广东省计算机信息系统安全保护条例(征求意见稿)

广东省计算机信息系统安全保护条例（征求意见稿,截止到11月20日）  

第一章  总则

第一条  为保护计算机信息系统安全，根据《中华人民共和国计算机信息系统安全保护条例》及有关法律法规，结合本省实际，制定本条例。

第二条  本条例所称的计算机信息系统，是指由计算机、智能终端等电子装置及其相关的和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统或者网络。

第三条  本条例适用于本省行政区域内计算机信息系统的安全保护。

第四条  计算机信息系统的安全保护，应当保障计算机、智能终端及其相关的和配套的设备、设施、网络和环境的安全，保障运行的安全，保障数据的安全，保障传播内容的合法，以确保计算机信息系统功能的正常发挥，维护正常的社会秩序和公共利益。

第五条  县级以上人民政府公安机关主管本行政区域内计算机信息系统的安全保护工作。

县级以上人民政府国家安全机关、保密行政管理部门、密码管理部门和其他有关部门在各自职责范围内做好计算机信息系统的安全保护工作。

第六条  任何组织或者个人，不得利用计算机信息系统从事危害国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的活动，不得危害计算机信息系统的安全。

第二章  安全管理

第七条  计算机信息系统实行安全等级保护。

计算机信息系统安全等级保护按照国家规定的标准和要求，坚持自主定级、自主保护的原则。

第八条  计算机信息系统安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的重要程度，计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定，分为五级：

（一）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益的，为第一级；

（二）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益产生严重损害，或者可能对社会秩序和公共利益造成损害，但不损害国家安全的，为第二级；

（三）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成严重损害，或者可能对国家安全造成损害的，为第三级； 

（四）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成特别严重损害，或者可能对国家安全造成严重损害的，为第四级；

（五）计算机信息系统受到破坏后，可能对国家安全造成特别严重损害的，为第五级。

第九条  计算机信息系统需求分析、规划、立项、设计、建设、维护、废弃应当同步执行相应的信息安全要求，落实相应的安全措施。

第十条  计算机信息系统的运营、使用单位应当落实信息安全领导责任制，按照国家有关规定，建立、健全计算机信息系统安全管理制度，落实安全管理人员，负责计算机信息系统的安全保护工作。

计算机信息系统信息服务提供者应当设立信息审查员，负责信息审查工作。

第二级以上计算机信息系统的运营、使用单位应当建立安全保护组织，并报地级以上市人民政府公安机关备案。

第十一条  计算机信息系统应当在立项时进行定级，立项通过后三十日内，到地级市以上人民政府公安机关备案。

第十二条  计算机信息系统备案后，对符合安全等级保护要求的，公安机关应当在收到备案材料之日起十个工作日内颁发计算机信息系统安全等级保护备案证明；对不符合安全等级保护要求的，应当在收到备案材料之日起十个工作日内通知备案单位予以纠正。

运营、使用单位或者其主管部门重新确定计算机信息系统等级的，应当按照本条例向公安机关重新备案。

第十三条  在计算机信息系统设计和建设中，运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准，根据所确定的安全保护等级，使用信息技术产品，建设安全保护技术措施，制定并落实安全管理制度。

第三级以上计算机信息系统以及政府投资的计算机信息系统应当选择使用符合以下条件的信息技术产品或服务：

（一）产品研制、生产单位或服务提供单位是由中国公民、法人投资或者国家投资或者控股的，在境内具有独立的法人资格；

（二）产品的核心技术、关键部件具有我国自主知识产权；

（三）产品研制、生产单位或服务提供单位及其主要业务、技术人员无犯罪记录； 

（四）产品或服务所使用的工具没有设置漏洞、后门、木马等程序和功能；

（五）对国家安全、社会秩序、公共利益不构成危害；

（六）经过符合国家规定的安全等级测评机构评估符合上述要求。

对于第二款第（一）项规定的单位无法研制、生产的信息技术产品或提供的服务，可选用其他研制、生产单位研制、生产的信息技术产品或提供的服务，但应符合第二款第（三）项至第（六）项的要求。

