項(xiàng)目及信息系統(tǒng)建設(shè)管理系統(tǒng)規(guī)章制度

1、«*單位安全管理制度匯編項(xiàng)目與信息系統(tǒng)建設(shè)管理制度編制說明2第一章總?cè)绱?第二章安全要求3第一節(jié)項(xiàng)目建設(shè)安全管理的總體要求 3第二節(jié)項(xiàng)目申報(bào)安全管理標(biāo)準(zhǔn) 4第三節(jié)系統(tǒng)定級(jí)管理6第四節(jié)方案論證和審批安全管理標(biāo)準(zhǔn)6第五節(jié) 項(xiàng)目實(shí)施方案和實(shí)施過程安全管理標(biāo)準(zhǔn)7第六節(jié)安全方案設(shè)計(jì)管理 10 第七節(jié)產(chǎn)品采購和使用管理10第八節(jié)自行軟件開發(fā)管理 11 第九節(jié)夕卜包軟件開發(fā)管理 11 第十節(jié)工程實(shí)施管理12 第十一節(jié)測(cè)試驗(yàn)收管理12 第十二節(jié)系統(tǒng)交付管理13 第十三節(jié)系統(tǒng)備案管理13 第十四節(jié)等級(jí)測(cè)評(píng)管理13 第十五節(jié)安全服務(wù)商選擇管理14第十六節(jié) 項(xiàng)目驗(yàn)收與投產(chǎn)安全管理標(biāo)準(zhǔn)15第三章評(píng)估和論證安

2、全管理 18第四章附如此19第一節(jié)文擋信息19 第二節(jié)版本控制19 第三節(jié)其他信息19文件名稱項(xiàng)目與信息系統(tǒng)建設(shè)管理管理制度密級(jí)內(nèi)部文件編號(hào)版本號(hào)編寫部門網(wǎng)絡(luò)室編寫人審批人發(fā)布時(shí)間2010-8-29編制說明為進(jìn)一步貫徹黨中央和國(guó)務(wù)院批準(zhǔn)的國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信 息安全保障工作的意見與其“重點(diǎn)保護(hù)根底信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全 的思想、貫徹信息產(chǎn)業(yè)部“積極預(yù)防、與時(shí)發(fā)現(xiàn)、快速反響、確保恢復(fù)的 方針和“同步規(guī)劃、同步建設(shè)、同步運(yùn)行的要求，特制定本制度。本制度依據(jù)我國(guó)信息安全的有關(guān)法律法規(guī)，結(jié)合*單位的自身業(yè)務(wù)特點(diǎn)、并參考國(guó)際有關(guān)信息安全標(biāo)準(zhǔn)制定的。*單位安全管理制度匯編項(xiàng)目與信息系統(tǒng)建設(shè)管理

3、制度，是針對(duì)所 有IT建設(shè)項(xiàng)目，主要用于在IT項(xiàng)目立項(xiàng)過程中安全局部的方案規(guī)劃、評(píng)估 和安全管理。第一章總?cè)绱说谝粭l 制度目標(biāo)：為了加強(qiáng)*單位信息安全保障能力，建立健全的安全 管理體系，提高整體的網(wǎng)絡(luò)與信息安全水平，保證網(wǎng)絡(luò)通信暢通和業(yè)務(wù)系統(tǒng)的正 常運(yùn)營(yíng)，提高網(wǎng)絡(luò)服務(wù)質(zhì)量，在安全體系框架下，本制度旨在提高IT項(xiàng)目信息安全建設(shè)質(zhì)量，加強(qiáng)IT項(xiàng)目建設(shè)安全管理工作。第二條 適用X圍：本制度適用于所有TCP/IP網(wǎng)絡(luò)IT建設(shè)項(xiàng)目，主要用于 IT項(xiàng)目立項(xiàng)過程中方案設(shè)計(jì)、規(guī)劃的安全要求參考。第三條 使用人員與角色職責(zé)：本制度適用于全體人員。第二章安全要求第一節(jié)項(xiàng)目建設(shè)安全管理的總體要求第四條 項(xiàng)目建設(shè)安全

4、管理目標(biāo)一個(gè)項(xiàng)目的生命周期包括：項(xiàng)目申報(bào)、項(xiàng)目審批和立項(xiàng)、項(xiàng)目實(shí)施、項(xiàng)目 驗(yàn)收和投產(chǎn)；從項(xiàng)目建設(shè)的角度來看，這些生命周期的階段如此包括以下 子階段：需求分析、總體方案設(shè)計(jì)、概要設(shè)計(jì)、詳細(xì)設(shè)計(jì)、系統(tǒng)實(shí)施、系統(tǒng)測(cè)試和試運(yùn)行，如下表所示項(xiàng)目管理生命周期項(xiàng)目申報(bào)系統(tǒng)定級(jí) 需求分析 總體方案設(shè)計(jì)項(xiàng)目審批和立項(xiàng)項(xiàng)目實(shí)施概要設(shè)計(jì)、詳細(xì)設(shè)計(jì)、系統(tǒng)實(shí)施項(xiàng)目驗(yàn)收和投產(chǎn)系統(tǒng)測(cè)試、試運(yùn)行和投產(chǎn)項(xiàng)目建設(shè)安全管理的目標(biāo)就是保證整個(gè)項(xiàng)目管理和建設(shè)過程中系統(tǒng)的安全。為了達(dá)到這個(gè)目標(biāo)，信息安全I(xiàn)NFOSEC必須融合在項(xiàng)目管理和項(xiàng) 目建設(shè)過程中，與組織的業(yè)務(wù)需求、環(huán)境要求、項(xiàng)目計(jì)劃、本錢效益以與 國(guó)家和地方的政策、標(biāo)準(zhǔn)、指令相一

