信息安全管理實施細則

信息平安管理體系規(guī)范（PartI）

（信息平安管理實施細則）

書目

前言

一—、信息平安范圍

--、術(shù)語與定義

三、平安政策

3.1信息平安政篥

四、平安組織

4.1信息平安基礎(chǔ)架構(gòu)

4.2外部存取的平安管理

4.3委外資源管理

五、資產(chǎn)分類與管理

5.1資產(chǎn)管理權(quán)責(zé)

5.2信息分類

六、個人信息平安守則

6.1工作執(zhí)掌及資源的平安管理

6.2教化培訓(xùn)

6.3易發(fā)事務(wù)及故障處理

七、運用環(huán)境的信息平安管理

7.1信息平安區(qū)

7.2設(shè)備平安

7.3日常管制

八、通訊和操作過程管理

8.1操作程序書及權(quán)責(zé)

8.2系統(tǒng)規(guī)劃及可行性

8.3侵略性軟件防護

8.4儲存管理

8.5網(wǎng)絡(luò)管理

8.6媒體存取及平安性

8.7信息及軟件交換

九、存取管理

9.1存取管制的工作要求

9.2運用者存取管理

9.3運用者權(quán)責(zé)

9.4網(wǎng)絡(luò)存取管制

9.5操作系統(tǒng)存取管理

9.6應(yīng)用軟件存取管理

9.7監(jiān)控系統(tǒng)的存取及運用

9.8移動計算機及撥接服務(wù)管理

十、信息系統(tǒng)的開發(fā)和維護

10.1信息系統(tǒng)的平安要求

10.2應(yīng)用軟件的平安要求

10.3資料加密技術(shù)管制

10.4系統(tǒng)檔案的平安性

10.5開發(fā)和支持系統(tǒng)的平安性

十一、維持運營管理

11.1持續(xù)運營的方面

十二、合法性

12.1合乎法律要求

12.2對信息平安政策和技術(shù)應(yīng)用的審查

12.3系統(tǒng)稽核的考慮

前言

何謂信息平安？

對一個單位或組織來說，信息和其它商業(yè)資產(chǎn)一樣有價值，因此要加以適當?shù)?/p>

愛惜。信息平安就是愛惜信息免受來自各方面的眾多威逼，從而使單位能夠進行持續(xù)

經(jīng)營，使其對經(jīng)營的危害降至最小程度，并將投資和商業(yè)機會得以最大化。

信息可以許多形式存在一可以印在或?qū)懺诩埳?，以電子方式進行儲存，通過郵

寄或電子方式傳播，用影片顯示或通過口頭轉(zhuǎn)述。無論信息以何種方式存在，或以何

種形式共享或儲存，都要對其進吁恰當愛惜。

信息平安的主要特征在于愛惜其

-保密性：確保只有那些經(jīng)過授權(quán)的人員可以接觸信息

一完整性：愛惜信息和信息處理方法的精確性和完整性

一可得性：確保在須要時，經(jīng)過授權(quán)的運用者可接觸信息和相關(guān)的資產(chǎn)

信息平安可通過一套管制手段得以實現(xiàn)；此管制手段可為政策、行為規(guī)范、流

程、組織結(jié)構(gòu)和軟件功能。必需建立此類管制手段來確保各單位的詳細平安目標得以

實現(xiàn)。

為何須要信息平安？

信息和信息支持程序、系統(tǒng)及網(wǎng)絡(luò)是重要的經(jīng)營資產(chǎn)。信息的保密性、完整性

和可得性對維持單位的競爭優(yōu)勢、現(xiàn)金流淌、贏利性、合法性和商業(yè)形象至關(guān)重要。

單位及其信息系統(tǒng)和網(wǎng)絡(luò)正面臨著來自各方面的越來越多的平安威逼，如計算

機幫助詐騙、間諜、破壞、毀壞、水災(zāi)或火災(zāi)等等。破壞的產(chǎn)生來源，如計算機病

毒、黑客攻擊和拒絕服務(wù)攻擊等已經(jīng)變得越來越普遍、更具野心和困難。

對信息系統(tǒng)和服務(wù)的依靠表明單位在平安威逼面前已越來越脆弱。公共網(wǎng)絡(luò)和

私人網(wǎng)絡(luò)的互聯(lián)以及信息資源的共享加大了進行存取管制的難度。分散化的計算機模

式進一步減弱了中心化、專業(yè)化管制的有效性。

許多信息系統(tǒng)本身的設(shè)計就很擔(dān)憂全。通過技術(shù)手段達到的平安很有限，因此

要通過恰當?shù)墓芾砗土鞒碳右灾С帧４_認實行的管制措施時須要詳細審慎的支配和構(gòu)

思。信息平安管理至少要求單位全部員工的參加。同時，也要求供貨商、客戶和股東

的參加。單位外部的專家建議有時也很必要。

假如能在詳細規(guī)章和設(shè)計階段就將信息平安管制方面的內(nèi)容納入其中，則其成

本會便宜許多。

如何設(shè)置平安要求？

單位能夠確認其平安方面的要求至關(guān)重要。在這方面，主要有三個來源：

第一個來源是對單位面臨的風(fēng)險進行評估。通過風(fēng)險評估，可以確認單位的資

產(chǎn)所面臨的威逼，評估其弱項和緊急發(fā)生的可能性，并對其潛在的沖擊加以估計。

其次個來源是某單位、其運營伙伴、簽約方和服務(wù)供應(yīng)商所必需滿意的法律、

法規(guī)、規(guī)章或契約方面的要求。

第三個來源是單位為支持其運營而開發(fā)出的一套針對信息處理的原則、目標和

要求。

評估平安風(fēng)險

平安要求是通過對平安風(fēng)險的系統(tǒng)評估而確認的。管制方面的支出須要和平安

失控時產(chǎn)生的危害進行平衡和比較。風(fēng)險評估技巧可運用到整個組織或局部，也可針

對其好用性、現(xiàn)實性和有效性運用到組織內(nèi)部單個信息系統(tǒng)、詳細系統(tǒng)部件或服務(wù)。

風(fēng)險評估要求對如下因素進行系統(tǒng)考慮：

-平安失誤所造成的經(jīng)營性破壞，要求考慮失去信息保密性、完整性和可得性

和其它資產(chǎn)時所導(dǎo)致的潛在后果

-現(xiàn)行威逼和弱點導(dǎo)致平安失誤的現(xiàn)實可能性，及目前實施的管制手段

在管理信息平安風(fēng)險和實施管制手段防范風(fēng)險時，上述評估結(jié)果有助于指導(dǎo)和

確定實行適當?shù)墓芾硇袆蛹捌鋬?yōu)先程度。評估風(fēng)險和選擇管制手段的過程可能須要重

復(fù)幾次，以便涵蓋單位的不同部分或單個的信息系統(tǒng)。

對平安風(fēng)險和實施的管制要進行定期回顧，以便

-考慮運營要求和優(yōu)先性方面所發(fā)生的變更

一考慮新的威逼和薄弱環(huán)節(jié)

一確認所實行的管制手段照舊有效恰當

依據(jù)以前評估的結(jié)果和管理層能夠接受的風(fēng)險程度，上述回顧應(yīng)當按不同程度

開展。風(fēng)險評估一般先在較高層次上開展，以便對高風(fēng)險領(lǐng)域的資源進行優(yōu)先分類，

然后從微小環(huán)節(jié)開展，目的是應(yīng)付詳細風(fēng)險。

選擇管制手段

平安要求一旦確定之后，就應(yīng)選擇并實施管制手段以確保風(fēng)險被降到一個可接

受的水平。管制手段可從本文件或別的管控手冊中選擇；還可以設(shè)計新管控方法來滿

意詳細的需求。管理風(fēng)險有許多不同的方法，本文件列出了一些常用的手段。然而，

須要相識的是有些手段并不是適用與全部信息系統(tǒng)或環(huán)境，也不愿定適合全部的單位

或組織。比如，本文件8.1.4描述了如何對權(quán)責(zé)進行分類以便仿止詐騙或失誤。對許

多小的單位或組織來說，這種方法就不愿定適合，而另外的方法可能更好一些。

管制的選擇應(yīng)當基于相對風(fēng)險而言執(zhí)行管制時的成本。也應(yīng)當考慮其它非財務(wù)

