以下为《网络安全等级保护测评机构管理办法》的无排版文字预览，完整格式请下载

下载前请仔细阅读文字预览以及下方图片预览。图片预览是什么样的，下载的文档就是什么样的。

关于印发《网络安全等级保护测评机构管理办法》的通知

公信安〔2018〕765号

各省、自治区、直辖市公安厅、局网络安全保卫总队，**_*网络安全保卫总队：

　　为进一步加强网络安全等级保护测评机构管理，规范测评行为，提升测评能力和质量，保障国家网络安全等级保护制度深入贯彻实施，我局在近年来工作实践的基础上，组织制定了《网络安全等级保护测评机构管理办法》。现印发各地，请认真贯彻执行。

　　公安部第十一局

　　2018年3月23日

?

网络安全等级保护测评机构管理办法

　　第一章 总则

　　第一条 为加强网络安全等级保护测评机构(以下简称“测评机构”)管理，规范测评行为，提高等级测评能力和服务水平，根据《中华人民共和国网络安全法》和网络安全等级保护制度要求，制定本办法。

　　第二条 等级测评工作，是指测评机构依据国家网络安全等级保护制度规定，按照有关管理规范和技术标准，对已定级备案的非涉及国家秘密的网络(含信息系统、数据资源等)的安全保护状况进行检测评估的活动。

　　测评机构，是指依据国家网络安全等级保护制度规定，符合本办法规定的基本条件，经省级以上网络安全等级保护工作领导(协调)小组办公室(以下简称“等保某某”)审核推荐，从事等级测评工作的机构。

　　第三条 测评机构实行推荐目录管理。测评机构由省级以上等保某某根据本办法规定，按照统筹规划、合理布局的原则，择优推荐。

　　第四条 测评机构联合成立测评联盟。测评联盟按照章程和有关测评规范，加强行业自律，提高测评技术能力和服务质量。测评联盟在国家等保某某指导下开展工作。

第五条 测评机构应按照国家有关网络安全法律法规规定和标准规范要求，为用户提供科学、安全、客观、公正的等级测评服务。

　　第二章 测评机构申请

　　第六条 申请成为测评机构的单位(以下简称“申请单位”)需向省级以上等保某某提出申请。

　　国家等保某某负责受理隶属国家网络安全职能部门和重点行业主管部门的申请，对申请单位进行审核、推荐;监督管理全国测评机构。

　　省级等保某某负责受理本省(区、直辖市)申请单位的申请，对申请单位进行审核、推荐;监督管理其推荐的测评机构。

　　第七条 申请单位应具备以下基本条件：

　　(一)在中华人民共和国境内注册成立，由中国公民、法人投资或者国家投资的企事业单位;

　　(二)产权关系明晰，注册资金 500 万元以上，独立经营核算，无违法违规记录;

　　(三)从事网络安全服务两年以上，具备一定的网络安全检测评估能力;

　　(四)法人、主要负责人、测评人员仅限中华人民共和国境内的中国公民，且无犯罪记录;

　　(五)具有网络安全相关工作经历的技术和管理人员不少于 15 人，专职渗透测试人员不少于 2 人，岗位职责清晰， 且人员相对稳定;

　　(六)具有固定的办公场所，配备满足测评业务需要的检测评估工具、实验环境等;

　　(七)具有完备的安全保密管理、项目管理、质量管理、人员管理、档案管理和培训教育等规章制度;

　　(八)不涉及网络安全产品开发、销售或信息系统安全集成等可能影响测评结果公正性的业务(自用除外);

　　(九)应具备的其他条件。

　　第八条 申请时，申请单位应向等保某某提交以下材料：

　　(一)网络安全等级保护测评机构推荐申请表;

　　(二)近两年从事网络安全服务情况以及网络安全服务项目完整文档和相关用户证明;

　　(三)检测评估工作所需实验环境及测评工具、设备设施情况;

　　(四)有关管理制度情况;

　　(五)申请单位及其测评人员基本情况;