5、致。這種融合應(yīng)該產(chǎn)生一個(gè)信息系統(tǒng) 安全工程ISSE項(xiàng)目，它要確認(rèn)、評(píng)估、并且消除或控制住系統(tǒng)對(duì)或假 定的威脅的脆弱點(diǎn)，最終得到一個(gè)可以承受水平的安全風(fēng)險(xiǎn)。第五條 項(xiàng)目建設(shè)安全管理原如此信息建設(shè)項(xiàng)目建設(shè)安全管理應(yīng)遵循如下原如此：（一）全生命周期安全管理：信息安全管理必須貫穿信息系統(tǒng)建設(shè)項(xiàng)目 建設(shè)的整個(gè)生命周期；（二）本錢-效益分析：進(jìn)展信息安全建設(shè)和管理應(yīng)考慮投入產(chǎn)出比；（三）明確職責(zé)：每個(gè)參與項(xiàng)目建設(shè)和項(xiàng)目管理的人員都應(yīng)該明確安全 職責(zé)，應(yīng)進(jìn)展安全意識(shí)和職責(zé)培訓(xùn)，并落實(shí)到位；（四）管理公開：應(yīng)保證每個(gè)項(xiàng)目參與人員都知曉和理解安全管理的模 式和方法；（五）科學(xué)制衡：進(jìn)展適當(dāng)?shù)穆氊?zé)別離，將業(yè)務(wù)的不

6、同責(zé)任分配給不同 的責(zé)任人；（六）最小特權(quán)：人員對(duì)項(xiàng)目資產(chǎn)的訪問權(quán)限制到最低限度，即僅賦予 其執(zhí)行授權(quán)任務(wù)所必需的權(quán)限。第六條 項(xiàng)目建設(shè)安全管理要求項(xiàng)目安全管理工作由信息安全管理部門負(fù)責(zé)， 在項(xiàng)目的申報(bào)、審批、立項(xiàng)、實(shí)施、 驗(yàn)收等關(guān)鍵環(huán)節(jié)中，必須有信息安全管理部門的參與和評(píng)審意見。 應(yīng)在項(xiàng)目規(guī)劃 中明確信息安全責(zé)任、義務(wù)與管理程序。第二節(jié)項(xiàng)目申報(bào)安全管理標(biāo)準(zhǔn)項(xiàng)目申報(bào)階段應(yīng)對(duì)信息系統(tǒng)建設(shè)項(xiàng)目各個(gè)環(huán)節(jié)進(jìn)展統(tǒng)一的安全管理規(guī)劃，確定項(xiàng)目的等級(jí)保護(hù)系統(tǒng)保護(hù)級(jí)別、安全需求、安全目標(biāo)、安全建設(shè)方案，以與生 命周期各階段的安全需求、安全目標(biāo)、安全管理措施。由項(xiàng)目開發(fā)單位協(xié)同用戶單位進(jìn)展項(xiàng)目需求分析、確定總體目

7、標(biāo)和建設(shè)方 案。第七條挖掘安全需求在需求分析報(bào)告中除了描述系統(tǒng)業(yè)務(wù)需求之外，還應(yīng)進(jìn)展系統(tǒng)的安全 性需求分析，應(yīng)盡可能包括以下信息安全方面的內(nèi)容：（一）等級(jí)保護(hù)等級(jí)：從信息系統(tǒng)自身對(duì)于國(guó)家、社會(huì)公共秩序、法人 與其它合法權(quán)益的侵害與侵害程度，判別系統(tǒng)的等級(jí)保護(hù)級(jí)別。（二）安全威脅分析報(bào)告：應(yīng)分析待建計(jì)算機(jī)系統(tǒng)在生命周期的各個(gè)階 段中可能遭受的自然威脅或者人為威脅故意或無意，具體包括威 脅列表、威脅可能性分析、威脅嚴(yán)重性分析等；（三）系統(tǒng)脆弱性分析報(bào)告：包括對(duì)系統(tǒng)造成問題的脆弱性的定性或定 量的描述，這些問題是被攻擊的可能性、被攻擊成功的可能性；（四）影響分析報(bào)告：描述威脅利用系統(tǒng)脆弱性可能導(dǎo)致不

8、良影響。影 響可能是有形的，例如資金的損失或收益的減少，或可能是無形的，例如聲譽(yù)和信譽(yù)的損失；（五）風(fēng)險(xiǎn)分析報(bào)告：安全風(fēng)險(xiǎn)分析的目的在于識(shí)別出一個(gè)給定環(huán)境中 涉與到對(duì)某一系統(tǒng)有依賴關(guān)系的安全風(fēng)險(xiǎn)。它取決于上面的威脅 分析、脆弱性分析和影響分析，應(yīng)提供風(fēng)險(xiǎn)清單以與風(fēng)險(xiǎn)優(yōu)先級(jí) 列表；（六）系統(tǒng)安全需求報(bào)告：針對(duì)安全風(fēng)險(xiǎn)，應(yīng)提出安全需求，對(duì)于每個(gè) 不可承受的安全風(fēng)險(xiǎn)，都至少有一個(gè)安全需求與其對(duì)應(yīng)。第八條安全可行性在信息系統(tǒng)建設(shè)項(xiàng)目可行性研究報(bào)告 的以下條目中應(yīng)增加相應(yīng)的信息 安全方面的內(nèi)容：（一）項(xiàng)目目標(biāo)、主要內(nèi)容與關(guān)鍵技術(shù)：增加信息系統(tǒng)建設(shè)項(xiàng)目的總體 安全目標(biāo)，并在主要內(nèi)容后面增加針對(duì)前面分析出的

