机关网络信息安全管理规范.docxVIP

机关网络信息安全管理规范

一、总则

（一）目的

为落实《中华人民共和国网络安全法》《中华人民共和国数据安全法》《关键信息基础设施安全保护条例》等法律法规要求，强化本机关网络与信息系统安全防护能力，防范网络攻击、数据泄露、系统中断等安全事件，保障机关政务业务连续稳定运行，保护国家秘密、工作秘密、敏感个人信息安全，特制定本规范。

（二）适用范围

本规范适用于本机关所有接入内部政务网络、互联网的信息系统、网络设备、终端设备、存储介质，以及全体机关工作人员、外包服务人员、第三方合作单位驻场人员的所有网络信息活动。涵盖网络边界防护、终端安全管理、数据安全保护、账号权限管理、应急处置、监督考核全流程管理。

（三）基本原则

1.谁主管谁负责、谁运营谁负责、谁使用谁负责：机关主要负责人为网络信息安全第一责任人，各业务处室负责人为本处室网络信息安全直接责任人，终端使用人员为本人使用设备和信息的安全责任人，层层压实安全责任。

2.分级分类防护：根据信息系统重要程度、数据敏感等级，分为核心重要（涉及国家秘密、关键政务业务）、重要（涉及工作秘密、敏感个人信息）、一般（公开政务信息）三个防护等级，匹配差异化防护策略：核心重要系统按照等保2.0三级及以上标准防护，重要系统按照等保2.0二级标准防护，一般系统按照等保2.0一级标准防护。

3.纵深防御、动态防护：构建“边界-网络-终端-应用-数据”五层纵深