综合项目及信息系统建设管理新规制度

《***单位安全管理制度汇编》项目及信息系统建设管理制度文件名称项目及信息系统建设管理管理制度密级内部文件编号版本号V1.0编写部门网络室编写人审批人公布时间-8-29

目录TOC\o"1-3"\h\z编制说明 3第一章总则 4第二章安全要求 4第一节项目建设安全管理总体要求 4第二节项目申报安全管理标准 5第三节系统定级管理 7第四节方案论证和审批安全管理标准 7第五节项目实施方案和实施过程安全管理标准 8第六节安全方案设计管理 11第七节产品采购和使用管理 12第八节自行软件开发管理 12第九节外包软件开发管理 12第十节工程实施管理 13第十一节测试验收管理 13第十二节系统交付管理 13第十三节系统立案管理 14第十四节等级测评管理 14第十五节安全服务商选择管理 14第十六节项目验收和投产安全管理标准 15第三章评定和论证安全管理 18第四章附则 20第一节文挡信息 20第二节版本控制 20第三节其它信息 20

编制说明为深入落实党中央和国务院同意《国家信息化领导小组相关加强信息安全保障工作意见》及其“关键保护基础信息网络和关键信息系统安全”思想、落实信息产业部“主动预防、立即发觉、快速反应、确保恢复”方针和“同时计划、同时建设、同时运行”要求，特制订本制度。本制度依据中国信息安全相关法律法规，结合***单位本身业务特点、并参考国际相关信息安全标准制订。《***单位安全管理制度汇编项目及信息系统建设管理制度》，是针对全部IT建设项目，关键用于在IT项目立项过程中安全部分方案计划、评定和安全管理。

总则制度目标：为了加强***单位信息安全保障能力，建立健全安全管理体系，提升整体网络和信息安全水平，确保网络通信通畅和业务系统正常运行，提升网络服务质量，在安全体系框架下，本制度意在提升IT项目信息安全建设质量，加强IT项目建设安全管理工作。适用范围：本制度适适用于全部TCP/IP网络IT建设项目，关键用于IT项目立项过程中方案设计、计划安全要求参考。使用人员及角色职责：本制度适适用于全体人员。安全要求项目建设安全管理总体要求项目建设安全管理目标一个项目标生命周期包含：项目申报、项目审批和立项、项目实施、项目验收和投产；从项目建设角度来看，这些生命周期阶段则包含以下子阶段：需求分析、总体方案设计、概要设计、具体设计、系统实施、系统测试和试运行，以下表所表示。项目管理生命周期项目申报系统定级需求分析总体方案设计项目审批和立项项目实施概要设计、具体设计、系统实施项目验收和投产系统测试、试运行和投产项目建设安全管理目标就是确保整个项目管理和建设过程中系统安全。为了达成这个目标，信息安全（INFOSEC）必需融合在项目管理和项目建设过程中，和组织业务需求、环境要求、项目计划、成本效益和国家和地方政策、标准、指令相一致。这种融合应该产生一个信息系统安全工程（ISSE）项目，它要确定、评定、而且消除或控制住系统对已知或假定威胁脆弱点，最终得到一个能够接收水平安全风险。项目建设安全管理标准信息建设项目建设安全管理应遵照以下标准：全生命周期安全管理：信息安全管理必需贯穿信息系统建设项目建设整个生命周期；成本-效益分析：进行信息安全建设和管理应考虑投入产出比；明确职责：每个参与项目建设和项目管理人员全部应该明确安全职责，应进行安全意识和职责培训，并落实到位；管理公开：应确保每个项目参与人员全部知晓和了解安全管理模式和方法；科学制衡：进行合适职责分离，将业务不一样责任分配给不一样责任人；最小特权：人员对项目资产访问权限制到最低程度，即仅给予其实施授权任务所必需权限。项目建设安全管理要求项目安全管理工作由信息安全管理部门负责，在项目标申报、审批、立项、实施、验收等关键步骤中，必需有信息安全管理部门参与和评审意见。应在项目计划中明确信息安全责任、义务和管理程序。项目申报安全管理标准项目申报阶段应对信息系统建设项目各个步骤进行统一安全管理计划，确定项目标等级保护系统保护等级、安全需求、安全目标、安全建设方案，和生命周期各阶段安全需求、安全目标、安全管理方法。由项目开发单位协同用户单位进行项目需求分析、确定总体目标和建设方案。