信息系统安全建设管理办法

信息系统安全建设管理办法总则为进一步规范信息系统安全建设管理，保障计算机信息系统建设安全可靠，特制定本办法。本办法属于“管理办法”，适用于本院信息系统建设管理。管理规定本院信息化建设项目应报院信息化领导小组审定。信息中心是信息化建设的实施单位，牵头组织实施信息化工程，并负责信息化工程进行技术指导。信息系统安全保护应按《中华人民共和国计算机安全条例》及公安部、保密局有关规定执行。安全需求分析及方案设计信息中心根据系统安全需求，负责安全建设方案设计的制定。项目安全方案应基于信息系统的安全等级，要利于网络安全策略和应用安全策略等的实施，并且要有完整的安全扩展方案（包括本系统扩容、功能增强和与第三方系统对接三个方面），以及应急处理措施。安全方案的制订必须从网络安全、数据安全、应用安全、系统安全等各个角度考虑。应组织相关部门和有关安全技术专家对安全方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施。安全产品和服务采购应确保安全产品采购和使用符合国家的有关规定。加强供应商的开发、评估、考核及规范管理，确保其提供快速、优质的产品及技术服务。应确保密码产品采购和使用符合国家密码主管部门的要求。应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。应确保安全服务商的选择符合国家的有关规定；应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；应确保选定的安全服务商提供技术培训和服务承诺，必要的与其签订服务合同。应用软件开发管理应根据开发需求检测软件质量，并在软件安装之前检测软件包中可能存在的恶意代码，审查软件中可能存在的后门。应要求开发单位提供软件设计的相关文档和使用指南，并要求开发单位提供软件源代码。工程实施管理按规定提供给投标方的技术资料，应该与投标单位签订保密协议。在施工之前应与中标方签署保密协议。项目实施中要重视机房、设备的物理安全，对施工人员进行安全培训，落实各种安全防范措施，并做好施工管理。应制定工程实施方案，并在实施过程中严格控制实施进度和实施质量。测试验收及交付做好系统上线前安全管理：（一）新系统上线前，需经过严格的功能、性能测试，提交相应的测试报告；（二）系统上线前应具备完整的技术资料，包括：配置数据、维护操作手册、快速故障处理手册、系统应急预案等；（三）应用系统上线前，开发商或集成商必须提供该系统正常运行过程中的进程列表、进程说明、开放端口及使用的通信协议等情况的说明；（四）应用系统上线前应对系统的参数进行安全检查；（五）应用系统上线前，需对系统进行漏洞扫描，及时发现问题和漏洞，并修补和解决，对系统进行进程检查、内部测试及压力评测，对系统安全进行安全评估及加固，由软件开发商和集成商对账号进行清理，由系统管理员对密码进行重置；（六）对于业务系统上线后由于软件后门及木马程序等引发的安全事件追溯其法律责任；（七）应用系统应当拥有日志系统，系统日志将成为事后诊断和追查的重要线索和证据；（八）测试开发环境与实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果应受到控制；测试开发系统、实验系统原则上不允许上线投入运营。在项目试运行期间，要加强对试运行系统的安全监控，并定期进行详细记录，避免对其他系统造成影响；加强试运行期间的跟踪支持和系统优化，不得降低试运行期间系统的安全级别。在验收前应制订验收方案，在验收过程中应详细记录验收结果，并形成验收报告；应组织相关部门和相关人员对系统验收报告进行审定，并签字确认；应制定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点。在项目验收后，对于项目中曾经使用过的临时帐号应该立刻删除或修改密码；由施工方提供由安全管理员认可的系统安全机制说明文档。系统交付时应制定