項目及信息系統(tǒng)建設(shè)管理制度

1、 *單位安全管理制度匯編單位安全管理制度匯編 項目及信息系統(tǒng)建設(shè)管理制度項目及信息系統(tǒng)建設(shè)管理制度 文件名稱項目及信息系統(tǒng)建設(shè)管理管理制度密級內(nèi)部 文件編號版 本 號 V1.0 編寫部門網(wǎng)絡(luò)室編 寫 人 審 批 人發(fā)布時間2010-8-29 目目 錄錄 編制說明編制說明.3 第一章第一章 總則總則.4 第二章第二章 安全要求安全要求.4 第一節(jié) 項目建設(shè)安全管理的總體要求.4 第二節(jié) 項目申報安全管理標準.5 第三節(jié) 系統(tǒng)定級管理.7 第四節(jié) 方案論證和審批安全管理標準.7 第五節(jié) 項目實施方案和實施過程安全管理標準.8 第六節(jié) 安全方案設(shè)計管理.11 第七節(jié) 產(chǎn)品采購和使用管理.12 第八節(jié)

2、 自行軟件開發(fā)管理.12 第九節(jié) 外包軟件開發(fā)管理.12 第十節(jié) 工程實施管理.13 第十一節(jié) 測試驗收管理.13 第十二節(jié) 系統(tǒng)交付管理.13 第十三節(jié) 系統(tǒng)備案管理.14 第十四節(jié) 等級測評管理.14 第十五節(jié) 安全服務(wù)商選擇管理.14 第十六節(jié) 項目驗收與投產(chǎn)安全管理標準.15 第三章第三章 評估和論證安全管理評估和論證安全管理.18 第四章第四章 附則附則.20 第一節(jié) 文擋信息.20 第二節(jié) 版本控制.20 第三節(jié) 其他信息.20 編制說明編制說明 為進一步貫徹黨中央和國務(wù)院批準的國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信 息安全保障工作的意見及其“重點保護基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全” 的思想

3、、貫徹信息產(chǎn)業(yè)部“積極預(yù)防、及時發(fā)現(xiàn)、快速反應(yīng)、確?；謴?fù)”的方 針和“同步規(guī)劃、同步建設(shè)、同步運行”的要求，特制定本制度。 本制度依據(jù)我國信息安全的有關(guān)法律法規(guī)，結(jié)合*單位的自身業(yè)務(wù)特 點、并參考國際有關(guān)信息安全標準制定的。 *單位安全管理制度匯編項目及信息系統(tǒng)建設(shè)管理制度單位安全管理制度匯編項目及信息系統(tǒng)建設(shè)管理制度 ，是針對所 有 IT 建設(shè)項目，主要用于在 IT 項目立項過程中安全部分的方案規(guī)劃、評估 和安全管理。 第一章第一章 總則總則 第一條 制度目標：制度目標：為了加強*單位信息安全保障能力，建立健全的安全 管理體系，提高整體的網(wǎng)絡(luò)與信息安全水平，保證網(wǎng)絡(luò)通信暢通和業(yè)務(wù)系統(tǒng)的 正常

4、運營，提高網(wǎng)絡(luò)服務(wù)質(zhì)量，在安全體系框架下，本制度旨在提高 IT 項目信 息安全建設(shè)質(zhì)量，加強 IT 項目建設(shè)安全管理工作。 第二條 適用范圍：適用范圍：本制度適用于所有 TCP/IP 網(wǎng)絡(luò) IT 建設(shè)項目，主要用 于 IT 項目立項過程中方案設(shè)計、規(guī)劃的安全要求參考。 第三條 使用人員及角色職責(zé)：使用人員及角色職責(zé)：本制度適用于全體人員。 第二章第二章 安全要求安全要求 第一節(jié)第一節(jié) 項目建設(shè)安全管理的總體要求項目建設(shè)安全管理的總體要求 第四條 項目建設(shè)安全管理目標 一個項目的生命周期包括：項目申報、項目審批和立項、項目實施、 項目驗收和投產(chǎn)；從項目建設(shè)的角度來看，這些生命周期的階段則包括以

5、下子階段：需求分析、總體方案設(shè)計、概要設(shè)計、詳細設(shè)計、系統(tǒng)實施、 系統(tǒng)測試和試運行，如下表所示。 項目管理生命周期項目管理生命周期 項目申報 項目審批和立項 系統(tǒng)定級 需求分析 總體方案設(shè)計 項目實施概要設(shè)計、詳細設(shè)計、系統(tǒng)實施 項目驗收和投產(chǎn)系統(tǒng)測試、試運行和投產(chǎn) 項目建設(shè)安全管理的目標就是保證整個項目管理和建設(shè)過程中系統(tǒng)的 安全。為了達到這個目標，信息安全（INFOSEC）必須融合在項目管理和 項目建設(shè)過程中，與組織的業(yè)務(wù)需求、環(huán)境要求、項目計劃、成本效益以 及國家和地方的政策、標準、指令相一致。這種融合應(yīng)該產(chǎn)生一個信息系 統(tǒng)安全工程（ISSE）項目，它要確認、評估、并且消除或控制住系統(tǒng)對

