1、公司項目及信息系統建設安全工程實施管理制度編 制： 審 核： 批 準： 版 本 號: 目錄編制說明3第一章總則4第二章安全要求4第一節項目建設安全管理的總體要求4第二節項目巾報安全笛理標準5第三節系統定級管理7第四節方案論證和審批安全管理標準7第五節項目實施方案和實施過程安全管理標準8第六節安全方案設計管理11第七節產品釆購和使用管理12第八節口行軟件開發管理12第九節外包軟件開發管理13第十節 工程實施管理13第十一節 測試驗收管理14第十二節系統交付管理14第十三節 系統備案管理14第十四節 等級測評管理15第十五節安全服務商選擇管理15第十六節項目驗收與投產安全管理標準16第三章 評估和

2、論證安全管理19第四章附則21第一節文擋信息21第二節版本控制21第三節其他信息21編制說明為進一步貫徹黨中央和國務院批準的國家信息化領導小組關于加強信 息安全保障工作的意見及其“重點保護基礎信息網絡和重要信息系統安全” 的思想、貫徹信息產業部“積極預防、及時發現、快速反應、確保恢復”的方 針和“同步規劃、同步建設、同步運行”的要求，特制定木制度。本制度依據我國信息安全的有關法律法規，結合*單位的口身業務特 點、并參考國際有關信息安全標準制定的。郴*單位安全管理制度匯編項目及信息系統建設管理制度，是針對所 有IT建設項口，主要用于在IT項口立項過程屮安全部分的方案規劃、評估 和安全管理。第一章

3、總則第一條制度目標：為了加強*單位信息安全保障能力，建立健全的安全 管理體系，捉高整體的網絡與信息安全水平，保證網絡通信暢通和業務系統的正 常運營，提高網絡服務質量，在安全體系框架廠 本制度旨在提高IT項目信息 安全建設質量，加強IT項口建設安全管理工作。第二條適用范:本制度適用于所有TCP/IP網絡IT建設項目，主要用于IT項目立項過程中方案設計、規劃的安全耍求參考。第三條 使用人員及角色職責：本制度適用于全體人員。第二章安全要求第一節 項目建設安全管理的總體要求第四條項目建設安全管理目標一個項口的生命周期包括：項口申報、項口審批和立項、項口實施、 項目驗收和投產；從項目建設的角度來看，這些

4、生命周期的階段則包括以 下子階段：需求分析、總體方案設計、概要設計、詳細設計、系統實施、 系統測試和試運行，如下表所示。項目管理生命周期項口申報系統定級 需求分析 總體方案設計項目審批和立項項目實施概要設計、詳細設計、系統實施項目驗收和投產系統測試、試運行和投產項目建設安全管理的H標就是保證整個項口管理和建設過程中系統的 安全。為了達到這個目標，信息安全（INFOSEC）必須融合在項目管理和項 目建設過程中，與組織的業務需求、環境要求、項目計劃、成本效益以及國家和地方的政策、標準、指令相一致。這種融合應該產生一個信息系統 安全工程（ISSE）項廿，它要確認、評估、并11消除或控制住系統對已知

5、或假定的威脅的脆弱點，最終得到一個可以接受水平的安全風險。第五條 項0建設安全管理原則 信息建設項0建設安全管理應遵循如 下原則：（-）全生命周期安全管理：信息安全管理必須貫穿信息系統建設項口 建設的整個生命周期；（-）成木-效益分析：進行信息安全建設和管理應考慮投入產出比；（三）明確職責：每個參與項目建設和項目管理的人員都應該明確安全 職責，應進行安全意識和職責培訓，并落實到位；（四）管理公開：應保證每個項口參與人員都知曉和理解安全管理的模 式和方法；（五）科學制衡：進行適當的職責分離，將業務的不同責任分配給不同 的責任人；（六）最小特權：人員對項目資產的訪問權限制到最低限度，即僅賦予 其執

