关于深圳经济特区计算机信息系统公共安全管理规定(2004修订)

关于深圳经济特区计算机信息系统公共安全管理规定(2004修订)

第一章 总则

第一条 为了保障深圳经济特区(以下简称特区)计算机信息系统安全，维护计算机信息系统公共秩序，促进社会稳定，根据特区实际，制定本规定。

第二条 特区内下列计算机信息系统应用单位(以下简称计算机应用单位)的计算机信息系统公共安全管理(以下简称计算机安全管理)，适用本规定：

(一)计算机信息网络经营、服务单位的计算机信息系统;

(二)国家机关用于存储、处理、传输公用信息和机密资料的计算机信息系统;

(三)金融、证券和公共事业单位的计算机信息系统;

(四)国防建设、尖端科学技术和国家重点经济建设单位的计算机信息系统;

(五)其他对社会公共利益有重大影响的计算机信息系统。

第三条 本规定所称计算机信息系统，是指由计算机及其相关和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

第四条 深圳市人民政府公安机关是特区计算机安全管理工作的行政主管部门(以下简称市主管部门)。其所属的计算机安全管理部门具体承担本规定规定的计算机安全管理工作。

其他有关政府职能部门，在各自职责范围内配合市主管部门，做好计算机安全管理的有关工作。

第五条 市主管部门应积极开展计算机信息系统安全宣传教育和学术交流，指导计算机信息系统安全技术行业协会的活动;为计算机应用单位提供计算机信息系统安全保障体系技术服务。

第二章 计算机应用单位的安全管理

第六条 计算机应用单位应当建立和完善计算机信息系统安全保障体系。

计算机信息系统安全保障体系包括技术安全管理和安全组织管理。技术安全管理包括计算机信息系统实体安全、软件安全、输入输出控制和网络安全的管理以及安全稽核、风险分析等内容;安全组织管理包括建立安全组织和健全各种安全管理制度及制定应急计划等内容。

市主管部门应当监督、指导计算机应用单位建立和完善计算机信息系统安全保障体系。

第七条 市主管部门应当根据计算机应用单位的行业特点，会同市政府有关主管部门发布计算机安全管理行业技术规范，计算机应用单位的安全保障体系不得低于该行业技术规范的最低安全要求。

第八条 计算机应用单位应当确定计算机安全管理责任人。

安全管理责任人应当履行下列职责：

(一)组织宣传计算机安全管理方面的法律、法规和有关政策;

(二)拟定并组织实施本单位计算机安全管理的各项规章制度;

(三)定期组织检查计算机信息系统安全运行情况，及时排除各种安全隐患;

(四)负责组织安全稽核;

(五)负责组织本单位计算机从业人员的安全教育和培训;

(六)发生安全事故或计算机犯罪案件时，立即向市主管部门报告并采取妥善措施，保护现场，避免危害的扩大。

本规定所称的安全事故是指计算机信息系统中出现的因人为或自然因素造成的具有社会危害性的事件;所称的计算机犯罪案件是指针对或利用计算机信息系统的犯罪案件。

第九条 计算机应用单位应当按照计算机安全管理行业技术规范要求，配备计算机安全技术人员。

计算机安全技术人员应履行下列职责：

(一)执行本单位计算机安全管理的各项规章制度;

(二)按照计算机安全管理行业技术规范要求对计算机信息系统安全运行情况进行检查测试，及时排除各种安全隐患;

(三)发生安全事故或计算机犯罪案件时，应当立即向本单位安全管理责任人报告或直接向市主管部门报告，并采取妥善措施，保护现场，避免危害的扩大。

第十条 计算机应用单位使用的计算机信息系统安全专用产品必须符合国家有关技术规范或经过专业检测机构检测不低于本行业计算机安全管理技术规范中的最低安全要求。

前款所称的计算机信息系统安全专用产品是指用于保护计算机信息系统安全的专用硬件和软件产品。

市主管部门应当定期发布通告，公布合格的计算机信息系统安全专用产品目录。

第十一条 计算机应用单位发现计算机信息系统中发生安全事故或计算机犯罪案件时，应当在24小时内向市主管部门报告。

第十二条 计算机信息系统发生突发性事件，可能危及公共安全时，市主管部门有权对计算机应用单位采取暂停联网、停机检查等应急措施。但应当事先协同计算机应用单位做好安全保护工作。

第三章 计算机信息系统安全检测

第十三条　计算机信息系统安全保障体系检测应包括以下内容：

(一)计算机安全管理责任人和安全技术人员;

(二)安全管理制度和安全稽核制度;

(三)计算机硬件性能和机房环境;

(四)计算机系统软件、应用软件和数据库的安全性;

(五)技术安全措施;

(六)技术测试情况。

各行业计算机信息系统安全保障体系的安全要求，由市主管部门会同市有关行业主管部门制定后发布。

第十四条　专业检测机构在检测时应当保障计算机应用单位生产、教学、科研和经营等活动的正常进行，并保守其商业秘密。

计算机应用单位对专业检测机构检测结论有异议的，可要求市主管部门组织复检。

第十五条　计算机应用单位对计算机信息系统进行设备更新或改造时，对安全保障体系产生直接影响的，应当由专业检测机构对受影响的部分进行检测，确保其不低于最低安全要求。

第十六条　市主管部门认为计算机应用单位存在安全隐患时，可委托专业检测机构对其安全保障体系进行检测。发现问题的，由市主管部门责令应用单位限期按照计算机安全管理行业技术规范要求进行改进。

第十七条　依本规定进行的计算机信息系统安全保障体系检测、计算机信息系统安全专用产品最低安全要求检测，由市主管部门核准的具有检测资格的专业检测机构承担。

专业检测机构应按照计算机安全管理行业技术规范进行检测，其出具的检测报告应真实、客观、公正、完整。

计算机信息系统安全保障体系检测报告副本由专业检测机构报市主管部门备案。

第四章　计算机信息安全和有害数据管理

第十八条　计算机应用单位应当制订信息安全管理制度，并对信息进行安全稽核，防止信息被非法增加、删除、修改或复制。

第十九条　计算机应用单位管理和发布的信息应当具有真实性、完整性和可靠性。

第二十条　计算机应用单位应建立计算机信息系统数据备份制度，按照计算机安全管理行业技术规范要求对备份数据进行保存。

第二十一条　任何单位和个人认为计算机信息系统对其合法权益造成侵害的，可以向市主管部门或其他有关主管部门投诉。

市主管部门或其他有关主管部门认为投诉反映的问题可能损害公共安全的，应当进行调查核实;发现计算机应用单位存在安全隐患的，应当责令其改正。