方面的因素，如對單位或組織名譽的損壞等等。

本文件中的某些管制手段可以用作多數(shù)單位的信息平安管理的指導(dǎo)原則。其微

小環(huán)節(jié)在下述的“信息平安起始點”中將加以詳細描述。

信息平安起始點

幾條管制手段作為指導(dǎo)原則供應(yīng)了信息平安執(zhí)行方面的起始點。它們或者基于

重大的立法要求，或者被認為是喑息平安領(lǐng)域內(nèi)的最佳實施手法。

從立法角度諦視，對單位特殊重要的管制手段主要包括：

甲、學(xué)問產(chǎn)權(quán)（詳見12.1.2）

乙、愛惜單位記錄（詳見12.1.3）

丙、數(shù)據(jù)愛惜和個人隱私（詳見12.1.4）

對信息平安來說被認為是最佳實施手段的管制手段包括：

甲、信息平安政策文件（詳見3.1.1）

乙、信息平安權(quán)責(zé)的支配（詳見4.1.3）

丙、信息平安教化和培訓(xùn)（詳見6.2.1）

丁、平安事故的回報（詳見6.3.1）

戊、持續(xù)運營管理（詳見11.1）

這些管制手段適用于多數(shù)單位和多數(shù)情形。應(yīng)當留意的是，盡管本文件所述的

管制手段很重要，但全部手段的適用性照舊取決于詳細的當事情形.因此，上述的步

驟雖然是很好的起點，它并不取代基于詳細風(fēng)險評估而導(dǎo)出的管制手段。

重大成功因素

以往閱歷證明各單位要確呆執(zhí)行信息平安管理的成功需考慮如下重大因素:

-平安政策，目標和反應(yīng)單位運營目標的活動

-符合單位文化的平安防衛(wèi)模式

-管理層明顯的支持和承諾

-對平安要求、風(fēng)險評估和風(fēng)險管理的充分理解

-向全部管理人員和員工推行平安概念的有效途徑

-向全部員工和承包方發(fā)放有關(guān)本單位信息平安政策和標準的指導(dǎo)綱要

-供應(yīng)恰當?shù)呐嘤?xùn)和教化

--整套用于評估信息平安管理表現(xiàn)及反饋改進看法的測量系統(tǒng)

制定本單位的大綱

本指導(dǎo)條例可用作各單位依據(jù)本身詳細狀況制定自己內(nèi)部信息平安指導(dǎo)大綱的

基礎(chǔ)。本條例所描述的指導(dǎo)原則和管制手段也并不愿定適合全部單位的狀況。因此，

有必要適時加以調(diào)整。

一、信息平安范圍

此部分針對各單位內(nèi)部從事平安工作的人員提出了信息平安管理方面的建議。

其目的是供應(yīng)一個公共平臺以各單位制定各自的平安標準和有效的平安管理手段，并

增加各單位就此進行溝通時的信念。

二、術(shù)語與定義

在本文件中，下列術(shù)語其定義如下：

2.1信息平安

對信息保密性、完整性和習(xí)得性的愛惜。

保密性被定義為確保唯有經(jīng)過授權(quán)的人員方可存取信息。

完整性被定義為愛惜信息和信息加工方法的精確和完全。

可得性被定義為確保經(jīng)授權(quán)的人員在必要時能存取信息和相關(guān)資產(chǎn)。

2.2風(fēng)險評估

對信息和信息處理設(shè)施的弱點、其所受威逼、后果及其發(fā)生概率的評估。

2.3風(fēng)險管理

以可以接受的成本，對影響信息系統(tǒng)的平安風(fēng)險進行辨別、限制、削減或消退的過程

三、平安政策

3.1信息平安政策

目標：為信息平安供應(yīng)管理指導(dǎo)和支持。

管理層應(yīng)制定一套清楚的指導(dǎo)原則，并以此明確表明其對信息平安及在單位內(nèi)部貫徹

實施信息平安政策的支持和承諾。

3.1.1信息平安政策文件

信息平安政策文件在經(jīng)管理層批準后，要印行并頒發(fā)給單位的全部員工。該文件要闡

明管理層對信息平安的承諾，并提出單位信息平安的管理方法。它至少要包括如下部

分：

-對信息平安的定義，其總體目標和范圍，平安作為信息共享確保機制的重要性

-支持信息平安目標和原則的管理意向聲明

-對平安政策、原則、標準和應(yīng)達到要求的簡要說明，比如：1）符合立法和契約的

規(guī)定；2）平安教化方面的要求；3）對病毒和其它有害軟件的預(yù)防和檢測；4）持

續(xù)運營管理；5）違反平安政策的后果等；

-信息平安管理的總體和詳細權(quán)責(zé)的定義，包括平安事故回報等；

-用以支持政策的文獻援引；例如，適用于詳細信息系統(tǒng)的更詳細的平安政策和流

程，或運用者應(yīng)當遵守的平安條例等；

本政策應(yīng)以恰當、易得、易懂的方式向單位的標的運用者進行傳達。

3.1.2審核與評估

本政策要求有專人按既定程序?qū)ζ溥M行定期檢討和審訂。檢討和審訂的過程要能夠反

應(yīng)風(fēng)險評估方面所發(fā)生的新變更，譬如重大平安事故、組織或技術(shù)基礎(chǔ)設(shè)施上出現(xiàn)的

新漏洞，等等。為此，要求對下列事項進行定期、有支配的審訂：

-政策的有效性，可通過記錄在案的平安事故的性質(zhì)、數(shù)目和影響來論證

-對運營效率進行管制的成本及影響

-技術(shù)變更的影響

四、平安組織

4.1信息平安基礎(chǔ)架構(gòu)

目標：管理單位內(nèi)部的信息平安。

建立管理框架，以綻開并管制單&內(nèi)部信息平安的實施。

同時，應(yīng)建立適當?shù)男畔⑵桨补芾砦瘑T會對信息平安政策進行審批，對平安權(quán)責(zé)進行

支配，并協(xié)調(diào)單位內(nèi)部平安的實施。如有必要，在單位內(nèi)部設(shè)立特殊信息平安顧問并

指定相應(yīng)人選。同時，要設(shè)立外部平安顧問，以便跟蹤行業(yè)走向，監(jiān)視平安標準和評

估手段，并在發(fā)生平安事故時建立恰當?shù)穆?lián)絡(luò)渠道。在此方面，應(yīng)激勵跨學(xué)科的信息

平安支配，比如，在經(jīng)理人、用戶、程序管理員、應(yīng)用軟件設(shè)計師、審計人員和保安

人員間開展合作和協(xié)調(diào)，或在保險和風(fēng)險管理兩個學(xué)科領(lǐng)域間進行專業(yè)溝通等。

4.1.1信息平安管理委員會

信息平安是管理團隊各成員共同擔(dān)當?shù)呢?zé)任。因此，有必要建立一個信息平安管理委

員會來確保信息平安方面的工作指導(dǎo)得力，管理有方。該委員會旨在通過適當?shù)某兄Z

和合理的資源支配提攜單位內(nèi)部的平安。其可為現(xiàn)有管理機構(gòu)的一部分，主要行使如

下職能：

-審訂并批準信息平安政策和總體權(quán)責(zé)

-監(jiān)督信息資產(chǎn)所面臨威逼方面出現(xiàn)的重大變更

-審訂并監(jiān)督平安事故

-批準加強信息平安的重大舉措

全部有關(guān)的平安活動都應(yīng)由一位在理負責(zé)。

4.1.2部門間協(xié)調(diào)

