DB14T 1252-2016 信息化工程安全建设和管理规范

2016-12-10实施2016-12-10实施I 1 13术语和定义 1 2 24.2信息安全工程过程 44.3信息化工程安全管理制度 54.4信息化工程安全项目管理 55规划安全目标 55.1分析信息安全需求 65.2定义系统安全要求 8 9 1 7.1开发和采购 137.2安全集成 7.3验收 8.1信息安全风险评估和监测 8.3灾难备份和业务连续性计划 9确保废弃过程的安全 21 21 219.3介质处理 2 2II10.2自身信息化工程安全管理 2 GB/T18794(所有部分)信息技术开放系统互联II信息技术安全技术信息安全管理实用规则信息安全技术术语3.12信息系统从无到有，再到废弃的整个过程，一般分为规划、设计、实施、运维、废弃阶段。每一阶段又可细分为多个步骤，如规划阶段分为分析需求、定义系统等步骤，设计阶段分为体系结构设计、详细设计等步骤，实施阶段分为开发和采购、集成、验收等步骤。为确保信息系统的保密性、完整性、可用性、可追究性、抗否认性等目标而开展的系统性活动的总 在整个信息系统生命周期中，将输入转变为输出的一组信息安全工程[3.2]相关活动，包括规划安全目标、设计安全方案、实施安全方案、开展安全运维、确保废弃过程的安全。3.44.1信息系统生命周期1)GB/T22032将系统工程的技术过程分为11个阶段：共利益者需求定义过程、需求分析过程、体系结构设计过程、实现过程、集成过程、验证过程、移交过程、确认过程、运行过程、维护过程、处置过程。这是对本标准5个基本阶段的进一步展开。图1信息系统生命周期展现方框图b)采用自然语言描述信息系统需要具备的功能及性能，包括信息系统的外部接口、外部信息流，c)确保将所有的系统功能和性能要求落实到系统组件。4.1.4实施d)对信息系统进行验收，核查重要的系统文档并妥善保存，包括系统的安装、操作、维护手册，以及前期需求分析、设计和开发文档。44.1.5运维在运行维护阶段，信息系统运维人员依据各种管理标准、制度和规范，利用运维管理系统和其他运维管理工具，实施事件管理、问题管理、配置管理、变更管理等活动，以保障信息系统平稳、高效运行。目标分析信息安全需求：分析用户对业务运行时信息系统的需求。定义系统安全要求：定义信息系统的安全功能要求。设计安全体系结构：设计信息系统的信息安全体系结构，确定系统中的各类安全组件，并明确各类组件的安全机制。此外，还需描述不同安全组件之间的逻辑关系。设计口规范、具体的拓扑图等。所有的信息安全件，直至无一遗漏。实施安全安全机制。此外，还需确保信息系统开发和采购过程中的信息安全。实施验收：验证系统中的安全措施是否满足用户进行配置管理，升级安全补丁。确保信息系统运维过程中的信息安全。等活动。运维废弃5—GB/T20282—2006明确了信息安全工程实施要求和项目实施要求，提出了分等级的信息安全 4.4.1组织机构f)确定项目可交付项。m)确保可交付项的质量。n)开展项目有效性评估，审查项目绩效。6g)从信息安全威胁、可能造成的影响等角度，评估信息安全需求的有效性。2)系统规划中是否考虑了信息系统的威胁、环境，并制定了总体的安全方针。c)在对威胁进行分类前，应考虑威胁的来源。表2提供了一种威胁来源的分类方法。