【正文】 ，可作為計劃建設部審批項目立項的重要依據(jù)之一。216。 評估和論證安全管理各職能管理部門、各直屬單位進行項目立項申請前，在進行項目規(guī)劃和設計的過程中，應參照公司各安全技術規(guī)范中的相關技術要求進行安全建設；項目安全性論證對項目的安全需求分析、安全功能說明、安全設備、性能指標以及技術方案的技術可行性進行總體分析和審計；項目立項論證和評估過程中，公司信息安全辦公室負責IT項目安全性建設的技術部分論證和評估；在提交項目立項申請時，應在技術方案中增加安全方面的說明和文檔，內(nèi)容包括：n 根據(jù)公司安全規(guī)范中的要求，系統(tǒng)在建設過程中進行安全部署的說明；n 根據(jù)公司安全規(guī)范中的要求，系統(tǒng)在建設過程中無法實現(xiàn)的安全部署的說明和論證；n 系統(tǒng)在建設過程中具體的安全功能以及安全功能的實現(xiàn)方法和技術；n 系統(tǒng)在建設過程中所采用的安全設備的品牌、型號、性能指標說明以及對于業(yè)務系統(tǒng)的影響分析。IT項目安全性的論證和評估主要關注以下方面的內(nèi)容：n IT項目建設中網(wǎng)絡規(guī)劃中安全域的劃分、網(wǎng)絡冗余、網(wǎng)絡傳輸安全、網(wǎng)絡訪問控制、網(wǎng)絡邊界安全、遠程訪問安全；n IT項目建設中系統(tǒng)的性能、容量以及系統(tǒng)和業(yè)務的兼容性；n IT項目建設中應用系統(tǒng)中身份驗證、角色訪問控制、數(shù)據(jù)加密、備份、日志審計等安全功能；n IT項目建設中應用系統(tǒng)是否有后門、漏洞和不安全的隱患。 信息安全項目建設管理216。 項目建設管理的總體安全要求項目建設的生命周期與周期的子階段；項目管理生命周期項目管理生命周期的子階段項目申報需求分析總體方案設計項目審批和立項項目實施概要設計、詳細設計、系統(tǒng)實施項目驗收和投產(chǎn)項目驗收在項目的申報、審批、立項、實施、驗收等關鍵環(huán)節(jié)中，職能部門必須依照規(guī)定的職能行使職權，在接到業(yè)務生產(chǎn)部門申請的情況下，規(guī)定的時限內(nèi)完成各個環(huán)節(jié)的安全管理行為，否則須承擔相應的行政責任。216。 項目申報安全管理《業(yè)務需求書》除了描述系統(tǒng)業(yè)務需求之外，還須進行系統(tǒng)的安全性需求分析，至少包括以下信息安全方面的內(nèi)容：n 安全威脅分析報告n 系統(tǒng)脆弱性分析報告n 影響分析報告n 風險分析報告n 系統(tǒng)安全需求報告在《可性性分析報告》中須包括以下信息安全方面的內(nèi)容：n 項目目標、主要內(nèi)容與關鍵技術：增加項目的總體安全目標，并在主要內(nèi)容后面增加針對前面分析出的安全需求所提出的相應安全對策，每個安全需求都至少對應一個安全對策，安全對策的強度根據(jù)相應資產(chǎn)的重要性來選擇；n 項目采用的技術路線或者技術方案：增加描述如何從技術、運作、組織以及制度四個方面來實現(xiàn)所有的安全對策，并形成安全方案； n 項目的承建單位及人員情況介紹：增加項目各承擔單位的信息安全方面的資質(zhì)和經(jīng)驗介紹，并增加介紹項目主要參與人員的信息安全背景；n 項目安全管理：增加項目建設中的安全管理模式、安全組織結(jié)構(gòu)、人員的安全職責、建設實施中的安全操作程序和相應安全管理要求；n 成本效益分析：對安全方案進行成本效益分析。216。 方案論證和審批安全管理安全性論證對項目的安全需求分析、安全對策以及總體安全方案進行成本效益、合理性、可行性和有效性分析；項目方案報計劃建設部或財務部進行項目可行性審計；項目技術方案需網(wǎng)絡部進行技術可行性審計；項目最終批準由計劃建設部或財務部和網(wǎng)絡部共同批準備方可立項；在項目立項后，《項目任務書》的以下條目中須增加相應的信息安全方面的內(nèi)容：n 項目的管理模式、組織結(jié)構(gòu)和責任：增加項目建設中的安全管理模式、安全組織結(jié)構(gòu)以及人員的安全職責；n 項目實施的基本程序和相應的管理要求：增加項目建設實施中的安全操作程序和相應安全管理要求；n 項目設計目標、主要內(nèi)容和關鍵技術：增加總體安全目標、安全對策以及用于實現(xiàn)安全對策的總體安全方案；n 項目實現(xiàn)功能和性能指標：增加描述系統(tǒng)擁有的具體安全功能以及安全功能的強度；n 項目驗收考核指標：增加安全性測試和考核指標。216。 項目實施方案和實施過程安全管理項目實施階段包括3個子階段：概要設計、詳細設計和項目實施，本階段的主要工作由項目開發(fā)承擔單位來完成，項目審批單位負責監(jiān)督工作。概要設計子階段的安全要求，《概要設計說明書》中包括以下信息安全要求：n 按子系統(tǒng)來描述系統(tǒng)的安全體系結(jié)構(gòu)；n 描述每一個子系統(tǒng)所提供的安全功能；n 標識所要求的任何基礎性的硬件、固件或軟件，和在這些硬件、固件或軟件中實現(xiàn)的支持性保護機制提供的功能表示；n 標識子系統(tǒng)的所有接口，并說明哪些接口是外部可見的；n 子系統(tǒng)所有接口的用途與使用方法，并適當提供影響、例外情況和錯誤消息的細節(jié)；n 確證子系統(tǒng)（不論是開發(fā)的，還是買來的）的安全功能指標滿足系統(tǒng)安全需求。詳細設計子階段的安全要求，《詳細設計說明書》中至少要包括以下信息安全內(nèi)容：n 詳細設計中須提出相應的具體安全方案，標明實現(xiàn)的安全功能，并檢查其技術原理；n 對系統(tǒng)層面上的和模塊層面上的安全設計進行審查；n 完成安全測試和評估要求（通常包括完整的系統(tǒng)的、軟件的、硬件的安全測試方案，至少是相關測試程序的一個草案）；n 確認各模塊的設計，以及模塊間的接口設計能滿足系統(tǒng)層面的安全要求。