《ou内网综合布线系统系统设计任务书.doc》由会员分享，可在线阅读，更多相关《ou内网综合布线系统系统设计任务书.doc（47页珍藏版）》请在三一文库上搜索。
1、XXXXXX内网综合布线系统建设项目设计任务书XXXXXXXXX内网综合布线系统建设项目（XXX大厦XX座X-XX层）设 计 任 务 书目 录1概述11.1背景介绍11.2项目概述31.3建设目标31.4建设原则41.5需求描述61.5.1全光网络布线系统61.5.1.1全光网络布线结构61.5.1.2链路描述71.5.1.3前端点位设置描述81.5.1.4楼层点位分布描述：92政策和技术标准依据112.1国家信息安全的标准与规范112.2XXX内网综合布线系统信息安全标准与规范123安全需求分析133.1业务安全运行需求133.2三级信息系统安全保护能力要求133.3物理安全需求143.3.
2、1保护具体要求143.3.2需求分析153.4数据安全及备份恢复需求153.4.1保护具体要求153.4.2需求分析163.5安全管理需求163.5.1保护具体要求163.5.2需求分析234安全技术体系总体设计244.1设计原则244.2设计依据244.2.1主要设计依据之间的关系244.2.2设计参考标准254.3安全技术体系总体架构265安全技术体系详细设计275.1安全区域边界设计275.1.1区域边界访问控制275.1.2区域边界包过滤285.1.3区域边界安全审计285.1.4入侵防范及区域边界完整性保护285.2安全通信网络设计295.2.1通信网络安全审计295.2.2通信网络
3、数据传输完整性保护295.2.3通信网络数据传输保密性保护305.2.4通信网络可信接入保护305.3物理安全设计315.3.1建设目标315.3.2目标实现315.3.2.1物理位置的选择325.3.2.2物理访问控制325.3.2.3防盗窃和防破坏325.3.2.4防雷击335.3.2.5防火335.3.2.6防水和防潮345.3.2.7防静电345.3.2.8温湿度控制355.3.2.9电力供应355.3.2.10电磁防护36441 概述1.1 背景介绍随着信息技术的发展和网络化应用的普遍推广，国家单位开展网络化办公、办案，政府各部门开展各类管理业务的信息化应用。胡锦涛总书记在党的十七大
4、工作报告中提出了“工业化、信息化、城镇化、市场化、国际化”，信息化在全国党的代表大会工作报告上第一次提出，充分说明了当前信息化在我国发展中的地位和重要性。随着信息化的广泛应用，信息安全涉及的行业、领域、人员范围越来越大，几乎所有的国家机关计算机网络的都涉及到信息安全问题，部分企事业单位、科研院所也存在网络信息安全的问题。即便是没有网络化办公，使用个人计算机办公的单位同样存在信息安全问题。本项目以XXXXXXXXXXXX内网综合布线系统为主，建设一套安全、稳定、性能可靠并且与其他网络互相物理隔离的内网综合布线系统。XXX内网综合布线项目委托由XXXXXXXX有限公司承担系统设计任务。本期项目建设
5、内容：（1）制定统一的标准规范本项目标准规范要遵照国家和行业相关标准，并结合本项目实际情况编制，逐步构成XXX内网综合布线项目（以下简称“布线项目”）设计工作。用于规范、指导XXX内网综合布线项目乃至今后配套的网络信息系统建设，保障系统建设上下级之间标准一致。标准规范内容包括标准框架及网络、数据、应用、交换、安全等方面的标准规范。（2）设计XXX内网业务专网建设连接XXX内部5个汇聚楼层（3F，8F，12F，13F，17F）汇聚12个楼层的1049（暂定）个前端信息点，对外连接主要通过专线链路连接国家发展和改革委员会网络，网络内IP地址规划按照XXX规定进行。（3）构建连接XXX专网的综合布线
6、系统平台建立XXX内部XX网络综合布线全光网络布线平台，为与XXX相连接的专用网络提供安全、高效的数据汇集、存储、管理、备份的基础布线平台。XXX内部XX网络综合布线全光网络平台将通过本套布线系统连接楼内的前端节点计算机，同时通过网络接入交换机与XXX专网实现高速数据交换和共享；并且为XXX各级用户提供数据服务，为数据连接提供基础数据支撑。（4）建设统一的安全体系建立统一的安全管理体系和管理制度，用以保障XXX内部XX网络综合布线全光网络建设项目安全、高效、稳定运行。建立科学的、可行的安全工作制度，在内部建立安全管理规范。建立完备与可行的信息系统技术安全体系，保障信息系统免受各种攻击、事故的威
7、胁，实现网络访问控制及加密保护、硬件安全防范、操作系统安全防范、用户统一身份认证控制、数据传输保护、安全审计、病毒防范。（5）建设系统运行管理体系为了确保系统的正常运行，需要购置和定制开发系统运行管理维护系统，制定一系列合理的运行管理制度，并打造一支技术过硬的系统运行维护队伍。在系统建设过程中需要对相关人员进行技术培训，加强对相关人员的计算机基础知识的技术培训，制定考核标准与考核制度，确保相关人员具备必要的计算机操作技能和系统维护技能。1.2 项目概述1、项目范围XXX内网综合布线项目系统设计范围为XXXXXXXXXXXX位于XXX大厦内的XXXX层的大楼内设计全光网络综合布线系统。2、项目主
