【正文】 力可能會(huì)被濫用來進(jìn)行犯罪活動(dòng)，或引入未經(jīng)測試的病毒碼。這樣，把開發(fā)、測試和操作設(shè)備隔離開就可以降低發(fā)生事故或非法存取操作軟件和業(yè)務(wù)數(shù)據(jù)的風(fēng)險(xiǎn)。同時(shí)，管制手段要確?？诹钤谟卯吅篑R上更換。 要進(jìn)行事前計(jì)劃和準(zhǔn)備以確保有充足的能力和資源。這些預(yù)測要考慮新業(yè)務(wù)和系統(tǒng)的要求及單位信息處理的當(dāng)前和未來走向。 管理人員應(yīng)當(dāng)運(yùn)用這些信息來辨認(rèn)并避免可能對系統(tǒng)安全或使用者服務(wù)構(gòu)成安全的潛在瓶頸，并事先進(jìn)行適當(dāng)?shù)难a(bǔ)救行 動(dòng)規(guī)劃。采取適當(dāng)?shù)臏y試來確認(rèn)所有的驗(yàn)收標(biāo)準(zhǔn)都已達(dá)到。因此，使用者應(yīng)當(dāng)意識到非法或侵略性軟件的危害；管理人員應(yīng)當(dāng)在必要時(shí)采取特別管制手段來檢測和防范此類軟件的入侵。可考慮如下措施： 制定政策要求使用正版軟件，禁止使用盜版軟件（參見 ） 制定政策防范使用外來的軟件或文件的風(fēng)險(xiǎn)（參見 和 ） 安裝并定期升級防病毒檢測和修補(bǔ)軟件，用其來掃描電腦和媒體并將其制度化 對支持關(guān)鍵業(yè)務(wù)程序的系統(tǒng)軟件和數(shù)據(jù)進(jìn)行定期監(jiān)測。員工要求認(rèn)識小把戲的危害并知道如何處理之。 資料備份 重要的商業(yè)信息和軟件應(yīng)進(jìn)行定期備份。對重要的業(yè)務(wù)應(yīng)用軟件應(yīng)保留最少三代的備份信息。 恢復(fù)流程應(yīng)定期審訂測試，確保其有效性，使其在規(guī)定時(shí)間內(nèi)能夠完成恢復(fù)的任務(wù) 重大業(yè)務(wù)信息的保留期及文檔附件是否永久保存等都要加以規(guī)定。使用者作出的信息處理或通訊系統(tǒng)的差錯(cuò)報(bào)告要進(jìn)行記錄。 網(wǎng)絡(luò)管制 實(shí)施一系列管制措施，實(shí)現(xiàn)并保持網(wǎng)絡(luò)安全。 對管理活動(dòng)進(jìn)行跟蹤協(xié)調(diào)，使提供的服務(wù)最優(yōu)化，并確保對整個(gè)信息處理基礎(chǔ)設(shè)施的管制得 以持續(xù)進(jìn)行 媒體存取及安全性 目標(biāo)：防止資產(chǎn)損失及企業(yè)活動(dòng)中斷?？煽紤]如下指導(dǎo)原則： 任何可再用媒體上保留的過去的內(nèi)容如不需要都要加以清除。因此，要建立正規(guī)的媒體安全處理流程將此風(fēng)險(xiǎn)降至最低。 對敏感物品的處置要進(jìn)行登錄，以便事后進(jìn)行審計(jì)之用。可考慮如下要素（參見 和 ）： 給所有媒體作標(biāo)示（參見 之第一項(xiàng)） 對存取進(jìn)行限制，以辨別非法人員 保留授權(quán)人員相關(guān)數(shù)據(jù)的正式記錄 確保輸入數(shù)據(jù)的完整性、處理過程得以正確完成及對輸出的有效確認(rèn) 對等待輸出的數(shù)據(jù)采取與其敏感性相應(yīng)的保護(hù)措施 把媒體保存在符合制造商規(guī)定的環(huán)境中 盡量減少數(shù)據(jù)的分發(fā) 對所有數(shù)據(jù)進(jìn)行清楚標(biāo)示，以引起其合法接收人員的注意 定 期對分發(fā)清單和合法接收人員名單進(jìn)行審訂 系統(tǒng)文件的安全性 系統(tǒng)文件可能載有系列敏感信息，如對應(yīng)用過程、流程、數(shù)據(jù)結(jié)構(gòu)、授權(quán)過程等的描述（參加 ）。