【正文】 存儲,并根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進行分類和標識管理。 設(shè)備管理(G3)本項要求包括:a) 應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備(包括備份和冗余設(shè)備)、線路等指定專門的部門或人員定期進行維護管理。b) 應(yīng)建立基于申報、審批和專人負責(zé)的設(shè)備安全管理制度,對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放和領(lǐng)用等過程進行規(guī)范化管理。c) 應(yīng)建立配套設(shè)施、軟硬件維護方面的管理制度,對其維護進行有效的管理,包括明確維護人員的責(zé)任、涉外維修和服務(wù)的審批、維修過程的監(jiān)督控制等。d) 應(yīng)對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進行規(guī)范化管理,按操作規(guī)程實現(xiàn)主要設(shè)備(包括備份和冗余設(shè)備)的啟動/停止、加電/斷電等操作。e) 應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機房或辦公地點。 監(jiān)控管理和安全管理中心(G3)本項要求包括:a) 應(yīng)對通信線路、主機、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行監(jiān)測和報警,形成記錄并妥善保存。b) 應(yīng)組織相關(guān)人員定期對監(jiān)測和報警記錄進行分析、評審,發(fā)現(xiàn)可疑行為,形成分析報告,并采取必要的應(yīng)對措施。c) 應(yīng)建立安全管理中心,對設(shè)備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進行集中管理。 網(wǎng)絡(luò)安全管理(G3)本項要求包括:a) 應(yīng)指定專人對網(wǎng)絡(luò)進行管理,負責(zé)運行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護和報警信息分析和處理工作。b) 應(yīng)建立網(wǎng)絡(luò)安全管理制度,對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規(guī)定。c) 應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進行更新,并在更新前對現(xiàn)有的重要文件進行備份。d) 應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進行漏洞掃描,對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補。e) 應(yīng)實現(xiàn)設(shè)備的最小服務(wù)配置,并對配置文件進行定期離線備份。f) 應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準。g) 應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入。h) 應(yīng)定期檢查違反規(guī)定撥號上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略的行為。 系統(tǒng)安全管理(G3)本項要求包括:a) 應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略。b) 應(yīng)定期進行漏洞掃描,對發(fā)現(xiàn)的系統(tǒng)安全漏洞及時進行修補。c) 應(yīng)安裝系統(tǒng)的最新補丁程序,在安裝系統(tǒng)補丁前,首先在測試環(huán)境中測試通過,并對重要文件進行備份后,方可實施系統(tǒng)補丁程序的安裝。d) 應(yīng)建立系統(tǒng)安全管理制度,對系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面作出具體規(guī)定。e) 應(yīng)指定專人對系統(tǒng)進行管理,劃分系統(tǒng)管理員角色,明確各個角色的權(quán)限、責(zé)任和風(fēng)險,權(quán)限設(shè)定應(yīng)當遵循最小授權(quán)原則。f) 應(yīng)依據(jù)操作手冊對系統(tǒng)進行維護,詳細記錄操作日志,包括重要的日常操作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容,嚴禁進行未經(jīng)授權(quán)的操作。g) 應(yīng)定期對運行日志和審計數(shù)據(jù)進行分析,以便及時發(fā)現(xiàn)異常行為。 惡意代碼防范管理(G3)本項要求包括:a) 應(yīng)提高所有用戶的防病毒意識,及時告知防病毒軟件版本,在讀取移動存儲設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前,先進行病毒檢查,對外來計算機或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進行病毒檢查。b) 應(yīng)指定專人對網(wǎng)絡(luò)和主機進行惡意代碼檢測并保存檢測記錄。c) 應(yīng)對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確規(guī)定。d) 應(yīng)定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫的升級情況并進行記錄,對主機防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲的危險病毒或惡意代碼進行及時分析處理,并形成書面的報表和總結(jié)匯報。 密碼管理(G3)應(yīng)建立密碼使用管理制度,使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。 變更管理(G3)本項要求包括:a) 應(yīng)確認系統(tǒng)中要發(fā)生的變更,并制定變更方案。b) 應(yīng)建立變更管理制度,系統(tǒng)發(fā)生變更前,向主管領(lǐng)導(dǎo)申請,變更和變更方案經(jīng)過評審、審批后方可實施變更,并在實施后將變更情況向相關(guān)人員通告。c) 應(yīng)建立變更控制的申報和審批文件化程序,對變更影響進行分析并文檔化,記錄變更實施過程,并妥善保存所有文檔和記錄。d) 應(yīng)建立中止變更并從失敗變更中恢復(fù)的文件化程序,明確過程控制方法和人員職責(zé),必要時對恢復(fù)過程進行演練。 備份與恢復(fù)管理(G3)本項要求包括:a) 應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等。b) 應(yīng)建立備份與恢復(fù)管理相關(guān)的安全管理制度,對備份信息的備份方式、備份頻度、存儲介質(zhì)和保存期等進行規(guī)范。c) 應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運行的影響,制定數(shù)據(jù)的備份策略和恢復(fù)策略,備份策略須指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運輸?shù)姆椒?。d) 應(yīng)建立控制數(shù)據(jù)備份和恢復(fù)過程的程序,對備份過程進行記錄,所有文件和記錄應(yīng)妥善保存。e) 應(yīng)定期執(zhí)行恢復(fù)程序,檢查和測試備份介質(zhì)的有效性,確?？梢栽诨謴?fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。 安全事件處置(G3)本項要求包括:a) 應(yīng)報告所發(fā)現(xiàn)的安全弱點和可疑事件,但任何情況下用戶均不應(yīng)嘗試驗證弱點。b) 應(yīng)制定安全事件報告和處置管理制度,明確安全事件的類型,規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)。c) 應(yīng)根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響,對本系統(tǒng)計算機安全事件進行等級劃分。d) 應(yīng)制定安全事件報告和響應(yīng)處理程序,確定事件的報告流程,響應(yīng)和處置的范圍、程度,以及處理方法等。e) 應(yīng)在安全事件報告和響應(yīng)處理過程中,分析和鑒定事件產(chǎn)生的原因,收集證據(jù),記錄處理過程,總結(jié)經(jīng)驗教訓(xùn),制定防止再次發(fā)生的補救措施,過程形成的所有文件和記錄均應(yīng)妥善保存。f) 對造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報告程序。 應(yīng)急預(yù)案管理(G3)本項要求包括:a) 應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案,應(yīng)急預(yù)案框架應(yīng)包括啟動應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培訓(xùn)等內(nèi)容。b) 應(yīng)從人力、設(shè)備、技術(shù)和財務(wù)等方面確保應(yīng)急預(yù)案的執(zhí)行有足夠的資源保障。c) 應(yīng)對系統(tǒng)相關(guān)的人員進行應(yīng)急預(yù)案培訓(xùn),應(yīng)急預(yù)案的培訓(xùn)應(yīng)至少每年舉辦一次。d) 應(yīng)定期對應(yīng)急預(yù)案進行演練,根據(jù)不同的應(yīng)急恢復(fù)內(nèi)容,確定演練的周期。e) 應(yīng)規(guī)定應(yīng)急預(yù)案需要定期審查和根據(jù)實際情況更新的內(nèi)容,并按照執(zhí)行。