关于信息安全等级保护工作的实施意见

各省、自治区、直辖市公安厅(局)、保密局、国家密码管理委员会办公室、信息化领导小组办公室、新疆生产建设兵团公安局办公室、保密局、国家密码管理委员会办公室、信息化领导小组办公室、中央和国家机关部委保密委员会办公室、人民团体保密委员会办公室:

《信息安全等级保护实施意见》已经国家网络与信息安全协调小组第三次会议讨论通过，现印发给你们，请认真贯彻执行。

公安部、国家保密局、国家密码管理委员会办公室

国务院新闻办公室

2004年9月15日

信息安全等级保护制度是国家在国民经济和社会信息化发展过程中，提高信息安全能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。实施信息安全等级保护制度，可以充分调动国家、法人、其他组织和公民的积极性，充分发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和有效性，使信息系统安全建设更加突出重点、统一规范、科学合理，对推动我国信息安全发展具有重要作用。

为进一步提高信息安全的安全能力和保护水平，维护国家安全、公共利益和社会稳定，保障和促进信息化建设健康发展，1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级划分标准和安全等级保护具体办法由公安部会同有关部门制定”。2003年，中央办公厅、国务院办公厅转发的《全国加强信息安全工作领导小组意见》(国办发〔2003〕27号)明确指出，“重点保护关系国家安全、经济命脉和社会稳定的基础信息网络和重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护管理办法和技术指南”。

一、信息安全等级保护的重要性

近年来，党中央、国务院高度重视，在各有关方面的协调和共同努力下，我国信息安全工作取得了长足进展。但总体上看，我国信息安全工作仍处于起步阶段，基础薄弱，水平较低，存在以下突出问题:信息安全意识和安全防范能力薄弱，信息安全滞后于信息化发展；信息安全建设和管理目标不明确；信息安全工作重点不突出；信息安全监督管理缺乏依据和标准，监管措施有待落实到位，监管制度有待完善。随着信息技术的快速发展和网络应用的快速普及，我国国民经济和社会信息化进程全面加快，信息系统的基础性、全局性作用日益增强。信息资源已经成为国家经济建设和社会发展的重要战略资源之一。确保信息安全，维护国家安全、公共利益和社会稳定，是当前信息化发展中亟待解决的重大问题。

实施信息安全等级保护，可以有效提升我国信息与信息系统安全建设的整体水平，有助于在信息化建设过程中同步建设信息安全设施，确保信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务，有效控制信息安全建设成本；有利于优化信息安全资源配置，分层次保护信息系统，重点保障关系国家安全、经济命脉和社会稳定的基础信息网络和重要信息系统的安全；有利于明确国家、法人、其他组织和公民的信息安全责任，加强信息安全管理；有利于推动信息安全产业发展，逐步探索适应社会主义市场经济发展的信息安全模式。

二、信息安全等级保护制度的原则

信息安全等级保护的核心是按照标准建设、管理和监督信息安全。信息安全等级保护体系遵循以下基本原则:

(1)明确责任，共同保护。通过等级保护，组织动员国家、法人、其他组织和公民参与信息安全保护；各方根据规范和标准承担相应的、明确的、具体的信息安全保护责任。

(二)符合标准，自我保护。国家适用强制性规范和标准，要求信息和信息系统按照相应的建设和管理要求进行分级和自我保护。

(3)同步建设，动态调整。信息系统新建、改建、扩建时，应当同步建设信息安全设施，确保信息安全与信息化建设相适应。因信息和信息系统的应用类型和范围变化等原因需要变更安全保护等级的，应当根据等级保护管理规范和技术标准的要求，重新确定信息系统的安全保护等级。等级保护的管理规范和技术标准应当根据等级保护的实际情况及时修订。

(四)指导监督，重点保护。指定国家信息安全监管部门，通过备案、指导、检查、督促、整改等方式，对重要信息和信息系统的信息安全保护工作进行指导和监督。国家重点保护关系国家安全、经济命脉和社会稳定的基础信息网络和重要信息系统，主要包括:国家事务处理信息系统(党政机关办公系统)；财政、金融、税务、海关、审计、工商、社保、能源、交通、国防工业等关系国计民生的信息系统；教育、国家科研等单位的信息系统；公共通信、广播电视传输等基础信息网络中的信息系统；网管中心、重要网站等领域的重要信息系统。