攀枝花市网络安全和数据安全管理办法（暂行）

攀枝花市网络安全和数据安全管理办法（暂行）

　　第一章 总  则

　　第一条 为加强攀枝花市网络安全管理，明确网络安全责任，强化网络安全监督检查和责任追究，健全攀枝花市网络安全保障体系，防范网络安全事件发生，根据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》《互联网政务应用安全管理规定》《党委（党组）网络安全工作责任制实施办法》等，结合攀枝花市实际，制定本办法。

　　第二条 本办法适用于市、县（区）、乡（镇、街道）三级党政机关、国有企事业单位的网络安全工作。

　　第三条 攀枝花市网络安全工作遵循“积极利用、科学发展、依法管理、确保安全”的方针，按照“谁主管谁负责、谁建设谁负责、谁运维谁负责、谁使用谁负责”和“属地管理、逐级负责”“管业务就要管安全”的原则，实行分级管理、分工负责。

　　第四条 本办法所称的信息系统是指由网络和通讯设备、计算机硬件、计算机软件及相关设备组成的对信息进行收集、存储、传输、交换、处理的系统。

　　本办法所称的数据为网络数据，是指任何以电子方式对信息的记录，包括但不限于各类公共数据、用户数据、业务数据、经营管理数据、系统运行和安全数据、个人信息以及数据衍生物。

　　第二章 职责分工

　　第五条 各级党委（党组）对本地区本行业本部门网络安全工作负主体责任，领导班子主要负责人是第一责任人，主管网络安全的领导班子成员是直接责任人。主要承担的网络安全责任是：

　　（一）认真贯彻落实党中央和习近平总书记关于网络安全工作的重要指示精神和决策部署，贯彻落实网络安全法律法规，明确本地区本行业本部门网络安全的主要目标、基本要求、工作任务、保护措施；

　　（二）把网络安全工作纳入重点工作计划和议事议程，加强政策研究和必要投入。每年至少召开一次专题会议，学习网络安全形势政策、部署相关工作，确保网络安全各项任务落实到位；

　　（三）每年12月底前向同级网信部门报告本年度网络安全工作情况，遇到网络安全事件和情况应当及时报告；

　　（四）每年组织开展本地区本行业本部门内网络安全自查，支持配合上级有关主管部门和同级网信部门、公安机关、国家安全机关等部门开展网络安全检查等相关工作，处置网络安全事件；

　　（五）承担本地区本行业本部门内网络安全保护对象的网络安全监督、协调责任，开展网络安全等级保护定级，建立完善网络安全相关制度，确保网络安全保护对象的管理、建设、运行、使用全过程的安全；

　　（六）组织开展网络安全宣传教育。

　　第六条 各级党委（党组）应当明确网络安全工作机构和具体负责人，将责任落实到具体岗位、具体人员。其应当履行的网络安全责任是：

　　（一）建立健全网络安全管理、评价考核制度，拟订关键信息基础设施安全保护计划；

　　（二）组织推动网络安全防护能力建设，开展网络安全监测、检测和风险评估；

　　（三）按照国家、省、市及行业网络安全事件应急预案，制定本行业本单位应急预案，定期开展应急演练，处置网络安全事件；

　　（四）认定网络安全关键岗位，组织开展网络安全工作考核，提出奖励和惩处建议；

　　（五）组织网络安全教育、培训；

　　（六）履行个人信息和数据安全保护责任，建立健全个人信息和数据安全保护制度；

　　（七）对关键信息基础设施设计、建设、运行、维护等服务实施安全管理；

　　（八）按照规定报告网络安全事件和重要事项。

　　第七条 网信部门负责统筹协调网络安全工作和相关监督管理工作。经信、公安、安全、数据和其他有关机关依照有关法律、行政法规的规定，在各自职责范围内负责网络安全保护和监督管理工作。

　　行业主管监管部门对本行业本领域的网络安全负指导监管责任，应当依法开展网络安全检查、处置网络安全事件，并及时将情况通报同级网信部门、公安机关。网信、公安、保密、数据等部门开展网络安全检查、处置网络安全事件时，涉及重要行业的，应当会同相关主管监管部门进行。

　　第三章 网络安全管理

　　第八条 各单位在信息系统建设过程中明确本单位信息系统的主管部门、运营部门、信息化部门、使用部门等管理职责，对本单位运营范围内的信息系统进行等级保护定级、备案、测评、安全建设整改等工作。各单位年度新建信息化项目的网络安全预算原则上不低于项目总预算的5%。