9、安全需求所提 出的相應(yīng)安全對(duì)策，每個(gè)安全需求都至少對(duì)應(yīng)一個(gè)安全對(duì)策，安全 對(duì)策的強(qiáng)度應(yīng)根據(jù)相應(yīng)資產(chǎn)的重要性來選擇；（二）項(xiàng)目采用的技術(shù)路線或者技術(shù)方案：增加描述如何從技術(shù)、運(yùn)作、 組織以與制度四個(gè)方面來實(shí)現(xiàn)所有的安全對(duì)策，并形成安全方案；（三）項(xiàng)目的承當(dāng)單位與人員情況介紹：增加項(xiàng)目各承當(dāng)單位的信息安 全方面的資質(zhì)和經(jīng)驗(yàn)介紹，并增加介紹項(xiàng)目主要參與人員的信息 安全背景；（四）項(xiàng)目安全管理：安全級(jí)別達(dá)到重要級(jí)以上的項(xiàng)目應(yīng)增加項(xiàng)目建設(shè) 中的安全管理模式、安全組織結(jié)構(gòu)、人員的安全職責(zé)、建設(shè)實(shí)施 中的安全操作程序和相應(yīng)安全管理要求，項(xiàng)目安全管理人員由 XXX部主管與信息安全管理部門人員擔(dān)任，信息安全管理

10、部門人 員具體對(duì)項(xiàng)目安全進(jìn)展監(jiān)管；（五）本錢效益分析：對(duì)安全方案進(jìn)展本錢-效益分析。（六）對(duì)投入使用的應(yīng)用軟件需要升級(jí)改造的，雖不需另行立項(xiàng)，但仍 需參照上述方法進(jìn)展一定的安全性分析，并針對(duì)可能發(fā)生的安全 問題提出和實(shí)現(xiàn)相應(yīng)安全對(duì)策。第三節(jié)系統(tǒng)定級(jí)管理單位應(yīng)根據(jù)信息系統(tǒng)等級(jí)保護(hù)管理方法和信息系統(tǒng)安全保護(hù)等級(jí)定 級(jí)指南以與上級(jí)定級(jí)指導(dǎo)意見，初步確定系統(tǒng)安全保護(hù)等級(jí)。定級(jí)工作需要符 合如下要求：（一）應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí)；（二）應(yīng)以書面的形式說明確定信息系統(tǒng)為某個(gè)安全保護(hù)等級(jí)的方法 和理由；（三）定級(jí)結(jié)果有本單位信息安全主管領(lǐng)導(dǎo)的批準(zhǔn)；（四）定級(jí)結(jié)果有上級(jí)主管單位批準(zhǔn)；（五）應(yīng)組織相

11、關(guān)部門和有關(guān)安全技術(shù)專家對(duì)信息系統(tǒng)定級(jí)結(jié)果的合 理性和正確性進(jìn)展論證和審定；（六）應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)。第四節(jié) 方案論證和審批安全管理標(biāo)準(zhǔn)本階段主要是XXX部主管組織人員對(duì)項(xiàng)目申報(bào)內(nèi)容中的信息安全需求與解 決方案局部進(jìn)展論證，必要時(shí)可以聘請(qǐng)外單位的專家參與論證工作。第九條安全性論證和審批安全性論證應(yīng)著重對(duì)項(xiàng)目的安全需求分析、 安全對(duì)策以與總體安全方案進(jìn)展本錢-效益、合理性、可行性和有效性分析，給出明確的結(jié)論：（一）適當(dāng)（二）不適宜否決（三）需作復(fù)議對(duì)論證結(jié)論為“需作復(fù)議的項(xiàng)目，通知申報(bào)單位對(duì)有關(guān)內(nèi)容進(jìn)展必要的 補(bǔ)充或者修改后，再次提交復(fù)審。第十條 項(xiàng)目安全立項(xiàng)審批后，項(xiàng)目

12、審批單位將對(duì)項(xiàng)目進(jìn)展立項(xiàng)， 以下條目中應(yīng)增加相應(yīng)的計(jì)算 機(jī)安全方面的內(nèi)容：（一）項(xiàng)目的管理模式、組織結(jié)構(gòu)和責(zé)任：增加項(xiàng)目建設(shè)中的安全管理模式、安全組織結(jié)構(gòu)以與人員的安全職責(zé)；（二）項(xiàng)目實(shí)施的根本程序和相應(yīng)的管理要求：增加項(xiàng)目建設(shè)實(shí)施中的 安全操作程序和相應(yīng)安全管理要求；（三）項(xiàng)目設(shè)計(jì)目標(biāo)、主要內(nèi)容和關(guān)鍵技術(shù)：增加總體安全目標(biāo)、安全 對(duì)策以與用于實(shí)現(xiàn)安全對(duì)策的總體安全方案；（四）項(xiàng)目實(shí)現(xiàn)功能和性能指標(biāo)：增加描述系統(tǒng)擁有的具體安全功能以 與安全功能的強(qiáng)度；（五）項(xiàng)目驗(yàn)收考核指標(biāo)：增加安全性測(cè)試和考核指標(biāo)。（六）立項(xiàng)的項(xiàng)目，如采用引進(jìn)、合作開發(fā)或者外包開發(fā)等形式，如此 需與第三方簽訂安全某某協(xié)議。第

