關(guān)于加強國家電子政務(wù)工程建設(shè)項目信息安全風(fēng)險評估工作的通知

發(fā)改高技[2008]2071號


中央和國家機關(guān)各部委，國務(wù)院各直屬機構(gòu)、辦事機構(gòu)、事業(yè)單位，各省、自治區(qū)、直轄市及計劃單列市、新疆生產(chǎn)建設(shè)兵團(tuán)發(fā)展改革委、公安廳、保密局：

為了貫徹落實《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號），加強基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全保障，按照《國家電子政務(wù)工程建設(shè)項目管理暫行辦法》（國家發(fā)展和改革委員會令[2007]第55號）的有關(guān)規(guī)定，加強和規(guī)范國家電子政務(wù)工程建設(shè)項目信息安全風(fēng)險評估工作，現(xiàn)就有關(guān)事項通知如下：
一、國家的電子政務(wù)網(wǎng)絡(luò)、重點業(yè)務(wù)信息系統(tǒng)、基礎(chǔ)信息庫以及相關(guān)支撐體系等國家電子政務(wù)工程建設(shè)項目（以下簡稱電子政務(wù)項目），應(yīng)開展信息安全風(fēng)險評估工作。
二、電子政務(wù)項目信息安全風(fēng)險評估的主要內(nèi)容包括：分析信息系統(tǒng)資產(chǎn)的重要程度，評估信息系統(tǒng)面臨的安全威脅、存在的脆弱性、已有的安全措施和殘余風(fēng)險的影響等。
三、電子政務(wù)項目信息安全風(fēng)險評估工作按照涉及國家秘密的信息系統(tǒng)（以下簡稱涉密信息系統(tǒng)）和非涉密信息系統(tǒng)兩部分組織開展。
四、涉密信息系統(tǒng)的信息安全風(fēng)險評估應(yīng)按照《涉及國家秘密的信息系統(tǒng)分級保護(hù)管理辦法》、《涉及國家秘密的信息系統(tǒng)審批管理規(guī)定》、《涉及國家秘密的信息系統(tǒng)分級保護(hù)測評指南》等國家有關(guān)保密規(guī)定和標(biāo)準(zhǔn)，進(jìn)行系統(tǒng)測評并履行審批手續(xù)。
五、非涉密信息系統(tǒng)的信息安全風(fēng)險評估應(yīng)按照《信息安全等級保護(hù)管理辦法》、《信息系統(tǒng)安全等級保護(hù)定級指南》、《信息系統(tǒng)安全等級保護(hù)基本要求》、《信息系統(tǒng)安全等級保護(hù)實施指南》和《信息安全風(fēng)險評估規(guī)范》等有關(guān)要求，可委托同一專業(yè)測評機構(gòu)完成等級測評和風(fēng)險評估工作，并形成等級測評報告和風(fēng)險評估報告。等級測評報告參照公安部門制訂的格式編制，風(fēng)險評估報告參考《國家電子政務(wù)工程建設(shè)項目非涉密信息系統(tǒng)信息安全風(fēng)險評估報告格式》（見附件）編制。
六、電子政務(wù)項目涉密信息系統(tǒng)的信息安全風(fēng)險評估，由國家保密局涉密信息系統(tǒng)安全保密測評中心承擔(dān)。非涉密信息系統(tǒng)的信息安全風(fēng)險評估，由國家信息技術(shù)安全研究中心、中國信息安全測評中心、公安部信息安全等級保護(hù)評估中心等三家專業(yè)測評機構(gòu)承擔(dān)。
七、項目建設(shè)單位應(yīng)在項目建設(shè)任務(wù)完成后試運行期間，組織開展該項目的信息安全風(fēng)險評估工作，并形成相關(guān)文檔，該文檔應(yīng)作為項目驗收的重要內(nèi)容。
八、項目建設(shè)單位向?qū)徟�部門提出項目竣工驗收申請時，應(yīng)提交該項目信息安全風(fēng)險評估相關(guān)文檔。主要包括：《涉及國家秘密的信息系統(tǒng)使用許可證》和《涉及國家秘密的信息系統(tǒng)檢測評估報告》，非涉密信息系統(tǒng)安全保護(hù)等級備案證明，以及相應(yīng)的安全等級測評報告和信息安全風(fēng)險評估報告等。
九、電子政務(wù)項目信息安全風(fēng)險評估經(jīng)費計入該項目總投資。
十、電子政務(wù)項目投入運行后，項目建設(shè)單位應(yīng)定期開展信息安全風(fēng)險評估，檢驗信息系統(tǒng)對安全環(huán)境變化的適應(yīng)性及安全措施的有效性，保障信息系統(tǒng)的安全可靠。
十一、中央和地方共建電子政務(wù)項目中的地方建設(shè)部分信息安全風(fēng)險評估工作參照本通知執(zhí)行。

附件：《國家電子政務(wù)工程建設(shè)項目非涉密信息系統(tǒng)信息安全風(fēng)險評估報告格式》


國家發(fā)展改革委

公 安 部

國 家 保 密 局
二○○八年八月六日