国税信息安全制度

国税信息安全制度一、国税信息安全制度

1.总则

国税信息安全制度旨在规范国家税务局系统内信息安全管理行为，保障税收信息系统、数据及基础设施的安全，维护国家税收利益和社会公共利益。本制度适用于全国各级国家税务局及其工作人员，以及与国税信息系统相关的第三方服务提供商。制度依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》及相关税收法律法规制定，确保信息安全管理符合国家法律法规和政策要求。

2.组织架构与职责

国家税务局设立信息安全领导小组，负责统筹协调全系统信息安全工作，制定信息安全战略规划，审批重大信息安全决策。领导小组下设办公室，负责日常信息安全管理工作，包括政策制定、风险评估、应急响应等。各层级税务机关应明确信息安全负责人，负责本地区、本部门信息安全工作的组织实施。信息技术部门承担信息安全技术保障职责，负责信息系统安全防护、漏洞管理、安全监测等。业务部门承担信息安全主体责任，负责业务数据安全管理和使用规范执行。

3.信息安全分类分级

国税信息系统按照重要性、敏感性及影响范围进行分类分级，分为核心系统、重要系统、一般系统三个等级。核心系统包括税收征管、纳税服务、决策支持等关键业务系统，其信息安全等级最高，实施最严格的安全防护措施。重要系统包括财务管理、人事管理等辅助业务系统，其信息安全等级次之。一般系统包括办公自动化、信息发布等辅助辅助业务系统，其信息安全等级相对较低。各级税务机关应根据系统分类分级，制定相应的安全策略和防护措施。

4.访问控制与权限管理

国税信息系统实行严格的访问控制，遵循最小权限原则，确保用户只能访问其工作所需信息和系统功能。所有用户必须通过身份认证后方可访问系统，身份认证方式包括密码、生物识别等。系统管理员应定期审查用户权限，及时撤销离职人员或岗位变动人员的访问权限。对核心系统访问，实施多因素认证和操作日志记录，确保访问行为的可追溯性。第三方服务提供商接入国税信息系统，必须通过安全评估，并签订信息安全协议，明确双方安全责任。

5.数据安全保护

国税系统数据安全保护遵循全程生命周期管理原则，包括数据采集、传输、存储、使用、销毁等环节。数据传输应采用加密通道，防止数据在传输过程中被窃取或篡改。数据存储应采用安全可靠的存储设备，并实施备份和容灾措施，确保数据完整性和可用性。数据使用应严格遵守相关法律法规，禁止非法复制、传播纳税人个人信息和涉税数据。数据销毁应采用物理销毁或专业软件销毁，确保数据不可恢复。

6.安全监测与风险评估

国税系统建立安全监测体系，对信息系统进行实时监控，及时发现并处置安全事件。安全监测内容包括系统漏洞、网络攻击、异常行为等，监测工具包括入侵检测系统、安全信息和事件管理系统等。各级税务机关应定期开展信息安全风险评估，识别信息系统面临的安全威胁和脆弱性，制定风险mitigationplan，并持续跟踪风险处置效果。安全风险评估结果作为信息系统安全建设和改进的重要依据。

7.应急响应与处置

国税系统建立信息安全事件应急响应机制，明确应急响应流程、组织架构和职责分工。应急响应流程包括事件发现、初步处置、分析研判、处置恢复、事后总结等环节。应急响应组织包括技术团队、业务团队、管理层等，各团队分工协作，确保应急响应高效有序。应急响应处置应遵循最小化影响原则，及时采取措施控制事件蔓延，尽快恢复信息系统正常运行。事后总结应全面分析事件原因，改进安全措施，防止类似事件再次发生。

8.安全意识与培训

国税系统加强信息安全意识教育，定期开展信息安全培训，提高工作人员安全意识和技能。培训内容包括网络安全法律法规、安全操作规范、安全事件处置等，培训方式包括集中授课、在线学习、模拟演练等。新员工上岗前必须接受信息安全培训，考核合格后方可接触涉税信息系统。各级税务机关应建立信息安全考核机制，将信息安全表现纳入绩效考核，确保信息安全要求落到实处。

