1、河北省政務云信息系統建設安全管理辦法 版本：1.0作者：中國聯合網絡通信有限公司河北省分公司時間：2016年3月25日中國聯合網絡通信有限公司河北省分公司 版權所有 信息系統建設安全管理辦法文檔修訂記錄序號時間修改描述修改者審核者1創建文檔結構中國聯合網絡通信有限公司河北省分公司 版權所有 信息系統建設安全管理辦法1 目的為了加強河北省政務云項目信息安全保障能力，進一步提高信息系統安全保障水平，確保信息化建設的項目立項、設計、實施、驗收等各個環節與信息安全管理控制機制能夠有機結合，實現信息系統建設項目過程中的工程管理和內容安全可控，特制定本辦法。2 適用范圍本辦法適用于河北省政務云項目信息系統

2、建設中的安全管理。3 職責信息系統中的安全建設應遵循“同步規劃、同步建設、同步運行”的原則，確保信息安全控制成為信息系統中的組成部分之一。4 管理要求4.1 信息系統規劃安全管理信息系統規劃階段安全管理包括信息化建設管理中覆蓋的項目立項、項目需求與要求、項目審批和項目招標相關階段的信息安全管理要求。應根據信息系統的等級劃分情況和整體安全策略，統一考慮安全技術框架、安全管理策略、總體建設規劃和初步設計方案。信息系統建設項目申請部門立項申請時，應明確信息系統的安全要求。可行性分析應確定信息系統的安全等級，進一步明確安全目標和主要技術路線：Ø 根據國家標準GB/T22240信息系統安全等級

3、保護定級指南確定信息系統的安全等級；Ø 描述信息系統業務信息的安全目標和業務服務的安全目標；Ø 結合現有信息安全平臺，闡述實現安全目標的可行性。項目需求分析過程中應包括信息系統安全性需求分析的內容，至少包括以下信息安全方面的內容：Ø 根據信息系統安全等級，參照國家標準GB/T22239信息系統安全等級保護基本要求相應等級的安全控制要求進行選擇；Ø 分析信息系統可能面臨的安全威脅、風險和目前存在的脆弱性，根據實際環境的風險情況對安全控制要求進行調整；Ø 應根據所選擇的安全控制，根據現行技術、產品、管理流程的實際情況，形成相應的安全可行性方案；&#

4、216; 信息系統可能需要的安全功能性需求，包括但不限于用戶身份、訪問控制、數據和信息保密性、數據審計和跟蹤等。信息技術與數據管理處主管領導在對項目進行立項審批的過程中，應審核如下信息安全方面的內容：Ø 信息系統中的安全需求、設計內容是否符合總體安全策略要求；Ø 信息系統項目中的網絡安全是否涉及網絡安全域的訪問控制、網絡邊界安全、網絡傳輸安全和冗余性；Ø 信息系統項目中的操作系統和數據庫安全是否涉及系統的穩定性、安全配置和安全管理；Ø 信息系統項目中的應用安全是否涉及身份驗證、角色訪問控制、數據加密、備份、日志審計等安全功能；Ø 信息系統項目中

5、對于安全功能實現的安全技術、產品是否符合整體信息安全技術架構，對于現有信息安全技術架構是否存在可能的影響。項目招標和采購過程中應考慮以下信息安全要求：Ø 各部門應明確產品采購要求，詳細描述產品采購流程；Ø 重要信息系統和網絡的安全建設應選擇國內信息安全產品；Ø 信息安全產品應符合相應密級要求，具備安全產品銷售許可、知識產權證明等資質；Ø 信息安全集成、開發和服務提供應具備符合國家相關資質要求的證明；Ø 具體遵照產品采購安全管理辦法執行。4.2 1.4.2信息系統實施安全管理信息系統實施階段安全管理包括項目簽約、項目計劃、項目實施和試運行相關階段

6、的安全管理要求。信息系統開發在簽署項目合約過程中，通過簽署保密協議書約束雙方的安全保密行為，簽署過程中可以視實際情況對保密協議書進行修訂和完善。信息系統承建商進場前，雙方應對相關人員行為準則達成共識。信息系統在概要設計階段，概要設計中應考慮以下安全要求：Ø 根據安全需求，按安全功能子系統來描述系統的安全架構；Ø 標識所要求的任何基礎性的硬件、固件或軟件，以及在這些硬件、固件或軟件中實現的支持性保護機制提供的功能表示；Ø 標識子系統的所有接口，并說明哪些接口是外部可見的；Ø 子系統所有接口的用途與使用方法，并適當提供影響、例外情況和錯誤消息的處理機制。信息

7、系統在詳細設計階段，詳細設計中應考慮以下安全要求：Ø 詳細設計中須提出具體安全設計方案，標明實現的安全功能，并說明其技術原理；Ø 對系統層面上的和模塊層面上的安全設計進行審查；Ø 確認各模塊的設計，以及模塊間的接口設計能滿足系統層面的安全要求。信息系統在實施部署過程中，應考慮以下安全要求：Ø 全面評估信息系統部署的網絡環境、系統環境以及數據庫的安全性能夠確保應用系統自身的安全需求；Ø 確保網絡環境、系統環境和數據庫的訪問控制規則符合應用系統的訪問控制權限要求；Ø 信息系統應在測試環境中進行測試，以避免對已經運行信息系統產生影響。信息系

