【正文】 附　錄　A（規(guī)范性附錄）主要過程及其活動輸出主要階段主要過程活動活動輸入活動輸出信息系統(tǒng)定級信息系統(tǒng)分析系統(tǒng)識別和描述信息系統(tǒng)的立項、建設(shè)、管理文檔信息系統(tǒng)總體描述文件信息系統(tǒng)劃分信息系統(tǒng)總體描述文件* 信息系統(tǒng)詳細描述文件安全保護等級確定定級、審核和批準信息系統(tǒng)總體描述文件信息系統(tǒng)詳細描述文件定級結(jié)果形成定級報告信息系統(tǒng)總體描述文件信息系統(tǒng)詳細描述文件定級結(jié)果* 信息系統(tǒng)安全保護等級定級報告總體安全規(guī)劃安全需求分析基本安全需求確定信息系統(tǒng)詳細描述文件信息系統(tǒng)安全保護等級定級報告信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)相關(guān)的其它文檔基本安全需求額外/特殊安全需求的確定信息系統(tǒng)詳細描述文件信息系統(tǒng)安全保護等級定級報告信息系統(tǒng)相關(guān)的其它文檔重要資產(chǎn)的特殊保護要求形成安全需求分析報告信息系統(tǒng)詳細描述文件信息系統(tǒng)安全保護等級定級報告信息系統(tǒng)安全等級保護基本要求基本安全需求重要資產(chǎn)的特殊保護要求* 安全需求分析報告安全總體設(shè)計總體安全策略設(shè)計信息系統(tǒng)詳細描述文件信息系統(tǒng)安全保護等級定級報告安全需求分析報告總體安全策略文件各級系統(tǒng)安全技術(shù)措施設(shè)計總體安全策略文件安全需求分析報告信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)安全技術(shù)體系結(jié)構(gòu)系統(tǒng)整體安全管理策略設(shè)計總體安全策略文件安全需求分析報告信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)安全管理體系結(jié)構(gòu)設(shè)計結(jié)果文檔化安全需求分析報告信息系統(tǒng)安全技術(shù)體系結(jié)構(gòu)信息系統(tǒng)安全管理體系結(jié)構(gòu)* 信息系統(tǒng)安全總體方案安全建設(shè)項目規(guī)劃安全建設(shè)目標確定信息系統(tǒng)安全總體方案單位信息化建設(shè)的中長期發(fā)展規(guī)劃信息系統(tǒng)分階段安全建設(shè)目標安全建設(shè)內(nèi)容規(guī)劃信息系統(tǒng)安全總體方案信息系統(tǒng)分階段安全建設(shè)目標安全建設(shè)內(nèi)容安全建設(shè)項目計劃設(shè)計信息系統(tǒng)安全總體方案信息系統(tǒng)分階段安全建設(shè)目標安全建設(shè)內(nèi)容* 信息系統(tǒng)安全建設(shè)項目計劃安全設(shè)計與實施安全方案詳細設(shè)計技術(shù)措施實現(xiàn)內(nèi)容設(shè)計信息系統(tǒng)安全總體方案信息系統(tǒng)安全建設(shè)項目計劃各類信息技術(shù)產(chǎn)品技術(shù)白皮書各類信息安全產(chǎn)品技術(shù)白皮書技術(shù)措施實現(xiàn)方案管理措施實現(xiàn)內(nèi)容設(shè)計信息系統(tǒng)安全總體方案信息系統(tǒng)安全建設(shè)項目計劃管理措施實現(xiàn)方案設(shè)計結(jié)果文檔化技術(shù)措施落實方案管理措施落實方案* 安全詳細設(shè)計方案管理措施落實管理機構(gòu)和人員的設(shè)置機構(gòu)現(xiàn)有相關(guān)管理制度和政策安全詳細設(shè)計方案* 角色與職責說明書管理制度的建設(shè)和修訂安全組織結(jié)構(gòu)表角色與職責說明書安全詳細設(shè)計方案* 各項管理制度和操作規(guī)范人員安全技能培訓(xùn)系統(tǒng)/產(chǎn)品使用說明書各項管理制度和操作規(guī)范培訓(xùn)記錄及上崗資格證等安全實施過程管理安全技術(shù)建設(shè)各階段相關(guān)文檔各階段管理過程文檔技術(shù)措施落實信息安全產(chǎn)品采購安全詳細設(shè)計方案、相關(guān)產(chǎn)品信息已采購信息安全產(chǎn)品清單安全控制開發(fā)安全。