　　(六)应提交的其他材料。

　　第九条 等保某某收到申请材料后，应在10个工作日内组织初审。对符合本办法第七条规定的申请单位，应委托测评联盟对其开展测评能力评估。

　　测评联盟组织专家，根据标准规范对申请单位开展能力评估，出具测评能力评估报告，并及时将能力评估情况反馈等保某某。

　　能力评估不达标的，等保某某应告知申请单位初审未通过。

　　第十条 初审通过的申请单位，应组织本单位人员参加测评师培训。考试合格的，取得测评师证书。

　　测评师分为初级、中级和高级。申请单位应至少有15人获得测评师证书，其中高级测评师不少于1人，中级测评师不少于5人。

　　第十一条 等保某某组织专家对人员培训符合要求的申请单位进行复核。复核通过的，颁发《网络安全等级保护测评机构推荐证书》。

　　第十二条 测评机构实行目录管理，国家等保某某编制《全国网络安全等级保护测评机构推荐目录》，并在中国网络安全等级保护网网站发布并及时更新。

　　省级等保某某应及时将本地测评机构推荐情况报国家等保某某。

　　第十三条 省级等保某某每年年底根据测评工作需求制定下一年度测评机构推荐计划，并报国家等保某某审定。

　　省级以上等保某某受理测评机构申请的时间为每年三月份。

第十四条 测评联盟应组织专家对新推荐测评机构的首个测评项目实施情况进行跟踪评议，并将结果及时报等保某某。等保某某组织进行综合审查。

　　第三章 测评机构和测评人员管理

　　第十五条 测评机构应与被测评单位签署测评服务协议，依据有关标准规范开展测评业务，防范测评风险，客观准确地反映被测评对象的安全保护状况。

　　测评机构应按照统一模板出具网络安全等级测评报告，并针对被测评网络分别出具等级测评报告。

　　对第三级以上网络提供等级测评服务的，测评师人数不得少于4名，其中高级测评师、中级测评师应各不少于1名。

　　第十六条 测评机构应当指定专人管理测评专用章，制定管理规范，不得滥用。

　　出具等级测评报告时，测评机构应加盖等级测评专用章。未加盖专用章的报告，视为无效。

　　第十七条 测评师上岗前，测评机构应组织岗前培训;培训合格的，由测评机构配发上岗证，上岗证发放情况应于发放后5个工作日报等保某某。测评机构应当对测评师开展等级测评业务情况进行考核，并留存相关记录。

　　未取得测评师证书和上岗证的，不得参与等级测评项目。测评师一年内未参与测评活动的，测评联盟应注销其证书。

　　测评师实行年度注册管理。年审时，测评机构应将本机构测评师情况报等保某某注册。测评机构不得采取挂靠或者聘用兼职测评师开展测评业务。

　　第十八条 测评机构应采取管理和技术措施保护测评活动中相关数据和信息的安全，不得泄露在测评服务中知悉的商业秘密、重要敏感信息和个人信息;未经等保某某同意，不得擅自发布、披露在测评服务中收集掌握的网络信息、系统漏洞、恶意代码、网络攻击等信息。

　　第十九条 测评机构提供测评服务不受地域、行业、领域的限制。测评项目采取登记管理。测评机构在实施测评项目之前，须将测评项目信息及时、准确地填报到网络安全等级保护测评项目登记管理系统(以下简称“项目管理系统”)。

　　测评机构应于测评项目合同签订后或测评活动实施前 5 个工作日内，通过项目管理系统填报测评项目基本情况，不得于测评项目完成后进行补录。由于项目实施变更导致已登记信息与实际情况不符的，应及时修改并说明理由。

　　第二十条 省级以上等保某某对测评机构填报的信息应在5个工作日内进行审核确认。逾期未审核确认的，项目管理系统默认审核通过。测评项目填报登记和审核确认的具体要求，参见《项目管理系统填报指南》。

　　第二十一条 省级以上等保某某在审核确认测评项目登记信息时，发现 内容过长，仅展示头部和尾部部分文字预览，全文请查看图片预览。 法有关规定行为的。

　　第四十六条 测评机构及其测评师违反本办法的相关规定，给网络运营者造成严重危害和损失，构成违法犯罪的，由相关部门依照有关法律、法规予以处理。

　　第四十七条 公安机关有关工作人员在工作中不得利用职权索取、收受贿赂;不得滥用职权、干预测评机构及测评业务正常开展，以及法律法规禁止的其他行为。

　　第四十八条 本办法自发布之日起实施。本办法由国家等保某某负责解释。

　　第四十九条 自本办法实施之日起，《信息安全等级保护测评机构管理办法》、《信息安全等级保护测评机构异地备案实施细则》、各地自行制定的与本办法规定不符的规范性文件一律作废。

　　第五十条 本办法所称“以上”含本数。

[文章尾部最后300字内容到此结束,中间部分内容请查看底下的图片预览]

以上为《网络安全等级保护测评机构管理办法》的无排版文字预览，完整格式请下载

下载前请仔细阅读上面文字预览以及下方图片预览。图片预览是什么样的，下载的文档就是什么样的。