5.5 運行和維護管理

5.5.1　用戶管理

5.5.1.1 用戶分類管理

對用戶分類管理，不同安全等級應有選擇地滿足以下要求的一項：
a）用戶分類清單：應按審查和批準的用戶分類清單建立用戶和分配權限。用戶分類清單應包括信息系統的所有用戶的清單，以及各類用戶的權限；用戶權限發生變化時應及時更改用戶清單內容；必要時可以對有關用戶開啟審計功能。用戶分類清單應包括：
——系統用戶：指系統管理員、網絡管理員、數據庫管理員和系統運行操作員等特權用戶；
——普通用戶：指OA和各種業務應用系統的用戶；
——外部客戶用戶：指組織機構的信息系統對外服務的客戶用戶；
——臨時用戶：指系統維護測試和第三方人員使用的用戶；
b）特權用戶管理：在a）的基礎上，應對信息系統的所有特權用戶列出清單，說明各個特權用戶的權限，以及特權用戶的責任人員和授權記錄；定期檢查特權用戶的實際分配權限是否與特權用戶清單符合；對特權用戶開啟審計功能；
c）重要業務用戶管理：在b）的基礎上，應對信息系統的所有重要業務用戶的列出清單，說明各個用戶的權限，以及用戶的責任人員和授權記錄；定期檢查重要業務用戶的實際分配權限是否與用戶清單符合；對重要業務用戶開啟審計功能；
d）關鍵部位用戶管理：在c）的基礎上，應對關鍵部位用戶采取逐一審批和授權的程序，并記錄備案；定期檢查這些用戶的實際分配權限是否與授權符合，對這些用戶開啟審計功能。

5.5.1.2 系統用戶要求

對系統用戶，不同安全等級應有選擇地滿足以下要求的一項：
a）最小授權要求：系統用戶應由信息系統的主管領導指定，授權應以滿足其工作需要的最小權限為原則；系統用戶應接受審計；
b）責任到人要求：在a）的基礎上，對重要信息系統的系統用戶，應進行人員的嚴格審查，符合要求的人員才能給予授權；對系統用戶應能區分責任到個人，不應以部門或組作為責任人；
c）監督性保護要求：在b）的基礎上，在關鍵信息系統中，對系統用戶的授權操作，必須有兩人在場，并經雙重認可后方可操作；操作過程應自動產生不可更改的審計日志。

5.5.1.3 普通用戶要求

對普通用戶，不同安全等級應有選擇地滿足以下要求的一項：
a）普通用戶的基本要求：應保護好口令等身份鑒別信息；發現系統的漏洞、濫用或違背安全行為應及時報告；不應透露與組織機構有關的非公開信息；不應故意進行違規的操作；
b）處理敏感信息的要求：在a）的基礎上，不應在不符合敏感信息保護要求的系統中保存和處理高敏感度的信息；不應使用各種非正版軟件和不可信的自由軟件；
c）重要業務應用的要求：在b）的基礎上，應在系統規定的權限內進行操作，必要時某些重要操作應得到批準；用戶應保管好自己的身份鑒別信息載體，不得轉借他人。

5.5.1.4 機構外部用戶要求

對機構外部用戶，不同安全等級應有選擇地滿足以下要求的一項：
a）外部用戶一般要求：應對外部用戶明確說明使用者的責任、義務和風險，并要求提供合法使用的聲明；外部用戶應保護口令等身份鑒別信息；外部用戶只能是應用層的用戶；
b）外部特定用戶要求：在a）的基礎上，可對特定外部用戶提供專用通信通道，端口，特定的應用或數據協議，以及專用設備等；
c）外部用戶的限制：在b）的基礎上，在關鍵部位，一般不允許設置外部用戶。

5.5.1.5 臨時用戶要求

對臨時用戶，不同安全等級應有選擇地滿足以下要求的一項：
a）臨時用戶的設置與刪除：臨時用戶的設置和期限必須經過審批，使用完畢或到期應及時刪除，設置與刪除均應記錄備案；
b）臨時用戶的審計：在a）的基礎上，對主要部位的臨時用戶應進行審計，并在刪除前進行風險評估；
c）臨時用戶的限制：在b）的基礎上，在關鍵部位，一般不允許設置臨時用戶。

5.5.2　運行操作管理

5.5.2.1 服務器操作管理

對服務器操作的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）服務器操作管理基本要求：對服務器的操作應由授權的系統管理員實施；應按操作規程實現服務器的啟動/停止、加電/斷電等操作；維護服務器的運行環境及配置和服務設定；按5.5.5.1的相關要求實現操作的身份鑒別管理；
b）日志文件和監控管理：在a）的基礎上，加強日志文件管理和監控管理。日志管理包括對操作系統、數據庫系統以及業務系統等日志的管理和維護；監控管理包括監控系統性能，如監測CPU和內存的利用率、檢測進程運行及磁盤使用情況等；
c）配置文件管理：在b）的基礎上，加強配置文件管理，包括服務器的系統配置和服務設定的配置文件的管理，定期對系統安全性進行有效性評估和檢查，及時發現系統的新增缺陷或漏洞。