13、五節(jié) 項(xiàng)目實(shí)施方案和實(shí)施過程安全管理信息系統(tǒng)建設(shè)項(xiàng)目實(shí)施階段包括 3個(gè)子階段：概要設(shè)計(jì)、詳細(xì)設(shè)計(jì)和項(xiàng)目 實(shí)施，本階段的主要工作由項(xiàng)目實(shí)施單位來完成， 項(xiàng)目審批單位負(fù)責(zé)監(jiān)視工作。 概要設(shè)計(jì)子階段的安全要求。在概要設(shè)計(jì)階段，系統(tǒng)層次上的設(shè)計(jì)要求和功能指標(biāo)都被分配到了子系統(tǒng) 層次上，這個(gè)子階段的安全目標(biāo)是保證各子系統(tǒng)設(shè)計(jì)實(shí)現(xiàn)了總體安全方案中的 安全功能。因此，概要設(shè)計(jì)說明書中應(yīng)盡可能達(dá)到以下安全要求：（一）應(yīng)當(dāng)按子系統(tǒng)來描述系統(tǒng)的安全體系結(jié)構(gòu)；（二）應(yīng)當(dāng)描述每一個(gè)子系統(tǒng)所提供的安全功能；（三）應(yīng)當(dāng)標(biāo)識(shí)所要求的任何根底性的硬件、固件或軟件，和在這些硬 件、固件或軟件中實(shí)現(xiàn)的支持性保護(hù)機(jī)制提供的功能表示

14、；（四）應(yīng)當(dāng)標(biāo)識(shí)子系統(tǒng)的所有接口，并說明哪些接口是外部可見的；（五）描述子系統(tǒng)所有接口的用途與使用方法，并適當(dāng)提供影響、例外 情況和錯(cuò)誤消息的細(xì)節(jié)；（六）確證子系統(tǒng)不論是開發(fā)的，還是買來的的安全功能指標(biāo)滿足 系統(tǒng)安全需求。第十一條詳細(xì)設(shè)計(jì)子階段的安全要求無論是新開發(fā)一個(gè)系統(tǒng)，或是對(duì)一個(gè)系統(tǒng)進(jìn)展修改，本階段的任務(wù)是完成 那些不能買到現(xiàn)成品的軟硬件模塊的設(shè)計(jì)。先要完成每個(gè)模塊的詳細(xì)設(shè)計(jì)方案， 最后根據(jù)每個(gè)模塊的詳細(xì)設(shè)計(jì)得到整個(gè)系統(tǒng)的詳細(xì)設(shè)計(jì)。本子階段的安全目標(biāo) 是保證各模塊設(shè)計(jì)實(shí)現(xiàn)了概要設(shè)計(jì)中的安全功能，因此在這一階段的詳細(xì)設(shè) 計(jì)說明書中至少要包括以下信息安全內(nèi)容：（一）詳細(xì)設(shè)計(jì)中應(yīng)提出相應(yīng)的具體

15、安全方案，標(biāo)明實(shí)現(xiàn)的安全功能， 并應(yīng)檢查其技術(shù)原理；（二）對(duì)系統(tǒng)層面上的和模塊層面上的安全設(shè)計(jì)進(jìn)展審查；（三）完成安全測(cè)試和評(píng)估要求通常包括完整的系統(tǒng)的、軟件的、硬 件的安全測(cè)試方案，至少是相關(guān)測(cè)試程序的一個(gè)草案；（四）確認(rèn)各模塊的設(shè)計(jì)，以與模塊間的接口設(shè)計(jì)能滿足系統(tǒng)層面的安 全要求。第十二條 項(xiàng)目實(shí)施子階段的安全要求無論是新開發(fā)一個(gè)系統(tǒng)或是進(jìn)展系統(tǒng)修改， 本階段的主要目的是將所有的 模塊軟硬件集成為完整的系統(tǒng)，并且檢查確認(rèn)集成以后的系統(tǒng)符合要求。本階段中，應(yīng)完成以下具體信息安全工作：（一）更新系統(tǒng)安全威脅評(píng)估，預(yù)測(cè)系統(tǒng)的使用壽命；（二）找出并描述實(shí)現(xiàn)安全方案后系統(tǒng)和模塊的安全要求和限制，以與

16、 相關(guān)的系統(tǒng)驗(yàn)證機(jī)制與檢查方法；（三）完善系統(tǒng)的運(yùn)行程序和全生命期支持的安全計(jì)劃，如密鑰的分發(fā) 等；（四）在系統(tǒng)集成操作手冊(cè)中，應(yīng)制定安全集成的操作程序；（五）在系統(tǒng)修改操作手冊(cè)中，應(yīng)制定系統(tǒng)修改的安全操作程序；（六）對(duì)項(xiàng)目參與人員進(jìn)展信息安全意識(shí)培訓(xùn)；（七）并對(duì)參加項(xiàng)目建設(shè)的安全管理和技術(shù)人員的安全職責(zé)進(jìn)展檢查。（八）在軟件的開發(fā)被外包的地方，應(yīng)當(dāng)考慮如下幾點(diǎn)：a. 檢查代碼的所有權(quán)和知識(shí)產(chǎn)權(quán)情況；b. 質(zhì)量合格證和所進(jìn)展的工作的準(zhǔn)確度；c. 在第三方發(fā)生故障的情況下，有第三方備份保存；d. 進(jìn)展質(zhì)量審核；e. 在合同上有代碼質(zhì)量方面的要求；f. 在安裝之前進(jìn)展測(cè)試以檢測(cè)特洛伊代碼；g. 提

17、供源代碼以與相關(guān)設(shè)計(jì)、實(shí)施文檔；h. 重要的項(xiàng)目建設(shè)中還要對(duì)源代碼進(jìn)展審核。（九）如果軟件是自主開發(fā)的，如此需注意上述的 d、f、g、h點(diǎn)要求。（十） 計(jì)算機(jī)系統(tǒng)集成的信息技術(shù)產(chǎn)品如操作系統(tǒng)、數(shù)據(jù)庫等或安 全專用產(chǎn)品如防火墻、IDS等應(yīng)達(dá)到以下要求：1. 對(duì)項(xiàng)目實(shí)施所需的計(jì)算機(jī)與配套設(shè)備、 網(wǎng)絡(luò)設(shè)備、重要機(jī)具、計(jì) 算機(jī)軟件產(chǎn)品的購置，計(jì)算機(jī)應(yīng)用系統(tǒng)的合作開發(fā)或者外包開發(fā) 確實(shí)定，按現(xiàn)有制度中的相關(guān)規(guī)定執(zhí)行；2. 安全專用產(chǎn)品應(yīng)具有國(guó)家職能部門頒發(fā)的信息安全專用產(chǎn)品的 銷售許可證；3. 密碼產(chǎn)品符合國(guó)家密碼主管部門的要求， 來源于國(guó)家主管部門批 準(zhǔn)的密碼研制單位；4. 關(guān)鍵安全專用產(chǎn)品應(yīng)獲得國(guó)家

