【正文】 vailability 根據(jù)授權(quán)實(shí)體的請(qǐng)求可被訪問與使用。 [GB/T 9387. 21995 定義 ] 安全審計(jì) security audit 為了測試出系統(tǒng)的控制是否足夠，為了保證與已建立的策略和操作堆積相符 合，為了發(fā)現(xiàn)安全中的漏洞，以及為了建議在控制、策略和堆積中作任何指定的改變，而對(duì)系統(tǒng)記錄與活動(dòng)進(jìn)行的獨(dú)立觀察和考核。 [GB/T 定義 ] 3. 10 授權(quán) authorization 授予權(quán)限，包括允許基于訪問權(quán)的訪問。 注：這些要素包括計(jì)算機(jī)信息系統(tǒng)安全組織或機(jī)構(gòu)、計(jì)算機(jī)信息系統(tǒng)安全管理體系文件、控制措施、操作過程和程序等相關(guān)資源。 圖 1 主要安全要素與關(guān)系 資產(chǎn) 主要包括： —— 支持設(shè)施（例如，建筑、供電、供水、空調(diào)等）； —— 硬件資產(chǎn)（例如，計(jì)算機(jī)設(shè)備如：處理器、監(jiān)視器、膝上型電腦、調(diào)制解調(diào)器，通信設(shè)施如：路由器、交換機(jī)、傳真機(jī)、應(yīng)答機(jī)，存儲(chǔ)媒體如磁盤、光盤等）； —— 信息資產(chǎn)（例如，數(shù)據(jù)庫和數(shù)據(jù)文檔，系統(tǒng)文件，用戶手冊(cè)，培訓(xùn)資料，操作和支持程序，持續(xù)性計(jì)劃 ，備用系統(tǒng)安排，訪問信息等）； —— 軟件資產(chǎn)（例如，應(yīng)用軟件，系統(tǒng)軟件，開發(fā)工具和實(shí)用程序等）； —— 生產(chǎn)能力或服務(wù)能力； —— 人員； —— 無形資產(chǎn)（例如，信譽(yù)，形象等）； —— 等。 與資產(chǎn)相關(guān)的脆弱性包括物理布局、組織、規(guī)程、人事、管理、行政、硬件、軟件或信息等的弱點(diǎn)；與系統(tǒng)相關(guān)的脆弱性如分布式系統(tǒng)易受傷害的特征等。風(fēng)險(xiǎn)由意外事件發(fā)生的概率及發(fā)生后可能產(chǎn)生的影響兩種指標(biāo)來評(píng)估。保護(hù)措施作用的區(qū)域可以包括物理環(huán)境、技術(shù)環(huán)境（如硬件、軟件和通信）、人事和行政。 4. 組織和機(jī)構(gòu)應(yīng)根據(jù)其計(jì)算機(jī)信息系統(tǒng)及應(yīng)用 的重要程度、敏感程度以及自身資源的客觀條件，確定相應(yīng)的計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)，在履行相應(yīng)的審批手續(xù)后，切實(shí)遵從相應(yīng)等級(jí)的規(guī)范要求，制定相應(yīng)的安全策略，并認(rèn)真實(shí)施。 4. 適度安全原則 安全需求的不斷增加和現(xiàn)實(shí)資源的局限性使安全決策處于兩難境地，恰當(dāng)?shù)仄胶獍踩度肱c效果是從全局上處置好安全管理工作的出發(fā)點(diǎn)。 4. 系統(tǒng)、動(dòng)態(tài)原則 安全管理工 作的系統(tǒng)特征突出。 主要安全 管理策略 . 分權(quán)制衡 采耿分權(quán)制衡的原則減小未授權(quán)的修改或?yàn)E用系統(tǒng)資源的機(jī)會(huì)，對(duì)特定職能或責(zé)任領(lǐng)域的管理執(zhí)行功能實(shí)施分離、獨(dú)立審計(jì) ‘，避免操作權(quán)力過分集中。 