DB4403T 437-2024 多功能智能桿 信息系統(tǒng)安全管理規(guī)范

CCSL70DB4403Multifunctionalsmartpole—Informationsystemsecurity2024-04-09發(fā)布深圳市市場(chǎng)監(jiān)督管理局發(fā)布IDB4403/T437—2024前言 12規(guī)范性引用文件 3術(shù)語(yǔ)和定義 4信息系統(tǒng)安全管理的原則、策略、內(nèi)容和制度 24.1信息系統(tǒng)安全管理原則 4.2信息系統(tǒng)安全管理策略 4.3信息系統(tǒng)安全管理內(nèi)容 4.4信息系統(tǒng)安全管理制度 5機(jī)構(gòu)建設(shè)和人員管理 55.1建立安全管理機(jī)構(gòu) 5.2信息系統(tǒng)安全領(lǐng)導(dǎo)小組 5.3信息系統(tǒng)安全職能部門(mén) 5.4安全管理人員配備 5.5關(guān)鍵崗位人員管理 5.6人員錄用管理 65.7人員離崗管理 75.8人員考核與審查 75.9人員教育和培訓(xùn) 76風(fēng)險(xiǎn)管理和控制 86.1風(fēng)險(xiǎn)管理要求 86.2風(fēng)險(xiǎn)管理策略 86.3風(fēng)險(xiǎn)分析 6.4風(fēng)險(xiǎn)評(píng)估 6.5風(fēng)險(xiǎn)控制 6.6安全確認(rèn) 7運(yùn)維和服務(wù)管理 7.1運(yùn)維環(huán)境管理 107.2服務(wù)資源管理 127.3用戶(hù)管理 7.4運(yùn)行操作管理 167.5運(yùn)行維護(hù)管理 197.6外包服務(wù)管理 227.7機(jī)制管理和安全管理 7.8業(yè)務(wù)連續(xù)性管理 DB4403/T437—2024本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定起草。本文件由深圳市工業(yè)和信息化局提出并歸口。本文件起草單位：深圳市脈山龍信息技術(shù)股份有限公司、深圳市洲明科技股份有限公司、深圳市信息基礎(chǔ)設(shè)施投資發(fā)展有限公司、北京天融信網(wǎng)絡(luò)安全技術(shù)有限公司、金磚國(guó)家未來(lái)網(wǎng)絡(luò)研究院(中國(guó)·深圳)、深圳大學(xué)、深圳市震有智聯(lián)科技有限公司、信安軟件測(cè)評(píng)認(rèn)證中心（深圳）有限公本文件主要起草人：李海燕、陳鐸航、王玉、林奕康、陳政浩、汪書(shū)福、林洺鋒、陳曉寧、張帆、黃永衡、許亞萍、陳挺、江魁、劉向華、王先峰、張金鐘、馬龍彪、宋建民、陳希、張勇、白瑩杰、楊彪。1DB4403/T437—2024多功能智能桿信息系統(tǒng)安全管理規(guī)范本文件規(guī)定了多功能智能桿信息系統(tǒng)安全管理的原則、策略、內(nèi)容和制度、機(jī)構(gòu)建設(shè)和人員管理、風(fēng)險(xiǎn)管理和控制、運(yùn)維和服務(wù)管理。本文件適用于指導(dǎo)多功能智能桿信息系統(tǒng)安全管理工作。2規(guī)范性引用文件下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T20271—2006信息安全技術(shù)信息系統(tǒng)通用安全技術(shù)要求GB/T25069—2022信息安全技術(shù)術(shù)語(yǔ)GB50016—2014建筑設(shè)計(jì)防火規(guī)范3術(shù)語(yǔ)和定義GB/T25069—2022界定的以及下列術(shù)語(yǔ)和定義適用于本文件。3.1完整性integrity數(shù)據(jù)、系統(tǒng)或信息在存儲(chǔ)、傳輸和處理過(guò)程中保持無(wú)誤、不受損壞、不受篡改的狀態(tài)。3.2可用性availability表征數(shù)據(jù)或系統(tǒng)根據(jù)授權(quán)實(shí)體的請(qǐng)求可被訪(fǎng)問(wèn)與使用程度的屬性。3.3訪(fǎng)問(wèn)控制accesscontrol按確定的規(guī)則防止對(duì)資源的未授權(quán)使用，對(duì)實(shí)體之間的訪(fǎng)問(wèn)活動(dòng)進(jìn)行控制的安全機(jī)制。3.4安全審計(jì)securityaudit按確定規(guī)則的要求，對(duì)與安全相關(guān)的事件進(jìn)行審計(jì)，以日志方式記錄必要信息，并作出相應(yīng)處理的安全機(jī)制。3.5鑒別信息authenticationinformation確認(rèn)系統(tǒng)中身份真實(shí)性過(guò)程的信息。3.6風(fēng)險(xiǎn)評(píng)估riskassessment2DB4403/T437—2024對(duì)信息系統(tǒng)所面臨的威脅、存在的弱點(diǎn)、造成的影響以及對(duì)信息系統(tǒng)處理、傳輸和存儲(chǔ)信息的保密性、完整性（3.1）和可用性（3.2）等進(jìn)行科學(xué)識(shí)別和評(píng)價(jià)，確定信息系統(tǒng)面臨風(fēng)險(xiǎn)可能性的過(guò)程。3.7安全策略securitypolicy為信息系統(tǒng)安全管理制定的行動(dòng)方針、路線(xiàn)、工作方式、指導(dǎo)原則或程序。4信息系統(tǒng)安全管理的原則、策略、內(nèi)容和制度4.1信息系統(tǒng)安全管理原則4.1.1安全需求原則組織機(jī)構(gòu)根據(jù)信息系統(tǒng)擔(dān)負(fù)的任務(wù)，積累的信息資產(chǎn)，可能受到的威脅及面臨的風(fēng)險(xiǎn)，按照信息系統(tǒng)等級(jí)保護(hù)要求，確定相應(yīng)信息系統(tǒng)的安全保護(hù)等級(jí)；按照相應(yīng)安全保護(hù)等級(jí)的要求，合理投入和分配安全資源。4.1.2領(lǐng)導(dǎo)負(fù)責(zé)原則組織機(jī)構(gòu)領(lǐng)導(dǎo)確立信息安全保障的宗旨和政策，負(fù)責(zé)提高所有工作人員的安全意識(shí)，組織有效安全保障隊(duì)伍，調(diào)動(dòng)并優(yōu)化配置安全資源，協(xié)調(diào)安全管理工作與各部門(mén)的工作。4.1.3全員參與原則組織機(jī)構(gòu)信息系統(tǒng)安全小組的所有工作人員參與信息系統(tǒng)的安全管理，并與外部組織機(jī)構(gòu)協(xié)同、協(xié)調(diào)，共同保障信息系統(tǒng)安全。4.1.4系統(tǒng)方法原則按照系統(tǒng)工程的要求，識(shí)別和分析信息系統(tǒng)安全保障相互關(guān)聯(lián)的要素和過(guò)程，采用管理和技術(shù)結(jié)合的方法，提高信息安全管理系統(tǒng)的有效性和效率。4.1.5持續(xù)改進(jìn)原則及時(shí)地將現(xiàn)有的安全策略、風(fēng)險(xiǎn)接受程度和保護(hù)措施進(jìn)行復(fù)查、修改和調(diào)整，達(dá)到提升安全管理等級(jí)，維護(hù)和持續(xù)改進(jìn)信息安全管理體系有效性的目的。4.1.6合規(guī)管理原則信息安全管理工作管理主體合規(guī)、管理行為合規(guī)、管理內(nèi)容合規(guī)和管理程序合規(guī)，構(gòu)建和管理一個(gè)完整、高效、可用和可擴(kuò)展的信息安全管理系統(tǒng)。4.1.7管理權(quán)限原則對(duì)信息安全管理系統(tǒng)特定職能或責(zé)任部門(mén)的管理，實(shí)施部門(mén)分離、準(zhǔn)入審批、獨(dú)立審計(jì)的管理原則，避免權(quán)力過(guò)分集中所帶來(lái)的隱患，防止未授權(quán)的修改或?yàn)E用系統(tǒng)資源的行為。4.1.8分級(jí)保護(hù)原則3DB4403/T437—2024按等級(jí)劃分標(biāo)準(zhǔn)確定信息系統(tǒng)的安全保護(hù)等級(jí)，實(shí)行分級(jí)保護(hù)；對(duì)多個(gè)子系統(tǒng)構(gòu)成的大型信息系統(tǒng)，確定系統(tǒng)的基本安全保護(hù)等級(jí)，并根據(jù)實(shí)際安全需求，分別確定各子系統(tǒng)的安全保護(hù)等級(jí)，實(shí)行多級(jí)安全保護(hù)。4.1.9管理與技術(shù)并重原則采用管理與技術(shù)相結(jié)合、管理科學(xué)性與技術(shù)前瞻性相結(jié)合的方法，保障信息系統(tǒng)的安全性。采用新技術(shù)時(shí)，分析新技術(shù)成熟的程度，并首先局部試點(diǎn)然后逐步推廣，以減少或避免可能出現(xiàn)的失4.2信息系統(tǒng)安全管理策略4.2.1信息系統(tǒng)安全管理策略類(lèi)型根據(jù)多功能智能桿不同的網(wǎng)絡(luò)安全等級(jí)保護(hù)要求，應(yīng)至少選擇下列安全管理策略中的一項(xiàng)：a)基本的安全管理策略；b)完整的安全管理策略；c)體系化的安全管理策略；d)強(qiáng)制保護(hù)的安全管理策略；e)專(zhuān)控保護(hù)的安全管理策略。4.2.2基本的安全管理策略基本的信息系統(tǒng)安全管理策略，包括：a)依據(jù)技術(shù)標(biāo)準(zhǔn)和管理標(biāo)準(zhǔn)進(jìn)行自主保護(hù)；b)闡明管理者對(duì)信息系統(tǒng)安全的承諾，并陳述組織機(jī)構(gòu)管理信息系統(tǒng)安全的方法；c)說(shuō)明信息系統(tǒng)安全的總體目標(biāo)、范圍和安全框架；d)申明支持信息系統(tǒng)安全目標(biāo)和原則的管理意向；e)說(shuō)明對(duì)組織機(jī)構(gòu)有重大意義的安全方針、原則、標(biāo)準(zhǔn)和符合性要求。4.2.3完整的安全管理策略完整的安全管理策略，包括：a)在信息系統(tǒng)安全監(jiān)管職能部門(mén)的指導(dǎo)下，依據(jù)技術(shù)標(biāo)準(zhǔn)和管理標(biāo)準(zhǔn)自主進(jìn)行保護(hù)；b)明確劃分信息系統(tǒng)或分系統(tǒng)的安全保護(hù)等級(jí)；c)制定風(fēng)險(xiǎn)管理策略、業(yè)務(wù)連續(xù)性策略、安全培訓(xùn)與教育策略和審計(jì)策略。4.2.4體系化的安全管理策略體系化的安全管理策略，包括：a)在接受信息系統(tǒng)安全監(jiān)管職能部門(mén)監(jiān)督、檢查的前提下，依據(jù)技術(shù)標(biāo)準(zhǔn)和管理標(biāo)準(zhǔn)自主進(jìn)行保護(hù)；b)制定目標(biāo)策略、規(guī)劃策略、機(jī)構(gòu)策略、人員策略、管理策略、安全技術(shù)策略、控制策略、生存周期策略、投資策略和質(zhì)量策略。4.2.5強(qiáng)制保護(hù)的安全管理策略強(qiáng)制保護(hù)的安全管理策略，包括：a)在接受信息系統(tǒng)安全監(jiān)管職能部門(mén)的強(qiáng)制監(jiān)督、檢查的前提下，依據(jù)技術(shù)標(biāo)準(zhǔn)和管理標(biāo)準(zhǔn)自主進(jìn)行保護(hù)；4DB4403/T437—2024b)制定體系完整的信息系統(tǒng)安全管理策略。4.2.6專(zhuān)控保護(hù)的安全管理策略專(zhuān)控保護(hù)的安全管理策略，包括：a)在接受專(zhuān)門(mén)部門(mén)和機(jī)構(gòu)的監(jiān)督下，依據(jù)技術(shù)標(biāo)準(zhǔn)和管理標(biāo)準(zhǔn)自主進(jìn)行保護(hù)；b)制定可持續(xù)改進(jìn)的信息系統(tǒng)安全管理策略。4.3信息系統(tǒng)安全管理內(nèi)容信息系統(tǒng)安全管理包括但不限于以下要求：a)落實(shí)安全管理機(jī)構(gòu)及安全管理人員，明確角色與職責(zé)，制定安全規(guī)劃；b)開(kāi)發(fā)安全策略；c)實(shí)施風(fēng)險(xiǎn)管理；d)制定業(yè)務(wù)持續(xù)性計(jì)劃和災(zāi)難恢復(fù)計(jì)劃；e)選擇與實(shí)施安全措施；f)確保配置、變更的正確與安全；g)進(jìn)行安全審計(jì)；h)確保維護(hù)支持；i)進(jìn)行監(jiān)控、檢查，處理安全事件；j)安全意識(shí)與安全教育；k)人員安全管理。4.4信息系統(tǒng)安全管理制度4.4.1信息系統(tǒng)安全管理制度類(lèi)型根據(jù)多功能智能桿不同的網(wǎng)絡(luò)安全等級(jí)保護(hù)要求，應(yīng)至少選擇以下安全管理制度中的一項(xiàng)：a)基本的安全管理制度；b)完整的安全管理制度；c)體系化的安全管理制度；d)強(qiáng)制保護(hù)的安全管理制度；e)專(zhuān)控保護(hù)的安全管理制度。4.4.2基本的安全管理制度應(yīng)從安全組織、安全責(zé)任、訪(fǎng)問(wèn)控制、系統(tǒng)設(shè)計(jì)、系統(tǒng)建設(shè)、系統(tǒng)驗(yàn)收、系統(tǒng)運(yùn)維、應(yīng)急處置、人員管理、文件檔案管理、審核檢查等方面規(guī)范各項(xiàng)網(wǎng)絡(luò)安全管理工作；應(yīng)對(duì)多功能智能桿的管理平臺(tái)、移動(dòng)互聯(lián)、掛載設(shè)備和公共數(shù)據(jù)安全管理活動(dòng)中的各類(lèi)管理內(nèi)容制定安全管理制度。4.4.3完整的安全管理制度應(yīng)制定人員安全管理規(guī)定、安全審計(jì)管理規(guī)定、用戶(hù)管理規(guī)定、風(fēng)險(xiǎn)管理規(guī)定、信息分類(lèi)分級(jí)管理規(guī)定、安全事件報(bào)告規(guī)定、事故處理規(guī)定、應(yīng)急管理規(guī)定和災(zāi)難恢復(fù)管理規(guī)定。4.4.4體系化的安全管理制度4.4.4.1應(yīng)制定機(jī)房、主機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)施、硬件設(shè)施分類(lèi)標(biāo)記等系統(tǒng)資源安全管理規(guī)定。