网络安全等级保护管理办法

第一章 总则

第一条 为加强网络安全等级保护（以下简称“等保”） 工作，依据国家《网络安全法》《网络安全管理办法》，制定本网络安全等级保护管理办法。

第二条 本办法所称网络安全等级保护工作中的对象（以下简称“等保对象”），是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统（平台），包括但不限于基础信息网络、云计算平台/系统、大数据应用/平台/资源、物联网、工业控制系统和采用移动互联技术的系统（平台）等。

第三条 信息化管理部归口管理股份公司等保工作，指导和监督所属单位的等保工作；各级信息化管理部门归口管理本单位的等保工作。

第四条 本办法在等保的过程管理、复评、产品服务采购、技术服务、新技术应用、应急处置等方面提出了一般规定和管理要求。

第五条本办法适用于X本级及所属各单位。

第二章 过程管理

第六条等保工作过程包括对等保对象的定级、备案、测评、整改、验收测评等活动。

第七条定级。等保对象在规划设计阶段确定其等保级别。等保对象业务主管部门应根据其将要承载的业务信息及系统服务的重要性，依据国家标准《网络安全等级保护定级指南》提出定级建议，与信息化管理部门共同审核、确定等保等级。股份公司统建的等保对象由股份公司统一定级。等保等级初步确定为第二级及以上的，按照拟提交备案的公安部门要求组织专家评审。定级结果需由等保对象的业务主管部门和信息化管理部门共同整理形成定级……此处隐藏1726个字…… 信息化管理部门负责组织、实施等保对象等保的定期复评工作：

（一）第二级等保对象每两年进行一次。

（二）第三级及以上等保对象每年进行一次。

第十三条 针对自查中发现的问题，由其业务主管部门牵头，协同信息化管理部门共同整改。

第十四条 股份公司每年组织对第二、三、四级等保对象的等保复评情况进行抽查。

第四章 产品服务采购

第十五条公司所采购信息化产品和服务应符合国家有关法律法规和标准规范要求。第三级以上等保对象应采用与其安全保护等级相适应的信息化产品和服务。

第五章 技术服务

第十六条为公司提供建设、运行维护、安全监测、数据分析等的技术服务机构应当符合国家有关法律法规和技术标准要求。第三级及以上系统不得进行境外远程技术服务。

第六章 新技术应用

第十七条等保对象的业务主管部门和各级信息化管理部门应按照网络安全等级保护制度要求，采取相应措施，管控云计算、大数据、人工智能、物联网、区块链、工控系统和移动互联网等新技术、新应用带来的安全风险，消除安全隐患。

第七章 应急处置

第十八条等保对象的业务主管部门和各级信息化管理部门应按照国家有关规定制定网络安全应急预案，定期开展网络安全应急演练，发生网络安全事件时，业务主管部门和信息化管理部门应采取必要紧急措施并保护现场，记录并留存相关数据信息，按照网络安全应急预案要求联合开展应急处置。

第八章 附则

第十九条本办法自发布之日起施行，请各单位遵照执行。

第二十条本办法由股份公司信息化管理部负责解释。