培訓(xùn)材料之3-信息安全等級(jí)保護(hù)安全建設(shè)整改技術(shù)工作主要內(nèi)容及相關(guān)標(biāo)準(zhǔn)應(yīng)用

1、信息安全等級(jí)保護(hù)安全建設(shè)整改工作培訓(xùn)材料之一信息安全等級(jí)保護(hù)安全建設(shè)整改技術(shù)工作主要內(nèi)容及相關(guān)標(biāo)準(zhǔn)應(yīng)用公安部信息安全等級(jí)保護(hù)評(píng)估中心二九年十一月目 錄1概述.（1）1.1 信息系統(tǒng)安全建設(shè)整改的目的.（1）1.2 安全建設(shè)整改在落實(shí)等級(jí)保護(hù)工作中的作用.（1）2安全建設(shè)整改依據(jù)的標(biāo)準(zhǔn).（2）2.1 相關(guān)標(biāo)準(zhǔn)在等級(jí)保護(hù)各階段工作中的作用.（2）2.2 安全建設(shè)整改工作依據(jù)的標(biāo)準(zhǔn).（5）2.2.1基本要求作用.（5）2.2.2基本要求框架結(jié)構(gòu).（5）2.2.3 安全保護(hù)能力.（6）2.2.4基本要求的選擇和使用說明.（8）3安全管理建設(shè)整改工作的內(nèi)容和方法.（10）3.1 落實(shí)信息安全責(zé)任制.（1

2、1）3.2 信息系統(tǒng)安全管理現(xiàn)狀分析.（12）3.3 確定安全管理策略，制定安全管理制度 .（12）3.4 落實(shí)安全管理措施.（13）3.4.1 人員安全管理.（13）3.4.2 系統(tǒng)運(yùn)維管理.（14）3.4.3 系統(tǒng)建設(shè)管理.（16）3.5 安全自查與調(diào)整.（17）4安全技術(shù)建設(shè)整改工作的內(nèi)容和方法.（17）4.1 信息系統(tǒng)安全保護(hù)技術(shù)現(xiàn)狀分析.（18）4.2 信息系統(tǒng)安全技術(shù)建設(shè)整改方案設(shè)計(jì).（19）4.2.1 確定安全技術(shù)策略，設(shè)計(jì)總體技術(shù)方案.（19）4.2.2 安全技術(shù)方案詳細(xì)設(shè)計(jì).（21）4.2.3 建設(shè)經(jīng)費(fèi)預(yù)算和工程實(shí)施計(jì)劃.（25）4.2.4 方案論證和備案.（25）4.3 安

3、全建設(shè)整改工程實(shí)施和管理.（26）4.3.1 工程實(shí)施和管理.（26）4.3.2 工程監(jiān)理和驗(yàn)收.（26）5安全等級(jí)測評(píng).（27）5.1 等級(jí)測評(píng)依據(jù)的標(biāo)準(zhǔn).（27）5.1.1 測評(píng)要求.（27）5.1.2 測評(píng)過程指南.（28）5.2 等級(jí)測評(píng)的工作流程和工作內(nèi)容.（29）5.3 等級(jí)測評(píng)工作中的風(fēng)險(xiǎn)控制.（31）5.3.1 存在的風(fēng)險(xiǎn).（31）5.3.2 風(fēng)險(xiǎn)的規(guī)避.（31）5.4 等級(jí)測評(píng)報(bào)告的主要內(nèi)容.（33）6信息系統(tǒng)安全建設(shè)整改方案要素.（34）6.1 項(xiàng)目背景.（34）6.2 開展信息系統(tǒng)安全建設(shè)整改的法規(guī)政策和技術(shù)依據(jù).（34）6.3 信息系統(tǒng)安全建設(shè)整改安全需求分析.（34）

4、6.4 信息系統(tǒng)安全等級(jí)保護(hù)建設(shè)整改技術(shù)方案設(shè)計(jì).（35）6.5 信息系統(tǒng)安全等級(jí)保護(hù)建設(shè)整改管理體系設(shè)計(jì).（35）6.6 信息系統(tǒng)安全產(chǎn)品選型及技術(shù)指標(biāo).（35）6.7 安全建設(shè)整改后信息系統(tǒng)殘余風(fēng)險(xiǎn)分析.（35）6.8 信息系統(tǒng)安全等級(jí)保護(hù)整改項(xiàng)目實(shí)施計(jì)劃.（35）6.9 信息系統(tǒng)安全等級(jí)保護(hù)項(xiàng)目預(yù)算.（35）1概述概述1.1信息系信息系統(tǒng)統(tǒng)安全建安全建設(shè)設(shè)整改的目的整改的目的在已定級(jí)的信息系統(tǒng)中，大多數(shù)信息系統(tǒng)在建設(shè)之初還沒有將等級(jí)保護(hù)要求作為安全需求加以考慮，因此所構(gòu)建的信息系統(tǒng)安全保障體系或采取的安全保護(hù)措施是以滿足本部門、本單位的安全需求為出發(fā)點(diǎn)的。隨著等級(jí)保護(hù)工作的逐步展開，尤其

5、是在信息系統(tǒng)確定了安全保護(hù)定級(jí)之后，重新審視現(xiàn)有信息系統(tǒng)的安全保護(hù)狀況，由于建設(shè)年代不同、所在地域差異、設(shè)計(jì)人員和實(shí)施人員的水平差距等都會(huì)造成其信息系統(tǒng)的保護(hù)水平參差不齊。通過開展等級(jí)保護(hù)工作，使信息系統(tǒng)可以按照等級(jí)保護(hù)相應(yīng)等級(jí)的要求進(jìn)行設(shè)計(jì)、規(guī)劃和實(shí)施，將國家的政策標(biāo)準(zhǔn)要求、機(jī)構(gòu)的使命性要求、系統(tǒng)可能面臨的環(huán)境和影響以及機(jī)構(gòu)自身的需求相結(jié)合作為信息系統(tǒng)的安全需求，使具有相同安全保護(hù)等級(jí)的信息系統(tǒng)能夠達(dá)到相應(yīng)等級(jí)的基本保護(hù)水平和保護(hù)能力。1.2安全建安全建設(shè)設(shè)整改在落整改在落實(shí)實(shí)等等級(jí)級(jí)保保護(hù)護(hù)工作中的作用工作中的作用根據(jù)等級(jí)保護(hù)管理辦法，等級(jí)保護(hù)工作主要分為五個(gè)環(huán)節(jié)，定級(jí)、備案、建設(shè)整改、等

6、級(jí)測評(píng)和監(jiān)督檢查。其中定級(jí)/備案是信息安全等級(jí)保護(hù)的首要環(huán)節(jié)，可以梳理各行業(yè)、各部門、各單位的信息系統(tǒng)類型、重要程度和數(shù)量等，確定信息安全保護(hù)的重點(diǎn)。而安全建設(shè)整改是信息安全等級(jí)保護(hù)工作落實(shí)的關(guān)鍵，通過建設(shè)整改使具有不同等級(jí)的信息系統(tǒng)達(dá)到相應(yīng)等級(jí)的基本保護(hù)能力，從而提高我國基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)整體防護(hù)能力。等級(jí)測評(píng)工作的主體是第三方測評(píng)機(jī)構(gòu)，工作目的是檢驗(yàn)和評(píng)價(jià)信息系統(tǒng)的安全建設(shè)整改工作的成效，判斷安全保護(hù)能力是否達(dá)到相關(guān)要求，監(jiān)督檢查工作的主體是信息安全職能管理部門，通過定期的監(jiān)督、檢查和指導(dǎo)，保障重要信息系統(tǒng)安全保護(hù)能力不斷提高。- 5 -2安全建安全建設(shè)設(shè)整改依據(jù)的整改依據(jù)的標(biāo)標(biāo)準(zhǔn)準(zhǔn)2

7、.1相關(guān)相關(guān)標(biāo)標(biāo)準(zhǔn)在等準(zhǔn)在等級(jí)級(jí)保保護(hù)護(hù)各各階階段工作中的作用段工作中的作用GB17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則是基礎(chǔ)性標(biāo)準(zhǔn)， GB/T20271-2006信息系統(tǒng)通用安全技術(shù)要求、GB/T20270-2006網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求、GB/T21052-2007信息系統(tǒng)物理安全技術(shù)要求等技術(shù)要求類標(biāo)準(zhǔn)和 GB/T20269-2006信息系統(tǒng)安全管理要求、GB/T20282-2006信息系統(tǒng)安全工程管理要求等管理要求類標(biāo)準(zhǔn)是在 GB17859-1999 基礎(chǔ)上的進(jìn)一步細(xì)化和擴(kuò)展。GB/T22239-2008信息系統(tǒng)安全等級(jí)保護(hù)基本要求（以下簡稱基本要求）技術(shù)部分吸收和借鑒了

8、GB 17859-1999 及相關(guān)標(biāo)準(zhǔn)，采納其中的身份鑒別、數(shù)據(jù)完整性、自主訪問控制、強(qiáng)制訪問控制、審計(jì)、客體重用（改為剩余信息保護(hù)）標(biāo)記、可信路徑等 8 個(gè)安全機(jī)制，并將這些機(jī)制根據(jù)各級(jí)的安全目標(biāo)，擴(kuò)展到網(wǎng)絡(luò)層、主機(jī)系統(tǒng)層、應(yīng)用層和數(shù)據(jù)層，基本要求管理部分充分借鑒了 ISO/IEC 17799:2005 等國際上流行的信息安全管理方面的標(biāo)準(zhǔn)。根據(jù)現(xiàn)有技術(shù)的發(fā)展水平， 基本要求提出和規(guī)定了不同安全保護(hù)等級(jí)信息系統(tǒng)的最低保護(hù)要求。行業(yè)主管部門可以依據(jù)基本要求，結(jié)合行業(yè)特點(diǎn)和信息系統(tǒng)實(shí)際出臺(tái)行業(yè)細(xì)則，行業(yè)細(xì)則的要求應(yīng)不低于基本要求。GB/T22240-2008信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南（以下簡稱

