《信息安全技术信息系统安全工程管理要求》由会员分享，可在线阅读，更多相关《信息安全技术信息系统安全工程管理要求（47页珍藏版）》请在金锄头文库上搜索。
1、.信息安全技术信息系统安全工程管理要求1 围本标准规定了信息安全工程（以下简称安全工程）的管理要求，是对信息安全工程中所涉及到的需求、实施与第三工程实施的指导性文件，各可以此为依据建立安全工程管理体系。本标准按照GB17859-1999 划分的五个安全保护等级，规定了信息安全工程的不同要求。本标准适用于该系统的需求和实施的工程管理，其他有关各也可参照使用。2 规性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注明日期的引用文件，其随后所有的修改单（不包括勘误的容）或修订版均不适用于本标准。使用本标准的各应探讨使用下列标准最新版本的可能性。凡是不注明日期的引用文件，其最新版本适
2、用于本标准。GB 17859-1999计算机信息系统安全保护等级划分准则GB/T 20269-2006信息安全等级保护信息系统安全通用技术要求GB/T 20271-2006信息安全等级保护信息系统安全管理要求3 术语和定义下列术语和定义适用于本标准。3.1安全工程security engineering为确保信息系统的性、完整性、可用性等目标而进行的系统工程过程。3.2安全工程的生存期security engineering lifecycle在整个信息系统生存期中执行的安全工程活动包括：概念形成、概念开发和定义、验证与确认、工程实施开发与制造、生产与部署、运行与支持和终止。3.3安全工程指南
3、security engineering guide由工程组做出的有关如选择工程体系结构、设计与实现的指导性信息。Word 文档.3.4脆弱性vulnerability能够被某种威胁利用的某个或某组资产的弱点。3.5风险risk某种威胁会利用一种资产或若干资产的脆弱性使这些资产损失或破坏的可能性。3.6需求owner信息系统安全工程建设的拥有者或组织者。3.7实施developer信息系统安全工程的建设与服务的提供。3.8第三third party独立于需求、实施，从事信息系统安全工程建设相关活动的中立组织或机构。3.9项目project项目是各种相关实施活动和资源的总和，这些实施活动和资源用
4、于开发或维护信息安全工程。一个项目往往有相关的资金，成本账目和交付时间表。3.10过程process把输入转化为输出的一组相关活动。Word 文档.3.11过程管理process management一系列用于预见、评价和控制过程执行的活动和体系结构。4 安全工程体系4.1 概述在整个工程围确定了不同等级工程的具体要求构成了安全工程管理要求体系。通过这个体系从安全工程中分离出实施和保证的基本特征，立信息系统安全分级保护要求与工程管理的关系。4.2 安全工程目标理解需求的安全风险，根据已标识的安全风险建立合理的安全要求，将安全要求转换成安全指南，这些安全指南指导项目实施的其它活动，在正确有效的安
5、全机制下建立对信息安全的信心和保证；判断系统中和系统运行时残留的安全脆弱性，及其对运行的影响是否可容忍（即可接受的风险），使安全工程成为一个可信的工程活动，能够满足相应等级信息系统设计的要求。4.3 基本关系安全工程由安全等级、保证与实施要求两个维度组成，不同等级要求的安全工程对应不同的保证与实施要求。其中保证是由资格保证要求和组织保证要求构成，实施是由工程实施要求和项目实施要求构成。资格保证要求表示信息安全工程中对应具备一定能力级别的实施或与工程相关第三资质的要求；组织保证要求表示信息安全工程过程要求中对需求组织保证的要求；工程实施要求表示信息安全工程中对安全实施过程的要求；项目实施要求表示
6、信息安全工程中对项目实施过程的要求。5 资格保证要求5.1 系统集成资质要求主管部门认可的系统集成资质。5.2 人员资质要求主管部门认可的安全服务人员资质。5.3 第三服务要求主管部门认可的服务单位资质。5.4 安全产品要求Word 文档.信息安全产品应具有在国生产、经营、销售的可证，并符合相应的等级。5.5 工程监理要求应具备信息安全系统建设工程实施监理管理制度。系统聘请专业监理公司，且监理公司具有主管部门认可监理资质证书。5.6 法律、法规、政策符合性要求系统应符合相关的法律、法规和政策。6 组织保证要求6.1 定义组织的系统工程过程基本要求应为系统工程定义一套标准有明确目标的过程，这套标