8、要建设内容设计一套符合XXX实际使用的与其他网络相物理隔离的全光网络综合布线系统，使之能够建立完备与可行的信息系统技术安全体系，保障信息系统免受各种攻击、事故的威胁，实现网络访问控制及加密保护、硬件安全防范、操作系统安全防范、用户统一身份认证控制、数据传输保护、安全审计、病毒防范。1.3 建设目标XXX内网综合布线项目信息安全保障体系的建设是依据国家相关政策要求，根据XX项目业务系统的实际需要，基于现代信息系统安全保障理论，采用现代信息安全保护技术，按照一定规则和体系化的信息安全防护策略进行的整体设计。XXXXXX内网综合布线项目信息安全保障体系覆盖范围包括：XXX内主要业务应用系统；XXX信
9、息系统；XXX内服务应用系统；楼层部门信息系统以及上述各系统相连接的骨干网络。从信息系统结构角度看，安全体系总体方案设计覆盖范围包括：信息系统的物理布线、网络设备、操作系统和数据库系统、业务应用、数据保护、运行管理等多个层面。n 制定XXX内网综合布线项目项目统一的信息安全规范，并据此建立覆盖整个系统的信息安全保障体系，包括技术、管理和运行等内容n 建立符合国家和国际标准的信息安全保障体系n 建设完成XXX内网综合布线项目系统的网络信息安全保障体系1.4 建设原则内网综合布线系统建设的指导思想是，“基础建设，立足长远，应用系统满足近期需要”。凡是与大楼装修、配套设备安装相关联的系统都是基础建设
10、。如本次进行的大楼内的内网综合布线、布线桥架、管道等都是基础建设，这些系统一旦建成很难改变，因此要做到一次投资长期收益。作为基础建设不仅要满足现在的需要，还要考虑今后发展的需要。不仅要考虑非XX网络的需要，还要考虑网络安全需要。这就是我们所说的“基础建设，立足长远”。（1）同步建设原则在信息系统建设时应当同步规划和设计安全方案，投入一定比例的资金建设信息安全设施，保障信息安全与信息化建设相适应。（2）综合防范、适度安全在进行网络建设时，必须充分考虑来自网络的各种威胁，采取适当的安全措施，进行综合防范。同时，以应用为主导，充分分析应用系统的功能，在有效保证应用的前提下，安全建设经济适用、适度安全
11、、易于使用。（3）重点保护原则根据XXX数据信息和应用系统的重要程度和业务特点，通过划分不同安全等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统。（4）分区域、分阶段保护原则根据XXX的实际情况和各系统的重要程度业务特点和不同发展水平，分类分级分阶段进行实施，通过划分不同的安全区域，实现不同强度的安全保护。（5）急用先上、突出重点原则根据XXX的实际安全需求，对迫切需要满足的基本安全需求有针对性的采取急用先实施的策略，并依据关键业务的安全需求，突出保护重点，将主要资源配置在需要重点保护的业务系统上。（6）技术与管理并重原则信息安全不是单纯的技术问题，
12、技术是手段，管理是保障管理是保障。（7）避免重复建设原则需要佰能对设计规划思路要考虑到前期安全建设情况和后期3-5年的发展状况，积极充分利用已有资源和部署，减少系统中的重复建设情况。（8）可扩展原则针对本次内网综合布线系统设计方案要依照系统和网络的规划建设规模情况，具有可扩展性。（9）标准化、易操作原则本次规划应遵照分级保护相关标准，通过明确的管理规范、制度和标准体系，使信息安全工作有据可依，确保对信息安全风险的有效控制。1.5 需求描述1.5.1 全光网络布线系统1.5.1.1 全光网络布线结构图 1布线系统逻辑结构图XXX内网综合布线系统是一个为满足目前XXX内部受控网络交换需要，覆盖整个
13、XXX目前12层大楼的一个内网综合布线系统。其中垂直布线系统由主机房至每个汇聚弱电间按照每个楼层信息点设置使用多根48芯50/125um多模室内紧套光缆作为主要连接线路。水平子系统使用4芯50/125um多模光缆至前端连接用户端子系统的光纤尾纤和耦合器及信息面板构成。1.5.1.2 链路描述1、上联XXX链路（由XXX到XXX链路）XXX到XXX的链路采用依托国家电子政务外网方式组网，采用MSTP/SDH专线进行广域网的连接。链路使用现有由XXX专用网络至XXX现有屏蔽机房的外线光缆至内网核心交换机实现。2、XXX内部屏蔽主机房到每个楼层弱电间链路XXX楼内有12个涉及机密信息的信息点的楼层，
14、自屏蔽机房到其中5个弱电间链路使用合计44根48芯50/125um多模室内紧套光缆链路进行连接。3、XXX每个楼层弱电间现有XX交换机线路连接XXX楼内12个楼层弱电间内，在8F、12F、13F、17F设置4个非屏蔽无源定制可锁42U落地式配线机柜，在3F设置1个非屏蔽无源定制可锁10U墙挂式配线机柜。由于XXX原有弱电间桥架已经存在，并正在使用，本次设计使用在非屏蔽专用机柜内通过前端和垂直干线光缆跳接方式实现线路传输至主机房，使用全光缆布线系统，不受其他老的布线系统和桥架间距的影响。在每层的无源非屏蔽机柜内使用光纤跳线连接至前端信息接入点的光纤信息面板的配线架端口实现灵活切换和系统调整功能。