不論信息系統(tǒng)的安全等級(jí)如何，要求信息系統(tǒng)所涉及人員普遍參與并與社會(huì)相關(guān)方面協(xié)同、協(xié)調(diào)，共同保障信息系統(tǒng)安全。 安全管理過程模型如圖 2所示。 4. 安全風(fēng)險(xiǎn)分析時(shí)應(yīng)依據(jù)有關(guān)的信息系統(tǒng)安全標(biāo)準(zhǔn)和規(guī)定， 采用多層面、多角度的系統(tǒng)分析方法，制定詳細(xì)的分析計(jì)劃和分析步驟，避免遺漏，以保證結(jié)果的可靠和科學(xué)，并形成文檔，做到有據(jù)可查。以調(diào)動(dòng)、協(xié)調(diào)和組織各方面的資源共同保障信息系統(tǒng)的安全。安全策略應(yīng)與時(shí)俱進(jìn)，定期加以調(diào)整和更新。安全需求分析應(yīng)保持結(jié)果的有效性、適應(yīng)性，保證分析方法的科學(xué)性和系統(tǒng)性，安全需求分析過程應(yīng)與系統(tǒng)發(fā)展過程同步。 對(duì)方案要詳細(xì)說明安全過程各個(gè)階段的建設(shè)目標(biāo)、工作內(nèi)容、施工人員、任務(wù)分工、進(jìn)度安排、產(chǎn)品選型、產(chǎn)品采購、資金投入等情況，并給出每一項(xiàng)的依據(jù)和理由，分析每項(xiàng)工作的作用、意義和局限性，明確實(shí)施各方的工作關(guān)系、責(zé)權(quán)和協(xié)調(diào)協(xié)同機(jī)制。 在安全措施實(shí)施過程中，所采用的技術(shù)與產(chǎn)品應(yīng)經(jīng)過嚴(yán)格的測試選型，符合國家信息安全方面的法律法規(guī)，特別是涉及密碼技術(shù)的產(chǎn)品，應(yīng)嚴(yán)格按照國家和主管部門的有關(guān)規(guī)定選型和采購。 安全實(shí)施過程的監(jiān)理主要從實(shí)施的規(guī)范、流程、進(jìn)度等方面進(jìn)行監(jiān)督與檢查，確保各環(huán)節(jié)的質(zhì)量。 目的 檢驗(yàn)、監(jiān)督安全工作的落實(shí)情況，確保信息系統(tǒng)達(dá)到 GB 178591999 要求的相應(yīng)安全等級(jí)。檢查的方法有多種，例如，通過查看系統(tǒng)的日志，分析出系統(tǒng)在運(yùn)行過程中遇到的意外情況以及使用情況；或者對(duì)安全措施進(jìn)行測試，查看它們能否達(dá)到規(guī)定的安全水平等。 應(yīng)建立不定期的抽查制度，避免作弊行為或虛假的檢查結(jié)果。 實(shí)施階段：依據(jù)安全要求選擇相應(yīng)的安全措施，采購或設(shè)計(jì)安全系統(tǒng)，根據(jù)工程要求實(shí)施和部署，并對(duì)安全措施進(jìn)行驗(yàn)證、驗(yàn)收。 如無特殊說明，在下列敘述中涉及的安全管理機(jī)構(gòu)要求，均指根據(jù)實(shí)際情況建立的安全管理職責(zé)體系要求。 應(yīng)根據(jù)計(jì)算機(jī)信息系統(tǒng)安全等級(jí)的需要確定人員審查內(nèi)容。 崗位責(zé)任和授權(quán) 根據(jù)分 權(quán)制衡和最小特權(quán)原則，建立崗位責(zé)任制度和授權(quán)制度。 建立人員培訓(xùn)制度，明確培訓(xùn)內(nèi)容。