DB32T1927-2011政府信息系统安全防护基本要求.pdf 20页

'ICS35.040L70备案号：31592-2011DB32江苏省地方标准DB32/T1927-2011政府信息系统安全防护基本要求Baselineforgovernmentinformationsystem2011-11-10发布2012-01-10实施江苏省质量技术监督局发布 DB32/T1927-2011目次前言.............................................................................................................................................................................II引言............................................................................................................................................................................III1范围..........................................................................................................................................................................12规范性引用文件.......................................................................................................................................................13术语和定义..............................................................................................................................................................14基本要求..................................................................................................................................................................14.1物理安全.............................................................................................................................................................14.2网络安全.............................................................................................................................................................34.3主机安全系统………………………………………………………………………………………………………………………………………….44.4应用安全………………………………………...……………………………………………………………………………………………………..64.5数据安全…………………………………...…………………………………………………………………………………………………………..84.5安全管理…………………………………...………………………………………………………………………..………………………………...8I DB32/T1927—2011前言本标准依据GB/T1.1—2009《标准化工作导则第1部分：标准的结构和编写》编写。本标准由江苏省经济和信息化委员会归口。本标准由江苏省经济和信息化委员会提出。本标准起草单位：江苏省电子信息产品质量监督检验研究院（江苏省信息安全测评中心）。本标准起草人：吴兰、黄申、张影秋、程恺。II DB32/T1927-2011引言本规范规定了政府信息系统安全防护的基本要求，用以指导设计者如何设计和实现满足安全需求的政府信息系统。本规范主要从物理安全、网络安全、主机系统安全、应用安全、数据安全和安全管理等方面对安全防护基本要求做了全面的描述。本规范所提到的政府信息系统要求满足GB/T22239中第三级的要求。IIIwww.bzfxw.com DB32/T1927—2011政府信息系统安全防护基本要求1范围本规范规定了政府信息系统安全防护的基本要求。本规范适用于政府信息系统安全防护的设计、验收和安全检查。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T22239—2008信息安全技术信息系统安全等级保护基本要求3术语和定义GB/T22239-2008确立的术语和定义适用于本标准。3.1政府信息系统governmentinformationsystem是指由政府机关建设和使用，履行经济调节、市场监管、社会管理和公共服务职能的信息系统。