DB14∕T 1252-2016 信息化工程安全建設(shè)和管理規(guī)范

ICS25.04025.040DB14山西省質(zhì)量技術(shù)監(jiān)督局IDB14/T1252—2016前言 12規(guī)范性引用文件 13術(shù)語和定義 14信息化工程安全管理概述 24.1信息系統(tǒng)生命周期 24.2信息安全工程過程 44.3信息化工程安全管理制度 54.4信息化工程安全項(xiàng)目管理 55規(guī)劃安全目標(biāo) 55.1分析信息安全需求 65.2定義系統(tǒng)安全要求 86設(shè)計(jì)安全方案 96.1設(shè)計(jì)安全體系結(jié)構(gòu) 106.2開展詳細(xì)的安全設(shè)計(jì) 117實(shí)施安全方案 7.1開發(fā)和采購(gòu) 7.2安全集成 7.3驗(yàn)收 8開展安全運(yùn)維 8.1信息安全風(fēng)險(xiǎn)評(píng)估和監(jiān)測(cè) 198.2事件處理和應(yīng)急響應(yīng) 208.3災(zāi)難備份和業(yè)務(wù)連續(xù)性計(jì)劃 208.4配置管理 8.5變更管理 8.6維修維護(hù) 9確保廢棄過程的安全 9.1信息安全風(fēng)險(xiǎn)評(píng)估 219.2業(yè)務(wù)遷移與連續(xù)性 219.3介質(zhì)處理 10監(jiān)督管理 10.1信息安全監(jiān)管部門的監(jiān)督檢查 22DB14/T1252—201610.2自身信息化工程安全管理 22附錄A（資料性附錄）信息化工程安全管理相關(guān)政策要求 參考文獻(xiàn) DB14/T1252—2016本標(biāo)準(zhǔn)按照GB/T1.1—2009給出的規(guī)則起草。本標(biāo)準(zhǔn)由山西省經(jīng)濟(jì)和信息化委員會(huì)提出并歸口。本標(biāo)準(zhǔn)起草單位：山西省信息技術(shù)產(chǎn)業(yè)協(xié)會(huì)、山西省經(jīng)貿(mào)決策咨詢中心、中國(guó)信息安全研究院有限公司、山西省信息化和信息安全評(píng)測(cè)中心、山西省工業(yè)控制系統(tǒng)與安全產(chǎn)業(yè)聯(lián)盟。本標(biāo)準(zhǔn)主要起草人：周亞超、左曉棟、李凱軍、王樂、薛云琴、張明勝、陸希、苑化軍、張卓雅、郭陳勛、劉雨桁。DB14/T1252—2016近年來，隨著網(wǎng)絡(luò)信息技術(shù)快速發(fā)展應(yīng)用，網(wǎng)絡(luò)安全形勢(shì)日趨復(fù)雜嚴(yán)峻，對(duì)標(biāo)準(zhǔn)化工作提出了更高要求。中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組第一次會(huì)議指出，網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動(dòng)之雙輪，必須統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進(jìn)、統(tǒng)一實(shí)施。做好網(wǎng)絡(luò)安全和信息化工作，要處理好安全和發(fā)展的關(guān)系，做到協(xié)調(diào)一致、齊頭并進(jìn)，以安全保發(fā)展、以發(fā)展促安全，努力建久安之勢(shì)、成長(zhǎng)治之業(yè)?！秶?guó)務(wù)院關(guān)于大力推進(jìn)信息化發(fā)展和切實(shí)保障信息安全的若干意見》（國(guó)發(fā)〔2012〕23號(hào)）要求，重要信息系統(tǒng)和基礎(chǔ)信息網(wǎng)絡(luò)要同步規(guī)劃、同步建設(shè)、同步運(yùn)行安全防護(hù)設(shè)施。《山西省信息化促進(jìn)條例》提出，信息安全系統(tǒng)應(yīng)當(dāng)與信息化工程同時(shí)設(shè)計(jì)、同時(shí)施工、同時(shí)投入使用。為貫徹落實(shí)黨中央、國(guó)務(wù)院和山西省有關(guān)規(guī)定，落實(shí)網(wǎng)絡(luò)強(qiáng)國(guó)戰(zhàn)略，深化標(biāo)準(zhǔn)化工作改革，構(gòu)建統(tǒng)一權(quán)威、科學(xué)高效的信息化工程安全建設(shè)管理標(biāo)準(zhǔn)體系和標(biāo)準(zhǔn)化工作機(jī)制，加強(qiáng)標(biāo)準(zhǔn)體系建設(shè)，科學(xué)構(gòu)建標(biāo)準(zhǔn)體系，推動(dòng)信息化工程安全建設(shè)管理標(biāo)準(zhǔn)與國(guó)家相關(guān)法律法規(guī)的配套銜接，促進(jìn)信息化工程安全建設(shè)管理標(biāo)準(zhǔn)與信息化應(yīng)用標(biāo)準(zhǔn)同步規(guī)劃、同步制定，提高標(biāo)準(zhǔn)適用性、先進(jìn)性和規(guī)范性，提升標(biāo)準(zhǔn)信息服務(wù)能力和標(biāo)準(zhǔn)符合性測(cè)試能力，在信息系統(tǒng)設(shè)計(jì)和建設(shè)過程中，應(yīng)同步考慮信息安全需求，信息安全貫穿于信息化工程建設(shè)的每一個(gè)生命周期階段。為此，制定本標(biāo)準(zhǔn)。1DB14/T1252—2016信息化工程安全建設(shè)和管理規(guī)范本標(biāo)準(zhǔn)規(guī)定了在信息化工程建設(shè)的全生命周期過程中有關(guān)信息安全的要求。本標(biāo)準(zhǔn)適用于山西省轄區(qū)內(nèi)各級(jí)機(jī)關(guān)、事業(yè)單位、重要領(lǐng)域新建和改擴(kuò)建信息化工程安全建設(shè)及管理工作，作為信息安全監(jiān)督、檢查、驗(yàn)收、評(píng)估等工作的重要依據(jù)。2規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB9387.2—1995信息處理系統(tǒng)開放系統(tǒng)互聯(lián)基本參考模型第2部分：安全體系結(jié)構(gòu)GB/T18794（所有部分）信息技術(shù)開放系統(tǒng)互聯(lián)開放系統(tǒng)安全框架GB/T19668.6—2007信息化工程監(jiān)理規(guī)范第6部分：信息化工程安全監(jiān)理規(guī)范GB/T20261—2006信息技術(shù)系統(tǒng)安全工程能力成熟度模型GB/T20282—2006信息安全技術(shù)信息系統(tǒng)安全工程管理要求GB/T20984—2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范GB/Z20985—2007信息技術(shù)安全技術(shù)信息安全事件管理指南GB/T20988—2007信息安全技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范GB/T22032—2008系統(tǒng)工程系統(tǒng)生存周期過程GB/T22081—2008信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則GB/T22239—2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求GB/T25070—2010信息安全技術(shù)信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求GB/T25069—2010信息安全技術(shù)術(shù)語GB/T28448—2012信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求GB/T28449—2012信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南GB/T30273—2013信息安全技術(shù)信息系統(tǒng)安全保障通用評(píng)估指南GB/T30976.1—2014工業(yè)控制系統(tǒng)信息安全第1部分：評(píng)估規(guī)范GB/T30976.2—2014工業(yè)控制系統(tǒng)信息安全第2部分：驗(yàn)收規(guī)范DB14/T1251—2016信息技術(shù)服務(wù)外包安全要求3術(shù)語和定義GB/T25069—2010確立的以及下列術(shù)語和定義適用于本文件。3.1信息系統(tǒng)生命周期2DB14/T1252—2016信息系統(tǒng)從無到有，再到廢棄的整個(gè)過程，一般分為規(guī)劃、設(shè)計(jì)、實(shí)施、運(yùn)維、廢棄階段。每一階段又可細(xì)分為多個(gè)步驟，如規(guī)劃階段分為分析需求、定義系統(tǒng)等步驟，設(shè)計(jì)階段分為體系結(jié)構(gòu)設(shè)計(jì)、詳細(xì)設(shè)計(jì)等步驟，實(shí)施階段分為開發(fā)和采購(gòu)、集成、驗(yàn)收等步驟。3.2信息安全工程為確保信息系統(tǒng)的保密性、完整性、可用性、可追究性、抗否認(rèn)性等目標(biāo)而開展的系統(tǒng)性活動(dòng)的總稱。3.3信息安全工程過程在整個(gè)信息系統(tǒng)生命周期中，將輸入轉(zhuǎn)變?yōu)檩敵龅囊唤M信息安全工程[3.2]相關(guān)活動(dòng)，包括規(guī)劃安全目標(biāo)、設(shè)計(jì)安全方案、實(shí)施安全方案、開展安全運(yùn)維、確保廢棄過程的安全。3.4信息系統(tǒng)體系結(jié)構(gòu)對(duì)信息系統(tǒng)的各組成要素、各組成要素的功能及各要素之間邏輯關(guān)系的描述。3.5信息系統(tǒng)安全體系結(jié)構(gòu)對(duì)信息系統(tǒng)安全防護(hù)體系的各組成要素、各組成要素的功能及各要素之間邏輯關(guān)系的描述。3.6信息化工程運(yùn)用電子信息技術(shù)、網(wǎng)絡(luò)互連技術(shù)和現(xiàn)代通訊技術(shù)等，開發(fā)信息資源，建設(shè)信息化系統(tǒng)的工程過程。