系统建设管理条例

1、目录系统建设管理条例错误！未定义书签。 TOC o 1-5 h z HYPERLINK l bookmark1 o Current Document 1系统定级1 HYPERLINK l bookmark8 o Current Document 2安全方案设计1 HYPERLINK l bookmark15 o Current Document 3产品采购和使用1 HYPERLINK l bookmark24 o Current Document 4自行软件开发2 HYPERLINK l bookmark33 o Current Document 5外包软件开发2 HYPERLINK l bo

2、okmark45 o Current Document 6外包服务管理2 HYPERLINK l bookmark54 o Current Document 7测试验收3 HYPERLINK l bookmark62 o Current Document 8工程实施3 HYPERLINK l bookmark69 o Current Document 9系统交付3 HYPERLINK l bookmark77 o Current Document 10系统备案31系统定级明确信息系统的边界和安全保护等级。确定信息系统为某个安全保护等级的方法和理由组织相关部门和有关安全技术专家对信息系统定级结果

3、的合理性和正确性进行论证和审定。确保信息系统的定级结果经过相关部门的批准。2安全方案设计根据信息系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全措 施。以书面形式规定对系统的安全保护要求、安全策略和措施等内容，形成系统的安全方案。对安全方案进行细化，形成能够指导安全系统建设、安全产品采购和使用的详细设计方案。应根据等级评测、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理 策略、总体建设规划、详细设计方案等相关配套文件。注：详见安全方案设计3产品采购和使用确保安全产品采购和使用符合国家的有关规定，可替代的核心软件尽量使用国产软件。确保密码产品采购和使用符合

4、国家主管部门的要求。确保使用的产品为正版软件，并符合安全性、可靠性和稳定性的要求。指定或授权专门的部门负责产品的采购。预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。确保产品的使用符合其使用规范。4自行软件开发确保开发环境和实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果收 到控制。制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则。确保所有软件配置项为最新，并与实际运行环境配套。制定代码编写安全规范，要求开发人员参照规范编写代码。确保提供软件设计的相关文档和使用指南，并由专人负责保管。确保对程序资源库的修改、更新、发布进行授权和批准。 注

5、：详见软件开发管理制度。5外包软件开发确保受托方（即项目承包方）具有一定的资质，跟受托方签署正规的外包合同。跟受托方签署相关保密协议，明确其保密责任。要求受托方提供所有必要的软件配置项。确保所有软件配置项为最新，与实际运行环境配套。确保所有软件配置项安全，由专人负责管理。根据开发需求检测软件质量。在软件安装之前检测软件包中可能存在的恶意代码。要求开发单位提供软件设计的相关文档和使用指南。在软件安装之前根据开发要求检测软件质量，包括功能、性能和安全的各个方面，检测软件 包中可能存在的恶意代码，并审查其中可能存在的后门。注：详见软件开发管理制度。6外包服务管理确保机房托管服务的受托方必须满足征信管

6、理机构等相关管理部门规定的资质要求。确保机房托管服务的受托方及其法定代表人在征信系统中必须无不良信用记录。与外包服务的受托方签订正规的外包服务合同，明确其权利和责任。确保外包服务的受托方的系统访问权限受到约束，涉及敏感操作（如输入用户口令等）应由 委托方人员进行操作。外包服务的受托方进行现场技术支持服务时，应事先提交计划操作内容。委托方应在现场陪 同服务外包人员，核对操作内容并准确记录实际操作内容。外包服务的受托方人员不得查看、 复制或带离任何敏感信息。外包服务的受托方应严格履行服务外包合同（协议）中的各项安全承诺，在提供技术服务期 间，应严格遵守委托方相关安全规定与操作规程。注：详见软件开发

7、管理制度。7测试验收委托公证的第三方测试单位对系统进行安全性测试，并出具安全性测试报告。在测试验收前应根据设计方案或合同等制定测试验收方案，在测试验收过程中应详细记录测 试验收结果，并形成测试验收报告。对系统测试验收的控制方法和人员行为准则进行书面规定。指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收 工作。相关部门和相关人员对系统测试验收报告进行审定，并确认签字。 注：详见软件开发管理制度。工程实施指定或授权专门部门或人员负责工程实施过程的管理。系统上线应符合信息系统上线的规范流程，正式投产前应保证各工作环节均通过审查。制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式的执行安全工程过程。制定工程实施方面的安全管理制度，明确说明实施过程的控制方法和人员行为准则。注：详见软件开发管理制度。9系统交付制定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点。对负责系统运行维护的技术人员进行相应的技能培训。确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。对系统交付的控制方法和人员行为准则进行书面规定。制定或授权专门的部门负责系统交付的管理工