挖掘安全需求在《需求分析汇报》中除了描述系统业务需求之外，还应进行系统安全性需求分析，应尽可能包含以下信息安全方面内容：等级保护等级：从信息系统本身对于国家、社会公共秩序、法人及其它正当权益侵害及侵害程度，判别系统等级保护等级。安全威胁分析汇报：应分析待建计算机系统在生命周期各个阶段中可能遭受自然威胁或人为威胁（有意或无意），具体包含威胁列表、威胁可能性分析、威胁严重性分析等；系统脆弱性分析汇报：包含对系统造成问题脆弱性定性或定量描述，这些问题是被攻击可能性、被攻击成功可能性；影响分析汇报：描述威胁利用系统脆弱性可能造成不良影响。影响可能是有形，比如资金损失或收益降低，或可能是无形，比如声誉和信誉损失；风险分析汇报：安全风险分析目标在于识别出一个给定环境中包含到对某一系统有依靠关系安全风险。它取决于上面威胁分析、脆弱性分析和影响分析，应提供风险清单和风险优先级列表；系统安全需求汇报：针对安全风险，应提出安全需求，对于每个不可接收安全风险，全部最少有一个安全需求和其对应。安全可行性在《信息系统建设项目可行性研究汇报》以下条目中应增加对应信息安全方面内容：项目目标、关键内容和关键技术：增加信息系统建设项目标总体安全目标，并在关键内容后面增加针对前面分析出安全需求所提出对应安全对策，每个安全需求全部最少对应一个安全对策，安全对策强度应依据对应资产关键性来选择；项目采取技术路线或技术方案：增加描述怎样从技术、运作、组织和制度四个方面来实现全部安全对策，并形成安全方案；项目标负担单位及人员情况介绍：增加项目各负担单位信息安全方面资质和经验介绍，并增加介绍项目关键参与人员信息安全背景；项目安全管理：安全等级达成关键级以上项目应增加项目建设中安全管理模式、安全组织结构、人员安全职责、建设实施中安全操作程序和对应安全管理要求，项目安全管理人员由XXX部主管及信息安全管理部门人员担任，信息安全管理部门人员具体对项目安全进行监管；成本效益分析：对安全方案进行成本-效益分析。对投入使用应用软件需要升级改造，虽不需另行立项，但仍需参考上述方法进行一定安全性分析，并针对可能发生安全问题提出和实现对应安全对策。系统定级管理单位应依据《信息系统等级保护管理措施》和《信息系统安全保护等级定级指南》和上级定级指导意见，初步确定系统安全保护等级。定级工作需要符合以下要求：应明确信息系统边界和安全保护等级；应以书面形式说明确定信息系统为某个安全保护等级方法和理由；定级结果有本单位信息安全主管领导同意；定级结果有上级主管单位同意；应组织相关部门和相关安全技术教授对信息系统定级结果合理性和正确性进行论证和审定；应确保信息系统定级结果经过相关部门同意。方案论证和审批安全管理标准本阶段关键是XXX部主管组织人员对项目申报内容中信息安全需求和处理方案部分进行论证，必需时能够聘用外单位教授参与论证工作。安全性论证和审批安全性论证应着重对项目标安全需求分析、安全对策和总体安全方案进行成本-效益、合理性、可行性和有效性分析，给出明确结论：合适不适宜（否决）需作复议对论证结论为“需作复议”项目，通知申报单位对相关内容进行必需补充或修改后，再次提交复审。项目安全立项审批后，项目审批单位将对项目进行立项，以下条目中应增加对应计算机安全方面内容：项目标管理模式、组织结构和责任：增加项目建设中安全管理模式、安全组织结构和人员安全职责；项目实施基础程序和对应管理要求：增加项目建设实施中安全操作程序和对应安全管理要求；项目设计目标、关键内容和关键技术：增加总体安全目标、安全对策和用于实现安全对策总体安全方案；项目实现功效和性能指标：增加描述系统拥有具体安全功效和安全功效强度；项目验收考评指标：增加安全性测试和考评指标。立项项目，如采取引进、合作开发或外包开发等形式，则需和第三方签署安全保密协议。项目实施方案和实施过程安全管理信息系统建设项目实施阶段包含3个子阶段：概要设计、具体设计和项目实施，本阶段关键工作由项目实施单位来完成，项目审批单位负责监督工作。概要设计子阶段安全要求。在概要设计阶段，系统层次上设计要求和功效指标全部被分配到了子系统层次上，这个子阶段安全目标是确保各子系统设计实现了总体安全方案中安全功效。