對(duì)考核合格者應(yīng)予表揚(yáng)和獎(jiǎng)勵(lì)，考核發(fā)現(xiàn)不合格者應(yīng)予以教育、批評(píng)或處罰直至調(diào)離崗位。 建立人員調(diào)離安全管理制度。 安全管理制度 物理安全方面的規(guī)章制度 主要包括：機(jī)房安全管理制度、主機(jī)設(shè)備安全管理制度、網(wǎng)絡(luò)設(shè)施安全管理制度、物理設(shè)施分類標(biāo)記管理制度等。 主要包括：人員安全管理制度、安全意識(shí)與安全技術(shù)教育制度、操作安全管理制度、操作系統(tǒng)和數(shù)據(jù)庫安全管理制度、系統(tǒng)運(yùn)行記錄編寫制度、病毒防護(hù)管理制度、系統(tǒng)維護(hù)管理制度、網(wǎng)絡(luò)互聯(lián)安全管理制度、安全審計(jì)管理 制度、安全事件報(bào)告制度、事故處理制度、應(yīng)急管理制度和災(zāi)難恢復(fù)管理制度等。等級(jí)向上浮動(dòng)的前提是當(dāng)前計(jì)算機(jī)信息系統(tǒng)保障能力能滿足相應(yīng)等級(jí)的信息安全的更高要求，能控制相應(yīng)等級(jí)的更大的安全風(fēng)險(xiǎn)。 安全管理計(jì)劃文件在下列方面應(yīng)有基本描述：安全策略、風(fēng)險(xiǎn)管理、安全措施檢查、行為準(zhǔn)則、生命周期管理、處理授權(quán)、人員安全、物理和環(huán)境安全、技術(shù)支持與運(yùn)行安全、應(yīng)急計(jì)劃、技術(shù)文檔管理、教育與培訓(xùn)、事件響應(yīng)、訪問控制、審計(jì)跟蹤等。 通過正式授權(quán)程序委派專人負(fù)責(zé)物理安全工作。 系統(tǒng)安全管理要求 通過正式授權(quán)程序委派專人負(fù)責(zé)系統(tǒng)環(huán)境安全管理。建立有關(guān)網(wǎng)絡(luò)配置安全管理制度。 保證人員能按照應(yīng)用系統(tǒng)操作文檔和應(yīng)用系統(tǒng)有關(guān)安全要求，對(duì)應(yīng)用系 統(tǒng)軟件和應(yīng)用業(yè)務(wù)數(shù)據(jù)進(jìn)行安全管理。 —— 要求制定風(fēng)險(xiǎn)分析計(jì)劃，制定網(wǎng)絡(luò)安全檢測、網(wǎng)絡(luò)防病毒、網(wǎng)絡(luò)安全事件報(bào)告、應(yīng)急計(jì)劃管理等制度。 明確計(jì)算機(jī)信息系統(tǒng)安全管理人員和計(jì)算機(jī)信息系統(tǒng)普通用戶對(duì)計(jì)算機(jī)信息系統(tǒng)資源和控制系統(tǒng)中命名客體的訪問權(quán)限。特定規(guī)程中要明確規(guī)定其適用場所、適用對(duì) 象、有效期限和規(guī)程責(zé)任人，對(duì)其中適用對(duì)象要明確適用的主體和客體。 安全管理負(fù)責(zé)人至少從事過二年以上的計(jì)算機(jī)信息系統(tǒng)的技術(shù)工作，一年以上的計(jì)算機(jī)信息系統(tǒng)安全管理工作或經(jīng)過正規(guī)院校計(jì)算機(jī)信息系統(tǒng)安全技術(shù)和管理的培訓(xùn)。 對(duì)計(jì)算機(jī)信息系統(tǒng)使用的關(guān)鍵設(shè)備建立嚴(yán)格的登記制度，保證設(shè)備購置、安裝、調(diào)試、維護(hù)、維修、報(bào)廢等處置活動(dòng)可控。 依據(jù)操作規(guī)程安全使用、配置操作系統(tǒng)，操作系統(tǒng)安全管理責(zé)任人依據(jù)操作規(guī)程確定審計(jì)事件、審計(jì)內(nèi)容、審計(jì)歸檔、審計(jì)報(bào)告。 