15、4、楼层弱电间无源非屏蔽机柜到前端接入信息面板的链路XXX楼层汇聚弱电间通过4芯室内50/125um多模光纤连接到每个对应楼层内的墙面信息面板的光纤耦合器。5、用户端设备连接链路XXX每个XX信息点的网络设备（电脑、打印机等）均设计通过光纤收发器与弱电间的光线收发器配对连接来实现用户端设备的连接。通过光纤50/125um多模跳线连接墙面光纤信息面板LC耦合器和相应光网络接收器的跳线来连接需要联网的网络设备。1.5.1.3 前端点位设置描述建设连接XXX内部5个汇聚楼层（3F，8F，12F，13F，17F）汇聚12个楼层的1049（暂定）个前端信息点，信息点设置如下表：楼层信息点数量布点规则备注
16、3F35根据平面图设计图书馆6F0无信息点机房层7F92小房间4个，大房间8个8F92小房间4个，大房间8个9F92小房间4个，大房间8个10F68小房间4个，大房间8个11F92小房间4个，大房间8个12F92小房间4个，大房间8个13F92小房间4个，大房间8个14F92小房间4个，大房间8个15F92小房间4个，大房间8个16F105小房间5个，大房间8个17F105小房间5个，大房间8个合计10491.5.1.4 楼层点位分布描述：2 政策和技术标准依据XXX内网综合布线系统项目信息系统安全建设涉及的各个应用系统均是关系国计民生的国家重要信息系统，在相关的XXX系列文件要求中，这样的系
17、统应纳入保护体系。2.1 国家信息安全的标准与规范XXX内网综合布线系统项目信息系统安全建设方案需依据以下标准与规范进行设计：（1）基础性标准综合布线系统安装设计规范；GB50312-2007涉及国家XX的信息系统分级保护技术要求XXX17-2007（2）系统实施指导类标准涉及国家XX的信息系统分级保护方案设计指南XXX23-2008涉及国家XX的信息系统分级保护评测指南XXX22-2007（3）系统设计指导类标准涉及国家XX的信息系统分级保护管理规范XXX20-2007（4）系统和分系统安全技术要求类标准信息系统安全通用技术要求（GB/T 20271-2006）网络基础安全技术要求（GB/T
18、 20270-2006）信息安全技术 信息系统物理安全技术要求（GB/T 21052-2007）信息安全技术 操作系统安全技术要求（GB/T 20272-2006）信息安全技术 数据库管理系统安全技术要求（GB/T 20273-2006）（5）安全管理要求类标准信息系统安全管理要求（GB/T20269-2006）信息系统安全工程管理要求（GB/T 20282-2006）（6）其他专项标准计算机场地安全要求（GB 9361-1988）电子计算机机房建设规范（GB 2887-1989）信息技术设备的无线电干扰极限值和测量方法（GB 9254-1998）2.2 XXX内网综合布线系统信息安全标准与规
19、范XXX内网综合布线系统项目设计方案需依据以下标准与规范进行设计：涉及国家XX的信息系统分级保护方案设计指南XXX23-2008涉及国家XX的信息系统分级保护技术要求XXX17-2007综合布线系统信息系统安全技术规范；综合布线系统安装设计规范；GB50312-20073 安全需求分析3.1 业务安全运行需求XXX内网综合布线系统项目以实现“十二五”期间重点目标指标为紧要任务，是国家重要建设项目之一。本次涉及XXX内网综合布线系统工作相关业务个各个应用系统。各个应用系统作为国家整体建设XXX内网综合布线系统工程的重要建设项目内容，涉及整个XXX内的所有XX信息设备和系统连接，因此，按照国家要求
20、和业务重要性，本次设计需要按照一定的安全等级进行设计是必要的。3.2 三级信息系统安全保护能力要求需要具有安全的信息系统，一般是运行于计算机网络平台上的信息系统，需要依照国家相关的管理规定和技术标准，在信息安全监管职能部门的监督、检查、指导下进行较严格的安全控制，防止来自内部和外部的攻击。技术方面的安全控制包括采用必要的信息安全技术，对信息系统的运行进行较严格的控制和对信息系统中存储、传输和处理的信息进行较严格的安全控制，以提供系统和信息的较高强度保密性、完整性和可用性；管理方面的安全控制包括从人员、法规、机构、制度、规程等方面采取较严格的管理措施，确保技术的安全控制达到预期的目标。 按照GB
21、 17859-1999中的要求，从组成信息系统安全的五个方面对信息系统进行安全控制，既保护系统安全性，又保护信息的安全性。在第二级安全的基础上，该级增加了标记和强制访问控制要求，从保密性保护和完整性保护两方面实施强制访问控制安全策略，增强了特权用户管理，要求对系统管理员、系统安全员和系统审计员的权限进行分离和限制。同时，对身份鉴别、审计、数据完整性、数据保密性和可用性等安全功能均有更进一步的要求。要求使用完整性敏感标记，确保信息在网络传输中的完整性。在系统安全方面，要求有较高程度的系统安全运行保证，以提供必要的系统服务。在信息安全方面，对数据信息和系统信息在保密性、完整性和可用性方面均有较高的
