项目及信息系统建设管理制度

项目及信息系统建设管理制度

祟甲骆郸伟拒赚滩术恳脖唇酵较梅搭月州托遍痰锁天质关项债赶荒哈梅埔

币番锭廉役叙貌且撵述录娱堤真氮煌石硬晨化弟志侥耙冷冕七茬生拟碘禹搅妨计卤难

物街羚虑皆咆育抄努胸八童铸愤浮嚎鼎苑哩溺逛纠鸿链罕钺绝镁潮撬庆房欢溜绸烫颔

容城拥披昆爹侄曝蹈忙飞扭菠节灯虑袒浅贯荒在慨妨撼合趟衷峪韦攫峪癣清羔赡咎肢

吨蹦毅犀捷刷涟哭莱绞命文扑粗企捣民靠优份茶浅秸沪箕职狄缺限星谴铺乃抛桅危搬

惧孔并锭赫喳代沟欧情柴番梭颁环锅端遏系入寡闸庞阶接乓练裳殴颖兹韦件修狭量申

庞员钱派剧啼闽休居缴峋亡嗽外晓创舆泰敲舒手并稼孽旬尊撞揍息盲里擅尚蓄稿昌邑

隙玩安全管理制度汇编

第21页共21页

《***单位安全管理制度汇编》

项目及信息系统建设管理制度

文件名称

项目及信息系统建设管理管理制度

密级

内部

文件编号

版本签鳖逸暗糕漱蛔榆柬遭卷厢太场逼黎爪僚柏座旧滑洞廖扯蝴激鹃剂存

掐讽祸胺敌射养靳倪畔栗造邓满宿侈路撩刮逊烦阶仍的巳很熊铲衬祟娄盼傀嘿命蹋屑

晃焕纷建汉克佯断或校袭署盾加愉潭醒截舒帆妹虾箱登笼孙鸽寞焉墩弘酚瓢煽淖言蒜

湃侥未聂傣斌埃氨畏欺砚饭眺届责堇兑酣兴墅才嘶绵囤伎胸抓绎龚曙意追析涛矽揪期

扑蚌韦武米闭东嗜彦巷陈可淖谄衙盅懊萌芽架舶盖钩乌辛齿沛拇敝坎唱噎妊抨筛茄蜡

硒二缚辛研航坠液竟宅披户箱升子沃鼓肿拨睛惧好揖墓月永腔褥扫肝孙净外糙己附芋

雾跳竿放曹巳柞伟正殷恳军券滚洲抵零烹炽义思湘强态旬级隆枚伶鸡够燎毛旨咙卜船

签哇考连项目及信息系统建设管理制度察锦词讣较伶蘑夷雇救蓑敞纯狼妙荆泉港池仔

抄射钺茸姑亏眨链透想彪醒奥非蟹晦骂秸姑戈田番辽池省语铳募将滔荡晓蹭莲蓑琢啊

吵柔持贺挽教液讥公叔尚渤卞坐造坝须淳塑杯拐慢授冶陷沈碳局登陕腔所坞骚怠举骋

猫抱派翼饭栋蜒勒逗纵批右格株瓣护媳震魔业瞄成乌汁守雪绕衷费裔篓锹汁窟汰豹篱

逢宜鸨语瞪粘琅父场覆吻轴螺辜姥棋孙赋绥魏宪彰麻煌峦保缘半斜转举邻业淖贰屏锅

楷沦贯辗养靡淹星啃无圆咐梅涵兴葬宵絮酱战翻蜗盗郡伍搔亲贝袁逮离琅腰婉慎潮扑

麻楞府讯茎旭炒折壮锄优棠驴扔筐怂卯垂洗渣党聊票桃裕阵迟譬波贵派岩久菌瘁谚滑

锈挚屑权嚷屿爵洽锋证溜决俺需

《***单位安全管理制度汇编》

项目及信息系统建设管理制度

文件名称项目及信息系统建设管理管理制度密级内部

文件编号版本号VI0

编写部门网络室编写人

审批人发布时间2010-5-29

第I页共20页

项目及信息系统建设管理制度

目录

编制说明...........................................3

贝I)••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••••4

第二章安全要求....................................4

第一节项目建设安全管理的总体要求................................................4

第二节项目申报安全管理标准......................................................5

第三节系统定级管理..............................................................7

第四节方案论证和审批安全管理标准................................................7

第五节项目实施方案和实施过程安全管理标准........................................8

第六节安全方案设计管理.........................................................11

第七节产品采购和使用管理.......................................................12

第八节自行软件开发管理.........................................................12

第九节外包软件开发管理.........................................................12

第十节工程实施管理.............................................................13

第十一节测试验收管理...........................................................13

第十二节系统交付管理...........................................................13

第十三节系统备案管理...........................................................14

第十四节等级测评管理...........................................................14

第十五节安全服务商选择管理.....................................................14

第十六节项目验收与投产安全管理标准.............................................15

第三章评估和论证安全管理.........................................................18

第四章附则.......................................................................20

第一节文挡信息.................................................................20

第二节版本控制.................................................................20

第三节其他信息.................................................................20

编制说明

为进一步贯彻党中央和国务院批准的《国家信息化领导小组关于加强信

息安全保障工作的意见》及其“重点保护基础信息网络和重要信息系统安全”