4信息化工程安全管理概述4.1信息系統(tǒng)生命周期4.1.1概述信息系統(tǒng)生命周期包括5個(gè)基本階段，即規(guī)劃、設(shè)計(jì)、實(shí)施、運(yùn)維和廢棄1）。在每一個(gè)階段完成時(shí)，都需要對(duì)該階段的有效性進(jìn)行評(píng)估。在以上過程中，還需保持與用戶的密切溝通，以反映用戶需求、接收用戶反饋，如下頁圖1所示。程、實(shí)現(xiàn)過程、集成過程、驗(yàn)證過程、移交過程、確認(rèn)過程、運(yùn)行過程、維護(hù)過3DB14/T1252—2016圖1信息系統(tǒng)生命周期展現(xiàn)方框圖4.1.2規(guī)劃規(guī)劃階段包括但不限于以下任務(wù)：a)分析信息系統(tǒng)的業(yè)務(wù)需求，并全面梳理與信息系統(tǒng)有關(guān)的政策、法規(guī)和標(biāo)準(zhǔn)。b)采用自然語言描述信息系統(tǒng)需要具備的功能及性能，包括信息系統(tǒng)的外部接口、外部信息流，并將自然語言翻譯為可視化的工程圖表，在其中明確定義系統(tǒng)的外部接口及系統(tǒng)邊界。功能描述應(yīng)能夠反映系統(tǒng)的預(yù)期運(yùn)行效果，性能描述則用來定義功能的實(shí)現(xiàn)程度。功能和性能描述應(yīng)與需求全面對(duì)應(yīng)，且明確、可測(cè)、可驗(yàn)證。c)除規(guī)定系統(tǒng)的功能、接口、性能、互操作性外，還應(yīng)向用戶承諾已定義的系統(tǒng)功能中不會(huì)存在用戶不需要的其他功能。4.1.3設(shè)計(jì)設(shè)計(jì)階段包括但不限于以下任務(wù)：a)分析待建系統(tǒng)的體系結(jié)構(gòu)，確定系統(tǒng)中的各類組件或要素，并描述這些組件或要素之間的邏輯關(guān)系。b)分析系統(tǒng)的設(shè)計(jì)約束，特別是環(huán)境、資源限制及已明確的政策、法規(guī)和標(biāo)準(zhǔn)的強(qiáng)制性要求，在此基礎(chǔ)上完成詳細(xì)的系統(tǒng)設(shè)計(jì)，形成底層的接口規(guī)范、具體的拓?fù)鋱D等。c)確保將所有的系統(tǒng)功能和性能要求落實(shí)到系統(tǒng)組件。4.1.4實(shí)施實(shí)施階段包括但不限于以下任務(wù)：a)采購(gòu)現(xiàn)貨產(chǎn)品或開發(fā)定制化的系統(tǒng)組件，并對(duì)各項(xiàng)組件進(jìn)行測(cè)試，判斷其是否滿足系統(tǒng)設(shè)計(jì)階段為該組件分配的功能和性能。b)完成測(cè)試后，對(duì)各項(xiàng)組件進(jìn)行系統(tǒng)集成，實(shí)現(xiàn)整體性能最優(yōu)，即所有組件整合在一起后不但能夠工作，而且全系統(tǒng)的性價(jià)比最高，系統(tǒng)具有充分的可擴(kuò)充性和可維護(hù)性。c)系統(tǒng)集成完畢后，進(jìn)行線下和線上測(cè)試，以驗(yàn)證系統(tǒng)的運(yùn)行是否滿足用戶需求、符合預(yù)定設(shè)計(jì)目標(biāo)。在實(shí)施線上測(cè)試時(shí)，應(yīng)事先制定應(yīng)急預(yù)案。d)對(duì)信息系統(tǒng)進(jìn)行驗(yàn)收，核查重要的系統(tǒng)文檔并妥善保存，包括系統(tǒng)的安裝、操作、維護(hù)手冊(cè)，以及前期需求分析、設(shè)計(jì)和開發(fā)文檔。4DB14/T1252—20164.1.5運(yùn)維在運(yùn)行維護(hù)階段，信息系統(tǒng)運(yùn)維人員依據(jù)各種管理標(biāo)準(zhǔn)、制度和規(guī)范，利用運(yùn)維管理系統(tǒng)和其他運(yùn)維管理工具，實(shí)施事件管理、問題管理、配置管理、變更管理等活動(dòng)，以保障信息系統(tǒng)平穩(wěn)、高效運(yùn)行。4.1.6廢棄當(dāng)信息系統(tǒng)的功能不再需要時(shí)，信息系統(tǒng)進(jìn)入廢棄階段。在廢棄階段，可根據(jù)情況完成以下任務(wù)，包括但不限于：a)必要時(shí)對(duì)原有業(yè)務(wù)進(jìn)行遷移，確保業(yè)務(wù)的平滑過渡。b)對(duì)數(shù)據(jù)進(jìn)行歸檔和刪除，對(duì)介質(zhì)進(jìn)行清除，防止敏感信息被恢復(fù)。c)對(duì)軟硬件進(jìn)行廢棄處置。4.2信息安全工程過程信息系統(tǒng)的安全體系是信息系統(tǒng)完整不可分割的一部分，在信息系統(tǒng)生命周期的每一階段均需開展信息安全活動(dòng)。表1描述了信息安全工程過程與信息系統(tǒng)生命周期階段的對(duì)應(yīng)關(guān)系。表1信息安全工程過程與信息系統(tǒng)生命周期的對(duì)應(yīng)關(guān)系分析信息安全需求：分析用戶對(duì)業(yè)務(wù)運(yùn)行時(shí)分析需求：從業(yè)務(wù)角度，分析用戶對(duì)規(guī)劃定義系統(tǒng)安全要求：定義信息系統(tǒng)的安全功定義系統(tǒng)：定義信息系統(tǒng)的功能和性設(shè)計(jì)安全體系結(jié)構(gòu)：設(shè)計(jì)信息系統(tǒng)的信息安全體系結(jié)構(gòu)，確定系統(tǒng)中的各類安全組件，并明確各類組件的安全機(jī)制。此外，還需描設(shè)計(jì)體系結(jié)構(gòu)：分析待建系統(tǒng)的體系并描述這些組件或要素之間的邏輯關(guān)設(shè)計(jì)開展詳細(xì)的安全設(shè)計(jì)：形成信息安全底層接口規(guī)范、具體的拓?fù)鋱D等。所有的信息安全功能和性能要求應(yīng)落實(shí)到具體的信息安全組具體的拓?fù)鋱D等。所有的系統(tǒng)功能和性能要求應(yīng)落實(shí)到具體的系統(tǒng)組件，開發(fā)和采購(gòu)：開發(fā)定制的信息安全組件，采購(gòu)現(xiàn)貨信息安全產(chǎn)品，以實(shí)現(xiàn)已確定的信息安全機(jī)制。此外，還需確保信息系統(tǒng)開發(fā)和實(shí)施安全集成：將信息安全組件集成到信息系統(tǒng)驗(yàn)收：驗(yàn)證系統(tǒng)中的安全措施是否滿足用戶驗(yàn)收：驗(yàn)證系統(tǒng)的運(yùn)行是否滿足用戶監(jiān)測(cè)、處置信息安全事件，對(duì)信息安全設(shè)備進(jìn)行配置管理，升級(jí)安全補(bǔ)丁。確保信息系實(shí)施事件管理、配置管理、變更管理運(yùn)維對(duì)軟硬件及信息進(jìn)行處置，實(shí)現(xiàn)新舊廢棄5DB14/T1252—20164.3信息化工程安全管理制度信息化工程安全管理制度除應(yīng)符合國(guó)家相關(guān)法律、法規(guī)要求外，還應(yīng)符合其他有關(guān)標(biāo)準(zhǔn)的要求，包括但不限于：—GB/T20261—2006明確了信息安全工程過程的主要任務(wù)，提出了信息安全工程能力成熟度模型，規(guī)定了信息安全工程的項(xiàng)目組織活動(dòng)。—GB/T20282—2006明確了信息安全工程實(shí)施要求和項(xiàng)目實(shí)施要求，提出了分等級(jí)的信息安全工程管理要求?！狦B/T19668.6—2007提出了信息化工程招標(biāo)、設(shè)計(jì)、實(shí)施、驗(yàn)收階段的安全監(jiān)理規(guī)范，并明確了各類信息化工程的安全監(jiān)理要點(diǎn)?！狦B/T22081—2008提出了“信息系統(tǒng)獲取、開發(fā)和維護(hù)”要求?！狦B/T22239—2008提出了“系統(tǒng)建設(shè)管理”要求。4.4信息化工程安全項(xiàng)目管理4.4.1組織機(jī)構(gòu)應(yīng)有專人負(fù)責(zé)信息安全工作或成立信息安全管理機(jī)構(gòu)，并滿足以下要求：a)信息安全管理機(jī)構(gòu)應(yīng)在信息化工程建設(shè)之初便參與信息系統(tǒng)生命周期的所有活動(dòng)，并能夠在各階段的活動(dòng)中充分表達(dá)意見。要以信息安全部門為主成立信息安全工程小組，負(fù)責(zé)信息化工程中信息安全工程的管理。信息安全部門對(duì)信息化工程的重大決策擁有一票否決權(quán)。b)應(yīng)成立內(nèi)部協(xié)調(diào)機(jī)制，在信息化工程建設(shè)過程中處理業(yè)務(wù)部門、信息化部門與信息安全部門之間可能出現(xiàn)的分歧，提高信息化工程的整體性、協(xié)調(diào)性。4.4.2管理任務(wù)應(yīng)按照GB/T20282—2006的“組織保證要求”和“項(xiàng)目實(shí)施要求”，貫徹工程項(xiàng)目管理的思路，對(duì)信息化工程安全項(xiàng)目實(shí)施全過程管理，管理任務(wù)包括但不限于：a)明確項(xiàng)目范圍。b)確定所需資源及其可用性。c)確定相關(guān)角色和責(zé)任，定義管理接口。d)估算項(xiàng)目成本。e)制定項(xiàng)目進(jìn)度計(jì)劃。f)確定項(xiàng)目可交付項(xiàng)。g)制定項(xiàng)目管理規(guī)劃。h)與用戶溝通，獲得用戶認(rèn)同。i)建立專家團(tuán)隊(duì)，指導(dǎo)技術(shù)工作。j)跟蹤項(xiàng)目資源。k)跟蹤技術(shù)參數(shù)。l)監(jiān)督技術(shù)活動(dòng)的進(jìn)展，報(bào)告項(xiàng)目狀態(tài)。m)確?？山桓俄?xiàng)的質(zhì)量。n)開展項(xiàng)目有效性評(píng)估，審查項(xiàng)目績(jī)效。5規(guī)劃安全目標(biāo)6DB14/T1252—20165.1分析信息安全需求5.1.1主要任務(wù)分析信息安全需求是信息化工程安全建設(shè)的起點(diǎn)，應(yīng)從本機(jī)構(gòu)的職能或業(yè)務(wù)的角度分析對(duì)信息安全的需求。