1 范圍

      本標(biāo)準(zhǔn)規(guī)定了辦公信息系統(tǒng)的建設(shè)管理、系統(tǒng)運(yùn)維管理、制度管理和外包管理方面的要求。

      本標(biāo)準(zhǔn)適用于指導(dǎo)黨政部門(mén)的辦公信息系統(tǒng)安全管理工作，涉密辦公信息系統(tǒng)的建設(shè)管理依據(jù)相關(guān)國(guó)家保密法規(guī)和標(biāo)準(zhǔn)要求實(shí)施。

2 規(guī)范性引用文件

      下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 25069-2010 信息安全技術(shù) 術(shù)語(yǔ)

      GB/T 32926-2016 信息安全技術(shù) 政府部門(mén)信息技術(shù)服務(wù)外包信息安全管理規(guī)范

      GB/T 37095-2018 信息安全技術(shù) 辦公信息系統(tǒng)安全基本技術(shù)要求

      GB/T 37096-2018 信息安全技術(shù) 辦公信息系統(tǒng)安全測(cè)試規(guī)范

3 術(shù)語(yǔ)和定義

      GB/T 25069-2010和GB/T37095-2018界定的術(shù)語(yǔ)和定義適用于本文件。

4 管理要求

4.1 建設(shè)管理

4.1.1 方案設(shè)計(jì)

      方案設(shè)計(jì)要求如下：

      a）業(yè)主單位指定或授權(quán)專(zhuān)門(mén)的部門(mén)，根據(jù)辦公信息系統(tǒng)建設(shè)原則和建設(shè)需求，編制建設(shè)的總體規(guī)劃、技術(shù)框架和詳細(xì)設(shè)計(jì)方案，制定建設(shè)工作計(jì)劃和管理制度，并形成配套文件；

      b）應(yīng)組織相關(guān)部門(mén)和專(zhuān)家對(duì)建設(shè)中采用的總體規(guī)劃、技術(shù)框架、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的合理性和科學(xué)性進(jìn)行論證，并且經(jīng)過(guò)業(yè)主單位批準(zhǔn)后，才能正式實(shí)施。

4.1.2 產(chǎn)品采購(gòu)和使用

      產(chǎn)品采購(gòu)和使用要求如下：

      a）應(yīng)根據(jù)辦公信息系統(tǒng)建設(shè)原則和建設(shè)需求選擇基礎(chǔ)設(shè)施、設(shè)備、軟硬件產(chǎn)品等，可預(yù)先對(duì)產(chǎn)品進(jìn)行選型測(cè)試；

      b）產(chǎn)品選擇應(yīng)依據(jù)以下基本要求：

      ——應(yīng)符合GB/T 37095-2018中針對(duì)各產(chǎn)品的技術(shù)要求；

      ——應(yīng)依據(jù)GB/T 37096-2018由產(chǎn)品廠商、第三方測(cè)試機(jī)構(gòu)、用戶(hù)共同進(jìn)行測(cè)試，并由第三方測(cè)試機(jī)構(gòu)出具相應(yīng)證明文件；

      ——相關(guān)產(chǎn)品廠商應(yīng)承諾不私自收集用戶(hù)信息；對(duì)掌握的用戶(hù)信息進(jìn)行有效保護(hù)，不在未授權(quán)情況下境外存儲(chǔ)或處理掌握的用戶(hù)信息；

      ——相關(guān)產(chǎn)品廠商應(yīng)作出在售后服務(wù)中能夠提供原廠服務(wù)的承諾。

      c）應(yīng)確保密碼產(chǎn)品采購(gòu)和使用符合國(guó)家密碼主管部門(mén)的要求；

      d）應(yīng)指定或授權(quán)專(zhuān)門(mén)的部門(mén)負(fù)責(zé)產(chǎn)品的采購(gòu)；

      e）產(chǎn)品使用時(shí)需遵守相關(guān)國(guó)家部門(mén)或單位規(guī)定。

4.1.3 軟件開(kāi)發(fā)

      軟件開(kāi)發(fā)要求如下：

      a）應(yīng)制定軟件開(kāi)發(fā)管理制度，明確軟件設(shè)計(jì)、開(kāi)發(fā)、測(cè)試、驗(yàn)收過(guò)程的控制方法和人員行為準(zhǔn)則；

      b）應(yīng)制定軟件設(shè)計(jì)和開(kāi)發(fā)的相關(guān)文檔，包括軟件設(shè)計(jì)文件、源代碼、測(cè)試文檔、使用手冊(cè)和維護(hù)手冊(cè)等；

      c）軟件交付前應(yīng)委托第三方測(cè)試機(jī)構(gòu)依據(jù)開(kāi)發(fā)要求的技術(shù)指標(biāo)，對(duì)軟件功能和性能等進(jìn)行驗(yàn)收測(cè)試，并檢測(cè)源代碼中可能存在的惡意代碼。

4.1.4 工程實(shí)施

      工程實(shí)施要求如下：

      a）應(yīng)選擇具備計(jì)算機(jī)信息系統(tǒng)集成資質(zhì)的信息系統(tǒng)集成商作為工程實(shí)施的承接單位；

      b）應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過(guò)程，實(shí)施方案包括工程時(shí)間限制、進(jìn)度控制和質(zhì)量控制等方面內(nèi)容；

      c）應(yīng)制定工程實(shí)施方面的管理制度，包括工程實(shí)施過(guò)程的控制方法、實(shí)施參與人員的行為準(zhǔn)則等方面內(nèi)容；

      d）應(yīng)指定或授權(quán)專(zhuān)門(mén)的部門(mén)或人員負(fù)責(zé)工程實(shí)施過(guò)程的管理，可通過(guò)第三方工程監(jiān)理控制項(xiàng)目的實(shí)施過(guò)程。

