5.3.3 風(fēng)險(xiǎn)控制

5.3.3.1 選擇和實(shí)施風(fēng)險(xiǎn)控制措施

對(duì)選擇和實(shí)施風(fēng)險(xiǎn)控制措施，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 基于安全等級(jí)標(biāo)準(zhǔn)選擇控制措施：以信息系統(tǒng)及產(chǎn)品的安全等級(jí)標(biāo)準(zhǔn)對(duì)不同等級(jí)的技術(shù)和管理要求，選擇相應(yīng)等級(jí)的安全技術(shù)和管理措施，決定需要實(shí)施的信息系統(tǒng)安全控制措施；
b） 基于風(fēng)險(xiǎn)評(píng)估選擇控制措施：在a）的基礎(chǔ)上，根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，結(jié)合組織機(jī)構(gòu)對(duì)于信息系統(tǒng)安全的需求，決定信息系統(tǒng)安全的控制措施；
c） 基于風(fēng)險(xiǎn)評(píng)估形成防護(hù)控制系統(tǒng)：在b）的基礎(chǔ)上，根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，結(jié)合機(jī)構(gòu)對(duì)于信息系統(tǒng)安全的需求，決定信息系統(tǒng)安全的控制措施；對(duì)相關(guān)的各種控制措施進(jìn)行綜合分析，得出緊迫性、優(yōu)先級(jí)、投資比重等評(píng)價(jià)，形成體系化的防護(hù)控制系統(tǒng)。


5.3.4 基于風(fēng)險(xiǎn)的決策

5.3.4.1 安全確認(rèn)

應(yīng)對(duì)信息系統(tǒng)定期進(jìn)行安全確認(rèn)。對(duì)安全確認(rèn)，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 殘余風(fēng)險(xiǎn)接受：針對(duì)信息系統(tǒng)的資產(chǎn)清單、威脅列表、脆弱性列表，結(jié)合已采用的安全控制措施，分析存在的殘余風(fēng)險(xiǎn)；應(yīng)形成殘余風(fēng)險(xiǎn)分析報(bào)告，并由組織機(jī)構(gòu)的高層管理人員決定殘余風(fēng)險(xiǎn)是否可接受；
b） 殘余風(fēng)險(xiǎn)監(jiān)視：在a）的基礎(chǔ)上，應(yīng)編制出信息系統(tǒng)殘余風(fēng)險(xiǎn)清單，并密切監(jiān)視殘余風(fēng)險(xiǎn)可能誘發(fā)的安全事件，并及時(shí)采取防護(hù)措施；
c） 安全風(fēng)險(xiǎn)再評(píng)估：在b）的基礎(chǔ)上，采用系統(tǒng)化的方法對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)實(shí)施再次評(píng)估，通過(guò)再次評(píng)估，驗(yàn)證防護(hù)措施的有效性。


5.3.4.2 信息系統(tǒng)運(yùn)行的決策

對(duì)信息系統(tǒng)運(yùn)行的決策，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 信息系統(tǒng)運(yùn)行的決定：信息系統(tǒng)的主管者或運(yùn)營(yíng)者應(yīng)根據(jù)安全確認(rèn)的結(jié)果，判斷殘余風(fēng)險(xiǎn)是否處在可接受的水平之內(nèi)，并決定是否允許信息系統(tǒng)繼續(xù)運(yùn)行；
b） 信息系統(tǒng)受控運(yùn)行：在a）的基礎(chǔ)上，如果信息系統(tǒng)的殘余風(fēng)險(xiǎn)不可接受，而現(xiàn)實(shí)情況又要求系統(tǒng)必須投入運(yùn)行，且當(dāng)前沒(méi)有其它資源能勝任組織機(jī)構(gòu)的使命，經(jīng)過(guò)組織機(jī)構(gòu)管理層的審批，可以臨時(shí)批準(zhǔn)信息系統(tǒng)投入運(yùn)行，同時(shí)應(yīng)采取相應(yīng)的風(fēng)險(xiǎn)規(guī)避和監(jiān)測(cè)控制措施，并明確風(fēng)險(xiǎn)一旦發(fā)生的責(zé)任陳述。


