運營(yíng)、使用單位應當參照《信息安全技術(shù) 信息系統安全管理要求》(GB/T)、《信息安全技術(shù) 信息系統安全工程管理要求》(GB/T)、《信息系統安全等級保護基本要求》等管理規范，制定并落實(shí)符合本系統安全保護等級要求的安全管理制度。

信息系統建設完成后，運營(yíng)、使用單位或者其主管部門(mén)應當選擇符合本辦法規定條件的測評機構，依據《信息系統安全等級保護測評要求》等技術(shù)標準，定期對信息系統安全等級狀況開(kāi)展等級測評。第三級信息系統應當每年至少進(jìn)行一次等級測評，第四級信息系統應當每半年至少進(jìn)行一次等級測評，第五級信息系統應當依據特殊安全需求進(jìn)行等級測評。

信息系統運營(yíng)、使用單位及其主管部門(mén)應當定期對信息系統安全狀況、安全保護制度及措施的落實(shí)情況進(jìn)行自查。第三級信息系統應當每年至少進(jìn)行一次自查，第四級信息系統應當每半年至少進(jìn)行一次自查，第五級信息系統應當依據特殊安全需求進(jìn)行自查。

經(jīng)測評或者自查，信息系統安全狀況未達到安全保護等級要求的，運營(yíng)、使用單位應當制定方案進(jìn)行整改。