軟件系統(tǒng)安全規(guī)范模板

1、軟件系統(tǒng)平安標(biāo)準(zhǔn)一、引言1. 1目的隨著計(jì)算機(jī)應(yīng)用的廣泛普及,計(jì)算機(jī)平安已成為衡量計(jì)算機(jī)系統(tǒng)性 能的一個(gè)重要指標(biāo).計(jì)算機(jī)系統(tǒng)平安包含兩局部?jī)?nèi)容,一是保證系統(tǒng)正常運(yùn)行,預(yù)防各 種非成心的錯(cuò)誤與損壞；二是預(yù)防系統(tǒng)及數(shù)據(jù)被非法利用或破 壞.兩者雖有很大不同,但又相互聯(lián)系,無(wú)論從治理上還是從技術(shù) 上都難以截然分開(kāi),因此,計(jì)算機(jī)系統(tǒng)平安是一個(gè)綜合性的系統(tǒng)工 程.本標(biāo)準(zhǔn)對(duì)涉及計(jì)算機(jī)系統(tǒng)安、 全的各主要環(huán)節(jié)做了具體的說(shuō)明 , 以便計(jì)算機(jī)系統(tǒng)的設(shè)計(jì)、 安裝、運(yùn)行及監(jiān)察部門(mén)有一個(gè)衡量系統(tǒng) 平安的依據(jù).1. 2范圍本標(biāo)準(zhǔn)是一份指導(dǎo)性文件,適用于國(guó)家各部門(mén)的計(jì)算機(jī)系統(tǒng).在弓I用本標(biāo)準(zhǔn)時(shí),要根據(jù)各單位的實(shí)際情況,選擇

2、適當(dāng)?shù)姆秶?不 強(qiáng)求全面采用.平安組織與治理 2. 1. 1單位最高領(lǐng)導(dǎo)必須主管計(jì)算機(jī)平安工作.2. 1. 2建立平安組織：2. 1. 2. 1平安組織由單位主要領(lǐng)導(dǎo)人領(lǐng)導(dǎo) ,不能隸屬于計(jì)算機(jī) 運(yùn)行或應(yīng)用部門(mén).2. 1. 2. 2平安組織由治理、 系統(tǒng)分析、 軟件、硬件、保衛(wèi)、 審計(jì)、人事、通信等有關(guān)方面人員組成.2. 1. 2. 3平安負(fù)責(zé)人負(fù)責(zé)平安組織的具體工作.2. 1. 2. 4平安組織的任務(wù)是根據(jù)本單位的實(shí)際情況定期做風(fēng)險(xiǎn) 分析,提出相應(yīng)的對(duì)策并監(jiān)督實(shí)施.2. 1. 3平安負(fù)責(zé)人制：2. 1. 3. I確定平安負(fù)責(zé)人對(duì)本單位的計(jì)算機(jī)平安負(fù)全部責(zé)任.2. 1. 3. 2只有平安負(fù)責(zé)人或

3、其指定的專人才有權(quán)存取和修改系 統(tǒng)授權(quán)表及系統(tǒng)特權(quán)口令.2. 1. 3. 3平安負(fù)責(zé)人要審閱每天的違章報(bào)告 ,限制臺(tái)操作記 錄、系統(tǒng)日志、系統(tǒng)報(bào)警記錄、 系統(tǒng)活動(dòng)統(tǒng)計(jì)、 警衛(wèi)報(bào)告、 加 班報(bào)表及其它與平安有關(guān)的材料.2. 1. 3. 4平安負(fù)責(zé)人負(fù)責(zé)制定平安培訓(xùn)方案.2. 1. 3. 5假設(shè)終端分布在不同地點(diǎn),那么各地都應(yīng)有地區(qū)平安負(fù)責(zé)人,可設(shè)專職,也能夠兼任,并接受中央平安負(fù)責(zé)人的領(lǐng)導(dǎo).2. 1. 3. 6各部門(mén)發(fā)現(xiàn)違章行為,應(yīng)向中央平安負(fù)責(zé)人報(bào)告,系統(tǒng) 中發(fā)現(xiàn)違章行為要通知各地有關(guān)平安負(fù)責(zé)人.2. 1. 4計(jì)算機(jī)系統(tǒng)的建設(shè)應(yīng)與計(jì)算機(jī)平安工作同步進(jìn)行2. 2人事治理2. 2. 1人員審查：必

4、須根據(jù)計(jì)算機(jī)系統(tǒng)所定的密級(jí)確定審查標(biāo) 準(zhǔn).如：處理機(jī)要信息的系統(tǒng),接觸系統(tǒng)的所有工作人員必須按機(jī) 要人員的標(biāo)準(zhǔn)進(jìn)行審查.2. 2. 2關(guān)鍵崗位的人選.如：系統(tǒng)分析員,不但要有嚴(yán)格的政審, 還要考慮其現(xiàn)實(shí)表現(xiàn)、工作態(tài)度、道德修養(yǎng)和業(yè)務(wù)水平等方面. 盡可能保證這局部人員平安可靠.2. 2. 3所有工作人員除進(jìn)行業(yè)務(wù)培訓(xùn)外 ,還必須進(jìn)行相應(yīng)的計(jì)算 機(jī)平安課程培訓(xùn),才能進(jìn)入系統(tǒng)工作.2. 2. 4人事部門(mén)應(yīng)定期對(duì)系統(tǒng)所有工作人員從政治思想、業(yè)務(wù)水平、工作表現(xiàn)等方面進(jìn)行考核,對(duì)不適于接觸信息系統(tǒng)的人員 要適時(shí)調(diào)離.2. 2. 5對(duì)調(diào)離人員,特別是在不情愿的情況下被調(diào)走的人員,必須認(rèn)真辦理手續(xù).除人事手續(xù)