與之相關(guān)的任務(wù)主要有以下幾個(gè)方面：a)梳理本機(jī)構(gòu)的職能或業(yè)務(wù)對(duì)信息系統(tǒng)的需求。b)分析本機(jī)構(gòu)信息系統(tǒng)面臨的威脅。c)結(jié)合本機(jī)構(gòu)的職能或業(yè)務(wù)特性，分析信息安全威脅可能對(duì)本機(jī)構(gòu)造成的影響。d)明確本機(jī)構(gòu)職能或業(yè)務(wù)對(duì)信息的保密性、完整性、可用性需求。e)描述本機(jī)構(gòu)信息系統(tǒng)中涉及信息安全的角色和責(zé)任。f)梳理法律法規(guī)、政策文件對(duì)信息安全的強(qiáng)制性要求，以及本機(jī)構(gòu)的上級(jí)機(jī)構(gòu)或關(guān)聯(lián)機(jī)構(gòu)對(duì)信息安全的約束性規(guī)定。g)從信息安全威脅、可能造成的影響等角度，評(píng)估信息安全需求的有效性。5.1.2任務(wù)輸出應(yīng)編制以下文檔：a)威脅分析和后果分析報(bào)告。b)相關(guān)法律法規(guī)、政策文件及其他約束性規(guī)定列表。c)信息安全需求說明書，該說明書應(yīng)得到用戶簽字認(rèn)可。5.1.3方法應(yīng)按照GB/T20984—2007提出的風(fēng)險(xiǎn)評(píng)估規(guī)范，采用以下方法，對(duì)信息系統(tǒng)面臨的信息安全威脅和影響進(jìn)行評(píng)估分析，但資產(chǎn)、脆弱性不需要識(shí)別：a)威脅評(píng)估應(yīng)根據(jù)未來系統(tǒng)的應(yīng)用對(duì)象、應(yīng)用環(huán)境、業(yè)務(wù)狀況、操作要求等方面開展，并著重以下幾方面：1)是否依據(jù)相關(guān)規(guī)則，建立了與業(yè)務(wù)戰(zhàn)略相一致的信息系統(tǒng)安全規(guī)劃，并得到最高管理者的認(rèn)可。2)系統(tǒng)規(guī)劃中是否考慮了信息系統(tǒng)的威脅、環(huán)境，并制定了總體的安全方針。3)系統(tǒng)規(guī)劃中是否描述了有關(guān)信息系統(tǒng)預(yù)期使用方面的信息，包括預(yù)期的應(yīng)用、信息資產(chǎn)的重要性、潛在的價(jià)值、可能的使用限制、對(duì)業(yè)務(wù)的支持程度等。4)系統(tǒng)規(guī)劃中是否描述了所有與信息系統(tǒng)安全相關(guān)的運(yùn)行環(huán)境，包括物理和人員的安全配置，以及明確相關(guān)的法規(guī)、組織安全策略、專門技術(shù)和知識(shí)等。b)威脅可以通過威脅主體、資源、動(dòng)機(jī)、途徑等多種屬性來描述。造成威脅的因素可分為人為因素和環(huán)境因素。根據(jù)威脅的動(dòng)機(jī)，人為因素又可分為惡意和非惡意兩種。環(huán)境因素包括自然界不可抗的因素和其他物理因素。威脅作用形式可以是對(duì)信息系統(tǒng)直接或間接的攻擊，在保密性、完整性和可用性等方面造成損害；也可能是偶發(fā)的、或蓄意的事件。c)在對(duì)威脅進(jìn)行分類前，應(yīng)考慮威脅的來源。表2提供了一種威脅來源的分類方法。7DB14/T1252—2016表2威脅來源列表事故等環(huán)境危害或自然災(zāi)害，以及軟件、硬件、數(shù)據(jù)、通訊d)對(duì)威脅進(jìn)行分類的方式有多種，針對(duì)表2的威脅來源，可以根據(jù)其表現(xiàn)形式將威脅主要分為不同類型。表3提供了一種基于表現(xiàn)形式的威脅分類方法。表3一種基于表現(xiàn)形式的威脅分類表對(duì)業(yè)務(wù)實(shí)施或系統(tǒng)運(yùn)行產(chǎn)生影響的設(shè)備硬件故對(duì)信息系統(tǒng)正常運(yùn)行造成影響的物理環(huán)境問題無作為或操作失誤非授權(quán)訪問網(wǎng)絡(luò)資源、非授權(quán)訪問系統(tǒng)資利用工具和技術(shù)通過網(wǎng)絡(luò)對(duì)信息系統(tǒng)進(jìn)行攻擊8DB14/T1252—2016e)在梳理信息系統(tǒng)面臨的安全威脅后，需要對(duì)威脅進(jìn)行賦值，即判斷威脅出現(xiàn)的頻率。應(yīng)根據(jù)經(jīng)驗(yàn)和有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來對(duì)此進(jìn)行判斷?？梢詫?duì)威脅出現(xiàn)的頻率進(jìn)行等級(jí)化處理，不同等級(jí)分別代表威脅出現(xiàn)的頻率的高低。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。表4提供了威脅出現(xiàn)頻率的一種賦值方法。在實(shí)際的評(píng)估中，威脅頻率的判斷依據(jù)應(yīng)根據(jù)歷史統(tǒng)計(jì)或行業(yè)判斷予以確定，并得到被評(píng)估方的認(rèn)可。在評(píng)估中，需要綜合考慮以下三個(gè)方面的因素：1)以往安全事件報(bào)告中出現(xiàn)過的威脅及其頻率的統(tǒng)計(jì)。2)實(shí)際環(huán)境中通過檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì)。3)近一兩年來國(guó)際組織發(fā)布的對(duì)于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及發(fā)布的威脅預(yù)警。表4威脅賦值表5）；4高3）；2低1威脅幾乎不可能發(fā)生；僅可能在非常罕見和5.2定義系統(tǒng)安全要求5.2.1主要任務(wù)應(yīng)基于信息安全需求說明書，定義信息系統(tǒng)的信息安全要求。與之相關(guān)的任務(wù)主要有以下幾方面內(nèi)a)定義信息系統(tǒng)的安全邊界及信息安全運(yùn)行環(huán)境。b)明確信息安全管理要求，包括安全組織、人員安全、應(yīng)急響應(yīng)等。c)將信息安全需求在待建系統(tǒng)自身與外部環(huán)境、系統(tǒng)間進(jìn)行分配，如圖2所示。例如，對(duì)數(shù)字證書的安全需求應(yīng)由依法成立的第三方電子認(rèn)證機(jī)構(gòu)提供。d)明確待建系統(tǒng)與外部系統(tǒng)之間的數(shù)據(jù)流，以及各數(shù)據(jù)流的信息安全防護(hù)需求。e)梳理對(duì)后續(xù)信息安全方案設(shè)計(jì)可能構(gòu)成約束的條件，包括由外部系統(tǒng)施加的約束。例如，環(huán)境條件或環(huán)境限制、合同約束、習(xí)慣或慣例等。f)定義信息系統(tǒng)的信息安全功能要求與性能要求，性能要求應(yīng)考慮峰值因素。g)制定信息系統(tǒng)的信息安全策略，包含信息安全目標(biāo)。h)向用戶說明，已定義的信息系統(tǒng)信息安全要求如何滿足用戶的信息安全需求，并得到用戶認(rèn)可。9DB14/T1252—2016圖2信息安全需求與內(nèi)外部系統(tǒng)的映射關(guān)系方框圖5.2.2任務(wù)輸出應(yīng)編制以下文檔：a)信息安全功能和性能說明書。b)以自然語言描述的待建信息系統(tǒng)的信息安全運(yùn)行概念，包括但不限于。1)信息安全目標(biāo)、策略。2)信息安全運(yùn)行環(huán)境，包括物理環(huán)境、組織機(jī)構(gòu)、人員等方面。3)對(duì)信息安全設(shè)計(jì)構(gòu)成約束的前提條件。4)待建系統(tǒng)信息安全體系可能涉及到的機(jī)構(gòu)和主要任務(wù)，包括可能對(duì)系統(tǒng)安全造成影響的機(jī)構(gòu)及活動(dòng)。5)待建系統(tǒng)中負(fù)責(zé)信息安全的有關(guān)崗位、職責(zé)及授權(quán)關(guān)系，以及可能對(duì)信息安全造成影響的其他崗位、職責(zé)及授權(quán)關(guān)系。6)待建系統(tǒng)中與信息安全有關(guān)的操作行為，包括操作流程。5.2.3方法應(yīng)按照GB/T20282—2006的“指定安全要求”，采取以下方法，定義信息系統(tǒng)的信息安全要求：a)通過收集所有用于全面理解需求方安全要求所需的信息，獲得對(duì)安全要求的理解。b)收集所有對(duì)系統(tǒng)安全產(chǎn)生影響的外部影響；標(biāo)識(shí)出支配系統(tǒng)目標(biāo)環(huán)境的法律、規(guī)則、策略和業(yè)務(wù)標(biāo)準(zhǔn)。c)標(biāo)識(shí)出系統(tǒng)間的關(guān)系是如何影響安全的，任務(wù)的處理和運(yùn)行概要應(yīng)作為安全因素加以評(píng)估。d)定義系統(tǒng)的安全邊界，包括梳理本機(jī)構(gòu)的外部環(huán)境如何影響信息系統(tǒng)的安全。6設(shè)計(jì)安全方案DB14/T1252—20166.1設(shè)計(jì)安全體系結(jié)構(gòu)6.1.1主要任務(wù)應(yīng)基于已經(jīng)定義的信息系統(tǒng)信息安全要求，設(shè)計(jì)信息系統(tǒng)的信息安全體系結(jié)構(gòu)。與之相關(guān)的任務(wù)主要有：a)分析待建系統(tǒng)的信息安全體系結(jié)構(gòu)?！岸x系統(tǒng)安全要求”與“設(shè)計(jì)安全體系結(jié)構(gòu)”的主要區(qū)別是，前者將信息安全要求分配到整個(gè)信息系統(tǒng)之中，只指明系統(tǒng)的功能，不定義系統(tǒng)的組件，而后者則明確了承擔(dān)信息安全功能的各項(xiàng)組件。前者將目標(biāo)系統(tǒng)視為“黑盒”，后者則創(chuàng)建信息安全體系的內(nèi)部結(jié)構(gòu)。圖3和圖4分別描述了兩者的區(qū)別。