在較大的單位內(nèi)，有必要建立一個由各個部門管理代表組成的跨功能信息平安委員會

來協(xié)調(diào)信息平安的實施。這樣一個機構(gòu)的功能包括：

-批準單位內(nèi)信息平安方面的人事支配和權(quán)責(zé)支配

-批準信息平安的詳細方法和流程，如風(fēng)險評估、平安分類體系等

-批準并支持單位內(nèi)信息平安方面的提議，如平安意識課程等

-確保平安成為信息支配程序的一部分

-針對新系統(tǒng)或服務(wù)，評估其在信息平安方面的足夠程度并協(xié)調(diào)其實施

-評定信息平安事故

-在全單位范圍內(nèi)以顯要之方式提攜對信息平安的支持

4.1.3權(quán)責(zé)支配

愛惜各項資產(chǎn)及實施詳細平安流程的權(quán)責(zé)應(yīng)有明確定義。

信息平安政策應(yīng)當供應(yīng)單位內(nèi)平安人事和權(quán)責(zé)支配方面的詳細指導(dǎo)原則。針對詳細的

地點、系統(tǒng)或服務(wù)的不同，可對此政策酌情進行補充。對各項有形、信息資產(chǎn)及平安

程序所在方應(yīng)擔(dān)當?shù)呢?zé)任，如持續(xù)運營支配，也要加以明確定義。

在某些單位內(nèi)，需任命一名信息平安經(jīng)理負責(zé)發(fā)展實施平安、支持指定管制手段方面

的有關(guān)事宜。但是，涉及資源分派和實施管制的事務(wù)仍應(yīng)交由各部經(jīng)理負責(zé)。通常的

做法是為每項信息資產(chǎn)都指定一個負責(zé)人，由他來時時負責(zé)資產(chǎn)的日常平安。

信息資產(chǎn)的負責(zé)人可將其平安權(quán)責(zé)代理給各部經(jīng)理或服務(wù)供應(yīng)方，但他對資產(chǎn)的平安

仍負有最終的責(zé)任，并要求能確認代理權(quán)沒有被濫用或誤用。

對各經(jīng)理所負責(zé)的各平安領(lǐng)域進，亍定義特殊重要；特殊是要做到如下幾點：

-和各系統(tǒng)有關(guān)的資產(chǎn)和平安程序要加以清楚辨別和定義

-負責(zé)上述各資產(chǎn)和平安程序的經(jīng)理人的任命要經(jīng)過批準，其權(quán)責(zé)要記錄在案

-授權(quán)級別要清楚定義并記錄在案

4.1.4信息處理設(shè)備的授權(quán)流程

要建立起針對新信息處理設(shè)施的管理授權(quán)流程。

要考慮如下要素：

-新設(shè)施要有適當?shù)倪\用者管理審批制度，以此對運用目的和運用狀況進行審批。批

準由負責(zé)當?shù)匦畔⑾到y(tǒng)平安環(huán)境的經(jīng)理發(fā)給，并做到符合相關(guān)平安政策和要求。

-如必要，對軟件和硬件進行檢查，確保其和其它系統(tǒng)部件向匹配。

-運用個人信息處理設(shè)備處理公務(wù)信息及其相關(guān)必要之管制手段皆需經(jīng)過批準。

-在公務(wù)場合運用個人信息處理設(shè)備本身可導(dǎo)致平安漏洞，因此要經(jīng)過評估和批準。

以上管制在聯(lián)網(wǎng)的環(huán)境中尤其重要。

4.1.5專業(yè)信息平安顧問

許多單位可能須要專業(yè)信息平安顧問。此職位最好由單位內(nèi)部某位資深信息平安顧問

擔(dān)當。但不是全部單位都想聘用專業(yè)信息平安顧問。因此，特建議單位指定一位詳細

個人來協(xié)調(diào)單位內(nèi)部信息平安學(xué)問與閱歷方面的一樣，及幫助該方面的決策。擔(dān)此職

務(wù)的人要和外部專家保持聯(lián)系，能提出自己閱歷以外的建議。

信息平安顧問或相應(yīng)的外部聯(lián)絡(luò)人員的任務(wù)是依據(jù)自己的或外部的閱歷，就信息平安

的全部方面提出建議。他們對平安威逼評估及提出管制建議的質(zhì)量確定了單位信息平

安的有效性。為使其建議的有效性最大化，應(yīng)允許他們接觸全單位管理的各個方面。

如懷疑出現(xiàn)平安事故或漏洞，應(yīng)盡早向信息平安顧問詢問，以獲得專家指導(dǎo)或調(diào)查資

源。盡管多數(shù)內(nèi)部平安調(diào)查通常是在管理管制下進行，但仍可以托付信息平安顧問提

出建議，領(lǐng)導(dǎo)或?qū)嵤┱{(diào)查。

4.1.6組織間合作

和有關(guān)執(zhí)法、監(jiān)管、信息服務(wù)和電訊運營部門保持良好的聯(lián)系，確保在平安事故時能

或得其建議以便快速實行行動。同樣，也應(yīng)考慮參加平安組織和行業(yè)論壇并成為其成

員。

平安信息的交換要加以嚴格限制，確保單位的保密信息不被傳給沒有經(jīng)過授權(quán)的人

員。

4.1.7信息平安審核的獨立性

信息平安政策文件規(guī)定了信息平安的政策和權(quán)責(zé)。對其實施的審核應(yīng)獨立開展，確保

單位的做法恰當?shù)胤磻?yīng)了政策的要求，并確保實施方面的可行性和有效性。

此類審核可由單位內(nèi)部審計部門開展，也可由獨立經(jīng)理人或特地從事審核的第三方組

織開展，只要這些人員具有適當?shù)募寄芎烷啔v。

4.2外部存取的平安管理

目標：外來單位存取單位內(nèi)部信息及信息處理設(shè)施時的平安管理。

第三方接觸本單位的信息處理設(shè)備要對其進行管制。

如業(yè)務(wù)需求第三方必需接觸本單位的信息處理設(shè)備，則應(yīng)對此行為的平安后果和管制

要求進行風(fēng)險評估。管制內(nèi)容經(jīng)雙方同意，要在合同中加以定義。

外方存取可能還會涉及到別的參加方。為此，和第三方簽訂的合同中還應(yīng)涵蓋對此授

權(quán)的指定及其存取的條件。

本標準可用作制定此類合同或考慮委外信息加工時的基礎(chǔ)。

4.2.1第三方存取的風(fēng)險鑒別

4.2.1.1存取的類別

允許第三方存取的類別至關(guān)重要。比如，跨網(wǎng)絡(luò)存取的風(fēng)險和物理存取的風(fēng)險是完全

不同的。應(yīng)考慮的存取類別包括：

一物理存取，如辦公室、電腦房、檔案柜等

-邏輯存取，如單位的數(shù)據(jù)庫、信息系統(tǒng)等

4.2.1.2存取的緣由

允許第三方存取可能有若干緣由。例如，這個第三方可能是在向單位供應(yīng)服務(wù)，但又

不在現(xiàn)場，只能給其確定物理和邏輯存取途徑，比方：

-須要系統(tǒng)級別或低級別應(yīng)用功能的硬件和軟件支持人員

-和本單位交換信息、存取信息系統(tǒng)或共享數(shù)據(jù)庫的貿(mào)易伙伴或合資公司

如沒有足夠的平安管理，允許第三方存取會給信息帶來風(fēng)險。因此，在有需求接觸其

它方信息時，要進行風(fēng)險評估，確定管制的要求。同時，要考慮存取的類別、信息的

價值、第三方運用的管制手段，以及讓他方接觸本單位信息的可能后果。

4.2.1.3現(xiàn)場承包方

按合同規(guī)定可在現(xiàn)場滯留的第三方也可導(dǎo)致平安隱患。例如，在現(xiàn)場的第三方可以包

括：

-硬件和軟件維護和支持人員

-清潔、料理、保安和其它委外的支持服務(wù)人員

-學(xué)生員工及其它短期臨時工作人員

-顧問

知道需實行哪些管制手段管理第三方對信息處理設(shè)備的存取至關(guān)重要?？傮w而言，和

第三方簽訂的合同中要反應(yīng)全部有關(guān)的平安要求和內(nèi)部管制手段。例如，如有特殊要

求保守信息隱私，就要和第三方簽訂保密協(xié)議（見6.1.3）

在相應(yīng)管制手段布置周備或和第三方合同簽訂之前，不得允許第三方存取本單位信息

或接觸信息處理設(shè)備。

4.2.2與第三方存取單位簽約時的平安要求

涉及第三方接觸本單位信息處理設(shè)備的支配應(yīng)當基于正式的合同，該合同中要包括或

提到全部的平安要求，以便確保符合單位的平安政策和標準。合同還要確保單位和第

三方之間沒有任何誤會。單位在證明第三方的牢靠性方面要做到完全放心。合同中可

考慮包括如下要素：

-信息平安的總體政策

-資產(chǎn)愛惜，包括1）愛惜單位資產(chǎn)的流程，包括信息和軟件；2）診斷資產(chǎn)是否受

到破壞的流程，包括數(shù)據(jù)的損失或修改；3）確保在合同期末或合同期間隨意時間

點歸還或銷毀信息的管制手段；4）完整性和可得性；5）限制信息的復(fù)制和泄漏

-所供應(yīng)的全部服務(wù)的描述

-標的服務(wù)水準和不行接受的服務(wù)水準

-人員調(diào)動的規(guī)定

-合同雙方各自的相關(guān)責(zé)任

-法律方面的責(zé)任，比如，數(shù)據(jù)愛惜方面的法規(guī)，要特殊考慮到在合同牽涉到多國組

織件合作時各國法律體系的不同（見12.1）

-學(xué)問產(chǎn)權(quán)和版權(quán)的支配（見12.1.2）及合作成果的愛惜（見6.1.3）

-存取管制合同，包括1）允許的存取方法和管制手段，以及特殊標記的運用如運用

者身份證和密碼；2）對運用者存取和權(quán)限的授權(quán)過程；3）要求準備一份批準運用

服務(wù)的個人運用者的名單并載明他們的運用權(quán)限

-定義有效的表現(xiàn)評判標準并對其進行監(jiān)督和回報

-監(jiān)督、撤銷運用者活動的權(quán)力

-對合同權(quán)責(zé)進行審計或指定別人對其審計的權(quán)力

-建立解決問題的升級流程；在適當?shù)臓顩r下還要考慮應(yīng)急支配

-硬件和軟件安裝和維護方面的責(zé)任

-清楚的回報結(jié)構(gòu)和業(yè)經(jīng)同意的回報格式

-清楚詳細的變更管理流程

-確保管制手段得以實施的物理愛惜管制手段和機制

-對運用者和管理者進行培訓(xùn)的方法、流程和平安

-確保防范病毒軟件的管制手段（見8.3）

-用于回報、通知和調(diào)查平安事故和平安違規(guī)的支配

-第三方涉及合同的分包

4.3委外資源管理

目標：委外加工處理時相關(guān)信息的平安管理。

在各方簽訂的合同中，委外方面的支配要規(guī)定信息系統(tǒng)、網(wǎng)絡(luò)和/或桌面系統(tǒng)環(huán)境方面

的風(fēng)險、平安管制和流程。

4.3.1委外加工處理合約內(nèi)的平安需求

如單位需將其信息系統(tǒng)、網(wǎng)絡(luò)和/或桌面操作環(huán)境系統(tǒng)的管理和管理任務(wù)部分或全部地

托付給他方實施，此方面的平安要求在有關(guān)各方簽訂的合同中加以規(guī)定。

例如，合同應(yīng)當規(guī)定：

-如何滿意諸如數(shù)據(jù)愛惜等方面的法律要求

-進行哪些支配去確保委外的各方（包括分包方）能意識到其運負的平安責(zé)任

-如何維持并檢臉單位資產(chǎn)的完整性和保密性

-實行哪些物理和邏輯管制手段來限制運用者接觸單位的敏感商業(yè)信息

-在發(fā)生災(zāi)難的狀況下如何接著或得服務(wù)

