數(shù)據(jù)中心信息安全管理及管控要求

1、to be indifferent, it is a kind of mood in life, an attitude of sticking to lifes duty.同學(xué)互助一起進(jìn)步（頁(yè)眉可刪）數(shù)據(jù)中心信息安全管理及管控要求 隨著在世界范圍內(nèi)，信息化水平的不斷發(fā)展，數(shù)據(jù)中心的信息安全逐漸成為人們關(guān)注的焦點(diǎn)，世界范圍內(nèi)的各個(gè)機(jī)構(gòu)、組織、個(gè)人都在探尋如何保障信息安全的問(wèn)題。英國(guó)、美國(guó)、挪威、瑞典、芬蘭、澳大利亞等國(guó)均制定了有關(guān)信息安全的本國(guó)標(biāo)準(zhǔn)，國(guó)際標(biāo)準(zhǔn)化組織（iso）也發(fā)布了iso17799、iso13335、iso15408等與信息安全相關(guān)的國(guó)際標(biāo)準(zhǔn)及技術(shù)報(bào)告。目前，在信息安全管理方面

2、，英國(guó)標(biāo)準(zhǔn)iso27000：2005已經(jīng)成為世界上應(yīng)用最廣泛與典型的信息安全管理標(biāo)準(zhǔn)，它是在bsi/disc的bdd/2信息安全管理委員會(huì)指導(dǎo)下制定完成。 iso27001標(biāo)準(zhǔn)于1993年由英國(guó)貿(mào)易工業(yè)部立項(xiàng)，于1995年英國(guó)首次出版bs 7799-1：1995信息安全管理實(shí)施細(xì)則，它提供了一套綜合的、由信息安全最佳慣例組成的實(shí)施規(guī)則，其目的是作為確定工商業(yè)信息系統(tǒng)在大多數(shù)情況所需控制范圍的唯一參考基準(zhǔn)，并且適用于大、中、小組織。1998年英國(guó)公布標(biāo)準(zhǔn)的第二部分信息安全管理體系規(guī)范，它規(guī)定信息安全管理體系要求與信息安全控制要求，它是一個(gè)組織的全面或部分信息安全管理體系評(píng)估的基礎(chǔ)，它可以作為一個(gè)

3、正式認(rèn)證方案的根據(jù)。iso27000-1與iso27000-2經(jīng)過(guò)修訂于1999年重新予以發(fā)布，1999版考慮了信息處理技術(shù)，尤其是在網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展，同時(shí)還非常強(qiáng)調(diào)了商務(wù)涉及的信息安全及信息安全的責(zé)任。2000年12月，iso27000-1：1999信息安全管理實(shí)施細(xì)則通過(guò)了國(guó)際標(biāo)準(zhǔn)化組織iso的認(rèn)可，正式成為國(guó)際標(biāo)準(zhǔn)iso/iec17799-1：2000信息技術(shù)-信息安全管理實(shí)施細(xì)則。2002年9月5日，iso27000-2：2002草案經(jīng)過(guò)廣泛的討論之后，終于發(fā)布成為正式標(biāo)準(zhǔn)，同時(shí)iso27000-2：1999被廢止。現(xiàn)在，iso27000：2005標(biāo)準(zhǔn)已得到了很多國(guó)家的認(rèn)可

4、，是國(guó)際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。許多國(guó)家的政府機(jī)構(gòu)、銀行、證券、保險(xiǎn)公司、電信運(yùn)營(yíng)商、網(wǎng)絡(luò)公司及許多跨國(guó)公司已采用了此標(biāo)準(zhǔn)對(duì)信息安全進(jìn)行系統(tǒng)的管理，數(shù)據(jù)中心（idc）應(yīng)逐步建立并完善標(biāo)準(zhǔn)化的信息安全管理體系。 一、 數(shù)據(jù)中心信息安全管理總體要求 1、信息安全管理架構(gòu)與人員能力要求 1.1信息安全管理架構(gòu) idc在當(dāng)前管理組織架構(gòu)基礎(chǔ)上，建立信息安全管理委員會(huì)，涵蓋信息安全管理、應(yīng)急響應(yīng)、審計(jì)、技術(shù)實(shí)施等不同職責(zé)，并保證職責(zé)清晰與分離，并形成文件。 1.2人員能力 具備標(biāo)準(zhǔn)化 信息安全管理體系內(nèi)部審核員、cisp（certified information security prof

