应用系统安全改造监视规范

某某石油管理局企业标准应用系统安全改造监督规范1适用范围本标准规定了某某石油管理局应用系统安全改造监督规范。本标准适用于某某油田（企业内部）应用系统安全改造管理方的权责、施工方的权责、施工方资格审查、施工方方案预审、施工方案实施、评估与审计、管理方应该注意的事项、认证与批准等。2规范解释权本规定适用于某某油田管理局信息安全管理中心和下属各单位中心机房。3管理方的权责根据工作量的大小，应成立专门的或者兼职的领导小组督察改造工作。提供信息系统要求达到的安全目标（参见其它规范），以及评估标准。安全目标，以及改造措施的设定要综合考虑上级和下级相关单位。对系统安全目标，以及拟采用的安全方案应该上报上级机关审批。对重要的应用系统的安全改造，有权利和责任对施工方案做出评审。对施工方的申请，要求有义务做出积极的响应。提供系统安全现状，根据工作量的大小，以书面形式提交。提供系统安全规范。滚提供宾系统颗安全搬目标福。办提供欺系统派软、恨硬件害设备泽的说菊明书舍，必蓬要的三技术披资料诊。扫提供叙系统惊改造佩时必警要的克用户筛名，电口令疗、密源码。液提供腔系统横改造翁时资惯源设绵备的渴保护五要求宰。熄提供脾必要皆的场仔地以浩及配欢合工社作人跟员。满提供界基础玉的工戚作环侦境，共比如世电源捐，网重络接携口等鸡。撇4神施工禁方的娘权责五提供蹄必要读的资旬格证庙明。笼提供累详细椒的施赛工方倾案。认要求河对重欧要设糠备的途物理梯安全绿做出满承诺确。品对改锄造中肤涉及苹到的辞重要屿系统勾，数回据的职访问示有义树务向源管理殊方申陡请，及并作粮记录扔。钢对重玻要系工统参牺数的苍设置这，修勤改有棕义务丙向施制工方担做出景书面种说明限。贫改造尸后要虾求写铺出总妥结文除档。姥5班施工轧方资可格审倦查旋根据铃改造摄工作绞的任曲务量愈，安征全要盏求级塞别酌素情使烫用如留下规岗范：编施工恳方要纽求有菠合法报的身腔份证辅明。衫施工昆方必蓝须有录一定委的从摸事该且业务错的资俭质和宰经济吼实力双。袭必须锻有宋与其奶业务杜量相宵适应依的工宏程技朽术人封员和边技术斑工人材。慰从事于安全适改造笛的技炎术人隆员要鼻求政伐治过安关，惹遵纪扑守法宽。肺对涉根及财餐务等依重要绍系统麦的安沃全改皆造，千不能犁由内猾部人掠员从乓事。倚6久施工歉方方卷案预册审召方案狂中要奖对安之全的桌需求馒，做住出分衣析说轧明并么且提抗出明遗确的族安全黎策略鞋。安方案斥要求间对方役案实敏施后下可达阅到的块安全趣目标陡做出贼说明燕或解背释。国要求纪方案痛对每疼一个等安全面策略易，要材求对仁其安突全功外能和变代价番做出送详细书的说铸明。踏要求附方案变对改示造中贫将要喷采购耳的软榨件、显硬件辆设备蓄做出询说明特。衬要求候方案斯对改浅造中妇将涉佩及到筹的设酸施改熔动做洗出说丰明。府要求劲方案望对改此造工积程做两出总石体预猪算。史要求辰方案睁对改苦造工玻期安猎排，精改造鼠对现符行业忽务的届影响粥程度礼作详烤细说持明。薄要求赵方案遗对改湾造中横要求与管理茶方承密诺的痰服务首做出腔说明坏。云要求糟方案选对改甜造过快程中杰可能娘出现皂的意钥外情合况（逆例如蚀，系探统死摘锁）纯，以感及相嚷关的屠防护料、补浮救措急施做域出说育明。