9、定級(jí)指南）為信息系統(tǒng)運(yùn)營使用單位確定信息系統(tǒng)安全保護(hù)等級(jí)的工作提供指導(dǎo)，行業(yè)主管部門可以依據(jù)定級(jí)指南，結(jié)合行業(yè)特點(diǎn)和信息系統(tǒng)實(shí)際出臺(tái)行業(yè)定級(jí)細(xì)則，保證行業(yè)內(nèi)信息系統(tǒng)在不同地區(qū)等級(jí)的一致性，以指導(dǎo)本行業(yè)信息系統(tǒng)定級(jí)工作的開展。等級(jí)測評(píng)是評(píng)價(jià)信息系統(tǒng)安全保護(hù)狀況的重要方法，也是等級(jí)保護(hù)工作的重要環(huán)節(jié)之一，測評(píng)結(jié)果可作為向監(jiān)管機(jī)構(gòu)提交的等級(jí)測評(píng)報(bào)告。 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求為等級(jí)測評(píng)機(jī)構(gòu)開展等級(jí)測評(píng)活動(dòng)提供了測評(píng)方法和綜合評(píng)價(jià)方法。 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)過程指南對(duì)等級(jí)測評(píng)活動(dòng)提出規(guī)范性要求，以保證測評(píng)結(jié)論的準(zhǔn)確性和可靠性。信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南是信息系統(tǒng)安全等級(jí)保護(hù)建設(shè)實(shí)施的過程控制

10、標(biāo)準(zhǔn)，用于指導(dǎo)信息系統(tǒng)運(yùn)營使用單位了解和掌握信息安全等級(jí)保護(hù)工作的方法、主要工作內(nèi)容以及不同的角色在不同階段的作用。 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求對(duì)信息系統(tǒng)安全建設(shè)的技術(shù)設(shè)計(jì)活動(dòng)提供指導(dǎo)，是實(shí)現(xiàn)基本要求中技術(shù)要求的方法之一。各標(biāo)準(zhǔn)間相互關(guān)系如下圖簡要說明。- 7 -信息系統(tǒng)安全等級(jí)保護(hù)基本要求信息系統(tǒng)安全等級(jí)保護(hù)基本要求計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則（GB17859）信息系統(tǒng)通用安全技術(shù)要求信息系統(tǒng)物理安全技術(shù)要求技技術(shù)類術(shù)類其他技術(shù)類標(biāo)準(zhǔn)信息系統(tǒng)安全管理要求信息系統(tǒng)安全工程管理要求其他管理類標(biāo)準(zhǔn)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南信息系統(tǒng)安全等級(jí)保護(hù)基本要求的行業(yè)細(xì)則信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)

11、過程指南信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求管理管理類類產(chǎn)產(chǎn)品品類類數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求其他產(chǎn)品類標(biāo)準(zhǔn)信息系統(tǒng)安全等級(jí)保護(hù)行業(yè)定級(jí)細(xì)則操作系統(tǒng)安全技術(shù)要求信息系統(tǒng)安全信息系統(tǒng)安全等級(jí)保護(hù)建設(shè)等級(jí)保護(hù)建設(shè)整改整改網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求網(wǎng)絡(luò)和終端設(shè)備隔離部件技術(shù)要求安全定級(jí)基線要求狀態(tài)分析方法指導(dǎo)信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南圖圖1 等等級(jí)級(jí)保保護(hù)標(biāo)護(hù)標(biāo)準(zhǔn)準(zhǔn)間間相互關(guān)系相互關(guān)系2.2安全建安全建設(shè)設(shè)整改工作依據(jù)的整改工作依據(jù)的標(biāo)標(biāo)準(zhǔn)準(zhǔn)2.2.1 基本要求基本要求 作用作用基本要求是針對(duì)每個(gè)等級(jí)的信息系統(tǒng)提出相應(yīng)安全保護(hù)要求，“基本”意味著這些要求是針對(duì)該等級(jí)的信息系統(tǒng)達(dá)到

12、基本保護(hù)能力而提出的，也就是說，這些要求的實(shí)現(xiàn)能夠保證系統(tǒng)達(dá)到相應(yīng)等級(jí)的基本保護(hù)能力。信息系統(tǒng)安全建設(shè)整改應(yīng)以落實(shí)基本要求為主要目標(biāo)。信息系統(tǒng)運(yùn)營使用單位應(yīng)根據(jù)信息系統(tǒng)安全保護(hù)等級(jí)選擇基本要求中相應(yīng)級(jí)別的安全保護(hù)要求作為信息系統(tǒng)的基本安全需求。當(dāng)信息系統(tǒng)有更高安全需求時(shí)，可參考基本要求中較高級(jí)別保護(hù)要求或信息系統(tǒng)通用安全技術(shù)要求、 信息系統(tǒng)安全管理要求等其他標(biāo)準(zhǔn)。行業(yè)主管部門可以結(jié)合行業(yè)特點(diǎn)和信息系統(tǒng)實(shí)際出臺(tái)行業(yè)細(xì)則，行業(yè)細(xì)則的要求應(yīng)不低于基本要求。但基本要求提出的是“要求”，而不是具體實(shí)施方案或作業(yè)指導(dǎo)書， 基本要求給出了系統(tǒng)每一保護(hù)方面需達(dá)到的要求，至于這種要求采取何種方式實(shí)現(xiàn)，不在基本要

13、求的描述范圍內(nèi)?；疽鬄橐韵鹿ぷ魈峁┮罁?jù)：a) 為信息系統(tǒng)建設(shè)單位和運(yùn)營、使用單位的信息系統(tǒng)建設(shè)和整改工作提供依據(jù)；b) 為測評(píng)機(jī)構(gòu)提供信息系統(tǒng)的等級(jí)測評(píng)依據(jù)；c) 為職能監(jiān)管部門提供監(jiān)督檢查依據(jù)。2.2.2 基本要求基本要求 框架框架結(jié)結(jié)構(gòu)構(gòu)基本要求在整體框架結(jié)構(gòu)上以三種分類為支撐點(diǎn)，自上而下分別為：類、控制點(diǎn)和項(xiàng)。其中，類表示基本要求在整體上大的分類，其中技術(shù)部分分為：物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等 5 大類，管理部分分為：安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等 5 大類，一共分為 10 大類。控制點(diǎn)表示每個(gè)大類下的關(guān)鍵控制點(diǎn)，如物

14、理安全大類中的“物理訪問- 9 -控制”作為一個(gè)控制點(diǎn)。而項(xiàng)則是控制點(diǎn)下的具體要求項(xiàng)，如“機(jī)房出入應(yīng)有專人負(fù)責(zé)，進(jìn)入的人員登記在案。 ”具體框架結(jié)構(gòu)如圖所示：第三級(jí)基本要求物理安全網(wǎng)絡(luò)安全主機(jī)系統(tǒng)安全應(yīng)用安全第一級(jí)基本要求第二級(jí)基本要求第四級(jí)基本要求第五級(jí)基本要求數(shù)據(jù)安全及備份恢復(fù)技術(shù)要求管理要求安全管理機(jī)構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運(yùn)維管理圖圖2 基本要求基本要求 的框架的框架結(jié)結(jié)構(gòu)構(gòu)2.2.3 安全保安全保護(hù)護(hù)能力能力對(duì)信息系統(tǒng)采取安全措施是為了使信息系統(tǒng)具備一定的安全保護(hù)能力，這種安全保護(hù)能力主要表現(xiàn)為能夠應(yīng)對(duì)威脅的能力，稱為對(duì)對(duì)抗能抗能力力。但在某些情況下，信息系統(tǒng)無法阻

15、擋威脅對(duì)自身的破壞時(shí)，如果信息系統(tǒng)具有很好的恢復(fù)能力，那么即使遭到破壞，也能在很短的時(shí)間內(nèi)恢復(fù)系統(tǒng)原有的狀態(tài)。能夠在一定時(shí)間內(nèi)恢復(fù)系統(tǒng)原有狀態(tài)的能力構(gòu)成了信息系統(tǒng)的另一種安全保護(hù)能力恢復(fù)能力恢復(fù)能力。對(duì)抗能力和恢復(fù)能力共同構(gòu)成了信息系統(tǒng)的安全保護(hù)能力。將“能力”分級(jí)，是基于系統(tǒng)的保護(hù)對(duì)象不同，其重要程度也不相同，重要程度決定了系統(tǒng)所具有的能力也就有所不同。一般來說，信息系統(tǒng)越重要，應(yīng)具有的保護(hù)能力就越高。因?yàn)橄到y(tǒng)越重要，其所伴隨的遭到破壞的可能性越大，遭到破壞后的后果越嚴(yán)重，因此需要提高相應(yīng)的安全保護(hù)能力。根據(jù)不同級(jí)別信息系統(tǒng)的重要程度，提出不同強(qiáng)度的對(duì)抗能力和恢復(fù)能力，將這些能力細(xì)化成安全目

16、標(biāo)，而基本要求就是為滿足這些安全目標(biāo)而提出的安全保護(hù)要求。下圖給出了不同等級(jí)信息系統(tǒng)的安全保護(hù)能力、安全目標(biāo)與安全要求之間映射關(guān)系。一級(jí)信息系統(tǒng)對(duì)抗能力1恢復(fù)能力1第1級(jí)安全目標(biāo)第1級(jí)基本要求二級(jí)信息系統(tǒng)對(duì)抗能力2恢復(fù)能力2第2級(jí)安全目標(biāo)第2級(jí)基本要求三級(jí)信息系統(tǒng)對(duì)抗能力3恢復(fù)能力3第3級(jí)安全目標(biāo)第3級(jí)基本要求四級(jí)信息系統(tǒng)對(duì)抗能力4恢復(fù)能力4第4級(jí)安全目標(biāo)第4級(jí)基本要求圖圖3 基本要求基本要求 的描述模型的描述模型不同等級(jí)信息系統(tǒng)所具有的保護(hù)能力如下：第一級(jí)信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)具有抵御一般性攻擊的能力，防范常見計(jì)算機(jī)病毒和惡意代碼危害的能力；系統(tǒng)遭到損害后，具有恢復(fù)系統(tǒng)主要功能

