信息系统工程项目建设技术要求

III信息技术信息系统工程项目建设技术要求目  次TOC\h\z\t"前言、引言标题,1,参考文献、索引标题,1,章标题,1,参考文献,1,附录标识,1,一级条标题,3,二级条标题,4"前言 IV1范围 12规范性引用文件 13术语与定义 14信息系统工程项目建设参考模型 25信息系统支撑体系结构 35.1信息系统基础支撑平台 35.2信息系统应用支撑环境 35.3信息系统安全支撑体系 56信息系统工程项目建设原则与过程 66.1建设原则 66.2建设过程 67信息系统基础支撑平台建设技术要求 97.1电子信息系统机房 97.2通用布缆系统 97.3网络系统 97.4主机 117.5数据存储与容灾备份系统 117.6基础平台管理系统 128信息系统应用支撑环境建设技术要求 148.1操作系统 148.2数据库管理系统 148.3中间件 158.4业务基础平台 178.5领域应用扩展 189信息系统安全支撑体系建设技术要求 199.1信息系统安全定级 199.2信息系统安全技术 199.3信息系统工程项目建设安全管理 199.4信息系统工程项目组织与人员安全管理 199.5整体安全 1910信息系统应用软件建设技术要求 19附录A（规范性附录）信息系统工程项目建设安全管理 21附录B（规范性附录）信息系统工程项目组织与人员安全管理 30参考文献 33信息技术信息系统工程项目建设技术要求范围本标准规定了信息系统工程项目建设的参考模型、建设的原则与过程，信息系统支撑体系结构（信息系统基础支撑平台、信息系统应用支撑环境、信息系统安全支撑体系）与建设技术要求。本标准适用于信息系统建设中的新建、升级或改造工程项目，供各相关单位在工程项目建设过程中参照执行，不适用于涉及保密类或特殊类信息系统工程项目。规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB9254-2008信息技术设备的无线电骚扰限值和测量方法GB18030-2005信息技术中文编码字符集GB50174-2008电子信息系统机房设计规范GB50311-2007综合布线系统工程设计规范GB50312-2007综合布线系统工程验收规范GB50462-2008电子信息系统机房施工及验收规范GB/T12991-2008信息技术数据库语言SQLGB/T17618-1998信息技术设备抗扰度限值和测量方法GB/T19668-2005信息化工程监理规范GB/T20272-2006信息安全技术操作系统安全技术要求GB/T20273-2006信息安全技术数据库管理系统安全技术要求GB/T21671-2008基于以太网技术的局域网系统验收测评规范GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/T22240-2008信息安全技术信息系统安全等级保护定级指南YD/T1141-2007以太网交换机测试方法YD/T1096-2009路由器设备技术要求边缘路由器YD/T1097-2009路由器设备技术要求核心路由器YD/T1098-2009路由器设备测试方法边缘路由器YD/T1099-2005以太网交换机技术要求术语与定义下列术语与定义适用于本标准。

体系结构architecture各个组成部分及其相互之间的关系，以及始终支配各组成部分的设计和演变的原则和指南。

平台platform信息系统工程技术参考模型的实体之一。它通过软件和硬件的组合提供那些为用户、业务领域应用和应用支持所要求的公共处理和通信服务。

支撑平台supportplatform信息系统工程技术参考模型的实体之一，它界定平台对于平台承载对象的支撑关系与作用。这种平台的支撑关系与作用界定同样适用于“支撑环境”与“支撑体系”。

信息系统基础支撑平台informationsystembasicsupportingplatform在信息系统中由网络系统、主机、数据存储与容灾备份系统、基础平台管理系统、电子信息系统机房、通用布缆系统的硬件及配套软件所构成的支撑平台。

信息系统应用支撑环境informationsystemapplicationsupportingenvironment在信息系统中由运行于信息系统基础支撑平台之上的操作系统、数据库管理系统、中间件、业务基础平台、领域应用扩展所构成的支撑环境。

信息系统安全支撑体系informationsystemsecuritysupportingsystem在信息系统中由保障信息系统安全涉及的安全技术（物理安全、网络安全、主机安全、应用安全和数据安全所需的软、硬件安全设备、设施，以及具体的安全功能实现、安全策略配置等）、工程项目建设安全管理、工程项目组织与人员安全管理和整体安全所构成的支撑体系。信息系统工程项目建设参考模型信息系统工程项目建设参考模型的各部分组成及相互关系如图1所示。信息系统工程项目建设监理信息系统工程项目建设过程信息系统应用软件信息系统工程项目建设监理信息系统工程项目建设过程信息系统应用软件信息系统支撑体系信息系统支撑体系信息系统安全支撑体系信息系统应用支撑环境信息系统基础支撑平台信息系统安全支撑体系信息系统应用支撑环境信息系统基础支撑平台信息系统工程项目建设参考模型信息系统支撑体系由信息系统基础支撑平台、信息系统应用支撑环境和信息系统安全支撑体系构成，为信息系统应用软件的运行提供支撑平台作用；信息系统应用软件是指运行于信息系统支撑体系之上，根据不同行业或特定对象的具体需求，设计、开发的面向行业领域或用于特定对象的应用软件系统；信息系统工程项目建设过程包括前期咨询、初步设计、工程招投标、详细设计、工程实施、工程测试、工程验收和工程交付共八个阶段（对由于工程项目的规模大小、类型以及其它原因所引起的特殊情况可参照本基本过程作适当调整）；信息系统工程项目建设监理分为工程全过程监理或工程某阶段监理，具体监理过程应参照GB/T19668-2005执行。信息系统支撑体系结构信息系统基础支撑平台信息系统基础支撑平台如图2所示。基础平台管理系统数据存储与容灾备份系统主机基础平台管理系统数据存储与容灾备份系统主机电子信息系统机房网络系统通用布缆系统信息系统基础支撑平台有关支撑平台的各部分组成如下：电子信息系统机房及通用布缆系统构成为信息系统基础支撑平台提供通信通道、设备安装及运行的环境。网络系统指为信息系统的信息传输和交换提供支撑的基本软、硬件资源，包括网络组网和网络设备（路由器设备、交换机设备、其他网络接入设备和传输设备等）；主机是指信息系统应用软件和信息系统应用支撑环境安装和运行所需的计算机设备，如服务器、终端/工作站等；数据存储与容灾备份系统指为信息系统数据存储备份提供支撑的基本软、硬件资源，包括各种存储设备（磁盘、磁盘阵列、光盘库、磁带机、磁带库等）及数据的备份与恢复系统软件；基础平台管理系统指对基础平台的全部或部分的运行进行管理、监测和控制所需的软、硬件资源，基础平台管理包括配置管理、性能管理、故障管理和安全管理等。