【正文】 GA/T 3912020 計算機(jī)信息系統(tǒng)安全等級保護(hù)管理要求 1 范圍 本標(biāo)準(zhǔn)依據(jù) GB 178591999 的內(nèi)容規(guī)定了計算機(jī)信息系統(tǒng)安全等級保護(hù)的管理要求。 本標(biāo)準(zhǔn)適用于相關(guān)部門依據(jù)國家有關(guān)規(guī)定實施計算機(jī)信息系統(tǒng)安全等級保護(hù)的安全管理。 2規(guī)范性引用文件 下列文件中的條款通過本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有的修改單（小包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是含可使用這些文件的最新版本。凡是不注日期的引 用文件，其最新版本適用于本標(biāo)準(zhǔn)。 GB 178591999 計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則 GA/T 3902020 計算機(jī)信息系統(tǒng)安全等級保護(hù)通用技術(shù)要求 GA/T 3872020 計算機(jī)信息系統(tǒng)安全等級保護(hù)網(wǎng)絡(luò)技術(shù)要求 GA/T 3882020 計算機(jī)信息系統(tǒng)安全等級保護(hù)操作系統(tǒng)技術(shù)要求 GA/T 3892020 計算機(jī)信息系統(tǒng)安全等級保護(hù)數(shù)據(jù)庫管理系統(tǒng)技術(shù)要求 3 術(shù)語和定義 GB 178591999 確立的以及下列的術(shù)語和定義適用于本 標(biāo)準(zhǔn)。 機(jī)密性／保密性 confidentiality 這一性質(zhì)使信息不泄露給非授權(quán)的個人、實體或進(jìn)程，不為其所用。 [GB/T 9387. 21995 定義 . 16] 數(shù)據(jù)完整性 data integrity 這一性質(zhì)表明數(shù)據(jù)沒有遭受以非授權(quán)方式所作的篡改或破壞。 [GB/T 9387. 21995 定義 ] 可用性 availability 根據(jù)授權(quán)實體的請求可被訪問與使用。 [GB/T ] 可確認(rèn)性 accountability 這樣一種性質(zhì)，它確保 個實體的作用可以被獨一無二地跟蹤到該實體。 [GB/T 9387. 21995 定義 ] 訪問控制 access control 防止對資源的未授權(quán)使用，包括防止以未授權(quán)方式使用某一資源。 [GB/T 9387. 21995 定義 ] 安全審計 security audit 為了測試出系統(tǒng)的控制是否足夠，為了保證與已建立的策略和操作堆積相符 合，為了發(fā)現(xiàn)安全中的漏洞，以及為了建議在控制、策略和堆積中作任何指定的改變，而對系統(tǒng)記錄與活動進(jìn)行的獨立觀察和考核。 [GB/T 9387. 21995 定義 ] 審計跟蹤 security audit trail 收集起來并可用來使安全審計易于進(jìn)行的數(shù)據(jù)。 [GB/T 9387. 21995 定義 ] 威脅 threat 一種潛在的對安全的侵害。 [GB/T 9387. 21995 定義 ] 鑒別信息 authentication information 用以建立身份有效性的信息。 [GB/T 定義 ] 3. 10 授權(quán) authorization 授予權(quán)限，包括允許基于訪問權(quán)的訪問。 [GB/T 定義 ] 3. 11 敏感性 sensitivity 資源所具有的一種特征，它意味著該資源的價值或重要性，也可能包含這一資源的脆弱性。 [GB/T 定義] 3. 12 口令 password 機(jī)密的鑒別信息，通常由一串字符組成。 [GB/T 定義 ] 3. 