17、的能力。第二級(jí)信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)具有抵御小規(guī)模、較弱強(qiáng)度惡意攻擊的能力，抵抗一般的自然災(zāi)害的能力，防范一般性計(jì)算機(jī)病毒和惡意代碼危害的能力；具有檢測常見的攻擊行為，并對(duì)安全事件進(jìn)行記錄的能力；系統(tǒng)遭到損害后，具有恢復(fù)系統(tǒng)正常運(yùn)行狀態(tài)的能力。- 11 -第三級(jí)信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)在統(tǒng)一的安全保護(hù)策略下具有抵御大規(guī)模、較強(qiáng)惡意攻擊的能力，抵抗較為嚴(yán)重的自然災(zāi)害的能力，防范計(jì)算機(jī)病毒和惡意代碼危害的能力；具有檢測、發(fā)現(xiàn)、報(bào)警、記錄入侵行為的能力；具有對(duì)安全事件進(jìn)行響應(yīng)處置，并能夠追蹤安全責(zé)任的能力；在系統(tǒng)遭到損害后，具有能夠較快恢復(fù)正常運(yùn)行狀態(tài)的能力；對(duì)于服務(wù)保障性

18、要求高的系統(tǒng)，應(yīng)能快速恢復(fù)正常運(yùn)行狀態(tài)；具有對(duì)系統(tǒng)資源、用戶、安全機(jī)制等進(jìn)行集中控管的能力。第四級(jí)信息系統(tǒng)：經(jīng)過安全建設(shè)整改，信息系統(tǒng)在統(tǒng)一的安全保護(hù)策略下具有抵御敵對(duì)勢力有組織的大規(guī)模攻擊的能力，抵抗嚴(yán)重的自然災(zāi)害的能力，防范計(jì)算機(jī)病毒和惡意代碼危害的能力；具有檢測、發(fā)現(xiàn)、報(bào)警、記錄入侵行為的能力；具有對(duì)安全事件進(jìn)行快速響應(yīng)處置，并能夠追蹤安全責(zé)任的能力；在系統(tǒng)遭到損害后，具有能夠較快恢復(fù)正常運(yùn)行狀態(tài)的能力；對(duì)于服務(wù)保障性要求高的系統(tǒng)，應(yīng)能立即恢復(fù)正常運(yùn)行狀態(tài)；具有對(duì)系統(tǒng)資源、用戶、安全機(jī)制等進(jìn)行集中控管的能力。2.2.4 基本要求基本要求 的的選擇選擇和使用和使用說說明明安全要求從整體上分

19、為技術(shù)和管理兩大類，其中，技術(shù)類安全要求按其保護(hù)的側(cè)重點(diǎn)不同，將其下的控制點(diǎn)分為三類：業(yè)務(wù)業(yè)務(wù)信息安全信息安全類類（ （S 類類） ）關(guān)注的是保護(hù)數(shù)據(jù)在存儲(chǔ)、傳輸、處理過程中不被泄漏、破壞和免受未授權(quán)的修改。如，訪問控制，該控制點(diǎn)主要關(guān)注的是防止未授權(quán)的訪問系統(tǒng)，進(jìn)而造成數(shù)據(jù)的修改或泄漏。至于對(duì)保證業(yè)務(wù)的正常連續(xù)運(yùn)行并沒有直接的影響。系系統(tǒng)統(tǒng)服服務(wù)務(wù)安全安全類類（ （A 類類） ）關(guān)注的是保護(hù)系統(tǒng)連續(xù)正常的運(yùn)行，避免因?qū)ο到y(tǒng)的未授權(quán)修改、破壞而導(dǎo)致系統(tǒng)不可用。如，資源控制，該控制點(diǎn)很好的體現(xiàn)了對(duì)業(yè)務(wù)正常運(yùn)行的保護(hù)。通過對(duì)資源的使用限制、監(jiān)視和預(yù)警等控制，保證了重要業(yè)務(wù)的正常運(yùn)行。通用安全保通用

20、安全保護(hù)類護(hù)類（ （G 類類） ）既關(guān)注保護(hù)業(yè)務(wù)信息的安全性，同時(shí)也關(guān)注保護(hù)系統(tǒng)的連續(xù)可用性。大多數(shù)技術(shù)類安全要求都屬于此類，保護(hù)的重點(diǎn)既是為了保證業(yè)務(wù)能夠正常運(yùn)行，同時(shí)數(shù)據(jù)要安全。如，物理訪問控制，該控制點(diǎn)主要是防止非授權(quán)人員物理訪問系統(tǒng)主要工作環(huán)境，由于進(jìn)入工作環(huán)境可能導(dǎo)致的后果既可能包括系統(tǒng)無法正常運(yùn)行（如，損壞某臺(tái)重要服務(wù)器），也可能竊取某些重要數(shù)據(jù)。因此，它保護(hù)的重點(diǎn)二者兼而有之。因此，在使用基本要求時(shí)，應(yīng)該從信息系統(tǒng)的安全關(guān)注點(diǎn)出發(fā)，而信息系統(tǒng)的安全關(guān)注點(diǎn)可以從信息系統(tǒng)的定級(jí)結(jié)果中得到。有了定級(jí)結(jié)果，就可以選擇和使用基本安全要求。舉例來說，某信息系統(tǒng)定級(jí)結(jié)果為三級(jí) S1A3G3 ，

21、在選擇和使用基本安全要求時(shí)應(yīng)選擇三級(jí)管理要求和 S1A3G3 的技術(shù)要求，可以分為以下過程：1、選擇基本要求中的第 7 章第三級(jí)基本要求，包括管理要求和技術(shù)要求；2、根據(jù)定級(jí)結(jié)果 S1A3G3 進(jìn)行調(diào)整。信息系統(tǒng)的業(yè)務(wù)信息安全保護(hù)等級(jí)為 1 級(jí)，系統(tǒng)服務(wù)安全保護(hù)等級(jí)為 3 級(jí)，因此，將第三級(jí)技術(shù)要求中的 S 類要求調(diào)整為第一級(jí)基本要求中的 S 類要求，第 1 步驟中已選擇的 A 類和 G 類基本要求保持不變；3、根據(jù)行業(yè)要求或系統(tǒng)自身特點(diǎn)，分析需要增強(qiáng)的安全保護(hù)能力，需要增強(qiáng)業(yè)務(wù)信息安全保護(hù)能力的從 2、3、4 級(jí)的 S 類基本要求中選擇，需要增強(qiáng)系統(tǒng)服務(wù)安全保護(hù)能力的從 4 級(jí)的 A 類基本

22、要求中選擇，整體需要增強(qiáng)的，則從 4 級(jí) G 類基本要求中選擇。在現(xiàn)有技術(shù)條件下，基本要求中的某些要求可能無法實(shí)現(xiàn)，如“對(duì)信息資源設(shè)置敏感標(biāo)記”，信息系統(tǒng)運(yùn)營、使用單位可以對(duì)基本要求進(jìn)行調(diào)整，但是不能降低整體安全保護(hù)能力。此外，在為信息系統(tǒng)選擇和使用基本要求時(shí)，出發(fā)點(diǎn)是保證信息系統(tǒng)具有相應(yīng)等級(jí)的基本安全保護(hù)能力。但用戶在進(jìn)行信息系統(tǒng)安全建設(shè)整改時(shí)，可以在基本要求中的各級(jí)要求基礎(chǔ)上，參考其他標(biāo)準(zhǔn)、行- 13 -業(yè)要求和系統(tǒng)實(shí)際，提出特殊安全要求，開展安全建設(shè)整改。 基本要求給出了各級(jí)信息系統(tǒng)每一保護(hù)方面需達(dá)到的要求，但不是具體的安全建設(shè)整改方案或作業(yè)指導(dǎo)書，實(shí)現(xiàn)基本要求的措施或方式并不局限于基本

23、要求給出的內(nèi)容，要結(jié)合系統(tǒng)自身特點(diǎn)綜合考慮采取的措施來達(dá)到基本要求提出的保護(hù)能力?；疽笾胁话踩O(shè)計(jì)和工程實(shí)施等內(nèi)容，因此，在系統(tǒng)安全建設(shè)整改中，可以參照信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南、 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求和信息系統(tǒng)安全工程管理要求進(jìn)行?；疽缶C合了信息系統(tǒng)物理安全技術(shù)要求、 信息系統(tǒng)通用安全技術(shù)要求和信息系統(tǒng)安全管理要求的有關(guān)內(nèi)容，在進(jìn)行系統(tǒng)安全建設(shè)整改方案設(shè)計(jì)時(shí)可進(jìn)一步參考后三個(gè)標(biāo)準(zhǔn)。信息系統(tǒng)運(yùn)營使用單位在根據(jù)基本要求進(jìn)行安全建設(shè)整改方案設(shè)計(jì)時(shí)，要按照整體安全的原則，綜合考慮安全保護(hù)措施，建立并完善系統(tǒng)安全保障體系，提高系統(tǒng)的整體安全防護(hù)能力。3安全管理建安全管理建設(shè)設(shè)

24、整改工作的內(nèi)容和方法整改工作的內(nèi)容和方法按照國家有關(guān)規(guī)定，依據(jù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求，參照信息系統(tǒng)安全管理要求等標(biāo)準(zhǔn)規(guī)范要求，開展信息系統(tǒng)安全管理建設(shè)整改工作（工作流程見圖 4）。明確主管領(lǐng)導(dǎo)、落實(shí)責(zé)任部門落實(shí)安全崗位和人員信息系統(tǒng)安全管理現(xiàn)狀分析掛項(xiàng)目實(shí)施方案詳細(xì)設(shè)計(jì)確定安全管理策略、制定安全管理制度安全自查和調(diào)整系統(tǒng)建設(shè)管理落實(shí)安全管理措施人員安全管理環(huán)境和資產(chǎn)管理設(shè)備和介質(zhì)管理日常運(yùn)行維護(hù)集中安全管理事件處置和應(yīng)急響應(yīng)災(zāi)難備份安全監(jiān)測。 。 。 。系統(tǒng)運(yùn)維管理圖 4：信息系統(tǒng)安全管理建設(shè)整改工作流程圖 4 中的安全管理措施是按照一般工作順序排列的，因此與基本要求安全管理要求部分的分