第三级以上计算机信息系统以及政府投资的计算机信息系统的数据中心必须设在境内。

第十四条  第二级以上计算机信息系统运营、使用单位或者其主管部门应当在计算机信息系统试运行期间选择符合国家规定的安全等级测评机构开展信息安全等级保护测评，测评合格后方可投入使用。

第二级以上计算机信息系统验收文档应当含有测评报告。

第十五条  计算机信息系统的运营、使用单位及其主管部门应当按照国家规定定期对计算机信息系统开展安全等级测评，并对计算机信息系统安全状况、安全管理制度及措施的落实情况进行自查。

计算机信息系统安全状况经测评或者自查，未达到安全等级保护要求的，运营、使用单位应当进行整改。

第十六条  计算机信息系统的运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，按照国家有关规定如实提供有关计算机信息系统安全保护的信息、资料及数据文件。

对计算机信息系统中发生的案件和重大安全事故，计算机信息系统的运营、使用单位应当在二十四小时内报告县级以上人民政府公安机关，并保留有关原始记录。

第十七条  第二级以上计算机信息系统的运营、使用单位应当制定重大突发事件应急处置预案。

第二级以上计算机信息系统发生重大突发事件，有关单位应当按照应急处置预案的要求采取相应的处置措施，并服从公安机关和国家指定的专门部门的调度。

第十八条  第二级以上计算机信息系统的运营、使用单位应当建立并执行下列安全管理制度： 

（一）计算机机房安全管理制度；

（二）安全责任制度；

（三）网络安全漏洞检测和系统升级制度；

（四）系统安全风险管理和应急处置制度；

（五）操作权限管理制度；

（六）用户登记制度；

（七）重要设备、介质管理制度；

（八）信息发布审查、登记、保存、清除和备份制度；

（九）信息群发服务管理制度。

第十九条  第二级以上计算机信息系统的运营、使用单位应当采取下列安全保护技术措施：

（一）系统重要部分的冗余或者备份措施；

（二）计算机病毒防治措施；

（三）网络攻击防范和追踪措施；

（四）安全审计和预警措施；

（五）系统维护和用户使用日志记录保存措施；

（六）记录用户账号、主叫电话号码和网络地址的措施；

（七）身份登记和识别确认措施；

（八）垃圾信息、有害信息防治措施；

（九）信息群发限制措施。

提供第三方应用软件发布和下载服务的，应当具有软件上线前安全检测措施。

第二十条  接入服务提供者、数据中心服务提供者、域名服务提供者、信息服务提供者及其营销服务渠道为用户提供接入、数据中心、域名注册和解析服务、信息发布服务，应当要求用户提供真实身份信息进行有效校验并长期留存。用户未提供真实身份信息的，应当停止提供服务。用户登记信息应当长期留存。

接入服务提供者应当具有防范用户伪造码号拔打网络电话的措施。

第二十一条  计算机信息系统的运营、使用单位对维护和用户使用日志应当留存1年以上。

信息服务提供者为用户提供信息发布服务，对所发布的信息内容应当留存6个月以上。

第二十二条  涉密计算机信息系统应当依据国家信息安全等级保护的要求，按照国家有关涉密计算机信息系统分级保护的管理规定和技术标准，结合计算机信息系统实际情况进行保护。

第二十三条   涉密计算机信息系统按照涉密程度分为绝密级、机密级、秘密级。建设使用单位根据涉密计算机信息系统所存储、处理信息的最高密级确定系统的密级，按照分级保护要求采取相应的安全保密防护措施。

第二十四条  涉密计算机信息系统建设使用单位应当将涉密计算机信息系统定级和建设使用情况及时报业务主管部门和负责系统审批的保密行政管理部门备案，并接受保密行政管理部门的监督、检查、指导。

第二十五条  涉密计算机信息系统投入使用前，应当由国家保密行政管理部门设立或者授权的保密测评机构进行检测评估，并经地级以上市保密行政管理部门审查合格后，方可投入使用。