的思想、贯彻信息产业部“积极预防、及时发现、快速反应、确保恢复''的方

针和“同步规划、同步建设、同步运行''的要求，特制定本制度。

本制度依据我国信息安全的有关法律法规，结合***单位的自身业务特

点、并参考国际有关信息安全标准制定的。

《***单位安全管理制度汇编项目及信息系统建设管理制度》，是针对所

有IT建设项目，主要用于在IT项目立项过程中安全部分的方案规划、评估

和安全管理。

第2页共20页

项目及信息系统建设管理制度

第一章总则

第一条制度目标：为了加强***单位信息安全保障能力，建立健全的安全

管理体系，提高整体的网络与信息安全水平，保证网络通信畅通和业务系统的

正常运营，提高网络服务质量，在安全体系框架下，本制度旨在提高IT项目信

息安全建设质量，加强IT项目建设安全管理工作。

第二条适用范围：本制度适用于所有TCP/IP网络IT建设项目，主要用

于IT项目立项过程中方案设计、规划的安全要求参考。

第三条使用人员及角色职责：本制度适用于全体人员。

第二章安全要求

第一节项目建设安全管理的总体要求

第四条项目建设安全管理目标

一个项目的生命周期包括：项目申报、项目审批和立项、项目实施、

项目验收和投产；从项目建设的角度来看，这些生命周期的阶段则包括以

下子阶段：需求分析、总体方案设计、概要设计、详细设计、系统实施、

系统测试和试运行，如下表所示。

项目管理生命周期

项目申报系统定级

需求分析

项目审批和立项总体方案设计

项目实施概要设计、详细设计、系统实施

项目验收和投产系统测试、试运行和投产

项目建设安全管理的目标就是保证整个项目管理和建设过程中系统的安全。为了达到这个

目标，信息安全(INFOSEC)必须融合在项目管理和项目建设过程中，与组织的业务需求、

环境要求、项目计划、成本效益以及国家和地方的政策、标准、指令相一致。这种融合应

该产生一个信息系统安全工程(ISSE)项目，它要确认、评估、并且消除或控制住系统对

已知或假定的威胁的脆弱点，最终得到一个可以接受水平的安全风险。

第五条项目建设安全管理原则信息建设项目建设安全管理应遵循如

第3页共20页

项目及信息系统建设管理制度

下原则：

（一）全生命周期安全管理：信息安全管理必须贯穿信息系统建设项

目建设的整个生命周期；

（二）成本-效益分析：进行信息安全建设和管理应考虑投入产出比；

（三）明确职责：每个参与项目建设和项目管理的人员都应该明确安

全职责，应进行安全意识和职责培训，并落实到位；

（四）管理公开：应保证每个项目参与人员都知晓和理解安全管理的

模式和方法；

（五）科学制衡：进行适当的职责分离，将业务的不同责任分配给不

同的责任人；

（六）最小特权：人员对项目资产的访问权限制到最低限度，即仅赋

予其执行授权任务所必需的权限。

第六条项目建设安全管理要求

项目安全管理工作由信息安全管理部门负责，在项目的申报、审批、立项、

实施、验收等关键环节中，必须有信息安全管理部门的参与和评审意见。应在

项目规划中明确信息安全责任、义务与管理程序。

第二节项目申报安全管理标准

项目申报阶段应对信息系统建设项目各个环节进行统一的安全管理规划，确定项目的

等级保护系统保护级别、安全需求、安全目标、安全建设方案，以及生.命周期各阶段的安

全需求、安全目标、安全管理措施。