5、essional，國(guó)家注冊(cè)信息安全專家）等相關(guān)資質(zhì)人員。5星級(jí)idc至少應(yīng)具備一名合格的標(biāo)準(zhǔn)化信息安全管理內(nèi)部審核員、一名標(biāo)準(zhǔn)化 主任審核員。4星級(jí)idc至少應(yīng)至少具備一名合格的標(biāo)準(zhǔn)化信息安全管理內(nèi)部審核員 2、信息安全管理體系文件要求，根據(jù)idc業(yè)務(wù)目標(biāo)與當(dāng)前實(shí)際情況，建立完善而分層次的idc信息安全管理體系及相應(yīng)的文檔，包含但不限于如下方面： 2.1信息安全管理體系方針文件 包括idc信息安全管理體系的范圍，信息安全的目標(biāo)框架、信息安全工作的總方向和原則，并考慮idc業(yè)務(wù)需求、國(guó)家法律法規(guī)的要求、客戶以及合同要求。 2.2風(fēng)險(xiǎn)評(píng)估 內(nèi)容包括如下流程：識(shí)別idc業(yè)務(wù)范圍內(nèi)的信息資產(chǎn)及其責(zé)任人

6、；識(shí)別資產(chǎn)所面臨的威脅；識(shí)別可能被威脅利用的脆弱點(diǎn)；識(shí)別資產(chǎn)保密性、完整性和可用性的喪失對(duì)idc業(yè)務(wù)造成的影響；評(píng)估由主要威脅和脆弱點(diǎn)導(dǎo)致的idc業(yè)務(wù)安全破壞的現(xiàn)實(shí)可能性、對(duì)資產(chǎn)的影響和當(dāng)前所實(shí)施的控制措施；對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)級(jí)。 2.3風(fēng)險(xiǎn)處理 內(nèi)容包括：與idc管理層確定接受風(fēng)險(xiǎn)的準(zhǔn)則，確定可接受的風(fēng)險(xiǎn)級(jí)別等；建立可續(xù)的風(fēng)險(xiǎn)處理策略：采用適當(dāng)?shù)目刂拼胧?、接受風(fēng)險(xiǎn)、避免風(fēng)險(xiǎn)或轉(zhuǎn)移風(fēng)險(xiǎn)；控制目標(biāo)和控制措施的選擇和實(shí)施，需滿足風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理過(guò)程中所識(shí)別的安全要求，并在滿足法律法規(guī)、客戶和合同要求的基礎(chǔ)上達(dá)到最佳成本效益。 2.4文件與記錄控制 明確文件制定、發(fā)布、批準(zhǔn)、評(píng)審、更新的流程；確保文件的

7、更改和現(xiàn)行修訂狀態(tài)的標(biāo)識(shí)、版本控制、識(shí)別、訪問(wèn)控制有完善的流程；并對(duì)文件資料的傳輸、貯存和最終銷毀明確做出規(guī)范。 記錄控制內(nèi)容包括：保留信息安全管理體系運(yùn)行過(guò)程執(zhí)行的記錄和所有發(fā)生的與信息安全有關(guān)的重大安全事件的記錄；記錄的標(biāo)識(shí)、貯存、保護(hù)、檢索、保存期限和處置所需的控制措施應(yīng)形成文件并實(shí)施。 2.5內(nèi)部審核 idc按照計(jì)劃的時(shí)間間隔進(jìn)行內(nèi)部isms審核，以確定idc的信息安全管理的控制目標(biāo)、控制措施、過(guò)程和程序符標(biāo)準(zhǔn)化標(biāo)準(zhǔn)和相關(guān)法律法規(guī)的要求并得到有效地實(shí)施和保持。五星級(jí)idc應(yīng)至少每年1次對(duì)信息安全管理進(jìn)行內(nèi)部審核。四星級(jí)idc應(yīng)至少每年1次對(duì)信息安全管理進(jìn)行內(nèi)部審核。 2.6糾正與預(yù)防措

8、施 idc建立流程，以消除與信息安全管理要求不符合的原因及潛在原因，以防止其發(fā)生，并形成文件的糾正措施與預(yù)防措施程序無(wú) 2.7控制措施有效性的測(cè)量 定義如何測(cè)量所選控制措施的有效性；規(guī)定如何使用這些測(cè)量措施，對(duì)控制措施的有效性進(jìn)行測(cè)量（或評(píng)估）。 2.8管理評(píng)審 idc管理層按計(jì)劃的時(shí)間間隔評(píng)審內(nèi)部信息安全管理體系，以確保其持續(xù)的適宜性、充分性和有效性，最終符合idc業(yè)務(wù)要求。 五星級(jí)idc管理層應(yīng)至少每年1次對(duì)idc的信息安全管理體系進(jìn)行評(píng)審四星級(jí)idc管理層應(yīng)至少每年1次對(duì)idc的信息安全管理體系進(jìn)行評(píng)審。 2.9適用性聲明 適用性聲明必須至少包括以下3項(xiàng)內(nèi)容： idc所選擇的控制目標(biāo)和控

