资源描述
I C S 3 5.0 3 0C C S L 7 0深 圳 市 地 方 标 准D B 4 4 0 3/T 4 3 7 2 0 2 4多 功 能 智 能 杆 信 息 系 统 安 全 管 理 规 范M u l t i f u n c t i o n a l s m a r t p o l e I n f o r m a t i o n s y s t e m s e c u r i t y m a n a g e m e n ts p e c i f i c a t i o n2 0 2 4-0 4-0 9 发 布 2 0 2 4-0 5-0 1 实 施深 圳 市 市 场 监 督 管 理 局发 布DB4403D B 4 4 0 3/T 4 3 7 2 0 2 4I目 次前 言.I I1 范 围.12 规 范 性 引 用 文 件.13 术 语 和 定 义.14 信 息 系 统 安 全 管 理 的 原 则、策 略、内 容 和 制 度.24.1 信 息 系 统 安 全 管 理 原 则.24.2 信 息 系 统 安 全 管 理 策 略.34.3 信 息 系 统 安 全 管 理 内 容.44.4 信 息 系 统 安 全 管 理 制 度.45 机 构 建 设 和 人 员 管 理.55.1 建 立 安 全 管 理 机 构.55.2 信 息 系 统 安 全 领 导 小 组.55.3 信 息 系 统 安 全 职 能 部 门.65.4 安 全 管 理 人 员 配 备.65.5 关 键 岗 位 人 员 管 理.65.6 人 员 录 用 管 理.65.7 人 员 离 岗 管 理.75.8 人 员 考 核 与 审 查.75.9 人 员 教 育 和 培 训.76 风 险 管 理 和 控 制.86.1 风 险 管 理 要 求.86.2 风 险 管 理 策 略.86.3 风 险 分 析.86.4 风 险 评 估.96.5 风 险 控 制.96.6 安 全 确 认.1 07 运 维 和 服 务 管 理.1 07.1 运 维 环 境 管 理.1 07.2 服 务 资 源 管 理.1 27.3 用 户 管 理.1 57.4 运 行 操 作 管 理.1 67.5 运 行 维 护 管 理.1 97.6 外 包 服 务 管 理.2 27.7 机 制 管 理 和 安 全 管 理.2 27.8 业 务 连 续 性 管 理.2 7D B 4 4 0 3/T 4 3 7 2 0 2 4I I前 言本 文 件 按 照 G B/T 1.1 2 0 2 0 标 准 化 工 作 导 则 第 1 部 分：标 准 化 文 件 的 结 构 和 起 草 规 则 的 规定 起 草。本 文 件 由 深 圳 市 工 业 和 信 息 化 局 提 出 并 归 口。本 文 件 起 草 单 位：深 圳 市 脉 山 龙 信 息 技 术 股 份 有 限 公 司、深 圳 市 洲 明 科 技 股 份 有 限 公 司、深 圳市 信 息 基 础 设 施 投 资 发 展 有 限 公 司、北 京 天 融 信 网 络 安 全 技 术 有 限 公 司、金 砖 国 家 未 来 网 络 研 究 院(中 国 深 圳)、深 圳 大 学、深 圳 市 震 有 智 联 科 技 有 限 公 司、信 安 软 件 测 评 认 证 中 心（深 圳）有 限 公司。本 文 件 主 要 起 草 人：李 海 燕、陈 铎 航、王 玉、林 奕 康、陈 政 浩、汪 书 福、林 洺 锋、陈 晓 宁、张帆、黄 永 衡、许 亚 萍、陈 挺、江 魁、刘 向 华、王 先 峰、张 金 钟、马 龙 彪、宋 建 民、陈 希、张 勇、白莹 杰、杨 彪。D B 4 4 0 3/T 4 3 7 2 0 2 41多 功 能 智 能 杆 信 息 系 统 安 全 管 理 规 范1 范 围本 文 件 规 定 了 多 功 能 智 能 杆 信 息 系 统 安 全 管 理 的 原 则、策 略、内 容 和 制 度、机 构 建 设 和 人 员 管理、风 险 管 理 和 控 制、运 维 和 服 务 管 理。本 文 件 适 用 于 指 导 多 功 能 智 能 杆 信 息 系 统 安 全 管 理 工 作。2 规 范 性 引 用 文 件下 列 文 件 中 的 内 容 通 过 文 中 的 规 范 性 引 用 而 构 成 本 文 件 必 不 可 少 的 条 款。