信息系统建设管理制度Word格式.docx

1、制定项目安全测评与验收方法、项目投产的 安全管理规范，以及相关依据。第三条规范性引用文件下列文件中的条款通过本规范的引用而成为本规范的条款。 凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本规范， 但鼓励研究是否可使用这些文件的最新版本。 凡是不注日期的引用文件，其最新 版本适用于本规范。GB/T 5271.8 2001信息技术 词汇 第8部分 安全第四条术语和定义本规范引用GB/T5271.8 2001中的术语和定义，还采用了以下术语和定义：1） 信息安全infosec信息的机密性、完整性和可用性的保护。注释：机密性定义为确保信息仅仅被那些被授权了的人员访问。

2、完整性定义为保护信息和处理方法的准确性和完备性。可用性定义为保证被授权用户在需要时能够访问到信息和相关资产。2） 计算机系统安全工程 ISSE （ Information Systems Security Engineering ）计算机系统安全工程（ISSE）是发掘用户信息安全保护需求，然后以经济、 精确和简明的方法来设计和建造计算机系统的一门技巧和科学， ISSE识别出安全风险，并使这些风险减至最少或使之受到遏制。3） 风险分析 risk analysis对信息和信息处理设施所面临的威胁及其影响以及计算机系统脆弱性及其 发生的可能性的分析评估。4） 安全目标 security object

3、ive本规范中特指公司项目建设信息安全管理中需要达成到的目标。5） 安全测试 security testing用于确定系统的安全特征按设计要求实现的过程。这一过程通常包括现场功 能测试、渗透测试和验证。第五条 本规范遵照国家相关政策法规和条例，结合各种信息化项目建设的 具体情况，依据各种标准、规范以及安全管理规定而制定。第二章 项目建设安全管理的总体要求第六条 项目建设安全管理目标一个项目的生命周期包括：项目申报、项目审批和立项、项目实施、项目验 收和投产；从项目建设的角度来看，这些生命周期的阶段则包括以下子阶段： 需求分析、总体方案设计、概要设计、详细设计、系统实施、系统测试和试运行， 如下

4、表所示。项目言理注命胃期项目申报需求分析 总体方案耐项目审批和立项项目实施概萎设计“详设计“系统实施项目验收利攪产爭统测试，试运行和扭产项目建设安全管理的目标就是保证整个项目管理和建设过程中系统的安全。 为了达到这个目标，信息安全（INFOSEC必须融合在项目管理和项目建设过程中， 与公司的业务需求、环境要求、项目计划、成本效益以及国家和地方的政策、标 准、指令相一致。这种融合应该产生一个计算机系统安全工程（ISS巳项目，它 要确认、评估、并且消除或控制住系统对已知或假定的威胁的脆弱点， 最终得到一个可以接受水平的安全风险。计算机系统安全工程（ISSE）并不意味着存在一个单独独立的过程。它支持

5、 项目管理和建设过程，而且是后者不可分割的一部分。第三章到第六章将以项目 管理过程为主轴，并结合项目建设过程，规定了在每个阶段中应达到哪些计算机 系统安全工程要求。第七条 项目建设安全管理原则信息系统项目建设安全管理应遵循如下原则：1） 等级2） 全生命周期安全管理：信息安全管理必须贯穿信息化项目建设的整个生命 周期；3） 成本-效益分析：进行信息安全建设和管理应考虑投入产出比；4） 明确职责：每个参与项目建设和项目管理的人员都应该明确安全职责， 应进行安全意识和职责培训，并落实到位；5） 管理公开：应保证每个项目参与人员都知晓和理解安全管理的模式和方法;6） 科学制衡：进行适当的职责分离，保

6、证没有人可以单独完成一项业务活动，以避免出现相应的安全问题；7） 最小特权：人员对项目资产的访问权限制到最低限度， 即仅赋予其执行授 权任务所必需的权限。第八条 项目建设安全管理要求项目安全管理工作应强化责任机制、规范管理程序，在项目的申报、审批、 立项、实施、验收等关键环节中，必须依照规定的职能行使职权，并在规定的时 限内完成各个环节的安全管理行为，否则应承担相应的行政责任。第三章项目申报第九条 项目申报阶段应对信息系统项目及其建设的各个环节进行统一的安 全管理规划，确定项目的安全需求、安全目标、安全建设方案，以及生命周期各 阶段的安全需求、安全目标、安全管理措施。第十条 应由项目应用主管单

7、位进行项目需求分析、确定总体目标和建设方 案。项目应用主管单位进行项目申报时应填写信息系统项目立项申请表，并 提交业务需求书和信息系统项目可行性研究报告。第十二条系统定级1） 依据国家信息系统安全等级保护定级指南（GBT 22240-2008）对项目中 的系统进行定级，明确信息系统的边界和安全保护等级；2） 以书面的形式说明确定信息系统为某个安全保护等级的方法和理由，形 成信息系统定级报告；3） 组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确 性进行论证和审定，上报上级主管单位和安全监控单位进行审定；4） 信息系统的定级结果向本地公安机关进行备案。第十三条挖掘安全需求在业务需求