22、安全保护，应有较高强度的密码支持的保密性、完整性和可用性机制。在安全性保证方面，要求安全机制具有较高程度的自身安全保护，以及对安全功能的设计、实现及管理的较严格要求。在安全管理方面，要求具有较严格的安全管理措施，设置安全管理中心，建立必要的安全管理机构，按要求配备各类管理人员，健全各项安全管理的规章制度，对各类人员进行不同层次要求的安全培训等，确保系统所设置的各种安全功能发挥其应有的作用。3.3 物理安全需求3.3.1 保护具体要求物理安全的相关要求如下表：（其中加深部分为三级要求，未加深部分为二级要求）表 1物理安全基本要求分 类基本要求1.1.1 物理安全1.1.1.1物理位置的选择（G3
23、）a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。1.1.1.2物理访问控制（G3）a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。1.1.1.3防盗窃和防破坏（G3）a)应将主要设备放置在机房内；b)应将设备或主要部件进行固定，并设置明显的不易除去的标记；c)应将通信线缆铺
24、设在隐蔽处，可铺设在地下或管道中；d)应对介质分类标识，存储在介质库或档案室中；e)应利用光、电等技术设置机房防盗报警系统；f)应对机房设置监控报警系统。1.1.1.4防雷击（G3）a)机房建筑应设置避雷装置；b)应设置防雷保安器，防止感应雷；c)机房应设置交流电源地线。1.1.1.5防火（G3）a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；c)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。1.1.1.6防水和防潮（G3）a)水管安装，不得穿过机房屋顶和活动地板下；b)应采取措施防止雨水通过机房窗
25、户、屋顶和墙壁渗透；c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；d)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。1.1.1.7防静电（G3）a)主要设备应采用必要的接地防静电措施；b)机房应采用防静电地板。1.1.1.8温湿度控制（G3）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。1.1.1.9电力供应（A3）a)应在机房供电线路上配置稳压器和过电压防护设备；b)应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求；c)应设置冗余或并行的电力电缆线路为计算机系统供电；d)应建立备用供电系统。1.1.1.10电磁防护
26、（S3）a)应采用接地方式防止外界电磁干扰和设备寄生耦合干扰；b)电源线和通信线缆应隔离铺设，避免互相干扰；c)应对关键设备和磁介质实施电磁屏蔽。3.3.2 需求分析XXX内网综合布线系统通过原有屏蔽机房来满足物理安全三级保护要求；楼层弱电间使用无源可锁非屏蔽配线机柜（全光布线无设备）来完成物理需求和电磁防护的准备工作，满足相关保护要求。3.4 数据安全及备份恢复需求3.4.1 保护具体要求关于数据安全的相关要求如下表：（其中加深部分为三级要求，未加深部分为二级要求）表 2数据安全及备份恢复基本要求分 类基本要求1.1.5数据安全及备份恢复1.1.5.1数据完整性（S3）a)应能够检测到系统管
27、理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；b)应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。1.1.5.2数据保密性（S3）a)应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；b)应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。1.1.5.3备份和恢复（A3）a)应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存放；b)应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地；c