5.5.2.2 終端計算機操作管理

對終端計算機操作的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）終端計算機操作管理基本要求：用戶在使用自己的終端計算機時，應設置開機、屏幕保護、目錄共享口令；非組織機構配備的終端計算機未獲批準，不能在辦公場所使用；及時安裝經過許可的軟件和補丁程序，不得自行安裝及使用其它軟件和自由下載軟件；未獲批準，嚴禁使用Modem撥號、無線網卡等方式或另辟通路接入其它網絡；身份鑒別機制按照5.5.5.1相關要求處理；
b）重要部位的終端計算機管理：在a）的基礎上，應有措施防止終端計算機機箱私自開啟，如需拆機箱應在獲得批準后由相關管理部門執行；接入保密性較高的業務系統的終端計算機不得直接接入低級別系統或網絡；
c）關鍵部位的終端計算機管理：在b）的基礎上，終端計算機必須啟用兩個及兩個以上身份鑒別技術的組合來進行身份鑒別；終端計算機應采用低輻射設備；每個終端計算機的管理必須由專人負責，如果多人共用一個終端計算機，應保證各人只能以自己的身份登錄，并采用的身份鑒別機制。

5.5.2.3 便攜機操作管理

對便攜機操作的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）便攜機操作管理的基本要求：便攜機需設置開機口令和屏保口令，口令標準等身份鑒別機制按照5.5.5.1相關要求處理；因工作崗位變動不再需要使用便攜機時，應及時辦理資產轉移或清退手續，并刪除機內的敏感數據；在本地網絡工作時應按5.5.2.2要求執行；在本地之外網絡接入過的便攜機，需要接入本地網絡前應進行必要的安全檢查；
b）便攜機遠程操作的限制：在a）的基礎上，在機構內使用的便攜機，未獲批準，嚴禁使用Modem撥號、無線網卡等方式接入其它網絡；
c）重要應用的便攜機的管理：在b）的基礎上，在重要區域使用的便攜機必須啟用兩個及兩個以上身份鑒別技術的組合來進行身份鑒別；便攜機離開重要區域時不應存儲相關敏感或涉及國家秘密數據，必須帶出時應經過有關領導批準并記錄在案；
d）有涉及國家秘密數據的便攜機的管理：在c）的基礎上，要求采用低輻射便攜機；便攜機在系統外使用時，沒有足夠強度安全措施不應使用Modem撥號或無線網卡等方式接入網絡；機內的涉及國家秘密數據應采用一定強度的加密儲存或采用隱藏技術，以減小便攜機丟失所造成的損失；必要時應對便攜機采取物理保護措施。

5.5.2.4 網絡及安全設備操作管理

對網絡及安全設備操作的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）網絡及安全設備操作基本要求：對網絡及安全設備的操作應由授權的系統管理員實施；應按操作規程實現網絡設備和安全設備的接入/斷開、啟動/停止、加電/斷電等操作；維護網絡和安全設備的運行環境及配置和服務設定；對實施網絡及安全設備操作的管理員應按5.5.5.1的要求進行身份鑒別；
b）策略配置及檢查：在a）的基礎上，管理員應按照安全策略要求進行網絡及設備配置；應定期檢查實際配置與安全策略要求的符合性；
c）安全機制集中管理控制：在b）的基礎上，應通過安全管理控制平臺等設施對網絡及安全設備的安全機制進行統一控制、統一管理、統一策略，保障網絡正常運行。

5.5.2.5 業務應用操作管理

對業務應用操作的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）業務應用操作程序和權限控制：業務應用系統應按5.5.5.1的要求對操作人員進行身份鑒別；業務應用系統的安全管理見5.5.5.5的要求；業務應用系統應能夠以菜單等方式限制操作人員的訪問權限；業務應用操作程序應形成正式文檔，需要進行改動時應得到管理層授權；這些操作步驟應指明具體執行每個作業的指令，至少包括：
——指定需要處理和使用的信息；
——明確操作步驟，包括與其它系統的相互依賴性、操作起始和結束的時間；
——說明處理錯誤或其它異常情況的指令，系統出現故障時進行重新啟動和恢復的措施，以及在出現意外的操作或技術問題時需要技術支持的聯系方法；
b）業務應用操作的限制：在a）的基礎上，對重要的業務應用操作應根據特別許可的權限執行；業務應用操作應進行審計；
c）業務應用操作的監督：在b）的基礎上，關鍵的業務應用操作應有2人同時在場或同時操作，并對操作過程進行記錄。

