信息系統(tǒng)建設(shè)管理制度-文庫(kù)吧資料
2024-12-23 16:56本頁(yè)面
【正文】 用產(chǎn)品應(yīng)獲得國(guó)家相關(guān)安全認(rèn)證，在選型中根據(jù)實(shí)際需要制定安全產(chǎn)品選型的標(biāo)準(zhǔn)； 6)關(guān)鍵信息技術(shù)產(chǎn)品的安全功能模塊應(yīng)獲得國(guó)家相關(guān)安全認(rèn)證，在選型中根據(jù)實(shí)際需要制定信息技術(shù)產(chǎn)品選型的標(biāo)準(zhǔn)。通過(guò)試運(yùn)行的設(shè)備，才能投入生產(chǎn)系統(tǒng)，正式運(yùn)行。 3)通過(guò)上述測(cè)試后，設(shè)備才能進(jìn)入試運(yùn)行階段。 2)所有安全設(shè)備后均需 進(jìn)行嚴(yán)格檢測(cè)，凡購(gòu)回的設(shè)備均應(yīng)在測(cè)試環(huán)境下經(jīng)過(guò)連續(xù) 72 小時(shí)以上的單機(jī)運(yùn)行測(cè)試和聯(lián)機(jī) 48 小時(shí)的應(yīng)用系統(tǒng)兼容性運(yùn)行測(cè)試。本階段中，應(yīng)完成以下具體信息安全工作： 1)更新系統(tǒng)安全威脅評(píng)估，預(yù)測(cè)系統(tǒng)的使用壽命； 2)找出并描述實(shí)現(xiàn)安全方案后系統(tǒng)和模塊的安全要求和限制，以及相關(guān)的系統(tǒng)驗(yàn)證機(jī)制及檢查方法； 3)完善系統(tǒng)的運(yùn)行程序和全生命期支持的安全計(jì)劃，如密鑰的分發(fā)等； 4)在《系統(tǒng)集成操作手冊(cè)》中，應(yīng)制定安全集成的操作程序； 5)在《系統(tǒng)修改操作手冊(cè)》中，應(yīng)制定系統(tǒng)修改的安全操作程序； 6)對(duì)項(xiàng)目參與人員進(jìn)行信息安全意識(shí)培訓(xùn)； 7)并對(duì)參加項(xiàng)目建設(shè)的安全管理和技術(shù)人員的安全職責(zé)進(jìn)行檢查。本子階段的安全目標(biāo)是保證各模塊設(shè)計(jì)實(shí)現(xiàn)了概要設(shè)計(jì)中的安全功能，因此在這一階段的《詳細(xì)設(shè)計(jì)說(shuō)明書(shū)》中至少要包括以下信息安全內(nèi)容： 1） 詳細(xì)設(shè)計(jì)中應(yīng)提出相應(yīng)的具體安全方案，標(biāo)明實(shí)現(xiàn)的安全功能，并應(yīng)檢查其技術(shù)原理； 2） 對(duì)系統(tǒng)層面上的和模塊層面上的安全設(shè)計(jì)進(jìn)行審查； 3） 完成安全測(cè)試和評(píng)估 要求（通常包括完整的系統(tǒng)的、軟件的、硬件的安全測(cè)試方案，至少是相關(guān)測(cè)試程序的一個(gè)草案）； 4） 確認(rèn)各模塊的設(shè)計(jì)，以及模塊間的接口設(shè)計(jì)能滿足系統(tǒng)層面的安全要求。 第二十四條 詳細(xì)設(shè)計(jì)子階段的安全要求 無(wú)論是新開(kāi)發(fā)一個(gè)系統(tǒng)，或是對(duì)一個(gè)系統(tǒng)進(jìn)行修改，本階段的任務(wù)是完成那些不能買(mǎi)到現(xiàn)成品的軟硬件模塊的設(shè)計(jì)。 第二十三條 概要設(shè)計(jì)子階段的安全要求 在概要設(shè)計(jì)階段，系統(tǒng)層次上的設(shè)計(jì)要求和功能指標(biāo)都被分配到了子系統(tǒng)層次上，這個(gè)子階段的安全目標(biāo)是保證 各子系統(tǒng)設(shè)計(jì)實(shí)現(xiàn)了總體安全方案中的安全功能。 第二十一條 立項(xiàng)的項(xiàng)目，如采用引進(jìn)、合作開(kāi)發(fā)或者外包開(kāi)發(fā)等形式，則需與第三方簽訂安全保密協(xié)議。 第十九條 安全性論證和審批 安全性論證應(yīng)著重對(duì)項(xiàng)目的安全需求分析、安全對(duì)策以及總體安全方案進(jìn)行成本 效益、合理性、可行性和有效性分析，并在《信息化項(xiàng)目立項(xiàng)審批表》上給出明確的結(jié)論： 1） 適當(dāng) 2） 不合適（否決） 3） 需作復(fù)議 對(duì)論證結(jié)論為“需作復(fù)議”的項(xiàng)目，通知申報(bào)單位對(duì)有關(guān)內(nèi)容 進(jìn)行必要的補(bǔ)充或者修改后，再次提交復(fù)審。 