28、)应采用冗余技术设计网络拓扑结构，避免关键节点存在单点故障；d)应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。3.4.2 需求分析数据安全对应用系统来说尤其重要，如果政府业务敏感信息在存储、处理过程中被非法复制或破坏，或在传输过程中被非法窃听或篡改，将给政府和社会带来不同程度的影响和危害。如果缺乏足够的保障措施，将会导致政府敏感信息失泄密事件的发生。根据对数据安全的具体技术要求，数据传输应采用加密手段。需建立数据存储和备份恢复机制，完善异地数据存储和备份恢复技术措施。3.5 安全管理需求3.5.1 保护具体要求表 3安全管理基本要求分 类基本要求1.2.1 安全管理
29、制度1.2.1.1 管理制度（G3）a) 应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等；b) 应对安全管理活动中的各类管理内容建立安全管理制度；c) 应对要求管理人员或操作人员执行的日常管理操作建立操作规程；d) 应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。1.2.1.2 制定和发布（G3）a) 应指定或授权专门的部门或人员负责安全管理制度的制定；b) 安全管理制度应具有统一的格式，并进行版本控制；c) 应组织相关人员对制定的安全管理制度进行论证和审定；d) 安全管理制度应通过正式、有效的方式发布；e) 安全管理制度应注
30、明发布范围，并对收发文进行登记。1.2.1.3 评审和修订（G3）a) 信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定；b) 应定期或不定期对安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订。1.2.2 安全管理机构1.2.2.1 岗位设置（G3）a) 应设立信息安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；b) 应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责；c) 应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权；d) 应制
31、定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。1.2.2.2 人员配备（G3）a) 应配备一定数量的系统管理员、网络管理员、安全管理员等；b) 应配备专职安全管理员，不可兼任；c) 关键事务岗位应配备多人共同管理。1.2.2.3 授权和审批（G3）a) 应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等；b) 应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度；c) 应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息；d) 应记录审批过程并保存审批文档。1.2.2.4 沟通和合作（G
32、3）a) 应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题； b) 应加强与兄弟单位、公安机关、电信公司的合作与沟通；c) 应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通；d) 应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息；e) 应聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等。1.2.2.5 审核和检查（G3）a) 安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；b) 应由内部人员或上级单位定期进行
33、全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；c) 应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报；d) 应制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。1.2.3 人员安全管理1.2.3.1 人员录用（G3）a) 应指定或授权专门的部门或人员负责人员录用；b) 应严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核；c) 应签署保密协议；d) 应从内部人员中选拔从事关键岗位的人员，并签署岗位安
