中华人民共和国国家标准信息安全技术信息系统安全工程管理要求发布中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会实施发布目次前言范围规范性引用文件术语和定义安全工程体系概述安全工程目标基本关系资格保证要求系统集成资质要求人员资质要求第三方服务要求安全产品要求工程监理要求法律法规政策符合性要求组织保证要求定义组织的系统工程过程改进组织的系统工程过程管理系列产品演化管理系统工程支持环境培训与供应商协调工程实施要求管理安全控制评估影响评估安全风险评估威胁评估脆弱性建立保证论据协调安全监视安全态势提供安全输入指定安全要求验证和确认安全性项目实施要求质量保证管理配置管理项目风险监视技术活动计划技术活动安全工程管理分等级要求第一级用户自主保护级第二级系统审计保护级第三级安全标记保护级第四级结构化保护级第五级访问验证保护级安全保护等级划分安全工程要求对照表安全工程流程与安全工程要求安全工程流程安全工程流程各阶段的安全工程要求附录安全工程要求与安全保护等级安全工程流程的对应关系参考文献前言略信息安全等级保护信息系统安全工程管理要求范围本标准规定了信息安全工程以下简称安全工程的管理要求是对信息安全工程中所涉及到的需求方实施方与第三方工程实施的指导性文件各方可以此为依据建立安全工程管理体系本标准按照划分的五个安全保护等级规定了信息安全工程的不同要求本标准适用于该系统的需求方和实施方的工程管理其他有关各方也可参照使用规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款凡是注明日期的引用文件其随后所有的修改单不包括勘误的内容或修订版均不适用于本标准使用本标准的各方应探讨使用下列标准最新版本的可能性凡是不注明日期的引用文件其最新版本适用于本标准计算机信息系统安全保护等级划分准则信息安全等级保护信息系统安全通用技术要求信息安全等级保护信息系统安全管理要求术语和定义下列术语和定义适用于本标准安全工程为确保信息系统的保密性完整性可用性等目标而进行的系统工程过程安全工程的生存周期在整个信息系统生存周期中执行的安全工程活动包括概念形成概念开发和定义验证与确认工程实施开发与制造生产与部署运行与支持和终止安全工程指南由工程组做出的有关如何选择工程体系结构设计与实现的指导性信息脆弱性能够被某种威胁利用的某个或某组资产的弱点风险某种威胁会利用一种资产或若干资产的脆弱性使这些资产损失或破坏的可能性需求方信息系统安全工程建设的拥有者或组织者实施方信息系统安全工程的建设与服务的提供方第三方独立于需求方实施方从事信息系统安全工程建设相关活动的中立组织或机构项目项目是各种相关实施活动和资源的总和这些实施活动和资源用于开发或维护信息安全工程一个项目往往有相关的资金成本账目和交付时间表过程把输入转化为输出的一组相关活动过程管理一系列用于预见评价和控制过程执行的活动和体系结构安全工程体系概述在整个工程范围内确定了不同等级工程的具体要求构成了安全工程管理要求体系通过这个体系从安全工程中分离出实施和保证的基本特征建立信息系统安全分级保护要求与工程管理的关系安全工程目标理解需求方的安全风险根据已标识的安全风险建立合理的安全要求将安全要求转换成安全指南这些安全指南指导项目实施的其它活动在正确有效的安全机制下建立对信息安全的信心和保证判断系统中和系统运行时残留的安全脆弱性及其对运行的影响是否可容忍即可接受的风险使安全工程成为一个可信的工程活动能够满足相应等级信息系统设计的要求基本关系安全工程由安全等级保证与实施要求两个维度组成不同等级要求的安全工程对应不同的保证与实施要求其中保证是由资格保证要求和组织保证要求构成实施是由工程实施要求和项目实施要求构成资格保证要求表示信息安全工程中对应具备一定能力级别的实施方或与工程相关第三方资质的要求组织保证要求表示信息安全工程过程要求中对需求方组织保证的要求工程实施要求表示信息安全工程中对安全实施过程的要求项目实施要求表示信息安全工程中对项目实施过程的要求资格保证要求系统集成资质要求国家主管部门认可的系统集成资质人员资质要求国家主管部门认可的安全服务人员资质第三方服务要求国家主管部门认可的服务单位资质安全产品要求信息安全产品应具有在国内生产经营销售的许可证并符合相应的等级工程监理要求应具备信息安全系统建设工程实施监理管理制度系统聘请专业监理公司且监理公司具有国家主管部门认可监理资质证书法律法规政策符合性要求系统应符合国家相关的法律法规和政策组织保证要求定义组织的系统工程过程基本要求应为系统工程定义一套标准有明确目标的过程这套标准的过程可以通过裁剪应用于定义新工程项目的过程制定过程目标从组织的应用目标出发为组织的系统工程过程制定目标系统工程过程在业务环境中运行为了使组织的标准实现制度化该目标应得到明确的认可这个过程的目标应考虑财力质量人力资源和对业务成功起重要作用的问题收集过程资产收集和维护系统工程过程资产在组织和项目层次中由过程定义活动所产生的信息都需要存储在过程资产库中使得那些剪裁过程设计活动中的资产能被使用人理解并得到维护与保持开发组织的系统工程过程为组织开发一个充分定义的标准系统工程过程在开发组织的标准系统工程过程中可能使用到过程资产库中的设备在开发任务时可能需要一些新的过程资产应该将这些资产添加到过程资产库中应该将组织的标准系统工程过程置于过程资产库中定义剪裁指南定义剪裁组