【正文】 1） 應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程和事后教育和培訓(xùn)等內(nèi)容；2） 應(yīng)從人力、設(shè)備、技術(shù)和財務(wù)等方面確保應(yīng)急預(yù)案的執(zhí)行有足夠的資源保障；3） 應(yīng)對系統(tǒng)相關(guān)的人員進(jìn)行培訓(xùn)使之了解如何及何時使用應(yīng)急預(yù)案中的控制手段及恢復(fù)策略，對應(yīng)急預(yù)案的培訓(xùn)至少每年舉辦一次；4） 應(yīng)急預(yù)案應(yīng)定期演練，根據(jù)不同的應(yīng)急恢復(fù)內(nèi)容，確定演練的周期；5） 應(yīng)規(guī)定應(yīng)急預(yù)案需要定期審查和根據(jù)實(shí)際情況更新內(nèi)容，并按照執(zhí)行。1） 所有用戶均有責(zé)任報告自己發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；2） 應(yīng)制定安全事件報告和處置管理制度，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)；3） 應(yīng)分析信息系統(tǒng)的類型、網(wǎng)絡(luò)連接特點(diǎn)和信息系統(tǒng)用戶特點(diǎn)，了解本系統(tǒng)和同類系統(tǒng)已發(fā)生的安全事件，識別本系統(tǒng)需要防止發(fā)生的安全事件，事件可能來自攻擊、錯誤、故障、事故或?yàn)?zāi)難；4） 應(yīng)根據(jù)國家相關(guān)管理部門對計算機(jī)安全事件等級劃分方法，根據(jù)安全事件在本系統(tǒng)產(chǎn)生的影響，將本系統(tǒng)計算機(jī)安全事件進(jìn)行等級劃分；5） 應(yīng)制定的安全事件報告和響應(yīng)處理程序，確定事件的報告流程，響應(yīng)和處置的范圍、程度，以及處理方法等；6） 應(yīng)在安全事件報告和響應(yīng)處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗(yàn)教訓(xùn)，制定防止再次發(fā)生的補(bǔ)救措施，過程形成的所有文件和記錄均應(yīng)妥善保存；7） 對造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報告程序。1） 應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；2） 應(yīng)規(guī)定備份信息的備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、存儲介質(zhì)、保存期等；3） 應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運(yùn)行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略應(yīng)指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運(yùn)輸?shù)姆椒ǎ?） 應(yīng)指定相應(yīng)的負(fù)責(zé)人定期維護(hù)和檢查備份及冗余設(shè)備的狀況，確保需要接入系統(tǒng)時能夠正常運(yùn)行；5） 應(yīng)建立控制數(shù)據(jù)備份和恢復(fù)過程的程序，備份過程應(yīng)記錄，所有文件和記錄應(yīng)妥善保存；6） 應(yīng)根據(jù)系統(tǒng)級備份所采用的方式和產(chǎn)品，建立備份及冗余設(shè)備的安裝、配置、啟動、操作及維護(hù)過程控制的程序，記錄設(shè)備運(yùn)行過程狀況，所有文件和記錄應(yīng)妥善保存；7） 應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性，確?？梢栽诨謴?fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。5） 確認(rèn)系統(tǒng)中要發(fā)生的變更，并制定變更方案；6） 建立變更管理制度，重要系統(tǒng)變更前，應(yīng)向主管領(lǐng)導(dǎo)申請，變更和變更方案經(jīng)過評審、審批后方可實(shí)施變更；7） 系統(tǒng)變更情況應(yīng)向所有相關(guān)人員通告；8） 應(yīng)建立變更控制的申報和審批文件化程序，變更影響分析應(yīng)文檔化，變更實(shí)施過程應(yīng)記錄，所有文檔記錄應(yīng)妥善保存；9） 中止變更并從失敗變更中恢復(fù)程序應(yīng)文檔化，應(yīng)明確過程控制方法和人員職責(zé)，必要時恢復(fù)過程應(yīng)經(jīng)過演練。