網貸之家訊 近日，網貸之家獲悉，上海市金融辦協同公安部門對P2P平臺開展信息安全等級保護三級測評工作進行了指導和部署，備案工作繼續加速推進。

　　據了解，上周五相關部門組織會議上要求測評工作在3月底結束（拿到上海市公安局網絡安全保衛大隊回執為截止時間點），特殊情況或復雜項目最遲不超過4月底。本次要求P2P網貸系統定級為第三級，并需要按照國家標準測評，測評分不低于90分。其中，用戶資金和信息安全的測評為重要項。不少從業者表示，測評要求非常嚴格， “北京地區網貸平臺基本在75分上下”。

　　2017年6月1日，上海市金融辦發布的《上海市網絡借貸信息中介機構業務管理實施辦法（征求意見稿）》就規定新老網貸機構申請辦理備案登記時，提交申請材料就包括本市公安機關網絡安全部門出具的“信息系統安全審核回執”（需事前向本市公安機關網絡安全部門提交符合國家網絡安全相關規定和國家信息安全等級保護制度要求的證明材料）。

　　在今年1月初上海市監管部門向各轄區下發了有關P2P網貸整改合規驗收以及備案登記等共計五份指引文件中，有一份就是《上海市網絡借貸信息中介機構公安網安部門“信息系統安全審核回執”申請指引》。

　　信息系統安全審核工作流程明確

　　據權威人士介紹，滿足1月初下發的《上海市網絡借貸信息中介機構公安網安部門“信息系統安全審核回執”申請指引》第二款中六大項要求的網貸平臺才能拿到上海市公安局網絡安全保衛總隊的回執，據此平臺才能去金融辦備案。

　　據了解，信息系統安全審核工作操作流程已經明確，1月17日開始網貸平臺受理登記，經網安部門受理審核通過后，網貸機構可按照指引要求進行備案材料準備及提交，網絡安全部門審核通過后出具回執。本次P2P平臺信息系統安全審核回執由上海市公安局網絡安全保衛總隊牽頭受理并審核出具。

　　大考驗：時間緊任務重 測評師人力吃緊

　　上海一家頭部網貸平臺向網貸之家證實了該消息，“沒看到正式文件，目前公司相關部門已經響應去填寫申請表了。” 網貸之家咨詢杭州、廣州等地網貸平臺，平臺均表示還沒有類似規定。

　　根據2007年公安部、國家保密局、國家密碼管理局、國務院信息化工作辦公室制定的《信息安全等級保護管理辦法》，將信息系統的安全保護等級分為五級，等級越高，安全保護能力就越強。第三級信息系統應當每年至少進行一次等級測評。當前恰在2018年年初，想提交備案申請的P2P平臺則必須進行此次測評。

　　盈燦咨詢行業研究員陳摯表示，“獲得信息系統安全等級保護三級認證的平臺需要通過300多項測試，意味著技術安全和控制層面能達到國家指標，具備安全事件發現、應對的能力，以及信息系統受到攻擊或破壞時的快速恢復數據信息防泄露防偷的實力。”

　　上述平臺IT負責人表示，其平臺的測評工作去年在一個月內完成。“測評工作進場需1-2周，而整改需要1-2周。”但該人士也進一步表示，實際時間還是要看各公司情況，如果公司系統架構凌亂，整改復雜，按要求改到90分以上還是有困難，時間可能會拖的很長。

　　目前，上海的測評機構有五家，分別為國家網絡與信息系統安全產品質量監督檢驗中心、上海市信息安全測評認證中心、上海交通大學(信息安全服務技術研究實驗室)、上海計算機軟件技術開發中心和上海市網絡技術綜合應用研究所，這些機構可為測評對象出具測評報告。

　　但當前測評工作時間緊，要求高，給網貸平臺和測評機構造成相當壓力。據業內人士介紹，當前測評機構已經配合網貸備案工作將人力都聚焦在網貸行業，全上海測評師大概230多個，而每個公司測評過程需要兩個測評師（一個管理，一個測評）。

　　網貸之家數據顯示，截止2017年12月，上海市在運營的網貸平臺數量為261家。對此，為測評提供服務的第三方機構高管表示，此次測評需要網貸平臺非常重視，最好是網貸平臺決策者牽頭組織工作，提高工作優先級。（網貸之家 文/昏曉）

　　附：上海市網絡借貸信息中介機構公安網安部門“信息系統安全審核回執”申請指引

　　一、申請地點及聯系方式

　　申請地點：

　　聯系人：

　　聯系電話：

　　二、申請材料要求

　　（一）配合依法查詢、調取相關數據信息的功能設計、工作制度和責任機構、責任人以及聯系方式等，具體內容包括：

　　網絡服務平合后臺數據調取、查詢功能可查詢的字段項、可查詢期限、支持的查詢方式及相應反饋結果等。案事件協查工作制度，包括協查流程、臺賬登記、責任機構、責任人及聯系方式。

　　（二）網絡應用、數據等所有服務器機房地址、接入地址、IP地址、用途分工等情況說明，具體內容包括：

　　詳細說明服務器機房地址（精確到門牌號），所屬運營商（包含聯系方式）、所有對應IP地址等信息；列明網絡拓撲結構圖，說明服務網絡架構及相關用途；對CDN（內容分發）、云服務等方式部署的，要詳細說明所購買服務單位及部署方式；

　　（三）具有完備的用戶真實身份認證管理制度、措施，個人隱私數據保護措施和數據跨境流動情況說明，具體內容包括：

　　用戶真實身份認證管理制度、措施的文本。個人隱私數據保護措施和數據跨境流動情況說明。

　　（四）網絡服務平臺后合的用戶信息、日志記錄、留存技術措施，有害信息屏蔽、過濾等安全防范技術措施的說明材料，具體內容包括：

　　填報數據留存內容及說明文本，有害信息屏蔽、過濾等安全防范技術措施的文本。

　　（五）網絡與信息安全保障制度文本、互聯網新技術新業務安全評估制度文本、應急處置預案文本，企業保證服務質量、信息和數據安全的承諾書，具體內容包括：

　　網絡與信息安全保障制度，包括信息用戶管理、日志留存、信息安全管理、網絡安全管理等制度內容；互聯網新技術新業務安全評估制度包括，新技術新業務上線報備、安全評審等內容；應急處置預案包括，應急處置工作流程、應急處置團隊等，企業保證服務質量、信息和數據安全的承諾書等。

　　（六）符合國家信息安全等級保護制度要求的證明材料，具體內容包括：

　　《信息系統安全等級保護定級報告》，包括信息系統描述，根據《信息系統安全等級保護定級指南》）確定均保護等級等情況。該材料由運營服務企業出具和提供；《信息系統安全等級保護備案表》；專業測評機構出具的《信息系統安全等級保護測評報告》。