第十七條 安全標(biāo)準(zhǔn)的確定 1） 根據(jù)系統(tǒng)的安全保護(hù)等級(jí)選擇基本安全措施，設(shè)計(jì)安全標(biāo)準(zhǔn)必須達(dá)到等級(jí)保護(hù)相關(guān)等級(jí)的基本要求，并依據(jù) 風(fēng)險(xiǎn)分析的結(jié)果進(jìn)行補(bǔ)充和調(diào)整必要的安全措施； 2） 指定和授權(quán)專(zhuān)門(mén)的部門(mén)對(duì)信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃，制定近期和遠(yuǎn)期的安全建設(shè)工作計(jì)劃； 3） 應(yīng)根據(jù)信息系統(tǒng)的等級(jí)劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細(xì)設(shè)計(jì)方案，并形成配套文件 4） 應(yīng)組織相關(guān)部門(mén)和有關(guān)安全技術(shù)專(zhuān)家對(duì)總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的合理性和正確性進(jìn)行論證和審定，并且經(jīng)過(guò)批準(zhǔn)后，才能正式實(shí)施； 5） 根據(jù)等級(jí)測(cè)評(píng)、安全評(píng)估的結(jié)果定期調(diào)整和修訂 總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件。 第十五條 對(duì)投入使用的應(yīng)用軟件需要升級(jí)改造的，雖不需另行立項(xiàng)，但仍需參照上述方法進(jìn)行一定的安全性分析，并針對(duì)可能發(fā)生的安全問(wèn)題提出和實(shí)現(xiàn)相應(yīng)安全對(duì)策。它取決于上面的威脅分析、脆弱性分析和影響分析，應(yīng)提供風(fēng)險(xiǎn)清單以及風(fēng)險(xiǎn)優(yōu)先級(jí)列表； 5)系統(tǒng)安全需求報(bào)告：針對(duì)安全風(fēng)險(xiǎn)，應(yīng)提出安全需求，對(duì)于每個(gè)不可接受的安全風(fēng)險(xiǎn)，都至少有一個(gè)安全需求與其對(duì)應(yīng)。 第十三條 挖掘安全需求 在《業(yè)務(wù)需求書(shū)》中除了描述系統(tǒng)業(yè)務(wù)需求之外，還應(yīng)進(jìn)行系統(tǒng)的安全性需求分析，應(yīng)至少包括以下信息安全方面的內(nèi)容： 1)安全威脅分析報(bào)告：應(yīng)分析待建計(jì)算機(jī)系統(tǒng)在生命周期的各個(gè)階段中可能遭受的自然威脅或者人為威脅（故意或無(wú)意），具體包括威脅列表、威脅可能性分析、威脅嚴(yán)重性分析等； 2)系統(tǒng)脆弱性分析報(bào)告：包括對(duì)系統(tǒng)造成問(wèn)題的脆弱性的定性或定量的描述，這些問(wèn)題是被攻擊的可能性、被攻擊成功的可能性； 3)影響分析報(bào)告：描述威脅利用系統(tǒng)脆弱性可能導(dǎo)致 不良影響。項(xiàng)目應(yīng)用主管單位進(jìn)行項(xiàng)目申報(bào)時(shí)應(yīng)填寫(xiě)《信息 系統(tǒng) 項(xiàng)目立項(xiàng)申請(qǐng)表》，并提交《業(yè)務(wù)需求書(shū)》和《信息 系統(tǒng) 項(xiàng)目可行性研究報(bào)告》。 第三章 項(xiàng)目申報(bào) 第九條 項(xiàng)目申報(bào)階段應(yīng)對(duì)信息 系統(tǒng) 項(xiàng)目及其建設(shè)的各個(gè)環(huán)節(jié)進(jìn)行統(tǒng)一的安全管理規(guī)劃，確定項(xiàng)目的安全需求、安全目標(biāo)、安全建設(shè)方案，以及生命周期各階段的安全需求、安全目標(biāo)、安全管理措施。 第七條 項(xiàng)目建設(shè)安全管理原則 信息 系統(tǒng) 項(xiàng)目建設(shè)安全管理應(yīng)遵循如下原則：
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1