【文章內(nèi)容簡(jiǎn)介】 國(guó)防科學(xué)技術(shù)工業(yè)委員會(huì) 1991 年 12 月 23 日發(fā)布 1992 年 9 月 1 日實(shí)施 ) 1 范圍 主題內(nèi)容 本標(biāo)準(zhǔn)規(guī)定了軍隊(duì)通用計(jì)算機(jī)系統(tǒng)在使用中的實(shí)體 (場(chǎng)地、設(shè)備、人身、媒體 )的安全管理與技術(shù)要求；預(yù)防病毒及防止信息泄漏的措施；安全審計(jì)、安全風(fēng)險(xiǎn)分析的內(nèi)容、應(yīng)急計(jì)劃的制定等。 適用范圍 本標(biāo)準(zhǔn)適用于軍隊(duì)各類(lèi)通用計(jì)算機(jī)系統(tǒng)。其它計(jì)算機(jī)系統(tǒng)亦可參照?qǐng)?zhí)行。 2 引用文件 GB288782 計(jì)算機(jī)站場(chǎng)地技術(shù)要求 GB494385 數(shù)據(jù)處理設(shè)備的安全 GB936188 計(jì)算站場(chǎng)地安全要求 GJB15186 軍用設(shè)備和分系統(tǒng)電磁發(fā)射和敏感度要求 GJB15286 軍用設(shè)備和分系統(tǒng)電磁發(fā)射和敏感度測(cè)量 GJB32287 軍用小型數(shù)字電子計(jì)算機(jī)通用技術(shù)條件 GJB90090 系統(tǒng)安全性通用大綱 GJB51188 軍用微型計(jì)算機(jī)通用技術(shù)條件 3 定義 計(jì)算機(jī)系統(tǒng) puter system 按人的要求收集和存儲(chǔ)信息，自動(dòng)進(jìn)行數(shù)據(jù)處理和計(jì)算，并輸出結(jié) 果信息的一臺(tái)或多臺(tái)計(jì)算機(jī)組成的系統(tǒng)。它由硬件系統(tǒng)和軟件系統(tǒng)兩部分組成。 計(jì)算機(jī)機(jī)房 puter room 計(jì)算機(jī)系統(tǒng)及有關(guān)附屬設(shè)備的安裝使用場(chǎng)所。 風(fēng)險(xiǎn)分析 risk analysis 鑒別風(fēng)險(xiǎn)及確定其可能達(dá)到的限度，判定潛在的損失，并為制定保護(hù)策略提供依據(jù)的過(guò)程。 特定終端設(shè)備 specificterminal unit 用于系統(tǒng)管理或?qū)χ匾獢?shù)據(jù)存取處理的終端 ? 4 一般要求 軍隊(duì)通用計(jì)算機(jī)系統(tǒng)的場(chǎng)地及設(shè)備應(yīng)符合 GB288 GB494 GB9361 中的要 求。 對(duì)所有媒體的保護(hù)和管理應(yīng)按照本標(biāo)準(zhǔn)執(zhí)行。 軍隊(duì)通用計(jì)算機(jī)系統(tǒng)應(yīng)具備開(kāi)通運(yùn)行條件，并按照本標(biāo)準(zhǔn)進(jìn)行管理，確保運(yùn)行安全。 對(duì)計(jì)算機(jī)病毒的防治，應(yīng)按照本標(biāo)準(zhǔn)及有關(guān)規(guī)定執(zhí)行。 軍隊(duì)通用計(jì)算機(jī)系統(tǒng)設(shè)備應(yīng)符合 GB15 GB152 的有關(guān)要求；對(duì)信息泄露發(fā)射應(yīng)采取必要的防護(hù)措施。 對(duì)計(jì)算機(jī)安全風(fēng)險(xiǎn)分析應(yīng)適時(shí)地組織專(zhuān)家進(jìn)行，并根據(jù)風(fēng)險(xiǎn)分析結(jié)果，提出相應(yīng)保護(hù)措施。 