4.4.4.2應(yīng)制定安全配置、系統(tǒng)分發(fā)和操作、系統(tǒng)文檔、測(cè)試和脆弱性評(píng)估、系統(tǒng)信息安全備份和相關(guān)的操作規(guī)程等系統(tǒng)和數(shù)據(jù)庫(kù)方面的安全管理規(guī)定。5DB4403/T437—20244.4.4.3應(yīng)制定系統(tǒng)互聯(lián)評(píng)估、網(wǎng)絡(luò)使用授權(quán)、網(wǎng)絡(luò)檢測(cè)、網(wǎng)絡(luò)設(shè)施設(shè)備和協(xié)議的變更控制和相關(guān)的操作規(guī)程等方面的網(wǎng)絡(luò)安全管理規(guī)定。4.4.4.4應(yīng)制定系統(tǒng)安全評(píng)估、應(yīng)用系統(tǒng)使用授權(quán)、應(yīng)用系統(tǒng)配置管理、應(yīng)用系統(tǒng)文檔管理和相關(guān)的操作規(guī)程等方面的應(yīng)用安全管理規(guī)定。4.4.4.5應(yīng)制定人員安全管理、安全意識(shí)與安全技術(shù)教育、操作安全、操作系統(tǒng)和數(shù)據(jù)庫(kù)安全、系統(tǒng)運(yùn)行記錄、病毒防護(hù)、系統(tǒng)維護(hù)、網(wǎng)絡(luò)互聯(lián)、安全審計(jì)、安全事件報(bào)告、事故處理、應(yīng)急管理、災(zāi)難恢復(fù)和相關(guān)的操作規(guī)程等方面的運(yùn)行安全管理規(guī)定。4.4.4.6應(yīng)制定信息分類(lèi)標(biāo)記、涉密信息管理、文檔管理、存儲(chǔ)介質(zhì)管理、信息披露與發(fā)布審批管理、第三方訪(fǎng)問(wèn)控制和相關(guān)的操作規(guī)程等方面的信息安全管理規(guī)定。4.4.5強(qiáng)制保護(hù)的安全管理制度應(yīng)制定信息保密標(biāo)識(shí)與管理規(guī)定、密碼使用管理規(guī)定、安全事件例行評(píng)估和報(bào)告規(guī)定、關(guān)鍵控制措施定期測(cè)試規(guī)定。4.4.6專(zhuān)控保護(hù)的安全管理制度應(yīng)對(duì)多功能智能桿信息系統(tǒng)安全管理中特定信息或資產(chǎn)，采取專(zhuān)門(mén)的控制和保護(hù)措施，并制定安全管理審計(jì)監(jiān)督規(guī)定。5機(jī)構(gòu)建設(shè)和人員管理5.1建立安全管理機(jī)構(gòu)建立安全管理機(jī)構(gòu)滿(mǎn)足以下要求：a)管理層中應(yīng)有一人分管信息系統(tǒng)安全工作，并為信息系統(tǒng)的安全管理配備專(zhuān)職或兼職的安全管理人員；b)應(yīng)建立管理信息系統(tǒng)安全工作的職能部門(mén)，或明確指定一個(gè)職能部門(mén)兼管信息安全工作，作為該部門(mén)的關(guān)鍵職責(zé)之一；c)應(yīng)在管理層成立信息系統(tǒng)安全管理委員會(huì)或信息系統(tǒng)安全領(lǐng)導(dǎo)小組，對(duì)覆蓋全國(guó)或跨地區(qū)的組織機(jī)構(gòu)，應(yīng)在總部和下級(jí)部門(mén)建立各級(jí)信息系統(tǒng)安全領(lǐng)導(dǎo)小組，在基層至少應(yīng)有一位專(zhuān)職的安全管理人員負(fù)責(zé)信息系統(tǒng)安全工作；d)應(yīng)由組織機(jī)構(gòu)的主要負(fù)責(zé)人擔(dān)任信息系統(tǒng)安全領(lǐng)導(dǎo)小組負(fù)責(zé)人；e)應(yīng)建立信息系統(tǒng)安全保密監(jiān)督管理的職能部門(mén)，或?qū)υ斜Ｃ懿块T(mén)明確信息安全保密管理責(zé)任，加強(qiáng)對(duì)信息系統(tǒng)安全管理重要過(guò)程和管理人員的保密監(jiān)督管理。5.2信息系統(tǒng)安全領(lǐng)導(dǎo)小組信息系統(tǒng)安全領(lǐng)導(dǎo)小組滿(mǎn)足以下要求：a)履行安全管理的領(lǐng)導(dǎo)職能，包括：1)批準(zhǔn)組織機(jī)構(gòu)信息系統(tǒng)的安全策略和發(fā)展規(guī)劃；2)確定各有關(guān)部門(mén)在信息系統(tǒng)安全工作中的職責(zé)，領(lǐng)導(dǎo)安全工作的實(shí)施；3)監(jiān)督安全措施的執(zhí)行，并對(duì)重要安全事件的處理進(jìn)行決策；4)指導(dǎo)和檢查信息系統(tǒng)安全職能部門(mén)及應(yīng)急處理小組的各項(xiàng)工作；5)建設(shè)和完善信息系統(tǒng)安全集中管控的組織體系和管理機(jī)制。b)對(duì)保密管理部門(mén)進(jìn)行有關(guān)信息系統(tǒng)安全保密監(jiān)督管理方面的指導(dǎo)和檢查。6DB4403/T437—20245.3信息系統(tǒng)安全職能部門(mén)信息系統(tǒng)安全職能部門(mén)在信息系統(tǒng)安全領(lǐng)導(dǎo)小組領(lǐng)導(dǎo)下，負(fù)責(zé)組織機(jī)構(gòu)信息系統(tǒng)安全的具體工作，至少應(yīng)行使以下管理職能之一：a)履行基本的安全管理職能，包括：1)起草組織機(jī)構(gòu)信息系統(tǒng)的安全策略和發(fā)展規(guī)劃；2)管理組織機(jī)構(gòu)信息系統(tǒng)安全日常事務(wù)，檢查和指導(dǎo)下級(jí)部門(mén)信息系統(tǒng)安全工作；3)負(fù)責(zé)安全措施的實(shí)施或組織實(shí)施，組織并參加對(duì)安全重要事件的處理；4)監(jiān)控信息系統(tǒng)安全總體狀況，制定安全分析報(bào)告；5)指導(dǎo)和檢查各部門(mén)和下級(jí)部門(mén)信息系統(tǒng)安全人員及要害崗位人員的信息系統(tǒng)安全工作；6)與外部組織機(jī)構(gòu)共同組成應(yīng)急處理小組或在內(nèi)部組織機(jī)構(gòu)建立應(yīng)急處理小組，實(shí)施相關(guān)應(yīng)急處理工作。b)履行集中的安全管理職能，包括：1)管理信息系統(tǒng)安全機(jī)制集中管理機(jī)構(gòu)的各項(xiàng)工作，實(shí)現(xiàn)信息系統(tǒng)安全的集中控制管理；2)完成信息系統(tǒng)安全領(lǐng)導(dǎo)小組交辦的工作，并向領(lǐng)導(dǎo)小組報(bào)告組織機(jī)構(gòu)的信息系統(tǒng)安全工作。5.4安全管理人員配備安全管理人員配備滿(mǎn)足以下要求：a)配備兼職安全管理人員，網(wǎng)絡(luò)管理人員允許兼職安全管理人員，兼職安全管理人員不應(yīng)同時(shí)兼任系統(tǒng)管理員和數(shù)據(jù)庫(kù)管理員等；b)配備專(zhuān)職安全管理人員，專(zhuān)職安全管理人員應(yīng)具有安全管理工作權(quán)限和能力；c)關(guān)鍵部位的安全管理人員，應(yīng)按照機(jī)要人員條件配備。5.5關(guān)鍵崗位人員管理關(guān)鍵崗位人員管理滿(mǎn)足以下要求：a)基本要求，包括：1)應(yīng)對(duì)安全管理員、系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、網(wǎng)絡(luò)管理員、重要業(yè)務(wù)開(kāi)發(fā)人員、系統(tǒng)維護(hù)人員、重要業(yè)務(wù)應(yīng)用操作人員等信息系統(tǒng)關(guān)鍵崗位人員進(jìn)行統(tǒng)一管理；2)業(yè)務(wù)應(yīng)用操作人員不應(yīng)由其他關(guān)鍵崗位人員兼任；3)關(guān)鍵崗位人員應(yīng)定期接受安全培訓(xùn)。b)兼職和輪崗要求，包括：1)業(yè)務(wù)開(kāi)發(fā)人員和系統(tǒng)維護(hù)人員不應(yīng)兼任或擔(dān)任安全管理員、系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、網(wǎng)絡(luò)管理員、重要業(yè)務(wù)應(yīng)用操作人員等崗位或工作；2)關(guān)鍵崗位人員應(yīng)采取定期輪崗制度。c)權(quán)限分散要求，應(yīng)堅(jiān)持關(guān)鍵崗位人員“權(quán)限分散、不應(yīng)交叉覆蓋”的原則，系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、網(wǎng)絡(luò)管理員不應(yīng)相互兼任崗位或工作；d)多人共管要求，關(guān)鍵崗位人員處理重要事務(wù)或操作時(shí)，應(yīng)保持二人同時(shí)在場(chǎng)，關(guān)鍵事務(wù)應(yīng)多人共管；e)全面控制要求，應(yīng)采取對(duì)內(nèi)部人員全面控制的安全保障措施，對(duì)所有崗位工作人員實(shí)施全面安全管理。5.6人員錄用管理人員錄用管理滿(mǎn)足以下要求：7DB4403/T437—2024a)人員錄用的基本要求，包括：1)對(duì)應(yīng)聘者進(jìn)行審查，應(yīng)聘者具有基本的專(zhuān)業(yè)技術(shù)水平，接受過(guò)安全意識(shí)教育和培訓(xùn)，應(yīng)掌握安全管理基本知識(shí)；2)對(duì)信息系統(tǒng)關(guān)鍵崗位的人員還應(yīng)注重思想品質(zhì)方面的考察。b)人員的審查與考核，應(yīng)由組織機(jī)構(gòu)人事部門(mén)進(jìn)行人員背景、資質(zhì)審查和技能考核等，合格者還應(yīng)簽署保密協(xié)議方可上崗；安全管理人員應(yīng)具有基本的系統(tǒng)安全風(fēng)險(xiǎn)分析和評(píng)估能力；c)人員的內(nèi)部選拔，重要區(qū)域或部位的安全管理人員應(yīng)從內(nèi)部符合條件的人員中選拔，應(yīng)做到認(rèn)真負(fù)責(zé)和保守秘密；d)人員的可靠性，關(guān)鍵區(qū)域或部位的安全管理人員應(yīng)按機(jī)要人員條件配備。5.7人員離崗管理人員離崗管理滿(mǎn)足以下要求：a)離崗的基本要求，包括：1)立即中止被解雇的、退休的、辭職的或其他原因離開(kāi)的人員的所有訪(fǎng)問(wèn)權(quán)限；2)收回所有相關(guān)證件、徽章、密鑰、訪(fǎng)問(wèn)控制標(biāo)記；3)收回機(jī)構(gòu)提供的設(shè)備。b)調(diào)離后的保密要求，管理層和信息系統(tǒng)關(guān)鍵崗位人員調(diào)離崗位，應(yīng)經(jīng)組織機(jī)構(gòu)人事部門(mén)辦理調(diào)離手續(xù)，承諾調(diào)離后的保密要求；c)離崗的審計(jì)要求，涉及組織機(jī)構(gòu)管理層和信息系統(tǒng)關(guān)鍵崗位的人員調(diào)離本部門(mén)，應(yīng)進(jìn)行離崗安全審查，在規(guī)定的脫密期限后，方可調(diào)離；d)關(guān)鍵部位人員的離崗要求，關(guān)鍵部位的信息系統(tǒng)安全管理人員離崗，應(yīng)按照機(jī)要人員管理辦法辦理。5.8人員考核與審查人員考核與審查滿(mǎn)足以下要求：a)定期的人員考核，應(yīng)對(duì)各個(gè)崗位的人員定期進(jìn)行不同重點(diǎn)的安全知識(shí)和安全技能的考核；b)定期的人員審查，應(yīng)對(duì)關(guān)鍵崗位人員，定期進(jìn)行審查；c)管理有效性的審查，應(yīng)對(duì)關(guān)鍵崗位人員的工作，通過(guò)例行考核進(jìn)行有效性審查，并保留審查結(jié)果；d)全面嚴(yán)格的審查，應(yīng)對(duì)所有安全崗位人員的工作，通過(guò)全面考核進(jìn)行審查。5.9人員教育和培訓(xùn)人員教育和培訓(xùn)滿(mǎn)足以下要求：a)應(yīng)對(duì)信息系統(tǒng)所有工作人員進(jìn)行“應(yīng)知應(yīng)會(huì)”教育和培訓(xùn)，內(nèi)容包括信息安全意識(shí)培訓(xùn)、信息安全技術(shù)培訓(xùn)、信息安全風(fēng)險(xiǎn)評(píng)估和防范培訓(xùn)、信息安全應(yīng)急預(yù)案培訓(xùn)、信息系統(tǒng)安全審計(jì)培訓(xùn)、信息系統(tǒng)漏洞掃描和防范培訓(xùn)、信息系統(tǒng)安全事件處理培訓(xùn)和信息安全法律法規(guī)和標(biāo)準(zhǔn)培訓(xùn)等；b)應(yīng)制定并實(shí)施安全教育和培訓(xùn)計(jì)劃，包括年度培訓(xùn)、季度培訓(xùn)和月度培訓(xùn)，以確保所有工作人員隨時(shí)掌握最新的安全知識(shí)和技能；c)應(yīng)針對(duì)不同崗位制定不同的專(zhuān)業(yè)培訓(xùn)計(jì)劃，包括安全知識(shí)、安全技術(shù)、安全標(biāo)準(zhǔn)、安全要求、案例分析和法律責(zé)任；d)應(yīng)對(duì)參加培訓(xùn)的所有工作人員進(jìn)行考核，并為考核合格的工作人員頒發(fā)證書(shū)；e)應(yīng)對(duì)所有工作人員的安全資質(zhì)進(jìn)行定期檢查和評(píng)估；8DB4403/T437—2024f)應(yīng)建立有效的反饋機(jī)制，讓所有工作人員可以隨時(shí)向管理層反饋培訓(xùn)需求和建議。