第一章 总则

第一条 为加强武汉学院信息系统规划、建设阶段项目管理，规范信息系统规划、建设管理流程，及时提供满足管理和业务需求的应用系统，特制定本制度。

第二章 适用范围

第二条 本规范主要对武汉学院信息系统建设过程提出安全管理规范。适用于武汉学院的信息系统建设工作。

第三章 职责

第三条 由信息系统负责部门提出信息系统交总体安全设计方案。

第四条 由信息中心负责组织相关部门和人员对信息系统负责部门提交的信息系统总体安全设计方案的可行性、安全性进行分析、评审和论证。

第四章 系统建设安全管理的总体要求

第五条 项目建设安全管理目标

一个项目的生命周期包括：项目申报、项目审批和立项、项目实施、项目验收和投产；从项目建设的角度来看，这些生命周期的阶段则包括以下子阶段：需求分析、总体方案设计、概要设计、详细设计、系统实施、系统测试和试运行，如下表所示。

项目建设安全管理的目标就是保证整个项目管理和建设过程中系统的安全。为了达到这个目标，信息安全必须融合在项目管理和项目建设过程中，与单位的业务需求、环境要求、项目计划、成本效益以及国家和地方的政策、标准、指令相一致。这种融合应该产生一个信息系统安全工程项目，它要确认、评估、并且消除或控制住系统对已知或假定的威胁的脆弱点，最终得到一个可以接受水平的安全风险。

第六条 项目建设安全管理原则：

1)等级

2)全生命周期安全管理：信息安全管理必须贯穿信息化项目建设的整个生命周期；

3)成本-效益分析：进行信息安全建设和管理应考虑投入产出比；

4)明确职责：每个参与项目建设和项目管理的人员都应该明确安全职责，应进行安全意识和职责培训，并落实到位；

5)管理公开：应保证每个项目参与人员都知晓和理解安全管理的模式和方法；

6)最小特权：人员对项目资产的访问权限制到最低限度，即仅赋予其执行授权任务所必需的权限。

第七条 项目建设安全管理要求

项目安全管理工作应强化责任机制、规范管理程序，在项目的申报、审批、立项、实施、验收等关键环节中，必须依照规定的职能行使职权，并在规定的时限内完成各个环节的安全管理行为，否则应承担相应的责任。

第五章 项目申报

第八条 项目申报阶段应对信息系统项目及其建设的各个环节进行统一的安全管理规划，确定项目的安全需求、安全目标、安全建设方案。

第九条 进行项目申报时应填写《信息系统项目立项申请表》，并提交《业务需求书》和《信息系统项目可行性研究报告》。

第六章 安全方案设计

第十条 本阶段主要是项目审批单位对项目申报内容进行安全方案的设计，对项目的安全性进行确定，必要时可以聘请外单位的专家参与论证工作。

第十一条 系统定级

1）依据国家《信息系统安全等级保护定级指南》（GBT 22240-2008）对项目中的信息系统进行定级，明确信息系统的边界和安全保护等级；

2）以书面的形式说明确定信息系统为某个安全保护等级的方法和理由，形成信息系统定级报告；

3）组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定，上报上级主管单位和安全监控单位进行审定；

4）信息系统的定级结果向本地公安机关进行备案。

第十二条 安全需求

在《业务需求书》中除了描述系统业务需求之外，还应进行系统的安全性需求分析，应至少包括以下信息安全方面的内容：

1)安全威胁分析报告：应分析待建计算机系统在生命周期的各个阶段中可能遭受的自然威胁或者人为威胁（故意或无意），具体包括威胁列表、威胁可能性分析、威胁严重性分析等；

2)系统脆弱性分析报告：包括对系统造成问题的脆弱性的定性或定量的描述，这些问题是被攻击的可能性、被攻击成功的可能性；

3)影响分析报告：描述威胁利用系统脆弱性可能导致不良影响。影响可能是有形的，例如资金的损失或收益的减少，或可能是无形的，例如声誉和信誉的损失；

4)风险分析报告：安全风险分析的目的在于识别出一个给定环境中涉及对某一系统有依赖关系的安全风险。它取决于上面的威胁分析、脆弱性分析和影响分析，应提供风险清单以及风险优先级列表；