9、制措施，及其選擇的理由；當(dāng)前idc實(shí)施的控制目標(biāo)和控制措施；標(biāo)準(zhǔn)化附錄a中任何控制目標(biāo)和控制措施的刪減，以及刪減的正當(dāng)性理由。 2.10業(yè)務(wù)連續(xù)性 過(guò)業(yè)務(wù)影響分析，確定idc業(yè)務(wù)中哪些是關(guān)鍵的業(yè)務(wù)進(jìn)程，分出緊急先后次序； 確定可以導(dǎo)致業(yè)務(wù)中斷的主要災(zāi)難和安全失效、確定它們的影響程度和恢復(fù)時(shí)間； 進(jìn)行業(yè)務(wù)影響分析，確定恢復(fù)業(yè)務(wù)所需要的資源和成本，決定對(duì)哪些項(xiàng)目制作業(yè)務(wù)連續(xù)性計(jì)劃（bcp）/災(zāi)難恢復(fù)計(jì)劃（drp）。 2.11其它相關(guān)程序 另外，還應(yīng)建立包括物理與環(huán)境安全、信息設(shè)備管理、新設(shè)施管理、業(yè)務(wù)連續(xù)性管理、災(zāi)難恢復(fù)、人員管理、第三方和外包管理、信息資產(chǎn)管理、工作環(huán)境安全管理、介質(zhì)處理與安全、

10、系統(tǒng)開發(fā)與維護(hù)、法律符合性管理、文件及材料控制、安全事件處理等相關(guān)流程與制度。 二、信息安全管控要求 1、安全方針 信息安全方針文件與評(píng)審建立idc信息安全方針文件需得到管理層批準(zhǔn)、發(fā)布并傳達(dá)給所有員工和外部相關(guān)方。 至少每年一次或當(dāng)重大變化發(fā)生時(shí)進(jìn)行信息安全方針評(píng)審。 2、信息安全組織 2.1 內(nèi)部組織 2.1.1信息安全協(xié)調(diào)、職責(zé)與授權(quán) 信息安全管理委員會(huì)包含idc相關(guān)的不同部門的代表；所有的信息安全職責(zé)有明確成文的規(guī)定；對(duì)新信息處理設(shè)施，要有管理授權(quán)過(guò)程。 2.1.2保密協(xié)議 idc所有員工須簽署保密協(xié)議，保密內(nèi)容涵蓋idc內(nèi)部敏感信息；保密協(xié)議條款每年至少評(píng)審一次。 2.1.3權(quán)威部門

11、與利益相關(guān)團(tuán)體的聯(lián)系 與相關(guān)權(quán)威部門（包括，公安部門、消防部門和監(jiān)管部門）建立溝通管道；與安全專家組、專業(yè)協(xié)會(huì)等相關(guān)團(tuán)體進(jìn)行溝通。 2.1.4獨(dú)立評(píng)審 參考“信息安全管理體系要求”第5和第8條關(guān)于管理評(píng)審、內(nèi)部審核的要求，進(jìn)行獨(dú)立的評(píng)審。 審核員不能審核評(píng)審自己的工作；評(píng)審結(jié)果交管理層審閱。 2.2 外方管理 2.2.1外部第三方的相關(guān)風(fēng)險(xiǎn)的識(shí)別 將外部第三方（設(shè)備維護(hù)商、服務(wù)商、顧問(wèn)、外包方臨時(shí)人員、實(shí)習(xí)學(xué)生等）對(duì)idc信息處理設(shè)施或信息納入風(fēng)險(xiǎn)評(píng)估過(guò)程，考慮內(nèi)容應(yīng)包括：需要訪問(wèn)的信息處理設(shè)施、訪問(wèn)類型（物理、邏輯、網(wǎng)絡(luò)）、涉及信息的價(jià)值和敏感性，及對(duì)業(yè)務(wù)運(yùn)行的關(guān)鍵程度、訪問(wèn)控制等相關(guān)因素。

12、 建立外部第三方信息安全管理相關(guān)管理制度與流程。 2.2.2客戶有關(guān)的安全問(wèn)題 針對(duì)客戶信息資產(chǎn)的保護(hù)，根據(jù)合同以及相關(guān)法律、法規(guī)要求，進(jìn)行恰當(dāng)?shù)谋Ｗo(hù)。 2.2.3處理第三方協(xié)議中的安全問(wèn)題 涉及訪問(wèn)、處理、交流（或管理）idc及idc客戶的信息或信息處理設(shè)施的第三方協(xié)議，需涵蓋所有相關(guān)的安全要求。 3、信息資產(chǎn)管理 3.1 資產(chǎn)管理職責(zé) 3.1.1資產(chǎn)清單與責(zé)任人 idc對(duì)所有信息資產(chǎn)度進(jìn)行識(shí)別，將所有重要資產(chǎn)都進(jìn)行登記、建立清單文件并加以維護(hù)。 idc中所有信息和信息處理設(shè)施相關(guān)重要資產(chǎn)需指定責(zé)任人。 3.1.2資產(chǎn)使用 指定信息與信息處理設(shè)施使用相關(guān)規(guī)則，形成了文件并加以實(shí)施。 3.2

