【正文】 系統(tǒng)容量 需求計(jì)劃 對(duì)系統(tǒng)容量要求進(jìn)行監(jiān)控，并進(jìn)行未來(lái)容量要求預(yù)測(cè)，確保充足的處理和存儲(chǔ)能力。 只有管制手段要求向開(kāi)發(fā)人員發(fā)放口令以支持操作系統(tǒng)時(shí)，開(kāi)發(fā)人員才可獲得操作口令。 如開(kāi)發(fā)和測(cè)試人員可進(jìn)入操作系統(tǒng)并存取其信息，他們有可能會(huì)引入未經(jīng)授權(quán)或未經(jīng)檢測(cè)的編碼并篡改操作數(shù)據(jù)。 應(yīng)注意確保在責(zé)任單一的區(qū)域內(nèi)，只要有人從事犯罪活動(dòng)就馬上會(huì)被察覺(jué)。如有可能，應(yīng)把操作和應(yīng)用的變更管制流程整合起來(lái)（參見(jiàn) ）。應(yīng)把操作流程看作正式的文件，其變更需要經(jīng)過(guò)管理人員的批準(zhǔn)。如有必要，設(shè)備要從網(wǎng)上下來(lái)，歸還時(shí)再重新上網(wǎng)。政策的制定要考慮信息安全分類（參見(jiàn) ）、相應(yīng)的風(fēng)險(xiǎn)和單位的企業(yè)文化等。報(bào)廢處置時(shí)，存有敏感信息的存儲(chǔ)設(shè)備要從物理上加以銷毀，或用安全方式對(duì)信息加以覆蓋，而不能采用常用的標(biāo)準(zhǔn)刪除功能來(lái)刪除。此處所指的信息處理設(shè)備包括任何家庭用的或從單位帶出的任何形式的個(gè)人電腦、手持電腦、移動(dòng)電話、紙張或其它物品。 傳輸設(shè)備安全性 保護(hù)傳輸數(shù)據(jù)或支持信息服務(wù)的供電和通訊傳輸設(shè)備，使之免于中斷或損壞。同時(shí)，要制定續(xù)電器發(fā)生故障時(shí)的應(yīng)急計(jì)劃。 需要特別保護(hù)的物品要分開(kāi)放置，以節(jié)省額外的保護(hù)措施。 設(shè)備安全 目標(biāo)：防止資產(chǎn)的遺失、損壞、危害及企業(yè)正?；顒?dòng)的中斷。 除非經(jīng)過(guò)授權(quán)，否則在安全區(qū)內(nèi)禁止使用攝影、錄象、錄音或其它記錄儀器設(shè)備。 信息安全區(qū)內(nèi)工作守則 為進(jìn)一步加強(qiáng)已采取物理保護(hù)措施的安全區(qū)的安全，應(yīng)制定附加的信息安全區(qū)內(nèi)工作守則。 所有的外門的外窗都要安裝合乎職業(yè)標(biāo)準(zhǔn)的入侵檢測(cè)系統(tǒng)，并對(duì)其進(jìn)行定期檢測(cè)。 對(duì)進(jìn)入安全區(qū)域的權(quán)限要定期進(jìn)行審核和更新。 信息安全區(qū)進(jìn)出管制 在信息安全區(qū)采取適當(dāng)出入管制，確保只有經(jīng)授權(quán)的人員得以進(jìn)入。單位應(yīng)使用安全防御帶來(lái)保護(hù)放置信息處理設(shè)備的區(qū)域（參見(jiàn) ）。此類流程可用作警示，防止員工忽視單位的安全流程。并馬上通知有關(guān)當(dāng)局。同時(shí)，建立適當(dāng)?shù)姆答伭鞒虂?lái)確保這些安全事故在處理完畢之后處理結(jié)果得以反饋。 安全事故應(yīng)通過(guò)適當(dāng)?shù)墓芾砬辣M快加以回報(bào)。 