关于开展保险业（第二批）信息系统安全等级保护定级工作的通知
关于开展保险业（第二批）信息系统安全等级保护定级工作的通知
保监厅发〔2007〕80号
各保监局，各保险公司、保险资产管理公司：
为贯彻落实国家信息安全等级保护制度，现将保险业第二批等级保护定级工作的有关事项通知如下：
一、第二批开展定级工作的单位范围
除第一批单位(保监会及各保监局，中国保险行业协会，中国人民保险集团公司、中国人寿保险（集团）公司、中国再保险（集团）股份有限公司、中国出口信用保险公司、民生人寿保险股份有限公司、阳光保险控股股份有限公司、中国平安保险（集团）股份有限公司、中国太平洋（集团）股份有限公司及其下属各子公司和分公司)以外的所有保险公司和保险资产管理公司。
二、定级依据及定级方法
（一）《信息安全等级保护管理办法》（公通字〔2007〕43号，以下简称“《管理办法》”，附件1）；
（二）《信息安全技术信息系统安全等级保护定级指南》（信安字〔2007〕11号，以下简称“《定级指南》”，附件2）。
三、工作要求及组织方式
各单位应按照“自主定级、自主保护”的工作原则，成立相应的领导及实施机构，结合本单位的实际情况，准确开展信息系统等级保护定级工作。
各保险集团公司、保险控股公司负责本公司信息系统等级保护定级工作以及其下属子公司信息系统等级保护定级工作的组织协调和指导。各保险总公司统一部署本公司和分公司的信息系统等级保护定级工作。
四、定级范围
（一）保险公司和保险资产管理公司经营、管理、办公等重要信息系统（以下简称“重要信息系统”）；
（二）涉及国家秘密的信息系统（以下简称“涉密信息系统”）。
五、主要工作步骤
第一阶段：自主定级（2008年1月20日前完成）
各单位按要求成立相关定级实施机构，对本系统内的重要信息系统和涉密信息系统展开摸底调查，全面掌握信息网络和信息系统的数量、分布、业务类型、系统结构、应用或服务范围等基本情况，按照《管理办法》和《定级指南》的要求，确定定级对象并初步确定保护等级，形成定级报告（报告模板见附件3）。涉密信息系统的等级确定按照国家保密局的有关规定和标准执行。
各公司对本公司内的重要信息系统和涉密信息系统定级进行统一审核。
第二阶段：到公安机关和保密部门备案（2008年1月30日前完成）
根据《管理办法》，各单位对重要信息系统安全等级确定为二级以上的信息系统应到公安部网站下载《信息系统安全等级保护备案表》（见附件4）和辅助备案工具，并持填写的备案表和利用辅助备案工具生成的备案电子数据文件，到公安机关办理备案手续。
在京的保险总公司，对统一定级的跨省联网运营的信息系统，向公安部备案；非在京的保险总公司，对统一定级的跨省联网运营的信息系统，向当地省级公安机关备案；保险公司分公司将总公司定级的跨省联网在当地运行、应用的分支系统，以及在当地分公司独立运行的信息系统，向当地设区的市级以上公安机关备案。
涉密信息系统建设使用单位依据《管理办法》和国家保密局的有关规定，填写《涉及国家秘密的信息系统分级保护备案表》（见附件5），按照属地化管理原则，将所确定的涉密信息系统，报送相对应的保密部门备案。
第三阶段：向保险监管机关报备
各级单位到公安机关和保密部门完成备案10个工作日内，对等级保护定级工作进行总结，并将“等级保护定级情况统计表（附件6）”、工作总结的书面材料和电子版，以及备案证明复印件报相对应的保险监管机构存档。其中，总公司向保监会报备，其他分支机构向所在地保监局报备。
联系人：李春亮、王晓鹏
联系电话：010－66286602
Email: xiaopeng_wang@circ.gov.cn
附件：1、信息安全等级保护管理办法（公通字〔2007〕43号）；2、信息安全技术信息系统安全等级保护定级指南（信安字〔2007〕11号）；3、信息系统安全等级保护定级报告；4、信息系统安全等级保护备案表；5、涉及国家秘密的信息系统分级保护备案表；6、等级保护定级情况统计表。
二○○七年十二月二十七日