狂管理桶方应绍当根骡据实娃际情谦况评秩审方确案。捐权衡雄施工灭方案居的实巡施对规业务诞造成糖的影凶响。僻权衡格安全图需求亡与所达付出灵的资揉金的侍代价晚。欢权衡喉改造片中的鸽风险涨代价泳与业虽务持够续性脉和安贷全性饮要求粗。巾权衡第给施说工方鸭提供窗的服冶务与肆可能必造成测的安资全隐资患之敌间的细矛盾方。斯权衡肃新设菠备的辩利用遵率与蚁业务鸭安全酒需求欲之间抄的关扛系。辟7演施工别方案浓实施段要求悟监督仿施工慢进度浩，工季期原穗则上日不能副延期退。假工程紫间歇聪，系通统不漠能停掩留在麻不安每全状虽态。结对重班要的光系统毫，在撒安全企改造辛之前汁，应感当对字信息旋系统石资源更和施拘工方城人员右进行裹登记尽，备咐案。求对改坑造中寺涉及乔到的扒重要凤数据衣，必尚须备妻份。防启用备新的紫应用醒软件戏，应莲当交匠管理诸方系殊统维舱护人值员安崖装到恭业务烂系统混，并然做好液日志暑记录君。三对存闪有重抽要数榜据的楼故障光设备次修理牧时，垫管理胁方必记须安祸排专聪人在厦场监禾督。意对改薄造过庭程中圣出现更的意翅外情惊况，典要求仁做好括日志凳记录斯。颗8绿验收饭与测归试．膨评估搅与审技计铸应用页系统绝安全条改造跃施工窑之后盏，施刻工方华应该层归还珍相关座资料升，提到交工挖程报有告。栗应用未系统妈安全殊改造李施工秋之后列，管丽理局湿信息险中心保依据挥合同少对工寇程进炮行验估收。阀测试垦过程您必须懂在管北理局直技术戚委员稍会的岩监督课下进安行，栗由管孔理局恩信息锄中心塞与施孤工方院共同懂参与净测试朱。乓管理伤局技挂术委陕员会削对应愁用系驱统的蓝安全器性能屿以及衔安全尚等级往做出恶评估烈，保暗证系姨统安自全改侵造后阶的安捞全性打能和翠等级俗达到幅合同将中所新规定桨的安哑全目猪标。宽考察忍应用立系统碧是否悔达到林要求锹的安屈全要打求并将作测骂试纪徐录。劝改造的施工介后，个测试幸操作透系统谎加固侦以及馋安装钓最新唇的安复全补盖丁情腊况是秃否达收到所似规定覆的安丰全目翻标。纲改造冤施工菜后，勒施工孕方就少还可窄能出肃现的秘安全众漏洞条以及偶补救表措施愧等向燃管理卸局信宗息中吼心进点行说蜡明，体避免横出现再不必处要的霞操作符错误凳和安缝全隐棒患。边应用扣系统埋授权咽人应鄙该考扬察评冬估结齐果，饭用以占决定叼是否蛾可以旷接收悉系统赖运行烧的风千险。忧9久管理散方应搁该注愁意的泳事项伞系统迷安全唉改造条之后吹，对资分配威给施沾工方识人员晕的权碧力应呀当交呼还系拼统管弄理员揪。代系统寨改造剪之后爪，必多须对举系统片日志续做出数审计牺。菜系统键管理陷员对全超级慨用户迹口令跌，其度它用丛户名忠和口嚷令等测登录粮信息锄的进疗行重于新设誓置。仰系统毙管理悼员可懂以根弓据需路要对岛其它连的网哥络进亭出口灵的口克令重杜新设请置。躁10乔认证诞与批眯准俘认证得与批尾准是鸡针对嚷自动拼信息忙系统栗和其锻他保攀护措目施的宿技术活或非陡技术扎安全躲特征稠的一捕种复拣杂评周估。满其目埋的是贫确定亮某一降特定句设计阴和实叔施满杂足指温定的胁安全河需求麻集的肺程度冶，并狐由指悲定的启批准刷授权侄机构攀籍此床正式海宣布么某信阻息系块统被翅获准祝可在扒某一篮可接兴受的晌风险败级别累上运迅行。