1） 應(yīng)建立密碼使用管理制度，密碼算法和密鑰的使用應(yīng)符合國家密碼管理規(guī)定。1） 應(yīng)提高所有用戶的防病毒意識，告知及時升級防病毒軟件；2） 應(yīng)在讀取移動存儲設(shè)備（如軟盤、移動硬盤、光盤）上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進(jìn)行病毒檢查，對外來計算機(jī)或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也要進(jìn)行病毒檢查；3） 應(yīng)指定專人對網(wǎng)絡(luò)和主機(jī)的進(jìn)行惡意代碼檢測并保存檢測記錄；4） 應(yīng)對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確管理規(guī)定；5） 應(yīng)建立惡意代碼集中防護(hù)的安全管理中心，確保整個網(wǎng)絡(luò)統(tǒng)一配置、統(tǒng)一升級、統(tǒng)一控制；6） 應(yīng)定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫的升級情況并進(jìn)行記錄，對主機(jī)防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲的危險病毒或惡意代碼進(jìn)行及時分析處理，并形成書面的報表和總結(jié)匯報。1） 應(yīng)指定專人對系統(tǒng)進(jìn)行管理，刪除或者禁用不使用的系統(tǒng)缺省賬戶；2） 應(yīng)制定系統(tǒng)安全管理制度，對系統(tǒng)安全配置、系統(tǒng)賬戶以及審計日志等方面作出規(guī)定；3） 應(yīng)對能夠使用系統(tǒng)工具的人員及數(shù)量進(jìn)行限制和控制；4） 應(yīng)定期安裝系統(tǒng)的最新補(bǔ)丁程序，并根據(jù)廠家提供的可能危害計算機(jī)的漏洞進(jìn)行及時修補(bǔ)，并在安裝系統(tǒng)補(bǔ)丁前對現(xiàn)有的重要文件進(jìn)行備份；5） 應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略，系統(tǒng)訪問控制策略用于控制分配信息系統(tǒng)、文件及服務(wù)的訪問權(quán)限；6） 應(yīng)對系統(tǒng)賬戶進(jìn)行分類管理，權(quán)限設(shè)定應(yīng)當(dāng)遵循最小授權(quán)要求；7） 應(yīng)對系統(tǒng)的安全策略、授權(quán)訪問、最小服務(wù)、升級與打補(bǔ)丁、維護(hù)記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體規(guī)定；8） 應(yīng)規(guī)定系統(tǒng)審計日志的保存時間以便為可能的安全事件調(diào)查提供支持；9） 應(yīng)進(jìn)行系統(tǒng)漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞進(jìn)行及時的修補(bǔ)；10） 應(yīng)明確各類用戶的責(zé)任、義務(wù)和風(fēng)險，對系統(tǒng)賬戶的登記造冊、用戶名分配、初始口令分配、用戶權(quán)限及其審批程序、系統(tǒng)資源分配、注銷等作出規(guī)定；11） 應(yīng)對于賬戶安全管理的執(zhí)行情況進(jìn)行檢查和監(jiān)督，定期審計和分析用戶賬戶的使用情況，對發(fā)現(xiàn)的問題和異常情況進(jìn)行相關(guān)處理。1） 贏指定專人對網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報警信息分析和處理工作；2） 應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對現(xiàn)有的重要文件進(jìn)行備份；3） 應(yīng)進(jìn)行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時的修補(bǔ)；4） 應(yīng)保證所有與外部系統(tǒng)的連接均應(yīng)得到授權(quán)和批準(zhǔn)；5） 應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、網(wǎng)絡(luò)用戶以及日志等方面作出規(guī)定；6） 應(yīng)對網(wǎng)絡(luò)設(shè)備的安全策略、授權(quán)訪問、最小服務(wù)、升級與打補(bǔ)丁、維護(hù)記錄、日志以及配置文件的生成、備份、變更審批、符合性檢查等方面做出具體規(guī)定；7） 