11.2 公安機關的監督檢查工作內容

11.2公安機關的監督檢查工作內容

11.2.1工作目的

公安機關開展等級保護監督檢查，其目的在於全面了解掌握各行業、各地區、各單位信息安全等級保護定級備案、等級測評、安全建設整改等工作部署和貫徹落實情況，總結開展信息安全等級保護工作的成功經驗，查找分析工作中存在的突出問題，督促、指導各備案單位進一步落實信息安全等級保護制度的各項要求，建立健全等級保護監督檢查工作的長效機制。檢查核實信息系統運營使用、建設單位的等級保護工作開展和落實情況，重點督促、檢查安全設施、安全措施、安全管理制度、安全責任、責任部門和人員。

11.2.2信息安全等級保護監督檢查內容

信息安全等級保護主要圍繞下面10個內容進行全面檢查。

①等級保護工作組織開展、實施情況。安全責任落實情況，信息系統安全崗位和安全管理人員設置情況；

②按照信息安全法律法規、標準規範的要求制定具體實施方案和落實情況；

③信息系統定級備案情況，信息系統變化及定級備案變動情況；

④信息安全設施建設情況和信息安全整改情況；

⑤信息安全管理制度建設和落實情況；

⑥信息安全保護技術措施建設和落實情況；

⑦選擇使用信息安全產品情況；

⑧聘請測評機構按規範要求開展技術測評工作情況，根據測評結果開展整改情況；

⑨自行定期開展自查情況；

⑩開展信息安全知識和技能培訓情況。

具體展開來講，主要項目如下。

1.等級保護工作部署和組織實施情況

①是否下發開展信息安全等級保護工作的文件，出台有關工作意見或方案，了解組織開展信息安全等級保護工作。

②是否建立或明確安全管理機構，落實信息安全責任，落實安全管理崗位和人員。

③是否依據國家信息安全法律法規、標準規範等要求制定具體信息安全工作規劃或實施方案。

④是否制定本行業、本部門信息安全等級保護行業標準規範並組織實施。

2.信息系統安全等級保護定級備案情況

①是否存在未定級、備案信息系統情況以及定級信息系統有關情況，定級信息系統是否存在定級不準。

②現場查看備案的信息系統，核對備案材料，備案單位提交的備案材料是否與實際情況相符合。

③是否補充提交《信息系統安全等級保護備案登記表》表四中有關備案材料。

④信息系統所承載的業務、服務範圍、安全需求等是否發生變化，以及信息系統安全保護等級是否變更。

⑤新建信息系統是否在規劃、設計階段確定安全保護等級並備案。

3.信息安全設施建設情況和信息安全整改情況

①是否部署和組織開展信息安全建設整改工作。

②是否制定信息安全建設規劃、信息系統安全建設整改方案。

③是否按照國家標準或行業標準建設安全設施，落實安全措施。

4.信息安全管制度建立和落實情況

①是否建立基本安全管理制度，包括機房安全管理、網路安全管理、系統運行維護管理、系統安全風險管理、資產和設備管理、數據及信息安全管理、用戶管理、備份與恢復、密碼管理等制度。

