【正文】 、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的合理性和正確性進(jìn)行論證和審定；5） 應(yīng)確?？傮w安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等文件必須經(jīng)過(guò)批準(zhǔn)，才能正式實(shí)施；6） 應(yīng)根據(jù)安全測(cè)評(píng)、安全評(píng)估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件。1） 應(yīng)與工程實(shí)施單位簽訂與安全相關(guān)的協(xié)議，約束工程實(shí)施單位的行為；2） 應(yīng)指定或授權(quán)專(zhuān)門(mén)的人員或部門(mén)負(fù)責(zé)工程實(shí)施過(guò)程的管理；3） 應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過(guò)程，并要求工程實(shí)施單位能正式地執(zhí)行安全工程過(guò)程；4） 應(yīng)制定工程實(shí)施方面的管理制度，明確說(shuō)明實(shí)施過(guò)程的控制方法和人員行為準(zhǔn)則。1） 應(yīng)確保安全服務(wù)商的選擇符合國(guó)家的有關(guān)規(guī)定。1） 應(yīng)對(duì)信息系統(tǒng)相關(guān)的各種設(shè)備、線路等指定專(zhuān)人或?qū)ｉT(mén)的部門(mén)定期進(jìn)行維護(hù)管理；2） 應(yīng)對(duì)信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購(gòu)、發(fā)放或領(lǐng)用等過(guò)程建立基于申報(bào)、審批和專(zhuān)人負(fù)責(zé)的管理規(guī)定；3） 應(yīng)對(duì)終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理；4） 應(yīng)對(duì)帶離機(jī)房或辦公地點(diǎn)的信息處理設(shè)備進(jìn)行控制；5） 應(yīng)按操作規(guī)程實(shí)現(xiàn)服務(wù)器的啟動(dòng)/停止、加電/斷電等操作，加強(qiáng)對(duì)服務(wù)器操作的日志文件管理和監(jiān)控管理，并對(duì)其定期進(jìn)行檢查；6） 應(yīng)建立配套設(shè)施、軟硬件維護(hù)方面的管理制度，對(duì)其維護(hù)進(jìn)行有效的管理，包括明確維護(hù)人員的責(zé)任、涉外維修和服務(wù)的審批、維修過(guò)程的監(jiān)督控制等；7） 應(yīng)在安全管理機(jī)構(gòu)統(tǒng)一安全策略下對(duì)服務(wù)器進(jìn)行系統(tǒng)配置和服務(wù)設(shè)定，并實(shí)施配置管理。1） 應(yīng)提高所有用戶的防病毒意識(shí)，告知及時(shí)升級(jí)防病毒軟件；2） 應(yīng)在讀取移動(dòng)存儲(chǔ)設(shè)備（如軟盤(pán)、移動(dòng)硬盤(pán)、光盤(pán)）上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進(jìn)行病毒檢查，對(duì)外來(lái)計(jì)算機(jī)或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也要進(jìn)行病毒檢查；3） 應(yīng)指定專(zhuān)人對(duì)網(wǎng)絡(luò)和主機(jī)的進(jìn)行惡意代碼檢測(cè)并保存檢測(cè)記錄；4） 應(yīng)對(duì)防惡意代碼軟件的授權(quán)使用、惡意代碼庫(kù)升級(jí)、定期匯報(bào)等作出明確管理規(guī)定；5） 應(yīng)建立惡意代碼集中防護(hù)的安全管理中心，確保整個(gè)網(wǎng)絡(luò)統(tǒng)一配置、統(tǒng)一升級(jí)、統(tǒng)一控制；6） 應(yīng)定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫(kù)的升級(jí)情況并進(jìn)行記錄，對(duì)主機(jī)防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲的危險(xiǎn)病毒或惡意代碼進(jìn)行及時(shí)分析處理，并形成書(shū)面的報(bào)表和總結(jié)匯報(bào)。1） 所有用戶均有責(zé)任報(bào)告自己發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；2） 應(yīng)制定安全事件報(bào)告和處置管理制度，規(guī)定安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)；3） 應(yīng)分析信息系統(tǒng)的類(lèi)型、網(wǎng)絡(luò)連接特點(diǎn)和信息系統(tǒng)用戶特點(diǎn)，了解本系統(tǒng)和同類(lèi)系統(tǒng)已發(fā)生的安全事件，識(shí)別本系統(tǒng)需要防止發(fā)生的安全事件，事件可能來(lái)自攻擊、錯(cuò)誤、故障、事故或?yàn)?zāi)難；4） 