4基本要求4.1物理安全4.1.1物理位置的选择4.1.1.1基本要求：机房及辅助场地应选择在具有较强的防震、防风和防雨等能力的建筑内；4.1.1.2位置要求：机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；4.1.1.3其他要求：机房场地应当避开强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生火灾、水灾、易遭受雷击的地区。4.1.2物理访问控制4.1.2.1机房出入：机房出入口应有专人管理或配置电子门禁系统，鉴别进入的人员身份并登记在案；4.1.2.2来访人员：应批准进入机房的来访人员，限制和监控其活动范围；4.1.2.3分区管理：应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过度区域。4.1.3防盗窃和防破坏4.1.3.1设备放置范围：应将主要设备放置在物理受限的范围内；4.1.3.2设备标记：应对设备或主要部件进行固定，并设置明显的不易除去的标记；4.1.3.3线缆铺设：应将通信线缆铺设在隐蔽处，如铺设在地下或管道中等；4.1.3.4介质标识存储：应对介质分类标识，存储在介质库或档案室中；4.1.3.5设备移动要求：设备或存储介质携带出工作环境时，应受到监控和内容加密；1 DB32/T1927—20114.1.3.6防盗报警系统：应配置防盗报警系统，保证非法入侵和破坏行为得到及时报警和处置；4.1.3.7监控报警系统：应对机房设置监控报警系统，并保存监控记录。4.1.4机房接地与防雷击4.1.4.1接地要求：采用地桩、水平栅网、金属板、建筑物基础钢筋构建接地系统等，确保接地体的良好接地；4.1.4.2去耦、滤波要求：设置信号地与直流电源地，不造成额外耦合，保障去耦、滤波等的良好效果；4.1.4.3防护地与屏蔽地要求：设置安全防护地与屏蔽地，采用阻抗尽可能小的导体，以减小各种地之间的电位差；4.1.4.4交流电源地线要求：设置交流电源地线；交流供电线应有规范连接位置的三芯线，并将地线与机房的地线网连通；4.1.4.5避雷要求：机房建筑应设置避雷装置；4.1.4.6防雷要求：应设置防雷保安器，防止感应雷。4.1.5防火4.1.5.1自动报警灭火系统：应设置火灾自动消防系统，自动检测火情、自动报警，并自动灭火；4.1.5.2建筑材料的防火：机房及相关的工作房间和辅助房，其建筑材料应具有耐火等级；4.1.5.3区域隔离防火：机房采取区域隔离防火措施，将重要设备与其他设备隔离开。4.1.6防水和防潮4.1.6.1水管安装要求：机房应避免安装水管，屋顶和地板下不应安装水管，应对穿过墙壁和楼板的水管增加必要的保护措施；4.1.6.2防水渗透要求：应采取措施防止雨水通过屋顶和墙壁渗透，应采取措施防止室内水蒸气结露和地下积水的转移与渗透。4.1.7防静电4.1.7.1接地与屏蔽：应采用必要的接地防静电措施与屏蔽系统；4.1.7.2静电地板：机房和重要介质设备间，应采用防静电地板。4.1.8温湿度控制4.1.8.1基本温湿度要求：应符合相关国家标准的要求，使机房温湿度达到所需的温湿度要求；4.1.8.2较完备空调系统：应有较完备的中央空调系统，保证机房温湿度的变化在计算机系统运行所允许的范围；4.1.8.3完备空调系统：应有完备的中央空调系统，保证机房各个区域的温湿度变化能满足计算机系统运行、人员活动和其他辅助设备的要求。4.1.9电力供应4.1.9.1分开供电：计算机系统供电应与其他供电分开；4.1.9.2稳压供电：应设置稳压器和过电压防护设备；4.1.9.3紧急供电：应提供短期的备用电力供应（如：UPS设备）；4.1.9.4备用供电：重要信息系统，应建立备用供电系统（如备用发电机），以备常用供电系统停电时启用，应设置冗余或并行的电力电缆线路。2www.bzfxw.com DB32/T1927—20114.1.10电磁防护4.1.10.1接地防干扰：应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；4.1.10.2隔离防干扰：电源线和通信线缆应隔离，避免互相干扰；4.1.10.3机房屏蔽：对重要信息系统的重要设备和磁介质实施电磁屏蔽。4.2网络安全4.2.1结构安全与网段划分4.2.1.1网络设备的业务处理能力应具备冗余能力，要求满足业务高峰期需要；4.2.1.2应设计和绘制与当前运行情况相符的网络拓扑结构图；4.2.1.3应根据机构业务的特点，在满足业务高峰期需要的基础上，合理设计网络带宽；4.2.1.4应在业务终端与业务服务器之间进行路由控制建立安全的访问路径；4.2.1.5应根据各部门的工作职能、重要性、所涉及信息的重要程度等因素，划分不同的子网或网段，根据需要确定相应的子网间访问控制措施，并按照方便管理和控制的原则为各子网、网段分配地址段；4.2.1.6重要网段应采取网络层地址与数据链路层地址绑定措施，防止地址欺骗；4.2.1.7应按照对业务服务的重要次序来指定带宽分配优先级别，在网络发生拥堵的时候优先保证重要业务系统提供服务。4.2.2网络访问控制4.2.2.1应能根据会话状态信息（包括数据包的源地址、目的地址、源端口号、目的端口号、协议、出入的接口、会话序列号、发出信息的主机名等信息，并应支持地址通配符的使用），为数据流提供明确的允许/拒绝访问的能力；4.2.2.2应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；4.2.2.3应依据安全策略允许或者拒绝便携式和移动式设备的网络接入；4.2.2.4应在会话处于非活跃一定时间或会话结束后终止网络连接；4.2.2.5应限制网络最大流量数及网络连接数。4.2.3拨号访问控制4.2.3.1应在基于安全属性的允许远程用户对系统访问的规则的基础上，对系统所有资源允许或拒绝用户进行访问，控制粒度为单个用户；4.2.3.2应限制具有拨号访问权限的用户数量；4.2.3.3应按用户和系统之间的允许访问规则，决定允许用户对受控系统进行资源访问。