您的位置: 首页 » 法律资料网 » 法律法规 »

旅游行业对客人服务的基本标准(试行)

时间:2024-05-19 05:00:11 来源: 法律资料网 作者:法律资料网 阅读:9226
下载地址: 点击此处下载

旅游行业对客人服务的基本标准(试行)

国家旅游局


旅游行业对客人服务的基本标准(试行)
(1991年5月29日 国家旅游局发布)

前言
为了提高旅游服务质量,保护旅游者的合法权益,满足旅游者的合理要求,贯彻“宾客至上,质量第一”的宗旨,特制定本“标准”。旅游行业对客人服务的基本标准包括旅行社对客人服务的基本标准;旅游涉外饭店对客人服务的基本标准;旅游涉外汽车对客人服务的基本标准;旅游涉外餐馆对客人服务的基本标准;参观游览点对客人服务的基本标准。

一、旅行社对客人服务的基本标准
(一)旅行社与海外客户签订的合同应遵守国家旅游局统一规定的合同范本内容,注明所提供的价格等级,服务标准、服务项目、双方责权义务以及当地投诉电话和地址。
(二)旅行社应按合同所确认的日程、等级标准及包价内容提供相应的服务。除人力不可抗拒的因素外,如旅行社方面未能向旅游团(者)提供符合合同规定标准的服务,应为旅行团(者)提供补偿服务或将低于规定标准的服务费差额退还对方。
(三)旅行社应根据团队客人的国籍、身份、职业、年龄、健康状况等特点和确认的日程合理安排活动,要尊重旅游者的生活习惯及风俗。对不同国别、肤色、职业、性别、年龄的旅游者均要一视同仁,热情相待。
(四)除人力不可抗拒的因素外,属于旅行社工作疏漏,致使旅游团(者)减少服务项目或延误旅游时间,旅行社应退还未提供服务项目的费用,并给予一定的赔偿。
(五)旅行社应按照合同中所确定的标准为旅游团(者)预订饭店,并提前通知外方。如因特殊情况需变更已预定的饭店,在征得游客同意后,可调换同星级或高于原订星级的饭店,不另加收费用。如调换的饭店低于原承诺的饭店星级,需向旅游者说明并将差价部分退还给旅游者。旅行社不得将旅行团(者)安排到非定点饭店住宿。
(六)旅行社应将文娱活动作为固定节目安排。游览日程在三天以内的,一般不少于一次;四至七天的,一般不少于两次;八天以上的,一般不少于三次。
(七)旅行社必须安排游客在定点饭店或定点餐馆就餐。要按照规定的餐食标准订餐,不得克扣餐费,不得强行要求游客增加风味餐。
(八)旅行社要有具体的防范措施以保证旅游者人身财产安全。必须为旅游者投保在华期间人身财产意外保险。旅途中,如发生意外事故,必须及时采取措施并同时将事发的详细经过和处理情况向上级主管部门汇报请示。
(九)要完善客人行李交接手续,保证游客行李运输安全、准确无误。行李财物损失如系旅行社方面造成的,要进行赔偿;如系饭店、交通部门造成,旅行社有责任协助联系,帮助解决。
(十)旅行社委派上团的导游人员必须通过全国导游人员资格考试,取得国家旅游局颁发的《导游员证书》。
(十一)导游员应提前做好一切接待准备工作。上团时要衣着整洁、举止大方、佩带胸卡、携带导游证。服务要热情、周到,工作认真负责,积极主动。导游要语言准确、流利,内容要健康、丰富、生动。接待十人以上旅游团要使用引导标志和话筒,如需接站,导游员应提早与机场车站、码头取得联系,以免发生因抵达时间变更而漏接迟接。
(十二)旅行团(者)购物要纳入旅游活动日程。导游员要严格按日程节目安排,引导客人到定点旅游商店购物。
(十三)旅行社全体人员要认真学习涉外人员守则,严守国家机密,遵纪守法,不索要小费,不私收回扣,不套换外汇。
(十四)旅行社应对重视服务质量,有突出成绩的集体和个人给予表彰和奖励。对受到客人投诉的旅行社及个人,旅游行政管理部门按《旅游投诉暂行规定》进行处理。

二、旅游涉外饭店对客人服务的基本标准
(十五)旅游涉外饭店都必须按《中华人民共和国评定旅游涉外饭店星级的规定和标准》提供相应的星级服务。凡未定星的涉外饭店,应有定点饭店标志,符合定点饭店的标准要求。
(十六)饭店服务人员要有良好的仪表仪容,实行敬语服务,礼貌待客。服务人员要佩戴工号牌,要用标准的普通话和外语解答客人的问题,要使用“您好”、“谢谢”、“请”、“对不起”等敬语。
(十七)门卫服务要热情,礼貌,及时疏导客流。
(十八)行李员要主动、热情地为客人运送行李,注意轻拿轻放,保障客人的财物安全。
(十九)前台服务要及时、热情,办理住店登记手续要尽可能使用电脑管理手段。
(二十)电话总机服务应准确、迅速、音量要适度,态度要和蔼,及时无误地提供叫醒及留言服务。大堂副理要坚守岗位,对客人提出的合理要求,要尽力满足;对客人的投诉,应认真协助解决。
(二十一)服务人员要主动、热情,严格按照饭店规定的服务程序、服务标准提供规范化服务。对待宾客要不论国别、肤色、职业、性别一视同仁、平等对待。要严格遵守外事纪律,自觉维护法制尊严,不得索要小费和私收礼品,不套换外汇,不得做有损国格、人格的事。
(二十二)饭店各岗位应建立班前班后的交接制度。
(二十三)饭店应按星级标准提供相应的食宿、交通、商品销售、康乐活动等服务项目,保持周围环境的整洁、优美。大堂、餐厅、会议厅、康乐宫、走廊等场所均应保持整洁、卫生。公共卫生间要有明显的标志,设专人清扫,做到清洁、卫生、无异味、无污渍。
(二十四)客房布置要合理化,要尽可能给客人以方便。房间内的设备,要完好无损,保持窗户、台面无污迹,地毯无杂物,卫生间无异味,灯具明亮,为宾客创造一个清洁、舒适、安全的环境。
(二十五)餐厅要整齐、清洁、卫生,台布、餐巾、餐具、酒具要干净、完好无破损。客人进入餐厅要热情迎接,引宾入座。要按客人的餐费等级,保证餐饮的质量和标准。餐食既要体现地方特色,又要注意适合客人口味。提供的饮料和食品必须符合《中华人民共和国食品卫生法》规定,杜绝食物中毒等事故发生。
(二十六)要有完善的治安措施,保障客人的人身、财物安全。前台要有代客保管贵重物品的设施,并有完善的保管和领取手续。客房要放置安全疏散示意图,楼层和公共场所要有显示安全疏散的通道,要保持疏散通道和出口的畅通。行李在离店前,应有完善的交换手续。