8、书中除了描述系统业务需求之外，还应进行系统的安全性需 求分析，应至少包括以下信息安全方面的内容：1） 安全威胁分析报告：应分析待建计算机系统在生命周期的各个阶段中可能 遭受的自然威胁或者人为威胁（故意或无意），具体包括威胁列表、威胁可能性 分析、威胁严重性分析等；2） 系统脆弱性分析报告：包括对系统造成问题的脆弱性的定性或定量的描 述，这些问题是被攻击的可能性、被攻击成功的可能性；3） 影响分析报告：描述威胁利用系统脆弱性可能导致不良影响。 影响可能是 有形的，例如资金的损失或收益的减少， 或可能是无形的，例如声誉和信誉的损 失；4） 风险分析报告：安全风险分析的目的在于识别出一个给定环境中涉

9、及到对 某一系统有依赖关系的安全风险。它取决于上面的威胁分析、脆弱性分析和影响 分析，应提供风险清单以及风险优先级列表；5） 系统安全需求报告：针对安全风险，应提出安全需求，对于每个不可接受 的安全风险，都至少有一个安全需求与其对应。第十四条安全可行性在可行性报告的以下条目中应增加相应的信息安全方面的内容：1） 项目目标、主要内容与关键技术：增加信息化项目的总体安全目标，并在主要内容后面增加针对前面分析出的安全需求所提出的相应安全对策， 每个安全需求都至少对应一个安全对策，安全对策的强度应根据相应资产的重要性来选 择；2） 项目采用的技术路线或者技术方案：增加描述如何从技术、运作、组织 以及制

10、度四个方面来实现所有的安全对策，并形成安全方案；3） 项目的承担单位及人员情况介绍：增加项目各承担单位的信息安全方面 的资质和经验介绍，并增加介绍项目主要参与人员的信息安全背景；4） 项目安全管理：增加项目建设中的安全管理模式、安全组织结构、人员 的安全职责、建设实施中的安全操作程序和相应安全管理要求；5） 成本效益分析：对安全方案进行成本-效益分析。第十五条 对投入使用的应用软件需要升级改造的，虽不需另行立项，但仍 需参照上述方法进行一定的安全性分析，并针对可能发生的安全问题提出和实现 相应安全对策。第四章 安全方案设计第十六条 本阶段主要是项目审批单位对项目申报内容进行安全方案的设 计，对

11、项目的安全性进行确定，必要时可以聘请外单位的专家参与论证工作。第十七条安全标准的确定1） 根据系统的安全保护等级选择基本安全措施，设计安全标准必须达到等 级保护相关等级的基本要求，并依据风险分析的结果进行补充和调整必要的安全 措施；2） 指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期 和远期的安全建设工作计划；3） 应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策 略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套 文件4） 应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合

12、理性和正确性 进行论证和审定，并且经过批准后，才能正式实施；5） 根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技 术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。第五章方案论证和审批第十八条 本阶段主要是项目审批单位对项目申报内容进行审批，对项目进 行安全性论证，必要时可以聘请外单位的专家参与论证工作。第十九条安全性论证和审批安全性论证应着重对项目的安全需求分析、 安全对策以及总体安全方案进行 成本-效益、合理性、可行性和有效性分析，并在信息化项目立项审批表上 给出明确的结论：1） 适当2） 不合适（否决）3） 需作复议对论证结论为“需作复议”的项目，通知申报单

13、位对有关内容进行必要的补 充或者修改后，再次提交复审。第二十条 项目安全立项审批后，项目审批单位将对项目进行立项，在信息系统项目任务书的以 下条目中应增加相应的计算机安全方面的内容：1） 项目的管理模式、组织结构和责任：增加项目建设中的安全管理模式、 安 全组织结构以及人员的安全职责；2） 项目实施的基本程序和相应的管理要求：增加项目建设实施中的安全操作 程序和相应安全管理要求；3） 项目设计目标、主要内容和关键技术：增加总体安全目标、安全对策以及 用于实现安全对策的总体安全方案；4） 项目实现功能和性能指标：增加描述系统拥有的具体安全功能以及安全功 能的强度；5） 项目验收考核指标：增加安全

14、性测试和考核指标。第二十一条立项的项目，如采用引进、合作开发或者外包开发等形式，则 需与第三方签订安全保密协议。第六章项目实施方案和实施过程安全管理标准第二十二条 信息化项目实施阶段包括3个子阶段：概要设计、详细设计和 项目实施，本阶段的主要工作由项目开发承担单位来完成， 项目审批单位负责监 督工作。第二十三条概要设计子阶段的安全要求在概要设计阶段，系统层次上的设计要求和功能指标都被分配到了子系统层 次上，这个子阶段的安全目标是保证各子系统设计实现了总体安全方案中的安全 功能。因此，概要设计说明书中至少应达到以下安全要求：1） 应当按子系统来描述系统的安全体系结构；2） 应当描述每一个子系统所提供的安全功能；3） 应当标识所要求的任何基础性的硬件、 固件或软件，和在这些硬件、固件 或软件中实现的支持性保护机制提供的功能表