5.8 生存周期管理

5.8.1　規劃和立項管理

5.8.1.1 系統規劃要求

對系統規劃要求，不同安全等級至少應滿足以下要求的一項或多項：
a）系統建設和發展計劃：組織機構信息系統的管理者應對信息系統的建設和改造，以及近期和遠期的發展制定工作計劃，并應得到組織機構管理層的批準；
b）信息系統安全策略規劃：在a）的基礎上，應制定安全策略規劃并得到組織機構管理層的批準；安全策略規劃主要包括信息系統的總體安全策略、安全保障體系的安全技術框架和安全管理策略等；能夠為信息系統安全保障體系的規劃、建設和改造提供依據，使管理者和使用者都了解信息系統安全防護的基本原則和策略，知道應采用的各種技術和管理措施對抗各種威脅；
c）信息系統安全建設規劃：在b）的基礎上，在安全策略規劃的指導下，制定安全建設和安全改造的規劃，并應得到組織機構管理層的批準；在統一規劃引導下，通過調整網絡結構、添加保護措施和改造應用系統等，達到信息安全保障系統建設的要求，保證信息系統的正常運行和組織機構的業務穩定發展。

5.8.1.2 系統需求的提出

對系統需求的提出，不同安全等級至少應滿足以下要求的一項或多項：
a）業務應用的需求：信息系統應用部門或業務部門需要開發新的業務應用系統或更改已運行的業務應用系統時，應分析該新業務將會產生的經濟效益和社會效益，確定其重要性，并以書面形式提出申請；
b）系統安全的需求：在a）的基礎上，信息系統的安全管理職能部門應根據信息系統的安全狀況和存在隱患的分析，以及信息安全評估結果等提出加強系統安全的具體需求，并以書面形式提出申請。安全需求的分析和說明包括（但不限于）以下內容：
——組織機構的業務特點和需求；
——威脅、脆弱性和風險的說明；
——安全的要求和保護目標；
c）系統規劃的需求：在b）的基礎上，信息系統的管理者應根據信息系統安全建設規劃的要求，提出當前應進行安全建設和安全改造的具體需求，并以書面形式提出申請。

5.8.1.3 系統開發的立項

對系統開發的立項，不同安全等級至少應滿足以下要求的一項或多項：
a）系統開發立項的基本要求：接到系統需求的書面申請，必須經過主管領導 的審批，或者經過管理層的討論批準，才能正式立項；
b）可行性論證要求：對于規模較大的項目，接到系統需求的書面申請，必須組織有關部門負責人和有關安全技術專家進行可行性論證，通過論證后由主管領導審批，或者經過管理層的討論批準，才能正式立項；
c）系統安全性評價要求：在b）的基礎上，對于重要的項目，接到系統需求的書面申請，必須組織有關部門負責人和有關安全技術專家進行項目安全性評價，在確認項目安全性符合要求后由主管領導審批，或者經過管理層的討論批準，才能正式立項。

5.8.2　建設過程管理

5.8.2.1 建設項目準備

對建設項目準備，不同安全等級至少應滿足以下要求的一項或多項：
a）確定項目負責人：對信息系統建設和改造項目應明確指定項目負責人，監督和管理項目的全過程；
b）制定項目實施計劃：在a）的基礎上，應制定詳細的項目實施計劃，作為項目管理過程的依據；
c）制定監理管理制度：在b）的基礎上，要求將安全工程項目過程有效程序化；建立工程實施監理管理制度；應明確指定項目實施監理負責人。

5.8.2.2 工程項目外包要求

對工程項目外包要求，不同安全等級至少應滿足以下要求的一項或多項：
a）具有服務資質的廠商：對信息系統工程項目外包，應選擇具有服務資質的信譽較好的廠商，要求其已獲得國家主管部門的資質認證并取得許可證書、能有效實施安全工程過程、有成功的實施案例；
b）可信的具有服務資質的廠商：在a）的基礎上，對重要的信息系統工程項目外包，應在主管部門指定或特定范圍內選擇具有服務資質的信譽較好的廠商，并應經實踐證明是安全可靠的廠商；
c）對項目的保護和控制程序：在b）的基礎上，對應廢止和暫停的項目，要確保相關的系統設計、文檔、代碼等的安全；對應銷毀過程要進行安全控制；還應制定控制程序對項目進行保護，包括：
——代碼的所有權和知識產權；
——軟件開發過程的質量控制要求；
——代碼質量檢測要求；
——在安裝之前進行測試以檢測特洛伊代碼；
d）工程項目外包的限制：在c）的基礎上，對于安全保護等級較高的信息系統工程項目，一般不應采取工程項目外包方式。