員工的合法職責(zé)和權(quán)利，例如在版權(quán)法或數(shù)據(jù)保護(hù)法方面的權(quán)責(zé)，應(yīng)得以 清楚定義，并包括在員工守則中。對(duì)這類信息的處理要依據(jù)單位作在地區(qū)的適當(dāng)法律程序加以 解決。 這應(yīng)當(dāng)包括如下內(nèi)容： 申請(qǐng)人是否具備充分的人品推薦材料，例如，可以是一份工作推薦，一份個(gè)人推薦 對(duì)申請(qǐng)人簡(jiǎn)歷的完整性和準(zhǔn)確性進(jìn)行檢查 對(duì)申請(qǐng)人聲稱的學(xué)術(shù)和資格證明進(jìn)行認(rèn)證 獨(dú)立的身份認(rèn)證（通過(guò)護(hù)照或相應(yīng)的身份證明材料） 工任命或提升員工時(shí)，只要其涉及到接觸信息處理設(shè)備，特別是處理敏感信息的設(shè)備，如處理財(cái)務(wù)信息或其它高度機(jī)密的信息的設(shè)備，單位需要對(duì)該員工進(jìn)行信用調(diào)查。但是，有的信息資產(chǎn)如以電子方式存在的文件，不能對(duì)其進(jìn)行物理標(biāo)示，在此情況下需考慮對(duì)其進(jìn)行電子標(biāo)示。在接觸和使用別單位的標(biāo)號(hào)系統(tǒng)時(shí)要注意，因?yàn)樗麄兊臉?biāo)號(hào)雖然和本單位的相同但含義可能完全不同。總而言之，對(duì)信息進(jìn)行分類是決定如何處理和保護(hù)該信息的一個(gè)捷徑。對(duì)各個(gè)信息系統(tǒng)的重要資產(chǎn)都要編制資產(chǎn)清單并加以保存。 所有重大的信息資產(chǎn)都要有記錄和主管人員。單位在證實(shí)第三方的可靠性方面要做到完全放心。因此，在有需求接觸其它方信息時(shí)，要進(jìn)行風(fēng)險(xiǎn)評(píng)估，確定管制的要求。管制內(nèi)容經(jīng)雙方同 意，要在合同中加以定義。同樣，也應(yīng)考慮參加安全組織和行業(yè)論壇并成為其成員。因此，特建議單位指定一位具體個(gè)人來(lái)協(xié)調(diào)單位內(nèi)部信息安全知識(shí)與經(jīng)驗(yàn)方面的一致，及輔助該方面的決策。批準(zhǔn)由負(fù)責(zé)當(dāng)?shù)匦畔⑾到y(tǒng)安全環(huán)境的經(jīng)理發(fā)給，并做到符合相關(guān)安全政策和要求。針對(duì)具體的地點(diǎn)、系統(tǒng)或服務(wù)的不同，可對(duì)此政策酌情進(jìn)行補(bǔ)充。在此方面，應(yīng)鼓勵(lì)跨學(xué)科的信息安全安排，比如，在經(jīng)理人、用戶、程序管理員、應(yīng)用軟件設(shè)計(jì)師、審計(jì)人員和保安人員間開(kāi)展合作和協(xié)調(diào)，或在保險(xiǎn)和風(fēng)險(xiǎn)管理兩個(gè)學(xué)科領(lǐng)域間進(jìn)行專業(yè)交流等。