其 中，注 日 期 的 引 用文 件，仅 该 日 期 对 应 的 版 本 适 用 于 本 文 件；不 注 日 期 的 引 用 文 件，其 最 新 版 本（包 括 所 有 的 修 改 单）适 用 于 本 文 件。G B/T 2 0 2 7 1 2 0 0 6 信 息 安 全 技 术 信 息 系 统 通 用 安 全 技 术 要 求G B/T 2 5 0 6 9 2 0 2 2 信 息 安 全 技 术 术 语G B 5 0 0 1 6 2 0 1 4 建 筑 设 计 防 火 规 范3 术 语 和 定 义G B/T 2 5 0 6 9 2 0 2 2 界 定 的 以 及 下 列 术 语 和 定 义 适 用 于 本 文 件。3.1完 整 性 i n t e g r i t y数 据、系 统 或 信 息 在 存 储、传 输 和 处 理 过 程 中 保 持 无 误、不 受 损 坏、不 受 篡 改 的 状 态。注：包括数据完整性和系统完整性；数据完整性，数据在存储、传输和处理过程中保持准确、完整和可信的状态；系统完整性，系统在非授权用户修改或使用资源和授权用户不正确地修改或使 用资源的情况下，保持正常可靠运行的状态。3.2可 用 性 a v a i l a b i l i t y表 征 数 据 或 系 统 根 据 授 权 实 体 的 请 求 可 被 访 问 与 使 用 程 度 的 属 性。3.3访 问 控 制 a c c e s s c o n t r o l按 确 定 的 规 则 防 止 对 资 源 的 未 授 权 使 用，对 实 体 之 间 的 访 问 活 动 进 行 控 制 的 安 全 机 制。3.4安 全 审 计 s e c u r i t y a u d i t按 确 定 规 则 的 要 求，对 与 安 全 相 关 的 事 件 进 行 审 计，以 日 志 方 式 记 录 必 要 信 息，并 作 出 相 应 处理 的 安 全 机 制。3.5鉴 别 信 息 a u t h e n t i c a t i o n i n f o r m a t i o n确 认 系 统 中 身 份 真 实 性 过 程 的 信 息。3.6风 险 评 估 r i s k a s s e s s m e n tD B 4 4 0 3/T 4 3 7 2 0 2 42对 信 息 系 统 所 面 临 的 威 胁、存 在 的 弱 点、造 成 的 影 响 以 及 对 信 息 系 统 处 理、传 输 和 存 储 信 息 的保 密 性、完 整 性（3.1）和 可 用 性（3.2）等 进 行 科 学 识 别 和 评 价，确 定 信 息 系 统 面 临 风 险 可 能 性 的过 程。3.7安 全 策 略 s e c u r i t y p o l i c y为 信 息 系 统 安 全 管 理 制 定 的 行 动 方 针、路 线、工 作 方 式、指 导 原 则 或 程 序。4 信 息 系 统 安 全 管 理 的 原 则、策 略、内 容 和 制 度4.1 信 息 系 统 安 全 管 理 原 则4.1.1 安 全 需 求 原 则组 织 机 构 根 据 信 息 系 统 担 负 的 任 务，积 累 的 信 息 资 产，可 能 受 到 的 威 胁 及 面 临 的 风 险，按 照 信息 系 统 等 级 保 护 要 求，确 定 相 应 信 息 系 统 的 安 全 保 护 等 级；按 照 相 应 安 全 保 护 等 级 的 要 求，合 理 投入 和 分 配 安 全 资 源。4.1.2 领 导 负 责 原 则组 织 机 构 领 导 确 立 信 息 安 全 保 障 的 宗 旨 和 政 策，负 责 提 高 所 有 工 作 人 员 的 安 全 意 识，组 织 有 效安 全 保 障 队 伍，调 动 并 优 化 配 置 安 全 资 源，协 调 安 全 管 理 工 作 与 各 部 门 的 工 作。4.1.3 全 员 参 与 原 则组 织 机 构 信 息 系 统 安 全 小 组 的 所 有 工 作 人 员 参 与 信 息 系 统 的 安 全 管 理，并 与 外 部 组 织 机 构 协 同、协 调，共 同 保 障 信 息 系 统 安 全。4.1.4 系 统 方 法 原 则按 照 系 统 工 程 的 要 求，识 别 和 分 析 信 息 系 统 安 全 保 障 相 互 关 联 的 要 素 和 过 程，采 用 管 理 和 技 术结 合 的 方 法，提 高 信 息 安 全 管 理 系 统 的 有 效 性 和 效 率。