信息系统应用支撑环境信息系统应用支撑环境如图3所示。操作系统/数据库管理系统操作系统/数据库管理系统中间件业务基础平台领域应用扩展信息系统应用支撑环境有关支撑环境的各部分组成如下：操作系统是位于基础硬件环境之上，控制其他程序运行，管理系统资源并为用户提供操作界面的系统软件的集合，主要功能是实现资源管理、程序控制和人机交互等；数据库管理系统是可供多个应用程序和用户用不同的方法在同时或不同时刻去建立，修改和询问数据库，它对数据库进行统一的管理、控制和维护，为应用系统提供数据的软件系统；中间件是一种独立的系统软件或服务程序，位于操作系统之上，应用软件借助其在不同的技术之间共享资源。中间件包括基础中间件和集成化中间件：基础中间件是指按照通用技术标准实现，运行于操作系统/数据库管理系统之上，为应用系统提供运行支撑环境的中间件产品；集成化中间件套件是指运行于基础中间件之上，能满足应用系统建设特定应用或技术方面的中间件产品，具有针对网络计算环境开放、动态、多变的特性，适用于大型网络应用的高效运行、快速开发和灵活部署。一些通用的集成化中间件包括有：门户系统、企业内容管理、业务流程管理、通用报表管理、智能搜索引擎、企业服务总线、数据交换平台等：门户系统是指将各种应用系统、数据资源和互联网资源集成到一个信息管理平台之上，并以统一的用户界面提供给用户，通向某类综合性互联网信息资源并提供有关信息服务；企业内容管理是指随着数据管理的发展需要而为客户提供的一种应用软件，用于管理、集成和访问音频、视频、扫描图像等各种格式的商业信息。包括企业内部内容管理、Web内容管理、电子商务交易内容管理和企业外部网络信息共享内容管理；业务流程管理是一套达成企业各种业务环节整合的全面管理模式，涵盖了人员、设备、桌面应用系统等内容的优化组合，从而实现跨应用、跨部门、跨合作伙伴的运作；通用报表管理是一个灵活、开放的报表体系，提供了统一的报表数据采集分析平台；智能搜索引擎是结合了人工智能技术的搜索引擎，能将信息检索基于知识（或概念）层面，对知识有一定的理解与处理能力，能够实现分词技术、同义词技术、概念搜索、短语识别等；企业服务总线是一种在松散耦合的服务和应用之间标准的集成方式，是面向服务、面向消息和事件驱动的架构；数据交换平台是为解决应用系统间数据和信息的互通、互用问题，打破“信息孤岛”而建立的系统。业务基础平台为应用系统提供通用的底层支持环境。业务基础平台包括企业级服务框架、定制化开发工具和系统管理工具:企业服务框架是业务基础平台的核心运行管理环境,一般包括应用运行支撑环境和一系列可复用的通用组件；定制化开发工具是支持在企业服务框架的技术、组件、应用程序编程接口（以下简称API）和开发规范约束下，用于快速、规范地构建可交付的应用程序，以提高软件生产率，缩短应用系统的建设周期；系统管理工具是支持对企业服务框架及其上应用的可视化监控、在线调整、替换和迁移，以保障信息系统的不间断和稳定运行。领域应用扩展是在业务基础平台之上，面向特定应用领域的应用平台支撑扩展，领域应用扩展至少应包括领域应用框架、领域构件库、领域流程模型和领域实体模型:领域应用框架是根据典型应用领域的业务特点，结合业务基础平台的技术、组件、API和开发规范约束，拓展建立的针对该应用领域的技术框架；领域构件库是特定应用领域可复用业务功能组件的集合，为领域应用系统的开发和建设提供最直接的复用单元；领域流程模型是领域业务特征的重要组成部分，描述本领域可复用业务流程的抽象定义；领域实体模型是一个特定的业务领域内最基本的属性特征，描述了业务对象的属性及其关联关系。信息系统安全支撑体系信息系统安全支撑体系如图4所示。整体安全整体安全信息系统安全技术网络安全主机安全物理安全应用安全数据安全工程项目建设安全管理工程项目组织与人员安全管理信息系统安全等级1级2级3级4级5级信息系统安全支撑体系有关支撑体系的各部分组成如下：信息系统安全等级是指根据GB/T22240-2008的要求将信息系统安全技术要求由底至高共划分为五个等级；信息系统安全技术框架是指为保障信息系统安全涉及的安全技术（物理安全、网络安全、主机安全、应用安全和数据安全）所需的软、硬件安全设备、设施，以及具体的安全功能实现、安全策略配置等：物理安全包括环境安全（防火、防水、防雷击等）、设备和介质的防盗窃防破坏等方面。具体的安全控制点包括：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护；网络安全包括网络结构、网络边界以及网络设备自身安全等。具体的安全控制点包括：结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护；主机系统安全包括服务器、终端/工作站等在内的计算机设备在操作系统及数据库管理系统层面的安全。具体的安全控制点包括：身份鉴别、安全标记、访问控制、可信路径、安全审计、剩余信息保护、入侵防范、恶意代码防范和资源控制；应用系统安全包括基于网络的基本应用（消息发送、web浏览等）以及特定业务应用(如电子商务、电子政务等)的安全。具体的安全控制点包括：身份鉴别、安全标记、访问控制、可信路径、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制；数据安全包括信息系统各个层面（网络、主机、应用等）对各类数据进行传输、存储和处理等方面，以及数据的备份和恢复的安全。具体的安全控制点包括：数据完整性、数据保密性、备份和恢复；工程项目建设安全管理指对信息系统工程项目建设整个过程的安全管理工作。具体的安全控制点包括：前期咨询、方案总体设计、工程招投标、方案详细设计、工程实施、系统安全性测试、工程验收、系统交付；工程项目组织与人员安全管理指信息系统工程项目建设中的安全管理制度，以及对组织和人员的安全管理。具体的安全控制点包括：安全管理制度、组织的安全管理、人员的安全管理。整体安全指在依据本标准采取各种安全措施时，应考虑总体性要求，保证信息系统的整体安全保护能力。具体的安全控制点包括：纵深防御体系、安全措施互补、安全强度一致、密码支撑平台、集中安全管理。信息系统工程项目建设原则与过程建设原则信息系统工程项目建设应遵循以下基本原则：兼顾开放性、可用性、可靠性、安全性、先进性、可扩展性、经济性，并在上述目标中通过综合权衡选出最优方案；大中型工程项目建设宜采取“总体规划、功能划分，并分步实施”的原则；信息系统基础支撑平台的规划、设计、实施和运行中应贯彻“绿色IT”的原则，降低噪音、减少辐射、节能减排；信息系统应用支撑环境的规划、设计、实施和运行中应贯彻“快速开发、稳定运行、易于维护”的原则；信息系统安全体系的规划、设计、实施和运行中应贯彻“分级建设、重点保护、动态调整”的原则。