5、外,必須進(jìn)行調(diào)離談話,申明其調(diào)離 后的保密義務(wù),收回所有鑰匙及證件,退還全部技術(shù)手冊(cè)及有關(guān)材 料.系統(tǒng)必須更換口令和機(jī)要鎖.在調(diào)離決定通知本人的同時(shí),必須立即進(jìn)行上述工作,不得拖延.2.3平安治理2 . 3, 1應(yīng)根據(jù)系統(tǒng)所處理數(shù)據(jù)的秘密性和重要性確定平安等級(jí),井據(jù)此采用有關(guān)標(biāo)準(zhǔn)和制定相應(yīng)治理制度.3 .3.2平安等級(jí)可分為保密等級(jí)和可靠性等級(jí)兩種,系統(tǒng)的保密等級(jí)與可靠性等級(jí)能夠不同.2. 3. 2. 1保密等級(jí)應(yīng)按有關(guān)規(guī)定劃為絕密、機(jī)密、秘密.2. 3. 2. 2可靠性等級(jí)可分為三級(jí).對(duì)可靠性要求最高的為A級(jí),系統(tǒng)運(yùn)行所要求的最低限度可靠性為C級(jí),介于中間的為B級(jí).2. 3. 3用于重要部門(mén)

6、的計(jì)算機(jī)系統(tǒng)投入運(yùn)行前,應(yīng)請(qǐng)公安機(jī)關(guān)的計(jì)算機(jī)監(jiān)察部門(mén)進(jìn)行平安檢查.2. 3. 4必須制定有關(guān)電源設(shè)備、空凋設(shè)備,防水防盜消防等防范設(shè)備的治理規(guī)章制度.確定專人負(fù)責(zé)設(shè)備維護(hù)和制度實(shí)施.2. 3. 5應(yīng)根據(jù)系統(tǒng)的重要程度,設(shè)立監(jiān)視系統(tǒng),分別監(jiān)視設(shè)備的 運(yùn)行情況或工作人員及用戶的操作情況 ,或安裝自動(dòng)錄象等記錄裝 置.對(duì)這些設(shè)備必須制定治理制度 ,并確定負(fù)責(zé)人.2. 3. 6制定嚴(yán)格的計(jì)算中央出入治理制度 ：2. 3. 6. 1計(jì)算機(jī)中央要實(shí)行分區(qū)限制,限制工作人員出入與己 無(wú)關(guān)的區(qū)域.2. 3. 6. 2規(guī)模較大的計(jì)算中央,可向所有工作人員,包括來(lái)自外 單位的人員,發(fā)行帶有照片的身份證件,并定期進(jìn)

7、行檢查或更換.2. 3. 6. 3平安等級(jí)較高的計(jì)算機(jī)系統(tǒng),除采取身份證件進(jìn)行識(shí)別以外,還要考慮其它出入治理舉措,如：安裝自動(dòng)識(shí)別登記系統(tǒng),采用磁卡、 結(jié)構(gòu)編碼卡或帶有徽電腦及存儲(chǔ)器的身份卡等手段,對(duì)人員進(jìn)行自動(dòng)識(shí)別、登記及出入治理.2. 3. 6. 4短期工作人員或維修人員的證件 ,應(yīng)注明有效日期,屆 時(shí)收回.2. 3. 6. 5參觀人員必須由主管部門(mén)辦理參觀手續(xù) ,參觀時(shí)必須有專人陪同.2. 3. 6. 6因系統(tǒng)維修或其它原因需外國(guó)籍人進(jìn)入機(jī)房時(shí),必須始終有人陪同.2. 3. 6. 7進(jìn)出口的鑰匙應(yīng)保存在約定的場(chǎng)所 ,由專人治理,并明 確其責(zé)任.記錄最初人室者及最后離室者和鑰匙交換時(shí)間.2. 3. 6. 8在無(wú)警衛(wèi)的場(chǎng)合,必須保證室內(nèi)無(wú)人時(shí),關(guān)鎖所有出入 口.2. 3. 6. 9禁止攜帶與上機(jī)工作無(wú)關(guān)的物品進(jìn)入機(jī)房.2. 3. 6. 10對(duì)于帶進(jìn)和帶出的物品,如有疑問(wèn),龐進(jìn)行查驗(yàn).2. 3. 7制定嚴(yán)格的技術(shù)文件治理制度.2. 3. 7. 1計(jì)算機(jī)系統(tǒng)的技術(shù)文件如說(shuō)明書(shū)、手冊(cè)等應(yīng)妥善保存要有嚴(yán)格的借閱手續(xù),不得損壞及喪失.2. 3. 7. 2應(yīng)備有關(guān)計(jì)算機(jī)系統(tǒng)操作手冊(cè)規(guī)定的文件.2. 3. 7. 3龐常備計(jì)算機(jī)系統(tǒng)出現(xiàn)故障時(shí)的替代舉措及恢復(fù)順序所規(guī)定的文件.2. 3. 8制定嚴(yán)格的操作規(guī)程：2. 3