4.2.4网络安全审计4.2.4.1应对网络系统中的网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；4.2.4.2对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功，及其他与审计相关的信息；4.2.4.3安全审计应可以根据记录数据进行分析，并生成审计报表；4.2.4.4安全审计应可以对特定事件，提供指定方式的实时报警；4.2.4.5审计记录应受到妥善保护，避免受到未预期的删除、修改或覆盖等操作，可追溯到的记录应不少于一年。3 DB32/T1927—20114.2.5边界完整性检查4.2.5.1应能够检测内部网络中出现的内部用户未通过准许私自联到外部网络的行为；4.2.5.2应能够对非授权设备私自联到网络的行为进行检查，并准确定出位置，对其进行有效阻断；4.2.5.3应能够对内部网络用户私自联到外部网络的行为进行检测后准确定出位置，并对其进行有效阻断。4.2.6网络入侵防范4.2.6.1应能在网络边界处监视常见的攻击入侵行为，并能采用最新的监测手段，监测到最新种类的攻击入侵事件的发生；4.2.6.2当检测到入侵事件时，应记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警。4.2.7恶意代码防范4.2.7.1应在网络边界及核心业务网段处对恶意代码进行检测和清除；4.2.7.2应维护恶意代码库的升级和检测系统的更新；4.2.7.3应支持恶意代码防范的统一管理。4.2.8网络设备防护4.2.8.1应对登录网络设备的用户进行身份鉴别；4.2.8.2应对网络上的对等实体进行身份鉴别；4.2.8.3应对网络设备的管理员登录地址进行限制；4.2.8.4网络设备用户的标识应唯一；4.2.8.5身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；4.2.8.6应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；4.2.8.7应具有登录失败处理功能，如：结束会话、限制非法登录次数，当网络登录连接超时，自动退出；4.2.8.8应实现设备特权用户的权限分离，例如将管理与审计的权限分配给不同的网络设备用户。4.3主机系统安全4.3.1身份鉴别4.3.1.1操作系统和数据库管理系统用户的身份标识应具有唯一性；4.3.1.2应对登录操作系统和数据库管理系统的用户进行身份标识和鉴别；4.3.1.3应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；4.3.1.4操作系统和数据库管理系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；4.3.1.5应具有登录失败处理功能，如：结束会话、限制非法登录次数，当登录连接超时，自动退出；4.3.1.6应具有鉴别警示功能；4.3.1.7重要的主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别。4.3.2自主访问控制4.3.2.1应依据安全策略控制主体对客体的访问；4.3.2.2自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作；4www.bzfxw.com DB32/T1927—20114.3.2.3自主访问控制的粒度应达到主体为用户级，客体为文件、数据库表级；4.3.2.4应由授权主体设置对客体访问和操作的权限；4.3.2.5权限分离应采用最小授权原则，分别授予不同用户各自为完成自己承担任务所需的最小权限，并在他们之间形成相互制约的关系；4.3.2.6应实现操作系统和数据库管理系统特权用户的权限分离；4.3.2.7应严格限制默认用户的访问权限。4.3.3强制访问控制4.3.3.1应对重要信息资源和访问重要信息资源的所有主体设置敏感标记；4.3.3.2强制访问控制的覆盖范围应包括与重要信息资源直接相关的所有主体、客体及它们之间的操作；4.3.3.3强制访问控制的粒度应达到主体为用户级，客体为文件、数据库表级。4.3.4安全审计4.3.4.1安全审计应覆盖到服务器和客户端上的每个操作系统用户和数据库用户；4.3.4.2安全审计应记录系统内重要的安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统命令的使用；4.3.4.3安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等；4.3.4.4安全审计应可以根据记录数据进行分析，并生成审计报表；4.3.4.5安全审计应可以对特定事件，提供指定方式的实时报警；4.3.4.6审计进程应受到保护避免受到未预期的中断；4.3.4.7审计记录应受到妥善保护，避免受到未预期的删除、修改或覆盖等操作，可追溯到的记录应不少于一年。4.3.5系统保护系统因故障或其他原因中断后，应能够以手动或自动方式恢复运行。4.3.6剩余信息保护4.3.6.1应保证操作系统和数据库管理系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；4.3.6.2应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。