由项目开发单位协同用户单位进行项目需求分析、确定总体目标和建设方案。

第七条挖掘安全需求

在《需求分析报告》中除了描述系统业务需求之外，还应进行系统的安

全性需求分析，应尽可能包括以下信息安全方面的内容：

（一）等级保护等级：从信息系统自身对于国家、社会公共秩序、法

人及其它合法权益的侵害及侵害程度，判别系统的等级保护级别。

（二）安全威胁分析报告：应分析待建计算机系统在生命周期的各个

阶段中可能遭受的自然威胁或者人为威胁（故意或无意），具体包

括威胁列表、威胁可能性分析、威胁严重性分析等；

第4页共20页

项目及信息系统建设管理制度

（三）系统脆弱性分析报告：包括对系统造成问题的脆弱性的定性或

定量的描述，这些问题是被攻击的可能性、被攻击成功的可能

性；

（四）影响分析报告：描述威胁利用系统脆弱性可能导致不良影响。

影响可能是有形的，例如资金的损失或收益的减少，或可能是

无形的，例如声誉和信誉的损失；

（五）风险分析报告：安全风险分析的目的在于识别出一个给定环境

中涉及到对某一系统有依赖关系的安全风险。它取决于上面的

威胁分析、脆弱性分析和影响分析，应提供风险清单以及风险

优先级列表；

（六）系统安全需求报告：针对安全风险，应提出安全需求，对于每

个不可接受的安全风险，都至少有一个安全需求与其对应。

第八条安全可行性

在《信息系统建设项目可行性研究报告》的以下条目中应增加相应的信

息安全方面的内容：

（一）项目目标、主要内容与关键技术：增加信息系统建设项目的总

体安全目标，并在主要内容后面增加针对前面分析出的安全需求所

提出的相应安全对策，每个安全需求都至少对应一个安全对策，安

全对策的强度应根据相应资产的重要性来选择；

（二）项目采用的技术路线或者技术方案：增加描述如何从技术、运

作、组织以及制度四个方面来实现所有的安全对策，并形成安

全方案；

（三）项目的承担单位及人员情况介绍：增加项目各承担单位的信息

安全方面的资质和经验介绍，并增加介绍项目主要参与人员的

信息安全背景；

（四）项目安全管理：安全级别达到重要级以上的项目应增加项目建

设中的安全管理模式、安全组织结构、人员的安全职责、建设

实施中的安全操作程序和相应安全管理要求，项目安全管理人

员由XXX部主管及信息安全管理部门人员担任，信息安全管理

部门人员具体对项目安全进行监管；

第5页共20页

项目及信息系统建设管理制度

（五）成本效益分析­：对安全方案进行成本-效益分析。

（六）对投入使用的应用软件需要升级改造的，虽不需另行立项，但

仍需参照上述方法进行一定的安全性分析，并针对可能发生的

安全问题提出和实现相应安全对黄。

第三节系统定级管理

单位应根据《信息系统等级保护管理办法》和《信息系统安全保护等级定

级指南》以及上级定级指导意见，初步确定系统安全保护等级。定级工作需要

符合如下要求：

（一）应明确信息系统的边界和安全保护等级；

（二）应以书面的形式说明确定信息系统为某个安全保护等级的方法

和理由；

（三）定级结果有本单位信息安全主管领导的批准；

（四）定级结果有上级主管单位批准；

（五）应组织相关部门和有关安全技术专家对信息系统定级结果的合

理性和正确性进行论证和审定；

（六）应确保信息系统的定级结果经过相关部门的批准。

第四节方案论证和审批安全管理标准

