系統(tǒng)建設(shè)安全管理規(guī)定

系統(tǒng)建設(shè)安全管理規(guī)定第一章總則第一條為加強(qiáng)的信息安全管理工作，防范計(jì)算機(jī)信息技術(shù)風(fēng)險(xiǎn)，保障XXXX信息系統(tǒng)安全、穩(wěn)定運(yùn)行，保障信息化建設(shè)的穩(wěn)步發(fā)展，參照國(guó)家有關(guān)規(guī)定，制定本規(guī)定。第二條本規(guī)定適用于系統(tǒng)建設(shè)過(guò)程的管理。第二章系統(tǒng)規(guī)劃與立項(xiàng)的安全管理第三條建立《總體建設(shè)規(guī)劃書(shū)》，計(jì)算機(jī)信息系統(tǒng)的規(guī)劃和建設(shè)應(yīng)同步做好系統(tǒng)安全保護(hù)工作，以確保系統(tǒng)安全目標(biāo)的實(shí)現(xiàn)。第四條計(jì)算機(jī)信息系統(tǒng)應(yīng)采取與業(yè)務(wù)安全等級(jí)要求相應(yīng)的安全機(jī)制，在安全防護(hù)方面應(yīng)符合下列基本安全要求：（一） 采取必要的技術(shù)手段，建立嚴(yán)密的安全管理控制機(jī)制，保證數(shù)據(jù)信息在處理、存儲(chǔ)和傳輸過(guò)程中的完整性和安全性，防止數(shù)據(jù)信息被非法使用、修改和復(fù)制；（二） 提供完整的數(shù)據(jù)備份和恢復(fù)功能，能方便的根據(jù)系統(tǒng)和數(shù)據(jù)的備份介質(zhì)進(jìn)行災(zāi)難恢復(fù)；（三） 具有嚴(yán)格的用戶和密碼管理，能對(duì)不同級(jí)別的用戶進(jìn)行有限授權(quán)，特別應(yīng)嚴(yán)格限制和分流特權(quán)用戶的權(quán)限，防止非法用戶的侵入和破壞；（四） 重要計(jì)算機(jī)信息系統(tǒng)應(yīng)設(shè)置審計(jì)監(jiān)控程序，具有身份識(shí)別和實(shí)體認(rèn)證功能。能夠自動(dòng)記錄操作人員的重要操作，具有防止抵賴機(jī)制；（五） 涉密信息系統(tǒng)的安全設(shè)計(jì)應(yīng)符合涉密信息保密管理的有關(guān)規(guī)定。第五條重要計(jì)算機(jī)信息系統(tǒng)立項(xiàng)的安全管理實(shí)行審批制度。對(duì)各部門初審合格的項(xiàng)目申報(bào)材料，網(wǎng)絡(luò)信息管理科應(yīng)進(jìn)行安全性專項(xiàng)審查，提出審查意見(jiàn)后由醫(yī)院領(lǐng)導(dǎo)最后審批。第六條項(xiàng)目申報(bào)材料在符合管理規(guī)定有關(guān)要求的同時(shí)，還應(yīng)包括以下與信息系統(tǒng)安全有關(guān)的內(nèi)容：（一） 業(yè)務(wù)主管部門對(duì)保證業(yè)務(wù)正常開(kāi)展的安全需求；（二） 系統(tǒng)的安全性指標(biāo)；（三） 系統(tǒng)運(yùn)行平臺(tái)的安全性要求；（四） 系統(tǒng)采取的安全策略、安全保護(hù)措施及其安全功能設(shè)計(jì)。第七條對(duì)沒(méi)有通過(guò)網(wǎng)絡(luò)信息管理科審查的項(xiàng)目，不得予以立項(xiàng)。第三章系統(tǒng)開(kāi)發(fā)的安全管理第八條計(jì)算機(jī)信息系統(tǒng)的開(kāi)發(fā)必須符合軟件工程規(guī)范，并在軟件開(kāi)發(fā)的各階段按照安全管理目標(biāo)進(jìn)行管理和實(shí)施。