6、行授權任務所必需的權限。第六條項目建設安全管理耍求項目安全管理工作由信息安全管理部門負責，在項目的巾報、審批、立項、 實施、驗收等關鍵環節中，必須有信息安全管理部門的參與和評審意見。應在項 目規劃中明確信息安全責任、義務與管理程序。第二節項目申報安全管理標準項目中報階段應對信息系統建設項目各個環節進行統一的安全管理規劃，確 定項目的等級保護系統保護級別、安全需求、安全目標、安全建設方案，以及生 命周期各階段的安全需求、安全目標、安全管理措施。由項口開發單位協同用戶單位進行項口需求分析、確定總體口標和建設方 案。第七條挖掘安全需求在需求分析報告中除了描述系統業務需求Z外，還應進行系統的安全 性需

7、求分析，應盡可能包括以下信息安全方面的內容：（-）等級保護等級：從信息系統口身對于國家、社會公共秩序、法人 及其它合法權益的侵害及侵害程度，判別系統的等級保護級別。（二）安全威脅分析報告：應分析待建計算機系統在生命周期的各個階 段屮可能遭受的自然威脅或者人為威脅（故意或無意），具體包括威 脅列表、威脅可能性分析、威脅嚴重性分析等；（三）系統脆弱性分析報告：包括對系統造成問題的脆弱性的定性或定 量的描述，這些問題是被攻擊的可能性、被攻擊成功的可能性；（四）影響分析報告：描述威脅利用系統脆弱性可能導致不良影響。影 響口J能是冇形的，例如資金的損失或收益的減少，或口J能是無形 的，例如聲譽和信譽的損

8、失；（五）風險分析報告：安全風險分析的目的在丁識別岀一個給定環境中 涉及到對某一系統有依賴關系的安全風險。它取決于上面的威脅 分析、脆弱性分析和影響分析，應提供風險清單以及風險優先級 列表;（六）系統安全需求報告：針對安全風險，應捉岀安全需求，對于每個 不可接受的安全風險，都至少有一個安全需求與其對應。第八條安全可行性在信息系統建設項口可行性研究報告的以下條口中應增加相應的信息 安全方面的內容：（一）項目目標、主要內容與關鍵技術：增加信息系統建設項目的總休 安全目標，并在主要內容后而增加針對前而分析出的安全需求所捉 出的相應安全對策，每個安全需求都至少對應一個安全對策，安全 對策的強度應根據相

9、應資產的重要性來選擇；（-）項目采用的技術路線或者技術方案：增加描述如何從技術、運作、 組織以及制度四個方面來實現所有的安全對策，并形成安全方 案；（三）項目的承擔單位及人員情況介紹：增加項目各承擔單位的信息安 全方面的資質和經驗介紹，并增加介紹項FI主要參與人員的信息安全背景；（四）項目安全管理：安全級別達到重要級以上的項H應增加項H建設 中的安全管理模式、安全組織結構、人員的安全職責、建設實施 中的安全操作程序和相應安全管理要求，項目安全管理人員由 xxx部主管及信息安全管理部門人員擔任，信息安全管理部門人 員具體對項口安全進行監管；（五）成本效益分析：對安全方案進行成本-效益分析。（六）

10、對投入使用的應用軟件需要升級改造的，雖不需另行立項，但仍 需參照上述方法進行一定的安全性分析，并針對可能發生的安全 問題提出和實現相應安全對策。第三節系統定級管理單位應根據信息系統等級保護管理辦法和信息系統安全保護等級定 級指南以及上級定級指導意見，初步確定系統安全保護等級。定級工作需要符 合如下要求：（一）應明確信息系統的邊界和安全保護等級；（-）應以書面的形式說明確定信息系統為某個安全保護等級的方法 和理由；（三）定級結果有本單位信息安全主管領導的批準；（四）定級結果有上級主管單位批準；（五）應組織相關部門和冇關安全技術專家對信息系統定級結果的合 理性和止確性進行論證和審定；（六）應確保信

11、息系統的定級結果經過相關部門的批準。第四節方案論證和審批安全管理標準本階段主要是XXX部主管組織人員對項目中報內容中的信息安全需求與解 決方案部分進行論證，必要時可以聘請外單位的專家參與論證工作。第九條安全性論證和審批安全性論證應著重對項R的安全需求分析、安全對策以及總體安全方案進 行成本-效益、合理性、可行性和有效性分析，給出明確的結論：（一）適當（-）不合適（否決）（三）需作復議對論證結論為“需作復議”的項口，通知申報單位對有關內容進行必要的 補充或者修改后，再次提交復審。第十條項目安全立項審批后，項目審批單位將對項目進行立項，以下條目中應增加和應的計算 機安全方面的內容：（一）項目的管理