9.外部合作与监管

国税系统与第三方服务提供商合作，必须签订信息安全协议，明确双方安全责任和义务。第三方服务提供商应具备相应信息安全资质，并接受国税系统信息安全监管。国税系统建立第三方服务提供商安全评估机制，定期对其信息安全能力进行评估，确保其符合安全要求。各级税务机关应加强对第三方服务提供商的监督管理，防止其利用信息系统从事违法活动。

10.制度修订与附则

国税信息安全制度根据国家法律法规和政策要求，以及系统运行实际情况，定期进行修订和完善。制度修订由信息安全领导小组组织，信息技术部门具体实施，业务部门参与评审。制度修订过程应充分征求各方意见，确保制度科学合理。本制度自发布之日起施行，原有相关规定与本制度不一致的，以本制度为准。

二、国税信息安全制度实施细则

1.系统建设与运维

国税信息系统的建设与运维应严格遵守本制度规定，确保系统安全可靠运行。系统设计阶段应充分考虑信息安全需求，采用安全架构和防护措施，例如防火墙、入侵检测系统等。系统开发应遵循安全开发规范，进行代码安全审查和漏洞扫描，防止安全漏洞存在。系统部署应进行安全配置，关闭不必要的服务和端口，限制访问权限，降低系统攻击面。系统运维应建立安全监控机制，对系统运行状态、安全日志等进行实时监控，及时发现并处置异常情况。运维人员应定期进行安全巡检，检查系统安全配置和防护措施，确保其有效性。系统升级和补丁安装应进行安全评估，测试确认无误后方可上线，防止因升级导致系统不稳定或引入新的安全风险。

2.网络安全管理

国税系统网络应实施分段隔离，根据网络功能和安全等级，划分为生产网、办公网、外网等不同区域，并设置防火墙进行隔离和访问控制。网络边界应部署入侵检测系统和入侵防御系统，实时监测和阻止网络攻击。网络设备应进行安全配置，启用密码复杂度策略、安全日志记录等，防止设备被非法访问和操控。网络传输应采用加密技术，对敏感数据进行加密传输，防止数据在传输过程中被窃取或篡改。网络访问应实施认证和授权，用户必须通过身份认证后方可访问网络资源，并根据其角色和职责分配相应的访问权限。网络设备应定期进行安全加固，修复已知漏洞，提高网络抗攻击能力。网络运维应建立安全管理制度，规范网络设备配置、变更和运维操作，防止因人为操作失误导致网络安全事件。

3.数据安全保护措施

国税系统数据安全保护应贯穿数据全生命周期，包括数据采集、传输、存储、使用、共享、销毁等环节。数据采集应遵循最小化原则，只采集履行职责所需数据，并确保数据来源合法合规。数据传输应采用加密通道，例如SSL/TLS等，防止数据在传输过程中被窃取或篡改。数据存储应采用安全可靠的存储设备，例如磁盘阵列、磁带库等，并实施冗余备份和容灾措施，确保数据完整性和可用性。数据使用应遵循最小权限原则，用户只能访问其工作所需数据，并实施操作日志记录，确保数据使用可追溯。数据共享应严格审批，与外部机构共享数据必须签订数据安全协议，明确双方安全责任和义务，并采取数据脱敏等保护措施，防止数据泄露。数据销毁应采用物理销毁或专业软件销毁，确保数据不可恢复，防止数据被非法利用。

4.用户管理与权限控制

国税系统用户管理应遵循统一管理、分级负责原则，建立用户账号管理体系，对用户账号进行全生命周期管理，包括账号创建、审批、启用、禁用、删除等。用户账号创建应遵循最小权限原则，根据用户角色和职责分配相应的访问权限，并实施审批流程，防止随意创建账号。用户密码应实施复杂度策略，要求用户设置强密码，并定期更换密码，防止密码被猜测或破解。用户账号应实施定期审查，定期清理闲置账号和过期账号，防止账号被滥用。用户权限应实施动态管理，根据用户角色和职责变化及时调整其访问权限，防止权限滥用。用户账号泄露或密码泄露时，应及时采取措施，例如锁定账号、强制更换密码等，防止系统被非法访问。

