【正文】 b) 變更影響分析對變更可能引起的后果進(jìn)行判斷和分析，確定可能產(chǎn)生的影響大小，進(jìn)行變更的先決條件和后續(xù)活動等。 變更管理和控制　 變更需求和影響分析活動目標(biāo)：本活動的主要目標(biāo)是通過對變更需求和變更影響的分析，來確定變更的類別，計劃后續(xù)的活動內(nèi)容?；顒虞斎耄哼\行管理需求，運行管理人員角色和職責(zé)表。c) 定義人員職責(zé)根據(jù)不同的安全保護(hù)等級要求的控制粒度，分析所需要運行管理控制的內(nèi)容，并以此定義不同運行管理角色的職責(zé)。活動描述：本活動主要包括以下子活動內(nèi)容：a) 劃分運行管理角色根據(jù)管理制度和實際運行管理需求，劃分運行管理需要的角色。本標(biāo)準(zhǔn)關(guān)注安全運行與維護(hù)階段的運行管理和控制、變更管理和控制、安全狀態(tài)監(jiān)控、安全事件處置和應(yīng)急預(yù)案、安全檢查和持續(xù)改進(jìn)以及監(jiān)督檢查等過程，安全運行與維護(hù)階段的工作流程見圖5。d) 系統(tǒng)交付在系統(tǒng)驗收通過以后，要進(jìn)行系統(tǒng)的交付，需要安全服務(wù)提供商提交系統(tǒng)建設(shè)過程中的文檔、指導(dǎo)用戶進(jìn)行系統(tǒng)運行維護(hù)的文檔、服務(wù)承諾書等。成立系統(tǒng)驗收工作組對驗收方案進(jìn)行審核，組織制定驗收計劃、定義驗收的方法和嚴(yán)格程度。參與角色：信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)。 e) 形成安全控制集成報告應(yīng)將安全控制集成過程相關(guān)內(nèi)容文檔化，并形成安全控制集成報告，其包含集成實施方案、質(zhì)量控制方案、集成實施報告以及培訓(xùn)考核記錄等內(nèi)容。集成實施應(yīng)嚴(yán)格按照集成進(jìn)度安排進(jìn)行，出現(xiàn)問題各方應(yīng)及時溝通。b) 集成準(zhǔn)備主要工作內(nèi)容是對實施環(huán)境進(jìn)行準(zhǔn)備，包括硬件設(shè)備準(zhǔn)備、軟件系統(tǒng)準(zhǔn)備、環(huán)境準(zhǔn)備。安全控制集成的過程需要把安全實施、風(fēng)險控制、質(zhì)量控制等有機(jī)結(jié)合起來，遵循運營使用單位與信息安全服務(wù)機(jī)構(gòu)共同參與相互配合的實施的原則。測試分為單元測試、集成測試、系統(tǒng)測試和以用戶試用為主的用戶測試四個步驟。按照功能的需求和模塊劃分進(jìn)行各個部分的詳細(xì)設(shè)計，包含接口設(shè)計和管理方式設(shè)計等。活動輸入：安全詳細(xì)設(shè)計方案?！?安全控制開發(fā)活動目標(biāo)：本活動的目標(biāo)是對于一些不能通過采購現(xiàn)有信息安全產(chǎn)品來實現(xiàn)的安全措施和安全功能，通過專門進(jìn)行的設(shè)計、開發(fā)來實現(xiàn)。b) 產(chǎn)品選擇在依據(jù)產(chǎn)品采購說明書對現(xiàn)有產(chǎn)品進(jìn)行選擇時，不僅要考慮產(chǎn)品的使用環(huán)境、安全功能、成本（包括采購和維護(hù)成本）、易用性、可擴(kuò)展性、與其他產(chǎn)品的互動和兼容性等因素，還要考慮產(chǎn)品質(zhì)量和可信性。參與角色：信息安全產(chǎn)品供應(yīng)商，信息系統(tǒng)運營、使用單位。因此在建設(shè)系統(tǒng)的過程中，必須制訂項目進(jìn)度計劃，繪制網(wǎng)絡(luò)圖，將系統(tǒng)分解為不同的子任務(wù)，并進(jìn)行時間控制確保項目的如期完成。每一次的變更處理，必須遵循同樣的程序，即相同的文字報告、相同的管理辦法、相同的監(jiān)控過程。在整個系統(tǒng)的生命周期中，通過測量、分析和修正活動，保證所完成目標(biāo)和過程的質(zhì)量。 活動輸入：安全設(shè)計與實施階段參與各方相關(guān)進(jìn)度控制和質(zhì)量監(jiān)督要求文檔?