植CA加（仔Ce哨ti肃fi惩ca妄ti碗on耽A小ut念ho邀ri扩ty外）是仔负责碍执行厉对这伞些安堆全特处征与乎其它果保护修措施氧（用历于支度持批习准过浊程）长进行怖评估夜的官辈方。唯它用勉来确径定特哈定设涌计与知系统殊实施认对指他定安供全需川求的狮满足聚程度帐。最训初的班认证晓任务卫包括晌：旺系统坏体系蝴结构镜分析智；种软件斩设计符分析铺；罢网络径连接申规则爱一致厨性分景析；猛集成钓产品粱的完泻整性摆分析忆；缠生命店周期幸管理辨分析魂；惯脆弱华性评桂估。项一个豆经受赠过认嫂证与所批准硬的系虑统应薪该有吊用于呈支持词每个恭任务刃的正羞式文梯档、狗文档酷化的滑安全券说明得、复饮杂的拳测试钱计划窑和说献明所叼有网恨络与够其它宜互连西要求张均被忍实现傍的书坟面说瞎明。呼可以恭对特侄定的未认证历任务少进行扎定制稍以适首合系丑统的储项目置战略修、生梦命周许期管完理过亿程以艘及信起息系理统在店其生致命周姨期中抖的位指置。牌也可狸定制壤满足蝶系统揭开发昆行为废的认煤证任劣务，忽确信档它与远整个谢系统钓行为穷相关暴，并片为确欢保这鸡些行只为与剃书面畅的文呼档相怖一致付而提左供了宰满足赤要求丝的分处析。仗脆弱巡性评滑估评取估了多与保料密性烘、完狠整性私、可权用性埋、可硬审计饱性和岁推荐伤相关汪的安志全漏澡洞。拍为保镰护相臭应的声系统探价值猛，授借权机婚构应芝该决渠定可慰承受牌的风巡险级委别。董脆弱门性评眯估主惯要关协注实指现系戴统安以全需亿求的来过程戏。评驳估结请论被池用于药判断克信息拿系统纹是否情已经向准备弊好进阻行正踩式的晴认证蝶评估熟与测揉试。优最终晚的认涌证任惯务包柱括：嘱安全屋测试类与评熊估；键渗透刺性测敲试；北调查跌、研燥究、候和控姻制危唇及到屡通过抖电信工和自着动信子息系值统装邀备来躬发布膏信息载的安检全要兰求。咽系统印管理柏分析结；骂站点数批准泛调查桥；揪应急殃计划继评估匠；公基于况风险缩的管宋理审无查。哭如果精CA核断定陕信息怎系统允满足酿系统至安全叉授权疑协议味的技鸭术要感求，辟便会次发布泽一个捆系统厚证明绞。该冷证明赶说明优了信援息系蜡统与食协议纺的安溪全要疑求一磨致。遵CA既也可滴以制裕订补师充建见议以冶提高民系统倦的安厨全状矮况。使对于锦将来惨的系济统升抵级与派改变笔管理糟决策训而言危，这嫁样的狼建议韵还应疗该提逃供一效个输抢入接救口。船CA鱼的建歼议、腾指定途的批申准授振权机愤构的榆操作部授权榨、支李持文烧档和幼系统史安全才授权革协议晨共同涂形成鸟了批米准包亿。支帝持文茶档可颂根据谈系统甜类型纺不同包而不虽同。学那些嫩文档银，最吵小而它言，见应该僚包括刊安全趟调查哗结果吵、缺向陷和味操作臂风险砌。批版准包那必须禾包括眨用于渣支持鼠所建迫议的全决策粗的所蛮有信善息。限如果舟决策暴希望捉得到绝批准集，则土它应孝该包饿括安舍全参钱数，裙这些巡参数架决定滋了信板息系申统可艇授权寒操作夕的环惰境。增如果倒系统档不满时足系系统安臣全授兰权协爽议所月陈述拘的要拐求，仔但任纹务的套关键绿程度育要求太系统际必须禾投入冰运行设，也漏可发田布一踢个临珍时许凯可。玻最后武批准亩应该乳三年财有效该，或塘在某亮个重各大改群变需钩要产扫生一淋个新蜡批准肝之前仍一直断有效驾。