34、全协议。1.2.3.2 人员离岗（G3）a) 应严格规范人员离岗过程，及时终止离岗员工的所有访问权限；b) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备；c) 应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方可离开。1.2.3.3 人员考核（G3）a) 应定期对各个岗位的人员进行安全技能及安全认知的考核；b) 应对关键岗位的人员进行全面、严格的安全审查和技能考核；c) 应对考核结果进行记录并保存。1.2.3.4 安全意识教育和培训（G3）a) 应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训；b) 应对安全责任和惩戒措施进行书面规定并告知相关人员，对违反
35、违背安全策略和规定的人员进行惩戒； c) 应对定期安全教育和培训进行书面规定，针对不同岗位制定不同的培训计划，对信息安全基础知识、岗位操作规程等进行培训；d) 应对安全教育和培训的情况和结果进行记录并归档保存。1.2.3.5 外部人员访问管理（G3）a) 应确保在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪同或监督，并登记备案；b) 对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定，并按照规定执行。1.2.4 系统建设管理1.2.4.1 系统定级（G3）a) 应明确信息系统的边界和安全保护等级；b) 应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由；c)
36、 应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定；d) 应确保信息系统的定级结果经过相关部门的批准。1.2.4.2 安全方案设计（G3）a) 应根据系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全措施；b) 应指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划；c) 应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件；d) 应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设
37、计方案等相关配套文件的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施；e) 应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。1.2.4.3 产品采购和使用（G3）a) 应确保安全产品采购和使用符合国家的有关规定；b) 应确保密码产品采购和使用符合国家密码主管部门的要求；c) 应指定或授权专门的部门负责产品的采购；d) 应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。1.2.4.4 自行软件开发（G3）a) 应确保开发XX与实际运行XX物理分开，开发人员和测试人员分离，测试数据
38、和测试结果受到控制；b) 应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；c) 应制定代码编写安全规范，要求开发人员参照规范编写代码；d) 应确保提供软件设计的相关文档和使用指南，并由专人负责保管；e) 应确保对程序资源库的修改、更新、发布进行授权和批准。1.2.4.5 外包软件开发（G3）a) 应根据开发需求检测软件质量；b) 应在软件安装之前检测软件包中可能存在的恶意代码；c) 应要求开发单位提供软件设计的相关文档和使用指南；d) 应要求开发单位提供软件源代码，并审查软件中可能存在的后门。1.2.4.6 工程实施（G3）a) 应指定或授权专门的部门或人员负责工程实施过程的
39、管理；b) 应制定详细的工程实施方案控制实施过程，并要求工程实施单位能正式地执行安全工程过程；c) 应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。1.2.4.7 测试验收（G3）a) 应委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告；b) 在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告；c) 应对系统测试验收的控制方法和人员行为准则进行书面规定；d) 应指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收工作；e) 应组织相关部门和相关人员对系统测试验收