建设过程前期咨询该阶段的主要工作是业主单位宜邀请有关工程咨询单位、监理单位或直接组织专家，依据有关规定，按照工程项目建设要求，编制立项申请报告，进行项目可行性研究、项目评估。具体工作要求包括：项目立项申报应根据实际需求确定系统的建设目标、建设内容、建设计划与步骤、预期达到的效果、预计项目的投资额等，编制项目建议书，申报项目立项；项目可行性研究应以项目建议书为依据，侧重于需求分析的深化和对项目的建设方案进行全面与综合的比选论证和可行性分析，进一步确定和细化项目的建设方案，提出项目可行性研究结论。业主单位可邀请专家对可行性研究报告进行评审，如果是政府投资项目，应由主管部门或业主单位组织专家评审；项目的评估应邀请具有一定资质的咨询评估机构对项目建议书/可行性研究报告进行技术上、经济上的评价论证，科学、客观、公正地提出对项目建议书/可行性研究报告的评价意见，为决策部门、单位或业主单位对项目审批决策提供依据；该阶段产生的文档包括《项目建议书》、《项目可行性研究报告》、《项目评估报告》、《项目评审报告》等。初步设计该阶段的主要工作是进行项目初步设计，为招标工作做必要的技术准备。具体工作要求包括：初步设计前应先制定合理的初步设计进度计划，确定项目实施进度、人员安排及任务分工，并审核其合理性；初步设计应在需求调研和分析的基础上，对系统的功能和性能进行初步设计，形成工程初步设计方案。属于改造或升级的工程还应重点分析原有系统的功能、性能和数据存储特性，考虑系统数据的转换过程和方式；初步设计后，为保证初步设计方案的合理性，可由监理单位对方案进行审核，亦可由业主单位组织有关专家对初步设计方案进行评审或审核，最终由业主单位确认；该阶段产生的文档包括《工程初步设计方案》、《工程初步设计概算》等。工程招投标该阶段的主要工作是在工程初步设计的基础上，提出招标技术要求，编制招标文件，进行工程招标和项目合同的签订。具体工作要求包括：招标准备：在初步设计的基础上，提出招标技术要求，使招标工作有更强的目的性与针对性。该项工作可由设计单位或监理单位完成，由业主单位确认；亦可以由监理单位协助招标代理机构和业主单位完成；工程招标：业主单位在监理单位协助下，委托招标机构按国家有关规定确定承建单位或供货方，并与中标的承建单位或供货方签订合同，具体包括以下三个环节：招标（含编制招标文件、发表招标公告）；评标及确定中标单位；与中标单位签订工程合同。该阶段产生的文档包括《工程招标文件》、《投标文件》、《工程项目建设合同》等。详细设计该阶段的主要工作是由信息系统的承建单位按照工程项目建设的要求进行工程的详细设计。具体工作要求包括：详细设计开始前应先制定合理的详细设计进度计划，即在初步设计的基础上，进一步确定系统方案、实施进度、人员安排及任务分工，并确认其合理性；详细设计是在必要的和更深入的系统需求调研和分析的基础上，对系统的功能和性能进行详细设计，形成系统最终的建设方案；详细设计后为保证详细设计方案的合理性，可由监理单位对方案审核，亦可由业主单位组织有关专家对详细设计方案进行评审或审核，最终由业主单位确认；该阶段产生的文档包括《详细设计进度计划》、《详细设计方案》等。工程实施该阶段的主要工作是依据系统详细设计方案、工程合同及有关实施标准，制定工程实施方案，组织工程项目建设实施和管理。具体工作要求包括：工程实施阶段，承建单位应根据系统详细设计方案、工程合同及有关实施标准，制订相应的工程实施方案；设置工程联合管理机构，负责工程管理：工程联合管理机构由业主单位、监理单位和承建单位共同组建，由业主单位牵头；重大项目可吸收相关单位或部门的人员参加，由主管单位或业主单位牵头；工程联合管理机构宜下设办公室，负责处理日常事务；联合管理机构应制定相应的规章制度，并严格执行；除上述联合管理机构外，业主单位、监理单位和承建单位还应设立各自的管理机构，负责处理各自的问题。工程管理的内容应包括：工程质量控制：在工程实施的各个阶段必须严格审查关键性过程和阶段性结果，检查其是否符合预定的质量要求，强调对工程质量的事前控制和主动控制；工程进度控制：工程开始实施之前必须确定相应的进度安排，在工程进行过程中严格审查工程进度，确保工程的工期；工程成本控制：工程实施过程中严格审查和控制工程成本，对工程中所出现的任何变更必须严格审查，核定变更费用；知识产权保护：工程实施过程中，对业主单位、承建单位及相关单位的有关方案、软件源码及有关技术等涉及知识产权的内容进行保护；安全管理：尤其是保密工程的实施过程中，必须加强对项目本身安全及项目建设过程安全的管理。该阶段产生的文档包括《工程实施进度计划》、《工程实施方案》等。系统测试工程测试时应根据工程项目建设合同、系统设计方案及相关法律、法规和技术标准进行。具体工作要求包括：承建单位应开展自测；监理单位根据需要可在承建单位自测基础上进行抽测；业务单位可委托第三方专业测试机构对系统功能、性能、安全等重要指标进行测试；工程测试产生的文档包括《系统测试计划》、《系统测试方案》、《系统测试报告》等。工程验收工程验收前应通过系统测试。对于大中型项目可分为初步验收和竣工验收两个阶段。工程验收工作应由业主单位组织，监理单位和承建单位配合。具体工作要求包括：工程验收前：由承建单位提出验收申请，监理单位审核工程是否达到验收条件，业主单位确认验收的组织形式和工作安排；工程验收中：由业主单位组织工程验收，验收测试过程应按业主单位的要求由业主单位或承建单位或第三方测试机构来实施测试，监理单位对验收过程、内容等进行监理；工程验收后：监理单位协助业主单位确认验收意见，对验收中发现的质量问题进行评估，根据质量问题的性质和影响范围，确定整改要求和整改后的验收方式，告知承建单位。必要时，应组织重新验收；该阶段产生的文档包括《验收计划》、《验收方案》、《验收报告》等。工程交付该阶段的主要工作包括系统培训、文档移交、系统交付。具体工作要求包括：系统培训：按照实施方案中制订的培训计划展开培训工作；培训结束后，对培训对象进行培训考核；对整个培训工作的完成情况形成书面报告。系统移交：系统通过验收后，按照合同约定应对系统进行正式移交，形成正式的书面移交手续，移交手续应由用户签认。系统移交包括：软硬件设备移交；系统开发成果移交；工程材料移交。文档移交：系统通过验收后，对建设过程中形成的工程过程文档和竣工文档连同文档清单移交业主用户，并签字确认；该阶段产生的文档包括《系统培训计划》、《系统培训方案》、《系统移交记录》、《工程文档移交记录》等。