13 信息系統(tǒng)安全管理體系 information system security management architecture 通過規(guī)劃、組織、領(lǐng)導(dǎo)、控制等措施以實現(xiàn)組織或機(jī)構(gòu)計算機(jī)信息系統(tǒng)安全目標(biāo)的相互關(guān)聯(lián)或相互作用的一系列支撐服務(wù)要素的集合。 注：這些要素包括計算機(jī)信息系統(tǒng)安全組織或機(jī)構(gòu)、計算機(jī)信息系統(tǒng)安全管理體系文件、控制措施、操作過程和程序等相關(guān)資源。 3. 14 風(fēng)險評估 risk assessment 對信息、信息處理設(shè)施、信息處理過程和信息系統(tǒng)管理所受威脅、系統(tǒng)弱點保護(hù)不當(dāng)?shù)蕊L(fēng)險因素的發(fā)生可能性和后果影響的資產(chǎn)價值評定與估算。 4信息系統(tǒng)安全管理概述 信息系統(tǒng)安全管理內(nèi)涵 信息系統(tǒng)安全管理是對一個組織或機(jī)構(gòu)中信息系統(tǒng)的生命周期全過程實施符合安全等級責(zé)任要求的科學(xué)管理，它包括： —— 落實安全組織及安全管理人員，明確角色與職責(zé)，制定安全規(guī)劃； —— 開發(fā)安全策略； —— 實施風(fēng)險管理； —— 制定業(yè)務(wù)持續(xù)性計劃和災(zāi)難恢復(fù)計劃； —— 選擇與實施安全措施； —— 保證配置、變更的正確與安全； —— 進(jìn)行安全審計； —— 保證維護(hù)支持； —— 進(jìn)行監(jiān)控、檢查，處理安全事件； —— 安全意識與安全教育； —— 人員安全管理等。 主要安全要素 計算機(jī)信息系統(tǒng)的主要安全要素和各要素之間的關(guān)系如圖 1所示。 圖 1 主要安全要素與關(guān)系 資產(chǎn) 主要包括： —— 支持設(shè)施（例如，建筑、供電、供水、空調(diào)等）； —— 硬件資產(chǎn)（例如，計算機(jī)設(shè)備如：處理器、監(jiān)視器、膝上型電腦、調(diào)制解調(diào)器，通信設(shè)施如：路由器、交換機(jī)、傳真機(jī)、應(yīng)答機(jī)，存儲媒體如磁盤、光盤等）； —— 信息資產(chǎn)（例如，數(shù)據(jù)庫和數(shù)據(jù)文檔，系統(tǒng)文件，用戶手冊，培訓(xùn)資料，操作和支持程序，持續(xù)性計劃 ，備用系統(tǒng)安排，訪問信息等）； —— 軟件資產(chǎn)（例如，應(yīng)用軟件，系統(tǒng)軟件，開發(fā)工具和實用程序等）； —— 生產(chǎn)能力或服務(wù)能力； —— 人員； —— 無形資產(chǎn)（例如，信譽(yù)，形象等）； —— 等。 主要包括自然威脅和人為威脅。 自然威脅有地震、雷擊、洪水、火災(zāi)、靜電、鼠害和電力故障等。 人為威脅分為： —— 盜竊類型的威脅，如偷竊設(shè)備、竊取數(shù)據(jù)、盜用計算資源等； —— 破壞類型的威脅，如破壞設(shè)備、破壞數(shù)據(jù)文件、引入惡意代碼等； —— 處理類型的威脅，如插入假的輸入、隱瞞某個輸出、電子欺騙、非授權(quán)改變文件、修改程序和更改設(shè)備配置等； —— 操作錯誤和疏忽類型的威脅，如數(shù)據(jù)文件的誤刪除、誤存和誤改、磁盤誤操作等； —— 管理類型威脅，如安全意識淡薄、安全制度不健全、崗位職責(zé)混亂、審計不力、設(shè)備選型不當(dāng)、人事管理漏洞等； —— 等。 與資產(chǎn)相關(guān)的脆弱性包括物理布局、組織、規(guī)程、人事、管理、行政、硬件、軟件或信息等的弱點；與系統(tǒng)相關(guān)的脆弱性如分布式系統(tǒng)易受傷害的特征等。 意外事 件影響 影響資產(chǎn)安全的事件，無論是有意或是突發(fā)，其后果可能毀壞資產(chǎn)，破壞信息系統(tǒng)，影響保密性、完整性、可用性和可控性等?？赡艿拈g接后果包括危及國家安全，社會穩(wěn)定，造成經(jīng)濟(jì)損失，破壞組織或機(jī)構(gòu)的社會形象等。 風(fēng)險是某種威脅利用暴露系統(tǒng)脆弱性對組織或機(jī)構(gòu)的資產(chǎn)造成損失的潛在可能性。