②是否建立安全責任制，系統管理員、網路管理員、安全管理員、安全審計員是否與本單位簽訂信息安全責任書。

③是否建立安全審計管理制度、崗位和人員管理制度。

④是否建立技術測評管理制度，信息安全產品採購、使用管理制度。

⑤是否建立安全事件報告和處置管理制度，制定信息系統安全應急處置預案，定期組織開展應急處置演練。

⑥是否建立教育培訓制度，是否定期開展信息安全知識和技能培訓。

5.信息安全產品選擇和使用情況

①是否按照《信息安全等級保護管理辦法》要求的條件選擇使用信息安全產品。

②是否要求產品研製、生產單位提供相關材料。包括營業執照，產品的版權或專利證書，提供的聲明、證明材料，計算機信息系統安全專用產品銷售許可證等。

③採用國外信息安全產品的，是否經主管部門批准，並請有關單位對產品進行專門技術檢測。

6.聘請測評機構開展技術測評工作情況

①是否按照《信息安全等級保護管理辦法》的要求部署開展技術測評工作。對第三級信息系統每年開展一次技術測評，對第四級信息系統每半年開展一次技術測評。

②是否按照《信息安全等級保護管理辦法》規定的條件選擇技術測評機構。

③是否要求技術測評機構提供相關材料。包括營業執照、聲明、證明及資質材料等。

④是否與測評機構簽訂保密協議。

⑤是否要求測評機構制定技術檢測方案。

⑥是否對技術檢測過程進行監督，採取了哪些監督措施。

⑦是否出具技術檢測報告，檢測報告是否規範、完整，檢查結果是否客觀、公正。

⑧是否根據技術檢測結果，對不符合安全標準要求的，進一步進行安全整改。

7.定期自查情況

①是否定期對信息系統安全狀況、安全保護制度及安全技術措施的落實情況進行自查。第三級信息系統是否每年進行一次自查，第四級信息系統是否每半年進行一次自查。

②經自查，信息系統安全狀況未達到安全保護等級要求的，運營、使用單位是否進一步進行安全建設整改。

公安機關在對信息系統檢查時，下發《信息安全等級保護監督檢查通知書》和《信息安全等級保護監督檢查記錄》，就上述檢查內容進行告知。

11.2.3檢查方式和檢查要求

①公安機關開展檢查工作，應當按照「嚴格依法，熱情服務」的原則，遵守檢查紀律，規範檢查程序，主動、熱情地為運營使用單位提供服務和指導。

②檢查工作採取詢問情況，查閱、核對材料，調看記錄、資料，現場查驗等方式進行。

③每年對第三級信息系統的運營使用單位信息安全等級保護工作檢查一次，每半年對第四級信息系統的運營使用單位信息安全等級保護工作檢查一次。公安機關按照「誰受理備案，誰負責檢查」的原則開展檢查工作。具體要求是：對跨省或者全國聯網運行、跨市或者全省聯網運行等跨地域的信息系統，由部、省、市級公安機關分別對所受理備案的信息系統進行檢查。對轄區內獨自運行的信息系統，由受理備案的公安機關獨自進行檢查。對跨省或者全國聯網運行的信息系統進行檢查時，需要會同其主管部門。因故無法會同的，公安機關可以自行開展檢查。

④公安機關開展檢查前，應當提前通知被檢查單位，併發送《信息安全等級保護監督檢查通知書》。

⑤檢查時，檢查民警不得少於兩人，從事檢查工作的民警應當經過省級以上公安機關組織的信息安全等級保護監督檢查崗位培訓。並應當向被檢查單位負責人或其他有關人員出示工作證件。檢查中填寫《信息系統安全等級保護監督檢查記錄》。檢查完畢后，《信息系統安全等級保護監督檢查記錄》應當交被檢查單位主管人員閱后簽字；對記錄有異議或者拒絕簽名的，監督、檢查人員應當註明情況。《信息系統安全等級保護監督檢查記錄》應當存檔備查。

⑥公安機關實施信息安全等級保護監督檢查的法律文書和記錄，應當統一存檔備查。並對檢查工作中涉及的國家秘密、工作秘密、商業秘密和個人隱私等應當予以保密。

⑦對備案單位重要信息系統發生的事件、案件及時進行調查和立案偵查，並制定單位開展應急處置工作，為備案單位提供有力支持。

⑧公安機關進行安全檢查時不得收取任何費用。

11.2.4公安機關對不符合監督檢查工作要求的處理

檢查時，發現不符合信息安全等級保護有關管理規範和技術標準要求，具有下列情形之一的，應當通知其運營使用單位限期整改，併發送《信息系統安全等級保護限期整改通知書》。逾期不改正的，給予警告，並向其上級主管部門通報：

（一）未按照《信息安全等級保護管理辦法》開展信息系統定級工作的；

（二）信息系統安全保護等級定級不準確的；

（三）未按《信息安全等級保護管理辦法》規定備案的；

（四）備案材料與備案單位、備案系統不符合的；

（五）未按要求及時提交《信息系統安全等級保護備案登記表》表四的有關內容的；

（六）系統發生變化，安全保護等級未及時進行調整並重新備案的；

（七）未按《信息安全等級保護管理辦法》規定落實安全管理制度、技術措施的；

（八）未按《信息安全等級保護管理辦法》規定開展安全建設整改和安全技術測評的；

（九）未按《信息安全等級保護管理辦法》規定選擇使用信息安全產品和測評機構的；

（十）未定期開展自查的；

（十一）違反《信息安全等級保護管理辦法》其他規定的。

公安機關針對檢查發現的問題，需要信息系統單位限期整改的，應當出具《整改通知》，自檢查完畢之日起10個工作日內送達被檢查單位。同時，信息系統運營使用單位整改完成後，應當將整改情況報公安機關，公安機關應當對整改情況進行檢查。