信息系統(tǒng)安全等級保護(hù)基本要求-中國網(wǎng)絡(luò)安全等級保護(hù)網(wǎng)

#其中，在四級，去掉了三級中的f）和g）同時(shí)對a）要求依據(jù)安全策略和所有主體和客其中，在四級，去掉了三級中的體設(shè)置的敏感標(biāo)記控制主體對客體的訪問訪問，增強(qiáng)了要求，所以是 a）*,同時(shí)在四級中增加了b）,主要是增強(qiáng)了控制粒度，所以盡管四級的要求項(xiàng)減少了，但實(shí)際要求增強(qiáng)了。4.可信路徑在計(jì)算機(jī)系統(tǒng)中,用戶一般并不直接與內(nèi)核打交道, 通過應(yīng)用層作為接口進(jìn)行會(huì)話。 但由于應(yīng)用層并不是能完全信任的,因此在系統(tǒng)的安全功能中, 提出了“可信路徑” 這一概念（也是桔皮書 B2級的安全要求口口該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：無此要求。三級：無此要求。四級：要求在用戶進(jìn)行身份鑒別和訪問時(shí),提供用戶與系統(tǒng)之間可信的安全通信路徑。具體見下表26：要求項(xiàng)一級二級三級四級項(xiàng)目N/AN/AN/Aa)-b)合計(jì)00025.安全審計(jì)同網(wǎng)絡(luò)安全審計(jì)相似, 對主機(jī)進(jìn)行安全審計(jì), 目的是為了保持對操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的運(yùn)行情況以及系統(tǒng)用戶行為的跟蹤, 以便事后追蹤分析。 主機(jī)安全審計(jì)主要涉及的方面包括：用戶登錄情況、系統(tǒng)配置情況以及系統(tǒng)資源使用情況等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級： 要求對用戶行為、 系統(tǒng)異常情況等基本情況進(jìn)行審計(jì)、 記錄,審計(jì)范圍僅覆蓋服務(wù)器用戶。三級： 除二級要求外,要求對形成的記錄能夠分析、生成報(bào)表。同時(shí)對審計(jì)記錄提出了保護(hù)要求。另外,審計(jì)覆蓋范圍擴(kuò)大,由二級的服務(wù)器擴(kuò)展到客戶端。四級：除三級要求外,要求做到集中審計(jì)。具體見下表27：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)Dd)a)*-f)a)—g)合計(jì)046+7其中,三級中的審計(jì)覆蓋的范圍由二級的服務(wù)器到服務(wù)器和客戶端的數(shù)據(jù)庫和操作系統(tǒng)用戶,審計(jì)的力度增強(qiáng),所以是 a）*。

為保證存儲(chǔ)在硬盤、內(nèi)存或緩沖區(qū)中的信息不被非授權(quán)的訪問，操作系統(tǒng)應(yīng)對這些剩余為保證存儲(chǔ)在硬盤、內(nèi)存或緩沖區(qū)中的信息不被非授權(quán)的訪問，操作系統(tǒng)應(yīng)對這些剩余信息加以保護(hù)。用戶的鑒別信息、文件、 目錄等資源所在的存儲(chǔ)空間， 操作系統(tǒng)將其完全清除之后，才釋放或重新分配給其他用戶。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：無此要求。三級：要求對存放鑒別信息、文件、記錄等存儲(chǔ)空間進(jìn)行重新使用前的清除。四級：與三級要求相同。具體見下表28：要求項(xiàng)一級二級三級四級項(xiàng)目N/AN/Aa)Db)a)Db)合計(jì)00227.入侵防范由于基于網(wǎng)絡(luò)的入侵檢測只是在被監(jiān)測的網(wǎng)段內(nèi)對網(wǎng)絡(luò)非授權(quán)的訪問、 使用等情況進(jìn)行防范，它無法防范網(wǎng)絡(luò)內(nèi)單臺(tái)主機(jī)、 服務(wù)器等被攻擊的情況。 基于主機(jī)的入侵檢測，可以說是基于網(wǎng)絡(luò)的“補(bǔ)充” ，補(bǔ)充檢測那些出現(xiàn)在“授權(quán)”的數(shù)據(jù)流或其他遺漏的數(shù)據(jù)流中的入侵行為。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：基本的防范要求，要求安裝應(yīng)遵循最小授權(quán)原則，并及時(shí)更新。二級：在一級的基礎(chǔ)上要求設(shè)置升級服務(wù)器方式及時(shí)更新。三級： 在二級的基礎(chǔ)上， 增加對入侵行為進(jìn)行記錄和檢測，并能夠采取報(bào)警等措施；對重要程序完整性進(jìn)行檢測并恢復(fù)。四級：同三級要求。具體見下表29：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)*a)Dc)a)Dc)合計(jì)11+338.惡意代碼防范惡意代碼一般通過兩種方式造成各種破壞，一種是通過網(wǎng)絡(luò)，另外一種就是通過主機(jī)。網(wǎng)絡(luò)邊界處的惡意代碼防范可以說是防范工作的“第一道門檻” ，然而，如果惡意代碼通過網(wǎng)絡(luò)進(jìn)行蔓延， 那么直接后果就是造成網(wǎng)絡(luò)內(nèi)的主機(jī)感染， 所以說， 網(wǎng)關(guān)處的惡意代碼防范并不是“一勞永逸” 。另外，通過各種移動(dòng)存儲(chǔ)設(shè)備的接入主機(jī)，也可能造成該主機(jī)感染病毒，而后通過網(wǎng)絡(luò)感染其他主機(jī)。所以說，這兩種方式是交叉發(fā)生的， 必須在兩處同時(shí)進(jìn)行防范，才能盡可能的保證安全。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：重要主機(jī)應(yīng)安裝一定的防范產(chǎn)品。二級：在一級要求的基礎(chǔ)上，要求對惡意代碼進(jìn)行統(tǒng)一管理。三級：除二級要求外，要求主機(jī)與網(wǎng)絡(luò)處的防范產(chǎn)品不同。四級：與三級要求相同。具體見下表30：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Db)a)Dc)a)Dc)合計(jì)1233由于不同產(chǎn)商的惡意代碼防范產(chǎn)品在惡意代碼庫的定義以及升級時(shí)機(jī)上都有所不同， 因此，如果主機(jī)和網(wǎng)絡(luò)的防范產(chǎn)品出于不同廠家， 那么二者相互補(bǔ)充， 在防范水平上會(huì)較同樣一種產(chǎn)品防范兩處要高。因此，在三級要求系統(tǒng)能夠采取兩種產(chǎn)品防范的要求。由于信息系統(tǒng)具有網(wǎng)絡(luò)層次多、 節(jié)點(diǎn)多、覆蓋地域廣等特點(diǎn)， 各部門對計(jì)算機(jī)的使用和維護(hù)水平也不盡相同， 這些均要求防惡意代碼軟件能夠提供統(tǒng)一管理和集中監(jiān)控， 能夠在惡意代碼監(jiān)控中心的統(tǒng)一管理下， 統(tǒng)一、自動(dòng)升級， 將潛在的惡意代碼感染源清除在感染之前。同時(shí)，也極大的簡化了系統(tǒng)維護(hù)工作，有利于防范惡意代碼策略的有效實(shí)施。9.資源控制操作系統(tǒng)是非常復(fù)雜的系統(tǒng)軟件， 其最主要的特點(diǎn)是并發(fā)性和共享性。 在邏輯上多個(gè)任務(wù)并發(fā)運(yùn)行， 處理器和外部設(shè)備能同時(shí)工作。 多個(gè)任務(wù)共同使用系統(tǒng)資源， 使其能被有效共享，大大提高系統(tǒng)的整體效率，這是操作系統(tǒng)的根本目標(biāo)。通常計(jì)算機(jī)資源包括以下幾類：中央處理器、存儲(chǔ)器、外部設(shè)備、信息（包括程序和數(shù)據(jù)） ，為保證這些資源有效共享和充分利用， 操作系統(tǒng)必須對資源的使用進(jìn)行控制， 包括限制單個(gè)用戶的多重并發(fā)會(huì)話、 限制最大并發(fā)會(huì)話連接數(shù)、 限制單個(gè)用戶對系統(tǒng)資源的最大和最小使用限度、 當(dāng)?shù)卿浗K端的操作超時(shí)或鑒別失敗時(shí)進(jìn)行鎖定、根據(jù)服務(wù)優(yōu)先級分配系統(tǒng)資源等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：要求對單個(gè)用戶的會(huì)話數(shù)量以及終端登錄進(jìn)行限制。三級：除二級要求外，增加了監(jiān)視服務(wù)器和對系統(tǒng)最小服務(wù)進(jìn)行監(jiān)測和報(bào)警的要求。四級：與三級要求相同。具體見下表31：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)Dc)a)De)a)De)合計(jì)0355