-對委外設(shè)備實行何種水準的物理平安愛惜

-審計權(quán)

4.2.2條款中所述的條件也可作為此合同考慮的要素。本合同應(yīng)當允許雙方在平安管

理支配中對平安要求和流程進行擴展。

盡管委外合同可導(dǎo)致一些困難的平安問題，其準則中包括的管制手段可被用作平安管

理支配的結(jié)構(gòu)和內(nèi)容的起點。

五、資產(chǎn)分類與管理

5.1資產(chǎn)管理權(quán)責(zé)

目標：確保信息資產(chǎn)得以適當愛惜。

全部重大的信息資產(chǎn)都要有記錄和主管人員。

對資產(chǎn)的負責(zé)制度將確保對其進行有效的愛惜。其主管人員在經(jīng)指定后要支配其在此

方面的主要職責(zé)和管制方法。實施管制的任務(wù)可托付給他人，但最終的責(zé)任要由資產(chǎn)

的主管人員擔(dān)當。

5..1.1資產(chǎn)的盤點、

對資產(chǎn)的盤點可幫助確保有效的資產(chǎn)愛惜，也可用于其它經(jīng)營目的，如健康和平安、

保險或財務(wù)方面的緣由。編制資產(chǎn)盤點的流程是風(fēng)險管理的重要方面。單位要能辨明

其資產(chǎn)和這些資產(chǎn)的相對價值和重要性?；谶@些信息，單位就可以供應(yīng)和資產(chǎn)價值

及重要性相應(yīng)的愛惜級別。對各個信息系統(tǒng)的重要資產(chǎn)都要編制資產(chǎn)清單并加以保

存。每個資產(chǎn)都要清楚辨明，其主管人員及平安類別（見5.2;、現(xiàn)在的位置等都要

確認并登記。與信息系統(tǒng)有關(guān)的資產(chǎn)舉些例子可能包括：

-信息資產(chǎn)：數(shù)據(jù)庫和數(shù)據(jù)文件、系統(tǒng)文件、運用手冊、培訓(xùn)材料、操作和支持流

程、持續(xù)經(jīng)營支配、存檔信息等

-軟件資產(chǎn)：應(yīng)用軟件、系統(tǒng)軟件、開發(fā)工具和用具等

-物理資產(chǎn)：電腦設(shè)備（包括處理器、顯示器、筆記本電腦、調(diào)制解調(diào)器等），通訊

設(shè)備（路由器、PBAX、傳真機、答錄機等），磁力媒體（錄音帶、光盤等），其它

技術(shù)儀器（電源、空調(diào)設(shè)備等），家具及幫助設(shè)施

-服務(wù)：計算和通訊服務(wù)，通用設(shè)備，如供暖、照明、電、空調(diào)等

5.2信息分類

目標：確保信息資產(chǎn)得到恰當?shù)膼巯А?/p>

對信息進行分類，顯示其用途、優(yōu)先程度和愛惜級別。

信息具有不同的敏感度和重要性。有些信息須要額外的愛惜和處置。信息分類系統(tǒng)就

是確認信息的愛惜級別，并實行恰當?shù)奶厥馓幹檬侄巍?/p>

5.2.1分類原則

信息分類及相關(guān)的愛惜管理方法應(yīng)符合共享信息或限制信息的要求，符合此類須要所

帶來的相關(guān)后果，例如，對信息的未經(jīng)批準的運用和毀壞?？偠灾?，對信息進行分

類是確定如何處理和愛惜該信息的一個捷徑。要對數(shù)據(jù)分類系統(tǒng)的信息和榆出進行標

示，以確定此類信息對單位而言其價值和敏感度的級別。同樣也可依據(jù)此類信息對單

位的重要程度進行分類標示，例如，依據(jù)其完整性和可得性。

經(jīng)過一段時間之后，信息經(jīng)常不再敏感或重要，例如，在信息變成公開信息之后。因

此，要考慮這些方面，因為過細的分類會增加額外的費用。分類知道大綱應(yīng)當預(yù)料并

承認信息分類有時間性并歲政策變更而變更這一事實（見9.1）。

還要考慮分類范疇的標號及其好處。太困難的標號系統(tǒng)用起來很費勁，即不經(jīng)濟也不

好用。在接觸和運用別單位的標號系統(tǒng)時要留意，因為他們的標號雖然和本單位的相

同但含義可能完全不同。

對信息類事務(wù)（包括文件、數(shù)據(jù)記錄、數(shù)據(jù)文件或軟盤）分類進行定義并進行周期性

審訂的任務(wù)應(yīng)由信息原來的的制造者或指定的主管人員來完成。

5.2.2信息標示及攜帶

依據(jù)單位制定的分類原則，制定一整套信息標識和操作流程是特殊重要的。這些流程

要涵括以物理和電子形式存在的信息資產(chǎn)。針對每個類別，所定義的操作流程要包括

如下類型的信息處理活動：

-復(fù)制

-存儲

-以郵件、傳真、電子郵件方式進行的傳送

-以聲音，包括移動電話、語音郵件、答錄機等方式進行的傳送

-銷毀

含有敏感重要信息的系統(tǒng)其輸出應(yīng)加以恰當?shù)姆诸悩耸尽４藰耸疽竽軌蚍磻?yīng)依據(jù)

5.2.1條款進行分類的類別。須要考慮進行標示的物品包括打印出的報告、屏幕顯

示、被記錄的媒體（包括磁帶、軟盤、光盤、錄音帶等）、電子消息和傳送等。

物理標示通常是最恰當?shù)臉耸?。但是，有的信息資產(chǎn)如以電子方式存在的文件，不能

對其進行物理標示，在此狀況下需考慮對其進行電子標示。

六、個人信息平安守則

6.1工作執(zhí)掌及資源的平安管理

目標：降低錯誤、偷竊、欺瞞或沒備誤用的風(fēng)險。

平安的權(quán)責(zé)應(yīng)當在對員工進行聘用的階段就起先實施，還應(yīng)包括在合同中，并在以后

員工的聘用期內(nèi)時時進行監(jiān)督。

對潛在的待聘員工應(yīng)加以細致充分的篩選（見6.1.2）,特殊是從事敏感工作的員

工。全部運用信息處理設(shè)備的員工或第三方都要簽署保密或不泄密協(xié)議。

6.1.1工作權(quán)責(zé)涵蓋的平安需求

單位信息平安政策中規(guī)定的平安角色和責(zé)任當在工作定義中恰當標明（見3.1）。這

些要求包括實施或維護平安政策以及愛惜特殊資產(chǎn)或開展特殊平安程序或活動時的詳

細權(quán)責(zé)。

6.1.2人員任用政策

在單位終身職員申請工作時，對其進行資格審查。這應(yīng)當包括如下內(nèi)容：

-申請人是否具備充分的人品舉薦材料，例如，可以是一份工作舉薦，一份個人舉薦

-對申請人簡歷的完整性和精確性進行檢查

-對申請人聲稱的學(xué)術(shù)和資格證明進行認證

-獨立的身份認證（通過護照或相應(yīng)的身份證明材料）

工任命或提升員工時，只要其涉及到接觸信息處理設(shè)備，特殊是處理敏感信息的設(shè)

備，如處理財務(wù)信息或其它高度機密的信息的設(shè)備，單位須要對該員工進行信用調(diào)

查。對握有大權(quán)的員工此類信用調(diào)查更要定期開展。

對合同工和臨時工也要開展類似的審查。假如上述人員通過中介機構(gòu)舉薦給單位，則

單位要和該機構(gòu)簽訂合同，在合同中載明該中介機構(gòu)要對被舉薦人進行審查責(zé)任，以

及中介機構(gòu)在未對被舉薦人進行審查或?qū)彶榻Y(jié)果有懷疑或懷疑時通知單位的必要程

序。

管理人員要對那些新來的或沒有閱歷的但卻得到授權(quán)可接觸敏感系統(tǒng)的員工進行監(jiān)