b)在信息安全體系結(jié)構(gòu)中分配安全服務(wù)，并為已分配的安全服務(wù)選擇合適的安全機(jī)制，以便將此前確定的高層安全功能分解至低層功能，與高層功能相關(guān)的性能要求也應(yīng)分解至低層。關(guān)于安全服務(wù)和安全機(jī)制的概念，可參見GB9387.2—1995。c)向用戶說明，已設(shè)計(jì)的信息安全體系結(jié)構(gòu)如何滿足信息安全要求，并得到用戶認(rèn)可。d)開展信息安全風(fēng)險(xiǎn)評(píng)估，說明安全服務(wù)和安全機(jī)制如何抵御待建系統(tǒng)可能面臨的安全風(fēng)險(xiǎn)，并設(shè)定信息安全風(fēng)險(xiǎn)處置目標(biāo)，同時(shí)對(duì)信息系統(tǒng)的殘余風(fēng)險(xiǎn)作出說明。圖3定義系統(tǒng)安全要求展現(xiàn)方框圖圖4設(shè)計(jì)安全體系結(jié)構(gòu)展現(xiàn)方框圖6.1.2任務(wù)輸出應(yīng)編制以下文檔：DB14/T1252—2016a)待建信息系統(tǒng)的信息安全體系結(jié)構(gòu)。重點(diǎn)是明確系統(tǒng)內(nèi)的各類信息安全組件，說明各組件提供的信息安全服務(wù)及可能的實(shí)現(xiàn)機(jī)制，包括各組件的邏輯功能和性能。此外，還需說明內(nèi)外部的各類接口、信息流等。b)對(duì)信息安全體系結(jié)構(gòu)的安全風(fēng)險(xiǎn)評(píng)估報(bào)告。6.1.3方法應(yīng)采取以下方法設(shè)計(jì)信息系統(tǒng)的安全體系結(jié)構(gòu)：a)按照GB9387.2—1995和GB/T18794（所有部分完成信息安全服務(wù)、機(jī)制在信息系統(tǒng)體系結(jié)構(gòu)中的分配。信息安全服務(wù)是信息系統(tǒng)所能為用戶提供的安全目標(biāo)，是對(duì)用戶信息安全需求的客觀描述，如身份鑒別、訪問控制、保密性、完整性、抗抵賴等。信息安全機(jī)制是為了實(shí)現(xiàn)相關(guān)安全服務(wù)而采取的技術(shù)措施。例如，為了實(shí)現(xiàn)“保密性”這一服務(wù)，可以采用“加密”這一機(jī)制，也可以使用“信息隱藏”這一機(jī)制。b)按照GB/T20984—2007的關(guān)于“設(shè)計(jì)階段的風(fēng)險(xiǎn)評(píng)估”要求，根據(jù)規(guī)劃階段所明確的系統(tǒng)運(yùn)行環(huán)境、資產(chǎn)重要性等，提出安全功能需求，對(duì)安全體系結(jié)構(gòu)開展以下評(píng)估：1)是否符合系統(tǒng)建設(shè)規(guī)劃，并得到最高管理者的認(rèn)可。2)是否對(duì)系統(tǒng)建成后面臨的威脅進(jìn)行了分析，包括物理環(huán)境、自然的威脅，以及由于內(nèi)、外部入侵等造成的威脅。3)安全需求是否符合規(guī)劃階段的安全目標(biāo)，并基于威脅的分析，制定信息系統(tǒng)的總體安全策c)針對(duì)等級(jí)保護(hù)定級(jí)為第一級(jí)至第四級(jí)（含）系統(tǒng)的安全體系結(jié)構(gòu)，按照GB/T25070—2010規(guī)定的相應(yīng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)進(jìn)行安全機(jī)制的設(shè)計(jì)，設(shè)計(jì)目標(biāo)考慮如下：1)第一級(jí)系統(tǒng)安全保護(hù)環(huán)境應(yīng)實(shí)現(xiàn)定級(jí)系統(tǒng)的自主訪問控制，使系統(tǒng)用戶對(duì)其所屬客體具有自我保護(hù)的能力。2)第二級(jí)系統(tǒng)安全保護(hù)環(huán)境在第一級(jí)系統(tǒng)安全保護(hù)環(huán)境的基礎(chǔ)上，增加系統(tǒng)安全審計(jì)、客體重用等安全功能，并實(shí)施以用戶為基本粒度的自主訪問控制，使系統(tǒng)具有更強(qiáng)的自主安全保護(hù)能力。3)第三級(jí)系統(tǒng)安全保護(hù)環(huán)境應(yīng)在第二級(jí)系統(tǒng)安全保護(hù)環(huán)境的基礎(chǔ)上，通過實(shí)現(xiàn)基于安全策略模型和標(biāo)記的強(qiáng)制訪問控制以及增強(qiáng)系統(tǒng)的審計(jì)機(jī)制，使系統(tǒng)具有在統(tǒng)一安全策略管控下保護(hù)敏感資源的能力。4)第四級(jí)系統(tǒng)安全保護(hù)環(huán)境應(yīng)建立一個(gè)明確定義的形式化安全策略模型，將自主和強(qiáng)制訪問控制擴(kuò)展到所有主體與客體，相應(yīng)增強(qiáng)其他安全功能強(qiáng)度；將系統(tǒng)安全保護(hù)環(huán)境結(jié)構(gòu)化為關(guān)鍵保護(hù)元素和非關(guān)鍵保護(hù)元素，以使系統(tǒng)具有抗?jié)B透的能力。6.2開展詳細(xì)的安全設(shè)計(jì)6.2.1主要任務(wù)應(yīng)基于已設(shè)計(jì)的信息安全體系結(jié)構(gòu)，開展詳細(xì)的安全設(shè)計(jì)，細(xì)化到安全機(jī)制在信息系統(tǒng)中的具體實(shí)現(xiàn)。與之相關(guān)的任務(wù)主要有：a)分析所需的信息安全機(jī)制的強(qiáng)度。b)分析信息安全機(jī)制之間的互依賴性，如審計(jì)機(jī)制是監(jiān)測(cè)機(jī)制的基礎(chǔ)，身份標(biāo)識(shí)是訪問控制機(jī)制的基礎(chǔ)。DB14/T1252—2016c)落實(shí)設(shè)計(jì)中的約束因素，并結(jié)合強(qiáng)度分析結(jié)果和互依賴性分析結(jié)果，研判相應(yīng)強(qiáng)度的安全機(jī)制在系統(tǒng)中是否可實(shí)現(xiàn)。在此基礎(chǔ)上，綜合考慮成本、進(jìn)度、性能、優(yōu)先級(jí)等因素，確定整體信息安全體系結(jié)構(gòu)的可行性。d)對(duì)于需要通過非技術(shù)性措施提供的安全服務(wù)，應(yīng)列明相應(yīng)的信息安全管理措施，并形成管理制度，例如應(yīng)急響應(yīng)、培訓(xùn)等。e)確定哪些機(jī)制需要通過現(xiàn)貨產(chǎn)品提供，哪些機(jī)制則需要通過定制的產(chǎn)品提供，并明確產(chǎn)品的重要配置參數(shù)。f)確定哪些機(jī)制需要通過信息安全外包服務(wù)提供。g)對(duì)詳細(xì)的信息安全設(shè)計(jì)進(jìn)行有效性評(píng)估，以確保產(chǎn)品、管理制度與安全服務(wù)、安全機(jī)制之間具有對(duì)應(yīng)性。h)依據(jù)信息化工程信息安全建設(shè)合同及有關(guān)的政策法規(guī)、標(biāo)準(zhǔn)，明確信息安全系統(tǒng)的指標(biāo)規(guī)范。i)根據(jù)詳細(xì)設(shè)計(jì)的結(jié)果，必要時(shí)對(duì)信息安全運(yùn)行概念進(jìn)行修正。6.2.2任務(wù)輸出應(yīng)編制以下文檔：a)信息安全管理制度。b)信息安全外包服務(wù)需求說明書。c)信息安全系統(tǒng)指標(biāo)規(guī)范，以用于評(píng)估安全方案后續(xù)實(shí)施的有效性。d)信息安全技術(shù)方案，細(xì)化到產(chǎn)品級(jí)，以指導(dǎo)信息安全系統(tǒng)的實(shí)施。e)信息安全系統(tǒng)實(shí)施方案，詳細(xì)列明實(shí)施成本、工程進(jìn)度等事項(xiàng)，并確定對(duì)資源保障（包括技術(shù)、人力等）和組織保障的需求。6.2.3方法應(yīng)采取以下方法開展詳細(xì)的安全設(shè)計(jì)：a)按照GB/T22239—2008，對(duì)不同等級(jí)的系統(tǒng)開展相應(yīng)的安全方案設(shè)計(jì)：1)第一級(jí)系統(tǒng)的安全設(shè)計(jì)應(yīng)滿足等級(jí)保護(hù)一級(jí)的安全要求，依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施。并以書面形式描述對(duì)系統(tǒng)的安全保護(hù)要求、策略和措施等內(nèi)容，形成系統(tǒng)的安全方案。還應(yīng)對(duì)安全方案進(jìn)行細(xì)化，形成能指導(dǎo)安全系統(tǒng)建設(shè)、安全產(chǎn)品采購(gòu)和使用的詳細(xì)設(shè)計(jì)方案。2)第二級(jí)系統(tǒng)應(yīng)在第一級(jí)系統(tǒng)的基礎(chǔ)上，組織相關(guān)部門和有關(guān)安全技術(shù)專家對(duì)安全設(shè)計(jì)方案的合理性和正確性進(jìn)行論證和審定，并且經(jīng)過批準(zhǔn)后才能正式實(shí)施。3)第三級(jí)系統(tǒng)應(yīng)在第二級(jí)系統(tǒng)的基礎(chǔ)上，指定和授權(quán)專門的部門對(duì)安全建設(shè)進(jìn)行總體規(guī)劃，制定近期和遠(yuǎn)期的安全建設(shè)工作規(guī)劃，并應(yīng)統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細(xì)設(shè)計(jì)方案。上述文件應(yīng)進(jìn)行論證和審定，并定期調(diào)整和修訂。4)第四級(jí)系統(tǒng)的詳細(xì)安全設(shè)計(jì)要求與第三級(jí)系統(tǒng)相同。b)按照GB/T22081—2008中關(guān)于安全方針、信息安全組織、資產(chǎn)管理、人力資源安全、物理和環(huán)境安全、通信和操作管理、訪問控制、信息系統(tǒng)獲取、開發(fā)和維護(hù)、信息安全事件管理、業(yè)務(wù)連續(xù)性管理、符合性等方面的指南和一般原則，制定信息安全管理制度：1)根據(jù)業(yè)務(wù)目標(biāo)制定清晰的方針指導(dǎo)，并通過在本機(jī)構(gòu)中頒布和維護(hù)信息安全方針來表明對(duì)信息安全的支持和承諾。