三、旅游涉外汽车对客人服务的基本标准
(二十七)要牢固树立“安全第一”的思想。经常进行安全教育,建立车辆安全检查制度。每次出车前,要认真检查车辆状况,尤其是发动机、转向、刹车、信号等安全部件。严禁机件失灵的车辆执行任务。
(二十八)驾驶员的服装要整洁,注意仪容仪表,以文明的敬语,饱满的工作热情和良好的精神面貌为宾客提供优质服务。要自觉遵守交通规则,不违章行车,不酒后开车。
(二十九)车辆行驶要平稳,应选择最佳路线,减少颠簸。遇有恶劣气候,或在淌河陡坡,转弯多的路上行驶,应采取必要的安全措施,确保行车安全。不得冒险在冰面上行驶。
(三十)接送客人应提前到达指定的地点。客人游览、购物时,驾驶员不得远离车辆,不得用喇叭催促客人上车。
(三十一)要确保客人物品安全。客人下车游览、购物时,驾驶员要检查门窗是否关闭,并提醒客人随身带好贵重物品。客人活动结束后,驾驶员要及时清理车厢,发现有客人遗忘的物品要及时送还。
(三十二)执行接送行李任务的驾驶员,要与陪同办好交接手续,认真清点行李件数,不得出现任何差错。
(三十三)非工作人员不得乘坐客人车辆。参观游览时,要按照旅行社已确定日程安排和路线行驶。遇有特殊情况,需更改行程,应先征得领队和陪同人员同意,不得擅自更改路线及活动安排。不得擅自引导客人到非定点餐馆或商店用餐、购物。
(三十四)驾驶员要树立高尚的职业道德,严格遵守外事纪律,遵纪守法,不准索要小费,私收回扣、套换外汇,或提出其它非正当的要求,不得做有损国格和人格的事。
(三十五)保持良好的车容车况。做到车身整洁,无油污;玻璃明亮,无水纹,无泥斑点;窗帘要整洁;座椅、靠背要固定完好;车厢内无杂物,空气清新。要根据气温和客人要求提供适量的冷暖气。
(三十六)要严格按照国家规定的标准收费,不得自行加价。
(三十七)旅游汽车公司应根据此规定的原则,制定本公司的《车容标准》、《司机仪容仪表标准》、《司机服务标准》、《司机安全行车标准》、《司机驾驶操作标准》,逐项记录考核,并列入考评奖惩工作的内容。

四、旅游涉外餐馆对客人服务的基本标准
(三十八)旅游涉外餐馆的订餐标准应对客人公开。不得随意提高餐食毛利率。要严格按照国家旅游局旅管理字(1990)40号文件《关于加强旅游餐饮质量管理的补充规定》执行。不得降低、克扣客人的餐食标准,不得以任何形式向定餐单位和个人付给钱物。
(三十九)餐厅工作人员要注意个人的仪表仪容,佩戴工号卡。服务要主动、热情、耐心;要实行敬语服务,礼仪服务。客人入座后,服务员应迅速递上经消毒后的小毛巾(或消毒纸)和送上热茶。
(四十)对客人不论国别、肤色、职业、性别、年龄要一视同仁,平等服务。
(四十一)餐厅的主管人和服务员要主动向陪同人员及客人征求意见并及时改进工作,提高服务质量。
(四十二)餐馆应准时营业,并严格遵守规定的营业时间。客人待餐时间一般不得超过20分钟;客人在未离开餐厅以前,服务员不得打扫餐厅卫生或催促客人离开。
(四十三)餐馆周围的环境要优雅、整洁,给客人以干净、舒适的感觉。为客人备用的菜单要干净,并保证印刷质量。提供的菜肴基本要与菜单相符。餐厅除可摆放必要的装饰品外,不得摆放经营性的商品,以保持干净、整洁。应备有衣帽存放处或衣架,保证客人的财物安全。
(四十四)餐厅的台布、餐巾、餐酒具等器皿要完好无损。厨房内必须保持清洁卫生,凡盛放入口食品的容器,使用前必须经过严格清洗、消毒。
(四十五)冷荤间要备有消毒、防腐、防尘、防蝇的设备的措施,并设有专人负责。储藏食品应注意保质保鲜。
(四十六)公共卫生间要设专人打扫,做到清洁卫生,无异味。洗手池、面镜应无污迹。洗手间内要备有提供客人使用的香皂和皂液、擦手巾(纸巾)、或灵敏的干手器。
(四十七)停车场应设专人管理,车辆排放整齐,保证行驶车辆畅通。

五、参观游览点对客人服务的基本标准
(四十八)参观游览点应严格遵守国务院颁布的《风景名胜区管理暂行条例》及建设部《关于加强历史文化名城规划工作的通知》,使游览点环境优美并得到保护。
(四十九)服务人员应着装整洁,注意个人仪容仪表,要佩戴工号卡,实行敬语服务,主动热情,礼貌待客。讲解员要做到语言流畅,内容准确,解释完整。
(五十)游览点要整洁,地面无杂物、无痰迹。古建筑内要无积尘,无蛛网,无蚊蝇。
(五十一)游览点内的主要景物、文物古迹、古建筑等要有内容准确、字迹清晰的中、英文说明牌,引导标牌要摆放在适当的位置。
(五十二)游览点举办的文化娱乐活动,要内容健康、秩序良好。
(五十三)游览点出售饮料、茶水和旅游纪念品的商亭,设施要明快、干净、商品质量要保证。
(五十四)游览点门前及景区内不得随意设摊位,要统一管理,定位有序。坚决制止尾随客人,强行兜售商品的行为。
(五十五)公共卫生间要有明显的标志,要有专人负责清扫。设备要完好,无缺损,不漏水。做到无蚊蝇、无异味。地面无烟头、痰迹、便池要及时冲洗,作到干净、无垢。
(五十六)游览点要有停车场地,设专人管理,车辆排放整齐,进出停车场的车辆要限速。严格控制车辆进入游览区域。
(五十七)要建立安全管理制度,保障游客的人身、财物的安全。登山缆车、游船等交通工具要设备完好,确保安全。出入口要保持畅通无阻,设专人疏导。
(五十八)游览点内多点收费必须合理,无特殊价值的应做到“一票全包”。


南京市城镇土地使用税实施办法

江苏省南京市人民政府


南京市城镇土地使用税实施办法
 
1989年11月7日 南京市人民政府令第2号




  第一条 根据《中华人民共和国城镇土地使用税暂行条件》(以下简称《暂行条例》),特制定本实施办法。


  第二条 凡在我市行政区划以内的市区、县城、工矿区和县属镇(建制镇)范围内拥有土地使用权的单位和个人,为城镇土地使用税(以下简称土地使用税)的纳税义务人(以下简称纳税人),应依照《暂行条例》和本办法的规定缴纳土地使用税。
  凡缴纳土地使用税的单位和个人,不再缴纳土地使用费。


  第三条 纳税人不在纳税土地所在地的,由代管人或实际使用人纳税;土地使用权未确定或权属纠纷未解决的,由实际使用人纳税;土地使用权共有的,由共有各方按其实际使用的土地面积占总面积的比例,分别计缴土地使用税。


  第四条 土地使用税以土地管理部门核发的土地使用权证书确定实际占用的土地面积为计税依据;尚未取得土地使用权证书的单位和个人,应及时到所在地的土地管理部门办理申报登记,并在税务部门限定的时间内申报纳税。


  第五条 我市土地使用税每平方米年税额如下:

<font size=+1>  市区 等级 一    二    三   四   五   六   七      元 7.0  4.5 3.0 1.5 1.0 0.7 0.5   县  等级 一    二      元 0.4  0.2</font>

  (具体土地等级范围见附件“南京市城镇土地分级”)