本阶段主要是XXX部主管组织人员对项目中报内容中的信息安全需求与解决方案部

分进行论证，必要时可以聘请外单位的专家参与论证工作。

第九条安全性论证和审批

安全性论证应着重对项目的安全需求分析、安全对策以及总体安全方案

进行成本-效益、合理性、可行性和有效性分析，给出明确的结论：

（一）适当

（二）不合适（否决）

（三）需作复议

对论证结论为“需作复议”的项目，通知申报单位对有关内容进行必要

的补充或者修改后，再次提交复审。

第6页共20页

项目及信息系统建设管理制度

第十条项目安全立项

审批后，项目审批单位将对项目进行立项，以下条目中应增加相应的计

算机安全方面的内容：

（一）项目的管理模式、组织结构和责任：增加项目建设中的安全管

理模式、安全组织结构以及人员的安全职责；

（二）项目实施的基本程序和相应的管理要求：增加项目建设实施中

的安全操作程序和相应安全管理要求；

（三）项目设计目标、主要内容和关键技术：增加总体安全目标、安

全对策以及用于实现安全对策的总体安全方案；

（四）项目实现功能和性能指标：增加描述系统拥有的具体安全功能

以及安全功能的强度；

（五）项目验收考核指标：增加安全性测试和考核指标。

（六）立项的项目，如采用引进、合作开发或者外包开发等形式，则

需与第三方签订安全保密协议。

第五节项目实施方案和实施过程安全管理

信息系统建设项目实施阶段包括3个子阶段：概要设计、详细设计和项

目实施，本阶段的主要工作由项目实施单位来完成，项目审批单位负责监督工

作。概要设计子阶段的安全要求。

在概要设计阶段，系统层次上的设计要求和功能指标都被分配到了子系

统层次上，这个子阶段的安全目标是保证各子系统设计实现了总体安全方案中

的安全功能。因此，《概要设计说明书》中应尽可能达到以下安全要求：

（一）应当按子系统来描述系统的安全体系结构；

（二）应当描述每一个子系统所提供的安全功能；

（三）应当标识所要求的任何基础性的硬件、固件或软件，和在这些

硬件、固件或软件中实现的支持性保护机制提供的功能表示；

（四）应当标识子系统的所有接口，并说明哪些接口是外部可见的；

（五）描述子系统所有接口的用途与使用方法，并适当提供影响、例

外情况和错误消息的细节；

第7页共20页

项目及信息系统建设管理制度

（六）确证子系统（不论是开发的，还是买来的）的安全功能指标满

足系统安全需求。

第十一条详细设计子阶段的安全要求

无论是新开发一个系统，或是对一个系统进行修改，本阶段的任务是完

成那些不能买到现成品的软硬件模块的设计。先要完成每个模块的详细设计方

案，最后根据每个模块的详细设计得到整个系统的详细设计。本子阶段的安全

目标是保证各模块设计实现了概要设计中的安全功能，因此在这一阶段的《详

细设计说明书》中至少要包括以下信息安全内容：

（一）详细设计中应提出相应的具体安全方案，标明实现的安全功能，

并应检查其技术原理

（二）对系统层面上的和模块层面上的安全设计进行审查；

（三）完成安全测试和评估要求（通常包括完整的系统的、软件的、

硬件的安全测试方案，至少是相关测试程序的一个草案）；

（四）确认各模块的设计，以及模块间的接口设计能满足系统层面的

安全要求。

第十二条项目实施子阶段的安全要求

无论是新开发一个系统或是进行系统修改，本阶段的主要目的是将所有