18、相關(guān)安全認(rèn)證， 在選型中根據(jù)實(shí)際 需要制定安全產(chǎn)品選型的標(biāo)準(zhǔn)；5. 關(guān)鍵信息技術(shù)產(chǎn)品的安全功能模塊應(yīng)獲得國(guó)家相關(guān)安全認(rèn)證，在 選型中根據(jù)實(shí)際需要制定信息技術(shù)產(chǎn)品選型的標(biāo)準(zhǔn)。（十一）產(chǎn)品和服務(wù)供給商應(yīng)達(dá)到以下要求：1. 系統(tǒng)集成商的資質(zhì)要求：至少要擁有國(guó)家權(quán)威部門認(rèn)可的系統(tǒng)一 級(jí)集成資質(zhì)，對(duì)于較為重要的系統(tǒng)應(yīng)有更高級(jí)別的集成資質(zhì)；2. 工商要求：a. 產(chǎn)品、系統(tǒng)或服務(wù)提供單位的營(yíng)業(yè)執(zhí)照和稅務(wù)登記在合法期 限內(nèi)；b. 產(chǎn)品、系統(tǒng)或服務(wù)提供商的產(chǎn)品、系統(tǒng)或服務(wù)的提供資格；c. 連續(xù)贏利期限要求；d. 連續(xù)無相關(guān)法律訴訟年限要求；e. 沒有發(fā)生重大管理、技術(shù)人員變化和流動(dòng)的期限要求；f. 沒有發(fā)生主業(yè)

19、變化期限要求。3. 安全服務(wù)商資質(zhì)：至少應(yīng)具有國(guó)家一級(jí)安全服務(wù)資質(zhì)，對(duì)于較為重要的系統(tǒng)應(yīng)有更高級(jí)別的安全服務(wù)資質(zhì)；4. 人員資質(zhì)要求：系統(tǒng)集成人員、安全服務(wù)人員以與相關(guān)管理人員 應(yīng)獲得國(guó)家權(quán)威部門頒發(fā)的信息安全人員資質(zhì)認(rèn)證；5. 其它要求：系統(tǒng)符合國(guó)家相關(guān)法律、法規(guī)，按照相關(guān)主管部門的 技術(shù)管理規(guī)定對(duì)非法信息和惡意代碼進(jìn)展有效控制，按照有關(guān)規(guī) 定對(duì)設(shè)備進(jìn)展控制，使之不被作為非法攻擊的跳板。第六節(jié)安全方案設(shè)計(jì)管理（一） 應(yīng)根據(jù)系統(tǒng)的安全保護(hù)等級(jí)選擇根本安全措施，并依據(jù)風(fēng)險(xiǎn)分析 的結(jié)果補(bǔ)充和調(diào)整安全措施；（二）單位指定和授權(quán)XXX部門對(duì)信息系統(tǒng)的安全建設(shè)進(jìn)展總體規(guī)劃， 制定近期和遠(yuǎn)期的安全建設(shè)工作

20、計(jì)劃；（三）應(yīng)根據(jù)信息系統(tǒng)的等級(jí)劃分情況，統(tǒng)一考慮安全保障體系的總體 安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細(xì)設(shè) 計(jì)方案，并形成配套文件；（四）應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對(duì)總體安全策略、安全技術(shù) 框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的合理性和正確性進(jìn)展論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式 實(shí)施；（五）應(yīng)根據(jù)等級(jí)測(cè)評(píng)、安全評(píng)估的結(jié)果定期調(diào)整和修訂總體安全策 略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案 等相關(guān)配套文件。第七節(jié) 產(chǎn)品采購和使用管理（一）應(yīng)確保安全產(chǎn)品采購和使用符合國(guó)家的有關(guān)規(guī)定；（二）應(yīng)確某某碼產(chǎn)品采購和使用符合國(guó)家密碼主

21、管部門的要求；（三）應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)產(chǎn)品的采購；（四）應(yīng)預(yù)先對(duì)產(chǎn)品進(jìn)展選型測(cè)試，確定產(chǎn)品的候選X圍，并定期審定和更新候選產(chǎn)品（五） 對(duì)項(xiàng)目實(shí)施所需的計(jì)算機(jī)與配套設(shè)備、 網(wǎng)絡(luò)設(shè)備、重要機(jī)具、計(jì) 算機(jī)軟件產(chǎn)品的購置，計(jì)算機(jī)應(yīng)用系統(tǒng)的合作開發(fā)或者外包開發(fā)確 實(shí)定，按現(xiàn)有制度中的相關(guān)規(guī)定執(zhí)行；（六）安全專用產(chǎn)品應(yīng)具有國(guó)家職能部門頒發(fā)的信息安全專用產(chǎn)品的 銷售許可證；（七）密碼產(chǎn)品符合國(guó)家密碼主管部門的要求， 來源于國(guó)家主管部門批 準(zhǔn)的密碼研制單位；（八）關(guān)鍵安全專用產(chǎn)品應(yīng)獲得國(guó)家相關(guān)安全認(rèn)證， 在選型中根據(jù)實(shí)際 需要制定安全產(chǎn)品選型的標(biāo)準(zhǔn)；（九） 關(guān)鍵信息技術(shù)產(chǎn)品的安全功能模塊應(yīng)獲得國(guó)家相關(guān)