同時(shí)，要考慮電子數(shù)據(jù)交換、電子商務(wù)和電子郵件在業(yè)務(wù)和安全方面的隱患及對其進(jìn)行管制的要求。因此，可采用如下管制手段來保護(hù)電腦媒體在兩地傳遞過程中的安全： 使用可靠的傳遞方式或快件服務(wù)。應(yīng)當(dāng)采取管制手段防止上列威脅的出 現(xiàn)。 公共交易系統(tǒng)應(yīng)向客戶公開其交易條款及規(guī)定。因此，要制定使用電子郵件的安全政策和管制辦法，降低使用電子郵件產(chǎn)生的風(fēng)險(xiǎn)。在公共系統(tǒng)上的信息，如通過因特網(wǎng)可存取的網(wǎng)絡(luò)服務(wù)器上的 信息，要合乎其所在地區(qū)或所從事交易的地區(qū)的法律的要求。安全意識或使用設(shè)施流程的缺乏會(huì)導(dǎo)致信息的泄漏，比如，打移動(dòng)電話、使用語音答錄機(jī)時(shí)會(huì)被監(jiān)聽，語音郵件系統(tǒng)被非法進(jìn)入或把傳真錯(cuò)發(fā)給別人等。這主要包括： 提醒員工打電話時(shí)采取適當(dāng)保護(hù)措施，如不提敏感信息以免信息被如下人 員監(jiān)聽或截獲： 1）員工周圍的人，特別是使用手持電話的人； 2）通過盜線或其它物理方式接觸電話機(jī)或電話線的人，及使用使用手持電話時(shí)用掃描接收器進(jìn)行監(jiān)聽的人；3）在受話人一端的人 提醒員工不得在公開場所、開放的辦公室或墻壁較薄的房間內(nèi)談?wù)摫Ｃ茉掝} 不得在語音答錄機(jī)上留言，因?yàn)檫@些設(shè)備可被非法人員盜聽、或由于撥號錯(cuò)誤而錄到不正確的地方 提醒員工使用傳真機(jī)所可能導(dǎo)致的問題，如 1）傳真機(jī)內(nèi)存信息被非法提?。?2）故意或非故意地對傳真機(jī)的程序進(jìn)行修改導(dǎo)致傳真發(fā)送到別的指定的號碼上； 3）由。信息可可能通過非法使用者的進(jìn)入而遺失（參見第 9 條款）。 應(yīng)采取適當(dāng)?shù)臋C(jī)制對公共系統(tǒng)上的軟件、數(shù)據(jù)或其它要求高度完整性的信息加以保護(hù)，例如采取電子簽字等（參見 ）。這些提供了機(jī)會(huì)可以通過運(yùn)用文件、電腦、移動(dòng)電腦、移動(dòng)通訊、郵件、語音郵件、語音通訊、多媒體、郵政服務(wù)設(shè)施和傳真機(jī)等的組合更快地傳播訊息并分享商務(wù)信息。 電子郵件的安全性 安全風(fēng)險(xiǎn) 電子郵件被用作業(yè)務(wù)交流，從而替代了傳統(tǒng)形式的通訊方式如電傳或信件。（參見 條款， 條款和 條款） 貿(mào)易伙伴間的電子商務(wù)安排應(yīng)通過記錄在案的合同加以約束，從而使雙方都能對合同的貿(mào)易條款作出承諾，包括授權(quán)的細(xì)節(jié)等?？刹捎玫拇胧┌ǎ?1）使用上鎖的集裝箱； 2）手頭傳遞； 3）防拆包裝（可顯示任何拆封的痕跡）； 4）在特殊情況下，將發(fā)送的物品分開并通過不同的路線傳遞 電子商務(wù)的安全性 電子商務(wù)可能會(huì)涉及電子數(shù)據(jù)交換、電子郵件和通過因特網(wǎng)之類的公眾網(wǎng)進(jìn)行網(wǎng)上交易等方式的使用。此類協(xié)議的安全內(nèi)容要反映所涉及的業(yè)務(wù)信息的敏感性。 單位間的信息和軟件交換要加以管制，并符合法律的規(guī)定（參見 12 條款） 進(jìn)行上述交換時(shí)要簽署協(xié)議 。 信息移動(dòng)或儲(chǔ)存程序 建立信息移動(dòng)或儲(chǔ)存流程，確保信息不被非法泄漏或?yàn)E用。 許多單位對文件、設(shè)備和媒體的處理采取收購處理的做法。 