4.1.5 持 续 改 进 原 则及 时 地 将 现 有 的 安 全 策 略、风 险 接 受 程 度 和 保 护 措 施 进 行 复 查、修 改 和 调 整，达 到 提 升 安 全 管理 等 级，维 护 和 持 续 改 进 信 息 安 全 管 理 体 系 有 效 性 的 目 的。4.1.6 合 规 管 理 原 则信 息 安 全 管 理 工 作 管 理 主 体 合 规、管 理 行 为 合 规、管 理 内 容 合 规 和 管 理 程 序 合 规，构 建 和 管 理一 个 完 整、高 效、可 用 和 可 扩 展 的 信 息 安 全 管 理 系 统。4.1.7 管 理 权 限 原 则对 信 息 安 全 管 理 系 统 特 定 职 能 或 责 任 部 门 的 管 理，实 施 部 门 分 离、准 入 审 批、独 立 审 计 的 管 理原 则，避 免 权 力 过 分 集 中 所 带 来 的 隐 患，防 止 未 授 权 的 修 改 或 滥 用 系 统 资 源 的 行 为。4.1.8 分 级 保 护 原 则D B 4 4 0 3/T 4 3 7 2 0 2 43按 等 级 划 分 标 准 确 定 信 息 系 统 的 安 全 保 护 等 级，实 行 分 级 保 护；对 多 个 子 系 统 构 成 的 大 型 信 息系 统，确 定 系 统 的 基 本 安 全 保 护 等 级，并 根 据 实 际 安 全 需 求，分 别 确 定 各 子 系 统 的 安 全 保 护 等 级，实 行 多 级 安 全 保 护。4.1.9 管 理 与 技 术 并 重 原 则采 用 管 理 与 技 术 相 结 合、管 理 科 学 性 与 技 术 前 瞻 性 相 结 合 的 方 法，保 障 信 息 系 统 的 安 全 性。采用 新 技 术 时，分 析 新 技 术 成 熟 的 程 度，并 首 先 局 部 试 点 然 后 逐 步 推 广，以 减 少 或 避 免 可 能 出 现 的 失误。4.2 信 息 系 统 安 全 管 理 策 略4.2.1 信 息 系 统 安 全 管 理 策 略 类 型根 据 多 功 能 智 能 杆 不 同 的 网 络 安 全 等 级 保 护 要 求，应 至 少 选 择 下 列 安 全 管 理 策 略 中 的 一 项：a)基 本 的 安 全 管 理 策 略；b)完 整 的 安 全 管 理 策 略；c)体 系 化 的 安 全 管 理 策 略；d)强 制 保 护 的 安 全 管 理 策 略；e)专 控 保 护 的 安 全 管 理 策 略。4.2.2 基 本 的 安 全 管 理 策 略基 本 的 信 息 系 统 安 全 管 理 策 略，包 括：a)依 据 技 术 标 准 和 管 理 标 准 进 行 自 主 保 护；b)阐 明 管 理 者 对 信 息 系 统 安 全 的 承 诺，并 陈 述 组 织 机 构 管 理 信 息 系 统 安 全 的 方 法；c)说 明 信 息 系 统 安 全 的 总 体 目 标、范 围 和 安 全 框 架；d)申 明 支 持 信 息 系 统 安 全 目 标 和 原 则 的 管 理 意 向；e)说 明 对 组 织 机 构 有 重 大 意 义 的 安 全 方 针、原 则、标 准 和 符 合 性 要 求。4.2.3 完 整 的 安 全 管 理 策 略完 整 的 安 全 管 理 策 略，包 括：a)在 信 息 系 统 安 全 监 管 职 能 部 门 的 指 导 下，依 据 技 术 标 准 和 管 理 标 准 自 主 进 行 保 护；b)明 确 划 分 信 息 系 统 或 分 系 统 的 安 全 保 护 等 级；c)制 定 风 险 管 理 策 略、业 务 连 续 性 策 略、安 全 培 训 与 教 育 策 略 和 审 计 策 略。4.2.4 体 系 化 的 安 全 管 理 策 略体 系 化 的 安 全 管 理 策 略，包 括：a)在 接 受 信 息 系 统 安 全 监 管 职 能 部 门 监 督、检 查 的 前 提 下，依 据 技 术 标 准 和 管 理 标 准 自 主 进行 保 护；b)制 定 目 标 策 略、规 划 策 略、机 构 策 略、人 员 策 略、管 理 策 略、安 全 技 术 策 略、控 制 策 略、生 存 周 期 策 略、投 资 策 略 和 质 量 策 略。4.2.5 强 制 保 护 的 安 全 管 理 策 略强 制 保 护 的 安 全 管 理 策 略，包 括：a)在 接 受 信 息 系 统 安 全 监 管 职 能 部 门 的 强 制 监 督、检 查 的 前 提 下，依 据 技 术 标 准 和 管 理 标 准自 主 进 行 保 护；D B 4 4 0 3/T 4 3 7 2 0 2 44b)制 定 体 系 完 整 的 信 息 系 统 安 全 管 理 策 略。