25、類層次有所不同，但內(nèi)容是一致的。3.1落落實(shí)實(shí)信息安全信息安全責(zé)責(zé)任制任制信息系統(tǒng)的運(yùn)營使用單位可以建立統(tǒng)一的信息安全領(lǐng)導(dǎo)機(jī)構(gòu)對(duì)本單位信息系統(tǒng)進(jìn)行決策和管理，明確信息安全的主管領(lǐng)導(dǎo)，落實(shí)安全管理責(zé)任部門。如果單位內(nèi)不同信息系統(tǒng)由不同的部門負(fù)責(zé)運(yùn)行和維護(hù)，各信息系統(tǒng)應(yīng)分別設(shè)立運(yùn)行維護(hù)崗位并建立相關(guān)的人員管理制度，明確每個(gè)崗位和人員的職責(zé)與任務(wù)。- 15 -落實(shí)安全責(zé)任制的具體措施還應(yīng)參照執(zhí)行相關(guān)管理規(guī)定，例如在黨政機(jī)關(guān)信息系統(tǒng)應(yīng)執(zhí)行關(guān)于加強(qiáng)黨政機(jī)關(guān)計(jì)算機(jī)信息系統(tǒng)安全和保密管理的若干規(guī)定，其中要求“各級(jí)應(yīng)當(dāng)明確一名主要領(lǐng)導(dǎo)負(fù)責(zé)計(jì)算機(jī)信息系統(tǒng)安全和保密工作，指定一個(gè)工作機(jī)構(gòu)具體負(fù)責(zé)計(jì)算機(jī)信息系統(tǒng)安全

26、和保密綜合管理。各部門內(nèi)設(shè)機(jī)構(gòu)應(yīng)當(dāng)指定一名信息安全保密員”。3.2信息系信息系統(tǒng)統(tǒng)安全管理安全管理現(xiàn)現(xiàn)狀分析狀分析在開展信息系統(tǒng)安全管理建設(shè)整改之前，通過開展信息系統(tǒng)安全管理現(xiàn)狀分析，查找信息系統(tǒng)安全管理建設(shè)整改需要解決的問題，明確信息系統(tǒng)安全管理建設(shè)整改的需求。可參考以下步驟進(jìn)行：（一）分析信息系統(tǒng)現(xiàn)有安全管理體系了解信息系統(tǒng)的安全組織管理架構(gòu)、管理策略，安全管理部門設(shè)置情況，安全崗位和人員情況，安全管理制度的制定和落實(shí)情況等，掌握信息系統(tǒng)現(xiàn)有安全管理體系現(xiàn)狀。（二）分析信息系統(tǒng)安全管理差距在開展信息系統(tǒng)安全管理建設(shè)整改之前，采取對(duì)照檢查、風(fēng)險(xiǎn)評(píng)估、等級(jí)測評(píng)等方法，分析判斷目前所采取的安全管

27、理措施與等級(jí)保護(hù)標(biāo)準(zhǔn)要求之間的差距，分析系統(tǒng)已發(fā)生的事件或事故，分析安全管理方面存在的問題，形成安全管理建設(shè)整改的需求。開展信息系統(tǒng)安全管理差距分析工作，主要依據(jù)基本要求、 信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求和信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)過程指南。（三）論證和確定安全管理需求對(duì)安全管理建設(shè)整改需求進(jìn)行評(píng)審論證，該項(xiàng)工作可與安全技術(shù)需求論證工作一并進(jìn)行。3.3確定安全管理策略，制定安全管理制度確定安全管理策略，制定安全管理制度根據(jù)安全管理需求，確定安全管理目標(biāo)和安全策略，針對(duì)信息系統(tǒng)的各類管理活動(dòng)，制定人員安全管理制度，明確人員錄用、離崗、考核、教育培訓(xùn)等管理內(nèi)容；制定系統(tǒng)建設(shè)管理制度，明確系統(tǒng)定級(jí)備案、

28、方案設(shè)計(jì)、產(chǎn)品采購使用、密碼使用、軟件開發(fā)、工程實(shí)施、驗(yàn)收交付、等級(jí)測評(píng)、安全服務(wù)等管理內(nèi)容；制定系統(tǒng)運(yùn)維管理制度，明確機(jī)房環(huán)境安全、存儲(chǔ)介質(zhì)安全、設(shè)備設(shè)施安全、安全監(jiān)控、網(wǎng)絡(luò)安全、系統(tǒng)安全、惡意代碼防范、密碼保護(hù)、備份與恢復(fù)、事件處置、應(yīng)急預(yù)案等管理內(nèi)容；制定定期檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項(xiàng)制度、措施的落實(shí)情況，并不斷完善。規(guī)范安全管理人員或操作人員的操作規(guī)程等，形成安全管理體系（如圖 5 所示）。安全管理體系安全管理目標(biāo)和安全策略各類安全管理制度各類安全操作規(guī)程各類操作過程記錄表格圖 5 安全管理體系安全管理體系規(guī)劃的核心思想是調(diào)整原有管理模式和管理策略，既從全局高度考

29、慮為整個(gè)信息系統(tǒng)制定安全管理目標(biāo)和統(tǒng)一的安全管理策略，又要從每個(gè)定級(jí)系統(tǒng)的實(shí)際等級(jí)、實(shí)際需求出發(fā)，選擇和調(diào)整具體的安全管理措施，最后形成統(tǒng)一的系統(tǒng)整體安全管理體系。3.4落落實(shí)實(shí)安全管理措施安全管理措施3.4.1 人人員員安全管理安全管理人員安全管理主要包括人員錄用、離崗、考核、教育培訓(xùn)等內(nèi)容。一般單位都有統(tǒng)一的人事管理部門負(fù)責(zé)人員管理，這里的人員安- 17 -全管理主要指對(duì)關(guān)鍵崗位人員進(jìn)行的以安全為核心的管理，例如對(duì)關(guān)鍵崗位的人員采取在錄用或上崗前進(jìn)行全面、嚴(yán)格的安全審查和技能考核，與關(guān)鍵崗位人員簽署保密協(xié)議，對(duì)離崗人員撤銷系統(tǒng)帳戶和相關(guān)權(quán)限等措施。只有注重對(duì)安全管理人員的培養(yǎng)，提高其安全防

30、范意識(shí)，才能做到安全有效的防范，因此需要對(duì)各類人員進(jìn)行安全意識(shí)教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。培訓(xùn)的內(nèi)容包括單位的信息安全方針、信息安全方面的基礎(chǔ)知識(shí)、安全技術(shù)、安全標(biāo)準(zhǔn)、崗位操作規(guī)程、最新的工作流程、相關(guān)的安全責(zé)任要求、法律責(zé)任和懲戒措施等。具體依據(jù)標(biāo)準(zhǔn)基本要求中人員安全管理，同時(shí)可以參照信息系統(tǒng)安全管理要求等。3.4.2 系系統(tǒng)統(tǒng)運(yùn)運(yùn)維維管理管理1、環(huán)境和資產(chǎn)安全管理環(huán)境包括計(jì)算機(jī)、網(wǎng)絡(luò)機(jī)房環(huán)境以及設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境，明確環(huán)境安全管理的責(zé)任部門或責(zé)任人，加強(qiáng)對(duì)人員出入、來訪人員的控制，對(duì)有關(guān)物理訪問、物品進(jìn)出和環(huán)境安全等方面作出規(guī)定。對(duì)重要區(qū)域設(shè)置門禁控制手段，或使用視頻監(jiān)控等

31、措施。資產(chǎn)包括介質(zhì)、設(shè)備、設(shè)施、數(shù)據(jù)、軟件、文檔等，資產(chǎn)管理不等同于設(shè)備物資管理，而是從安全和信息系統(tǒng)角度對(duì)資產(chǎn)進(jìn)行管理，將資產(chǎn)作為信息系統(tǒng)的組成部分，按其在信息系統(tǒng)中的作用進(jìn)行管理。應(yīng)明確資產(chǎn)安全管理的責(zé)任部門或責(zé)任人，對(duì)資產(chǎn)進(jìn)行分類、標(biāo)識(shí)，編制與信息系統(tǒng)相關(guān)的軟件資產(chǎn)、硬件資產(chǎn)等資產(chǎn)清單。具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)運(yùn)維管理，同時(shí)可以參照信息系統(tǒng)安全管理要求等。2、設(shè)備和介質(zhì)安全管理明確配套設(shè)施、軟硬件設(shè)備管理、維護(hù)的責(zé)任部門或責(zé)任人，對(duì)信息系統(tǒng)的各種軟硬件設(shè)備采購、發(fā)放、領(lǐng)用、維護(hù)和維修等過程進(jìn)行控制，對(duì)介質(zhì)的存放、使用、維護(hù)和銷毀等方面作出規(guī)定，加強(qiáng)對(duì)涉外維修、敏感數(shù)據(jù)銷毀等過程的監(jiān)督控

32、制。具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)運(yùn)維管理，同時(shí)可以參照信息系統(tǒng)安全管理要求等。3、日常運(yùn)行維護(hù)明確網(wǎng)絡(luò)、系統(tǒng)日常運(yùn)行維護(hù)的責(zé)任部門或責(zé)任人，對(duì)運(yùn)行管理中的日常操作、賬號(hào)管理、安全配置、日志管理、補(bǔ)丁升級(jí)、口令更新等過程進(jìn)行控制和管理；制訂設(shè)備操作管理、業(yè)務(wù)應(yīng)用操作管理、變更控制和重用管理、信息交換管理相應(yīng)的管理制度；制定與信息系統(tǒng)安全管理相配套的規(guī)范和操作規(guī)程并落實(shí)執(zhí)行；正確實(shí)施為信息系統(tǒng)可靠運(yùn)行而采取的各種檢測、監(jiān)控、審計(jì)、分析、備份及容錯(cuò)等方法和措施，對(duì)運(yùn)行安全進(jìn)行監(jiān)督檢查。具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)運(yùn)維管理，同時(shí)可以參照信息系統(tǒng)安全管理要求等。4、集中安全管理第三級(jí)以上信息系統(tǒng)應(yīng)按照統(tǒng)一的