22、安全認(rèn)證，在 選型中根據(jù)實(shí)際需要制定信息技術(shù)產(chǎn)品選型的標(biāo)準(zhǔn)。第八節(jié)自行軟件開發(fā)管理（一）應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開，開發(fā)人員和測(cè)試人員 別離，測(cè)試數(shù)據(jù)和測(cè)試結(jié)果受到控制；（二）應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員 行為準(zhǔn)如此；（三）應(yīng)制定代碼編寫安全規(guī)X,要求開發(fā)人員參照規(guī)X編寫代碼；（四）應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保 管；（五）應(yīng)確保對(duì)程序資源庫的修改、更新、發(fā)布進(jìn)展授權(quán)和批準(zhǔn)。第九節(jié)外包軟件開發(fā)管理（一）應(yīng)根據(jù)開發(fā)需求檢測(cè)軟件質(zhì)量；（二）應(yīng)在軟件安裝之前檢測(cè)軟件包中可能存在的惡意代碼；（三）應(yīng)要求開發(fā)單位提供軟件設(shè)計(jì)的相關(guān)文檔和使用指

23、南；（四）應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后 門。（五）檢查代碼的所有權(quán)和知識(shí)產(chǎn)權(quán)情況；（六）質(zhì)量合格證和所進(jìn)展的工作的準(zhǔn)確度；（七）在第三方發(fā)生故障的情況下，有第三方備份保存;（八）進(jìn)展質(zhì)量審核；（九）在合同上有代碼質(zhì)量方面的要求；（十）在安裝之前進(jìn)展測(cè)試以檢測(cè)特洛伊代碼；（十一）提供源代碼以與相關(guān)設(shè)計(jì)、實(shí)施文檔；（十二）重要的項(xiàng)目建設(shè)中還要對(duì)源代碼進(jìn)展審核。第十節(jié)工程實(shí)施管理（一）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實(shí)施過程的管理；（二）應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過程，并要求工程實(shí)施單位 能正式地執(zhí)行安全工程過程；（三）應(yīng)制定工程實(shí)施方面的管理制度，明確說明實(shí)施過

24、程的控制方法 和人員行為準(zhǔn)如此。第一節(jié)測(cè)試驗(yàn)收管理（一） 應(yīng)委托公正的第三方測(cè)試單位對(duì)系統(tǒng)進(jìn)展安全性測(cè)試，并出具安 全性測(cè)試報(bào)告；（二）在測(cè)試驗(yàn)收前應(yīng)根據(jù)設(shè)計(jì)方案或合同要求等制訂測(cè)試驗(yàn)收方案， 在測(cè)試驗(yàn)收過程中應(yīng)詳細(xì)記錄測(cè)試驗(yàn)收結(jié)果，并形成測(cè)試驗(yàn)收?qǐng)?bào)告；（三）應(yīng)對(duì)系統(tǒng)測(cè)試驗(yàn)收的控制方法和人員行為準(zhǔn)如此進(jìn)展書面規(guī)疋；（四）應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)測(cè)試驗(yàn)收的管理，并按照管 理規(guī)定的要求完成系統(tǒng)測(cè)試驗(yàn)收工作；（五） 應(yīng)組織相關(guān)部門和相關(guān)人員對(duì)系統(tǒng)測(cè)試驗(yàn)收?qǐng)?bào)告進(jìn)展審定，并簽字確認(rèn)第十二節(jié)系統(tǒng)交付管理（一）應(yīng)制定詳細(xì)的系統(tǒng)交付清單，并根據(jù)交付清單對(duì)所交接的設(shè)備、 軟件和文檔等進(jìn)展清點(diǎn)；（二）應(yīng)對(duì)負(fù)

25、責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)展相應(yīng)的技能培訓(xùn)；（三）應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進(jìn)展系統(tǒng)運(yùn)行維護(hù)的文檔;（四）應(yīng)對(duì)系統(tǒng)交付的控制方法和人員行為準(zhǔn)如此進(jìn)展書面規(guī)定;（五）應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)交付的管理工作， 并按照管理規(guī)定的要求完成系統(tǒng)交付工作第十三節(jié)系統(tǒng)備案管理（一）指定XXX部門或人員負(fù)責(zé)管理系統(tǒng)定級(jí)的相關(guān)材料， 并控制這些 材料的使用；（二）應(yīng)將系統(tǒng)等級(jí)與相關(guān)材料報(bào)系統(tǒng)主管部門備案；（三）應(yīng)將系統(tǒng)等級(jí)與其他要求的備案材料報(bào)相應(yīng)公安機(jī)關(guān)備案。第十四節(jié)等級(jí)測(cè)評(píng)管理（一）在系統(tǒng)運(yùn)行過程中，至少每年對(duì)3級(jí)系統(tǒng)進(jìn)展一次等級(jí)測(cè)評(píng)，發(fā) 現(xiàn)不符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn)要求的與時(shí)整改；（二）應(yīng)

26、在系統(tǒng)發(fā)生變更時(shí)與時(shí)對(duì)系統(tǒng)進(jìn)展等級(jí)測(cè)評(píng)，發(fā)現(xiàn)級(jí)別發(fā)生變 化的與時(shí)調(diào)整級(jí)別并進(jìn)展安全改造，發(fā)現(xiàn)不符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn) 要求的與時(shí)整改；（三）應(yīng)選擇具有國(guó)家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測(cè)評(píng)單位進(jìn)展等級(jí) 測(cè)評(píng)；（四）要求技術(shù)測(cè)評(píng)機(jī)構(gòu)提供相關(guān)材料。包括營(yíng)業(yè)執(zhí)照、聲明、證明與資質(zhì)材料等;（五）與測(cè)評(píng)機(jī)構(gòu)簽訂某某協(xié)議；（六）要求測(cè)評(píng)機(jī)構(gòu)制定技術(shù)檢測(cè)方案；（七）具體項(xiàng)目將指定具體人員負(fù)責(zé)等級(jí)測(cè)評(píng)的管理第十五節(jié)安全服務(wù)商選擇管理（一）應(yīng)確保安全服務(wù)商的選擇符合國(guó)家的有關(guān)規(guī)定；（二）應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責(zé) 任；（三） 應(yīng)確保選定的安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾，必要的與其 簽訂服