應(yīng)根據(jù)國(guó)家相關(guān)管理部門(mén)對(duì)計(jì)算機(jī)安全事件等級(jí)劃分方法，根據(jù)安全事件在本系統(tǒng)產(chǎn)生的影響，將本系統(tǒng)計(jì)算機(jī)安全事件進(jìn)行等級(jí)劃分；5） 應(yīng)制定的安全事件報(bào)告和響應(yīng)處理程序，確定事件的報(bào)告流程，響應(yīng)和處置的范圍、程度，以及處理方法等；6） 應(yīng)在安全事件報(bào)告和響應(yīng)處理過(guò)程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過(guò)程，總結(jié)經(jīng)驗(yàn)教訓(xùn)，制定防止再次發(fā)生的補(bǔ)救措施，過(guò)程形成的所有文件和記錄均應(yīng)妥善保存；7） 對(duì)造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報(bào)告程序。既糾結(jié)了自己，又打擾了別人。學(xué)習(xí)參考。用一些事情，總會(huì)看清一些人。1） 應(yīng)識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；2） 應(yīng)規(guī)定備份信息的備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、存儲(chǔ)介質(zhì)、保存期等；3） 應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對(duì)系統(tǒng)運(yùn)行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略應(yīng)指明備份數(shù)據(jù)的放置場(chǎng)所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運(yùn)輸?shù)姆椒ǎ?） 應(yīng)指定相應(yīng)的負(fù)責(zé)人定期維護(hù)和檢查備份及冗余設(shè)備的狀況，確保需要接入系統(tǒng)時(shí)能夠正常運(yùn)行；5） 應(yīng)建立控制數(shù)據(jù)備份和恢復(fù)過(guò)程的程序，備份過(guò)程應(yīng)記錄，所有文件和記錄應(yīng)妥善保存；6） 應(yīng)根據(jù)系統(tǒng)級(jí)備份所采用的方式和產(chǎn)品，建立備份及冗余設(shè)備的安裝、配置、啟動(dòng)、操作及維護(hù)過(guò)程控制的程序，記錄設(shè)備運(yùn)行過(guò)程狀況，所有文件和記錄應(yīng)妥善保存；7） 應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測(cè)試備份介質(zhì)的有效性，確?？梢栽诨謴?fù)程序規(guī)定的時(shí)間內(nèi)完成備份的恢復(fù)。1） 應(yīng)指定專(zhuān)人對(duì)系統(tǒng)進(jìn)行管理，刪除或者禁用不使用的系統(tǒng)缺省賬戶；2） 應(yīng)制定系統(tǒng)安全管理制度，對(duì)系統(tǒng)安全配置、系統(tǒng)賬戶以及審計(jì)日志等方面作出規(guī)定；3） 應(yīng)對(duì)能夠使用系統(tǒng)工具的人員及數(shù)量進(jìn)行限制和控制；4） 應(yīng)定期安裝系統(tǒng)的最新補(bǔ)丁程序，并根據(jù)廠家提供的可能危害計(jì)算機(jī)的漏洞進(jìn)行及時(shí)修補(bǔ)，并在安裝系統(tǒng)補(bǔ)丁前對(duì)現(xiàn)有的重要文件進(jìn)行備份；5） 應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問(wèn)控制策略，系統(tǒng)訪問(wèn)控制策略用于控制分配信息系統(tǒng)、文件及服務(wù)的訪問(wèn)權(quán)限；6） 應(yīng)對(duì)系統(tǒng)賬戶進(jìn)行分類(lèi)管理，權(quán)限設(shè)定應(yīng)當(dāng)遵循最小授權(quán)要求；7） 應(yīng)對(duì)系統(tǒng)的安全策略、授權(quán)訪問(wèn)、最小服務(wù)、升級(jí)與打補(bǔ)丁、維護(hù)記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體規(guī)定；8） 應(yīng)規(guī)定系統(tǒng)審計(jì)日志的保存時(shí)間以便為可能的安全事件調(diào)查提供支持；9） 應(yīng)進(jìn)行系統(tǒng)漏洞掃描，對(duì)發(fā)現(xiàn)的系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)；10） 應(yīng)明確各類(lèi)用戶的責(zé)任、義務(wù)和風(fēng)險(xiǎn)，對(duì)系統(tǒng)賬戶的登記造冊(cè)、用戶名分配、初始口令分配、用戶權(quán)限及其審批程序、系統(tǒng)資源分配、注銷(xiāo)等作出規(guī)定；11） 應(yīng)對(duì)于賬戶安全管理的執(zhí)行情況進(jìn)行檢查和監(jiān)督，定期審計(jì)和分析用戶賬戶的使用情況，對(duì)發(fā)現(xiàn)的問(wèn)題和異常情況進(jìn)行相關(guān)處理。