CISP信息安全法规、政策和标准_v30

课程内容（1）信息安全法规与政策知识体知识域信息安全法规知识子域我国信息安全法规体系框架信息安全政策信息安全相关国家法律信息安全相关行政法规和部门规章国外典型信息安全相关法规简介国家信息安全政策概况信息安全相关国家政策国外信息安全相关政策信息安全相关地方法规、规章和行业规定课程内容（2）2信息安全标准知识体知识域信息安全标准基础知识子域信息安全标准化组织信息安全标准体系我国国家标准的类型和代码国际信息安全标准化组织国外信息安全标准化组织我国信息安全标准化组织我国信息安全标准体系国际信息安全标准体系基础标准密码技术标准信息安全等级保护标准体系管理标准标准化的特点和原则标准的作用我国信息安全典型标准介绍技术与机制标准保密技术标准测评标准课程内容（3）3知识体知识域知识子域信息安全道德规范信息技术通行道德规范信息安全从业人员道德规范CISP职业道德准则计算机使用道德规范互联网使用道德规范信息安全从业人员基本道德规范知识域：信息安全法规知识子域：我国信息安全法规体系框架了解信息安全法治建设的意义了解我国信息安全法律法规体系框架4信息安全法治建设的意义信息安全法律环境是信息安全保障体系中的必要环节明确信息安全的基本原则和基本制度、信息安全事物中各方权利义务明确违反信息安全的行为，并对其行为进行相应的处罚信息安全不再只是个技术问题，而更多地是个商业和法律问题信息安全产业的逐渐形成和成熟，需要必要的强制约束与规范5我国的多级立法体系结构6法律行政法规地方性法规地方政府规章全国人大及其常委会国务院地方人大及其常委会地方人民政府部门规章国务院各部委多级立法我国信息安全法律法规体系框架在多级立法的体制下，我国已经先后颁布了一些包含信息安全相关内容的法律、法规、规章等7地方人民政府地方人大及常委会国务院全国人大及其常委会法律行政法规地方性法规地方政府规章部门规章宪法、刑法（部分条款）国家安全法（部分条款）保守国家秘密法电子签名法...计算机信息系统安全保护条例互联网信息服务管理办法商用密码管理条例...公安部（安全专用产品等）原信产部（互联网域名等）国新办（互联网新闻信息服务）保密局（保密等）...国务院各部委北京市信息化促进条例、辽宁省计算机信息系统安全管理条例...北京市公共服务网络与信息系统安全管理规定、上海市公共信息系统安全测评管理办法...《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）我国信息安全法治建设的发展历程通信保密安全计算机系统安全网络信息系统安全1994年2000年2003年保守国家秘密法（1989）（2010年修订）中央关于加强密码工作的决定计算机信息系统安全保护条例（草案）-86计算机信息系统安全保护条例（1994）计算机信息系统安全专用产品检测和销售许可证管理办法-97计算机信息网络国际联网安全保护管理办法-97计算机信息系统保密管理暂行规定-98商用密码管理条例-99关于维护互联网安全的决定（2000）互联网信息服务管理办法计算机病毒防治管理办法计算机信息系统国际联网保密管理规定-008知识域：信息安全法规知识子域：信息安全相关国家法律了解信息保护相关法律理解国家秘密的概念、基本范围和密级划分，以及保护国家秘密相关法律的要求理解商业秘密的概念、基本范围，以及保护商业秘密相关法律的要求理解个人信息的概念、基本范围，以及保护个人信息相关法律的要求理解网络违法犯罪的概念，了解打击网络违法犯罪相关法律了解在保护国家秘密、维护公共安全、规范电子签名行为等方面，我国从法律层面明确的信息安全相关工作的主管/监管机构及其具体职权9我国信息安全法律分类我国信息安全法律分类信息保护相关法律打击网络违法犯罪相关法律信息安全管理相关法律10信息保护相关法律信息保护相关法律保护国家秘密相关法律•《保守国家秘密法》、《刑法》、《全国人民代表大会常务