2)建立管理框架，以啟動(dòng)和控制本機(jī)構(gòu)范圍內(nèi)信息安全的實(shí)施。指派安全角色，協(xié)調(diào)和評(píng)審整個(gè)機(jī)構(gòu)內(nèi)信息安全的實(shí)施。必要時(shí)在本機(jī)構(gòu)范圍內(nèi)建立專家信息安全建議庫(kù)，并發(fā)展與DB14/T1252—2016外部安全專家或組織（包括相關(guān)權(quán)威人士）的聯(lián)系，以便跟上行業(yè)趨勢(shì)、跟蹤標(biāo)準(zhǔn)和評(píng)估方法，并且當(dāng)處理信息安全事件時(shí)，提供合適的聯(lián)絡(luò)點(diǎn)。鼓勵(lì)采用多學(xué)科方法，解決信息安全問題。3)對(duì)于所有資產(chǎn)指定責(zé)任人，并且賦予保持相應(yīng)控制措施的職責(zé)。特定控制措施的實(shí)施可以由責(zé)任人適當(dāng)?shù)匚蓜e人承擔(dān)，但責(zé)任人仍有對(duì)資產(chǎn)提供保護(hù)的責(zé)任。4)任用前，在適當(dāng)?shù)膷徫幻枋?、任用條款和條件中指出安全職責(zé)；應(yīng)對(duì)所有要任用、承包方人員和第三方人員的候選者進(jìn)行充分的審查，特別是對(duì)敏感崗位的成員；使用信息處理設(shè)施的雇員、承包方人員和第三方人員應(yīng)簽署關(guān)于其安全角色和職責(zé)的協(xié)議。5)關(guān)鍵或敏感的信息處理設(shè)施應(yīng)放置在安全區(qū)域內(nèi)，并受到確定的安全周邊的保護(hù)，包括適當(dāng)?shù)陌踩琳虾腿肟诳刂?；?yīng)在物理上避免對(duì)這些設(shè)施的未授權(quán)訪問、損壞和干擾，所提供的保護(hù)措施應(yīng)與所識(shí)別的風(fēng)險(xiǎn)相匹配。6)建立所有信息處理設(shè)施的管理和操作職責(zé)和規(guī)程，包括制定合適的操作規(guī)程；必要時(shí)，應(yīng)實(shí)施責(zé)任分割機(jī)制，以減少疏忽或故意誤用系統(tǒng)的風(fēng)險(xiǎn)。7)信息、信息處理設(shè)施和業(yè)務(wù)過程的訪問應(yīng)在業(yè)務(wù)和安全要求的基礎(chǔ)上予以控制，訪問控制規(guī)則應(yīng)考慮到信息傳播和授權(quán)的策略。8)應(yīng)在項(xiàng)目需求階段識(shí)別所有安全要求，并證明這些安全要求的合理性，對(duì)這些安全要求加以商定，并且將這些安全要求形成文檔，作為信息系統(tǒng)整體業(yè)務(wù)情況的一部分。9)所有雇員、承包方人員和第三方人員都應(yīng)了解事件處理規(guī)程，以便報(bào)告可能對(duì)機(jī)構(gòu)的資產(chǎn)安全造成影響的不同類型的事態(tài)和弱點(diǎn)。10)通過使用預(yù)防和恢復(fù)控制措施，將對(duì)本機(jī)構(gòu)的影響減少到最低，并從信息資產(chǎn)的損失中恢復(fù)到可接受的程度；要對(duì)災(zāi)難、安全失效、服務(wù)丟失和服務(wù)可用性的后果進(jìn)行業(yè)務(wù)影響分析，制定和實(shí)施業(yè)務(wù)連續(xù)性計(jì)劃，以確保重要的運(yùn)行能及時(shí)恢復(fù)。除了一般的風(fēng)險(xiǎn)評(píng)估過程之外，業(yè)務(wù)連續(xù)性管理應(yīng)包括識(shí)別和減少風(fēng)險(xiǎn)的控制措施，以限制破壞性事件的后果，并確保業(yè)務(wù)過程需要的信息便于使用。11)信息系統(tǒng)的設(shè)計(jì)、運(yùn)行、使用和管理都要受法律、法規(guī)以及合同安全要求的限制。7實(shí)施安全方案7.1開發(fā)和采購(gòu)7.1.1主要任務(wù)應(yīng)基于已完成的詳細(xì)設(shè)計(jì)，開發(fā)定制產(chǎn)品，并采購(gòu)現(xiàn)貨產(chǎn)品。與之相關(guān)的任務(wù)主要有：a)選擇合適的開發(fā)商，對(duì)定制產(chǎn)品進(jìn)行開發(fā)。在選擇開發(fā)商時(shí)，應(yīng)重點(diǎn)考慮開發(fā)商的技術(shù)實(shí)力、信譽(yù)、可信度、安全資質(zhì)、開發(fā)環(huán)境的安全保障水平、交付條件等因素。b)采購(gòu)現(xiàn)貨產(chǎn)品，重點(diǎn)考慮產(chǎn)品安全資質(zhì)、成本、廠商信譽(yù)、可替代性等因素。c)對(duì)定制產(chǎn)品進(jìn)行安全功能和性能測(cè)試。d)對(duì)開發(fā)和采購(gòu)過程進(jìn)行有效性評(píng)估。7.1.2任務(wù)輸出應(yīng)形成以下成果：a)獲得定制產(chǎn)品，并將定制產(chǎn)品的開發(fā)文檔、測(cè)試文檔、使用說明書等進(jìn)行歸檔。b)采購(gòu)現(xiàn)貨產(chǎn)品，并將現(xiàn)貨產(chǎn)品的選型標(biāo)準(zhǔn)、采購(gòu)過程文件等進(jìn)行歸檔。DB14/T1252—20167.1.3方法應(yīng)采取以下方法進(jìn)行開發(fā)和采購(gòu)：a)按照GB/T22239—2008，在自行開發(fā)軟件時(shí)考慮下列要點(diǎn)：1)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開，開發(fā)人員與測(cè)試人員分離，測(cè)試數(shù)據(jù)和測(cè)試結(jié)果受到控制。2)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則。3)制定代碼編寫安全規(guī)范，并要求開發(fā)人員參照。4)提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專人保管。5)確保對(duì)程序資源庫(kù)的修改、更新、發(fā)布得到授權(quán)和批準(zhǔn)。b)按照GB/T22081—2008，在外包軟件開發(fā)時(shí)應(yīng)考慮下列要點(diǎn)：1)許可協(xié)議、代碼所有權(quán)和知識(shí)產(chǎn)權(quán)。2)所完成工作的質(zhì)量和準(zhǔn)確性的認(rèn)證。3)第三方發(fā)生故障時(shí)的契約安排。4)審核所完成的工作質(zhì)量和準(zhǔn)確性的訪問權(quán)。5)代碼質(zhì)量和安全功能的合同要求。6)在安裝前，檢測(cè)惡意代碼。c)按照GB/T20984—2007對(duì)開發(fā)和采購(gòu)過程進(jìn)行評(píng)估，評(píng)估要點(diǎn)包括但不限于：1)法律、政策、適用標(biāo)準(zhǔn)和指導(dǎo)方針，直接或間接影響信息系統(tǒng)安全需求的特定法律；影響信息系統(tǒng)安全需求、產(chǎn)品選擇的政府政策、國(guó)際或國(guó)家標(biāo)準(zhǔn)。2)信息系統(tǒng)的功能需要，安全需求是否有效地支持系統(tǒng)的功能。3)成本效益風(fēng)險(xiǎn)，是否根據(jù)信息系統(tǒng)的資產(chǎn)、威脅和脆弱性的分析結(jié)果，確定在符合相關(guān)法律、政策、標(biāo)準(zhǔn)和功能需要的前提下選擇最合適的安全措施。4)評(píng)估級(jí)別，是否明確系統(tǒng)建設(shè)后應(yīng)進(jìn)行怎樣的測(cè)試和檢查，從而確定是否滿足項(xiàng)目建設(shè)、實(shí)施規(guī)范的要求。7.2安全集成7.2.1主要任務(wù)開發(fā)完成定制產(chǎn)品并采購(gòu)現(xiàn)貨產(chǎn)品后，應(yīng)在信息系統(tǒng)集成過程中同步集成信息安全產(chǎn)品。與之相關(guān)的任務(wù)主要有：a)根據(jù)信息安全技術(shù)方案，將定制產(chǎn)品和現(xiàn)貨產(chǎn)品集成到信息系統(tǒng)之中，確保產(chǎn)品之間的互操作性，確保信息系統(tǒng)整體性能最佳。b)確保產(chǎn)品的安全特性已經(jīng)激活，且安全參數(shù)已得到正確設(shè)置。c)對(duì)集成了信息安全產(chǎn)品的信息系統(tǒng)進(jìn)行上線運(yùn)行前的自測(cè)，測(cè)試信息安全系統(tǒng)是否達(dá)到指標(biāo)規(guī)范的要求，驗(yàn)證信息安全系統(tǒng)對(duì)信息系統(tǒng)性能的影響，及時(shí)解決測(cè)評(píng)中發(fā)現(xiàn)的問題。d)建立模擬環(huán)境，開展線上自測(cè)，并及時(shí)解決測(cè)評(píng)中發(fā)現(xiàn)的問題。e)對(duì)信息系統(tǒng)管理員和用戶進(jìn)行培訓(xùn)。f)對(duì)安全集成過程進(jìn)行有效性評(píng)估。7.2.2任務(wù)輸出應(yīng)形成以下成果：a)向用戶交付信息系統(tǒng)時(shí)，應(yīng)同步交付已完成自測(cè)的信息安全系統(tǒng)。b)應(yīng)將線下自測(cè)和模擬線上自測(cè)的相關(guān)技術(shù)文檔進(jìn)行歸檔。DB14/T1252—20167.2.3方法應(yīng)采取以下方法進(jìn)行安全集成：a)按照GB/T22239—2008開展安全集成任務(wù)：1)指定或授權(quán)專門部門或人員負(fù)責(zé)安全集成任務(wù)的管理。2)制定詳細(xì)的集成方案，并要求集成商正式地執(zhí)行該方案。3)制定安全集成管理制度，明確說明安全集成過程的控制方法和人員行為準(zhǔn)則。4)制定詳細(xì)的系統(tǒng)交付清單，根據(jù)交付清單，對(duì)所交接的設(shè)備、軟件和文檔進(jìn)行清點(diǎn)。