27、務(wù)合同。（四）系統(tǒng)集成商的資質(zhì)要求：至少要擁有國(guó)家權(quán)威部門認(rèn)可的系統(tǒng)一 級(jí)集成資質(zhì)，對(duì)于較為重要的系統(tǒng)應(yīng)有更高級(jí)別的集成資質(zhì)；（五）工商要求：g. 產(chǎn)品、系統(tǒng)或服務(wù)提供單位的營(yíng)業(yè)執(zhí)照和稅務(wù)登記在合法期 限內(nèi)；h. 產(chǎn)品、系統(tǒng)或服務(wù)提供商的產(chǎn)品、系統(tǒng)或服務(wù)的提供資格；i. 連續(xù)贏利期限要求；j. 連續(xù)無相關(guān)法律訴訟年限要求；k. 沒有發(fā)生重大管理、技術(shù)人員變化和流動(dòng)的期限要求；l. 沒有發(fā)生主業(yè)變化期限要求。（六）安全服務(wù)商資質(zhì)：至少應(yīng)具有國(guó)家一級(jí)安全服務(wù)資質(zhì)， 對(duì)于較為 重要的系統(tǒng)應(yīng)有更高級(jí)別的安全服務(wù)資質(zhì)；（七）人員資質(zhì)要求：系統(tǒng)集成人員、安全服務(wù)人員以與相關(guān)管理人員 應(yīng)獲得國(guó)家權(quán)威部門頒發(fā)

28、的信息安全人員資質(zhì)認(rèn)證；（八）其它要求：系統(tǒng)符合國(guó)家相關(guān)法律、法規(guī)，按照相關(guān)主管部門的 技術(shù)管理規(guī)定對(duì)非法信息和惡意代碼進(jìn)展有效控制，按照有關(guān)規(guī)定 對(duì)設(shè)備進(jìn)展控制，使之不被作為非法攻擊的跳板。第十六節(jié)項(xiàng)目驗(yàn)收與投產(chǎn)安全管理標(biāo)準(zhǔn)第十三條安全測(cè)評(píng)應(yīng)制定研發(fā)、投產(chǎn)與驗(yàn)收等過程中的安全測(cè)試與驗(yàn)收大綱， 在項(xiàng)目實(shí)施完 成后，由項(xiàng)目用戶單位、項(xiàng)目開發(fā)單位共同組織進(jìn)展測(cè)試。在測(cè)試大綱中應(yīng)至 少包括以下安全性測(cè)試和評(píng)估要求：（一）配置管理：項(xiàng)目實(shí)施單位應(yīng)使用配置管理系統(tǒng)，并提供配置管理 文檔；（二）交付程序：應(yīng)將把系統(tǒng)與其局部交付給用戶的程序文檔化；（三）安裝、生成和啟動(dòng)程序：應(yīng)制定安裝、生成和啟動(dòng)程序，并保

29、證 最終產(chǎn)生了安全的配置；（四）安全功能測(cè)試：對(duì)系統(tǒng)的安全功能進(jìn)展測(cè)試，以保證其符合詳細(xì) 設(shè)計(jì)并對(duì)詳細(xì)設(shè)計(jì)進(jìn)展檢查，保證其符合概要設(shè)計(jì)以與總體安全（五）系統(tǒng)管理員指南：應(yīng)提供如何安全地管理系統(tǒng)和如何高效地利用 系統(tǒng)安全功能的優(yōu)點(diǎn)和保護(hù)功能等詳細(xì)準(zhǔn)確的信息；（六）系統(tǒng)用戶指南：必須包含兩方面的內(nèi)容：首先，它必須解釋那些 用戶可見的安全功能的用途以與如何使用它們，這樣用戶可以持 續(xù)有效地保護(hù)他們的信息；其次，它必須解釋在維護(hù)系統(tǒng)的安全 時(shí)用戶所能起的作用；（七）安全功能強(qiáng)度評(píng)估：功能強(qiáng)度分析應(yīng)說明以概率或排列機(jī)制 如, 口令字或哈希函數(shù)實(shí)現(xiàn)的系統(tǒng)安全功能。例如，對(duì)口令機(jī)制的 功能強(qiáng)度分析可以通過說

30、明口令空間是否有足夠大來指出口令 字功能是否滿足強(qiáng)度要求；（八）脆弱性分析：應(yīng)分析所采取的安全對(duì)策的完備性安全對(duì)策是否 可以滿足所有的安全需求以與安全對(duì)策之間的依賴關(guān)系。通常 可以使用穿透性測(cè)試來評(píng)估上述內(nèi)容，以判斷它們?cè)趯?shí)際應(yīng)用中 是否會(huì)被利用來削弱系統(tǒng)的安全。（九） 測(cè)試完成后，項(xiàng)目測(cè)試小組應(yīng)提交測(cè)試報(bào)告，其中應(yīng)包括安 全性測(cè)試和評(píng)估的結(jié)果。不能通過安全性測(cè)試評(píng)估的，由測(cè)試小 組提出修改意見，項(xiàng)目實(shí)施單位應(yīng)作進(jìn)一步修改。第十四條安全試運(yùn)行測(cè)試通過后，由項(xiàng)目用戶單位組織進(jìn)入試運(yùn)行階段， 應(yīng)有一系列的安全措 施來維護(hù)系統(tǒng)安全，它包括處理系統(tǒng)在現(xiàn)場(chǎng)運(yùn)行時(shí)的安全問題和采取措施保證 系統(tǒng)的安全水平在