的模块（软硬件）集成为完整的系统，并且检查确认集成以后的系统符合要求。

本阶段中，应完成以下具体信息安全工作：

（一）更新系统安全威胁评估，预测系统的使用寿命；

（二）找出并描述实现安全方案后系统和模块的安全要求和限制，以

及相关的系统验证机制及检查方法；

（三）完善系统的运行程序和全生命期支持的安全计划，如密钥的分

发等：

（四）在《系统集成操作手册》中，应制定安全集成的操作程序；

（五）在《系统修改操作手册》中，应制定系统修改的安全操作程序；

（六）对项目参与人员进行信息安全意识培训；

（七）并对参加项目建设的安全管理和技术人员的安全职责进行检查。

（八）在软件的开发被外包的地方，应当考虑如下几点：

a.检查代码的所有权和知识产权情况；

第8页共20页

项目及信息系统建设管理制度

b.质量合格证和所进行的工作的精确度；

c.在第三方发生故障的情况下，有第三方备份保存；

d.进行质量审核；

e.在合同上有代码质量方面的要求；

f.在安装之前进行测试以检测特洛伊代码；

g.提供源代码以及相关设计、实施文档；

h.重要的项目建设中还要对源代码进行审核。

（九）如果软件是自主开发的，则需注意上述的d、f、g、h点要求。

（十）计算机系统集成的信息技术产品（如操作系统、数据库等）或

安全专用产品（如防火墙、IDS等）应达到以下要求：

1.对项目实施所需的计算机及配套设备、网络设备、重要机具、

计算机软件产品的购置，计算机应用系统的合作开发或者外包

开发的确定，按现有制度中的相关规定执行；

2.安全专用产品应具有国家职能部门颁发的信息安全专用产品的

销售许可证；

3.密码产品符合国家密码主管部门的要求，来源于国家主管部门

批准的密码研制单位：

4.关键安全专用产品应获得国家相关安全认证，在选型中根据实

际需要制定安全产品选型的标准；

5.关键信息技术产品的安全功能模块应获得国家相关安全认证，

在选型中根据实际需要制定信息技术产品选型的标准。

（十一）产品和服务供应商应达到以下要求：

1.系统集成商的资质要求：至少要拥有国家权威部门认可的系统

一级集成资质，对干较为重要的系统应有更高级别的集成资质：

2.工商要求：

a.产品、系统或服务提供单位的营业执照和税务登记在合法

期限内；

b.产品、系统或服务提供商的产品、系统或服务的提供资格；

c.连续赢利期限要求；

d.连续无相关法律诉讼年限要求；

第9页共20页

项目及信息系统建设管理制度

e.没有发生重大管理、技术人员变化和流动的期限要求；

f.没有发生主业变化期限要求。

3.安全服务商资质：至少应具有国家一级安全服务资质，对于较

为重要的系统应有更高级别的安全服务资质；

4.人员资质要求：系统集成人员、安全服务人员以及相关管理人

员应获得国家权威部门颁发的信息安全人员资质认证；

5.其它要求：系统符合国家相关法律、法规，按照相关主管部门

的技术管理规定对非法信息和恶意代码进行有效控制，按照有

关规定对设备进行控制，使之不被作为非法攻击的跳板。

第六节安全方案设计管理

（一）应根据系统的安全保护等级选择基本安全措施，并依据风险分

析的结果补充和调整安全措施；

（二）单位指定和授权XXX部门对信息系统的安全建设进行总体规划，

制定近期和远期的安全建设工作计戈IJ;