6、已 知或假定的威脅的脆弱點，最終得到一個可以接受水平的安全風(fēng)險。 第五條項目建設(shè)安全管理原則 信息建設(shè)項目建設(shè)安全管理應(yīng)遵循如 下原則： （一） 全生命周期安全管理：信息安全管理必須貫穿信息系統(tǒng)建設(shè)項 目建設(shè)的整個生命周期； （二） 成本-效益分析：進行信息安全建設(shè)和管理應(yīng)考慮投入產(chǎn)出比； （三） 明確職責(zé)：每個參與項目建設(shè)和項目管理的人員都應(yīng)該明確安 全職責(zé)，應(yīng)進行安全意識和職責(zé)培訓(xùn)，并落實到位； （四） 管理公開：應(yīng)保證每個項目參與人員都知曉和理解安全管理的 模式和方法； （五） 科學(xué)制衡：進行適當(dāng)?shù)穆氊?zé)分離，將業(yè)務(wù)的不同責(zé)任分配給不 同的責(zé)任人； （六） 最小特權(quán)：人員對項目資產(chǎn)的訪問權(quán)

7、限制到最低限度，即僅賦 予其執(zhí)行授權(quán)任務(wù)所必需的權(quán)限。 第六條 項目建設(shè)安全管理要求 項目安全管理工作由信息安全管理部門負責(zé)，在項目的申報、審批、立項、 實施、驗收等關(guān)鍵環(huán)節(jié)中，必須有信息安全管理部門的參與和評審意見。應(yīng)在 項目規(guī)劃中明確信息安全責(zé)任、義務(wù)與管理程序。 第二節(jié)第二節(jié) 項目申報安全管理標準項目申報安全管理標準 項目申報階段應(yīng)對信息系統(tǒng)建設(shè)項目各個環(huán)節(jié)進行統(tǒng)一的安全管理規(guī)劃， 確定項目的等級保護系統(tǒng)保護級別、安全需求、安全目標、安全建設(shè)方案，以 及生命周期各階段的安全需求、安全目標、安全管理措施。 由項目開發(fā)單位協(xié)同用戶單位進行項目需求分析、確定總體目標和建設(shè)方 案。 第七條 挖掘

8、安全需求 在需求分析報告中除了描述系統(tǒng)業(yè)務(wù)需求之外，還應(yīng)進行系統(tǒng)的安 全性需求分析，應(yīng)盡可能包括以下信息安全方面的內(nèi)容： （一） 等級保護等級：從信息系統(tǒng)自身對于國家、社會公共秩序、法 人及其它合法權(quán)益的侵害及侵害程度，判別系統(tǒng)的等級保護級別。 （二） 安全威脅分析報告：應(yīng)分析待建計算機系統(tǒng)在生命周期的各個 階段中可能遭受的自然威脅或者人為威脅（故意或無意） ，具體包 括威脅列表、威脅可能性分析、威脅嚴重性分析等； （三） 系統(tǒng)脆弱性分析報告：包括對系統(tǒng)造成問題的脆弱性的定性或 定量的描述，這些問題是被攻擊的可能性、被攻擊成功的可能 性； （四） 影響分析報告：描述威脅利用系統(tǒng)脆弱性可能導(dǎo)致不

9、良影響。 影響可能是有形的，例如資金的損失或收益的減少，或可能是 無形的，例如聲譽和信譽的損失； （五） 風(fēng)險分析報告：安全風(fēng)險分析的目的在于識別出一個給定環(huán)境 中涉及到對某一系統(tǒng)有依賴關(guān)系的安全風(fēng)險。它取決于上面的 威脅分析、脆弱性分析和影響分析，應(yīng)提供風(fēng)險清單以及風(fēng)險 優(yōu)先級列表； （六） 系統(tǒng)安全需求報告：針對安全風(fēng)險，應(yīng)提出安全需求，對于每 個不可接受的安全風(fēng)險，都至少有一個安全需求與其對應(yīng)。 第八條 安全可行性 在信息系統(tǒng)建設(shè)項目可行性研究報告的以下條目中應(yīng)增加相應(yīng)的信 息安全方面的內(nèi)容： （一） 項目目標、主要內(nèi)容與關(guān)鍵技術(shù)：增加信息系統(tǒng)建設(shè)項目的總 體安全目標，并在主要內(nèi)容后面增