33、安全策略、安全管理要求，統(tǒng)一管理信息系統(tǒng)的安全運(yùn)行，進(jìn)行安全機(jī)制的配置與管理，對(duì)設(shè)備安全配置、惡意代碼、補(bǔ)丁升級(jí)、安全審計(jì)等進(jìn)行管理，對(duì)與安全有關(guān)的信息進(jìn)行匯集與分析，對(duì)安全機(jī)制進(jìn)行集中管理。具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)運(yùn)維管理，同時(shí)可以參照信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求和信息系統(tǒng)安全管理要求等。5、事件處置與應(yīng)急響應(yīng)按照國家有關(guān)標(biāo)準(zhǔn)規(guī)定，確定信息安全事件的等級(jí)。結(jié)合信息系統(tǒng)安全保護(hù)等級(jí)，制定信息安全事件分級(jí)應(yīng)急處置預(yù)案，明確應(yīng)急處置策略，落實(shí)應(yīng)急指揮部門、執(zhí)行部門和技術(shù)支撐部門，建立應(yīng)急協(xié)調(diào)機(jī)制。落實(shí)安全事件報(bào)告制度，第三級(jí)以上信息系統(tǒng)發(fā)生較大、重大、特別重大安全事件時(shí)，運(yùn)營使用單位按照相應(yīng)

34、預(yù)案開展應(yīng)急處置，并及時(shí)向受理備案的公安機(jī)關(guān)報(bào)告。組織應(yīng)急技術(shù)支撐力量和專家隊(duì)伍，按照應(yīng)急預(yù)案定期組織開展應(yīng)急演練。- 19 -具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)運(yùn)維管理，同時(shí)可以參照信息安全事件分類分級(jí)指南和信息安全事件管理指南等。6、災(zāi)難備份要對(duì)第三級(jí)以上信息系統(tǒng)采取災(zāi)難備份措施，防止重大事故、事件發(fā)生。識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等，制定數(shù)據(jù)的備份策略和恢復(fù)策略，建立備份與恢復(fù)管理相關(guān)的安全管理制度。具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)運(yùn)維管理和信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范。7、安全監(jiān)測開展信息系統(tǒng)實(shí)時(shí)安全監(jiān)測，實(shí)現(xiàn)對(duì)物理環(huán)境、通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備、用戶行為和業(yè)務(wù)應(yīng)用等的監(jiān)測和報(bào)警，及時(shí)

35、發(fā)現(xiàn)設(shè)備故障、病毒入侵、黑客攻擊、誤用和誤操作等安全事件，以便及時(shí)對(duì)安全事件進(jìn)行響應(yīng)與處置。具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)運(yùn)維管理。8、其他對(duì)系統(tǒng)運(yùn)行維護(hù)過程中的其它活動(dòng)，如系統(tǒng)變更、密碼使用等進(jìn)行控制和管理。按國家密碼管理部門的規(guī)定，對(duì)信息系統(tǒng)中密碼算法和密鑰的使用進(jìn)行分級(jí)管理。3.4.3 系系統(tǒng)統(tǒng)建建設(shè)設(shè)管理管理系統(tǒng)建設(shè)管理的重點(diǎn)是與系統(tǒng)建設(shè)活動(dòng)相關(guān)的過程管理，由于主要的建設(shè)活動(dòng)是由服務(wù)方，如集成方、開發(fā)方、測評(píng)方、安全服務(wù)方等完成，運(yùn)營使用單位人員的主要工作是對(duì)之進(jìn)行管理，應(yīng)制定系統(tǒng)建設(shè)相關(guān)的管理制度，明確系統(tǒng)定級(jí)備案、方案設(shè)計(jì)、產(chǎn)品采購使用、軟件開發(fā)、工程實(shí)施、驗(yàn)收交付、等級(jí)測評(píng)、安全服務(wù)

36、等活動(dòng)的管理責(zé)任部門、具體的管理內(nèi)容和控制方法，并按照管理制度落實(shí)各項(xiàng)管理措施，完整保存相關(guān)的管理記錄和過程文檔。具體依據(jù)標(biāo)準(zhǔn)基本要求中系統(tǒng)建設(shè)管理。3.5安全自安全自查查與與調(diào)調(diào)整整制定安全檢查制度，明確檢查的內(nèi)容、方式、要求等，檢查各項(xiàng)制度、措施的落實(shí)情況，并不斷完善。定期對(duì)信息系統(tǒng)安全狀況進(jìn)行自查，第三級(jí)信息系統(tǒng)每年自查一次，第四級(jí)信息系統(tǒng)每半年自查一次。經(jīng)自查，信息系統(tǒng)安全狀況未達(dá)到安全保護(hù)等級(jí)要求的，應(yīng)當(dāng)進(jìn)一步開展整改。具體依據(jù)標(biāo)準(zhǔn)基本要求中安全管理機(jī)構(gòu)，同時(shí)可以參照信息系統(tǒng)安全管理要求等。4安全技安全技術(shù)術(shù)建建設(shè)設(shè)整改工作的內(nèi)容和方法整改工作的內(nèi)容和方法按照國家有關(guān)規(guī)定，依據(jù)基本要

37、求，參照信息系統(tǒng)通用安全技術(shù)要求、 信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求等標(biāo)準(zhǔn)規(guī)范要求，開展信息系統(tǒng)安全技術(shù)建設(shè)整改工作（工作流程見圖 6）。- 21 -信息系統(tǒng)安全保護(hù)技術(shù)現(xiàn)狀分析開展建設(shè)整改技術(shù)方案詳細(xì)設(shè)計(jì)工程實(shí)施及驗(yàn)收項(xiàng)目實(shí)施方案詳細(xì)設(shè)計(jì)等級(jí)測評(píng)不符合標(biāo)準(zhǔn)要求開展建設(shè)整改技術(shù)方案論證和評(píng)審確定安全策略，開展建設(shè)整改技術(shù)方案總體設(shè)計(jì)通信網(wǎng)絡(luò)安全物理安全.項(xiàng)目實(shí)施方案詳細(xì)設(shè)計(jì)應(yīng)用系統(tǒng)安全區(qū)域邊界安全主機(jī)系統(tǒng)安全備份和恢復(fù)建設(shè)并落實(shí)安全技術(shù)措施圖 6：信息系統(tǒng)安全技術(shù)建設(shè)整改工作流程信息系統(tǒng)安全技術(shù)整改建設(shè)的工作流程包含了一般信息系統(tǒng)建設(shè)的普遍流程，即從設(shè)計(jì)、建設(shè)實(shí)施到驗(yàn)收測評(píng)的過程。以下各節(jié)順序

38、描述各階段的工作內(nèi)容。4.1信息系信息系統(tǒng)統(tǒng)安全保安全保護(hù)護(hù)技技術(shù)現(xiàn)術(shù)現(xiàn)狀分析狀分析了解掌握信息系統(tǒng)現(xiàn)狀，分析信息系統(tǒng)的安全保護(hù)狀況，明確信息系統(tǒng)安全技術(shù)建設(shè)整改需求，為安全建設(shè)整改技術(shù)方案設(shè)計(jì)提供依據(jù)。（一）信息系統(tǒng)現(xiàn)狀分析了解掌握信息系統(tǒng)的數(shù)量和等級(jí)、所處的網(wǎng)絡(luò)區(qū)域以及信息系統(tǒng)所承載的業(yè)務(wù)應(yīng)用情況，分析信息系統(tǒng)的邊界、構(gòu)成和相互關(guān)聯(lián)情況，分析網(wǎng)絡(luò)結(jié)構(gòu)、內(nèi)部區(qū)域、區(qū)域邊界以及軟、硬件資源等。具體可參照信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南中“信息系統(tǒng)分析”的內(nèi)容。（二）信息系統(tǒng)安全保護(hù)技術(shù)現(xiàn)狀分析在開展信息系統(tǒng)安全技術(shù)建設(shè)整改之前，應(yīng)通過開展信息系統(tǒng)安全保護(hù)技術(shù)現(xiàn)狀分析，查找信息系統(tǒng)安全保護(hù)技術(shù)建設(shè)整

39、改需要解決的問題，明確信息系統(tǒng)安全保護(hù)技術(shù)建設(shè)整改的需求?？刹扇?duì)照檢查、風(fēng)險(xiǎn)評(píng)估、等級(jí)測評(píng)等方法，分析判斷目前所采取的安全技術(shù)措施與等級(jí)保護(hù)標(biāo)準(zhǔn)要求之間的差距，分析系統(tǒng)已發(fā)生的事件或事故，分析安全技術(shù)方面存在的問題，形成安全技術(shù)建設(shè)整改的基本安全需求。在滿足基本要求基礎(chǔ)上，可以結(jié)合行業(yè)特點(diǎn)和信息系統(tǒng)安全保護(hù)的特殊要求，提出特殊安全需求。具體可參照基本要求、信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求和信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)過程指南等標(biāo)準(zhǔn)。（三）安全需求論證和確定安全需求分析工作完成后，將信息系統(tǒng)的安全管理需求與安全技術(shù)需求綜合形成安全需求報(bào)告。組織專家對(duì)安全需求進(jìn)行評(píng)審論證，形成評(píng)審論證意見。4.2信息系