4.3.7入侵防范4.3.7.1应进行主机运行监视，包括监视主机的CPU、硬盘、内存、网络等资源的使用情况；4.3.7.2应设定资源报警域值，以便在资源使用超过规定数值时发出报警；4.3.7.3应进行特定进程监控，限制操作人员运行非法进程；4.3.7.4应进行主机账户监控，限制对重要账户的添加和更改；4.3.7.5应检测各种已知的入侵行为，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；4.3.7.6应能够检测重要程序完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。4.3.8恶意代码防范5 DB32/T1927—20114.3.8.1服务器和终端设备（包括移动设备）均应安装实时检测和查杀恶意代码的软件产品；4.3.8.2主机系统防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库；4.3.8.3应支持恶意代码防范的统一管理；4.3.8.4应保持恶意代码库为最新版本，应在厂商超过6个月没有正式发布升级库时考虑重新选择替代产品。4.3.9资源控制4.3.9.1应限制单个用户的多重并发会话；4.3.9.2应对最大并发会话连接数进行限制；4.3.9.3应对一个时间段内可能的并发会话连接数进行限制；4.3.9.4应通过设定终端接入方式、网络地址范围等条件限制终端登录；4.3.9.5应根据安全策略设置登录终端的操作超时锁定和鉴别失败锁定，并规定解锁或终止方式；4.3.9.6应禁止同一用户账号在同一时间内并发登录；4.3.9.7应限制单个用户对系统资源的最大或最小使用限度；4.3.9.8当系统的服务水平降低到预先规定的最小值时，应能检测和报警；4.3.9.9应根据安全策略设定主体的服务优先级，根据优先级分配系统资源，保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。4.4应用安全4.4.1身份鉴别4.4.1.1系统用户的身份标识应具有唯一性；4.4.1.2应对登录的用户进行身份标识和鉴别；4.4.1.3系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更新等；4.4.1.4应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；4.4.1.5应具有登录失败处理功能，如：结束会话、限制非法登录次数，当登录连接超时，自动退出；4.4.1.6应具有鉴别警示功能；4.4.1.7应用系统应及时清除存储空间中动态使用的鉴别信息。4.4.2访问控制4.4.2.1应依据安全策略控制用户对客体的访问；4.4.2.2自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作；4.4.2.3自主访问控制的粒度应达到主体为用户级，客体为文件、数据库表级；4.4.2.4应由授权主体设置用户对系统功能操作和对数据访问的权限；4.4.2.5应实现应用系统特权用户的权限分离，例如将管理与审计的权限分配给不同的应用系统用户；4.4.2.6权限分离应采用最小授权原则，分别授予不同用户各自为完成自己承担任务所需的最小权限，并在它们之间形成相互制约的关系；4.4.2.7应严格限制默认用户的访问权限。4.4.3安全审计4.4.3.1安全审计应覆盖到应用系统的每个用户；6www.bzfxw.com DB32/T1927—20114.4.3.2安全审计应记录应用系统重要的安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统功能的执行等；4.4.3.3安全相关事件的记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等；4.4.3.4安全审计应可以根据记录数据进行分析，并生成审计报表；4.4.3.5安全审计应可以对特定事件，提供指定方式的实时报警；4.4.3.6审计进程应受到保护避免受到未预期的中断；4.4.3.7审计记录应受到妥善保护，避免受到未预期的删除、修改或覆盖等操作，可追溯到的记录应不少于一年。4.4.4剩余信息保护4.4.4.1应保证用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；4.4.4.2应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。4.4.5通信完整性通信双方应约定密码算法，计算通信数据报文的报文验证码，在进行通信时，双方根据校验码判断对方报文的有效性。4.4.6通信保密性4.4.6.1当通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；4.4.6.2在通信双方建立连接之前，利用密码技术进行会话初始化验证；4.4.6.3在通信过程中，应对整个报文或会话过程进行加密；4.4.6.4应选用符合国家有关部门要求的密码算法。4.4.7抗抵赖4.4.7.1应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；4.4.7.2应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。4.4.8软件容错4.4.8.1应对通过人机接口输入或通过通信接口输入的数据进行有效性检验；4.4.8.2应对通过人机接口方式进行的操作提供“回退”功能，即允许按照操作的序列进行回退；4.4.8.3应有状态监测能力，当故障发生时，能实时检测到故障状态并报警；4.4.8.4应有自动保护能力，当故障发生时，自动保护当前所有状态。