4.1.4應(yīng)用安全通過網(wǎng)絡(luò)、主機(jī)系統(tǒng)的安全防護(hù)，4.1.4應(yīng)用安全通過網(wǎng)絡(luò)、主機(jī)系統(tǒng)的安全防護(hù)，最終應(yīng)用安全成為信息系統(tǒng)整體防御的最后一道防線。在應(yīng)用層面運(yùn)行著信息系統(tǒng)的基于網(wǎng)絡(luò)的應(yīng)用以及特定業(yè)務(wù)應(yīng)用。 基于網(wǎng)絡(luò)的應(yīng)用是形成其他應(yīng)用的基礎(chǔ)，包括消息發(fā)送、 web瀏覽等，可以說是基本的應(yīng)用。業(yè)務(wù)應(yīng)用采納基本應(yīng)用的功能以滿足特定業(yè)務(wù)的要求， 如電子商務(wù)、電子政務(wù)等。由于各種基本應(yīng)用最終是為業(yè)務(wù)應(yīng)用服務(wù)的，因此對應(yīng)用系統(tǒng)的安全保護(hù)最終就是如何保護(hù)系統(tǒng)的各種業(yè)務(wù)應(yīng)用程序安全運(yùn)行。應(yīng)用安全主要涉及的安全控制點(diǎn)包括： 身份鑒別、安全標(biāo)記、訪問控制、可信路徑、安全審計(jì)、剩余信息保護(hù)、通信完整性、通信保密性、抗抵賴、軟件容錯(cuò)、資源控制 等十一個(gè)控制點(diǎn)。不同等級的基本要求在應(yīng)用安全方面所體現(xiàn)的不同如 3.1節(jié)和3.2節(jié)所描述的一樣， 在三個(gè)方面都有所體現(xiàn)。一級應(yīng)用安全要求： 對應(yīng)用進(jìn)行基本的防護(hù)， 要求做到簡單的身份鑒別， 粗粒度的訪問控制以及數(shù)據(jù)有效性檢驗(yàn)等基本防護(hù)。二級應(yīng)用安全要求： 在控制點(diǎn)上增加了 安全審計(jì)、通信保密性和資源控制 等。同時(shí)，對身份鑒別和訪問控制都進(jìn)一步加強(qiáng)， 鑒別的標(biāo)識、 信息等都提出了具體的要求。 訪問控制的粒度進(jìn)行了細(xì)化， 對通信過程的完整性保護(hù)提出了特定的校驗(yàn)碼技術(shù)。 應(yīng)用軟件自身的安全要求進(jìn)一步增強(qiáng)，軟件容錯(cuò)能力增強(qiáng)。三級應(yīng)用安全要求 ：在控制點(diǎn)上增加了 剩余信息保護(hù)和抗抵賴等 。同時(shí)，身份鑒別的力度進(jìn)一步增強(qiáng)， 要求組合鑒別技術(shù)， 訪問控制增加了敏感標(biāo)記功能， 安全審計(jì)已不滿足于對安全事件的記錄， 而要進(jìn)行分析等。 對通信過程的完整性保護(hù)提出了特定的密碼技術(shù)。 應(yīng)用軟件自身的安全要求進(jìn)一步增強(qiáng)，軟件容錯(cuò)能力增強(qiáng)，增加了自動(dòng)保護(hù)功能。四級應(yīng)用安全要求 ：在控制點(diǎn)上增加了 安全標(biāo)記和可信路徑等 。部分控制點(diǎn)在強(qiáng)度上進(jìn)一步增強(qiáng)， 如，身份鑒別要求使用不可偽造的鑒別技術(shù)， 安全審計(jì)能夠做到統(tǒng)一安全策略提供集中審計(jì)接口等，軟件應(yīng)具有自動(dòng)恢復(fù)的能力等。下表表明了應(yīng)用系統(tǒng)安全在控制點(diǎn)上逐級變化的特點(diǎn)：表32應(yīng)用安全層面控制點(diǎn)的逐級變化控制點(diǎn)一級二級三級四級身份鑒別****安全標(biāo)記*訪問控制****可信路經(jīng)*安全審計(jì)***剩余信息保護(hù)**通信完整性****通信保密性***口抵賴**軟件容錯(cuò)****資源控制***合計(jì)47911另外兩個(gè)特點(diǎn)（要求項(xiàng)增加和要求項(xiàng)強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時(shí)具體展開。身份鑒別應(yīng)用系統(tǒng)同樣對登錄的用戶進(jìn)行身份鑒別，以確保用戶在同主機(jī)系統(tǒng)的身份鑒別一樣，應(yīng)用系統(tǒng)同樣對登錄的用戶進(jìn)行身份鑒別，以確保用戶在規(guī)定的權(quán)限內(nèi)進(jìn)行操作。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要強(qiáng)調(diào)了該功能的使能性，即，能夠進(jìn)行簡單的身份鑒別。二級：在一級要求的基礎(chǔ)上，對登錄要求進(jìn)一步增強(qiáng)，提出了鑒別標(biāo)識唯一、鑒別信息復(fù)雜等要求。三級：在二級要求的基礎(chǔ)上，提出了兩種以上鑒別技術(shù)的組合來實(shí)現(xiàn)身份鑒別。四級：在三級要求的基礎(chǔ)上，要求其中一種鑒別技術(shù)為是不可偽造的。具體見下表33：要求項(xiàng)一級二級三級四級項(xiàng)目a)口c)a)口d)*a)-e)a)b)*—e)合計(jì)34+55+其中，二級中， d）增加了鑒別標(biāo)志唯一、鑒別信息復(fù)雜要求，是增強(qiáng)要求;四級中， b）增加了其中一種鑒別技術(shù)為是不可偽造的要求。安全標(biāo)記在應(yīng)用系統(tǒng)層面， 在高級別系統(tǒng)中要實(shí)現(xiàn)強(qiáng)度較強(qiáng)的訪問控制必須要增加安全標(biāo)記，過對主體和客體進(jìn)行標(biāo)記， 主體不能隨意更改權(quán)限， 權(quán)限是由系統(tǒng)客觀具有的屬性以及用戶本身具有的屬性決定的， 因此， 在很大程度上使非法訪問受到限制， 增加了訪問控制的力度。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：無此要求。三級：無此要求。四級：要求為主體和客體設(shè)置安全標(biāo)記的功能并在安裝后啟用。具體見下表34：要求項(xiàng)一級二級三級四級項(xiàng)目N/AN/AN/Aa)合計(jì)0001訪問控制在應(yīng)用系統(tǒng)中實(shí)施訪問控制是為了保證應(yīng)用系統(tǒng)受控合法地使用。 用戶只能根據(jù)自己的權(quán)限大小來訪問應(yīng)用系統(tǒng)，不得越權(quán)訪問。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求根據(jù)一定的控制策略來限制用戶對系統(tǒng)資源的訪問，控制粒度較粗。二級：在一級要求的基礎(chǔ)上，控制粒度細(xì)化， 增加覆蓋范圍要求， 并強(qiáng)調(diào)了最小授權(quán)原則，使得用戶的權(quán)限最小化。三級：在二級要求的基礎(chǔ)上，增加了對重要信息設(shè)置敏感標(biāo)記，并控制對其的操作。四級：除三級要求外，提出以標(biāo)記的方式進(jìn)行應(yīng)用系統(tǒng)訪問的控制。具體見下表35：要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)*Dd)a)-f)a)b)c)*-e)合計(jì)24+75+其中，在二級， a）增加了依據(jù)安全策略控制訪問；四口中，去掉了三級中的 e）和f）,提出以標(biāo)記的方式進(jìn)行應(yīng)用系統(tǒng)訪問的控制， c）增加了禁止默認(rèn)賬戶的訪問，所以盡管比三級要求項(xiàng)減少了，但是強(qiáng)度增強(qiáng)了?？尚怕窂皆谟?jì)算機(jī)系統(tǒng)中， 用戶一般并不直接與內(nèi)核打交道， 通過應(yīng)用層作為接口進(jìn)行會(huì)話。 但由于應(yīng)用層并不是能完全信任的，因此在系統(tǒng)的安全功能中， 提出了“可信路徑” 這一概念（也是桔皮書 B2級的安全要求口口該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：無此要求。三級：無此要求。四級：要求在用戶進(jìn)行身份鑒別和訪問時(shí)，提供用戶與系統(tǒng)之間可信的安全通信路徑。具體見下表36：要求項(xiàng)一級二級三級四級項(xiàng)目N/AN/AN/Aa)-b)合計(jì)0002安全審計(jì)同主機(jī)安全審計(jì)相似， 應(yīng)用系統(tǒng)安全審計(jì)目的是為了保持對應(yīng)用系統(tǒng)的運(yùn)行情況以及系統(tǒng)用戶行為的跟蹤， 以便事后追蹤分析。 應(yīng)用安全審計(jì)主要涉及的方面包括： 用戶登錄情況、系統(tǒng)功能執(zhí)行以及系統(tǒng)資源使用情況等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：要求對用戶行為、安全事件等進(jìn)行記錄。三級：除二級要求外，要求對形成的記錄能夠統(tǒng)計(jì)、分析、并生成報(bào)表。四級：除三級要求外，要求根據(jù)系統(tǒng)統(tǒng)一安全策略，提供集中審計(jì)接口。具體見下表37：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)Dc)a)b)*—d)a)-e)合計(jì)034+5其中，三級中， b）增加了無法單獨(dú)中斷審計(jì)進(jìn)程要求，所以強(qiáng)度增加。剩余信息保護(hù)為保證存儲(chǔ)在硬盤、 內(nèi)存或緩沖區(qū)中的信息不被非授權(quán)的訪問， 應(yīng)用系統(tǒng)應(yīng)對這些剩余信息加以保護(hù)。 用戶的鑒別信息、 文件、目錄等資源所在的存儲(chǔ)空間， 應(yīng)將其完全清除之后，才釋放或重新分配給其他用戶。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：無此要求。三級：要求對存放鑒別信息、文件、記錄等存儲(chǔ)空間進(jìn)行重新使用前的清除。四級：與三級要求相同。具體見下表38：要求項(xiàng)一級二級三級四級項(xiàng)目N/AN/Aa)Db)a)Db)合計(jì)00227. 通信完整性許多應(yīng)用程序通過網(wǎng)絡(luò)與最終用戶之間傳遞數(shù)據(jù)， 此外還在中間應(yīng)用程序節(jié)點(diǎn)之間傳遞數(shù)據(jù)，這些數(shù)據(jù)由于與應(yīng)用有關(guān)，多數(shù)帶有機(jī)密性，如信用卡號碼或銀行交易明細(xì)數(shù)據(jù)等。為了防止發(fā)生意外的信息泄漏， 并保護(hù)數(shù)據(jù)免受傳輸時(shí)擅自修改， 就必須確保通信點(diǎn)間的安全性。安全的通信具有以下兩個(gè)特點(diǎn)：完整性和保密性。我們首先了解通信完整性。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求通信雙方確定一定的會(huì)話方式，從而判斷數(shù)據(jù)的完整性。二級：要求通信雙方利用單向校驗(yàn)碼技術(shù)來判斷數(shù)據(jù)的完整性。三級：要求通信雙方利用密碼技術(shù)來判斷數(shù)據(jù)的完整性。四級：與三級要求相同。具體見下表39：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)*a)*a)合計(jì)11+1+18.通信保密性同通信完整性一樣， 通信保密性也是保證通信安全的重要方面。 