10、加針對前面分析出的安全需求所 提出的相應(yīng)安全對策，每個安全需求都至少對應(yīng)一個安全對策，安 全對策的強度應(yīng)根據(jù)相應(yīng)資產(chǎn)的重要性來選擇； （二） 項目采用的技術(shù)路線或者技術(shù)方案：增加描述如何從技術(shù)、運 作、組織以及制度四個方面來實現(xiàn)所有的安全對策，并形成安 全方案； （三） 項目的承擔(dān)單位及人員情況介紹：增加項目各承擔(dān)單位的信息 安全方面的資質(zhì)和經(jīng)驗介紹，并增加介紹項目主要參與人員的 信息安全背景； （四） 項目安全管理：安全級別達到重要級以上的項目應(yīng)增加項目建 設(shè)中的安全管理模式、安全組織結(jié)構(gòu)、人員的安全職責(zé)、建設(shè) 實施中的安全操作程序和相應(yīng)安全管理要求，項目安全管理人 員由 XXX 部主管及信

11、息安全管理部門人員擔(dān)任，信息安全管理 部門人員具體對項目安全進行監(jiān)管； （五） 成本效益分析：對安全方案進行成本-效益分析。 （六） 對投入使用的應(yīng)用軟件需要升級改造的，雖不需另行立項，但 仍需參照上述方法進行一定的安全性分析，并針對可能發(fā)生的 安全問題提出和實現(xiàn)相應(yīng)安全對策。 第三節(jié)第三節(jié) 系統(tǒng)定級管理系統(tǒng)定級管理 單位應(yīng)根據(jù)信息系統(tǒng)等級保護管理辦法和信息系統(tǒng)安全保護等級定 級指南以及上級定級指導(dǎo)意見，初步確定系統(tǒng)安全保護等級。定級工作需要 符合如下要求： （一） 應(yīng)明確信息系統(tǒng)的邊界和安全保護等級； （二） 應(yīng)以書面的形式說明確定信息系統(tǒng)為某個安全保護等級的方法 和理由； （三） 定級結(jié)果

12、有本單位信息安全主管領(lǐng)導(dǎo)的批準； （四） 定級結(jié)果有上級主管單位批準； （五） 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對信息系統(tǒng)定級結(jié)果的合 理性和正確性進行論證和審定； （六） 應(yīng)確保信息系統(tǒng)的定級結(jié)果經(jīng)過相關(guān)部門的批準。 第四節(jié)第四節(jié) 方案論證和審批安全管理標準方案論證和審批安全管理標準 本階段主要是 XXX 部主管組織人員對項目申報內(nèi)容中的信息安全需求與解 決方案部分進行論證，必要時可以聘請外單位的專家參與論證工作。 第九條 安全性論證和審批 安全性論證應(yīng)著重對項目的安全需求分析、安全對策以及總體安全方案 進行成本-效益、合理性、可行性和有效性分析，給出明確的結(jié)論： （一） 適當(dāng) （二） 不合

13、適（否決） （三） 需作復(fù)議 對論證結(jié)論為“需作復(fù)議”的項目，通知申報單位對有關(guān)內(nèi)容進行必要 的補充或者修改后，再次提交復(fù)審。 第十條 項目安全立項 審批后，項目審批單位將對項目進行立項，以下條目中應(yīng)增加相應(yīng)的計 算機安全方面的內(nèi)容： （一） 項目的管理模式、組織結(jié)構(gòu)和責(zé)任：增加項目建設(shè)中的安全管 理模式、安全組織結(jié)構(gòu)以及人員的安全職責(zé)； （二） 項目實施的基本程序和相應(yīng)的管理要求：增加項目建設(shè)實施中 的安全操作程序和相應(yīng)安全管理要求； （三） 項目設(shè)計目標、主要內(nèi)容和關(guān)鍵技術(shù)：增加總體安全目標、安 全對策以及用于實現(xiàn)安全對策的總體安全方案； （四） 項目實現(xiàn)功能和性能指標：增加描述系統(tǒng)擁有的

14、具體安全功能 以及安全功能的強度； （五） 項目驗收考核指標：增加安全性測試和考核指標。 （六） 立項的項目，如采用引進、合作開發(fā)或者外包開發(fā)等形式，則 需與第三方簽訂安全保密協(xié)議。 第五節(jié)第五節(jié) 項目實施方案和實施過程安全管理項目實施方案和實施過程安全管理 信息系統(tǒng)建設(shè)項目實施階段包括 3 個子階段：概要設(shè)計、詳細設(shè)計和項 目實施，本階段的主要工作由項目實施單位來完成，項目審批單位負責(zé)監(jiān)督工 作。概要設(shè)計子階段的安全要求。 在概要設(shè)計階段，系統(tǒng)層次上的設(shè)計要求和功能指標都被分配到了子系 統(tǒng)層次上，這個子階段的安全目標是保證各子系統(tǒng)設(shè)計實現(xiàn)了總體安全方案中 的安全功能。因此， 概要設(shè)計說明書中