4.4.9资源控制4.4.9.1应限制单个用户的多重并发会话；4.4.9.2应对应用系统的最大并发会话连接数进行限制；4.4.9.3应对一个时间段内可能的并发会话连接数进行限制；4.4.9.4应根据安全策略设置登录终端的操作超时锁定和鉴别失败锁定，并规定解锁或终止方式；4.4.9.5应禁止同一用户账号在同一时间内并发登录；4.4.9.6应对一个访问用户或一个请求进程占用的资源分配最大限额和最小限额；4.4.9.7应根据安全属性（用户身份、访问地址、时间范围等）允许或拒绝用户建立会话连接；7 DB32/T1927—20114.4.9.8当系统的服务水平降低到预先规定的最小值时，应能检测和报警；4.4.9.9应根据安全策略设定主体的服务优先级，根据优先级分配系统资源，保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力。4.4.10代码安全4.4.10.1应制定应用程序代码编写安全规范，要求开发人员参照规范编写代码；4.4.10.2应对应用程序代码进行代码复审，识别可能存在的恶意代码；4.4.10.3应对应用程序代码进行安全脆弱性分析；4.4.10.4应对应用程序代码进行穿透性测试。4.5数据安全4.5.1数据完整性4.5.1.1应能够检测到系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；4.5.1.2应能够检测到系统管理数据、鉴别信息和用户数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；4.5.1.3应能够检测到重要程序的完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。4.5.2数据保密性4.5.2.1网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他有效措施实现传输保密性；4.5.2.2网络设备、操作系统、数据库管理系统和应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据应采用加密或其他保护措施实现存储保密性；4.5.2.3当使用便携式和移动式设备时，应加密或者采用可移动磁盘存储敏感信息；4.5.2.4用于特定业务通信的通信信道应符合相关的国家规定。4.5.3数据备份和恢复4.5.3.1应提供自动机制对重要信息进行本地和异地备份；4.5.3.2应提供恢复重要信息的功能；4.5.3.3应提供重要网络设备、通信线路和服务器的硬件冗余；4.5.3.4应提供重要业务系统的本地系统级热备份。4.6安全管理4.6.1安全管理机构4.6.1.1岗位设置a)应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人岗位，定义各负责人的职责；b)应设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责；c)应成立指导和管理信息安全工作的委员会或领导小组，其最高领导应由单位主管领导委任或授权；d)应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。4.6.1.2人员配备a)应配备一定数量的系统管理人员、网络管理人员、安全管理人员等；8www.bzfxw.com DB32/T1927—2011b)应配备专职安全管理人员，不可兼任；c)关键岗位应定期轮岗。4.6.1.3授权和审批a)应授权审批部门及批准人，对关键活动进行审批；b)应列表说明须审批的事项、审批部门和可批准人；c)应建立各审批事项的审批程序，按照审批程序执行审批过程；d)应建立关键活动的双重审批制度；e)不再适用的权限应及时取消授权；f)应定期审查、更新需授权和审批的项目；g)应记录授权过程并保存授权文档。4.6.1.4沟通和合作a)应加强各类管理人员和组织内部机构之间的合作与沟通，定期或不定期召开协调会议，共同协助处理信息安全问题；b)信息安全职能部门应定期或不定期召集相关部门和人员召开安全工作会议，协调安全工作的实施；c)信息安全领导小组或者安全管理委员会定期召开例会，对信息安全工作进行指导、决策；d)应加强与相关单位的合作与沟通，以便在发生安全事件时能够得到及时的支持；e)应加强与安全服务机构的合作与沟通，获取信息安全的最新发展动态，当发生紧急事件的时候能够及时得到支持和帮助；f)应文件说明外联单位、合作内容和联系方式。4.6.1.5审核和检查a)应由安全管理人员定期进行安全检查，检查内容包括用户账号情况、系统漏洞情况、系统审计情况等；b)应由安全管理部门组织相关人员定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；c)应由安全管理部门组织相关人员定期分析、评审异常行为的审计记录，发现可疑行为，形成审计分析报告，并采取必要的应对措施；d)应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报；e)应制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。4.6.2安全管理制度4.6.2.1管理制度a)应制定信息安全工作的总体方针、政策性文件和安全策略等，说明机构安全工作的总体目标、范围、方针、原则、责任等；b)应对安全管理活动中的各类管理内容建立安全管理制度，以规范安全管理活动，约束人员的行为方式；c)应对要求管理人员或操作人员执行的日常管理操作，建立操作规程，以规范操作行为，防止操作失误；d)应形成由安全政策、安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系；9 DB32/T1927—2011e)应由安全管理职能部门定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定。4.6.2.2制定和发布a)应在信息安全领导小组的负责下，组织相关人员制定；b)应保证安全管理制度具有统一的格式风格，并进行版本控制；c)应组织相关人员对制定的安全管理进行论证和审定；d)安全管理制度应经过管理层签发后按照一定的程序以文件形式发布；e)安全管理制度应注明发布范围，并对收发文进行登记。