【文章內(nèi)容簡(jiǎn)介】 夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測(cè)和報(bào)警。128.應(yīng)提供服務(wù)優(yōu)先級(jí)設(shè)定功能，并在安裝后根據(jù)安全策略設(shè)定訪問(wèn)帳戶或請(qǐng)求進(jìn)程的優(yōu)先級(jí)，根據(jù)優(yōu)先級(jí)分配系統(tǒng)資源。數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性129.應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過(guò)程中完整性受到破壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。訪談，檢查。系統(tǒng)管理員，網(wǎng)絡(luò)管理員，安全管理員，數(shù)據(jù)庫(kù)管理員，應(yīng)用系統(tǒng)，設(shè)計(jì)/驗(yàn)收文檔，相關(guān)證明性材料（如證書、檢驗(yàn)報(bào)告等）。130.應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲(chǔ)過(guò)程中完整性受到破壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。數(shù)據(jù)保密性131.應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性。訪談，檢查，測(cè)試。系統(tǒng)管理員，網(wǎng)絡(luò)管理員，安全管理員，數(shù)據(jù)庫(kù)管理員，應(yīng)用系統(tǒng)，設(shè)計(jì)/驗(yàn)收文檔，相關(guān)證明性材料（如證書、檢驗(yàn)報(bào)告等）132.應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密性。備份和恢復(fù)133.應(yīng)提供本地?cái)?shù)據(jù)備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場(chǎng)外存放。訪談，檢查，測(cè)試。系統(tǒng)管理員，網(wǎng)絡(luò)管理員，數(shù)據(jù)庫(kù)管理員，安全管理員，主機(jī)操作系統(tǒng)，網(wǎng)絡(luò)設(shè)備操作系統(tǒng)，數(shù)據(jù)庫(kù)管理系統(tǒng)，應(yīng)用系統(tǒng)，設(shè)計(jì)/驗(yàn)收文檔，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。134.應(yīng)提供異地?cái)?shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)批量傳送至備用場(chǎng)地。135.應(yīng)采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避免關(guān)鍵節(jié)點(diǎn)存在單點(diǎn)故障。136.應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。二、管理類測(cè)評(píng)要求等級(jí)保護(hù)三級(jí)管理類測(cè)評(píng)控制點(diǎn)類別序號(hào)測(cè)評(píng)內(nèi)容測(cè)評(píng)方法結(jié)果記錄符合情況YNO安全管理機(jī)構(gòu)崗位設(shè)置137.應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管人、安全管理各個(gè)方面的負(fù)責(zé)人崗位，定義各負(fù)責(zé)人的職責(zé)。訪談，檢查。安全主管，安全管理某方面的負(fù)責(zé)人，部門、崗位職責(zé)文件。138.應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各個(gè)工作崗位的職 責(zé)。139.應(yīng)成立指導(dǎo)和管理信息安全工作的委員會(huì)或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)。140.應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。人員配備141.應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。訪談，檢查。安全主管，人員配備要求的相關(guān)文檔，管理人員名單。142.應(yīng)配備專職安全管理員，不可兼任。143.關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。授權(quán)和審批144.應(yīng)根據(jù)各個(gè)部門和崗位的職責(zé)明確授權(quán)審批事項(xiàng)、審批部門和批準(zhǔn)人等。訪談，檢查。安全主管，關(guān)鍵活動(dòng)的批準(zhǔn)人，審批事項(xiàng)列表，審批文檔。145.應(yīng)針對(duì)系統(tǒng)變更、重要操作、物理訪問(wèn)和系統(tǒng)接入等事項(xiàng)建立審批程序，按照審批程序執(zhí)行審批過(guò)程，對(duì)重要活動(dòng)建立逐級(jí)審批制度。146.應(yīng)定期審查審批事項(xiàng)，及時(shí)更新需授權(quán)和審批的項(xiàng)目、審批部門和審批人等信息。147.應(yīng)記錄審批過(guò)程并保存審批文檔。溝通和合作148.應(yīng)加強(qiáng)各類管理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通，定期或不定期召開(kāi)協(xié)調(diào)會(huì)議，共同協(xié)作處理信息安全問(wèn)題。訪談，檢查。安全主管，安全管理人員，會(huì)議文件，會(huì)議記錄，外聯(lián)單位說(shuō)明文檔。`149.應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通。150.應(yīng)加強(qiáng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通。151.