它主要確保數(shù)據(jù)處于保密狀態(tài)，不被竊聽。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：要求對建立連接前初始化驗(yàn)證和通信過程敏感信息加密。三級：在二級要求的基礎(chǔ)上，要求對通信過程加密的范圍擴(kuò)大為整個(gè)報(bào)文或會(huì)話過程。四級：在三級要求的基礎(chǔ)上，對加解密運(yùn)算要求設(shè)備化。具體見下表40：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)-b)a)—b)*a)-c)合計(jì)022+3對數(shù)據(jù)加密的范圍由二級的敏感信息擴(kuò)大為三級的整個(gè)報(bào)文或會(huì)話過程， 保密性得到加強(qiáng)。9.抗抵賴通信完整性和保密性并不能保證通信抗抵賴行為， 即，通信雙方或不承認(rèn)已發(fā)出的數(shù)據(jù)，或不承認(rèn)已接收到的數(shù)據(jù)， 從而無法保證應(yīng)用的正常進(jìn)行。 必須采取一定的抗抵賴手段， 從而防止雙方否認(rèn)數(shù)據(jù)所進(jìn)行的交換。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：無此要求。三級：要求具有通信雙方提供原發(fā)接收或發(fā)送數(shù)據(jù)的功能。四級：與三級要求相同。具體見下表41：要求項(xiàng)一級二級三級四級項(xiàng)目N/AN/Aa)-b)a)-b)合計(jì)002210.軟件容錯(cuò)容錯(cuò)技術(shù)是提高整個(gè)系統(tǒng)可靠性的有效途徑， 通常在硬件配置上， 采用了冗余備份的方法，以便在資源上保證系統(tǒng)的可靠性。在軟件設(shè)計(jì)上，則主要考慮應(yīng)用程序?qū)﹀e(cuò)誤（故障）的檢測、處理能力。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求具有基本的數(shù)據(jù)校驗(yàn)功能。二級：在一級要求的基礎(chǔ)上，要求故障發(fā)生時(shí)能夠繼續(xù)運(yùn)行部分功能。三級：在二級要求的基礎(chǔ)上，要求具有自動(dòng)保護(hù)功能。四級：在三級要求的基礎(chǔ)上，要求具有自動(dòng)恢復(fù)功能。具體見下表42：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Db)a)—b)*a)-c)合計(jì)122+3三級中， b）項(xiàng)要求在二級的基礎(chǔ)上，提出具有自動(dòng)保護(hù)功能的要求，所以強(qiáng)度增加。11.資源控制操作系統(tǒng)對同時(shí)的連接數(shù)量、打開文件數(shù)量、進(jìn)程使用內(nèi)存等進(jìn)行了一定的資源控制，保證資源合理有效的使用， 以及防止系統(tǒng)資源被濫用而引發(fā)各種攻擊。 同樣， 應(yīng)用程序也有相應(yīng)的資源控制措施， 包括限制單個(gè)用戶的多重并發(fā)會(huì)話、 限制最大并發(fā)會(huì)話連接數(shù)、 限制單個(gè)用戶對系統(tǒng)資源的最大和最小使用限度、當(dāng)?shù)卿浗K端的操作超時(shí)或鑒別失敗時(shí)進(jìn)行鎖定、根據(jù)服務(wù)優(yōu)先級分配系統(tǒng)資源等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：要求單個(gè)用戶會(huì)話數(shù)量、最大并發(fā)會(huì)話數(shù)量的限制。三級：除二級要求外， 增加了一段時(shí)間內(nèi)的并發(fā)會(huì)話數(shù)量、 單個(gè)賬戶或進(jìn)程的資源配額、根據(jù)服務(wù)優(yōu)先級分配資源以及對系統(tǒng)最小服務(wù)進(jìn)行監(jiān)測和報(bào)警的要求。四級：與三級要求相同。具體見下表43：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)Dc)a)Dg)a)Dg)合計(jì)03774.1.5數(shù)據(jù)安全及備份恢復(fù)信息系統(tǒng)處理的各種數(shù)據(jù)（用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)等）在維持系統(tǒng)正常運(yùn)行上起著至關(guān)重要的作用。一旦數(shù)據(jù)遭到破壞（泄漏、修改、毀壞），都會(huì)在不同程度上造成影響，從而危害到系統(tǒng)的正常運(yùn)行。由于信息系統(tǒng)的各個(gè)層面（網(wǎng)絡(luò)、主機(jī)、應(yīng)用等）都對各類數(shù)據(jù)進(jìn)行傳輸、存儲(chǔ)和處理等，因此，對數(shù)據(jù)的保護(hù)需要物理環(huán)境、網(wǎng)絡(luò)、數(shù)據(jù)庫和操作系統(tǒng)、應(yīng)用程序等提供支持。各個(gè)“關(guān)口”把好了，數(shù)據(jù)本身再具有一些防御和修復(fù)手段，必然將對數(shù)據(jù)造成的損害降至最小。另外，數(shù)據(jù)備份也是防止數(shù)據(jù)被破壞后無法恢復(fù)的重要手段，而硬件備份等更是保證系統(tǒng)可用的重要內(nèi)容，在高級別的信息系統(tǒng)中采用異地適時(shí)備份會(huì)有效的防治災(zāi)難發(fā)生時(shí)可能造成的系統(tǒng)危害。保證數(shù)據(jù)安全和備份恢復(fù)主要從：數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)等三個(gè)控制信息系統(tǒng)處理的各種數(shù)據(jù)（用戶數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、業(yè)務(wù)數(shù)據(jù)等）在維持系統(tǒng)正常運(yùn)行上起著至關(guān)重要的作用。一旦數(shù)據(jù)遭到破壞（泄漏、修改、毀壞），都會(huì)在不同程度上造成影響，從而危害到系統(tǒng)的正常運(yùn)行。由于信息系統(tǒng)的各個(gè)層面（網(wǎng)絡(luò)、主機(jī)、應(yīng)用等）都對各類數(shù)據(jù)進(jìn)行傳輸、存儲(chǔ)和處理等，因此，對數(shù)據(jù)的保護(hù)需要物理環(huán)境、網(wǎng)絡(luò)、數(shù)據(jù)庫和操作系統(tǒng)、應(yīng)用程序等提供支持。各個(gè)“關(guān)口”把好了，數(shù)據(jù)本身再具有一些防御和修復(fù)手段，必然將對數(shù)據(jù)造成的損害降至最小。另外，數(shù)據(jù)備份也是防止數(shù)據(jù)被破壞后無法恢復(fù)的重要手段，而硬件備份等更是保證系統(tǒng)可用的重要內(nèi)容，在高級別的信息系統(tǒng)中采用異地適時(shí)備份會(huì)有效的防治災(zāi)難發(fā)生時(shí)可能造成的系統(tǒng)危害。保證數(shù)據(jù)安全和備份恢復(fù)主要從：數(shù)據(jù)完整性、數(shù)據(jù)保密性、備份和恢復(fù)等三個(gè)控制點(diǎn)考慮。不同等級的基本要求在應(yīng)用安全方面所體現(xiàn)的不同如節(jié)和節(jié)所描述的一樣，不同等級的基本要求在應(yīng)用安全方面所體現(xiàn)的不同如節(jié)和節(jié)所描述的一樣，三個(gè)方面都有所體現(xiàn)。一級數(shù)據(jù)安全及備份恢復(fù)要求：對數(shù)據(jù)完整性用戶數(shù)據(jù)在傳輸過程提出要求，能夠檢一級數(shù)據(jù)安全及備份恢復(fù)要求：對數(shù)據(jù)完整性用戶數(shù)據(jù)在傳輸過程提出要求，能夠檢測出數(shù)據(jù)完整性受到破壞；同時(shí)能夠?qū)χ匾畔⑦M(jìn)行備份。二級數(shù)據(jù)安全備份恢復(fù)要求：對數(shù)據(jù)完整性的要求增強(qiáng)，范圍擴(kuò)大，要求鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中都要保證其完整性。對數(shù)據(jù)保密性要求實(shí)現(xiàn)鑒別信息存儲(chǔ)保密性，數(shù)據(jù)備份增強(qiáng)，要求一定的硬件冗余。三級數(shù)據(jù)安全備份恢復(fù)要求：對數(shù)據(jù)完整性的要求增強(qiáng)，范圍擴(kuò)大，增加了系統(tǒng)管理測出數(shù)據(jù)完整性受到破壞；同時(shí)能夠?qū)χ匾畔⑦M(jìn)行備份。二級數(shù)據(jù)安全備份恢復(fù)要求：對數(shù)據(jù)完整性的要求增強(qiáng)，范圍擴(kuò)大，要求鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中都要保證其完整性。對數(shù)據(jù)保密性要求實(shí)現(xiàn)鑒別信息存儲(chǔ)保密性，數(shù)據(jù)備份增強(qiáng)，要求一定的硬件冗余。三級數(shù)據(jù)安全備份恢復(fù)要求：對數(shù)據(jù)完整性的要求增強(qiáng)，范圍擴(kuò)大，增加了系統(tǒng)管理數(shù)據(jù)的傳輸完整性，不僅能夠檢測出數(shù)據(jù)受到破壞，并能進(jìn)行恢復(fù)。對數(shù)據(jù)保密性要求范圍擴(kuò)大到實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)的傳輸和存儲(chǔ)的保密性，數(shù)據(jù)的備份不數(shù)據(jù)的傳輸完整性，不僅能夠檢測出數(shù)據(jù)受到破壞，并能進(jìn)行恢復(fù)。對數(shù)據(jù)保密性要求范圍擴(kuò)大到實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)的傳輸和存儲(chǔ)的保密性，數(shù)據(jù)的備份不僅要求本地完全數(shù)據(jù)備份，還要求異地備份和冗余網(wǎng)絡(luò)拓?fù)洹Ｋ募墧?shù)據(jù)安全備份恢復(fù)要求：為進(jìn)一步保證數(shù)據(jù)的完整性和保密性，提出使用專有的四級數(shù)據(jù)安全備份恢復(fù)要求安全協(xié)議的要求。同時(shí)，備份方式增加了建立異地適時(shí)災(zāi)難備份中心，在災(zāi)難發(fā)生后系統(tǒng)能安全協(xié)議的要求。同時(shí)，備份方式增加了建立異地適時(shí)災(zāi)難備份中心，在災(zāi)難發(fā)生后系統(tǒng)能夠自動(dòng)切換和恢復(fù)。下表表明了數(shù)據(jù)安全在控制點(diǎn)上逐級變化的特點(diǎn)：表44數(shù)據(jù)安全層面控制點(diǎn)的逐級變化控制點(diǎn)一級二級三級四級數(shù)據(jù)完整性****數(shù)據(jù)保密性***備份和恢復(fù)****合計(jì)2333另外兩個(gè)特點(diǎn)（要求項(xiàng)增加和要求項(xiàng)強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時(shí)具體展開。