項目實施子階段的安全要求如下：n 更新系統(tǒng)安全威脅評估，預測系統(tǒng)的使用壽命；n 找出并描述實現(xiàn)安全方案后系統(tǒng)和模塊的安全要求和限制，以及相關的系統(tǒng)驗證機制及檢查方法；n 完善系統(tǒng)的運行程序和全生命期支持的安全計劃，如密鑰的分發(fā)等；n 在《系統(tǒng)集成操作手冊》中，制定安全集成的操作程序；n 在《系統(tǒng)修改操作手冊》中，制定系統(tǒng)修改的安全操作程序；n 對項目參與人員進行信息安全意識培訓；n 項目建設部門參加項目建設的安全管理和技術人員，要進行安全職責檢查。在概要設計、詳細設計和項目實施三個階段，公司信息安全管理部門（網(wǎng)絡部）、投資建設管理部門（計劃建設部或財務部）根據(jù)項目建設方案和相關項目文檔，定期和不定期對項目質(zhì)量、項目進度、項目階段性成果進行審查。216。 項目驗收安全管理項目驗收到須得到公司信息安全管理部門（網(wǎng)絡部）、投資建設管理部門（計劃建設部或財務部）和項目業(yè)務生產(chǎn)部門共同確認簽字驗收；項目須達到項目任務書中制定的總體安全目標和安全指標，實現(xiàn)全部安全功能； 采用技術須符合國家、電信行業(yè)安全技術標準及規(guī)范； 項目建設過程中的各種文檔資料須規(guī)范、齊全；驗收報告中有項目設計總體安全目標及主要內(nèi)容；驗收報告中有項目采用的關鍵安全技術內(nèi)容；驗收報告中有驗收專家組中的安全專家及安全驗收評價意見。 滿足指標解決方案名稱控制類控制點指標名稱措施名稱改進動作改進對象系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全方案設計a應根據(jù)系統(tǒng)的安全保護等級選擇基本安全措施，并依據(jù)風險分析的結(jié)果補充和調(diào)整安全措施；等級保護方案　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全方案設計b應指定和授權專門的部門對信息系統(tǒng)的安全建設進行總體規(guī)劃，制定近期和遠期的安全建設工作計劃；安全規(guī)劃與計劃　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全方案設計c應根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃和詳細設計方案，并形成配套文件；安全體系配套文檔　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全方案設計d應組織相關部門和有關安全技術專家對總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃、詳細設計方案等相關配套文件的合理性和正確性進行論證和審定，并且經(jīng)過批準后，才能正式實施；評審記錄　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全方案設計e應根據(jù)等級測評、安全評估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術框架、安全管理策略、總體建設規(guī)劃、詳細設計方案等相關配套文件。調(diào)整說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理產(chǎn)品采購和使用a應確保安全產(chǎn)品采購和使用符合國家的有關規(guī)定；產(chǎn)品采購符合說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理產(chǎn)品采購和使用b應確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求；密碼符合說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理產(chǎn)品采購和使用c應指定或授權專門的部門負責產(chǎn)品的采購；采購授權說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理產(chǎn)品采購和使用d應預先對產(chǎn)品進行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單。選項測試說明與記錄　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理工程實施a應指定或授權專門的部門或人員負責工程實施過程的管理；工程負責部門說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理工程實施b應制定詳細的工程實施方案控制實施過程，并要求工程實施單位能正式地執(zhí)行安全工程過程；工程實施方案與過程記錄　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理工程實施c應制定工程實施方面的管理制度，明確說明實施過程的控制方法和人員行為準則。