4.6.2.3评审和修订a)应定期对安全管理制度进行评审和修订，对存在不足或需要改进的安全管理制度进行修订；b)当发生重大安全事故、出现新的安全漏洞以及技术基础结构发生变更时，应对安全管理制度进行检查、审定和修订；c)每个制度文档应有相应负责人或负责部门，负责对明确需要修订的制度文档的维护。4.6.3人员安全管理4.6.3.1人员录用a)应保证被录用人具备基本的专业技术水平和安全管理知识；b)应对被录用人的身份、背景、专业资格和资质等进行审查；c)应对被录用人所具备的技术技能进行考核；d)应对被录用人说明其角色和职责；e)应签署保密协议；f)从事关键岗位的人员应从内部人员选拔，并定期进行信用审查；g)从事关键岗位的人员应签署岗位安全协议。4.6.3.2人员离岗a)应立即终止由于各种原因即将离岗的员工的所有访问权限；b)应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备；c)应经机构人事部门办理严格的调离手续，并承诺调离后的保密义务后方可离开。4.6.3.3人员考核a)应对所有人员进行全面、严格的安全审查；b)应定期对各个岗位的人员进行安全技能及安全认知的考核；c)应对考核结果进行记录并保存；d)应对违背安全策略和规定的人员进行惩戒。4.6.3.4安全意识教育和培训a)应对各类人员进行安全意识教育；b)应告知人员相关的安全责任和惩戒措施；c)应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训；d)应针对不同岗位制定不同培训计划；e)应对安全教育和培训的情况和结果进行记录并归档保存。4.6.3.5第三方人员访问管理a)第三方人员应在访问前与机构签署安全责任合同书或保密协议；b)对重要区域的访问，须提出书面申请，批准后由专人全程陪同或监督，并记录备案；c)对第三方人员允许访问的区域、系统、设备、信息等内容应进行书面的规定，并按照规定执行。10www.bzfxw.com DB32/T1927—20114.6.4系统建设管理4.6.4.1系统定级a)应明确信息系统划分的方法；b)应确定信息系统的安全等级；c)应以书面的形式定义确定了安全等级的信息系统的属性，包括使命、业务、网络、硬件、软件、数据、边界、人员等；d)应以书面的形式说明确定一个信息系统为某个安全等级的方法和理由；e)应组织相关部门和有关安全技术专家对信息系统的定级结果的合理性和正确性进行论证和审定；f)应确保信息系统的定级结果经过相关部门的批准。4.6.4.2安全方案设计a)应根据系统的安全级别选择基本安全措施，依据风险分析的结果补充和调整安全措施；b)应指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划；c)应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件；d)应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定；e)应确保总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等文件必须经过批准，才能正式实施；f)应根据安全测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。4.6.4.3产品采购a)应确保安全产品的使用符合国家的有关规定；b)应确保密码产品的使用符合国家密码主管部门的要求；c)应指定或授权专门的部门负责产品的采购；d)应制定产品采购方面的管理制度明确说明采购过程的控制方法和人员行为准则；e)应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。4.6.4.4自行软件开发a)应确保开发环境与实际运行环境物理分开；b)应确保系统开发文档由专人负责保管，系统开发文档的使用受到控制；c)应制定开发方面的管理制度明确说明开发过程的控制方法和人员行为准则；d)应确保开发人员和测试人员的分离，测试数据和测试结果受到控制；e)应确保提供软件设计的相关文档和使用指南；f)应确保对程序资源库的修改、更新、发布进行授权和批准。4.6.4.5外包软件开发a)应与软件开发单位签订协议，明确知识产权的归属和安全方面的要求；b)应根据协议的要求检测软件质量；c)应在软件安装之前检测软件包中可能存在的恶意代码；d)应要求开发单位提供技术培训和服务承诺；e)应要求开发单位提供软件设计的相关文档和使用指南。4.6.4.6工程实施a)应与工程实施单位签订与安全相关的协议，约束工程实施单位的行为；11 DB32/T1927—2011b)应指定或授权专门的人员或部门负责工程实施过程的管理；c)应制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程；d)应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。4.6.4.7测试验收a)应对系统进行安全性测试验收；b)应在测试验收前根据设计方案或合同要求等制订测试验收方案，测试验收过程中详细记录测试验收结果，形成测试验收报告；c)应委托公正的第三方测试单位对系统进行测试，并出具测试报告；d)应制定系统测试验收方面的管理制度明确说明系统测试验收的控制方法和人员行为准则；e)应指定或授权专门的部门负责系统测试验收的管理，并按照管理制度的要求完成系统测试验收工作；f)应组织相关部门和相关人员对系统测试验收报告进行审定，没有疑问后由双方签字。