依據(jù)變更控制規(guī)程對(duì)操作系統(tǒng)的變更進(jìn)行控制，保證變更不影響應(yīng)用系統(tǒng)的可用性、穩(wěn)定性、安全性，保證變更過程的有效性和可審計(jì)性。 制定使用網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)的策略。 對(duì)安全區(qū)域外部移動(dòng)用戶的網(wǎng)絡(luò)訪問實(shí)施嚴(yán)格的審批制度，實(shí)施用戶安全 認(rèn)證和審計(jì)技術(shù)措施，保證網(wǎng)絡(luò)連接的可靠性、保密性，保證用戶對(duì)外部連接的安全性負(fù)責(zé)。 不同安全保護(hù)等級(jí)的計(jì)算機(jī)信息系統(tǒng)網(wǎng)絡(luò)之間的連接按訪問控制策略實(shí)施可審計(jì)的安全措施，如使用防火墻、安全路由器等，實(shí)現(xiàn)必要的網(wǎng)絡(luò)隔離。 對(duì)網(wǎng)絡(luò)連接、網(wǎng)絡(luò)安全措施、網(wǎng)絡(luò)設(shè)備及操作規(guī)程定期進(jìn)行安全檢查和評(píng)估，提交正式的網(wǎng)絡(luò)安全報(bào)告。 5. 應(yīng)用系統(tǒng)安全管理要求 計(jì)算機(jī)信息系統(tǒng)的各應(yīng)用單位和部門應(yīng)指定專人負(fù)責(zé)應(yīng)用系統(tǒng)的安全管理。 對(duì)任何可能超越系統(tǒng)或應(yīng)用程序控制的實(shí)用程序和系統(tǒng)軟件都應(yīng)得到正式的授權(quán)和許可，并對(duì)使用情況進(jìn)行登記。審計(jì)人員僅從事審計(jì)工作，不參與系統(tǒng)的其他任務(wù)，實(shí)現(xiàn)審計(jì)人員和被審計(jì)人員的職能分離，保證審計(jì)日志的準(zhǔn)確性、完整性和可用性。 運(yùn)行安全管理要求 —— 對(duì)計(jì)算機(jī)信息系統(tǒng)應(yīng)按風(fēng)險(xiǎn)管理計(jì)劃和操作規(guī)程定期對(duì)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)分析與評(píng)估，識(shí)別出可能存在的風(fēng)險(xiǎn)，并向管理層提交正式的風(fēng)險(xiǎn)分析報(bào)告。對(duì)應(yīng)用軟件的使用采取授權(quán)管理制度，沒有取得許可的用戶不得安裝、調(diào)試、運(yùn)行、卸載應(yīng)用軟件，并對(duì)應(yīng)用軟件的使用進(jìn)行審計(jì)。對(duì)應(yīng)急計(jì)劃涉及的人員進(jìn)行培訓(xùn)，并要求應(yīng)急人員具備執(zhí)行應(yīng)急計(jì)劃的能力。 —— 制定設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)、人員、服務(wù)、內(nèi)外風(fēng)險(xiǎn)等變更控制制度，保證變更后的計(jì)算機(jī)信息系統(tǒng) 能滿足既定的安全目標(biāo)。 —— 建立嚴(yán)格的運(yùn)行過程管理文檔，其中包括責(zé)任書、授權(quán)書、許可證、各類策略文檔、事故報(bào)告處理文檔、安全配置文檔、系統(tǒng)各類日志等，保證文檔的一致性。 