5.3　擴展功能

5.3.1　物理安全管理

5.3.1.1　機房安全策略集中管理

平臺應實現信息系統機房安全集中管理策略的相關功能。

a） 應提供通過系統管理員對機房安全相關物理設施系統的資源和運行進行配置、控制和管理的功能，參照GB 50174-2008要求，包括：

1) 對機房內部安全防護監控措施的監測，

2) 對機房防火、機房供配電、機房空調降溫、機房防水防潮、機房接地與防雷、機房電磁防護等監控措施的監測，

3) 對機房人員、機房分區和機房門禁的監測，

4) 對機房防火報警和滅火系統、緊急供電備用供電及不間斷供電、電磁泄漏發射防護等監控措施的監測；

b） 應對系統管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行機房安全管理操作，并對這些操作進行審計。

5.3.1.2　通信線路安全策略集中管理

平臺應實現信息系統的通信線路安全集中管理策略的相關功能。

a） 應提供通過系統管理員對通信線路安全相關物理設施系統的資源和運行進行配置、控制和管理的功能，參照GB 50174-2008要求，包括：

1) 對通信線路安全防護監控管理措施的監測；

2) 對發現通信線路被截獲的監控管理措施的監測；

3) 對防止通信線路被截獲的監控管理措施的監測；

b） 應對系統管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行通信線路安全管理操作，并對這些操作進行審計。

5.3.1.3　設備安全策略集中管理

平臺應實現信息系統的設備安全集中管理策略的相關功能。

a） 應提供通過系統管理員對物理設備、設施的安全及正常運行進行控制和管理的功能，包括：

1) 根據設備清單提供設備提供安全保護管理功能，如防盜、防毀等措施；

2) 提供對設備運行狀態及安全保護措施的監控手段，具有異常報警功能；

3) 對設備檢修、更換進行記錄；

b） 應對系統管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行設備安全管理操作，并對這些操作進行審計。

5.3.1.4　記錄介質安全策略集中管理

平臺應實現信息系統的記錄介質安全集中管理策略的相關功能。

a） 應提供通過系統管理員對信息系統設備中內部數據介質進行監控和保護的功能；

b） 應對系統管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行設備安全管理操作，并對這些操作進行審計。

5.3.1.5　物理安全集中管理功能實現

安全管理平臺的機房安全、通信線路安全、設備安全、記錄介質安全等物理安全集中管理功能，應參照基礎功能的對象識別、策略設置、運行監控、響應處置等過程要求實現。

5.3.2　安全風險管理

5.3.2.6　風險識別記錄

平臺可參照GB/T 28453-2012中7.1規劃立項管理評估要求、7.2設計實施管理評估要求、7.3　運行維護管理評估要求、7.4終止處置管理評估要求的有關“風險管理”內容，提供平臺的風險識別、風險評估、風險處置過程及相關功能。

平臺應提供信息系統風險識別記錄管理功能。宜建立以下記錄：

a） 資產識別記錄：根據進行風險評估的范圍和邊界，包括責任人、地點、功能等組成部分的清單，依據5.2.1.2的有關信息建立要進行風險管理的資產列表、與資產相關的業務過程及其相關性的列表；

b） 威脅識別記錄：根據5.2.2.4、5.2.3.4、5.2.4.4有關事件信息，以及從資產責任人、用戶以及其他來源獲取的有關威脅的信息，包括外部的威脅目錄，建立識別了威脅類型和來源的威脅列表；

c） 現有控制措施識別記錄：根據5.2.2.3所采取的控制措施、5.2.2.5安全事件處置等獲得的有關信息，建立所有現有的和計劃的控制措施及其實施和使用狀態的列表；

d） 脆弱性識別記錄：根據已建立的a）資產識別記錄、b）威脅識別記錄和c）現有控制措施識別記錄，建立與資產、威脅和控制措施有關的脆弱性列表、待評審的與任何已識別的威脅無關的脆弱性列表；

e） 影響識別記錄：根據資產列表、業務過程列表、與資產相關的威脅和脆弱性以及相關性列表，建立與資產和業務過程相關的事件場景及其影響的列表。

5.3.2.7　風險評估結果

應具有建立風險評估結果記錄的功能，宜建立以下記錄：

a） 影響評估記錄：根據已識別的相關事件場景列表，如威脅、脆弱性、受影響的資產和業務過程，建立按照資產和影響準則表達的事件場景評估結果列表；

b） 事件可能性評估：根據已識別的相關事件場景列表，以及所有現有的和已計劃的控制措施及其有效性、實施和使用狀況的列表，建立評估事件場景的可能性記錄；

c） 風險級別估算：根據事件場景列表，建立被賦予級別值的風險列表；

d） 風險評價：根據被賦予級別值的風險列表和風險評價準則，建立與導致這些風險的事件場景相關的，依據風險評價準則按優先順序排列的風險列表。

5.3.2.8　風險處置方案

應具有風險處置方案建立、實施和監視的功能，宜建立以下記錄：

a） 風險處理措施確認：根據風險處理備選措施列表，風險處理成本效益分析報告，風險處理殘余風險分析報告，風險處理備選措施應急計劃，制定風險處理措施列表；

b） 風險處理方案編制：根據風險處理措施列表，風險處理計劃，制定風險處理方案并提供查詢使用；

c） 風險處理措施實施：執行風險處理方案時，應形成風險處理實施記錄，風險處理實施報告；

d） 風險管理監視、評審和改進：根據從風險管理活動中獲得的所有風險信息，必要和適當時，持續監視、評審和改進信息安全風險管理過程。

5.3.3　其他擴展功能

其他擴展功能也是在基礎功能上的延伸，如信息系統運維安全管理、相關業務管理，以及支持大數據分析功能等。

各種擴展功能模塊應通過擴展功能接口連接，并經過基礎功能中的安全控制措施，不允許直接訪問平臺的管理對象。

平臺可為用戶提供二次開發的軟件應用接口。