【文章內(nèi)容簡介】 （產(chǎn)品選型測試結(jié)果文檔）1應(yīng)具有軟件設(shè)計相關(guān)文檔，專人保管軟件設(shè)計的相關(guān)文檔，應(yīng)具有軟件使用指南或操作手冊1對程序資源庫的修改、更新、發(fā)布應(yīng)進行授權(quán)和批準1應(yīng)具有程序資源庫的修改、更新、發(fā)布文檔或記錄1軟件交付前應(yīng)依據(jù)開發(fā)協(xié)議的技術(shù)指標對軟件功能和性能等進行驗收檢測1軟件安裝之前應(yīng)檢測軟件中的惡意代碼（該軟件包的惡意代碼檢測報告），檢測工具是否是第三方的商業(yè)產(chǎn)品1應(yīng)具有軟件設(shè)計的相關(guān)文檔和使用指南1應(yīng)具有需求分析說明書、軟件設(shè)計說明書、軟件操作手冊等開發(fā)文檔應(yīng)指定專門部門或人員按照工程實施方案的要求對工程實施過程進行進度和質(zhì)量控制2應(yīng)具有工程實施過程應(yīng)按照實施方案形成各種文檔，如階段性工程進程匯報報告，工程實施方案2在信息系統(tǒng)正式運行前，應(yīng)委托第三方測試機構(gòu)根據(jù)設(shè)計方案或合同要求對信息系統(tǒng)進行獨立的安全性測試（第三方測試機構(gòu)出示的系統(tǒng)安全性測試驗收報告）2應(yīng)具有工程測試驗收方案（測試驗收方案與設(shè)計方案或合同要求內(nèi)容一致）2應(yīng)具有測試驗收報告2應(yīng)指定專門部門負責測試驗收工作（具有對系統(tǒng)測試驗收報告進行審定的意見）2根據(jù)交付清單對所交接的設(shè)備、文檔、軟件等進行清點（系統(tǒng)交付清單）2應(yīng)具有系統(tǒng)交付時的技術(shù)培訓記錄2應(yīng)具有系統(tǒng)建設(shè)文檔（如系統(tǒng)建設(shè)方案）、指導用戶進行系統(tǒng)運維的文檔（如服務(wù)器操作規(guī)程書）以及系統(tǒng)培訓手冊等文檔。2應(yīng)指定部門負責系統(tǒng)交付工作應(yīng)具有與產(chǎn)品供應(yīng)商、軟件開發(fā)商、系統(tǒng)集成商、系統(tǒng)運維商和等級測評機構(gòu)等相關(guān)安全服務(wù)商簽訂的協(xié)議（文檔中有保密范圍、安全責任、違約責任、協(xié)議的有效期限和責任人的簽字等內(nèi)容3選定的安全服務(wù)商應(yīng)提供一定的技術(shù)培訓和服務(wù)3應(yīng)與安全服務(wù)商簽訂的服務(wù)合同或安全責任合同書六、系統(tǒng)運維管理應(yīng)指定專人或部門對機房的基本設(shè)施（如空調(diào)、供配電設(shè)備等）進行定期維護，由何部門/何人負責。應(yīng)具有機房基礎(chǔ)設(shè)施的維護記錄，空調(diào)、溫濕度控制等機房設(shè)施定期維護保養(yǎng)的記錄應(yīng)指定部門和人員負責機房安全管理工作應(yīng)對辦公環(huán)境保密性進行管理（工作人員離開座位確保終端計算機退出登錄狀態(tài)、桌面上沒有包含敏感信息的紙檔文件）應(yīng)具有資產(chǎn)清單（覆蓋資產(chǎn)責任人、所屬級別、所處位置、所處部門等方面）應(yīng)指定資產(chǎn)管理的責任部門或人員應(yīng)依據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標識介質(zhì)存放于何種環(huán)境中，應(yīng)對存放環(huán)境實施專人管理（介質(zhì)存放在安全的環(huán)境（防潮、防盜、防火、防磁，專用存儲空間））應(yīng)具有介質(zhì)使用管理記錄，應(yīng)記錄介質(zhì)歸檔和使用等情況（介質(zhì)存放、使用管理記錄）對介質(zhì)的物理傳輸過程應(yīng)要求選擇可靠傳輸人員、嚴格介質(zhì)的打包（如采用防拆包裝置）、選擇安全的物理傳輸途徑、雙方在場交付等環(huán)節(jié)的控制1應(yīng)對介質(zhì)的使用情況進行登記管理，并定期盤點（介質(zhì)歸檔和查詢的記錄、存檔介質(zhì)定期盤點的記錄）1對送出維修或銷毀的介質(zhì)如何管理，銷毀前應(yīng)對數(shù)據(jù)進行凈化處理。