5.5.2.6 變更控制和重用管理

對變更控制和重用的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）變更控制的申報和審批：任何變更控制和設備重用必須經過申報和審批才能進行，同時還應注意以下要求：
——注意識別重大變更，并進行記錄；
——評估這些變更的潛在影響；
——向所有相關人員通報變更細節；
——明確中止變更并從失敗變更中恢復的責任和處理方法；
——重用設備中原有信息的清除；
b）制度化的變更控制：在a）的基礎上，制度化的變更控制和設備重用還應包括：對操作系統、數據庫、應用系統、人員、服務等的變更控制應制度化；對所有計劃和制度執行情況進行定期或不定期的檢查；對安全策略和管理計劃的修訂；對基于變更和設備重用的各種規章制度的修訂和完善；建立運行過程管理文檔，書面記錄相關的管理責任及工作程序；
c）變更控制的一致性管理：在b）的基礎上，一致性的變更控制和設備重用還應包括：對信息系統的任何變更必須考慮全面安全事務一致性；更改方案應得到系統主管領導的審批；操作系統與應用系統的控制更改程序應相互配合；通過審計日志和過程記錄，記載更改中的所有有關信息；更改后將變更結果書面通知所有有關部門和人員，以便進行相應的調整；
d）變更控制的安全審計：在c）的基礎上，變更控制的安全審計還應包括：建立系統更改操作的審批程序和操作流程，防止隨意更改而開放危險端口或服務；對重要的變更控制應實施獨立的安全審計，并對全面安全事務一致性進行檢查和評估；系統更改的日志記錄和設備重用記錄應妥善保存；
e）變更的安全評估：在d）的基礎上，變更控制的安全審計還應包括：針對所有變更和設備重用進行安全評估；應采取相應保證措施，對變更計劃和效果進行持續改善。

5.5.2.7 信息交換管理

對信息交換管理，不同安全等級應有選擇地滿足以下要求的一項：
a）信息交換的基本管理：在信息系統上公布信息應符合國家有關政策法規的規定；對所公布的信息應采取適當的安全措施保護其完整性；應保護業務應用中的信息交換的安全性，防止欺詐、合同糾紛以及泄露或修改信息事件的發生；
b）信息交換的規范化管理：在a）的基礎上，還應包括在組織機構之間進行信息交換應建立安全條件的協議，根據業務信息的敏感度，明確管理責任，以及數據傳輸的最低安全要求；
c）不同安全區域之間信息傳輸的管理：在b）的基礎上，還應包括對于信息系統內部不同安全區域之間的信息傳輸，應有明確的安全要求；
d）高安全信息向低安全域傳輸的管理：在c）的基礎上，還應包括對高安全信息向低安全域的傳輸應經過組織機構領導層的批準，明確部門和人員的責任，并采取的安全專控措施。

5.5.3　運行維護管理

5.5.3.1 日常運行安全管理

對日常運行安全管理，不同安全等級應有選擇地滿足以下要求的一項：
a）系統運行的基本安全管理：應通過正式授權程序委派專人負責系統運行的安全管理；應建立運行值班等有關安全規章制度；應正確實施為信息系統可靠運行而采取的各種檢測、監控、審計、分析、備份及容錯等方法和措施；應對運行安全進行監督檢查；應明確各個崗位人員對信息系統各類資源的安全責任；應明確信息系統安全管理人員和普通用戶對信息系統資源的訪問權限；對信息系統中數據管理應保證技術上能夠達到GB/T 20271-2006中6.1.3的有關要求；
b）系統運行的制度化管理：在a）的基礎上，應按風險管理計劃和操作規程定期對信息系統的運行進行風險分析與評估，并向管理層提交正式的風險分析報告。為此應實行系統運行的制度化管理，包括：
——對病毒防護系統的使用制定管理規定；（見5.5.5.6）
——制定應用軟件安全管理規章制度，應用軟件的采購應經過批準，對應用軟件的安全性應進行調查，未經驗證的軟件不得運行；對應用軟件的使用采取授權管理，沒有得到許可的用戶不得安裝、調試、運行、卸載應用軟件，并對應用軟件的使用進行審計；
——制定外部服務方對信息系統訪問的安全制度，對外部服務方訪問系統可能發生的安全性進行評估，采取安全措施對訪問實施控制，與外部服務方簽署安全保密合同，并要求有關合同不違背總的安全策略；
——安全管理負責人應會同信息系統應用各方制定應急計劃和災難恢復計劃，以及實施規程，并進行必要驗證、實際演練和技術培訓；對所需外部資源的應急計劃要與有關各方簽署正式合同，合同中應規定服務質量，并包括安全責任和保密條款；
——制定安全事件處理規程，保證在短時間內能夠對安全事件進行處理；
——制定信息系統的數據備份制度，要求指定專人負責備份管理，保證信息系統自動備份和人工備份的準確性、可用性；
——制定有關變更控制制度，保證變更后的信息系統能滿足既定的安全目標；（見5.5.2.6）
——制定運行安全管理檢查制度，定期或不定期對所有計劃和制度執行情況進行監督檢查，并對安全策略和管理計劃進行修訂；接受上級或國家有關部門對信息系統安全工作的監督和檢查；
——根據組織機構和信息系統出現的各種變化及時修訂、完善各種規章制度；
——建立嚴格的運行過程管理文檔，其中包括責任書、授權書、許可證、各類策略文檔、事故報告處理文檔、安全配置文檔、系統各類日志等，并保證文檔的一致性；
——對信息系統中數據管理應保證技術上能夠達到GB/T 20271-2006中6.2.3的有關要求；
c）系統運行的風險控制：在b）的基礎上，使用規范的方法對信息系統運行的有關方面進行風險控制，包括要求對關鍵崗位的人員實施嚴格的背景調查和管理控制，切實落實最小授權原則和分權制衡原則，關鍵安全事務要求雙人共管；對外部服務方實施嚴格的訪問控制，對其訪問實施監視，并定期對外部服務方訪問的風險進行分析和評估；要求有專人負責應急計劃和災難恢復計劃的管理工作，保證應急計劃和災難恢復計劃有效執行；要求系統中的關鍵設備和數據采取可靠的備份措施；要求保證各方面安全事務管理的一致性；對信息系統中數據管理應保證技術上能夠達到GB/T 20271-2006中6.3.3的有關要求；
d）系統運行的安全審計：在c）的基礎上，應建立風險管理質量管理體系文件，并對系統運行管理過程實施獨立的審計，保證安全管理過程的有效性；信息系統生存周期各個階段的安全管理工作應有明確的目標、明確的職責（見5.8），實施獨立的審計；應對病毒防護管理制度實施定期和不定期的檢查；應對外部服務方每次訪問信息系統的風險進行控制，實施獨立的審計；定期對應急計劃和災難恢復計劃的管理工作進行評估；對使用單位的安全策略、安全計劃等安全事務的一致性進行檢查和評估；對信息系統中數據管理應保證技術上能夠達到GB/T 20271-2006中6.4.3的有關要求；
e）系統運行的全面安全管理：在d）的基礎上，應將風險管理作為機構業務管理的組成部分，對風險管理活動和信息系統生存周期各個階段的安全實施全面管理；應制定全面的應急計劃和災難恢復計劃管理細則，并通過持續評估，保證應急計劃和災難恢復計劃的有效性；應對所有變更進行安全評估，保證變更控制計劃的不斷完善；對信息系統中數據管理應保證技術上能夠達到GB/T 20271-2006中6.5.3的有關要求。