  第六条 土地等级的变动,由市土地局会同市税务局报市政府确定。


  第七条 在我市工矿区未划定之前,涉及跨等级的企业,按主厂区所在地的等级缴纳土地使用税。


  第八条 除《暂行条例》第六条规定的免税范围外,下列土地暂缓缴纳土地使用税:
  (一)个人所有的居住房屋占地及院落;
  (二)房产管理部门在房租改革前经租的居民住房用地;
  (三)国家机关、人民团体、军队以及由国家财政部门拨付事业经费的单位职工宿舍用地;
  (四)单位和个人举办的各类学校、医院、托儿所、幼儿园以及敬老院、疗养院、福利院用地;
  (五)街道、居委会、文化站以及县、区工会举办的没有营业收入的俱乐部、活动室、图书馆、阅览室等群众文化活动场所的用地。


  第九条 民政部门举办的安置残疾人员的福利工厂、其中残疾人占全厂人数百分之五十(含百分之五十)以上的,经所在地税务机关审核,报市税务局批准,可给予免税照顾。


  第十条 除本办法第八条规定外,纳税人缴纳土地使用税确有困难需要减免的,由所在地税务机关审核后,报市税务局按有关规定办理。


  第十一条 土地使用税按年计算,分上、下半年两期(上半年五月份,下半年十一月份)缴纳,缴纳税额大的单位,可以按季缴纳。


  第十二条 纳税人应在本办法公布之日起三十日内携现有土地权属、位置、面积、等级、用途等资料,向所在地税务机关办理申报纳税手续,经审核后,再按规定的纳税期限缴纳土地使用税。
  凡经土地管理部门批准新征用的土地。应自批准之日起三十日内,到土地所在地税务机关办理申报手续。


  第十三条 纳税人使用土地发生变更的,应到土地管理部门办理变更手续,并在办妥手续次日起十五日内到土地所在地税务机关缴纳税变更手续。


  第十四条 土地管理部门应当向土地所在地税务机关提供有关资料,并将其批准的单位和个人使用土地的文件副本抄送土地所在地税务机关。


  第十五条 土地使用税的征收管理,按照《中华人民共和国税收征收管理暂行条例》规定办理。


  第十六条 本办法由南京市税务局负责解释。


  第十七条 本实施办法自一九八九年元月一日起执行。

              南京市城镇土地分级
  
  一级:指沿街道两则。
  1.新街口广场:东至中山东路南北侧75、76号;南至中山南路东西侧81、130号;北至中山路东西侧199、200号;西至汉中路2号、铁管巷口。
  2.鼓楼广场:南至黄泥岗口、联营售票处;北至高云岭口、中央路30号;中山北路至鼓楼街口、鼓楼百货商店。
  3.夫子庙:贡院西街至健康路两侧,东市场、西市场,贡院街东至永安商场、解放电影院,西至瞻园路口。
  4.大行宫至太平巷、火瓦巷口。
  5.山西路广场:东至丁家桥、南至湖北路口;东南至天天商场、军人俱乐部;西北至人和街口、儿童影剧院;西至傅佐路、山西路38号。
  二级:
  1.新街口地区:
  东至洪武北路、长白街;
  南至内秦淮河、白下路;
  西至上海路、明瓦廊、大香炉、木料市;
  北至珠江路、广州路范围内。
  2.夫子庙地区:
  东至长白街、秦淮河;
  南至长乐路;
  西至天青街、马巷、铜作坊;
  北至白下路、内秦淮河范围内。
  3.鼓楼地区:
  东至进香河路、北京东路、安仁街、高楼门、百子亭、肿瘤医院;
  南至珠江路、广州路;
  西至上海路、云南路;
  北至高云岭范围内。
  4.山西路地区:
  东至玄武门;
  南至洞庭路、高云岭、云南路、北京西路;
  西至清凉古道、水佐岗、西康路;
  北由和会街、三牌楼、将军庙、马台街、童家巷至城墙范围内。
  三级:紧接二级辐射区。
  1.东由南京火车站的新庄村经和平门、玄武门、解放门、太平门、富贵山、后半山园、前半山园、李府街、后标营、瑞金路、公园路、通济门外大街沿城墙到武定门。
  2.南至长乐路、秦淮河。
  3.西至虎踞南路、虎踞北路、南祖师庵、大桥南路。
  4.北由大桥南路经护河、金川河、长江新村,长江机器制造厂、南京汽车站、和平门煤站沿铁路至新庄村范围内。
  5.热河路地区:
  东由挹江门城墙至兴中门、姜家园路;
  南至中山北路、惠民河接姜圩路;
  西由长江边的中山码头至江边路;
  北至建宁路、朝月楼、江边路范围内。
  6.秦淮区地区:
  东至养虎路、晨光厂东围墙;
  南至宁铜铁路;
  西至西街、小市口;
  北至秦淮河范围内。
  四级:
  1.六城区行政区范围内、三级外围的零散边远地区。
  2.栖霞区:小市镇、迈皋桥镇、教陵卫镇行政区范围。
  3.雨花台区:七里镇(石门坎、双桥门、土城头、武定新村一、二、红花村居委会)、雨花镇(雨花台、西羊巷、普德村、五贵里、钱家村、安德门、小行、桥南村居委会、雨花新村街道办事处)、雨花乡(互农村、集合村、雨花村、小行村)、红花乡(红花村、九龙村、东风村)、江东乡(茶亭村、江东村、清江村、中保村、叶圩村、新街村、向阳村)行政区范围。
  五级:
  1.栖霞区:燕子矶镇、尧化镇、栖霞镇(九个居委会及栖霞村、石埠桥乡、十月乡、新合乡)、尧化乡(尧化村、尧辰村)、玄武湖乡(蒋王庙村、仙鹤村)、紫金山乡(钟灵街村、教陵卫村、小卫街村、苜蓿园村)、迈皋桥乡(万寿村、五塘村、红山村、迈皋桥村、藤子村、小营村)、燕子矶乡行政区范围。
  2.雨花台区:板桥镇(板桥、桥南、绿洲居委会、上海梅山冶金公司、古雄村、螺丝桥、二道桥、棉花堤居委会)、西善桥镇(西善桥、新河、建宁居委会、梅山铁矿区)、雨花乡(丁墙村、花神庙村)、沙洲乡(沙洲村)、红花乡(夹岗村、七桥村)、七里镇(海福巷、响水桥居委会)、江东乡(河南村、河北村)、石门坎乡(石门坎村、四方村)行政区范围。
  3.大厂区:山潘街道办事处,西厂门街道办事处、卸甲甸街道办事处行政区范围。
  4.浦口区:浦口镇、南门镇、东门镇行政区范围。  
  六级:
  1.栖霞区:龙潭镇、马群乡、玄武湖乡(岔路口村、五旗村、徐庄村)、紫金山乡(后庄村、沧坡门村、余粮村)、迈皋桥乡(兴卫村、奋斗村)、尧化乡(王子楼村、吴边村、尧胜村、乌龙村)、栖霞镇(钱家渡村、衡阳村、长林村、大山口村)仙林农场行政区范围。
  2.雨花台区:铁心桥乡(尹西村、铁心桥村)、西善桥乡(古遗井村、梅山村、西善桥村、泰山村、油坊村)、红花乡(翁家营村、广洋村、果园村)、石门坎乡(杨庄村、牌楼村、联合村、高桥村、石山村、百青定村)、沙洲乡(莲花村、中和村、双河村、青石村)行政区范围。
  3.大厂区:葛塘镇(葛塘街居委会)、长芦镇(水家湾居委会)行政区范围。
  4.浦口区:三河乡行政区范围。
  七级:
  1.栖霞区:摄山乡、八卦洲乡、花园乡、营防乡、长江乡行政区范围。
  2.雨花台区:江心洲乡、双闸乡、铁心桥乡(定坊村、高家库村、中路五村、马家店村、新河村)、西善桥乡(吴村、四圩村)、板桥镇(落星村、陈叶村、柿子树村、大方村、石闸村)行政区范围。
  3.大厂区:葛塘镇(除葛塘街居委会之外的行政村范围)、长芦镇(除水家湾居委会之外的行政村范围)。
  4.浦口区:沿江乡、顶山乡、盘城乡、永丰乡行政区范围。
  县城、建制镇:
  一级:
  六城镇、珠江镇、在城镇、东山镇、淳溪镇、湖熟镇、汤山镇、冶山镇行政区范围。
  二级:
  五县除上述一级以外的建制镇行政区范围。