視。對全部員工的工作都要進行定期審核，審核審批的程序有員工中的某位資深人士

來制定。

管理人員應(yīng)當相識到其部下的個人環(huán)境會影響其工作。個人或財務(wù)上的問題會影響他

們的工作，導(dǎo)致行為或生活方式的變更及多次曠工；壓力或愁悶的表現(xiàn)可能導(dǎo)致欺

詐、盜竊、錯誤或其它平安問題。對這類信息的處理要依據(jù)單位作在地區(qū)的適當法律

程序加以解決。

6.1.3保密協(xié)議

保密協(xié)議的目的是對信息的保密性加以說明。展員在受展時，應(yīng)和單位簽署保密協(xié)

議，此協(xié)議為員工守則的一部分。

沒有簽署保密協(xié)議的閑散員工或第三方在接觸信息處理設(shè)備之前必需簽署有關(guān)保密協(xié)

議。

在雇傭合同或條款發(fā)生變動時，特殊是員工要離開單位或其合同到期時，要對保密協(xié)

議進行審訂。

6.1.4員工守則

該守則應(yīng)載明雇員在信息平安方面的職責(zé)。如有必要，這些職責(zé)即使在雇傭關(guān)系結(jié)束

后也應(yīng)保持確定的有效期。其中應(yīng)當包括員工違反平安規(guī)定時應(yīng)實行的行動。

員工的合法職責(zé)和權(quán)利，例如在版權(quán)法或數(shù)據(jù)愛惜法方面的權(quán)責(zé)，應(yīng)得以清楚定義，

并包括在員工守則中。員工數(shù)據(jù)分類和管理方面的職責(zé)也要包括在內(nèi)。如有必要，員

工守則應(yīng)當規(guī)定這些權(quán)責(zé)不僅適用于單位范圍內(nèi)，而是可以延長到單位以外或正常工

作時間以外，例如在家工作的狀況。（參見7.2.5和9.8.1）

6.2教化訓(xùn)練

目標：確保運用者在日常工作中了解如何看待和關(guān)切信息平安，并支持單位的平安政

策。

運用者應(yīng)得以平安流程和正確運用信息處理設(shè)備方面的培訓(xùn)，以將可能的平安風(fēng)險降

至最低限度。

6.2.1信息平安的教化和培訓(xùn)

單位的全部職員，以及在必要狀況下涉及的第三方用戶，都應(yīng)定期接受平安政策和流

程方面的教化和培訓(xùn)。這包括平安要求、法律職責(zé)和業(yè)務(wù)管制，以及正確運用信息處

理設(shè)備方面的培訓(xùn)，例如，登錄流程、軟件包的運用等。

6.3易發(fā)事務(wù)及故障處理

目標：發(fā)生易發(fā)事務(wù)及故障時如何將損害降至最小、監(jiān)督類似事務(wù)并從中學(xué)習(xí)。

平安事故應(yīng)通過適當?shù)墓芾砬辣M快加以回報。

全部員工和合同方都要相識如何回報影響單位資產(chǎn)平安的不同類型的事故。發(fā)生事故

后，他們要把全部看到或懷疑的事故盡快地報告給指定聯(lián)絡(luò)人。單位要建立正式的懲

處條例來懲治違反平安規(guī)定的員工。要恰當?shù)貙κ鹿蔬M行處理，雜發(fā)生事故后要盡快

搜集有關(guān)證據(jù)（參見12.1.7）o

6.3.1平安事故回報

發(fā)覺平安事故后，應(yīng)立刻通過適當管理渠道回報。

要建立正規(guī)的回報流程和事故反應(yīng)流程，規(guī)定接到事故報告后應(yīng)實行的行動。全部員

工和合同方都應(yīng)相識回報平安事故的操作流程，并被要求盡快加以回報。同時，建立

適當?shù)姆答伭鞒虂泶_保這些平安事故在處理完畢之后處理結(jié)果得以反饋。發(fā)生過的平

安事故可用作平安培訓(xùn)的例子，向運用者說明會發(fā)生哪些事故，如何反應(yīng)，及以后如

何避開此類事務(wù)等（參見12.1.7）o

53.2平安漏洞回報

要求信息服務(wù)用戶記錄并回報任何其覺察或懷疑存在的平安漏洞。他們要把這些漏洞

或者報告給管理人員或者干脆盡快報告給服務(wù)供應(yīng)商。應(yīng)向運用者強調(diào)，無論在何種

狀況下，他們都不要試圖對懷疑的漏洞進行論證。這對他們自身有好處，因為他們進

行論證的行為有可能被誤認為是潛在地錯誤運用系統(tǒng)。

53.3軟件功能障礙回報

要求建立并遵守軟件功能障礙回報流程?？梢钥紤]實行如下行動：

-問題的征兆和任何在顯示屏上出現(xiàn)的信息都要加以記錄

-如有可能，對電腦進行隔離，并停止接著運用。并立即通知有關(guān)當局。如須要對設(shè)

備進行檢查，在重新啟動之前應(yīng)將其從單位網(wǎng)絡(luò)上撤下。運用的軟盤不得再在其它

電腦上運用。

-有關(guān)事故應(yīng)立即回報給信息平安經(jīng)理。

6.3.4從事故中學(xué)習(xí)

要求建立相應(yīng)機制，對事故或功能障礙的類型、級別和損失程度進行量化、監(jiān)督。這

類信息可用作以后辨別重發(fā)事故或危害重大的功能障礙。這也表示有必要提高或增加

額外的管制措施來限制將來事故的發(fā)生頻率、降低其危害和成本，并審訂平安審核流

程。

53.5違規(guī)處置流程

雇員如違反單位平安政策和流程，應(yīng)通過正式的違規(guī)處置流程加以處理（參見6.1.4

和12.1.7）o此類流程可用作警示，防止員工忽視單位的平安流程。此外，要確保能

合理、公正地處理那些被懷疑是違反平安操作的員工。

七、設(shè)備及運用環(huán)境的信息平安管理

7.1信息平安區(qū)

目標：愛惜企業(yè)所在地及信息免于未經(jīng)授權(quán)的存取、破壞及入侵。

關(guān)鍵或敏感的商業(yè)信息處理設(shè)備應(yīng)放置在平安的區(qū)域，由平安防衛(wèi)帶、適當?shù)钠桨财?/p>

障和準入管制手段加以愛惜，以防它們物理上被非法進入、毀壞或干擾。

供應(yīng)的愛惜措施應(yīng)當和風(fēng)險相一樣。建議接受清桌和清屏政策來降低對文件、媒體和

信息處理設(shè)備非法存取或破壞的風(fēng)險。

Z1.1信息平安區(qū)的實體區(qū)隔

單位應(yīng)通過平安實體區(qū)隔來愛惜信息儲存處理設(shè)施的區(qū)城。每個區(qū)隔都可以供應(yīng)更高

的平安系數(shù)，從而增加總體的平安水平。單位應(yīng)運用平安防衛(wèi)帶來愛惜放置信息處理

設(shè)備的區(qū)域（參見7.1.3）o平安防衛(wèi)帶即指構(gòu)成區(qū)隔的東西，例如是一面墻，一道

憑卡片進入的門，或值班的接待臺等。每個區(qū)隔的位置和力度取決于風(fēng)險評估的結(jié)

果。

在適當?shù)臓顩r下可以考慮下列的指導(dǎo)原則和管制手段：

-平安防衛(wèi)帶應(yīng)當清楚定義

-放置信息處理設(shè)備的樓房或場所的防衛(wèi)帶從物理角度應(yīng)當特殊牢靠。場所的外墻應(yīng)

當是堅實的建筑物，全部的外門都應(yīng)能防止非法的進入，比如通過安裝管制機制、

鐵條、警報、平安鎖等。

-在通往場所或樓房的通道上還應(yīng)當配備值班接待臺或其它類以機構(gòu)，確保只有經(jīng)過

授權(quán)的人員才能得以靠近通往上述場所的通道。

-如有必要，物理區(qū)隔還應(yīng)擴展到從地板到天花板的區(qū)間以防止非法進入或水、火災(zāi)

等造成的環(huán)境污染。

-平安防衛(wèi)帶內(nèi)全部的防火門都應(yīng)安裝報警器，并隨時處于緊閉狀態(tài)。

7.1.2信息平安區(qū)進出管制

在信息平安區(qū)實行適當出入管制，確保只有經(jīng)授權(quán)的人員得以進入?？煽紤]如下的管

制措施:

-監(jiān)視或禁止來平安區(qū)域的訪問者。訪問者的進入和離開數(shù)據(jù)及其時間要有記錄。來

訪者只有在有明確經(jīng)過授權(quán)的任務(wù)時才允許訪問平安區(qū)，并要被告知平安區(qū)內(nèi)的平

安要求及緊急流程。

-對敏感信息和信息處理設(shè)備的通路進行管制，只有經(jīng)過授權(quán)的人員才得以進入。同

時運用身份識別管制手段，如刷卡或個人身份號碼等對全部準入進行授權(quán)或認證。

全部進入都要求有記錄，并加以妥當保存。

-全部人員都要求佩戴清楚可見的身份辨別標記，并激勵對未經(jīng)陪伴生疏人或任何未

佩戴標記的人員進行盤問。

一對進入平安區(qū)域的權(quán)限要定期進行審核和更新。

7.1.3信息平安辦公室、處所、設(shè)備

平安區(qū)域可為上鎖的辦公室或物理意義的平安防衛(wèi)帶內(nèi)的幾間房間，其本身可以上

鎖，也可以內(nèi)置上鎖的保險柜或保險箱。選擇和設(shè)計平安區(qū)時，應(yīng)考慮火災(zāi)、水災(zāi)、

爆炸、暴亂或其它形式的自然或人為災(zāi)難所造成的損壞的可能性。還要考慮險關(guān)的健

康和平安條例及標準。同時，也要考慮來自鄰近場所的平安威逼，例如來自其它樓宇

的漏水等等。

可考慮如下的管制手段：

-關(guān)鍵設(shè)備的放置要能夠放置公眾的接觸

-樓房要防止太過惹眼，盡量避開顯示其用途，樓內(nèi)外禁止設(shè)置暗指此處有信息處理

活動的標牌或標記。

-幫助功能設(shè)備，如復(fù)印機、傳真機等，要放置在平安區(qū)內(nèi)合適的位置，避開因外人

接觸而導(dǎo)致的信息泄漏。

-房間無人時，門窗都要上鎖關(guān)閉；窗戶，特殊是一樓的窗戶，要安裝必要的外部愛

惜設(shè)施。

-全部的外門的外窗都要安裝合乎職業(yè)標準的入侵檢測系統(tǒng)，并對其進行定期檢測。

無人區(qū)特殊要保持隨時警戒。其它區(qū)域也要供應(yīng)平安愛惜，如電腦房和通訊房等。

-從物理上把本單位管理的信息處理設(shè)備和第三方管理的信息處理設(shè)備進行區(qū)隔。

-顯示本單位敏感信息處理設(shè)備的電話本或通訊錄要避開被公眾獲得。

-把緊急或易燃品保存到一個離平安區(qū)適當平安距離的地方。除非另加要求，諸如文

具等的大宗物品不得儲存在平安區(qū)。

-備用設(shè)備或媒體工具應(yīng)放置在離設(shè)備稍遠的地方，以防主場地毀壞時同時被毀。

7.1.4信息平安區(qū)內(nèi)工作守則

為進一步加強已實行物理愛惜措施的平安區(qū)的平安，應(yīng)制定附加的信息平安區(qū)內(nèi)工作

守則。這些包括針對在平安區(qū)工作的人員或第三方的管制，也包括對其活動的管制。

可考慮如下原則：

-各人員對平安區(qū)的存在及其內(nèi)活動當知之則知之，不當知之則不許知之。

-為平安和防止壞人破壞起見，對平安區(qū)內(nèi)全部工作實施監(jiān)視。

-無人平安區(qū)應(yīng)實行物理手段加以封閉，并定期查看。

-應(yīng)限制第三方幫助服務(wù)人員進入平安區(qū)或敏感信息處理設(shè)備，只在必要時才許其進

入。同時，進入要進行授權(quán)和監(jiān)視。平安防衛(wèi)帶內(nèi)部具有不同平安要求的區(qū)域之間

的通道要實行特殊的隔離和仿護措施。

-除非經(jīng)過授權(quán)，否則在平安區(qū)內(nèi)禁止運用攝影、錄象、錄音或其它記錄儀器設(shè)備。

7.1.5交接區(qū)的隔離

對交接區(qū)進行管制；如有必要，將其與信息處理設(shè)施進行隔離，并避開未經(jīng)授權(quán)的進

入。此類區(qū)域的平安要求必需通過風(fēng)險評估后才能確定?？煽紤]接受如下原則：

-只允許經(jīng)過授權(quán)且已辨明身份的人從樓外進入交接區(qū)。

-交接區(qū)的設(shè)計應(yīng)做到使送貨人員只在此卸貨而不能走到樓內(nèi)其它區(qū)域去。

-在交接區(qū)內(nèi)門放開的狀況下，交接區(qū)外門應(yīng)保持關(guān)閉狀態(tài)。

-把進入的貨物從交接區(qū)轉(zhuǎn)到運用區(qū)之前要對其進行檢查，確保沒有潛在緊急存在

（參見7.2.1d）o

-進入貨物在抵達時要進行登記（參見5.1）o

7.2設(shè)備平安

目標：防止資產(chǎn)的遺失、損壞、危害及企業(yè)正?；顒拥闹袛?。

設(shè)備應(yīng)從的理上防止受到平安威逼或環(huán)境上的破壞。

有必要對設(shè)備，包括那些外借的設(shè)備，進行必要的愛惜，以降低數(shù)據(jù)被非法存取、遺

失或破壞的風(fēng)險。同時應(yīng)考慮設(shè)備的座落和處置。要求有特殊的管制手段來愛惜對設(shè)

備的非法運用，并對諸如電源和電纜基礎(chǔ)設(shè)施等幫助設(shè)備進行愛惜。

7.2.1設(shè)備座落及防護

對設(shè)備座落加以愛惜，使其免耍四周環(huán)境造成的威逼或損壞，并避開未經(jīng)授權(quán)的進

入。可考慮如下要素：

-設(shè)備座落要做到盡量削減不必要進入工作區(qū)的次數(shù)。

-處理敏感數(shù)據(jù)的信息處理和存儲設(shè)備的座落要使其在運用時不被遺漏。

-須要特殊愛惜的物品要分開放置，以節(jié)約額外的愛惜措施。

-實行管制手段來降低潛在威逼的風(fēng)險，包片：1）盜竊；2）火災(zāi)；3）爆炸；4）煙

霧；5）水災(zāi)（包括供水故障）；6）灰塵；7）通風(fēng)；8）化學(xué)反應(yīng)；9）供電中

斷；10）電磁輻射

-單位還應(yīng)考慮制定在信息處理設(shè)備旁邊就餐、飲水和吸煙方面的規(guī)定。

-對可能影響信息處理設(shè)備運用的環(huán)境因素進行監(jiān)控。

-在工業(yè)環(huán)境下可考慮接受特殊的愛惜方法，如對鍵盤套上愛惜膜等。

-還要考慮旁邊發(fā)生災(zāi)難時的愛惜方案，如旁邊樓房著火、屋頂或地板漏水或臨街爆

炸等。

7.2.2電力供應(yīng)

使設(shè)備避開斷電或其它供電方面的問題。供電要符合設(shè)備制造商對供電的規(guī)定和要

求。保持供電不中斷的措施包括：

-多條供電線路以防某條供電線路出現(xiàn)故障

-續(xù)電器（UPS）

-備用發(fā)電機

支持關(guān)鍵運營的設(shè)備要特殊考慮運用續(xù)電器，可保證其能正常關(guān)機或持續(xù)運轉(zhuǎn)。同

時，要制定續(xù)電器發(fā)生故障時的應(yīng)急支配。對續(xù)電器要定期檢查其儲電量，并按制造

商的指導(dǎo)對其進行測試。

備用發(fā)電機主要用作應(yīng)付長時間的斷電。如安裝了發(fā)電機，應(yīng)當按制造商的要求對其

進行定期檢測。同時，要儲備足夠的燃料，確保發(fā)電機能長時間地發(fā)電。

此外，要在設(shè)備室的緊急出口處安裝緊急電源開關(guān)，用作緊急狀況下快速關(guān)閉電源。

還要安裝緊急照明燈以防緊急斷電。全部的樓房都要實施照明愛惜措施，并給全部外

部通訊線路安裝照明愛惜濾光器。

7.2.3傳輸設(shè)備平安性

愛惜傳輸數(shù)據(jù)或支持信息服務(wù)的供電和通訊傳輸設(shè)備，使之免于中斷或損壞?？煽紤]

如下管制措施：

-如有可能，信息處理設(shè)備的電源線和通訊線都要鋪在地下并供應(yīng)足夠的備用愛惜措

施。

-防止網(wǎng)絡(luò)電纜被非法裁斷或破壞，例如通過安裝電纜愛惜導(dǎo)管或避開公眾區(qū)等措施

-電源線和通訊線要分開鋪設(shè)，避開相互干擾。

-對敏感或關(guān)鍵設(shè)備，可考慮進一步的管制措施，如：1）在檢測或終點端安裝裝甲

防護電纜導(dǎo)管或上鎖房間或盒子；2）運用備用路徑或傳輸媒介；3）運用光纖電

纜；4）對非法掛置在電纜上的物件進行定期掃除

7.2.4設(shè)備的維護、保養(yǎng)