第二十六条  计算机信息系统安全等级保护中密码的配备、使用和管理等，应当按照国家密码管理的有关规定执行。

第三章  安全秩序

第二十七条  任何单位和个人不得利用计算机信息系统制作、传播、复制下列信息：

（一）反对宪法确定的基本原则的； 

（二）危害国家统一、主权和领土完整的； 

（三）泄露国家秘密，危害国家安全或者损害国家荣誉和利益的；

（四）煽动民族仇恨、民族歧视，破坏民族团结或者侵害民族风俗、习惯的；

（五）破坏国家宗教政策，宣扬邪教、迷信的；

（六）散布谣言，发布虚假信息，扰乱社会秩序，破坏社会稳定的；

（七）煽动聚众滋事，损害社会公共利益的；

（八）散布诈骗、淫秽、色情、赌博、暴力、凶杀、恐怖，传授犯罪手段，教唆犯罪，制造或者销售违禁品、管制物品的；

（九）侮辱或者诽谤他人，侵害他人合法权益的；

（十）其他法律法规禁止的内容。

第二十八条  任何单位和个人不得利用计算机信息系统实施下列行为：

（一）未经允许进入计算机信息系统或者非法占有、使用、窃取计算机信息系统资源； 

（二）窃取、骗取、夺取计算机信息系统控制权；

（三）擅自向第三方公开他人电子邮箱地址和其他个人信息资料;

（四）窃取他人账号和密码，或者擅自向第三方公开他人账号和密码；

（五）开设假冒网站、假冒他人名义或者伪造码号发送信息；

（六）有偿提供删除信息服务；

（七）未经允许，对计算机信息系统功能进行删除、修改、增加或者干扰；

（八）未经允许，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；

（九）故意制作、传播计算机病毒、恶意软件等破坏性程序;

（十）生产、销售、提供专门用于侵入、非法控制、干扰计算机信息系统或者伪造码号发送信息的程序、工具；

（十一）危害计算机信息系统安全的其他行为。

任何单位和个人不得故意为第二十七条和前款所列行为提供产品、技术或者服务。

第二十九条  任何单位和个人不得利用计算机信息系统实施下列危害国家秘密的行为：

（一）在互联网及其他公共信息网络传递国家秘密；

（二）将涉密计算机、涉密存储设备接入互联网及其他公共信息网络；

（三）在未采取防护措施的情况下，在涉密计算机信息系统与互联网及其他公共信息网络之间进行信息交换；

（四）使用非涉密计算机、非涉密存储设备存储、处理国家秘密信息；

（五）擅自卸载、修改涉密计算机信息系统的安全技术程序、管理程序；

（六）将未经安全技术处理的退出使用的涉密计算机、涉密存储设备赠送、出售、丢弃或者改作其他用途。

第三十条  提供互联网上网服务的场所应当安装国家规定的安全管理系统。

接入互联网的计算机信息系统的运营、使用单位和互联网服务单位采取的安全保护技术措施，应当具有符合公共安全行业技术标准的联网接口。采用加密技术的，还应当为公安机关提供解密的技术支持。

第三十一条  接入服务提供者、信息服务提供者以及数据中心服务提供者应当加强对本网络用户的安全宣传，落实安全保护措施，确保网络正常运行。发现有害信息应当保存有关记录，及时采取删除、停止传输、关停账号或者服务等技术措施，同时报告公安机关，配合公安机关查处违法犯罪行为。

公安机关发现有害信息的，应当通知有关单位根据前款规定采取措施并依法查处。

第三十二条  生产、销售或者提供含有计算机信息网络远程控制、漏洞检测、信息群发技术的产品和工具的，应当报地级以上市人民政府公安机关备案。

第三十三条  计算机信息系统安全等级测评机构等安全服务机构和从事计算机信息系统安全保护工作的人员应当保守用户秘密, 不得擅自向第三方泄露用户信息，不得非法占有、使用用户的信息资源。