12、模式、組織結構和責任：增加項目建設中的安全管理 模式、安全組織結構以及人員的安全職責；（-）項目實施的基本程序和相應的管理耍求：增加項目建設實施中的 安全操作程序和相應安全管理耍求；（三）項口設計口標、主要內容和關鍵技術：增加總體安全口標、安全 對策以及用于實現安全對策的總體安全方案；（四）項目實現功能和性能指標：增加描述系統擁有的具體安全功能以 及安全功能的強度；（五）項目驗收考核指標：增加安全性測試和考核指標。（六）立項的項口，如釆用引進、合作開發或者外包開發等形式，則需 與第三方簽訂安全保密協議。第五節 項目實施方案和實施過程安全管理信息系統建設項目實施階段包括3個子階段：概要設計、詳細

13、設計和項目 實施，本階段的主要工作由項目實施單位來完成，項目審批單位負責監督工作。 概要設計子階段的安全要求。在概要設計階段，系統層次上的設計要求和功能指標都被分配到了子系統 層次上，這個子階段的安全口標是保證各子系統設計實現了總體安全方案屮的 安全功能。因此，概要設計說明書中應盡可能達到以下安全要求：（一）應當按了系統來描述系統的安全體系結構；（二）應當描述每一個子系統所提供的安全功能；（三）應當標識所要求的任何基礎性的碩件、固件或軟件，和在這些碩 件、固件或軟件中實現的支持性保護機制捉供的功能表示；（四）應當標識子系統的所冇接口，并說明哪些接口是外部可見的；（五）描述子系統所有接口的用途與

14、使用方法，并適當提供影響、例外 情況和錯謀消息的細節；（六）確證子系統（不論是開發的，還是買來的）的安全功能指標滿足 系統安全需求。第十一條詳細設計子階段的安全要求無論是新開發一個系統，或是對一個系統進行修改，本階段的任務是完成 那些不能買到現成品的軟硬件模塊的設計。先要完成每個模塊的詳細設計方案, 最后根據每個模塊的詳細設計得到整個系統的詳細設計。本子階段的安全目標 是保證各模塊設計實現了概要設計中的安全功能，因此在這一階段的詳細設 計說明書中至少要包括以下信息安全內容：（一）詳細設計中應提出相應的具體安全方案，標明實現的安全功能， 并應檢查其技術原理；（-）對系統層面上的和模塊層面上的安全

15、設計進行審查；（三）完成安全測試和評佔要求（通常包括完整的系統的、軟件的、硬 件的安全測試方案，至少是相關測試程序的一個草案）；（四）確認各模塊的設計，以及模塊間的接口設計能滿足系統層面的安 全要求。第十二條項目實施子階段的安全耍求無論是新開發一個系統或是進行系統修改，本階段的主要0的是將所有的 模塊（軟硬件）集成為完整的系統，并H檢查確認集成以后的系統符合要求。本階段中，應完成以下具體信息安全工作：（一）更新系統安全威脅評估，預測系統的使用壽命；（-）找出并描述實現安全方案后系統和模塊的安全要求和限制，以及 相關的系統驗證機制及檢查方法；（三）完善系統的運行程序和全生命期支持的安全計劃，如密

16、鑰的分發等；（四）在系統集成操作手冊中，應制定安全集成的操作程序；（五）在系統修改操作手冊中，應制定系統修改的安全操作程序；（六）對項目參與人員進行信息安全意識培訓；（七）并對參加項目建設的安全管理和技術人員的安全職責進行檢查。（A）在軟件的開發被外包的地方，應當考慮如下幾點：a. 檢查代碼的所有權和知識產權情況；b. 質量合格證和所進行的工作的精確度；c. 在第三方發生故障的情況下，有第三方備份保存；d. 進行質量審核；e. 在合同上有代碼質量方面的要求；f. 在安裝之前進行測試以檢測特洛伊代碼；g. 捉供源代碼以及相關設計、實施文檔；h重耍的項目建設中還耍對源代碼進行審核。（九）如果軟件是