4.2.6 专 控 保 护 的 安 全 管 理 策 略专 控 保 护 的 安 全 管 理 策 略，包 括：a)在 接 受 专 门 部 门 和 机 构 的 监 督 下，依 据 技 术 标 准 和 管 理 标 准 自 主 进 行 保 护；b)制 定 可 持 续 改 进 的 信 息 系 统 安 全 管 理 策 略。4.3 信 息 系 统 安 全 管 理 内 容信 息 系 统 安 全 管 理 包 括 但 不 限 于 以 下 要 求：a)落 实 安 全 管 理 机 构 及 安 全 管 理 人 员，明 确 角 色 与 职 责，制 定 安 全 规 划；b)开 发 安 全 策 略；c)实 施 风 险 管 理；d)制 定 业 务 持 续 性 计 划 和 灾 难 恢 复 计 划；e)选 择 与 实 施 安 全 措 施；f)确 保 配 置、变 更 的 正 确 与 安 全；g)进 行 安 全 审 计；h)确 保 维 护 支 持；i)进 行 监 控、检 查，处 理 安 全 事 件；j)安 全 意 识 与 安 全 教 育；k)人 员 安 全 管 理。4.4 信 息 系 统 安 全 管 理 制 度4.4.1 信 息 系 统 安 全 管 理 制 度 类 型根 据 多 功 能 智 能 杆 不 同 的 网 络 安 全 等 级 保 护 要 求，应 至 少 选 择 以 下 安 全 管 理 制 度 中 的 一 项：a)基 本 的 安 全 管 理 制 度；b)完 整 的 安 全 管 理 制 度；c)体 系 化 的 安 全 管 理 制 度；d)强 制 保 护 的 安 全 管 理 制 度；e)专 控 保 护 的 安 全 管 理 制 度。4.4.2 基 本 的 安 全 管 理 制 度应 从 安 全 组 织、安 全 责 任、访 问 控 制、系 统 设 计、系 统 建 设、系 统 验 收、系 统 运 维、应 急 处 置、人 员 管 理、文 件 档 案 管 理、审 核 检 查 等 方 面 规 范 各 项 网 络 安 全 管 理 工 作；应 对 多 功 能 智 能 杆 的 管 理平 台、移 动 互 联、挂 载 设 备 和 公 共 数 据 安 全 管 理 活 动 中 的 各 类 管 理 内 容 制 定 安 全 管 理 制 度。4.4.3 完 整 的 安 全 管 理 制 度应 制 定 人 员 安 全 管 理 规 定、安 全 审 计 管 理 规 定、用 户 管 理 规 定、风 险 管 理 规 定、信 息 分 类 分 级管 理 规 定、安 全 事 件 报 告 规 定、事 故 处 理 规 定、应 急 管 理 规 定 和 灾 难 恢 复 管 理 规 定。4.4.4 体 系 化 的 安 全 管 理 制 度4.4.4.1 应 制 定 机 房、主 机 设 备、网 络 设 施、硬 件 设 施 分 类 标 记 等 系 统 资 源 安 全 管 理 规 定。4.4.4.2 应 制 定 安 全 配 置、系 统 分 发 和 操 作、系 统 文 档、测 试 和 脆 弱 性 评 估、系 统 信 息 安 全 备 份 和相 关 的 操 作 规 程 等 系 统 和 数 据 库 方 面 的 安 全 管 理 规 定。D B 4 4 0 3/T 4 3 7 2 0 2 454.4.4.3 应 制 定 系 统 互 联 评 估、网 络 使 用 授 权、网 络 检 测、网 络 设 施 设 备 和 协 议 的 变 更 控 制 和 相 关的 操 作 规 程 等 方 面 的 网 络 安 全 管 理 规 定。4.4.4.4 应 制 定 系 统 安 全 评 估、应 用 系 统 使 用 授 权、应 用 系 统 配 置 管 理、应 用 系 统 文 档 管 理 和 相 关的 操 作 规 程 等 方 面 的 应 用 安 全 管 理 规 定。4.4.4.5 应 制 定 人 员 安 全 管 理、安 全 意 识 与 安 全 技 术 教 育、操 作 安 全、操 作 系 统 和 数 据 库 安 全、系统 运 行 记 录、病 毒 防 护、系 统 维 护、网 络 互 联、安 全 审 计、安 全 事 件 报 告、事 故 处 理、应 急 管 理、灾 难 恢 复 和 相 关 的 操 作 规 程 等 方 面 的 运 行 安 全 管 理 规 定。