15、應(yīng)盡可能達到以下安全要求： （一） 應(yīng)當(dāng)按子系統(tǒng)來描述系統(tǒng)的安全體系結(jié)構(gòu)； （二） 應(yīng)當(dāng)描述每一個子系統(tǒng)所提供的安全功能； （三） 應(yīng)當(dāng)標識所要求的任何基礎(chǔ)性的硬件、固件或軟件，和在這些 硬件、固件或軟件中實現(xiàn)的支持性保護機制提供的功能表示； （四） 應(yīng)當(dāng)標識子系統(tǒng)的所有接口，并說明哪些接口是外部可見的； （五） 描述子系統(tǒng)所有接口的用途與使用方法，并適當(dāng)提供影響、例 外情況和錯誤消息的細節(jié)； （六） 確證子系統(tǒng)（不論是開發(fā)的，還是買來的）的安全功能指標滿 足系統(tǒng)安全需求。 第十一條 詳細設(shè)計子階段的安全要求 無論是新開發(fā)一個系統(tǒng)，或是對一個系統(tǒng)進行修改，本階段的任務(wù)是完 成那些不能買到現(xiàn)成品

16、的軟硬件模塊的設(shè)計。先要完成每個模塊的詳細設(shè)計方 案，最后根據(jù)每個模塊的詳細設(shè)計得到整個系統(tǒng)的詳細設(shè)計。本子階段的安全 目標是保證各模塊設(shè)計實現(xiàn)了概要設(shè)計中的安全功能，因此在這一階段的詳 細設(shè)計說明書中至少要包括以下信息安全內(nèi)容： （一） 詳細設(shè)計中應(yīng)提出相應(yīng)的具體安全方案，標明實現(xiàn)的安全功能， 并應(yīng)檢查其技術(shù)原理； （二） 對系統(tǒng)層面上的和模塊層面上的安全設(shè)計進行審查； （三） 完成安全測試和評估要求（通常包括完整的系統(tǒng)的、軟件的、 硬件的安全測試方案，至少是相關(guān)測試程序的一個草案） ； （四） 確認各模塊的設(shè)計，以及模塊間的接口設(shè)計能滿足系統(tǒng)層面的 安全要求。 第十二條 項目實施子階段的安

17、全要求 無論是新開發(fā)一個系統(tǒng)或是進行系統(tǒng)修改，本階段的主要目的是將所有 的模塊（軟硬件）集成為完整的系統(tǒng)，并且檢查確認集成以后的系統(tǒng)符合要求。 本階段中，應(yīng)完成以下具體信息安全工作： （一） 更新系統(tǒng)安全威脅評估，預(yù)測系統(tǒng)的使用壽命； （二） 找出并描述實現(xiàn)安全方案后系統(tǒng)和模塊的安全要求和限制，以 及相關(guān)的系統(tǒng)驗證機制及檢查方法； （三） 完善系統(tǒng)的運行程序和全生命期支持的安全計劃，如密鑰的分 發(fā)等； （四） 在系統(tǒng)集成操作手冊中，應(yīng)制定安全集成的操作程序； （五） 在系統(tǒng)修改操作手冊中，應(yīng)制定系統(tǒng)修改的安全操作程序； （六） 對項目參與人員進行信息安全意識培訓(xùn)； （七） 并對參加項目建設(shè)的安

18、全管理和技術(shù)人員的安全職責(zé)進行檢查。 （八） 在軟件的開發(fā)被外包的地方，應(yīng)當(dāng)考慮如下幾點： a. 檢查代碼的所有權(quán)和知識產(chǎn)權(quán)情況； b. 質(zhì)量合格證和所進行的工作的精確度； c. 在第三方發(fā)生故障的情況下，有第三方備份保存； d. 進行質(zhì)量審核； e. 在合同上有代碼質(zhì)量方面的要求； f. 在安裝之前進行測試以檢測特洛伊代碼； g. 提供源代碼以及相關(guān)設(shè)計、實施文檔； h. 重要的項目建設(shè)中還要對源代碼進行審核。 （九） 如果軟件是自主開發(fā)的，則需注意上述的 d、f、g、h 點要求。 （十） 計算機系統(tǒng)集成的信息技術(shù)產(chǎn)品（如操作系統(tǒng)、數(shù)據(jù)庫等）或 安全專用產(chǎn)品（如防火墻、IDS 等）應(yīng)達到以下

