4基层单位信息系统安全等级保护三级管理制度-信息系统系统建设管理规定

1、。版本号：1.0。0423信息系统建设管理规定第一章总则第一条为加快公司信息系统建设步伐，规范信息系统项目建设安全管理，提高信息系统建设和管理水平，保障信息系统项目建设安全，特制定本规范。第二条本规范主要提出蓝菊金融信息服务有限公司(以下简称“公司”)信息系统建设过程的安全管理标准。为了确保安全运行，我们必须依靠强大的安全技术，同时，我们必须有一个全面和动态的安全政策和一个良好的内部管理机制。本规范包括五个部分：1)项目施工安全管理的总体要求：明确项目施工安全管理的目标和原则；2)项目规划安全管理：对信息化项目建设各环节的规划提出安全管理要求，确定各环节的安全要求、目标和施工计划；3)方案论证

2、和审批安全管理：安全管理部组织行内外专家对项目施工安全方案进行论证，确保安全方案的合理性、有效性和可行性。明确参与项目建设的安全管理和技术人员及职责，按照规定的安全内容和审批程序进行审批；4)项目实施计划和实施过程中的安全管理：包括确定项目实施阶段的安全管理目标和实施方法，完成项目安全专用产品和非安全产品安全的确定等。5)工程调试和验收的安全管理：制定安全评价和验收方法、工程调试的安全管理规范及相关依据。第三条规范性引用文件通过引用本规范，以下文件中的条款成为本规范的条款。所有随后的修订版(不包括勘误表)或注明日期的参考文件的修订版均不适用于本规范，但鼓励研究是否可以使用这些文件的最新版本。对

3、于未注明日期的参考文件，最新版本适用于本规范。Gb/t 5271.8-2001信息技术词汇第8部分安全第4条术语和定义本规范引用了GB/T 5271.8-2001中的术语和定义，并采用了以下术语和定义：1)信息安全信息安全保护信息的机密性、完整性和可用性。注：机密性定义为确保信息只能由授权人员访问。完整性被定义为保护信息和处理方法的准确性和完整性。可用性定义为确保授权用户可以在需要时访问信息和相关资产。2)计算机系统安全工程isse(信息系统安全工程)计算机系统安全工程(ISSE)是一门发现用户信息安全保护需求，然后以经济、准确和简洁的方式设计和构建计算机系统的技能和科学。ISSE确定安全风险

4、，并尽量减少或控制这些风险。3)风险分析风险分析分析和评估信息和信息处理设施面临的威胁和影响，以及计算机系统的脆弱性及其发生的可能性。4)安全目标本规范具体指公司项目建设信息安全管理中要实现的目标。5)安全测试用于根据设计要求确定实现系统安全特性的过程。该过程通常包括现场功能测试、渗透测试和验证。第五条根据国家有关政策、法规和规章，结合各种信息化项目的具体情况，依据各种标准、规范和安全管理规定，制定本规范。第二章工程建设安全管理的一般要求第六条项目施工安全管理目标项目的生命周期包括：项目申报、项目审批和立项、项目实施、项目验收和生产；从项目的角度来看项目施工安全管理的目标是在项目管理和施工过程

5、中确保整个系统的安全。为了实现这一目标，信息安全(INFOSEC)必须集成到项目管理和项目建设过程中，并与公司的业务需求、环境要求、项目计划、成本效益以及国家和地方政策、标准和指令保持一致。这种集成应产生一个计算机系统安全工程(ISSE)项目，该项目应识别、评估、消除或控制系统对已知或假定威胁的脆弱性，并最终获得可接受的安全风险水平。计算机系统安全工程(ISSE)并不意味着有一个独立的过程。它支持项目管理和建设过程，是后者的一个组成部分。第三章至第六章将以项目管理过程为主轴，并结合项目建设过程，规定每个阶段应满足哪些计算机系统安全工程要求。第七条工程建设安全管理原则信息系统项目建设的安全管理应