委员会关于维护互联网安全的决定》等保护商业秘密相关法律•《反不正当竞争法》、《合同法》、《劳动法》、《刑事诉讼法》、《民事诉讼法》等保护个人信息相关法律•《宪法》、《居民身份证法》、《护照法》、《民法通则》、《全国人民代表大会常务委员会关于维护互联网安全的决定》、《全国人民代表大会常务委员会关于加强网络信息保护的决定》等11国家秘密国家秘密12国家安全和利益在一定时间内只限一定范围的人员知悉依照法定程序确定国家秘密的基本范围主要包括产生于政治、国防军事、外交外事、经济、科技和政法等领域的秘密事项国家事务重大决策中的秘密事项国防建设和武装力量活动中的秘密事项外交和外事活动中的秘密事项以及对外承担保密义务的秘密事项国民经济和社会发展中的秘密事项科学技术中的秘密事项维护国家安全活动和追查刑事犯罪中的秘密事项党政秘密中符合上述各项内容的事项其他经国家保密行政管理部门确定的秘密事项13国家秘密的保密期限国家秘密的保密期限，除另有规定外绝密级不超过三十年机密级不超过二十年秘密级不超过十年另有规定主要是指在保密事项范围中明确规定某类国家秘密事项保密期限为“长期”的情况这些国家秘密事项长期关系国家安全和利益，即使定为三十年的最长保密期限，也难以满足保密需求不能确定保密期限的国家秘密，应当确定解密条件14国家秘密的密级划分密级描述泄露后果绝密最重要的国家秘密泄露会使国家安全和利益遭受特别严重的损害机密重要的国家秘密泄露会使国家安全和利益遭受严重的损害秘密一般的国家秘密泄露会使国家安全和利益遭受损害15《保守国家秘密法》主旨（总则）目的：保守国家秘密，维护国家安全和利益国家秘密受法律保护。一切单位和公民都有保守国家秘密的义务国家保密行政管理部门主管全国的保密工作保密工作责任制：健全保密管理制度，完善保密防护措施，开展保密宣传教育，加强保密检查主要内容对我国国家秘密的定密程序、解密制度和保密期限等作出了明确规定明确了国家秘密相关的保密制度明确了国家秘密的监督管理部门明确了对危害国家秘密安全的行为要追究的法律责任法律16商业秘密商业秘密不为公众所知悉、能为权利人带来经济利益、具有实用性并经权利人采取保密措施的技术信息和经营信息技术信息类商业秘密•未公开的设计、程序、产品配方、制作工艺等•完整的技术方案、开发过程中的阶段性技术成果以及取得的有价值的技术数据•针对技术问题的技术诀窍经营信息类商业秘密•经营策略、产销策略、管理诀窍、客户名单、货源情报、招投标中的标底及标书内容等信息17保护商业秘密相关法律（1）《反不正当竞争法》认定了侵犯商业秘密的不正当竞争行为，并对经营者侵犯商业秘密的行为进行了禁止《合同法》和《劳动合同法》有对商业秘密/技术秘密进行保护的条款《合同法》技术合同的内容应包括“技术情报和资料的保密”相关条款技术秘密转让合同的让与人和受让人均应承担保密义务18保护商业秘密相关法律（2）《劳动合同法》用人单位与劳动者可以在劳动合同中约定保守用人单位的商业秘密和与知识产权相关的保密事项《刑事诉讼法》涉及商业秘密的案件，当事人申请不公开审理的，可以不公开审理《民事诉讼法》对涉及商业秘密的证据应当保密，需要在法庭出示的，不得在公开开庭时出示人民法院审理民事案件，涉及商业秘密的案件，当事人申请不公开审理的，可以不公开审理19个人信息个人信息有关一个可识别的自然人的任何信息•姓名、职位、电话号码等可在适当范围内公开的信息•健康体检报告、医疗记录、通话记录等不愿公开的个人隐私•信息系统所特有的账号、口令等用于进行用户标识和身份鉴别的信息20《宪法》中的有关规定《宪法》第二章公民的基本权利和义务第40条公民的通信自由和通信秘密受法律的保护除因国家安全或者追查刑事犯罪的需要，由公安机关或者检察机关依照法律规定的程序对通信进行检查外，任何组织或者个人不得以任何理由侵犯公民的通信自由和通信秘密法律21非法使用/滥用个人信息非法使用/滥用个人信息、侵犯个人隐私的行为未经