19、要求： 1. 對項目實施所需的計算機及配套設(shè)備、網(wǎng)絡(luò)設(shè)備、重要機具、 計算機軟件產(chǎn)品的購置，計算機應(yīng)用系統(tǒng)的合作開發(fā)或者外包 開發(fā)的確定，按現(xiàn)有制度中的相關(guān)規(guī)定執(zhí)行； 2. 安全專用產(chǎn)品應(yīng)具有國家職能部門頒發(fā)的信息安全專用產(chǎn)品的 銷售許可證； 3. 密碼產(chǎn)品符合國家密碼主管部門的要求，來源于國家主管部門 批準的密碼研制單位； 4. 關(guān)鍵安全專用產(chǎn)品應(yīng)獲得國家相關(guān)安全認證，在選型中根據(jù)實 際需要制定安全產(chǎn)品選型的標準； 5. 關(guān)鍵信息技術(shù)產(chǎn)品的安全功能模塊應(yīng)獲得國家相關(guān)安全認證， 在選型中根據(jù)實際需要制定信息技術(shù)產(chǎn)品選型的標準。 （十一）產(chǎn)品和服務(wù)供應(yīng)商應(yīng)達到以下要求： 1. 系統(tǒng)集成商的資質(zhì)要

20、求：至少要擁有國家權(quán)威部門認可的系統(tǒng) 一級集成資質(zhì)，對于較為重要的系統(tǒng)應(yīng)有更高級別的集成資質(zhì)； 2. 工商要求： a. 產(chǎn)品、系統(tǒng)或服務(wù)提供單位的營業(yè)執(zhí)照和稅務(wù)登記在合法 期限內(nèi)； b. 產(chǎn)品、系統(tǒng)或服務(wù)提供商的產(chǎn)品、系統(tǒng)或服務(wù)的提供資格； c. 連續(xù)贏利期限要求； d. 連續(xù)無相關(guān)法律訴訟年限要求； e. 沒有發(fā)生重大管理、技術(shù)人員變化和流動的期限要求； f. 沒有發(fā)生主業(yè)變化期限要求。 3. 安全服務(wù)商資質(zhì)：至少應(yīng)具有國家一級安全服務(wù)資質(zhì)，對于較 為重要的系統(tǒng)應(yīng)有更高級別的安全服務(wù)資質(zhì)； 4. 人員資質(zhì)要求：系統(tǒng)集成人員、安全服務(wù)人員以及相關(guān)管理人 員應(yīng)獲得國家權(quán)威部門頒發(fā)的信息安全人員資

21、質(zhì)認證； 5. 其它要求：系統(tǒng)符合國家相關(guān)法律、法規(guī)，按照相關(guān)主管部門 的技術(shù)管理規(guī)定對非法信息和惡意代碼進行有效控制，按照有 關(guān)規(guī)定對設(shè)備進行控制，使之不被作為非法攻擊的跳板。 第六節(jié)第六節(jié) 安全方案設(shè)計管理安全方案設(shè)計管理 （一） 應(yīng)根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，并依據(jù)風(fēng)險分 析的結(jié)果補充和調(diào)整安全措施； （二） 單位指定和授權(quán) XXX 部門對信息系統(tǒng)的安全建設(shè)進行總體規(guī)劃， 制定近期和遠期的安全建設(shè)工作計劃； （三） 應(yīng)根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一考慮安全保障體系的總 體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細 設(shè)計方案，并形成配套文件； （四） 應(yīng)組織相關(guān)

22、部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技 術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套 文件的合理性和正確性進行論證和審定，并且經(jīng)過批準后，才能正 式實施； （五） 應(yīng)根據(jù)等級測評、安全評估的結(jié)果定期調(diào)整和修訂總體安全策 略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案 等相關(guān)配套文件。 第七節(jié)第七節(jié) 產(chǎn)品采購和使用管理產(chǎn)品采購和使用管理 （一） 應(yīng)確保安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定； （二） 應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求； （三） 應(yīng)指定或授權(quán)專門的部門負責(zé)產(chǎn)品的采購； （四） 應(yīng)預(yù)先對產(chǎn)品進行選型測試，確定產(chǎn)品的候選范圍，并定期審 定

23、和更新候選產(chǎn)品名單。 （五） 對項目實施所需的計算機及配套設(shè)備、網(wǎng)絡(luò)設(shè)備、重要機具、 計算機軟件產(chǎn)品的購置，計算機應(yīng)用系統(tǒng)的合作開發(fā)或者外包開發(fā) 的確定，按現(xiàn)有制度中的相關(guān)規(guī)定執(zhí)行； （六） 安全專用產(chǎn)品應(yīng)具有國家職能部門頒發(fā)的信息安全專用產(chǎn)品的 銷售許可證； （七） 密碼產(chǎn)品符合國家密碼主管部門的要求，來源于國家主管部門 批準的密碼研制單位； （八） 關(guān)鍵安全專用產(chǎn)品應(yīng)獲得國家相關(guān)安全認證，在選型中根據(jù)實 際需要制定安全產(chǎn)品選型的標準； （九） 關(guān)鍵信息技術(shù)產(chǎn)品的安全功能模塊應(yīng)獲得國家相關(guān)安全認證， 在選型中根據(jù)實際需要制定信息技術(shù)產(chǎn)品選型的標準。 第八節(jié)第八節(jié) 自行軟件開發(fā)管理自行軟件開發(fā)