它至少要包括如下部分： 對(duì)信息安全的定義，其總體目標(biāo)和范圍，安全作為信息分享確保機(jī)制的重要性 支持信息安全目標(biāo)和原則的管理意向聲明 對(duì)安全政策、原則、標(biāo)準(zhǔn)和應(yīng)達(dá)到要求的簡(jiǎn)要解釋，比如： 1）符合立法和契約的規(guī)定； 2）安全教育方面的要求； 3）對(duì)病毒和其它有害軟件的預(yù)防和檢測(cè)； 4）持續(xù)運(yùn)營(yíng)管理； 5）違反安全政策的后果等； 信息安全管理的總體和具體權(quán)責(zé)的定義，包括安全事故回報(bào)等； 用以支持政策的文獻(xiàn)援引；例如，適用于具體信息系統(tǒng)的更詳細(xì)的安全政策和流程，或使用者應(yīng)當(dāng)遵守的安全條例等； 本政策應(yīng)以恰當(dāng)、易得、易懂的方式向單位的標(biāo)的使用者進(jìn)行傳達(dá)。 保密性被定義為確保唯有經(jīng)過(guò)授權(quán)的人員方可存取信息。應(yīng)當(dāng)注意的是，盡管本文件所述的管制手段很重要，但所有手段的適用性仍然取決于具體的當(dāng)事情形。對(duì)許多小的單位或組織來(lái)說(shuō)，這種辦法就不一定適合，而另外的辦法可能更好一些。評(píng)估風(fēng)險(xiǎn)和選擇管制手段的過(guò)程可能需要重復(fù)幾次，以便涵蓋單位的不同部分或單個(gè)的信息系統(tǒng)。在這方面，主要有三個(gè)來(lái)源： 第一個(gè)來(lái)源是對(duì)單位面臨的風(fēng)險(xiǎn)進(jìn)行評(píng)估。 許多信息系統(tǒng)本身的設(shè)計(jì)就很不安全。必須建立此類管制手段來(lái)確保各單位的具體安全目標(biāo)得以實(shí)現(xiàn)。 信息可以許多形式存在－可以印在或?qū)懺诩埳?，以電子方式進(jìn)行儲(chǔ)存，通過(guò)郵寄或電子方式傳播，用影片顯示或通過(guò)口頭轉(zhuǎn)述。 對(duì)信息系統(tǒng)和服務(wù)的依賴表明單位在安全威脅面前已越來(lái)越脆弱。單位外部的專家建議有時(shí)也很必要。管制方面的支出需要和安全失控時(shí)產(chǎn)生的危害進(jìn)行平衡和比較。管理風(fēng)險(xiǎn)有許多不同的辦法，本文件列出了一些常用的手段。 信息安全起始點(diǎn) 幾條管制手段作為指導(dǎo)原則提供了信息安全執(zhí)行方面的起始點(diǎn)。 一、信息安全范圍 此部分針對(duì)各單位內(nèi)部從事安全工作的人員提出了信息安全管理方面的建議。 管理層應(yīng)制定一套清晰的指導(dǎo)原則，并以此明確表明其對(duì)信息安全及在單位內(nèi)部貫徹實(shí)施信息安全政策的支持和承諾。 同時(shí)，應(yīng)建立適當(dāng)?shù)男畔踩芾砦瘑T會(huì)對(duì)信息安全政策進(jìn)行審批，對(duì)安全權(quán)責(zé)進(jìn)行分配，并協(xié)調(diào)單位內(nèi)部安全的實(shí)施。 部門間協(xié)調(diào) 在較大的單位內(nèi)，有必要建立一個(gè)由各個(gè)部門管理代表組成的跨功能信息安全委員會(huì)來(lái)協(xié)調(diào)信息安全的實(shí)施。 信息資產(chǎn)的負(fù)責(zé)人可將其安全權(quán)責(zé)代理給各部經(jīng)理或服務(wù)提供方，但他對(duì)資產(chǎn)的安全仍負(fù)有最終的責(zé)任，并要求能確認(rèn)代理權(quán)沒(méi)有被濫用或誤用。 專業(yè)信息安全顧問(wèn) 許多單位可能需要專業(yè)信息安全顧問(wèn)。 如懷疑出現(xiàn)安全事故或漏洞，應(yīng)盡早向信息安全顧問(wèn)咨詢，以獲得專家指導(dǎo)或調(diào)查資源。 