5.安全审计与监控

国税系统应建立安全审计与监控体系，对系统运行状态、安全事件进行实时监控和记录，确保安全事件可追溯、可分析。安全审计应覆盖所有用户操作，包括登录、访问、修改、删除等，并记录操作时间、用户账号、操作对象、操作结果等信息。安全监控应包括系统性能监控、安全日志监控、网络流量监控等，及时发现系统异常和安全事件。安全审计与监控工具应定期进行校准和维护，确保其准确性和可靠性。安全审计日志应安全存储，防止被非法访问和篡改，并定期进行安全审计，检查系统安全策略的执行情况和安全事件的处理情况。安全事件发生时，应启动应急响应机制，及时采取措施控制事件蔓延，并尽快恢复系统正常运行。

6.安全事件处置流程

国税系统应建立安全事件处置流程，明确安全事件的分类分级、报告流程、处置措施和恢复流程，确保安全事件得到及时有效处置。安全事件分类分级应根据事件的影响范围、严重程度等进行分类分级，例如分为重大事件、较大事件、一般事件等，不同级别的事件应采取不同的处置措施。安全事件报告应建立分级报告机制，一般事件由部门负责人报告，较大事件由分管领导报告，重大事件由主要领导报告，并逐级上报至国家税务总局。安全事件处置应采取隔离、清除、恢复等措施，防止事件蔓延，并尽快恢复系统正常运行。安全事件恢复应进行测试验证，确保系统功能正常，并防止类似事件再次发生。安全事件处置完成后，应进行事后总结，分析事件原因，改进安全措施，防止类似事件再次发生。

7.信息安全宣传教育

国税系统应加强信息安全宣传教育，提高工作人员信息安全意识和技能，营造良好的信息安全文化氛围。信息安全宣传教育应采用多种形式，例如培训讲座、在线学习、宣传手册、知识竞赛等，提高宣传教育的效果。信息安全培训应纳入新员工上岗培训内容，确保新员工了解信息安全政策和操作规范。信息安全培训应定期进行，更新培训内容，提高培训的针对性。信息安全宣传教育应注重实效，结合实际案例进行讲解，提高工作人员对信息安全重要性的认识。信息安全宣传教育应建立考核机制，将信息安全表现纳入绩效考核，确保信息安全宣传教育落到实处。

8.外部合作安全管理

国税系统与外部机构合作，例如与银行、税务师事务所等合作，必须进行安全评估，并签订信息安全协议，明确双方安全责任和义务，防止信息安全风险传递。外部机构接入国税信息系统，必须进行安全审查，确保其符合安全要求，例如具备相应的安全资质、安全能力等。外部机构访问国税信息系统，必须实施严格的访问控制，例如采用VPN接入、多因素认证等，防止外部机构非法访问国税信息系统。外部机构存储、处理国税数据，必须采取安全措施，例如数据加密、访问控制等，防止数据泄露。外部机构服务终止后，必须进行安全清理，例如删除其访问权限、清除其访问日志等，防止信息安全风险残留。

9.安全检查与评估

国税系统应定期进行安全检查与评估，检查信息安全制度落实情况、安全措施有效性，发现并整改安全风险，确保信息安全水平持续提升。安全检查应结合实际情况，制定检查方案，明确检查内容、检查方法、检查标准等。安全检查应由专业人员实施，确保检查的质量和效果。安全检查结果应形成报告，并逐级上报至国家税务总局。安全评估应采用定性与定量相结合的方法，对信息系统安全状况进行全面评估，识别安全风险，并提出改进建议。安全评估结果应作为信息系统安全建设和改进的重要依据。安全检查与评估应形成闭环管理，对发现的安全问题应及时整改，并跟踪整改效果，防止安全风险再次发生。