信息系统基础支撑平台建设技术要求电子信息系统机房电子信息系统机房的设计和配置应参照GB50174-2008的有关规定执行，工程施工和验收应参照GB50462-2008的有关规定执行；通用布缆系统通用布缆系统的设计和配置应参照GB50311-2007的有关规定执行，工程施工依据设计规范、国家标准、施工图纸要求执行；工程验收参照GB50312-2007的有关规定执行。网络系统系统组网通用要求网络系统组网应符合以下通用要求：网络体系结构应以当前国际主流、成熟和可靠的标准化协议或参考模型作为信息通信的协议基础；网络系统能实现多网融合时，不宜采用分别建网的方案；在可行的情况下，宜优先采用具有自主知识产权的技术，以保障网络信息安全。系统结构网络系统架构应符合以下要求：满足横向、纵向的网络互联互通的需求；充分利用已有的网络资源，并与现有应用系统的网络兼容；在智能楼宇中建设的自控网络应采用符合ISO开放系统互连协议的设计，还应同时构建将自控网络接入标准互联数据网络的网关；大中型网络宜采用三层结构：核心层（主干网络）、汇聚层（分布层）和接入层（访问层）；小型网可采用两层结构：核心层和接入层，或简单的平面型网络；采用分层结构时，应遵守以下两条基本原则：网络中因拓扑结构改变而受影响的区域应限制到最小；路由器（及其它网络设备）应传输尽可能少的信息。系统功能与性能网络系统的功能与性能应符合以下要求：系统应安全可靠、可管理、可控制和可扩展，并应具有服务分类和服务质量保障能力；新建网络系统应充分考虑IPv6与IPv4的互操作性（即IPv6的迁入机制）；可用性要求高的网络系统应采用冗余网络，提供备用通信链路；对于关键应用，备用通信链路应具有自动故障转移功能；网络设备动力应有必要的保障措施；网络系统的可用性、可靠性、利用率等性能指标应满足设计和相关标准的要求；网络性能的测评参照GB/T21671-2008执行。网络设备通用要求网络设备应符合以下通用要求：设备的生产厂家应有比较强的综合技术能力、服务能力和持续改进能力；设备应采用主流技术；设备应是具有相应认证和标志的节能和环保产品；设备产生的电磁干扰的限值应符合GB9254-2008的有关规定；设备的抗电磁干扰能力应符合GB/T17618-1998的有关规定；以太局域网与公共通信网的接口位置、主要的数据电路终接设备和所接的数据终端设备均应符合国家或地方有关主管部门的相应规定；所有入网的通信设备，应具有入网许可证，安全产品需要根据相关的国家标准，优先采用国内的产品，并通过相关部门认可的有资质单位的检测。交换设备与技术交换设备与技术应符合以下要求：交换机设备的选型应包括以下指标：背板带宽、交换机的端口速率（每秒通过的比特数）、转发速率、交换引擎的处理能力。以太网交换机的技术要求应符合YD/T1099-2005的要求；以太网交换机测试方法应符合YD/T1141-2007的要求；路由设备与技术路由设备与技术应符合以下要求：路由器设备的选型应包括以下指标：吞吐量（整机包转发能力和端口包转发能力）、背板能力等；路由器的功能特性、通信规程、路由协议、接口类型及特性、性能指标、定时和同步、可靠性和可用性、操作维护功能以及安全、环境等基本要求，应符合YD/T1097-2009的相关规定；边缘路由器的功能、指标、通信接口、通信协议、环境等要求应符合YD/T1096-2009的相关规定。其测试要求应满足YD/T1098-2009的有关规定。主机主机设备与技术应符合以下要求：主机的选型应综合考虑开放性、延续性、可扩展性、可靠性、互连性、性价比、可管理性、容错性等因素；主机的性能指标应综合考虑系统的计算量、响应速度、用户数量、并发用户数、业务数据量、可靠性、成本等因素；主机的技术指标应综合考虑CPU工作频率、内存容量与技术、系统I/O技术、服务器集群技术等；对于可靠性要求高的应用系统，其主机建议采用双机冗余或集群冗余方案；对于并发用户数比较大的业务系统，其主机建议采用负载均衡技术；数据存储与容灾备份系统存储设备及架构选型存储设备及架构选型应依据系统数据的重要程度、数据安全、数据量与类型、访问方式与频次、备份与恢复需求等要求。容灾备份要求备份设计的基本原则是保证系统运行和数据的连续性，应设定以下指标：依据系统与数据损失的容忍度要求设定恢复点目标，以决定自动备份操作的执行时间；依据备份恢复时间开销要求设定恢复时间目标，以确定备份设备和恢复方式。存储设备与存储虚拟化技术磁盘阵列RAID磁盘阵列RAID级别的选型应依据可用性（数据冗余）、性能和成本等要求。磁带机、磁带库、自动磁带加载机磁带机、磁带库、自动磁带加载机的选型应适用于信息系统中海量数据的定期离线备份。光盘库光盘库的选型应适用于信息系统中海量数据存储和长期安全备份。对数据安全要求较高的信息系统宜采用光存储设备作为后备以实现容灾备份。选用光存储产品时宜采用光盘库或同类产品作为近线和离线安全存储。存储网络化与虚拟化存储网络化与虚拟化系统的结构应根据网络和设备类型、应用领域进行合理选择：直接连接存储（DAS）主要适合在对容量上限的要求相对变化不大且相对独享的系统应用中；存储区域网（SAN）适用于非线性编辑、服务器集群、远程灾难恢复、网络化数据服务等多个领域；网络连接存储(NAS)适用于在不同操作系统平台下的文件共享应用；存储虚拟化适用于屏蔽具体存储设备的物理细节，从而能充分利用存储容量、降低存储成本，为用户提供统一集中的存储管理。容灾备份系统容灾备份系统的类型容灾备份系统的类型与备份模式选择应以建立可操作备份、归档、应对灾难恢复为依据。对重要的基础操作系统和数据应建立备份。备份系统的类型划分如下：按照备份实现的物理位置可分为本地备份和异地备份；按照操作方式可分为在线备份和非在线备份。容灾备份类型的选择原则容灾备份类型选择宜遵循如下原则：异地备份；非在线方式备份。备份系统基本组成备份系统应包括：备份软件：通过备份软件自动控制备份数据流和备份设备操作，整个备份过程无人值守、定时自动备份；备份设备：包括在线或近线备份、离线备份两大类：在线或近线备份设备包括磁盘阵列机、光盘阵列机等；离线备份设备包括磁带机、磁带库、自动磁带加载机、光盘库等。系统与数据的灾难恢复根据系统的实现和应用情况，应选择适合的灾难恢复模式：数据复制模式包括同步复制、异步复制、定期复制；灾难恢复模式包括全自动恢复系统、手动恢复系统、数据备份系统；灾难恢复站点类型包括热站（hotsite）、冷站（coldsite）、温站（warmsite）。基础平台管理系统通用要求基础平台管理系统应符合以下通用要求：依据应用的环境、系统的规模、网络的需求、自身的技术能力及成本的要求来进行管理平台的建设；基础平台设备种类较多时，宜选通用管理系统；基础平台设备数量较多且种类单一，宜选专用管理系统。除前述特殊情况外，宜尽量避免选用专用管理系统。