外部存取的安全管理 目標(biāo)：外來(lái)單位存取單位內(nèi)部信息及信息處理設(shè)施時(shí)的安全管理。比如，跨網(wǎng)絡(luò)存取的風(fēng)險(xiǎn)和物理存取的風(fēng)險(xiǎn)是完全不同的。例如，如有特殊要求保守信息秘密，就要和第三方簽訂保密協(xié)議（見(jiàn) ） 在相應(yīng)管制手段布置周備或和第三方合同簽訂之前，不得允許第三方存取本單位信息或接觸信息處理設(shè)備。本合同應(yīng)當(dāng)允許雙方在安全管理計(jì)劃中對(duì)安全要求和流程進(jìn)行擴(kuò)展。編 制資產(chǎn)盤點(diǎn)的流程是風(fēng)險(xiǎn)管理的重要方面。有些信息需要額外的保護(hù)和處置。分類知道大綱應(yīng)當(dāng)預(yù)測(cè)并承認(rèn)信息分類有時(shí)間性并歲政策變化而變化這一事實(shí)（見(jiàn) ）。此標(biāo)示要求能夠反應(yīng)根據(jù) 條款進(jìn)行分類的類別。 工作權(quán)責(zé)涵蓋的安全需求 單位信息安全政策中規(guī)定的安全角色和責(zé)任當(dāng)在工作定義中恰當(dāng)標(biāo)明（見(jiàn) ）。對(duì)所有員工的工作都要進(jìn)行定期審核，審核審批的程序有員工中的某位資深人士來(lái)制定。 員工守則 該守則應(yīng)載明雇員在信息安全方面的職責(zé)。 信息安全的教育和培訓(xùn) 單位的所有職員，以及在必要情況下涉及的第三方用戶，都應(yīng)定期接受安全政策和流程方面 的教育和培訓(xùn)。 安全事故回報(bào) 發(fā)現(xiàn)安全事故后，應(yīng)立即通過(guò)適當(dāng)管理渠道回報(bào)。這對(duì)他們自身有益處，因?yàn)樗麄冞M(jìn)行論證的行為有可能被誤認(rèn)為是潛在地錯(cuò)誤使用系統(tǒng)。這類信息可用作以后辨別重發(fā)事故或危害重大的功能障礙。建議采用清桌和清屏政策來(lái)降低對(duì)文件、媒體和信息處理設(shè)備非法存取或破壞的風(fēng)險(xiǎn)。 在通往場(chǎng)所或樓房的通道上還應(yīng)當(dāng)配備值班接待臺(tái)或其它類似機(jī)構(gòu)，確保只有經(jīng)過(guò)授權(quán)的人員才能得以靠近通往上述場(chǎng)所的通道。同時(shí)使用身份識(shí)別管制手段，如刷卡或個(gè)人身份 號(hào)碼等對(duì)所有準(zhǔn)入進(jìn)行授權(quán)或認(rèn)證。 可考慮如下的管制手段： 關(guān)鍵設(shè)備的放置要能夠放置公眾的接觸 樓房要防止太過(guò)顯眼，盡量避免顯示其用途，樓內(nèi)外禁止設(shè)置暗指此處有信息處理活動(dòng)的標(biāo)牌或標(biāo)記。 把危險(xiǎn)或易燃品保存到一個(gè)離安全區(qū)適當(dāng)安全距離的地方。 應(yīng)限制第三方輔助服務(wù)人員進(jìn)入安全區(qū)或敏感信息處理設(shè)備，只在必要時(shí)才許其進(jìn)入。 在交接區(qū)內(nèi)門敞開(kāi)的情況下，交接區(qū)外門應(yīng)保持關(guān)閉狀態(tài)。 設(shè)備座落及防護(hù) 對(duì)設(shè)備座落加以保護(hù)，使其免受周圍環(huán)境造成的威脅或損壞，并避免未經(jīng)授權(quán)的進(jìn)入。 