10.安全保险与备份恢复

国税系统应购买信息安全保险，例如网络安全保险、数据安全保险等，降低信息安全事件造成的损失。信息安全保险应覆盖系统故障、数据泄露、网络攻击等风险，并确定合理的保险金额和赔偿条件。国税系统应建立数据备份和恢复机制，定期对重要数据进行备份，并测试恢复流程，确保数据丢失后能够及时恢复。数据备份应采用多种备份方式，例如全量备份、增量备份、差异备份等，并存储在不同地点，防止数据丢失。数据恢复应制定详细的恢复方案，明确恢复步骤、恢复时间、恢复人员等，确保数据能够及时恢复。数据备份和恢复应定期进行演练，检验恢复方案的有效性，并改进恢复流程，确保数据能够及时恢复。

三、国税信息安全制度操作规程

1.密码管理操作规程

用户必须创建符合安全要求的密码，密码长度应不少于八位，且包含大小写字母、数字和特殊字符组合，避免使用生日、姓名等易猜信息。密码每年至少更换一次，如发现密码可能泄露，应立即更换。禁止将密码告知他人或写在纸质介质上，可通过加密通讯或安全渠道传递密码。登录系统时，如超过规定次数输入错误密码，系统应自动锁定账号一段时间，防止暴力破解。账号锁定期间，用户可联系管理员解锁，管理员需核实用户身份后解除锁定。管理员密码应更加复杂，并至少每月更换一次，且不得与其他账号密码相同。密码设置和更改应通过加密通道传输，并记录操作日志，确保操作可追溯。

2.数据访问操作规程

用户访问数据前，需根据其岗位职责和权限申请访问权限，部门负责人审核后报信息安全部门审批。审批通过后，用户方可访问相应数据。访问数据时，应遵循最小化原则，仅获取履行职责所需数据，不得超出授权范围查看或下载数据。对敏感数据访问，系统应记录访问时间、访问人、访问内容等信息，并定期审计。用户下载数据时，应使用官方提供的下载工具，并对下载的数据进行病毒扫描，防止数据感染病毒。数据使用完毕后，应及时关闭数据访问权限，并删除临时存储的数据，防止数据泄露。如需将数据复制到个人设备，必须经过审批，并采取加密存储等措施，防止数据泄露。

3.设备使用操作规程

严禁使用未经授权的设备访问国税信息系统，所有接入系统的设备必须经过安全检查，并安装必要的安全软件，例如防病毒软件、防火墙等。移动存储设备，例如U盘、移动硬盘等，使用前必须经过病毒扫描和安全性检查，防止病毒传入系统或数据泄露。禁止将移动存储设备连接到公共电脑或未经授权的设备上，防止数据泄露。公共电脑使用完毕后，应立即退出系统，并清除浏览记录、临时文件等，防止信息泄露。如需将涉税数据拷贝到移动存储设备，必须经过审批，并采取加密存储等措施，防止数据泄露。设备报废或转让前，必须彻底清除存储数据，防止数据泄露。

4.网络使用操作规程

严禁访问未经授权的网站或下载未经授权的软件，防止恶意软件感染系统。访问外部网站时，应使用公司提供的浏览器，并开启安全防护功能，防止网页篡改或恶意代码注入。发送邮件时，应检查附件是否包含恶意软件，并对包含敏感信息的邮件进行加密，防止数据泄露。禁止通过个人邮箱发送涉税数据，必须使用公司提供的邮件系统，并记录邮件发送情况。使用即时通讯工具时，应谨慎发送涉税信息，并对重要信息进行加密，防止信息泄露。如需通过即时通讯工具传输涉税数据，必须经过审批，并采取加密传输等措施，防止数据泄露。

5.应急响应操作规程

发生信息安全事件时，发现人应立即向部门负责人报告，部门负责人应立即向信息安全部门报告，并采取初步控制措施，防止事件蔓延。信息安全部门接到报告后，应立即启动应急响应机制，组织相关人员进行事件处置。应急响应流程包括事件确认、分析研判、处置恢复、事后总结等环节。事件处置过程中，应遵循最小化影响原则，尽快恢复系统正常运行，并保护现场，方便事后调查。事件处置完成后，应进行事后总结，分析事件原因，改进安全措施，防止类似事件再次发生。应急响应过程应记录详细日志，并定期进行演练，检验应急响应流程的有效性，并改进应急响应流程，确保能够及时有效处置信息安全事件。