；顒用枋觯横槍ζ胀▎T工、管理員、開發(fā)人員、主管人員以及安全人員的特定技能培訓(xùn)和安全意識培訓(xùn)，培訓(xùn)后進(jìn)行考核，合格者發(fā)給上崗資格證書等?；顒虞敵觯?各項管理制度和操作規(guī)范?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 應(yīng)用范圍明確管理制度建立首先要明確制度的應(yīng)用范圍，如機(jī)房管理、帳戶管理、遠(yuǎn)程訪問管理、特殊權(quán)限管理、設(shè)備管理、變更管理等方面的內(nèi)容?；顒虞敵觯簷C(jī)構(gòu)、角色與職責(zé)說明書。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)?；顒用枋觯簩夹g(shù)措施落實方案中技術(shù)實施內(nèi)容和管理措施落實方案中管理實施內(nèi)容等文檔進(jìn)行整理，形成信息系統(tǒng)安全建設(shè)詳細(xì)設(shè)計方案?；顒虞敵觯汗芾泶胧┞鋵嵎桨浮⑴c角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)。對于需對原有網(wǎng)絡(luò)進(jìn)行調(diào)整的，給出網(wǎng)絡(luò)調(diào)整的圖示方案等。對需要開發(fā)的安全控制組件，提出功能指標(biāo)要求。參與角色：信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)，信息安全產(chǎn)品供應(yīng)商。7 安全設(shè)計與實施 安全設(shè)計與實施階段的工作流程安全設(shè)計與實施階段的目標(biāo)是按照信息系統(tǒng)安全總體方案的要求，結(jié)合信息系統(tǒng)安全建設(shè)項目計劃，分期分步落實安全措施?；顒虞斎耄盒畔⑾到y(tǒng)安全總體方案，信息系統(tǒng)分階段安全建設(shè)目標(biāo)，安全建設(shè)內(nèi)容等。b） 確定主要安全建設(shè)項目組合安全建設(shè)內(nèi)容為不同的安全建設(shè)項目，描述項目所解決的主要安全問題及所要達(dá)到的安全目標(biāo)，對項目進(jìn)行支持或依賴等相關(guān)性分析，對項目進(jìn)行緊迫性分析，對項目進(jìn)行實施難易程度分析，對項目進(jìn)行預(yù)期效果分析，描述項目的具體工作內(nèi)容、建設(shè)方案，形成安全建設(shè)項目列表。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)?；顒用枋觯?本活動主要包括以下子活動內(nèi)容：a) 信息化建設(shè)中長期發(fā)展規(guī)劃和安全需求調(diào)查了解和調(diào)查單位信息化建設(shè)的現(xiàn)況、中長期信息化建設(shè)的目標(biāo)、主管部門對信息化的投入，對比信息化建設(shè)過程中階段狀態(tài)與安全策略規(guī)劃之間的差距，分析急迫和關(guān)鍵的安全問題，考慮可以同步進(jìn)行的安全建設(shè)內(nèi)容等?；顒虞敵觯盒畔⑾到y(tǒng)安全總體方案。 參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)。f) 規(guī)定各等級信息系統(tǒng)安全事件處置和應(yīng)急管理策略根據(jù)機(jī)構(gòu)總體安全策略文件、等級保護(hù)基本要求和安全需求，提出各個不同級別信息系統(tǒng)的安全事件處置和應(yīng)急管理策略等。b) 規(guī)定各等級信息系統(tǒng)的人員安全管理策略根據(jù)機(jī)構(gòu)總體安全策略文件、等級保護(hù)基本要求和安全需求，提出各個不同級別信息系統(tǒng)的管理人員框架，分配各個級別信息系統(tǒng)的管理人員職責(zé)，規(guī)定各個級別信息系統(tǒng)的人員安全管理策略等?！?