8、統在開發過程中，應禁止將口令寫入應用程序。信息系統在測試過程中應進行測試匯總和記錄。信息系統在自行進行信息系統開發和實施階段，應對自行編制的軟件進行源代碼安全控制，具體包括：Ø 減少源代碼被破壞和非授權訪問的可能，對源代碼的訪問權限進行嚴格控制。Ø 為保障源代碼的安全，要求開發設備、測試設備和運行設備進行分離，運行設備上只有執行代碼；Ø 舊源程序版本應被保存，并對代碼進行版本控制，確保代碼的可用；Ø 所有對代碼庫的修改、更新都要有操作日志記錄。在編制軟件的過程中，任何程序的編碼都應對輸入數據進行如下驗證：使用強輸入驗證；檢驗輸入數據長度；限制數值輸入的范

9、圍；限制輸入字符的類型。在編制軟件的過程中，應對應用數據進行如下安全控制：Ø 原則上不允許使用真實數據進行測試，特殊情況需要使用真實測試數據時，對系統測試數據要進行安全保護，并經過信息技術與數據管理處主管領導的審批；Ø 在測試過程中，如模擬真實數據，應確保測試數據和真實生產數據分離；Ø 測試完成之后，應立即將測試數據從測試系統中刪除。在開發過程中，為了控制編碼的規范性，提高編碼質量，開發部門應制定編碼規范性管理的詳細控制要求。開發的系統要確保系統應用的數據完整性安全，防止信息在處理過程中被篡改。開發的系統要確保系統應用的輸出數據準確，檢查輸出數據，保證正確處理儲存

10、信息：Ø 模糊性檢查測試輸出數據是否合理；Ø 測驗核實輸出的相關提示。軟件開發人員應當對信息系統的安全需求和設計進行充分的溝通，并在軟件編碼前通過培訓的方式對編碼安全進行專業性技能培訓。對外包軟件進行安全管理和控制的過程中，應注意如下事項：Ø 在軟件開發的過程中應當配置必要的軟件版本控制軟件；Ø 在軟件開發過程中應當對軟件編碼進行質量控制，并與項目管理的應用系統主管人員進行定期質量結果溝通；Ø 軟件測試中應包括安全性測試，并提供安全性測試報告，報告內容包括但不限于病毒檢測、后門檢測、攻擊測試和訪問控制限制等；Ø 軟件部署前應對軟件可能

11、面臨或包含的惡意代碼進行防護。4.3 信息系統驗收安全管理信息安全領導小組應參與信息系統的驗收工作，對其中涉及的信息安全工程成果以及過程中的安全管理過程進行驗收確認。信息系統在初驗前應注意如下安全控制：Ø 信息系統具備與信息系統需求分析、概要設計、詳細設計相一致的安全功能；Ø 信息系統已經在與實際環境一致的測試環境運行穩定，并確定好周邊安全控制措施，包括物理、網絡和主機系統等基礎環境；Ø 信息系統的安全部署和運行符合河北省政務云項目的總體安全策略要求。信息系統在試運行期間應跟蹤可能出現的安全威脅和風險，并與信息系統承建單位保持有效溝通和協調，保障系統的安全性。信息

12、系統在試運行期間如發現安全漏洞、安全隱患或新發布的安全補丁，需要對信息系統應用軟件或承載的操作系統、數據庫進行及時升級。項目終驗時應檢查執行法律法規和標準情況，主要檢查項目建設成果和管理是否符合有關法律、法規和國家信息化建設相關標準。應根據合同要求對外包軟件進行交付驗收，合同要求應至少包括：Ø 應依據開發要求的技術指標對軟件功能和性能等進行驗收測試；Ø 軟件安裝之前應檢測軟件中的惡意代碼；Ø 開發單位應提供源代碼；Ø 應根據源代碼對軟件中可能存在的后門進行審查。信息系統交付驗收時，應根據合同要求制定系統交付的清單，依據交付清單進行清點，信息系統交付物至少

13、應包括：Ø 信息系統運行所需要的全部設備；Ø 信息系統運行所需要的全部軟件；Ø 信息系統文檔，包括系統建設過程中的文檔，詳細的系統使用和維護文檔；Ø 信息系統應急方案；Ø 信息系統使用培訓資料。信息系統驗收并移交后，信息系統運行人員必須立即修改信息系統中所有帳號的口令。信息系統在安全管理和控制方面存在以下情況之一，不能通過驗收：Ø 信息系統未提交安全性測試報告；Ø 信息系統的安全功能與安全需求、概要設計和詳細設計內容不一致；Ø 通過第三方檢測或測試發現信息系統存在安全隱患、后門或漏洞；Ø 信息系統的整體設

14、計和實施不符合國家法律和相關標準要求。4.4 1.4.4項目工程管理信息系統在建設過程的工程安全管理中應至少包括如下管理內容：信息系統建設的組織管理；信息系統建設的文檔管理；信息系統建設的變更管理。信息系統建設的組織管理，應加強如下安全控制：Ø 應要求承建單位建立逐級解決問題的過程、提升信息系統安全性的組織保障能力；Ø 信息系統建設過程中應加強對于承建單位的監視和評審工作，定期組織對于信息系統承建單位和業務單位的協商，建立穩定的問題管理、故障和安全事態追蹤，確保信息系統建設能夠實現既定目標。信息系統建設的文檔管理，應加強如下安全控制：Ø 信息系統建設各個階段涉及的文檔和交付應當符合相關安全要求；Ø 需求階段應確保需求規格和需求調研報告中包括安全性內容；Ø 概要和詳細設計階段應確保實現安全需求；Ø 測試階段應確保安全設計符合安全需求；Ø 所有文檔應設定密級、讀者范圍，以限定其訪問范圍；Ø 所有文檔的訪問控制應有相應的