LawHub

为了加强计算机信息系统的安全保护工作，维护国家安全、社会秩序和公共利益，促进信息化的健康发展，根据《中华人民共和国计算机信息系统安全保护条例》等法律、法规，结合本市实际，制定本条例。

本条例适用于徐州市行政区域内计算机信息系统及其信息内容的安全保护和监督管理。

市、县（市）、贾汪区公安机关（以下简称公安机关）主管本行政区域内计算机信息系统安全保护工作。 国家安全、文化、保密、信息化管理及其他有关部门，依据各自职责做好计算机信息系统安全保护有关工作。

公安、国家安全、文化、保密、信息化管理及其他有关部门在履行职责过程中，应当维护计算机信息系统运营、使用单位和个人的合法权益，保守其商业秘密和个人隐私。

任何组织或者个人，不得危害计算机信息系统的安全；不得利用计算机信息系统从事危害国家安全、社会秩序、公共利益以及侵害公民、法人和其他组织合法权益的活动。 第二章 安全保护和管理

计算机信息系统实行安全等级保护制度。 计算机信息系统安全保护等级按照国家规定划分为以下五级： （一）计算机信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益的，为第一级； （二）计算机信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全的，为第二级； （三）计算机信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害的，为第三级； （四）计算机信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害的，为第四级； （五）计算机信息系统受到破坏后，会对国家安全造成特别严重损害的，为第五级。

计算机信息系统运营、使用单位应当根据国家有关管理规范、技术标准确定计算机信息系统的安全保护等级，对于新建、改建、扩建的计算机信息系统，运营、使用单位应当在规划、设计阶段确定计算机信息系统的安全保护等级，并同步建设符合该安全保护等级要求的安全保护设施。

第二级以上计算机信息系统投入运行后三十日内，其运营、使用单位应当向市公安机关备案。 市公安机关应当自收到备案材料之日起十日内，对符合安全保护等级要求的，颁发备案证明；对定级不准确的，通知运营、使用单位重新定级后予以备案。

计算机信息系统的结构、处理流程、服务内容等发生变化，致使安全保护等级发生变更的，运营、使用单位应当重新定级、重新备案。 计算机信息系统备案事项发生变更的，运营、使用单位应当自变更之日起三十日内将变更情况报告公安机关。

计算机信息系统运营、使用单位应当使用符合信息系统安全保护等级要求的信息技术产品和依法取得销售许可证的安全专用产品。

计算机信息系统运营、使用单位应当按照国家规定，定期对计算机信息系统安全等级保护状况开展等级测评，对计算机信息系统安全状况、安全保护制度及措施的落实情况进行自查；未达到安全保护等级要求的，应当进行整改。

计算机信息系统运营、使用单位应当明确安全管理责任人、安全管理人员及安全技术人员，建立并执行下列安全保护制度： （一）计算机机房安全管理； （二）网络安全漏洞检测和系统升级管理； （三）信息发布审查、登记、保存、清除和备份； （四）违法犯罪案件报告和协助查处； （五）信息系统安全教育和培训； （六）安全应急处置。

计算机信息系统运营、使用单位应当按照国家规定采取下列安全保护措施： （一）身份登记和识别确认； （二）记录用户账号、主叫号码和网络地址； （三）系统运行和用户使用日志记录保存六十日以上。 第二级以上计算机信息系统运营、使用单位还应当采取下列安全保护措施： （一）系统重要部分的冗余、重要数据备份； （二）计算机病毒防治； （三）网络攻击防范和追踪； （四）安全审计和预警； （五）法律、法规规定的其他安全保护措施。

涉及国家秘密的计算机信息系统的设计实施、定级备案、运行维护和日常保密管理，应当依据国家信息安全等级保护的要求，按照保密部门的有关规定和技术标准执行。 第三章 秩序管理

互联网接入服务、互联网数据中心服务、互联网信息服务的提供者，应当自网络联通之日起三十日内向市公安机关备案。

互联网信息服务的提供者应当采取以下管理措施： （一）确定信息审核人员； （二）防治垃圾信息、违法信息； （三）限制信息群发、匿名信息发送； （四）按照国家规定，删除本网络中含有本条例第十九条内容的地址、目录或者关闭服务器，并保存有关记录。

向社会公众提供互联网上网服务的网吧、宾馆等场所的经营单位应当采取以下安全保护措施： （一）安装并运行国家规定的安全管理系统； （二）对上网人员进行实名登记； （三）记录有关上网信息，登记内容和记录备份保存时间不得少于六十日，在保存期内不得修改或者删除。

任何单位和个人不得利用计算机信息系统实施下列行为： （一）未经允许，进入计算机信息系统或者非法占有、使用、窃取计算机信息系统资源； （二）窃取、骗取、夺取计算机信息系统控制权； （三）未经允许，对计算机信息系统功能进行删除、修改、增加或者干扰； （四）未经允许，对计算机信息系统存储、处理或者传输的数据和应用程序进行删除、修改或者增加； （五）故意制作、传播计算机病毒、恶意软件等破坏性程序； （六）窃取他人账号、密码及其他信息资料； （七）未经允许，提供或者公开他人的信息资料； （八）非法截获、篡改、删除他人电子邮件或者其他数据资料； （九）假冒他人名义发布、发送信息。

任何单位和个人不得利用计算机信息系统制作、复制、传播下列信息： （一）危害国家统一、主权和领土完整的； （二）泄露国家秘密，危害国家安全或者损害国家荣誉和利益的； （三）煽动民族仇恨、民族歧视，破坏民族团结或者侵害民族风俗、习惯的； （四）破坏国家宗教政策，宣扬邪教、迷信的； （五）煽动聚众滋事，损害社会公共利益的； （六）散布谣言，发布虚假信息，扰乱社会秩序，破坏社会稳定的； （七）宣扬淫秽、色情、赌博、暴力、凶杀、恐怖的； （八）教唆犯罪或者传授犯罪方法的； （九）散布他人隐私，或者侮辱、诽谤、恐吓他人的； （十）买卖法律、法规禁止流通的物品的； （十一）提供假票据、假证件的。

计算机信息系统运营、使用单位发现计算机信息系统发生重大安全事故和违法犯罪案件，应当及时采取技术措施予以防护和制止，留存运行日志等原始记录，并在二十四小时内向公安机关报告；涉及其他管理部门职责的，还应当及时报告有关部门。 第四章 监督检查