4.4.4.6 应 制 定 信 息 分 类 标 记、涉 密 信 息 管 理、文 档 管 理、存 储 介 质 管 理、信 息 披 露 与 发 布 审 批 管理、第 三 方 访 问 控 制 和 相 关 的 操 作 规 程 等 方 面 的 信 息 安 全 管 理 规 定。4.4.5 强 制 保 护 的 安 全 管 理 制 度应 制 定 信 息 保 密 标 识 与 管 理 规 定、密 码 使 用 管 理 规 定、安 全 事 件 例 行 评 估 和 报 告 规 定、关 键 控制 措 施 定 期 测 试 规 定。4.4.6 专 控 保 护 的 安 全 管 理 制 度应 对 多 功 能 智 能 杆 信 息 系 统 安 全 管 理 中 特 定 信 息 或 资 产，采 取 专 门 的 控 制 和 保 护 措 施，并 制 定安 全 管 理 审 计 监 督 规 定。5 机 构 建 设 和 人 员 管 理5.1 建 立 安 全 管 理 机 构建 立 安 全 管 理 机 构 满 足 以 下 要 求：a)管 理 层 中 应 有 一 人 分 管 信 息 系 统 安 全 工 作，并 为 信 息 系 统 的 安 全 管 理 配 备 专 职 或 兼 职 的 安全 管 理 人 员；b)应 建 立 管 理 信 息 系 统 安 全 工 作 的 职 能 部 门，或 明 确 指 定 一 个 职 能 部 门 兼 管 信 息 安 全 工 作，作 为 该 部 门 的 关 键 职 责 之 一；c)应 在 管 理 层 成 立 信 息 系 统 安 全 管 理 委 员 会 或 信 息 系 统 安 全 领 导 小 组，对 覆 盖 全 国 或 跨 地 区的 组 织 机 构，应 在 总 部 和 下 级 部 门 建 立 各 级 信 息 系 统 安 全 领 导 小 组，在 基 层 至 少 应 有 一 位专 职 的 安 全 管 理 人 员 负 责 信 息 系 统 安 全 工 作；d)应 由 组 织 机 构 的 主 要 负 责 人 担 任 信 息 系 统 安 全 领 导 小 组 负 责 人；e)应 建 立 信 息 系 统 安 全 保 密 监 督 管 理 的 职 能 部 门，或 对 原 有 保 密 部 门 明 确 信 息 安 全 保 密 管 理责 任，加 强 对 信 息 系 统 安 全 管 理 重 要 过 程 和 管 理 人 员 的 保 密 监 督 管 理。5.2 信 息 系 统 安 全 领 导 小 组信 息 系 统 安 全 领 导 小 组 满 足 以 下 要 求：a)履 行 安 全 管 理 的 领 导 职 能，包 括：1)批 准 组 织 机 构 信 息 系 统 的 安 全 策 略 和 发 展 规 划；2)确 定 各 有 关 部 门 在 信 息 系 统 安 全 工 作 中 的 职 责，领 导 安 全 工 作 的 实 施；3)监 督 安 全 措 施 的 执 行，并 对 重 要 安 全 事 件 的 处 理 进 行 决 策；4)指 导 和 检 查 信 息 系 统 安 全 职 能 部 门 及 应 急 处 理 小 组 的 各 项 工 作；5)建 设 和 完 善 信 息 系 统 安 全 集 中 管 控 的 组 织 体 系 和 管 理 机 制。b)对 保 密 管 理 部 门 进 行 有 关 信 息 系 统 安 全 保 密 监 督 管 理 方 面 的 指 导 和 检 查。D B 4 4 0 3/T 4 3 7 2 0 2 465.3 信 息 系 统 安 全 职 能 部 门信 息 系 统 安 全 职 能 部 门 在 信 息 系 统 安 全 领 导 小 组 领 导 下，负 责 组 织 机 构 信 息 系 统 安 全 的 具 体 工作，至 少 应 行 使 以 下 管 理 职 能 之 一：a)履 行 基 本 的 安 全 管 理 职 能，包 括：1)起 草 组 织 机 构 信 息 系 统 的 安 全 策 略 和 发 展 规 划；2)管 理 组 织 机 构 信 息 系 统 安 全 日 常 事 务，检 查 和 指 导 下 级 部 门 信 息 系 统 安 全 工 作；3)负 责 安 全 措 施 的 实 施 或 组 织 实 施，组 织 并 参 加 对 安 全 重 要 事 件 的 处 理；4)监 控 信 息 系 统 安 全 总 体 状 况，制 定 安 全 分 析 报 告；5)指 导 和 检 查 各 部 门 和 下 级 部 门 信 息 系 统 安 全 人 员 及 要 害 岗 位 人 员 的 信 息 系 统 安 全 工 作；6)与 外 部 组 织 机 构 共 同 组 成 应 急 处 理 小 组 或 在 内 部 组 织 机 构 建 立 应 急 处 理 小 组，实 施 相关 应 急 处 理 工 作。