17、自主開發的，則需注意上述的d、f、g、h點要求。（十）計算機系統集成的信息技術產品（如操作系統、數據庫等）或安 全專用產品（如防火墻、IDS等）應達到以下要求：1. 對項目實施所需的計算機及配套設備、網絡設備、重耍機具、計 算機軟件產品的購置，計算機應用系統的合作開發或者外包開發 的確定，按現有制度屮的相關規定執行；2. 安全專用產品應具有國家職能部門頒發的信息安全專用產品的 銷售許可證；3. 密碼產品符合國家密碼主管部門的耍求，來源于國家主管部門批 準的密碼研制單位；4. 關鍵安全專用產品應獲得國家相關安全認證，在選型屮根據實際 需耍制定安全產品選型的標準；5. 關鍵信息技術產品的安全功能模

18、塊應獲得國家相關安全認證，在 選型中根據實際需要制定信息技術產品選型的標準。（十一）產品和服務供應商應達到以下要求：1.系統集成商的資質要求：至少要擁有國家權威部門認可的系統一級集成資質，對丁較為重要的系統應有更高級別的集成資質；2. 工商要求：a. 產品、系統或服務提供單位的營業執照和稅務登記在合法期 限內；b. 產品、系統或服務提供商的產品、系統或服務的提供資格；c. 連續贏利期限要求；d. 連續無相關法律訴訟年限耍求；e. 沒有發生重大管理、技術人員變化和流動的期限要求；f. 沒有發生主業變化期限要求。3. 安全服務商資質：至少應具有國家一級安全服務資質，對于較為 重要的系統應冇更高級別

19、的安全服務資質；4. 人員資質要求：系統集成人員、安全服務人員以及相關管理人員 應獲得國家權威部門頒發的信息安全人員資質認證；5. 其它耍求：系統符合國家相關法律、法規，按照相關主管部門的 技術管理規定對非法信息和惡意代碼進行有效控制，按照有關規 定對設備進行控制，使之不被作為非法攻擊的跳板。第六節安全方案設計管理（-）應根據系統的安全保護等級選擇基本安全措施，并依據風險分析 的結果補充和調整安全措施；（-）單位指定和授權XXX部門對信息系統的安全建設進行總體規劃， 制定近期和遠期的安全建設工作計劃；（三）應根據信息系統的等級劃分情況，統i考慮安全保障體系的總體 安全策略、安全技術框架、安全管

20、理策略、總體建設規劃和詳細設 計方案，并形成配套文件；（四）應組織相關部門和冇關安全技術專家對總體安全策略、安全技術 框架、安全管理策略、總體建設規劃、詳細設計方案等相關配套文 件的合理性和正確性進行論證和審定，并且經過批準后，才能正式 實施；（五）應根據等級測評、安全評估的結杲定期調整和修訂總體安全策 略、安全技術框架、安全管理策略、總體建設規劃、詳細設計方案 等相關配套文件。第七節產品采購和使用管理（-）應確保安全產品采購和使用符合國家的有關規定；（-）應確保密碼產品采購和使用符合國家密碼主管部門的耍求；（三）應指定或授權專門的部門負責產品的釆購；（四）應預先對產品進行選型測試，確定產品的

21、候選范圍，并定期審定 和更新候選產品名單。（五）對項目實施所需的計算機及配套設備、網絡設備、重要機具、計 算機軟件產品的購置，計算機應用系統的合作開發或者外包開發的 確定，按現冇制度中的相關規定執行；（六）安全專用產品應具有國家職能部門頒發的信息安全專用產品的 銷售許可證；（七）密碼產品符合國家密碼主管部門的耍求，來源于國家主管部門批 準的密碼研制單位；（A）關鍵安全專用產品應獲得國家相關安全認證，在選型中根據實際 需要制定安全產品選型的標準；（九）關鍵信息技術產品的安全功能模塊應獲得國家相關安全認證，在 選型屮根據實際需耍制定信息技術產品選型的標準。第八節自行軟件開發管理（-）應確保開發環境