他人同意，擅自公布他人的隐私材料以书面、口头形式宣扬他人隐私窃取或者以其他非法方式获取公民个人电子信息出售或者非法向他人提供公民个人电子信息网络服务提供者和其他企业事业单位在业务活动中未经被收集者同意就收集、使用公民个人电子信息对在业务活动中经被收集者同意收集的公民个人电子信息没有采取必要的保密措施医疗机构及其医务人员泄露患者隐私或者未经患者同意公开其病历资料、健康体检报告等行为22打击网络违法犯罪相关法律网络违法犯罪狭义•指以计算机网络为违法犯罪对象而实施的危害网络空间的行为广义•是以计算机网络为违法犯罪工具或者为违法犯罪对象而实施的危害网络空间的行为，应当包括违反国家规定，直接危害网络安全及网络正常秩序的各种违法/犯罪行为相关法律《关于维护互联网安全的决定》《治安管理处罚法》《刑法》23网络违法/犯罪行为网络违法/犯罪行为破坏互联网运行安全的行为破坏国家安全和社会稳定的行为破坏社会主义市场经济秩序和社会管理秩序的行为侵犯个人、法人和其他组织的人身、财产等合法权利的行为利用互联网实施以上四类所列行为以外的违法/犯罪行为24信息安全主管/监管机构（1）保护国家秘密《中华人民共和国保守国家秘密法》由国家保密行政管理部门主管全国的保密工作县级以上地方各级保密行政管理部门主管本行政区域的保密工作国家机关和涉及国家秘密的单位管理本机关和本单位的保密工作中央国家机关在其职权范围内，管理或者指导本系统的保密工作国家保密行政管理部门的最高机构是国家保密局25信息安全主管/监管机构（2）维护公共安全《人民警察法》和《治安管理处罚法》公安部门负责全国的治安管理工作县级以上地方各级人民政府公安机关负责本行政区域内的治安管理工作26信息安全主管/监管机构（3）规范电子签名行为《中华人民共和国电子签名法》电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务；从事电子认证服务，应当向国务院信息产业主管部门提出申请工业和信息化部27知识域：信息安全法规知识子域：信息安全相关行政法规和部门规章了解信息安全相关行政法规，掌握涉及信息安全的相关内容了解信息安全相关部门规章，掌握涉及信息安全的相关内容28信息安全相关行政法规《计算机信息系统安全保护条例》《商用密码管理条例》其他《中华人民共和国计算机信息网络国际联网管理暂行规定》《中华人民共和国电信条例》《互联网信息服务管理办法》《互联网上网服务营业场所管理条例》《信息网络传播权保护条例》...29《计算机信息系统安全保护条例》安全保护•保障计算机及其相关的和配套的设备、设施(含网络)的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行主管部门•公安部主管全国计算机信息系统安全保护工作（含安全监督职权）•国家安全部、国家保密局和国务院其他有关部门，在国务院规定的职责范围内做好计算机信息系统安全保护的有关工作安全保护制度•计算机信息系统实行安全等级保护•使用单位应当建立健全安全管理制度•安全专用产品（硬件、软件）的销售实行许可证制度30国务院令第147号，1994年2月18日发布施行《商用密码管理条例》商用密码•是指对不涉及国家秘密内容的信息进行加密保护或者安全认证所使用的密码技术和密码产品•商用密码技术属于国家秘密主管部门•国家密码管理委员会及其办公室主管全国的商用密码管理工作•国家对商用密码产品的科研、生产、销售和使用实行专控管理管理要点•商密产品销售单位应先获得《商用密码产品销售许可证》•任何单位或者个人不得销售境外的密码产品•不得使用自行研制的或者境外生产的密码产品•不得转让其使用的商用密码产品（含故障维修、报废销毁）31国务院令第273号，1999年10月7日发布施行信息安全相关部门规章《计算机信息系统安全专用产品检测和销售许可证管理办法》《计算机信息系统保密管理暂行规定》《国家电子政务工程建设项