13、信息資產(chǎn)分類 3.2.1資產(chǎn)分類管理 根據(jù)信息資產(chǎn)對(duì)idc業(yè)務(wù)的價(jià)值、法律要求、敏感性和關(guān)鍵性進(jìn)行分類，建立一個(gè)信息分類指南。 信息分類指南應(yīng)涵蓋外來(lái)的信息資產(chǎn)，尤其是來(lái)自客戶的信息資產(chǎn)。 3.2.2信息的標(biāo)記和處理 按照idc所采納的分類指南建立和實(shí)施一組合適的信息標(biāo)記和處理程序。 4、人力資源安全 這里的人員包括idc雇員、承包方人員和第三方等相關(guān)人員。 4.1信息安全角色與職責(zé) 人員職責(zé)說(shuō)明體現(xiàn)信息安全相關(guān)角色和要求。 4.2背景調(diào)查 人員任職前根據(jù)職責(zé)要求和崗位對(duì)信息安全的要求，采取必要的背景驗(yàn)證。 4.3雇用的條款和條件 人員雇傭后，應(yīng)簽署必要的合同，明確雇傭的條件和條款，并包含信息

14、安全相關(guān)要求。 4.4信息安全意識(shí)、教育和培訓(xùn) 入職新員工培訓(xùn)應(yīng)包含idc信息安全相關(guān)內(nèi)容。 至少每年一次對(duì)人員進(jìn)行信息安全意識(shí)培訓(xùn)。 4.5安全違紀(jì)處理 針對(duì)安全違規(guī)的人員，建立正式的紀(jì)律處理程序。 4.6雇傭的終止與變更 idc應(yīng)清晰規(guī)定和分配雇用終止或雇用變更的職責(zé)；雇傭協(xié)議終止于變更時(shí)，及時(shí)收回相關(guān)信息資產(chǎn)，并調(diào)整或撤銷相關(guān)訪問(wèn)控制權(quán)限。 5、物理與環(huán)境安全 5.1 安全區(qū)域 5.1.1邊界安全與出入口控制 根據(jù)邊界內(nèi)資產(chǎn)的安全要求和風(fēng)險(xiǎn)評(píng)估的結(jié)果對(duì)idc物理區(qū)域進(jìn)行分區(qū)、分級(jí)管理，不同區(qū)域邊界與出入口需建立卡控制的入口或有人管理的接待臺(tái)。 入侵檢測(cè)與報(bào)警系統(tǒng)覆蓋所有門窗和出入口，并定

15、期檢測(cè)入侵檢測(cè)系統(tǒng)的有效性。 機(jī)房大樓應(yīng)有724小時(shí)的專業(yè)保安人員，出入大樓需登記或持有通行卡。 機(jī)房安全出口不少于兩個(gè)，且要保持暢通，不可放置雜物。 5星級(jí)idc：出入記錄至少保存6個(gè)月，視頻監(jiān)控至少保存1個(gè)月。 4星級(jí)idc：出入記錄至少保存6個(gè)月，視頻監(jiān)控至少保存1個(gè)月。 5.1.2 idc機(jī)房環(huán)境安全 記錄訪問(wèn)者進(jìn)入和離開idc的日期和時(shí)間，所有的訪問(wèn)者要需要經(jīng)過(guò)授權(quán)。 建立訪客控制程序，對(duì)服務(wù)商等外部人員實(shí)現(xiàn)有效管控。 所有員工、服務(wù)商人員和第三方人員以及所有訪問(wèn)者進(jìn)入idc要佩帶某種形式的可視標(biāo)識(shí)，已實(shí)現(xiàn)明顯的區(qū)分。外部人員進(jìn)入idc后，需全程監(jiān)控。 5.1.3防范外部威脅和環(huán)境威

16、脅 idc對(duì)火災(zāi)、洪水、地震、爆炸、社會(huì)動(dòng)蕩和其他形式的自然或人為災(zāi)難引起的破壞建立足夠的防范控制措施；危險(xiǎn)或易燃材料應(yīng)在遠(yuǎn)離idc存放；備份設(shè)備和備份介質(zhì)的存放地點(diǎn)應(yīng)與idc超過(guò)10公里的距離。 機(jī)房?jī)?nèi)應(yīng)嚴(yán)格執(zhí)行消防安全規(guī)定，所有門窗、地板、窗簾、飾物、桌椅、柜子等材料、設(shè)施都應(yīng)采用防火材料。 5.1.4公共訪問(wèn)區(qū)和交接區(qū) 為了避免未授權(quán)訪問(wèn)，訪問(wèn)點(diǎn)（如交接區(qū)和未授權(quán)人員可以進(jìn)入的其它地點(diǎn)）需進(jìn)行適當(dāng)?shù)陌踩刂疲O(shè)備貨物交接區(qū)要與信息處理設(shè)施隔開。 5.2 設(shè)備安全 5.2.1設(shè)備安全 設(shè)備盡量安置在可減少未授權(quán)訪問(wèn)的適當(dāng)?shù)攸c(diǎn)；對(duì)于處理敏感數(shù)據(jù)的信息處理設(shè)施，盡量安置在可限制觀測(cè)的位置；對(duì)于