5.8.2.3 自行開發環境控制

對自行開發環境控制，不同安全等級至少應滿足以下要求的一項或多項：
a）開發環境與運行環境物理分開：對自行開發信息系統的建設和改造項目時，應明確要求開發環境與實際運行環境做到物理分開，建立完全獨立的兩個環境；開發及測試活動也應盡可能分開；
b）系統開發文檔和軟件包的控制：在a）的基礎上，系統開發文檔應當受到保護和控制；必要時，經管理層的批準，才允許使用系統開發文檔；系統開發文檔的訪問在物理或邏輯上應當與予控制；一般不鼓勵對非自行開發的軟件包進行修改，必須改動時應注意：
——內置的控制措施和整合過程被損害的風險；
——由于軟件的改動對將來的維護帶來影響；
——應保留原始軟件，并在完全一樣的復制件上進行改動；
——所有的改動應經過充分的測試并形成文件，以便必要時用于將來的軟件升級；
c）對程序資源庫的控制：在b）的基礎上，為了減少計算機程序被破壞的可能性，應嚴格控制對程序資源庫的訪問；至少可以采用以下控制措施：
——程序資源庫不應被保存在運行系統中；
——技術開發人員不應具有對程序資源庫不受限制的訪問權；
——程序源庫的更新和向程序員發布的程序源應經授權；
——應保留程序的所有版本，程序清單應被保存在一個安全的環境中；
——應保存對所有程序資源庫訪問的審計記錄；
d）系統開發保密性的控制：在c）的基礎上，對于安全保護等級較高的信息系統建設項目及涉密項目，應對開發全過程采取相應的保密措施，對參與開發的有關人員進行保密教育和管理。

5.8.2.4 安全產品使用要求

a）信息安全產品使用分級管理：信息安全產品包括構成信息系統安全保護功能的信息技術硬件、軟件、固件設備，以及安全檢查、檢測驗證工具等，應按安全等級標準要求進行設計開發和檢測驗證；三級以上安全產品實行定點生產備案和出口實行審批制度；信息系統使用的信息安全產品應按照相應的安全保護等級的要求選擇相應等級的產品。

5.8.2.5 建設項目測試驗收

對建設項目測試驗收要求，不同安全等級至少應滿足以下要求的一項或多項：
a）功能和性能測試要求：應明確對信息系統建設和改造項目進行功能及性能測試，保證信息系統建設項目的可用性；進行必要的安全性測試；應指定項目測試驗收負責人；
b）安全性測試要求：在a）的基礎上，應明確信息系統建設和改造項目的安全系統需要進行安全測試驗收，并規定安全測試驗收負責人；測試驗收前，應制訂測試和接收標準，并在接收前對系統進行測試；管理者應確保新系統的接收要求和標準被清晰定義并文檔化；對安全系統的測試至少包括：
——對組成系統的所有部件進行安全性測試；
——對系統進行集成性安全測試；
——對業務應用進行安全測試等；
c）進一步的驗收要求：在c）的基礎上，在信息系統建設和改造項目驗收時至少還應考慮：
——性能和計算機容量的要求；
——錯誤恢復和重啟程序，以及應急計劃；
——制定并測試日常的操作程序以達到規定的標準；
——實施業經同意的安全控制措施；
——有效的指南程序；
——已經考慮了新系統對組織機構的整體安全產生影響的證據；
——操作和使用新系統的培訓。

5.8.3　系統啟用和終止管理

5.8.3.1 新系統啟用管理

對新的信息系統或子系統、信息系統設備啟用的管理，不同安全等級至少應滿足以下要求的一項或多項：
a）新系統啟用的申報和審批：在新的信息系統或子系統、信息系統設備在啟用以前，應經過正式測試驗收，由使用者或管理者提出申請，經過相應領導審批才能正式投入使用，具體程序按照有關主管部門的規定執行；
b）新系統啟用前的試運行：在a）的基礎上，應進行一定期限的試運行，并得到相應領導和技術負責人認可才能正式投入使用，并形成文檔備案；
c）新系統的安全評估：在b）的基礎上，組織有關管理者、技術負責人、用戶和安全專家，對新的信息系統或子系統、信息系統設備的試運行進行專項安全評估，得到認可并形成文檔備案才能正式投入使用；
d）新系統運行的審計跟蹤：在c）的基礎上，在任何新的信息系統或子系統、信息系統設備正式投入使用的一定時間內，應進行審計跟蹤，定期對審計結果做出風險評價，對安全進行確認以決定是否能夠繼續運行，并形成文檔備案。

5.8.3.2 終止運行管理

對現有信息系統或子系統、信息系統設備終止運行管理，不同安全等級至少應滿足以下要求的一項或多項：
a）終止運行的申報和審批：任何現有信息系統或子系統、信息系統設備需要終止運行時，應由使用者或管理者提出申請并說明原因及采取的保護措施，經過相應領導審批才能正式終止運行，具體程序按照有關主管部門的規定執行；
b）終止運行的信息保護：在a）的基礎上，在任何新的信息系統或子系統、信息系統設備需要終止運行以前，應進行必要數據和軟件備份，對終止運行的設備進行數據清除，并得到相應領導和技術負責人認可才能正式終止運行，并形成文檔備案；
c）終止運行的安全保護：在b）的基礎上，應采取必要的安全措施，并進行數據和軟件備份，對終止運行的設備進行不可恢復的數據清除，如果存儲設備損壞則必須采取銷毀措施，在得到相應領導和技術負責人認可才能正式終止運行，并形成文檔備案。