关于印发《江苏省信息安全风险评估管理办法（试行）》的通知【全文废止】

USHUI.NET^®提示：根据《 江苏省工信厅行政规范性文件清理结果公告》（苏工信法规〔2024〕303号》规定，全文废止
各省辖室网络与信息安全协调小组，省政府各委、办、厅、局，各有关单位：

经省政府同意，现将《江苏省信息安全风险评估管理办法（试行）》印发给你们，请认真贯彻执行。


附件：江苏省信息安全风险评估管理办法（试行）


江苏省网络与信息安全协调小组

二ＯＯ八年十一月二十六日

第一章 总 则
第一条 为规范信息安全风险评估（以下简称“风险评估”）及其管理活动，保障信息系统安全，依据国家有关规定，结合本省实际，制定本办法。
第二条 本省行政区域内信息系统风险评估及其管理活动，适用本办法。
第三条 本办法所称信息系统，是指由计算机、信息网络及其配套的设施、设备构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的运行体系。
本办法所称重要信息系统，是指履行经济调节、市场监管、社会管理和公共服务职能的信息系统。
本办法所称风险评估，是指依据有关信息安全技术与管理标准，对信息网络和信息系统及由其存储、传输、处理的信息的保密性、完整性和可用性等安全属性进行评价的活动。
第四条 县以上信息化主管部门负责本行政区域内风险评估的组织、指导和监督、检查。
跨省或者全国统一联网运行的重要信息系统的风险评估，可以由其行业管理部门统一组织实施。
涉密信息系统的风险评估，由国家保密部门按照有关法律、法规规定实施。
第五条 风险评估分为自评估和检查评估两种形式。
自评估由信息系统的建设、运营或者使用单位自主开展。
检查评估由县以上信息化主管部门在本行政区域内依法开展，也可以由信息系统建设、运营或者使用单位的上级主管部门依据有关标准和规范组织进行，双方实行互备案制度。
第二章 组织与实施
第六条 信息化主管部门应当定期发布本行政区域内重要信息系统目录，制定检查评估年度实施计划，并对重要信息系统管理技术人员开展相关培训。
第七条 江苏省信息安全测评中心为本省从事信息安全测评的专门机构，受省信息化主管部门委托，具体负责对从事风险评估服务的社会机构进行条件审核、业务管理和人员培训，组织开展全省重要信息系统的外部安全测试。
第八条 信息系统的建设、运营或者使用单位可以依托本单位技术力量，或者委托符合条件的风险评估服务机构进行自评估。
第九条 重要信息系统新建、扩建或者改建的，在设计、验收、运行维护阶段，均应当进行自评估。重要信息系统废弃、发生重大变更或者安全状况发生重大变化的，应当及时进行自评估。
第十条 本省行政区域内信息系统应当定期开展风险评估，其中重要信息系统应当至少每三年进行一次自评估或检查评估。在规定期限内已进行检查评估的重要信息系统，可以不再进行自评估。
第十一条 县以上信息化主管部门委托符合条件的风险评估服务机构，对本行政区域内重要信息系统实施检查评估。
第十二条 信息系统的建设、运营或使用单位委托风险评估服务机构开展自评估,应当签订风险评估协议；信息化主管部门委托开展检查评估，受委托的风险评估服务机构应当与被评估单位签订风险评估协议。
对于评估活动可能影响信息系统正常运行的，风险评估服务机构应当事先告知被评估单位，并协助其采取相应的预防措施。
第十三条 风险评估应当出具评估报告。评估报告应当包括评估范围、内容、依据、结论和整改建议等。
风险评估服务机构出具的自评估报告，应当经被评估单位认可，并经双方部门负责人签署后生效。
风险评估服务机构出具的检查评估报告，应当报委托其开展评估的主管部门审定；主管部门应当自收到评估报告之日起10个工作日内，将审定结果和整改意见告知被评估单位。
第十四条 自评估单位应当根据自评估报告进行整改，并自报告生效之日起30日内，将自评估情况和整改方案报本级信息化主管部门备案。
接受检查评估的单位应当自收到检查评估报告之日起30日内，根据整改建议提出整改方案、明确整改时限，报本级信息化主管部门备案。
受委托进行风险评估的服务机构应当指导被评估单位开展整改，并对整改措施的有效性进行验证。
第十五条 信息化主管部门应当定期公布已开展自评估、检查评估单位备案名单，督促未备案单位开展自评估。
第十六条 未发生重大变更的重要信息系统再次进行风险评估的，可以参考前次评估结果，重点评估以下内容：
（一）前次风险评估发现的主要问题及整改情况；
（二）核心网络设备、服务器、安全防护设施、应用软件等系统关键部位发生局部变更后，可能出现的安全隐患；
（三）新的信息技术可能对信息系统安全造成的影响；
（四）其他需要重点评估的内容。
第三章 风险评估机构
第十七条 在本省行政区域内从事自评估服务的社会机构，应当具备下列条件，并报经其所在地省辖市信息化主管部门备案：
（一）依法在中国境内注册成立并在本省设有机构，由中国公民、法人投资或者由其它组织投资；
（二）从事信息安全检测