系統(tǒng)運維管理-資產管理規(guī)范

1、系統(tǒng)運維管理資產管理規(guī)范版本歷史編制人： 審批人:錯誤!未定義書簽 錯誤!未定義書簽 錯誤!未定義書簽 錯誤!未定義書簽 錯誤!未定義書簽 錯誤!未定義書簽 錯誤!未定義書簽目錄一、要求內容二、實施建議三、常見問題四、實施難點五、測評方法六、參考資料、要求內容a）應編制并保存與信息系統(tǒng)相關的資產清單， 包括資產責任部門、重要程度 和所處位置等內容；b）應建立資產安全管理制度，規(guī)定信息系統(tǒng)資產管理的責任人員或責任部門，并規(guī)范資產管理和使用的行為；c）應根據資產的重要程度對資產進行標識管理，根據資產的價值選擇相應的 管理措施；d）應對信息分類與標識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進行 規(guī)

2、范化管理。二、實施建議編制各部門的信息資產清單可以了解各部門信息資產的管理情況，同時也是信息資產風險評估的基礎，資產清單記錄的內容越詳細對資產的管理越有幫助； 對于信息資產的管理同樣需要建立管理制度，內容應包括資產的分類、分級、標識、使用、保管等內容。三、常見問題多數(shù)企業(yè)沒有信息資產的清單，沒有單獨針對信息資產管理的要求。四、實施難點在信息資產管理初期需要對員工進行適當?shù)呐嘤柺怪私饽男┵Y產屬于信 息資產，對信息資產的安全管理有哪些好處五、測評方法形式 訪談，檢查。 對象 安全主管，資產管理員，信息資產清單，信息分 類分級文檔，資產安全管理制度。實施a）應訪談安全主管，詢問是否指定信息資產管理

3、的責任人員或部門，由何部門/何人負責；b）應訪談資產管理員，詢問是否根據信息資產清單定期對資產進行一致性清 查，并對信息資產清單進行維護更新； 是否對信息資產進行分類、分級和標識管 理，不同類別、不同安全級別的信息資產是否采取不同的管理措施；c）應訪談資產管理員，詢問對信息的操作（包括信息使用、存儲和傳輸?shù)确?面）是否要求進行標識；d）應訪談系統(tǒng)運維負責人，詢問目前信息系統(tǒng)是否由機構自身負責運行維護，如果是，系統(tǒng)運行所產生的文檔如何進行管理（責任書、授權書、許可證、 各類策略文檔、事故報告處理文檔、安全配置文檔、系統(tǒng)各類日志等），是否由專人管理；e）應檢查信息資產清單，查看其內容是否覆蓋資產責

4、任人、 所屬級別、所處 位置和所屬部門等方面，清單內容是否因資產所屬發(fā)生變化或資產增減而進行過 改變；f）應檢查資產安全管理制度，查看其內容是否覆蓋了資產使用、 借用、維護 等方面；g）應檢查信息分類分級文檔，查看其是否規(guī)定了分類標識的原則和方法 （如 根據數(shù)據的重要程度、敏感程度或用途不同進行分類分級），是否根據分類分級 文檔所描述的信息的安全級別規(guī)定不同信息的使用、 傳輸、存儲等方面內容。六、參考資料信息安全等級保護信息系統(tǒng)安全管理要求 中對資產清單管理的要求：資產清單管理 對資產清單的管理，不同安全等級應有選擇地滿足以下要求的一項:a）般資產清單：應編制并維護與信息系統(tǒng)相關的資產清單，至

5、少包括以下內容：信息資產：數(shù)據庫和數(shù)據文檔、系統(tǒng)文件、用戶手冊、培訓資料、操作 和支持程序、持續(xù)性計劃、備用系統(tǒng)安排、存檔信息；軟件資產：應用軟件、系統(tǒng)軟件、開發(fā)工具和實用程序；有形資產：計算機設備（處理器、監(jiān)視器、膝上形電腦、調制解調器） ， 通信設備（路由器、數(shù)字程控交換機、傳真機、應答機），磁媒體（磁帶和軟盤）， 其他技術裝備（電源，空調設備），家具和機房；相關資產：由信息系統(tǒng)控制的或與信息系統(tǒng)密切相關的各類資產。由于信息系統(tǒng)或信息的泄露或破壞，這些資產會受到相應的損壞。服務：計算和通信服務，通用設備如供暖、照明、供電和空調等。b）詳細的資產清單：在 a）的基礎上，應清晰識別每項資產的擁

6、有權、責 任人、安全分類以及資產所在的位置等。c ）業(yè)務應用系統(tǒng)清單：在 b）的基礎上，作為信息系統(tǒng)組成部分的業(yè)務應 用系統(tǒng)的資產應在資產清單中體現(xiàn)。應清晰識別業(yè)務應用系統(tǒng)資產的擁有權、責 任人、安全分類以及資產所在的位置等。資產分類與標識的要求 對資產的分類與標識，不同安全等級應有選擇地滿 足以下要求的一項：a） 資產重要性標識：應根據資產的重要程度對資產進行標識，以便可以基 于資產的價值選擇保護措施和進行資產管理等相關工作。b）資產分類管理：在a）的基礎上，應對信息資產進行分類管理，對信息 系統(tǒng)內分屬不同業(yè)務范圍的各類信息，按其對安全性的不同要求分類加以標識。對于信息資產，通常信息系統(tǒng)數(shù)據可以分為系統(tǒng)數(shù)據和用戶數(shù)據兩類，其重要性 一般與其所在的系統(tǒng)或子系統(tǒng)的安全保護等級相關；用戶數(shù)據的重要性還應考慮 自身保密性分類，如：國家秘密信息：秘密、機密、絕密信息；其他秘密信息：受國家法律保護的商業(yè)秘密和個人隱私信息；專有信息：國家或組織機構內部共享、內部受限、內部?？匦畔ⅲ约?公民個人專有信息；公開信息：國家公開共享的信息、組織機構公開共享的信息、公民個人 可公開共享的信息。組織機構應根據業(yè)務應用的具體情況進行分類分級和標識， 納入規(guī)范化管理；不同安全等級的信息應當本著“知所必需、 用所必需、共享必 需、公開必需、互