织的标准系统工程过程的指南该指南在开发项目的定义过程中使用改进组织的系统工程过程基本要求应实施测量和改进系统工程过程的连续活动以标准系统工程过程定义为基础通过不断改进活动提高组织系统工程过程的效益和效率评定过程评定组织中现有的执行过程以便了解它们的强项和弱项了解组织现有的执行过程的强项和弱项是建立改进活动基线的关键评定时应考虑过程执行的测量与课程学习过程评定可以多种形式进行评定方法的选择应与文化和组织需求相匹配规划过程改进应基于对潜在改进所产生影响的分析为组织制订过程改进计划以达到过程的目标改变标准过程改变组织的标准系统工程过程以便反映目标的改进沟通过程改进适当地同现有项目和其它有相关团体共同沟通过程的改进管理系列产品演化基本要求应通过引进服务设备和新技术实现产品更新与工程费用降低获取工程进度和执行的最佳收益定义产品演化定义要提供产品的类型定义支持组织战略目标的系列产品考虑组织的强项和弱项竞争力潜在的市场份额和可利用的技术标识新生产技术标识新生产技术或加强基础设施建设将有助于组织获取开发和应用新生产技术来提高竞争优势确定可能引入到系列产品的新生产技术为确定新技术和基础设施改进而建立并能维护的原始资料和方法适应开发过程在产品开发周期中采取必要的变动以支持新产品的开发适应组织的产品开发过程熟悉并利用准备在将来使用的组件确保关键组件的可用性确保关键组件都可利用并可以支持有计划的产品改进组织应确定产品系列的关键组件及其可用性的计划插入产品技术将新的技术插入到产品开发市场营销和制造过程中管理将新技术引入到系列产品的工作包括现有产品系列组件的改进新组件的引进标识和管理与产品设计变化有关的风险管理系统工程支持环境基本要求应能够为不同需求的系统工程提供支持环境并可以通过剪裁适应不同的项目根据技术环境状态的变化对支持环境进行改进维持技术认识维持对支持实现组织目标的那些技术的认识对工艺现状或实施现状应该插入新的技术组织应具有对新技术的充分认识确定支持需求根据组织的需要确定组织的系统工程支持环境的需求获得系统工程支持环境获得一个系统工程支持环境该环境要满足在确定支持需求中通过利用分析候选解决要求项的实施而建立的要求针对所需的系统工程支持环境确定其评价标准和潜在的候选解决方案利用分析候选解决要求项选择一个解决方案得到并实现所选的系统工程支持环境剪裁系统工程支持环境剪裁系统工程支持环境以满足单个项目的要求插入新技术根据组织的应用目标和项目需要将新技术插入到系统工程支持环境中组织的系统工程支持环境应用新技术更新并要支持组织的应用目标及工程需要在系统工程支持环境中应提供使用新技术的培训维护环境维护系统工程支持环境以持续支持依赖该环境的项目维护活动包括计算机系统管理培训热线支持专家的作用发展或者扩充一个技术库等监视系统工程支持环境监视系统工程支持环境以发现改进的机会确定影响系统工程支持环境有用性的因素包括任何新插入的技术监视新技术和整个系统工程支持环境的接受情况培训基本要求应建立一套完整的培训体系能够为员工提供满足组织需求并适用于系统工程活动的及时有效的知识与技能培训确定培训要求以项目的要求组织的战略计划和现有的员工技能情况为指导确定组织在技能与知识方面所需的改进综合现有的程序组织的战略计划和现有员工的技能等各方面信息确定这些要求选择知识或技能的获取模式评价和选择通过培训或其它资源获取知识或技能的适当模式应确保所选择的方法是最佳的以使得所需技能和知识对项目及时有效确保技能和知识的可用性确保技能和知识对系统工程活动是适用的准备培训材料根据确定的培训要求准备培训材料为每一个由组织内部人员建成的班编制培训材料或为每一个已存在的班准备培训材料培训人员培训教员要具备执行赋予他们的角色的技能与知识要根据培训计划和编制的材料进行人员培训评估培训的有效性评估培训的有效性以满足所确定的培训要求评估有效性的方法应与培训计划编制和培训材料的拟定同时列出应及时获取有效性评估的结果以便对培训做出相应调整维护培训记录维护培训与取得经验的记录维护记录以追踪每个人员接受培训的情况以及受训后的技能和能力维护培训材料维护知识库中的培训材料维护知识库中的课件材料以供员工今后访问并且在课程材料变动时可供跟踪与供应商协调基本要求应能够根据工程的需求建立与维护供应商的关系确保供应商能够为系统工程提供满足要求的产品或服务确定系统的组件或服务确定应由其它外部组织提供的系统组件或服务确定胜任的供应商或销售商标识在特定领域中具有专门技术的供应商供应商的能力包括胜任开发过程制造过程验证责任及时交付生存周期支持过程及远程有效通信能力上述能力应符合本组织的各项要求选择供应商或销售商依照选择供应商以合乎逻辑和公平的方式选择供应商以满足产品的目标提供最能弥补本组织能力的供应商特征标识合格的候选者通过要求项管理安全控制的实施来选择出合适的供应商提出要求对供应商提出组织对系统组件或服务的要求期望和效果指标在合同签署时组织应将它的要求和期望清楚地指明并排出优先顺序并且要指明对供应商方面的所有限制组织要与供应商密切合作使其充分了解产品达到的要求和自己要承担的责任并达成相互理解维持沟通与供应商维持及时的双向沟通组织与供应商要对期望的和所需的沟通建立相互谅解所建立的沟通的特点包括双方公认的公开的没有任何限制的信息类型受限的信息类型如策略或合同关系所期望的信息请求与回应的及时性用于沟通的工具和方法安全保密以及期望的分布情况工程实施要求管理安全控制基本要求应保证系统在运