5.3.5 風(fēng)險(xiǎn)評(píng)估的管理

5.3.5.1 評(píng)估機(jī)構(gòu)的選擇

對(duì)評(píng)估機(jī)構(gòu)選擇，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 按資質(zhì)和信譽(yù)選擇：應(yīng)選擇有國(guó)家主管部門認(rèn)可的安全服務(wù)資質(zhì)且有良好信譽(yù)的評(píng)估機(jī)構(gòu)進(jìn)行信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估；
b） 在上級(jí)認(rèn)可的范圍內(nèi)選擇：應(yīng)在經(jīng)過(guò)本行業(yè)主管部門認(rèn)可或上級(jí)行政領(lǐng)導(dǎo)部門批準(zhǔn)的選擇范圍內(nèi)，確定有國(guó)家主管部門認(rèn)可的安全服務(wù)資質(zhì)且有良好信譽(yù)的評(píng)估機(jī)構(gòu)，進(jìn)行信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估；
c） 組織專門的評(píng)估：應(yīng)按照國(guó)家主管部門有關(guān)管理規(guī)定選擇可信評(píng)估機(jī)構(gòu)，必要時(shí)應(yīng)由國(guó)家指定專門部門、專門機(jī)構(gòu)組織進(jìn)行信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估。


5.3.5.2 評(píng)估機(jī)構(gòu)保密要求

對(duì)評(píng)估機(jī)構(gòu)的保密要求，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 簽署保密協(xié)議：評(píng)估機(jī)構(gòu)人員應(yīng)按照第三方人員管理要求（詳見(jiàn)5.2.3.6）簽署保密協(xié)議；
b） 專人監(jiān)督檢查：在a）的基礎(chǔ)上，應(yīng)有專人在整個(gè)評(píng)估過(guò)程中監(jiān)督檢查評(píng)估機(jī)構(gòu)對(duì)保密協(xié)議的執(zhí)行情況；
c） 制定具體辦法：在b）的基礎(chǔ)上，對(duì)專門評(píng)估組的保密要求應(yīng)參照《中華人民共和國(guó)保守國(guó)家秘密法》的要求，結(jié)合實(shí)際情況制定具體實(shí)施辦法。


5.3.5.3 評(píng)估信息的管理

對(duì)評(píng)估信息的管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 規(guī)定交接手續(xù)：提交涉及評(píng)估需要的資料、數(shù)據(jù)等各種信息，應(yīng)規(guī)定辦理交接手續(xù)，防止丟失；
b） 替換敏感參數(shù)：在a）的基礎(chǔ)上，提交涉及評(píng)估需要的資料、數(shù)據(jù)等各種信息，必要時(shí)可以隱藏或替換核心的或敏感的參數(shù)；
c） 不得帶出指定區(qū)域：在b）的基礎(chǔ)上，所有提交涉及評(píng)估需要的資料、數(shù)據(jù)等各種信息，只能存放在被評(píng)估方指定的計(jì)算機(jī)內(nèi)，不得帶出指定辦公區(qū)域。


5.3.5.4 技術(shù)測(cè)試過(guò)程管理

新投入運(yùn)行的信息系統(tǒng)或經(jīng)過(guò)風(fēng)險(xiǎn)評(píng)估對(duì)安全機(jī)制有較大變動(dòng)的信息系統(tǒng)應(yīng)進(jìn)行技術(shù)測(cè)試。對(duì)技術(shù)測(cè)試過(guò)程的管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 必須經(jīng)過(guò)授權(quán)：使用工具或手工進(jìn)行技術(shù)測(cè)試，應(yīng)事先提交測(cè)試的技術(shù)方案，并得到授權(quán)方可進(jìn)行；
b） 在監(jiān)督下進(jìn)行：在a）的基礎(chǔ)上，使用工具或手工進(jìn)行技術(shù)測(cè)試，應(yīng)在被測(cè)試方專人監(jiān)督下按技術(shù)方案進(jìn)行；
c） 由被評(píng)估方操作：在b）的基礎(chǔ)上，使用工具或手工進(jìn)行技術(shù)測(cè)試，可以采用由被評(píng)估方技術(shù)人員按技術(shù)方案進(jìn)行操作，評(píng)估機(jī)構(gòu)技術(shù)人員進(jìn)行場(chǎng)外指導(dǎo)；
d） 過(guò)濾測(cè)試結(jié)果：在c）的基礎(chǔ)上，使用工具或手工進(jìn)行技術(shù)測(cè)試，應(yīng)由被評(píng)估方技術(shù)人員按技術(shù)方案進(jìn)行操作，對(duì)測(cè)試結(jié)果過(guò)濾敏感或涉及國(guó)家秘密信息后再交評(píng)估方分析。


