信息安全—信息系统建设安全管理办法精选.doc

版本：1.0 作者：中国联合网络通信有限公司河北省分公司 时间：2016年3月25日 文档修订记录 序号 时间 修改描述 修改者 1 创建文档结构 目的 为了加强河北省政务云项目信息安全保障能力，进一步提高信息系统安全保障水平，确保信息化建设的项目立项、设计、实施、验收等各个环节与信息安全管理控制机制能够有机结合，实现信息系统建设项目过程中的工程管理和内容安全可控，特制定本办法。 适用范围 本办法适用于河北省政务云项目信息系统建设中的安全管理。 职责 信息系统中的安全建设应遵循“同步规划、同步建设、同步运行”的原则，确保信息安全控制成为信息系统中的组成部分之一。 管理要求 信息系统规划安全管理 信息系统规划阶段安全管理包括信息化建设管理中覆盖的项目立项、项目需求与要求、项目审批和项目招标相关阶段的信息安全管理要求。 应根据信息系统的等级划分情况和整体安全策略，统一考虑安全技术框架、安全管理策略、总体建设规划和初步设计方案。 信息系统建设项目申请部门立项申请时，应明确信息系统的安全要求。 可行性分析应确定信息系统的安全等级，进一步明确安全目标和主要技术路线： 根据国家标准GB/T22240《信息系统安全等级保护定级指南》确定信息系统的安全等级； 描述信息系统业务信息的安全目标和业务服务的安全目标； 结合现有信息安全平台，阐述实现安全目标的可行性。 项目需求分析过程中应包括信息系统安全性需求分析的内容，至少包括以下信息安全方面的内容： 根据信息系统安全等级，参照国家标准GB/T22239《信息系统安全等级保护基本要求》相应等级的安全控制要求进行选择； 分析信息系统可能面临的安全威胁、风险和目前存在的脆弱性，根据实际环境的风险情况对安全控制要求进行调整； 应根据所选择的安全控制，根据现行技术、产品、管理流程的实际情况，形成相应的安全可行性方案； 信息系统可能需要的安全功能性需求，包括但不限于用户身份、访问控制、数据和信息保密性、数据审计和跟踪等。 信息技术与数据管理处主管领导在对项目进行立项审批的过程中，应审核如下信息安全方面的内容： 信息系统中的安全需求、设计内容是否符合总体安全策略要求； 信息系统项目中的网络安全是否涉及网络安全域的访问控制、网络边界安全、网络传输安全和冗余性； 信息系统项目中的操作系统和数据库安全是否涉及系统的稳定性、安全配置和安全管理； 信息系统项目中的应用安全是否涉及身份验证、角色访问控制、数据加密、备份、日志审计等安全功能； 信息系统项目中对于安全功能实现的安全技术、产品是否符合整体信息安全技术架构，对于现有信息安全技术架构是否存在可能的影响。 项目招标和采购过程中应考虑以下信息安全要求： 各部门应明确产品采购要求，详细描述产品采购流程； 重要信息系统和网络的安全建设应选择国内信息安全产品； 信息安全产品应符合相应密级要求，具备安全产品销售许可、知识产权证明等资质； 信息安全集成、开发和服务提供应具备符合国家相关资质要求的证明； 具体遵照《产品采购安全管理办法》执行。 1.4.2 信息系统实施安全管理 信息系统实施阶段安全管理包括项目签约、项目计划、项目实施和试运行相关阶段的安全管理要求。 信息系统开发在签署项目合约过程中，通过签署《保密协议书》约束双方的安全保密行为，签署过程中可以视实际情况对《保密协议书》进行修订和完善。 信息系统承建商进场前，双方应对相关人员行为准则达成共识。 信息系统在概要设计阶段，概要设计中应考虑以下安全要求： 根据安全需求，按安全功能子系统来描述系统的安全架构； 标识所要求的任何基础性的硬件、固件或软件，以及在这些硬件、固件或软件中实现的支持性保护机制提供的功能表示； 标识子系统的所有接口，并说明哪些接口是外部可见的； 子系统所有接口的用途与使用方法，并适当提供影响、例外情况和错误消息的处理机制。 信息系统在详细设计阶段，详细设计中应考虑以下安全要求： 详细设计中须提出具体安全设计方案，标明实现的安全功能，并说明其技术原理； 对系统层面上的和模块层面上的安全设计进行审查； 确认各模块的设计，以及模块间的接口设计能满足系统层面的安全要求。 信息系统在实施部署过程中，应考虑以下安全要求： 全面评估信息系统部署的网络环境、系统环境以及数据库的安全性能够确保应用系统自身的安全需求； 确保网络环境、系统环境和数据库的访问控制规则符合应用系统的访问控制权限要求； 信息系统应在测试环境中进行测试，以避免对已经运行信息系统产生影响