信息系统建设安全管理办法

XXXXX**

信息系统建设安全管理办法**

XXXXX**

2017年4月**

信息系统建设安全管理办法**

第一章 总则**

第一条 为进一步提高XXXXX信息系统安全保障水平，确保信息化建设的项目立项、设计、实施、验收等各个环节与信息安全管理控制机制的有机结合，实现项目工程管理过程和内容安全可控，特制定本办法。

第二条 信息系统中的安全建设应遵循“同步规划、同步建设、同步运行”的原则，确保信息安全控制成为信息系统中的组成部分之一。

第三条 本办法适用于XXXXX信息系统建设中的安全管理。

第二章 信息系统规划安全管理**

第四条 信息系统规划阶段安全管理包括信息化建设管理中覆盖的项目立项、项目需求与要求、项目审批和项目招标相关阶段的信息安全管理要求。

第五条 XXXXX信息中心应制定《信息安全整体规划》。规划中应根据信息系统的等级划分情况和整体安全策略，统一考虑XXXXX安全技术框架、安全管理策略、总体建设规划和初步设计方案。

第六条 信息系统建设项目申请部门立项申请时，应明确信息系统的安全要求。

第七条 可行性分析应确定信息系统的安全等级，进一步明确安全目标和主要技术路线：

(一) 根据《信息系统安全等级保护定级指南》确定信息系统的安全等级；

(二) 描述信息系统业务信息的安全目标和业务服务的安全目标；

(三) 结合XXXXX现有信息安全平台，阐述实现安全目标的可行性。

第八条 项目需求分析过程中应包括信息系统安全性需求分析的内容，至少包括以下信息安全方面的内容：

(一) 根据信息系统安全等级，参照《信息系统安全等级保护基本要求》相应等级的安全控制要求进行选择；

(二) 分析信息系统可能面临的安全威胁、风险和目前存在的脆弱性，根据实际环境的风险情况对安全控制要求进行调整；

(三) 应根据所选择的安全控制，根据现行技术、产品、管理流程的实际情况，形成相应的安全可行性方案；

(四) 信息系统可能需要的安全功能性需求，包括但不限于用户身份、访问控制、数据和信息保密性、数据审计和跟踪等。

第九条 信息中心主管领导在对项目进行立项审批的过程中，应审核如下信息安全方面的内容：

(一) 信息系统中的安全需求、设计内容是否符合XXXXX总体安全策略要求；

(二) 信息系统项目中的网络安全是否涉及网络安全域的访问控制、网络边界安全、网络传输安全和冗余性；

(三) 信息系统项目中的操作系统和数据库安全是否涉及系统的稳定性、安全配置和安全管理；

(四) 信息系统项目中的应用安全是否涉及 身份验证、角色访问控制、数据加密、备份、日志审计等 安全功能；

(五) 信息系统项目中对于安全功能实现的安全技术、产品是否符合XXXXX整体信息安全技术架构，对于现有信息安全技术架构是否存在可能的影响。

第十条 项目招标和采购过程中应考虑以下信息安全要求：

(一) 产品的采购和使用由各处室负责。信息安全工作小组进行指导性建议；

(二) 各处室应明确产品采购要求，详细描述产品采购流程；

(三) XXXXX重要信息系统和网络的安全建设应优先考虑国内信息安全产品，如有必要选择国外安全产品应充分分析其应用情况和国内应用案例，确保有必要的措施加以保障；

(四) 信息安全产品应符合相应密级要求，具备安全产品销售许可、知识产权证明等资质；

(五) 信息安全集成、开发和服务提供应具备符合国家相关资质要求的证明。

第三章 信息系统实施安全管理**

第十一条 信息系统实施阶段安全管理包括项目签约、项目计划、项目实施和试运行相关阶段的安全管理要求。

第十二条 信息系统开发在签署项目合约过程中，通过签署《保密协议书》（模板见附件《保密协议书》）约束双方的安全保密行为，签署过程中可以视实际情况对《保密协议书》进行修订和完善。