軍隊(duì)通用計(jì)算機(jī)系統(tǒng)應(yīng)具備安全應(yīng)急計(jì)劃，并有相應(yīng)的設(shè)備及軟件備份。 計(jì)算機(jī)系統(tǒng)一般應(yīng)有安全審計(jì)制度。安 全要求高的計(jì)算機(jī)系統(tǒng)，必須具有安全審計(jì)制度，并按本標(biāo)準(zhǔn)執(zhí)行。 5 詳細(xì)要求 計(jì)算機(jī)場(chǎng)地及設(shè)備的安全技術(shù)要求 計(jì)算機(jī)機(jī)房的設(shè)計(jì)或改建應(yīng)符合 GB288 GB9361 和 GJB322 等現(xiàn)行的國(guó)家標(biāo)準(zhǔn)。 除參照上述有關(guān)標(biāo)準(zhǔn)外，還應(yīng)注意滿(mǎn)足下述各條要求： a. 機(jī)房主體結(jié)構(gòu)應(yīng)具有與其功能相適應(yīng)的耐久性、抗震性和耐火等級(jí)。變形縫和伸縮縫不應(yīng)穿過(guò)主機(jī)房； b. 機(jī)房應(yīng)設(shè)置相應(yīng)的火災(zāi)報(bào)警和滅火系統(tǒng)； c. 機(jī)房應(yīng)設(shè)置疏散照明設(shè)備和安全出口標(biāo)志； d. 機(jī)房應(yīng)采用專(zhuān)用的空調(diào)設(shè)備 ，若與其它系統(tǒng)共用時(shí)，應(yīng)確?？照{(diào)效果，采取防火隔離措施。長(zhǎng)期連續(xù)運(yùn)行的計(jì)算機(jī)系統(tǒng)應(yīng)有備用空調(diào)。空調(diào)的制冷能力，要留有一定的余量 (宜取 15%20%)； e. 計(jì)算機(jī)的專(zhuān)用空調(diào)設(shè)備應(yīng)與計(jì)算機(jī)聯(lián)控，保證做到開(kāi)機(jī)前先送風(fēng)，停機(jī)后再停風(fēng)； f. 機(jī)房應(yīng)根據(jù)供電網(wǎng)的質(zhì)量及計(jì)算機(jī)設(shè)備的要求，采用電源質(zhì)量改善措施和隔離防護(hù)措施，如濾波、穩(wěn)壓、穩(wěn)頻及不間斷電源系統(tǒng)等。 計(jì)算機(jī)系統(tǒng)中使用的設(shè)備應(yīng)符合 GB4943 中規(guī)定的要求，并是經(jīng)過(guò)安全檢查的合格產(chǎn)品。 媒體管理與安全要求 媒體分類(lèi) 根據(jù)媒體上記錄內(nèi)容將媒體分為 A、 B、 C 三種基本類(lèi)別。 A 類(lèi)媒體：媒體上的記錄內(nèi)容對(duì)系統(tǒng)、設(shè)備功能來(lái)說(shuō)是最重要的，不能替代的，毀壞后不能立即恢復(fù)的。 B 類(lèi)媒體：媒體上的記錄內(nèi)容在不影響系統(tǒng)主要功能的前提下可能進(jìn)行復(fù)制，但這些數(shù)據(jù)記錄復(fù)制過(guò)程較困難或價(jià)格較昂貴。 C 類(lèi)媒體：媒體上的記錄內(nèi)容在系統(tǒng)調(diào)試及應(yīng)用過(guò)程中容易得到的。 媒體的保護(hù)要求 保留在機(jī)房?jī)?nèi)的媒體數(shù)量應(yīng)是系統(tǒng)有效運(yùn)行所需的最小數(shù)量。 A、 B 類(lèi)媒體應(yīng)放入防火， 防水，防震，防潮、防腐蝕、防靜電及防電磁場(chǎng)的保護(hù)設(shè)備中。 C 類(lèi)媒體應(yīng)放在密閉金屬文件箱或柜中。 A， B 類(lèi)媒體應(yīng)采取防復(fù)制及信息加密措施。 媒體的傳遞與外借應(yīng)有審批手續(xù)、傳遞記錄。