媒體的處理 媒體作廢后，應(yīng)對其進(jìn)行安全處理。 采取適當(dāng)操作流程來保護(hù)文件、電腦媒體（磁帶、軟盤、錄音帶等）、輸入輸出數(shù)據(jù)和系統(tǒng)記錄，使之避免被破壞、盜竊和非法存取。特別是要考慮如下要素： 在適當(dāng)情況下，把網(wǎng)絡(luò)的操作權(quán)責(zé)和電腦操作劃分開（參見 ） 要建立管理遠(yuǎn)程設(shè)備（包括使用區(qū)域的設(shè)備）的責(zé)任和流程 如有必要，采取特別管制措施保護(hù)通過公共網(wǎng)絡(luò)傳送的數(shù)據(jù)的保密性和完整性，并保護(hù)聯(lián)結(jié)系統(tǒng)（參見 和 ）。 對跨單位的網(wǎng)絡(luò)安全管理要格外注意。登錄數(shù)據(jù)要包括如下信息： 系統(tǒng)啟動(dòng)和關(guān)閉時(shí)間 系統(tǒng)錯(cuò)誤和所 采取的修改行動(dòng) 對數(shù)據(jù)文件和電腦輸出的正確操作的確認(rèn) 登錄人員的名稱 對操作人員登錄應(yīng)按操作流程進(jìn)行能夠定期審核。對主場媒體的管制措施也應(yīng)延展到備份文件的保護(hù)。針對單個(gè)系統(tǒng)的備份安排要進(jìn)行定期測試，確保它們符合持續(xù)運(yùn)營計(jì)劃的要求（參見 11 條款）。 儲(chǔ)存管理 目標(biāo)：維護(hù)信息處理及服務(wù)的完整性和可行性。這種監(jiān)測可開不用的地方展開，如電力郵件服務(wù)器、桌面電腦或進(jìn)入單位的網(wǎng)絡(luò)時(shí) 防范系統(tǒng)病毒的管理流程及權(quán)責(zé)、其使用方法的培訓(xùn)、報(bào)告和病毒攻擊后的恢復(fù)（參見 和 ） 用于病毒攻擊后恢復(fù)工作的持續(xù)經(jīng)營計(jì)劃，包羅所有必要的數(shù)據(jù)和軟件備份及恢復(fù)安排（參見地 11 條款） 用于檢測所有侵略性軟件信息的流程，確保警告標(biāo)志的準(zhǔn)確。 對非法入侵軟件的防御管理 檢測并防止非法軟件的入侵，實(shí)施恰 當(dāng)?shù)姆婪读鞒獭? 采取措施防止并檢測侵略性軟件的侵入。管理人員應(yīng)當(dāng)確保新系統(tǒng)驗(yàn)收的要求和標(biāo)準(zhǔn)有清除的定義，并得到同意、記錄和測試。主框服務(wù)的經(jīng)理人員應(yīng)當(dāng)對主要系統(tǒng)資源的使用情況進(jìn)行監(jiān)視，包括處理器、主要內(nèi)存、文件儲(chǔ)存、打印機(jī)和其它輸出設(shè)備及通訊系統(tǒng)。在驗(yàn)收和使用前，制定、記錄并測試新系統(tǒng)的操作要求。因此，對 這些風(fēng)險(xiǎn)要事先加以辨認(rèn)，并納入和承包方簽訂的合同當(dāng)中。要鼓勵(lì)使用者在不同系統(tǒng)上使用不同的口令，而菜單也要求能顯示適當(dāng)?shù)纳矸荼鎰e指令。開發(fā)人員和測試人員也會(huì)構(gòu)成對操作信息保密性的威脅。在此情況下，有必要保持一個(gè)已知而穩(wěn)定 的環(huán)境，以供開展有意義的測試，并避免非法開發(fā)人員的存取。要制定相關(guān)法規(guī)來控制軟件從開發(fā)部門向操作部門的劃撥。保持安全審計(jì)的獨(dú)立性是非常重要的。其管制流程要確保： 1）只有經(jīng)過明確授權(quán)并辨明身份的人員才得以接觸系統(tǒng)和數(shù)據(jù)（參見 條款中關(guān)于第三方存取的規(guī)定）； 2）所有緊急行動(dòng)都要有詳細(xì)的記錄； 3）有序地向管理人員報(bào)告并評估緊急行動(dòng)計(jì)劃； 4）對 運(yùn)營系統(tǒng)和管制手段完整性的確認(rèn)應(yīng)盡量避免耽擱 部門權(quán)責(zé)劃分 權(quán)責(zé)劃分是降低事故風(fēng)險(xiǎn)和故意濫用系統(tǒng)風(fēng)險(xiǎn)的一個(gè)有效手段。