工程實施管理制度　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理測試驗收a應委托公正的第三方測試單位對系統(tǒng)進行安全性測試，并出具安全性測試報告；第三方安全性測試報告　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理測試驗收b在測試驗收前應根據(jù)設計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應詳細記錄測試驗收結(jié)果，并形成測試驗收報告；測試驗收方案，測試驗收報告　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理測試驗收c應對系統(tǒng)測試驗收的控制方法和人員行為準則進行書面規(guī)定；系統(tǒng)測試驗收的控制方法和人員行為準則制度　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理測試驗收d應指定或授權專門的部門負責系統(tǒng)測試驗收的管理，并按照管理規(guī)定的要求完成系統(tǒng)測試驗收工作；測試驗收負責部門說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理測試驗收e應組織相關部門和相關人員對系統(tǒng)測試驗收報告進行審定，并簽字確認。測試驗收評審記錄　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理系統(tǒng)交付a應制定詳細的系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設備、軟件和文檔等進行清點；系統(tǒng)交付清單與記錄　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理系統(tǒng)交付b應對負責系統(tǒng)運行維護的技術人員進行相應的技能培訓；維護技能培訓記錄　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理系統(tǒng)交付c應確保提供系統(tǒng)建設過程中的文檔和指導用戶進行系統(tǒng)運行維護的文檔；系統(tǒng)建設過程文檔和維護文檔　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理系統(tǒng)交付d應對系統(tǒng)交付的控制方法和人員行為準則進行書面規(guī)定；系統(tǒng)交付的控制方法和人員行為準則制度　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理系統(tǒng)交付e應指定或授權專門的部門負責系統(tǒng)交付的管理工作，并按照管理規(guī)定的要求完成系統(tǒng)交付工作。交付負責部門說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全服務商選擇a應確保安全服務商的選擇符合國家的有關規(guī)定；服務商選擇說明　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全服務商選擇b應與選定的安全服務商簽訂與安全相關的協(xié)議，明確約定相關責任；服務商責任協(xié)議　　系統(tǒng)建設安全管理解決方案系統(tǒng)建設管理安全服務商選擇c應確保選定的安全服務商提供技術培訓和服務承諾，必要的與其簽訂服務合同。服務承諾說明或合同　　 等級保護實施管理解決方案等級保護作為信息系統(tǒng)設計、建設、運維的基礎，在對信息系統(tǒng)的安全管理過程中需要考慮等級保護要求，根據(jù)我們的經(jīng)驗，等級保護解決方案分為如下9個階段：1. 系統(tǒng)與資產(chǎn)調(diào)查2. 系統(tǒng)定級3. 等級指標選擇4. 安全評估5. 方案與規(guī)劃6. 建設整改7. 安全運維8. 測評準備9. 外部測評各階段的流程圖如下：等級保護流程圖 信息系統(tǒng)描述信息系統(tǒng)描述是開始等級保護實施流程的第一步，主要工作是調(diào)查和描述信息系統(tǒng)以及系統(tǒng)內(nèi)信息資產(chǎn)。準確的描述是正確的安全保護的基礎，在進行保護之前，我們需要從安全角度，正確和完整的描述信息系統(tǒng)的安全特性和安全要求，在此之前，需要描述之所以產(chǎn)生這些安全特性和要求的背景信息，即信息系統(tǒng)的業(yè)務情況，使用情況和所處的環(huán)境。對于咨詢服務來說，為了設計后續(xù)的安全保護系統(tǒng)的有的放矢，需要設計描述組織全部和單個信息系統(tǒng)的信息系統(tǒng)框架，作為后續(xù)安全體系的保護對象。主流程圖如下：單系統(tǒng)詳細描述流程圖如下： 信息系統(tǒng)框架設計流程如下：1. 信息系統(tǒng)框架分類信息系統(tǒng)框架分類的原理與主要原則如下：a） 系統(tǒng)功能和應用相似性原則區(qū)域的劃分要以服務業(yè)務應用為基本原則，根據(jù)應用的功能和應用內(nèi)容劃分不同的安全區(qū)域。b） 管理組織或模式統(tǒng)一性不同的管理組織，行政級別和管理模式c） 資產(chǎn)價值相似性原則同一安全區(qū)域內(nèi)的信息資產(chǎn)應具有相近的資產(chǎn)價值，重要業(yè)務應用與一般的應用分成不同區(qū)域。d） 安全要求相似性原則在信息安全的三個基本屬性方面，同一安全區(qū)域內(nèi)的信息資產(chǎn)應具有相似的機密性要求、完整性要求和可用性要求。e） 威脅相似性原則同一安全區(qū)域內(nèi)的信息資產(chǎn)應處在相似的風險環(huán)境中，面臨相似的威脅。2. 系統(tǒng)安全框架描述根據(jù)上述原則，形成的常用的框架分類模版如下：? 按管理機構(gòu)，決定不同的安全管理體系– 按系統(tǒng)所處的組織結(jié)構(gòu)級別，如政府行業(yè)的中央/總部級、省級、地市級、縣區(qū)級等；公司的集團公司，子公司，分公司，孫公司等– 按管理部門，如銀行的科技部，運維中心，或電子商務中心