5.5.3.2 運行狀況監控

對運行狀況監控，不同安全等級應有選擇地滿足以下要求的一項：
a）日志管理：所有的系統日志應保留一定期限，不能被改變，只允許授權用戶訪問；日志應有脫機保存的介質；信息系統應使用統一的時間，以確保記錄日志準確；日志應定期處理并產生報告；審計日志須經授權方可查閱；應告知用戶某些行為是會被審計的；
b）監視服務器安全性能：在a）的基礎上，監視與安全機制相關的服務器性能變化，包括：監測CPU和內存的利用率；檢測進程運行，發現對資源消耗大的進程，并提出解決方案；監測磁盤使用情況，主要是指數據庫的容量變化和日志文件的大小變化；
c）監視網絡安全性能：在b）的基礎上，應建立信息系統安全機制集中管理機構（見5.2.2）完成網絡安全性能和其他信息的監視；
d）對關鍵區域的監視：在c）的基礎上，安全機制集中管理機構應對關鍵區域和關鍵業務應用系統運行的監視，并與主管部門共同制定具體的管理辦法；
e）對核心數據的監視：在d）的基礎上，安全機制集中管理機構應對關鍵區域和關鍵業務應用系統核心數據進行監視，并與主管部門共同制定具體的管理辦法，經上一級負責人的批準執行。

5.5.3.3 軟件硬件維護管理

對軟件、硬件維護的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）軟件、硬件維護的責任：應明確信息系統的軟件、硬件維護的人員和責任，規定維護的時限，以及設備更新和替換的管理辦法；制定有關軟件、硬件維修的制度；
b）涉外維修的要求：在a）基礎上，對需要外出維修的設備，應經過審批，磁盤數據應進行刪除；外部維修人員進入機房維修，應經過審批，并有專人負責陪同；
c）可監督的維修過程：在b）基礎上，應對重要區域的數據和軟件系統進行必要的保護，防止因維修造成破壞和泄漏；應對維修過程及有關現象記錄備案；
d）強制性的維修管理：在c）基礎上，一般不應允許外部維修人員進入關鍵區域；應根據維修方案和風險評估的結果確定維修方式，可采用更新設備的方法解決。

5.5.3.4 外部服務方訪問管理

對外部服務方訪問管理，不同安全等級應有選擇地滿足以下要求的一項：
a）外部服務方訪問的審批控制：對外部服務方訪問的要求，應經過相應的申報和審批程序；
b）外部服務方訪問的制度化管理：在a）的基礎上，應對外部服務方訪問建立相應的安全管理制度；外部服務方訪問應簽署保密合同；
c）外部服務方訪問的風險評估：在b）的基礎上，應對外部服務方訪問進行風險分析和評估；應對外部服務方訪問實施嚴格控制；應對外部服務方訪問實施監視；
d）外部服務方訪問的強制管理：在c）的基礎上，在重要安全區域，應對外部服務方每次訪問進行風險控制；必要時應外部服務方的訪問進行限制。

5.5.4　外包服務管理

5.5.4.1 外包服務合同

a）外包服務合同基本要求：對由組織機構外部服務商承擔完成的外包服務，應簽署正式的書面合同，至少包括：
——對符合法律要求的說明，如數據保護法規；
——對外包服務的風險的說明，包括風險的來源、具體風險描述和風險的影響，明確如何維護并檢測組織的業務資產的完整性和保密性；
——對外包服務合同各方的安全責任界定，應確保外包合同中的參與方（包括轉包商）都了解各自的安全責任；
——對控制安全風險應采用的控制措施的說明，包括物理和邏輯兩個方面，應明確使用何種物理和邏輯控制措施，限制授權用戶對組織的敏感業務信息的訪問，以及為外包出去的設備提供何種級別的物理安全保護；
——對外包服務風險發生時應采取措施的說明，如在發生災難事故時，應如何維護服務的可用性；
——對外包服務的期限、中止的條件和善后處理的事宜以及由此產生責任問題的說明；
——對審計人員權限的說明。