关于开展保险业信息系统安全等级保护定级工作的通知

中国保险监督管理委员会办公厅


关于开展保险业信息系统安全等级保护定级工作的通知

保监厅发〔2007〕45号


各保监局,各保险公司、保险资产管理公司,中国保险行业协会:

  为贯彻落实国家信息安全等级保护制度,按照《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安〔2007〕861号)要求,中国保监会将在保险行业内开展信息系统安全等级保护定级工作。现将有关事项通知如下:

  一、等级保护定级工作的要求及组织方式

  各单位应按照“准确定级、严格审批、及时备案、认真整改、科学测评”的要求和“自主定级、自主保护”的工作原则,成立相应的领导及实施机构,结合本单位的实际情况,准确开展信息系统等级保护定级工作。

  保监会成立等级保护定级工作领导小组,统一领导、解决保险行业信息安全等级保护定级工作中的重大问题;保监会等级保护定级工作领导小组下设办公室,具体负责保监会机关信息系统等级保护定级的具体实施工作和行业定级工作的指导审核。

  各保监局负责本局内独立运行的信息系统等级保护定级工作,并对各自辖区内的保险公司分支机构的等级保护定级工作进行指导审核。

  各保险集团公司、保险控股公司负责本公司信息系统等级保护定级工作以及其下属子公司信息系统等级保护定级工作的组织协调和指导。各保险总公司统一部署本公司和分公司的信息系统等级保护定级工作。

  二、定级工作安排及定级范围

  (一)定级工作安排

  为稳妥做好等级保护定级工作,拟在保险行业内分步分批实施。

  保险行业第一批定级单位包括:保监会及各保监局,中国保险行业协会,中国人民保险集团公司、中国人寿保险(集团)公司、中国再保险(集团)公司、中国出口信用保险公司、民生人寿保险股份有限公司、阳光保险控股股份有限公司、中国平安保险(集团)股份有限公司、中国太平洋(集团)股份有限公司及其下属各子公司和分公司。

  其余公司作为第二批定级单位(具体时间安排另行通知)。

  (二)定级范围

  1、保险监管部门监管、办公及网站等重要信息系统;保险公司和中国保险行业协会经营、管理、办公等重要信息系统。(以下简称“重要信息系统”)

  2、涉及国家秘密的信息系统(以下简称“涉密信息系统”)。

  三、主要工作步骤

  第一阶段:自主定级(9月20日前完成)

  各单位按要求成立相关定级实施机构,对本系统内的重要信息系统和涉密信息系统展开摸底调查,全面掌握信息网络和信息系统的数量、分布、业务类型、系统结构、应用或服务范围等基本情况,按照《信息安全等级保护管理办法》(以下简称“《管理办法》”,附件1)和《信息系统安全等级保护定级指南》(附件2)的要求,确定定级对象并初步确定保护等级,形成定级报告(报告模板见附件3)。

  涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。

  第二阶段:审核(9月25日前完成)

  各保监局将各自独立运行的重要信息系统和涉密信息系统的定级报告报保监会审核。

  各公司对本公司内的重要信息系统和涉密信息系统定级进行统一审核,对跨省联网运行且由公司总部统一确定等级的,由总公司将重要信息系统和涉密信息系统的定级报告报保监会审核 (有集团或控股公司的,由集团或控股公司将定级报告统一报保监会审核);保险公司分公司将经过总公司审核的,且在分公司独立运行的重要信息系统和涉密系统定级报告报当地保监局审核。

  保险行业协会将所确定的重要信息系统和涉密信息系统的定级报告报保监会审核。

  保监会及各保监局在接到定级报告审核文件后,对不符合要求的于5个工作日内要求其改正,审核通过者不再单独答复。

  第三阶段:备案(9月30日前完成)

  根据《管理办法》,各单位定级报告通过保监会或保监局审核后,对重要信息系统安全等级确定为二级以上的信息系统应到公安部网站下载《信息系统安全等级保护备案表》(见附件4)和辅助备案工具,并持填写的备案表和利用辅助备案工具生成的备案电子数据文件,到公安机关办理备案手续(保险行业协会确定的信息系统、保险总公司统一定级的跨省联网运营的信息系统,向公安部备案;保险公司分公司将总公司定级的跨省联网在当地运行、应用的分支系统以及在当地分公司独立运行的信息系统,向当地省级公安机关备案)。备案完成后,各级单位将备案证明复印件报相对应的保险监管机构存档。

  涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定,填写《涉及国家秘密的信息系统分级保护备案表》(见附件5),按照属地化管理原则,将所确定的涉密信息系统,报送相对应的保密部门备案。备案完成后,各级单位将备案证明复印件报相对应的保险监管机构存档。

  第四阶段:总结工作(10月15日前完成)

  各单位应对等级保护定级工作进行总结,并报保监会等级保护定级工作领导小组。保监会根据定级工作开展的情况和定级工作报告,总结工作经验,研究并启动第二批等级保护定级工作。

  

  联 系 人:李春亮、王晓鹏

  联系电话:010-66286602

  