對設(shè)備的維護應(yīng)依據(jù)制造商的指示或規(guī)定的流程進行，確保持續(xù)正常的工作狀態(tài)。可

考慮如下指導(dǎo)原則：

-依據(jù)供貨商建議的周期和規(guī)格對設(shè)備進行定期維護

-只允許經(jīng)過授權(quán)的維護人員對設(shè)備進行檢修和維護

-對全部懷疑或?qū)嵲诘墓收霞叭康姆婪?、修正維護措施進行記錄

-如設(shè)備須要送到單位外面進行修理，應(yīng)實行適當?shù)墓苤拼胧▍⒁?.2.6）o保險

條例的全部要求都要遵守。

7.2.5非管制區(qū)的設(shè)備平安管理

無論設(shè)備產(chǎn)權(quán)如何，運用任何單位以外的設(shè)備進行信息處理都要經(jīng)單位領(lǐng)導(dǎo)批準。考

慮在單位外進行信息處理可能導(dǎo)致的風(fēng)險，在外處理信息所應(yīng)實行的防護措施在程度

上不得亞于單位內(nèi)部的防護措施。此處所指的信息處理設(shè)備包括任何家庭用的或從單

位帶出的任何形式的個人電腦、手持電腦、移動電話、紙張或其它物品。可考慮接受

如下的指導(dǎo)原則：

-從單位帶出的設(shè)備或媒介在公共場合要有人照看。旅行時，移動電腦應(yīng)作為行李隨

身攜帶并進行掩飾。

-隨時遵守制造商關(guān)于愛惜設(shè)備的指示，例如防止設(shè)備接觸強磁場等。

-在家工作的管制措施要經(jīng)過風(fēng)險評估后確定并實施，例如，可安裝上鎖的保險柜、

接受桌面凈空原則及電腦的存取限制等。

諸如盜竊、損壞和遺失等平安風(fēng)險在各個地方的程度不同，因此在各地要因地制宜地

制定防護措施。關(guān)于愛惜移動設(shè)備的其它信息可參見9.8.1條款。

7.2.6設(shè)備報廢或再啟用平安管理

信息通過不經(jīng)心的報廢處置或重新啟用遺失。報廢處置時，存有敏感信息的存儲設(shè)備

要從物理上加以銷毀，或用平安方式對信息加以覆蓋，而不能接受常用的標準刪除功

能來刪除。

全部存有諸如硬盤等儲存媒介的設(shè)備在報廢前都要對其檢查，以確保其內(nèi)存的敏感信

息和授權(quán)專用軟件已被清除或覆蓋。存有敏感數(shù)據(jù)的已損壞的存儲設(shè)備要對其進行風(fēng)

險評估，以確定是否對其銷毀、修理或遺棄。

7.3日常管制

目標：防止信息或信息處理設(shè)備被毀壞或偷竊。

防止信息和信息處理設(shè)備被非法泄漏、修改或盜用。實行管制手段將損失或毀壞的風(fēng)

險降至最低。有關(guān)處理和存儲流程詳見8.6.3條款。

7.3.1桌面及屏賽凈空原則

單位應(yīng)制定并執(zhí)行桌面及屏幕凈空原則，降低工作時間內(nèi)和工作時間外的未經(jīng)授權(quán)存

取信息、遺失或損壞信息的風(fēng)險。政策的制定要考慮信息平安分類（參見5.2）、相

應(yīng)的風(fēng)險和單位的企業(yè)文化等。

留在桌面上的信息很易于被盜，或在發(fā)生水災(zāi)、火災(zāi)、爆炸時被毀壞。

可考慮實行如下原則：

-如有可能，在不用時，特殊是下班后，將文件和電腦媒體鎖在柜子里或其它形式的

平安家具中

-敏感或關(guān)鍵企業(yè)信息在不用時，特殊是辦公室無人時，應(yīng)鎖起來（最好是鎖在防火

保險柜或保險箱里）。

-個人電腦和電腦終端及打印機在無人運用時不得置于上網(wǎng)狀態(tài)，并要求有密碼、密

碼鎖或其它的愛惜措施。

-收發(fā)郵件的地點和無人照看的傳真、電掛設(shè)施要加以愛惜。

-下班后，要把復(fù)印機鎖起來（或加以愛惜禁止其它方式的非法運用）。

-敏感或機密信息打印出來后要立即從打印機上拿走。

7.3.2財產(chǎn)攜離

單位所屬設(shè)備、信息或軟件未經(jīng)授權(quán)不得撤離。如有必要，設(shè)備要從網(wǎng)上下來，歸還

時再重新上網(wǎng)。要進行場地檢查以檢測資產(chǎn)是否被非法挪用。要通知員工場地檢查的

事情。

八、溝通和操作過程管理

8.1操作程序書及權(quán)責(zé)

目標：確保雇員能正確、平安地操作信息處理設(shè)備。

要建立全部信息處理設(shè)備的管理和操作的權(quán)責(zé)及流程。這包括開發(fā)適當?shù)牟僮髦笇?dǎo)和

事故反應(yīng)流程。

在適當?shù)臓顩r下，要對權(quán)責(zé)進行劃分（參見8.1.4）,以降低瀆職或有意濫用系統(tǒng)的

風(fēng)險。

8.1.1操作流程的文件化

平安原則中闡明的操作流程應(yīng)有文件記錄并加以存檔。應(yīng)把操作流程看作正式的文

件，其變更須要經(jīng)過管理人員的批準。

流程要規(guī)定每個工作的詳細實行指示，包括：

-信息的加工和處理

-日程的要求，包括和其它系統(tǒng)的相互依存，最早的工作起始點及最晚的工作結(jié)束日

期等

-關(guān)于處理工作過程當中出現(xiàn)的錯誤或其它特殊條件的指示，包括對系統(tǒng)設(shè)備的運用

限制等（參見制5.5）

-出現(xiàn)預(yù)料之外的操作或技術(shù)困難時尋求支持的聯(lián)絡(luò)方式

-特殊輸出處理指示，例如如何運用特殊的文具或機密輸出的管理等，包括對錯誤輸

出的平安處理

-出現(xiàn)系統(tǒng)癱瘓時的系統(tǒng)重新啟動和復(fù)原流程

和信息處理及通訊設(shè)備有關(guān)的系統(tǒng)整理活動要有記錄在案的操作流程，例如電腦啟動

和關(guān)閉程序、備份、設(shè)備維護、電腦房和郵件處理管理及平安流程等。

8.1.2系統(tǒng)變更管制

要對信息處理設(shè)施和系統(tǒng)方面的變更加以管制。對信息處理設(shè)備和系統(tǒng)管制的不充分

是引起系統(tǒng)或平安癱瘓的常見緣由。因此，要有正式的管理權(quán)責(zé)和流程對全部的設(shè)

備、軟件或流程變更進行令人滿意的管制。對操作程序變更的管制要尤其嚴格。如程

序發(fā)生變更，則應(yīng)保持一份記載全部相關(guān)信息的審計記錄。操作環(huán)境的變更可能會影

響應(yīng)用程序。如有可能，應(yīng)把操作和應(yīng)用的變更管制流程整合起來（參見10.5.1）。

特殊是要考慮如下的因素：

-對重大變更的辨別和記錄

-對此類變更的潛在影響的評估

-對提議的變更的正式審批流程

-把變更的微小環(huán)節(jié)通知給全部的相關(guān)人員

-追究放棄變更或失敗變更復(fù)原責(zé)任的流程

8.1.3事故管理程序

要建立事故管理責(zé)任流程制度，確保平安事故發(fā)生后作出快速、有效、有序的反應(yīng)