6風(fēng)險(xiǎn)管理和控制6.1風(fēng)險(xiǎn)管理要求風(fēng)險(xiǎn)管理滿(mǎn)足以下要求：a)組織機(jī)構(gòu)應(yīng)確定需要管理的風(fēng)險(xiǎn)范圍和重點(diǎn)，包括制定系統(tǒng)資產(chǎn)清單，對(duì)資產(chǎn)價(jià)值的重要性進(jìn)行分析，對(duì)信息系統(tǒng)面臨的威脅進(jìn)行評(píng)估，對(duì)信息系統(tǒng)潛在的風(fēng)險(xiǎn)進(jìn)行分類(lèi)、評(píng)估和優(yōu)先級(jí)排序；b)應(yīng)進(jìn)行規(guī)范化的風(fēng)險(xiǎn)評(píng)估管理，制定風(fēng)險(xiǎn)分析報(bào)告和留存重要過(guò)程文檔，并向管理層提交；c)應(yīng)對(duì)關(guān)鍵的系統(tǒng)資源進(jìn)行定期風(fēng)險(xiǎn)分析和評(píng)估，制定風(fēng)險(xiǎn)分析報(bào)告以及風(fēng)險(xiǎn)規(guī)避、降低、轉(zhuǎn)移和承受措施，并向管理層提交；d)應(yīng)建立風(fēng)險(xiǎn)管理體系文件，對(duì)風(fēng)險(xiǎn)管理過(guò)程，實(shí)施獨(dú)立審計(jì)，確保風(fēng)險(xiǎn)管理的有效性；e)應(yīng)對(duì)實(shí)施風(fēng)險(xiǎn)管理后的效果進(jìn)行監(jiān)控和評(píng)估，及時(shí)發(fā)現(xiàn)和處理新的風(fēng)險(xiǎn)，風(fēng)險(xiǎn)管理的全過(guò)程應(yīng)具有可驗(yàn)證性。6.2風(fēng)險(xiǎn)管理策略風(fēng)險(xiǎn)管理策略滿(mǎn)足以下要求：a)基本的風(fēng)險(xiǎn)管理策略，應(yīng)定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，安全風(fēng)險(xiǎn)分析和評(píng)估活動(dòng)程序應(yīng)至少包括信息安全風(fēng)險(xiǎn)管理和業(yè)務(wù)應(yīng)用風(fēng)險(xiǎn)管理密切相關(guān)的內(nèi)容、信息安全風(fēng)險(xiǎn)管理的基本觀(guān)念和方法以及風(fēng)險(xiǎn)管理的組織和資源保障等；b)風(fēng)險(xiǎn)管理的監(jiān)督機(jī)制，應(yīng)建立風(fēng)險(xiǎn)管理的監(jiān)督機(jī)制，對(duì)所有風(fēng)險(xiǎn)管理相關(guān)過(guò)程的活動(dòng)和影響進(jìn)行評(píng)估和監(jiān)控；應(yīng)建立指導(dǎo)風(fēng)險(xiǎn)管理監(jiān)督過(guò)程的指導(dǎo)性文檔；c)風(fēng)險(xiǎn)評(píng)估的重新啟動(dòng)，應(yīng)明確規(guī)定重新啟動(dòng)風(fēng)險(xiǎn)評(píng)估的條件，組織機(jī)構(gòu)應(yīng)針對(duì)風(fēng)險(xiǎn)的變化重新啟動(dòng)風(fēng)險(xiǎn)評(píng)估。6.3風(fēng)險(xiǎn)分析6.3.1資產(chǎn)識(shí)別和分析資產(chǎn)識(shí)別和分析滿(mǎn)足以下要求：a)信息系統(tǒng)的資產(chǎn)統(tǒng)計(jì)和分類(lèi)，確定信息系統(tǒng)的資產(chǎn)范圍，進(jìn)行統(tǒng)計(jì)和制定資產(chǎn)清單（見(jiàn)7.2.1），并進(jìn)行資產(chǎn)分類(lèi)和重要性標(biāo)識(shí)；b)信息系統(tǒng)的特征分析，應(yīng)對(duì)信息系統(tǒng)的硬件、軟件、接口、數(shù)據(jù)、信息、邊界、功能和人員等方面進(jìn)行分析和識(shí)別。6.3.2威脅識(shí)別和分析威脅識(shí)別和分析滿(mǎn)足以下要求：a)應(yīng)根據(jù)以往發(fā)生的安全事件、外部提供的資料和積累的經(jīng)驗(yàn)等，對(duì)威脅來(lái)源進(jìn)行基本分析；b)應(yīng)結(jié)合業(yè)務(wù)應(yīng)用、系統(tǒng)結(jié)構(gòu)特點(diǎn)以及訪(fǎng)問(wèn)流程等因素進(jìn)行威脅的列表分析，并針對(duì)不同業(yè)務(wù)系統(tǒng)面臨的威脅建立每個(gè)或每類(lèi)資產(chǎn)的威脅列表；c)應(yīng)通過(guò)對(duì)信息系統(tǒng)保密性、完整性和可用性等方面造成損害以及威脅的可能性和影響等屬性進(jìn)行詳細(xì)分析，在詳細(xì)分析的基礎(chǔ)上，根據(jù)威脅的可能性和強(qiáng)度評(píng)估威脅等級(jí)；9DB4403/T437—2024d)應(yīng)對(duì)關(guān)鍵區(qū)域或部位進(jìn)行威脅分析和評(píng)估，在業(yè)務(wù)應(yīng)用許可并得到批準(zhǔn)的條件下，使用檢測(cè)工具在特定時(shí)間捕捉攻擊信息進(jìn)行威脅分析。6.3.3脆弱性識(shí)別和分析脆弱性識(shí)別和分析滿(mǎn)足以下要求：a)脆弱性工具掃描，包括：1)應(yīng)通過(guò)掃描器等工具來(lái)獲得對(duì)系統(tǒng)脆弱性的認(rèn)識(shí)，包括對(duì)管理平臺(tái)、網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備、掛載設(shè)備和安全設(shè)備的脆弱性?huà)呙?，并制定脆弱性列表，作為系統(tǒng)加固、改進(jìn)和安全項(xiàng)目建設(shè)的依據(jù)；2)應(yīng)針對(duì)資產(chǎn)組合、資產(chǎn)分類(lèi)制定脆弱性列表和脆弱性檢查表。b)脆弱性分析和滲透測(cè)試，包括：1)應(yīng)使用滲透測(cè)試分別從管理平臺(tái)、網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備、掛載設(shè)備、安全設(shè)備選擇不同的接入點(diǎn)進(jìn)行測(cè)試；2)在進(jìn)行測(cè)試之前，應(yīng)對(duì)系統(tǒng)進(jìn)行備份，以防止數(shù)據(jù)丟失或系統(tǒng)損壞；3)應(yīng)分析滲透測(cè)試可能帶來(lái)的后果，確保所有測(cè)試都符合法律和法規(guī)要求，并獲得所有必要的授權(quán)；4)應(yīng)對(duì)不同的資產(chǎn)和資產(chǎn)組合，綜合應(yīng)用人工評(píng)估、工具掃描、滲透性測(cè)試等方法對(duì)系統(tǒng)的脆弱性進(jìn)行分析和評(píng)估；5)對(duì)不同的方法和工具所得出的評(píng)估結(jié)果，應(yīng)進(jìn)行綜合分析，從而得到脆弱性的等級(jí)。c)應(yīng)明確規(guī)定進(jìn)行脆弱性評(píng)估的時(shí)間和系統(tǒng)范圍、人員和責(zé)任、評(píng)估結(jié)果的分析和報(bào)告程序，以及報(bào)告包括新發(fā)現(xiàn)的漏洞、已修補(bǔ)的漏洞、漏洞趨勢(shì)分析等。6.4風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)評(píng)估滿(mǎn)足以下要求：a)應(yīng)由用戶(hù)和專(zhuān)家通過(guò)經(jīng)驗(yàn)來(lái)判斷風(fēng)險(xiǎn)，并對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估；b)應(yīng)由專(zhuān)業(yè)資質(zhì)人員或機(jī)構(gòu)編制風(fēng)險(xiǎn)評(píng)估報(bào)告，報(bào)告應(yīng)包括風(fēng)險(xiǎn)級(jí)別、風(fēng)險(xiǎn)點(diǎn)等內(nèi)容，并確定信息系統(tǒng)的安全風(fēng)險(xiǎn)狀況；c)應(yīng)采用多層面、多角度的系統(tǒng)分析方法，由用戶(hù)和專(zhuān)家對(duì)資產(chǎn)、威脅和脆弱性等方面進(jìn)行定性綜合評(píng)估，建議處理和減緩風(fēng)險(xiǎn)的措施，制定風(fēng)險(xiǎn)評(píng)估報(bào)告；d)應(yīng)在風(fēng)險(xiǎn)評(píng)估的各項(xiàng)步驟中生成信息系統(tǒng)體系特征報(bào)告、威脅評(píng)估報(bào)告、脆弱性評(píng)估報(bào)告和安全措施分析報(bào)告等；e)風(fēng)險(xiǎn)評(píng)估人員應(yīng)在風(fēng)險(xiǎn)評(píng)估報(bào)告中對(duì)安全措施提出具體建議；f)應(yīng)將風(fēng)險(xiǎn)評(píng)估中的信息資產(chǎn)、威脅、脆弱性、防護(hù)措施等評(píng)估信息綜合到一個(gè)數(shù)據(jù)庫(kù)中進(jìn)行管理；組織機(jī)構(gòu)應(yīng)對(duì)數(shù)據(jù)庫(kù)進(jìn)行持續(xù)地維護(hù)。6.5風(fēng)險(xiǎn)控制風(fēng)險(xiǎn)控制滿(mǎn)足以下要求：a)基于安全等級(jí)標(biāo)準(zhǔn)選擇控制措施，以信息系統(tǒng)及產(chǎn)品的安全等級(jí)標(biāo)準(zhǔn)對(duì)不同等級(jí)的技術(shù)和管理要求，選擇相應(yīng)等級(jí)的安全技術(shù)和管控措施；b)基于風(fēng)險(xiǎn)評(píng)估選擇控制措施，應(yīng)根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，結(jié)合組織機(jī)構(gòu)對(duì)于信息系統(tǒng)安全的需求，決定信息系統(tǒng)安全的控制措施；c)基于風(fēng)險(xiǎn)評(píng)估形成防護(hù)控制系統(tǒng)，應(yīng)對(duì)相關(guān)的各種控制措施進(jìn)行綜合分析，評(píng)估控制措施的緊迫性、優(yōu)先級(jí)和投資比重，形成體系化的防護(hù)控制系統(tǒng)。DB4403/T437—20246.6安全確認(rèn)安全確認(rèn)滿(mǎn)足以下要求：a)應(yīng)對(duì)信息系統(tǒng)的資產(chǎn)清單、威脅列表、脆弱性列表，結(jié)合已采用的安全控制措施，分析存在的殘余風(fēng)險(xiǎn)；b)應(yīng)形成殘余風(fēng)險(xiǎn)分析報(bào)告，并由組織機(jī)構(gòu)的高層管理人員決定殘余風(fēng)險(xiǎn)的接受程度；c)應(yīng)制定信息系統(tǒng)殘余風(fēng)險(xiǎn)清單，并密切監(jiān)視殘余風(fēng)險(xiǎn)可能誘發(fā)的安全事件，及時(shí)采取防護(hù)措施；d)應(yīng)采用系統(tǒng)化的方法對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)實(shí)施再次評(píng)估，通過(guò)再次評(píng)估，驗(yàn)證防護(hù)措施的有效性。7運(yùn)維和服務(wù)管理7.1運(yùn)維環(huán)境管理7.1.1一般要求運(yùn)維環(huán)境管理的一般要求如下：a)位置選擇：機(jī)房場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)，設(shè)在建筑物的頂層或地下室的機(jī)房場(chǎng)地應(yīng)具備防水和防潮措施；b)防盜竊和防破壞，包括：1)應(yīng)將機(jī)房設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)識(shí)；2)應(yīng)將通信線(xiàn)纜鋪設(shè)在隱蔽處或鋪設(shè)在地下或管道中；3)應(yīng)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)或設(shè)置有專(zhuān)人值守的視頻監(jiān)控系統(tǒng)。c)防雷擊：應(yīng)將各類(lèi)機(jī)柜、設(shè)施和設(shè)備等通過(guò)接地系統(tǒng)安全接地；應(yīng)采取措施防止感應(yīng)雷，例如設(shè)置防雷保安器或過(guò)壓保護(hù)裝置等；d)防火：應(yīng)符合GB50016—2014中第8章要求；e)防水和防潮，包括：1)應(yīng)采取措施防止雨水通過(guò)機(jī)房窗戶(hù)、屋頂和墻壁滲透；2)應(yīng)采取措施防止機(jī)房?jī)?nèi)水蒸氣結(jié)露、水管泄漏和地下積水的轉(zhuǎn)移與滲透；3)機(jī)房應(yīng)安裝對(duì)水敏感的檢測(cè)儀表或元件，對(duì)機(jī)房進(jìn)行防水檢測(cè)和報(bào)警。f)防靜電，包括：1)應(yīng)安裝防靜電地板或地面并采用接地防靜電措施；2)應(yīng)采用措施防止靜電的產(chǎn)生，例如采用靜電消除器、佩戴防靜電手環(huán)等。g)溫濕度控制，包括：1)機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施；2)機(jī)房的溫度范圍應(yīng)在18°C～26°C之內(nèi)，第四級(jí)網(wǎng)絡(luò)所在機(jī)房的溫度范圍應(yīng)在3)機(jī)房的濕度范圍應(yīng)在35％～65％之內(nèi)，第四級(jí)網(wǎng)絡(luò)所在機(jī)房的濕度范圍應(yīng)在40%~60％之內(nèi)。h)電力供應(yīng)，包括：1)應(yīng)在機(jī)房供電線(xiàn)路上配置穩(wěn)壓器和過(guò)電壓防護(hù)設(shè)備；2)應(yīng)提供短期的備用電力供應(yīng)，至少滿(mǎn)足設(shè)備在斷電情況下的正常運(yùn)行要求；3)應(yīng)設(shè)置冗余或并行的電力電纜線(xiàn)路為系統(tǒng)供電；DB4403/T437—20244)三級(jí)及以上網(wǎng)絡(luò)應(yīng)接入兩路外電，其中至少一路應(yīng)為專(zhuān)線(xiàn)，當(dāng)一路外電發(fā)生故障時(shí)，另一路外電不應(yīng)同時(shí)受到損害。