5)對(duì)系統(tǒng)交付的控制方法和人員準(zhǔn)則進(jìn)行書面規(guī)定。6)制定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)交付的管理工作，并按照管理規(guī)定的要求完成系統(tǒng)交付工作。b)按照GB/T20984—2007對(duì)安全集成過程進(jìn)行評(píng)估，評(píng)估要點(diǎn)包括但不限于：1)根據(jù)實(shí)際建設(shè)的系統(tǒng)，詳細(xì)分析資產(chǎn)面臨的威脅和脆弱性。2)根據(jù)系統(tǒng)建設(shè)目標(biāo)和安全需求，對(duì)系統(tǒng)的安全功能進(jìn)行驗(yàn)收測(cè)試。3)評(píng)價(jià)安全措施能否抵御安全威脅。4)評(píng)估是否建立了與整體安全策略一致的組織管理制度。5)對(duì)系統(tǒng)實(shí)現(xiàn)的風(fēng)險(xiǎn)控制效果與預(yù)期設(shè)計(jì)的符合性進(jìn)行判斷，如存在較大的不符合，應(yīng)重新進(jìn)行信息系統(tǒng)安全策略的設(shè)計(jì)與調(diào)整。7.3驗(yàn)收7.3.1主要任務(wù)組織對(duì)信息系統(tǒng)進(jìn)行驗(yàn)收，并將信息安全作為驗(yàn)收的重要內(nèi)容。與之相關(guān)的任務(wù)主要有：a)綜合開發(fā)和采購(gòu)、安全集成等階段的有效性評(píng)估結(jié)果，對(duì)信息系統(tǒng)進(jìn)行整體信息安全自評(píng)估。b)聘請(qǐng)第三方信息安全測(cè)評(píng)機(jī)構(gòu)，依照合同規(guī)范和有關(guān)國(guó)家、行業(yè)標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)進(jìn)行安全測(cè)評(píng)。測(cè)評(píng)中如發(fā)現(xiàn)問題，應(yīng)立刻整改。c)基于信息安全測(cè)評(píng)結(jié)果，組織召開信息安全評(píng)審會(huì)，對(duì)信息安全系統(tǒng)進(jìn)行綜合評(píng)審。評(píng)審會(huì)由本機(jī)構(gòu)信息安全部門、業(yè)務(wù)部門、信息化部門、外部專家參加。評(píng)審?fù)ㄟ^后，由本機(jī)構(gòu)負(fù)責(zé)信息安全的領(lǐng)導(dǎo)簽字，信息系統(tǒng)方可投入運(yùn)行。d)根據(jù)國(guó)家信息安全等級(jí)保護(hù)和涉密信息系統(tǒng)分級(jí)保護(hù)的要求，完成定級(jí)備案，并開展相應(yīng)等級(jí)的建設(shè)和測(cè)評(píng)。測(cè)評(píng)結(jié)果按等級(jí)保護(hù)、分級(jí)保護(hù)的規(guī)定進(jìn)行上報(bào)。e)對(duì)信息安全主管部門或業(yè)務(wù)主管、監(jiān)管部門已明確提出相關(guān)要求的事項(xiàng)，還應(yīng)通過這些部門組織的測(cè)評(píng)，如黨政部門云計(jì)算服務(wù)應(yīng)通過信息安全審查。7.3.2任務(wù)輸出應(yīng)確保信息系統(tǒng)及其中的信息安全系統(tǒng)可正式移交用戶，并形成以下文檔：a)驗(yàn)收?qǐng)?bào)告，含測(cè)試報(bào)告、整改報(bào)告等。b)用戶機(jī)構(gòu)負(fù)責(zé)信息安全的領(lǐng)導(dǎo)的簽字，表明其同意該信息系統(tǒng)投入運(yùn)行。c)等級(jí)保護(hù)或分級(jí)保護(hù)測(cè)評(píng)備案材料。d)信息安全主管部門或業(yè)務(wù)主管、監(jiān)管部門針對(duì)信息系統(tǒng)頒發(fā)的相關(guān)安全資質(zhì)。7.3.3方法應(yīng)采取以下方法，對(duì)信息系統(tǒng)安全進(jìn)行驗(yàn)收。DB14/T1252—2016a)按照GB/T20984—2007，對(duì)規(guī)劃階段的安全威脅進(jìn)行進(jìn)一步細(xì)分，同時(shí)評(píng)估安全措施的實(shí)現(xiàn)程度，從而確定安全措施能否抵御現(xiàn)有威脅、脆弱性的影響。b)按照GB/T28448—2012，對(duì)不同保護(hù)等級(jí)的信息系統(tǒng)進(jìn)行測(cè)試評(píng)估，驗(yàn)證信息系統(tǒng)是否符合GB/T22239—2008提出的技術(shù)要求和管理要求：1)測(cè)評(píng)的主要方法是訪談、檢查、測(cè)試，表5給出了測(cè)評(píng)方法的深度與廣度。表5測(cè)評(píng)方法的測(cè)評(píng)力度訪談的深度體現(xiàn)在訪談過程的嚴(yán)格和詳細(xì)程訪談的廣度體現(xiàn)在訪談?wù)劯采w不同類型的人員分檢查有詳細(xì)的分析、觀察和研究，除了功能級(jí)上的文檔、機(jī)制和活動(dòng)還適當(dāng)需要一些總體/概要設(shè)計(jì)信息；較全面檢查有詳細(xì)、徹底的分析、觀察和研究，除了功能級(jí)上的文檔、機(jī)制和活動(dòng)外，還需要總體/概要和一些究，除了功能級(jí)上的文檔、機(jī)制和活動(dòng)外，還需要總體/概要和詳細(xì)設(shè)計(jì)以檢查的廣度體現(xiàn)在檢查不同類型的對(duì)象和同一測(cè)試的廣度體現(xiàn)在被測(cè)測(cè)試覆蓋不同類型的機(jī)制以及同一類型機(jī)制的2)在不同等級(jí)信息系統(tǒng)安全測(cè)評(píng)中，不同測(cè)評(píng)方法的測(cè)評(píng)力度各有不同，表6給出了不同安全等級(jí)信息系統(tǒng)的測(cè)評(píng)力度要求。DB14/T1252—2016表6不同等級(jí)信息系統(tǒng)的測(cè)評(píng)力度要求測(cè)評(píng)對(duì)象在種類和測(cè)評(píng)對(duì)象在種類和數(shù)量上抽樣，種類和數(shù)測(cè)評(píng)對(duì)象在數(shù)量上抽測(cè)評(píng)對(duì)象在數(shù)量上抽樣，在種類上全部覆蓋測(cè)評(píng)對(duì)象在種類和測(cè)評(píng)對(duì)象在種類和數(shù)量上抽樣，種類和數(shù)測(cè)評(píng)對(duì)象在數(shù)量上抽測(cè)評(píng)對(duì)象在數(shù)量上抽樣，在種類上全部覆蓋測(cè)評(píng)對(duì)象在種類和測(cè)評(píng)對(duì)象在種類和數(shù)量、范圍上抽樣，種類和數(shù)量都較多，范測(cè)評(píng)對(duì)象在數(shù)量和范測(cè)評(píng)對(duì)象在數(shù)量、范圍上抽樣，在種類上c)按照GB/T28449—2012，實(shí)施信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)準(zhǔn)備活動(dòng)、方案編制活動(dòng)、現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)、報(bào)告編制活動(dòng)，明確相關(guān)的工作流程、工作任務(wù)、每項(xiàng)任務(wù)的輸出文檔以及活動(dòng)中雙方的職責(zé)。d)按照GB/T30273—2013，對(duì)信息系統(tǒng)安全技術(shù)保障措施、安全管理保障措施和安全工程保障措施等進(jìn)行測(cè)評(píng)。1)安全技術(shù)保障措施評(píng)估要求是：——評(píng)估系統(tǒng)中安全審計(jì)機(jī)制是否具有安全審計(jì)自動(dòng)響應(yīng)、安全審計(jì)數(shù)據(jù)產(chǎn)生、安全審計(jì)分析、安全審計(jì)查閱、安全審計(jì)事件選擇、安全審計(jì)事件存儲(chǔ)等功能?！u(píng)估系統(tǒng)的通信機(jī)制是否具有原發(fā)抗抵賴和接收抗抵賴功能，以確保通信發(fā)起者不能否認(rèn)發(fā)送過信息，又確保收信者不能否認(rèn)收到過信息?！u(píng)估系統(tǒng)的密碼支持機(jī)制是否滿足密鑰管理、密碼運(yùn)算等要求，即基于國(guó)密算法和密鑰長(zhǎng)度來產(chǎn)生密鑰、分配密鑰、訪問密鑰和銷毀密鑰?！u(píng)估系統(tǒng)的數(shù)據(jù)保護(hù)機(jī)制是否能夠保護(hù)輸入、輸出和存儲(chǔ)期間的用戶數(shù)據(jù)，以及和用戶數(shù)據(jù)直接相關(guān)的安全屬性，包括系統(tǒng)的訪問控制策略、訪問控制功能、數(shù)據(jù)鑒別機(jī)制、信息流控制策略、信息流控制功能等?！u(píng)估系統(tǒng)的標(biāo)識(shí)和鑒別功能，確保用戶與正確的安全屬性相關(guān)聯(lián)(如身份、組、角色、安全或完整性等級(jí))?！u(píng)估系統(tǒng)的安全管理機(jī)制是否滿足安全功能管理、安全屬性管理、安全數(shù)據(jù)管理、安全管理角色等功能要求。——評(píng)估系統(tǒng)的隱私機(jī)制是否具有匿名、假名、不可觀察性、不可觀察性等功能。DB14/T1252—2016——評(píng)估系統(tǒng)的安全功能保護(hù)機(jī)制是否具有抽象機(jī)測(cè)試、失敗保護(hù)、安全數(shù)據(jù)保密性、安全數(shù)據(jù)完整性、安全數(shù)據(jù)可用性、安全數(shù)據(jù)傳輸、物理保護(hù)、可信恢復(fù)、重放檢測(cè)、參照仲裁、域分離、狀態(tài)同步協(xié)議、時(shí)間戳、安全數(shù)據(jù)復(fù)制的一致性、安全功能自檢等功能?！u(píng)估系統(tǒng)的資源利用機(jī)制是否支持資源處理能力或存儲(chǔ)能力，以防止由系統(tǒng)故障引起的系統(tǒng)資源不可用。——評(píng)估系統(tǒng)的訪問控制機(jī)制是否具有會(huì)話鎖定、系統(tǒng)訪問旗標(biāo)、系統(tǒng)訪問歷史、會(huì)話建立等功能。