第九條計(jì)算機(jī)信息系統(tǒng)參加開(kāi)發(fā)的協(xié)作單位應(yīng)經(jīng)過(guò)嚴(yán)格資格審查，并簽訂保密協(xié)議書(shū)，承諾其負(fù)有的安全保密責(zé)任和義務(wù)。第十條計(jì)算機(jī)信息系統(tǒng)的開(kāi)發(fā)環(huán)境和現(xiàn)場(chǎng)應(yīng)當(dāng)與生產(chǎn)環(huán)境和現(xiàn)場(chǎng)隔離，測(cè)試數(shù)據(jù)不得直接使用生產(chǎn)環(huán)境數(shù)據(jù)。第十一條計(jì)算機(jī)信息系統(tǒng)開(kāi)發(fā)完成后，參加開(kāi)發(fā)的外部單位應(yīng)及時(shí)移交程序源代碼及其相關(guān)技術(shù)文檔，填寫《系統(tǒng)交付清單》。第十二條計(jì)算機(jī)信息系統(tǒng)采用的關(guān)鍵安全技術(shù)措施和核心安全功能設(shè)計(jì)不得進(jìn)行公開(kāi)學(xué)術(shù)交流或發(fā)表。第十三條計(jì)算機(jī)信息系統(tǒng)軟件開(kāi)發(fā)完成后，須提交業(yè)務(wù)部門進(jìn)行整體功能性測(cè)試。第十四條計(jì)算機(jī)信息系統(tǒng)軟件開(kāi)發(fā)實(shí)行安全審計(jì)制度，由網(wǎng)絡(luò)信息管理科牽頭組織安全審計(jì)。第十五條對(duì)計(jì)算機(jī)信息系統(tǒng)實(shí)行外包開(kāi)發(fā)的，除了明確知識(shí)產(chǎn)權(quán)、保密、服務(wù)等責(zé)任外，還應(yīng)對(duì)軟件程序進(jìn)行必要的代碼檢查和安全審計(jì)。第四章系統(tǒng)安全的評(píng)估與審批第十六條計(jì)算機(jī)信息系統(tǒng)投入運(yùn)行前，應(yīng)向網(wǎng)絡(luò)信息管理科提出安全評(píng)估和審批申請(qǐng)，并報(bào)送下列材料：（一） 系統(tǒng)的用途、總體結(jié)構(gòu)及軟硬件配置等基本情況；（二） 關(guān)于系統(tǒng)安全需求、安全策略、安全性指標(biāo)、安全保護(hù)措施以及安全功能設(shè)計(jì)等情況的說(shuō)明；（三） 系統(tǒng)安全性測(cè)試提綱和測(cè)試報(bào)告。第十七條網(wǎng)絡(luò)信息管理科應(yīng)當(dāng)按照《測(cè)試驗(yàn)收管理制度》對(duì)計(jì)算機(jī)信息系統(tǒng)開(kāi)發(fā)單位報(bào)送的書(shū)面材料進(jìn)行安全性測(cè)試、認(rèn)證。第十八條對(duì)信息系統(tǒng)的安全評(píng)估應(yīng)當(dāng)包括以下內(nèi)容：（一） 系統(tǒng)的安全策略；（二） 系統(tǒng)的安全措施：（三） 系統(tǒng)安全功能的實(shí)現(xiàn)程度；（四） 系統(tǒng)運(yùn)行的穩(wěn)定性、可靠性；（五）系統(tǒng)運(yùn)行平臺(tái)的安全可靠性。第十九條網(wǎng)絡(luò)信息管理科應(yīng)對(duì)測(cè)試、認(rèn)證的信息系統(tǒng)提出安全評(píng)估報(bào)告。第二十條對(duì)符合安全運(yùn)行要求的信息系統(tǒng)，方可投入運(yùn)行。