信息安全—信息系统建设安全管理办法.

河北省政务云

信息系统建设安全管理办法

版本：1.0

作者：中国联合网络通信有限公司河北省分公司

时间：2016年3月25日

文档修订记录

序号时间修改描述修改者审核者1 创建文档结构

1目的

为了加强河北省政务云项目信息安全保障能力，进一步提高信息系统安全保障水平，确保信息化建设的项目立项、设计、实施、验收等各个环节与信息安全管理控制机制能够有机结合，实现信息系统建设项目过程中的工程管理和内容安全可控，特制定本办法。

2适用范围

本办法适用于河北省政务云项目信息系统建设中的安全管理。

3职责

信息系统中的安全建设应遵循“同步规划、同步建设、同步运行”的原则，确保信息安全控制成为信息系统中的组成部分之一。

4管理要求

4.1信息系统规划安全管理

信息系统规划阶段安全管理包括信息化建设管理中覆盖的项目立项、项目需求与要求、项目审批和项目招标相关阶段的信息安全管理要求。

应根据信息系统的等级划分情况和整体安全策略，统一考虑安全技术框架、安全管理策略、总体建设规划和初步设计方案。

信息系统建设项目申请部门立项申请时，应明确信息系统的安全要求。

可行性分析应确定信息系统的安全等级，进一步明确安全目标和主要技术路线：

➢根据国家标准GB/T22240《信息系统安全等级保护定级指南》确定信息系统的安全等级；

➢描述信息系统业务信息的安全目标和业务服务的安全目标；

➢结合现有信息安全平台，阐述实现安全目标的可行性。

项目需求分析过程中应包括信息系统安全性需求分析的内容，至少包括以下信息安全方面的内容：

➢根据信息系统安全等级，参照国家标准GB/T22239《信息系统安全等级

保护基本要求》相应等级的安全控制要求进行选择；

➢分析信息系统可能面临的安全威胁、风险和目前存在的脆弱性，根据实际环境的风险情况对安全控制要求进行调整；

➢应根据所选择的安全控制，根据现行技术、产品、管理流程的实际情况，形成相应的安全可行性方案；

➢信息系统可能需要的安全功能性需求，包括但不限于用户身份、访问控制、数据和信息保密性、数据审计和跟踪等。

信息技术与数据管理处主管领导在对项目进行立项审批的过程中，应审核如下信息安全方面的内容：

➢信息系统中的安全需求、设计内容是否符合总体安全策略要求；

➢信息系统项目中的网络安全是否涉及网络安全域的访问控制、网络边界安全、网络传输安全和冗余性；

➢信息系统项目中的操作系统和数据库安全是否涉及系统的稳定性、安全配置和安全管理；

➢信息系统项目中的应用安全是否涉及身份验证、角色访问控制、数据加密、备份、日志审计等安全功能；

➢信息系统项目中对于安全功能实现的安全技术、产品是否符合整体信息安全技术架构，对于现有信息安全技术架构是否存在可能的影响。

项目招标和采购过程中应考虑以下信息安全要求：

➢各部门应明确产品采购要求，详细描述产品采购流程；

➢重要信息系统和网络的安全建设应选择国内信息安全产品；

➢信息安全产品应符合相应密级要求，具备安全产品销售许可、知识产权证明等资质；

➢信息安全集成、开发和服务提供应具备符合国家相关资质要求的证明；

➢具体遵照《产品采购安全管理办法》执行。

4.21.4.2 信息系统实施安全管理

信息系统实施阶段安全管理包括项目签约、项目计划、项目实施和试运行相

关阶段的安全管理要求。

信息系统开发在签署项目合约过程中，通过签署《保密协议书》约束双方的安全保密行为，签署过程中可以视实际情况对《保密协议书》进行修订和完善。

信息系统承建商进场前，双方应对相关人员行为准则达成共识。

信息系统在概要设计阶段，概要设计中应考虑以下安全要求：

➢根据安全需求，按安全功能子系统来描述系统的安全架构；

➢标识所要求的任何基础性的硬件、固件或软件，以及在这些硬件、固件或软件中实现的支持性保护机制提供的功能表示；

➢标识子系统的所有接口，并说明哪些接口是外部可见的；

➢子系统所有接口的用途与使用方法，并适当提供影响、例外情况和错误消息的处理机制。

信息系统在详细设计阶段，详细设计中应考虑以下安全要求：

➢详细设计中须提出具体安全设计方案，标明实现的安全功能，并说明其技术原理；

➢对系统层面上的和模块层面上的安全设计进行审查；

➢确认各模块的设计，以及模块间的接口设计能满足系统层面的安全要求。

信息系统在实施部署过程中，应考虑以下安全要求：

➢全面评估信息系统部署的网络环境、系统环境以及数据库的安全性能够确保应用系统自身的安全需求；

➢确保网络环境、系统环境和数据库的访问控制规则符合应用系统的访问控制权限要求；

➢信息系统应在测试环境中进行测试，以避免对已经运行信息系统产生影响。

信息系统在开发过程中，应禁止将口令写入应用程序。

信息系统在测试过程中应进行测试汇总和记录。

信息系统在自行进行信息系统开发和实施阶段，应对自行编制的软件进行源代码安全控制，具体包括：

➢减少源代码被破坏和非授权访问的可能，对源代码的访问权限进行严格

控制。

➢为保障源代码的安全，要求开发设备、测试设备和运行设备进行分离，运行设备上只有执行代码；

➢旧源程序版本应被保存，并对代码进行版本控制，确保代码的可用；

➢所有对代码库的修改、更新都要有操作日志记录。

在编制软件的过程中，任何程序的编码都应对输入数据进行如下验证：使用强输入验证；

检验输入数据长度；

限制数值输入的范围；

限制输入字符的类型。

在编制软件的过程中，应对应用数据进行如下安全控制：

➢原则上不允许使用真实数据进行测试，特殊情况需要使用真实测试数据时，对系统测试数据要进行安全保护，并经过信息技术与数据管理处主

管领导的审批；

➢在测试过程中，如模拟真实数据，应确保测试数据和真实生产数据分离；

➢测试完成之后，应立即将测试数据从测试系统中删除。

在开发过程中，为了控制编码的规范性，提高编码质量，开发部门应制定编码规范性管理的详细控制要求。

开发的系统要确保系统应用的数据完整性安全，防止信息在处理过程中被篡改。

开发的系统要确保系统应用的输出数据准确，检查输出数据，保证正确处理储存信息：

➢模糊性检查测试输出数据是否合理；

➢测验核实输出的相关提示。

软件开发人员应当对信息系统的安全需求和设计进行充分的沟通，并在软件编码前通过培训的方式对编码安全进行专业性技能培训。

对外包软件进行安全管理和控制的过程中，应注意如下事项：

➢在软件开发的过程中应当配置必要的软件版本控制软件；