b)履 行 集 中 的 安 全 管 理 职 能，包 括：1)管 理 信 息 系 统 安 全 机 制 集 中 管 理 机 构 的 各 项 工 作，实 现 信 息 系 统 安 全 的 集 中 控 制 管 理；2)完 成 信 息 系 统 安 全 领 导 小 组 交 办 的 工 作，并 向 领 导 小 组 报 告 组 织 机 构 的 信 息 系 统 安 全工 作。5.4 安 全 管 理 人 员 配 备安 全 管 理 人 员 配 备 满 足 以 下 要 求：a)配 备 兼 职 安 全 管 理 人 员，网 络 管 理 人 员 允 许 兼 职 安 全 管 理 人 员，兼 职 安 全 管 理 人 员 不 应 同时 兼 任 系 统 管 理 员 和 数 据 库 管 理 员 等；b)配 备 专 职 安 全 管 理 人 员，专 职 安 全 管 理 人 员 应 具 有 安 全 管 理 工 作 权 限 和 能 力；c)关 键 部 位 的 安 全 管 理 人 员，应 按 照 机 要 人 员 条 件 配 备。5.5 关 键 岗 位 人 员 管 理关 键 岗 位 人 员 管 理 满 足 以 下 要 求：a)基 本 要 求，包 括：1)应 对 安 全 管 理 员、系 统 管 理 员、数 据 库 管 理 员、网 络 管 理 员、重 要 业 务 开 发 人 员、系统 维 护 人 员、重 要 业 务 应 用 操 作 人 员 等 信 息 系 统 关 键 岗 位 人 员 进 行 统 一 管 理；2)业 务 应 用 操 作 人 员 不 应 由 其 他 关 键 岗 位 人 员 兼 任；3)关 键 岗 位 人 员 应 定 期 接 受 安 全 培 训。b)兼 职 和 轮 岗 要 求，包 括：1)业 务 开 发 人 员 和 系 统 维 护 人 员 不 应 兼 任 或 担 任 安 全 管 理 员、系 统 管 理 员、数 据 库 管 理员、网 络 管 理 员、重 要 业 务 应 用 操 作 人 员 等 岗 位 或 工 作；2)关 键 岗 位 人 员 应 采 取 定 期 轮 岗 制 度。c)权 限 分 散 要 求，应 坚 持 关 键 岗 位 人 员“权 限 分 散、不 应 交 叉 覆 盖”的 原 则，系 统 管 理 员、数 据 库 管 理 员、网 络 管 理 员 不 应 相 互 兼 任 岗 位 或 工 作；d)多 人 共 管 要 求，关 键 岗 位 人 员 处 理 重 要 事 务 或 操 作 时，应 保 持 二 人 同 时 在 场，关 键 事 务 应多 人 共 管；e)全 面 控 制 要 求，应 采 取 对 内 部 人 员 全 面 控 制 的 安 全 保 障 措 施，对 所 有 岗 位 工 作 人 员 实 施 全面 安 全 管 理。5.6 人 员 录 用 管 理人 员 录 用 管 理 满 足 以 下 要 求：D B 4 4 0 3/T 4 3 7 2 0 2 47a)人 员 录 用 的 基 本 要 求，包 括：1)对 应 聘 者 进 行 审 查，应 聘 者 具 有 基 本 的 专 业 技 术 水 平，接 受 过 安 全 意 识 教 育 和 培 训，应 掌 握 安 全 管 理 基 本 知 识；2)对 信 息 系 统 关 键 岗 位 的 人 员 还 应 注 重 思 想 品 质 方 面 的 考 察。b)人 员 的 审 查 与 考 核，应 由 组 织 机 构 人 事 部 门 进 行 人 员 背 景、资 质 审 查 和 技 能 考 核 等，合 格者 还 应 签 署 保 密 协 议 方 可 上 岗；安 全 管 理 人 员 应 具 有 基 本 的 系 统 安 全 风 险 分 析 和 评 估 能 力；c)人 员 的 内 部 选 拔，重 要 区 域 或 部 位 的 安 全 管 理 人 员 应 从 内 部 符 合 条 件 的 人 员 中 选 拔，应 做到 认 真 负 责 和 保 守 秘 密；d)人 员 的 可 靠 性，关 键 区 域 或 部 位 的 安 全 管 理 人 员 应 按 机 要 人 员 条 件 配 备。