配置管理配置管理应符合以下技术要求：根据要求自动收集系统当前状态的有关信息，自动网络拓扑发现，产生所有网络设置的最新清单；初始化、开通或关闭被管理对象；配置设备的通用信息，设置开放系统中有关路由操作的参数；获取系统重要变化的信息，更改系统的配置；设备配置文件的集中存储备份与管理，提供与数据库连接的接口；产生配置报告、进行配置查询。性能管理性能管理应符合以下技术要求：评估系统资源的运行状况及通信效率等系统性能；监视和分析被管设备及其所提供服务的性能机制；设备发生问题时，性能分析的结果应能触发某个诊断测试过程或重新配置设备以维持设备的性能；性能监测：采集监测基础平台性能数据，报告网络元素状态、控制状态和拥塞状态；性能分析：分析监测到的性能数据，形成统计报表；确定自然和人工状况下系统的性能或预测系统近期性能；维护系统性能状态日志（性能数据库）；寻找现实的和潜在的瓶颈，异常状况告警；性能管理控制：控制性能监测数据的属性、阈值，改变系统操作模式以进行系统性能管理的操作，对系统进行调整，优化资源利用以改善其性能。故障管理故障管理应符合以下技术要求：当基础平台中某个组成失效时，迅速查找到故障并及时排除；具有故障根源分析、故障检测、故障定位和故障纠正功能；设置不同的故障优先级，根据故障情况实时告警及告警统计；接受错误检测报告并作出响应，跟踪、辨认错误；；纠正错误，施行恢复策略，包括隔离故障设备、将业务从故障设备切换到正常的预备设备；维护并检查错误日志。安全管理安全管理应符合以下技术要求：对授权机制、访问控制、加密和加密关键字的管理，维护和检查安全日志，针对不同的管理人员建立权限不同的帐户；创建、删除、控制安全服务和机制；与安全相关信息的分发；与安全相关事件的报告。信息系统应用支撑环境建设技术要求操作系统标准符合性操作系统应符合以下标准要求：GB18030-2005；可移植操作系统接口（POSIX）标准；安全技术参照GB/T20272-2006要求。基本特性操作系统的基本特性应包含：平台支持能力，应考虑对多种硬件平台的支持与兼容；兼容性，包括提供对主流软硬件良好兼容支持；易用性，包括提供图形化的系统管理、系统监控与运行分析、日志管理、图形桌面环境、集成开发环境、全中文化联机帮助等基本功能；安全性，包括用户标识与鉴别、安全审计、网络攻击防护、安全协议支持、安全服务管理支持等基本功能；可靠性，包括操作系统运行的稳定性，对异常情况的处理以及数据的安全可靠性保护等功能；可扩展性，包括系统对外部硬件、高性能计算、虚拟化支持以及系统自身（文件系统、CPU数量、内存容量、外部存储等）可扩展性的支持；高可用性，包括日志文件系统高可用性，以及针对高可用软件的多种保护模式、负载均衡模式的支持等；可维护性，包括应用程序异常处理、核心崩溃异常处理以及系统崩溃问题分析支持等；互操作性，提供对多种异构平台的互操作性支持。数据库管理系统标准符合性数据库管理系统应符合以下标准要求：GB/T12991-2008；安全技术参照GB/T20273-2006要求。基本特性数据库管理系统的基本特性应包含：数据定义功能：提供相应数据语言来定义数据库结构和数据库框架，保存于数据字典中。数据存取功能：提供数据操纵语言实现对数据库数据的基本存取操作：检索、插入、修改和删除。数据库运行管理功能：提供数据的安全性、完整性和并发控制等管理功能，以确保数据正确有效。数据库建立和维护功能。包括数据库初始数据的装入，数据库的转储、恢复、重组织，系统性能监视、分析等功能。数据传送功能：提供处理数据的传送，实现用户程序与数据库管理系统之间的通信。选型要求数据库管理系统的选型应符合以下技术要求：对分布式应用的支持。并行处理能力。可移植性和可括展性。安全性和数据完整性约束。并发控制功能。容错与容灾能力。支持汉字处理能力数据吞吐量和容量管理能力中间件基础中间件基础中间件应符合以下技术要求：支持操作系统的要求；支持数据库管理系统的要求；在信息系统设备及网络资源范围内，系统的吞吐率、响应时间、并发访问用户等关键性能指标应符合系统需求；支持平台资源及其上应用的可视化监控、在线调整、替换和迁移；支持大容量的访问请求缓存、例外处理和友好用户返回；支持中文语言，并支持多语言扩展。集成化中间件门户系统门户系统的建设应遵循以下基本原则：符合行业主流的支撑架构要求、宜有远程门户网站Web服务；实践和技术的完整统一；体现知识导向、增值服务、用户为中心、资源共享与整合。门户系统的建设应符合以下技术要求：满足关键性能要素的要求，如并发量、在线数、稳定性、响应速度等；具有对常见的展现层整合提供多种整合方式的能力；具有基于java的web组件（Portlet）构件库的支持；支持单点登录；系统的表现层支持可定制。企业内容管理企业内容管理系统的建设应遵循以下基本原则：内容和表现形式分离；用户管理和授权管理相互统一；用户帐号和授权信息统一管理。企业内容管理系统的建设应符合以下技术要求：提供可视化的内容创建环境；提供站点间信息共享，实现网站群集管理；提供缓存机制，有效提高访问速度和负载能力；提供静态页面与动态页面相结合的发布方式；具备收集、取得、分节、编辑、整合及转换内容等功能，可加入元数据对内容组件进行定义及搜寻；具备将内容以模板形式通过出版媒体自动发布的能力，如Web、电子出版品、PDA、WAP、印刷品、XML数据交换等；能提供高可配置性、插件式的二次开发。业务流程管理业务流程管理系统的建设应遵循以下基本原则：遵循工作流管理联盟规范；采用模块化结构，实现各模块间高内聚、松耦合；支持构件化开发方式。业务流程管理系统的建设应符合以下技术要求：支持多数据库；具备安全性，完整的业务日志、误操作可追溯和完整的恢复；引擎具备对业务流转操作的权限验证机制，对流程的定义、修改和发布的权限管理机制；具有流程跟踪、监控、分析的能力；核心引擎应具备灵活的调度模型、强大的任务处理能力、支持多种流程流转模式；业务流程能实现跨部门、系统和用户，强调端对端的业务流程；有较高的易用性，如引擎接口使用简单、支持行业服务框架、容易部署、支持完全的集群、图形化的流程建模、图形化的流程管理监控功能、便捷的任务通知方式等；通用报表管理通用报表管理系统的建设应遵循以下基本原则：支持各种业务模型；操作简单、视图直观。通用报表管理系统的建设应符合以下技术要求：采用向导方式的报表设计；具有科学、先进的数据模型支持，易集成；展现形式多样化；结果能实现动态、定量与定性分析相结合；报表支持多种文件格式输出、打印预览；支持可拖拽的数据集，制作非线性报表。