22、與實際運行環境物理分開，開發人員和測試人員 分離，測試數據和測試結果受到控制；（二）應制定軟件開發管理制度，明確說明開發過程的控制方法和人員 行為準則；（三）應制定代碼編寫安全規范，耍求開發人員參照規范編寫代碼;（四）應確保提供軟件設計的相關文檔和使用指南，并由專人負責保（五）應確保對程序資源庫的修改、更新、發布進行授權和批準。第九節外包軟件開發管理（-）應根據開發需求檢測軟件質量；（-）應在軟件安裝之前檢測軟件包中可能存在的惡意代碼；（三）應要求開發單位提供軟件設計的相關文檔和使用指南；（四）應要求開發單位提供軟件源代碼，并審查軟件小可能存在的后 門。（五）檢查代碼的所有權和知識產權情況；（

23、六）質量合格證和所進行的工作的精確度；（七）在第三方發生故障的情況下，有第三方備份保存；（A）進行質量審核；（九）在合同上冇代碼質量方而的要求；（十）在安裝2而進行測試以檢測特洛伊代碼；（十一） 提供源代碼以及相關設計、實施文檔；（十二） 重要的項目建設中還要對源代碼進行審核。第十節工程實施管理（-）應指定或授權專門的部門或人員負責工程實施過程的管理；（二）應制定詳細的工程實施方案控制實施過程，并要求工程實施單位 能正式地執行安全工程過程；（三）應制定工程實施方面的管理制度，明確說明實施過程的控制方法和人員行為準則。第十一節測試驗收管理（-）應委托公正的第三方測試單位對系統進行安全性測試，并出

24、具安 全性測試報告；（二）在測試驗收前應根據設計方案或合同要求等制訂測試驗收方案， 在測試驗收過程中應詳細記錄測試驗收結杲，并形成測試驗收報告;（三）應對系統測試驗收的控制方法和人員行為準則進行書面規定；（四）應指定或授權專門的部門負責系統測試驗收的管理，并按照管 理規定的耍求完成系統測試驗收工作；（五）應組織相關部門和相關人員對系統測試驗收報告進行審定，并簽 字確認。第十二節系統交付管理（-）應制定詳細的系統交付清單，并根據交付清單對所交接的設備、 軟件和文檔等進行清點；（二）應對負責系統運行維護的技術人員進行相應的技能培訓；（三）應確保捉供系統建設過程屮的文檔和指導用戶進行系統運行維 護的

25、文檔；（四）應對系統交付的控制方法和人員行為準則進行書面規定；（五）應指定或授權專門的部門負責系統交付的管理工作，并按照管理 規定的要求完成系統交付工作。第十三節系統備案管理（-）指定XXX部門或人員負責管理系統定級的相關材料，并控制這些 材料的使用；（-）應將系統等級及相關材料報系統主管部門備案；（三）應將系統等級及其他要求的備案材料報相應公安機關備案。第十四節等級測評管理（-）在系統運行過程中，至少每年對3級系統進行一次等級測評，發 現不符合相應等級保護標準要求的及時整改；（二）應在系統發生變更時及時對系統進行等級測評，發現級別發生變 化的及時調整級別并進行安全改造，發現不符合相應等級保護

26、標準 要求的及時整改；（三）應選擇具有國家相關技術資質和安全資質的測評單位進行等級 測評;（四）耍求技術測評機構提供相關材料。包括營業執照、聲明、證明及 資質材料等；（五）與測評機構簽訂保密協議；（六）要求測評機構制定技術檢測方案；（七）具體項目將指定具體人員負責等級測評的管理。第十五節安全服務商選擇管理（-）應確保安全服務商的選擇符合國家的冇關規定；（二）應與選定的安全服務商簽訂與安全相關的協議，明確約定相關責 任；（三）應確保選定的安全服務商提供技術培訓和服務承諾，必要的與其 簽訂服務合同。（四）系統集成商的資質要求：至少要擁有國家權威部門認可的系統一 級集成資質，對于較為重要的系統應右更

27、高級別的集成資質；（五）工商要求：g. 產品、系統或服務提供單位的營業執照和稅務登記在合法期 限內；h. 產品、系統或服務提供商的產品、系統或服務的提供資格； i連續贏利期限要求；J.連續無相關法律訴訟年限要求；k.沒有發生重大管理、技術人員變化和流動的期限耍求；l. 沒冇發生主業變化期限要求。（六）安全服務商資質：至少應具有國家一級安全服務資質，對于較為 重要的系統應冇更高級別的安全服務資質；（七）人員資質要求：系統集成人員、安全服務人員以及相關管理人員 應獲得國家權威部門頒發的信息安全人員資質認證；（八）其它耍求：系統符合國家相關法律、法規，按照相關主管部門的 技術管理規定對非法信息和惡意