5.5.4.2 外包服務商

對外包服務商，不同安全等級應有選擇地滿足以下要求的一項：
a）外包服務商的基本要求：應選擇具有相應服務資質并信譽好的外包服務商；
b）在既定的范圍內選擇外包服務商：對較為重要的業務應用，應在行業認可或者是經過上級主管部門批準的范圍內，選擇具有相應服務資質并信譽好的可信的外包服務商；
c）外包服務的限制要求：關鍵的或涉密的業務應用，一般不應采用外包服務方式。

5.5.4.3 外包服務的運行管理

外包服務的運行管理，不同安全等級應有選擇地滿足以下要求的一項：
a）外包服務的監控：對外包服務的業務應用系統運行的安全狀況應進行監控和檢查，出現問題應遵照合同規定及時處理和報告；
b）外包服務的評估：在a）的基礎上，對外包服務的業務應用系統運行的安全狀況應定期進行評估，當出現重大安全問題或隱患時應進行重新評估，提出改進意見，直至停止外包服務。

5.5.5　有關安全機制保障

5.5.5.1 身份鑒別機制管理要求

對身份鑒別機制的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）身份鑒別機制管理基本要求：對網絡、操作系統、數據庫系統等系統管理員和應用系統管理員以及普通用戶，應明確使用和保護身份鑒別機制的責任；應指定安全管理人員定期進行檢查，對身份鑒別機制的管理應保證GB/T 20271-2006中6.1.3.1所采用的安全技術能達到其應有的安全性要求；
b）身份鑒別機制增強要求：在a）的基礎上，應采用不可偽造的鑒別信息進行身份鑒別；鑒別信息應進行相應的保護；對身份鑒別機制的管理應保證GB/T 20271-2006中6.2.3.1所采用的安全技術能達到其應有的安全性要求；
c）身份鑒別和認證系統的管理維護：在b）的基礎上，應采用有關身份鑒別和認證系統的管理維護措施；對身份鑒別機制的管理應保證GB/T 20271-2006中6.3.3.1所采用的安全技術能達到其應有的安全性要求；
d）身份鑒別和認證管理的強制保護：在c）的基礎上，應采用多鑒別機制進行身份鑒別，操作過程需要留有操作記錄和審批記錄，必要時應兩人以上在場才能進行；對身份鑒別機制的管理應保證GB/T 20271-2006中6.4.3.1所采用的安全技術能達到其應有的安全性要求；
e）身份鑒別和認證管理的專項管理：在d）的基礎上，與相關業務部門共同制定專項管理措施；對身份鑒別機制的管理應保證GB/T 20271-2006中6.5.3.1所采用的安全技術能達到其應有的安全性要求。

5.5.5.2 訪問控制機制管理要求

對訪問控制機制的管理，不同安全等級應有選擇地滿足以下要求的一項：
a）自主訪問控制機制的管理：應根據自主訪問控制機制的要求，由授權用戶為主、客體設置相應訪問的參數；
b）自主訪問控制審計管理：在a）基礎上，應將自主訪問控制與審計密切結合，實現對自主訪問控制過程的審計，使訪問者必須為自己的行為負責；并保證最高管理層對自主訪問控制管理的掌握；
c）強制訪問控制的管理：在b）基礎上，應將強制訪問控制與審計密切結合，實現對強制訪問控制過程的審計；應根據強制訪問控制機制的要求，由授權的安全管理人員通過專用方式為主、客體設置標記信息；可采用集中式、分布式和混合式等基本的訪問控制管理模式，對分布在信息系統的不同計算機系統上實施同一安全策略的訪問控制機制，設置一致的主、客體標記信息；應根據信息系統的安全需求，確定實施系統級、應用級、用戶級的審計跟蹤；
d）訪問控制的監控管理：在c）基礎上，對訪問控制進行監控管理，對系統、用戶或環境進行持續性檢查；對實時性強的活動加強監控，包括每日或每周對審計跟蹤（如有關非法登錄嘗試）的檢查；注意保護和檢查審計跟蹤數據，以及用于審計跟蹤分析的工具；
e）訪問控制的專項控制：在d）基礎上，應具有嚴格的用戶授權與訪問控制措施；對訪問控制機制的設置進行專項審批，并由獨立的安全管理人員對網絡、系統和應用等方面的訪問控制機制進行獨立的有效性評估和檢查。