i)電磁防護(hù)，包括：1)電源線(xiàn)和通信線(xiàn)纜應(yīng)隔離鋪設(shè)，避免互相干擾；2)三級(jí)及以上網(wǎng)絡(luò)應(yīng)對(duì)關(guān)鍵設(shè)備或關(guān)鍵區(qū)域?qū)嵤╇姶牌帘巍?.1.2運(yùn)維環(huán)境安全管理要求運(yùn)維環(huán)境安全管理滿(mǎn)足以下要求：a)運(yùn)維環(huán)境安全的基本要求，包括：1)應(yīng)配置運(yùn)維環(huán)境安全的責(zé)任部門(mén)和管理人員；2)建立有關(guān)運(yùn)維環(huán)境安全方面的規(guī)章制度；3)物理安全應(yīng)符合GB/T20271—2006中6.1.1的有關(guān)要求。b)完整的制度化管理，包括：1)應(yīng)對(duì)運(yùn)維環(huán)境劃分不同保護(hù)等級(jí)的安全區(qū)域進(jìn)行管理；2)應(yīng)制定對(duì)運(yùn)維安全設(shè)施進(jìn)行檢驗(yàn)、配置、安裝、運(yùn)行的有關(guān)制度和保障措施；3)實(shí)行關(guān)鍵運(yùn)維設(shè)施的登記制度；4)物理安全應(yīng)符合GB/T20271—2006中6.2.1的有關(guān)要求。c)安全區(qū)域標(biāo)記管理，包括：1)應(yīng)對(duì)運(yùn)維環(huán)境中所有安全區(qū)域進(jìn)行標(biāo)記管理，包括不同安全保護(hù)等級(jí)的辦公區(qū)域、機(jī)房、介質(zhì)庫(kù)房等；2)介質(zhì)庫(kù)房的管理應(yīng)符合同等級(jí)機(jī)房的要求；3)物理安全應(yīng)符合GB/T20271—2006中6.3.1的有關(guān)要求。d)安全區(qū)域隔離和監(jiān)視，包括：1)應(yīng)實(shí)施不同保護(hù)等級(jí)安全區(qū)域的隔離管理；2)出入人員應(yīng)經(jīng)過(guò)相應(yīng)級(jí)別的授權(quán)并有監(jiān)控措施；3)對(duì)重要安全區(qū)域的活動(dòng)應(yīng)實(shí)時(shí)監(jiān)視和記錄；4)物理安全應(yīng)符合GB/T20271—2006中6.4.1的有關(guān)要求。e)安全保障的持續(xù)改善，包括：1)應(yīng)對(duì)運(yùn)維安全保障定期進(jìn)行監(jiān)督、檢查和不斷改進(jìn)，實(shí)現(xiàn)持續(xù)改善；2)物理安全應(yīng)符合GB/T20271—2006中6.5.1的有關(guān)要求。7.1.3機(jī)房安全要求機(jī)房安全滿(mǎn)足以下要求：a)機(jī)房安全的基本要求，包括：1)應(yīng)明確機(jī)房安全管理的責(zé)任人，機(jī)房出入應(yīng)有指定人員負(fù)責(zé)，未經(jīng)允許的人員不應(yīng)進(jìn)入機(jī)房；2)獲準(zhǔn)進(jìn)入機(jī)房的來(lái)訪(fǎng)人員，活動(dòng)范圍應(yīng)受到限制，并有接待人員陪同；3)機(jī)房鑰匙由專(zhuān)人管理，未經(jīng)批準(zhǔn)，任何人不應(yīng)私自復(fù)制機(jī)房鑰匙；4)未獲得管理人員的準(zhǔn)許，任何記錄介質(zhì)、文件材料及各種被保護(hù)品不應(yīng)帶出機(jī)房，與工作無(wú)關(guān)的物品不應(yīng)帶入機(jī)房；5)機(jī)房?jī)?nèi)不應(yīng)吸煙及帶入火種。b)加強(qiáng)對(duì)來(lái)訪(fǎng)人員的控制，包括：1)所有來(lái)訪(fǎng)人員應(yīng)經(jīng)過(guò)正式批準(zhǔn)，登記記錄應(yīng)妥善保存；DB4403/T437—20242)獲準(zhǔn)進(jìn)入機(jī)房的來(lái)訪(fǎng)人員，不應(yīng)攜帶個(gè)人計(jì)算機(jī)、移動(dòng)電話(huà)、電子記事本等具有移動(dòng)互連功能的個(gè)人物品進(jìn)入機(jī)房，活動(dòng)范圍和操作行為應(yīng)受到限制，并有機(jī)房接待人員負(fù)責(zé)和陪同。c)增強(qiáng)門(mén)禁控制手段，包括：1)任何進(jìn)出機(jī)房的人員應(yīng)經(jīng)過(guò)門(mén)禁設(shè)施的監(jiān)控和記錄；2)門(mén)禁系統(tǒng)的電子記錄應(yīng)妥善保存以備查；3)進(jìn)入機(jī)房的人員應(yīng)佩戴相應(yīng)證件；4)定期對(duì)門(mén)禁設(shè)備（包括門(mén)禁卡、讀卡器、攝像頭等）進(jìn)行巡檢和維護(hù)；5)當(dāng)有異常情況發(fā)生時(shí)，門(mén)禁系統(tǒng)應(yīng)立即啟動(dòng)報(bào)警系統(tǒng)，并通過(guò)聲音、燈光或手機(jī)短信等方式提醒安保人員。d)使用視頻監(jiān)控和專(zhuān)職安保，包括：1)機(jī)房所在地應(yīng)有專(zhuān)職安保人員，通道和入口處應(yīng)設(shè)置視頻監(jiān)控點(diǎn)，視頻監(jiān)控點(diǎn)應(yīng)24小時(shí)工作；2)所有來(lái)訪(fǎng)人員的登記記錄、門(mén)禁系統(tǒng)的電子記錄以及監(jiān)視錄像記錄應(yīng)妥善保存以備查；3)不應(yīng)攜帶個(gè)人計(jì)算機(jī)、移動(dòng)電話(huà)、電子記事本等具有移動(dòng)互連功能的個(gè)人物品進(jìn)入機(jī)房。e)采取防止電磁泄漏措施，包括：1)防止電磁泄漏的計(jì)算機(jī)設(shè)備應(yīng)配備電磁干擾設(shè)備，在被保護(hù)的計(jì)算機(jī)設(shè)備工作時(shí)，電磁干擾設(shè)備不應(yīng)關(guān)機(jī)；2)使用屏蔽機(jī)房。屏蔽機(jī)房應(yīng)隨時(shí)關(guān)閉屏蔽門(mén)；3)不應(yīng)在屏蔽墻上隨意打孔，不應(yīng)在波導(dǎo)管以外或不經(jīng)過(guò)過(guò)濾器對(duì)屏蔽機(jī)房?jī)?nèi)外連接任何線(xiàn)纜；4)應(yīng)測(cè)試屏蔽機(jī)房的泄漏情況并進(jìn)行維護(hù)。7.1.4辦公環(huán)境安全要求辦公環(huán)境安全滿(mǎn)足以下要求：a)辦公環(huán)境安全基本要求，包括：1)應(yīng)對(duì)辦公環(huán)境進(jìn)行安全審計(jì)和監(jiān)控，及時(shí)發(fā)現(xiàn)和處理存在的安全隱患；2)應(yīng)防止利用終端系統(tǒng)竊取敏感信息或非法訪(fǎng)問(wèn)；3)工作人員下班后，終端計(jì)算機(jī)應(yīng)關(guān)閉；4)存放敏感文件或信息載體的文件柜應(yīng)上鎖或設(shè)置密碼；5)工作人員調(diào)離部門(mén)或更換辦公室時(shí)，應(yīng)立即交還辦公室鑰匙；6)設(shè)立獨(dú)立的會(huì)客接待室，在辦公環(huán)境接待來(lái)訪(fǎng)人員應(yīng)得到批準(zhǔn)。b)辦公環(huán)境安全增強(qiáng)要求，包括：1)工作人員離開(kāi)座位時(shí)，應(yīng)將桌面上含有敏感信息的文件放在抽屜或文件柜內(nèi)；2)工作人員離開(kāi)座位時(shí)，終端計(jì)算機(jī)應(yīng)退出登錄狀態(tài)、采用屏幕保護(hù)口令保護(hù)或關(guān)機(jī)。c)在關(guān)鍵區(qū)域或部位，應(yīng)將相應(yīng)的辦公環(huán)境與機(jī)房位置聯(lián)結(jié)在一起，以便進(jìn)行統(tǒng)一的保護(hù)。7.2服務(wù)資源管理7.2.1資產(chǎn)清單要求資產(chǎn)清單滿(mǎn)足以下要求：a)基礎(chǔ)資產(chǎn)清單，包括：DB4403/T437—20241)硬件資產(chǎn)：服務(wù)器類(lèi)，包括應(yīng)用服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器、文件服務(wù)器等；網(wǎng)絡(luò)設(shè)備類(lèi)，包括路由器、交換機(jī)、防火墻等；存儲(chǔ)設(shè)備類(lèi)，包括硬盤(pán)陣列、網(wǎng)絡(luò)存儲(chǔ)設(shè)備等；終端設(shè)備類(lèi)，包括計(jì)算機(jī)、筆記本、打印機(jī)、復(fù)印機(jī)等；通信設(shè)備類(lèi)，包括電話(huà)、傳真機(jī)、手機(jī)等；其他支持性設(shè)備類(lèi)，包括UPS電源、空調(diào)、除濕機(jī)等；2)軟件資產(chǎn)：操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、中間件、應(yīng)用軟件、安全軟件、備份軟件、恢復(fù)軟件、日志管理軟件和實(shí)用程序等；3)信息資產(chǎn)：應(yīng)用數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、安全數(shù)據(jù)等數(shù)據(jù)庫(kù)和數(shù)據(jù)文檔、系統(tǒng)文件、用戶(hù)手冊(cè)、培訓(xùn)資料、操作和支持程序、持續(xù)性計(jì)劃、備用系統(tǒng)安排、存檔信息等。b)詳細(xì)的資產(chǎn)清單，應(yīng)清晰識(shí)別每項(xiàng)資產(chǎn)的擁有權(quán)、責(zé)任人、安全分類(lèi)以及資產(chǎn)所在位置等；c)業(yè)務(wù)應(yīng)用系統(tǒng)的資產(chǎn)清單，包括：1)應(yīng)清晰識(shí)別業(yè)務(wù)應(yīng)用系統(tǒng)資產(chǎn)的擁有權(quán)、責(zé)任人、安全分類(lèi)以及資產(chǎn)所在的位置等；2)應(yīng)包括主要業(yè)務(wù)應(yīng)用系統(tǒng)處理流程和數(shù)據(jù)流的描述，以及業(yè)務(wù)應(yīng)用系統(tǒng)用戶(hù)分類(lèi)說(shuō)明。7.2.2資產(chǎn)的分類(lèi)與標(biāo)識(shí)要求資產(chǎn)的分類(lèi)與標(biāo)識(shí)滿(mǎn)足以下要求：a)資產(chǎn)標(biāo)識(shí)，應(yīng)根據(jù)資產(chǎn)價(jià)值的重要性對(duì)資產(chǎn)進(jìn)行標(biāo)識(shí)、選擇保護(hù)措施和進(jìn)行資產(chǎn)管理等；b)資產(chǎn)分類(lèi)管理，應(yīng)對(duì)信息資產(chǎn)進(jìn)行分類(lèi)管理，對(duì)信息系統(tǒng)內(nèi)分屬不同業(yè)務(wù)范圍的各類(lèi)信息，按資產(chǎn)分類(lèi)對(duì)安全性的不同要求分類(lèi)加以標(biāo)識(shí)。對(duì)于信息資產(chǎn)，通常信息系統(tǒng)數(shù)據(jù)分為系統(tǒng)數(shù)據(jù)和用戶(hù)數(shù)據(jù)兩類(lèi)，重要性與所在的系統(tǒng)或子系統(tǒng)的安全保護(hù)等級(jí)相關(guān)；用戶(hù)數(shù)據(jù)的自身保密性包括以下類(lèi)別：1)國(guó)家秘密信息：秘密、機(jī)密、絕密信息；2)其他秘密信息：受?chē)?guó)家法律保護(hù)的商業(yè)秘密和個(gè)人隱私信息；3)專(zhuān)有信息：國(guó)家或組織機(jī)構(gòu)內(nèi)部共享、內(nèi)部受限、內(nèi)部專(zhuān)控信息，以及公民個(gè)人專(zhuān)有信息；4)公開(kāi)信息：國(guó)家公開(kāi)共享的信息、組織機(jī)構(gòu)公開(kāi)共享的信息、公民個(gè)人可公開(kāi)共享的信息；組織機(jī)構(gòu)應(yīng)根據(jù)業(yè)務(wù)應(yīng)用的具體情況進(jìn)行分類(lèi)分級(jí)和標(biāo)識(shí)，納入規(guī)范化管理；不同安全等級(jí)的信息應(yīng)本著“知所必需、用所必需、共享必需、公開(kāi)必需、互聯(lián)通信必需”的策略進(jìn)行訪(fǎng)問(wèn)控制和信息交換管理。c)資產(chǎn)體系架構(gòu)，應(yīng)以業(yè)務(wù)應(yīng)用為主線(xiàn)，用體系架構(gòu)的方法描述信息資產(chǎn)。7.2.3存儲(chǔ)介質(zhì)要求存儲(chǔ)介質(zhì)滿(mǎn)足以下要求：a)介質(zhì)管理基本要求，包括：1)對(duì)脫機(jī)存放的信息資產(chǎn)和軟件資產(chǎn)各類(lèi)介質(zhì)進(jìn)行控制和保護(hù)，防止被盜、被毀、被修改以及信息的非法泄漏；2)介質(zhì)的歸檔和查詢(xún)應(yīng)有記錄，對(duì)存檔介質(zhì)的目錄清單應(yīng)定期盤(pán)點(diǎn)；3)介質(zhì)應(yīng)儲(chǔ)放在安全的環(huán)境中防止損壞；4)送出維修或銷(xiāo)毀的介質(zhì)應(yīng)防止信息的非法泄漏；5)應(yīng)指定專(zhuān)人對(duì)各類(lèi)介質(zhì)進(jìn)行保管。b)介質(zhì)異地存放要求，包括：1)根據(jù)所承載的數(shù)據(jù)和軟件的重要程度對(duì)介質(zhì)進(jìn)行標(biāo)識(shí)和分類(lèi)，存放在由專(zhuān)人管理的介質(zhì)庫(kù)中，防止被盜、被毀以及信息的非法泄漏；DB4403/T437—20242)對(duì)存儲(chǔ)保密性要求較高的信息的介質(zhì)，借閱、拷貝、傳輸應(yīng)經(jīng)相應(yīng)級(jí)別的領(lǐng)導(dǎo)批準(zhǔn)后方可執(zhí)行，并登記在冊(cè)；3)存儲(chǔ)介質(zhì)的銷(xiāo)毀應(yīng)經(jīng)批準(zhǔn)并按指定方式進(jìn)行，不應(yīng)自行銷(xiāo)毀；4)介質(zhì)應(yīng)保留2個(gè)以上的副本，介質(zhì)副本應(yīng)異地存儲(chǔ)，異地存儲(chǔ)的環(huán)境和管理要求應(yīng)與本地存儲(chǔ)一致。