40、信息系統(tǒng)統(tǒng)安全技安全技術(shù)術(shù)建建設(shè)設(shè)整改方案整改方案設(shè)計(jì)設(shè)計(jì)在安全需求分析的基礎(chǔ)上，開展信息系統(tǒng)安全建設(shè)整改方案設(shè)計(jì)，包括總體設(shè)計(jì)和詳細(xì)設(shè)計(jì)，制定工程預(yù)算和工程實(shí)施計(jì)劃等，為后續(xù)安全建設(shè)整改工程實(shí)施提供依據(jù)。4.2.1 確定安全技確定安全技術(shù)術(shù)策略，策略，設(shè)計(jì)總設(shè)計(jì)總體技體技術(shù)術(shù)方案方案安全技術(shù)策略是基于安全需求分析形成的綱領(lǐng)性的安全文件，包括安全工作的總體原則、安全策略等，用于指導(dǎo)信息系統(tǒng)安全技術(shù)體系和安全管理體系的構(gòu)建?？傮w原則應(yīng)該闡明安全工作的任務(wù)和總體目- 23 -標(biāo)，規(guī)定信息安全責(zé)任機(jī)構(gòu)和職責(zé)，規(guī)定安全工作運(yùn)行模式等。安全工作策略應(yīng)說明安全組織機(jī)構(gòu)設(shè)置策略、業(yè)務(wù)系統(tǒng)分級(jí)策略、數(shù)據(jù)信息分

41、級(jí)策略、子系統(tǒng)互連策略、信息流控制策略等。在進(jìn)行信息系統(tǒng)安全建設(shè)整改技術(shù)方案設(shè)計(jì)時(shí)，以安全需求為驅(qū)動(dòng)，采用的安全技術(shù)措施、以及配套的安全管理措施等均應(yīng)滿足信息系統(tǒng)的基本安全需求為目的，缺什么補(bǔ)什么。由于安全措施不是完全獨(dú)立存在的，彼此間存在互補(bǔ)、增強(qiáng)的作用，應(yīng)通過結(jié)構(gòu)化的設(shè)計(jì)形成有機(jī)的安全保護(hù)體系，最大程度發(fā)揮安全措施的保護(hù)能力。當(dāng)信息系統(tǒng)包含多個(gè)不同安全保護(hù)等級(jí)的子系統(tǒng)時(shí)，各個(gè)子系統(tǒng)應(yīng)按照其級(jí)別實(shí)施保護(hù)，當(dāng)將多個(gè)級(jí)別的子系統(tǒng)作為一個(gè)對(duì)象進(jìn)行保護(hù)時(shí)，應(yīng)按照其中的最高級(jí)別要求進(jìn)行保護(hù)。在進(jìn)行信息系統(tǒng)安全建設(shè)整改技術(shù)方案設(shè)計(jì)時(shí),可以采取不同的技術(shù)思路，最終達(dá)到等級(jí)保護(hù)基本要求。具體操作時(shí)，既可以針

42、對(duì)安全現(xiàn)狀分析發(fā)現(xiàn)的問題進(jìn)行加固改造，缺什么補(bǔ)什么；也可以進(jìn)行總體的安全技術(shù)設(shè)計(jì)，將不同區(qū)域、不同層面的安全保護(hù)措施形成有機(jī)的安全保護(hù)體系，最大程度發(fā)揮安全措施的保護(hù)能力。如果需要進(jìn)行總體安全技術(shù)設(shè)計(jì)中，既可以參照基本要求，從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全等方面進(jìn)行設(shè)計(jì)。也可以參考信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求，從安全計(jì)算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和安全管理中心等方面進(jìn)行安全技術(shù)設(shè)計(jì)。具體實(shí)現(xiàn)時(shí)還需要根據(jù)局域網(wǎng)之間的互連情況設(shè)計(jì)通信網(wǎng)絡(luò)的安全保護(hù)技術(shù)措施；根據(jù)每個(gè)局域網(wǎng)內(nèi)部子系統(tǒng)的安全等級(jí)規(guī)定局域網(wǎng)內(nèi)部的網(wǎng)絡(luò)區(qū)域劃分和子系統(tǒng)對(duì)應(yīng)規(guī)則；根據(jù)每個(gè)局域網(wǎng)內(nèi)部子系統(tǒng)的互連情況

43、規(guī)定不同安全等級(jí)子系統(tǒng)的互連規(guī)則和子系統(tǒng)之間邊界保護(hù)技術(shù)措施；根據(jù)每個(gè)子系統(tǒng)的級(jí)別設(shè)計(jì)子系統(tǒng)內(nèi)部主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)的安全保護(hù)技術(shù)措施?？傮w安全技術(shù)設(shè)計(jì)不限于上述兩種方法，無論采取什么設(shè)計(jì)方法，都要以基本要求為安全目標(biāo)。4.2.2 安全技安全技術(shù)術(shù)方案方案詳細(xì)設(shè)計(jì)詳細(xì)設(shè)計(jì)1、物理安全設(shè)計(jì)可以從安全技術(shù)設(shè)施和安全技術(shù)措施兩方面對(duì)信息系統(tǒng)所涉及到的主機(jī)房、輔助機(jī)房和辦公環(huán)境等進(jìn)行物理安全設(shè)計(jì)，設(shè)計(jì)內(nèi)容包括防震、防雷、防火、防水、防盜竊、防破壞、溫濕度控制、電力供應(yīng)、電磁防護(hù)等方面。物理安全設(shè)計(jì)應(yīng)對(duì)采用的安全技術(shù)設(shè)施或安全技術(shù)措施的物理部署、物理尺寸、功能指標(biāo)、性能指標(biāo)等內(nèi)容提出具體設(shè)計(jì)參數(shù)。對(duì)于不同

44、安全保護(hù)等級(jí)子系統(tǒng)各自獨(dú)立使用機(jī)房或獨(dú)立使用某個(gè)部分（區(qū)域）的情況，其獨(dú)立部分可根據(jù)不同安全保護(hù)等級(jí)的要求和需求獨(dú)立設(shè)計(jì)。對(duì)于不同安全保護(hù)等級(jí)子系統(tǒng)共用機(jī)房或共用某些部分（區(qū)域）的情況，其共用部分按照最高原則進(jìn)行設(shè)計(jì)，即按照最高級(jí)別的信息系統(tǒng)的要求和需求進(jìn)行設(shè)計(jì)。具體依據(jù)標(biāo)準(zhǔn)基本要求中的物理安全，同時(shí)可以參照信息系統(tǒng)物理安全技術(shù)要求等。2、通信網(wǎng)絡(luò)安全設(shè)計(jì)對(duì)信息系統(tǒng)所涉及的通信網(wǎng)絡(luò)，包括骨干網(wǎng)絡(luò)、城域網(wǎng)絡(luò)和其他通信網(wǎng)絡(luò)（租用線路）等進(jìn)行安全設(shè)計(jì)，設(shè)計(jì)內(nèi)容包括通信過程數(shù)據(jù)完整性、數(shù)據(jù)保密性、保證通信可靠性的設(shè)備和線路冗余、通信網(wǎng)絡(luò)的網(wǎng)絡(luò)管理等方面。通信網(wǎng)絡(luò)安全設(shè)計(jì)應(yīng)關(guān)注保障通信完整性、保密性和可

45、靠性所需采用的安全技術(shù)機(jī)制或安全技術(shù)措施的設(shè)計(jì)，例如如何借助設(shè)備或軟件實(shí)現(xiàn)校驗(yàn)機(jī)制、加密機(jī)制或冗余機(jī)制等。對(duì)構(gòu)成通信網(wǎng)絡(luò)的網(wǎng)絡(luò)設(shè)備、安全設(shè)備等的網(wǎng)絡(luò)管理機(jī)制進(jìn)行設(shè)計(jì)，并對(duì)采用的安全技術(shù)機(jī)制或安全技術(shù)措施的技術(shù)實(shí)現(xiàn)機(jī)制、產(chǎn)品形態(tài)、具體部署形式、功能指標(biāo)、性能指標(biāo)和配置參數(shù)等提出具體設(shè)計(jì)細(xì)節(jié)。對(duì)于不同安全保護(hù)等級(jí)子系統(tǒng)各自獨(dú)立使用通信網(wǎng)絡(luò)的情況，其獨(dú)立部分可根據(jù)不同安全保護(hù)等級(jí)的要求和需求獨(dú)立設(shè)計(jì)；對(duì)于不同安全保護(hù)等級(jí)子系統(tǒng)共用通信網(wǎng)絡(luò)或共用部分通信網(wǎng)絡(luò)的情況，其共數(shù)據(jù)安全設(shè)計(jì)圖 3 安全技術(shù)體系設(shè)計(jì)實(shí)例- 25 -用部分按照最高原則進(jìn)行設(shè)計(jì)，即按照最高級(jí)別的系統(tǒng)的要求和需求進(jìn)行設(shè)計(jì)。對(duì)于通信網(wǎng)絡(luò)

46、是租用線路的情況，應(yīng)將通信網(wǎng)絡(luò)的安全保護(hù)需求告知服務(wù)方，由服務(wù)方提供通信網(wǎng)絡(luò)安全保護(hù)所需的安全技術(shù)機(jī)制或安全技術(shù)措施。具體依據(jù)標(biāo)準(zhǔn)基本要求中“網(wǎng)絡(luò)安全”，同時(shí)可以參照網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求等。3、區(qū)域邊界安全設(shè)計(jì)對(duì)信息系統(tǒng)所涉及的各個(gè)局域網(wǎng)絡(luò)及局域網(wǎng)內(nèi)各區(qū)域進(jìn)行安全設(shè)計(jì)，設(shè)計(jì)內(nèi)容包括對(duì)區(qū)域劃分、區(qū)域邊界保護(hù)、身份認(rèn)證、訪問控制、安全審計(jì)、入侵防范、惡意代碼防范和網(wǎng)絡(luò)設(shè)備自身保護(hù)等方面。區(qū)域邊界安全設(shè)計(jì)需要關(guān)注實(shí)現(xiàn)區(qū)域劃分、邊界保護(hù)、訪問控制、安全審計(jì)、入侵防范、惡意代碼防范等所需采用的安全技術(shù)機(jī)制或安全技術(shù)措施的設(shè)計(jì)，例如如何采用防火墻或路由器等實(shí)現(xiàn)邊界保護(hù)，如何使用防火墻或交換機(jī)等實(shí)現(xiàn)區(qū)域劃分