風(fēng)險由意外事件發(fā)生的概率及發(fā)生后可能產(chǎn)生的影響兩種指標(biāo)來評估。 由于保護(hù)措施的局限性，信息系統(tǒng)總會面臨或多或少的殘留風(fēng)險，組織或機(jī)構(gòu)應(yīng)考慮對殘留風(fēng)險的接受程度。 保護(hù)措施是對付威脅，減少脆弱性，限制意外事件影響，檢測意外事件并促進(jìn)災(zāi)難恢復(fù)而實施的各種實踐、規(guī)程和機(jī)制的總稱。應(yīng)考慮采用保護(hù)措施實現(xiàn)下述一種或多種功能：預(yù)防、延緩、阻止、檢測、限制、修正、 ’恢復(fù)、監(jiān)控以及意識性提示或強(qiáng)化。保護(hù)措施作用的區(qū)域可以包括物理環(huán)境、技術(shù)環(huán)境（如硬件、軟件和通信）、人事和行政。保護(hù)措施可為：訪問控制機(jī)制、抗病毒軟件、加密、數(shù)字簽名、防火墻、監(jiān)控和分析工具、備用電源以及信息備份等。 選擇保護(hù)措施時要考慮由組織或機(jī)構(gòu)運(yùn)行環(huán)境決定的影響安全的因素，例如，組織的、業(yè)務(wù)的、財務(wù)的、環(huán) 境的、人事的、時間的、法律的、技術(shù)的邊界條件以及文化的或社會的因素等。 信息系統(tǒng)安全管理的基本原則 信息系統(tǒng)安全管理的總原則 主要領(lǐng)導(dǎo)人負(fù)責(zé)原則 信息安全保護(hù)工作事關(guān)大局，影響組織和機(jī)構(gòu)的全局，組織和機(jī)構(gòu)的主要領(lǐng)導(dǎo)人應(yīng)把信息安全列為其最重要的任務(wù)之一，并負(fù)責(zé)提高、加強(qiáng)部門人員的安全意識，組織有效隊伍，調(diào)動并優(yōu)化配置必要的資源和經(jīng)費，協(xié)調(diào)安全管理工作與各部門工作的關(guān)系，確保落實、有效。 4. 組織和機(jī)構(gòu)應(yīng)根據(jù)其計算機(jī)信息系統(tǒng)及應(yīng)用 的重要程度、敏感程度以及自身資源的客觀條件，確定相應(yīng)的計算機(jī)信息系統(tǒng)安全保護(hù)等級，在履行相應(yīng)的審批手續(xù)后，切實遵從相應(yīng)等級的規(guī)范要求，制定相應(yīng)的安全策略，并認(rèn)真實施。 信息安全管理工作主要體現(xiàn)為行政行為，因此應(yīng)保證信息系統(tǒng)安全行政主體合法、行政為合法行政內(nèi)容合法、行政程序合法。 . 以人為本原則 威脅和保障是安全管理工作的主題，它們在很大程度上受制于人為的因素。加強(qiáng)信息安全教育、培訓(xùn)和管理，強(qiáng)化安全意識和法治觀念，提升職業(yè)道德，掌握安全技術(shù)，確保措 施落實是做好信息安全管理工作的重要保證。 4. 適度安全原則 安全需求的不斷增加和現(xiàn)實資源的局限性使安全決策處于兩難境地，恰當(dāng)?shù)仄胶獍踩度肱c效果是從全局上處置好安全管理工作的出發(fā)點。 . 、突出重點原則 全面防范是保障計算機(jī)信息系統(tǒng)安全的關(guān)鍵。它需要從人員、管理和技術(shù)多方面，在預(yù)警、保護(hù)、檢測、反應(yīng)、恢復(fù)和跟蹤等多個環(huán)節(jié)上采用多種技術(shù)實現(xiàn)。同時，又要從組織和機(jī)構(gòu)的實際情況出發(fā)，突出自身的安全管理重點。 4. 系統(tǒng)、動態(tài)原則 安全管理工 作的系統(tǒng)特征突出。要按照系統(tǒng)工程的要求，注意各方面、各層次、各時期的相互協(xié)調(diào)、匹配和銜接，以便體現(xiàn)系統(tǒng)集成效果和前期投入的效益。同時，安全又是一種狀態(tài)和動態(tài)反饋過程，隨著安全利益和系統(tǒng)脆弱性的時空分布的變化，威脅程度的提高，系統(tǒng)環(huán)境的變化以及人員對系統(tǒng)安全認(rèn)識 的深化等，應(yīng)及時地將現(xiàn)有的安全策略、風(fēng)險接受程度和保護(hù)措施進(jìn)行復(fù)查、修改、調(diào)整以至提升安全管理等級。 