工作。

上海市信息化辦公室(以下簡稱市信息辦)負責本市信息系統(tǒng)安全測評的統(tǒng)籌規(guī)劃和監(jiān)督管理。

其它相關職能部門按照國家和本市有關規(guī)定，在各自職責范圍內協(xié)同做好信息系統(tǒng)安全測評的管理工作。

第五條 (測評中心)

上海市信息安全測評認證中心(以下簡稱測評中心)作為本市專門從事信息安全測評認證的機構，受上海市國民經濟和社會信息化領導小組委托，具體負責組織實施本市信息系統(tǒng)安全測評工作。

第六條 (測評原則)

信息系統(tǒng)安全測評活動應當遵循科學規(guī)范、公正公平、誠實信用的原則。

第七條 (測評標準)

信息系統(tǒng)安全測評活動應當按照《GB/T18336信息技術、安全技術、信息技術安全性評估準則》、GB17859《計算機信息系統(tǒng)安全保護等級劃分準則》和DB31/T272《計算機信息系統(tǒng)安全測評通用技術規(guī)范》等有關標準進行。

第八條 (測評申請)

新建信息系統(tǒng)承建單位應當在建設前將信息系統(tǒng)應用需求及安全設計方案提交測評中心評審。測評中心應當在收到信息系統(tǒng)應用需求及安全設計方案后的5個工作日內完成評審，并出具評審報告。

系統(tǒng)建設完成后，承建單位應當向測評中心提出安全測評申請。

第九條 (提交資料)

申請安全測評的單位應當向測評中心提交下列資料：

(一)上海市信息系統(tǒng)安全測評申請書;

(二)信息系統(tǒng)應用需求及安全設計方案。

第十條 (測評期限)

測評中心應當在收齊全部資料后的15個工作日內完成信息系統(tǒng)安全測評工作，并出具信息系統(tǒng)安全測評報告。

對通過安全測評的信息系統(tǒng)，測評中心應當發(fā)放信息系統(tǒng)安全審定證書。

對未通過安全測評的信息系統(tǒng)，申請單位應當根據安全測評報告的建議，完善信息系統(tǒng)安全建設，并重新提出測評申請。

第十一條 (證書有效期)

信息系統(tǒng)安全審定證書有效期為兩年，有效期屆滿后應當對信息系統(tǒng)進行復測。

第十二條 (限制行為)

新建信息系統(tǒng)安全設計方案未經評審或者未通過評審的，不得進行建設。

信息系統(tǒng)未經安全測評或者未通過安全測評的，不得投入使用。

第十三條 (動態(tài)監(jiān)管)

測評中心應當采取定期檢查和不定期抽查相結合的方式，對已經通過安全測評的信息系統(tǒng)實行動態(tài)監(jiān)管。

第十四條 (測評中心質量管理)

測評中心應當按照GB/T15481《檢測和校準實驗室能力的通用要求》進行建設和管理。

第十五條 (測評中心內部管理)

測評中心應當建立嚴格的內部業(yè)務和人員管理制度。

測評中心應當實行崗位責任制，配備熟悉測評程序及方法的工作人員，并實施有效的監(jiān)督管理。測評中心應當與從事安全測評的工作人員簽訂保密協(xié)議。

測評中心應當健全培訓制度，建立一支穩(wěn)定的、能滿足安全測評持續(xù)發(fā)展要求的安全測評隊伍。

第十六條 (禁止行為)

測評中心不得從事系統(tǒng)集成和信息安全產品開發(fā)等影響測評公正的業(yè)務。

測評中心不得對外披露受測信息系統(tǒng)的技術數據和業(yè)務資料。

未得到受測單位的書面允許，測評中心及其工作人員不得以任何方式將測評和認證的信息提供給第三方。

第十七條 (泄密處理)

測評中心及其工作人員違反有關規(guī)定，泄露受測單位信息系統(tǒng)秘密的，由其上級主管部門或者所在單位視情節(jié)和后果，予以行政處分;構成犯罪的，依法追究其法律責任。

第十八條 (真實性要求)

受測單位應當對其所提交信息系統(tǒng)資料的真實性負責。

測評中心應當對其出具的信息系統(tǒng)安全設計方案評審報告、安全測評報告的真實性負責。

如果想了解相關法規(guī)解析和案例可關注佰佰安全網的安全說法頻道。讓你的生活更安心。