傳遞過(guò)程中，媒體應(yīng)放入金屬箱內(nèi)，必須采取必要的保安措施。 記錄過(guò)重要信息的記錄設(shè)備出現(xiàn)故障時(shí)，必須在軍內(nèi)或指定單位進(jìn)行維修，不能維修，即行銷(xiāo)毀。 重要數(shù)據(jù)的處理過(guò)程中，被批準(zhǔn)使用數(shù)據(jù)人員以外的其它人員不應(yīng)進(jìn)入機(jī)房工作。處理結(jié)束后，應(yīng)清除不能帶走的本作業(yè)數(shù)據(jù)。應(yīng)妥善處理打印 結(jié)果，任何記有重要信息的廢棄物在處理前應(yīng)進(jìn)行粉碎。 媒體的管理要求 媒體應(yīng)造冊(cè)登記，編制目錄，集中分類(lèi)管理，所有媒體的目錄清單必須具有如下項(xiàng)目：媒體類(lèi)別，信息類(lèi)別，文件所有者，卷號(hào)，文件名及其描述，項(xiàng)目編號(hào)，適應(yīng)日期，保留期限。 根據(jù)需要與存貯環(huán)境，記錄要定期進(jìn)行循環(huán)復(fù)制 (半年至二年 )，并復(fù)制三份分處存放。 新的磁記錄文件應(yīng)有完整的歸檔記錄。歸檔文件應(yīng)清楚齊全，一旦投入運(yùn)行，任何人不經(jīng)批準(zhǔn)不得進(jìn)行增、刪、改。 各種記錄應(yīng)定期復(fù)制到媒 體上，送媒體庫(kù)進(jìn)行保管。 各種媒體不用時(shí)，應(yīng)存入媒體庫(kù)內(nèi)。 未用過(guò)的媒體應(yīng)定期檢查，情況應(yīng)例行登記。報(bào)廢的媒體在進(jìn)行鎖毀之前，慶進(jìn)行消磁或清除數(shù)據(jù)，并應(yīng)確保銷(xiāo)毀的執(zhí)行。 媒體未經(jīng)審批，不得隨意外借。 建立媒體庫(kù) 媒體庫(kù)的選址應(yīng)選在水、火等災(zāi)害影響不到的地方。 媒體庫(kù)應(yīng)設(shè)庫(kù)管理員，負(fù)責(zé)庫(kù)的管理工作，并核查媒體使用人員的身份與權(quán)限。 媒體庫(kù)內(nèi)所有媒體，應(yīng)統(tǒng)一編目，集中分類(lèi)管理。 計(jì)算機(jī)病毒的防治 計(jì)算機(jī)系統(tǒng)防病毒要求 應(yīng)指定專(zhuān)人負(fù)責(zé)計(jì)算機(jī)病毒的防治工作。 加強(qiáng)終端管理，及時(shí)發(fā)現(xiàn)非法程序，并按有關(guān)規(guī)定及時(shí)清除。 計(jì)算機(jī)系統(tǒng)及其所用盤(pán)、帶應(yīng)定期檢測(cè)、登錄，一經(jīng)發(fā)現(xiàn)病毒，立即禁止使用，并按有關(guān)規(guī)定進(jìn)行病毒清除。 軍用計(jì)算機(jī)在下列情況下，應(yīng)指定專(zhuān)人對(duì)設(shè)備進(jìn)行病毒檢查，確認(rèn)無(wú)病毒后方可投入使用： a. 從國(guó)外進(jìn)口的計(jì)算機(jī)驗(yàn)機(jī)時(shí)； b. 從國(guó)內(nèi)市場(chǎng)自購(gòu)或自行研制的計(jì)算機(jī)啟用時(shí)； c. 執(zhí)行特殊任務(wù)前； d. 計(jì)算機(jī)經(jīng)外單 位維修后； e. 從外單位借入的計(jì)算機(jī)使用前。 媒體預(yù)防病毒的保護(hù)要求 重要部門(mén)媒體應(yīng)做到專(zhuān)機(jī)、專(zhuān)用。 非本機(jī)使用的媒體，須經(jīng)過(guò)檢測(cè)，確認(rèn)沒(méi)有病毒，方可在系統(tǒng)中使用。 禁止執(zhí)行不知來(lái)源的程序，禁止在計(jì)算機(jī)系統(tǒng)上運(yùn)行任何游戲程序。 