  附件:1、信息安全等级保护管理办法

  2、信息安全技术信息系统安全等级保护定级指南

  3、信息系统安全等级保护定级报告

  4、信息系统安全等级保护备案表

  5、涉及国家秘密的信息系统分级保护备案表

                        二○○七年九月六日
附件1:
信息安全等级保护管理办法
(公通字[2007]43号)
第一章 总则
第一条 为规范信息安全等级保护管理,提高信息安全保障能力和水平,维护国家安全、社会稳定和公共利益,保障和促进信息化建设,根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规,制定本办法。
第二条 国家通过制定统一的信息安全等级保护管理规范和技术标准,组织公民、法人和其他组织对信息系统分等级实行安全保护,对等级保护工作的实施进行监督、管理。
第三条 公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项,由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。
第四条 信息系统主管部门应当依照本办法及相关标准规范,督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。
第五条 信息系统的运营、使用单位应当依照本办法及其相关标准规范,履行信息安全等级保护的义务和责任。
第二章 等级划分与保护
第六条 国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度,信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
第七条 信息系统的安全保护等级分为以下五级:
第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益。
第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全。
第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害。
第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害。
第五级,信息系统受到破坏后,会对国家安全造成特别严重损害。
第八条 信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护,国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。
第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。
第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。
第三级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行监督、检查。
第四级信息系统运营、使用单位应当依据国家有关管理规范、技术标准和业务专门需求进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行强制监督、检查。
第五级信息系统运营、使用单位应当依据国家管理规范、技术标准和业务特殊安全需求进行保护。国家指定专门部门对该级信息系统信息安全等级保护工作进行专门监督、检查。
第三章 等级保护的实施与管理
第九条 信息系统运营、使用单位应当按照《信息系统安全等级保护实施指南》具体实施等级保护工作。
第十条 信息系统运营、使用单位应当依据本办法和《信息系统安全等级保护定级指南》确定信息系统的安全保护等级。有主管部门的,应当经主管部门审核批准。
跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。
对拟确定为第四级以上信息系统的,运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。
第十一条 信息系统的安全保护等级确定后,运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准,使用符合国家有关规定,满足信息系统安全保护等级需求的信息技术产品,开展信息系统安全建设或者改建工作。
第十二条 在信息系统建设过程中,运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》(GB17859-1999)、《信息系统安全等级保护基本要求》等技术标准,参照《信息安全技术 信息系统通用安全技术要求》(GB/T20271-2006)、《信息安全技术 网络基础安全技术要求》(GB/T20270-2006)、《信息安全技术 操作系统安全技术要求》(GB/T20272-2006)、《信息安全技术 数据库管理系统安全技术要求》(GB/T20273-2006)、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》(GA/T671 -2006)等技术标准同步建设符合该等级要求的信息安全设施。
第十三条 运营、使用单位应当参照《信息安全技术 信息系统安全管理要求》(GB/T20269-2006)、《信息安全技术 信息系统安全工程管理要求》(GB/T20282-2006)、《信息系统安全等级保护基本要求》等管理规范,制定并落实符合本系统安全保护等级要求的安全管理制度。
第十四条 信息系统建设完成后,运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构,依据《信息系统安全等级保护测评要求》等技术标准,定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评,第四级信息系统应当每半年至少进行一次等级测评,第五级信息系统应当依据特殊安全需求进行等级测评。
信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查,第四级信息系统应当每半年至少进行一次自查,第五级信息系统应当依据特殊安全需求进行自查。
经测评或者自查,信息系统安全状况未达到安全保护等级要求的,运营、使用单位应当制定方案进行整改。
第十五条 已运营(运行)的第二级以上信息系统,应当在安全保护等级确定后30日内,由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
新建第二级以上信息系统,应当在投入运行后30日内,由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。
隶属于中央的在京单位,其跨省或者全国统一联网运行并由主管部门统一定级的信息系统,由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统,应当向当地设区的市级以上公安机关备案。
第十六条 办理信息系统安全保护等级备案手续时,应当填写《信息系统安全等级保护备案表》,第三级以上信息系统应当同时提供以下材料:
(一)系统拓扑结构及说明;
(二)系统安全组织机构和管理制度;
(三)系统安全保护设施设计实施方案或者改建实施方案;
(四)系统使用的信息安全产品清单及其认证、销售许可证明;
(五)测评后符合系统安全保护等级的技术检测评估报告;
(六)信息系统安全保护等级专家评审意见;
(七)主管部门审核批准信息系统安全保护等级的意见。
第十七条 信息系统备案后,公安机关应当对信息系统的备案情况进行审核,对符合等级保护要求的,应当在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明;发现不符合本办法及有关标准的,应当在收到备案材料之日起的10个工作日内通知备案单位予以纠正;发现定级不准的,应当在收到备案材料之日起的10个工作日内通知备案单位重新审核确定。
运营、使用单位或者主管部门重新确定信息系统等级后,应当按照本办法向公安机关重新备案。
第十八条 受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级信息系统每年至少检查一次,对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查,应当会同其主管部门进行。
对第五级信息系统,应当由国家指定的专门部门进行检查。
公安机关、国家指定的专门部门应当对下列事项进行检查:
(一)信息系统安全需求是否发生变化,原定保护等级是否准确;
(二)运营、使用单位安全管理制度、措施的落实情况;
(三)运营、使用单位及其主管部门对信息系统安全状况的检查情况;
(四)系统安全等级测评是否符合要求;
(五)信息安全产品使用是否符合要求;
(六)信息系统安全整改情况;
(七)备案材料与运营、使用单位、信息系统的符合情况;
(八)其他应当进行监督检查的事项。
第十九条 信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导,如实向公安机关、国家指定的专门部门提供下列有关信息安全保护的信息资料及数据文件:
(一)信息系统备案事项变更情况;
(二)安全组织、人员的变动情况;
(三)信息安全管理制度、措施变更情况;
(四)信息系统运行状况记录;
(五)运营、使用单位及主管部门定期对信息系统安全状况的检查记录;
(六)对信息系统开展等级测评的技术测评报告;