——評(píng)估系統(tǒng)的可信路徑、可信通道機(jī)制是否為用戶和系統(tǒng)安全功能之間建立了可信通信路徑，以及為系統(tǒng)安全功能和其他可信系統(tǒng)組件、產(chǎn)品之間建立了可信通信信道。2)安全管理保障措施評(píng)估要求是：——評(píng)估本機(jī)構(gòu)是否建立了一套風(fēng)險(xiǎn)管理體系，通過對(duì)象確立、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)控制三個(gè)基本步驟，并將溝通與監(jiān)控貫穿于這三個(gè)步驟中，進(jìn)行信息安全風(fēng)險(xiǎn)管理與防范，將系統(tǒng)風(fēng)險(xiǎn)降低到可接受的水平?！u(píng)估本機(jī)構(gòu)是否圍繞信息安全策略的制定和維護(hù)實(shí)施了管理，以便于為信息安全提供符合業(yè)務(wù)要求和相關(guān)法律法規(guī)的管理指導(dǎo)和支持。——評(píng)估本機(jī)構(gòu)的信息安全管理是否得到了機(jī)構(gòu)最高管理層的承諾和支持，并建立了完善的信息安全組織結(jié)構(gòu)，包括建立相應(yīng)的崗位、職責(zé)和職權(quán)。此外，還應(yīng)評(píng)估是否建立了完善的內(nèi)部和外部溝通協(xié)作組織和機(jī)制，同機(jī)構(gòu)內(nèi)部和外部信息安全所有相關(guān)方進(jìn)行充分溝通、學(xué)習(xí)、交流和合作等?！u(píng)估本機(jī)構(gòu)是否建立了規(guī)范的人員安全管理制度，對(duì)機(jī)構(gòu)的聘用人員進(jìn)行嚴(yán)格的審查，并明確了人員的安全職責(zé)和保密要求。還應(yīng)評(píng)估本機(jī)構(gòu)是否開展了人員安全意識(shí)培訓(xùn)和教育，并建立了考核和獎(jiǎng)懲機(jī)制，使信息安全融至組織機(jī)構(gòu)的整個(gè)環(huán)境和文化中，減少有意、無意的內(nèi)、外部威脅?！u(píng)估本機(jī)構(gòu)是否通過規(guī)范資產(chǎn)的管理和使用來保障資產(chǎn)的安全，以最終確保系統(tǒng)的安全?！u(píng)估本機(jī)構(gòu)是否建立了物理安全、區(qū)域安全制度，包括嚴(yán)格的物理訪問控制措施，以防止非法訪問、危害及干擾系統(tǒng)運(yùn)行。還應(yīng)評(píng)估本機(jī)構(gòu)在防火、防水、溫濕度、防雷等方面的安全措施，以保證基礎(chǔ)設(shè)施安全，確保系統(tǒng)持續(xù)運(yùn)行。——評(píng)估本機(jī)構(gòu)是否建立了有效的監(jiān)督體系，以監(jiān)督驗(yàn)證信息安全工作對(duì)相關(guān)法律法、政策標(biāo)準(zhǔn)等要求以及本機(jī)構(gòu)所制定的信息安全策略體系的符合性以及執(zhí)行的效果。——評(píng)估本機(jī)構(gòu)是否建立了完善的信息安全規(guī)劃管理體系，以規(guī)劃和指導(dǎo)本機(jī)構(gòu)的信息安全工作。重點(diǎn)評(píng)估信息安全規(guī)劃是否基于本機(jī)構(gòu)的業(yè)務(wù)要求和風(fēng)險(xiǎn)管理要求，以及這些規(guī)劃是否是本機(jī)構(gòu)整體規(guī)劃的綜合組成部分?！u(píng)估本機(jī)構(gòu)是否將信息安全綜合至系統(tǒng)開發(fā)的整個(gè)生命周期中，是否在系統(tǒng)的需求分析、設(shè)計(jì)、實(shí)施和交付中考慮信息安全?！u(píng)估本機(jī)構(gòu)是否具有業(yè)務(wù)連續(xù)性管理制度，以防止業(yè)務(wù)過程中斷，保護(hù)關(guān)鍵業(yè)務(wù)流程不會(huì)受信息系統(tǒng)重大失效或自然災(zāi)害的影響，并確保及時(shí)恢復(fù)。還應(yīng)評(píng)估本機(jī)構(gòu)是否制定了業(yè)務(wù)連續(xù)性計(jì)劃，以保證業(yè)務(wù)過程能夠在所需的時(shí)間范圍內(nèi)恢復(fù)。3)安全工程保障措施評(píng)估要求是：——評(píng)估是否已明確地標(biāo)識(shí)系統(tǒng)的安全需求?！u(píng)估是否為系統(tǒng)架構(gòu)者、設(shè)計(jì)者、實(shí)施者或用戶提供了他們所需的安全信息。——評(píng)估是否所有的安全機(jī)制都能對(duì)應(yīng)到安全體系結(jié)構(gòu)，并且安全體系結(jié)構(gòu)有具體的安全機(jī)制來保證?！u(píng)估最終的詳細(xì)安全設(shè)計(jì)結(jié)果是否為實(shí)施系統(tǒng)提供了充分的組件和接口描述信息。DB14/T1252—2016——評(píng)估是否把確保系統(tǒng)預(yù)想的安全已被集成到系統(tǒng)設(shè)計(jì)中，最終的運(yùn)行狀態(tài)中的系統(tǒng)也確實(shí)達(dá)到了這種安全要求。——評(píng)估是否建立了安全態(tài)勢(shì)感知系統(tǒng)，確保所有的違規(guī)、嘗試違規(guī)或可能導(dǎo)致違背安全的錯(cuò)誤能被及時(shí)發(fā)現(xiàn)?！u(píng)估在信息化工程安全建設(shè)之中，是否建立了協(xié)調(diào)機(jī)制，確保各方了解并參與到了安全工程活動(dòng)中。e)按照GB/T30976.1—2014，對(duì)工業(yè)控制系統(tǒng)信息安全進(jìn)行評(píng)估。1)開發(fā)與采購(gòu)過程的評(píng)估要求是：——評(píng)估是否梳理了直接或間接影響工業(yè)控制系統(tǒng)信息安全的有關(guān)法律、政策、適用標(biāo)準(zhǔn)和指導(dǎo)方針?！u(píng)估工業(yè)控制系統(tǒng)信息安全需求是否能夠有效地支持系統(tǒng)的功能。——評(píng)估工業(yè)控制系統(tǒng)信息安全措施是否基于風(fēng)險(xiǎn)評(píng)估而選擇?！u(píng)估是否明確了工業(yè)控制系統(tǒng)信息安全應(yīng)該達(dá)到的級(jí)別。2)系統(tǒng)實(shí)施過程的評(píng)估要求是：——對(duì)實(shí)際建設(shè)的工業(yè)控制系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估，詳細(xì)分析系統(tǒng)（資產(chǎn)）面臨的威脅和脆弱性?！鶕?jù)系統(tǒng)建設(shè)目標(biāo)和信息安全需求，對(duì)系統(tǒng)的信息安全進(jìn)行驗(yàn)收測(cè)試，評(píng)估安全措施能否抵御安全威脅?！u(píng)估是否建立了與整體安全策略一致的組織機(jī)構(gòu)管理制度。——對(duì)系統(tǒng)實(shí)現(xiàn)的風(fēng)險(xiǎn)控制效果與預(yù)期設(shè)計(jì)的符合性進(jìn)行判斷，如存在較大的不符合，應(yīng)重新風(fēng)險(xiǎn)評(píng)估。f)按照GB/T30976.2—2014，對(duì)工業(yè)控制系統(tǒng)信息安全進(jìn)行驗(yàn)收，驗(yàn)收過程劃分為驗(yàn)收準(zhǔn)備、風(fēng)險(xiǎn)分析與處置、能力確認(rèn)三個(gè)階段。1)驗(yàn)收準(zhǔn)備是驗(yàn)收有效性的重要保證，是驗(yàn)收工作的開始，主要工作包括：——各參與方共同明確驗(yàn)收目標(biāo)，核查相關(guān)文檔?！_定驗(yàn)收目標(biāo)和范圍。——文檔準(zhǔn)備。查驗(yàn)是否已完成所有的內(nèi)部測(cè)試，并提供了可供復(fù)查的測(cè)試報(bào)告或有關(guān)機(jī)構(gòu)的評(píng)估報(bào)告。2)風(fēng)險(xiǎn)分析與處置階段是驗(yàn)收工作的核心內(nèi)容，主要是結(jié)合評(píng)估階段給出的評(píng)估結(jié)論和改進(jìn)措施，判斷是否有相應(yīng)的風(fēng)險(xiǎn)處置措施，并提出解決方案?！u(píng)估風(fēng)險(xiǎn)分析模型和風(fēng)險(xiǎn)計(jì)算方法是否能正確反應(yīng)用戶的行業(yè)安全特點(diǎn)，以及核心業(yè)務(wù)系統(tǒng)所處的內(nèi)、外部環(huán)境安全狀況?！u(píng)估用戶確認(rèn)的信息、數(shù)據(jù)及相關(guān)文檔資料是否及時(shí)得到了準(zhǔn)確反饋?！u(píng)估安全整改措施是否考慮了安全風(fēng)險(xiǎn)的嚴(yán)重程度、加固措施實(shí)施的難易程度、降低風(fēng)險(xiǎn)的時(shí)間緊迫程度、所投入的人員力量及資金成本等因素?！u(píng)估殘余安全風(fēng)險(xiǎn)是否控制在可接受的范圍內(nèi)。8開展安全運(yùn)維8.1信息安全風(fēng)險(xiǎn)評(píng)估和監(jiān)測(cè)應(yīng)采取以下措施，對(duì)信息系統(tǒng)開展信息安全風(fēng)險(xiǎn)評(píng)估和監(jiān)測(cè)，了解和控制運(yùn)行過程中的安全風(fēng)險(xiǎn)：a)資產(chǎn)評(píng)估：在真實(shí)環(huán)境下較為細(xì)致的評(píng)估。包括實(shí)施階段采購(gòu)的軟硬件資產(chǎn)、系統(tǒng)運(yùn)行過程中生成的信息資產(chǎn)、相關(guān)的人員與服務(wù)等，本階段資產(chǎn)識(shí)別是前期資產(chǎn)識(shí)別的補(bǔ)充與增加。DB14/T1252—2016b)威脅評(píng)估：應(yīng)全面地分析威脅的可能性和影響程度。對(duì)非故意威脅導(dǎo)致安全事件的評(píng)估可以參照安全事件的發(fā)生頻率；對(duì)故意威脅導(dǎo)致安全事件的評(píng)估主要就威脅的各個(gè)影響因素作出專業(yè)判斷。