外借的媒體返回時(shí)，應(yīng)進(jìn)行病毒檢查。 計(jì)算機(jī)系統(tǒng)電磁兼容性及防泄露發(fā)射要求 計(jì)算機(jī)系統(tǒng)所使用設(shè)備均應(yīng)符合 GJB15 GJB152 標(biāo)準(zhǔn)的要求。 采用區(qū)域控制。 采用屏蔽措施。 采用低輻射設(shè)備。 采用其它安全防護(hù)措施。 計(jì)算機(jī)系統(tǒng)運(yùn)行安全 安全管理 計(jì)算機(jī)系統(tǒng)運(yùn)行管理部門(mén)必須設(shè)有安全組織或安全負(fù)責(zé)人。 安全組織或安全負(fù)責(zé)人職責(zé)如下： a. 保障本部門(mén)計(jì)算機(jī)系統(tǒng)的安全運(yùn)行； b. 制定安全管理的方案和規(guī)章制度； c. 定期檢查安全規(guī)章制度的執(zhí)行情況，提出改進(jìn)措施； d. 掌握系統(tǒng)運(yùn)行的安全情況，收集安全記錄，及時(shí)發(fā)現(xiàn)薄弱環(huán)節(jié)， 研究和采取相應(yīng)的對(duì)策，并及時(shí)予以改進(jìn)； e. 負(fù)責(zé)系統(tǒng)工作人員的安全教育和管理； f. 向安全監(jiān)督機(jī)關(guān)和上一級(jí)主管部門(mén)報(bào)告本系統(tǒng)的安全情況。 機(jī)房管理制度 建立規(guī)章制度： a. 計(jì)算機(jī)系統(tǒng)維護(hù)管理制度，維護(hù)規(guī)定見(jiàn) 條； b. 計(jì)算機(jī)管理的各種制度，參見(jiàn)附錄 A(參考件 )； c. 計(jì)算機(jī)數(shù)據(jù)及文件的管理規(guī)章制度； d. 計(jì)算機(jī)機(jī)房的管理制度，參見(jiàn)附錄 B(參考件 )； e. 嚴(yán)格有效的出入管理規(guī)章制度，具體規(guī)定參照附錄 C(參考件 )； f. 有關(guān)監(jiān)視的管理規(guī)章制度，監(jiān)視內(nèi)容參見(jiàn) 條。 計(jì)算機(jī)工作人員責(zé)任 應(yīng)規(guī)定計(jì)算機(jī)工作人員職責(zé) (內(nèi)容包括：硬件值班人員職責(zé)、硬件維修人員條件、操作人員須知 )；計(jì)算機(jī)工作人員必須嚴(yán)格遵守有關(guān)規(guī)定和本系統(tǒng)的安全 ?規(guī)章制度，維護(hù)本系統(tǒng)的安全。 運(yùn)行及確認(rèn) 所有交付使用的計(jì)算機(jī)系統(tǒng)應(yīng)配有齊全的技術(shù)說(shuō)明書(shū)。 計(jì)算機(jī)系統(tǒng)應(yīng)備有操作說(shuō)明書(shū)，操作人員必須嚴(yán)格執(zhí)行操作規(guī)程。操作說(shuō)明書(shū)內(nèi)容見(jiàn)附錄 D(參考件 )。 必須規(guī)定各種資源的使用權(quán)限，設(shè)置相應(yīng)的存取控制及存取監(jiān)視功能。 建立計(jì)算機(jī)系統(tǒng) 運(yùn)行記錄，掌握每日運(yùn)行情況。 制定計(jì)算機(jī)系統(tǒng)故障時(shí)的應(yīng)急計(jì)劃及應(yīng)急措施。 系統(tǒng)管理員、程序員及操作人員應(yīng)明確責(zé)任及分工。 大型計(jì)算機(jī)系統(tǒng)的操作應(yīng)由多名專(zhuān)職操作人員執(zhí)行。 對(duì)特定終端設(shè)備，應(yīng)限定其操作人員，并采用口令、身份識(shí)別等措施。 