數(shù)據(jù)完整性這種保護(hù)包數(shù)據(jù)完整性主要保證各種重要數(shù)據(jù)在存儲(chǔ)和傳輸過程中免受未授權(quán)的破壞。這種保護(hù)包括對完整性破壞的檢測和恢復(fù)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：能夠?qū)τ脩魯?shù)據(jù)在傳輸過程的完整性進(jìn)行檢測。二級：在一級要求的基礎(chǔ)上， 范圍擴(kuò)大，要求鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中都要保證其完整性。三級：在二級要求的基礎(chǔ)上，范圍又?jǐn)U大，增加了系統(tǒng)管理數(shù)據(jù)的傳輸完整性，不僅能夠檢測出數(shù)據(jù)受到破壞，并能進(jìn)行恢復(fù)。四級：除三級要求外，要求采用安全、專用的通信協(xié)議。具體見下表45：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)*a)*Db)a)Dc)合計(jì)11+2+3在二級，a）范圍增加了重要業(yè)務(wù)數(shù)據(jù)的傳輸完整性； 在三級，a）增加了系統(tǒng)管理數(shù)據(jù)的傳輸完整性。數(shù)據(jù)保密性數(shù)據(jù)保密性主要從數(shù)據(jù)的傳輸和存儲(chǔ)兩方面保證各類敏感數(shù)據(jù)不被未授權(quán)的訪問， 以免造成數(shù)據(jù)泄漏。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：要求能夠?qū)崿F(xiàn)鑒別信息的存儲(chǔ)保密性。三級：除二級要求外， 范圍擴(kuò)大到實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)的傳輸和存儲(chǔ)的保密性。四級：除三級要求外，要求采用安全、專用的通信協(xié)議。具體見下表46：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)a)Db)*a)Dc)合計(jì)012+3在三級， b）增加了系統(tǒng)管理數(shù)據(jù)的傳輸保密性。數(shù)據(jù)備份和恢復(fù)所謂“防患于未然” ，即使對數(shù)據(jù)進(jìn)行了種種保護(hù)，但仍無法絕對保證數(shù)據(jù)的安全。對數(shù)據(jù)進(jìn)行備份，是防止數(shù)據(jù)遭到破壞后無法使用的最好方法。通過對數(shù)據(jù)采取不同的備份方式、備份形式等，保證系統(tǒng)重要數(shù)據(jù)在發(fā)生破壞后能夠恢