整體安全管理體系結(jié)構(gòu)設(shè)計活動目標(biāo)：本活動的目標(biāo)是根據(jù)等級保護(hù)基本要求、安全需求分析報告、機(jī)構(gòu)總體安全策略文件等，調(diào)整原有管理模式和管理策略，既從全局高度考慮為每個等級信息系統(tǒng)制定統(tǒng)一的安全管理策略，又從每個信息系統(tǒng)的實際需求出發(fā)，選擇和調(diào)整具體的安全管理措施，最后形成統(tǒng)一的整體安全管理體系結(jié)構(gòu)。e) 規(guī)定不同級別信息系統(tǒng)機(jī)房的安全保護(hù)技術(shù)措施根據(jù)機(jī)構(gòu)總體安全策略文件、等級保護(hù)基本要求和安全需求，提出不同級別信息系統(tǒng)機(jī)房的安全保護(hù)策略和安全技術(shù)措施。b) 規(guī)定子系統(tǒng)之間互聯(lián)的安全技術(shù)措施根據(jù)機(jī)構(gòu)總體安全策略文件、等級保護(hù)基本要求和安全需求，提出跨局域網(wǎng)互聯(lián)的子系統(tǒng)之間的信息傳輸保護(hù)策略要求和具體的安全技術(shù)措施，包括同級互聯(lián)的策略、不同級別互聯(lián)的策略等；提出局域網(wǎng)內(nèi)部互聯(lián)的子系統(tǒng)之間的信息傳輸保護(hù)策略要求和具體的安全技術(shù)措施，包括同級互聯(lián)的策略、不同級別互聯(lián)的策略等。參與角色： 信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)?；顒用枋觯?本活動主要包括以下子活動內(nèi)容：a) 確定安全方針形成機(jī)構(gòu)最高層次的安全方針文件，闡明安全工作的使命和意愿，定義信息安全的總體目標(biāo)，規(guī)定信息安全責(zé)任機(jī)構(gòu)和職責(zé)，建立安全工作運行模式等。活動輸出： 安全需求分析報告。參與角色： 信息系統(tǒng)運營，使用單位，信息安全服務(wù)機(jī)構(gòu)。d) 綜合風(fēng)險分析分析威脅利用弱點可能產(chǎn)生的結(jié)果，結(jié)果產(chǎn)生的可能性或概率，結(jié)果造成的損害或影響的大小，以及避免上述結(jié)果產(chǎn)生的可能性、必要性和經(jīng)濟(jì)性。活動輸入：信息系統(tǒng)詳細(xì)描述文件，信息系統(tǒng)安全保護(hù)等級定級報告，信息系統(tǒng)相關(guān)的其它文檔。整理和分析不符合的評價指標(biāo)，確定信息系統(tǒng)安全保護(hù)的基本需求。初步確定每個等級信息系統(tǒng)的分析對象，包括整體對象，如機(jī)房、辦公環(huán)境、網(wǎng)絡(luò)等，也包括具體對象，如邊界設(shè)備、網(wǎng)關(guān)設(shè)備、服務(wù)器設(shè)備、工作站、應(yīng)用系統(tǒng)等。主要過程輸出輸入安全需求分析報告安全需求分析信息系統(tǒng)詳細(xì)描述文件信息系統(tǒng)安全保護(hù)等級定級報告信息系統(tǒng)相關(guān)的其它文檔信息系統(tǒng)安全等級保護(hù)基本要求總體安全設(shè)計信息系統(tǒng)詳細(xì)描述文件信息系統(tǒng)安全保護(hù)等級定級報告信息系統(tǒng)安全等級保護(hù)基本要求安全需求分析報告信息系統(tǒng)安全總體方案安全建設(shè)項目規(guī)劃信息系統(tǒng)安全總體方案機(jī)構(gòu)或單位信息化建設(shè)的中長期發(fā)展規(guī)劃信息系統(tǒng)安全建設(shè)項目計劃圖3 總體安全規(guī)劃工作流程 安全需求分析　 基本安全需求的確定活動目標(biāo)：本活動的目標(biāo)是根據(jù)信息系統(tǒng)的安全保護(hù)等級，判斷信息系統(tǒng)現(xiàn)有的安全保護(hù)水平與國家等級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)之間的差距，提出信息系統(tǒng)的基本安全保護(hù)需求?；顒虞敵觯盒畔⑾到y(tǒng)安全保護(hù)等級定級報告。參與角色：信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位?？