28、代碼進行有效控制，按照有關規定 對設備進行控制，使Z不被作為非法攻擊的跳板。第十六節項目驗收與投產安全管理標準第十三條安全測評應制定研發、投產與驗收等過程中的安全測試與驗收人綱，在項目實施完 成后，由項口用戶單位、項口開發單位共同組織進行測試。在測試大綱屮應至 少包括以下安全性測試和評估要求：（一）配置管理：項目實施單位應使用配置管理系統，并提供配置管理 文檔；（二）交付程序：應將把系統及其部分交付給用戶的程序文檔化；（三）安裝、生成和啟動程序：應制定安裝、生成和啟動程序，并保證 最終產生了安全的配置；（四）安全功能測試：對系統的安全功能進行測試，以保證其符合詳細 設計并對詳細設計進行檢查，保

29、證其符合概耍設計以及總體安全 方案；（五）系統管理員指南：應提供如何安全地管理系統和如何高效地利用 系統安全功能的優點和保護功能等詳細準確的信息；（六）系統用戶指南：必須包含兩方面的內容：首先，它必須解釋那些 用戶可見的安全功能的用途以及如何使用它們，這樣用戶可以持 續有效地保護他們的信息；其次，它必須解釋在維護系統的安全 時用戶所能起的作用；（七）安全功能強度評估：功能強度分析應說明以概率或排列機制（如, 口令字或哈希函數）實現的系統安全功能。例如，對口令機制的 功能強度分析可以通過說明口令空間是否有足夠大來指出口令 字功能是否滿足強度要求；（A）脆弱性分析：應分析所采取的安全對策的完備性（

30、安全對策是否 可以滿足所有的安全需求）以及安全對策之間的依賴關系。通常 可以使用穿透性測試來評估上述內容，以判斷它們在實際應用中 是否會被利用來削弱系統的安全。（九）測試完成后，項目測試小組應提交測試報告，其中應包括安 全性測試和評估的結果。不能通過安全性測試評估的，由測試小 組提出修改意見，項目實施單位應作進一步修改。第十四條安全試運行測試通過后，由項目用戶單位組織進入試運行階段，應有一系列的安全措 施來維護系統安全，它包括處理系統在現場運行時的安全問題和采取措施保證 系統的安全水平在系統運行期間不會下降。具體工作如下：（一）監測系統的安全性能，包括事故報告；（-）進行用戶安全培訓，并對培訓

31、進行總結；（三）監視與安全有關的部件的拆除處理；（四）監測新發現的對系統安全的攻擊、系統所受威脅的變化以及其它 與安全風險有關的因素；（五）監測安全部件的備份支持，支持與系統安全有關的維護培訓；（六）評估大大小小的系統改動對安全造成的影響；（七）監測系統物理和功能配置，包括運行過程，因為一些不太顯限的 改變口J能影響系統的安全風險。（A）在試運行情況報告屮應對上述工作做總結性描述。第十五條安全驗收在項H建設要求中規定的系統試運行過程結束后，項口開發單位可以組織 用戶單位人員參加的項目驗收組對項目進行驗收。驗收應增加以下安全內容：（一）項目是否已達到項目任務I沖制定的總休安全目標和安全指標， 實

32、現全部安全功能；（二）采用技術是否符合國家、行業有關安全技術標準及規范；（三）是否實現驗收測評的安全技術指標；（四）項目建設過程中的各種文檔資料是否規范、齊全；（五）在驗收報告屮也應在以下條目屮反映對系統安全性驗收的情況：（六）項目設計總體安全目標及主要內容；（七）項口釆用的關鍵安全技術；（A）驗收專家組中的安全專家及安全驗收評價意見。第十六條投產后的監控與跟蹤項目投產后還應進行一段時間的監控和跟蹤，應用系統的管理人員負責監 控和跟蹤工作，具體包描以下要求：（一）應對系統關鍵安全性能的變化情況進行監控，了解其變化的原 因；（-）對系統安全事故的發生、應急、處理、恢復、總結進行全程跟蹤, 并編寫