5.4 環(huán)境和資源管理

5.4.1 環(huán)境安全管理

5.4.1.1 環(huán)境安全管理要求

對(duì)環(huán)境安全管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 環(huán)境安全的基本要求：應(yīng)配置物理環(huán)境安全的責(zé)任部門和管理人員；建立有關(guān)物理環(huán)境安全方面的規(guī)章制度；物理安全方面應(yīng)達(dá)到GB/T 20271-2006中6.1.1的有關(guān)要求；
b） 較完整的制度化管理：在a）的基礎(chǔ)上，應(yīng)對(duì)物理環(huán)境劃分不同保護(hù)等級(jí)的安全區(qū)域進(jìn)行管理；應(yīng)制定對(duì)物理安全設(shè)施進(jìn)行檢驗(yàn)、配置、安裝、運(yùn)行的有關(guān)制度和保障措施；實(shí)行關(guān)鍵物理設(shè)施的登記制度；物理安全方面應(yīng)達(dá)到GB/T 20271-2006中6.2.1的有關(guān)要求；
c） 安全區(qū)域標(biāo)記管理：在b）的基礎(chǔ)上，應(yīng)對(duì)物理環(huán)境中所有安全區(qū)域進(jìn)行標(biāo)記管理，包括不同安全保護(hù)等級(jí)的辦公區(qū)域、機(jī)房、介質(zhì)庫(kù)房等；介質(zhì)庫(kù)房的管理可以參照同等級(jí)的機(jī)房的要求；物理安全方面應(yīng)達(dá)到GB/T 20271-2006中6.3.1的有關(guān)要求；
d） 安全區(qū)域隔離和監(jiān)視：在c）的基礎(chǔ)上，應(yīng)實(shí)施不同保護(hù)等級(jí)安全區(qū)域的隔離管理；出入人員應(yīng)經(jīng)過(guò)相應(yīng)級(jí)別的授權(quán)并有監(jiān)控措施；對(duì)重要安全區(qū)域的活動(dòng)應(yīng)實(shí)時(shí)監(jiān)視和記錄；物理安全方面應(yīng)達(dá)到B/T 20271-2006中6.4.1的有關(guān)要求；
e） 安全保障的持續(xù)改善：在d）的基礎(chǔ)上，應(yīng)對(duì)物理安全保障定期進(jìn)行監(jiān)督、檢查和不斷改進(jìn)，實(shí)現(xiàn)持續(xù)改善；物理安全方面應(yīng)達(dá)到GB/T 20271-2006中6.5.1的有關(guān)要求。