d) 存儲介質(zhì)處理和記錄根據(jù)存儲介質(zhì)處理方案對存儲介質(zhì)進行處理，記錄處理過程，包括參與的人員、處理的方式、是否有殘余信息的檢查結(jié)果等。對于存儲涉密信息的介質(zhì)應(yīng)按照國家相關(guān)部門的規(guī)定進行處理。b) 確定存儲介質(zhì)處理方法和流程根據(jù)存儲介質(zhì)所承載信息的敏感程度確定對存儲介質(zhì)的處理方式和處理流程?；顒虞斎耄捍鎯橘|(zhì)清單等。 存儲介質(zhì)的清除或銷毀活動目標：本活動的目標是通過采用合理的方式對計算機介質(zhì)（包括磁帶、磁盤、打印結(jié)果和文檔）進行信息清除或銷毀處理，防止介質(zhì)內(nèi)的敏感信息泄露。d) 設(shè)備處理和記錄根據(jù)設(shè)備處理方案對設(shè)備進行處理，如果是涉密信息的設(shè)備，其處理過程應(yīng)符合國家相關(guān)部門的規(guī)定；記錄設(shè)備處理過程，包括參與的人員、處理的方式、是否有殘余信息的檢查結(jié)果等。b) 制定硬件設(shè)備處理方案根據(jù)規(guī)定和實際情況制定設(shè)備處理方案，包括重用設(shè)備、廢棄設(shè)備、敏感信息的清除方法等?；顒虞斎耄涸O(shè)備遷移或廢棄清單等。 設(shè)備遷移或廢棄活動目標：本活動的目標是確保信息系統(tǒng)終止后，遷移或廢棄的設(shè)備內(nèi)不包括敏感信息，對設(shè)備的處理方式應(yīng)符合國家相關(guān)部門的要求。c) 處理過程記錄記錄信息轉(zhuǎn)移、暫存和清除的過程，包括參與的人員，轉(zhuǎn)移、暫存和清除的方式以及目前信息所處的位置等。b) 信息資產(chǎn)轉(zhuǎn)移、暫存和清除根據(jù)信息資產(chǎn)的重要程度制定信息資產(chǎn)的轉(zhuǎn)移、暫存、清除的方法和過程。 活動輸入：信息系統(tǒng)信息資產(chǎn)清單。輸出主要過程輸入信息轉(zhuǎn)移、暫存和清除信息轉(zhuǎn)移、暫存、清除處理記錄文檔信息系統(tǒng)信息資產(chǎn)清單設(shè)備遷移或廢棄設(shè)備遷移、廢棄處理記錄文檔信息系統(tǒng)硬件設(shè)備清單存儲介質(zhì)的清除或銷毀信息系統(tǒng)存儲介質(zhì)清單存儲介質(zhì)清除、銷毀處理記錄文檔圖6 信息系統(tǒng)終止階段的工作流程 信息轉(zhuǎn)移、暫存和清除活動目標：本活動的目標是在信息系統(tǒng)終止處理過程中，對于可能會在另外的信息系統(tǒng)中使用的信息采取適當?shù)姆椒▽⑵浒踩剞D(zhuǎn)移或暫存到可以恢復(fù)的介質(zhì)中，確保將來可以繼續(xù)使用，同時采用安全的方法清除要終止的信息系統(tǒng)中的信息。 本標準在信息系統(tǒng)終止階段關(guān)注信息轉(zhuǎn)移、暫存和清除，設(shè)備遷移或廢棄，存儲介質(zhì)的清除或銷毀等活動。當信息系統(tǒng)被轉(zhuǎn)移、終止或廢棄時，正確處理系統(tǒng)內(nèi)的敏感信息對于確保機構(gòu)信息資產(chǎn)的安全是至關(guān)重要的?；顒虞敵觯罕O(jiān)督檢查結(jié)果報告?；顒虞斎耄簜浒覆牧?。 監(jiān)督檢查活動目標：本活動的目標是通過國家管理部門對信息系統(tǒng)定級、規(guī)劃設(shè)計、建設(shè)實施和運行管理等過程進行監(jiān)督檢查，確保其符合信息系統(tǒng)安全保護相應(yīng)等級的要求?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 備案材料整理信息系統(tǒng)運營、使用單位針對備案材料的要求，整理、填寫備案材料， b) 備案材料提交信息系統(tǒng)運營、使用單位根據(jù)國家管理部門的要求辦理定級備案手續(xù)，提交備案材料；國家管理部門接收備案材料。參與角色：信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位，國家管理部門。活動輸出：安全等級測評報告。活動輸入：信息系統(tǒng)詳細描述文件，信息系統(tǒng)安全保護等級定級報告，系統(tǒng)驗收報告。 等級測評活動目標：本活動的目標是通過信息安全等級測評機構(gòu)對已經(jīng)完成等級保護建設(shè)的信息系統(tǒng)定期進行等級測評，確保信息系統(tǒng)的安全保護措施符合相應(yīng)等級的安全要求。