　　第九条 各单位应加强本单位网络安全监测预警力量建设，及时收集、汇总、分析各方网络安全信息，加强威胁情报工作，组织开展网络安全威胁分析和态势研判，及时通报预警和处置，防止网络被破坏、数据外泄等事件。

　　第十条 各单位应建立应急处置机制，通过建立完善应急预案、组织应急演练等方式，有效处理网络中断、网络攻击、数据泄露等安全事件，提高应对网络安全事件能力。积极参加网络安全攻防演练，提升保护和对抗能力。

　　第十一条 各单位在信息系统运营过程中，应每年开展文档核验、漏洞扫描、渗透测试等多种形式的安全自查，及时发现可能存在的安全问题和风险隐患。针对安全自查、监测预警、安全通报等过程中发现的安全问题和风险隐患认真开展整改加固，防止信息系统带病运行，并按要求将安全自查整改情况报上级有关主管部门、同级网信部门和公安机关。自查整改可与等级测评问题整改一并实施。

　　每年安全自查整改工作包括：

　　（一）完成信息资产梳理，摸清本单位信息系统定级、备案等情况，形成资产清单，组织安全自查；

　　（二）依据安全自查结果，对发现的问题和隐患进行整改，于自查结束后5个工作日内，形成整改报告向上级有关主管部门、同级网信部门和公安机关报备。

　　第十二条信息系统和关键信息基础设施运营者应对安全管理机构负责人和关键岗位人员进行安全背景审查。各单位要加强信息系统和关键信息基础设施运营相关人员管理，包括本单位内部人员及第三方人员，明确内部人员入职、培训、考核、离岗全流程安全管理，针对第三方应明确人员接触信息系统和关键信息基础设施时的申请及批准流程，做好实名登记、人员背景审查、保密协议签署等工作，防止因人员资质及违规操作引发的安全风险。

　　第十三条 各单位加强信息系统和关键信息基础设施运维管理，制定运维操作规范和工作流程。加强物理安全防护，完善机房、办公环境及运维现场等安全控制措施，防止非授权访问物理环境造成信息泄露。加强远程运维管理，因业务确需通过互联网远程运维的，应进行评估论证，并采取相应的安全管控措施，防止远程端口暴露引发安全事件。

　　第十四条 各单位应加强业务连续性管理并持续监测信息系统运行状态。根据实际业务需求，对于重要信息系统加强保障关键链路、关键设备冗余备份，建立应用级容灾备份，防止关键业务中断。

　　第十五条 各单位应用大数据、人工智能、区块链等新技术开展服务时，上线前应评估新技术的安全风险并进行安全管控，达到应用与安全的平衡。

　　第十六条 各单位应规范和加强网络数据、个人信息保护和网络安全管理，建立健全信息系统设备招标采购、安装调试、运行使用、维护维修、报废处置等相关网络安全管理制度，定期检查或评估网络设备安全，并采取相应的安全管控措施，确保网络设备安全。

　　第十七条 各单位应关注整个信息系统全链条参与者的安全管理，涉及非本单位的第三方时，应对设计、建设、运行、维护等服务实施安全管理，采购安全的网络产品和服务，防止发生第三方安全事件。

　　第十八条 各单位应加强废止信息系统的安全管理，对废止信息系统的相关设备进行风险评估，及时对其采取封存或销毁措施，确保废止信息系统中的数据处置安全，防止数据泄露。

　　第四章 网络数据安全管理

　　第十九条 各单位应按照有关法律法规的规定，参照国家网络安全标准，履行数据安全保护义务，坚持保障数据安全与发展并重，通过管理和技术手段保障数据安全和数据应用的有效平衡。对信息系统和关键信息基础设施应拟定安全保护计划，建立健全数据安全和个人信息保护制度。

　　第二十条 各单位应建立数据安全管理组织架构，明确业务部门与管理部门在数据安全活动中的主体责任，通过安全责任书等方式，规范本单位数据管理部门、业务部门、信息化部门在数据安全管理全生命周期当中的权责，建立数据安全工作责任制，落实责任追究制度。