智能搜索引擎智能搜索引擎的建设应遵循以下基本原则：做到知识库和信息库相结合，达到语义分析、知识管理和知识检索统一；搜索结果及其范围定位准确；智能搜索引擎的建设应符合以下技术要求：支持分布式检索、多服务器存储；信息采集过程用人工智能技术、自动进行分类；搜索结果通过自然语言和用户交互；具有跨平台工作和处理多种混合文档结构的能力；查询结果具有高召回率和准确率；支持多语言搜索；企业服务总线企业服务总线的建设应遵循以下基本原则：明确定义被集成的对象为服务；明确消息(Message)处理在集成过程中的作用；企业服务总线的建设应符合以下技术要求：确保平滑的系统扩展；基于组件的应用开发；提供数据集成功能；对异构数据源能实现无缝集成；提供丰富的预制服务；架构与组件间松耦合；提供总线范畴内对服务的注册命名及寻址管理功能，实现服务元数据管理；具有面向服务的中介功能，提供位置透明的服务路由和定位、多种消息传递型式、支持广泛使用的传输协议。数据交换平台数据交换平台的建设应遵循以下基本原则：依据国家或行业标准，形成交换元数据的标准化；支持自定义模式；具备自维护功能；数据交换平台的建设应符合以下技术要求：多应用系统数据整合；具备面向信息资源整合，跨地域、跨部门的应用技术框架；提供综合统一的数据存储应用服务；提供安全可靠、基于消息的业务通信服务；提供良好的扩展性，支持各类数据库；具备灵活性，避免交换元数据、格式等变更导致技术体系结构的变动；具有安全性，身份鉴别与授权机制；业务基础平台企业服务框架企业服务框架的建设应符合以下技术要求：提供信息系统应用级别的数据访问安全管理；提供明确的开发接口，包括以框架为基础的业务逻辑编程模版、可复用组件、公用服务接口等全部和信息系统应用逻辑开发人员有关的框架接口；针对定义的开发接口，提供完备的开发人员使用手册；具有对业务类型差异的兼容支撑特性，并提供相应的解决方案，如联机事务、批处理事务和统计分析事务等；支持各种集群模式；定制化开发工具定制化开发工具的建设应符合以下技术要求：其输出物应遵循企业服务框架约定的技术体系和架构；支持企业服务框架的API及相关技术规范；支持企业服务框架中可复用组件的组装和配置；遵循企业服务框架约定开发方法论，并支持企业服务框架约定的其他开发规范约束；提供生成代码逻辑的调试运行功能；内置支持生成代码逻辑的单元测试功能。系统管理工具系统管理工具的建设应符合以下技术要求：支持信息系统运行时数据采集，包括运行状态数据的实时采集、加工、持久化存储；支持信息系统运行时监控，包括可定制状态数据统计分析策略、运行状态的图形化统计分析展示等；提供系统及业务层面上的运行异常的记录、统计、分析、报警；提供监控管理扩展机制，以便于针对特定应用领域、特定信息系统的扩展开发；提供监控管理集成机制，以便于整合第三方的系统管理工具。领域应用扩展以业务基础平台为基础的领域应用扩展的建设应符合以下技术要求：参考领域应用特征，进一步拓展底层的企业服务框架，以便提供更加专业化，在技术、组件、接口和规范约束方面更加贴近目标信息系统工程项目建设需要的底层支撑平台；基于可复用技术的领域应用扩展，能够提供相同或相近应用领域内的技术及组件复用，降低信息系统建设成本。领域应用框架领域应用框架的建设应符合以下技术要求：可作为企业级服务框架的扩展，在组件形态上应具有独立性，同企业服务框架在发布形态上保持松耦合状态；遵循企业服务框架约定的技术体系结构、接口和规范，以保证系统组件、技术升级的连续性和可靠性；其所有对企业级服务框架的扩展，包括技术体系结构、接口和规范在内，均应编制形成详细的扩展说明，以便于领域应用框架的维护。领域构件库领域构件库的建设应符合以下技术要求：是特定领域内可复用的业务及技术逻辑单元，应具有显著的领域属性；具有可复用特性，一次性的、不可复用的逻辑单元不能进入领域构件库；遵循企业级服务框架和领域应用框架约定的技术体系结构、接口和规范；符合集成开发工具关于组件编排、组装的技术要求；编制详细的分类说明，并提供完善的扩展、编排、组装等应用说明。领域流程与实体模型领域流程与实体模型的建设应符合以下技术要求：流程模型是特定领域内可复用的业务交互、协作定义，具有显著的领域属性；实体模型是特定领域内可复用的业务实体定义，应具有显著的领域属性具有显著的可复用特性；在相同或相似的领域内具有明确的复用场景；遵循企业级服务框架和领域应用框架约定的技术体系结构、接口和规范。信息系统安全支撑体系建设技术要求信息系统安全定级应按照《信息安全等级保护管理办法》、GB/T22240-2008确定信息系统安全保护等级。信息系统安全技术根据确定的信息系统安全保护等级，参照GB/T22239-2008执行。信息系统工程项目建设安全管理应对信息系统工程项目建设过程实行安全管理，参照本标准附录A执行。信息系统工程项目组织与人员安全管理应对信息系统工程项目组织与人员实行安全管理，参照本标准附录B执行。整体安全信息系统工程项目建设,应考虑总体性安全要求,参照GB/T22239-2008执行。信息系统应用软件建设技术要求信息系统应用软件开发应根据不同行业领域的具体需求而定，应符合以下技术要求：根据用户现有的工作流程编制程序，满足用户特定使用习惯的需求；采用微内核的架构，支持模块化开发管理；支持业务路由；提供技术构件库支撑开发；提供多维组织机构模型；设计遵循MDA思想；支持生成标准化的代码；支持模板技术；提供通用的二次开发组件；支持参数的可视化配置操作；提供图形化统计分析；提供图形化、向导化应用系统定制；

（规范性附录）

信息系统工程项目建设安全管理前期咨询前期调研本项要求包括：应制定详细的调研计划，包括调研的策略、目的、内容、方法、对象、方式、时间、人员安排；调研的人员应具备相应的资质；调研的内容应包括政策法规、行业标准、专家建议、发展趋势、技术和设备、成功案例等相关方面；调研的对象应包括行业主管部门、标准的编制和检查部门、行业内的专家、具有实力的技术单位、设备提供单位等；调研的方法可采用问卷调查、现场考察、电话咨询、请专人讲座等；调研信息应由专人负责汇总、分析，编制详细的调研报告。需求分析本项要求包括：需求分析应区分新建项目与改扩建项目，针对新建项目，需求分析应按照新建系统的需求分析进行，改扩建项目应在分析系统现状的基础上，进行项目的需求分析；需求分析的内容应明确、清晰，表述清楚，相关业务流程环节等要详细；应由业务关键人员编写初步的需求报告，对业务流程和需求的描述可通过相应的调查表格清晰表述；应绘制业务流程图，清晰表述业务流程环节、环节之间的关系、与业务流程流转相关的输入输出信息；应编写需求规格说明书；应遵循PDCA的工作方法，项目在实施过程中可根据实际需求，进行需求的变更，补充和更新相应的需求分析报告。