31、系統(tǒng)運(yùn)行期間不會(huì)下降。具體工作如下：（一）監(jiān)測(cè)系統(tǒng)的安全性能，包括事故報(bào)告；（二）進(jìn)展用戶安全培訓(xùn)，并對(duì)培訓(xùn)進(jìn)展總結(jié)；（三）監(jiān)視與安全有關(guān)的部件的拆除處理；（四）監(jiān)測(cè)新發(fā)現(xiàn)的對(duì)系統(tǒng)安全的攻擊、系統(tǒng)所受威脅的變化以與其它 與安全風(fēng)險(xiǎn)有關(guān)的因素；（五）監(jiān)測(cè)安全部件的備份支持，支持與系統(tǒng)安全有關(guān)的維護(hù)培訓(xùn)；（六）評(píng)估大大小小的系統(tǒng)改動(dòng)對(duì)安全造成的影響；（七）監(jiān)測(cè)系統(tǒng)物理和功能配置，包括運(yùn)行過程，因?yàn)橐恍┎惶@眼的 改變可能影響系統(tǒng)的安全風(fēng)險(xiǎn)。（八）在試運(yùn)行情況報(bào)告中應(yīng)對(duì)上述工作做總結(jié)性描述。第十五條安全驗(yàn)收在項(xiàng)目建設(shè)要求中規(guī)定的系統(tǒng)試運(yùn)行過程完畢后， 項(xiàng)目開發(fā)單位可以組織 用戶單位人員參加的項(xiàng)目驗(yàn)收

32、組對(duì)項(xiàng)目進(jìn)展驗(yàn)收。驗(yàn)收應(yīng)增加以下安全內(nèi)容：（一）項(xiàng)目是否已達(dá)到項(xiàng)目任務(wù)書中制定的總體安全目標(biāo)和安全指標(biāo)， 實(shí)現(xiàn)全部安全功能；（二）采用技術(shù)是否符合國(guó)家、行業(yè)有關(guān)安全技術(shù)標(biāo)準(zhǔn)與規(guī) X；（三）是否實(shí)現(xiàn)驗(yàn)收測(cè)評(píng)的安全技術(shù)指標(biāo)；（四）項(xiàng)目建設(shè)過程中的各種文檔資料是否規(guī) X、齊全；（五）在驗(yàn)收?qǐng)?bào)告中也應(yīng)在以下條目中反映對(duì)系統(tǒng)安全性驗(yàn)收的情況：（六）項(xiàng)目設(shè)計(jì)總體安全目標(biāo)與主要內(nèi)容；（七）項(xiàng)目采用的關(guān)鍵安全技術(shù)；（八）驗(yàn)收專家組中的安全專家與安全驗(yàn)收評(píng)價(jià)意見。第十六條投產(chǎn)后的監(jiān)控與跟蹤項(xiàng)目投產(chǎn)后還應(yīng)進(jìn)展一段時(shí)間的監(jiān)控和跟蹤， 應(yīng)用系統(tǒng)的管理人員負(fù)責(zé)監(jiān)控和跟蹤工作，具體包括以下要求：（一）應(yīng)對(duì)系統(tǒng)關(guān)鍵安全性能

33、的變化情況進(jìn)展監(jiān)控，了解其變化的原 因；（二）對(duì)系統(tǒng)安全事故的發(fā)生、應(yīng)急、處理、恢復(fù)、總結(jié)進(jìn)展全程跟蹤, 并編寫詳細(xì)的記錄；（三）監(jiān)控新增的安全部件對(duì)系統(tǒng)安全的影響；（四）跟蹤安全有關(guān)部件的拆除處理情況，并監(jiān)控隨后系統(tǒng)安全性的變 化；（五）對(duì)新發(fā)現(xiàn)的對(duì)系統(tǒng)安全的攻擊進(jìn)展監(jiān)控，記錄其發(fā)生的頻率以與 對(duì)系統(tǒng)的影響；（六）監(jiān)控系統(tǒng)所受威脅的變化，評(píng)估其發(fā)生的可能性以與可能造成的 影響；（七）監(jiān)控并跟蹤安全部件的備份情況；（八）監(jiān)控運(yùn)行程序的變化，并記錄這些變化對(duì)系統(tǒng)安全的影響；（九）監(jiān)控系統(tǒng)物理環(huán)境的變化情況，并記錄這些變化對(duì)系統(tǒng)安全的影 響；（十） 監(jiān)控安全配置的變化情況，并記錄這些變化對(duì)系統(tǒng)安全的影響；（十一）對(duì)于上述所有監(jiān)控和跟蹤內(nèi)容，如果對(duì)系統(tǒng)安全有不良影響處，都應(yīng)在系統(tǒng)設(shè)計(jì)、配置、運(yùn)行管理上做相應(yīng)改良，以保證系 統(tǒng)安全、正常運(yùn)行。第十七條 各職能管理部門在進(jìn)展 TCP/IP網(wǎng)絡(luò)和系統(tǒng)建設(shè)項(xiàng)目立項(xiàng)申請(qǐng)過 程中，應(yīng)由信息安全工作組對(duì)項(xiàng)目提出安全建議。第十八條 根據(jù)項(xiàng)目立項(xiàng)中的項(xiàng)目立項(xiàng)申請(qǐng)、立項(xiàng)論證、立項(xiàng)評(píng)估和立項(xiàng)審 批四個(gè)程序，都應(yīng)結(jié)合各類的安全技術(shù)規(guī) X。第十九條 各職能管理部門、