　　第二十一条 各单位应每年对数据资产进行全面梳理，在落实网络安全等级保护制度的基础上，加强网络数据安全防护，依据数据的重要程度以及遭到破坏后的危害程度建立本单位数据分类分级标准，采取加密、备份、访问控制、安全认证等技术措施和其他必要措施，保护网络数据免遭篡改、破坏、泄露或者非法获取、非法利用，处置网络数据安全事件，防范针对和利用网络数据实施的违法犯罪活动。数据分类分级应遵循合法合规原则、可执行原则、时效性原则、自主性原则、差异性原则及客观性原则。

　　第二十二条 各单位应建立健全数据安全管理制度、操作规程及技术规范，涉及的管理制度根据实际情况及时定期修改，相关人员每年度签署保密协议。每年对本单位的数据进行数据安全风险评估，及时掌握数据安全状态。加强数据安全教育培训，组织安全意识教育和数据安全管理制度宣传培训。结合本单位实际，建立完善数据使用申请及批准流程，遵循“谁主管、谁审查”、遵循事前申请及批准、事中监管、事后审核原则，严格执行工作程序，指导数据活动流程合法合规。

　　第二十三条 各单位应加强数据收集、存储、传输、处理、使用、交换、销毁全生命周期安全管理工作，数据全生命周期活动应在境内开展，因业务确需向境外提供的，应当按照相关法律法规及有关要求进行安全评估或审核，针对影响或者可能影响国家安全的数据处理活动需提交国家安全审查，防止数据安全事件发生。

　　（一）各单位应加强数据收集合法性管理，明确业务部门和管理部门在数据收集合法性中的主体责任。采取数据脱敏、数据加密、链路加密等防控措施，防止数据收集过程中数据被泄露；

　　（二）各单位在数据分类分级的基础上，进一步明确不同安全级别数据的加密传输要求。加强传输过程中的接口安全控制，确保在通过接口传输时的安全性，防止数据被窃取；

　　（三）各单位应按照有关法规标准，选择合适的数据存储架构和介质在境内存储，并采取备份、加密等措施加强数据的存储安全。涉及到云上存储数据时，各单位应当评估可能带来的安全风险。数据存储周期不应超出数据使用规则确定的保存期限。加强存储过程中访问控制安全、数据副本安全、数据归档安全管控；

　　（四）各单位应严格规定不同人员的权限，加强数据使用过程中的申请及批准流程管理，确保数据在可控范围内使用，加强日志留存及管理工作，杜绝篡改、删除日志的现象发生，防止数据越权使用。各数据使用部门和数据使用人须严格按照申请所述用途与范围使用数据，对数据的安全负责。未经批准，任何部门和个人不得将未对外公开的信息数据传递至部门外，不得以任何方式将其泄露；

　　（五）各单位发布、共享数据时应当评估可能带来的安全风险，并采取必要的安全防控措施；涉及数据上报时，应由数据上报提出方负责解读上报要求，确定上报范围和上报规则,确保数据上报安全可控；

　　（六）各单位开展人脸识别时，应同时提供非人脸识别的身份识别方式，不得因数据主体不同意收集人脸识别数据而拒绝数据主体使用其基本业务功能，人脸识别数据不得用于除身份识别之外的其他目的，包括但不限于评估或预测数据主体工作表现、经济状况、健康状况、偏好、兴趣等。各单位应采取安全措施存储和传输人脸识别数据，包括但不限于加密存储和传输人脸识别数据，采用物理或逻辑隔离方式分别存储人脸识别和个人身份信息等；

　　（七）数据销毁时应采用确保数据无法还原的销毁方式，重点关注数据残留风险及数据备份风险。

　　第五章 监测预警与应急处置

　　第二十四条 按照“分工负责、协作配合、资源共享、力量协同”的原则，开展监测预警和信息通报。各单位应当加强网络安全监测预警能力建设，完善信息通报机制，对本单位及下属单位网络安全状况进行实时监测，及时将监测到的异常情况或汇总数据按要求报送上级有关主管部门和同级网信部门、公安机关，并对管辖范围内发现的风险漏洞和网络安全事件及早预警、及时处置和信息通报。

　　第二十五条 风险漏洞处理实行限期修复，对于通用型网络产品和服务的风险漏洞，应当在厂商和安全机构修复方案公开发布后立即核查警改；对于国家、省、市网信、公安、安全等部门和上级有关主管部门等通报的高危漏洞，应当按照时限要求组织整改。