任何单位和个人不得擅自公开或向第三方泄露他人计算机信息系统的安全隐患信息。

第四章  安全监督

第三十四条  公安机关、国家安全机关、保密行政管理部门、密码管理部门等有关部门应当按照国家规定，对计算机信息系统运营、使用单位的安全保护工作进行监督管理。

第三十五条  公安机关应当为公众提供计算机信息系统安全指导，加强安全动态分析，积极开展安全宣传，推动计算机信息系统安全保护能力的提高。

公安机关应当加强对计算机信息系统安全服务机构的指导，推动安全服务质量和技术水平的提高。

第三十六条  地级以上市人民政府公安机关、国家安全机关为保护计算机信息系统安全，在发生重大突发事件，危及国家安全、公共安全及社会稳定的紧急情况下，或者为了制止通过计算机信息系统实施的违法犯罪，可以采取二十四小时内停止服务、暂时停机、暂停联网、备份数据等措施。

计算机信息系统的运营、使用单位应当予以配合。

第三十七条  地级市以上人民政府公安机关应当对第三级、第四级计算机信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级计算机信息系统每年至少检查一次，对第四级计算机信息系统每半年至少检查一次。

对第五级计算机信息系统，应当由国家指定的专门部门进行检查。

第三十八条  公安机关发现计算机信息系统的安全保护等级和安全措施不符合国家信息安全等级保护管理规范和技术标准，或者存在安全隐患的，应当通知运营、使用单位进行整改。运营、使用单位应当按照整改通知要求进行整改，并将整改报告向公安机关备案。

第三十九条  地级市以上人民政府公安机关和人事部门应当组织计算机信息系统的运营、使用单位的安全保护组织成员、管理责任人、信息审查员参加信息安全专业技术培训。

第四十条  保密行政管理部门依法对涉密计算机信息系统分级保护工作实施指导、监督和检查，具体负责下列工作：

（一）指导涉密计算机信息系统建设使用单位规范信息定密，合理确定系统密级和保护等级；

（二）参与涉密计算机信息系统分级保护方案审查论证，指导建设使用单位做好保密设施的同步规划设计；

（三）依法对涉密计算机信息系统集成资质单位进行监督管理；

（四）组织开展系统测评和审批工作，监督检查建设使用单位涉密计算机信息系统分级保护管理和技术防护措施落实情况；

（五）开展对涉密计算机信息系统投入运行使用后的安全保密检查和风险评估工作，绝密级计算机信息系统每年至少进行1次，机密级和秘密级计算机信息系统每两年至少进行1次；

（六）了解掌握各级各类涉密计算机信息系统的管理使用情况，及时发现和查处各种违规行为和泄密事件。

第四十一条  密码管理部门应当对计算机信息系统安全保护工作中密码配备、使用和管理的情况进行检查和测评，发现存在安全隐患、违反密码管理相关规定或者未达到密码相关标准要求的，应当按照国家密码管理的相关规定进行处置。

第五章  法律责任

第四十二条  违反本条例，有下列行为之一的，由公安机关责令限期改正，给予警告；逾期不改的，对单位的主管人员、其他直接责任人员可以处五千元以下罚款，对单位可以处一万五千元以下罚款:

（一）第二级以上计算机信息系统的运营、使用单位违反本条例第十条第三款规定，未建立安全保护组织的；

（二）第二级以上计算机信息系统的运营、使用单位违反本条例第十四条第一款规定，计算机信息系统投入使用前未经符合国家规定的安全等级测评机构测评合格的;

（三）计算机信息系统的运营、使用单位未依照本条例第十六条第一款规定如实提供有关计算机信息系统安全保护的信息、资料及数据文件的；  

（四）第二级以上计算机信息系统的运营、使用单位违反本条例第十七条第二款规定，在重大突发事件应急处置中不服从公安机关和国家指定的专门部门调度的；

（五）第二级以上计算机信息系统的运营、使用单位未依照本条例第十八条规定建立安全管理制度的；

（六）第二级以上计算机信息系统的运营、使用单位未依照本条例第十九条规定采取安全保护技术措施的；

（七）接入服务提供者、数据中心服务提供者、信息服务提供者及其营销服务渠道违反本条例第二十条第一款规定，未记录、校验和长期留存用户真实身份信息，或者为未提供真实身份信息的用户提供服务的；