4.1.5 測(cè)試驗(yàn)收

      測(cè)試驗(yàn)收要求如下：

      a）在測(cè)試驗(yàn)收前應(yīng)根據(jù)設(shè)計(jì)方案或合同要求等制訂測(cè)試驗(yàn)收方案；

      b）應(yīng)委托第三方測(cè)試機(jī)構(gòu)對(duì)系統(tǒng)進(jìn)行驗(yàn)收測(cè)試，并出具驗(yàn)收測(cè)試報(bào)告；

      c）應(yīng)組織相關(guān)部門(mén)和相關(guān)人員對(duì)系統(tǒng)測(cè)試驗(yàn)收?qǐng)?bào)告進(jìn)行評(píng)審；

      d）應(yīng)組織相關(guān)專(zhuān)家、相關(guān)部門(mén)和相關(guān)人員召開(kāi)項(xiàng)目驗(yàn)收會(huì)，并形成驗(yàn)收意見(jiàn)。

4.1.6 系統(tǒng)交付

      系統(tǒng)交付要求如下：

      a）應(yīng)制定系統(tǒng)交付清單，并根據(jù)交付清單對(duì)所交接的設(shè)備、軟件和文檔等進(jìn)行清點(diǎn)；

      b）應(yīng)對(duì)負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)行相應(yīng)的技能培訓(xùn)，形成培訓(xùn)記錄，記錄培訓(xùn)內(nèi)容、培訓(xùn)時(shí)間和參與人員等；

      c）應(yīng)確保提供系統(tǒng)建設(shè)過(guò)程中的文檔和指導(dǎo)用戶(hù)進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔。

4.1.7 服務(wù)商選擇

      服務(wù)商選擇要求如下：

      a）應(yīng)確保服務(wù)商的選擇符合國(guó)家的有關(guān)規(guī)定；

      b）應(yīng)與選定的服務(wù)商簽訂相關(guān)的協(xié)議，明確約定相關(guān)責(zé)任，協(xié)議內(nèi)容包含服務(wù)內(nèi)容、培訓(xùn)和服務(wù)承諾、保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限等。

4.2 系統(tǒng)運(yùn)維管理

4.2.1 環(huán)境管理

      環(huán)境管理要求如下：

      a）應(yīng)建立機(jī)房管理制度，內(nèi)容覆蓋機(jī)房物理訪問(wèn)、物品帶進(jìn)和帶出機(jī)房、機(jī)房環(huán)境維護(hù)等；

      b）應(yīng)指定專(zhuān)門(mén)的部門(mén)或人員定期對(duì)機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)，形成維護(hù)記錄，記錄維護(hù)日期、維護(hù)人、維護(hù)設(shè)備、故障原因、維護(hù)結(jié)果等方面內(nèi)容；

      c）應(yīng)指定部門(mén)負(fù)責(zé)機(jī)房安全，對(duì)機(jī)房的出入、服務(wù)器的開(kāi)機(jī)或關(guān)機(jī)等工作進(jìn)行管理。

4.2.2 資產(chǎn)管理

      資產(chǎn)管理要求如下：

      a）應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門(mén)、重要程度和所處位置等內(nèi)容；

      b）應(yīng)建立資產(chǎn)管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門(mén)，并規(guī)范資產(chǎn)管理和使用的行為。

4.2.3 設(shè)備管理

      設(shè)備管理要求如下：

      a）應(yīng)對(duì)信息系統(tǒng)中的基礎(chǔ)軟硬件產(chǎn)品、主要網(wǎng)絡(luò)設(shè)備和主要安全設(shè)備等指定專(zhuān)門(mén)的部門(mén)或人員定期進(jìn)行維護(hù)管理，形成設(shè)備維護(hù)記錄；

      b）應(yīng)建立基于申報(bào)、審批和專(zhuān)人負(fù)責(zé)的設(shè)備管理制度，對(duì)信息系統(tǒng)中的基礎(chǔ)軟硬件產(chǎn)品、主要網(wǎng)絡(luò)設(shè)備和主要安全設(shè)備等的選型、采購(gòu)、發(fā)放和領(lǐng)用等過(guò)程進(jìn)行規(guī)范化管理；

      c）應(yīng)確保基礎(chǔ)軟硬件產(chǎn)品、主要網(wǎng)絡(luò)設(shè)備和主要安全設(shè)備經(jīng)過(guò)審批才能帶離機(jī)房或辦公地點(diǎn)；

      d）應(yīng)對(duì)信息系統(tǒng)中的移動(dòng)存儲(chǔ)設(shè)備建立嚴(yán)格的安全管理制度和流程，指定專(zhuān)門(mén)的安全人員負(fù)責(zé)移動(dòng)存儲(chǔ)設(shè)備的采購(gòu)、使用和銷(xiāo)毀等活動(dòng)。

4.2.4 監(jiān)控管理

      監(jiān)控管理要求如下：

      a）應(yīng)對(duì)通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量等進(jìn)行監(jiān)測(cè)和報(bào)警，形成記錄并妥善保存；

      b）應(yīng)組織相關(guān)人員定期對(duì)監(jiān)測(cè)和報(bào)警記錄進(jìn)行分析、評(píng)審，形成分析報(bào)告，并采取必要的應(yīng)對(duì)措施。

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請(qǐng)到相關(guān)授權(quán)網(wǎng)站購(gòu)買(mǎi)標(biāo)準(zhǔn)正版。