5.4.1.2 機(jī)房安全管理要求

對(duì)機(jī)房安全管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 機(jī)房安全管理的基本要求：應(yīng)明確機(jī)房安全管理的責(zé)任人，機(jī)房出入應(yīng)有指定人員負(fù)責(zé)，未經(jīng)允許的人員不準(zhǔn)進(jìn)入機(jī)房；獲準(zhǔn)進(jìn)入機(jī)房的來(lái)訪人員，其活動(dòng)范圍應(yīng)受到限制，并有接待人員陪同；機(jī)房鑰匙由專人管理，未經(jīng)批準(zhǔn)，不準(zhǔn)任何人私自復(fù)制機(jī)房鑰匙或服務(wù)器開(kāi)機(jī)鑰匙；沒(méi)有指定管理人員的明確準(zhǔn)許，任何記錄介質(zhì)、文件材料及各種被保護(hù)品均不準(zhǔn)帶出機(jī)房，與工作無(wú)關(guān)的物品均不準(zhǔn)帶入機(jī)房；機(jī)房?jī)?nèi)嚴(yán)禁吸煙及帶入火種和水源；
b） 加強(qiáng)對(duì)來(lái)訪人員的控制：在a）的基礎(chǔ)上，要求所有來(lái)訪人員應(yīng)經(jīng)過(guò)正式批準(zhǔn)，登記記錄應(yīng)妥善保存以備查；獲準(zhǔn)進(jìn)入機(jī)房的來(lái)訪人員，一般應(yīng)禁止攜帶個(gè)人計(jì)算機(jī)等電子設(shè)備進(jìn)入機(jī)房，其活動(dòng)范圍和操作行為應(yīng)受到限制，并有機(jī)房接待人員負(fù)責(zé)和陪同；
c） 增強(qiáng)門禁控制手段：在b）的基礎(chǔ)上，任何進(jìn)出機(jī)房的人員應(yīng)經(jīng)過(guò)門禁設(shè)施的監(jiān)控和記錄，應(yīng)有防止繞過(guò)門禁設(shè)施的手段；門禁系統(tǒng)的電子記錄應(yīng)妥善保存以備查；進(jìn)入機(jī)房的人員應(yīng)佩戴相應(yīng)證件；未經(jīng)批準(zhǔn)，禁止任何物理訪問(wèn)；未經(jīng)批準(zhǔn)，禁止任何人移動(dòng)計(jì)算機(jī)相關(guān)設(shè)備或帶離機(jī)房；
d） 使用視頻監(jiān)控和專職警衛(wèi)：在c）的基礎(chǔ)上，機(jī)房所在地應(yīng)有專職警衛(wèi)，通道和入口處應(yīng)設(shè)置視頻監(jiān)控點(diǎn)，24小時(shí)值班監(jiān)視；所有來(lái)訪人員的登記記錄、門禁系統(tǒng)的電子記錄以及監(jiān)視錄像記錄應(yīng)妥善保存以備查；禁止攜帶移動(dòng)電話、電子記事本等具有移動(dòng)互連功能的個(gè)人物品進(jìn)入機(jī)房；
e） 采取防止電磁泄漏保護(hù)：在d）的基礎(chǔ)上，對(duì)需要防止電磁泄漏的計(jì)算機(jī)設(shè)備配備電磁干擾設(shè)備，在被保護(hù)的計(jì)算機(jī)設(shè)備工作時(shí)電磁干擾設(shè)備不準(zhǔn)關(guān)機(jī)；必要時(shí)可以使用屏蔽機(jī)房。屏蔽機(jī)房應(yīng)隨時(shí)關(guān)閉屏蔽門；不得在屏蔽墻上打釘鉆孔，不得在波導(dǎo)管以外或不經(jīng)過(guò)過(guò)濾器對(duì)屏蔽機(jī)房?jī)?nèi)外連接任何線纜；應(yīng)經(jīng)常測(cè)試屏蔽機(jī)房的泄漏情況并進(jìn)行必要的維護(hù)。

5.4.1.3 辦公環(huán)境安全管理要求

對(duì)辦公環(huán)境的安全管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 辦公環(huán)境安全管理基本要求：設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境，是信息系統(tǒng)環(huán)境的組成部分，應(yīng)防止利用終端系統(tǒng)竊取敏感信息或非法訪問(wèn)；工作人員下班后，終端計(jì)算機(jī)應(yīng)關(guān)閉；存放敏感文件或信息載體的文件柜應(yīng)上鎖或設(shè)置密碼；工作人員調(diào)離部門或更換辦公室時(shí)，應(yīng)立即交還辦公室鑰匙；設(shè)立獨(dú)立的會(huì)客接待室，不在辦公環(huán)境接待來(lái)訪人員；
b） 辦公環(huán)境安全管理增強(qiáng)要求：在a）的基礎(chǔ)上，工作人員離開(kāi)座位應(yīng)將桌面上含有敏感信息的紙件文檔放在抽屜或文件柜內(nèi)；工作人員離開(kāi)座位，終端計(jì)算機(jī)應(yīng)退出登錄狀態(tài)、采用屏幕保護(hù)口令保護(hù)或關(guān)機(jī)；
c） 關(guān)鍵部位辦公環(huán)境的要求：在b）的基礎(chǔ)上，在關(guān)鍵區(qū)域或部位，應(yīng)使相應(yīng)的辦公環(huán)境與機(jī)房的物理位置在一起，以便進(jìn)行統(tǒng)一的物理保護(hù)。