24、管理 （一） 應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開，開發(fā)人員和測試人 員分離，測試數(shù)據(jù)和測試結(jié)果受到控制； （二） 應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人 員行為準則； （三） 應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼； （四） 應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負責(zé)保 管； （五） 應(yīng)確保對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準。 第九節(jié)第九節(jié) 外包軟件開發(fā)管理外包軟件開發(fā)管理 （一） 應(yīng)根據(jù)開發(fā)需求檢測軟件質(zhì)量； （二） 應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼； （三） 應(yīng)要求開發(fā)單位提供軟件設(shè)計的相關(guān)文檔和使用指南； （四） 應(yīng)要求開

25、發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后 門。 （五） 檢查代碼的所有權(quán)和知識產(chǎn)權(quán)情況； （六） 質(zhì)量合格證和所進行的工作的精確度； （七） 在第三方發(fā)生故障的情況下，有第三方備份保存； （八） 進行質(zhì)量審核； （九） 在合同上有代碼質(zhì)量方面的要求； （十） 在安裝之前進行測試以檢測特洛伊代碼； （十一）提供源代碼以及相關(guān)設(shè)計、實施文檔； （十二）重要的項目建設(shè)中還要對源代碼進行審核。 第十節(jié)第十節(jié) 工程實施管理工程實施管理 （一） 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)工程實施過程的管理； （二） 應(yīng)制定詳細的工程實施方案控制實施過程，并要求工程實施單 位能正式地執(zhí)行安全工程過程； （三）

26、應(yīng)制定工程實施方面的管理制度，明確說明實施過程的控制方 法和人員行為準則。 第十一節(jié)第十一節(jié) 測試驗收管理測試驗收管理 （一） 應(yīng)委托公正的第三方測試單位對系統(tǒng)進行安全性測試，并出具 安全性測試報告； （二） 在測試驗收前應(yīng)根據(jù)設(shè)計方案或合同要求等制訂測試驗收方案， 在測試驗收過程中應(yīng)詳細記錄測試驗收結(jié)果，并形成測試驗收報告； （三） 應(yīng)對系統(tǒng)測試驗收的控制方法和人員行為準則進行書面規(guī)定； （四） 應(yīng)指定或授權(quán)專門的部門負責(zé)系統(tǒng)測試驗收的管理，并按照管 理規(guī)定的要求完成系統(tǒng)測試驗收工作； （五） 應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗收報告進行審定，并 簽字確認。 第十二節(jié)第十二節(jié) 系統(tǒng)交付管理

27、系統(tǒng)交付管理 （一） 應(yīng)制定詳細的系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、 軟件和文檔等進行清點； （二） 應(yīng)對負責(zé)系統(tǒng)運行維護的技術(shù)人員進行相應(yīng)的技能培訓(xùn)； （三） 應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進行系統(tǒng)運行維 護的文檔； （四） 應(yīng)對系統(tǒng)交付的控制方法和人員行為準則進行書面規(guī)定； （五） 應(yīng)指定或授權(quán)專門的部門負責(zé)系統(tǒng)交付的管理工作，并按照管 理規(guī)定的要求完成系統(tǒng)交付工作。 第十三節(jié)第十三節(jié) 系統(tǒng)備案管理系統(tǒng)備案管理 （一） 指定 XXX 部門或人員負責(zé)管理系統(tǒng)定級的相關(guān)材料，并控制這 些材料的使用； （二） 應(yīng)將系統(tǒng)等級及相關(guān)材料報系統(tǒng)主管部門備案； （三） 應(yīng)將系統(tǒng)等級及

28、其他要求的備案材料報相應(yīng)公安機關(guān)備案。 第十四節(jié)第十四節(jié) 等級測評管理等級測評管理 （一） 在系統(tǒng)運行過程中，至少每年對 3 級系統(tǒng)進行一次等級測評， 發(fā)現(xiàn)不符合相應(yīng)等級保護標準要求的及時整改； （二） 應(yīng)在系統(tǒng)發(fā)生變更時及時對系統(tǒng)進行等級測評，發(fā)現(xiàn)級別發(fā)生 變化的及時調(diào)整級別并進行安全改造，發(fā)現(xiàn)不符合相應(yīng)等級保護標 準要求的及時整改； （三） 應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測評單位進行等級 測評； （四） 要求技術(shù)測評機構(gòu)提供相關(guān)材料。包括營業(yè)執(zhí)照、聲明、證明 及資質(zhì)材料等； （五） 與測評機構(gòu)簽訂保密協(xié)議； （六） 要求測評機構(gòu)制定技術(shù)檢測方案； （七） 具體項目將指定具體人員負責(zé)