所以，《概要设计说明书》中应尽可能达成以下安全要求：应该按子系统来描述系统安全体系结构；应该描述每一个子系统所提供安全功效；应该标识所要求任何基础性硬件、固件或软件，和在这些硬件、固件或软件中实现支持性保护机制提供功效表示；应该标识子系统全部接口，并说明哪些接口是外部可见；描述子系统全部接口用途和使用方法，并合适提供影响、例外情况和错误消息细节；确证子系统（不管是开发，还是买来）安全功效指标满足系统安全需求。具体设计子阶段安全要求不管是新开发一个系统，或是对一个系统进行修改，本阶段任务是完成那些不能买到现成品软硬件模块设计。先要完成每个模块具体设计方案，最终依据每个模块具体设计得到整个系统具体设计。本子阶段安全目标是确保各模块设计实现了概要设计中安全功效，所以在这一阶段《具体设计说明书》中最少要包含以下信息安全内容：具体设计中应提出对应具体安全方案，标明实现安全功效，并应检验其技术原理；对系统层面上和模块层面上安全设计进行审查；完成安全测试和评定要求（通常包含完整系统、软件、硬件安全测试方案，最少是相关测试程序一个草案）；确定各模块设计，和模块间接口设计能满足系统层面安全要求。项目实施子阶段安全要求不管是新开发一个系统或是进行系统修改，本阶段关键目标是将全部模块（软硬件）集成为完整系统，而且检验确定集成以后系统符合要求。本阶段中，应完成以下具体信息安全工作：更新系统安全威胁评定，估计系统使用寿命；找出并描述实现安全方案后系统和模块安全要求和限制，和相关系统验证机制及检验方法；完善系统运行程序和全生命期支持安全计划，如密钥分发等；在《系统集成操作手册》中，应制订安全集成操作程序；在《系统修改操作手册》中，应制订系统修改安全操作程序；对项目参与人员进行信息安全意识培训；并对参与项目建设安全管理和技术人员安全职责进行检验。在软件开发被外包地方，应该考虑以下几点：检验代码全部权和知识产权情况；质量合格证和所进行工作正确度；在第三方发生故障情况下，有第三方备份保留；进行质量审核；在协议上有代码质量方面要求；在安装之前进行测试以检测特洛伊代码；提供源代码和相关设计、实施文档；关键项目建设中还要对源代码进行审核。假如软件是自主开发，则需注意上述d、f、g、h点要求。计算机系统集成信息技术产品（如操作系统、数据库等）或安全专用产品（如防火墙、IDS等）应达成以下要求：对项目实施所需计算机及配套设备、网络设备、关键机具、计算机软件产品购置，计算机应用系统合作开发或外包开发确实定，按现有制度中相关要求实施；安全专用产品应含有国家职能部门颁发信息安全专用产品销售许可证；密码产品符合国家密码主管部门要求，起源于国家主管部门同意密码研制单位；关键安全专用产品应取得国家相关安全认证，在选型中依据实际需要制订安全产品选型标准；关键信息技术产品安全功效模块应取得国家相关安全认证，在选型中依据实际需要制订信息技术产品选型标准。产品和服务供给商应达成以下要求：系统集成商资质要求：最少要拥有国家权威部门认可系统一级集成资质，对于较为关键系统应有更高等级集成资质；工商要求：产品、系统或服务提供单位营业执照和税务登记在正当期限内；产品、系统或服务提供商产品、系统或服务提供资格；连续赢利期限要求；连续无相关法律诉讼年限要求；没有发生重大管理、技术人员改变和流动期限要求；没有发生主业改变期限要求。安全服务商资质：最少应含有国家一级安全服务资质，对于较为关键系统应有更高等级安全服务资质；人员资质要求：系统集成人员、安全服务人员和相关管理人员应取得国家权威部门颁发信息安全人员资质认证；其它要求：系统符合国家相关法律、法规，按摄影关主管部门技术管理要求对非法信息和恶意代码进行有效控制，根据相关要求对设备进行控制，使之不被作为非法攻击跳板。安全方案设计管理应依据系统安全保护等级选择基础安全方法，并依据风险分析结果补充和调整安全方法；单位指定和授权XXX部门对信息系统安全建设进行总体计划，制订近期和远期安全建设工作计划；应依据信息系统等级划分情况，统一考虑安全保障体系总体安全策略、安全技术框架、安全管理策略、总体建设计划和具体设计方案，并形成配套文件；应组织相关部门和相关安全技术教授对总体安全策略、安全技术框架、安全管理策略、总体建设计划、具体设计方案等相关配套文件合理性和正确性进行论证和审定，而且经过同意后，才能正式实施；应依据等级测评、安全评定结果定时调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设计划、具体设计方案等相关配套文件。