操作環(huán)境的變更可能會(huì)影響應(yīng)用程序。對信息處理設(shè)備和系統(tǒng)管制的不充分是引起系統(tǒng)或安全癱瘓的常見原因。 操作流程的文件化 安全原則中闡明的操作流程應(yīng)有文件記錄并加以存檔。 八、 溝通和操作過程管理 操作程序書及權(quán)責(zé) 目標(biāo)：確保雇員能正確、安全地操作信息處理設(shè)備。 財(cái)產(chǎn)撤離 單位所屬設(shè)備、信息或軟件未經(jīng)授權(quán)不得撤離。 個(gè)人電腦和電腦終端及打印機(jī)在無人使用時(shí)不得置于上網(wǎng)狀態(tài)，并要求有密碼、密碼鎖或其它的保護(hù)措施。 桌面及屏幕凈空原則 單位應(yīng)制定并執(zhí)行桌面及屏幕凈空原則，降低工作時(shí)間內(nèi)和工作時(shí)間外的未經(jīng)授權(quán)存取信息、遺失或損壞信息的風(fēng)險(xiǎn)。 日常管制 目標(biāo)：防止信息或信息處理 設(shè)備被毀壞或偷竊。 設(shè)備報(bào)廢或再啟用安全管理 信息通過不經(jīng)心的報(bào)廢處置或重新啟用遺失。 隨時(shí)遵守制造商關(guān)于保護(hù)設(shè)備的指示，例如防止設(shè)備接觸強(qiáng)磁場等。考慮在單位外進(jìn)行信息處理可能導(dǎo)致的風(fēng) 險(xiǎn)，在外處理信息所應(yīng)采取的防護(hù)措施在程度上不得亞于單位內(nèi)部的防護(hù)措施。 對敏感或關(guān)鍵設(shè)備，可考慮進(jìn)一步的管制措施，如： 1）在檢測或終點(diǎn)端安裝裝甲防護(hù)電纜導(dǎo)管或上鎖房間或盒子； 2）使用備用路徑或傳輸媒介； 3）使用光纖電纜； 4）對非法掛置在電纜上的物件進(jìn) 行定期掃除 設(shè)備的維護(hù)、保養(yǎng) 對設(shè)備的維護(hù)應(yīng)依據(jù)制造商的指示或規(guī)定的流程進(jìn)行，確保持續(xù)正常的工作狀態(tài)。所有的樓房都要實(shí)施照明保護(hù)措施，并給所有外部通訊線路安裝照明保護(hù)濾光器。如安裝了發(fā)電機(jī)，應(yīng)當(dāng)按制造商的要求對其進(jìn)行定期檢測。保持供電不中斷的措施包括： 多條供電線路以 防某條供電線路出現(xiàn)故障 續(xù)電器（ UPS） 備用發(fā)電機(jī) 支持關(guān)鍵運(yùn)營的設(shè)備要特別考慮使用續(xù)電器，可保證其能正常關(guān)機(jī)或持續(xù)運(yùn)轉(zhuǎn)。 在工業(yè)環(huán)境下可考慮采用特別的保護(hù)方法，如對鍵盤套上保護(hù)膜等。 處理敏感數(shù)據(jù)的信息處理和存儲(chǔ)設(shè)備的座落要使其在使用時(shí)不被遺漏。同時(shí)應(yīng)考慮設(shè)備的座落和處置。 進(jìn)入貨物在抵達(dá)時(shí)要進(jìn)行登記（參見 ）?？煽紤]采用如下原則： 只允許經(jīng)過授權(quán)且已辨明身份的人從樓外進(jìn)入交接區(qū)。安全防御帶內(nèi)部具有不同安全要求的區(qū)域之間的通道要采取格外的隔離和防護(hù)措施。 為安全和防止壞人破壞起見，對安全區(qū)內(nèi)所有工作實(shí)施監(jiān)視。 備用設(shè)備或媒體工具應(yīng)放置在離設(shè)備稍遠(yuǎn)的地方，以防主場地毀壞時(shí)同時(shí)被毀。 從物理上把本單位管理的信息處理設(shè)備和第三方管理的信息處理設(shè)備進(jìn)行區(qū)隔。 