40、报告进行审定，并签字确认。1.2.4.8 系统交付（G3）a) 应制定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点；b) 应对负责系统运行维护的技术人员进行相应的技能培训；c) 应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档；d) 应对系统交付的控制方法和人员行为准则进行书面规定；e) 应指定或授权专门的部门负责系统交付的管理工作，并按照管理规定的要求完成系统交付工作。1.2.4.9 系统备案（G3）a) 应指定专门的部门或人员负责管理系统定级的相关材料，并控制这些材料的使用；b) 应将系统等级及相关材料报系统主管部门备案；c) 应将系统等级及其他要求
41、的备案材料报相应公安机关备案。1.2.4.10 等级测评（G3）a) 在系统运行过程中，应至少每年对系统进行一次等级测评，发现不符合相应分级保护标准要求的及时整改；b) 应在系统发生变更时及时对系统进行等级测评，发现级别发生变化的及时调整级别并进行安全改造，发现不符合相应分级保护标准要求的及时整改；c) 应选择具有国家相关技术资质和安全资质的测评单位进行等级测评；d) 应指定或授权专门的部门或人员负责等级测评的管理。1.2.4.11 安全服务商选择（G3）a) 应确保安全服务商的选择符合国家的有关规定；b) 应与选定的安全服务商签订与安全相关的协议，明确约定相关责任；c) 应确保选定的安全服务
42、商提供技术培训和服务承诺，必要的与其签订服务合同。1.2.5 系统运维管理1.2.5.1 XX管理（G3）a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理；b) 应指定部门负责机房安全，并配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理；c) 应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房XX安全等方面的管理作出规定；d) 应加强对办公XX的保密性管理，规范办公XX人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件
43、等。1.2.5.2 资产管理（G3）a) 应编制并保存与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容；b) 应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为；c) 应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施；d) 应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。1.2.5.3 介质管理（G3）a) 应建立介质安全管理制度，对介质的存放XX、使用、维护和销毁等方面作出规定； b) 应确保介质存放在安全的XX中，对各类介质进行控制和保护，并实行存储XX专人管理；c) 应对介质
44、在物理传输过程中的人员选择、打包、交付等情况进行控制，对介质归档和查询等进行登记记录，并根据存档介质的目录清单定期盘点；d) 应对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对带出工作XX的存储介质进行内容加密和监控管理，对送出维修或销毁的介质应首先清除介质中的敏感数据，对保密性较高的存储介质未经批准不得自行销毁； e) 应根据数据备份的需要对某些介质实行异地存储，存储地的XX要求和管理方法应与本地相同；f) 应对重要介质中的数据和软件采取加密存储，并根据所承载数据和软件的重要程度对介质进行分类和标识管理。1.2.5.4 设备管理（G3）a) 应对信息系统相关的各种设备（包括备份和冗
45、余设备）、线路等指定专门的部门或人员定期进行维护管理；b) 应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理；c) 应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等；d) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现主要设备（包括备份和冗余设备）的启动/停止、加电/断电等操作；e) 应确保信息处理设备必须经过审批才能带离机房或办公地点。1.2.5.5 监控管理和安全管理中心（G3）a) 应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，形成记录并妥善保存；b) 应组织相关人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，并采取必要的应对措施；c) 应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。1.2.5.6 网络安全管理（G3）a) 应指