7断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震、意外事故等环境危害或自然灾害，以及软件、硬件恶意人员不满的或有预谋的内部人员对信息系统进行恶意破坏；采外部人员利用信息系统的脆弱性，对网络或系统的保密坏，以获取利益或炫耀能力非恶意人员内部人员由于缺乏责任心，或者由于不关心或不专注，或者没有遵循规章制度和操作流程而导致故障或信息损坏；内部人员由于缺乏培训、专业技能不足、不具备岗软件故障、开发环境故障等物理环境影响和自然灾害误错误的操作正常有序运行故意在计算机系统上执行恶意任务的程序代码越权或滥用坏信息系统的行为滥用权限泄露秘密信息等网络攻击控制和破坏等泄密内部信息泄露、外部信息泄露等全性降低或信息不可用数据信息等不承认收到的信息和所作的操作和交易原发抵赖、接收抵赖、第三方抵赖等8代表威胁出现的频率的高低。等级数值越大，威胁出现的频率越高。表4表4威胁赋值表定义5出现的频率很高(或≥1次/周);或在大多数情况下几乎不可避免；或可以证实经常发生过4高出现的频率较高(或≥1次/月);或在大多数情况下很有可能会发生；或可以证实多次发生过3中等出现的频率中等(或>1次/半年);或在某种情况下可能会发生；或被证实曾经发生过2低出现的频率较小；或一般不太可能发生；或没有被证实发生过1很低威胁几乎不可能发生；仅可能在非常罕见和91外部系统N外部系统2解决方案集b)以自然语言描述的待建信息系统的信息安全运行概念，包括但不限于。3)对信息安全设计构成约束的前提条件。5)待建系统中负责信息安全的有关岗位、职责及授权关系，以及可能对信息安全造成影响的其他岗位、职责及授权关系。a)通过收集所有用于全面理解需求方安全要求所需的信息，获得对安全要求的理解。b)收集所有对系统安全产生影响的外部影响；标识出支配系统目标环境的法律、规则、策略和业c)标识出系统间的关系是如何影响安全的，任务的处理和运行概要应作为安全因素加以评估。d)定义系统的安全边界，包括梳理本机构的外部环境如何影响信息系统的安全。内部接内部接(所有的系统功能)外部系统N组件内部接口外部系统1外部系统1外部系统Na)按照GB9387.2—1995和GB/T18794(所有部分),完成信息安全服务、机制在信息系统体b)按照GB/T20984—2007的关于“设计阶段的风险评估”要求，根据规划阶段所明确的系统运3)安全需求是否符合规划阶段的安全目标，并基于威胁的分析，制定信息系统的总体安全策c)针对等级保护定级为第一级至第四级(含)系统的安全体系结构，按照GB/T25070—2010规3)第三级系统安全保护环境应在第二级系统安全保护环境的基础上，通过实现基于安全策略模型和标记的强制访问控制以及增强系统的审计机制，使系统具有在统一安全策略管控下保护敏感资源的能力。b)分析信息安全机制之间的互依赖性，如审计机制是监测机制的基础，身份标识是访问控制机制的基础。d)对于需要通过非技术性措施提供的安全服务，应列明相应的信息安全管理措施，并形成管理制度，例如应急响应、培训等。e)确定哪些机制需要通过现货产品提供，哪些机制则需要通过定制的产品提供，并明确产品的重要配置参数。h)依据信息化工程信息安全建设合同及有关的政策法规、标准，明确信息安全系统的指标规范。i)根据详细设计的结果，必要时对信息安全运行概念进行修正。人力等)和组织保障的需求。10)通过使用预防和恢复控制措施，将对本机构的影响减少到最低，并从信息资产的损失中恢11)信息系统的设计、运行、使用和管理都要受法律、法规以及合同安全要求的限制。a)选择合适的开发商，对定制产品进行开发。在选择开发商时，应重点考虑开发商的技术实力、c)对定制产品进行安全功能和性能测试。应形成以下成果：应采取以下方法进行开发和采购：5)代码质量和安全功能的合同要求。4)评估级别，是否明确系统建设后应进行怎样的测试和检查，从而确定是否满足项目建设、开发完成定制产品并采购现货产品后，应在信息系统集成过程中同步集成信息安全产品。与之相关的任务主要有：a)根据信息安全技术方案，将定制产品和现货产品集成到信息系统之中，确保产品之间的互操作性，确保信息系统整体性能最佳。