17、需要特殊保護(hù)的設(shè)備，要進(jìn)行適當(dāng)隔離；對(duì)信息處理設(shè)施的運(yùn)行有負(fù)面影響的環(huán)境條件（包括溫度和濕度），要進(jìn)行實(shí)時(shí)進(jìn)行監(jiān)視。 5.2.2支持性設(shè)備安全 支持性設(shè)施（例如電、供水、排污、加熱/通風(fēng)和空調(diào)等）應(yīng)定期檢查并適當(dāng)?shù)臏y(cè)試以確保他們的功能，減少由于他們的故障或失效帶來(lái)的風(fēng)險(xiǎn)。 實(shí)現(xiàn)多路供電，以避免供電的單一故障點(diǎn)。 5.2.3線纜安全 應(yīng)保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽或損壞。 電源電纜要與通信電纜分開；各種線纜能通過(guò)標(biāo)識(shí)加以區(qū)分，并對(duì)線纜的訪問(wèn)加以必要的訪問(wèn)控制。 線纜標(biāo)簽必須采用防水標(biāo)簽紙和標(biāo)簽打印機(jī)進(jìn)行正反面打?。ɑ蛘叽蛴蓮堖M(jìn)行粘貼），標(biāo)簽長(zhǎng)度應(yīng)保證至少能夠纏繞電纜一

18、圈或一圈半，打印字符必須清晰可見，打印內(nèi)容應(yīng)簡(jiǎn)潔明了，容易理解。標(biāo)簽的標(biāo)示必須清晰、簡(jiǎn)潔、準(zhǔn)確、統(tǒng)一，標(biāo)簽打印應(yīng)當(dāng)前后和上下排對(duì)齊。 5.2.4設(shè)備維護(hù) 設(shè)備需按照供應(yīng)商推薦的服務(wù)時(shí)間間隔和說(shuō)明書，進(jìn)行正確維護(hù)；設(shè)備維護(hù)由已授權(quán)人員執(zhí)行，并保存維護(hù)記錄1年。 5.2.5組織場(chǎng)所外的設(shè)備安全 應(yīng)對(duì)組織場(chǎng)所的設(shè)備采取安全措施，要考慮工作在組織場(chǎng)所以外的不同風(fēng)險(xiǎn)。 5.2.6設(shè)備的安全處置或再利用 包含儲(chǔ)存介質(zhì)的設(shè)備的所有項(xiàng)目應(yīng)進(jìn)行檢查，以確保在銷毀之前，任何敏感信息和注冊(cè)軟件已被刪除或安全重寫。 5.2.7資產(chǎn)的移動(dòng) 設(shè)備、信息或軟件在授權(quán)之前不應(yīng)帶出組織場(chǎng)所，設(shè)置設(shè)備移動(dòng)的時(shí)間限制，并在返還時(shí)執(zhí)

19、行符合性檢查；對(duì)設(shè)備做出移出記錄，當(dāng)返回時(shí)，要做出送回記錄。 6、通信和操作管理 6.1 運(yùn)行程序和職責(zé) 6.1.1運(yùn)行操作程序文件化 運(yùn)行操作程序文件化并加以保持，并方便相關(guān)使用人員的訪問(wèn)。 6.1.2變更管理 對(duì)信息處理設(shè)施和系統(tǒng)的變更是否受控，并考慮：重大變更的標(biāo)識(shí)和記錄；變更的策劃和測(cè)試；對(duì)這種變更的潛在影響的評(píng)估，包括安全影響；對(duì)建議變更的正式批準(zhǔn)程序；向所有有關(guān)人員傳達(dá)變更細(xì)節(jié)；返回程序，包括從不成功變更和未預(yù)料事態(tài)中退出和恢復(fù)的程序與職責(zé)。 6.1.3職責(zé)分離 各類責(zé)任及職責(zé)范圍應(yīng)加以分割，以降低未授權(quán)或無(wú)意識(shí)的修改或者不當(dāng)使用組織資產(chǎn)的機(jī)會(huì)。 6.1.4開發(fā)設(shè)施、測(cè)試設(shè)施和運(yùn)行

20、設(shè)施的分離 開發(fā)、測(cè)試和運(yùn)行設(shè)施應(yīng)分離，以減少未授權(quán)訪問(wèn)或改變運(yùn)行系統(tǒng)的風(fēng)險(xiǎn)。 6.2 第三方服務(wù)交付管理 6.2.1服務(wù)交付 應(yīng)確保第三方實(shí)施、運(yùn)行和保持包含在第三方服務(wù)交付協(xié)議中的安全控制措施、服務(wù)定義和交付水準(zhǔn)。 idc應(yīng)確保第三方保持足夠的服務(wù)能力和可使用的計(jì)劃以確保商定的服務(wù)在大的服務(wù)故障或?yàn)?zāi)難后繼續(xù)得以保持。 6.2.2第三方服務(wù)的監(jiān)視和評(píng)審 應(yīng)定期監(jiān)視和評(píng)審由第三方提供的服務(wù)、報(bào)告和記錄，審核也應(yīng)定期執(zhí)行，并留下記錄。 6.2.3第三方服務(wù)的變更管理 應(yīng)管理服務(wù)提供的變更，包括保持和改進(jìn)現(xiàn)有的信息安全方針策略、程序和控制措施，要考慮業(yè)務(wù)系統(tǒng)和涉及過(guò)程的關(guān)鍵程度及風(fēng)險(xiǎn)的再評(píng)估 6.