c)完整性檢查的要求，包括：1)對(duì)重要介質(zhì)的數(shù)據(jù)和軟件應(yīng)進(jìn)行完整性檢查；2)對(duì)重要的信息介質(zhì)的借閱、拷貝、分發(fā)傳遞應(yīng)經(jīng)相應(yīng)級(jí)別的領(lǐng)導(dǎo)的書(shū)面審批后方可執(zhí)行，各種處理過(guò)程應(yīng)登記在冊(cè)，介質(zhì)的分發(fā)傳遞采取保護(hù)措施；3)送出維修或銷(xiāo)毀的介質(zhì)應(yīng)首先刪除信息，再重復(fù)寫(xiě)操作進(jìn)行覆蓋，防止數(shù)據(jù)恢復(fù)和信息泄漏；4)當(dāng)介質(zhì)帶出工作環(huán)境時(shí)，介質(zhì)中的信息應(yīng)受到保護(hù)；5)對(duì)存放在介質(zhì)庫(kù)中的介質(zhì)應(yīng)定期進(jìn)行完整性和可用性的檢查，確認(rèn)數(shù)據(jù)或軟件未受到損壞或丟失。d)加密存儲(chǔ)的要求，包括：1)對(duì)介質(zhì)中的重要數(shù)據(jù)應(yīng)使用加密技術(shù)或數(shù)據(jù)隱藏技術(shù)進(jìn)行存儲(chǔ)；2)介質(zhì)的保存和分發(fā)傳遞應(yīng)有嚴(yán)格的規(guī)定并進(jìn)行登記；3)介質(zhì)受損但無(wú)法執(zhí)行刪除操作的，應(yīng)銷(xiāo)毀；4)介質(zhì)銷(xiāo)毀在經(jīng)主管領(lǐng)導(dǎo)審批后應(yīng)由兩人完成，一人執(zhí)行銷(xiāo)毀一人負(fù)責(zé)監(jiān)銷(xiāo)，銷(xiāo)毀過(guò)程應(yīng)記錄。e)高強(qiáng)度加密存儲(chǔ)的要求：應(yīng)對(duì)極為重要數(shù)據(jù)的介質(zhì)應(yīng)使用高強(qiáng)度的加密技術(shù)或數(shù)據(jù)隱藏技術(shù)進(jìn)行存儲(chǔ)。7.2.4掛載設(shè)備要求掛載設(shè)備滿(mǎn)足以下要求：a)多功能智能桿應(yīng)為掛載設(shè)備提供桿上條件，包括各類(lèi)掛載設(shè)備的安裝固定、線(xiàn)纜接入和布設(shè)、網(wǎng)絡(luò)接入、接地與防雷保護(hù)等；b)多功能智能桿應(yīng)為掛載設(shè)備提供所需交流或直流供電接口，宜具備漏電監(jiān)測(cè)、供電監(jiān)測(cè)、遠(yuǎn)程控制、傾斜監(jiān)測(cè)、積水監(jiān)測(cè)、艙門(mén)開(kāi)關(guān)監(jiān)測(cè)等功能；c)掛載設(shè)備外觀(guān)設(shè)計(jì)應(yīng)與當(dāng)?shù)爻鞘幸?guī)劃設(shè)計(jì)和所處場(chǎng)景相融合，符合城市規(guī)劃中對(duì)城市風(fēng)貌的要求；d)掛載設(shè)備應(yīng)滿(mǎn)足桿體的工作環(huán)境、安裝空間、結(jié)構(gòu)承載能力、服務(wù)功能穩(wěn)定性、耐久性等正常工作要求；e)關(guān)鍵掛載設(shè)備、邊緣控制器應(yīng)通過(guò)安全傳輸通道進(jìn)行固件與補(bǔ)丁更新，在檢測(cè)到異常時(shí)應(yīng)將結(jié)果上報(bào)至安全管理中心；f)應(yīng)對(duì)掛載設(shè)備狀態(tài)進(jìn)行監(jiān)測(cè)，當(dāng)發(fā)現(xiàn)不明設(shè)備入侵時(shí)應(yīng)及時(shí)定位處理；g)應(yīng)確保只有授權(quán)的掛載設(shè)備接入；h)應(yīng)限制與掛載設(shè)備通信的目的地址；i)應(yīng)限制多功能智能桿場(chǎng)景中與網(wǎng)關(guān)節(jié)點(diǎn)通信的目的地址；j)連接多功能智能桿的邊緣控制器應(yīng)具備對(duì)掛載設(shè)備、路由節(jié)點(diǎn)和數(shù)據(jù)處理中心進(jìn)行標(biāo)識(shí)和鑒別的能力，至少支持基于網(wǎng)絡(luò)標(biāo)識(shí)、媒體訪(fǎng)問(wèn)控制地址通信協(xié)議和通信端口的身份鑒別機(jī)制；DB4403/T437—2024k)連接多功能智能桿的邊緣控制器應(yīng)具備過(guò)濾非法節(jié)點(diǎn)和偽造接地所發(fā)送的數(shù)據(jù)的能力；當(dāng)檢測(cè)到流量異常時(shí)，應(yīng)限制該端口的流量或關(guān)閉該端口，并上報(bào)異常信息。在異常消除后，應(yīng)自動(dòng)恢復(fù)該端口的正常功能；l)連接多功能智能桿的邊緣控制器應(yīng)具備對(duì)掛載設(shè)備、路由節(jié)點(diǎn)和數(shù)據(jù)處理中心進(jìn)行脆弱性?huà)呙?；m)連接多功能智能桿的邊緣控制器檢測(cè)到攻擊行為時(shí)，應(yīng)上報(bào)攻擊源互聯(lián)網(wǎng)協(xié)議地址、攻擊類(lèi)型和攻擊時(shí)間等信息。7.3用戶(hù)管理7.3.1用戶(hù)分類(lèi)要求用戶(hù)分類(lèi)滿(mǎn)足以下要求：a)應(yīng)按審查和批準(zhǔn)的用戶(hù)分類(lèi)清單建立用戶(hù)和分配權(quán)限。用戶(hù)分類(lèi)清單應(yīng)包括信息系統(tǒng)內(nèi)所有的用戶(hù)名單和用戶(hù)權(quán)限；當(dāng)用戶(hù)權(quán)限發(fā)生變化時(shí)應(yīng)及時(shí)更改用戶(hù)清單內(nèi)容；b)對(duì)有關(guān)用戶(hù)開(kāi)啟審計(jì)功能，用戶(hù)分類(lèi)清單應(yīng)包括：1)系統(tǒng)用戶(hù)：系統(tǒng)管理員、網(wǎng)絡(luò)管理員、數(shù)據(jù)庫(kù)管理員和系統(tǒng)運(yùn)行操作員等特權(quán)用戶(hù)；2)普通用戶(hù)：自動(dòng)化辦公和各種業(yè)務(wù)應(yīng)用系統(tǒng)的用戶(hù)；3)外部用戶(hù)：組織機(jī)構(gòu)的信息系統(tǒng)對(duì)外服務(wù)的用戶(hù)；4)臨時(shí)用戶(hù)：系統(tǒng)維護(hù)測(cè)試和第三方人員使用的用戶(hù)。c)特權(quán)用戶(hù)，包括：1)應(yīng)對(duì)信息系統(tǒng)的所有特權(quán)用戶(hù)列出清單，說(shuō)明各個(gè)特權(quán)用戶(hù)的權(quán)限以及特權(quán)用戶(hù)的責(zé)任人員和授權(quán)記錄；2)定期檢查特權(quán)用戶(hù)的實(shí)際分配權(quán)限是否與特權(quán)用戶(hù)清單符合；3)對(duì)特權(quán)用戶(hù)開(kāi)啟審計(jì)功能。d)重要業(yè)務(wù)用戶(hù)，包括：1)應(yīng)對(duì)信息系統(tǒng)的所有重要業(yè)務(wù)用戶(hù)的列出清單，說(shuō)明各個(gè)用戶(hù)的權(quán)限以及用戶(hù)的責(zé)任人員和授權(quán)記錄；2)定期檢查重要業(yè)務(wù)用戶(hù)的實(shí)際分配權(quán)限是否與用戶(hù)清單符合；3)對(duì)重要業(yè)務(wù)用戶(hù)開(kāi)啟審計(jì)功能。e)關(guān)鍵部位用戶(hù)，包括：1)應(yīng)對(duì)關(guān)鍵部位用戶(hù)采取逐一審批和授權(quán)的程序，并記錄備案；2)定期檢查信息系統(tǒng)內(nèi)所有用戶(hù)的實(shí)際分配權(quán)限是否與授權(quán)符合，并對(duì)信息系統(tǒng)內(nèi)所有用戶(hù)開(kāi)啟審計(jì)功能。7.3.2系統(tǒng)用戶(hù)要求系統(tǒng)用戶(hù)滿(mǎn)足以下要求：a)最小授權(quán)要求，包括：1)系統(tǒng)用戶(hù)應(yīng)由信息系統(tǒng)的主管領(lǐng)導(dǎo)指定，授權(quán)應(yīng)以滿(mǎn)足系統(tǒng)用戶(hù)工作內(nèi)容的最小權(quán)限為原則；2)系統(tǒng)用戶(hù)應(yīng)接受審計(jì)。b)責(zé)任到人要求，包括：1)對(duì)重要信息系統(tǒng)的系統(tǒng)用戶(hù)，應(yīng)進(jìn)行人員的嚴(yán)格審查，符合要求的人員給予授權(quán)；2)對(duì)系統(tǒng)用戶(hù)應(yīng)區(qū)分責(zé)任到個(gè)人，不應(yīng)以部門(mén)或組作為責(zé)任人。c)監(jiān)督性保護(hù)要求，包括：DB4403/T437—20241)在關(guān)鍵信息系統(tǒng)中，對(duì)系統(tǒng)用戶(hù)的授權(quán)操作，應(yīng)有兩人在場(chǎng)，并經(jīng)雙重認(rèn)可后方可操作；2)操作過(guò)程應(yīng)自動(dòng)生成無(wú)法更改的審計(jì)日志。7.3.3普通用戶(hù)要求普通用戶(hù)滿(mǎn)足以下要求：a)基本要求，包括：1)應(yīng)保護(hù)好口令等身份鑒別信息；2)發(fā)現(xiàn)系統(tǒng)的漏洞、濫用或違背安全行為應(yīng)及時(shí)報(bào)告；3)不應(yīng)透露與組織機(jī)構(gòu)有關(guān)的非公開(kāi)信息；4)不應(yīng)故意進(jìn)行違規(guī)的操作。b)處理敏感信息的要求，包括：1)不應(yīng)在不符合敏感信息保護(hù)要求的系統(tǒng)中保存和處理高敏感度的信息；2)不應(yīng)使用各種非正版軟件和不可信的自由軟件。c)重要業(yè)務(wù)應(yīng)用的要求，包括：1)應(yīng)在系統(tǒng)規(guī)定的權(quán)限內(nèi)進(jìn)行操作，某些重要操作應(yīng)得到批準(zhǔn)；2)用戶(hù)應(yīng)保管好自己的身份鑒別信息載體，不應(yīng)轉(zhuǎn)借他人。7.3.4外部用戶(hù)要求外部用戶(hù)滿(mǎn)足以下要求：a)外部用戶(hù)要求，包括：1)應(yīng)對(duì)外部用戶(hù)明確說(shuō)明使用者的責(zé)任、義務(wù)和風(fēng)險(xiǎn)，并提供合法使用的聲明；2)外部用戶(hù)應(yīng)保護(hù)口令等身份鑒別信息。b)外部特定用戶(hù)要求，應(yīng)對(duì)特定外部用戶(hù)提供專(zhuān)用通信通道、端口、特定的應(yīng)用數(shù)據(jù)協(xié)議和專(zhuān)用設(shè)備等；c)外部用戶(hù)的限制，不應(yīng)在關(guān)鍵部位設(shè)置外部用戶(hù)。7.3.5臨時(shí)用戶(hù)要求臨時(shí)用戶(hù)滿(mǎn)足以下要求：a)臨時(shí)用戶(hù)的設(shè)置與刪除，臨時(shí)用戶(hù)的設(shè)置和期限應(yīng)經(jīng)過(guò)審批，使用完畢或到期應(yīng)及時(shí)刪除，設(shè)置與刪除均應(yīng)記錄備案；b)臨時(shí)用戶(hù)的審計(jì)，應(yīng)對(duì)主要部位的臨時(shí)用戶(hù)進(jìn)行審計(jì)，并在刪除前進(jìn)行風(fēng)險(xiǎn)評(píng)估；c)臨時(shí)用戶(hù)的限制，不應(yīng)在關(guān)鍵部位設(shè)置臨時(shí)用戶(hù)。7.4運(yùn)行操作管理7.4.1系統(tǒng)計(jì)算機(jī)操作要求系統(tǒng)計(jì)算機(jī)操作滿(mǎn)足以下要求：a)服務(wù)器操作要求，包括：1)對(duì)服務(wù)器的操作應(yīng)由授權(quán)的系統(tǒng)管理員實(shí)施；2)應(yīng)按操作規(guī)程完成對(duì)服務(wù)器的啟動(dòng)或停止、加電或斷電等操作；3)應(yīng)按操作規(guī)程維護(hù)服務(wù)器的運(yùn)行環(huán)境、配置和服務(wù)設(shè)定；4)應(yīng)按7.7.1的相關(guān)要求進(jìn)行操作人員的身份鑒別。b)配置文件要求，包括：DB4403/T437—20241)應(yīng)將配置文件分類(lèi)并歸檔，以便于管理和檢索；2)應(yīng)將配置文件存儲(chǔ)在安全、可靠的地方，并定期進(jìn)行備份，以防止數(shù)據(jù)丟失或損壞；3)應(yīng)限制對(duì)配置文件的訪(fǎng)問(wèn)權(quán)限，確保只有授權(quán)人員才能訪(fǎng)問(wèn)和修改配置文件；4)應(yīng)記錄配置文件的版本號(hào)，并在需要時(shí)進(jìn)行版本控制和追蹤；5)應(yīng)按照規(guī)定的流程對(duì)配置文件進(jìn)行更新和發(fā)布，確保系統(tǒng)的穩(wěn)定性和安全性；6)應(yīng)對(duì)配置文件進(jìn)行注釋和說(shuō)明，便于操作人員理解和使用；7)應(yīng)快速處理配置文件的異常情況，確保系統(tǒng)的正常運(yùn)行；8)應(yīng)記錄配置文件的名稱(chēng)、位置、版本號(hào)、修改時(shí)間等信息，便于跟蹤和管理。c)日志文件要求，包括：1)應(yīng)自動(dòng)生成信息系統(tǒng)的日志文件，并記錄系統(tǒng)運(yùn)行狀況產(chǎn)生的各種數(shù)據(jù)；2)應(yīng)將日志文件存儲(chǔ)在安全、可靠的地方，并定期進(jìn)行備份；3)應(yīng)根據(jù)日志文件的重要性和類(lèi)型將其分類(lèi)并歸檔，便于管理和檢索；4)應(yīng)限制對(duì)日志文件的訪(fǎng)問(wèn)權(quán)限，確保只有授權(quán)人員才能訪(fǎng)問(wèn)和查看日志文件；5)應(yīng)定期對(duì)日志文件進(jìn)行審計(jì)，并對(duì)審計(jì)結(jié)果進(jìn)行記錄和報(bào)告；6)應(yīng)根據(jù)日志文件的重要性和類(lèi)型確定存儲(chǔ)期限，并在存儲(chǔ)期限結(jié)束后對(duì)日志文件進(jìn)行刪除或歸檔；7)應(yīng)定期對(duì)日志文件進(jìn)行備份，并確保備份數(shù)據(jù)的可用性和完整性；8)應(yīng)確保日志文件的安全性，采取加密、訪(fǎng)問(wèn)控制和防火墻等技術(shù)，防止未經(jīng)授權(quán)的訪(fǎng)問(wèn)和泄漏；9)應(yīng)確保日志文件的完整性，防止篡改、刪除和損壞；10)應(yīng)確保日志文件的可用性，及時(shí)生成、存儲(chǔ)和檢索。