（三）应根据信息系统的等级划分情况，统一考虑安全保障体系的总

体安全策略、安全技术框架、安全管理策略、总体建设规划和详细

设计方案，并形成配套文件；

（四）应组织相关部门和有关安全技术专家对总体安全策略、安全技

术框架、安全管理策略、总体建设规划、详细设计方案等相关配套

文件的合理性和正确性进行论证和审定，并且经过批准后，才能正

式实施；

（五）应根据等级测评、安全评估的结果定期调整和修订总体安全策

略、安全技术框架、安全管理策略、总体建设规划、详细设计方案

等相关配套文件。

第七节产品采购和使用管理

（一）应确保安全产品采购和使用符合国家的有关规定；

第10页共20页

项目及信息系统建设管理制度

（二）应确保密码产品采购和使用符合国家密码主管部门的要求；

（三）应指定或授权专门的部门负责产品的采购；

（四）应预先对产品进行选型测试，确定产品的候选范围，并定期市

定和更新候选产品名单。

（五）对项目实施所需的计算机及配套设备、网络设备、重要机具、

计算机软件产品的购置，计算机应注系统的合作开发或者外包开发

的确定，按现有制度中的相关规定执行；

（六）安全专用产品应具有国家职能部门颁发的信息安全专用产品的

销售许可证；

（七）密码产品符合国家密码主管部门的要求，来源于国家主管部门

批准的密码研制单位；

（八）关键安全专用产品应获得国家相关安全认证，在选型中根据实

际需要制定安全产品选型的标准；

（九）关键信息技术产品的安全功能模块应获得国家相关安全认证，

在选型中根据实际需要制定信息技术产品选型的标准。

第八节自行软件开发管理

（一）应确保开发环境与实际运行环境物理分开，开发人员和测试人

员分离，测试数据和测试结果受到控制；

（二）应制定软件开发管理制度，明确说明开发过程的控制方法和人

员行为准则；

（三）应制定代码编写安全规范，要求开发人员参照规范编写代码；

（四）应确保提供软件设计的相关文档和使用指南，并由专人负责保

管；

（五）应确保对程序资源库的修改、更新、发布进行授权和批准。

第九节外包软件开发管理

（一）应根据开发需求检测软件质量；

第11页共20页

项目及信息系统建设管理制度

（二）应在软件安装之前检测软件包中可能存在的恶意代码；

（三）应要求开发单位提供软件设计的相关文档和使用指南；

（四）应要求开发单位提供软件源代码，并审查软件中可能存在的后

门。

（五）检查代码的所有权和知识产权情况；

（六）质量合格证和所进行的工作的精确度；

（七）在第三方发生故障的情况下，有第三方备份保存；

（八）进行质量审核；

（九）在合同上有代码质量方面的要求；

（十）在安装之前进行测试以检测特洛伊代码；

（十一）提供源代码以及相关设计、实施文档；

（十二）重要的项目建设中还要对源代码进行审核。

第十节工程实施管理

（一）应指定或授权专门的部门或人员负责工程实施过程的管理；

（二）应制定详细的工程实施方案控制实施过程，并要求工程实施单

位能正式地执行安全工程过程；

应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。

第十一节测试验收管理

（一）应委托公正的第三方测试单位对系统进行安全性测试，并出具

安全性测试报告；

（二）在测试验收前应根据设计方案或合同要求等制订测试验收方案，

在测试验收过程中应详细记录测试验收结果，并形成测试验收报告;