　　第二十六条 各单位应结合工作实际，组织编制网络安全应急预案，关键信息基础设施运营者组织编制关键信息基础设施应急预案。应急预案制定应详细明确部门（人员）职责、应急处置流程、安全处置措施等内容，各单位应当定期检验评估完善应急预案。

　　第二十七条 根据不同等级、不同类型的网络安全事件，启动相应应急预案，实施有效处置，同时做好信息通报工作。

　　第二十八条 发生网络安全事件的单位应当在事件处置完成后30天内完成事件起因、性质、影响、责任等调查与评估工作提出处理意见和改进措施，并报告上级有关主管部门和同级网信部门、公安机关。

　　第六章 监督考核与责任追究

　　第二十九条 落实网络安全监督检查，监督检查单位对检查发现的问题视严重程度，提出限期整改、立即整改、下线整改等要求，并跟踪整改落实情况。被检查单位应当评估、分析问题产生的原因，采取修补漏洞、系统升级、部署防护措施、完善管理制度等措施进行整改，并按要求反馈整改结果。

　　第三十条 各单位应当建立网络安全责任制考核制度，健全完善考核机制，将网络安全责任落实情况作为网络安全工作检查考核的重要内容，纳入年度目标，并将考核结果作为对领导班子和有关领导干部考核的重要内容。

　　第三十一条 各级党委（党组）应当把网络安全工作纳入年度述职的重要内容，接受监督和评议。

　　第三十二条 健全网络安全责任追究机制，对于造成网络安全事件和不良影响、违反本办法规定等行为，以及监督检查中发现的重大安全隐患，根据有关法律法规和网络安全工作责任制有关规定，判定责任单位和责任人，启动问责程序，进行逐级追责。

　　第三十三条实施责任追究应当实事求是，分清集体责任和个人责任。追究集体责任时，领导班子主要负责人和主管网络安全的领导班子成员承担主要领导责任，参与相关工作决策的领导班子其他成员承担重要领导责任。