6、遵循以下原则：1)等级2)全生命周期安全管理：信息安全管理必须贯穿于信息化项目建设的全生命周期；3)成本效益分析：信息安全建设和管理应考虑投入产出比；4)责任明确：参与项目建设和项目管理的每个人都应明确安全责任，并接受安全意识和责任培训，落实到位；5)开放式管理：确保每个项目参与者都了解和理解安全管理的模式和方法；6)科学制衡：进行适当的职责分离，以确保没有人能够单独完成业务活动，从而避免相应的安全问题；7)最低权限：人员对项目资产的访问权限被限制在最低限度，也就是说，他们仅被授予执行授权任务的必要权限。第八条项目施工安全管理要求项目安全管理应强化责任机制，规范管理程序。在项目申报、审批、立项

7、、实施、验收等关键环节，必须按照规定的职能行使权限，各环节的安全管理行为要在规定的时限内完成，否则要承担相应的行政责任。第三章项目申报第九条在项目申报阶段，应当对信息系统项目及其建设的各个环节制定统一的安全管理计划，确定项目的安全要求、安全目标和安全建设方案，以及生命周期各阶段的安全要求、安全目标和安全管理措施。第十条应由项目主管单位对申请项目进行需求分析，确定总体目标和建设计划。项目主管申请单位填写信息系统项目立项申请表，提交业务需求书和信息系统项目可行性研究报告。第十二条系统分级1)根据国家信息系统安全等级保护分级指南(GBT 22240-2008)，对项目中的系统进行分级，定义信息系统的

8、边界和安全等级；2)书面说明确定信息系统为一定安全防护等级的方法和理由，并形成信息系统等级报告；3)组织相关部门和相关安全技术专家对信息系统评分结果的合理性和正确性进行论证和审查，并报上级主管单位和安全监控单位审批；4)信息系统的评分结果应向当地公安机关备案。第十三条挖掘安全要求在业务需求书中，除了描述系统的业务需求外，还应分析系统的安全需求，其中至少应包括以下信息安全方面：1)安全威胁分析报告：分析待建计算机系统在其生命周期各阶段可能遭受的自然威胁或人为威胁(有意或无意)，包括威胁列表、威胁可能性分析、威胁严重性分析等。2)系统脆弱性分析报告：包括系统原因脆弱性的定性或定量描述4)风险分析报

9、告：安全风险分析的目的是识别给定环境中依赖于某个系统的安全风险。它依赖于上述威胁分析、漏洞分析和影响分析，并应提供风险列表和风险优先级列表；5)系统安全需求报告：针对安全风险，提出安全需求，对于每个不可接受的安全风险，至少有一个与之对应的安全需求。第14条安全可行性可行性报告中的以下项目应增加相应的信息安全：1)项目目标、主要内容和关键技术：增加信息项目的总体安全目标，在主要内容后增加针对上述安全要求的相应安全对策。每个安全要求对应至少一个安全对策，安全对策的强度应根据相应资产的重要性进行选择；2)项目采用的技术路线或技术方案：从技术、操作、组织和体系四个方面补充说明如何实现所有安全对策，形成

10、安全方案；3)项目承担单位和人员介绍：增加项目各承担单位的信息安全资质和经验，增加项目主要参与者的信息安全背景；4)项目安全管理：增加项目建设中的安全管理模式、安全组织结构、人员安全职责、安全操作规程及相应的安全管理要求；5)成本效益分析：对安全方案进行成本效益分析。第十五条已投入使用的应用软件如需升级，无需另建项目，但仍需参照上述方法进行一定的安全分析，并针对可能出现的安全问题提出和实施相应的安全对策。第四章安全方案设计第十六条现阶段，项目审批单位主要为项目申报内容设计安全方案，确定项目的安全性，必要时可聘请其他单位的专家参与论证工作。第十七条安全标准的确定1)根据系统的安全防护等级选择基本

11、安全措施，设计安全标准必须满足相关等级防护的基本要求，并根据风险分析结果补充和调整必要的安全措施；2)指定并授权专门部门对信息系统的安全建设进行总体规划，制定短期和长期的安全建设工作计划；3)根据信息系统的分类，统一考虑安全系统的总体安全策略、安全技术框架、安全管理策略、总体建设计划和详细设计方案，并形成支持文件4)组织相关部门和相关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体施工方案和详细设计方案等相关支持文件的合理性和正确性进行论证和验证，经批准后方可正式实施；5)根据等级评定和安全评估的结果，定期对总体安全策略、安全技术框架、安全管理策略、总体施工方案和详细设计方案等相关