電力供應(yīng) 使設(shè)備避免斷電或其它供電方面的問(wèn)題。 此外，要在設(shè)備室的緊急出口處安裝緊急電源開(kāi)關(guān)，用作緊急情況下迅速關(guān)閉電源。保險(xiǎn)條例的所有要求都要遵守。 諸如盜竊、損壞和遺失等安全風(fēng)險(xiǎn)在各個(gè)地方的 程度不同，因此在各地要因地制宜地制定防護(hù)措施。采取管制手段將損失或毀壞的風(fēng)險(xiǎn)降至最低。 下班后，要把復(fù)印機(jī)鎖起來(lái)（或加以保護(hù)禁止其它方式的非法使用）。這包括開(kāi)發(fā)適當(dāng)?shù)牟僮髦笇?dǎo)和事故反應(yīng)流程。對(duì)操作程序變更的管制要尤其嚴(yán)格。 小單位可能覺(jué)得這一管制辦法實(shí)施起來(lái)比較困難，但應(yīng)盡量參考運(yùn)用其原則和做法。因此，要針對(duì)操作、測(cè)試和開(kāi)發(fā)環(huán)境的隔離考慮必要的隔離級(jí)別，以避免操作上的問(wèn)題。這樣，把開(kāi)發(fā)、測(cè)試和操作設(shè)備隔離開(kāi)就可以降低發(fā)生事故或非法存取操作軟件和業(yè)務(wù)數(shù)據(jù)的風(fēng)險(xiǎn)。 要進(jìn)行事前計(jì)劃和準(zhǔn)備以確保有充足的能力和資源。 管理人員應(yīng)當(dāng)運(yùn)用這些信息來(lái)辨認(rèn)并避免可能對(duì)系統(tǒng)安全或使用者服務(wù)構(gòu)成安全的潛在瓶頸，并事先進(jìn)行適當(dāng)?shù)难a(bǔ)救行 動(dòng)規(guī)劃。因此，使用者應(yīng)當(dāng)意識(shí)到非法或侵略性軟件的危害；管理人員應(yīng)當(dāng)在必要時(shí)采取特別管制手段來(lái)檢測(cè)和防范此類軟件的入侵。員工要求認(rèn)識(shí)小把戲的危害并知道如何處理之。對(duì)重要的業(yè)務(wù)應(yīng)用軟件應(yīng)保留最少三代的備份信息。使用者作出的信息處理或通訊系統(tǒng)的差錯(cuò)報(bào)告要進(jìn)行記錄。 對(duì)管理活動(dòng)進(jìn)行跟蹤協(xié)調(diào)，使提供的服務(wù)最優(yōu)化，并確保對(duì)整個(gè)信息處理基礎(chǔ)設(shè)施的管制得 以持續(xù)進(jìn)行 媒體存取及安全性 目標(biāo)：防止資產(chǎn)損失及企業(yè)活動(dòng)中斷。因此，要建立正規(guī)的媒體安全處理流程將此風(fēng)險(xiǎn)降至最低。可考慮如下要素（參見(jiàn) 和 ）： 給所有媒體作標(biāo)示（參見(jiàn) 之第一項(xiàng)） 對(duì)存取進(jìn)行限制，以辨別非法人員 保留授權(quán)人員相關(guān)數(shù)據(jù)的正式記錄 確保輸入數(shù)據(jù)的完整性、處理過(guò)程得以正確完成及對(duì)輸出的有效確認(rèn) 對(duì)等待輸出的數(shù)據(jù)采取與其敏感性相應(yīng)的保護(hù)措施 把媒體保存在符合制造商規(guī)定的環(huán)境中 盡量減少數(shù)據(jù)的分發(fā) 對(duì)所有數(shù)據(jù)進(jìn)行清楚標(biāo)示，以引起其合法接收人員的注意 定 期對(duì)分發(fā)清單和合法接收人員名單進(jìn)行審訂 系統(tǒng)文件的安全性 系統(tǒng)文件可能載有系列敏感信息，如對(duì)應(yīng)用過(guò)程、流程、數(shù)據(jù)結(jié)構(gòu)、授權(quán)過(guò)程等的描述（參加 ）。