（參見6.3.1）o可考慮如下的指導(dǎo)原則：

-設(shè)立流程，使其涵蓋全部潛在的平安事故類型，包括1）信息系統(tǒng)癱瘓和服務(wù)的損

失；2）拒絕服務(wù)；3）不完整或不精確的業(yè)務(wù)數(shù)據(jù)所導(dǎo)致的錯誤；4）泄密

-除一般的應(yīng)急支配之外（其目的是盡快地復(fù)原系統(tǒng)和服務(wù)），這些流程還要包括

（參見6.3.4）：1）對事故緣由的分析和辨別；2）如必要.制定并實施補救支配

防止同類事故的再發(fā)生；3）收集審計記錄和相關(guān)證據(jù)；4）和受到事故影響及從事

求援的人員溝通：5）向有關(guān)當局報告行動

-應(yīng)集收并妥當保存審計記錄向相關(guān)證據(jù)（參見12.1.7）,用于：1）內(nèi)部問題分

析；2）潛在的違反合同、法規(guī)的證據(jù)，或濫用電腦或違反數(shù)據(jù)愛惜法律而導(dǎo)致的

刑事、民事訴訟中的證據(jù)；3）和軟件及服務(wù)供應(yīng)商開展索賠的談判

-對訂正違反平安行為和修正系統(tǒng)癱瘓的行動要加以細致細致的管制。其管制流程要

確保：1）只有經(jīng)過明確授權(quán)并辯明身份的人員才得以接觸系統(tǒng)和數(shù)據(jù)（參見

4.2.2條款中關(guān)于第三方存取的規(guī)定）；2）全部緊急行動都要有詳細的記錄；3）

有序地向管理人員報告并評估緊急行動支配；4）對運營系統(tǒng)和管制手段完整性的

確認應(yīng)盡量避開耽擱

8.1.4部門權(quán)責(zé)劃分

權(quán)責(zé)劃分是降低事故風(fēng)險和有意濫用系統(tǒng)風(fēng)險的一個有效手段。因此，要考慮對各部

門的權(quán)責(zé)進行清楚劃分，以避開未經(jīng)授權(quán)而修改或濫用信息。

小單位可能覺得這一管制方法實施起來比較困難，但應(yīng)盡量參考運用其原則和做法。

如劃分權(quán)責(zé)有困難，那么應(yīng)當考慮其它的管制手段如行動監(jiān)視、審計記錄和管理監(jiān)督

等。保持平安審計的獨立性是特殊重要的。

應(yīng)留意確保在費任單一的區(qū)域內(nèi)，只要有人從事犯罪活動就立即會被察覺。事務(wù)的發(fā)

起和其授權(quán)要分開考慮。可考慮如下要素：

-對集體犯罪行為進行區(qū)分特殊重要，此類活動可包括提高訂單價格或?qū)λ沼唵渭?/p>

以確認等

-如有集體犯罪的緊急，管制手段的實施就須要兩個或以上的人員參加，這樣可以降

低合謀的可能性

8.1.5開發(fā)與操作設(shè)備的隔離

對開發(fā)、測試和操作設(shè)備進行隔離對權(quán)責(zé)劃分來說特殊重要。要制定相關(guān)法規(guī)來限制

軟件從開發(fā)部門向操作部門的劃撥。

開發(fā)和測試活動會導(dǎo)致嚴峻的問題，如對文件或系統(tǒng)環(huán)境的亂改，或系統(tǒng)癱瘓等。因

此，要針對操作、測試和開發(fā)環(huán)境的隔離考慮必要的隔離級別，以避開操作上的問

題。在開發(fā)和測試功能之間，也要求有類似的隔離。在此狀況下，有必要保持一個已

知而穩(wěn)定的環(huán)境，以供開展有意義的測試，并避開非法開發(fā)人員的存取。

如開發(fā)和測試人員可進入操作系統(tǒng)并存取其信息，他們有可能會引入未經(jīng)授權(quán)或未經(jīng)

檢測的編碼并篡改操作數(shù)據(jù)。在某些系統(tǒng)內(nèi)，這一實力可能會被濫用來進行犯罪活

動，或引入未經(jīng)測試的病毒碼。未經(jīng)檢測的病毒碼會導(dǎo)致嚴峻的操作問題。開發(fā)人員

和測試人員也會構(gòu)成對操作信息保密性的威逼。

如共用相同的計算環(huán)境，開發(fā)和測試活動可能會導(dǎo)致軟件和信息的變更。這樣，把開

發(fā)、測試和操作設(shè)備隔離開就可以降低發(fā)生事故或非法存取操作軟件和業(yè)務(wù)數(shù)據(jù)的風(fēng)

險?？煽紤]如下的管制手段：

-如可能，應(yīng)在不同的電腦處理機上，或不同的域名或書目下運行開發(fā)和操作軟件

-盡可能地將開發(fā)和測試活動隔離開

-不必要時，編楫器和其它系統(tǒng)設(shè)備不得通過操作系統(tǒng)進行存取

-操作和測試系統(tǒng)要運用不同的登錄流程，以此降低出錯的風(fēng)險。要激勵運用者在不

同系統(tǒng)上運用不同的口令，而菜單也要求能顯示適當?shù)纳矸荼鎰e指令。

-只有管制手段要求向開發(fā)人員發(fā)放口令以支持操作系統(tǒng)時，開發(fā)人員才可獲得操作

口令。同時，管制手段要確?？诹钤谟卯吅罅⒓锤鼡Q。

8.1.6外部設(shè)備管理

運用外部承包方來管理信息處理設(shè)備可能會引起諸如數(shù)據(jù)丟失、泄漏或毀壞等潛在的

平安問題。因此，對這些風(fēng)險要事先加以辨別，并納入和承包方簽訂的合同當中。須

要考慮的要素包括

-對單位內(nèi)部的敏感或關(guān)鍵應(yīng)用加以辨別

-獲得商業(yè)應(yīng)用軟件產(chǎn)權(quán)人的批準

-持續(xù)運營支配的考慮

-要加以規(guī)定的平安標準和檢驗是否合法的程序

-詳細權(quán)貢的劃分和對有關(guān)平安活動進行監(jiān)視的流程

-報告和處理平安事故的權(quán)責(zé)及流程（參見8.1.3）

8.2系統(tǒng)規(guī)劃及可行性

目標：將系統(tǒng)失效風(fēng)險降至最低。

要進行事前支配和準備以確保有足夠的實力和資源。

要作出對將來實力要求的預(yù)料，降低系統(tǒng)超載的風(fēng)險。在驗收和運用前，制定、記錄

并測試新系統(tǒng)的操作要求。

8.2.1系統(tǒng)容量需求支配

對系統(tǒng)容量要求進行監(jiān)控，并進行將來容量要求預(yù)料，確保足夠的處理和存儲實力。

這些預(yù)料要考慮新業(yè)務(wù)和系統(tǒng)的要求及單位信息處理的當前和將來走向。

對主框計算機要特殊留意，因為它們選購的成本較高，時間也較長。主框服務(wù)

的經(jīng)理人員應(yīng)當對主要系統(tǒng)資源的運用狀況進行監(jiān)視，包括處理器、主要內(nèi)存、文件

儲存、打印機和其它輸出設(shè)備及通訊系統(tǒng)。它們要對運用的走向加以辨別，特殊是有

關(guān)業(yè)務(wù)應(yīng)用或管理信息系統(tǒng)工具方面的走向。

管理人員應(yīng)當運用這些信息來辨別并避開可能對系統(tǒng)平安或運用者服務(wù)構(gòu)成平安的潛

在瓶頸，并事先進行適當?shù)难a救吁動規(guī)劃。

8.2.2系統(tǒng)險收

建立新信息系統(tǒng)、系統(tǒng)升級和新版本方面的驗收標準；在驗收前進行適當測試。管理

人員應(yīng)當確保新系統(tǒng)驗收的要求和標準有清除的定義，并得到同意、記錄和測試?？?/p>

考慮下列有關(guān)方面：

-運轉(zhuǎn)和計算實力的要求

-錯誤復(fù)原、啟動流程和應(yīng)急支配

-備有經(jīng)過同意的平安管制措施

-有效的操作流程

-11.1條款中要求的業(yè)務(wù)持續(xù)支配

-新系統(tǒng)不會，特殊是在月末這樣的高峰期間不會影響現(xiàn)有設(shè)備運行的證據(jù)

-對新系統(tǒng)對單位總體平安作產(chǎn)生影響已加以考慮的證據(jù)

-操作和運用新系統(tǒng)方面的有關(guān)培訓(xùn)

在從事重大開發(fā)項目時，要開發(fā)過程中的全部階段要就操作功能和運用進行詢問，以

確保提出的系統(tǒng)設(shè)計的最高操作效率。實行適當?shù)臏y試來確認全部的驗收標準都已達

到。

8.3侵略性軟件防護

目標：愛惜軟件及信息的完整。

實行措施防止并檢測侵略性軟件的侵入。

軟件和信息處理設(shè)備很簡潔受到諸如電腦病毒、網(wǎng)絡(luò)蠕蟲、特洛伊木馬、邏輯炸彈等

侵略性軟件的侵害。因此，運用者應(yīng)當意識到非法或侵略性軟件的危害；管理人員應(yīng)

當在必要時實行特殊管制手段來檢測和防范此類軟件的入侵。特殊是應(yīng)實行措施來檢

測和防范個人電腦上的電腦病毒。

8.3.1對非法入侵軟件的防衛(wèi)管理

檢測并防止非法軟件的入侵，實施恰當?shù)姆婪读鞒獭η致孕攒浖姆婪稇?yīng)以平安意

識、適當?shù)南到y(tǒng)存取和更改管理管制措施等為基礎(chǔ)?？煽紤]如下措施：

-制定政策要求運用正版軟件，禁止運用盜版軟件（參見12.1.2.2）

-制定政策防范運用外來的軟件或文件的風(fēng)險（