1） 應(yīng)建立介質(zhì)安全管理制度，對(duì)介質(zhì)的存放環(huán)境、使用、維護(hù)和銷(xiāo)毀等方面作出規(guī)定； 2） 應(yīng)有介質(zhì)的歸檔和查詢(xún)記錄，并對(duì)存檔介質(zhì)的目錄清單定期盤(pán)點(diǎn)；3） 對(duì)于需要送出維修或銷(xiāo)毀的介質(zhì)，應(yīng)首先清除介質(zhì)中的敏感數(shù)據(jù)，防止信息的非法泄漏；4） 應(yīng)根據(jù)數(shù)據(jù)備份的需要對(duì)某些介質(zhì)實(shí)行異地存儲(chǔ)，存儲(chǔ)地的環(huán)境要求和管理方法應(yīng)與本地相同；5） 應(yīng)根據(jù)所承載數(shù)據(jù)和軟件的重要程度對(duì)介質(zhì)進(jìn)行分類(lèi)和標(biāo)識(shí)管理，并實(shí)行存儲(chǔ)環(huán)境專(zhuān)人管理；6） 應(yīng)對(duì)介質(zhì)的物理傳輸過(guò)程中人員選擇、打包、交付等情況進(jìn)行控制；7） 應(yīng)對(duì)存儲(chǔ)介質(zhì)的使用過(guò)程、送出維修以及銷(xiāo)毀進(jìn)行嚴(yán)格的管理，保密性較高的信息存儲(chǔ)介質(zhì)未經(jīng)批準(zhǔn)不得自行銷(xiāo)毀；8） 必要時(shí)應(yīng)對(duì)重要介質(zhì)的數(shù)據(jù)和軟件采取加密存儲(chǔ)，對(duì)帶出工作環(huán)境的存儲(chǔ)介質(zhì)進(jìn)行內(nèi)容加密和監(jiān)控管理；9） 應(yīng)對(duì)存放在介質(zhì)庫(kù)中的介質(zhì)定期進(jìn)行完整性和可用性檢查，確認(rèn)其數(shù)據(jù)或軟件沒(méi)有受到損壞或丟失。安全測(cè)評(píng)無(wú)1） 應(yīng)在系統(tǒng)投入運(yùn)行前進(jìn)行安全測(cè)評(píng)，測(cè)評(píng)后符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn)要求的才能投入使用；2） 應(yīng)在系統(tǒng)運(yùn)行過(guò)程中定期對(duì)系統(tǒng)進(jìn)行安全測(cè)評(píng)，發(fā)現(xiàn)不符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn)要求的及時(shí)整改；3） 應(yīng)在系統(tǒng)發(fā)生變更時(shí)及時(shí)對(duì)系統(tǒng)進(jìn)行安全測(cè)評(píng)，發(fā)現(xiàn)級(jí)別發(fā)生變化的及時(shí)調(diào)整級(jí)別并進(jìn)行安全改造；發(fā)現(xiàn)不符合相應(yīng)等級(jí)保護(hù)標(biāo)準(zhǔn)要求的及時(shí)整改；4） 應(yīng)選擇具有國(guó)家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測(cè)評(píng)單位進(jìn)行安全測(cè)評(píng)；5） 應(yīng)與測(cè)評(píng)單位簽訂與安全相關(guān)的協(xié)議，約束測(cè)評(píng)單位的行為；6） 應(yīng)指定或授權(quán)專(zhuān)門(mén)的人員或部門(mén)負(fù)責(zé)安全測(cè)評(píng)的管理。1） 應(yīng)與軟件開(kāi)發(fā)單位簽訂協(xié)議，明確知識(shí)產(chǎn)權(quán)的歸屬和安全方面的要求；2） 應(yīng)根據(jù)協(xié)議的要求檢測(cè)軟件質(zhì)量；3） 應(yīng)在軟件安裝之前檢測(cè)軟件包中可能存在的惡意代碼；4） 應(yīng)要求開(kāi)發(fā)單位提供技術(shù)培訓(xùn)和服務(wù)承諾；5） 應(yīng)要求開(kāi)發(fā)單位提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南。1） 應(yīng)明確信息系統(tǒng)劃分的方法；2） 應(yīng)確定信息系統(tǒng)的安全等級(jí)；3） 應(yīng)以書(shū)面的形式定義確定了安全等級(jí)的信息系統(tǒng)的屬性，包括使命、業(yè)務(wù)、網(wǎng)絡(luò)、硬件、軟件、數(shù)據(jù)、邊界、人員等；4） 應(yīng)以書(shū)面的形式說(shuō)明確定一個(gè)信息系統(tǒng)為某個(gè)安全等級(jí)的方法和理由；5） 應(yīng)組織相關(guān)部門(mén)和有關(guān)安全技術(shù)專(zhuān)家對(duì)信息系統(tǒng)的定級(jí)結(jié)果的合理性和正確性進(jìn)行論證和審定；6） 應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過(guò)相關(guān)部門(mén)的批準(zhǔn)。人員離崗1） 應(yīng)立即終止由于各種原因即將離崗的員工的所有訪問(wèn)權(quán)限；2） 應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備；3） 應(yīng)經(jīng)機(jī)構(gòu)人事部門(mén)辦理嚴(yán)格的調(diào)離手續(xù)，并承諾調(diào)離后的保密義務(wù)后方可離開(kāi)。