d)監(jiān)控管理要求，包括：1)應(yīng)安裝和配置監(jiān)控裝置，實(shí)時(shí)監(jiān)測(cè)信息系統(tǒng)的中央處理器（CPU）利用率、內(nèi)存利用率、進(jìn)程運(yùn)行狀況和磁盤(pán)使用狀況；2)應(yīng)采集和分析監(jiān)控?cái)?shù)據(jù)，及時(shí)發(fā)現(xiàn)系統(tǒng)異常、系統(tǒng)故障、系統(tǒng)性能瓶頸，并進(jìn)行優(yōu)化系統(tǒng)配置；3)應(yīng)存儲(chǔ)和管理監(jiān)控?cái)?shù)據(jù)，進(jìn)行歷史數(shù)據(jù)分析、報(bào)告和審計(jì)；4)應(yīng)設(shè)置報(bào)警和通知機(jī)制，在發(fā)生異?；蚬收蠒r(shí)能夠及時(shí)通知相關(guān)人員進(jìn)行處理；5)應(yīng)快速排除和恢復(fù)監(jiān)控系統(tǒng)的故障，確保信息系統(tǒng)的正常運(yùn)行；6)應(yīng)記錄監(jiān)控系統(tǒng)的配置、運(yùn)行和維護(hù)情況，以便進(jìn)行跟蹤和管理。7.4.2終端計(jì)算機(jī)操作要求終端計(jì)算機(jī)操作滿(mǎn)足以下要求：a)終端計(jì)算機(jī)操作基本要求，包括：1)用戶(hù)在使用自己的終端計(jì)算機(jī)時(shí)，應(yīng)設(shè)置開(kāi)機(jī)、屏幕保護(hù)、目錄共享口令；2)非組織機(jī)構(gòu)配備的終端計(jì)算機(jī)未獲批準(zhǔn)，不應(yīng)在辦公場(chǎng)所使用；3)安裝經(jīng)過(guò)許可的軟件和補(bǔ)丁程序，不應(yīng)自行安裝及使用其他軟件和自由下載軟件；4)未獲批準(zhǔn)，不應(yīng)使用調(diào)制解調(diào)器撥號(hào)、無(wú)線(xiàn)網(wǎng)卡等方式或另辟通路接入其他網(wǎng)絡(luò)；5)身份鑒別機(jī)制應(yīng)符合7.7.1的要求。b)重要部位的終端計(jì)算機(jī)，包括：1)應(yīng)防止終端計(jì)算機(jī)機(jī)箱私自開(kāi)拆，如需拆機(jī)箱應(yīng)在獲得批準(zhǔn)后由相關(guān)管理部門(mén)執(zhí)行；2)接入保密性較高的業(yè)務(wù)系統(tǒng)的終端計(jì)算機(jī)不應(yīng)直接接入低級(jí)別系統(tǒng)或網(wǎng)絡(luò)。c)關(guān)鍵部位的終端計(jì)算機(jī)，包括：DB4403/T437—20241)終端計(jì)算機(jī)應(yīng)啟用兩個(gè)及兩個(gè)以上身份鑒別技術(shù)的組合來(lái)進(jìn)行身份鑒別；2)終端計(jì)算機(jī)應(yīng)采用低輻射設(shè)備；3)每個(gè)終端計(jì)算機(jī)的管理應(yīng)由專(zhuān)人負(fù)責(zé)，當(dāng)多人共用一個(gè)終端計(jì)算機(jī)時(shí)，應(yīng)采用身份鑒別機(jī)制防止操作人員以別人的身份登錄。7.4.3網(wǎng)絡(luò)及安全設(shè)備操作要求網(wǎng)絡(luò)及安全設(shè)備操作滿(mǎn)足以下要求：a)網(wǎng)絡(luò)及安全設(shè)備操作基本要求，包括：1)對(duì)網(wǎng)絡(luò)及安全設(shè)備的操作應(yīng)由授權(quán)的系統(tǒng)管理員實(shí)施；2)應(yīng)按操作規(guī)程實(shí)現(xiàn)網(wǎng)絡(luò)設(shè)備和安全設(shè)備的接入或斷開(kāi)、啟動(dòng)或停止、加電或斷電等操作；3)維護(hù)網(wǎng)絡(luò)和安全設(shè)備的運(yùn)行環(huán)境及配置和服務(wù)設(shè)定；4)對(duì)實(shí)施網(wǎng)絡(luò)及安全設(shè)備操作的管理員應(yīng)按7.7.1的要求進(jìn)行身份鑒別。b)策略配置及檢查，包括：1)管理員應(yīng)按照安全策略要求進(jìn)行網(wǎng)絡(luò)及設(shè)備配置；2)應(yīng)定期檢查實(shí)際配置與安全策略要求的符合性。c)安全機(jī)制集中管理控制，應(yīng)通過(guò)安全管理控制平臺(tái)等設(shè)施對(duì)網(wǎng)絡(luò)及安全設(shè)備的安全機(jī)制進(jìn)行統(tǒng)一控制、統(tǒng)一管理、統(tǒng)一策略，保障網(wǎng)絡(luò)正常運(yùn)行。7.4.4業(yè)務(wù)應(yīng)用操作要求業(yè)務(wù)應(yīng)用操作滿(mǎn)足以下要求：a)業(yè)務(wù)應(yīng)用操作的程序，包括：1)業(yè)務(wù)應(yīng)用系統(tǒng)應(yīng)按7.7.1的要求對(duì)操作人員進(jìn)行身份鑒別；2)掛載設(shè)備的安全管理應(yīng)符合7.2.4的要求；3)業(yè)務(wù)應(yīng)用系統(tǒng)應(yīng)以菜單等方式限制操作人員的訪(fǎng)問(wèn)權(quán)限；4)業(yè)務(wù)應(yīng)用操作程序應(yīng)形成正式文檔，進(jìn)行改動(dòng)時(shí)，應(yīng)得到管理層授權(quán)；5)操作步驟應(yīng)指明具體執(zhí)行每個(gè)作業(yè)的指令；6)指定處理和使用的信息；7)明確操作步驟，包括與其他系統(tǒng)的相互依賴(lài)性、操作起始和結(jié)束的時(shí)間；8)當(dāng)系統(tǒng)出現(xiàn)異常和故障需要進(jìn)行重新啟動(dòng)和恢復(fù)時(shí)，應(yīng)有技術(shù)支持的聯(lián)系方法。b)業(yè)務(wù)應(yīng)用操作的限制，應(yīng)對(duì)重要的業(yè)務(wù)應(yīng)用操作應(yīng)根據(jù)許可權(quán)限執(zhí)行；業(yè)務(wù)應(yīng)用操作應(yīng)進(jìn)行審計(jì)；c)業(yè)務(wù)應(yīng)用操作的監(jiān)督，關(guān)鍵的業(yè)務(wù)應(yīng)用操作應(yīng)有2人同時(shí)在場(chǎng)或同時(shí)操作，并對(duì)操作過(guò)程進(jìn)行記錄。7.4.5變更控制和重用要求變更控制和重用滿(mǎn)足以下要求：a)變更控制的申報(bào)和審批，包括：1)信息系統(tǒng)的變更控制和設(shè)備重用，應(yīng)經(jīng)過(guò)申報(bào)和審批才能進(jìn)行；2)識(shí)別重大變更，并進(jìn)行記錄；3)評(píng)估變更的潛在影響；4)向所有相關(guān)人員通報(bào)變更細(xì)節(jié)；5)明確中止變更并從失敗變更中恢復(fù)的責(zé)任和處理方法；DB4403/T437—20246)清除重用設(shè)備中原有的信息。b)制度化的變更控制，包括：1)對(duì)操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)、人員、服務(wù)等的變更控制應(yīng)制度化；2)對(duì)所有計(jì)劃和制度執(zhí)行情況進(jìn)行定期或不定期的檢查；3)對(duì)安全策略和管理計(jì)劃的修訂；4)對(duì)基于變更和設(shè)備重用的各種規(guī)章制度的修訂和完善；5)建立運(yùn)行過(guò)程管理文檔，書(shū)面記錄相關(guān)的管理責(zé)任及工作程序。c)變更控制的一致性管理，包括1)對(duì)信息系統(tǒng)的任何變更包括全面安全事務(wù)一致性；2)更改方案應(yīng)得到系統(tǒng)主管領(lǐng)導(dǎo)的審批；3)操作系統(tǒng)與應(yīng)用系統(tǒng)的控制更改程序應(yīng)相互配合；4)通過(guò)審計(jì)日志和過(guò)程記錄，記載更改中的所有有關(guān)信息；5)更改后將變更結(jié)果書(shū)面通知所有有關(guān)部門(mén)和人員，以便進(jìn)行相應(yīng)的調(diào)整。d)變更控制的安全審計(jì)，包括：1)建立系統(tǒng)更改操作的審批程序和操作流程，防止隨意更改而開(kāi)放危險(xiǎn)端口或服務(wù)；2)對(duì)重要的變更控制應(yīng)實(shí)施獨(dú)立的安全審計(jì)，并對(duì)全面安全事務(wù)一致性進(jìn)行檢查和評(píng)估；3)系統(tǒng)更改的日志記錄和設(shè)備重用記錄應(yīng)妥善保存。e)變更的安全評(píng)估，包括：1)針對(duì)所有變更和設(shè)備重用進(jìn)行安全評(píng)估；2)應(yīng)采取保障措施對(duì)變更計(jì)劃和效果進(jìn)行持續(xù)改善。7.4.6信息交換要求信息交換滿(mǎn)足以下要求：a)信息交換的基本管理，包括：1)對(duì)所公布的信息應(yīng)采取適當(dāng)?shù)陌踩胧┍Ｗo(hù)完整性；2)應(yīng)保護(hù)業(yè)務(wù)應(yīng)用中的信息交換的安全性，防止欺詐、合同糾紛以及泄露或修改信息事件的發(fā)生。b)信息交換的規(guī)范化管理，應(yīng)在組織機(jī)構(gòu)之間進(jìn)行信息交換應(yīng)建立安全條件的協(xié)議，根據(jù)業(yè)務(wù)信息的敏感度，明確管理責(zé)任，以及設(shè)備、平臺(tái)、用戶(hù)之間數(shù)據(jù)傳輸?shù)淖畹桶踩螅籧)不同安全區(qū)域之間信息傳輸?shù)墓芾?，?duì)于信息系統(tǒng)內(nèi)部不同安全區(qū)域之間的信息傳輸，應(yīng)有明確的安全要求；d)高安全信息向低安全區(qū)域傳輸?shù)墓芾?，?yīng)對(duì)高安全信息向低安全區(qū)域的傳輸應(yīng)經(jīng)過(guò)組織機(jī)構(gòu)領(lǐng)導(dǎo)層的批準(zhǔn)，明確部門(mén)和人員的責(zé)任，并采取安全專(zhuān)控措施。7.5運(yùn)行維護(hù)管理7.5.1日常運(yùn)行要求日常運(yùn)行滿(mǎn)足以下要求：a)系統(tǒng)運(yùn)行的基本安全管理，包括：1)應(yīng)通過(guò)正式授權(quán)程序委派專(zhuān)人負(fù)責(zé)系統(tǒng)運(yùn)行的安全管理；2)應(yīng)建立運(yùn)行值班等有關(guān)安全規(guī)章制度；3)應(yīng)為信息系統(tǒng)可靠運(yùn)行而實(shí)施各種檢測(cè)、監(jiān)控、審計(jì)、分析、備份和容錯(cuò)；4)應(yīng)對(duì)運(yùn)行安全進(jìn)行監(jiān)督檢查；5)應(yīng)明確各個(gè)崗位人員對(duì)信息系統(tǒng)各類(lèi)資源的安全責(zé)任；DB4403/T437—20246)應(yīng)明確信息系統(tǒng)安全管理人員和普通用戶(hù)對(duì)信息系統(tǒng)資源的訪(fǎng)問(wèn)權(quán)限；7)信息系統(tǒng)中數(shù)據(jù)安全管理應(yīng)符合GB/T20271—2006中6.1.3的要求。b)系統(tǒng)運(yùn)行的制度化管理，應(yīng)按風(fēng)險(xiǎn)管理計(jì)劃和操作規(guī)程定期對(duì)信息系統(tǒng)的運(yùn)行進(jìn)行風(fēng)險(xiǎn)分析與評(píng)估，并向管理層提交正式的風(fēng)險(xiǎn)分析報(bào)告，風(fēng)險(xiǎn)分析報(bào)告包括以下內(nèi)容：1)對(duì)系統(tǒng)的數(shù)據(jù)格式安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)共享安全、數(shù)據(jù)應(yīng)用安全和病毒防護(hù)的使用制定管理規(guī)定；2)制定應(yīng)用軟件安全管理規(guī)章制度，應(yīng)用軟件的采購(gòu)應(yīng)經(jīng)過(guò)批準(zhǔn)，對(duì)應(yīng)用軟件的安全性應(yīng)進(jìn)行調(diào)查，不運(yùn)行未經(jīng)驗(yàn)證的軟件；對(duì)應(yīng)用軟件的使用采取授權(quán)管理，沒(méi)有得到許可的用戶(hù)不應(yīng)安裝、調(diào)試、運(yùn)行、卸載應(yīng)用軟件，并對(duì)應(yīng)用軟件的使用進(jìn)行審計(jì)；3)制定外部服務(wù)方對(duì)信息系統(tǒng)訪(fǎng)問(wèn)的安全制度，對(duì)外部服務(wù)方訪(fǎng)問(wèn)系統(tǒng)可能發(fā)生的安全性進(jìn)行評(píng)估，采取安全措施對(duì)訪(fǎng)問(wèn)實(shí)施控制，與外部服務(wù)方簽署安全保密合同，并要求有關(guān)合同不違背總的安全策略；4)安全管理負(fù)責(zé)人應(yīng)會(huì)同信息系統(tǒng)應(yīng)用各方制定應(yīng)急計(jì)劃和災(zāi)難恢復(fù)計(jì)劃，以及實(shí)施規(guī)程，并進(jìn)行驗(yàn)證、按照等級(jí)保護(hù)要求定期開(kāi)展演練和技術(shù)培訓(xùn)；5)需要外部資源的應(yīng)急計(jì)劃，應(yīng)與外部組織機(jī)構(gòu)簽署正式合同，合同中應(yīng)規(guī)定服務(wù)質(zhì)量，并包括安全責(zé)任和保密條款；6)制定安全事件處理規(guī)程，確保在短時(shí)間內(nèi)對(duì)安全事件進(jìn)行處理；7)制定信息系統(tǒng)的數(shù)據(jù)備份制度，要求指定專(zhuān)人負(fù)責(zé)備份管理，確保信息系統(tǒng)自動(dòng)備份和人工備份的準(zhǔn)確性、可用性；8)制定有關(guān)變更控制制度，確保變更后的信息系統(tǒng)能滿(mǎn)足既定的安全目標(biāo)；9)制定運(yùn)行安全管理檢查制度，定期或不定期對(duì)所有計(jì)劃和制度執(zhí)行情況進(jìn)行監(jiān)督檢查，并對(duì)安全策略和管理計(jì)劃進(jìn)行修訂；接受上級(jí)或國(guó)家有關(guān)部門(mén)對(duì)信息系統(tǒng)安全工作的監(jiān)督和檢查；10)根據(jù)組織機(jī)構(gòu)和信息系統(tǒng)出現(xiàn)的各種變化及時(shí)修訂、完善各種規(guī)章制度；11)建立嚴(yán)格的運(yùn)行過(guò)程管理文檔，其中包括責(zé)任書(shū)、授權(quán)書(shū)、許可證、各類(lèi)策略文檔、事故報(bào)告處理文檔、安全配置文檔和系統(tǒng)各類(lèi)日志等；12)信息系統(tǒng)中數(shù)據(jù)安全管理應(yīng)符合GB/T20271—2006中6.2.3的要求。