對(duì)不能保證安全運(yùn)行的，經(jīng)修改完善后另行申報(bào)評(píng)估。第二十一條對(duì)尚未經(jīng)過(guò)安全審批但已經(jīng)投入使用的計(jì)算機(jī)信息系統(tǒng)，網(wǎng)絡(luò)信息管理科應(yīng)要求其主管部門報(bào)送系統(tǒng)安全建設(shè)情況書(shū)面材料，并按照上述程序進(jìn)行安全評(píng)估和審批。第五章系統(tǒng)使用與廢止的安全管理第二十二條計(jì)算機(jī)信息系統(tǒng)投入使用時(shí)網(wǎng)絡(luò)信息管理科應(yīng)當(dāng)建立相應(yīng)的操作規(guī)程和安全管理制度，以防止各類安全事故的發(fā)生。第二十三條計(jì)算機(jī)信息系統(tǒng)使用人員應(yīng)嚴(yán)格按照操作規(guī)程和有關(guān)安全管理制度進(jìn)行操作，保證系統(tǒng)安全運(yùn)行。第二十四條對(duì)計(jì)算機(jī)信息系統(tǒng)在運(yùn)行過(guò)程中出現(xiàn)的異?，F(xiàn)象，以及有關(guān)安全制度在執(zhí)行過(guò)程中出現(xiàn)的問(wèn)題，操作人員有責(zé)任向科室負(fù)責(zé)人報(bào)告。第二十五條計(jì)算機(jī)信息系統(tǒng)的使用部門應(yīng)當(dāng)加強(qiáng)對(duì)計(jì)算機(jī)系統(tǒng)運(yùn)行環(huán)境的管理，加強(qiáng)對(duì)計(jì)算機(jī)病毒的防治，保證系統(tǒng)安全運(yùn)行。第二十六條計(jì)算機(jī)信息系統(tǒng)的使用部門應(yīng)當(dāng)嚴(yán)格用戶和密碼（口令）的管理，嚴(yán)格控制各級(jí)用戶對(duì)數(shù)據(jù)的訪問(wèn)權(quán)限。第二十七條計(jì)算機(jī)信息系統(tǒng)應(yīng)定期進(jìn)行數(shù)據(jù)備份，對(duì)備份介質(zhì)應(yīng)按有關(guān)規(guī)定指定專人妥善保管，重要業(yè)務(wù)系統(tǒng)的備份介質(zhì)必須異地保存。第二十八條重要計(jì)算機(jī)信息系統(tǒng)應(yīng)當(dāng)制定信息安全保護(hù)的應(yīng)急計(jì)劃，保證業(yè)務(wù)的不間斷運(yùn)行。第二十九條重要計(jì)算機(jī)信息系統(tǒng)應(yīng)嚴(yán)格執(zhí)行保密管理的有關(guān)規(guī)定，確保國(guó)家秘密的安全。第三十條對(duì)計(jì)算機(jī)信息系統(tǒng)使用部門及有關(guān)操作人員報(bào)告的安全問(wèn)題，網(wǎng)絡(luò)信息管理科應(yīng)當(dāng)認(rèn)真受理并及時(shí)反饋處理意見(jiàn)。第三十一條計(jì)算機(jī)信息系統(tǒng)的廢止實(shí)行備案制度，退出使用應(yīng)向網(wǎng)絡(luò)信息管理科報(bào)告并備案。第三十二條對(duì)廢止的計(jì)算機(jī)信息系統(tǒng)，在業(yè)務(wù)規(guī)定的保存期限內(nèi)應(yīng)當(dāng)對(duì)軟硬件和數(shù)據(jù)備份媒體妥善加以保管。超過(guò)保存期限后需要銷毀的，應(yīng)在網(wǎng)絡(luò)信息管理科的監(jiān)督下予以不可恢復(fù)性銷毀。第六章特別規(guī)定第三十三條信息安全產(chǎn)品采購(gòu)具體參照《軟