本标准按照gb/t 1.1-2009给出的规则起草。
本标准由公安部信息系统安全标准化技术委员会提出并归口。
本标准起草单位：公安部网络安全保卫局、公安部第三研究所。
本标准主要起草人：毕海滨、金波、赵云霞、高爽、陈长松、朱英菊、李相龙、黄道丽、向朝霞。
本标准规定了互联网服务提供者实施安全评估的基本程序和要求。
本标准适用于互联网服务提供者进行安全评估与公安机关对互联网服务安全进行检查。
2 术语和定义
下列术语和定义适用于本文件。
2.1
互联网服务 internet service
向用户提供的互联网接入服务、互联网数据中心服务、互联网信息服务、互联网安全服务和互联网公共上网服务等服务业务。
2.2
互联网服务提供者 internet service provider
向用户提供互联网服务的组织或个人。
互联网服务上线前，互联网服务提供者应自行组织开展安全评估，向属地公安机关提交评估报告，进行安全检查，具体流程见附录a。
4 评估流程
互联网服务提供者开展互联网应用服务安全评估，可采取下列方式：
a) 互联网服务提供者自行组织人员进行安全评估；
b) 互联网服务提供者委托具备相应资质的第三方安全测评机构进行安全评估；
c) 互联网服务提供者委托属地公安网安部门推荐的专家、机构进行安全评估。
注：资质包括国家认可、资质认定或由省级以上网络安全主管部门颁发的安全测评资质。
参与评估的机构和人员应当与互联网服务提供者签订保密协议，承诺保守企业、商业秘密，并依法承担因泄密所应承担的法律责任。
从下列方面识别、分析与评价互联网服务的安全符合性，并编制安全评估报告：
a) 互联网服务的合法性、合规性；
b) 互联网服务安全管理制度、机制是否符合国家现行的规范、标准要求；
c) 互联网服务安全技术措施是否健全、完善；
d) 受到破坏后会对国家安全、公共安全和公众利益造成损害的互联网服务是否符合信息系统等级保护的规范、标准要求；
e) 网络安全专用产品是否符合国家相关规定。
如果评估结果发现任何不符合要求的，互联网服务提供者应：
a) 识别不符合的原因；
b) 实施适当的纠正措施；
c) 评审所采取的纠正措施，验证其有效性。
评估报告应当由法人或法人授权的安全负责人签字确认。
互联网服务提供者开展互联网应用服务安全评估后，应当形成书面安全评估报告，并在互联网应用服务正式上线提供服务之日起5个工作日内，将书面安全评估报告向其所在地市级以上公安机关网安部门备案。
评估报告应包含以下内容：
a) 互联网服务功能、性能描述；
b) 互联网服务合法性、合规性说明（如提供的服务须获得相应行政许可的，应包括相关证明文件）；
c) 网络拓扑结构图（必要时）；
d) 技术测试报告，活跃用户在500万以上的，应包含压力测试报告；
e) 已建立的安全管理制度、措施；
f) 评估结论；
g) 不符合整改记录；
h) 其他应当说明的相关情况。
属地公安机关网安部门收到互联网服务提供者提交的书面安全评估报告后，应依据现行法律法规和相关标准规范要求，开展以下安全检查工作：
a) 审阅互联网服务安全评估报告，必要时可邀请网络和信息安全方面专家参与审议；
b) 对交互式、交易类互联网应用服务和软件下载服务（包括应用软件商店），组织开展实地安全检查。
上级公安机关对下一级网安部门安全检查工作进行指导。
活跃用户500万以上的互联网服务提供商开通新服务，属地网安部门应将该服务的安全评估报告上报省级网安部门；活跃用户3000万以上的互联网服务提供商开通新服务，省级网安部门应当将该服务的安全评估报告上报公安部网络安全保卫局。
评审
公安部网络安全保卫局和各省、自治区、直辖市公安厅、局网安总队收到下一级网安部门报备的互联网服务安全评估报告后，对存在较大安全风险、可能影响国家安全、公共安全和公众利益的互联网服务，应组织网络和信息安全方面专家进行评审，必要时应会同属地公安网安部门开展实地检查。
公安网安部门组织开展检查工作，不应影响互联网服务的正常运营，检查时限最长不超过15个工作日。
公安网安部门组织定期检查互联网安全技术与管理措施落实情况。
7 检查意见使用
公安机关安全检查发现互联网服务安全管理制度、措施达不到相关法律法规和标准规范要求的，应责令互联网服务提供者限期整改。对互联网服务提供者在1个月内无法完成整改的，应责令暂停该应用服务新用户注册。
检查中发现互联网服务存在重大安全隐患，极易引发现实危害的，属地公安网安部门应责令互联网服务提供者立即暂停服务并进行整改。
评估
在整改完成后，应重新组织安全评估，评估报告经公安机关检查确认后，方可恢复由安全整改暂停的服务。
8 变更报备
互联网服务正式运营期间，其安全策略、技术架构、服务功能等发生调整及变化，应按规定程序向属地公安机关报备。对涉及以下情况的变更，应重新开展安全评估：
a) 影响国家安全、公共安全、公众利益的；
b) 影响防范和打击违法犯罪的；
c) 安全管理制度、措施与处置机制受到影响或发生变化的；
d) 经专家评审认为应开展安全评估的。