宁夏回族自治区计算机信息系统安全保护条例
- Issuing authority
- 宁夏回族自治区人大常务委员会
- Promulgated
- July 31, 2009
- In force from
- October 1, 2009
- Articles
- 40 articles
宁夏回族自治区
计算机信息系统安全保护条例
（2009年7月31日宁夏回族自治区第十届人民代表大会常务委员会第十一次会议通过）
Chapter 1总则
国家安全机关、保密行政管理部门、密码管理部门、信息化行政主管部门及其他有关部门,在各自职责范围内，依法负责计算机信息系统安全保护的相关工作。
任何组织或者个人,不得利用计算机信息系统从事危害国家利益、社会公共利益和公民、法人及其他组织的合法权益的活动，不得危害计算机信息系统的安全。
Chapter 2安全等级保护
计算机信息系统安全等级保护坚持自主定级、自主保护原则，由运营、使用单位按照下列标准自主定级：
（一）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益的，为第一级；
（二）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全的，为第二级；
（三）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成严重损害，或者对国家安全造成损害的，为第三级；
（四）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害的，为第四级；
（五）计算机信息系统受到破坏后，可能对国家安全造成特别严重损害的，为第五级。
（一）对计算机信息系统进行定级，并按照等级保护管理规范和技术标准实施保护；
（二）新建计算机信息系统的，在规划、设计阶段确定安全保护等级，同步建设符合该安全保护等级要求的信息安全保护设施，落实安全保护措施；
（三）按照计算机信息系统安全保护等级要求，使用取得国家销售许可证的信息安全专用技术产品；
（四）定期对本单位计算机信息系统的安全状况、保护制度和措施进行自查和整改；
（五）计算机信息系统确定为第二级以上保护等级的,应当制定重大突发事件应急处置预案；确定为第三级以上的，应当每年至少进行一次系统安全等级测评；
（六）指定专职人员负责本单位计算机信息系统的安全管理。专职人员应当通过设区的市以上公安机关、人力资源和社会保障部门的专业培训，并取得合格证。
计算机信息系统的结构、处理流程、服务内容等发生变化，致使安全保护等级发生变化，或者因实际需要公安机关要求重新定级的，计算机信息系统运营、使用单位应当重新定级、重新备案。
（一）重要数据库和系统主要设备的冗余或者备份；
（二）计算机病毒的防治；
（三）网络攻击的防范和追踪；
（四）网络安全事件的监测和记录；
（五）身份登记和识别确认；
（六）用户账号和网络地址的记录；
（七）安全审计和预警；
（八）系统运行和用户使用日志记录的保存；
（九）信息群发的控制；
（十）有害信息、垃圾信息的防治；
（十一）法律、法规规定的其他技术保护措施。
鼓励计算机信息系统运营、使用单位采取先进的安全保护技术措施。
Chapter 3涉及国家秘密计算机信息系统管理
涉密系统的安全保护水平，应当不低于计算机信息系统安全等级保护第三级以上的水平。
（一）规划、设计和建设涉密系统时，应当按照国家保密标准配备设施和设备，同步设计和建设，同步运行；
（二）对已建成使用的涉密系统，定期进行安全保密性能测评；
（三）依法对涉密系统存储、处理和传输的信息，按照系统处理信息的最高密级确定保护等级和技术措施，并报保密行政管理部门备案。
涉密系统的安全保密设计方案和实施方案应当经过保密行政管理部门的审查。
设区的市以上保密行政管理部门应当自受理申请之日起二十日内，依据保密技术标准，对涉密系统进行审查。对不符合标准的，不予批准并提出书面整改意见，由使用单位进行整改后重新报批。
未经审查批准的涉密系统，不得存储、处理和传输涉密信息，不得与其他涉密系统互联。
（一）物理隔离；
（二）恶意代码的防护；
（三）身份鉴别和访问控制防护；
（四）涉密移动存储设备监管；
（五）密码保护；
（六）电磁泄漏发射防护；
（七）边界安全防护；
（八）其他需要的保密防护措施。
Chapter 4安全秩序
（一）危害国家统一、主权和领土完整的；
（二）泄露国家秘密、危害国家安全或者损害国家荣誉和利益的；
（三）煽动民族仇恨、民族歧视，或者故意侵害民族风俗、习惯，破坏民族团结的；
（四）煽动聚众滋事，损害社会公共利益的；
（五）散布谣言，扰乱社会秩序、破坏社会稳定的；
（六）宣扬邪教、封建迷信的；
（七）宣扬暴力、凶杀、恐怖、淫秽、色情、赌博的；
（八）教唆犯罪或者传授犯罪方法的；
（九）侮辱、诽谤、恐吓他人，侵害他人合法权益的；
（十）法律、法规禁止制作、传播、复制的其他信息。
（一）未经允许，进入计算机信息系统或者非法占有、窃取、使用计算机信息系统资源；
（二）未经允许，对计算机信息系统的功能或者存储、处理、传输的数据和应用程序进行控制、删除、修改或者增加；
（三）故意制作、传播计算机病毒、恶意软件等破坏性程序；
（四）提供专门用于侵入、非法控制他人计算机信息系统的程序或者工具；
（五）窃取他人账号和密码，或者擅自向第三方公开他人账号和密码；
（六）非法截取、篡改、删除他人电子邮件或者其他数据资料；
（七）假冒他人名义发布、发送信息，或者以其他方式进行网络诈骗；
（八）擅自公开他人的信息资料；
（九）买卖法律、法规禁止流通的物品；
（十）非法提供虚假票据、证件；
（十一）其他危害国家、社会和他人合法权益的行为。
（一）安装并运行国家规定的计算机信息安全管理系统；
（二）对上网人员进行实名登记并记录其上网信息，登记和记录的内容保存时间不少于六十日，在保存期内不得修改或者删除。
互联网服务提供者应当对交互式服务栏目管理者的真实资料和信息发布者的注册信息进行登记，并对发布的信息进行审核。提供互联网接入、服务器托管、虚拟空间出租的单位，应当登记用户的真实资料。
公安机关和国家安全机关查处违法行为时，互联网服务提供者和联网使用单位应当如实提供有关数据文件、原始记录等信息资料。
Chapter 5安全管理
实施监督检查时不得妨碍运营、使用单位的正常工作秩序。能够联合进行监督检查的，应当联合进行。
设区的市以上公安机关应当对计算机信息系统安全等级测评工作进行监督管理。
Chapter 6法律责任
违反《中华人民共和国治安管理处罚法》和《中华人民共和国国家安全法》的，由公安机关和国家安全机关依法予以处罚；构成犯罪的，依法追究刑事责任。
（一）不履行监督检查职责,造成严重后果的；
（二）收到备案材料，不按照规定期限和要求办理的；
（三）接到举报，未依职责处理的;
（四）泄露计算机信息系统运营、使用单位或者个人的有关信息、资料及数据文件的；
（五）有其他徇私舞弊、滥用职权、玩忽职守行为的。
Chapter 7附则
（一）计算机信息系统,是指由计算机及其相关的和配套的设备、设施(含网络)构成的,按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
（二）互联网服务提供者，是指向用户提供互联网接入服务、互联网数据中心服务、互联网信息服务和互联网上网服务的单位。
（三）联网使用单位，是指为本单位应用需要连接并使用互联网的单位。