市委、市政府各部、委、办、局,各区县信息化工作主管部门,各有关单位:

　　根据《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《北京市政务与公共服务信息化工程建设管理办法》(市政府第67号令)、《北京市信息化工作领导小组关于加强信息安全保障工作的实施意见》(京办发[2004]3号)以及其他有关法律、法规的规定,结合本市实际情况,现就本市党政机关开展网络与信息系统安全等级保护工作的有关要求通知如下:

　　一、充分认识开展安全等级保护工作的重要意义

　　为进一步提高信息安全保障能力和防护水平,维护国家安全、社会稳定,保障和促进信息化建设的健康发展,国务院在全面分析全国信息安全保障工作形势的基础上,针对存在问题,明确指示要抓紧建立信息安全等级保护制度,制定信息安全等级保护管理办法和技术指南,突出重点,切实保护好基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统。国务院的指示对于加强信息安全保障工作十分重要,我市要认真贯彻执行。

　　开展安全等级保护工作就是依据网络与信息系统的重要程度和面临的安全风险等因素,综合平衡安全成本和风险,划分系统的安全等级,优化资源配置,进行建设和管理。

　　开展安全等级保护工作是关系到信息化建设全局的重要举措,是做好信息安全保障工作基本思路,是网络与信息系统基础设施建设的重要内容,是一个非静止、非僵化的系统工程。切实做好安全等级保护工作,建立安全等级保护制度,能够使我市的网络与信息系统防护水平从“独立运行、自主保护”的状况尽快过渡到“统一管理平台、统一安全标准”的阶段;能够有效地提高网络与信息系统安全建设的整体水平,增强使用效益;能够使信息安全与信息化建设协调发展,减少建设成本;重点保障基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全;能够明确国家、法人和其他组织、公民的信息安全责任;能够有力推动信息安全产业发展,探索一套适应社会主义市场经济发展的信息安全发展模式。同时,开展安全等级保护工作也是加速首都现代化建设和成功举办2008年奥运会的迫切需要。

　　二、加强对安全等级保护工作的指导和管理

　　在北京市网络与信息安全协调小组的统一领导下,市信息办会同有关部门负责本市党政机关网络与信息系统安全等级保护的统筹规划、综合协调和监督检查,并对重要网络与信息系统的安全等级保护定期进行检查指导,并定期通报。

　　各区县信息化主管部门会同有关部门负责本区县党政机关网络与信息系统安全等级保护的统筹规划、综合协调和监督检查。

　　本市各级党政机关负责本单位网络与信息系统安全等级保护的组织实施。

　　涉及到国家秘密的网络与信息系统按照国家和本市有关保密规定执行。

　　北京市信息安全测评中心负责本市各级党政机关重要网络与信息系统实行安全等级保护过程中的检查评估和验收的安全测评。

　　各单位在自定级过程中,可以委托专业信息安全服务机构协助完成,市信息办将定期公布通过信息安全服务能力评估的机构目录。

　　三、开展安全等级保护工作的实施计划

　　本市各级党政机关网络与信息系统均要开展安全等级保护工作。新建和已建成但未正式运行的网络与信息系统要按照安全等级保护制度的有关要求进行建设;已经正式运行的网络与信息系统要按计划逐步纳入安全等级保护制度;网络与信息系统结构和功能等要素发生变化,要及时重新进行风险评估、安全定级和检测评估。各单位均应根据所核定的安全等级进行使用和管理。主要职责是:落实相应的管理制度和技术保护要求,组织管理人员和技术人员进行安全教育培训;适时进行安全应急预案的演练;定期组织自评估,保持系统良好的安全状态;认真履行信息安全等级管理职责,协助主管部门做好网络与信息系统的安全等级保护检查工作。

　　安全等级保护是一项基础性、长期性的工作,各单位均要将其作为一项重要内容纳入整个信息化建设过程的始终,切实抓好落实工作。在全市党政机关建立网络与信息系统的安全等级保护制度,计划用三年时间,分为四个步骤。

　　准备阶段:2004年6月底完成。主要做好以下工作:明确主管部门、专业技术支撑单位和使用单位的职责、权利和义务,理顺关系,建立协调配合和管理的运行机制;依照国家有关法规,制定、完善安全等级保护工作的相关的配套文件;广泛开展宣传教育工作,组织培训,特别是对监管队伍和专业技术支撑单位人员的培训,在思想认识、政策理论、管理和技术等方面作好充足准备。