（對帶出工作環(huán)境的存儲介質(zhì)是否進行內(nèi)容加密并有領(lǐng)導批準。對保密性較高的介質(zhì)銷毀前是否有領(lǐng)導批準）（送修記錄、帶出記錄、銷毀記錄）1應(yīng)對某些重要介質(zhì)實行異地存儲，異地存儲環(huán)境是否與本地環(huán)境相同（防潮、防盜、防火、防磁，專用存儲空間）1介質(zhì)上應(yīng)具有分類的標識或標簽1應(yīng)對各類設(shè)施、設(shè)備指定專人或?qū)ｉT部門進行定期維護。1應(yīng)具有設(shè)備操作手冊1應(yīng)對帶離機房的信息處理設(shè)備經(jīng)過審批流程，由何人審批（審批記錄）1應(yīng)監(jiān)控主機、網(wǎng)絡(luò)設(shè)備和應(yīng)用系統(tǒng)的運行狀況等1應(yīng)有相關(guān)網(wǎng)絡(luò)監(jiān)控系統(tǒng)或技術(shù)措施能夠?qū)νㄐ啪€路、主機、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行監(jiān)測和報警應(yīng)具有日常運維的監(jiān)控日志記錄和運維交接日志記錄2應(yīng)定期對監(jiān)控記錄進行分析、評審2應(yīng)具有異常現(xiàn)象的現(xiàn)場處理記錄和事后相關(guān)的分析報告2應(yīng)建立安全管理中心，對設(shè)備狀態(tài)、惡意代碼、補丁升級、安全審計等相關(guān)事項進行集中管理2應(yīng)指定專人負責維護網(wǎng)絡(luò)安全管理工作2應(yīng)對網(wǎng)絡(luò)設(shè)備進行過升級，更新前應(yīng)對現(xiàn)有的重要文件是否進行備份（網(wǎng)絡(luò)設(shè)備運維維護工作記錄）2應(yīng)對網(wǎng)絡(luò)進行過漏洞掃描，并對發(fā)現(xiàn)的漏洞進行及時修補。2對設(shè)備的安全配置應(yīng)遵循最小服務(wù)原則，應(yīng)對配置文件進行備份（具有網(wǎng)絡(luò)設(shè)備配置數(shù)據(jù)的離線備份）2系統(tǒng)網(wǎng)絡(luò)的外聯(lián)種類（互聯(lián)網(wǎng)、合作伙伴企業(yè)網(wǎng)、上級部門網(wǎng)絡(luò)等）應(yīng)都得到授權(quán)與批準，由何人/何部門批準。應(yīng)定期檢查違規(guī)聯(lián)網(wǎng)的行為。2對便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入應(yīng)進行限制管理應(yīng)具有內(nèi)部網(wǎng)絡(luò)外聯(lián)的授權(quán)批準書，應(yīng)具有網(wǎng)絡(luò)違規(guī)行為（如撥號上網(wǎng)等）的檢查手段和工具。3在安裝系統(tǒng)補丁程序前應(yīng)經(jīng)過測試，并對重要文件進行備份。3應(yīng)有補丁測試記錄和系統(tǒng)補丁安裝操作記錄3應(yīng)對系統(tǒng)管理員用戶進行分類（比如：劃分不同的管理角色，系統(tǒng)管理權(quán)限與安全審計權(quán)限分離等）3審計員應(yīng)定期對系統(tǒng)審計日志進行分析（有定期對系統(tǒng)運行日志和審計數(shù)據(jù)的分析報告）3應(yīng)對員工進行基本惡意代碼防范意識的教育，如告知應(yīng)及時升級軟件版本（對員工的惡意代碼防范教育的相關(guān)培訓文檔）3應(yīng)指定專人對惡意代碼進行檢測，并保存記錄。3應(yīng)具有對網(wǎng)絡(luò)和主機進行惡意代碼檢測的記錄3應(yīng)對惡意代碼庫的升級情況進行記錄（代碼庫的升級記錄），對各類防病毒產(chǎn)品上截獲的惡意代碼是否進行分析并匯總上報。