互聯網信息安全管理系統使用及運行維護管理辦法(試行)
互聯網信息安全管理系統使用及運行維護管理辦法(試行)
為了維護互聯網信息安全，使之能夠安全可靠運行，有效發揮系統作用，工業和信息化部特制定了《互聯網信息安全管理系統使用及運行維護管理辦法》。
頒佈單位：工業和信息化部
文 號：工信廳網安〔2016〕135號
頒佈時間：2016-09-07
實施時間：2016-09-07
時 效 性：現行有效
效力級別：部門規章
第一章 總 則
第一條為規範互聯網信息安全管理系統使用及運行維護工作，保障系統安全可靠運行，有效發揮系統作用，根據《全國人民代表大會常務委員會關於加強網絡信息保護的決定》《中華人民共和國反恐怖主義法》《中華人民共和國國家安全法》《中華人民共和國電信條例》《互聯網信息服務管理辦法》等法律法規，制定本辦法。
第二條 本辦法適用於互聯網信息安全管理系統的使用及運行維護。
本辦法所稱互聯網信息安全管理系統，包括全國互聯網信息安全綜合管理系統(以下簡稱部級系統)，各省、自治區、直轄市通信管理局互聯網信息安全管理系統(以下簡稱省級系統)及從事互聯網數據中心(含互聯網資源協作服務)、互聯網接入服務、內容分發網絡服務等電信業務經營者(以下簡稱企業)按照有關管理規定和通信行業標準，建設或租用的互聯網信息安全管理系統(以下簡稱企業系統)。
第三條 工業和信息化部負責對互聯網信息安全管理系統的使用及運行維護，以及系統的對接聯動工作進行指導、監督和協調，負責部級系統的使用及運行維護。
各省、自治區、直轄市通信管理局(以下統稱通信管理局)負責對本轄區內企業系統的使用和運行維護工作進行指導、監督和協調，負責本省(區、市)省級系統的使用及運行維護，以及本省(區、市)省級系統與部級系統的對接聯動。
工業和信息化部和通信管理局統稱電信管理機構。
第四條 企業負責本企業系統的使用及運行維護，以及本企業系統與部級系統或省級系統的對接聯動。
第二章 使用要求
第五條企業應按照有關管理規定和通信行業標準，進行企業系統基礎數據和活躍資源數據的管理、核驗和上報，確保數據完整、準確。企業應按照電信管理機構的要求，改正未上報、上報錯誤或上報不一致的異常數據，並於5個工作日內重新上報。
電信管理機構應進行系統數據審核。工業和信息化部發現全國省級系統和企業系統上報異常數據的，應要求相應系統及時改正和重新上報。通信管理局發現本轄區內企業系統上報異常數據的，應要求相應系統及時改正和重新上報。
第六條工業和信息化部利用部級系統向省級系統或企業系統下達違法信息監測與處置要求。緊急情況下，工業和信息化部可直接通過部級系統採取違法信息處置措施。
通信管理局利用省級系統向本轄區內企業系統下達違法信息監測與處置要求。需要向本轄區外企業系統下達處置要求的，通信管理局應向相關省(區、市)省級系統發送違法信息處置跨省協辦要求，由相關省(區、市)通信管理局執行。
企業應利用企業系統對所傳輸的信息進行監測，發現法律、法規禁止發佈或者傳輸的信息應及時處置。企業收到部級系統或省級系統下達的違法信息監測與處置要求，應按要求執行。
第七條 電信管理機構按照以下規定處置違法網站：
(一)對於已列入黑名單管理的違法網站，電信管理機構依據《關於建立境內違法互聯網站黑名單管理制度的通知》(工信部聯電管〔2009〕371號)等規定，對其進行監測與處置。
(二)對於尚未納入黑名單管理的違法網站，電信管理機構在收到互聯網相關管理部門對其進行緊急處置的函請後，可利用部級系統或省級系統向企業系統下達違法網站處置要求，並依法進行處罰。
企業收到部級系統或省級系統下達的違法網站處置要求，應按要求執行。
第八條通信管理局應在收到部級系統或他省省級系統下達的一般要求後1個工作日內，或收到緊急要求後2個小時內進行確認，有異議的可退回，並註明原因，無異議的應立即轉發本轄區內企業系統執行。
第九條 企業應按照有關法律法規、管理規定和通信行業標準要求利用本企業系統留存訪問日誌，並在國家有關機關依法查詢時，予以提供。
電信管理機構向企業系統下達訪問日誌查詢要求的，企業應在收到要求後2個小時內報告查詢結果。
第三章 運行維護要求
第十條電信管理機構和企業應建立互聯網信息安全管理系統運行維護管理和故障處理機制，對本系統的運行和對接情況進行7*24小時實時監測，發現系統故障及時修復。
如系統故障無法及時修復，造成或可能造成嚴重後果的，通信管理局應當及時報告工業和信息化部，企業應及時報告對接系統所屬電信管理機構。
第十一條 電信管理機構應根據本互聯網信息安全管理系統運行實際情況，進行系統擴容、升級或改造。
企業應做到本互聯網信息安全管理系統與其網絡和業務發展同步擴容、升級或改造，確保系統對其網絡和業務的全面覆蓋。有關管理規定及通信行業標準變更時，企業應按要求完成企業系統擴容、升級或改造。企業應在系統擴容、升級或改造前5個工作日向對接系統所屬電信管理機構報告。
電信管理機構和企業應確保系統的擴容、升級或改造不得妨礙其正常使用。
第十二條 電信管理機構和企業應按照有關管理規定和通信行業標準對本互聯網信息安全管理系統開展網絡安全防護工作。
第十三條電信管理機構和企業應對本互聯網信息安全管理系統工作人員依法依規實施權限管理，進行系統操作日誌記錄與定期審計，並保留至少6個月的操作日誌與審計記錄。
第十四條 電信管理機構和企業應採取數據安全保護措施，防止用户數據、日誌信息和任務信息等數據發生泄漏、毀損或者丟失。
發生或可能發生數據泄漏、毀損或者丟失的，電信管理機構或企業應及時採取補救措施。造成或可能造成嚴重後果的，通信管理局應當及時向工業和信息化部報告，企業應當及時向對接系統所屬電信管理機構報告。
第四章 配套要求
第十五條 電信管理機構和企業應確立本互聯網信息安全管理系統的使用與運行維護責任部門和責任人。
通信管理局和企業應設立系統工作聯繫人，並分別向工業和信息化部和對接系統所屬電信管理機構報告，工作聯繫人信息發生變化的，通信管理機構或企業應在5個工作日內重新報告。
第十六條 電信管理機構和企業應對本互聯網信息安全管理系統相關工作人員進行系統使用、運行維護、安全管理的培訓。
第十七條 通信管理局利用本省(區、市)省級系統對外提供協助服務的，應符合以下要求：
(一)不得超出法律法規、管理規定賦予的職責範圍;
(二)與服務對象書面確定雙方權利義務和安全責任;
(三)每年將對外服務情況(服務對象、方式、內容、時間等)報工業和信息化部備案;
(四)工業和信息化部要求的其他條件。
未經電信管理機構允許，企業不得利用本企業系統對外提供服務。
第五章 附則
第十八條 通信管理局和企業應根據本辦法制定省級系統和企業系統的使用及運行維護管理實施細則。
第十九條 本辦法所稱有關管理規定和通信行業標準見附件。
第二十條 本辦法自發布之日起施行。