29、等級測評的管理。 第十五節(jié)第十五節(jié) 安全服務(wù)商選擇管理安全服務(wù)商選擇管理 （一） 應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定； （二） 應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān) 責(zé)任； （三） 應(yīng)確保選定的安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾，必要的與 其簽訂服務(wù)合同。 （四） 系統(tǒng)集成商的資質(zhì)要求：至少要擁有國家權(quán)威部門認可的系統(tǒng) 一級集成資質(zhì)，對于較為重要的系統(tǒng)應(yīng)有更高級別的集成資質(zhì)； （五） 工商要求： g. 產(chǎn)品、系統(tǒng)或服務(wù)提供單位的營業(yè)執(zhí)照和稅務(wù)登記在合法 期限內(nèi)； h. 產(chǎn)品、系統(tǒng)或服務(wù)提供商的產(chǎn)品、系統(tǒng)或服務(wù)的提供資格； i. 連續(xù)贏利期限要求； j. 連續(xù)無相關(guān)法律訴訟

30、年限要求； k. 沒有發(fā)生重大管理、技術(shù)人員變化和流動的期限要求； l. 沒有發(fā)生主業(yè)變化期限要求。 （六） 安全服務(wù)商資質(zhì)：至少應(yīng)具有國家一級安全服務(wù)資質(zhì)，對于較 為重要的系統(tǒng)應(yīng)有更高級別的安全服務(wù)資質(zhì)； （七） 人員資質(zhì)要求：系統(tǒng)集成人員、安全服務(wù)人員以及相關(guān)管理人 員應(yīng)獲得國家權(quán)威部門頒發(fā)的信息安全人員資質(zhì)認證； （八） 其它要求：系統(tǒng)符合國家相關(guān)法律、法規(guī)，按照相關(guān)主管部門 的技術(shù)管理規(guī)定對非法信息和惡意代碼進行有效控制，按照有關(guān)規(guī) 定對設(shè)備進行控制，使之不被作為非法攻擊的跳板。 第十六節(jié)第十六節(jié) 項目驗收與投產(chǎn)安全管理標準項目驗收與投產(chǎn)安全管理標準 第十三條 安全測評 應(yīng)制定研發(fā)、投

31、產(chǎn)與驗收等過程中的安全測試與驗收大綱，在項目實施 完成后，由項目用戶單位、項目開發(fā)單位共同組織進行測試。在測試大綱中應(yīng) 至少包括以下安全性測試和評估要求： （一） 配置管理：項目實施單位應(yīng)使用配置管理系統(tǒng)，并提供配置管 理文檔； （二） 交付程序：應(yīng)將把系統(tǒng)及其部分交付給用戶的程序文檔化； （三） 安裝、生成和啟動程序：應(yīng)制定安裝、生成和啟動程序，并保 證最終產(chǎn)生了安全的配置； （四） 安全功能測試：對系統(tǒng)的安全功能進行測試，以保證其符合詳 細設(shè)計并對詳細設(shè)計進行檢查，保證其符合概要設(shè)計以及總體 安全方案； （五） 系統(tǒng)管理員指南：應(yīng)提供如何安全地管理系統(tǒng)和如何高效地利 用系統(tǒng)安全功能的優(yōu)點和

32、保護功能等詳細準確的信息； （六） 系統(tǒng)用戶指南：必須包含兩方面的內(nèi)容：首先，它必須解釋那 些用戶可見的安全功能的用途以及如何使用它們，這樣用戶可 以持續(xù)有效地保護他們的信息；其次，它必須解釋在維護系統(tǒng) 的安全時用戶所能起的作用； （七） 安全功能強度評估：功能強度分析應(yīng)說明以概率或排列機制 （如，口令字或哈希函數(shù)）實現(xiàn)的系統(tǒng)安全功能。例如，對口 令機制的功能強度分析可以通過說明口令空間是否有足夠大來 指出口令字功能是否滿足強度要求； （八） 脆弱性分析：應(yīng)分析所采取的安全對策的完備性（安全對策是 否可以滿足所有的安全需求）以及安全對策之間的依賴關(guān)系。 通?？梢允褂么┩感詼y試來評估上述內(nèi)容，以

