信息系統(tǒng)建設管理制度(編輯修改稿)
2025-01-20 16:56 本頁面
【文章內(nèi)容簡介】 項目安全立項 審批后，項目審批單位將對項目進行立項，在《信息 系統(tǒng) 項目任務書》的以下條目中應增加相應的計算機安全方面的內(nèi)容： 1)項目的管理模式、組織結構和責任：增加項目建設中的安全管理模式、安全組織結構以及人員的安全職責； 2)項目實施的基本程序和相應的管理要求：增加項目建設實施中的安全操作程序和相應安全管理要求； 3)項目設計目標、主要內(nèi)容和關鍵技術：增加總體安全目標、安全對策以及用于實現(xiàn)安全對策的總體安全方案； 4)項目實現(xiàn)功能和性能指標：增加描述系統(tǒng) 擁有的具體安全功能以及安全功能的強度； 5)項目驗收考核指標：增加安全性測試和考核指標。 第二十一條 立項的項目，如采用引進、合作開發(fā)或者外包開發(fā)等形式，則需與第三方簽訂安全保密協(xié)議。 第六章 項目實施方案和實施過程安全管理標準 第二十二條 信息化項目實施階段包括 3 個子階段：概要設計、詳細設計和項目實施，本階段的主要工作由項目開發(fā)承擔單位來完成，項目審批單位負責監(jiān)督工作。 第二十三條 概要設計子階段的安全要求 在概要設計階段，系統(tǒng)層次上的設計要求和功能指標都被分配到了子系統(tǒng)層次上，這個子階段的安全目標是保證 各子系統(tǒng)設計實現(xiàn)了總體安全方案中的安全功能。因此，《概要設計說明書》中至少應達到以下安全要求： 1)應當按子系統(tǒng)來描述系統(tǒng)的安全體系結構； 2)應當描述每一個子系統(tǒng)所提供的安全功能； 3)應當標識所要求的任何基礎性的硬件、固件或軟件，和在這些硬件、固件或軟件中實現(xiàn)的支持性保護機制提供的功能表示； 4)應當標識子系統(tǒng)的所有接口，并說明哪些接口是外部可見的； 5)描述子系統(tǒng)所有接口的用途與使用方法，并適當提供影響、例外情況和錯誤消息的細節(jié)； 6)確證子系統(tǒng)（不論是開發(fā)的，還是買來的）的安全功能指標滿足系統(tǒng)安全需 求。 第二十四條 詳細設計子階段的安全要求 無論是新開發(fā)一個系統(tǒng)，或是對一個系統(tǒng)進行修改，本階段的任務是完成那些不能買到現(xiàn)成品的軟硬件模塊的設計。先要完成每個模塊的詳細設計方案，最后根據(jù)每個模塊的詳細設計得到整個系統(tǒng)的詳細設計。本子階段的安全目標是保證各模塊設計實現(xiàn)了概要設計中的安全功能，因此在這一階段的《詳細設計說明書》中至少要包括以下信息安全內(nèi)容： 1） 詳細設計中應提出相應的具體安全方案，標明實現(xiàn)的安全功能，并應檢查其技術原理； 2） 對系統(tǒng)層面上的和模塊層面上的安全設計進行審查； 3） 完成安全測試和評估 要求（通常包括完整的系統(tǒng)的、軟件的、硬件的安全測試方案，至少是相關測試程序的一個草案）； 4） 確認各模塊的設計，以及模塊間的接口設計能滿足系統(tǒng)層面的安全要求。 第二十五條 項目實施子階段的安全要求 無論是新開發(fā)一個系統(tǒng)或是進行系統(tǒng)修改，本階段的主要目的是將所有的模塊（軟硬件）集成為完整的系統(tǒng)，并且檢查確認集成以后的系統(tǒng)符合要求。本階段中，應完成以下具體信息安全工作： 1)更新系統(tǒng)安全威脅評估，預測系統(tǒng)的使用壽命； 2)找出并描述實現(xiàn)安全方案后系統(tǒng)和模塊的安全要求和限制，以及相關的系統(tǒng)驗證機制及檢查方法； 3)完善系統(tǒng)的運行程序和全生命期支持的安全計劃，如密鑰的分發(fā)等； 4)在《系統(tǒng)集成操作手冊》中，應制定安全集成的操作程序； 5)在《系統(tǒng)修改操作手冊》中，應制定系統(tǒng)修改的安全操作程序； 6)對項目參與人員進行信息安全意識培訓； 7)并對參加項目建設的安全管理和技術人員的安全職責進行檢查。 第二十六條 在系統(tǒng)實施階段需要采購的網(wǎng)絡安全設備必須由公司進行統(tǒng)一采購，并確保采購的設備至少符合下面的要求： 1)網(wǎng)絡安全設備選型應根據(jù)國家電力行業(yè)有關規(guī)定選擇經(jīng)過國家有關權威部門的測評或認證的產(chǎn)品。 2)所有安全設備后均需 進行嚴格檢測，凡購回的設備均應在測試環(huán)境下經(jīng)過連續(xù) 72 小時以上的單機運行測試和聯(lián)機 48 小時的應用系統(tǒng)兼容性運行測試。嚴禁將未經(jīng)測試驗收或驗收不合格的設備交付使用。 3)通過上述測試后，設備才能進入試運行階段。試運行時間的長短可根據(jù)需要自行確定。通過試運行的設備，才能投入生產(chǎn)系統(tǒng)，正式運行。 第二十七條 在軟件的開發(fā)被外包的地方，應當考慮如下幾點： 1)檢查代碼的所有權和知識產(chǎn)權情況； 2)質量合格證和所進行的工作的精確度； 3)在第三方發(fā)生故障的情況下，有第三方備份保存； 4)進行質量審核； 5)在合同上有 代碼質量方面的要求； 6)在安裝之前進行測試以檢測特洛伊代碼； 7)提供源代碼以及相關設計、實施文檔； 8)重要的項目建設中還要要對源代碼進行審核。 第二十八條 計算機系統(tǒng)集成的信息技術產(chǎn)品（如操作系統(tǒng)、數(shù)據(jù)庫等）或安全專用產(chǎn)品（如防火墻、 IDS 等）應達到以下要求： 1)對項目實施所需的計算機及配套設備、網(wǎng)絡設備、重要機具（如 ATM）、 計算機軟件產(chǎn)品的購置，計算機應用系統(tǒng)的合作開發(fā)或者外包開發(fā)的確定，按現(xiàn)有制度中的相關規(guī)定執(zhí)行； 2)安全產(chǎn)品的采購必須由公司進行統(tǒng)一
環(huán)評公示相關推薦
鄂ICP備17016276號-1