應(yīng)規(guī)定網(wǎng)絡(luò)審計日志的保存時間以便為可能的安全事件調(diào)查提供支持；8） 應(yīng)明確各類用戶的責(zé)任、義務(wù)和風(fēng)險，并按照機(jī)構(gòu)制定的審查和批準(zhǔn)程序建立用戶和分配權(quán)限，定期檢查用戶實(shí)際權(quán)限與分配權(quán)限的符合性；9） 應(yīng)對日志的備份、授權(quán)訪問、處理、保留時間等方面做出具體規(guī)定，使用統(tǒng)一的網(wǎng)絡(luò)時間，以確保日志記錄的準(zhǔn)確；10） 應(yīng)通過身份鑒別、訪問控制等嚴(yán)格的規(guī)定限制遠(yuǎn)程管理賬戶的操作權(quán)限和登錄行為；11） 應(yīng)定期檢查違反規(guī)定撥號上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略的行為。1） 應(yīng)進(jìn)行主機(jī)運(yùn)行監(jiān)視，包括監(jiān)視主機(jī)的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；2） 應(yīng)對分散或集中的安全管理系統(tǒng)的訪問授權(quán)、操作記錄、日志等方面進(jìn)行有效管理；3） 應(yīng)嚴(yán)格管理運(yùn)行過程文檔，其中包括責(zé)任書、授權(quán)書、許可證、各類策略文檔、事故報告處理文檔、安全配置文檔、系統(tǒng)各類日志等，并確保文檔的完整性和一致性。1） 應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備、線路等指定專人或?qū)ｉT的部門定期進(jìn)行維護(hù)管理；2） 應(yīng)對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放或領(lǐng)用等過程建立基于申報、審批和專人負(fù)責(zé)的管理規(guī)定；3） 應(yīng)對終端計算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理；4） 應(yīng)對帶離機(jī)房或辦公地點(diǎn)的信息處理設(shè)備進(jìn)行控制；5） 應(yīng)按操作規(guī)程實(shí)現(xiàn)服務(wù)器的啟動/停止、加電/斷電等操作，加強(qiáng)對服務(wù)器操作的日志文件管理和監(jiān)控管理，并對其定期進(jìn)行檢查；6） 應(yīng)建立配套設(shè)施、軟硬件維護(hù)方面的管理制度，對其維護(hù)進(jìn)行有效的管理，包括明確維護(hù)人員的責(zé)任、涉外維修和服務(wù)的審批、維修過程的監(jiān)督控制等；7） 應(yīng)在安全管理機(jī)構(gòu)統(tǒng)一安全策略下對服務(wù)器進(jìn)行系統(tǒng)配置和服務(wù)設(shè)定，并實(shí)施配置管理。1） 應(yīng)建立介質(zhì)安全管理制度，對介質(zhì)的存放環(huán)境、使用、維護(hù)和銷毀等方面作出規(guī)定； 2） 應(yīng)有介質(zhì)的歸檔和查詢記錄，并對存檔介質(zhì)的目錄清單定期盤點(diǎn)；3） 對于需要送出維修或銷毀的介質(zhì)，應(yīng)首先清除介質(zhì)中的敏感數(shù)據(jù)，防止信息的非法泄漏；4） 應(yīng)根據(jù)數(shù)據(jù)備份的需要對某些介質(zhì)實(shí)行異地存儲，存儲地的環(huán)境要求和管理方法應(yīng)與本地相同；5） 應(yīng)根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進(jìn)行分類和標(biāo)識管理，并實(shí)行存儲環(huán)境專人管理；6） 應(yīng)對介質(zhì)的物理傳輸過程中人員選擇、打包、交付等情況進(jìn)行控制；7） 應(yīng)對存儲介質(zhì)的使用過程、送出維修以及銷毀進(jìn)行嚴(yán)格的管理，保密性較高的信息存儲介質(zhì)未經(jīng)批準(zhǔn)不得自行銷毀；8） 必要時應(yīng)對重要介質(zhì)的數(shù)據(jù)和軟件采取加密存儲，對帶出工作環(huán)境的存儲介質(zhì)進(jìn)行內(nèi)容加密和監(jiān)控管理；9） 應(yīng)對存放在介質(zhì)庫中的介質(zhì)定期進(jìn)行完整性和可用性檢查，確認(rèn)其數(shù)據(jù)或軟件沒有受到損壞或丟失。