通過對數(shù)據(jù)采取不同的備份方式、備份形式等，保證系統(tǒng)重要數(shù)據(jù)在發(fā)生破壞后能夠恢復(fù)。硬件的不可用同樣也是造成系統(tǒng)無法正常運(yùn)行的主要原因。 因此，有必要將一些重要的設(shè)備（服務(wù)器、網(wǎng)絡(luò)設(shè)備）設(shè)置冗余。當(dāng)主設(shè)備不可用時(shí)，及時(shí)切換到備用設(shè)備上，從而保證了系統(tǒng)的正常運(yùn)行。 如果有能力的話，對重要的系統(tǒng)也可實(shí)施備用系統(tǒng)， 主應(yīng)用系統(tǒng)和備用系統(tǒng)之間能實(shí)現(xiàn)平穩(wěn)及時(shí)的切換。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：能夠?qū)χ匾獢?shù)據(jù)進(jìn)行備份。二級：在一級要求的基礎(chǔ)上，能夠提供一定的硬件冗余。三級：除二級要求外，不僅要求本地完全數(shù)據(jù)備份，還要求異地備份和冗余網(wǎng)絡(luò)拓?fù)?。四級：除三級要求外，增加了建立異地適時(shí)災(zāi)難備份中心， 在災(zāi)難發(fā)生后系統(tǒng)能夠自動(dòng)切換和恢復(fù)。具體見下表47：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Db)a)Dd)a)b)c)*De)合計(jì)1245+在四級， c）增加了適時(shí)備份功能。4.2管理要求安全管理制度在信息安全中， 最活躍的因素是人，對人的管理包括法律、法規(guī)與政策的約束、安全指在信息安全中， 最活躍的因素是人，對人的管理包括法律、法規(guī)與政策的約束、安全指南的幫助、 安全意識的提高、安全技能的培訓(xùn)、人力資源管理措施以及企業(yè)文化的熏陶，這些功能的實(shí)現(xiàn)都是以完備的安全管理政策和制度為前提。 這里所說的安全管理制度包括信息安全工作的總體方針、策略、規(guī)范各種安全管理活動(dòng)的管理制度以及管理人員或操作人員日安全工作的總體方針、常操作的操作規(guī)程。安全管理制度主要包括：管理制度、制定和發(fā)布、評審和修訂三個(gè)控制點(diǎn)。不同等級安全管理制度主要包括：管理制度、制定和發(fā)布、評審和修訂三個(gè)控制點(diǎn)。不同等級的基本要求在安全管理制度方面所體現(xiàn)的不同如3.1節(jié)和的基本要求在安全管理制度方面所體現(xiàn)的不同如3.1節(jié)和3.2節(jié)所描述的一樣， 在三個(gè)方面都有所體現(xiàn)。一級安全管理制度要求：主要明確了制定日常常用的管理制度，并對管理制度的制定和一級安全管理制度要求：主要明確了制定日常常用的管理制度，并對管理制度的制定和發(fā)布提出基本要求。二級安全管理制度要求：在控制點(diǎn)上增加了評審和修訂 ，管理制度增加了總體方針和二級安全管理制度要求：在控制點(diǎn)上增加了評審和修訂 ，管理制度增加了總體方針和安全策略，和對各類重要操作建立規(guī)程的要求，并且管理制度的制定和發(fā)布要求組織論證。三級安全管理制度要求 ：在二級要求的基礎(chǔ)上，要求機(jī)構(gòu)形成信息安全管理制度體系，對管理制度的制定要求和發(fā)布過程進(jìn)一步嚴(yán)格和規(guī)范。 對安全制度的評審和修訂要求領(lǐng)導(dǎo)小組的負(fù)責(zé)。四級安全管理制度要求 ：在三級要求的基礎(chǔ)上， 主要考慮了對帶有密級的管理制度的管

理和管理制度的日常維護(hù)等。下表表明了安全管理制度在控制點(diǎn)上逐級變化的特點(diǎn)：表48安全管理制度控制點(diǎn)的逐級變化控制點(diǎn)一級二級三級四級管理制度****制定和發(fā)布****評審和修訂***合計(jì)2333另外兩個(gè)特點(diǎn)（要求項(xiàng)增加和要求項(xiàng)強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時(shí)具體展開。管理制度信息安全管理制度文件通過為機(jī)構(gòu)的每個(gè)人提供基本的規(guī)則、 指南、定義，從而在機(jī)構(gòu)中建立一套信息安全管理制度體系， 防止員工的不安全行為引入風(fēng)險(xiǎn)。 信息安全管理制度體系分為三層結(jié)構(gòu)：總體方針、具體管理制度、 各類操作規(guī)程。信息安全方針應(yīng)當(dāng)闡明管理層的承諾，提出機(jī)構(gòu)管理信息安全的方法；具體的信息安全管理制度是在信息安全方針的框架的承諾，提出機(jī)構(gòu)管理信息安全的方法；具體的信息安全管理制度是在信息安全方針的框架內(nèi)，為保證安全管理活動(dòng)中的各類管理內(nèi)容的有效執(zhí)行而制定的具體的信息安全實(shí)施規(guī)則，以規(guī)范安全管理活動(dòng)， 約束人員的行為方式； 操作規(guī)程是為進(jìn)行某項(xiàng)活動(dòng)所規(guī)定的途徑或方法，是有效實(shí)施信息安全政策、 安全目標(biāo)與要求的具體措施。 這三層體系化結(jié)構(gòu)完整的覆蓋了機(jī)構(gòu)進(jìn)行信息安全管理所需的各類文件化指導(dǎo)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求制定日常常用的管理制度。二級： 在一級要求的基礎(chǔ)上，管理制度要求更高， 并增加了總體方針和安全策略， 重要操作規(guī)程的要求。三級：在二級要求的基礎(chǔ)上，提出了建立信息安全管理制度體系的要求。四級：與三級要求相同。具體見下 表49：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)b)*Dc)a)b)*Dd)a)Dd)合計(jì)13+4+4其中，二級 b）要求除了一級的日常管理制度外增加了對重要管理內(nèi)容都要建立管理制度；三級b）增加要求，要健全各類管理制度。制定和發(fā)布制定安全管理制度是規(guī)范各種保護(hù)單位信息資源的安全活動(dòng)的重要一步， 制定人員應(yīng)充分了解機(jī)構(gòu)的業(yè)務(wù)特征（包括業(yè)務(wù)內(nèi)容、性質(zhì)、目標(biāo)及其價(jià)值） ，只有這樣才能發(fā)現(xiàn)并分析機(jī)構(gòu)業(yè)務(wù)所處的實(shí)際運(yùn)行環(huán)境，并在此基礎(chǔ)上提出合理的、與機(jī)構(gòu)業(yè)務(wù)目標(biāo)相一致的安全保

機(jī)構(gòu)業(yè)務(wù)所處的實(shí)際運(yùn)行環(huán)境，并在此基礎(chǔ)上提出合理的、與機(jī)構(gòu)業(yè)務(wù)目標(biāo)相一致的安全保障措施，定義出與管理相結(jié)合的控制方法，從而制定有效的信息安全政策和制度。機(jī)構(gòu)高級障措施，定義出與管理相結(jié)合的控制方法，從而制定有效的信息安全政策和制度。機(jī)構(gòu)高級管理人員參與制定過程，有利于： 1）制定的信息安全政策與單位的業(yè)務(wù)目標(biāo)一致； 2）制定的安全方針政策、制度可以在機(jī)構(gòu)上下得到有效的貫徹； 3）可以得到有效的資源保障，比如在制定安全政策時(shí)必要的資金與人力資源的支持， 及跨部門之間的協(xié)調(diào)問題都必須由高層管理人員來推動(dòng)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求有人員負(fù)責(zé)安全管理制度的制定，相關(guān)人員能夠了解管理制度。二級：在一級要求的基礎(chǔ)上， 要求有專門部門或人員負(fù)責(zé)安全管理制定的制定， 并且發(fā)布前要組織論證。三級：在二級要求的基礎(chǔ)上，對制度的制定格式、發(fā)布范圍、發(fā)式等進(jìn)行了控制。四級：除三級要求外，側(cè)重對有密級的安全制度的管理。具體見下 表50：要求項(xiàng)一級二級三級四級項(xiàng)目a)口b)a)*口c)a)口e)a)口f)合計(jì)23+56二級要求增加了專門的部門或人員負(fù)責(zé)安全管理制定的制定。評審和修訂安全政策和制度文件制定實(shí)施后，并不能“高枕無憂” ，機(jī)構(gòu)要定期評審安全政策和制度，并進(jìn)行持續(xù)改進(jìn)， 尤其當(dāng)發(fā)生重大安全事故、 出現(xiàn)新的漏洞以及技術(shù)基礎(chǔ)結(jié)構(gòu)發(fā)生變更時(shí)。因?yàn)闄C(jī)構(gòu)所處的內(nèi)外環(huán)境是不斷變化的， 信息資產(chǎn)所面臨的風(fēng)險(xiǎn)也是一個(gè)變數(shù)， 機(jī)構(gòu)中人的思想、 觀念也在不斷變化。 在這個(gè)不斷變化的世界中，要想保證本系統(tǒng)的安全性， 就要對控制措施和信息安全政策與制度持續(xù)改進(jìn)，使之在理論上、標(biāo)準(zhǔn)上及方法上與時(shí)俱進(jìn)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：要求對安全管理制度定期評審和修訂。三級：在二級要求的基礎(chǔ)上， 增加了安全領(lǐng)導(dǎo)小組負(fù)責(zé)組織定期評審和修訂， 并對評審和修訂的時(shí)機(jī)做了要求。四級：除三級要求外，側(cè)重對有密級的安全制度的修訂和制度的日常維護(hù)等。具體見下 表51：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)a)口b)*a)口d)合計(jì)012+4三級中，b）要求增加了要不定期評審和修訂。

4.2.2安全管理機(jī)構(gòu)安全管理，首先要建立一個(gè)健全、務(wù)實(shí)、有效、統(tǒng)一指揮、統(tǒng)一步調(diào)的完善的安全管理機(jī)構(gòu)，明確機(jī)構(gòu)成員的安全職責(zé)，這是信息安全管理得以實(shí)施、推廣的基礎(chǔ)。在單位的內(nèi)部結(jié)構(gòu)上必須建立一整套從單位最高管理層 （董事會(huì)）到執(zhí)行管理層以及業(yè)務(wù)運(yùn)營層的管理結(jié)構(gòu)來約束和保證各項(xiàng)安全管理措施的執(zhí)行。 其主要工作內(nèi)容包括對機(jī)構(gòu)內(nèi)重要的信息安全工作進(jìn)行授權(quán)和審批、內(nèi)部相關(guān)業(yè)務(wù)部門和安全管理部門之間的溝通協(xié)調(diào)以及與機(jī)構(gòu)外部各類單位的合作、定期對系統(tǒng)的安全措施落實(shí)情況進(jìn)行檢查，以發(fā)現(xiàn)問題進(jìn)行改進(jìn)。安全管理機(jī)構(gòu)主要包括：崗位設(shè)置、人員配備、授權(quán)和審批、溝通和合作以及審核和安全管理機(jī)構(gòu)主要包括：檢查等五個(gè)控制點(diǎn)。 其中，前兩個(gè)控制點(diǎn)主要是從而后三個(gè)則是具體介紹機(jī)構(gòu)的主要職責(zé)和工作。檢查等五個(gè)控制點(diǎn)。 其中，前兩個(gè)控制點(diǎn)主要是從而后三個(gè)則是具體介紹機(jī)構(gòu)的主要職責(zé)和工作。不同等級的基本要求在安全管理機(jī)構(gòu)方面所體現(xiàn)的不同如“硬件配備” 方面對管理機(jī)構(gòu)進(jìn)行了要求，3.1節(jié)和 3.2節(jié)所描述的一樣，在三個(gè)方面都有所體現(xiàn)。一級安全管理機(jī)構(gòu)要求：主要要求對開展信息安全工作的基本工作崗位進(jìn)行配備，對機(jī)一級安全管理機(jī)構(gòu)要求：主要要求對開展信息安全工作的基本工作崗位進(jìn)行配備，對機(jī)構(gòu)重要的安全活動(dòng)進(jìn)行審批，加強(qiáng)對外的溝通和合作。二級安全管理機(jī)構(gòu)要求：在控制點(diǎn)上增加了審核和檢查 ，同時(shí)，在一級基礎(chǔ)上，明確二級安全管理機(jī)構(gòu)要求：在控制點(diǎn)上增加了審核和檢查 ，同時(shí)，在一級基礎(chǔ)上，明確要求設(shè)立安全主管等重要崗位； 人員配備方面提出安全管理員不可兼任其它崗位原則； 溝通與合作的范圍增加與機(jī)構(gòu)內(nèi)部及與其他部門的合作和溝通。三級安全管理機(jī)構(gòu)要求 ：對于崗位設(shè)置， 不僅要求設(shè)置信息安全的職能部門， 而且機(jī)構(gòu)上層應(yīng)有一定的領(lǐng)導(dǎo)小組全面負(fù)責(zé)機(jī)構(gòu)的信息安全全局工作。 授權(quán)審批方面加強(qiáng)了授權(quán)流程控制以及階段性審查。溝通與合作方面加強(qiáng)了與外部組織的溝通和合作，并聘用安全顧問。同時(shí)對審核和檢查工作進(jìn)一步規(guī)范。四級安全管理機(jī)構(gòu)要求 ：同三級要求。下表表明了安全管理機(jī)構(gòu)在控制點(diǎn)上逐級變化的特點(diǎn)：表52安全管理機(jī)構(gòu)控制點(diǎn)的逐級變化控制點(diǎn)一級二級三級四級崗位設(shè)置****人員配備****授權(quán)和審批****溝通和合作****審核和檢查***合計(jì)4555另外兩個(gè)特點(diǎn)（要求項(xiàng)增加和要求項(xiàng)強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時(shí)具體展開。崗位設(shè)置

