犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２０２７４．３—２００８

信息安全技術

信息系統安全保障評估框架

第３部分：管理保障

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犈狏犪犾狌犪狋犻狅狀犳狉犪犿犲狑狅狉犽犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊狊犲犮狌狉犻狋狔犪狊狊狌狉犪狀犮犲—

犘犪狉狋３：犕犪狀犪犵犲犿犲狀狋犪狊狊狌狉犪狀犮犲

２００８０７１８發布２００８１２０１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犜２０２７４．３—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４本部分的結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５信息安全管理保障框架!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１信息管理保障概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．２信息安全管理保障控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．３信息安全保障管理能力級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

６信息安全管理保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．２管理保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．３管理保障控制子類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６．４管理保障控制組件結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．５允許的操作!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

７ＭＲＭ管理保障控制類：風險管理!!!!!!!!!!!!!!!!!!!!!!!!!!!６

７．１對象確立（ＭＲＭ＿ＴＥＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

７．２風險評估（ＭＲＭ＿ＲＡＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

７．３風險控制（ＭＲＭ＿ＲＣＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

７．４溝通與監控（ＭＲＭ＿ＣＡＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

８ＭＳＰ管理保障控制類：信息安全策略!!!!!!!!!!!!!!!!!!!!!!!!!１０

８．１信息安全策略（ＭＳＰ＿ＳＰＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

９ＭＳＯ管理保障控制類：信息安全組織機構!!!!!!!!!!!!!!!!!!!!!!!１２

９．１信息安全的管理支持（ＭＳＯ＿ＳＯＭ）!!!!!!!!!!!!!!!!!!!!!!!!!１２

９．２信息安全組織架構（ＭＳＯ＿ＯＲＧ）!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．３信息安全職責（ＭＳＯ＿ＲＥＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

９．４溝通協作（ＭＳＯ＿ＣＡＣ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

１０ＭＰＳ管理保障控制類：人員安全!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０．１人員審查（ＭＰＳ＿ＰＥＣ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

１０．２安全意識和培訓（ＭＰＳ＿ＳＡＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．３考核和獎懲（ＭＰＳ＿ＣＲＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

１０．４人事變更（ＭＰＳ＿ＰＣＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

１１ＭＡＭ管理保障控制類：資產管理!!!!!!!!!!!!!!!!!!!!!!!!!!１８

１１．１資產登記管理（ＭＡＭ＿ＡＲＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

１１．２資產管理職責（ＭＡＭ＿ＡＭＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

１１．３資產分類管理（ＭＡＭ＿ＡＣＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

１２ＭＰＥ管理保障控制類：物理和環境安全!!!!!!!!!!!!!!!!!!!!!!!２０

１２．１物理安全區域管理（ＭＰＥ＿ＰＳＡ）!!!!!!!!!!!!!!!!!!!!!!!!!２１

Ⅰ

書

犌犅／犜２０２７４．３—２００８

１２．２支撐基礎設施安全（ＭＰＥ＿ＳＩＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!２３

１２．３設備安全（ＭＰＥ＿ＥＭＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

１３ＭＣＭ管理保障控制類：符合性管理!!!!!!!!!!!!!!!!!!!!!!!!!２５

１４ＭＳＰ管理保障控制類：信息安全規劃管理!!!!!!!!!!!!!!!!!!!!!!２８

１５ＭＳＤ管理保障控制類：系統開發管理!!!!!!!!!!!!!!!!!!!!!!!!３０

１６ＭＯＰ管理保障控制類：運行管理!!!!!!!!!!!!!!!!!!!!!!!!!!３３

１７ＭＢＤ管理保障控制類：業務持續性和災難恢復管理!!!!!!!!!!!!!!!!!!４４

１７．１業務持續性管理（ＭＢＤ＿ＢＣＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!４４

１８ＭＥＲ管理保障控制類：應急響應管理!!!!!!!!!!!!!!!!!!!!!!!!４７

１８．１匯報安全事件和安全漏洞（ＭＥＲ＿ＲＥＷ）!!!!!!!!!!!!!!!!!!!!!!４７

１８．２應急響應管理（ＭＥＲ＿ＩＭＩ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

１９安全管理能力級說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５０

１９．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５０

１９．２安全管理能力級別說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５０

１９．３信息系統安全保障管理能力級別應用!!!!!!!!!!!!!!!!!!!!!!!５２

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

圖１信息系統安全管理保障控制類!!!!!!!!!!!!!!!!!!!!!!!!!!!３

圖２管理保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

圖３管理保障控制子類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

圖４管理保障控制組件結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

圖５風險管理（ＭＲＭ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!!!!７

圖６信息安全策略（ＭＳＰ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!!１０

圖７信息安全組織機構（ＭＳＯ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!１２

圖８人員安全（ＭＰＳ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!!!!１５

圖９資產管理（ＭＡＭ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!!!!１８

圖１０物理和環境安全（ＭＰＥ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!２１

圖１１符合性管理（ＭＣＭ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!!２５

圖１２信息安全規劃管理（ＭＳＰ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!２９

圖１３系統開發管理（ＭＳＤ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!!３１

圖１４運行管理（ＭＯＰ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!!!３３

圖１５業務持續性和災難恢復管理（ＭＢＤ）管理保障控制類分解!!!!!!!!!!!!!!!４４

圖１６應急響應管理（ＭＥＲ）管理保障控制類分解!!!!!!!!!!!!!!!!!!!!４７

圖１７信息系統安全保障管理能力要求級別示例圖!!!!!!!!!!!!!!!!!!!!５３

Ⅱ

犌犅／犜２０２７４．３—２００８

前言

ＧＢ／Ｔ２０２７４《信息系統安全保障評估框架》分為以下四個部分：

———第１部分：簡介和一般模型；

———第２部分：技術保障；

———第３部分：管理保障；

———第４部分：工程保障。

本部分是ＧＢ／Ｔ２０２７４的第３部分。

本部分由全國信息安全標準化技術委員會提出并歸口。

本部分起草單位：中國信息安全產品測評認證中心。

本部分主要起草人：吳世忠、王海生、陳曉樺、王貴駟、李守鵬、江常青、彭勇、張利、姚軼嶄、班曉芳、

李靜、王慶、鄒琪、錢偉明、江典盛、陸麗、孫成昊、門雪松、杜宇鴿、楊再山。

Ⅲ

犌犅／犜２０２７４．３—２００８

信息安全技術

信息系統安全保障評估框架

第３部分：管理保障

１范圍