21、3系統(tǒng)規(guī)劃和驗(yàn)收 6.3.1容量管理 idc各系統(tǒng)資源的使用應(yīng)加以監(jiān)視、調(diào)整，并做出對(duì)于未來(lái)容量要求的預(yù)測(cè)，以確保擁有所需的系統(tǒng)性能。 系統(tǒng)硬件系統(tǒng)環(huán)境的功能、性能和容量要滿足idc業(yè)務(wù)處理的和存貯設(shè)備的平均使用率宜控制在75%以內(nèi)。 網(wǎng)絡(luò)設(shè)備的處理器和內(nèi)存的平均使用率應(yīng)控制在75%以內(nèi)。 6.3.2系統(tǒng)驗(yàn)收 建立對(duì)新信息系統(tǒng)、升級(jí)及新版本的驗(yàn)收準(zhǔn)則，并且在開發(fā)中和驗(yàn)收前對(duì)系統(tǒng)進(jìn)行適當(dāng)?shù)臏y(cè)試。 6.4防范惡意代碼和移動(dòng)代碼 6.4.1對(duì)惡意代碼的控制措施 實(shí)施惡意代碼的監(jiān)測(cè)、預(yù)防和恢復(fù)的控制措施，以及適當(dāng)?shù)奶岣哂脩舭踩庾R(shí)的程序 6.4.2對(duì)移動(dòng)代碼的控制措施 當(dāng)授權(quán)使用移動(dòng)代碼時(shí)，其配置確保

22、授權(quán)的移動(dòng)代碼按照清晰定義的安全策略運(yùn)行，應(yīng)阻止執(zhí)行未授權(quán)的移動(dòng)代碼。 6.5 備份 6.5.1備份 應(yīng)按照客戶的要求以及已設(shè)的備份策略，定期備份和測(cè)試信息和軟件。各個(gè)系統(tǒng)的備份安排應(yīng)定期測(cè)試以確保他們滿足業(yè)務(wù)連續(xù)性計(jì)劃的要求。對(duì)于重要的系統(tǒng)，備份安排應(yīng)包括在發(fā)生災(zāi)難時(shí)恢復(fù)整個(gè)系統(tǒng)所必需的所有系統(tǒng)信息、應(yīng)用和數(shù)據(jù)。 應(yīng)確定最重要業(yè)務(wù)信息的保存周期以及對(duì)要永久保存的檔案拷貝的任何要求。 6.6 網(wǎng)絡(luò)安全管理 6.6.1網(wǎng)絡(luò)控制 為了防止使用網(wǎng)絡(luò)時(shí)發(fā)生的威脅和維護(hù)系統(tǒng)與應(yīng)用程序的安全，網(wǎng)絡(luò)要充分受控；網(wǎng)絡(luò)的運(yùn)行職責(zé)與計(jì)算機(jī)系統(tǒng)的運(yùn)行職責(zé)實(shí)現(xiàn)分離；敏感信息在公用網(wǎng)絡(luò)上傳輸時(shí)，考慮足夠的加密和訪問(wèn)控制

23、措施。 6.6.2網(wǎng)絡(luò)服務(wù)的安全 網(wǎng)絡(luò)服務(wù)（包括接入服務(wù)、私有網(wǎng)絡(luò)服務(wù)、增值網(wǎng)絡(luò)和受控的網(wǎng)絡(luò)安全解決方案，例如防火墻和入侵檢測(cè)系統(tǒng)等）應(yīng)根據(jù)安全需求，考慮如下安全控制措施：為網(wǎng)絡(luò)服務(wù)應(yīng)用的安全技術(shù)，例如認(rèn)證、加密和網(wǎng)絡(luò)連接控制；按照安全和網(wǎng)絡(luò)連接規(guī)則，網(wǎng)絡(luò)服務(wù)的安全連接需要的技術(shù)參數(shù)；若需要，網(wǎng)絡(luò)服務(wù)使用程序，以限制對(duì)網(wǎng)絡(luò)服務(wù)或應(yīng)用的訪問(wèn)。 6.7 介質(zhì)管理 6.7 .1可移動(dòng)介質(zhì)的管理 建立適當(dāng)?shù)目梢苿?dòng)介質(zhì)的管理程序，規(guī)范可移動(dòng)介質(zhì)的管理。 可移動(dòng)介質(zhì)包括磁帶、磁盤、閃盤、可移動(dòng)硬件驅(qū)動(dòng)器、cd、dvd和打印的介質(zhì) 6.7 .2介質(zhì)的處置 不再需要的介質(zhì)，應(yīng)使用正式的程序可靠并安全地處置。保