四、国税信息安全制度监督与考核

1.内部监督机制

各级税务机关应设立信息安全监督部门或指定专人负责信息安全监督工作，对信息安全制度执行情况进行监督检查，确保信息安全制度得到有效落实。监督部门或监督人员应独立于信息系统管理和使用部门，确保监督工作的客观性和公正性。监督工作应定期进行，例如每月或每季度进行一次全面监督检查，并针对重点领域和关键环节进行专项监督检查。监督方式包括查阅资料、现场检查、访谈询问、模拟攻击等，全面了解信息安全状况。监督发现的问题应及时记录，并督促相关部门进行整改，确保问题得到及时解决。监督结果应形成报告，并逐级上报至国家税务总局，作为考核和改进信息安全工作的重要依据。监督部门或监督人员应具备相应的专业知识和技能，能够识别信息安全风险，并提出改进建议。

2.外部监督机制

国家税务总局应定期委托第三方机构对国税系统信息安全进行独立评估，评估内容包括信息安全管理体系、安全措施有效性、安全事件处置等，确保信息安全工作符合国家法律法规和标准要求。第三方机构应具备相应的资质和经验，能够客观、公正地评估信息安全状况。评估过程应包括访谈、资料审查、现场检查、模拟攻击等，全面了解信息安全状况。评估结果应形成报告，并反馈至被评估单位，作为改进信息安全工作的重要依据。被评估单位应根据评估结果，制定整改计划，并落实整改措施，确保信息安全状况持续改善。外部监督应形成常态化机制，定期进行，确保信息安全工作始终处于有效监督之下。

3.考核评估体系

国家税务总局应建立信息安全考核评估体系，将信息安全工作纳入绩效考核范围，考核内容包括信息安全制度落实情况、安全措施有效性、安全事件处置等，确保信息安全工作得到有效考核。考核评估应采用定性与定量相结合的方法，对各级税务机关信息安全工作进行综合评估，评估结果作为绩效考核的重要依据。考核评估应公开透明，考核结果应反馈至被考核单位，并作为改进信息安全工作的重要依据。被考核单位应根据考核评估结果，制定改进计划，并落实改进措施，确保信息安全状况持续改善。考核评估应形成常态化机制，定期进行，确保信息安全工作始终处于有效考核之下。

4.持续改进机制

各级税务机关应建立信息安全持续改进机制，根据内外部监督和考核评估结果，以及信息系统运行实际情况，及时发现问题，并制定改进措施，确保信息安全状况持续改善。持续改进应遵循PDCA循环原则，即策划、实施、检查、处置，不断循环改进。策划阶段应分析信息安全状况，识别安全风险，制定改进目标。实施阶段应制定改进计划，落实改进措施。检查阶段应检查改进措施落实情况，评估改进效果。处置阶段应根据检查结果，采取进一步措施，确保问题得到根本解决。持续改进应全员参与，各级税务机关应加强对工作人员的培训，提高其信息安全意识和技能，营造良好的信息安全文化氛围。持续改进应形成常态化机制，定期进行，确保信息安全状况持续改善。

5.督查问责机制

国家税务总局应建立信息安全督查问责机制，对信息安全制度执行不力、安全措施不到位、安全事件处置不及时的单位和个人进行问责，确保信息安全责任落实到位。督查应定期进行，例如每年进行一次全面督查，并针对重点领域和关键环节进行专项督查。督查发现的问题应及时通报，并督促相关部门进行整改，对整改不力的单位和个人进行问责。问责方式包括通报批评、诫勉谈话、纪律处分等，根据问题严重程度和责任大小进行相应处理。问责结果应公开透明，作为绩效考核的重要依据。督查问责应形成常态化机制，定期进行，确保信息安全责任落实到位。