5.4.2 資源管理

5.4.2.1 資產(chǎn)清單管理

對(duì)資產(chǎn)清單的管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 一般資產(chǎn)清單：應(yīng)編制并維護(hù)與信息系統(tǒng)相關(guān)的資產(chǎn)清單，至少包括以下內(nèi)容：
——信息資產(chǎn)：應(yīng)用數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、安全數(shù)據(jù)等數(shù)據(jù)庫(kù)和數(shù)據(jù)文檔、系統(tǒng)文件、用戶手冊(cè)、培訓(xùn)資料、操作和支持程序、持續(xù)性計(jì)劃、備用系統(tǒng)安排、存檔信息；
——軟件資產(chǎn)：應(yīng)用軟件、系統(tǒng)軟件、開(kāi)發(fā)工具和實(shí)用程序；
——有形資產(chǎn)：計(jì)算機(jī)設(shè)備（處理器、監(jiān)視器、膝上形電腦、調(diào)制解調(diào)器），通信設(shè)備（路由器、數(shù)字程控交換機(jī)、傳真機(jī)、應(yīng)答機(jī)），磁媒體（磁帶和軟盤），其他技術(shù)裝備（電源，空調(diào)設(shè)備），家具和機(jī)房；
——應(yīng)用業(yè)務(wù)相關(guān)資產(chǎn)：由信息系統(tǒng)控制的或與信息系統(tǒng)密切相關(guān)的應(yīng)用業(yè)務(wù)的各類資產(chǎn)，由于信息系統(tǒng)或信息的泄露或破壞，這些資產(chǎn)會(huì)受到相應(yīng)的損壞；
——服務(wù)：計(jì)算和通信服務(wù)，通用設(shè)備如供暖、照明、供電和空調(diào)等；
b） 詳細(xì)的資產(chǎn)清單：在a）的基礎(chǔ)上，應(yīng)清晰識(shí)別每項(xiàng)資產(chǎn)的擁有權(quán)、責(zé)任人、安全分類以及資產(chǎn)所在的位置等；
c） 業(yè)務(wù)應(yīng)用系統(tǒng)清單：在b）的基礎(chǔ)上，應(yīng)清晰識(shí)別業(yè)務(wù)應(yīng)用系統(tǒng)資產(chǎn)的擁有權(quán)、責(zé)任人、安全分類以及資產(chǎn)所在的位置等；必要時(shí)應(yīng)該包括主要業(yè)務(wù)應(yīng)用系統(tǒng)處理流程和數(shù)據(jù)流的描述，以及業(yè)務(wù)應(yīng)用系統(tǒng)用戶分類說(shuō)明。


5.4.2.2 資產(chǎn)的分類與標(biāo)識(shí)要求

對(duì)資產(chǎn)的分類與標(biāo)識(shí)，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 資產(chǎn)標(biāo)識(shí)：應(yīng)根據(jù)資產(chǎn)的價(jià)值/重要性對(duì)資產(chǎn)進(jìn)行標(biāo)識(shí)，以便可以基于資產(chǎn)的價(jià)值選擇保護(hù)措施和進(jìn)行資產(chǎn)管理等相關(guān)工作；
b） 資產(chǎn)分類管理：在a）的基礎(chǔ)上，應(yīng)對(duì)信息資產(chǎn)進(jìn)行分類管理，對(duì)信息系統(tǒng)內(nèi)分屬不同業(yè)務(wù)范圍的各類信息，按其對(duì)安全性的不同要求分類加以標(biāo)識(shí)。對(duì)于信息資產(chǎn)，通常信息系統(tǒng)數(shù)據(jù)可以分為系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)兩類，其重要性一般與其所在的系統(tǒng)或子系統(tǒng)的安全保護(hù)等級(jí)相關(guān)；用戶數(shù)據(jù)的重要性還應(yīng)考慮自身保密性分類，如：
——國(guó)家秘密信息：秘密、機(jī)密、絕密信息；
——其他秘密信息：受國(guó)家法律保護(hù)的商業(yè)秘密和個(gè)人隱私信息；
——專有信息：國(guó)家或組織機(jī)構(gòu)內(nèi)部共享、內(nèi)部受限、內(nèi)部?？匦畔?，以及公民個(gè)人專有信息；
——公開(kāi)信息：國(guó)家公開(kāi)共享的信息、組織機(jī)構(gòu)公開(kāi)共享的信息、公民個(gè)人可公開(kāi)共享的信息；