c) 配套技術(shù)文件和管理制度的修訂按照安全改進方案實施和落實各項補充的安全措施后，要調(diào)整和修訂各類相關(guān)的技術(shù)文件和管理制度，保證原有體系完整性和一致性?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 安全方案實施控制。參與角色：信息系統(tǒng)運營、使用單位?；顒虞敵觯喊踩倪M方案。b) 制定安全改進方案確定安全改進的工作方法、工作內(nèi)容、人員分工、時間計劃等，制定安全改進方案。活動輸入：安全檢查報告?！?改進方案制定活動目標：本活動的主要目標是依據(jù)安全檢查的結(jié)果，調(diào)整信息系統(tǒng)的安全狀態(tài)，保證信息系統(tǒng)安全防護的有效性。將安全檢查過程的各類文檔、資料歸檔保存。c) 安全檢查實施根據(jù)安全檢查計劃，通過詢問、檢查和測試等多種手段，進行安全狀況檢查，記錄各種檢查活動的結(jié)果數(shù)據(jù)，分析安全措施的有效性、安全事件產(chǎn)生的可能性和信息系統(tǒng)的實際改進需求等。b) 制定檢查計劃和檢查方案確定檢查工作的角色和職責，確定檢查工作的方法，成立安全檢查工作組?；顒虞斎耄盒畔⑾到y(tǒng)詳細描述文件，變更結(jié)果報告，安全狀態(tài)分析報告。，本節(jié)描述自我檢查過程?；顒虞敵觯喊踩录幹脠蟾?。對未知安全事件的處置，應(yīng)根據(jù)安全事件的等級，制定安全事件處置方案，包括安全事件處置方法以及應(yīng)采取的措施等；并按照安全事件處置流程和方案對安全事件進行處置。活動描述：本活動主要包括以下子活動內(nèi)容：a) 安全事件上報根據(jù)安全狀態(tài)分析報告分析可能的安全事件，對接報的安全事件進行分析，明確安全事件等級、影響程度以及優(yōu)先級等，按照安全事件報告程序上報安全事件，確定是否應(yīng)對安全事件啟動應(yīng)急預(yù)案。參與角色：信息系統(tǒng)運營、使用單位。活動輸出：各類應(yīng)急預(yù)案。b) 確定和認可各項職責在統(tǒng)一的應(yīng)急預(yù)案框架下，明確和認可應(yīng)急預(yù)案中各部門的職責，并協(xié)調(diào)各部門間的合作和分工?；顒虞斎耄喊踩录蟾娉绦颉！?應(yīng)急預(yù)案制定活動目標：本活動的目標是通過對安全事件的等級分析，在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同安全事件的應(yīng)急預(yù)案。b) 安全事件等級劃分根據(jù)以上調(diào)查和分析結(jié)果，根據(jù)信息安全事件造成的損失程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素，確定事件等級，制定安全事件的報告程序。活動輸入：各類安全事件列表。 安全事件處置和應(yīng)急預(yù)案　 安全事件分級活動目標：本活動的目標是結(jié)合信息系統(tǒng)的實際情況，分析事件對信息系統(tǒng)的破壞程度，所造成后果嚴重程度，將安全事件依次進行分級。c) 形成安全狀態(tài)分析報告根據(jù)安全狀態(tài)分析和影響分析的結(jié)果，形成安全狀態(tài)分析報告，上報安全事件或提出變更需求?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 狀態(tài)分析對安全狀態(tài)信息進行分析，及時發(fā)現(xiàn)險情、隱患或安全事件，并記錄這些安全事件，分析其發(fā)展趨勢。參與角色：信息系統(tǒng)運營、使用單位。 活動輸出：安全狀態(tài)信息。監(jiān)控工具也可能不是自動化的工具，而只是由各類人員構(gòu)成的，遵循一定規(guī)則進行操作的組織，或者是兩者的綜合?；顒虞斎耄罕O(jiān)控對象列表?！?監(jiān)控對象狀態(tài)信息收集活動目標：本活動的目標是選擇狀態(tài)監(jiān)控工具，收集安全狀態(tài)監(jiān)控的信息，識別和記錄入侵行為，對信息系統(tǒng)的安全狀態(tài)進行監(jiān)控。b) 形成監(jiān)控對象列表根據(jù)確定的監(jiān)控對象，分析監(jiān)控的必要性和可行性、監(jiān)控的開銷和成本等因素，形成監(jiān)控對象列表?