安全管理制度管理制度1） 應(yīng)制定信息安全工作的總體方針、政策性文件和安全策略等，說(shuō)明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、方針、原則、責(zé)任等；2） 應(yīng)對(duì)安全管理活動(dòng)中重要的管理內(nèi)容建立安全管理制度，以規(guī)范安全管理活動(dòng)，約束人員的行為方式；3） 應(yīng)對(duì)要求管理人員或操作人員執(zhí)行的重要管理操作，建立操作規(guī)程，以規(guī)范操作行為，防止操作失誤。人員配備1） 應(yīng)配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員等；2） 安全管理人員不能兼任網(wǎng)絡(luò)管理員、系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員等。1） 應(yīng)制定應(yīng)用程序代碼編寫(xiě)安全規(guī)范，要求開(kāi)發(fā)人員參照規(guī)范編寫(xiě)代碼；2） 應(yīng)對(duì)應(yīng)用程序代碼進(jìn)行代碼復(fù)審，識(shí)別可能存在的惡意代碼；3） 應(yīng)對(duì)應(yīng)用程序代碼進(jìn)行安全脆弱性分析；4） 應(yīng)對(duì)應(yīng)用程序代碼進(jìn)行穿透性測(cè)試?？沟仲?lài)無(wú)1） 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；2） 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。訪問(wèn)控制1） 應(yīng)依據(jù)安全策略控制用戶對(duì)客體的訪問(wèn)；2） 自主訪問(wèn)控制的覆蓋范圍應(yīng)包括與信息安全直接相關(guān)的主體、客體及它們之間的操作；3） 自主訪問(wèn)控制的粒度應(yīng)達(dá)到主體為用戶級(jí)，客體為文件、數(shù)據(jù)庫(kù)表級(jí)；4） 應(yīng)由授權(quán)主體設(shè)置用戶對(duì)系統(tǒng)功能操作和對(duì)數(shù)據(jù)訪問(wèn)的權(quán)限；5） 應(yīng)實(shí)現(xiàn)應(yīng)用系統(tǒng)特權(quán)用戶的權(quán)限分離，例如將管理與審計(jì)的權(quán)限分配給不同的應(yīng)用系統(tǒng)用戶；6） 權(quán)限分離應(yīng)采用最小授權(quán)原則，分別授予不同用戶各自為完成自己承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系；7） 應(yīng)嚴(yán)格限制默認(rèn)用戶的訪問(wèn)權(quán)限。剩余信息保護(hù)1） 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全清除，無(wú)論這些信息是存放在硬盤(pán)上還是在內(nèi)存中；2） 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全清除。1） 操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)用戶的身份標(biāo)識(shí)應(yīng)具有唯一性；2） 應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；3） 應(yīng)對(duì)同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別；4） 操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)用戶的身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，例如口令長(zhǎng)度、復(fù)雜性和定期的更新等；5） 應(yīng)具有登錄失敗處理功能，如：結(jié)束會(huì)話、限制非法登錄次數(shù)，當(dāng)?shù)卿涍B接超時(shí)，自動(dòng)退出；6） 應(yīng)具有鑒別警示功能；7） 重要的主機(jī)系統(tǒng)應(yīng)對(duì)與之相連的服務(wù)器或終端設(shè)備進(jìn)行身份標(biāo)識(shí)和鑒別。1） 應(yīng)能夠檢測(cè)內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過(guò)準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為（即“非法外聯(lián)”行為）；2） 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到網(wǎng)絡(luò)的行為進(jìn)行檢查，并準(zhǔn)確定出位置，對(duì)其進(jìn)行有效阻斷；3） 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢測(cè)后準(zhǔn)確定出位置，并對(duì)其進(jìn)行有效阻斷。1） 網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)具備冗余空間，要求滿足業(yè)務(wù)高峰期需要；2） 應(yīng)設(shè)計(jì)和繪制