【文章內(nèi)容簡介】 實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲保密性。（ ）　 備份和恢復(fù)（A3）本項要求包括：a) 應(yīng)提供本地數(shù)據(jù)備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場外存放；（ ）b) 應(yīng)提供異地數(shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時批量傳送至備用場地；（ ）c) 應(yīng)采用冗余技術(shù)設(shè)計網(wǎng)絡(luò)拓撲結(jié)構(gòu)，避免關(guān)鍵節(jié)點存在單點故障；（ ）d) 應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。（ ）6. 安全管理制度　 管理制度（G3）本項要求包括：a) 應(yīng)制定信息安全工作的總體方針和安全策略，說明機構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等；（ ）b) 應(yīng)對安全管理活動中的各類管理內(nèi)容建立安全管理制度；（ ）c) 應(yīng)對要求管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程；（ ）d) 應(yīng)形成由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。（ ）　 制定和發(fā)布（G3）本項要求包括：a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)安全管理制度的制定；（ ）b) 安全管理制度應(yīng)具有統(tǒng)一的格式，并進行版本控制；（ ）c) 應(yīng)組織相關(guān)人員對制定的安全管理制度進行論證和審定；（ ）d) 安全管理制度應(yīng)通過正式、有效的方式發(fā)布；（ ）e) 安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進行登記。（ ）　 評審和修訂（G3）本項要求包括：a) 信息安全領(lǐng)導(dǎo)小組應(yīng)負責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進行審定；（ ）b) 應(yīng)定期或不定期對安全管理制度進行檢查和審定，對存在不足或需要改進的安全管理制度進行修訂。（ ）7. 安全管理機構(gòu)　 崗位設(shè)置（G3）本項要求包括：a) 應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管、安全管理各個方面的負責(zé)人崗位，并定義各負責(zé)人的職責(zé)；（ ）b) 應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個工作崗位的職責(zé)；（ ）c) 應(yīng)成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；（ ）d) 應(yīng)制定文件明確安全管理機構(gòu)各個部門和崗位的職責(zé)、分工和技能要求。（ ）　 人員配備（G3）本項要求包括：a) 應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等；（ ）b) 應(yīng)配備專職安全管理員，不可兼任；（ ）c) 關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。（ ）　 授權(quán)和審批（G3）本項要求包括：a) 應(yīng)根據(jù)各個部門和崗位的職責(zé)明確授權(quán)審批事項、審批部門和批準(zhǔn)人等；（ ）b) 應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項建立審批程序，按照審批程序執(zhí)行審批過程，對重要活動建立逐級審批制度；（ ）c) 應(yīng)定期審查審批事項，及時更新需授權(quán)和審批的項目、審批部門和審批人等信息；（ ）d) 應(yīng)記錄審批過程并保存審批文檔。（ ）　 溝通和合作（G3）本項要求包括：a) 應(yīng)加強各類管理人員之間、組織內(nèi)部機構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通，定期或不定期召開協(xié)調(diào)會議，共同協(xié)作處理信息安全問題； （ ）b) 應(yīng)加強與兄弟單位、公安機關(guān)、電信公司的合作與溝通；（ ）c) 應(yīng)加強與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通；（ ）d) 應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息；（ ）e) 應(yīng)聘請信息安全專家作為常年的安全顧問，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評審等。（ ）　 審核和檢查（G3）本項要求包括：a) 安全管理員應(yīng)負責(zé)定期進行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；（ ）b) 應(yīng)由內(nèi)部人員或上級單位定期進行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；（ ）c) 應(yīng)制定安全檢查表格實施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報告，并對安全檢查結(jié)果進行通報；（ ）d) 應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作，定期按照程序進行安全審核和安全檢查活動。（ ）8. 