對安全事件的處理應(yīng)由授權(quán)者適時披露與發(fā)布準(zhǔn)確一致的有關(guān)信息，避免帶來不良的社會影響。 主要安全 管理策略 . 分權(quán)制衡 采耿分權(quán)制衡的原則減小未授權(quán)的修改或濫用系統(tǒng)資源的機(jī)會，對特定職能或責(zé)任領(lǐng)域的管理執(zhí)行功能實施分離、獨立審計 ‘，避免操作權(quán)力過分集中。 . 任何實體（如用戶、管理員、進(jìn)程、應(yīng)用或系統(tǒng)）僅享有該實體需要完成其任務(wù)所必須的特權(quán)，不應(yīng)享有任何多余特權(quán)。 選用成熟技術(shù) 成熟的技術(shù)提供可靠性、穩(wěn)定性保證，采用新技術(shù)時要重視其成熟的程度。如果新技術(shù)勢在必行，應(yīng)該首先局部試點然后逐步推廣，減少或避免可能出現(xiàn)的損失。 不論信息系統(tǒng)的安全等級如何，要求信息系統(tǒng)所涉及人員普遍參與并與社會相關(guān)方面協(xié)同、協(xié)調(diào)，共同保障信息系統(tǒng)安全。 安全管理的過程 4. 安全管理過程模型 安全管理是一個不斷發(fā)展、不斷修正的過程，貫穿于信息系統(tǒng)生命周期，涉及到信息系統(tǒng)管理層面、物理層面、網(wǎng)絡(luò)層面、操作系統(tǒng)層面、應(yīng)用系統(tǒng)層面和運(yùn)行層面的安全風(fēng)險管理。對信息系統(tǒng)上述幾個層面的安全管理是保證信息系統(tǒng)安全技術(shù)、安全工程、安全運(yùn)行正確、安全、有效的基礎(chǔ)。 在安全管理過程模型中，每個階段的管理 工作重點不同，要求不同。 安全管理過程模型如圖 2所示。 圖 2計算機(jī)信息系統(tǒng)安全管理過程模型 防止國家秘密和單位敏感信息的失密、泄密和竊密，防止數(shù)據(jù)的非授權(quán)修改、丟失和破壞，防止系統(tǒng)能力的喪失、降低 ，防止欺騙，保證信息及系統(tǒng)的可信度和資產(chǎn)的安全。 計算機(jī)信息系統(tǒng)的使用單位主管應(yīng)根據(jù)國家有關(guān)法律法規(guī)、計算機(jī)信息系統(tǒng)所處理信息的安全要求和運(yùn)行安全要求確定計算機(jī)信息系統(tǒng)的保護(hù)等級，并按照 GA/T 3902020 計算機(jī)信息系統(tǒng)通用技術(shù)要求和本標(biāo)準(zhǔn)的管理要求實施等級保護(hù)。 安全風(fēng)險分析與評估 . 目的 識別需要控制或可接受的風(fēng)險并形成風(fēng)險的分析評估報告。 4. 安全風(fēng)險分析時應(yīng)依據(jù)有關(guān)的信息系統(tǒng)安全標(biāo)準(zhǔn)和規(guī)定， 采用多層面、多角度的系統(tǒng)分析方法，制定詳細(xì)的分析計劃和分析步驟，避免遺漏，以保證結(jié)果的可靠和科學(xué)，并形成文檔，做到有據(jù)可查。 內(nèi)容與范圍 信息系統(tǒng)安全組織、制度和人員情況，信息系統(tǒng)的體系結(jié)構(gòu)，策略與技術(shù)運(yùn)用，安全設(shè)施布控及外包服務(wù)狀況，動態(tài)安全運(yùn)行狀況等。 分析過程 a) 信息及信息系統(tǒng)的分類； b) 識別要保護(hù)的資產(chǎn)及價值； c) 分析信息資產(chǎn)之間的相互依賴性； d) 識別存在的脆弱性和威脅： e) 分析可能的入 侵者和入侵活動的影響； f) 編制安全風(fēng)險分析報告。 制定安全策略 目的 為保證信息系統(tǒng)的安全提供框架，提供安全管理的方法，規(guī)定各部門要遵守的規(guī)范及應(yīng)負(fù)的責(zé)任，為信息系統(tǒng)的安全具體實施提供依據(jù)和基礎(chǔ)。以調(diào)動、協(xié)調(diào)和組織各方面的資源共同保障信息系統(tǒng)的安全。 安全策略