上海P2P备案大考：这项考试不满90分不予备案

　　网贷之家讯 近日，网贷之家获悉，上海市金融办协同公安部门对P2P平台开展信息安全等级保护三级测评工作进行了指导和部署，备案工作继续加速推进。

　　据了解，上周五相关部门组织会议上要求测评工作在3月底结束（拿到上海市公安局网络安全保卫大队回执为截止时间点），特殊情况或复杂项目最迟不超过4月底。本次要求P2P网贷系统定级为第三级，并需要按照国家标准测评，测评分不低于90分。其中，用户资金和信息安全的测评为重要项。不少从业者表示，测评要求非常严格， “北京地区网贷平台基本在75分上下”。

　　2017年6月1日，上海市金融办发布的《上海市网络借贷信息中介机构业务管理实施办法（征求意见稿）》就规定新老网贷机构申请办理备案登记时，提交申请材料就包括本市公安机关网络安全部门出具的“信息系统安全审核回执”（需事前向本市公安机关网络安全部门提交符合国家网络安全相关规定和国家信息安全等级保护制度要求的证明材料）。

　　在今年1月初上海市监管部门向各辖区下发了有关P2P网贷整改合规验收以及备案登记等共计五份指引文件中，有一份就是《上海市网络借贷信息中介机构公安网安部门“信息系统安全审核回执”申请指引》。

　　信息系统安全审核工作流程明确

　　据权威人士介绍，满足1月初下发的《上海市网络借贷信息中介机构公安网安部门“信息系统安全审核回执”申请指引》第二款中六大项要求的网贷平台才能拿到上海市公安局网络安全保卫总队的回执，据此平台才能去金融办备案。

　　据了解，信息系统安全审核工作操作流程已经明确，1月17日开始网贷平台受理登记，经网安部门受理审核通过后，网贷机构可按照指引要求进行备案材料准备及提交，网络安全部门审核通过后出具回执。本次P2P平台信息系统安全审核回执由上海市公安局网络安全保卫总队牵头受理并审核出具。

　　大考验：时间紧任务重 测评师人力吃紧

　　上海一家头部网贷平台向网贷之家证实了该消息，“没看到正式文件，目前公司相关部门已经响应去填写申请表了。” 网贷之家咨询杭州、广州等地网贷平台，平台均表示还没有类似规定。

　　根据2007年公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定的《信息安全等级保护管理办法》，将信息系统的安全保护等级分为五级，等级越高，安全保护能力就越强。第三级信息系统应当每年至少进行一次等级测评。当前恰在2018年年初，想提交备案申请的P2P平台则必须进行此次测评。

　　盈灿咨询行业研究员陈挚表示，“获得信息系统安全等级保护三级认证的平台需要通过300多项测试，意味着技术安全和控制层面能达到国家指标，具备安全事件发现、应对的能力，以及信息系统受到攻击或破坏时的快速恢复数据信息防泄露防偷的实力。”

　　上述平台IT负责人表示，其平台的测评工作去年在一个月内完成。“测评工作进场需1-2周，而整改需要1-2周。”但该人士也进一步表示，实际时间还是要看各公司情况，如果公司系统架构凌乱，整改复杂，按要求改到90分以上还是有困难，时间可能会拖的很长。

　　目前，上海的测评机构有五家，分别为国家网络与信息系统安全产品质量监督检验中心、上海市信息安全测评认证中心、上海交通大学(信息安全服务技术研究实验室)、上海计算机软件技术开发中心和上海市网络技术综合应用研究所，这些机构可为测评对象出具测评报告。

　　但当前测评工作时间紧，要求高，给网贷平台和测评机构造成相当压力。据业内人士介绍，当前测评机构已经配合网贷备案工作将人力都聚焦在网贷行业，全上海测评师大概230多个，而每个公司测评过程需要两个测评师（一个管理，一个测评）。

　　网贷之家数据显示，截止2017年12月，上海市在运营的网贷平台数量为261家。对此，为测评提供服务的第三方机构高管表示，此次测评需要网贷平台非常重视，最好是网贷平台决策者牵头组织工作，提高工作优先级。（网贷之家 文/昏晓）

　　附：上海市网络借贷信息中介机构公安网安部门“信息系统安全审核回执”申请指引

　　一、申请地点及联系方式

　　申请地点：

　　联系人：

　　联系电话：

　　二、申请材料要求

　　（一）配合依法查询、调取相关数据信息的功能设计、工作制度和责任机构、责任人以及联系方式等，具体内容包括：

　　网络服务平合后台数据调取、查询功能可查询的字段项、可查询期限、支持的查询方式及相应反馈结果等。案事件协查工作制度，包括协查流程、台账登记、责任机构、责任人及联系方式。

　　（二）网络应用、数据等所有服务器机房地址、接入地址、IP地址、用途分工等情况说明，具体内容包括：

　　详细说明服务器机房地址（精确到门牌号），所属运营商（包含联系方式）、所有对应IP地址等信息；列明网络拓扑结构图，说明服务网络架构及相关用途；对CDN（内容分发）、云服务等方式部署的，要详细说明所购买服务单位及部署方式；

　　（三）具有完备的用户真实身份认证管理制度、措施，个人隐私数据保护措施和数据跨境流动情况说明，具体内容包括：

　　用户真实身份认证管理制度、措施的文本。个人隐私数据保护措施和数据跨境流动情况说明。

　　（四）网络服务平台后合的用户信息、日志记录、留存技术措施，有害信息屏蔽、过滤等安全防范技术措施的说明材料，具体内容包括：

　　填报数据留存内容及说明文本，有害信息屏蔽、过滤等安全防范技术措施的文本。

　　（五）网络与信息安全保障制度文本、互联网新技术新业务安全评估制度文本、应急处置预案文本，企业保证服务质量、信息和数据安全的承诺书，具体内容包括：

　　网络与信息安全保障制度，包括信息用户管理、日志留存、信息安全管理、网络安全管理等制度内容；互联网新技术新业务安全评估制度包括，新技术新业务上线报备、安全评审等内容；应急处置预案包括，应急处置工作流程、应急处置团队等，企业保证服务质量、信息和数据安全的承诺书等。

　　（六）符合国家信息安全等级保护制度要求的证明材料，具体内容包括：

　　《信息系统安全等级保护定级报告》，包括信息系统描述，根据《信息系统安全等级保护定级指南》）确定均保护等级等情况。该材料由运营服务企业出具和提供；《信息系统安全等级保护备案表》；专业测评机构出具的《信息系统安全等级保护测评报告》。