产品采购和使用管理应确保安全产品采购和使用符合国家相关要求；应确保密码产品采购和使用符合国家密码主管部门要求；应指定或授权专门部门负责产品采购；应预先对产品进行选型测试，确定产品候选范围，并定时审定和更新候选产品名单。对项目实施所需计算机及配套设备、网络设备、关键机具、计算机软件产品购置，计算机应用系统合作开发或外包开发确实定，按现有制度中相关要求实施；安全专用产品应含有国家职能部门颁发信息安全专用产品销售许可证；密码产品符合国家密码主管部门要求，起源于国家主管部门同意密码研制单位；关键安全专用产品应取得国家相关安全认证，在选型中依据实际需要制订安全产品选型标准；关键信息技术产品安全功效模块应取得国家相关安全认证，在选型中依据实际需要制订信息技术产品选型标准。自行软件开发管理应确保开发环境和实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果受到控制；应制订软件开发管理制度，明确说明开发过程控制方法和人员行为准则；应制订代码编写安全规范，要求开发人员参考规范编写代码；应确保提供软件设计相关文档和使用指南，并由专员负责保管；应确保对程序资源库修改、更新、公布进行授权和同意。外包软件开发管理应依据开发需求检测软件质量；应在软件安装之前检测软件包中可能存在恶意代码；应要求开发单位提供软件设计相关文档和使用指南；应要求开发单位提供软件源代码，并审查软件中可能存在后门。检验代码全部权和知识产权情况；质量合格证和所进行工作正确度；在第三方发生故障情况下，有第三方备份保留；进行质量审核；在协议上有代码质量方面要求；在安装之前进行测试以检测特洛伊代码；提供源代码和相关设计、实施文档；关键项目建设中还要对源代码进行审核。工程实施管理应指定或授权专门部门或人员负责工程实施过程管理；应制订具体工程实施方案控制实施过程，并要求工程实施单位能正式地实施安全工程过程；应制订工程实施方面管理制度，明确说明实施过程控制方法和人员行为准则。测试验收管理应委托公正第三方测试单位对系统进行安全性测试，并出具安全性测试汇报；在测试验收前应依据设计方案或协议要求等制订测试验收方案，在测试验收过程中应具体统计测试验收结果，并形成测试验收汇报；应对系统测试验收控制方法和人员行为准则进行书面要求；应指定或授权专门部门负责系统测试验收管理，并根据管理要求要求完成系统测试验收工作；应组织相关部门和相关人员对系统测试验收汇报进行审定，并签字确定。系统交付管理应制订具体系统交付清单，并依据交付清单对所交接设备、软件和文档等进行清点；应对负责系统运行维护技术人员进行对应技能培训；应确保提供系统建设过程中文档和指导用户进行系统运行维护文档；应对系统交付控制方法和人员行为准则进行书面要求；应指定或授权专门部门负责系统交付管理工作，并根据管理要求要求完成系统交付工作。系统立案管理指定XXX部门或人员负责管理系统定级相关材料，并控制这些材料使用；应将系统等级及相关材料报系统主管部门立案；应将系统等级及其它要求立案材料报对应公安机关立案。等级测评管理在系统运行过程中，最少每十二个月对3级系统进行一次等级测评，发觉不符合对应等级保护标准要求立即整改；应在系统发生变更时立即对系统进行等级测评，发觉等级发生改变立即调整等级并进行安全改造，发觉不符合对应等级保护标准要求立即整改；应选择含有国家相关技术资质和安全资质测评单位进行等级测评；要求技术测评机构提供相关材料。包含营业执照、申明、证实及资质材料等；和测评机构签署保密协议；要求测评机构制订技术检测方案；具体项目将指定具体人员负责等级测评管理。安全服务商选择管理应确保安全服务商选择符合国家相关要求；应和选定安全服务商签署和安全相关协议，明确约定相关责任；应确保选定安全服务商提供技术培训和服务承诺，必需和其签署服务协议。系统集成商资质要求：最少要拥有国家权威部门认可系统一级集成资质，对于较为关键系统应有更高等级集成资质；工商要求：产品、系统或服务提供单位营业执照和税务登记在正当期限内；产品、系统或服务提供商产品、系统或服务提供资格；连续赢利期限要求；连续无相关法律诉讼年限要求；没有发生重大管理、技术人员改变和流动期限要求；没有发生主业改变期限要求。