組織機(jī)構(gòu)應(yīng)根據(jù)業(yè)務(wù)應(yīng)用的具體情況進(jìn)行分類分級(jí)和標(biāo)識(shí)，納入規(guī)范化管理；不同安全等級(jí)的信息應(yīng)當(dāng)本著“知所必需、用所必需、共享必需、公開(kāi)必需、互聯(lián)通信必需”的策略進(jìn)行訪問(wèn)控制和信息交換管理；

c） 資產(chǎn)體系架構(gòu)：在b）的基礎(chǔ)上，以業(yè)務(wù)應(yīng)用為主線，用體系架構(gòu)的方法描述信息資產(chǎn)；資產(chǎn)體系架構(gòu)不是簡(jiǎn)單的資產(chǎn)清單，而是通過(guò)對(duì)各個(gè)資產(chǎn)之間有機(jī)的聯(lián)系和關(guān)系的結(jié)構(gòu)性描述。


5.4.2.3 介質(zhì)管理

對(duì)介質(zhì)管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 介質(zhì)管理基本要求：對(duì)脫機(jī)存放的各類介質(zhì)（包括信息資產(chǎn)和軟件資產(chǎn)的介質(zhì)）進(jìn)行控制和保護(hù)，以防止被盜、被毀、被修改以及信息的非法泄漏；介質(zhì)的歸檔和查詢應(yīng)有記錄，對(duì)存檔介質(zhì)的目錄清單應(yīng)定期盤點(diǎn)；介質(zhì)應(yīng)儲(chǔ)放在安全的環(huán)境中防止損壞；對(duì)于需要送出維修或銷毀的介質(zhì)，應(yīng)防止信息的非法泄漏；對(duì)各類介質(zhì)的保管應(yīng)參照5.1.3.2相應(yīng)要求執(zhí)行；
b） 介質(zhì)異地存放要求：在a）的基礎(chǔ)上，根據(jù)所承載的數(shù)據(jù)和軟件的重要程度對(duì)介質(zhì)進(jìn)行標(biāo)識(shí)和分類，存放在由專人管理的介質(zhì)庫(kù)中，防止被盜、被毀以及信息的非法泄漏；對(duì)存儲(chǔ)保密性要求較高的信息的介質(zhì)，其借閱、拷貝、傳輸須經(jīng)相應(yīng)級(jí)別的領(lǐng)導(dǎo)批準(zhǔn)后方可執(zhí)行，并登記在冊(cè)；存儲(chǔ)介質(zhì)的銷毀必須經(jīng)批準(zhǔn)并按指定方式進(jìn)行，不得自行銷毀；介質(zhì)應(yīng)保留2個(gè)以上的副本，而且要求介質(zhì)異地存儲(chǔ)，存儲(chǔ)地的環(huán)境要求和管理方法應(yīng)與本地相同；
c） 完整性檢查的要求：在b）的基礎(chǔ)上，對(duì)重要介質(zhì)的數(shù)據(jù)和軟件必要時(shí)可以加密存儲(chǔ)；對(duì)重要的信息介質(zhì)的借閱、拷貝、分發(fā)傳遞須經(jīng)相應(yīng)級(jí)別的領(lǐng)導(dǎo)的書面審批后方可執(zhí)行，并各種處理過(guò)程應(yīng)登記在冊(cè)，介質(zhì)的分發(fā)傳遞采取保護(hù)措施；對(duì)于需要送出維修或銷毀的介質(zhì)，應(yīng)首先刪除信息，再重復(fù)寫操作進(jìn)行覆蓋，防止數(shù)據(jù)恢復(fù)和信息泄漏；需要帶出工作環(huán)境的介質(zhì)，其信息應(yīng)受到保護(hù)；對(duì)存放在介質(zhì)庫(kù)中的介質(zhì)應(yīng)定期進(jìn)行完整性和可用性檢查，確認(rèn)其數(shù)據(jù)或軟件沒(méi)有受到損壞或丟失；
d） 加密存儲(chǔ)的要求：在c）的基礎(chǔ)上，對(duì)介質(zhì)中的重要數(shù)據(jù)必須使用加密技術(shù)或數(shù)據(jù)隱藏技術(shù)進(jìn)行存儲(chǔ)；介質(zhì)的保存和分發(fā)傳遞應(yīng)有嚴(yán)格的規(guī)定并進(jìn)行登記；介質(zhì)受損但無(wú)法執(zhí)行刪除操作的，必須銷毀；介質(zhì)銷毀在經(jīng)主管領(lǐng)導(dǎo)審批后應(yīng)由兩人完成，一人執(zhí)行銷毀一人負(fù)責(zé)監(jiān)銷，
銷毀過(guò)程應(yīng)記錄；
e） 高強(qiáng)度加密存儲(chǔ)的要求：在d）的基礎(chǔ)上，對(duì)極為重要數(shù)據(jù)的介質(zhì)應(yīng)該使用高強(qiáng)度的加密技術(shù)或數(shù)據(jù)隱藏技術(shù)進(jìn)行存儲(chǔ)，并對(duì)有關(guān)密鑰和數(shù)據(jù)隱藏處理程序嚴(yán)格保管。


