国有企业信息系统等保测评管理办法.docxVIP

国有企业信息系统等保测评管理办法

一、第一章总则

等保测评是落实网络安全等级保护制度的核心法定环节，直接关系国有企业关键信息基础设施、业务数据与经营秩序安全，所有流程必须严格对标法定要求、杜绝形式主义。

1.制定依据

本办法依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国密码法》《网络安全等级保护条例》《信息安全技术网络安全等级保护测评要求》（GB/T28448）、《信息安全技术网络安全等级保护定级指南》（GB/T22240）及国资监管部门相关要求制定。

2.适用范围

本办法适用于集团本部及各全资、控股子公司（以下简称各单位）所有正式上线运行的信息系统，包括但不限于官方网站、业务运营系统、生产控制系统、云平台、移动应用、小程序、数据中台、办公协同系统。涉密信息系统测评按照国家保密管理相关规定执行，不适用本办法。

3.等级划分原则

■二级系统：面向内部员工服务、一旦遭到破坏会对局部业务造成轻微影响、涉及一般个人信息的系统，每2年至少开展1次测评；

■三级系统：面向公众提供服务、承载核心生产运营流程、存储敏感个人信息/重要数据规模超过10万条、一旦遭到破坏会造成大范围业务中断或较大社会影响的系统，每年至少开展1次测评；

■四级系统：属于关键信息基础设施核心组成部分、承载能源/交通/金融等核心调度功能、存储核心数据、一旦遭到破坏会造成重大