5)系统安全需求报告：针对安全风险，应提出安全需求，对于每个不可接受的安全风险，都至少有一个安全需求与其对应。

第十三条 安全可行性

在可行性报告的以下条目中应增加相应的信息安全方面的内容：

1）项目目标、主要内容与关键技术：增加信息化项目的总体安全目标，并在主要内容后面增加针对前面分析出的安全需求所提出的相应安全对策，每个安全需求都至少对应一个安全对策，安全对策的强度应根据相应资产的重要性来选择；

2）项目采用的技术路线或者技术方案：增加描述如何从技术、运作、组织以及制度四个方面来实现所有的安全对策，并形成安全方案；

3）项目的承担单位及人员情况介绍：增加项目各承担单位的信息安全方面的资质和经验介绍，并增加介绍项目主要参与人员的信息安全背景；

4）项目安全管理：增加项目建设中的安全管理模式、安全组织结构、人员的安全职责、建设实施中的安全操作程序和相应安全管理要求；

5）成本效益分析：对安全方案进行成本-效益分析。

第十四条 安全标准的确定

1）根据系统的安全保护等级选择基本安全措施，设计安全标准必须达到等级保护相关等级的基本要求，并依据风险分析的结果进行补充和调整必要的安全措施；

2）指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划；

3）应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件；

4）应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施；

5）根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。

第七章 方案论证和审批

第十五条 本阶段主要是项目审批部门对项目申报内容进行审批，对项目进行安全性论证，必要时可以聘请外单位的专家参与论证工作。

第十六条 安全性论证和审批

安全性论证应着重对项目的安全需求分析、安全对策以及总体安全方案进行成本-效益、合理性、可行性和有效性分析，并在《信息化项目立项审批表》上给出明确的结论：

1）适当

2）不合适（否决）

3）需作复议

对论证结论为“需作复议”的项目，通知申报部门对有关内容进行必要的补充或者修改后，再次提交复审。

第十七条 项目安全立项

审批后，项目审批部门将对项目进行立项，在《信息系统项目任务书》的以下条目中应增加相应的信息系统安全方面的内容：

1)项目的管理模式、组织结构和责任：增加项目建设中的安全管理模式、安全组织结构以及人员的安全职责；

2)项目实施的基本程序和相应的管理要求：增加项目建设实施中的安全操作程序和相应安全管理要求；

3)项目设计目标、主要内容和关键技术：增加总体安全目标、安全对策以及用于实现安全对策的总体安全方案；

4)项目实现功能和性能指标：增加描述系统拥有的具体安全功能以及安全功能的强度；

5)项目验收考核指标：增加安全性测试和考核指标。

第十八条 立项的项目，如采用引进、合作开发或者外包开发等形式，则需与第三方签订安全保密协议。

第八章 项目实施方案

第十九条 信息化项目实施阶段包括3个子阶段：概要设计、详细设计和项目实施，本阶段的主要工作由项目开发承担单位来完成，项目审批单位负责监督工作。

第二十条 概要设计子阶段的安全要求

在概要设计阶段，系统层次上的设计要求和功能指标都被分配到了子系统层次上，这个子阶段的安全目标是保证各子系统设计实现了总体安全方案中的安全功能。因此，《概要设计说明书》中至少应达到以下安全要求：

1)应当按子系统来描述系统的安全体系结构；

2)应当描述每一个子系统所提供的安全功能；

3)应当标识所要求的任何基础性的硬件、固件或软件，和在这些硬件、固件或软件中实现的支持性保护机制提供的功能表示；

4)应当标识子系统的所有接口，并说明哪些接口是外部可见的；

5)描述子系统所有接口的用途与使用方法，并适当提供影响、例外情况和错误消息的细节；

6)确证子系统（不论是开发的，还是买来的）的安全功能指标满足系统安全需求。

第二十一条 详细设计子阶段的安全要求

无论是新开发一个系统，或是对一个系统进行修改，本阶段的任务是完成那些不能买到现成品的软硬件模块的设计。先要完成每个模块的详细设计方案，最后根据每个模块的详细设计得到整个系统的详细设计。本子阶段的安全目标是保证各模块设计实现了概要设计中的安全功能，因此在这一阶段的《详细设计说明书》中至少要包括以下信息安全内容：