4.6.4.8系统交付a)应明确系统的交接手续，并按照交接手续完成交接工作；b)应由系统建设方完成对委托建设方的运维技术人员的培训；c)应由系统建设方提交系统建设过程中的文档和指导用户进行系统运行维护的文档；d)应由系统建设方进行服务承诺，并提交服务承诺书，确保对系统运行维护的支持；e)应制定系统交付方面的管理制度明确说明系统交付的控制方法和人员行为准则；f)应指定或授权专门的部门负责系统交付的管理工作，并按照管理制度的要求完成系统交付工作。4.6.4.9系统备案a)应将系统定级、系统属性等材料指定专门的人员或部门负责管理，并控制这些材料的使用；b)应将系统等级和系统属性等资料报系统主管部门审批并备案；c)应将系统等级、系统属性、等级划分理由及其他要求的备案材料报相应公安机关备案。4.6.4.10安全测评a)应在系统投入运行前进行安全测评，测评后符合相应等级保护标准要求的才能投入使用；b)应在系统运行过程中定期对系统进行安全测评，发现不符合相应等级保护标准要求的及时整改；c)应在系统发生变更时及时对系统进行安全测评，发现级别发生变化的及时调整级别并进行安全改造；发现不符合相应等级保护标准要求的及时整改；d)应选择具有国家相关技术资质和安全资质的测评单位进行安全测评；e)应与测评单位签订与安全相关的协议，约束测评单位的行为；f)应指定或授权专门的人员或部门负责安全测评的管理。4.6.4.11安全服务商选择a)应确保安全服务商的选择符合国家的有关规定。4.6.5系统运维管理4.6.5.1环境管理a)应对机房供配电、空调、温湿度控制等设施指定专人或专门的部门定期进行维护管理；b)应配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理；c)应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定；12www.bzfxw.com DB32/T1927—2011d)加强对办公环境的保密性管理，包括如工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等；e)应有指定的部门负责机房安全，并配置电子门禁系统，对机房来访人员实行登记记录和电子记录双重备案管理；f)应对办公环境的人员行为，如工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等作出规定。4.6.5.2资产管理a)应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为；b)应编制并保存与信息系统相关的资产、资产所属关系、安全级别和所处位置等信息的资产清单；c)应根据资产的重要程度对资产进行定性赋值和标识管理，根据资产的价值选择相应的管理措施；d)应确定信息分类与标识的原则和方法，并对信息的使用、传输和存储作出规定。4.6.5.3介质管理a)应建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定；b)应有介质的归档和查询记录，并对存档介质的目录清单定期盘点；c)对于需要送出维修或销毁的介质，应首先清除介质中的敏感数据，防止信息的非法泄漏；d)应根据数据备份的需要对某些介质实行异地存储，存储地的环境要求和管理方法应与本地相同；e)应根据所承载数据和软件的重要程度对介质进行分类和标识管理，并实行存储环境专人管理；f)应对介质的物理传输过程中人员选择、打包、交付等情况进行控制；g)应对存储介质的使用过程、送出维修以及销毁进行严格的管理，保密性较高的信息存储介质未经批准不得自行销毁；h)必要时应对重要介质的数据和软件采取加密存储，对带出工作环境的存储介质进行内容加密和监控管理；i)应对存放在介质库中的介质定期进行完整性和可用性检查，确认其数据或软件没有受到损坏或丢失。4.6.5.4设备管理a)应对信息系统相关的各种设备、线路等指定专人或专门的部门定期进行维护管理；b)应对信息系统的各种软硬件设备的选型、采购、发放或领用等过程建立基于申报、审批和专人负责的管理规定；c)应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理；d)应对带离机房或办公地点的信息处理设备进行控制；e)应按操作规程实现服务器的启动/停止、加电/断电等操作，加强对服务器操作的日志文件管理和监控管理，并对其定期进行检查；f)应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等；g)应在安全管理机构统一安全策略下对服务器进行系统配置和服务设定，并实施配置管理。4.6.5.5监控管理a)应进行主机运行监视，包括监视主机的CPU、硬盘、内存、网络等资源的使用情况；b)应对分散或集中的安全管理系统的访问授权、操作记录、日志等方面进行有效管理；13 DB32/T1927—2011c)应严格管理运行过程文档，其中包括责任书、授权书、许可证、各类策略文档、事故报告处理文档、安全配置文档、系统各类日志等，并确保文档的完整性和一致性。4.6.5.6网络安全管理a)应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作；b)应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份；c)应进行网络系统漏洞扫描，对发现的网络系统安全漏洞进行及时的修补；d)应保证所有与外部系统的连接均应得到授权和批准；e)应建立网络安全管理制度，对网络安全配置、网络用户以及日志等方面作出规定；f)应对网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体规定；g)应规定网络审计日志的保存时间以便为可能的安全事件调查提供支持；h)应明确各类用户的责任、义务和风险，并按照机构制定的审查和批准程序建立用户和分配权限，定期检查用户实际权限与分配权限的符合性；i)应对日志的备份、授权访问、处理、保留时间等方面做出具体规定，使用统一的网络时间，以确保日志记录的准确；j)应通过身份鉴别、访问控制等严格的规定限制远程管理账户的操作权限和登录行为；k)应定期检查违反规定拨号上网或其他违反网络安全策略的行为。