可行性研究本项要求包括：应对市场需求状况、建设条件、生产条件、协作条件、工艺技术、设备、投资、经济效益、环境和社会影响以及风险等问题进行深入调查研究，充分进行技术经济论证，做出项目是否可行的结论，选择并推荐优化建设方案，为项目决策单位或业主提供决策依据；应进一步深入调研，找出存在的问题和可能的解决途径；应对基础资料进行收集整理，对改扩建工程应对原系统的各种资料进行收集整理；应有操作性强的技术措施（方案）：一是适合当地的成熟技术，二是可操作性强；应有行之有效的保障措施：组织、管理、资金、资产、技术、运行等；可行性报告应做到编制依据可靠、结构内容完整、文本格式规范和附图、附表、附件齐全；应能充分反映项目可行性研究成果，内容齐全，结论明确，论据充分，满足决策者定方案定项目的要求；选用主要设备的规格、参数应能满足订货要求；主要工程技术参数，应能满足项目初步设计的要求；资料数据准确可靠，技术方法要科学、合理，并多方法验证，分折要逻辑化、有说服力；资金筹措或融资方案应能满足政策和各级部门、社会团体决策的需要；应有评估、决策（审批）所必须的合同、协议、承诺、政府批件、意向书等。风险评估本项要求包括：项目风险的类型可分为项目的大小与范围、数据处理能力、技术能力与经验、管理模式、项目运作环境几大类；应根据项目的需求编制项目风险应对计划，进行风险识别、定性和定量分析；应编制项目风险应对计划；应对风险进行实施监控。项目评审本项要求包括：新建和改扩建的项目都应进行项目评审；项目评审需申报的材料应包括：项目需求分析报告、可行性分析报告和项目风险评估报告；项目评审可采用自审、专家评审等方式，也可以两种方式结合进行；项目评审应由上级主管部门负责进行；项目评审的结果，应作为审批的依据。项目审批本项要求包括：有主管部门的单位的建设项目应进行审批；审批需准备的材料至少应包括项目需求分析报告、可行性分析报告、项目分析风险评估报告和项目评审意见，含专家评审意见以及相应的要求的文档资料；项目审批应由主管部门负责。方案总体设计需求分析本项要求包括：应明确不同等级信息系统的范围和边界，通过调查或查阅资料的方式，了解信息系统的构成，包括网络拓扑、业务应用、业务流程、设备信息、安全措施状况等；应根据各个信息系统的安全保护等级从信息系统安全等级保护基本要求中选择相应等级的指标，形成评价指标；根据评价指标，结合确定的具体对象制定可以操作的评估方案；应能根据基本安全需求和特殊的安全保护需求等形成安全需求分析报告。安全风险评估本项要求包括：应明确信息系统中的重要部件，如边界设备、网关设备、核心网络设备、重要服务器设备、重要应用系统等；检查或判断上述重要部件可能存在的脆弱性，包括技术和管理方面；应能对安全脆弱性被利用的可能性进行分析；应能够分析和判断上述重要部件可能面临的威胁，包括外部的威胁和内部的威胁，威胁发生的可能性或概率；应能够分析威胁利用脆弱性可能产生的结果，结果产生的可能性或概率，结果造成的损害或影响的大小，以及避免上述结果产生的可能性、必要性和经济性，并按照重要资产的排序和风险的排序确定安全保护的要求。总体方案设计本项要求包括：应形成机构最高层次的安全方针文件，阐明安全工作的使命和意愿，定义信息安全的总体目标，规定信息安全责任机构和职责，建立安全工作运行模式等；应形成机构高层次的安全策略文件，说明安全工作的主要策略，包括安全组织机构划分策略、业务系统分级策略、数据信息分级策略、子系统互连策略、信息流控制策略等；应根据机构总体安全策略文件、等级保护基本要求和安全需求，提出跨局域网互联的子系统之间的信息传输保护策略要求和具体的安全技术措施，包括同级互联的策略、不同级别互联的策略等；应根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别子系统边界的安全保护策略和安全技术措施；应根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别子系统内部网络平台、系统平台和业务应用的安全保护策略和安全技术措施；应根据机构总体安全策略文件、等级保护基本要求和安全需求，提出不同级别信息系统机房的安全保护策略和安全技术措施；应将骨干网/城域网、通过骨干网/城域网的子系统互联、局域网内部的子系统互联、子系统的边界、子系统内部各类平台、机房以及其他方面的安全保护策略和安全技术措施进行整理、汇总，形成信息系统的安全技术体系结构。方案评审本项要求包括：需编制评审的概要说明，应包括项目介绍、评审的内容简介、评审的目的等；评审包括技术评审、实施的风险及可控性评审两个方面；评审专家组需聘请知名的省内、国内的相应信息和信息安全专家，应具有省内相应部门的专家库的资质。工程招投标服务商选择本项要求包括：应确保服务商的选择符合国家的有关规定；应与选定的服务商签订与安全相关的协议，明确约定相关责任；应确保选定的服务商提供技术培训和服务承诺，必要时与其签订服务合同。产品采购本项要求包括：应确保产品采购和使用符合国家的有关规定；应确保密码产品采购和使用符合国家密码主管部门的要求；应指定或授权专门的部门负责产品的采购；应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单；应对重要部位的产品委托专业测评单位进行专项测试，根据测试结果选用产品。软件开发本项要求包括：应确保开发环境与实际运行环境物理分开，测试数据和测试结果受到控制；应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；应制定代码编写安全规范，要求开发人员参照规范编写代码；应确保提供软件设计的相关文档和使用指南，并由专人负责保管；应确保对程序资源库的修改、更新、发布进行授权和批准；应确保开发人员为专职人员，开发人员的开发活动受到控制、监视和审查；应根据开发要求测试软件质量；应在软件安装之前检测软件包中可能存在的恶意代码；应要求开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道。方案详细设计技术方案设计本项要求包括：应依据建设内容和信息系统的实际情况，给出与总体安全规划阶段的安全体系结构一致的安全实现技术框架，内容包括安全防护的层次、信息安全产品的使用、网络子系统划分、IP地址规划等其他内容；应对安全实现技术框架中使用到的相关信息安全产品，如防火墙、VPN、网闸、认证网关、代理服务器、网络防病毒、PKI等提出功能指标要求；对需要开发的安全控制组件，提出功能指标要求；应对安全实现技术框架中使用到的相关信息安全产品，如防火墙、VPN、网闸、认证网关、代理服务器、网络防病毒、PKI等提出性能指标要求；对需要开发的安全控制组件，提出性能指标要求；应结合目前信息系统网络拓扑，以图示的方式给出安全技术实现框架的实现方式，包括信息安全产品或安全组件的部署位置、连线方式、IP地址分配、路由协议的分域等；对于需对原有网络进行调整的，给出网络调整的图示方案等；应依据信息系统安全总体方案中提出的安全策略的要求，制定设计和设置信息安全产品或安全组件的安全策略实现计划。管理方案设计本项要求包括：应结合系统实际安全管理需要和本次技术建设内容，确定本次安全管理建设的范围和内容；应注意与信息系统安全总体方案的一致性；安全管理设计的内容应考虑：安全管理机构和人员、安全管理制度、人员安全管理技能等。