三級-安全建設(shè)管理

三級-安全建設(shè)管理現(xiàn)場測評記錄表三級-安全建設(shè)管理現(xiàn)場測評記錄表設(shè)計措施，依據(jù)風(fēng)險分析的結(jié)果補充和調(diào)整安全措施；應(yīng)根據(jù)保護對象的安全保護等級及與其他級別保護對象的關(guān)系進行安全整體規(guī)劃和安全方案設(shè)計，設(shè)計內(nèi)容應(yīng)包含密碼相關(guān)內(nèi)容，并形成配套義件；應(yīng)組織相關(guān)部門和有關(guān)安全專家對安全整體規(guī)劃及其配套文件的合理性和正確性進行論證和審定，經(jīng)過批準(zhǔn)后才能正式實施。產(chǎn)品采購和使用應(yīng)確保安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定；應(yīng)確保密碼產(chǎn)品與服務(wù)的米購和使用符合國家密碼主管部門的要求；應(yīng)切先對廣品進行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單。自行軟件開發(fā)應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開，測試數(shù)據(jù)和測試結(jié)果受到控制；應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則；應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼；應(yīng)確保具備軟件設(shè)計的相關(guān)文檔和使用指南，并對文檔使用進行控制；應(yīng)確保在軟件開發(fā)過程中對安全性

進行測試，在軟件安裝前對可能存在的惡意代碼進行檢測；應(yīng)確保對程序資源庫的修改、更新、發(fā)布進行授權(quán)和批準(zhǔn)，并嚴(yán)格進行版本控制；應(yīng)確保開發(fā)人員為專職人員，開發(fā)人員的開發(fā)活動受到控制、監(jiān)視和審查。外包軟件開發(fā)應(yīng)在軟件交付前檢測軟件質(zhì)量和其中可能存在的惡意代碼；應(yīng)要求開發(fā)單位提供軟件設(shè)計文檔和使用指南；應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門和隱蔽信道。工程實施應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實施過程的管理；應(yīng)制定工程實施方案控制安全工程實施過程；應(yīng)通過第二方工程監(jiān)理控制項目的實施過程。測試驗收應(yīng)制訂測試驗收方案，并依據(jù)測試驗收方案實施測試驗收，形成測試驗收報告；應(yīng)進行上線前的安全性測試，驗證安全措施的有效性，并出具安全測試報告，安全測試報告應(yīng)包含密碼應(yīng)用安全性測試相關(guān)內(nèi)容。系統(tǒng)交付應(yīng)制定交付清單，并根據(jù)交付清單

對所交接的設(shè)備、軟件和文檔等進行清點；應(yīng)對負(fù)責(zé)運行維護的技術(shù)人員進行相應(yīng)的技能培訓(xùn)；應(yīng)確保提供建設(shè)過程中的文檔和指導(dǎo)用戶進行運行維護的文檔。等級測評應(yīng)定期進行等級測評，發(fā)現(xiàn)不符合相應(yīng)等級保護標(biāo)準(zhǔn)要求的及時整改；應(yīng)在發(fā)生重大變更或級別發(fā)生變化時進行等級測評；應(yīng)確保測評機構(gòu)的選擇符合國家有關(guān)規(guī)定。服務(wù)供應(yīng)商管理應(yīng)確保服務(wù)供應(yīng)商的選擇符合國家的有關(guān)規(guī)定；應(yīng)與選定的服務(wù)供應(yīng)商簽訂相關(guān)協(xié)議，明確整個服務(wù)供應(yīng)鏈各方需履行的信息安全相關(guān)義務(wù)；應(yīng)定期監(jiān)視、評