第十三条 信息系统承建商进场前，双方应对相关人员行为准则达成共识。

第十四条 信息系统在概要设计阶段，概要设计中应考虑以下安全要求：

(一) 根据安全需求，按安全功能子系统来描述系统的安全架构；

(二) 标识所要求的任何基础性的硬件、固件或软件，以及在这些硬件、固件或软件中实现的支持性保护机制提供的功能表示；

(三) 标识子系统的所有接口，并说明哪些接口是外部可见的；

(四) 子系统所有接口的用途与使用方法，并适当提供影响、例外情况和错误消息的处理机制。

第十五条 信息系统在详细设计阶段，详细设计中应考虑以下安全要求：

(一) 详细设计中须提出具体安全设计方案，标明实现的安全功能，并说明其技术原理；

(二) 对系统层面上的和模块层面上的安全设计进行审查；

(三) 确认各模块的设计，以及模块间的接口设计能满足系统层面的安全要求。

第十六条 信息系统在实施部署过程中，应考虑以下安全要求：

(一) 全面评估信息系统部署的网络环境、系统环境以及数据库的安全性能够确保应用系统自身的安全需求；

(二) 确保网络环境、系统环境和数据库的访问控制规则符合应用系统的访问控制权限要求；

(三) 信息系统应在测试环境中进行测试，以避免对已经运行信息系统产生影响。

第十七条 信息系统在开发过程中，应禁止将口令写入应用程序。

第十八条 信息系统在测试过程中应进行测试汇总和记录。

第十九条 XXXXX信息系统在自行进行信息系统开发和实施阶段，应对自行编制的软件进行源代码安全控制，具体包括：

(一) 减少源代码被破坏和非授权访问的可能，对源代码的访问权限进行严格控制。

(二) 为保障源代码的安全，要求开发设备、测试设备和运行设备进行分离，运行设备上只有执行代码；

(三) 旧源程序版本应被保存，并对代码进行版本控制，确保代码的可用；

(四) 所有对代码库的修改、更新都要有操作日志记录。

第二十条 在编制软件的过程中，任何程序的编码都应对输入数据进行如下验证：

(一) 使用强输入验证；

(二) 检验输入数据长度；

(三) 限制数值输入的范围；

(四) 限制输入字符的类型。

第二十一条 在编制软件的过程中，应对应用数据进行如下安全控制：

(一) 原则上不允许使用真实数据进行测试，特殊情况需要使用真实测试数据时，对系统测试数据要进行安全保护，并经过信息中心主管领导的审批；

(二) 在测试过程中，如模拟真实数据，应确保测试数据和真实生产数据分离；

(三) 测试完成之后，应立即将测试数据从测试系统中删除。

第二十二条 在开发过程中，为了控制编码的规范性，提高编码质量，开发部门应制定编码规范性管理的详细控制要求。

第二十三条 开发的系统要确保系统应用的数据完整性安全，防止信息在处理过程中被篡改。

第二十四条 开发的系统要确保系统应用的输出数据准确，检查输出数据，保证正确处理储存信息：

(一) 模糊性检查测试输出数据是否合理；

(二) 测验核实输出的相关提示。

第二十五条 软件开发人员应当对信息系统的安全需求和设计进行充分的沟通，并在软件编码前通过培训的方式对编码安全进行专业性技能培训。

第二十六条 选择外包人员进行软件开发时，应注意以下安全控制：

(一) 应选择信誉与质量保证能力好的软件承包商。

(二) 应通过外包合同限制软件质量、安全性和适用性的检验，并保留检查权利。

(三) 应通过外包合同明确软件许可权、代码以及相关产品的知识产权。

(四) 应签署项目保密协议，对XXXXX的项目成果、数据、管理标准以及相关的XXXXX内部信息、敏感信息、重要信息进行保密管理。

(五) 应通过合同明确代码存在后门、漏洞或安全隐患的违约或违法措施。

第二十七条 对外包软件进行安全管理和控制的过程中，应注意如下事项：

(一) 在软件开发的过程中应当配置必要的软件版本控制软件；

(二) 在软件开发过程中应当对软件编码进行质量控制，并与项目管理的应用系统主管人员进行定期质量结果沟通；

(三) 软件测试中应包括安全性测试，并提供安全性测试报告，报告内容包括但不限于病毒检测、后门检测、攻击测试和访问控制限制等；

(四) 软件部署前应对软件可能面临或包含的恶意代码进行防护。