24、持審計(jì)蹤跡，保留敏感信息的處置記錄。 6.7 .3信息處理程序 建立信息的處理及存儲(chǔ)程序，以防止信息的未授權(quán)的泄漏或不當(dāng)使用。 包含信息的介質(zhì)在組織的物理邊界以外運(yùn)送時(shí)，應(yīng)防止未授權(quán)的訪問(wèn)、不當(dāng)使用或毀壞。 6.8 信息交換 6.8.1信息交換策略和程序 為了保護(hù)通過(guò)使用各種類型的通信設(shè)施進(jìn)行信息交換，是否有正式的信息交換方針、程序和控制措施。 6.8.2外方信息交換協(xié)議 在組織和外方之間進(jìn)行信息/軟件交換時(shí)，是否有交換協(xié)議。 6.8.3電子郵件、應(yīng)用系統(tǒng)的信息交換與共享 建立適當(dāng)?shù)目刂拼胧?，保護(hù)電子郵件的安全；為了保護(hù)相互連接的業(yè)務(wù)信息系統(tǒng)的信息，開發(fā)與實(shí)施相關(guān)的方針和程序。 6.9 監(jiān)控

25、6.9.1審計(jì)日志 審計(jì)日志需記錄用戶活動(dòng)、異常事件和信息安全事件；為了幫助未來(lái)的調(diào)查和訪問(wèn)控制監(jiān)視，審計(jì)日志至少應(yīng)保存1年。 6.9.2監(jiān)視系統(tǒng)的使用 應(yīng)建立必要的信息處理設(shè)施的監(jiān)視使用程序，監(jiān)視活動(dòng)的結(jié)果應(yīng)定期評(píng)審。 6.9.3日志信息的保護(hù) 記錄日志的設(shè)施和日志信息應(yīng)加以保護(hù)，以防止篡改和未授權(quán)的訪問(wèn)。 6.9.4管理員和操作員日志 系統(tǒng)管理員和系統(tǒng)操作員活動(dòng)應(yīng)記入日志。系統(tǒng)管理員與系統(tǒng)操作員無(wú)權(quán)更改或刪除日志。 6.9.5故障日志 與信息處理或通信系統(tǒng)的問(wèn)題有關(guān)的用戶或系統(tǒng)程序所報(bào)告的故障要加以記錄、分析，并采取適當(dāng)?shù)拇胧?6.9.6時(shí)鐘同步 一個(gè)安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時(shí)鐘

26、應(yīng)使用已設(shè)的精確時(shí)間源進(jìn)行同步。 5星級(jí)idc各計(jì)算機(jī)系統(tǒng)的時(shí)鐘與標(biāo)準(zhǔn)時(shí)間的誤差不超過(guò)10秒。 4星級(jí)idc各計(jì)算機(jī)系統(tǒng)的時(shí)鐘與標(biāo)準(zhǔn)時(shí)間的誤差不超過(guò)25秒。 7、訪問(wèn)控制 7.1用戶訪問(wèn)管理 應(yīng)有正式的用戶注冊(cè)及注銷程序，來(lái)授權(quán)和撤銷對(duì)所有信息系統(tǒng)及服務(wù)的訪問(wèn)。 應(yīng)限制和控制特殊權(quán)限的分配及使用；應(yīng)通過(guò)正式的管理過(guò)程控制口令的分配，確?？诹畎踩还芾韺討?yīng)定期使用正式過(guò)程對(duì)用戶的訪問(wèn)權(quán)進(jìn)行復(fù)查。 7.2用戶職責(zé) 建立指導(dǎo)用戶選擇和使用口令的指南規(guī)定，使用戶在選擇及使用口令時(shí)，遵循良好的安全習(xí)慣。 用戶應(yīng)確保無(wú)人值守的用戶設(shè)備有適當(dāng)?shù)谋Ｗo(hù)，防止未授權(quán)的訪問(wèn)。 建立清空桌面和屏幕策略，采取清空桌面上

27、文件、可移動(dòng)存儲(chǔ)介質(zhì)的策略和清空信息處理設(shè)施屏幕的策略，idc并定期組織檢查效果。 7.3網(wǎng)絡(luò)訪問(wèn)控制 建立訪問(wèn)控制策略，確保用戶應(yīng)僅能訪問(wèn)已獲專門授權(quán)使用的服務(wù)。 應(yīng)使用安全地鑒別方法以控制遠(yuǎn)程用戶的訪問(wèn)，例如口令+證書。 對(duì)于診斷和配置端口的物理和邏輯訪問(wèn)應(yīng)加以控制，防止未授權(quán)訪問(wèn)。 根據(jù)安全要求，應(yīng)在網(wǎng)絡(luò)中劃分安全域，以隔離信息服務(wù)、用戶及信息系統(tǒng)；對(duì)于共享的網(wǎng)絡(luò)，特別是越過(guò)組織邊界的網(wǎng)絡(luò)，用戶的聯(lián)網(wǎng)能力應(yīng)按照訪問(wèn)控制策略和業(yè)務(wù)應(yīng)用要求加以限制，并建立適當(dāng)?shù)穆酚煽刂拼胧?7.4操作系統(tǒng)訪問(wèn)控制 建立一個(gè)操作系統(tǒng)安全登錄程序，防止未授權(quán)訪問(wèn)；所有用戶應(yīng)有唯一的、專供其個(gè)人使用的標(biāo)識(shí)符（用