需要一定的人員進(jìn)行機(jī)構(gòu)信息安全不同方面的工作，如，系統(tǒng)管理員負(fù)責(zé)系統(tǒng)的安全配置、帳戶管理、系統(tǒng)升級等方面；而網(wǎng)絡(luò)管理員則側(cè)重于對整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)的安全、網(wǎng)絡(luò)設(shè)備（包括安全設(shè)備）的正確配置等工作。因此，應(yīng)對各種崗位的職責(zé)進(jìn)行明確的定義。光有崗位的設(shè)置，并不能完全對機(jī)構(gòu)信息安全工作進(jìn)行有組織的、有目的的管理，若設(shè)置專門安全管理部門，則會(huì)根據(jù)機(jī)構(gòu)整體安全狀況，具體將工作落實(shí)。職能部門的主要工作職責(zé)是負(fù)責(zé)具體工作的落實(shí)，而上層信息安全戰(zhàn)略或方針的確定，則需機(jī)構(gòu)領(lǐng)導(dǎo)層全面把握需要一定的人員進(jìn)行機(jī)構(gòu)信息安全不同方面的工作，如，系統(tǒng)管理員負(fù)責(zé)系統(tǒng)的安全配置、帳戶管理、系統(tǒng)升級等方面；而網(wǎng)絡(luò)管理員則側(cè)重于對整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)的安全、網(wǎng)絡(luò)設(shè)備（包括安全設(shè)備）的正確配置等工作。因此，應(yīng)對各種崗位的職責(zé)進(jìn)行明確的定義。光有崗位的設(shè)置，并不能完全對機(jī)構(gòu)信息安全工作進(jìn)行有組織的、有目的的管理，若設(shè)置專門安全管理部門，則會(huì)根據(jù)機(jī)構(gòu)整體安全狀況，具體將工作落實(shí)。職能部門的主要工作職責(zé)是負(fù)責(zé)具體工作的落實(shí)，而上層信息安全戰(zhàn)略或方針的確定，則需機(jī)構(gòu)領(lǐng)導(dǎo)層全面把握和決策。因此，需設(shè)立信息安全領(lǐng)導(dǎo)小組來負(fù)責(zé)信息安全工作的總體走向和未來發(fā)展。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求設(shè)置基本的工作崗位。二級：在一級要求的基礎(chǔ)上，增加了安全主管，安全管理各個(gè)方面的負(fù)責(zé)人等崗位要求。二級：在一級要求的基礎(chǔ)上，增加了安全主管，安全管理各個(gè)方面的負(fù)責(zé)人等崗位要求。三級：除二級要求外，提出設(shè)置信息安全的職能部門和上層領(lǐng)導(dǎo)小組的要求。四級：與三級要求相同。具體見下 表53：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)口b)a)*口d)a)口d)合計(jì)124+4三級中 a）增加了設(shè)置信息安全的職能部門的要求，所以是增強(qiáng)要求。人員配備各種信息安全工作需要具體的人員來負(fù)責(zé)， 因此， 必須設(shè)置相應(yīng)的工作崗位， 并明確各自的工作職責(zé)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求配備一定數(shù)量的基本崗位工作人員。二級：在一級要求的基礎(chǔ)上，提出安全管理員不可兼任其它崗位的原則。三級：除二級要求外，明確提出設(shè)專職安全員，并且加強(qiáng)了對關(guān)鍵事務(wù)的管理要求四級：同三級要求。具體見下 表54：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)口b)a)口c)a)口c)合計(jì)12335. 授權(quán)和審批機(jī)構(gòu)必須對信息系統(tǒng)安全相關(guān)的關(guān)鍵活動(dòng)進(jìn)行控制， 保證關(guān)鍵活動(dòng)的進(jìn)行在機(jī)構(gòu)的掌握之中。由于關(guān)鍵活動(dòng)（如對系統(tǒng)重要資源的訪問）對整個(gè)系統(tǒng)的安全性有很大影響，因此，必須通過授權(quán)和審批的形式，允許或拒絕關(guān)鍵活動(dòng)的發(fā)生。該控制點(diǎn)在不同級別主要表現(xiàn)為：

一級：要求明確授權(quán)和審批職責(zé)對關(guān)鍵活動(dòng)進(jìn)行審批。二級：在一級要求的基礎(chǔ)上，增加了對審批形式的要求。三級：除二級要求外，增強(qiáng)了審批制度、程序、審查、記錄等方面的要求。四級：與三級要求相同。要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Db)a)*Dd)a)Dd)合計(jì)124+4表55：具體見下三級中a）項(xiàng)增加了應(yīng)該明確授權(quán)審批事項(xiàng)。溝通和合作因此，信息安全由于信息安全工作與機(jī)構(gòu)內(nèi)其他業(yè)務(wù)部門都有直接或間接的工作聯(lián)系，因此，信息安全管理部門可以說是部門間工作的“紐帶”，必須加強(qiáng)部門間的信息溝通和工作協(xié)調(diào)。同時(shí)，為了獲取信息安全的最新發(fā)展動(dòng)態(tài)，保證在發(fā)生安全事故時(shí)能盡快采取適當(dāng)措施和得到支持和幫助，管理職能部門還應(yīng)當(dāng)和執(zhí)法機(jī)關(guān)、管理機(jī)構(gòu)、兄弟單位以及電信運(yùn)營部門保持適當(dāng)管理部門可以說是部門間工作的“紐帶”，必須加強(qiáng)部門間的信息溝通和工作協(xié)調(diào)。同時(shí)，為了獲取信息安全的最新發(fā)展動(dòng)態(tài)，保證在發(fā)生安全事故時(shí)能盡快采取適當(dāng)措施和得到支持和幫助，管理職能部門還應(yīng)當(dāng)和執(zhí)法機(jī)關(guān)、管理機(jī)構(gòu)、兄弟單位以及電信運(yùn)營部門保持適當(dāng)?shù)穆?lián)系，加強(qiáng)與信息服務(wù)提供機(jī)構(gòu)、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要要求加強(qiáng)對外的溝通和合作。二級：在一級要求的基礎(chǔ)上，增加了與機(jī)構(gòu)內(nèi)部及與其他部門的溝通和合作要求。三級：在二級要求的基礎(chǔ)上，擴(kuò)大了與外界組織溝通的范圍。四級：與三級要求相同。要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Db)a)*De)a)De)合計(jì)125+5表56：具體見下a）增加了要定期或不定期召開協(xié)調(diào)會(huì)議的要求。三級中，審核和檢查為保證信息安全方針、制度能夠正確貫徹執(zhí)行，及時(shí)發(fā)現(xiàn)現(xiàn)有安全措施的漏洞和脆弱性，為保證信息安全方針、制度能夠正確貫徹執(zhí)行，及時(shí)發(fā)現(xiàn)現(xiàn)有安全措施的漏洞和脆弱性，管理職能部門應(yīng)定期組織相關(guān)部門人員按照安全審核和檢查程序進(jìn)行安全核查。檢查的主要管理職能部門應(yīng)定期組織相關(guān)部門人員按照安全審核和檢查程序進(jìn)行安全核查。檢查的主要內(nèi)容涉及：現(xiàn)有安全措施的有效性、安全配置與安全策略的一致性以及安全管理制度的落實(shí)內(nèi)容涉及：現(xiàn)有安全措施的有效性、安全配置與安全策略的一致性以及安全管理制度的落實(shí)情況等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：提出了定期進(jìn)行安全檢查和檢查的基本內(nèi)容要求。三級：在二級要求的基礎(chǔ)上，增強(qiáng)了對檢查內(nèi)容的要求，增加了對檢查制度、負(fù)責(zé)人、

檢查流程、檢查結(jié)果處理等的要求。四級：與三級要求相同。具體見下表57：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)a)Dd)a)Dd)合計(jì)01444.2.3人員安全管理人，是信息安全中最關(guān)鍵的因素，同時(shí)也是信息安全中最薄弱的環(huán)節(jié)。很多重要的信息系統(tǒng)安全問題都涉及到用戶、設(shè)計(jì)人員、實(shí)施人員以及管理人員。如果這些與人員有關(guān)的安人，是信息安全中最關(guān)鍵的因素，同時(shí)也是信息安全中最薄弱的環(huán)節(jié)。很多重要的信息系統(tǒng)安全問題都涉及到用戶、設(shè)計(jì)人員、實(shí)施人員以及管理人員。如果這些與人員有關(guān)的安全問題沒有得到很好的解決， 任何一個(gè)信息系統(tǒng)都不可能達(dá)到真正的安全。 只有對人員進(jìn)行了正確完善的管理， 才有可能降低人為錯(cuò)誤、 盜竊、詐騙和誤用設(shè)備的風(fēng)險(xiǎn)，從而減小了信息系統(tǒng)遭受人員錯(cuò)誤造成損失的概率。對人員安全的管理，主要涉及兩方面： 對內(nèi)部人員的安全管理和對外部人員的安全管理。具體包括： 人員錄用、人員離崗、人員考核、安全意識教育和培訓(xùn)和外部人員訪問管理 等五個(gè)控制點(diǎn)。不同等級的基本要求在人員安全管理方面所體現(xiàn)的不同如 3.1節(jié)和3.2節(jié)所描述的一樣，在三個(gè)方面都有所體現(xiàn)。一級人員安全管理要求：對人員在機(jī)構(gòu)的工作周期（即，錄用、日常培訓(xùn)、離崗）的活一級人員安全管理要求動(dòng)提出基本的管理要求。同時(shí)，對外部人員訪問要求得到授權(quán)和審批。二級人員安全管理要求 ：在控制點(diǎn)上增加了 人員考核 ，對人員的錄用和離崗要求進(jìn)一步增強(qiáng)， 過程性要求增加， 安全教育培訓(xùn)更正規(guī)化，三級人員安全管理要求 ：在二級要求的基礎(chǔ)上，步增強(qiáng)， 過程性要求增加， 安全教育培訓(xùn)更正規(guī)化，三級人員安全管理要求 ：在二級要求的基礎(chǔ)上，考核要求，對人員的培訓(xùn)教育更具有針對性，外部人員訪問要求更具體。四級人員安全管理要求 ：在三級要求的基礎(chǔ)上，對外部人員的訪問活動(dòng)約束其訪問行為。增強(qiáng)了對關(guān)鍵崗位人員的錄用、 離崗和提出了保密要求和關(guān)鍵區(qū)域禁止外部人員訪問的要求。下表表明了人員安全管理在控制點(diǎn)上逐級變化的特點(diǎn)：表58人員安全管理控制點(diǎn)的逐級變化控制點(diǎn)一級二級三級四級人員錄用****人員離崗****人員考核***安全意識教育和培訓(xùn)****外部人員訪問管理****