5.7 人 员 离 岗 管 理人 员 离 岗 管 理 满 足 以 下 要 求：a)离 岗 的 基 本 要 求，包 括：1)立 即 中 止 被 解 雇 的、退 休 的、辞 职 的 或 其 他 原 因 离 开 的 人 员 的 所 有 访 问 权 限；2)收 回 所 有 相 关 证 件、徽 章、密 钥、访 问 控 制 标 记；3)收 回 机 构 提 供 的 设 备。b)调 离 后 的 保 密 要 求，管 理 层 和 信 息 系 统 关 键 岗 位 人 员 调 离 岗 位，应 经 组 织 机 构 人 事 部 门 办理 调 离 手 续，承 诺 调 离 后 的 保 密 要 求；c)离 岗 的 审 计 要 求，涉 及 组 织 机 构 管 理 层 和 信 息 系 统 关 键 岗 位 的 人 员 调 离 本 部 门，应 进 行 离岗 安 全 审 查，在 规 定 的 脱 密 期 限 后，方 可 调 离；d)关 键 部 位 人 员 的 离 岗 要 求，关 键 部 位 的 信 息 系 统 安 全 管 理 人 员 离 岗，应 按 照 机 要 人 员 管 理办 法 办 理。5.8 人 员 考 核 与 审 查人 员 考 核 与 审 查 满 足 以 下 要 求：a)定 期 的 人 员 考 核，应 对 各 个 岗 位 的 人 员 定 期 进 行 不 同 重 点 的 安 全 知 识 和 安 全 技 能 的 考 核；b)定 期 的 人 员 审 查，应 对 关 键 岗 位 人 员，定 期 进 行 审 查；c)管 理 有 效 性 的 审 查，应 对 关 键 岗 位 人 员 的 工 作，通 过 例 行 考 核 进 行 有 效 性 审 查，并 保 留 审查 结 果；d)全 面 严 格 的 审 查，应 对 所 有 安 全 岗 位 人 员 的 工 作，通 过 全 面 考 核 进 行 审 查。5.9 人 员 教 育 和 培 训人 员 教 育 和 培 训 满 足 以 下 要 求：a)应 对 信 息 系 统 所 有 工 作 人 员 进 行“应 知 应 会”教 育 和 培 训，内 容 包 括 信 息 安 全 意 识 培 训、信 息 安 全 技 术 培 训、信 息 安 全 风 险 评 估 和 防 范 培 训、信 息 安 全 应 急 预 案 培 训、信 息 系 统 安全 审 计 培 训、信 息 系 统 漏 洞 扫 描 和 防 范 培 训、信 息 系 统 安 全 事 件 处 理 培 训 和 信 息 安 全 法 律法 规 和 标 准 培 训 等；b)应 制 定 并 实 施 安 全 教 育 和 培 训 计 划，包 括 年 度 培 训、季 度 培 训 和 月 度 培 训，以 确 保 所 有 工作 人 员 随 时 掌 握 最 新 的 安 全 知 识 和 技 能；c)应 针 对 不 同 岗 位 制 定 不 同 的 专 业 培 训 计 划，包 括 安 全 知 识、安 全 技 术、安 全 标 准、安 全 要求、案 例 分 析 和 法 律 责 任；d)应 对 参 加 培 训 的 所 有 工 作 人 员 进 行 考 核，并 为 考 核 合 格 的 工 作 人 员 颁 发 证 书；e)应 对 所 有 工 作 人 员 的 安 全 资 质 进 行 定 期 检 查 和 评 估；D B 4 4 0 3/T 4 3 7 2 0 2 48f)应 建 立 有 效 的 反 馈 机 制，让 所 有 工 作 人 员 可 以 随 时 向 管 理 层 反 馈 培 训 需 求 和 建 议。6 风 险 管 理 和 控 制6.1 风 险 管 理 要 求风 险 管 理 满 足 以 下 要 求：a)组 织 机 构 应 确 定 需 要 管 理 的 风 险 范 围 和 重 点，包 括 制 定 系 统 资 产 清 单，对 资 产 价 值 的 重 要性 进 行 分 析，对 信 息 系 统 面 临 的 威 胁 进 行 评 估，对 信 息 系 统 潜 在 的 风 险 进 行 分 类、评 估 和优 先 级 排 序；b)应 进 行 规 范 化 的 风 险 评 估 管 理，制 定 风 险 分 析 报 告 和 留 存 重 要 过 程 文 档，并 向 管 理 层 提 交；c)应 对 关 键 的 系 统 资 源 进 行 定 期 风 险 分 析 和 评 估，制 定 风 险 分 析 报 告 以 及 风 险 规 避、降 低、转 移 和 承 受 措 施，并 向 管 理 层 提 交；d)应 建 立 风 险 管 理 体 系 文 件，对 风 险 管 理 过 程，实 施 独 立 审 计，确 保 风 险 管 理 的 有 效 性；e)应 对 实 施 风 险 管 理 后 的 效 果 进 行 监 控 和 评 估，及 时 发 现 和 处 理 新 的 风 险，风 险 管 理 的 全 过程 应 具 有 可 验 证 性。