1） 應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門，并規(guī)范資產(chǎn)管理和使用的行為；2） 應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)、資產(chǎn)所屬關(guān)系、安全級別和所處位置等信息的資產(chǎn)清單；3） 應(yīng)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進(jìn)行定性賦值和標(biāo)識管理，根據(jù)資產(chǎn)的價值選擇相應(yīng)的管理措施；4） 應(yīng)確定信息分類與標(biāo)識的原則和方法，并對信息的使用、傳輸和存儲作出規(guī)定。1） 應(yīng)對機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施指定專人或?qū)ｉT的部門定期進(jìn)行維護(hù)管理；2） 應(yīng)配備機(jī)房安全管理人員，對機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理；3） 應(yīng)建立機(jī)房安全管理制度，對有關(guān)機(jī)房物理訪問，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理作出規(guī)定；4） 加強(qiáng)對辦公環(huán)境的保密性管理，包括如工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等；5） 應(yīng)有指定的部門負(fù)責(zé)機(jī)房安全，并配置電子門禁系統(tǒng)，對機(jī)房來訪人員實(shí)行登記記錄和電子記錄雙重備案管理；6） 應(yīng)對辦公環(huán)境的人員行為，如工作人員離開座位應(yīng)確保終端計算機(jī)退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等作出規(guī)定。1） 應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定。安全測評無1） 應(yīng)在系統(tǒng)投入運(yùn)行前進(jìn)行安全測評，測評后符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的才能投入使用；2） 應(yīng)在系統(tǒng)運(yùn)行過程中定期對系統(tǒng)進(jìn)行安全測評，發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時整改；3） 應(yīng)在系統(tǒng)發(fā)生變更時及時對系統(tǒng)進(jìn)行安全測評，發(fā)現(xiàn)級別發(fā)生變化的及時調(diào)整級別并進(jìn)行安全改造；發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時整改；4） 應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測評單位進(jìn)行安全測評；5） 應(yīng)與測評單位簽訂與安全相關(guān)的協(xié)議，約束測評單位的行為；6） 應(yīng)指定或授權(quán)專門的人員或部門負(fù)責(zé)安全測評的管理。1） 應(yīng)明確系統(tǒng)的交接手續(xù)，并按照交接手續(xù)完成交接工作；2） 應(yīng)由系統(tǒng)建設(shè)方完成對委托建設(shè)方的運(yùn)維技術(shù)人員的培訓(xùn)；3） 應(yīng)由系統(tǒng)建設(shè)方提交系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔；4） 應(yīng)由系統(tǒng)建設(shè)方進(jìn)行服務(wù)承諾，并提交服務(wù)承諾書，確保對系統(tǒng)運(yùn)行維護(hù)的支持；5） 應(yīng)制定系統(tǒng)交付方面的管理制度明確說明系統(tǒng)交付的控制方法和人員行為準(zhǔn)則；6） 應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)交付的管理工作，并按照管理制度的要求完成系統(tǒng)交付工作。1） 應(yīng)對系統(tǒng)進(jìn)行安全性測試驗(yàn)收；2） 應(yīng)在測試驗(yàn)收前根據(jù)設(shè)計方案或合同要求等制訂測試驗(yàn)收方案，測試驗(yàn)收過程中詳細(xì)記錄測試驗(yàn)收結(jié)果，形成測試驗(yàn)收報告；3） 應(yīng)委托公正的第三方測試單位對系統(tǒng)進(jìn)行測試，并出具測試報告；4） 應(yīng)制定系統(tǒng)測試驗(yàn)收方面的管理制度明確說明系統(tǒng)測試