第四章 信息系统验收安全管理**

第二十八条 XXXXX信息中心主管领导对信息系统进行验收，同时信息安全领导小组应对其中涉及的信息安全工程成果以及过程中的安全管理过程进行验收确认。

第二十九条 信息系统在初验前应注意如下安全控制：

(一) 信息系统具备与信息系统需求分析、概要设计、详细设计相一致的安全功能；

(二) 信息系统已经在与实际环境一致的测试环境运行稳定，并确定好周边安全控制措施，包括物理、网络和主机系统等基础环境；

(三) 信息系统的安全部署和运行符合XXXXX的总体安全策略要求。

第三十条 信息系统在试运行期间应跟踪可能出现的安全威胁和风险，并与信息系统承建单位保持有效沟通和协调，保障系统的安全性。

第三十一条 信息系统在试运行期间如发现安全漏洞、安全隐患或新发布的安全补丁，需要对信息系统应用软件或承载的操作系统、数据库进行及时升级

第三十二条 项目终验时应检查执行法律法规和标准情况，主要检查项目建设成果和管理是否符合有关法律、法规和国家信息化建设相关标准。

第三十三条 信息系统在终验前，必须明确系统运行的开放端口，并以书面形式交付至XXXXX信息中心进行记录和备案。

第三十四条 应根据合同要求对外包软件进行交付验收，合同要求应至少包括：

(一) 应依据开发要求的技术指标对软件功能和性能等进行验收测试；

(二) 软件安装之前应检测软件中的恶意代码；

(三) 开发单位应提供源代码；

(四) 应根据源代码对软件中可能存在的后门进行审查。

第三十五条 信息系统交付验收时，应根据合同要求制定系统 交付的清单， 依据交付清单进行清点，信息系统交付物至少应包括：

(一) 信息系统运行所需要的全部设备；

(二) 信息系统运行所需要的全部软件；

(三) 信息系统文档，包括系统建设过程中的文档，详细的系统使用和维护文档；

(四) 信息系统应急方案；

(五) 信息系统使用培训教材。

第三十六条 信息系统验收并移交后，信息系统运行人员必须立即修改信息系统中所有帐号的口令。

第三十七条 信息系统在安全管理和控制方面存在以下情况之一，不能通过验收：

(一) 信息系统未提交安全性测试报告；

(二) 信息系统的安全功能与安全需求、概要设计和详细设计内容不一致；

(三) 通过第三方检测或测试发现信息系统存在安全隐患、后门或漏洞；

(四) 信息系统的整体设计和实施不符合国家法律和相关标准要求。

第五章 项目工程管理**

第三十八条 信息系统在建设过程的工程安全管理中应至少包括如下管理内容：

(一) 信息系统建设的组织管理

(二) 信息系统建设的文档管理

(三) 信息系统建设的变更管理

第三十九条 信息系统建设的组织管理，应加强如下安全控制：

(一) 应要求承建单位建立逐级解决问题的过程、提升信息系统安全性的组织保障能力；

(二) 信息系统建设过程中应加强对于承建单位的监视和评审工作，定期组织对于信息系统承建单位和业务单位的协商，建立稳定的问题管理、故障和安全事态追踪，确保信息系统建设能够实现既定目标。

第四十条 信息系统建设的文档管理，应加强如下安全控制：

(一) 信息系统建设各个阶段涉及的文档和交付应当符合相关安全要求；

(二) 需求阶段应确保需求规格和需求调研报告中包括安全性内容；

(三) 概要和详细设计阶段应确保实现安全需求；

(四) 测试阶段应确保安全设计符合安全需求；

(五) 所有文档应设定密级、读者范围，以限定其访问范围；

(六) 所有文档的访问控制应有相应的授权机制；

(七) 文档作为软件开发中的配置项，应遵循软件配置管理要求；

(八) 信息系统开发设计过程的所有相关文档应进行记录；

第四十一条 信息系统建设的变更管理，应加强对变更本身的评估，在出现以下情况时可考虑变更：

(一) 评估现有信息系统建设是否对现有服务有所加强；

(二) 信息系统建设是否设计新应用或系统功能的开发；

(三) XXXXX组织或控制程序是否发生变更；

(四) 解决信息安全事件或对信息安全措施有所改进。

第六章 附则**

第四十二条 本办法由 XXXXX 信息中心制定，并负责解释和修订。

第四十三条 本办法自发布之日起执行。