合計(jì)4555另外兩個(gè)特點(diǎn)（要求項(xiàng)增加和要求項(xiàng)強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時(shí)具體展開。人員錄用對人員的安全管理， 首先在人員錄用時(shí)便應(yīng)進(jìn)行條件符合性篩選。 錄用時(shí)應(yīng)考慮的方面包括：人員技術(shù)水平、身份背景、專業(yè)資格等方面。通過對這幾方面的審查， 判斷錄用與否。對于從事重要區(qū)域或部位的安全管理人員的聘用要求則應(yīng)更高， 一般應(yīng)從內(nèi)部人員中選用那些實(shí)踐證明精干、忠實(shí)、可靠、認(rèn)真負(fù)責(zé)、保守秘密的人員。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求負(fù)責(zé)部門或人員對錄用人員身份、專業(yè)等進(jìn)行基本的審查。二級：在一級要求的基礎(chǔ)上， 增加了對錄用人員技能的考核， 并與關(guān)鍵崗位人員簽署保密協(xié)議的形式約束其職責(zé)。三級：在二級要求的基礎(chǔ)上， 增加了對從事關(guān)鍵崗位人員更加嚴(yán)格的錄用要求， 并與全部員工簽署保密協(xié)議。四級：與三級要求相同。具體見下 表59：要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)b)*Dc)a)b)*Dd)a)Dd)合計(jì)23+4+4其中，二級中 b）增加了審查內(nèi)容并要求考核；三級中 b）更加規(guī)范了錄用過程。人員離崗由于人員在離開本崗位或本機(jī)構(gòu)前， 具有一定的訪問權(quán)限， 并知曉其中部分信息， 因此對人員離崗的管理要求，同樣非常重要。在離崗時(shí)，主要從硬件歸還（設(shè)備、設(shè)施）和權(quán)限撤銷兩方面考慮要求。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求對離崗人員進(jìn)行設(shè)備歸還和權(quán)限中止。二級：在一級要求的基礎(chǔ)上，增加了規(guī)范離崗過程的要求。三級：與二級要求的基礎(chǔ)上，增加了關(guān)鍵崗位人員離崗的要求。四級：在三級要求的基礎(chǔ)上，增加了制度化規(guī)范的要求。具體見下 表60：鍵崗位人員離崗的要求；四級中，a）鍵崗位人員離崗的要求；四級中，a）增加了制定管理制度的要求。要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)*Dc)a)*Dc)*a)*Dc)合計(jì)23+3+3+其中，二級 a）增加了規(guī)范離崗過程的要求；三級中 a）嚴(yán)格規(guī)范離崗過程， c）增加了關(guān)人員考核同時(shí)對人員的考核，主要是為了保持各個(gè)崗位人員能時(shí)時(shí)滿足該崗位的技術(shù)能力需求，同時(shí)也是機(jī)構(gòu)對所有人員技能的階段性全面了解。 其中，重點(diǎn)關(guān)注對關(guān)鍵崗位人員的審查和考核。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：要求對人員定期進(jìn)行技能考核。三級：在二級要求的基礎(chǔ)上，增加考核結(jié)果處理和對關(guān)鍵崗位的考核要求。四級：在三級要求的基礎(chǔ)上，增加保密制度和保密檢查要求。具體見下表61：要求項(xiàng)一級二級三級四級項(xiàng)目N/Aa)a)Dc)a)Dd)合計(jì)01344.安全意識教育和培訓(xùn)保證信息系統(tǒng)的安全， 要注重對安全管理人員的培養(yǎng)， 提高其安全防范意識， 最終做到安全有效的防范。 而當(dāng)前絕大多數(shù)漏洞存在的原因在于管理員對系統(tǒng)進(jìn)行了錯(cuò)誤的配置， 或者沒有及時(shí)升級系統(tǒng)軟件。 為確保員工在日常工作過程中， 能時(shí)刻意識到信息安全的威脅和利害關(guān)系，并支持機(jī)構(gòu)的信息安全方針，應(yīng)根據(jù)安全教育和培訓(xùn)計(jì)劃對所有員工進(jìn)行培訓(xùn)，使其認(rèn)識到自身的責(zé)任， 提高自身技能。 培訓(xùn)的內(nèi)容包括單位的信息安全方針、 信息安全方面的基礎(chǔ)知識、安全技術(shù)、安全標(biāo)準(zhǔn)、崗位操作規(guī)程、最新的工作流程、相關(guān)的安全責(zé)任要求、法律責(zé)任和懲戒措施等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：對人員進(jìn)行基本的安全意識和責(zé)任教育。二級：除一級要求外，增強(qiáng)了對安全教育培訓(xùn)的正規(guī)化管理。三級：在二級要求的基礎(chǔ)上，側(cè)重于不同崗位的安全教育培訓(xùn)和制度化要求。四級：與三級要求相同。具體見下表62：要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)*b)*Dc)a)b)*c)*Dd)a)Dd)合計(jì)23+4+4其中，二級a）增加了培訓(xùn)內(nèi)容要求， b）增加了懲戒要求；三級中， b）增加了安全責(zé)任和懲戒的制度化要求， c）增加了培訓(xùn)的制度化要求和對不同崗位制定不同的培訓(xùn)計(jì)劃要求。5.外部人員訪問管理外部人員包括： 向機(jī)構(gòu)提供服務(wù)的服務(wù)人員， 如軟硬件維護(hù)和支持人員、 貿(mào)易伙伴或合資伙伴、清潔人員、送餐人員、保安和其他的外包支持人員等。若安全管理不到位，外部人

員的訪問將給信息系統(tǒng)帶來風(fēng)險(xiǎn)。因此，在業(yè)務(wù)上有與外部人員接觸的需要時(shí)，應(yīng)當(dāng)對其適員的訪問將給信息系統(tǒng)帶來風(fēng)險(xiǎn)。因此，在業(yè)務(wù)上有與外部人員接觸的需要時(shí)，應(yīng)當(dāng)對其適當(dāng)?shù)倪M(jìn)行臨時(shí)管理，對于信息系統(tǒng)的核心部分應(yīng)不允許外部人員的訪問，以確保其安全性。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：對外部人員訪問要得到授權(quán)和審批。二級：除一級要求外，增加了對外部人員的訪問的監(jiān)督、備案等過程管理要求。更加嚴(yán)格外部人員訪三級：在二級要求的基礎(chǔ)上，增加了訪問書面申請，訪問制度等，問管理。更加嚴(yán)格外部人員訪四級：除三級要求外，要求外部人員禁止訪問關(guān)鍵區(qū)域。要求項(xiàng)一級二級三級四級項(xiàng)目a)a)*a)*Db)a)Dc)合計(jì)11+2+3表63：具體見下a）增加了對外部人員的訪問的監(jiān)督、備案等過程管理要求。三級中，其中，二級中，a）增加了訪問書面申請，增加了訪問書面申請。4.2.4系統(tǒng)建設(shè)管理信息系統(tǒng)的安全管理貫穿系統(tǒng)的整個(gè)生命周期，系統(tǒng)建設(shè)管理主要關(guān)注的是生命周期中信息系統(tǒng)的安全管理貫穿系統(tǒng)的整個(gè)生命周期，系統(tǒng)建設(shè)管理主要關(guān)注的是生命周期中的前三個(gè)階段（即，初始、采購、實(shí)施）中各項(xiàng)安全管理活動(dòng)。系統(tǒng)建設(shè)管理分別從工程實(shí)施建設(shè)前、建設(shè)過程以及建設(shè)完畢交付等三方面考慮，具體包括： 系統(tǒng)定級、安全方案設(shè)計(jì)、產(chǎn)品采購和使用、自行軟件開發(fā)、外包軟件開發(fā)、工程實(shí)施、測試驗(yàn)收、系統(tǒng)交付、系統(tǒng)備案、等級測評和安全服務(wù)商選擇等十一個(gè)控制點(diǎn)。不同等級的基本要求在系統(tǒng)建設(shè)管理方面所體現(xiàn)的不同如3.1節(jié)和 3.2節(jié)所描述的一樣，在三個(gè)方面都有所體現(xiàn)。一級系統(tǒng)建設(shè)管理要求：對系統(tǒng)建設(shè)整體過程所涉及的各項(xiàng)活動(dòng)進(jìn)行基本的規(guī)范，如，先定級，方案準(zhǔn)備、安全產(chǎn)品按要求采購，軟件開發(fā)（自行、外包）的基本安全，實(shí)施的基本管理，建設(shè)后的安全性驗(yàn)收、交付等都進(jìn)行要求。二級系統(tǒng)建設(shè)管理要求：增加了某些活動(dòng)的文檔化要求，如軟件開發(fā)管理制度，工程實(shí)施應(yīng)有實(shí)施方案要求等。系統(tǒng)建設(shè)管理分別從工程實(shí)施建設(shè)前、建設(shè)過程以及建設(shè)完畢交付等三方面考慮，具體包括： 系統(tǒng)定級、安全方案設(shè)計(jì)、產(chǎn)品采購和使用、自行軟件開發(fā)、外包軟件開發(fā)、工程實(shí)施、測試驗(yàn)收、系統(tǒng)交付、系統(tǒng)備案、等級測評和安全服務(wù)商選擇等十一個(gè)控制點(diǎn)。不同等級的基本要求在系統(tǒng)建設(shè)管理方面所體現(xiàn)的不同如3.1節(jié)和 3.2節(jié)所描述的一樣，在三個(gè)方面都有所體現(xiàn)。一級系統(tǒng)建設(shè)管理要求：對系統(tǒng)建設(shè)整體過程所涉及的各項(xiàng)活動(dòng)進(jìn)行基本的規(guī)范，如，先定級，方案準(zhǔn)備、安全產(chǎn)品按要求采購，軟件開發(fā)（自行、外包）的基本安全，實(shí)施的基本管理，建設(shè)后的安全性驗(yàn)收、交付等都進(jìn)行要求。二級系統(tǒng)建設(shè)管理要求：增加了某些活動(dòng)的文檔化要求，如軟件開發(fā)管理制度，工程實(shí)施應(yīng)有實(shí)施方案要求等。同時(shí)， 對安全方案、驗(yàn)收報(bào)告等增加了審定要求，產(chǎn)品的采購增加了密碼產(chǎn)品的采購要求等。三級系統(tǒng)建設(shè)管理要求：在控制點(diǎn)上增加了系統(tǒng)備案和安全測評，同時(shí)對建設(shè)過程的三級系統(tǒng)建設(shè)管理要求：在控制點(diǎn)上增加了系統(tǒng)備案和安全測評，同時(shí)對建設(shè)過程的各項(xiàng)活動(dòng)都要求進(jìn)行制度化規(guī)范，按照制度要求進(jìn)行活動(dòng)的開展。對建設(shè)前的安全方案設(shè)計(jì)各項(xiàng)活動(dòng)都要求進(jìn)行制度化規(guī)范，按照制度要求進(jìn)行活動(dòng)的開展。對建設(shè)前的安全方案設(shè)計(jì)提出體系化要求，并加強(qiáng)了對其的論證工作。四級系統(tǒng)建設(shè)管理要求：主要對軟件開發(fā)活動(dòng)進(jìn)一步加強(qiáng)了要求，以保證軟件開發(fā)的安四級系統(tǒng)建設(shè)管理要求：主要對軟件開發(fā)活動(dòng)進(jìn)一步加強(qiáng)了要求，以保證軟件開發(fā)的安全性。對工程實(shí)施過程提出了監(jiān)理要求。下表表明了系統(tǒng)建設(shè)管理在控制點(diǎn)上逐級變化的特點(diǎn)：表64系統(tǒng)建設(shè)管理控制點(diǎn)的逐級變化控制點(diǎn)一級二級三級四級系統(tǒng)定級****安全方案設(shè)計(jì)****產(chǎn)品采購和使用****自行軟件開發(fā)****外包軟件開發(fā)****工程實(shí)施****測試驗(yàn)收****系統(tǒng)交付****系統(tǒng)備案**等級測評**安全服務(wù)商選擇****合計(jì)991111另外兩個(gè)特點(diǎn)（要求項(xiàng)增加和要求項(xiàng)強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時(shí)具體展開。1.系統(tǒng)定級確定信息系統(tǒng)的安全保護(hù)等級， 是建設(shè)符合安全等級保護(hù)要求的信息系統(tǒng)、 實(shí)施信息安全等級保護(hù)的基礎(chǔ)。機(jī)構(gòu)應(yīng)根據(jù)系統(tǒng)實(shí)際情況，確定系統(tǒng)的安全保護(hù)等級。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求確定系統(tǒng)邊界和等級， 并得到相關(guān)部門的批準(zhǔn)， 并對定級過程做了文檔化要求。二級：與一級要求相同。三級：在二級要求的基礎(chǔ)上，增加對定級結(jié)果的論證。四級：與三級要求相同。具體見下 表65：要求項(xiàng)一級二級三級四級項(xiàng)目a)Dc)a)Dc)a)Dd)a)Dd)合計(jì)33442.安全方案設(shè)計(jì)一套完整的安全設(shè)計(jì)方案是整個(gè)系統(tǒng)安全的有力保障，應(yīng)結(jié)合信息系統(tǒng)實(shí)際的運(yùn)行狀況，指定和授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃， 制定近期和遠(yuǎn)期的安全建設(shè)工作計(jì)劃，從人力、物力、財(cái)力各方面做好部署與配置。安全設(shè)計(jì)方案的內(nèi)容可能包括：系統(tǒng)的安全隱患與對策分析、 系統(tǒng)的體系結(jié)構(gòu)及拓?fù)湓O(shè)計(jì)、 系統(tǒng)的業(yè)務(wù)流程實(shí)現(xiàn)過程、 系統(tǒng)的安全體系與其他平臺(tái)的關(guān)系、系統(tǒng)在物理、網(wǎng)絡(luò)、主機(jī)系統(tǒng)、應(yīng)用、數(shù)據(jù)以及管理層面的不同設(shè)計(jì)要求、設(shè)計(jì)目標(biāo)、性能要求、接口要求、資源如何分配等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求形成書面的安全方案和詳細(xì)設(shè)計(jì)方案。二級：在一級要求的基礎(chǔ)上，增加了對設(shè)計(jì)方案的論證和批準(zhǔn)。三級：在二級要求的基礎(chǔ)上，提出了系統(tǒng)建設(shè)的總體規(guī)劃，安全保障體系， 并加強(qiáng)了體系的論證和修訂。四級：與三級要求相同。具體見下表66：要求項(xiàng)一級二級三級四級項(xiàng)目a)Dc)a)Dd)a)Dd)*e)a)De)合計(jì)345+5其中，三級 d）增加了安全保障體系的配套文件要求；3.產(chǎn)品采購一旦系統(tǒng)的詳細(xì)方案設(shè)計(jì)確定下來， 就要選擇合適的產(chǎn)品并按照詳細(xì)設(shè)計(jì)方案來進(jìn)行技術(shù)實(shí)現(xiàn)， 保證系統(tǒng)安全設(shè)計(jì)的方案在系統(tǒng)中得到有效實(shí)施， 并保證產(chǎn)品得到正確的配置和使用。產(chǎn)品采購需按照機(jī)構(gòu)一定的采購流程或要求進(jìn)行， 確保產(chǎn)品在符合國家有關(guān)規(guī)定的前提下，滿足系統(tǒng)的需要。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求產(chǎn)品使用符合國家規(guī)定。二級：在一級要求的基礎(chǔ)上，增加了對密碼產(chǎn)品采購和使用的要求。三級：在二級要求的基礎(chǔ)上，提出了將產(chǎn)品的選型測試等采購要求。四級：在三級要求的基礎(chǔ)上，提出了對重要產(chǎn)品專項(xiàng)測試的要求。具體見下表67：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Dc)a)Dd)a)De)合計(jì)13454. 自行軟件開發(fā)軟件開發(fā)包括兩種情況： 機(jī)構(gòu)自行開發(fā)和外包第三方開發(fā)。 二者在安全方面既有相似點(diǎn)，又有不同點(diǎn)。 相似點(diǎn)是都關(guān)注對軟件開發(fā)過程中所產(chǎn)生的文檔的管理； 不同點(diǎn)是前者更關(guān)注開發(fā)過程的安全性， 而后者對開發(fā)過程的安全性要求則以協(xié)議的方式與第三方確定， 故主要關(guān)注開發(fā)后的技術(shù)支持工作。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要對開發(fā)環(huán)境做出了要求。二級：在一級要求的基礎(chǔ)上，增加了對軟件開發(fā)制度化的要求。三級：在二級要求的基礎(chǔ)上，加強(qiáng)了軟件開發(fā)的制度化和過程的管理。四級：在三級要求的基礎(chǔ)上，進(jìn)一步加強(qiáng)了開發(fā)人員的要求。具體見下表68：要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)Dc)*a)*De)a)Df)合計(jì)23+5+6其中，二級c）增加了軟件設(shè)計(jì)文檔要求，三級 a）增加了開發(fā)過程人員控制要求。5.外包軟件開發(fā)該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要對軟件質(zhì)量和設(shè)計(jì)文檔進(jìn)行了要求。二級：在一級要求的基礎(chǔ)上，增加了對軟件開發(fā)后的審查等要求。三級：同二級要求。四級：在三級要求的基礎(chǔ)上，增加了對軟件隱蔽信道的檢測要求。具體見下表69：要求項(xiàng)一級二級三級四級項(xiàng)目a)Dc)a)Dd)a)Dd)a)Dd)*合計(jì)3444+6.工程實(shí)施安全設(shè)計(jì)方案、產(chǎn)品采購、軟件的開發(fā)都是系統(tǒng)工程建設(shè)的前提準(zhǔn)備條件。 在此基礎(chǔ)上，系統(tǒng)建設(shè)進(jìn)入了工程實(shí)施階段。 要約束實(shí)施方的行為， 必須制定實(shí)施方案。 為了雙方合作順利，也為了監(jiān)督、督促工程實(shí)施單位的工作， 委托建設(shè)方最好指定或授權(quán)專門的人員或部門負(fù)責(zé)工程實(shí)施過程的管理與協(xié)調(diào)， 要求根據(jù)實(shí)施方案進(jìn)行實(shí)施。 必要時(shí)可以請工程監(jiān)理控制項(xiàng)目的實(shí)施過程。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要對工程實(shí)施負(fù)責(zé)部門或人員對實(shí)施進(jìn)行基本的管理。二級：在一級要求的基礎(chǔ)上，增加了制定實(shí)施方案進(jìn)行實(shí)施的要求。三級：在二級要求的基礎(chǔ)上，增加了對工程實(shí)施制度化管理的要求。四級：在三級要求的基礎(chǔ)上，增加了工程監(jiān)理的安全要求。具體見下表70：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Db)a)b)*Dc)a)Dd)合計(jì)123+4