c)系統(tǒng)運(yùn)行的風(fēng)險(xiǎn)控制，應(yīng)使用規(guī)范的方法對(duì)信息系統(tǒng)運(yùn)行的有關(guān)方面進(jìn)行風(fēng)險(xiǎn)控制，包括：1)對(duì)關(guān)鍵崗位的人員實(shí)施嚴(yán)格的背景調(diào)查和管理控制，切實(shí)落實(shí)最小授權(quán)原則和分權(quán)制衡原則，關(guān)鍵安全事務(wù)要求雙人共管；2)對(duì)外部服務(wù)方實(shí)施嚴(yán)格的訪(fǎng)問(wèn)控制，并定期對(duì)外部服務(wù)方訪(fǎng)問(wèn)的風(fēng)險(xiǎn)進(jìn)行分析和評(píng)估；3)有專(zhuān)人負(fù)責(zé)應(yīng)急計(jì)劃和災(zāi)難恢復(fù)計(jì)劃的管理工作，確保應(yīng)急計(jì)劃和災(zāi)難恢復(fù)計(jì)劃有效執(zhí)行；4)系統(tǒng)中的關(guān)鍵設(shè)備和數(shù)據(jù)采取可靠的備份措施；5)確保各方面安全事務(wù)管理的一致性；6)信息系統(tǒng)中數(shù)據(jù)安全管理應(yīng)符合GB/T20271—2006中6.3.3的要求。d)系統(tǒng)運(yùn)行的安全審計(jì)，包括：1)應(yīng)建立風(fēng)險(xiǎn)管理質(zhì)量管理體系文件，并對(duì)系統(tǒng)運(yùn)行管理過(guò)程實(shí)施獨(dú)立的審計(jì)，確保安全管理過(guò)程的有效性；2)信息系統(tǒng)生存周期各個(gè)階段的安全管理工作應(yīng)有明確的目標(biāo)、明確的職責(zé)，實(shí)施獨(dú)立的審計(jì)；3)應(yīng)對(duì)病毒防護(hù)管理制度實(shí)施定期和不定期的檢查；4)應(yīng)對(duì)外部服務(wù)方每次訪(fǎng)問(wèn)信息系統(tǒng)的風(fēng)險(xiǎn)進(jìn)行控制，實(shí)施獨(dú)立的審計(jì)；DB4403/T437—20245)定期對(duì)應(yīng)急計(jì)劃和災(zāi)難恢復(fù)計(jì)劃的管理工作進(jìn)行評(píng)估；6)對(duì)使用組織機(jī)構(gòu)的安全策略、安全計(jì)劃等安全事務(wù)的一致性進(jìn)行檢查和評(píng)估；7)信息系統(tǒng)中數(shù)據(jù)安全管理應(yīng)符合GB/T20271—2006中6.4.3的要求。e)系統(tǒng)運(yùn)行的全面安全管理，包括：1)應(yīng)將風(fēng)險(xiǎn)管理作為機(jī)構(gòu)業(yè)務(wù)管理的組成部分，對(duì)風(fēng)險(xiǎn)管理活動(dòng)和信息系統(tǒng)生存周期各個(gè)階段的安全實(shí)施全面管理；2)應(yīng)制定全面的應(yīng)急計(jì)劃和災(zāi)難恢復(fù)計(jì)劃管理細(xì)則，并通過(guò)持續(xù)評(píng)估，確保應(yīng)急計(jì)劃和災(zāi)難恢復(fù)計(jì)劃的有效性；3)應(yīng)對(duì)所有變更進(jìn)行安全評(píng)估，確保變更控制計(jì)劃的不斷完善；4)信息系統(tǒng)中數(shù)據(jù)安全管理應(yīng)符合GB/T20271—2006中6.5.3的要求。7.5.2運(yùn)行監(jiān)控要求運(yùn)行監(jiān)控滿(mǎn)足以下要求：a)日志管理，包括：1)所有的系統(tǒng)日志應(yīng)保留一定期限，不應(yīng)被改變，經(jīng)授權(quán)的用戶(hù)允許訪(fǎng)問(wèn)；2)日志應(yīng)有脫機(jī)保存的介質(zhì)；3)信息系統(tǒng)應(yīng)使用統(tǒng)一的時(shí)間，以確保記錄日志準(zhǔn)確；4)日志應(yīng)定期處理并生成報(bào)告；5)審計(jì)日志應(yīng)經(jīng)授權(quán)方可查閱。b)監(jiān)視服務(wù)器安全性能，包括：1)監(jiān)視與安全機(jī)制相關(guān)的服務(wù)器性能變化，包括監(jiān)測(cè)CPU和內(nèi)存的利用率；2)檢測(cè)進(jìn)程運(yùn)行，發(fā)現(xiàn)對(duì)資源消耗大的進(jìn)程，并提出解決方案；3)監(jiān)測(cè)磁盤(pán)使用情況，主要是指數(shù)據(jù)庫(kù)的容量變化和日志文件的大小變化。c)監(jiān)視網(wǎng)絡(luò)安全性能，應(yīng)建立信息系統(tǒng)安全機(jī)制集中管理機(jī)構(gòu)完成網(wǎng)絡(luò)安全性能和其他信息的監(jiān)視；d)對(duì)關(guān)鍵區(qū)域的監(jiān)視，安全機(jī)制集中管理機(jī)構(gòu)應(yīng)對(duì)關(guān)鍵區(qū)域和關(guān)鍵業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行的監(jiān)視，并與主管部門(mén)共同制定具體的管理辦法；e)對(duì)核心數(shù)據(jù)的監(jiān)視，安全機(jī)制集中管理機(jī)構(gòu)應(yīng)對(duì)關(guān)鍵區(qū)域和關(guān)鍵業(yè)務(wù)應(yīng)用系統(tǒng)核心數(shù)據(jù)進(jìn)行監(jiān)視，并與主管部門(mén)共同制定具體的管理辦法，經(jīng)上一級(jí)負(fù)責(zé)人的批準(zhǔn)執(zhí)行。7.5.3軟件硬件維護(hù)要求軟件和硬件維護(hù)滿(mǎn)足以下要求：a)軟件、硬件維護(hù)的責(zé)任：應(yīng)明確信息系統(tǒng)的軟件、硬件維護(hù)的人員和責(zé)任，規(guī)定維護(hù)的時(shí)限，以及設(shè)備更新和替換的管理辦法；制定有關(guān)軟件、硬件維修的制度；b)涉外維修的要求，外出維修的設(shè)備應(yīng)經(jīng)過(guò)審批，磁盤(pán)數(shù)據(jù)應(yīng)進(jìn)行刪除；外部維修人員進(jìn)入機(jī)房維修，應(yīng)經(jīng)過(guò)審批，并有專(zhuān)人負(fù)責(zé)陪同；c)可監(jiān)督的維修過(guò)程，應(yīng)對(duì)重要區(qū)域的數(shù)據(jù)和軟件系統(tǒng)進(jìn)行保護(hù)，防止因維修造成破壞和泄漏；應(yīng)對(duì)維修過(guò)程及有關(guān)現(xiàn)象記錄備案；d)強(qiáng)制性的維修管理，外部維修人員不應(yīng)進(jìn)入關(guān)鍵區(qū)域；應(yīng)根據(jù)維修方案和風(fēng)險(xiǎn)評(píng)估的結(jié)果確定維修方式，可采用更新設(shè)備的方法解決。7.5.4外部服務(wù)訪(fǎng)問(wèn)要求外部服務(wù)訪(fǎng)問(wèn)滿(mǎn)足以下要求：DB4403/T437—2024a)外部服務(wù)訪(fǎng)問(wèn)的審批控制，對(duì)外部服務(wù)訪(fǎng)問(wèn)的要求，應(yīng)經(jīng)過(guò)相應(yīng)的申報(bào)和審批程序；b)外部服務(wù)訪(fǎng)問(wèn)的制度化管理，應(yīng)對(duì)外部服務(wù)訪(fǎng)問(wèn)建立相應(yīng)的安全管理制度；外部服務(wù)訪(fǎng)問(wèn)應(yīng)簽署保密合同；c)外部服務(wù)訪(fǎng)問(wèn)的風(fēng)險(xiǎn)評(píng)估，應(yīng)對(duì)外部服務(wù)訪(fǎng)問(wèn)進(jìn)行風(fēng)險(xiǎn)分析和評(píng)估；應(yīng)對(duì)外部服務(wù)訪(fǎng)問(wèn)實(shí)施嚴(yán)格控制；應(yīng)對(duì)外部服務(wù)訪(fǎng)問(wèn)實(shí)施監(jiān)視；d)外部服務(wù)訪(fǎng)問(wèn)的強(qiáng)制管理，在重要安全區(qū)域，應(yīng)對(duì)外部服務(wù)每次訪(fǎng)問(wèn)進(jìn)行風(fēng)險(xiǎn)控制以及對(duì)外部服務(wù)的訪(fǎng)問(wèn)進(jìn)行限制。7.6外包服務(wù)管理7.6.1外包服務(wù)合同要求對(duì)由組織機(jī)構(gòu)外部服務(wù)商承擔(dān)完成的外包服務(wù)，應(yīng)簽署正式的書(shū)面合同，包括但不限于以下內(nèi)a)對(duì)符合法律要求的說(shuō)明，如數(shù)據(jù)保護(hù)法規(guī)；b)對(duì)外包服務(wù)的風(fēng)險(xiǎn)的說(shuō)明，包括風(fēng)險(xiǎn)的來(lái)源、具體風(fēng)險(xiǎn)描述和風(fēng)險(xiǎn)的影響，明確如何維護(hù)并檢測(cè)組織的業(yè)務(wù)資產(chǎn)的完整性和保密性；c)對(duì)外包服務(wù)合同各方的安全責(zé)任界定，應(yīng)確保外包合同中的參與方都了解各自的安全責(zé)任；d)對(duì)控制安全風(fēng)險(xiǎn)應(yīng)采用的控制措施的說(shuō)明，包括物理和邏輯兩個(gè)方面，應(yīng)明確使用何種物理和邏輯控制措施，限制授權(quán)用戶(hù)對(duì)系統(tǒng)內(nèi)業(yè)務(wù)敏感信息的訪(fǎng)問(wèn)，以及為外包出去的設(shè)備提供何種級(jí)別的安全保護(hù)；e)對(duì)外包服務(wù)風(fēng)險(xiǎn)發(fā)生時(shí)應(yīng)采取措施的說(shuō)明，如在發(fā)生災(zāi)難事故時(shí)，應(yīng)如何維護(hù)服務(wù)的可用性；f)對(duì)外包服務(wù)的期限、中止的條件和善后處理的事宜以及由此產(chǎn)生責(zé)任問(wèn)題的說(shuō)明；g)對(duì)審計(jì)人員權(quán)限的說(shuō)明。7.6.2外包服務(wù)商要求外包服務(wù)商滿(mǎn)足以下要求：a)外包服務(wù)商的基本要求：應(yīng)選擇具有相應(yīng)服務(wù)資質(zhì)并信譽(yù)好的外包服務(wù)商；b)外包服務(wù)商的選擇要求：應(yīng)在既定的范圍內(nèi)選擇外包服務(wù)商；對(duì)較為重要的業(yè)務(wù)應(yīng)用，應(yīng)在行業(yè)認(rèn)可或者是經(jīng)過(guò)上級(jí)主管部門(mén)批準(zhǔn)的范圍內(nèi)，選擇具有相應(yīng)服務(wù)資質(zhì)并信譽(yù)好的可信的外包服務(wù)商；c)外包服務(wù)的限制要求：關(guān)鍵的或涉密的業(yè)務(wù)應(yīng)用，不應(yīng)采用外包服務(wù)方式。7.6.3外包服務(wù)的運(yùn)行管理要求外包服務(wù)的運(yùn)行管理滿(mǎn)足以下要求：a)外包服務(wù)的監(jiān)控，對(duì)外包服務(wù)的業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行的安全狀況應(yīng)進(jìn)行監(jiān)控和檢查，出現(xiàn)問(wèn)題應(yīng)遵照合同規(guī)定及時(shí)處理和報(bào)告；b)外包服務(wù)的評(píng)估，對(duì)外包服務(wù)的業(yè)務(wù)應(yīng)用系統(tǒng)運(yùn)行的安全狀況應(yīng)定期進(jìn)行評(píng)估，當(dāng)出現(xiàn)重大安全問(wèn)題或隱患時(shí)應(yīng)進(jìn)行重新評(píng)估，提出改進(jìn)意見(jiàn)，直至停止外包服務(wù)。7.7機(jī)制管理和安全管理7.7.1身份鑒別機(jī)制要求身份鑒別機(jī)制滿(mǎn)足以下要求：DB4403/T437—2024a)身份鑒別機(jī)制管理基本要求，包括：1)對(duì)網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)等系統(tǒng)管理員和應(yīng)用系統(tǒng)管理員以及普通用戶(hù)，應(yīng)明確使用和保護(hù)身份鑒別機(jī)制的責(zé)任；2)應(yīng)指定安全管理人員定期進(jìn)行檢查，身份鑒別機(jī)制的管理應(yīng)符合GB/T20271—2006中6.1.3.1的要求。b)身份鑒別機(jī)制增強(qiáng)要求，包括：1)應(yīng)采用不可偽造的鑒別信息進(jìn)行身份鑒別；2)鑒別信息應(yīng)進(jìn)行相應(yīng)的保護(hù)；3)身份鑒別機(jī)制的管理應(yīng)符合GB/T20271—2006中6.2.3.1的要求。c)身份鑒別和認(rèn)證系統(tǒng)的管理維護(hù)，包括：1)應(yīng)采用有關(guān)身份鑒別和認(rèn)證系統(tǒng)的管理維護(hù)措施；2)身份鑒別機(jī)制的管理應(yīng)符合GB/T20271—2006中6.3.3.1的要求。