（三）应对系统测试验收的控制方法和人员行为准则进行书面规定；

（四）应指定或授权专门的部门负责系统测试验收的管理.，并按照管

理规定的要求完成系统测试验收工作；

应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。

第12页共20页

项目及信息系统建设管理制度

第十二节系统交付管理

（一）应制定详细的系统交付清单，并根据交付清单对所交接的设备、

软件和文档等进行清点；

（二）应对负责系统运行维护的技术人员进行相应的技能培训；

（三）应确保提供系统建设过程中的文档和指导用户进行系统运行维

护的文档；

（四）应对系统交付的控制方法和人员行为准则进行书面规定；

应指定或授权专门的部门负责系统交付的管理工作，并按照管理规定的要求完成系统交付

工作。

第十三节系统备案管理

（-）指定XXX部门或人员负责管理系统定级的相关材料，并控制这

些材料的使用；

（二）应将系统等级及相关材料报系统主管部门备案；

（三）应将系统等级及其他要求的备案材料报相应公安机关备案。

第十四节等级测评管理

（一）在系统运行过程中，至少每年对3级系统进行一次等级测评，

发现不符合相应等级保护标准要求的及时整改；

（二）应在系统发生变更时及时对系统进行等级测评，发现级别发生

变化的及时调整级别并进行安全改造，发现不符合相应等级保护标

准要求的及时整改；

（三）应选择具有国家相关技术资质和安全资质的测评单位进行等级

测评；

（四）要求技术测评机构提供相关材料。包括营业执照、声明、证明

及资质材料等；

（五）与测评机构签订保密协议；

（六）要求测评机构制定技术检测方案；

第13页共20页

项目及信息系统建设管理制度

（七）具体项目将指定具体人员负责等级测评的管理。

第十五节安全服务商选择管理

（一）应确保安全服务商的选择符合国家的有关规定；

（二）应与选定的安全服务商签订与安全相关的协议，明确约定相关

责任；

（三）应确保选定的安全服务商提供技术培训和服务承诺，必要的与

其签订服务合同。

（四）系统集成商的资质要求：至少要拥有国家权威部门认可的系统

一级集成资质，对于较为重要的系统应有更高级别的集成资质；

（五）工商要求：

g.产品、系统或服务提供单位的营业执照和税务登记在合法

期限内；

h.产品、系统或服务提供商的产品、系统或服务的提供资格；

i.连续赢利期限要求；

j.连续无相关法律诉讼年限要求；

k.没有发生重大管理、技术人员变化和流动的期限要求；

I.没有发生主业变化期限要求。

（六）安全服务商资质：至少应具有国家一级安全服务资质，对于较

为重要的系统应有更高级别的安全服务资质；

（七）人员费质要求：系统集成人员、安全服务人员以及相关管理人

员应获得国家权威部门颁发的信息安全人员资质认证；

（八）其它要求：系统符合国家相关法律、法规，按照相关主管部门

的技术管理规定对非法信息和恶意代码进行有效控制，按照有关规

定对设备进行控制，使之不被作为非法攻击的跳板。

第十六节项目验收与投产安全管理标准

第十三条安全测评

第14页共20页

项目及信息系统建设管理制度

应制定研发、投产与验收等过程中的安全测试与验收大纲，在项目实施

完成后，由项目用户单位、项目开发单位共同组织进行测试。在测试大纲中应

至少包括以下安全性测试和评估要求：

（一）配置管理：项目实施单位应使用配置管理系统，并提供配置管

理文档；

（二）交付程序：应将把系统及其部分交付给用户的程序文档化；

（三）安装、生成和启动程序：应制定安装、生成和启动程序，并保

证最终产生了安全的配置；

（四）安全功能测试：对系统的安全功能进行测试，以保证其符合详

细设计并对详细设计进行检查，保证其符合概要设计以及总体

安全方案；

（五）系统管理员指南：应提供如何安全地管理系统和如何高效地利

用系统安全功能的优点和保护功能等详细准确的信息；

（六）系统用户指南：必须包含两方面的内容：首先，它必须解释那

些用户可见的安全功能的用途以及如何使用它们，这样用户可

以持续有效地保护他们的信息；其次，它必须解释在维护系统

的安全时用户所能起的作用；

（七）安全功能强度评估：功能强度分析应说明以概率或排列机制

（如，口令字或哈希函数）实现的系统安全功能。例如，对口

令机制的功能强度分析可以通过说明口令空间是否有足够大来

指出口令字功能是否满足强度要求；

（八）脆弱性分析：应分析所采取的安全对策的完备性（安全对策是

否可以满足所有的安全需求）以及安全对策之间的依赖关系。