5.5.5.3 系統安全管理要求

對操作系統和數據庫管理系統的安全管理，不同安全等級應有選擇地滿足以下要求的一項：
a）系統安全管理基本要求：應對不同安全級別的操作系統和數據庫管理系統按其安全技術和機制的不同要求實施相應的安全管理；應通過正式授權程序委派專人負責系統安全管理；建立系統安全配置、備份等安全管理規章制度；按規章制度的要求進行正確的系統安全配置、備份等操作，及時進行補丁升級；
b）基于審計的系統安全管理：在a）的基礎上，應對系統進行日常安全管理，包括對用戶安全使用進行指導和審計等；應依據操作規程確定審計事件、審計內容、審計歸檔、審計報告；對授權用戶應采用相應身份鑒別機制（見5.5.5.1）進行鑒別，并遵照規定的登錄規程登錄系統和使用許可的資源；應對系統工具的使用進行授權管理和審計；應對系統的安全弱點和漏洞進行控制；應依據變更控制規程對系統的變更進行控制；應及時對系統資源和系統文檔進行安全備份；
c）基于標記的系統安全管理：在b）的基礎上，應根據訪問控制安全策略的要求，全面考慮和統一設置、維護用戶及主、客體的標記信息；設置和維護標記信息的操作應由授權的系統安全員通過系統提供的安全員操作界面實施；對可能危及系統安全的系統工具進行嚴格的控制；應制定嚴格的變更控制制度，保證變更不影響應用系統的可用性、安全性，保證變更過程的有效性、可審計性和可恢復性；應對操作系統資源和系統文檔進行標記、安全備份，并制定、實施應急安全計劃；
d）基于強制的系統安全管理：在c）的基礎上，應按系統內置角色強制指定系統安全管理責任人；應保證系統管理過程的可審計性；應定期對操作系統安全性進行評估；
e）基于專控的系統安全管理：在d）的基礎上，應保證系統的安全管理工作在多方在場并簽署責任書情況下進行；應使用經過驗證的系統軟件，確保使用者熟悉系統的操作流程，并對操作人員的操作過程實施監視。

5.5.5.4 網絡安全管理要求

對網絡系統的安全管理，不同安全等級應有選擇地滿足以下要求的一項：
a）網絡安全管理基本要求：應對不同安全級別的網絡按其安全技術和機制的不同要求實施相應的安全管理；應通過正式授權程序指定網絡安全管理人員；應制定有關網絡系統安全管理和配置的規定，保證安全管理人員按相應規定對網絡進行安全管理；
b）基于規程的網絡安全管理：在a）的基礎上，應按有關規程對網絡安全進行定期評估，不斷完善網絡安全策略，建立、健全網絡安全管理規章制度，包括：
——制定使用網絡和網絡服務的策略。依據總體安全方針、策略制定允許提供的網絡服務、制定網絡訪問許可和授權管理制度、保證信息系統網絡連接和服務的安全技術正確實施；
——制定網絡安全教育和培訓計劃，保證信息系統的各類用戶熟知自己在網絡安全方面的安全責任和安全規程；
——建立網絡訪問授權制度，保證經過授權的用戶才能在指定終端，使用指定的安全措施，按設定的可審計路由訪問許可的網絡服務；
——對安全區域外部移動用戶的網絡訪問實施嚴格的審批制度，實施用戶安全認證和審計技術措施，保證網絡連接的可靠性、保密性，保證用戶對外部連接的安全性負責；
——定義與外部網絡連接的接口邊界，建立安全規范，定期對外部網絡連接接口的安全進行評估，對通過外部連接的可信信息系統之間的網絡信息提供加密服務，有關加密設備和算法的使用按國家有關規定執行；
——對外進行公共服務的信息系統，應采取嚴格的安全措施實施訪問控制，保證外部用戶對服務的訪問得到控制和審計，并保證外部用戶對特定服務的訪問不危及內部信息系統的安全，對外傳輸的數據和信息要經過審查，防止內部人員通過內外網的邊界泄露敏感信息；
——對可能從內部網絡向外發起的連接資源（如Modem撥號接入Internet）實施嚴格控制，建立連接資源使用授權制度，建立檢查制度防止信息系統使用未經許可和授權的連接資源；
——不同安全保護等級的信息系統網絡之間的連接按訪問控制策略實施可審計的安全措施，如使用防火墻、安全路由器等，實現必要的網絡隔離；
——保證網絡安全措施的日常管理責任到人，并對網絡安全措施的使用進行審計；
——按網絡設施和網絡服務變更控制制度執行網絡配置變更控制；
——建立網絡安全事件、事故報告處理流程，保證事件和事故處理過程的可審計性；
——對網絡連接、網絡安全措施、網絡設備及操作規程定期進行安全檢查和評估，提交正式的網絡安全報告；
——信息系統的關鍵網絡設備設施應有必要的備份；
c）基于標記的網絡安全管理：在b）的基礎上，針對網絡安全措施的使用建立嚴格的審計、標記制度，保證安全措施配有具體責任人負責網絡安全措施的日常管理；指定網絡安全審計人員，負責安全事件的標記管理，網絡安全事件的審計；對審計活動進行控制，保證網絡設施或審計工具提供的審計記錄完整性和可用性；對可用性要求高的網絡指定專人進行不間斷的監控，并能及時處理安全事故；
d）基于強制監督的網絡安全管理：在c）的基礎上，建立的獨立安全審計，對網絡服務、網絡安全策略、安全控制措施進行有效性檢查和監督；保證網絡安全管理人員達到相應的資質；信息系統網絡之間的連接應使用可信路徑；
e）基于專控的網絡安全管理：在d）的基礎上，要求至少有兩名以上的網絡安全管理人員實施網絡安全管理事務，并保證網絡安全管理本身的安全風險得到控制；信息系統網絡之間的連接嚴格控制在可信的物理環境范圍內。