(七)信息安全产品使用的变更情况;
(八)信息安全事件应急预案,信息安全事件应急处置结果报告;
(九)信息系统安全建设、整改结果报告。
第二十条 公安机关检查发现信息系统安全保护状况不符合信息安全等级保护有关管理规范和技术标准的,应当向运营、使用单位发出整改通知。运营、使用单位应当根据整改通知要求,按照管理规范和技术标准进行整改。整改完成后,应当将整改报告向公安机关备案。必要时,公安机关可以对整改情况组织检查。
第二十一条 第三级以上信息系统应当选择使用符合以下条件的信息安全产品:
(一)产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的,在中华人民共和国境内具有独立的法人资格;
(二)产品的核心技术、关键部件具有我国自主知识产权;
(三)产品研制、生产单位及其主要业务、技术人员无犯罪记录;
(四)产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能;
(五)对国家安全、社会秩序、公共利益不构成危害;
(六)对已列入信息安全产品认证目录的,应当取得国家信息安全产品认证机构颁发的认证证书。
第二十二条 第三级以上信息系统应当选择符合下列条件的等级保护测评机构进行测评:
(一)在中华人民共和国境内注册成立(港澳台地区除外);
(二)由中国公民投资、中国法人投资或者国家投资的企事业单位(港澳台地区除外);
(三)从事相关检测评估工作两年以上,无违法记录;
(四)工作人员仅限于中国公民;
(五)法人及主要业务、技术人员无犯罪记录;
(六)使用的技术装备、设施应当符合本办法对信息安全产品的要求;
(七)具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度;
(八)对国家安全、社会秩序、公共利益不构成威胁。
第二十三条 从事信息系统安全等级测评的机构,应当履行下列义务:
(一)遵守国家有关法律法规和技术标准,提供安全、客观、公正的检测评估服务,保证测评的质量和效果;
(二)保守在测评活动中知悉的国家秘密、商业秘密和个人隐私,防范测评风险;
(三)对测评人员进行安全保密教育,与其签订安全保密责任书,规定应当履行的安全保密义务和承担的法律责任,并负责检查落实。
第四章 涉及国家秘密信息系统的分级保护管理
第二十四条 涉密信息系统应当依据国家信息安全等级保护的基本要求,按照国家保密工作部门有关涉密信息系统分级保护的管理规定和技术标准,结合系统实际情况进行保护。
非涉密信息系统不得处理国家秘密信息。
第二十五条 涉密信息系统按照所处理信息的最高密级,由低到高分为秘密、机密、绝密三个等级。
涉密信息系统建设使用单位应当在信息规范定密的基础上,依据涉密信息系统分级保护管理办法和国家保密标准BMB17-2006《涉及国家秘密的计算机信息系统分级保护技术要求》确定系统等级。对于包含多个安全域的涉密信息系统,各安全域可以分别确定保护等级。
保密工作部门和机构应当监督指导涉密信息系统建设使用单位准确、合理地进行系统定级。
第二十六条 涉密信息系统建设使用单位应当将涉密信息系统定级和建设使用情况,及时上报业务主管部门的保密工作机构和负责系统审批的保密工作部门备案,并接受保密部门的监督、检查、指导。
第二十七条 涉密信息系统建设使用单位应当选择具有涉密集成资质的单位承担或者参与涉密信息系统的设计与实施。
涉密信息系统建设使用单位应当依据涉密信息系统分级保护管理规范和技术标准,按照秘密、机密、绝密三级的不同要求,结合系统实际进行方案设计,实施分级保护,其保护水平总体上不低于国家信息安全等级保护第三级、第四级、第五级的水平。
第二十八条 涉密信息系统使用的信息安全保密产品原则上应当选用国产品,并应当通过国家保密局授权的检测机构依据有关国家保密标准进行的检测,通过检测的产品由国家保密局审核发布目录。
第二十九条 涉密信息系统建设使用单位在系统工程实施结束后,应当向保密工作部门提出申请,由国家保密局授权的系统测评机构依据国家保密标准BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》,对涉密信息系统进行安全保密测评。
涉密信息系统建设使用单位在系统投入使用前,应当按照《涉及国家秘密的信息系统审批管理规定》,向设区的市级以上保密工作部门申请进行系统审批,涉密信息系统通过审批后方可投入使用。已投入使用的涉密信息系统,其建设使用单位在按照分级保护要求完成系统整改后,应当向保密工作部门备案。
第三十条 涉密信息系统建设使用单位在申请系统审批或者备案时,应当提交以下材料:
(一)系统设计、实施方案及审查论证意见;
(二)系统承建单位资质证明材料;
(三)系统建设和工程监理情况报告;
(四)系统安全保密检测评估报告;
(五)系统安全保密组织机构和管理制度情况;
(六)其他有关材料。
第三十一条 涉密信息系统发生涉密等级、连接范围、环境设施、主要应用、安全保密管理责任单位变更时,其建设使用单位应当及时向负责审批的保密工作部门报告。保密工作部门应当根据实际情况,决定是否对其重新进行测评和审批。
第三十二条 涉密信息系统建设使用单位应当依据国家保密标准BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》,加强涉密信息系统运行中的保密管理,定期进行风险评估,消除泄密隐患和漏洞。
第三十三条 国家和地方各级保密工作部门依法对各地区、各部门涉密信息系统分级保护工作实施监督管理,并做好以下工作:
(一)指导、监督和检查分级保护工作的开展;
(二)指导涉密信息系统建设使用单位规范信息定密,合理确定系统保护等级;
(三)参与涉密信息系统分级保护方案论证,指导建设使用单位做好保密设施的同步规划设计;
(四)依法对涉密信息系统集成资质单位进行监督管理;
(五)严格进行系统测评和审批工作,监督检查涉密信息系统建设使用单位分级保护管理制度和技术措施的落实情况;
(六)加强涉密信息系统运行中的保密监督检查。对秘密级、机密级信息系统每两年至少进行一次保密检查或者系统测评,对绝密级信息系统每年至少进行一次保密检查或者系统测评;
(七)了解掌握各级各类涉密信息系统的管理使用情况,及时发现和查处各种违规违法行为和泄密事件。
第五章 信息安全等级保护的密码管理
第三十四条 国家密码管理部门对信息安全等级保护的密码实行分类分级管理。根据被保护对象在国家安全、社会稳定、经济建设中的作用和重要程度,被保护对象的安全防护要求和涉密程度,被保护对象被破坏后的危害程度以及密码使用部门的性质等,确定密码的等级保护准则。
信息系统运营、使用单位采用密码进行等级保护的,应当遵照《信息安全等级保护密码管理办法》、《信息安全等级保护商用密码技术要求》等密码管理规定和相关标准。
第三十五条 信息系统安全等级保护中密码的配备、使用和管理等,应当严格执行国家密码管理的有关规定。
第三十六条 信息系统运营、使用单位应当充分运用密码技术对信息系统进行保护。采用密码对涉及国家秘密的信息和信息系统进行保护的,应报经国家密码管理局审批,密码的设计、实施、使用、运行维护和日常管理等,应当按照国家密码管理有关规定和相关标准执行;采用密码对不涉及国家秘密的信息和信息系统进行保护的,须遵守《商用密码管理条例》和密码分类分级保护有关规定与相关标准,其密码的配备使用情况应当向国家密码管理机构备案。
第三十七条 运用密码技术对信息系统进行系统等级保护建设和整改的,必须采用经国家密码管理部门批准使用或者准于销售的密码产品进行安全保护,不得采用国外引进或者擅自研制的密码产品;未经批准不得采用含有加密功能的进口信息技术产品。
第三十八条 信息系统中的密码及密码设备的测评工作由国家密码管理局认可的测评机构承担,其他任何部门、单位和个人不得对密码进行评测和监控。
第三十九条 各级密码管理部门可以定期或者不定期对信息系统等级保护工作中密码配备、使用和管理的情况进行检查和测评,对重要涉密信息系统的密码配备、使用和管理情况每两年至少进行一次检查和测评。在监督检查过程中,发现存在安全隐患或者违反密码管理相关规定或者未达到密码相关标准要求的,应当按照国家密码管理的相关规定进行处置。
第六章 法律责任
第四十条 第三级以上信息系统运营、使用单位违反本办法规定,有下列行为之一的,由公安机关、国家保密工作部门和国家密码工作管理部门按照职责分工责令其限期改正;逾期不改正的,给予警告,并向其上级主管部门通报情况,建议对其直接负责的主管人员和其他直接责任人员予以处理,并及时反馈处理结果:
(一)未按本办法规定备案、审批的;
(二)未按本办法规定落实安全管理制度、措施的;
(三)未按本办法规定开展系统安全状况检查的;
(四)未按本办法规定开展系统安全技术测评的;
(五)接到整改通知后,拒不整改的;
(六)未按本办法规定选择使用信息安全产品和测评机构的;
(七)未按本办法规定如实提供有关文件和证明材料的;
(八)违反保密管理规定的;
(九)违反密码管理规定的;
(十)违反本办法其他规定的。
违反前款规定,造成严重损害的,由相关部门依照有关法律、法规予以处理。
第四十一条 信息安全监管部门及其工作人员在履行监督管理职责中,玩忽职守、滥用职权、徇私舞弊的,依法给予行政处分;构成犯罪的,依法追究刑事责任。
第七章 附则
第四十二条 已运行信息系统的运营、使用单位自本办法施行之日起180日内确定信息系统的安全保护等级;新建信息系统在设计、规划阶段确定安全保护等级。
第四十三条 本办法所称“以上”包含本数(级)。
第四十四条 本办法自发布之日起施行,《信息安全等级保护管理办法(试行)》(公通字[2006]7号)同时废止。