或左者是贿通过弟认证压请求拒通告盗，或斤者是逢系统添需要住周期债性重煮新评木估或蚂系统眠表现螺出有醉安全锹问题秩，均吴会进就行再吗评估糖。周垄期性战评估丸是缺混省的养选择凭，而件很多毫再评沾估则箭基于把触发不事件耻。兽应用诚系统竖信息雄技术安安全如认证诱和鉴雕定过鹿程摆应用码系统响信息柄技术溉安全讨认证思和鉴旅定过干程，须适用蛙于所岗有在费整个劳生命美周期爱中需既要梦C&煤A柏的系宽统。爬过程拆分成泄逻辑鸟上的监阶段动序列翼，它映们会呆引导车系统浴达到盐其最皇终批净准。占图侦(1允)松给出遗了这亿些阶咽段：河阶段家1晚：定锦义；目阶段架2待：核怎实；甩阶段示3萝：确套认；剖阶段溜4费：后御批准罗。档定义射，包茫括书旺面的朗系统遗安全仍授权愧协议台——毕是在月项目曾管理巧员、反指定陵的批男准授锣权机销构、股CA裹和用掠户代辈表之盗间基撕于系那统任级务、貌目标禽环境病、目泳标结盗构和给安全蝶策略帆的描潜述之圾上的丑一种没协定医。系惨统安葛全授养权协磨议描蝇述了竞计划绪制定门和认狱证行道为、县资源姜以及鼓要用担于支横持认兆证与孩批准液的文狡档。鞋在阶嗓段团2恼中验繁证系巾统的玻安全溉功能慧和体自系是肢否满右足系馅统关垦于信察息处骗理和触安全劲的功菠能要档求。遗该过贩程行剖为需份要许蒙多用装于指厚导、惠控制杀并管离理系淹统开毫发、障设计朵、操凝作和布废除级的系彩统工含程文故档。苍这些链行为艇的结阀果可呆能改碍变或旗者保悦持最杂初的剖系统撞安全杏授权春协议阵、系三统功貌能和醉系统齿结构彻。所私以系咸统安读全工竞程师搭应该据开发脏测试演计划袍和过形程。召这些秒测试寒计划举和过权程应落涵盖遗系统证功能顿、系怨统完共整性史与安赚全一带致性剩等内河容。组系统帜安全粥工程愧师还汤应该汤评估桶和描素述作智为设档计结千果而峰保留孕的残丝余风弹险的蹦级别叉。集第臂3灾阶段薯的行宝为：绵确认弓，将者系统惰设计枯变成轮现实茂，验梅证系恭统设妻计是湿正确挎的，线并且厌确认旺系统湿满足稼要求绩。这阅是一小个验柄证的错、完田整的与、有议效化异的、肢认证冒与批劲准的缸系统堂的最忧高级童段。页第蚀4茧阶段光的行立为：谦主要扔处理柿一致炮性确虽认过部程。浅一致秘性确驴认检黄查过载程着政重于爷系统筛周期查性重锯批准胃的管城理和喷在已挥部署似的系两统中贪结合些能对秧风险迹做出村反应醒的不嫁同方浆法。愤可以档使用塑传统已的检壳测手笔段。程但是运，以盈“俘行为寿文档初”仅可用堪性为焦基础业的方恐法和膨第困3光阶段揭中对些系统中的检片测都幼是很扒重要推的可肠选方盖法午。劣另外秤，如璃果发昆现一枯个系股统有庭更多深的基紫于非野重大不改变吨的有紫限的尊风险钩，则间可以阿适当扔的简臭化相肾应的娇检测货过程格。渔11迎生效豆日期麻应用台系统睁信息隆技术过安全锅认证金和鉴残定过砌程流巴程图YesYesNo阶段2—验证YesNo更正重分析阶段3—确认YesNoNo阶段4—后批准YesNoNoYesYes任务需要的文档注册协商系统安全授权协议协议系统开发证明认证分析系统安全授权协议接受准备认证集成系统认证评估开发建议认证系统给与批准需要作出改动需要进行一致性验证系统安全授权协议系统操作YesYes