47、，如何部署設(shè)備和軟件實(shí)現(xiàn)入侵防范、惡意代碼防范等，應(yīng)設(shè)計(jì)局域網(wǎng)絡(luò)中網(wǎng)絡(luò)設(shè)備、安全設(shè)備等的安全管理機(jī)制。區(qū)域邊界安全設(shè)計(jì)可對(duì)所采用的安全技術(shù)機(jī)制或安全技術(shù)措施，如防火墻、入侵檢測系統(tǒng)、惡意代碼防范系統(tǒng)、安全管理中心等的技術(shù)實(shí)現(xiàn)機(jī)制、產(chǎn)品形態(tài)、具體部署形式、功能指標(biāo)、性能指標(biāo)和配置策略和參數(shù)等提出具體設(shè)計(jì)細(xì)節(jié)。對(duì)于區(qū)域內(nèi)只有一個(gè)級(jí)別定級(jí)系統(tǒng)的情況，應(yīng)根據(jù)其級(jí)別進(jìn)行區(qū)域邊界設(shè)計(jì)；對(duì)于不同安全保護(hù)等級(jí)定級(jí)系統(tǒng)共存于一個(gè)區(qū)域邊界的情況，應(yīng)對(duì)區(qū)域邊界的安全設(shè)計(jì)進(jìn)行整體考慮。可將局域網(wǎng)劃分成不同的安全區(qū)域，盡量將不同安全保護(hù)等級(jí)定級(jí)系統(tǒng)涉及到的設(shè)備，如服務(wù)器、工作站等獨(dú)立劃分在不同的網(wǎng)絡(luò)安全區(qū)域內(nèi)。不同的網(wǎng)

48、絡(luò)安全區(qū)域根據(jù)其中定級(jí)系統(tǒng)的級(jí)別采用不同的安全保護(hù)措施，不同的網(wǎng)絡(luò)安全區(qū)域之間應(yīng)考慮邊界保護(hù)設(shè)計(jì)，根據(jù)各個(gè)網(wǎng)絡(luò)安全區(qū)域中的定級(jí)系統(tǒng)級(jí)別，考慮采用防火墻、交換機(jī)或其他安全技術(shù)措施實(shí)現(xiàn)區(qū)域之間的隔離保護(hù)。在無法將不同安全保護(hù)等級(jí)定級(jí)系統(tǒng)所涉及的設(shè)備進(jìn)行劃分時(shí)，即不同安全保護(hù)等級(jí)定級(jí)系統(tǒng)共用大量設(shè)備（包括服務(wù)器、交換機(jī)等）時(shí)，對(duì)局域網(wǎng)絡(luò)可采用縱深防御的思想設(shè)計(jì)內(nèi)層和外層，盡量將級(jí)別較高的定級(jí)系統(tǒng)劃分在內(nèi)層網(wǎng)絡(luò)安全區(qū)域內(nèi)，外層網(wǎng)絡(luò)安全區(qū)域是級(jí)別較低的定級(jí)系統(tǒng)。外層和內(nèi)層網(wǎng)絡(luò)安全區(qū)域，各自根據(jù)其中定級(jí)系統(tǒng)的級(jí)別，按照最高原則進(jìn)行設(shè)計(jì)。外層網(wǎng)絡(luò)安全區(qū)域應(yīng)根據(jù)其中定級(jí)系統(tǒng)的最高級(jí)別，設(shè)計(jì)對(duì)外界的邊界防護(hù)措施

49、；內(nèi)層網(wǎng)絡(luò)安全區(qū)域應(yīng)根據(jù)其中定級(jí)系統(tǒng)的最高級(jí)別，設(shè)計(jì)對(duì)外層網(wǎng)絡(luò)安全區(qū)域的邊界防護(hù)措施；應(yīng)確保外界對(duì)內(nèi)層網(wǎng)絡(luò)安全區(qū)域的訪問通過外層網(wǎng)絡(luò)區(qū)域的過渡。具體依據(jù)標(biāo)準(zhǔn)基本要求中的“網(wǎng)絡(luò)安全”，同時(shí)可以參照信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求、 網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求等。4、主機(jī)系統(tǒng)安全設(shè)計(jì)對(duì)信息系統(tǒng)涉及到的服務(wù)器和工作站進(jìn)行主機(jī)系統(tǒng)安全設(shè)計(jì)，內(nèi)容包括操作系統(tǒng)或數(shù)據(jù)庫管理系統(tǒng)的選擇、安裝和安全配置，主機(jī)入侵防范、惡意代碼防范、資源使用情況監(jiān)控等。其中，安全配置細(xì)分為身份鑒別、訪問控制、安全審計(jì)等方面的配置內(nèi)容。主機(jī)系統(tǒng)安全設(shè)計(jì)需要明確規(guī)定操作系統(tǒng)與數(shù)據(jù)庫管理系統(tǒng)的名稱與版本、應(yīng)安裝的最小化組件與必要補(bǔ)丁、基本的

50、安全配置規(guī)范，以及主機(jī)層面實(shí)現(xiàn)惡意代碼防范、入侵檢測以及資源監(jiān)控等所使用的產(chǎn)品形態(tài)以及配置形式。依據(jù)相關(guān)標(biāo)準(zhǔn)的要求對(duì)主機(jī)設(shè)備的操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)進(jìn)行產(chǎn)品選型，避免出現(xiàn)由于產(chǎn)品本身不具有/不支持某項(xiàng)必要的安全功能導(dǎo)致信息系統(tǒng)在主機(jī)層面無法滿足安全需求。合理的安全配置是確保主機(jī)系統(tǒng)具備的安全功能在業(yè)務(wù)環(huán)境中充分、有效對(duì)抗威脅的保證，其主要配置內(nèi)容應(yīng)包括身份鑒別（鑒別方式、- 27 -強(qiáng)度、失敗處理）、訪問控制（控制范圍、嚴(yán)格程度以及實(shí)現(xiàn)方式）、安全審計(jì)（實(shí)現(xiàn)方式、對(duì)象和項(xiàng)目的選擇、日志存儲(chǔ)與保護(hù)、數(shù)據(jù)查詢與報(bào)警）等。主機(jī)系統(tǒng)的惡意代碼防范與入侵檢測的安全設(shè)計(jì)宜考慮與網(wǎng)絡(luò)層面的對(duì)應(yīng)機(jī)制協(xié)同，構(gòu)

51、成縱深和層次。具體依據(jù)標(biāo)準(zhǔn)基本要求中的“主機(jī)安全”，同時(shí)可以參照信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求、 信息系統(tǒng)通用安全技術(shù)要求等。5、應(yīng)用系統(tǒng)安全設(shè)計(jì)對(duì)信息系統(tǒng)涉及到的應(yīng)用系統(tǒng)軟件（含應(yīng)用/中間件平臺(tái)）進(jìn)行安全設(shè)計(jì)，設(shè)計(jì)內(nèi)容包括身份鑒別、訪問控制、安全標(biāo)記、可信路徑、安全審計(jì)、剩余信息保護(hù)、通信完整性、通信保密性、抗抵賴、軟件容錯(cuò)和資源控制等。應(yīng)用系統(tǒng)安全設(shè)計(jì)需要關(guān)注應(yīng)用系統(tǒng)的安全框架（含軟件開發(fā)架構(gòu)體系、訪問控制模型、授權(quán)管理模型）、安全機(jī)制選擇與實(shí)現(xiàn)方式、編碼安全規(guī)范與代碼審核、產(chǎn)品部署形式以及安全參數(shù)/選項(xiàng)的配置。在應(yīng)用系統(tǒng)安全設(shè)計(jì)過程中，要確保應(yīng)用系統(tǒng)安全是建立在操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)

52、安全基礎(chǔ)之上的，其設(shè)計(jì)應(yīng)同步考慮操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)與之相關(guān)的內(nèi)容。具體依據(jù)標(biāo)準(zhǔn)基本要求中的“應(yīng)用安全”，同時(shí)可以參考信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求、 信息系統(tǒng)通用安全技術(shù)要求等。6、備份和恢復(fù)安全設(shè)計(jì)針對(duì)信息系統(tǒng)的業(yè)務(wù)數(shù)據(jù)安全和系統(tǒng)服務(wù)連續(xù)性進(jìn)行安全設(shè)計(jì)，設(shè)計(jì)內(nèi)容包括數(shù)據(jù)備份系統(tǒng)、備用基礎(chǔ)設(shè)施以及相關(guān)技術(shù)設(shè)施。針對(duì)業(yè)務(wù)數(shù)據(jù)安全的數(shù)據(jù)備份系統(tǒng)需要考慮數(shù)據(jù)備份的范圍、時(shí)間間隔、實(shí)現(xiàn)技術(shù)與介質(zhì)、數(shù)據(jù)備份線路的速率以及相關(guān)通信設(shè)備的規(guī)格和要求；針對(duì)信息系統(tǒng)服務(wù)連續(xù)性的安全設(shè)計(jì)要考慮連續(xù)性保證方式（設(shè)備冗余、系統(tǒng)級(jí)冗余直至遠(yuǎn)程集群支持）與實(shí)現(xiàn)細(xì)節(jié)，包括相關(guān)的基礎(chǔ)設(shè)施支持、冗余/集群機(jī)制的選擇、硬

53、件設(shè)備的功能/性能指標(biāo)以及軟硬件的部署形式與參數(shù)配置等。備份和恢復(fù)的安全設(shè)計(jì)不是孤立的，是信息系統(tǒng)整體安全設(shè)計(jì)的有機(jī)部分，其安全措施的實(shí)現(xiàn)需要網(wǎng)絡(luò)、主機(jī)和應(yīng)用等多個(gè)層面安全機(jī)制的協(xié)同工作。備份和恢復(fù)安全設(shè)計(jì)要從業(yè)務(wù)影響分析入手，并同步考慮安全管理中與之對(duì)應(yīng)的應(yīng)急預(yù)案設(shè)計(jì)與演練、機(jī)構(gòu)設(shè)置以及人力、物資資源管理等內(nèi)容。具體依據(jù)標(biāo)準(zhǔn)基本要求中“數(shù)據(jù)安全和備份恢復(fù)”，同時(shí)可以參考信息系統(tǒng)災(zāi)難恢復(fù)規(guī)范等。4.2.3 建建設(shè)經(jīng)費(fèi)預(yù)設(shè)經(jīng)費(fèi)預(yù)算算和工程和工程實(shí)實(shí)施施計(jì)計(jì)劃劃1、建設(shè)經(jīng)費(fèi)預(yù)算根據(jù)信息系統(tǒng)的安全建設(shè)整改內(nèi)容提出詳細(xì)的經(jīng)費(fèi)預(yù)算，包括產(chǎn)品名稱、型號(hào)、配置、數(shù)量、單價(jià)、總價(jià)和合計(jì)等，同時(shí)應(yīng)包括集成費(fèi)用、