方案评审本项要求包括：需编制评审概要说明，应包括方案介绍、评审的内容简介、评审的目的等；评审应分技术评审和实施的风险及可控制性评审；评审专家组需聘请知名的省内、国内的相应信息和信息安全专家，应具有省内相应部门的专家库的资质。工程实施技术建设实施本项要求包括：应以规范的形式准确表达安全方案设计中的指标要求，确定软件设计的约束和软件同其他系统相关的接口细节；概要设计要考虑安全方案中关于身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖等方面的指标要求，设计安全措施模块的体系结构，定义开发安全措施的模块组成，定义每个模块的主要功能和模块之间的接口；应依据概要设计说明书，将安全控制开发进一步细化，对每个安全功能模块的接口、函数要求、各接口之间的关系、各部分的内在实现机理都要进行详细的分析和细化设计；应按照详细设计方案中对于产品的具体指标要求进行产品采购，根据产品或产品组合实现的功能满足安全设计要求的情况来选购所需的信息安全产品；应按照设计进行硬件调试和软件的编码，在编码和开发过程中，要关注硬件组合的安全性和编码的安全性，并通过论证和测试；开发基本完成后应进行测试，保证功能的实现和安全性的实现。测试分为单元测试、集成测试、系统测试和以用户试用为主的用户测试四个步骤；应制定集成实施方案，要具体落实到产品的安装、部署和配置中。管理建设实施本项要求包括：应识别与信息安全管理有关的组织成员及其角色，例如：操作人员、文档管理员、系统管理员、安全管理员等，形成安全组织结构表；应以书面的形式详细描述每个角色与职责，确保有人对所有的风险负责；管理制度建立首先要明确制度的应用范围，如机房管理、帐户管理、远程访问管理、特殊权限管理、设备管理、变更管理等方面的内容；管理制度的建立要明确相关岗位人员的责任和权利范围，并要征求相关人员的意见，要保证责任明确；管理制度是通过制度化、规范化的流程和行为，来保证各项管理工作的一致性；制度在发布、执行过程中，要定期对其进行评估，根据实际环境和情况的变化，对制度进行修改和完善，必要时考虑管理制度的重新制定；应针对普通员工、管理员、开发人员、主管人员以及安全人员的特定技能培训和安全意识培训，培训后进行考核，合格者发给上岗资格证书等。工程项目管理本项要求包括：质量管理首先要控制系统建设的质量，保证系统建设始终处于等级保护制度所要求的框架内进行；同时，还要保证用于创建系统的过程的质量；在系统建设的过程中，要建立一个不断测试和改进质量的过程；在整个系统的生命周期中，通过测量、分析和修正活动，保证所完成目标和过程的质量；为了识别、评估和减低风险，以保证系统工程活动和全部技术工作项目都成功实施；在整个系统建设过程中，风险管理应贯穿始终；在系统建设的过程中，由于各种条件的变化，会导致变更的出现，变更发生在工程的范围、进度、质量、费用、人力资源、沟通、合同等多方面；每一次的变更处理，必须遵循同样的程序，即相同的文字报告、相同的管理办法、相同的监控过程；必须确定每一次变更对系统成本、进度、风险和技术要求的影响；一旦批准变更，必须设定一个程序来执行变更；系统建设的实施必须要有一组明确的可交付成果，同时也要求有结束的日期；因此在建设系统的过程中，必须制订项目进度计划，绘制网络图，将系统分解为不同的子任务，并进行时间控制确保项目的如期完成；文档是记录项目整个过程的书面资料，在系统建设的过程中，针对每个环节都有大量的文档输出，文档管理涉及系统建设的各个环节，主要包括：系统定级、规划设计、方案设计、安全实施、系统验收、人员培训等方面。系统安全性测试测试计划编制本项要求包括：应委托具有相应资质的第三方测试单位对系统进行安全性测试；应由第三方测试单位制定安全性测试计划。测试方案编制应在测试验收前根据设计方案或合同要求等制订测试验收方案。测试实施本项要求包括：应对系统测试验收的控制方法和人员行为准则进行书面规定；应指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收工作；在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。安全等级测评本项要求包括：在系统运行过程中，定级为三级（含三级）以上等级的系统应至少每年对系统进行一次等级测评，发现不符合相应等级保护标准要求的及时整改；应在系统发生变更时及时对系统进行等级测评，发现级别发生变化的及时调整级别并进行安全改造；发现不符合相应等级保护标准要求的及时整改；应选择具有国家相关技术资质和安全资质的测评单位进行等级测评；应指定或授权专门的部门或人员负责等级测评的管理。工程验收验收计划编制本项要求包括：项目验收需编制项目验收计划书。项目验收计划书可包括项目背景、验收依据、验收对象、验收内容及标准、验收程序、验收步骤（系统、软件、硬件）、验收小组及委员会名单、验收时间安排、具体验收、总体文档验收、总结等多个部分；项目验收计划需要相应的部门批准；对改扩建项目，验收时需制定应急计划、应急方案。验收方案编制本项要求包括：验收方案编制的依据应以合同中的技术表述部分为依据，严格按照合同技术部分的要求逐项进行编制，如合同中无明确技术部分表述，应以招标书中的技术部分为依据；验收方案应包括验收设备（系统）的名称、规格、数量等相关内容；验收方案中针对隐蔽的工程，需要明确验收的方法；验收方案中的涉及功能和性能的验收，可进行厂验和现场检测两种，现场检测可聘请专业的检测机构进行功能和性能的检测，以检测报告作为验收依据之一；验收方案中针对影响系统的任何检测等，需要制定相应的应急预案，并且确认；验收方案中还需要明确验收的时间、人员安排等相应的条件。验收实施本项要求包括：应制定详细的验收计划，且应被批准；应制定相应的验收方案，明确验收的过程和应急预案，且应被批准；大型项目，可分成多个子项目分别进行验收实施；全部合格为验收合格，有任何一个单项不合格，验收为不合格；验收结论分：“通过验收”、“不通过验收”、“整改后再验收”三类；验收不合格，可进行整改、再验收，但总工期不能延长；按期完成合同或者任务计划书约定的各项任务，经费使用合理，提供的验收文件和资料齐全，数据真实且测评的结果全部为“通过”，视为“通过验收”，目标或任务基本完成且测评结论均为“通过”，但验收文件或者资料不齐全，验收结论争论较大，视为“整改后再验收”；验收项目存在下列请求之一者视为“不通过验收”：未按合同或者任务计划书的要求达到预定的主要技术、经济指标的；提供的验收文件、资料、数据不真实；擅自修改合同或者任务计划书中的考核目标、内容和技术路线等；实施工程中出现重大问题，但未能解决或作出说明，或者最后结果存在纠纷尚未解决的；验收过程中