5.5.5.5 應用系統安全管理要求

對應用系統安全管理，不同安全等級應有選擇地滿足以下要求的一項：
a）應用系統安全管理基本要求：應對不同安全級別的應用系統按其安全技術和機制的不同要求實施相應的安全管理；應通過正式授權程序委派專人負責應用系統的安全管理，應明確管理范圍、管理事務、管理規程，以及應用系統軟件的安全配置、備份等安全工作；應結合業務需求制定相關規章制度，并嚴格按照規章制度的要求實施應用系統安全管理；
b）基于操作規程的應用系統安全管理：在a）的基礎上，應制定并落實應用系統的安全操作規程，包括：
——指定信息安全管理人員，依據信息安全操作規程，負責信息的分類管理和發布；
——對任何可能超越系統或應用程序控制的實用程序和系統軟件都應得到正式的授權和許可，并對使用情況進行登記。保證對應用系統信息或軟件的訪問不影響其他信息系統共享信息的安全性；
——應用系統的內部用戶，包括支持人員，應按照規定的程序辦理授權許可，并根據信息的敏感程度簽署安全協議，保證應用系統數據的保密性、完整性和可用性；
——應指定專人負責應用系統的審計工作，保證審計日志的準確性、完整性和可用性；
——組織有關人員定期或不定期對應用系統的安全性進行審查，并根據應用系統的變更或風險變化提交正式的報告，提出安全建議；
——對應用系統關鍵崗位的工作人員實施資質管理，保證人員的可靠性和可用性；
——制定切實可用的應用系統及數據的備份計劃和應急計劃，并由專人負責落實和管理；
——制定應用軟件安全管理規章制度，包括應用軟件的開發和使用等管理；（見5.8）
c）基于標記的應用系統安全管理：在b）的基礎上，應對應用軟件的使用采取授權、標記管理制度；未授權用戶不得安裝、調試、運行、卸載應用軟件，并對應用軟件的使用進行審計；應定期或不定期對應用系統的安全性進行評估，并根據應用系統的變更或風險變化提交正式的評估報告，提出安全建議，修訂、完善有關安全管理制度和規程；應用系統的開發人員不得從事應用系統日常運行和安全審計工作；操作系統的管理人員不得參與應用系統的安全配置管理和應用管理；
d）基于強制的應用系統安全管理：在c）的基礎上，要求建立獨立的應用安全審計，對應用系統的總體安全策略、應用系統安全措施的設計、部署、維護和運行管理進行檢查；審計人員僅實施審計工作，不參與系統的其它任務，確保授權用戶范圍內的使用，防止信息的泄漏；
e）基于專控的應用系統安全管理：在d）的基礎上，應對應用系統的安全狀態實施周期更短的審計、檢查和操作過程監督，并保證對應用系統的安全措施能適應安全環境的變化；應與應用系統主管部門共同制定專項安全措施。

5.5.5.6 病毒防護管理要求

對病毒防護管理，不同安全等級應有選擇地滿足以下要求的一項：
a）病毒防護管理基本要求：通過正式授權程序對病毒防護委派專人負責檢查網絡和主機的病毒檢測并保存記錄；使用外部移動存儲設備之前應進行病毒檢查；要求從不信任網絡上所接收的文件或郵件，在使用前應首先檢查是否有病毒；及時升級防病毒軟件；定期進行總結匯報病毒安全狀況；
b）基于制度化的病毒防護管理，在a）的基礎上，制定并執行病毒防護系統使用管理、應用軟件使用授權安全管理等有關制度；應檢查網絡內計算機病毒庫的升級情況并進行記錄；對非在線的內部計算機設備及其它移動存儲設備，以及外來或新增計算機做到入網前進行殺毒和補丁檢測；
c）基于集中實施的病毒防護管理：在b）的基礎上，實行整體網絡統一策略、定期統一升級、統一控制，緊急情況下增加升級次數；對檢測或截獲的各種高風險病毒進行及時分析處理，提供相應的報表和總結匯報；采取對系統所有終端有效防范病毒或惡意代碼引入的措施；
d）基于監督檢查的病毒防護管理：在c）的基礎上，針對病毒防護管理制度執行情況，以及病毒防護的安全情況，進行定期或不定期檢查。

5.5.5.7 密碼管理要求

對密碼管理，不同安全等級應有選擇地滿足以下要求的一項：
a）密碼算法和密鑰管理：應按國家密碼主管部門的規定，對信息系統中使用的密碼算法和密鑰進行管理；應按國家有關法律法規要求，對信息系統中包含密碼的軟、硬件信息處理模塊的進、出口進行管理；應按國家密碼主管部門的規定，對密碼算法和密鑰實施分等級管理；
b）以密碼為基礎的安全機制的管理：在a）的基礎上，應對信息系統中以密碼為基礎的安全機制實施分等級管理。