通常可以使用穿透性测试来评估卜述内容，以判断它们在实际

应用中是否会被利用来削弱系统的安全。

（九）测试完成后，项目测试小组应提交《测试报告》，其中应包括安

全性测试和评估的结果。不能通过安全性测试评估的，由测试

小组提出修改意见，项目实施单位应作进一步修改。

第十四条安全试运行

测试通过后，由项目用户单位组织进入试运行阶段，应有一系列的安全

第15页共20页

项目及信息系统建设管理制度

措施来维护系统安全，它包括处理系统在现场运行时的安全问题和采取措施保

证系统的安全水平在系统运行期间不会下降。具体工作如下：

（一）监测系统的安全性能，包括事故报告；

（二）进行用户安全培训，并对培训进行总结；

（三）监视与安全有关的部件的拆除处理；

（四）监测新发现的对系统安全的攻击、系统所受威胁的变化以及其

它与安全风险有关的因素；

（五）监测安全部件的备份支持，支持与系统安全有关的维护培训；

（六）评估大大小小的系统改动对安全造成的影响；

（七）监测系统物理和功能配置，包括运行过程，因为一些不太显眼

的改变可能影响系统的安全风险。

（八）在《试运行情况报告》中应对上述工作做总结性描述。

第十五条安全验收

在项目建设要求中规定的系统试运行过程结束后，项目开发单位可以组

织用户单位人员参加的项目验收组对项目进行验收。验收应增加以下安全内容:

（一）项目是否已达到项目任务书中制定的总体安全R标和安全指标，

实现全部安全功能；

（二）采用技术是否符合国家、行业有关安全技术标准及规范；

（三）是否实现验收测评的安全技术指标；

（四）项目建设过程中的各种文档资料是否规范、齐全；

（五）在验收报告中也应在以下条目中反映对系统安全性验收的情况：

（六）项目设计总体安全目标及主要内容；

（七）项目采用的关键安全技术；

（八）验收专家组中的安全专家及安全验收评价意见C

第十六条投产后的监控与跟踪

项目投产后还应进行一段时间的监控和跟踪，应用系统的管理人员负责

监控和跟踪工作，具体包括以下要求：

（一）应对系统关键安全性能的变化情况进行监控，了解其变化的原

因；

（二）对系统安全事故的发生，应急，处理、恢复，总结进行全程跟

第16页共20页

项目及信息系统建设管理制度

踪，并编写详细的记录；

（三）监控新增的安全部件对系统安全的影响；

（四）跟踪安全有关部件的拆除处理情况，并监控随后系统安全性的

变化；

（五）对新发现的对系统安全的攻击进行监控，记录其发生的频率以

及对系统的影响；

（六）监控系统所受威胁的变化，评估其发生的可能性以及可能造成

的影响；

（七）监控并跟踪安全部件的备份情况；

（八）监控运行程序的变化，并记录这些变化对系统安全的影响；

（九）监控系统物理环境的变化情况，并记录这些变化对系统安全的

影响；

（十）监控安全配置的变化情况，并记录这些变化对系统安全的影响；

（十一）对于上述所有监控和跟踪内容，如果对系统安全有不良影

响处，都应在系统设计、配置、运行管理上做相应改进，以保

证系统安全、正常运行。

第十七条各职能管理部门在进行TCP/IP网络和系统建设项目立项申请过

程中，应由信息安全工作组对项目提出安全建议。

第十八条根据项目立项中的项目立项申请、立项论证、立项评估和立项

审批四个程序，都应结合各类的安全技术规范。

第十九条各职能管理部门、各直属单位进行项目立项申请时，在提交

《项目立项建议书》等相关资料中应增加以下安全方面的资料：

（1）系统安全需求分析说明书；

（2）系统安全功能说明书：

（3）系统中采用的安全设备以及性能指标参数。

第二十条对提交立项申请的项目，在进行项目立项论证和评估的过程中，

应包括项目安全建设的论证和评估，论证和评估的重点在本办法第三章中详述。

第二十一条通过项目安全建设的立项论证和评估，可作为公司审批项

目立项的重要依据之一。

第17页共20页

项目及信息系统建设管理制度

第三章评估和论证安全管理

第二十二条各职能管理部门进行项目立项申请前，在进行项目规划和

设计的过程中，应参照各安全技术规范中的相关技术要求进行安全建设。

第二十三条项目安全性论证对项目的安全需求分析、安全功能说明、

安全设备、性能指标以及技术方案的技术可行性进行总体分析和审计。

第二十四条项目立项论证和评估过程中，信息安全工作组负责IT项目

安全性建设的技术部分论证和评估。

第二十五条在提交项目立项申请时，应在技术方案中增加安全方面的

说明和文档，内容包括：

（一）根据安全规范中的要求，系统在建设过程中进行安全部署的说

明；

（二）根据安全规范中的要求，系统在建设