关于开展保险业信息系统安全等级保护定级工作的通知

关于开展保险业信息系统安全等级保护定级工作的通知

各保监局，各保险公司、保险资产管理公司，中国保险行业协会：

为贯彻落实国家信息安全等级保护制度，按照《关于开展全国重要信息系统安全等级保护定级工作的通知》(公信安〔2007〕861号)要求，中国保监会将在保险行业内开展信息系统安全等级保护定级工作。现将有关事项通知如下：

一、等级保护定级工作的要求及组织方式

各单位应按照“准确定级、严格审批、及时备案、认真整改、科学测评”的要求和“自主定级、自主保护”的工作原则，成立相应的领导及实施机构，结合本单位的实际情况，准确开展信息系统等级保护定级工作。

保监会成立等级保护定级工作领导小组，统一领导、解决保险行业信息安全等级保护定级工作中的重大问题;保监会等级保护定级工作领导小组下设办公室，具体负责保监会机关信息系统等级保护定级的具体实施工作和行业定级工作的指导审核。

各保监局负责本局内独立运行的信息系统等级保护定级工作，并对各自辖区内的保险公司分支机构的等级保护定级工作进行指导审核。

各保险集团公司、保险控股公司负责本公司信息系统等级保护定级工作以及其下属子公司信息系统等级保护定级工作的组织协调和指导。各保险总公司统一部署本公司和分公司的信息系统等级保护定级工作。

二、定级工作安排及定级范围

(一)定级工作安排

为稳妥做好等级保护定级工作，拟在保险行业内分步分批实施。

保险行业第一批定级单位包括：保监会及各保监局，中国保险行业协会，中国人民保险集团公司、中国人寿保险(集团)公司、中国再保险(集团)公司、中国出口信用保险公司、民生人寿保险股份有限公司、阳光保险控股股份有限公司、中国平安保险(集团)股份有限公司、中国太平洋(集团)股份有限公司及其下属各子公司和分公司。

其余公司作为第二批定级单位(具体时间安排另行通知)。

(二)定级范围

1、保险监管部门监管、办公及网站等重要信息系统;保险公司和中国保险行业协会经营、管理、办公等重要信息系统。(以下简称“重要信息系统”)

2、涉及国家秘密的信息系统(以下简称“涉密信息系统”)。

三、主要工作步骤

第一阶段：自主定级(9月20日前完成)

各单位按要求成立相关定级实施机构，对本系统内的重要信息系统和涉密信息系统展开摸底调查，全面掌握信息网络和信息系统的数量、分布、业务类型、系统结构、应用或服务范围等基本情况，按照《信息安全等级保护管理办法》(以下简称“《管理办法》”，附件1)和《信息系统安全等级保护定级指南》(附件2)的要求，确定定级对象并初步确定保护等级，形成定级报告(报告模板见附件3)。

涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。

第二阶段：审核(9月25日前完成)

各保监局将各自独立运行的重要信息系统和涉密信息系统的定级报告报保监会审核。

各公司对本公司内的重要信息系统和涉密信息系统定级进行统一审核，对跨省联网运行且由公司总部统一确定等级的，由总公司将重要信息系统和涉密信息系统的定级报告报保监会审核 (有集团或控股公司的，由集团或控股公司将定级报告统一报保监会审核);保险公司分公司将经过总公司审核的，且在分公司独立运行的重要信息系统和涉密系统定级报告报当地保监局审核。

保险行业协会将所确定的重要信息系统和涉密信息系统的定级报告报保监会审核。

保监会及各保监局在接到定级报告审核文件后，对不符合要求的于5个工作日内要求其改正，审核通过者不再单独答复。

第三阶段：备案(9月30日前完成)

根据《管理办法》，各单位定级报告通过保监会或保监局审核后，对重要信息系统安全等级确定为二级以上的信息系统应到公安部网站下载《信息系统安全等级保护备案表》(见附件4)和辅助备案工具，并持填写的备案表和利用辅助备案工具生成的备案电子数据文件，到公安机关办理备案手续(保险行业协会确定的信息系统、保险总公司统一定级的跨省联网运营的信息系统，向公安部备案;保险公司分公司将总公司定级的跨省联网在当地运行、应用的分支系统以及在当地分公司独立运行的信息系统，向当地省级公安机关备案)。备案完成后，各级单位将备案证明复印件报相对应的保险监管机构存档。

涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级保护备案表》(见附件5)，按照属地化管理原则，将所确定的涉密信息系统，报送相对应的保密部门备案。备案完成后，各级单位将备案证明复印件报相对应的保险监管机构存档。

如果想了解相关法规解析和案例可关注佰佰安全网的安全说法频道。让你的生活更安心。

( 责任编辑: 赵骏 )