33、詳細的記錄；（三）監控新增的安全部件對系統安全的影響；（四）跟蹤安全有關部件的拆除處理情況，并監控隨后系統安全性的變 化；（五）對新發現的對系統安全的攻擊進行監控，記錄其發生的頻率以及 對系統的影響；（六）監控系統所受威脅的變化，評估其發生的可能性以及可能造成的 影響；（七）監控并跟蹤安全部件的備份情況；（八）監控運行程序的變化，并記錄這些變化對系統安全的影響；（九）監控系統物理環境的變化情況，并記錄這些變化對系統安全的影 響；（十）監控安全配置的變化情況，并記錄這些變化對系統安全的影響；（十一）對于上述所有監控和跟蹤內容，如果對系統安全有不良影響處，都應在系統設計、配置、運行管理上做和應改進

34、，以保證系 統安全、正常運行。第十七條各職能管理部門在進行TCP/IP網絡和系統建設項冃立項申請過 程中，應由信息安全工作組對項目提出安全建議。第十八條 根據項目立項中的項目立項申請、立項論證、立項評估和立項審 批四個程序，都應結合各類的安全技術規范。第十九條各職能管理部門、各直屈單位進行項目立項申請時，在捉交項 目立項建議書等相關資料中應增加以下安全方面的資料：（-） 系統安全需求分析說明書；（-） 系統安全功能說明書；（三） 系統中采用的安全設備以及性能指標參數。第二十條對提交立項巾請的項目，在進行項目立項論證和評佔的過程中， 應包插項目安全建設的論證和評估，論證和評估的重點在本辦法第三章

35、中詳述。第二十i條 通過項目安全建設的立項論證和評估，可作為公司審批項目 立項的重要依據之一。第三章評估和論證安全管理第二十二條 各職能管理部門進行項目立項申請前，在進行項目規劃和設 計的過程屮，應參照各安全技術規范屮的相關技術要求進行安全建設。第二十三條 項目安全性論證對項目的安全需求分析、安全功能說明、安 全設備、性能指標以及技術方案的技術可行性進行總體分析和審計。第二十四條 項口立項論證和評佔過程屮，信息安全工作組負責IT項口 安全性建設的技術部分論證和評估。第二十五條 在提交項目立項申請時，應在技術方案中增加安全方面的說 明和文檔，內容包括：（一）根據安全規范屮的要求，系統在建設過程屮

36、進行安全部署的說 明；（二）根據安全規范屮的要求，系統在建設過程屮無法實現的安全部署 的說明和論證；（三）系統在建設過程屮具體的安全功能以及安全功能的實現方法和 技術；（四）系統在建設過程中所采用的安全設備的品牌、型號、性能指標說 明以及對于業務系統的影響分析。第二十六條 IT項目安全性的論證和評估主要關注以下方面的內容：（）1T項目建設中網絡規劃中安全域的劃分、網絡兀余、網絡傳輸安 全、網絡訪問控制、網絡邊界安全、遠程訪問安全；（二）IT項口建設屮系統的性能、容量以及系統和業務的兼容性；（三）IT項口建設屮應用系統屮身份驗證、角色訪問控制、數據加密、 備份、志審計等安全功能；（四）IT項目建

37、設中應用系統是否有后門、漏洞和不安全的隱患。第四章附則第一節文擋信息第二十七條 木制度由網絡室制定，并負責解釋和修訂。由信息安全工作 組討論通過，發布執行。第二十八條 本制度門發布Z日起執行。第二節版本控制第二十九條對本制度所冇修改及審批、發布都按時間順序記錄在此。版本日期修改內容修改人審批人VI. 02010 年 9 月 1 H文檔定稿第三節其他信息第三十條本制度小所稱的人員角色職責由齊部門人員分別擔任，可能現有 崗位的員工在不同時期所擔任的角色不同，甚至身兼多種角色，這種情況下該員 工應該履行所兼每種角色的安全職責。第三十一條 秤*單位安全管理制度匯編定義了信息安全體系的整體 結構、安全組織及各角色崗位的職責、以及覆蓋各項安全內容的安全管理制度。 所有員工均應把*單位安全管理制度匯編的規定作為信息安全工作的基木 要求，其內容一經頒布將在一定時間內t期有效，其涉及的所有部門或個人均需 對其負責。