計(jì)算機(jī)系統(tǒng)的維護(hù) 應(yīng)制定計(jì)算機(jī)系統(tǒng)維護(hù)計(jì)劃，確定維護(hù)檢查的實(shí)施周期。 計(jì)算機(jī)系統(tǒng)的維護(hù)分為預(yù)防維護(hù)和故障維護(hù)。預(yù)防維護(hù)應(yīng)定期進(jìn)行，故障維護(hù)應(yīng)及時(shí)分析原因找出問(wèn)題，盡快恢復(fù) ，并認(rèn)真填寫(xiě)維護(hù)記錄。 計(jì)算機(jī)系統(tǒng)各設(shè)備 (包括主處理機(jī)、主存儲(chǔ)器、磁盤(pán)機(jī)、磁帶機(jī)、控打機(jī)等 )應(yīng)定期檢查維護(hù)。 計(jì)算機(jī)系統(tǒng)維護(hù)時(shí)，對(duì)數(shù)據(jù)應(yīng)采取妥善的保護(hù)措施。 計(jì)算機(jī)系統(tǒng)要定期進(jìn)行故障統(tǒng)計(jì)分析。 ? 必須建立計(jì)算機(jī) 系統(tǒng)的維護(hù)檔案。 機(jī)房的監(jiān)視 計(jì)算機(jī)機(jī)房應(yīng)視具體情況設(shè)置監(jiān)視設(shè)備，及時(shí)發(fā)現(xiàn)異常狀態(tài)，根據(jù)不同的使用目的可配備以下監(jiān)視設(shè)備： a. 紅外線(xiàn)傳感器； b. 自動(dòng)火災(zāi)報(bào)警器； c. 漏水傳感器； d. 溫濕度傳感器； e. 監(jiān)視攝像機(jī)； f. 其它。 安全人員應(yīng)隨時(shí)對(duì)機(jī)房進(jìn)行巡視，注意發(fā)現(xiàn)產(chǎn)生危險(xiǎn)、故障的征兆及其原因，檢查防災(zāi)防范設(shè)備的功能等。 人身安全及教育培訓(xùn) 計(jì)算機(jī)機(jī)房的布局應(yīng)為工作人員創(chuàng)造一個(gè)良好的人機(jī)工作環(huán)境，確保長(zhǎng)期工作人員的安全。 長(zhǎng)期從事計(jì)算機(jī)工作的人員，應(yīng)有勞保措施，并定期檢查身體。 在使用說(shuō)明書(shū)中應(yīng)有操作、維護(hù)的安全注意事項(xiàng)。并在危險(xiǎn)部位標(biāo)以危險(xiǎn)符號(hào)和警告標(biāo)記。 所有對(duì)地的電壓 (交流 峰值或直流 )大于 的易觸及部分，均應(yīng)加以安全保護(hù)。 應(yīng)定期對(duì)使用人員進(jìn)行安全教育及培訓(xùn)。 安全風(fēng)險(xiǎn)分析 安全負(fù)責(zé)人應(yīng)組織與系統(tǒng)有關(guān)的專(zhuān)家適時(shí)地對(duì)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)分析，風(fēng)險(xiǎn)分析的方法及結(jié)果應(yīng)保密。 風(fēng)險(xiǎn)分析的內(nèi)容： a. 估算計(jì)算機(jī)系統(tǒng)及其有關(guān)設(shè)備、設(shè)施的價(jià)值； b. 分析計(jì)算機(jī)系統(tǒng)的脆弱性，估算潛在的危險(xiǎn)或可能引起的損失價(jià)值； c. 估計(jì)發(fā)生風(fēng)險(xiǎn)的時(shí)間； d. 分析現(xiàn)有的保護(hù)能力，制定相應(yīng)的防護(hù)措施，并分析其安全效益。 風(fēng)險(xiǎn)可能 造成的損失類(lèi)型： a. 計(jì)算機(jī)設(shè)備、設(shè)施的丟失、破壞和非授權(quán)使用； b. 