人員安全管理　 人員錄用（G3）本項要求包括：a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)人員錄用；（ ）b) 應(yīng)嚴(yán)格規(guī)范人員錄用過程，對被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進行審查，對其所具有的技術(shù)技能進行考核；（ ）c) 應(yīng)簽署保密協(xié)議；（ ）d) 應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員，并簽署崗位安全協(xié)議。（ ）　 人員離崗（G3）本項要求包括：a) 應(yīng)嚴(yán)格規(guī)范人員離崗過程，及時終止離崗員工的所有訪問權(quán)限；（ ）b) 應(yīng)取回各種身份證件、鑰匙、徽章等以及機構(gòu)提供的軟硬件設(shè)備；（ ）c) 應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)，關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開。（ ）　 人員考核（G3）本項要求包括：a) 應(yīng)定期對各個崗位的人員進行安全技能及安全認知的考核；（ ）b) 應(yīng)對關(guān)鍵崗位的人員進行全面、嚴(yán)格的安全審查和技能考核；（ ）c) 應(yīng)對考核結(jié)果進行記錄并保存。（ ）　 安全意識教育和培訓(xùn)（G3）本項要求包括：a) 應(yīng)對各類人員進行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)；（ ）b) 應(yīng)對安全責(zé)任和懲戒措施進行書面規(guī)定并告知相關(guān)人員，對違反違背安全策略和規(guī)定的人員進行懲戒； （ ）c) 應(yīng)對定期安全教育和培訓(xùn)進行書面規(guī)定，針對不同崗位制定不同的培訓(xùn)計劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進行培訓(xùn)；（ ）d) 應(yīng)對安全教育和培訓(xùn)的情況和結(jié)果進行記錄并歸檔保存。（ ）　 外部人員訪問管理（G3）本項要求包括：a) 應(yīng)確保在外部人員訪問受控區(qū)域前先提出書面申請，批準(zhǔn)后由專人全程陪同或監(jiān)督，并登記備案；（ ）b) 對外部人員允許訪問的區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進行書面的規(guī)定，并按照規(guī)定執(zhí)行。（ ）9. 系統(tǒng)建設(shè)管理　 系統(tǒng)定級（G3）本項要求包括：a) 應(yīng)明確信息系統(tǒng)的邊界和安全保護等級； （ ）b) 應(yīng)以書面的形式說明確定信息系統(tǒng)為某個安全保護等級的方法和理由；（ ）c) 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對信息系統(tǒng)定級結(jié)果的合理性和正確性進行論證和審定；（ ）d) 應(yīng)確保信息系統(tǒng)的定級結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)。（ ）　 安全方案設(shè)計（G3） 本項要求包括：a) 應(yīng)根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，并依據(jù)風(fēng)險分析的結(jié)果補充和調(diào)整安全措施；（ ）b) 應(yīng)指定和授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進行總體規(guī)劃，制定近期和遠期的安全建設(shè)工作計劃；（ ）c) 應(yīng)根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細設(shè)計方案，并形成配套文件；（ ）d) 應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件的合理性和正確性進行論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式實施；（ ）e) 應(yīng)根據(jù)等級測評、安全評估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細設(shè)計方案等相關(guān)配套文件。（ ）　 產(chǎn)品采購和使用（G3）本項要求包括：a) 應(yīng)確保安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定；（ ）b) 應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求；（ ）c) 應(yīng)指定或授權(quán)專門的部門負責(zé)產(chǎn)品的采購； （ ）d) 應(yīng)預(yù)先對產(chǎn)品進行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單。（ ）　 自行軟件開發(fā)（G3）本項要求包括：a) 應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開，開發(fā)人員和測試人員分離，測試數(shù)據(jù)和測試結(jié)果受到控制；（ ）b) 應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則；（ ）c) 應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼；（ ）d) 應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南，并由專人負責(zé)保管；（ ）e) 應(yīng)確保對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準(zhǔn)。（ ）　 外包軟件開發(fā)（G3）本項要求包括：a) 應(yīng)根據(jù)開發(fā)需求檢測軟件質(zhì)量；（ ）b) 應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼；（ ）c) 應(yīng)要求開發(fā)單位提供軟件設(shè)計的相關(guān)文檔和使用指南；（ ）d) 應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門。