28、戶id），應(yīng)選擇一種適當(dāng)?shù)蔫b別技術(shù)證實(shí)用戶所宣稱的身份。 可能超越系統(tǒng)和應(yīng)用程序控制的管理工具的使用應(yīng)加以限制并嚴(yán)格控制。 不活動(dòng)會(huì)話應(yīng)在一個(gè)設(shè)定的休止期后關(guān)閉；使用聯(lián)機(jī)時(shí)間的限制，為高風(fēng)險(xiǎn)應(yīng)用程序提供額外的安全。 7.5應(yīng)用和信息訪問(wèn)控制 用戶和支持人員對(duì)信息和應(yīng)用系統(tǒng)功能的訪問(wèn)應(yīng)依照已確定的訪問(wèn)控制策略加以限制。 敏感系統(tǒng)應(yīng)考慮系統(tǒng)隔離，使用專用的（或孤立的）計(jì)算機(jī)環(huán)境。 7.6移動(dòng)計(jì)算和遠(yuǎn)程工作 應(yīng)有正式策略并且采用適當(dāng)?shù)陌踩胧?，以防范使用移?dòng)計(jì)算和通信設(shè)施時(shí)所造成的風(fēng)險(xiǎn)。 通過(guò)網(wǎng)絡(luò)遠(yuǎn)程訪問(wèn)idc，需在通過(guò)授權(quán)的情況下對(duì)用戶進(jìn)行認(rèn)證并對(duì)通信內(nèi)容進(jìn)行加密。 8、信息系統(tǒng)獲取、開發(fā)和維護(hù)

29、8.1安全需求分析和說(shuō)明 在新的信息系統(tǒng)或增強(qiáng)已有信息系統(tǒng)的業(yè)務(wù)需求陳述中，應(yīng)規(guī)定對(duì)安全控制措施的要求。 8.2信息處理控制 輸入應(yīng)用系統(tǒng)的數(shù)據(jù)應(yīng)加以驗(yàn)證，以確保數(shù)據(jù)是正確且恰當(dāng)?shù)摹?驗(yàn)證檢查應(yīng)整合到應(yīng)用中，以檢查由于處理的錯(cuò)誤或故意的行為造成的信息的訛誤。 通過(guò)控制措施，確保信息在處理過(guò)程中的完整性，并對(duì)處理結(jié)果進(jìn)行驗(yàn)證。 8.3密碼控制 應(yīng)開發(fā)和實(shí)施使用密碼控制措施來(lái)保護(hù)信息的策略，并保證密鑰的安全使用。 8.4系統(tǒng)文件的安全 應(yīng)有程序來(lái)控制在運(yùn)行系統(tǒng)上安裝軟件；試數(shù)據(jù)應(yīng)認(rèn)真地加以選擇、保護(hù)和控制；應(yīng)限制訪問(wèn)程序源代碼。 8.5開發(fā)過(guò)程和支持過(guò)程中的安全 建立變更控制程序控制變更的實(shí)施；當(dāng)操作系統(tǒng)發(fā)生變更后，應(yīng)對(duì)業(yè)務(wù)的關(guān)鍵應(yīng)用進(jìn)行評(píng)審和測(cè)試，以確保對(duì)組織的運(yùn)行和安全沒(méi)有負(fù)面影響。 idc應(yīng)管理和監(jiān)視外包軟件的開發(fā)。 8.6技術(shù)脆弱性管理 應(yīng)及時(shí)得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息，評(píng)價(jià)組織對(duì)這些脆弱性的暴露程度，并采取適當(dāng)?shù)拇胧﹣?lái)處理相關(guān)的風(fēng)險(xiǎn)。 9、信息安全事件管理 9.1報(bào)告信息安全事態(tài)和弱點(diǎn) 建立正式的idc信息安全事件報(bào)告程序，并形成文件。 建立適當(dāng)?shù)某绦?，保證信息安全事態(tài)應(yīng)該盡可能快地通過(guò)適當(dāng)?shù)墓芾砬肋M(jìn)行報(bào)告，要求員工、承包方人員和第三方人員記錄并報(bào)告他們觀察到的或懷疑的任何系統(tǒng)或服務(wù)的安全弱點(diǎn)。 9.2職責(zé)和程序 應(yīng)建立管理職責(zé)和架構(gòu)，以確保能對(duì)信息安全事件做出快