計(jì)算機(jī)軟件與數(shù)據(jù)信息的破壞、丟失、非授權(quán)使用和修改； c. 數(shù)據(jù)信息的失竊與泄露； d. 其它損失 ? 應(yīng)急計(jì)劃及備份 計(jì)算機(jī)系統(tǒng)運(yùn)行管理部門(mén)應(yīng)根據(jù)下述可能出現(xiàn)的緊急情況制定相應(yīng)的應(yīng)急計(jì)劃： a. 計(jì)算機(jī)系統(tǒng)發(fā)生故障； b. 誤操作； c. 外部攻擊； d. 發(fā)生火災(zāi)、水災(zāi)、地震等自然災(zāi)害； e. 計(jì)算機(jī)病毒的侵蝕； f. 意外停電； g. 其它。 應(yīng)急計(jì)劃必須 確定實(shí)施方案，制定緊急響應(yīng)規(guī)程。 應(yīng)定期對(duì)應(yīng)急計(jì)劃進(jìn)行試驗(yàn)和修改； 將執(zhí)行應(yīng)急計(jì)劃的有關(guān)文件放在規(guī)定的地方。 對(duì)執(zhí)行應(yīng)急計(jì)劃的人員應(yīng)進(jìn)行培訓(xùn)，并實(shí)施演習(xí)，保證每個(gè)系統(tǒng)值班人員都能正確執(zhí)行應(yīng)急計(jì)劃。 信息資源備份應(yīng)按下列項(xiàng)目進(jìn)行： a. 全盤(pán)備份； b. 增量備份； c. 關(guān)鍵項(xiàng)目備份； d. 后備媒體。 根據(jù)需要可采取下列設(shè)備備份方法： a. 整機(jī)備份； b. 關(guān)鍵部件現(xiàn)場(chǎng)備份； c. 空調(diào)器、電源及輔助設(shè)備備份。 計(jì)算機(jī)安全審計(jì) 對(duì)安全要求較高的計(jì)算機(jī)系統(tǒng)，必須建立安全審計(jì)制度。 根據(jù)安全審計(jì)制度及本標(biāo)準(zhǔn)規(guī)定的安全要求，對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行安全審計(jì)，審計(jì)結(jié)果應(yīng)報(bào)上級(jí)機(jī)關(guān)。 按照審計(jì)要求改進(jìn)安全控制后，審計(jì)人員應(yīng)重新評(píng)價(jià)系統(tǒng)，以保證系統(tǒng)功能不退化。 附 錄 A 計(jì)算機(jī)及計(jì)算機(jī)房管理的各種制度 (參考件 ) A1 機(jī)時(shí)管理制度。 A2 計(jì)算機(jī)檢修制度。 A3 儀器儀表管理制度。 A4 供電設(shè)備管理制度。 A5 配電室值班制度。 A6 空調(diào)值班制度。 A7 空調(diào)機(jī)維護(hù)制度。 A8 機(jī)房管理 制度。 A9 機(jī)房技術(shù)管理。 A10 機(jī)房工藝衛(wèi)生制度。 附 錄 B 進(jìn)出機(jī)房管理控制細(xì)則 (參考件 ) B1 機(jī)房應(yīng)采取分區(qū)控制。根據(jù)每個(gè)工作人員的實(shí)際工作需要，確定所能進(jìn)入的區(qū)域。 B2 主機(jī)區(qū)共設(shè)一個(gè)受控制的出入口，另設(shè)若干備用口供緊急情況用。 B3 根據(jù)各區(qū)域的重要程度采取以下控制措施。 掛 “禁止入內(nèi) ”牌。 派人看守，填寫(xiě)進(jìn)出記錄。 關(guān)鍵入口可采用識(shí)別措施。 進(jìn)出口的鑰匙，應(yīng)保證在約定的場(chǎng)所，由專(zhuān)人管理，并制定嚴(yán)格的交接制度。 機(jī)房無(wú)人時(shí)，應(yīng)關(guān)鎖進(jìn)出口 。 B4 對(duì)長(zhǎng)期在機(jī)房工作的人