54、等級(jí)測評(píng)費(fèi)用、服務(wù)費(fèi)用和管理費(fèi)用等。對(duì)于跨年度的安全建設(shè)整改或安全改建，提供分年度的經(jīng)費(fèi)預(yù)算。2、工程實(shí)施計(jì)劃根據(jù)信息系統(tǒng)的安全建設(shè)整改內(nèi)容提出詳細(xì)的工程實(shí)施計(jì)劃，包括建設(shè)內(nèi)容、工程組織、階段劃分、項(xiàng)目分解、時(shí)間計(jì)劃和進(jìn)度安排等。對(duì)于跨年度的安全建設(shè)整改或安全改建，要對(duì)安全建設(shè)整改方案明確的主要安全建設(shè)整改內(nèi)容進(jìn)行適當(dāng)?shù)捻?xiàng)目分解，比如分解成機(jī)房安全改造項(xiàng)目、網(wǎng)絡(luò)安全建設(shè)整改項(xiàng)目、系統(tǒng)平臺(tái)和應(yīng)用平臺(tái)安全建設(shè)整改項(xiàng)目等，分別制定中期和短期的實(shí)施計(jì)劃，短期內(nèi)主要解決目前急迫和關(guān)鍵的問題。4.2.4 方案方案論證論證和和備備案案將信息系統(tǒng)安全建設(shè)整改技術(shù)方案與安全管理體系規(guī)劃共同形成安全建設(shè)整改方案。

55、組織專家對(duì)安全建設(shè)整改方案進(jìn)行評(píng)審論證，形成評(píng)審意見。第三級(jí)以上信息系統(tǒng)安全建設(shè)整改方案應(yīng)報(bào)公安機(jī)關(guān)備案，并組織實(shí)施安全建設(shè)整改工程。- 29 -4.3安全建安全建設(shè)設(shè)整改工程整改工程實(shí)實(shí)施施和管理和管理4.3.1 工程工程實(shí)實(shí)施和管理施和管理安全建設(shè)整改工程實(shí)施的組織管理工作包括落實(shí)安全建設(shè)整改的責(zé)任部門和人員，保證建設(shè)資金足額到位，選擇符合要求的安全建設(shè)整改服務(wù)商，采購符合要求的信息安全產(chǎn)品，管理和控制安全功能開發(fā)、集成過程的質(zhì)量等方面。按照信息系統(tǒng)安全工程管理要求中有關(guān)資格保障和組織保障等要求組織管理等級(jí)保護(hù)安全建設(shè)整改工程。信息系統(tǒng)安全建設(shè)整改工程的順利完成需要在投資風(fēng)險(xiǎn)控制、實(shí)施流程

56、管理、進(jìn)度規(guī)劃控制、工程質(zhì)量控制、信息保密管理、人員能力培養(yǎng)以及外部技術(shù)支持等方面提供保障。投資風(fēng)險(xiǎn)控制包括在立項(xiàng)階段的財(cái)務(wù)評(píng)價(jià)和總估算控制，設(shè)計(jì)階段的優(yōu)選方案和概、預(yù)算控制，實(shí)施階段的投資目標(biāo)偏差控制等方面。實(shí)施流程管理、進(jìn)度規(guī)劃控制和工程質(zhì)量控制應(yīng)依據(jù)信息系統(tǒng)安全工程管理要求中第 8、9、10 章提出的工程實(shí)施、項(xiàng)目實(shí)施和安全工程流程控制要求，實(shí)現(xiàn)相應(yīng)等級(jí)的工程目標(biāo)和要求。安全建設(shè)整改工程中信息保密管理尤為重要，保密管理包括人員保密管理、文檔保密管理、設(shè)備及介質(zhì)保密管理等方面。4.3.2 工程工程監(jiān)監(jiān)理和理和驗(yàn)驗(yàn)收收為保證建設(shè)工程的安全和質(zhì)量，第二級(jí)以上涉及國家安全、公共利益的信息系統(tǒng)安全

57、建設(shè)整改工程可實(shí)施監(jiān)理。監(jiān)理內(nèi)容包括對(duì)工程實(shí)施前期安全性、采購?fù)獍踩?、工程?shí)施過程安全性、系統(tǒng)環(huán)境安全性等方面的核查。工程驗(yàn)收的內(nèi)容包括全面檢驗(yàn)工程項(xiàng)目所實(shí)現(xiàn)的安全功能、設(shè)備部署、安全配置等是否滿足設(shè)計(jì)要求，工程施工質(zhì)量是否達(dá)到預(yù)期指標(biāo)，工程檔案資料是否齊全等方面。在通過安全測評(píng)或測試的基礎(chǔ)上，組織相應(yīng)信息安全專家實(shí)施工程驗(yàn)收。具體參照信息系統(tǒng)安全工程管理要求。5安全等安全等級(jí)測評(píng)級(jí)測評(píng)信息系統(tǒng)安全建設(shè)整改完成后要進(jìn)行等級(jí)測評(píng)。在公安部備案的信息系統(tǒng)，備案單位應(yīng)選擇國家信息安全等級(jí)保護(hù)工作協(xié)調(diào)小組辦公室推薦的等級(jí)測評(píng)機(jī)構(gòu)實(shí)施等級(jí)測評(píng)；在?。▍^(qū)、市）、地市級(jí)公安機(jī)關(guān)備案的信息系統(tǒng)，備案單位應(yīng)

58、選擇本?。▍^(qū)、市）信息安全等級(jí)保護(hù)工作協(xié)調(diào)小組辦公室或國家信息安全等級(jí)保護(hù)工作協(xié)調(diào)小組辦公室推薦的等級(jí)測評(píng)機(jī)構(gòu)實(shí)施等級(jí)測評(píng)。5.1等等級(jí)測評(píng)級(jí)測評(píng)依據(jù)的依據(jù)的標(biāo)標(biāo)準(zhǔn)準(zhǔn)等級(jí)測評(píng)活動(dòng)除應(yīng)以基本要求為依據(jù)外，還應(yīng)參照信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求和信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)過程指南兩個(gè)標(biāo)準(zhǔn)進(jìn)行。5.1.1測評(píng)測評(píng)要求要求信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求與基本要求相適應(yīng)，提出了測評(píng)指標(biāo)、測評(píng)實(shí)施和結(jié)果判定三部分內(nèi)容。測評(píng)指標(biāo)直接指向基本要求相應(yīng)等級(jí)的基本要求，在內(nèi)容上， “測評(píng)指標(biāo)”與相應(yīng)的基本要求完全一致；“測評(píng)實(shí)施”描述測評(píng)過程中涉及到的具體測評(píng)方法以及需要實(shí)施的測評(píng)步驟；“結(jié)果判定”給出了測評(píng)人員執(zhí)行完

59、測評(píng)實(shí)施過程，產(chǎn)生各種測評(píng)證據(jù)后，如何依據(jù)這些測評(píng)證據(jù)來判定被測系統(tǒng)是否滿足測評(píng)指標(biāo)要求的原則。信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求將等級(jí)測評(píng)分為單元測評(píng)和整體測評(píng)兩部分，在保證相應(yīng)安全等級(jí)的測評(píng)強(qiáng)度基礎(chǔ)上，首先開展單元測評(píng)；在單元測評(píng)的基礎(chǔ)上再開展整體測評(píng)。單元測評(píng)主要圍繞如何對(duì)基本要求的每一項(xiàng)具體要求展開測評(píng)進(jìn)行描述，包括采用什么測評(píng)方式對(duì)測評(píng)對(duì)象進(jìn)行測評(píng)，測評(píng)后得到什么證據(jù)證明該項(xiàng)要求符合基本要求等等，這些內(nèi)容組成了信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)要求的主體。在單元測評(píng)的基礎(chǔ)上，對(duì)信息系統(tǒng)開展整體測評(píng)，可以進(jìn)一步分析- 31 -信息系統(tǒng)的整體安全性。整體測評(píng)主要包括安全控制間、層面間和區(qū)域間相互作用的安

60、全測評(píng)以及系統(tǒng)結(jié)構(gòu)的安全測評(píng)等。整體測評(píng)不但涉及到信息系統(tǒng)的整體拓?fù)浣Y(jié)構(gòu)和局部設(shè)備部署，而且關(guān)系到特定安全功能的實(shí)現(xiàn)和具體安全控制的配置，體現(xiàn)了對(duì)信息系統(tǒng)整體安全性的評(píng)價(jià)。5.1.2測評(píng)過測評(píng)過程指南程指南管理辦法明確指出信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)接受公安機(jī)關(guān)、國家指定的專門部門的安全監(jiān)督、檢查、指導(dǎo)，而且等級(jí)測評(píng)的技術(shù)測評(píng)報(bào)告是其檢查內(nèi)容之一。這就要求等級(jí)測評(píng)機(jī)構(gòu)開展的等級(jí)測評(píng)活動(dòng)必須規(guī)范、結(jié)論必須準(zhǔn)確、公正及可重現(xiàn)。信息系統(tǒng)安全等級(jí)保護(hù)測評(píng)過程指南為信息系統(tǒng)安全等級(jí)測評(píng)工作建立了一套標(biāo)準(zhǔn)的測評(píng)過程，同時(shí)也對(duì)信息系統(tǒng)安全等級(jí)測評(píng)的工作任務(wù)、分析方法以及工作產(chǎn)品等提出指導(dǎo)性的建議，以規(guī)范和指導(dǎo)