其中，三級b）其中，三級b）增加了對工程實(shí)施單位的要求。測試驗(yàn)收為保證工程建設(shè)是按照既定方案和要求實(shí)施的， 在工程實(shí)施完成之后， 系統(tǒng)交付使用之前，委托建設(shè)方應(yīng)指定或授權(quán)專門的部門按照系統(tǒng)測試驗(yàn)收管理制度要求、 設(shè)計(jì)方案或合同要求進(jìn)行系統(tǒng)的安全測試驗(yàn)收。 如果委托建設(shè)方本身沒有能力自行測試驗(yàn)收， 也可以委托公正的第三方測試單位對系統(tǒng)進(jìn)行測試。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要對測試驗(yàn)收前、驗(yàn)收過程中以及驗(yàn)收后進(jìn)行基本的文檔要求。二級：在一級要求的基礎(chǔ)上，增加了對驗(yàn)收報(bào)告的審定等要求。三級：在二級要求的基礎(chǔ)上， 增加了對工程實(shí)施制度化管理的要求， 同時(shí)提出了第三方委托測試的要求。四級：與三級要求相同。具體見下表71：要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)Dc)a)*De)a)Df)合計(jì)235+6其中，三級a）增加了第三方委托測試的要求。系統(tǒng)交付系統(tǒng)在完成工程建設(shè)和測試驗(yàn)收后，就進(jìn)入交付階段。 交付階段，系統(tǒng)委托建設(shè)方和承系統(tǒng)在完成工程建設(shè)和測試驗(yàn)收后，就進(jìn)入交付階段。 交付階段，系統(tǒng)委托建設(shè)方和承保證交付工作能夠按照由于系統(tǒng)的許多安裝、 配置、保證交付工作能夠按照由于系統(tǒng)的許多安裝、 配置、，保證委既定的要求順利完成。 系統(tǒng)交付工作不僅僅是簡單的交接工作，開發(fā)等都是由建設(shè)方來負(fù)責(zé)的，而委托方在此方面較為生疏，而它卻是系統(tǒng)的主要使用者，因此，在交付后，建設(shè)方需承擔(dān)一段時(shí)間的技術(shù)支持工作（如培訓(xùn)、維護(hù)等服務(wù)）托方能夠熟練、順利的對系統(tǒng)進(jìn)行日后的運(yùn)行維護(hù)。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要對系統(tǒng)交付過程、文檔及培訓(xùn)進(jìn)行基本的要求。二級：同一級要求。三級：在二級要求的基礎(chǔ)上，增加了對交付工作制度化管理的要求。四級：與三級要求相同。具體見下表72：要求項(xiàng)一級二級三級四級項(xiàng)目a)Dc)a)Dd)a)*De)a)De)合計(jì)345+5三級a）增加了交付清單的詳細(xì)要求。系統(tǒng)備案根據(jù)我國信息系統(tǒng)等級保護(hù)相關(guān)管理規(guī)定（《信息安全等級保護(hù)管理辦法》），三級以上信息系統(tǒng)應(yīng)在系統(tǒng)投入運(yùn)行之日起三十日內(nèi)，到相應(yīng)的受理機(jī)構(gòu)辦理備案手續(xù)。由于這一要求是根據(jù)相關(guān)規(guī)定而出，對于三、四級信息系統(tǒng)而言沒有級別差異。因此，在此不再列出此根據(jù)我國信息系統(tǒng)等級保護(hù)相關(guān)管理規(guī)定（《信息安全等級保護(hù)管理辦法》），三級以上信息系統(tǒng)應(yīng)在系統(tǒng)投入運(yùn)行之日起三十日內(nèi)，到相應(yīng)的受理機(jī)構(gòu)辦理備案手續(xù)。由于這一要求是根據(jù)相關(guān)規(guī)定而出，對于三、四級信息系統(tǒng)而言沒有級別差異。因此，在此不再列出此控制點(diǎn)的級別差異。等級測評對信息系統(tǒng)進(jìn)行等級測評，主要分為兩種情況：?系統(tǒng)發(fā)生重大變更時(shí)?系統(tǒng)運(yùn)行過程中在投入運(yùn)行前，機(jī)構(gòu)必須委托有資質(zhì)的測評機(jī)構(gòu)進(jìn)行等級測評，測評后符合要求的才能投入使用或繼續(xù)運(yùn)行，不符合要求的必須及時(shí)整改。當(dāng)系統(tǒng)發(fā)生重大變更時(shí)，有可能使系統(tǒng)在投入運(yùn)行前，機(jī)構(gòu)必須委托有資質(zhì)的測評機(jī)構(gòu)進(jìn)行等級測評，測評后符合要求的才能投入使用或繼續(xù)運(yùn)行，不符合要求的必須及時(shí)整改。當(dāng)系統(tǒng)發(fā)生重大變更時(shí)，有可能使系統(tǒng)的整體安全狀態(tài)發(fā)生變化，因此，有必要對系統(tǒng)進(jìn)行等級測評。即使沒有發(fā)生重大變更，系統(tǒng)處于正常的運(yùn)行過程，也需要對系統(tǒng)進(jìn)行等級測評，從而發(fā)現(xiàn)一些潛在的安全隱患，及時(shí)統(tǒng)處于正常的運(yùn)行過程，也需要對系統(tǒng)進(jìn)行等級測評，從而發(fā)現(xiàn)一些潛在的安全隱患，及時(shí)進(jìn)行改正。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：無此要求。二級：無此要求。三級：主要對測評時(shí)機(jī)、測評方資質(zhì)、測評后結(jié)果處理及測評工作的管理等提出要求。四級：與三級要求相同。要求項(xiàng)一級二級三級四級項(xiàng)目N/AN/Aa)Dd)a)Dd)合計(jì)0044表73：具體見下11.安全服務(wù)商選擇信息系統(tǒng)建設(shè)過程涉及到安全咨詢、規(guī)劃、設(shè)計(jì)、實(shí)施、監(jiān)理、培訓(xùn)、維護(hù)和響應(yīng)、檢測評估等各方面的安全服務(wù)，這些服務(wù)滲透到信息系統(tǒng)的方方面面，這就使得信息安全服務(wù)測評估等各方面的安全服務(wù)，這些服務(wù)滲透到信息系統(tǒng)的方方面面，這就使得信息安全服務(wù)提供商有機(jī)會(huì)在使用者毫不知情的情況下，在服務(wù)或技術(shù)產(chǎn)品中隱埋下各種各樣的不安全因提供商有機(jī)會(huì)在使用者毫不知情的情況下，在服務(wù)或技術(shù)產(chǎn)品中隱埋下各種各樣的不安全因素。為了減少或者杜絕這些服務(wù)可能帶來的新的安全問題，應(yīng)使用可信的安全服務(wù)，因此，在選擇安全服務(wù)商的時(shí)候，應(yīng)選擇那些已獲得國家的相關(guān)規(guī)定，并簽訂相關(guān)的安全協(xié)議，在選擇安全服務(wù)商的時(shí)候，應(yīng)選擇那些已獲得國家的相關(guān)規(guī)定，并簽訂相關(guān)的安全協(xié)議，要時(shí)簽訂服務(wù)合同等。4.2.5系統(tǒng)運(yùn)維管理信息系統(tǒng)建設(shè)完成投入運(yùn)行之后，接下來就是如何維護(hù)和管理信息系統(tǒng)了。系統(tǒng)運(yùn)行涉信息系統(tǒng)建設(shè)完成投入運(yùn)行之后，接下來就是如何維護(hù)和管理信息系統(tǒng)了。系統(tǒng)運(yùn)行涉及到很多管理方面，例如對環(huán)境的管理、介質(zhì)的管理、資產(chǎn)的管理等。同時(shí)，還要監(jiān)控系統(tǒng)由于一些原因發(fā)生的重大變化，安全措施也要進(jìn)行相應(yīng)的修改，以維護(hù)系統(tǒng)始終處于相應(yīng)安由于一些原因發(fā)生的重大變化，安全措施也要進(jìn)行相應(yīng)的修改，以維護(hù)系統(tǒng)始終處于相應(yīng)安全保護(hù)等級的安全狀態(tài)中。系統(tǒng)運(yùn)維管理主要包括全保護(hù)等級的安全狀態(tài)中。系統(tǒng)運(yùn)維管理主要包括：環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、監(jiān)控管理和安全管理中心、網(wǎng)絡(luò)安全管理、系統(tǒng)安全管理、惡意代碼防范管理、密碼管理、變更管理、備份與恢復(fù)管理、安全事件處置、應(yīng)急預(yù)案管理不同等級的基本要求在系統(tǒng)運(yùn)維管理方面所體現(xiàn)的不同如備份與恢復(fù)管理、安全事件處置、應(yīng)急預(yù)案管理不同等級的基本要求在系統(tǒng)運(yùn)維管理方面所體現(xiàn)的不同如樣，在三個(gè)方面都有所體現(xiàn)。等十三個(gè)控制點(diǎn)。3.1節(jié)和3.2節(jié)所描述的一一級系統(tǒng)運(yùn)維管理要求：主要對機(jī)房運(yùn)行環(huán)境、資產(chǎn)的隸屬管理、介質(zhì)的保存、設(shè)備一級系統(tǒng)運(yùn)維管理要求：維護(hù)使用管理等方面提出基本管理要求，使得系統(tǒng)在這些方面的管理下能夠基本運(yùn)行正常。二級系統(tǒng)運(yùn)維管理要求： 在控制點(diǎn)上增加了密碼管理、變更管理、應(yīng)急預(yù)案管理 ，同時(shí)加強(qiáng)了其他各方面的要求， 主要表現(xiàn)在：對環(huán)境的關(guān)注擴(kuò)展到辦公環(huán)境的保密性管理； 同時(shí)提出資產(chǎn)標(biāo)識管理； 對介質(zhì)和設(shè)備的出入使用加強(qiáng)控制； 網(wǎng)絡(luò)和系統(tǒng)安全方面進(jìn)行制度化管理；對系統(tǒng)內(nèi)發(fā)生的安全事件進(jìn)行分類、分級等。三級系統(tǒng)運(yùn)維管理要求： 在控制點(diǎn)上增加了監(jiān)控管理和安全管理中心 ，對介質(zhì)、設(shè)備、密碼、變更、備份與恢復(fù)等都采用制度化管理，并更加注意過程管理的控制，其中對介質(zhì)的管理重點(diǎn)關(guān)注了介質(zhì)保密性和可用性管理； 安全事件根據(jù)等級分級響應(yīng)， 同時(shí)加強(qiáng)了對應(yīng)急預(yù)案的演練和審查等。四級系統(tǒng)運(yùn)維管理要求： 將機(jī)房環(huán)境管理和辦公環(huán)境管理提到同等重要的程度，二者統(tǒng)一管理； 對介質(zhì)的管理主要關(guān)注了對介質(zhì)銷毀時(shí)的保密管理； 應(yīng)急響應(yīng)重點(diǎn)關(guān)注了災(zāi)難恢復(fù)計(jì)劃的制定等。下表表明了系統(tǒng)運(yùn)維管理在控制點(diǎn)上逐級變化的特點(diǎn)：表74系統(tǒng)運(yùn)維管理控制點(diǎn)的逐級變化控制點(diǎn)一級二級三級四級環(huán)境管理****資產(chǎn)管理****介質(zhì)管理****設(shè)備管理****監(jiān)控管理和安全管理中心****網(wǎng)絡(luò)安全管理****系統(tǒng)安全管理****惡意代碼防范管理****密碼管理***變更管理***備份與恢復(fù)管理****安全事件處置****應(yīng)急預(yù)案管理***合計(jì)10131313另外兩個(gè)特點(diǎn)（要求項(xiàng)增加和要求項(xiàng)強(qiáng)度增強(qiáng)）將在以下控制點(diǎn)描述時(shí)具體展開。環(huán)境管理這里所說的環(huán)境包括計(jì)算機(jī)、網(wǎng)絡(luò)機(jī)房環(huán)境以及設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境。計(jì)算機(jī)、網(wǎng)絡(luò)機(jī)房是信息系統(tǒng)硬件資源的集中地， 機(jī)房管理主要以加強(qiáng)機(jī)房物理訪問控制和維護(hù)機(jī)房良好的運(yùn)行環(huán)境為主。 辦公環(huán)境管理主要以加強(qiáng)信息保密性為主， 防止人員無意或有意而導(dǎo)致敏感信息遭到非法訪問。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要對機(jī)房基礎(chǔ)設(shè)施維護(hù)以及機(jī)房管理制度進(jìn)行了要求。二級：在一級要求的基礎(chǔ)上， 增加了對辦公環(huán)境保密性要求， 同時(shí)加強(qiáng)對機(jī)房的出入管理。三級：在二級要求的基礎(chǔ)上，增加了部門負(fù)責(zé)制進(jìn)一步加強(qiáng)辦公環(huán)境保密性要求。四級：在三級要求的基礎(chǔ)上，增強(qiáng)對辦公環(huán)境的管理，要求與機(jī)房管理策略一致。具體見下 表75：要求項(xiàng)一級二級三級四級項(xiàng)目a)Dc)a)Dd)a)b)*Dd)*a)De)合計(jì)344+5其中三級，b）增加了部門負(fù)責(zé)制的要求， d）進(jìn)一步加強(qiáng)了人員離開辦公環(huán)境的保密性要求。資產(chǎn)管理資產(chǎn)主要包括信息系統(tǒng)的各種組成硬件設(shè)備，由于機(jī)構(gòu)中設(shè)備種類、數(shù)量較多，因此，有必要對其進(jìn)行專門管理。 根據(jù)資產(chǎn)清單所列出的設(shè)備， 可依據(jù)某種標(biāo)準(zhǔn)進(jìn)行分類， 以方便管理。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求對資產(chǎn)進(jìn)行總體清查，形成資產(chǎn)清單。二級：在一級要求的基礎(chǔ)上，將資產(chǎn)管理制度化，規(guī)范責(zé)任制和管理行為。三級：在二級要求的基礎(chǔ)上，增加了對資產(chǎn)的標(biāo)示和信息分類管理要求。四級：同三級要求。具體見下 表76：要求項(xiàng)一級二級三級四級項(xiàng)目a)a)Db)a)Dd)a)Dd)合計(jì)12443.介質(zhì)管理由于各類介質(zhì)中存放的數(shù)據(jù)對機(jī)構(gòu)來講都是非常重要的，因此對介質(zhì)的管理也至關(guān)重要。介質(zhì)管理主要關(guān)注介質(zhì)的安全存放、介質(zhì)的使用（包括借出、傳輸、銷毀）等。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：主要對介質(zhì)的存放環(huán)境和管理內(nèi)容等進(jìn)行了基本要求。二級：在一級要求的基礎(chǔ)上，增加了介質(zhì)的分類標(biāo)示管理和銷毀處理等要求。三級：在二級要求的基礎(chǔ)上，增強(qiáng)了介質(zhì)的制度化管理，對介質(zhì)使用、存儲(chǔ)、傳輸過程中的保密性和可用性進(jìn)行了規(guī)范要求。四級：在三級要求的基礎(chǔ)上，增強(qiáng)了對介質(zhì)銷毀的要求。具體見下表77：要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)*Dd)a)-c)*d)*Df)*a)-d)*Df)合計(jì)24+6+6+其中，二級a）增加了存儲(chǔ)環(huán)境專人管理的要求；三級 c）增加了對介質(zhì)的傳輸過程的控,f）增加了加密存儲(chǔ)要求；四級中制要求， d）增加了介質(zhì)使用過程的加密和保密及銷毀要求d）,f）增加了加密存儲(chǔ)要求；四級中4.設(shè)備管理系統(tǒng)的正常運(yùn)行依賴于各種網(wǎng)絡(luò)設(shè)備與服務(wù)器的正確使用和維護(hù)。 因此，對設(shè)備的采購、配置、使用、維修等都必須進(jìn)行管理。該控制點(diǎn)在不同級別主要表現(xiàn)為：一級：要求制定基本的設(shè)備安全管理制度，對設(shè)備使用過程進(jìn)行規(guī)范化管理。二級：在一級要求的基礎(chǔ)上， 增加了對帶離設(shè)備的控制， 同時(shí)加強(qiáng)了對各類設(shè)備規(guī)范化管理。三級：在二級要求的基礎(chǔ)上，增強(qiáng)了對配套設(shè)施、設(shè)備維護(hù)的制度化管理。四級：與三級要求相同。具體見下表78：要求項(xiàng)一級二級三級四級項(xiàng)目a)Db)a)*Dd)a)De)a)De)合計(jì)24+55其中，二級a）增加了相關(guān)的設(shè)備類型；5.監(jiān)控管理和安全管理中心

通過對各類設(shè)備運(yùn)行情況的監(jiān)控，及時(shí)發(fā)現(xiàn)存在的問題，從而能夠在安全事件發(fā)生前做通過對各類