（ ）　 工程實施（G3）本項要求包括：a) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)工程實施過程的管理；（ ）b) 應(yīng)制定詳細的工程實施方案控制實施過程，并要求工程實施單位能正式地執(zhí)行安全工程過程；（ ）c) 應(yīng)制定工程實施方面的管理制度，明確說明實施過程的控制方法和人員行為準(zhǔn)則。（ ）　 測試驗收（G3）本項要求包括：a) 應(yīng)委托公正的第三方測試單位對系統(tǒng)進行安全性測試，并出具安全性測試報告；（ ）b) 在測試驗收前應(yīng)根據(jù)設(shè)計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應(yīng)詳細記錄測試驗收結(jié)果，并形成測試驗收報告；（ ）c) 應(yīng)對系統(tǒng)測試驗收的控制方法和人員行為準(zhǔn)則進行書面規(guī)定；（ ）d) 應(yīng)指定或授權(quán)專門的部門負責(zé)系統(tǒng)測試驗收的管理，并按照管理規(guī)定的要求完成系統(tǒng)測試驗收工作；（ ）e) 應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗收報告進行審定，并簽字確認。（ ）　 系統(tǒng)交付（G3）本項要求包括：a) 應(yīng)制定詳細的系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進行清點；（ ）b) 應(yīng)對負責(zé)系統(tǒng)運行維護的技術(shù)人員進行相應(yīng)的技能培訓(xùn)；（ ）c) 應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進行系統(tǒng)運行維護的文檔；（ ）d) 應(yīng)對系統(tǒng)交付的控制方法和人員行為準(zhǔn)則進行書面規(guī)定；（ ）e) 應(yīng)指定或授權(quán)專門的部門負責(zé)系統(tǒng)交付的管理工作，并按照管理規(guī)定的要求完成系統(tǒng)交付工作。（ ）　 系統(tǒng)備案（G3）本項要求包括：a) 應(yīng)指定專門的部門或人員負責(zé)管理系統(tǒng)定級的相關(guān)材料，并控制這些材料的使用；（ ）b) 應(yīng)將系統(tǒng)等級及相關(guān)材料報系統(tǒng)主管部門備案；（ ）c) 應(yīng)將系統(tǒng)等級及其他要求的備案材料報相應(yīng)公安機關(guān)備案。（ ）　 等級測評（G3）本項要求包括：a) 在系統(tǒng)運行過程中，應(yīng)至少每年對系統(tǒng)進行一次等級測評，發(fā)現(xiàn)不符合相應(yīng)等級保護標(biāo)準(zhǔn)要求的及時整改；（ ）b) 應(yīng)在系統(tǒng)發(fā)生變更時及時對系統(tǒng)進行等級測評，發(fā)現(xiàn)級別發(fā)生變化的及時調(diào)整級別并進行安全改造，發(fā)現(xiàn)不符合相應(yīng)等級保護標(biāo)準(zhǔn)要求的及時整改；（ ）c) 應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測評單位進行等級測評；（ ）d) 應(yīng)指定或授權(quán)專門的部門或人員負責(zé)等級測評的管理。（ ）　 安全服務(wù)商選擇（G3）本項要求包括：a) 應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定；（ ）b) 應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責(zé)任；（ ）c) 應(yīng)確保選定的安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾，必要的與其簽訂服務(wù)合同。（ ）10. 系統(tǒng)運維管理　 環(huán)境管理（G3）本項要求包括：a) 應(yīng)指定專門的部門或人員定期對機房供配電、空調(diào)、溫濕度控制等設(shè)施進行維護管理；（ ）b) 應(yīng)指定部門負責(zé)機房安全，并配備機房安全管理人員，對機房的出入、服務(wù)器的開機或關(guān)機等工作進行管理；（ ）c) 應(yīng)建立機房安全管理制度，對有關(guān)機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定；（ ）d) 應(yīng)加強對辦公環(huán)境的保密性管理，規(guī)范辦公環(huán)境人員行為，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙、不在辦公區(qū)接待來訪人員、工作人員離開座位應(yīng)確保終端計算機退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等。（ ）　 資產(chǎn)管理（G3）本項要求包括：a) 應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容；（ ）b) 應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門，并規(guī)范資產(chǎn)管理和使用的行為；（ ）c) 應(yīng)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標(biāo)識管理，根據(jù)資產(chǎn)的價值選擇相應(yīng)的管理措施；（ ）d) 應(yīng)對信息分類與標(biāo)識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行規(guī)范化管理。（ ）　 介質(zhì)管理（G3）本項要求包括：a) 應(yīng)建立介質(zhì)安全管理制度，對介質(zhì)的存放環(huán)境、使用、維護和銷毀等方面作出規(guī)定；（ ） b) 應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護，并實行存儲環(huán)境專人管理；