5.4.2.4 設(shè)備管理要求

對(duì)設(shè)備管理要求，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 申報(bào)和審批要求：對(duì)于信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購(gòu)、發(fā)放或領(lǐng)用，使用者應(yīng)提出申請(qǐng)，報(bào)經(jīng)相應(yīng)領(lǐng)導(dǎo)審批，才可以實(shí)施；設(shè)備的選型、采購(gòu)、使用和保管應(yīng)明確責(zé)任人；
b） 系統(tǒng)化管理：在a）的基礎(chǔ)上，要求設(shè)備有專人負(fù)責(zé)，實(shí)行分類管理；通過(guò)對(duì)資產(chǎn)清單（見(jiàn)5.4.2.1）的管理，記錄資產(chǎn)的狀況和資產(chǎn)使用、轉(zhuǎn)移、廢棄及其授權(quán)過(guò)程，保證設(shè)備的完好率；
c） 建立資產(chǎn)管理信息登記機(jī)制：在b）的基礎(chǔ)上，對(duì)各種資產(chǎn)進(jìn)行全面管理，提高資產(chǎn)安全性和使用效率；建立資產(chǎn)管理登記系統(tǒng)，提供資產(chǎn)分類標(biāo)識(shí)、授權(quán)與訪問(wèn)控制、變更管理、系統(tǒng)安全審計(jì)等功能，為整個(gè)系統(tǒng)提供基礎(chǔ)技術(shù)支撐。


5.5 運(yùn)行和維護(hù)管理

5.5.1 用戶管理

5.5.1.1 用戶分類管理

對(duì)用戶分類管理，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 用戶分類清單：應(yīng)按審查和批準(zhǔn)的用戶分類清單建立用戶和分配權(quán)限。用戶分類清單應(yīng)包括信息系統(tǒng)的所有用戶的清單，以及各類用戶的權(quán)限；用戶權(quán)限發(fā)生變化時(shí)應(yīng)及時(shí)更改用戶清單內(nèi)容；必要時(shí)可以對(duì)有關(guān)用戶開(kāi)啟審計(jì)功能。用戶分類清單應(yīng)包括：
——系統(tǒng)用戶：指系統(tǒng)管理員、網(wǎng)絡(luò)管理員、數(shù)據(jù)庫(kù)管理員和系統(tǒng)運(yùn)行操作員等特權(quán)用戶；
——普通用戶：指OA和各種業(yè)務(wù)應(yīng)用系統(tǒng)的用戶；
——外部客戶用戶：指組織機(jī)構(gòu)的信息系統(tǒng)對(duì)外服務(wù)的客戶用戶；
——臨時(shí)用戶：指系統(tǒng)維護(hù)測(cè)試和第三方人員使用的用戶；
b） 特權(quán)用戶管理：在a）的基礎(chǔ)上，應(yīng)對(duì)信息系統(tǒng)的所有特權(quán)用戶列出清單，說(shuō)明各個(gè)特權(quán)用戶的權(quán)限，以及特權(quán)用戶的責(zé)任人員和授權(quán)記錄；定期檢查特權(quán)用戶的實(shí)際分配權(quán)限是否與特權(quán)用戶清單符合；對(duì)特權(quán)用戶開(kāi)啟審計(jì)功能；
c） 重要業(yè)務(wù)用戶管理：在b）的基礎(chǔ)上，應(yīng)對(duì)信息系統(tǒng)的所有重要業(yè)務(wù)用戶的列出清單，說(shuō)明各個(gè)用戶的權(quán)限，以及用戶的責(zé)任人員和授權(quán)記錄；定期檢查重要業(yè)務(wù)用戶的實(shí)際分配權(quán)限是否與用戶清單符合；對(duì)重要業(yè)務(wù)用戶開(kāi)啟審計(jì)功能；
d） 關(guān)鍵部位用戶管理：在c）的基礎(chǔ)上，應(yīng)對(duì)關(guān)鍵部位用戶采取逐一審批和授權(quán)的程序，并記錄備案；定期檢查這些用戶的實(shí)際分配權(quán)限是否與授權(quán)符合，對(duì)這些用戶開(kāi)啟審計(jì)功能。