是否出現(xiàn)過大規(guī)模的病毒事件，如何處理3應(yīng)具有惡意代碼檢測記錄、惡意代碼庫升級記錄和分析報告 應(yīng)具有變更方案評審記錄和變更過程記錄文檔。4重要系統(tǒng)的變更申請書，應(yīng)具有主管領(lǐng)導的批準4系統(tǒng)管理員、數(shù)據(jù)庫管理員和網(wǎng)絡(luò)管理員應(yīng)識別需定期備份的業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)（備份文件記錄）4應(yīng)定期執(zhí)行恢復程序，檢查和測試備份介質(zhì)的有效性4應(yīng)有系統(tǒng)運維過程中發(fā)現(xiàn)的安全弱點和可疑事件對應(yīng)的報告或相關(guān)文檔4應(yīng)對安全事件記錄分析文檔4應(yīng)具有不同事件的應(yīng)急預案4應(yīng)具有應(yīng)急響應(yīng)小組，應(yīng)具備應(yīng)急設(shè)備并能正常工作，應(yīng)急預案執(zhí)行所需資金應(yīng)做過預算并能夠落實。4應(yīng)對系統(tǒng)相關(guān)人員進行應(yīng)急預案培訓（應(yīng)急預案培訓記錄）4應(yīng)定期對應(yīng)急預案進行演練（應(yīng)急預案演練記錄）50、應(yīng)對應(yīng)急預案定期進行審查并更新5應(yīng)具有更新的應(yīng)急預案記錄、應(yīng)急預案審查記錄。第三篇：信息安全等級保護工作實施方案白魯?shù)A九年制學校信息安全等級保護工作實施方案為加強信息安全等級保護，規(guī)范信息安全等級保護管理，提高信息安全保障能力和水平，維護國家安全、社會穩(wěn)定和公共利益，保障和促進我校信息化建設(shè)。根據(jù)商教發(fā)【2011】321號文件精神，結(jié)合我校實際，制訂本實施方案。一、指導思想以科學發(fā)展觀為指導，以黨的十七大、十七屆五中全會精神為指針，深入貫徹執(zhí)行《信息安全等級保護管理辦法》等文件精神，全面推進信息安全等級保護工作，維護我校基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)安全穩(wěn)定運行。二、定級范圍學校管理、辦公系統(tǒng)、教育教學系統(tǒng)、財務(wù)管理等重要信息系統(tǒng)以及其他重要信息系統(tǒng)。三、組織領(lǐng)導（一）工作分工。定級工作由電教組牽頭，會同學校辦公室、安全保衛(wèi)處等共同組織實施。學校辦公室負責定級工作的部門間協(xié)調(diào)。安全保衛(wèi)處負責定級工作的監(jiān)督。電教組負責定級工作的檢查、指導、評審。各部門依據(jù)《信息安全等級保護管理辦法》和本方案要求，開展信息系統(tǒng)自評工作。（二）協(xié)調(diào)領(lǐng)導機制。成立領(lǐng)導小組，校長任組長，副校長任副組長、各部門負責人為成員，負責我校信息安全等級保護工作的領(lǐng)導、協(xié)調(diào)工作。督促各部門按照總體方案落實工作任務(wù)和責任，對等級保護工作整體推進情況進行檢查監(jiān)督，指導安全保密方案制定。成立由電教組牽頭的工作機構(gòu)，主要職責：在領(lǐng)導小組的領(lǐng)導下，切實抓好我校定級保護工作的日常工作。做好組織各信息系統(tǒng)運營使用部門參加信息系統(tǒng)安全等級保護定級相關(guān)會議；組織開展政策和技術(shù)培訓，掌握定級工作規(guī)范和技術(shù)要求，為定級工作打好基礎(chǔ)；全面掌握學校各部門定級保護工作的進展情況和存在的問題，對存在的問題及時協(xié)調(diào)解決，形成定級工作總結(jié)并按時上報領(lǐng)導小組。成立由赴省參加過計算機培訓的教師組成的評審組，主要負責：一是為我校信息與網(wǎng)絡(luò)安全提供技術(shù)支持與服務(wù)咨詢；二是參與信息安全等級保護定級評審工作；三是參與重要信息與網(wǎng)絡(luò)安全突發(fā)公共事件的分析研判和為領(lǐng)導決策提供