6.举报奖励机制

各级税务机关应建立信息安全举报奖励机制，鼓励工作人员和外部人员举报信息安全违法违规行为，对举报属实的单位和个人给予奖励，防止信息安全风险隐患存在。举报渠道应畅通，例如设立举报电话、举报邮箱、举报网站等，方便工作人员和外部人员举报。举报内容应包括违法违规行为的时间、地点、人物、事件等信息，并提供相关证据，方便调查核实。举报受理部门应及时调查核实举报内容，并对举报属实的单位和个人给予奖励，奖励方式包括物质奖励、精神奖励等。举报奖励应公开透明，作为激励工作人员和外部人员参与信息安全监督的重要手段。举报奖励应形成常态化机制，定期进行，确保信息安全风险隐患及时发现和处置。

7.制度培训机制

各级税务机关应建立信息安全制度培训机制，定期对工作人员进行信息安全制度培训，提高其信息安全意识和技能，确保信息安全制度得到有效执行。制度培训应结合实际案例进行讲解，提高培训的针对性和实效性。制度培训应纳入新员工上岗培训内容，确保新员工了解信息安全制度要求。制度培训应定期进行，更新培训内容，提高培训的针对性。制度培训应建立考核机制，将培训效果纳入绩效考核，确保制度培训落到实处。制度培训应形成常态化机制，定期进行，确保信息安全制度得到有效执行。

五、国税信息安全制度附则

1.制度解释

本制度由国家税务总局负责解释，各级税务机关应结合实际情况，制定本地区、本部门的具体实施细则，确保本制度得到有效落实。本制度解释权为国家税务总局，任何单位和个人不得擅自解释本制度。本制度解释应公开透明，解释结果应反馈至各级税务机关，并作为本制度执行的重要依据。

2.制度修订

本制度应根据国家法律法规和政策要求，以及信息系统运行实际情况，定期进行修订和完善。制度修订由国家税务总局组织，信息技术部门具体实施，业务部门参与评审。制度修订过程应充分征求各方意见，确保制度科学合理。制度修订应形成书面文件，并按程序发布实施。制度修订应形成常态化机制，定期进行，确保本制度始终符合国家法律法规和政策要求，并适应信息系统运行实际情况。

3.制度实施

本制度自发布之日起施行，原有相关规定与本制度不一致的，以本制度为准。各级税务机关应按照本制度要求，加强信息安全工作，确保信息系统安全可靠运行，维护国家税收利益和社会公共利益。本制度实施应形成常态化机制，定期进行，确保本制度得到有效实施。

4.附则

本制度未尽事宜，按照国家相关法律法规和政策要求执行。各级税务机关应根据本制度要求，结合实际情况，制定本地区、本部门的具体实施细则，确保本制度得到有效落实。本制度实施过程中遇到的问题，应及时向国家税务总局报告，以便及时解决。本制度实施应形成常态化机制，定期进行，确保本制度得到有效实施。

六、国税信息安全制度附则

1.制度适用范围

本制度适用于全国各级国家税务局及其工作人员，以及与国税信息系统相关的第三方服务提供商。所有涉及国税信息系统的建设、运维、使用、管理等活动，都必须遵守本制度规定。各级税务机关应根据本制度要求，结合实际情况，制定本地区、本部门的具体实施细则，确保本制度得到有效落实。第三方服务提供商必须与本税务机关签订信息安全协议，明确双方安全责任和义务，并遵守本制度规定，确保其服务活动符合信息安全要求。

2.制度责任主体

国家税务总局负责全国国税信息系统安全工作的统筹协调和监督管理，制定信息安全战略规划，审批重大信息安全决策。各级税务机关负责人对本地区、本部门信息安全工作负总责，应建立健全信息安全管理体系，落实信息安全责任，确保信息安全制度得到有效执行。信息技术部门负责人对本单位信息系统安全负直接责任，应组织实施信息安全技术保障工作，确保信息系统安全可靠运行。业务部门负责人对本部门信息安全负直接责任，应组织实施信息安全管理工作，确保业务数据安全和使用规范执行。所有工作人员应严格遵守信息安全制度，履行信息安全职责，确保信息安全工作得到有效落实。

3.制度培训与宣传

各级税务机关应加强对工作人员的信息安全培训，提高其信息安全意识和技能，营造良好的信息安全文化氛围。信息安全培训应纳入新员工上岗培训内容，确保新员工了解信息安全制度要求。信息安全培训应