7、准的过程可以通过裁剪应用于定义新工程项目的过程。制定过程目标从组织的应用目标出发为组织的系统工程过程制定目标。系统工程过程在业务环境中运行，为了使组织的标准实现制度化，该目标应得到明确的认可；这个过程的目标应考虑财力、质量、人力资源和对业务成功起重要作用的问题。收集过程资产收集和维护系统工程过程资产。在组织和项目层次中，由过程定义活动所产生的信息都需要存储（在过程资产库中），使得那些剪裁、过程设计活动中的资产能被使用人理解，并得到维护与保持。开发组织的系统工程过程为组织开发一个充分定义的标准系统工程过程。在开发组织的标准系统工程过程中，可能使用到过程资产库中的设备；在开发任务时，可能需要一些新
8、的过程资产，应该将这些资产添加到过程资产库中；应该将组织的标准系统工程过程置于过程资产库中。Word 文档.定义剪裁指南定义剪裁组织的标准系统工程过程的指南，该指南在开发项目的定义过程中使用。6.2 改进组织的系统工程过程基本要求应实施测量和改进系统工程过程的连续活动，以标准系统工程过程定义为基础，通过不断改进活动提高组织系统工程过程的效益和效率。评定过程评定组织中现有的执行过程以便了解它们的强项和弱项，了解组织现有的执行过程的强项和弱项是建立改进活动基线的关键；评定时应考虑过程执行的测量与课程学习过程；评定可以多种形式进行，评定法的选择应与文化和组织需求相匹配。规划过程改进应基于对潜在改进所
9、产生影响的分析，为组织制订过程改进计划，以达到过程的目标。改变标准过程改变组织的标准系统工程过程以便反映目标的改进。沟通过程改进适当地同现有项目和其它有相关团体共同沟通过程的改进。6.3 管理系列产品演化基本要求应通过引进服务、设备和新技术实现产品更新与工程费用降低，获取工程进度和执行的最佳收益。定义产品演化6.3.2.1定义要提供产品的类型。6.3.2.2定义支持组织战略目标的系列产品。Word 文档.考虑组织的强项和弱项、竞争力、潜在的市场份额和可利用的技术。标识新生产技术标识新生产技术或加强基础设施建设，将有助于组织获取、 开发和应用新生产技术来提高竞争优势。确定可能引入到系列产品的新生
10、产技术， 为确定新技术和基础设施改进而建立并能维护的原始资料和法。6.3.4适应开发过程6.3.4.1在产品开发期中采取必要的变动以支持新产品的开发。6.3.4.2适应组织的产品开发过程，熟悉并利用准备在将来使用的组件。6.3.5确保关键组件的可用性6.3.5.1确保关键组件都可利用，并可以支持有计划的产品改进。6.3.5.2组织应确定产品系列的关键组件及其可用性的计划。6.3.6插入产品技术6.3.6.1将新的技术插入到产品开发、市场营销和制造过程中。6.3.6.2管理将新技术引入到系列产品的工作（包括现有产品系列组件的改进、新组件的引进） ；标识和管理与产品设计变化有关的风险。6.4 管理
11、系统工程支持环境基本要求应能够为不同需求的系统工程提供支持环境，并可以通过剪裁适应不同的项目。根据技术、环境状态的变化对支持环境进行改进。维持技术认识维持对支持实现组织目标的那些技术的认识。对工艺现状或实施现状应该插入新的技术，组织应具有对新技术的充分认识。确定支持需求Word 文档.根据组织的需要确定组织的系统工程支持环境的需求。6.4.4获得系统工程支持环境6.4.4.1获得一个系统工程支持环境，该环境要满足在确定支持需求过利用分析候选解决要求项的实施而建立的要求。针对所需的系统工程支持环境，确定其评价标准和潜在的候选解决案；利用分析候选解决要求项选择一个解决案；得到并实现所选的系统工程支
12、持环境。剪裁系统工程支持环境剪裁系统工程支持环境，以满足单个项目的要求。插入新技术根据组织的应用目标和项目需要将新技术插入到系统工程支持环境中。组织的系统工程支持环境应用新技术更新，并要支持组织的应用目标及工程需要；在系统工程支持环境中，应提供使用新技术的培训。维护环境维护系统工程支持环境以持续支持依赖该环境的项目。维护活动包括计算机系统管理、培训、热线支持、专家的作用、发展或者扩充一个技术库等。监视系统工程支持环境监视系统工程支持环境以发现改进的机会。确定影响系统工程支持环境有用性的因素，包括任新插入的技术；监视新技术和整个系统工程支持环境的接受情况。6.5 培训基本要求应建立一套完整的培训体系，能够为员工提供满足组织需求并适用于系统工程活动的，及时有效的知识与技能培训。确定培训要求Word 文
