信息安全等级保护的测评工作中应如何规范行为

测评机构及其测评人员应当严格执行有关管理规范和技术标准，开展客观、公正、安全的测评服务。测评机构可以从事等级测评活动以及信息系统安全等级保护定级、安全建设整改、信息安全等级保护宣传教育等工作的技术支持。不得从事下列活动：

• （一）影响被测评信息系统正常运行，危害被测评信息系统安全；

• （二）泄露知悉的被测评单位及被测信息系统的国家秘密和工作秘密；

• （三）故意隐瞒测评过程中发现的安全问题，或者在测评过程中弄虚作假，未如实出具等级测评报告；

• （四）未按规定格式出具等级测评报告；

• （五）非授权占有、使用等级测评相关资料及数据文件；

• （六）分包或转包等级测评项目；

• （七）信息安全产品开发、销售和信息系统安全集成；

• （八）限定被测评单位购买、使用其指定的信息安全产品；

• （九）其他危害国家安全、社会秩序、公共利益以及被测单位利益的活动。

申请成为等级测评机构的单位（以下简称“申请单位”）应当向省级以上等保办申请。国家信息安全等级保护工作协调小组办公室负责受理隶属国家信息安全职能部门和重点行业主管部门申请单位提出的申请。省级等保办负责受理本省（区、直辖市）申请单位提出的申请。

申请单位申请时，等保办应当告知测评机构的条件、从事的业务范围以及禁止行为等内容，使申请单位清楚了解测评机构的权利和义务。

知悉有关规定并愿意成为测评机构的申请单位，可以向省级以上等保办提出书面申请，如实填写《信息安全等级保护测评机构申请表》。

申请单位的人员应当如实填写人员基本情况表，并承诺对信息的真实性和有效性负责。省级以上等保办对申请单位进行初审，初审通过的，应当告知申请单位到评估中心进行测评能力评估。第九条评估中心按照有关标准规范，在30个工作日内完成对申请单位的材料审查和现场核查工作。测评人员参加由评估中心举办的专门培训、考试并取得评估中心颁发的《等级测评师证书》（等级测评师分为初级、中级和高级）。等级测评人员需持等级测评师证上岗。

评估中心综合评估申请单位的测评能力，对测评能力评估合格的，出具评估报告。

测评机构名称、法人等事项发生变化的，或者其等级测评师变动的，测评机构应在三十日内向受理申请的省级以上等保办办理变更手续测评机构应当严格遵循申诉、投诉及争议处理制度，妥善处理争议事件，及时采取纠正和改进措施。

测评机构及其测评人员应当严格执行有关管理规范和技术标准，开展客观、公正、安全的测评服务。测评机构可以从事等级测评活动以及信息系统安全等级保护定级、安全建设整改、信息安全等级保护宣传教育等工作的技术支持。不得从事下列活动：

• 影响被测评信息系统正常运行，危害被测评信息系统安全；

• 泄露知悉的被测评单位及被测信息系统的国家秘密和工作秘密；

• 故意隐瞒测评过程中发现的安全问题，或者在测评过程中弄虚作假，未如实出具等级测评报告；

• 未按规定格式出具等级测评报告；

• 非授权占有、使用等级测评相关资料及数据文件；

• 分包或转包等级测评项目；

• 信息安全产品开发、销售和信息系统安全集成；

• 限定被测评单位购买、使用其指定的信息安全产品；

• 其他危害国家安全、社会秩序、公共利益以及被测单位利益的活动。