（八）接入服务提供者违反第二十条第二款规定，未落实防范用户伪造码号拔打网络电话的措施；

（九）计算机信息系统运营、使用单位违反本条例第二十一条第一款规定，对计算机信息系统的维护和用户使用日志未留存1年以上的；

（十）信息服务提供者违反本条例第二十一条第二款规定，未将用户发布的信息内容留存6个月以上的；

（十一）提供互联网上网服务的场所违反本条例第三十条第一款规定，未安装国家规定的安全管理系统的；

（十二）接入互联网的计算机信息系统的运营、使用单位和互联网服务单位违反本条例第三十条第二款规定，采取的安全保护技术措施不具有符合公共安全行业技术标准的联网接口或者拒绝为公安机关提供解密技术支持的；

（十三）接入服务提供者、信息服务提供者以及数据中心服务提供者违反本条例第三十一条规定，发现有害信息不及时采取删除、停止传输、关停账号或者服务等技术措施的；

（十四）计算机信息系统的运营、使用单位违反第三十六条第二款规定，不配合公安机关、国家安全机关依法采取停止服务、暂时停机、暂停联网、备份数据等措施的；

（十五）含有计算机信息网络远程控制、漏洞检测、信息群发技术的产品和工具的生产者、销售者或者提供者违反本条例第三十二条规定，没有向地级以上市人民政府公安机关备案的。

前款第（一）项至第（十四）项行为，有违法所得的，没收违法所得；情节严重的，并给予六个月以内的停止联网、停机整顿的处罚；必要时公安机关可以建议原许可机构撤销许可或者取消联网资格。

第四十三条  违反本条例第二十七条、第二十八条第一款第（一）项、第（二）项、第（五）项、第（六）项、第（七）项、第（八）项、第（九）项、第（十）项和第二款规定的，违反第二十八条第（三）项、第（四）项规定窃取他人账号和密码、以营利或者非正当使用为目的擅自向第三方公开他人电子邮箱地址和其他个人信息资料、以非正当使用为目的擅自向第三方公开他人账号和密码的，由公安机关给予警告，有违法所得的，没收违法所得；对个人可以并处五千元以下罚款，对单位可以并处一万五千元以下罚款；情节严重的，并可以给予六个月以内停止联网、停机整顿的处罚；必要时公安机关可以建议原许可机构撤销许可或者取消联网资格；违反《中华人民共和国治安管理处罚法》的，依法予以处罚；构成犯罪的，依法追究刑事责任。

第四十四条  计算机信息系统的运营、使用单位违反本条例第十一条规定，没有向地级以上市人民政府公安机关备案的，或者违反本条例第三十八条规定，接到公安机关要求整改的通知后拒不按要求整改的，由公安机关处以警告或者停机整顿。

第四十五条  违反本条例第二十四条、第二十五条、第二十六条、第二十九条和其他有关保密管理和密码管理规定的，由保密行政管理部门或者密码管理部门按照职责分工责令限期改正；逾期不改的，给予警告，并向其上级主管部门通报情况，建议对其主管人员和其他直接责任人员予以处理；构成犯罪的，依法追究刑事责任。

第四十六条  公安机关、国家安全机关、保密行政管理部门、密码管理部门和政府其他有关部门及其工作人员有下列行为之一的，对主管人员、其他直接责任人员，或者有关工作人员给予处分；构成犯罪的，依法追究刑事责任：

（一）利用职权索取、收受贿赂，或者玩忽职守、滥用职权的； 

（二）泄露计算机信息系统的运营、使用单位或者个人的有关信息、资料及数据文件的； 

（三）其他不履行法定职责的。

第六章  附则

第四十七条  本条例所称的安全等级测评，是指对计算机信息系统的安全状况进行测试、评价、判断。

本条例所称的安全服务，是指从事计算机信息系统安全设计、建设、检测、维护、监理、咨询、培训等业务。

本条例所称的重大突发事件，是指有害信息大范围传播、大规模网络攻击、计算机病毒疫情等危害计算机信息系统安全的重大事件。

第四十八条  本条例自    年  月  日起施行。