f)对安全集成过程进行有效性评估。应形成以下成果：b)应将线下自测和模拟线上自测的相关技术文档进行归档。2)制定详细的集成方案，并要求集成商正式地执行该方案。3)制定安全集成管理制度，明确说明安全集成过程的控制方法和人员行为准则。2)根据系统建设目标和安全需求，对系统的安全功能进行验收测试。5)对系统实现的风险控制效果与预期设计的符合性进行判断，如存在较大的不符合，应重新进行信息系统安全策略的设计与调整。d)根据国家信息安全等级保护和涉密信息系统分级保护的要求，完成定级备案，并开展相应等级的建设和测评。测评结果按等级保护、分级保护的规定进行上报。a)验收报告，含测试报告、整改报告等。b)用户机构负责信息安全的领导的签字，表明其同意该信息系统投入运行。a)按照GB/T20984—2007,对规划阶段的安全威胁进行进一步细分，同时评估安全措施的实现b)按照GB/T28448—2012,对不同保护等级的信息系统进行测试评估，验证信息系统是否符合及较多有难度和探索性的问题。谈覆盖不同类型的人员不同类型的对象和同一出对象的广度不同。所有可用文档，并实际实施渗透性攻击。测试的广度体现在被测制以及同一类型机制的数量多少，体现出对象的广度不同。测评对象在种类和数量上抽样，种类和数量都较少量都较多测评对象在数量上抽测评对象在数量上抽盖简要测评对象在种类和数量上抽样，种类和数量都较少量上抽样，种类和数量都较多测评对象在数量上抽测评对象在数量上抽盖简要测评对象在种类和范围小量、范围上抽样，种围大围上抽样，在种类上基本覆盖围上抽样，在种类上基本覆盖功能测试/性能测试d)按照GB/T302732013,对信息系统安全技术保障措施、安全管理保障措施和安全工程保障措施等进行测评。2)安全管理保障措施评估要求是：——评估是否把确保系统预想的安全已被集成到系统设计中，最终的运行状态中的系统也确实达到了这种安全要求。——评估是否建立了安全态势感知系统，确保所有的违规、尝试违规或可能导致违背安全的错误能被及时发现。——对实际建设的工业控制系统进行风险评估，详细分析系统(资产)面临的威胁和脆弱性。——评估是否建立了与整体安全策略一致的组织机构管理制度。——对系统实现的风险控制效果与预期设计的符合性进行判断，如存在较大的不符合，应重新风险评估。f)按照GB/T30976.2—2014,对工业控制系统信息安全进行验收，验收过程划分为验收准备、风应采取以下措施，对信息系统开展信息安全风险评估和监测，了解和控制运行过程中的安全风险：a)资产评估：在真实环境下较为细致的评估。包括实施阶段采购的软硬件资产、系统运行过程中生成的信息资产、相关的人员与服务等，本阶段资产识别是前期资产识别的补充与增加。20e)定期执行或当组织的业务流程、系统状况发生重大变更时及时进行风险评估。重大变更包括以下情况(但不限于):3)技术平台大规模地更新。应采取以下措施，按照GB/T20988—2007,对信息系统进行备份，做好信息系统的业务连续性管理：a)制定灾备恢复策略，根据系统的重要性、实时性等因素选择合适的灾难备份机制。c)制定业务连续性计划，确保信息系统对本机构职能和业务的核心支撑能力在重大信息安全事件中不受到明显影响。8.4配置管理a)制定信息系统配置管理计划，明确配置管理流程，定义信息系统的重要配置项。配置管理计划应安全保存，防止非授权泄露。b)制定、记录并维护信息系统的基线配置。a)明确重大变更的类型，包括系统升级、增加新的功能、本机构组织结构有重大调整、发现新的威胁或脆弱性等。c)制定书面流程，便于对变更时可能出现的意外情况进行及时处理，并规定变更失败时的系统恢a)确定废弃对象，包含被废弃的硬件、软件甚至是整个系统，包含其中