應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息。152.應(yīng)聘請(qǐng)信息安全專家作為常年的安全顧問(wèn)，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評(píng)審等。審核和檢查153.安全管理員應(yīng)負(fù)責(zé)定期進(jìn)行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況。訪談，檢查。安全主管，安全員，安全檢查記錄。154.應(yīng)由內(nèi)部人員或上級(jí)單位定期進(jìn)行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等。155.應(yīng)制定安全檢查表格實(shí)施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報(bào)告，并對(duì)安全檢查結(jié)果進(jìn)行通報(bào)。156.應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作，定期按照程序進(jìn)行安全審核和安全檢查活動(dòng)。安全管理制度管理制度157.應(yīng)制定信息安全工作的總體方針和安全策略，說(shuō)明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等。訪談，檢查。安全主管，總體方針、政策性文件和安全策略文件，安全管理制度清單，操作規(guī)程。158.應(yīng)對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度。159.應(yīng)對(duì)要求管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程。160.應(yīng)形成由安全策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。制定和發(fā)布161.應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)安全管理制度的制定。訪談，檢查。安全主管，制度制定和發(fā)布要求管理文檔，評(píng)審記錄，安全管理制度。162.安全管理制度應(yīng)具有統(tǒng)一的格式，并進(jìn)行版本控制。163.應(yīng)組織相關(guān)人員對(duì)制定的安全管理制度進(jìn)行論證和審定。164.安全管理制度應(yīng)通過(guò)正式、有效的方式發(fā)布。165.安全管理制度應(yīng)注明發(fā)布范圍，并對(duì)收發(fā)文進(jìn)行登記。評(píng)審和修訂166.信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)安全管理制度體系的合理性和適用性進(jìn)行審定。訪談，檢查。安全主管，安全管理制度列表，評(píng)審記錄。167.應(yīng)定期或不定期對(duì)安全管理制度進(jìn)行檢查和審定，對(duì)存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂。人員安全管理人員錄用168.應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用。訪談，檢查。人事負(fù)責(zé)人，人事工作人員，人員錄用要求管理文檔，人員審查文檔或記錄，考核文檔 或記錄，保密協(xié)議。169.應(yīng)嚴(yán)格規(guī)范人員錄用過(guò)程，對(duì)被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查，對(duì)其所具有的技術(shù)技能進(jìn)行考核。170.應(yīng)簽署保密協(xié)議。171.應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員，并簽署崗位安全協(xié)議。人員離崗172.應(yīng)嚴(yán)格規(guī)范人員離崗過(guò)程，及時(shí)終止離崗員工的所有訪問(wèn)權(quán)限。訪談，檢查。安全主管，人事工作人員，安全處理記錄，保密承諾文檔。173.應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備。174.應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)，關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開(kāi)。人員考核175.應(yīng)定期對(duì)各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核。訪談。安全主管，人事工作人員。176.應(yīng)對(duì)關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核。177.應(yīng)對(duì)考核結(jié)果進(jìn)行記錄并保存。安全意識(shí)教育和培訓(xùn)178.應(yīng)對(duì)各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。訪談，檢查。安全主管，安全員，系統(tǒng)管理員，網(wǎng)絡(luò)管理員，培訓(xùn)計(jì)劃，培訓(xùn)記錄.179.應(yīng)對(duì)安全責(zé)任和懲戒措施進(jìn)行書面規(guī)定并告知相關(guān)人員，對(duì)違反違背安全策略和規(guī)定的人員進(jìn)行懲戒。180.應(yīng)對(duì)定期安全教育和培訓(xùn)進(jìn)行書面規(guī)定，針對(duì)不同崗位制定不同的培訓(xùn)計(jì)劃，對(duì)信息安全基礎(chǔ)知識(shí)、崗位操作規(guī)程等進(jìn)行培訓(xùn)。181.應(yīng)對(duì)安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保存。外部人員訪問(wèn)管理182.應(yīng)確保在外部人員訪問(wèn)受控區(qū)域前先提出書面申請(qǐng)，批準(zhǔn)后由專人全程陪同或監(jiān)督，并登記備案。訪談，檢查。安全主管，安全管理人員，安全責(zé)任合同書或保密協(xié)議，第三方人員訪問(wèn)管理文檔，登 記記錄。183.對(duì)外部人