房間無人時(shí)，門窗都要上鎖關(guān)閉；窗戶，特別是一樓的窗戶，要安裝必要的外部保護(hù)設(shè)施。還要考慮險(xiǎn)關(guān)的健康和安全條例及標(biāo)準(zhǔn)。 所有人員都要求佩戴清晰可見的身份辨認(rèn)標(biāo)志，并鼓勵(lì)對未經(jīng)陪伴陌生人或任何未佩戴標(biāo)志的人員進(jìn)行盤問。來訪者只有在有明確經(jīng)過授權(quán)的任務(wù)時(shí)才允許訪問安全區(qū)，并要被告知安全區(qū)內(nèi)的安全要求及緊急流程。 安全防御帶內(nèi)所有的防火門都應(yīng)安裝報(bào)警器，并隨時(shí)處于緊閉狀態(tài)。 在適當(dāng)?shù)那闆r下可以考慮下列的指導(dǎo)原則和管制手段： 安全防御帶應(yīng)當(dāng)清楚定義 放置信息處理設(shè)備的樓房或場所的防御帶從物理角度應(yīng)當(dāng)非常可靠。每個(gè)區(qū)隔都可以提供更高的安全系數(shù)，從而增強(qiáng)總體的安全水平。 關(guān)鍵或敏感的商業(yè)信息處理設(shè)備應(yīng)放置在安全的區(qū)域，由安全防御帶、適當(dāng)?shù)陌踩琳虾蜏?zhǔn)入管制手段加以保護(hù)，以防它們物理上被非法進(jìn)入、毀壞或干擾。 違規(guī)處置流程 雇員如違反單位安全政策和流程，應(yīng)通過正式的違規(guī)處置流程加以處理（參見 和 ）。 有關(guān)事故應(yīng)馬上回報(bào)給信息安全經(jīng)理?？梢钥紤]采取如下行動(dòng)： 問題的征兆和任何在顯示屏上出現(xiàn)的信息都要加以記錄 如有可能，對電腦進(jìn)行隔離，并停止繼續(xù)使用。他們要把這些漏洞或者報(bào)告給管理人員 或者直接盡快報(bào)告給服務(wù)提供商。所有員工和合同方都應(yīng)認(rèn)識回報(bào)安全事故的操作流程，并被要求盡快加以回報(bào)。單位要建立正式的處罰條例來懲治違反安全規(guī)定的員工。 易發(fā)事件及故障處理 目標(biāo)：發(fā)生易發(fā)事件及故障時(shí)如何將損害降至最小、監(jiān)督類似事件并從中學(xué)習(xí)。（參見 和 ） 教育訓(xùn)練 目標(biāo)：確保使用者在日常工作中了解如何看待和關(guān)心信息安全，并支持單位的安全政策。其中應(yīng)當(dāng)包括員工違反安全規(guī)定時(shí)應(yīng)采取的行動(dòng)。 沒有簽署保密協(xié)議的閑散員工或第三方在接觸信息處理設(shè)備之前必須簽署有關(guān)保密協(xié)議。個(gè)人或財(cái)務(wù)上的問題會(huì)影響他們的工作，導(dǎo)致行為或生活方式的改變及多次曠工；壓力或憂郁的表現(xiàn)可能導(dǎo)致欺詐、盜竊、錯(cuò)誤或其它安全問題。如果上述人員通過中介機(jī)構(gòu)推薦給單位，則單位要和該機(jī)構(gòu)簽訂合同，在 合同中載明該中介機(jī)構(gòu)要對被推薦人進(jìn)行審查責(zé)任，以及中介機(jī)構(gòu)在未對被推薦人進(jìn)行審查或?qū)彶榻Y(jié)果有疑惑或懷疑時(shí)通知單位的必要程序。 人員任用政策 在單位終身職員申請工作時(shí)，對其進(jìn)行資格審查。 對潛在的待聘員工應(yīng)加以仔細(xì)充分的篩選（見 ），特別是從事敏感工作的員工。 物理標(biāo)示通常是最恰當(dāng)?shù)臉?biāo)示。這些流程要涵括以物理和電子形式存在的信息資產(chǎn)。太復(fù)雜的標(biāo)號系統(tǒng)用起來很費(fèi)勁，即不經(jīng)濟(jì)也不實(shí)用。 經(jīng)過一段時(shí)間之后，信息經(jīng)常不再敏感或重要，例如，在信息