　　试行阶段:2005年底前完成。在前期准备的基础上,全面展开建立安全等级保护制度的工作。工作内容包括:自定级、备案、建设整改、检查评估。其中,2004年9月底前,各单位要完成自身网络与信息系统的自定级工作;2004年10月底前,各单位要完成3级以上的网络与信息系统向市信息办备案工作;2005年6月底前,各单位要完成对正在运行的3级以上的网络与信息系统的整改工作;2005年12月底前,完成对本市部分重要网络与信息系统的检查评估工作。

　　完善阶段:2006年12月底前完成。其中,2006年6月底前完成本市党政机关开展安全等级保护的总结工作、相关配套文件的修订工作和信息安全测评基础设施能力建设工作;2006年12月底前,完成本市重要网络与信息系统的检查评估工作。

　　正常阶段:2007年开始,全市各级党政机关全面推行网络与信息系统安全等级保护制度,转入经常性工作。各单位每年应对其自身的网络与信息系统进行一次自评估;市信息办每两年对本市各级党政机关重要网络与信息系统进行一次检查评估。

　　各单位要认真执行安全等级保护的有关规定,认真落实安全等级保护制度,自觉接受主管部门的检查指导,切实做好信息安全保障工作。

　　四、坚决落实安全等级保护工作的各项措施

　　各单位要认真贯彻执行国家和本市关于信息化建设和信息安全保障工作的一系列指示、要求和规定,切实保证信息安全等级保护工作的顺利开展。

　　(一)各单位在立项前对其网络与信息系统进行风险评估,依据《北京市党政机关网络与信息系统安全定级指南》(见附件)自行确定安全等级。3级以上网络与信息系统应填写《北京市党政机关网络与信息信息安全定级备案(审查)表》,报市信息化主管部门审查。未经审查的,依据北京市人民政府第67号令《北京市政务与公共服务信息化工程建设管理办法》第八条规定,主管部门不予批准立项,财政部门不予拨款。

　　(二)在信息化项目预算时,各单位要按照等级保护的要求将安全等级保护的各项费用(风险评估、方案设计、工程实施、测评验收、工程监理等)列入项目预算;在网络与信息系统运行后,也要按照安全等级保护的要求将相关费用列入系统运行维护费。

　　(三)各单位的重要网络与信息系统在正式投入运行前应依据北京市人民政府第67号令《北京市政务与公共服务信息化工程建设管理办法》第十三条规定,经过安全测评认证,未经测评认证的,不得投入运行。

　　(四)北京信息安全测评中心在测评过程中必须坚持客观公正、实事求是的原则,出具真实的测评报告,市信息办对安全等级保护测评活动进行监督管理,对违反上述原则,出具虚假报告等行为的将追究有关领导和责任人的责任;情节严重构成犯罪的,由有关部门追究其法律责任。

　　(五)专业信息安全服务机构为本市各级党政机关提供信息安全服务应符合国家和本市的有关规定,北京信息安全测评中心应定期了解为本市各级党政机关提供信息安全服务机构的有关情况、征求用户意见,对有问题的单位提出建议和警告,问题严重的应取消其信息安全服务能力等级证书并予以公布。

　　(六)市信息办加强对安全等级保护工作的指导和监督检查。对违反有关规定的,要及时进行纠正;情节严重并造成重大损失的,由其上级主管部门依照有关规定追究单位负责人和有关人员的行政责任。构成犯罪的,由有关部门追究其法律责任。

　　五、切实加强对安全等级保护工作的组织领导

　　信息安全等级保护工作,是一项综合性、专业性和政策性很强的工作,对信息安全保障工作具有至关重要的影响,事关国家安全、社会稳定和经济建设的大局,各级领导务必高度重视,切实加强领导,保证这项工作的顺利进行。在这项工作中,要始终贯彻实事求是、突出重点的方针,坚持技术和管理并重及“谁主管谁负责,谁运营谁负责”的原则,处理好发展与安全的关系。各级领导要把这项工作列入信息化建设的重要议事日程,认真领会国家有关指示精神和要求,把这项工作部署好、安排好。要适时掌握这项工作的进展情况,保证这项工作的人员和经费,及时解决存在的问题。责成主管部门集中精力抓好这项工作,加强指导、监督和检查,确保这项工作有序开展和顺利进行。

　　二○○四年五月十八日