d)身份鑒別和認(rèn)證管理的強(qiáng)制保護(hù)，包括：1)應(yīng)采用多鑒別機(jī)制進(jìn)行身份鑒別，操作過(guò)程應(yīng)有操作記錄和審批記錄，應(yīng)有兩人以上在場(chǎng)才能進(jìn)行；2)身份鑒別機(jī)制的管理應(yīng)符合GB/T20271—2006中6.4.3.1的要求。e)身份鑒別和認(rèn)證管理的專(zhuān)項(xiàng)管理，包括：1)應(yīng)制定專(zhuān)項(xiàng)管理措施；2)身份鑒別機(jī)制的管理應(yīng)符合GB/T20271—2006中6.5.3.1的要求。7.7.2訪(fǎng)問(wèn)控制機(jī)制要求訪(fǎng)問(wèn)控制機(jī)制滿(mǎn)足以下要求：a)自主訪(fǎng)問(wèn)控制機(jī)制的管理：應(yīng)根據(jù)自主訪(fǎng)問(wèn)控制機(jī)制的要求，由授權(quán)用戶(hù)為主、客體設(shè)置相應(yīng)訪(fǎng)問(wèn)的參數(shù)；b)自主訪(fǎng)問(wèn)控制審計(jì)管理，應(yīng)將自主訪(fǎng)問(wèn)控制與審計(jì)密切結(jié)合，實(shí)現(xiàn)對(duì)自主訪(fǎng)問(wèn)控制過(guò)程的審計(jì)，使訪(fǎng)問(wèn)者應(yīng)為自己的行為負(fù)責(zé)，并確保最高管理層對(duì)自主訪(fǎng)問(wèn)控制管理的掌握；c)強(qiáng)制訪(fǎng)問(wèn)控制的管理，包括：1)應(yīng)將強(qiáng)制訪(fǎng)問(wèn)控制與審計(jì)密切結(jié)合，實(shí)現(xiàn)對(duì)強(qiáng)制訪(fǎng)問(wèn)控制過(guò)程的審計(jì)；2)應(yīng)根據(jù)強(qiáng)制訪(fǎng)問(wèn)控制機(jī)制的要求，由授權(quán)的安全管理人員通過(guò)專(zhuān)用方式為主、客體設(shè)置標(biāo)記信息；3)采用集中式、分布式和混合式等基本的訪(fǎng)問(wèn)控制管理模式，對(duì)分布在信息系統(tǒng)的不同計(jì)算機(jī)系統(tǒng)上實(shí)施同一安全策略的訪(fǎng)問(wèn)控制機(jī)制，設(shè)置一致的主、客體標(biāo)記信息；4)應(yīng)根據(jù)信息系統(tǒng)的安全需求，確定實(shí)施系統(tǒng)級(jí)、應(yīng)用級(jí)、用戶(hù)級(jí)的審計(jì)跟蹤。d)訪(fǎng)問(wèn)控制的監(jiān)控管理，包括：1)對(duì)訪(fǎng)問(wèn)控制進(jìn)行監(jiān)控管理，對(duì)系統(tǒng)、用戶(hù)或環(huán)境進(jìn)行持續(xù)性檢查；2)對(duì)實(shí)時(shí)性強(qiáng)的活動(dòng)加強(qiáng)監(jiān)控，包括每日或每周對(duì)審計(jì)跟蹤的檢查；3)保護(hù)和檢查審計(jì)跟蹤數(shù)據(jù)和審計(jì)跟蹤分析工具。e)訪(fǎng)問(wèn)控制的專(zhuān)項(xiàng)控制，包括：1)應(yīng)具有嚴(yán)格的用戶(hù)授權(quán)與訪(fǎng)問(wèn)控制措施；2)對(duì)訪(fǎng)問(wèn)控制機(jī)制的設(shè)置進(jìn)行專(zhuān)項(xiàng)審批，并由獨(dú)立的安全管理人員對(duì)網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用等方面的訪(fǎng)問(wèn)控制機(jī)制進(jìn)行獨(dú)立的有效性評(píng)估和檢查。7.7.3管理平臺(tái)安全要求DB4403/T437—2024多功能智能桿管理平臺(tái)操作系統(tǒng)和公共數(shù)據(jù)的安全滿(mǎn)足以下要求：a)管理平臺(tái)操作系統(tǒng)安全基本要求，包括：1)應(yīng)對(duì)不同安全級(jí)別的操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)按安全技術(shù)和機(jī)制的不同要求實(shí)施相應(yīng)的安全管理；2)應(yīng)通過(guò)正式授權(quán)程序委派專(zhuān)人負(fù)責(zé)系統(tǒng)安全管理；3)建立系統(tǒng)安全配置、備份等安全管理規(guī)章制度；4)按規(guī)章制度的要求進(jìn)行正確的系統(tǒng)安全配置、備份等操作，及時(shí)進(jìn)行補(bǔ)丁升級(jí)。b)基于審計(jì)的管理平臺(tái)操作系統(tǒng)安全要求，包括：1)應(yīng)對(duì)系統(tǒng)進(jìn)行日常安全管理，包括對(duì)用戶(hù)安全使用進(jìn)行指導(dǎo)和審計(jì)等；2)應(yīng)依據(jù)操作規(guī)程確定審計(jì)事件、審計(jì)內(nèi)容、審計(jì)歸檔、審計(jì)報(bào)告；3)對(duì)授權(quán)用戶(hù)應(yīng)采用相應(yīng)身份鑒別機(jī)制（見(jiàn)7.7.1）進(jìn)行鑒別，并遵照規(guī)定的登錄規(guī)程登錄系統(tǒng)和使用許可的資源；4)應(yīng)對(duì)系統(tǒng)工具的使用進(jìn)行授權(quán)管理和審計(jì)；5)應(yīng)對(duì)系統(tǒng)的安全弱點(diǎn)和漏洞進(jìn)行控制；6)應(yīng)依據(jù)變更控制規(guī)程對(duì)系統(tǒng)的變更進(jìn)行控制；7)應(yīng)及時(shí)對(duì)系統(tǒng)資源和系統(tǒng)文檔進(jìn)行安全備份。c)基于標(biāo)記的管理平臺(tái)操作系統(tǒng)安全要求，包括：1)應(yīng)根據(jù)訪(fǎng)問(wèn)控制安全策略的要求，全面分析和統(tǒng)一設(shè)置、維護(hù)用戶(hù)及主體、客體的標(biāo)記信息；2)設(shè)置和維護(hù)標(biāo)記信息的操作，應(yīng)由授權(quán)的系統(tǒng)安全員，通過(guò)系統(tǒng)提供的安全員操作界面來(lái)實(shí)施；3)對(duì)可能危及系統(tǒng)安全的系統(tǒng)工具進(jìn)行嚴(yán)格的控制；4)應(yīng)制定嚴(yán)格的變更控制制度，確保變更不影響應(yīng)用系統(tǒng)的可用性、安全性，確保變更過(guò)程的有效性、可審計(jì)性和可恢復(fù)性；5)應(yīng)對(duì)操作系統(tǒng)資源和系統(tǒng)文檔進(jìn)行標(biāo)記、安全備份，并制定、實(shí)施應(yīng)急安全計(jì)劃。d)基于強(qiáng)制的管理平臺(tái)操作系統(tǒng)安全要求，應(yīng)按系統(tǒng)內(nèi)置角色強(qiáng)制指定系統(tǒng)安全管理責(zé)任人；應(yīng)確保系統(tǒng)管理過(guò)程的可審計(jì)性；應(yīng)定期對(duì)操作系統(tǒng)安全性進(jìn)行評(píng)估；e)基于專(zhuān)控的管理平臺(tái)操作系統(tǒng)安全要求，應(yīng)確保系統(tǒng)的安全管理工作在多方在場(chǎng)并簽署責(zé)任書(shū)情況下進(jìn)行；應(yīng)使用經(jīng)過(guò)驗(yàn)證的系統(tǒng)軟件，確保使用者熟悉系統(tǒng)的操作流程。7.7.4網(wǎng)絡(luò)安全要求網(wǎng)絡(luò)安全滿(mǎn)足以下要求：a)網(wǎng)絡(luò)安全基本要求，包括：1)應(yīng)對(duì)不同安全級(jí)別的網(wǎng)絡(luò)按安全技術(shù)和機(jī)制的不同要求實(shí)施相應(yīng)的安全管理；2)應(yīng)通過(guò)正式授權(quán)程序指定網(wǎng)絡(luò)安全管理人員；3)應(yīng)制定有關(guān)網(wǎng)絡(luò)系統(tǒng)安全管理和配置的規(guī)定，確保安全管理人員按相應(yīng)規(guī)定對(duì)網(wǎng)絡(luò)進(jìn)行安全管理。b)基于規(guī)程的網(wǎng)絡(luò)安全，應(yīng)按有關(guān)規(guī)程對(duì)網(wǎng)絡(luò)安全進(jìn)行定期評(píng)估，不斷完善網(wǎng)絡(luò)安全策略，建立、健全網(wǎng)絡(luò)安全管理規(guī)章制度，還包括：1)制定使用網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)的策略，依據(jù)總體安全方針和策略，制定允許提供的網(wǎng)絡(luò)服務(wù)、制定網(wǎng)絡(luò)訪(fǎng)問(wèn)許可和授權(quán)管理制度、確保信息系統(tǒng)網(wǎng)絡(luò)連接和服務(wù)的安全技術(shù)正確實(shí)施；DB4403/T437—20242)制定網(wǎng)絡(luò)安全教育和培訓(xùn)計(jì)劃，確保信息系統(tǒng)的各類(lèi)用戶(hù)熟知自己在網(wǎng)絡(luò)安全方面的安全責(zé)任和安全規(guī)程；3)建立網(wǎng)絡(luò)訪(fǎng)問(wèn)授權(quán)制度，確保經(jīng)過(guò)授權(quán)的用戶(hù)才能在指定終端，使用指定的安全措施，按設(shè)定的可審計(jì)路由訪(fǎng)問(wèn)許可的網(wǎng)絡(luò)服務(wù)；4)對(duì)安全區(qū)域外部移動(dòng)用戶(hù)的網(wǎng)絡(luò)訪(fǎng)問(wèn)實(shí)施嚴(yán)格的審批制度，實(shí)施用戶(hù)安全認(rèn)證和審計(jì)技術(shù)措施，確保網(wǎng)絡(luò)連接的可靠性、保密性，確保用戶(hù)對(duì)外部連接的安全性負(fù)責(zé)；5)定義與外部網(wǎng)絡(luò)連接的接口邊界，建立安全規(guī)范，定期對(duì)外部網(wǎng)絡(luò)連接接口的安全進(jìn)行評(píng)估，對(duì)通過(guò)外部連接的可信信息系統(tǒng)之間的網(wǎng)絡(luò)信息提供加密服務(wù)；6)對(duì)外進(jìn)行公共服務(wù)的信息系統(tǒng)，應(yīng)采取嚴(yán)格的安全措施實(shí)施訪(fǎng)問(wèn)控制，確保外部用戶(hù)對(duì)服務(wù)的訪(fǎng)問(wèn)得到控制和審計(jì)，并確保外部用戶(hù)對(duì)特定服務(wù)的訪(fǎng)問(wèn)不危及內(nèi)部信息系統(tǒng)的安全，對(duì)外傳輸?shù)臄?shù)據(jù)和信息應(yīng)經(jīng)過(guò)審查，防止內(nèi)部人員通過(guò)內(nèi)外網(wǎng)的邊界泄露敏感信息；7)應(yīng)明確劃分多功能智能桿各個(gè)子功能的范圍限制和使用邊界，制定數(shù)據(jù)隔離和訪(fǎng)問(wèn)控制措施，采用安全的協(xié)議和加密技術(shù)；8)對(duì)可能從內(nèi)部網(wǎng)絡(luò)向外發(fā)起的連接資源實(shí)施嚴(yán)格控制，建立連接資源使用授權(quán)制度，建立檢查制度防止信息系統(tǒng)使用未經(jīng)許可和授權(quán)的連接資源；9)不同安全保護(hù)等級(jí)的信息系統(tǒng)網(wǎng)絡(luò)之間的連接，應(yīng)按訪(fǎng)問(wèn)控制策略實(shí)施可審計(jì)的安全措施，如使用防火墻、安全路由器等，實(shí)現(xiàn)網(wǎng)絡(luò)隔離；10)確保網(wǎng)絡(luò)安全措施的日常管理責(zé)任到人，并對(duì)網(wǎng)絡(luò)安全措施的使用進(jìn)行審計(jì)；11)按網(wǎng)絡(luò)設(shè)施和網(wǎng)絡(luò)服務(wù)變更控制制度執(zhí)行網(wǎng)絡(luò)配置變更控制；12)建立網(wǎng)絡(luò)安全事件、事故報(bào)告處理流程，確保事件和事故處理過(guò)程的可審計(jì)性；13)對(duì)網(wǎng)絡(luò)連接、網(wǎng)絡(luò)安全措施、網(wǎng)絡(luò)設(shè)備及操作規(guī)程定期進(jìn)行安全檢查和評(píng)估，提交正式的網(wǎng)絡(luò)安全報(bào)告；14)信息系統(tǒng)的關(guān)鍵網(wǎng)絡(luò)設(shè)備設(shè)施應(yīng)有備份。c)基于標(biāo)記的網(wǎng)絡(luò)安全，包括：1)針對(duì)網(wǎng)絡(luò)安全措施的使用建立嚴(yán)格的審計(jì)、標(biāo)記制度，確保安全措施配有具體責(zé)任人負(fù)責(zé)網(wǎng)絡(luò)安全措施的日常管理；2)指定網(wǎng)絡(luò)安全審計(jì)人員，負(fù)責(zé)安全事件的標(biāo)記管理，網(wǎng)絡(luò)安全事件的審計(jì)；3)對(duì)審計(jì)活動(dòng)進(jìn)行控制，確保網(wǎng)絡(luò)設(shè)施或?qū)徲?jì)工具提供的審計(jì)記錄完整性和可用性；4)對(duì)可用性要求高的網(wǎng)絡(luò)指定專(zhuān)人進(jìn)行不間斷的監(jiān)控，并應(yīng)及時(shí)處理安全事故。d)基于強(qiáng)制監(jiān)督的網(wǎng)絡(luò)安全，包括：1)建立獨(dú)立安全審計(jì)，對(duì)網(wǎng)絡(luò)服務(wù)、網(wǎng)絡(luò)安全策略、安全控制措施進(jìn)行有效性檢查和監(jiān)2)信息系統(tǒng)網(wǎng)絡(luò)之間的連接應(yīng)使用可信路徑。e)基于專(zhuān)控的網(wǎng)絡(luò)安全，包括：1)至少有兩名網(wǎng)絡(luò)安全管理人員實(shí)施網(wǎng)絡(luò)安全管理事務(wù)，并確保網(wǎng)絡(luò)安全管理本身的安全風(fēng)險(xiǎn)得到控制；2)信息系統(tǒng)網(wǎng)絡(luò)之間的連接控制在可信的范圍內(nèi)。7.7.5掛載設(shè)備安全要求掛載設(shè)備安全滿(mǎn)足以下要求：a)