缡』蛘呷珖y(tǒng)一聯(lián)網(wǎng)運行的信息系統(tǒng)可以由主管部門統(tǒng)一確定安全保護(hù)等級。參與角色：信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位，信息安全服務(wù)機(jī)構(gòu)。c) 信息系統(tǒng)詳細(xì)描述在對信息系統(tǒng)進(jìn)行劃分并確定定級對象后，應(yīng)在信息系統(tǒng)總體描述文件的基礎(chǔ)上，進(jìn)一步增加信息系統(tǒng)劃分信息的描述，準(zhǔn)確描述一個大型信息系統(tǒng)中包括的定級對象的個數(shù)?；顒虞斎耄盒畔⑾到y(tǒng)總體描述文件。一個典型的信息系統(tǒng)的總體描述文件應(yīng)包含以下內(nèi)容：1) 系統(tǒng)概述；2) 系統(tǒng)邊界描述；3) 網(wǎng)絡(luò)拓?fù)洌?) 設(shè)備部署；5) 支撐的業(yè)務(wù)應(yīng)用的種類和特性；6) 處理的信息資產(chǎn)；7) 用戶的范圍和用戶類型；8) 信息系統(tǒng)的管理框架。d) 識別信息系統(tǒng)的業(yè)務(wù)種類和特性了解機(jī)構(gòu)內(nèi)主要依靠信息系統(tǒng)處理的業(yè)務(wù)種類和數(shù)量，這些業(yè)務(wù)各自的社會屬性、業(yè)務(wù)內(nèi)容和業(yè)務(wù)流程等，從中明確支持機(jī)構(gòu)業(yè)務(wù)運營的信息系統(tǒng)的業(yè)務(wù)特性，將承載比較單一的業(yè)務(wù)應(yīng)用或者承載相對獨立的業(yè)務(wù)應(yīng)用的信息系統(tǒng)作為單獨的定級對象?；顒虞斎耄盒畔⑾到y(tǒng)的立項、建設(shè)和管理文檔。5 信息系統(tǒng)定級 信息系統(tǒng)定級階段的工作流程信息系統(tǒng)定級階段的目標(biāo)是信息系統(tǒng)運營、使用單位按照國家有關(guān)管理規(guī)范和GB/T AAAAAAAA，確定信息系統(tǒng)的安全保護(hù)等級，信息系統(tǒng)運營、使用單位有主管部門的，應(yīng)當(dāng)經(jīng)主管部門審核批準(zhǔn)。e) 信息安全等級測評機(jī)構(gòu)負(fù)責(zé)根據(jù)信息系統(tǒng)運營、使用單位的委托或根據(jù)國家管理部門的授權(quán)，協(xié)助信息系統(tǒng)運營、使用單位或國家管理部門，按照國家信息安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，對已經(jīng)完成等級保護(hù)建設(shè)的信息系統(tǒng)進(jìn)行等級測評；對信息安全產(chǎn)品供應(yīng)商提供的信息安全產(chǎn)品進(jìn)行安全測評。 角色和職責(zé)信息系統(tǒng)安全等級保護(hù)實施過程中涉及的各類角色和職責(zé)如下：a) 國家管理部門公安機(jī)關(guān)負(fù)責(zé)信息安全等級保護(hù)工作的監(jiān)督、檢查、指導(dǎo)；國家保密工作部門負(fù)責(zé)等級保護(hù)工作中有關(guān)保密工作的監(jiān)督、檢查、指導(dǎo)；國家密碼管理部門負(fù)責(zé)等級保護(hù)工作中有關(guān)密碼工作的監(jiān)督、檢查、指導(dǎo)；涉及其他職能部門管轄范圍的事項，由有關(guān)職能部門依照國家法律法規(guī)的規(guī)定進(jìn)行管理；國務(wù)院信息化工作辦公室及地方信息化領(lǐng)導(dǎo)小組辦事機(jī)構(gòu)負(fù)責(zé)等級保護(hù)工作的部門間協(xié)調(diào)。b) 重點保護(hù)原則根據(jù)信息系統(tǒng)的重要程度、業(yè)務(wù)特點，通過劃分不同安全保護(hù)等級的信息系統(tǒng)，實現(xiàn)不同強(qiáng)度的安全保護(hù)，集中資源優(yōu)先保護(hù)涉及核心業(yè)務(wù)或關(guān)鍵信息資產(chǎn)的信息系統(tǒng)。