附件2:


信息安全技术
信息系统安全等级保护定级指南

(报批稿)











全国信息安全标准化技术委员会




前 言
本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位:
本标准主要起草人:



引 言
依据《中华人民共和国计算机信息系统安全保护条例》(国务院147号令)、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)、《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号),制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括:
——GB/T BBBBB-BBBB信息系统安全等级保护基本要求;
——GB/T CCCCC-CCCC信息系统安全等级保护实施指南;
——GB/T DDDDD-DDDD信息系统安全等级保护测评准则。
本标准依据等级保护相关管理文件,从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面,提出确定信息系统安全保护等级的方法。





















信息系统安全等级保护定级指南

1 范围
本标准规定了信息系统安全等级保护的定级方法,适用于为信息系统安全等级保护的定级工作提供指导。
2 规范性引用文件
下列文件中的条款通过在本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件,其最新版本适用于本标准。
GB/T 5271.8 信息技术 词汇 第8部分:安全
GB17859-1999 计算机信息系统安全保护等级划分准则
3 术语和定义
GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。
3.1
等级保护对象 target of classified security
信息安全等级保护工作直接作用的具体的信息和信息系统。
3.2
客体object
受法律保护的、等级保护对象受到破坏时所侵害的社会关系,如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益。
3.3
客观方面objective
对客体造成侵害的客观外在表现,包括侵害方式和侵害结果等。
3.4
系统服务 system service
信息系统为支撑其所承载业务而提供的程序化过程。
4 定级原理
4.1 信息系统安全保护等级
根据等级保护相关管理文件,信息系统的安全保护等级分为以下五级:
第一级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益。
第二级,信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全。
第三级,信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害。
第四级,信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害。
第五级,信息系统受到破坏后,会对国家安全造成特别严重损害。
4.2 信息系统安全保护等级的定级要素
信息系统的安全保护等级由两个定级要素决定:等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。
4.2.1 受侵害的客体
等级保护对象受到破坏时所侵害的客体包括以下三个方面:
a) 公民、法人和其他组织的合法权益;
b) 社会秩序、公共利益;
c) 国家安全。
4.2.2 对客体的侵害程度
对客体的侵害程度由客观方面的不同外在表现综合决定。由于对客体的侵害是通过对等级保护对象的破坏实现的,因此,对客体的侵害外在表现为对等级保护对象的破坏,通过危害方式、危害后果和危害程度加以描述。
等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种:
a) 造成一般损害;
b) 造成严重损害;
c) 造成特别严重损害。
4.3 定级要素与等级的关系
定级要素与信息系统安全保护等级的关系如表1所示。



表1 定级要素与安全保护等级的关系
受侵害的客体 对客体的侵害程度
一般损害 严重损害 特别严重损害
公民、法人和其他组织的合法权益 第一级 第二级 第二级
社会秩序、公共利益 第二级 第三级 第四级
国家安全 第三级 第四级 第五级
5 定级方法
5.1 定级的一般流程
信息系统安全包括业务信息安全和系统服务安全,与之相关的受侵害客体和对客体的侵害程度可能不同,因此,信息系统定级也应由业务信息安全和系统服务安全两方面确定。
从业务信息安全角度反映的信息系统安全保护等级称业务信息安全保护等级。
从系统服务安全角度反映的信息系统安全保护等级称系统服务安全保护等级。
确定信息系统安全保护等级的一般流程如下:
a) 确定作为定级对象的信息系统;
b) 确定业务信息安全受到破坏时所侵害的客体;
c) 根据不同的受侵害客体,从多个方面综合评定业务信息安全被破坏对客体的侵害程度;
d) 依据表2,得到业务信息安全保护等级;
e) 确定系统服务安全受到破坏时所侵害的客体;
f) 根据不同的受侵害客体,从多个方面综合评定系统服务安全被破坏对客体的侵害程度;
g) 依据表3,得到系统服务安全保护等级;
h) 将业务信息安全保护等级和系统服务安全保护等级的较高者确定为定级对象的安全保护等级。
上述步骤如图1确定等级一般流程所示。