12、支持文件进行调整和修订。第五章方案论证和审批第十八条现阶段，项目审批单位主要审批项目申报的内容和论证项目的安全性。如有必要，可聘请其他单位的专家参与论证工作。第十九条安全论证和审批安全论证应侧重于项目安全需求分析、安全对策和总体安全方案的成本效益、合理性、可行性和有效性分析，并对信息化项目立项审批表给出明确结论：1)适当2)不适当(否决)3)需要重新考虑对于论证结论为“需要重新审议”的项目，通知申报单位对相关内容进行必要的补充或修改，然后提交复审。第二十条项目安全工程审批后，项目审批和app2)项目实施的基本程序和相应的管理要求：在项目建设和实施中增加安全操作程序和相应的安全管理要求；3)项目

13、设计目标、主要内容和关键技术：增加总体安全目标、安全对策和实现安全对策的总体安全方案；4)项目实现功能和性能指标：增加对具体安全功能的描述和系统所具备的安全功能的强度；5)项目验收评估指标：增加安全测试和评估指标。第二十一条项目，如引进、合作开发或外包开发，需要与第三方签订安全保密协议。第六章项目实施计划和实施过程安全管理标准第二十二条信息化项目实施阶段包括三个子阶段：概要设计、详细设计和项目实施。该阶段的主要工作由项目开发承担单位完成，项目审批单位负责监督。第二十三条概要设计子阶段的安全要求在概要设计阶段，系统级的设计要求和功能指标被分配到子系统级，该子阶段的安全目标是确保每个子系统设计实现

14、总体安全方案中的安全功能。因此，信息系统项目任务书至少应满足以下安全要求：1)系统的安全架构应该按照子系统来描述；2)描述各子系统提供的安全功能；3)应识别所需的任何基本硬件、固件或软件，以及在这些硬件、固件或软件中实现的支持保护机制所提供的功能表示；4)应识别子系统的所有接口，哪些接口是外部可见的；5)描述子系统所有接口的用途和用途，并适当提供影响、异常和错误信息的详细信息；6)确认子系统(开发或采购)的安全功能指标满足系统安全要求。第二十四条详细设计分阶段安全要求无论是开发新系统还是修改系统，这个阶段的任务是完成买不到的软件和硬件模块的设计。首先完成各个模块的详细设计方案，最后根据各个模块

15、的详细设计得到整个系统的详细设计。该子阶段的安全目标是确保每个模块设计实现概要设计中的安全功能，因此该阶段的概要设计说明书至少应包括以下信息安全内容：1)在详细设计中，应提出相应的具体安全方案，标明已实现的安全功能，并检查其技术原理；2)审查系统级和模块级的安全设计；3)完整的安全测试和评估要求(通常包括完整的系统、软件和硬件安全测试方案，至少一份相关测试程序草案)；4)确认各模块的设计和模块间的接口设计能够满足系统级的安全要求。第二十五条项目实施分阶段的安全要求无论是开发新系统还是修改系统，此阶段的主要目的是将所有模块(软件和硬件)集成到一个完整的系统中，并检查集成的系统是否满足要求。在此阶段，应完成以下具体的信息安全工作：1)更新系统安全威胁评估并预测系统的使用寿命；2)找出并描述安全方案实施后系统和模块的安全需求和局限性，以及相关的系统验证机制和检查方法；3)完善系统的操作程序和整个生命周期支持的安全计划，如密钥的分配；4)详细设计说明书应建立安全集成的操作程序；5)系统集成操作手册应制定系统改造的安全操作规程；6)对项目参与者进行信息安全意识培训；7)并参加项目施工安全管理和技术人员安全职责的检查。第二十六条系统实施阶段采购的网络安全设备必须由公司统一采购，采购的设备必须至少满足以下要求：1) Th2)所有安全设备都要经过严格的测试，所有采购的设备都要在测试