人員和職責(zé)要求 在滿足第二級(jí)要求的基礎(chǔ)上，要求對(duì)計(jì)算機(jī)信息系統(tǒng)安全風(fēng)險(xiǎn)控制、管理過程的安全事務(wù)明確分工負(fù)責(zé)。 5. 除滿足第二級(jí)的物理安全管理要求外，對(duì)安全區(qū)域?qū)嵤┓旨?jí)標(biāo)記管理，對(duì)出入標(biāo)記安全區(qū)的員工驗(yàn)證標(biāo)記，安全標(biāo)記不符的人員不得出入；對(duì)出入標(biāo)志安全區(qū)的活動(dòng)進(jìn)行監(jiān)視和記錄；所有物理設(shè)施要設(shè)置安全標(biāo)記。 對(duì)操作系統(tǒng)，指定的操作系統(tǒng)日常安全管理人員要對(duì)用戶使用情況進(jìn)行監(jiān)視和登記，并驗(yàn)證用戶的安全標(biāo)記。 應(yīng)及時(shí)對(duì)操作系統(tǒng)資源和系統(tǒng)文檔進(jìn)行標(biāo)記處理、安全備份，并制定、實(shí)施應(yīng)急安全計(jì)劃，保證操作系統(tǒng)的可用性、完整性、可靠性。 除滿足第二級(jí)的要求外，要求安全管理負(fù)責(zé)人有明確管理范圍、管理事務(wù)、管理規(guī)程，保證應(yīng)用系統(tǒng)的安全措施配置正確、有效。應(yīng)用系統(tǒng)應(yīng)安裝強(qiáng)制標(biāo)記信息訪問控制的機(jī)制，按安全標(biāo)記對(duì)應(yīng)用系統(tǒng)軟件和信息的訪問進(jìn)行控制，只對(duì)具有相應(yīng)標(biāo)記的授權(quán)用戶開放，并對(duì)訪問進(jìn)行審計(jì)，對(duì)事件進(jìn)行標(biāo)記管理。 應(yīng)用系統(tǒng)的開發(fā)人員不得從事應(yīng)用系統(tǒng)日常運(yùn)行和安全審計(jì)工作。 —— 要求對(duì)關(guān)鍵崗位的人員實(shí)施嚴(yán)格的背景調(diào)查和管理控制，切實(shí)落實(shí)最小特權(quán) 原則和分權(quán)制衡原則，關(guān)鍵安全事務(wù)要求雙人共管。 —— 要求系統(tǒng)中的關(guān)鍵設(shè)備和數(shù)據(jù)采取可靠的備份措施。 通過定期的安全評(píng)估提示工作人員關(guān)注其相關(guān)安全責(zé)任，表明管理層對(duì)安全管理的重視，確保人員在安全管，理中的主導(dǎo)作用。 人員與職責(zé)要求 在滿足第三級(jí)要求的基礎(chǔ)上，要求安全管理滲透到計(jì)算機(jī)信息系統(tǒng)各級(jí)應(yīng)用部門，對(duì)安全管理活動(dòng)實(shí)施質(zhì)量控制，建立質(zhì)量管理體系文件。 要求對(duì)所有關(guān)鍵崗位的人員實(shí)施全面的背景審查和管理控制，關(guān)鍵安全事務(wù)應(yīng)多人共管。 定期對(duì)操作系統(tǒng)安全性進(jìn)行評(píng)估，及時(shí)對(duì)操作系統(tǒng)的安全弱點(diǎn)和漏洞進(jìn)行控制；保證操作系統(tǒng)管理過程的可審計(jì)性。 應(yīng)用系統(tǒng)安全管理要求 除滿足第三級(jí)的要求外，要求建立獨(dú)立的應(yīng)用安全審計(jì)，對(duì)應(yīng)用系統(tǒng)的總體安全策略、應(yīng)用系統(tǒng)安全措施的設(shè)計(jì)、部署、維護(hù)和運(yùn)行管理進(jìn)行檢查。 