c)脆弱性評(píng)估：是全面的脆弱性評(píng)估。包括運(yùn)行環(huán)境中物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、安全保障設(shè)備、管理等各方面的脆弱性。技術(shù)脆弱性評(píng)估可以采取核查、掃描、案例驗(yàn)證、滲透性測(cè)試的方式實(shí)施；安全保障設(shè)備的脆弱性評(píng)估，應(yīng)考慮安全功能的實(shí)現(xiàn)情況和安全保障設(shè)備本身的脆弱性；管理脆弱性評(píng)估可以采取文檔、記錄核查等方式進(jìn)行驗(yàn)證。d)風(fēng)險(xiǎn)計(jì)算：根據(jù)本標(biāo)準(zhǔn)的相關(guān)方法，對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)進(jìn)行定性或定量的風(fēng)險(xiǎn)分析，描述不同資產(chǎn)的風(fēng)險(xiǎn)高低狀況。e)定期執(zhí)行或當(dāng)組織的業(yè)務(wù)流程、系統(tǒng)狀況發(fā)生重大變更時(shí)及時(shí)進(jìn)行風(fēng)險(xiǎn)評(píng)估。重大變更包括以下情況（但不限于）：1)增加新的應(yīng)用或應(yīng)用發(fā)生較大變更。2)網(wǎng)絡(luò)結(jié)構(gòu)和連接狀況發(fā)生較大變更。3)技術(shù)平臺(tái)大規(guī)模地更新。4)系統(tǒng)擴(kuò)容或改造。5)發(fā)生重大安全事件后，或基于某些運(yùn)行記錄懷疑將發(fā)生重大安全事件。6)組織結(jié)構(gòu)發(fā)生重大變動(dòng)對(duì)系統(tǒng)產(chǎn)生了影響。8.2事件處理和應(yīng)急響應(yīng)應(yīng)采取以下措施，按照GB/Z20985—2007，對(duì)信息系統(tǒng)中出現(xiàn)的安全事件進(jìn)行處理：a)制定應(yīng)急響應(yīng)計(jì)劃，明確本機(jī)構(gòu)內(nèi)與應(yīng)急響應(yīng)有關(guān)的組織架構(gòu)，定義需要報(bào)告的信息安全事件，提出應(yīng)急響應(yīng)流程，為應(yīng)急響應(yīng)提供必要的應(yīng)急資源和管理支持。應(yīng)急響應(yīng)計(jì)劃應(yīng)得到本機(jī)構(gòu)管理層批準(zhǔn)，并保持定期更新。b)當(dāng)發(fā)現(xiàn)可疑信息安全事件時(shí)，按照應(yīng)急響應(yīng)計(jì)劃，及時(shí)向本機(jī)構(gòu)的應(yīng)急響應(yīng)部門報(bào)告。當(dāng)發(fā)生影響較大的安全事件時(shí)，向國(guó)家和地方應(yīng)急響應(yīng)組織及有關(guān)信息安全主管部門報(bào)告。c)開展應(yīng)急響應(yīng)培訓(xùn)。d)定期演練應(yīng)急響應(yīng)計(jì)劃，根據(jù)應(yīng)急演練情況完善信息安全系統(tǒng)。e)保存信息安全事件證據(jù)，便于開展后續(xù)的調(diào)查取證工作。8.3災(zāi)難備份和業(yè)務(wù)連續(xù)性計(jì)劃應(yīng)采取以下措施，按照GB/T20988—2007，對(duì)信息系統(tǒng)進(jìn)行備份，做好信息系統(tǒng)的業(yè)務(wù)連續(xù)性管理：a)制定災(zāi)備恢復(fù)策略，根據(jù)系統(tǒng)的重要性、實(shí)時(shí)性等因素選擇合適的災(zāi)難備份機(jī)制。b)為災(zāi)備恢復(fù)提供必要的人力、技術(shù)、設(shè)備等資源準(zhǔn)備。c)制定業(yè)務(wù)連續(xù)性計(jì)劃，確保信息系統(tǒng)對(duì)本機(jī)構(gòu)職能和業(yè)務(wù)的核心支撐能力在重大信息安全事件中不受到明顯影響。8.4配置管理應(yīng)采取以下措施，對(duì)信息系統(tǒng)實(shí)施配置管理：a)制定信息系統(tǒng)配置管理計(jì)劃，明確配置管理流程，定義信息系統(tǒng)的重要配置項(xiàng)。配置管理計(jì)劃應(yīng)安全保存，防止非授權(quán)泄露。b)制定、記錄并維護(hù)信息系統(tǒng)的基線配置。c)保留信息系統(tǒng)基線配置的歷史版本，便于必要時(shí)恢復(fù)歷史配置。DB14/T1252—20168.5變更管理信息系統(tǒng)及其運(yùn)行環(huán)境發(fā)生明顯變化時(shí)，應(yīng)評(píng)估其風(fēng)險(xiǎn)，對(duì)信息系統(tǒng)實(shí)施變更管理：a)明確重大變更的類型，包括系統(tǒng)升級(jí)、增加新的功能、本機(jī)構(gòu)組織結(jié)構(gòu)有重大調(diào)整、發(fā)現(xiàn)新的威脅或脆弱性等。b)在實(shí)施變更前，對(duì)擬變更事項(xiàng)進(jìn)行分析，必要時(shí)進(jìn)行測(cè)試，判斷該變更事項(xiàng)對(duì)信息系統(tǒng)安全帶來的潛在影響。c)制定書面流程，便于對(duì)變更時(shí)可能出現(xiàn)的意外情況進(jìn)行及時(shí)處理，并規(guī)定變更失敗時(shí)的系統(tǒng)恢復(fù)流程。d)將變更事項(xiàng)、變更計(jì)劃等提交本單位管理層批準(zhǔn)。e)嚴(yán)格根據(jù)已批準(zhǔn)的變更計(jì)劃實(shí)施系統(tǒng)變更，留存全部變更記錄。8.6維修維護(hù)信息系統(tǒng)或其組件進(jìn)行維修維護(hù)時(shí)，應(yīng)采取以下措施，防范維修維護(hù)過程中可能出現(xiàn)的安全風(fēng)險(xiǎn)：a)審批和監(jiān)視所有維修維護(hù)行為，包括現(xiàn)場(chǎng)維修維護(hù)、遠(yuǎn)程維修維護(hù)，以及對(duì)設(shè)備的異地維修維護(hù)。b)將信息系統(tǒng)組件轉(zhuǎn)移到外部進(jìn)行維修維護(hù)時(shí)，應(yīng)事先得到本機(jī)構(gòu)管理層批準(zhǔn)，并評(píng)估其中所含信息的敏感程度，必要時(shí)作出信息凈化處理。含有特別重要的敏感信息或涉密信息的重要組件不得交由無資質(zhì)的機(jī)構(gòu)進(jìn)行維修維護(hù)。c)對(duì)維修維護(hù)過程作出全面記錄，包括日期和時(shí)間、維修維護(hù)人員姓名、陪同人員姓名、對(duì)維修維護(hù)活動(dòng)的描述、被轉(zhuǎn)移或替換的設(shè)備列表（包括設(shè)備標(biāo)識(shí)號(hào)）等信息。d)對(duì)維修維護(hù)人員帶入機(jī)構(gòu)內(nèi)的維修維護(hù)工具進(jìn)行檢查，以確保該工具不含有惡意功能。維修維護(hù)工具帶出機(jī)構(gòu)時(shí)，應(yīng)進(jìn)行信息凈化處理。對(duì)于重要機(jī)構(gòu)，維修維護(hù)工具一經(jīng)帶入，不得帶出。e)遠(yuǎn)程維修維護(hù)應(yīng)采取強(qiáng)身份鑒別機(jī)制，所有遠(yuǎn)程維修維護(hù)活動(dòng)應(yīng)進(jìn)行審計(jì)。遠(yuǎn)程維修維護(hù)結(jié)束后，應(yīng)立即終端網(wǎng)絡(luò)連接。9確保廢棄過程的安全9.1信息安全風(fēng)險(xiǎn)評(píng)估應(yīng)確保對(duì)信息系統(tǒng)的過時(shí)或無用部分進(jìn)行安全廢棄處理，以防止敏感信息非授權(quán)泄露。系統(tǒng)廢棄前，應(yīng)開展風(fēng)險(xiǎn)評(píng)估，重點(diǎn)關(guān)注以下內(nèi)容：a)確定廢棄對(duì)象，包含被廢棄的硬件、軟件甚至是整個(gè)系統(tǒng)，包含其中所含的信息。b)確定廢棄對(duì)原有信息系統(tǒng)帶來的威脅和風(fēng)險(xiǎn)，評(píng)估不廢棄可能對(duì)信息系統(tǒng)造成的影響。c)綜合考慮信息系統(tǒng)的重要性、信息的敏感性等因素，對(duì)廢棄方式作出判斷，如歷史信息如何歸檔保存、被廢棄組件是否可再用等。應(yīng)關(guān)注局部信息不敏感，但大量信息匯聚后變?yōu)槊舾械那闆r。9.2業(yè)務(wù)遷移與連續(xù)性信息系統(tǒng)因各種原因廢棄后，并不意味信息系統(tǒng)支撐的原有功能消亡。如需要建設(shè)新的信息系統(tǒng)承接原有功能，應(yīng)采取以下措施，確保業(yè)務(wù)平穩(wěn)、安全遷移：a)在新信息系統(tǒng)建設(shè)完成、通過驗(yàn)收并正式上線前，不得關(guān)閉原有信息系統(tǒng)。新信息系統(tǒng)上線運(yùn)行后，應(yīng)留出過渡時(shí)間封存舊信息系統(tǒng)，便于在緊急情況下依然可以重新啟動(dòng)舊信息系統(tǒng)。如DB14/T1252—2016因物理環(huán)境、人力資源等條件限制，新舊系統(tǒng)不能同時(shí)并存，應(yīng)采取分步驟、分階段方式，實(shí)現(xiàn)邊廢棄、邊建設(shè)。b)如出現(xiàn)對(duì)軟硬件或服務(wù)提供商過度依賴，導(dǎo)致系統(tǒng)遷移受制于人、明顯違背市場(chǎng)經(jīng)濟(jì)規(guī)則的情況，應(yīng)及時(shí)上報(bào)國(guó)家和地方信息安全主管部門作出處理。9.3介質(zhì)處理在廢棄信息系統(tǒng)時(shí)，應(yīng)采取以下措施，保護(hù)被廢棄介質(zhì)中存儲(chǔ)信息的安全：a)對(duì)存儲(chǔ)敏感信息的介質(zhì)進(jìn)行妥善保存，或采用安全方式進(jìn)行處置，如焚燒、破碎等，或在凈化信息后重復(fù)利用。b)對(duì)含有特別重要的敏感信息或涉密信息的重要介質(zhì)，選擇有資質(zhì)的機(jī)構(gòu)