安全服务商资质：最少应含有国家一级安全服务资质，对于较为关键系统应有更高等级安全服务资质；人员资质要求：系统集成人员、安全服务人员和相关管理人员应取得国家权威部门颁发信息安全人员资质认证；其它要求：系统符合国家相关法律、法规，按摄影关主管部门技术管理要求对非法信息和恶意代码进行有效控制，根据相关要求对设备进行控制，使之不被作为非法攻击跳板。项目验收和投产安全管理标准安全测评应制订研发、投产和验收等过程中安全测试和验收纲领，在项目实施完成后，由项目用户单位、项目开发单位共同组织进行测试。在测试纲领中应最少包含以下安全性测试和评定要求：配置管理：项目实施单位应使用配置管理系统，并提供配置管理文档；交付程序：应将把系统及其部分交付给用户程序文档化；安装、生成和开启程序：应制订安装、生成和开启程序，并确保最终产生了安全配置；安全功效测试：对系统安全功效进行测试，以确保其符合具体设计并对具体设计进行检验，确保其符合概要设计和总体安全方案；系统管理员指南：应提供怎样安全地管理系统和怎样高效地利用系统安全功效优点和保护功效等具体正确信息；系统用户指南：必需包含两方面内容：首先，它必需解释那些用户可见安全功效用途和怎样使用它们，这么用户能够连续有效地保护她们信息；其次，它必需解释在维护系统安全时用户所能起作用；安全功效强度评定：功效强度分析应说明以概率或排列机制（如，口令字或哈希函数）实现系统安全功效。比如，对口令机制功效强度分析能够经过说明口令空间是否有足够大来指出口令字功效是否满足强度要求；脆弱性分析：应分析所采取安全对策完备性（安全对策是否能够满足全部安全需求）和安全对策之间依靠关系。通常能够使用穿透性测试来评定上述内容，以判定它们在实际应用中是否会被利用来减弱系统安全。测试完成后，项目测试小组应提交《测试汇报》，其中应包含安全性测试和评定结果。不能经过安全性测试评定，由测试小组提出修改意见，项目实施单位应作深入修改。安全试运行测试经过后，由项目用户单位组织进入试运行阶段，应有一系列安全方法来维护系统安全，它包含处理系统在现场运行时安全问题和采取方法确保系统安全水平在系统运行期间不会下降。具体工作以下：监测系统安全性能，包含事故汇报；进行用户安全培训，并对培训进行总结；监视和安全相关部件拆除处理；监测新发觉对系统安全攻击、系统所受威胁改变和其它和安全风险相关原因；监测安全部件备份支持，支持和系统安全相关维护培训；评定大大小小系统改动对安全造成影响；监测系统物理和功效配置，包含运行过程，因为部分不太显眼改变可能影响系统安全风险。在《试运行情况汇报》中应对上述工作做总结性描述。安全验收在项目建设要求中要求系统试运行过程结束后，项目开发单位能够组织用户单位人员参与项目验收组对项目进行验收。验收应增加以下安全内容：项目是否已达成项目任务书中制订总体安全目标和安全指标，实现全部安全功效；采取技术是否符合国家、行业相关安全技术标准及规范；是否实现验收测评安全技术指标；项目建设过程中多种文档资料是否规范、齐全；在验收汇报中也应在以下条目中反应对系统安全性验收情况：项目设计总体安全目标及关键内容；项目采取关键安全技术；验收教授组中安全教授及安全验收评价意见。投产后监控和跟踪项目投产后还应进行一段时间监控和跟踪，应用系统管理人员负责监控和跟踪工作，具体包含以下要求：应对系统关键安全性能改变情况进行监控，了解其改变原因；对系统安全事故发生、应急、处理、恢复、总结进行全程跟踪，并编写具体统计；监控新增安全部件对系统安全影响；跟踪安全相关部件拆除处理情况，并监控随即系统安全性改变；对新发觉对系统安全攻击进行监控，统计其发生频率和对系统影响；监控系统所受威胁改变，评定其发生可能性和可能造成影响；监控并跟踪安全部件备份情况；监控运行程序改变，并统计这些改变对系统安全影响；监控系统物理环境改变情况，并统计这些改变对系统安全影响；监控安全配置改变情况，并统计这些改变对系统安全影响；对于上述全部监控和跟踪内容，假如对系统安全有不良影响处，全部应在系统设计、配置、运行管理上做对应改善，以确保系统安全、正常运行。各职能管理部门在进行TCP/IP网络和系统建设项目立项申请过程中，应由信息安全工作组对项目提出安全提议。依据项目立项中项目立项申请、立项论证、立项评定和立项审批四个程序