因此，可采用如下管制手段來(lái)保護(hù)電腦媒體在兩地傳遞過(guò)程中的安全： 使用可靠的傳遞方式或快件服務(wù)。 公共交易系統(tǒng)應(yīng)向客戶公開(kāi)其交易條款及規(guī)定。在公共系統(tǒng)上的信息，如通過(guò)因特網(wǎng)可存取的網(wǎng)絡(luò)服務(wù)器上的 信息，要合乎其所在地區(qū)或所從事交易的地區(qū)的法律的要求。這主要包括： 提醒員工打電話時(shí)采取適當(dāng)保護(hù)措施，如不提敏感信息以免信息被如下人 員監(jiān)聽(tīng)或截獲： 1）員工周圍的人，特別是使用手持電話的人； 2）通過(guò)盜線或其它物理方式接觸電話機(jī)或電話線的人，及使用使用手持電話時(shí)用掃描接收器進(jìn)行監(jiān)聽(tīng)的人；3）在受話人一端的人 提醒員工不得在公開(kāi)場(chǎng)所、開(kāi)放的辦公室或墻壁較薄的房間內(nèi)談?wù)摫Ｃ茉掝} 不得在語(yǔ)音答錄機(jī)上留言，因?yàn)檫@些設(shè)備可被非法人員盜聽(tīng)、或由于撥號(hào)錯(cuò)誤而錄到不正確的地方 提醒員工使用傳真機(jī)所可能導(dǎo)致的問(wèn)題，如 1）傳真機(jī)內(nèi)存信息被非法提取； 2）故意或非故意地對(duì)傳真機(jī)的程序進(jìn)行修改導(dǎo)致傳真發(fā)送到別的指定的號(hào)碼上； 3）由。 應(yīng)采取適當(dāng)?shù)臋C(jī)制對(duì)公共系統(tǒng)上的軟件、數(shù)據(jù)或其它要求高度完整性的信息加以保護(hù)，例如采取電子簽字等（參見(jiàn) ）。 電子郵件的安全性 安全風(fēng)險(xiǎn) 電子郵件被用作業(yè)務(wù)交流，從而替代了傳統(tǒng)形式的通訊方式如電傳或信件?？刹捎玫拇胧┌ǎ?1）使用上鎖的集裝箱； 2）手頭傳遞； 3）防拆包裝（可顯示任何拆封的痕跡）； 4）在特殊情況下，將發(fā)送的物品分開(kāi)并通過(guò)不同的路線傳遞 電子商務(wù)的安全性 電子商務(wù)可能會(huì)涉及電子數(shù)據(jù)交換、電子郵件和通過(guò)因特網(wǎng)之類的公眾網(wǎng)進(jìn)行網(wǎng)上交易等方式的使用。 單位間的信息和軟件交換要加以管制，并符合法律的規(guī)定（參見(jiàn) 12 條款） 進(jìn)行上述交換時(shí)要簽署協(xié)議 。 許多單位對(duì)文件、設(shè)備和媒體的處理采取收購(gòu)處理的做法。 采取適當(dāng)操作流程來(lái)保護(hù)文件、電腦媒體（磁帶、軟盤、錄音帶等）、輸入輸出數(shù)據(jù)和系統(tǒng)記錄，使之避免被破壞、盜竊和非法存取。 對(duì)跨單位的網(wǎng)絡(luò)安全管理要格外注意。對(duì)主場(chǎng)媒體的管制措施也應(yīng)延展到備份文件的保護(hù)。 儲(chǔ)存管理 目標(biāo)：維護(hù)信息處理及服務(wù)的完整性和可行性。 對(duì)非法入侵軟件的防御管理 檢測(cè)并防止非法軟件的入侵，實(shí)施恰 當(dāng)?shù)姆婪读鞒獭９芾砣藛T應(yīng)當(dāng)確保新系統(tǒng)驗(yàn)收的要求和標(biāo)準(zhǔn)