GB/T 信息技術(shù) 詞匯 第8部分：安全GB178591999 計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則GB/T AAAAAAAA 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)定級指南3 術(shù)語和定義GB/T 178591999確立的以及下列術(shù)語和定義適用于本標(biāo)準(zhǔn)。37 / 42信息系統(tǒng)安全等級保護(hù)實施指南1 范圍本標(biāo)準(zhǔn)規(guī)定了信息系統(tǒng)安全等級保護(hù)實施的過程，適用于指導(dǎo)信息系統(tǒng)安全等級保護(hù)的實施。在信息系統(tǒng)總體安全規(guī)劃，安全設(shè)計與實施，安全運行與維護(hù)和信息系統(tǒng)終止等階段，應(yīng)按照GB17859199GB/T BBBBBBBB、GB/T20269200GB/T202702006和GB/T202712006等技術(shù)標(biāo)準(zhǔn)，設(shè)計、建設(shè)符合信息安全等級保護(hù)要求的信息系統(tǒng)，開展信息系統(tǒng)的運行維護(hù)管理工作。本標(biāo)準(zhǔn)是信息安全等級保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會歸口。本標(biāo)準(zhǔn)由公安部和全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提出。引 言依據(jù)《中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例》（國務(wù)院147號令）、《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號）、《關(guān)于信息安全等級保護(hù)工作的實施意見》（公通字[2004]66號）和《信息安全等級保護(hù)管理辦法》，制定本標(biāo)準(zhǔn)。在信息系統(tǒng)定級階段，應(yīng)按照GB/T AAAAAAAA介紹的方法，確定信息系統(tǒng)安全保護(hù)等級。除本標(biāo)準(zhǔn)和上述提到的標(biāo)準(zhǔn)外，在信息系統(tǒng)安全等級保護(hù)實施過程中，還可參照和使用GB/T202722006和GB/T202732006等其它等級保護(hù)相關(guān)技術(shù)標(biāo)準(zhǔn)。凡是不注明日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。信息系統(tǒng)安全等級保護(hù)實施過程中應(yīng)遵循以下基本原則：a) 自主保護(hù)原則信息系統(tǒng)運營、使用單位及其主管部門按照國家相關(guān)法規(guī)和標(biāo)準(zhǔn)，自主確定信息系統(tǒng)的安全保護(hù)等級，自行組織實施安全保護(hù)。由于信息系統(tǒng)的應(yīng)用類型、范圍等條件的變化及其他原因，安全保護(hù)等級需要變更的，應(yīng)當(dāng)根據(jù)等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，重新確定信息系統(tǒng)的安全保護(hù)等級，根據(jù)信息系統(tǒng)安全保護(hù)等級的調(diào)整情況，重新實施安全保護(hù)。d) 信息安全服務(wù)機(jī)構(gòu)負(fù)責(zé)根據(jù)信息系統(tǒng)運營、使用單位的委托，依照國家信息安全等級保護(hù)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，協(xié)助信息系統(tǒng)運營、使用單位完成等級保護(hù)的相關(guān)工作，包括確定其信息系統(tǒng)的安全保護(hù)等級、進(jìn)行安全需求分析、安全總體規(guī)劃、實施安全建設(shè)和安全改造等。 信息系統(tǒng)定級總體安全規(guī)劃安全設(shè)計與實施