　　对领导班子、领导干部进行问责，应当由有管理权限的党组织依据有关规定实施。市、县网信部门可以向实施问责的党委（党组）、纪委（纪检组）提出问责建议。

　　第三十四条 对责任单位的责任追究方式按等级分为：

　　（一）责令整改；

　　（二）警示约谈主管网络安全的领导班子成员；

　　（三）警示约谈领导班子主要负责人；

　　（四）通报批评；

　　（五）涉及违法犯罪的，按照相关法律法规处理。

　　第三十五条 对责任人的责任追究方式按等级分为：

　　（一）责令整改；

　　（二）警示约谈；

　　（三）通报批评；

　　（四）建议调离岗位；

　　（五）建议降职或降级；

　　（六）建议开除或解除劳动合同；

　　（七）涉及违法犯罪的，按照相关法律法规处理。

　　第三十六条 有下列情形之一的，对责任单位，责任人进行提醒，责令整改：

　　（一）通报信息系统存在安全隐患和漏洞，未按期整改，未造成实质性损失、危害或不良影响的；

　　（二）信息系统存在安全隐患和漏洞，未及时处置，可能导致重要数据或个人信息被窃取、泄露、篡改或毁损，未造成实质性损失、危害或不良影响的；

　　（三）互联网政务应用（包括不限于网站、APP、公众号、微博等）存在安全隐患和漏洞，可能导致页面或信息被篡改或毁损的；

　　（四）关键信息基础设施运营者运行的网络安全保护对象存在安全隐患和漏洞，对关键信息基础设施运行安全造成威胁的；

　　（五）未履行本办法相关职责，未落实本办法第三、四、五章相关规定，或其他危害网络安全行为，情节较轻的。

　　第三十七条 有下列情形之一的,对责任单位领导班子主要负责人或主管网络安全的领导班子成员进行警示约谈：

　　（一）信息系统存在安全隐患和漏洞，未及时处置，造成一般损失、危害或不良影响的；

　　（二）重要信息系统存在安全隐患和漏洞，未及时处置，未造成实质性损失、危害或不良影响的；

　　（三）信息系统存在安全隐患和漏洞，未及时处置，导致重要数据或个人信息被窃取、泄露、篡改或毁损，造成一般损失、危害或不良影响的；

　　（四）重要信息系统存在安全隐患和漏洞，未及成处置，可能导致重要数据或个人信息被窃取、泄露、篡改或损毁，未造成实质性损失、危害或不良影响的；

　　（五）互联网政务应用（包括不限于网站、APP、公众号、微博等）存在安全隐患和漏洞，导致被攻击篡改，未造成实质性损失、危害或不良影响的；

　　（六）关键信息基础设施存在安全隐患和漏洞，或关键信息基础设施运营者运行的其他信息系统存在重大安全隐患，对关键信息基础设施运行安全造成严重威胁的；

　　（七）门户网站受到攻击未及时处理，导致网站不可访问，且未按要求上报的；

　　（八）发生其他网络安全事件未及时处置，或未按要求上报的；

　　（九）责令整改事项未按期整改，或年度内责令整改事项反复发生的；

　　（十）未履行本办法相关职责，未落实本办法第三、四、五章相关规定，或其他危害网络安全行为，情节较重的。

　　第三十八条 存在以下情形之一的，对责任单位和相关责任人进行通报批评：

　　（一）信息系统存在安全隐患和漏洞，未及时处置，造成严重损失、危害或不良影响的；

　　（二）重要信息系统存在安全隐患和漏洞，未及时处置，造成一般损失、危害或不良影响的；

　　（三）信息系统存在安全隐患和漏洞，未及时处置，导致大量重要数据或大面积个人信息被窃取、泄露、篡改或毁损，造成严重损失、危害或不良影响的；

　　（四）重要信息系统存在安全隐患和漏洞，未及时处置，导致重要数据或个人信息被窃取、泄露、篡改或损毁，造成一般损失、危害或不良影响的；

　　（五）互联网政务应用（包括不限于网站、APP、公众号、微博等）被攻击篡改，且没有及时组织处置和报告的，造成一般危害或不良影响的；

　　（六）关键信息基础设施遭受网络攻击，没有及时处置导致业务无法正常开展，造成一般损失、危害或者不良影响的；

　　（七）门户网站受到攻击没有及时组织处置和报告，且瘫痪6小时以上的；

　　（八）发生其他网络安全事件未及时处置或未按要求上报的，造成一般损失、危害或不良影响的；

　　（九）警示约谈事项未按期整改，或年度内警示约谈事项反复发生的；

　　（十）未履行办法相关职责，未落实本办法第三、四、五章相关规定，或其他危害网络安全行为，情节严重的。

　　第三十九条 存在以下情形之一的，除对责任单位和相关责任人进行通报批评外，视情节建议责任单位依法采用调离岗位、降职、降级、开除或解除劳动合同等方式对相关责任人给予行政处分和组织处分：

　　（一）重要信息系统存在安全隐患和漏洞，未及时处置，造成严重损失、危害或不良影响的；

　　（二）重要信息系统存在安全隐患和漏洞，未及时处置，导致大量重要数据或者大面积个人信息泄露、篡改或毁损，造成严重损失、危害或不良影响的；

　　（三）互联网政务应用（包括不限于网站、APP、公众号、微博等）被攻击篡改，且没有及时组织处置和报告，导致反动言论或者谣言等违法有害信息大面积扩散的；

　　（四）关键信息基础设施遭受网络攻击，没有及时处置导致影响人民群众工作、生活，或者造成一定经济损失，或者造成严重不良社会影响的；

　　（五）门户网站受到攻击后没有及时组织处置和报告，瘫痪12小时以上，造成严重危害或不良影响的；

　　（六）发生其他网络安全事件未及时处置或未按要求上报造成严重损失、危害或不良影响的；

　　（七）通报批评事项未按期整改，或年度内通报批评事项反复发生的；

　　（八）封锁、瞒报网络安全事件情况，拒不配合有关部门依法开展调查、处置工作，或者对有关部门通报的问题和风险漏洞不及时整改并造成严重后果的；

　　（九）阻碍公安机关、国家安全机关依法维护国家安全、侦查犯罪以及防范、调查恐怖活动，或者拒不提供支持和保障的；

　　（十）其他危害网络安全行为，导致严重后果或情节恶劣的。

　　第四十条 侵害公民个人、法人或者其他组织的合法利益的，依法承担民事责任；涉及违法犯罪的，移送公安机关依法处理。

　　第七章 附  则

　　第四十一条 违反本办法规定，发生个人信息和数据泄露，或者出现重大网络安全事件的，按《中华人民共和国网络安全法》《中华人民共和国密码法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》以及网络安全等级保护制度等法律法规处理。

　　第四十二条 涉及国家秘密的信息系统，按照国家有关规定执行。

　　第四十三条 本办法自印发之日起实施。