5.5.6　安全集中管理

5.5.6.1 安全機制集中控管

對安全機制集中控管，不同安全等級應有選擇地滿足以下要求的一項：
a）安全機制集中控管基本要求：能夠對信息系統所涉及的計算機、網絡以及應用系統的安全機制實施統一管理、統一監控、統一審計、協同防護，發揮安全機制的整體作用，提高安全防護的等級和水平，主要包括：
——建立一體化和開放性平臺，將多家不同類型的安全產品整合到一起，進行統一的管理配置和監控；能夠提供標準的接口，兼容所在信息系統的不同廠商產品的管理、訪問和連接問題，使第三方產品能夠整合到系統中；
——根據安全策略生成的安全規則，提供整個信息系統安全策略的統一管理和實施，具備對被管安全設施的配置/性能/故障等基本的管理功能，具備對安全資源(安全補丁/攻擊模式庫/安全策略等)管理能力，集中管理和審計能力；
——安全機制整合主要包括安全事件管理、風險管理以及安全策略管理；
b）安全機制分層分級聯和控管：在a）的基礎上，根據網絡結構，按照分布式多層次的管理結構，進行分層分級聯合方式的集中安全管理。

5.5.6.2 安全信息集中管理

對安全信息的集中管理，不同安全等級應有選擇地滿足以下要求的一項：
a）安全信息集中管理的基本要求：主要包括：
——將信息系統所涉及的計算機、網絡以及應用系統的安全信息實施統一管理、綜合分析，發揮安全信息的整體作用；
——具有集中分析、瀏覽和匯集存儲從各安全組件傳送來的經初步處理過的安全數據的功能，提供可視化報表和安全事件分析過程，以及安全事件的管理與輔助分析機制；
b）對關鍵區域安全信息的集中管理：在a）的基礎上，通過對關鍵區域安全信息的集中管理，應能夠對關鍵區域的安全信息的處理，采用相應安全級別的訪問控制和保護措施；
c）對核心區域安全信息的集中管理：在b）的基礎上，應根據核心區域安全信息的需要，通過對安全信息的集中管理，與有關主管部門共同制定專項的安全控制和保護措施。

5.5.6.3 安全機制整合要求

對安全機制整合的要求，主要包括：
a）安全機制整合的一般功能：
——資產信息管理：實現對所管轄的設備和系統對象的管理，包括資產管理、拓撲管理和資源管理；將其所轄設備資產信息按其重要程度分類登記入庫，并為其他安全管理提供信息接口；提供資產信息的維護和查詢；
——網絡異常流量監控：通過實時監控重要網絡鏈路的流量狀況，能夠統計各個網絡/網段中的流量、網絡資源的占用情況等，出現異常事件可以多種方式實現自動報警；能夠對目標網絡的流量監測和歷史數據進行和保存輔助分析；在發現網絡異常流量時進行威脅來源和目標的準確定位；
——安全事件監控管理：包括系統狀態監控、日志收集、實時事件監控、實時事件報警/響應和事件的關聯分析與報告；通過監控網絡設備、主機系統等日志信息，以及安全產品的報警信息等，及時發現正在和已經發生的安全事件；通過安全響應機制采取措施，保證網絡和業務系統的安全可靠運行；審計分析包括日志查詢和統計、關聯分析及報告生成；
——脆弱性管理：進行補丁庫管理和補丁檢測與分發；實現對網絡中主機系統和網絡設備安全脆弱性信息的收集和管理，通過遠程和本地脆弱性評估工具及時收集和分析網絡中各個系統的最新安全風險動態；
——安全策略管理：包括全局策略管理和系統配置管理；安全策略管理對象應涵蓋所管轄的網絡設備、主機系統和安全設施，提供安全管理人員登錄身份鑒別和訪問控制機制；實現基本網絡安全策略模板的制訂和分發；安全策略管理內容應包括賬號、認證、訪問控制、審計、應用與軟件升級、備份和恢復等策略；
——安全預警管理：根據收集的風險數據提供網絡安全風險的趨勢分析報表，包括漏洞的分布范圍、受影響的系統情況、可能的嚴重程度等內容；根據監控的安全事件提供網絡中主要的攻擊對象分布、攻擊類型分布等分析；能夠根據預先定義數據格式、預警信息的級別和類型等策略，自動生成預警信息，并以預定方式通知有關系統管理員；預警信息應存檔，并可提供查詢。

5.5.6.4 安全機制整合的處理方式

對安全機制整合的處理方式，主要包括：
a）安全機制整合的主要工作方式：
——自動處理：將能夠預料的安全問題及其處理辦法（如系統弱點漏洞、惡意攻擊方式、病毒感染方式、網絡故障和違規操作、防火墻與入侵檢測設備聯動等）存入安全知識庫并形成相應的處理規則，當事件出現時，系統將根據處理規則進行自動處理；
——人工干預處理：按事件級別進行人工干預處理，主要包括技術咨詢、數據恢復、系統恢復、系統加固、現場問題處理、跟蹤攻擊源、處理報告提交等；
——遠程處理：在觀察到安全事件發生時或收到下級轉交的要求協助解決的安全故障時，可以提供處理方案，也還可以通過遠程操作直接對發生故障的系統進行問題診斷和處理；
——輔助決策分析處理：根據預先收集、整理安全事件的資料，以及根據事件類型、出現事件的設備、事件發生的頻繁度、事件的危害程度等因素進行分析的方法存入知識庫中；運行時將調用知識庫對實時收到的系統安全事件進行輔助分析，系統根據事件重要程度順序自動顯示，供人工處置或系統自動處理；
——記錄和事后處理：在信息系統運行時收集并記錄所有的安全事件和報警信息，記錄的事件和信息將作為事后分析的依據。