图1 确定等级一般流程
5.2 确定定级对象
一个单位内运行的信息系统可能比较庞大,为了体现重要部分重点保护,有效控制信息安全建设成本,优化信息安全资源配置的等级保护原则,可将较大的信息系统划分为若干个较小的、可能具有不同安全保护等级的定级对象。
作为定级对象的信息系统应具有如下基本特征:
a) 具有唯一确定的安全责任单位
作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任,则这个下级单位可以成为信息系统的安全责任单位;如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任,则该信息系统的安全责任单位应是这些下级单位共同所属的单位。
b) 具有信息系统的基本要素
作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件,如服务器、终端、网络设备等作为定级对象。
c) 承载单一或相对独立的业务应用
定级对象承载“单一”的业务应用是指该业务应用的业务流程独立,且与其他业务应用没有数据交换,且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独立,同时与其他业务应用有少量的数据交换,定级对象可能会与其他业务应用共享一些设备,尤其是网络传输设备。
5.3 确定受侵害的客体
定级对象受到破坏时所侵害的客体包括国家安全、社会秩序、公众利益以及公民、法人和其他组织的合法权益。
侵害国家安全的事项包括以下方面:
- 影响国家政权稳固和国防实力;
- 影响国家统一、民族团结和社会安定;
- 影响国家对外活动中的政治、经济利益;
- 影响国家重要的安全保卫工作;
- 影响国家经济竞争力和科技实力;
- 其他影响国家安全的事项。
侵害社会秩序的事项包括以下方面:
- 影响国家机关社会管理和公共服务的工作秩序;
- 影响各种类型的经济活动秩序;
- 影响各行业的科研、生产秩序;
- 影响公众在法律约束和道德规范下的正常生活秩序等;
- 其他影响社会秩序的事项。
影响公共利益的事项包括以下方面:
- 影响社会成员使用公共设施;
- 影响社会成员获取公开信息资源;
- 影响社会成员接受公共服务等方面;
- 其他影响公共利益的事项。
影响公民、法人和其他组织的合法权益是指由法律确认的并受法律保护的公民、法人和其他组织所享有的一定的社会权利和利益。
确定作为定级对象的信息系统受到破坏后所侵害的客体时,应首先判断是否侵害国家安全,然后判断是否侵害社会秩序或公众利益,最后判断是否侵害公民、法人和其他组织的合法权益。
各行业可根据本行业业务特点,分析各类信息和各类信息系统与国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的关系,从而确定本行业各类信息和各类信息系统受到破坏时所侵害的客体。
5.4 确定对客体的侵害程度
5.4.1 侵害的客观方面
在客观方面,对客体的侵害外在表现为对定级对象的破坏,其危害方式表现为对信息安全的破坏和对信息系统服务的破坏,其中信息安全是指确保信息系统内信息的保密性、完整性和可用性等,系统服务安全是指确保信息系统可以及时、有效地提供服务,以完成预定的业务目标。由于业务信息安全和系统服务安全受到破坏所侵害的客体和对客体的侵害程度可能会有所不同,在定级过程中,需要分别处理这两种危害方式。
信息安全和系统服务安全受到破坏后,可能产生以下危害后果:
- 影响行使工作职能;
- 导致业务能力下降;
- 引起法律纠纷;
- 导致财产损失;
- 造成社会不良影响;
- 对其他组织和个人造成损失;
- 其他影响。
5.4.2 综合判定侵害程度
侵害程度是客观方面的不同外在表现的综合体现,因此,应首先根据不同的受侵害客体、不同危害后果分别确定其危害程度。对不同危害后果确定其危害程度所采取的方法和所考虑的角度可能不同,例如系统服务安全被破坏导致业务能力下降的程度可以从信息系统服务覆盖的区域范围、用户人数或业务量等不同方面确定,业务信息安全被破坏导致的财物损失可以从直接的资金损失大小、间接的信息恢复费用等方面进行确定。
在针对不同的受侵害客体进行侵害程度的判断时,应参照以下不同的判别基准:
- 如果受侵害客体是公民、法人或其他组织的合法权益,则以本人或本单位的总体利益作为判断侵害程度的基准;
- 如果受侵害客体是社会秩序、公共利益或国家安全,则应以整个行业或国家的总体利益作为判断侵害程度的基准。
不同危害后果的三种危害程度描述如下:
一般损害:工作职能受到局部影响,业务能力有所降低但不影响主要功能的执行,出现较轻的法律问题,较低的财产损失,有限的社会不良影响,对其他组织和个人造成较低损害。
严重损害:工作职能受到严重影响,业务能力显著下降且严重影响主要功能执行,出现较严重的法律问题,较高的财产损失,较大范围的社会不良影响,对其他组织和个人造成较严重损害。
特别严重损害:工作职能受到特别严重影响或丧失行使能力,业务能力严重下降且或功能无法执行,出现极其严重的法律问题,极高的财产损失,大范围的社会不良影响,对其他组织和个人造成非常严重损害。
信息安全和系统服务安全被破坏后对客体的侵害程度,由对不同危害结果的危害程度进行综合评定得出。由于各行业信息系统所处理的信息种类和系统服务特点各不相同,信息安全和系统服务安全受到破坏后关注的危害结果、危害程度的计算方式均可能不同,各行业可根据本行业信息特点和系统服务特点,制定危害程度的综合评定方法,并给出侵害不同客体造成一般损害、严重损害、特别严重损害的具体定义。
5.5 确定定级对象的安全保护等级
根据业务信息安全被破坏时所侵害的客体以及对相应客体的侵害程度,依据表2业务信息安全保护等级矩阵表,即可得到业务信息安全保护等级。
表2 业务信息安全保护等级矩阵表
业务信息安全被破坏时所侵害的客体 对相应客体的侵害程度
一般损害 严重损害 特别严重损害
公民、法人和其他组织的合法权益 第一级 第二级 第二级
社会秩序、公共利益 第二级 第三级 第四级
国家安全 第三级 第四级 第五级
根据系统服务安全被破坏时所侵害的客体以及对相应客体的侵害程度,依据表2系统服务安全保护等级矩阵表,即可得到系统服务安全保护等级。
表3 系统服务安全保护等级矩阵表
系统服务安全被破坏时所侵害的客体 对相应客体的侵害程度
一般损害 严重损害 特别严重损害
公民、法人和其他组织的合法权益 第一级 第二级 第二级
社会秩序、公共利益 第二级 第三级 第四级
国家安全 第三级 第四级 第五级
作为定级对象的信息系统的安全保护等级由业务信息安全保护等级和系统服务安全保护等级的较高者决定。
6 等级变更
在信息系统的运行过程中,安全保护等级应随着信息系统所处理的信息和业务状态的变化进行适当的变更,尤其是当状态变化可能导致业务信息安全或系统服务受到破坏后的受侵害客体和对客体的侵害程度有较大的变化,可能影响到系统的安全保护等级时,应根据本标准第5章给出的定级方法重新定级。
附件3:

信息系统安全等级保护定级报告

一、XXX信息系统描述
简述确定该系统为定级对象的理由。从三方面进行说明:一是描述承担信息系统安全责任的相关单位或部门,说明本单位或部门对信息系统具有信息安全保护责任,该信息系统为本单位或部门的定级对象;二是该定级对象是否具有信息系统的基本要素,描述基本要素、系统网络结构、系统边界和边界设备;三是该定级对象是否承载着单一或相对独立的业务,业务情况描述。
二、XXX信息系统安全保护等级确定
(定级方法参见国家标准《信息系统安全等级保护定级指南》)
(一)业务信息安全保护等级的确定
1、业务信息描述
描述信息系统处理的主要业务信息等。
2、业务信息受到破坏时所侵害客体的确定
说明信息受到破坏时侵害的客体是什么,即对三个客体(国家安全;社会秩序和公众利益;公民、法人和其他组织的合法权益)中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定
说明信息受到破坏后,会对侵害客体造成什么程度的侵害,即说明是一般损害、严重损害还是特别严重损害。
4、业务信息安全等级的确定
依据信息受到破坏时所侵害的客体以及侵害程度,确定业务信息安全等级。
(二)系统服务安全保护等级的确定
1、系统服务描述
描述信息系统的服务范围、服务对象等。
2、系统服务受到破坏时所侵害客体的确定
说明系统服务受到破坏时侵害的客体是什么,即对三个客体(国家安全;社会秩序和公众利益;公民、法人和其他组织的合法权益)中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定
说明系统服务受到破坏后,会对侵害客体造成什么程度的侵害,即说明是一般损害、严重损害还是特别严重损害。
4、系统服务安全等级的确定
依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。
(三)安全保护等级的确定
信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定,最终确定XXX系统安全保护等级为第几级。
信息系统名称 安全保护等级 业务信息安全等级 系统服务安全等级
XXX信息系统 X X X

附件4:
备案表编号:




信息系统安全等级保护
备案表












备 案 单 位: (盖章)
备 案 日 期:

受理备案单位: (盖章)
受 理 日 期:

中华人民共和国公安部监制


填 表 说 明

一、 制表依据。根据《信息安全等级保护管理办法》(公通字[2007]43号)之规定,制作本表;
二、 填表范围。本表由第二级以上信息系统运营使用单位或主管部门(以下简称“备案单位”)填写;本表由四张表单构成,表一为单位信息,每个填表单位填写一张;表二为信息系统基本信息,表三为信息系统定级信息,表二、表三每个信息系统填写一张;表四为第三级以上信息系统需要同时提交的内容,由每个第三级以上信息系统填写一张,并在完成系统建设、整改、测评等工作,投入运行后三十日内向受理备案公安机关提交;表二、表三、表四可以复印使用;
三、 保存方式。本表一式二份,一份由备案单位保存,一份由受理备案公安机关存档;
四、 本表中有选择的地方请在选项左侧“0”划“√”,如选择“其他”,请在其后的横线中注明详细内容;
五、 封面中备案表编号(由受理备案的公安机关填写并校验):分两部分共11位,第一部分6位,为受理备案公安机关代码前六位(可参照行标GA380-2002)。第二部分5位,为受理备案的公安机关给出的备案单位的顺序编号;
六、 封面中备案单位:是指负责运营使用信息系统的法人单位全称;
七、 封面中受理备案单位:是指受理备案的公安机关公共信息网络安全监察部门名称。此项由受理备案的公安机关负责填写并盖章;

不分页显示   总共2页  1 [2]

  下一页