33、判斷它們在實際 應(yīng)用中是否會被利用來削弱系統(tǒng)的安全。 （九） 測試完成后，項目測試小組應(yīng)提交測試報告 ，其中應(yīng)包括安 全性測試和評估的結(jié)果。不能通過安全性測試評估的，由測試 小組提出修改意見，項目實施單位應(yīng)作進一步修改。 第十四條 安全試運行 測試通過后，由項目用戶單位組織進入試運行階段，應(yīng)有一系列的安全 措施來維護系統(tǒng)安全，它包括處理系統(tǒng)在現(xiàn)場運行時的安全問題和采取措施保 證系統(tǒng)的安全水平在系統(tǒng)運行期間不會下降。具體工作如下： （一） 監(jiān)測系統(tǒng)的安全性能，包括事故報告； （二） 進行用戶安全培訓(xùn)，并對培訓(xùn)進行總結(jié)； （三） 監(jiān)視與安全有關(guān)的部件的拆除處理； （四） 監(jiān)測新發(fā)現(xiàn)的對系統(tǒng)安全的攻

34、擊、系統(tǒng)所受威脅的變化以及其 它與安全風(fēng)險有關(guān)的因素； （五） 監(jiān)測安全部件的備份支持，支持與系統(tǒng)安全有關(guān)的維護培訓(xùn)； （六） 評估大大小小的系統(tǒng)改動對安全造成的影響； （七） 監(jiān)測系統(tǒng)物理和功能配置，包括運行過程，因為一些不太顯眼 的改變可能影響系統(tǒng)的安全風(fēng)險。 （八） 在試運行情況報告中應(yīng)對上述工作做總結(jié)性描述。 第十五條 安全驗收 在項目建設(shè)要求中規(guī)定的系統(tǒng)試運行過程結(jié)束后，項目開發(fā)單位可以組 織用戶單位人員參加的項目驗收組對項目進行驗收。驗收應(yīng)增加以下安全內(nèi)容： （一） 項目是否已達到項目任務(wù)書中制定的總體安全目標和安全指標， 實現(xiàn)全部安全功能； （二） 采用技術(shù)是否符合國家、行業(yè)有關(guān)

35、安全技術(shù)標準及規(guī)范； （三） 是否實現(xiàn)驗收測評的安全技術(shù)指標； （四） 項目建設(shè)過程中的各種文檔資料是否規(guī)范、齊全； （五） 在驗收報告中也應(yīng)在以下條目中反映對系統(tǒng)安全性驗收的情況： （六） 項目設(shè)計總體安全目標及主要內(nèi)容； （七） 項目采用的關(guān)鍵安全技術(shù)； （八） 驗收專家組中的安全專家及安全驗收評價意見。 第十六條 投產(chǎn)后的監(jiān)控與跟蹤 項目投產(chǎn)后還應(yīng)進行一段時間的監(jiān)控和跟蹤，應(yīng)用系統(tǒng)的管理人員負責(zé) 監(jiān)控和跟蹤工作，具體包括以下要求： （一） 應(yīng)對系統(tǒng)關(guān)鍵安全性能的變化情況進行監(jiān)控，了解其變化的原 因； （二） 對系統(tǒng)安全事故的發(fā)生、應(yīng)急、處理、恢復(fù)、總結(jié)進行全程跟 蹤，并編寫詳細的記錄；

36、（三） 監(jiān)控新增的安全部件對系統(tǒng)安全的影響； （四） 跟蹤安全有關(guān)部件的拆除處理情況，并監(jiān)控隨后系統(tǒng)安全性的 變化； （五） 對新發(fā)現(xiàn)的對系統(tǒng)安全的攻擊進行監(jiān)控，記錄其發(fā)生的頻率以 及對系統(tǒng)的影響； （六） 監(jiān)控系統(tǒng)所受威脅的變化，評估其發(fā)生的可能性以及可能造成 的影響； （七） 監(jiān)控并跟蹤安全部件的備份情況； （八） 監(jiān)控運行程序的變化，并記錄這些變化對系統(tǒng)安全的影響； （九） 監(jiān)控系統(tǒng)物理環(huán)境的變化情況，并記錄這些變化對系統(tǒng)安全的 影響； （十） 監(jiān)控安全配置的變化情況，并記錄這些變化對系統(tǒng)安全的影響； （十一）對于上述所有監(jiān)控和跟蹤內(nèi)容，如果對系統(tǒng)安全有不良影 響處，都應(yīng)在系統(tǒng)設(shè)計、配置、運行管理上做相應(yīng)改進，以保 證系統(tǒng)安全、正常運行。 第十七條 各職能管理部門在進行 TCP/IP 網(wǎng)絡(luò)和系統(tǒng)建設(shè)項目立項申請過 程中，應(yīng)由信息安全工作組對項目提出安全建議。 第十八條 根據(jù)項目立項中的項目立項申請、立項論證、立項評估和立項 審批四個程序，都應(yīng)結(jié)合各類的安全技術(shù)規(guī)范。 第十九條 各職能管理部門、各直屬單位進行項目立項申請時，在提交 項目立項建議書等相關(guān)資料中應(yīng)增