4.6.5.7系统安全管理a)应指定专人对系统进行管理，删除或者禁用不使用的系统缺省账户；b)应制定系统安全管理制度，对系统安全配置、系统账户以及审计日志等方面作出规定；c)应对能够使用系统工具的人员及数量进行限制和控制；d)应定期安装系统的最新补丁程序，并根据厂家提供的可能危害计算机的漏洞进行及时修补，并在安装系统补丁前对现有的重要文件进行备份；e)应根据业务需求和系统安全分析确定系统的访问控制策略，系统访问控制策略用于控制分配信息系统、文件及服务的访问权限；f)应对系统账户进行分类管理，权限设定应当遵循最小授权要求；g)应对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体规定；h)应规定系统审计日志的保存时间以便为可能的安全事件调查提供支持；i)应进行系统漏洞扫描，对发现的系统安全漏洞进行及时的修补；j)应明确各类用户的责任、义务和风险，对系统账户的登记造册、用户名分配、初始口令分配、用户权限及其审批程序、系统资源分配、注销等作出规定；k)应对于账户安全管理的执行情况进行检查和监督，定期审计和分析用户账户的使用情况，对发现的问题和异常情况进行相关处理。4.6.5.8恶意代码防范管理a)应提高所有用户的防病毒意识，告知及时升级防病毒软件；b)应在读取移动存储设备（如软盘、移动硬盘、光盘）上的数据以及网络上接收文件或邮件之前，先进行病毒检查，对外来计算机或存储设备接入网络系统之前也要进行病毒检查；c)应指定专人对网络和主机的进行恶意代码检测并保存检测记录；d)应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确管理规定；e)应建立恶意代码集中防护的安全管理中心，确保整个网络统一配置、统一升级、统一控制；14www.bzfxw.com DB32/T1927—2011f)应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录，对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理，并形成书面的报表和总结汇报。4.6.5.9密码管理a)应建立密码使用管理制度，密码算法和密钥的使用应符合国家密码管理规定。4.6.5.10变更管理a)确认系统中要发生的变更，并制定变更方案；b)建立变更管理制度，重要系统变更前，应向主管领导申请，变更和变更方案经过评审、审批后方可实施变更；c)系统变更情况应向所有相关人员通告；d)应建立变更控制的申报和审批文件化程序，变更影响分析应文档化，变更实施过程应记录，所有文档记录应妥善保存；e)中止变更并从失败变更中恢复程序应文档化，应明确过程控制方法和人员职责，必要时恢复过程应经过演练。4.6.5.11备份与恢复管理a)应识别需要定期备份的重要业务信息、系统数据及软件系统等；b)应规定备份信息的备份方式（如增量备份或全备份等）、备份频度（如每日或每周等）、存储介质、保存期等；c)应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略，备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法；d)应指定相应的负责人定期维护和检查备份及冗余设备的状况，确保需要接入系统时能够正常运行；e)应建立控制数据备份和恢复过程的程序，备份过程应记录，所有文件和记录应妥善保存；f)应根据系统级备份所采用的方式和产品，建立备份及冗余设备的安装、配置、启动、操作及维护过程控制的程序，记录设备运行过程状况，所有文件和记录应妥善保存；g)应定期执行恢复程序，检查和测试备份介质的有效性，确保可以在恢复程序规定的时间内完成备份的恢复。4.6.5.12安全事件处置a)所有用户均有责任报告自己发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点；b)应制定安全事件报告和处置管理制度，规定安全事件的现场处理、事件报告和后期恢复的管理职责；c)应分析信息系统的类型、网络连接特点和信息系统用户特点，了解本系统和同类系统已发生的安全事件，识别本系统需要防止发生的安全事件，事件可能来自攻击、错误、故障、事故或灾难；d)应根据国家相关管理部门对计算机安全事件等级划分方法，根据安全事件在本系统产生的影响，将本系统计算机安全事件进行等级划分；e)应制定的安全事件报告和响应处理程序，确定事件的报告流程，响应和处置的范围、程度，以及处理方法等；f)应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训，制定防止再次发生的补救措施，过程形成的所有文件和记录均应妥善保存；g)对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序。15 DB32/T1927—20114.6.5.13应急预案管理a)应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程和事后教育和培训等内容；b)应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障；c)应对系统相关的人员进行培训使之了解如何及何时使用应急预案中的控制手段及恢复策略，对应急预案的培训至少每年举办一次；d)应急预案应定期演练，根据不同的应急恢复内容，确定演练的周期；e)应规定应急预案需要定期审查和根据实际情况更新内容，并按照执行。16www.bzfxw.com'