5.5.1.2 系統(tǒng)用戶要求

對(duì)系統(tǒng)用戶，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 最小授權(quán)要求：系統(tǒng)用戶應(yīng)由信息系統(tǒng)的主管領(lǐng)導(dǎo)指定，授權(quán)應(yīng)以滿足其工作需要的最小權(quán)限為原則；系統(tǒng)用戶應(yīng)接受審計(jì)；
b） 責(zé)任到人要求：在a）的基礎(chǔ)上，對(duì)重要信息系統(tǒng)的系統(tǒng)用戶，應(yīng)進(jìn)行人員的嚴(yán)格審查，符合要求的人員才能給予授權(quán)；對(duì)系統(tǒng)用戶應(yīng)能區(qū)分責(zé)任到個(gè)人，不應(yīng)以部門或組作為責(zé)任人；
c） 監(jiān)督性保護(hù)要求：在b）的基礎(chǔ)上，在關(guān)鍵信息系統(tǒng)中，對(duì)系統(tǒng)用戶的授權(quán)操作，必須有兩人在場(chǎng)，并經(jīng)雙重認(rèn)可后方可操作；操作過(guò)程應(yīng)自動(dòng)產(chǎn)生不可更改的審計(jì)日志。


5.5.1.3 普通用戶要求

對(duì)普通用戶，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 普通用戶的基本要求：應(yīng)保護(hù)好口令等身份鑒別信息；發(fā)現(xiàn)系統(tǒng)的漏洞、濫用或違背安全行為應(yīng)及時(shí)報(bào)告；不應(yīng)透露與組織機(jī)構(gòu)有關(guān)的非公開(kāi)信息；不應(yīng)故意進(jìn)行違規(guī)的操作；
b） 處理敏感信息的要求：在a）的基礎(chǔ)上，不應(yīng)在不符合敏感信息保護(hù)要求的系統(tǒng)中保存和處理高敏感度的信息；不應(yīng)使用各種非正版軟件和不可信的自由軟件；
c） 重要業(yè)務(wù)應(yīng)用的要求：在b）的基礎(chǔ)上，應(yīng)在系統(tǒng)規(guī)定的權(quán)限內(nèi)進(jìn)行操作，必要時(shí)某些重要操作應(yīng)得到批準(zhǔn)；用戶應(yīng)保管好自己的身份鑒別信息載體，不得轉(zhuǎn)借他人。


5.5.1.4 機(jī)構(gòu)外部用戶要求

對(duì)機(jī)構(gòu)外部用戶，不同安全等級(jí)應(yīng)有選擇地滿足以下要求的一項(xiàng)：

a） 外部用戶一般要求：應(yīng)對(duì)外部用戶明確說(shuō)明使用者的責(zé)任、義務(wù)和風(fēng)險(xiǎn)，并要求提供合法使用的聲明；外部用戶應(yīng)保護(hù)口令等身份鑒別信息；外部用戶只能是應(yīng)用層的用戶；
b） 外部特定用戶要求：在a）的基礎(chǔ)上，可對(duì)特定外部用戶提供專用通信通道，端口，特定的應(yīng)用或數(shù)據(jù)協(xié)議，以及專用設(shè)備等；
c） 外部用戶的限制：在b）的基礎(chǔ)上，在關(guān)鍵部位，一般不允許設(shè)置外部用戶。