為不同等級(jí)的應(yīng)用系統(tǒng)制定切實(shí)可行的應(yīng)用系統(tǒng)備份計(jì)劃和應(yīng)急計(jì)劃，并保證監(jiān)督、落實(shí)。 —— 要，求計(jì)算機(jī)信息系統(tǒng)生命周期各 個(gè)階段的安全管理工作有明確的目標(biāo)、明確的職責(zé)，并對(duì)計(jì)算機(jī)信息系統(tǒng)生命周期管理建立質(zhì)量控制體系文件，對(duì)生命周期管理實(shí)施獨(dú)立的審計(jì)，保證生命周期管理活動(dòng)的有效性。 —— 要求實(shí)施獨(dú)立的安全審計(jì)，對(duì)使用單位的安全策略、安全計(jì)劃、風(fēng)險(xiǎn)管理、安全措施檢查、行為準(zhǔn)則、生命周 期管理、處理授權(quán)、人員安全、物理和環(huán)境安全、技術(shù)支持與運(yùn)行安全、應(yīng)急計(jì)劃、技術(shù)文檔管理、教育與培訓(xùn)、應(yīng)急響應(yīng)、存取控制、審計(jì)跟蹤等安全事務(wù)的一致性進(jìn)行檢查和評(píng)估。安全威脅能得到不間斷的評(píng)估，對(duì)安 全威脅的控制措施能適應(yīng)安全環(huán)境的變化。 要求計(jì)算機(jī)信息系統(tǒng)的所有工作人員，資質(zhì)管理能得到保障。 用戶對(duì)操作系統(tǒng)的使用應(yīng)經(jīng)過正式授權(quán)和許可，并保證授權(quán)用戶熟悉系統(tǒng)的操作流程，并對(duì)操作人員的操作過程實(shí)施人機(jī)操作監(jiān)視。 除滿足第四級(jí)的要求外： —— 要求風(fēng)險(xiǎn)管理計(jì)劃已成為單位業(yè)務(wù)管理的有機(jī)組成部分，并對(duì)風(fēng)險(xiǎn)管理活動(dòng)實(shí)施全面的質(zhì)量管理。 安全管理等級(jí)要求列表說明 對(duì)安全管理等級(jí)要求的列表說明參見附錄 A。 表 安全目標(biāo)與范圍等級(jí)要求 等 級(jí) 安全目標(biāo)與范圍要求 l 1) 包含系統(tǒng)安全目標(biāo)和安全范圍、系統(tǒng)設(shè)施和操作等內(nèi)容的安全計(jì)劃文件的制定； 2) 保證達(dá)到 GB 178591999相應(yīng)等級(jí)技術(shù)要求的標(biāo)準(zhǔn)： 2 3) 安全管理機(jī)構(gòu)的建立，安全操作規(guī)程的制定； 4) 針對(duì)關(guān)鍵的系統(tǒng)，風(fēng)險(xiǎn)管理計(jì)劃的建立； 3 5) 用戶及相關(guān)人員對(duì)安全策略和安全規(guī)程的熟知，并保證實(shí)施； 6) 系統(tǒng)安全的自動(dòng)監(jiān)視和審計(jì)； 7) 保證安全管理在生命周期中的貫穿實(shí)施 ； 8) 系統(tǒng)認(rèn)證、驗(yàn)收的規(guī)定，系統(tǒng)使用的授權(quán)； 9) 工作崗位及職責(zé)文件的建立； 10) 一系列安全管理制度的建立； 4 11) 針對(duì)安全策略、操作規(guī)程、規(guī)章制度和安全措施的程序化、周期化的評(píng)估； 12) 針對(duì)關(guān)鍵控制措施的失效風(fēng)險(xiǎn)，測試計(jì)劃的建立； 13) 針對(duì)明顯的風(fēng)險(xiǎn)變化，風(fēng)險(xiǎn)評(píng)估的立即實(shí)施； 14) 針對(duì)安全事件記錄，例行評(píng)估制度的實(shí)施； 15) 針對(duì)識(shí)別出的系統(tǒng)脆弱性的有效控制；