6.2 风 险 管 理 策 略风 险 管 理 策 略 满 足 以 下 要 求：a)基 本 的 风 险 管 理 策 略，应 定 期 进 行 风 险 评 估，安 全 风 险 分 析 和 评 估 活 动 程 序 应 至 少 包 括 信息 安 全 风 险 管 理 和 业 务 应 用 风 险 管 理 密 切 相 关 的 内 容、信 息 安 全 风 险 管 理 的 基 本 观 念 和 方法 以 及 风 险 管 理 的 组 织 和 资 源 保 障 等；b)风 险 管 理 的 监 督 机 制，应 建 立 风 险 管 理 的 监 督 机 制，对 所 有 风 险 管 理 相 关 过 程 的 活 动 和 影响 进 行 评 估 和 监 控；应 建 立 指 导 风 险 管 理 监 督 过 程 的 指 导 性 文 档；c)风 险 评 估 的 重 新 启 动，应 明 确 规 定 重 新 启 动 风 险 评 估 的 条 件，组 织 机 构 应 针 对 风 险 的 变 化重 新 启 动 风 险 评 估。6.3 风 险 分 析6.3.1 资 产 识 别 和 分 析资 产 识 别 和 分 析 满 足 以 下 要 求：a)信 息 系 统 的 资 产 统 计 和 分 类，确 定 信 息 系 统 的 资 产 范 围，进 行 统 计 和 制 定 资 产 清 单（见7.2.1），并 进 行 资 产 分 类 和 重 要 性 标 识；b)信 息 系 统 的 特 征 分 析，应 对 信 息 系 统 的 硬 件、软 件、接 口、数 据、信 息、边 界、功 能 和 人员 等 方 面 进 行 分 析 和 识 别。6.3.2 威 胁 识 别 和 分 析威 胁 识 别 和 分 析 满 足 以 下 要 求：a)应 根 据 以 往 发 生 的 安 全 事 件、外 部 提 供 的 资 料 和 积 累 的 经 验 等，对 威 胁 来 源 进 行 基 本 分 析；b)应 结 合 业 务 应 用、系 统 结 构 特 点 以 及 访 问 流 程 等 因 素 进 行 威 胁 的 列 表 分 析，并 针 对 不 同 业务 系 统 面 临 的 威 胁 建 立 每 个 或 每 类 资 产 的 威 胁 列 表；c)应 通 过 对 信 息 系 统 保 密 性、完 整 性 和 可 用 性 等 方 面 造 成 损 害 以 及 威 胁 的 可 能 性 和 影 响 等 属性 进 行 详 细 分 析，在 详 细 分 析 的 基 础 上，根 据 威 胁 的 可 能 性 和 强 度 评 估 威 胁 等 级；D B 4 4 0 3/T 4 3 7 2 0 2 49d)应 对 关 键 区 域 或 部 位 进 行 威 胁 分 析 和 评 估，在 业 务 应 用 许 可 并 得 到 批 准 的 条 件 下，使 用 检测 工 具 在 特 定 时 间 捕 捉 攻 击 信 息 进 行 威 胁 分 析。6.3.3 脆 弱 性 识 别 和 分 析脆 弱 性 识 别 和 分 析 满 足 以 下 要 求：a)脆 弱 性 工 具 扫 描，包 括：1)应 通 过 扫 描 器 等 工 具 来 获 得 对 系 统 脆 弱 性 的 认 识，包 括 对 管 理 平 台、网 络 设 备、主 机设 备、挂 载 设 备 和 安 全 设 备 的 脆 弱 性 扫 描，并 制 定 脆 弱 性 列 表，作 为 系 统 加 固、改 进和 安 全 项 目 建 设 的 依 据；2)应 针 对 资 产 组 合、资 产 分 类 制 定 脆 弱 性 列 表 和 脆 弱 性 检 查 表。b)脆 弱 性 分 析 和 渗 透 测 试，包 括：1)应 使 用 渗 透 测 试 分 别 从 管 理 平 台、网 络 设 备、主 机 设 备、挂 载 设 备、安 全 设 备 选 择 不同 的 接 入 点 进 行 测 试；2)在 进 行 测 试 之 前，应 对 系 统 进 行 备 份，以 防 止 数 据 丢 失 或 系 统 损 坏；3)应 分 析 渗 透 测 试 可 能 带 来 的 后 果，确 保 所 有 测 试 都 符 合 法 律 和 法 规 要 求，并 获 得 所 有必 要 的 授 权；4)应 对 不 同 的 资 产 和 资 产 组 合，综 合 应 用 人 工 评 估、工 具 扫 描、渗 透 性 测 试 等 方 法 对 系统
展开阅读全文