；顒虞斎耄喊踩敿氃O(shè)計方案、系統(tǒng)驗收報告等。 安全狀態(tài)監(jiān)控　 監(jiān)控對象確定活動目標：本活動的目標是確定可能會對信息系統(tǒng)安全造成影響的因素，即確定安全狀態(tài)監(jiān)控的對象。c) 形成變更結(jié)果報告收集變更過程的各類相關(guān)文檔，整理、分析和總結(jié)各類數(shù)據(jù)，形成變更結(jié)果報告，并歸檔保存。按照機構(gòu)建立的審批流程對變更方案進行審批?；顒虞斎耄鹤兏桨??！?變更過程控制活動目標：本活動的目標是確保變更實施過程受到控制，各項變化內(nèi)容進行記錄，保證變更對業(yè)務(wù)的影響最小。d) 制定變更方案根據(jù)a）、b）、c）的結(jié)果制定變更方案。如果是由信息系統(tǒng)類型發(fā)生變化、承載的信息資產(chǎn)類型發(fā)生變化、信息系統(tǒng)服務(wù)范圍發(fā)生變化和業(yè)務(wù)處理自動化程度發(fā)生變化等原因引起信息系統(tǒng)安全保護等級發(fā)生變化的重大變更，則需要重新確定信息系統(tǒng)安全保護等級，返回到等級保護實施過程的信息系統(tǒng)定級階段。b) 變更影響分析對變更可能引起的后果進行判斷和分析，確定可能產(chǎn)生的影響大小，進行變更的先決條件和后續(xù)活動等?；顒虞斎耄鹤兏枨?。 變更管理和控制　 變更需求和影響分析活動目標：本活動的主要目標是通過對變更需求和變更影響的分析，來確定變更的類別，計劃后續(xù)的活動內(nèi)容。b) 操作過程記錄對運行管理人員按照操作規(guī)程執(zhí)行的操作過程形成相關(guān)的記錄文件，可能是日志文件，記錄操作的時間和人員、正?；虍惓５刃畔?。活動輸入：運行管理需求，運行管理人員角色和職責表?！?運行管理過程控制活動目標：本活動的主要目標是通過制定運行管理操作規(guī)程，確定運行管理人員的操作目的、操作內(nèi)容、操作時間和地點、操作方法和流程等，并進行操作過程記錄，確保對操作過程進行控制。c) 定義人員職責根據(jù)不同的安全保護等級要求的控制粒度，分析所需要運行管理控制的內(nèi)容，并以此定義不同運行管理角色的職責。b) 授予管理權(quán)限根據(jù)管理制度和實際運行管理需要，授予每一個運行管理角色不同的管理權(quán)限?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 劃分運行管理角色根據(jù)管理制度和實際運行管理需求，劃分運行管理需要的角色。參與角色：信息系統(tǒng)運營、使用單位。本標準關(guān)注安全運行與維護階段的運行管理和控制、變更管理和控制、安全狀態(tài)監(jiān)控、安全事件處置和應(yīng)急預(yù)案、安全檢查和持續(xù)改進以及監(jiān)督檢查等過程，安全運行與維護階段的工作流程見圖5。8 安全運行與維護 安全運行與維護階段的工作流程安全運行與維護是等級保護實施過程中確保信息系統(tǒng)正常運行的必要環(huán)節(jié)，涉及的內(nèi)容較多，包括安全運行與維護機構(gòu)和安全運行與維護機制的建立，環(huán)境、資產(chǎn)、設(shè)備、介質(zhì)的管理，網(wǎng)絡(luò)、系統(tǒng)的管理，密碼、密鑰的管理，運行、變更的管理，安全狀態(tài)監(jiān)控和安全事件處置，安全審計和安全檢查等內(nèi)容。d) 系統(tǒng)交付在系統(tǒng)驗收通過以后，要進行系統(tǒng)的交付，需要安全服務(wù)提供商提交系統(tǒng)建設(shè)過程中的文檔、指導(dǎo)用戶進行系統(tǒng)運行維護的文檔、服務(wù)承諾書等。c) 驗收報告在測試完成后形成驗收報告，驗收報告需要用戶與建設(shè)方進行確認。成立系統(tǒng)驗收工作組對驗收方案進行審核，組織制定驗收計劃、定義驗收的方法和嚴格程度?；顒用枋觯罕净顒又饕ㄒ韵伦踊顒觾?nèi)容：a) 系統(tǒng)驗收準備安全控制開發(fā)、集成完成后，要根據(jù)安全設(shè)計方案中需要達到的安全目標，準備系統(tǒng)驗收方案。參與角色：信息系統(tǒng)主管部門，信息系統(tǒng)運營、使用單位，信息安全服務(wù)機構(gòu)?！?系統(tǒng)驗收活動目標：本活動的目標是檢驗系統(tǒng)是否嚴格按照安全詳細設(shè)計方案進行建設(shè)，是否實現(xiàn)了設(shè)計的功能和性能。 e)