1）详细设计中应提出相应的具体安全方案，标明实现的安全功能，并应检查其技术原理；

2）对系统层面上的和模块层面上的安全设计进行审查；

3）完成安全测试和评估要求（通常包括完整的系统的、软件的、硬件的安全测试方案，至少是相关测试程序的一个草案）；

4）确认各模块的设计，以及模块间的接口设计能满足系统层面的安全要求。

第二十二条 项目实施子阶段的安全要求

无论是新开发一个系统或是进行系统修改，本阶段的主要目的是将所有的模块（软硬件）集成为完整的系统，并且检查确认集成以后的系统符合要求。本阶段中，应完成以下具体信息安全工作：

1)更新系统安全威胁评估，预测系统的使用寿命；

2)找出并描述实现安全方案后系统和模块的安全要求和限制，以及相关的系统验证机制及检查方法；

3)完善系统的运行程序和全生命期支持的安全计划，如密钥的分发等；

4)在《系统集成操作手册》中，应制定安全集成的操作程序；

5)在《系统修改操作手册》中，应制定系统修改的安全操作程序；

6)对项目参与人员进行信息安全意识培训；

7)并对参加项目建设的安全管理和技术人员的安全职责进行检查。

第二十三条 在系统实施阶段需要采购的网络安全设备必须由单位进行统一采购，参照单位《产品采购和使用管理规定》 。

第九章 项目验收与投产

第二十四条 系统建设完成后，项目承建方要依据项目合同的交付部分向信息系统负责部门进行项目交付，交付的内容至少包括：

1)制定的系统交付清单，对交付的设备、软件和文档进行清点；

2)对系统运维人员进行技能培训，要求系统运维人员能进行日常的维护；

3)提供系统建设的过程文档，包括实施方案、实施记录等；

4)提供系统运行维护的帮助和操作手册

第二十五条 系统交付要项目实施和信息系统负责部门的相关项目负责人进行签字确认。

第二十六条 系统交付由信息系统负责部门负责，必须安照系统交付的要求完成交付工作。

第二十七条 应制定投产与验收测试大纲，在项目实施完成后，由使用单位和项目开发承担单位共同组织进行测试。在测试大纲中应至少包括以下安全性测试和评估要求：

1)配置管理：系统开发单位应使用配置管理系统，并提供配置管理文档；

2)安装、生成和启动程序：应制定安装、生成和启动程序，并保证最终产生了安全的配置；

3)安全功能测试：对系统的安全功能进行测试，以保证其符合详细设计并对详细设计进行检查，保证其符合概要设计以及总体安全方案；

4)系统管理员指南：应提供如何安全地管理系统和如何高效地利用系统安全功能的优点和保护功能等详细准确的信息；

5)系统用户指南：必须包含两方面的内容，首先，它必须解释哪些用户可见的安全功能的用途以及如何使用它们，这样用户可以持续有效地保护他们的信息；其次，它必须解释在维护系统的安全时用户所能起的作用；

6)安全功能强度评估：功能强度分析应说明以概率或排列机制（如，口令字或哈希函数）实现的系统安全功能。例如，对口令机制的功能强度分析可以通过说明口令空间是否有足够大来指出口令字功能是否满足强度要求；

7)脆弱性分析：应分析所采取的安全对策的完备性（安全对策是否可以满足所有的安全需求）以及安全对策之间的依赖关系。通常可以使用穿透性测试来评估上述内容，以判断它们在实际应用中是否会被利用来削弱系统的安全。

第二十八条 测试完成后，项目测试小组应提交《测试报告》，其中应包括安全性测试和评估的结果。不能通过安全性测试评估的，由测试小组提出修改意见，项目开发承担单位应作进一步修改。

第二十九条 测试通过后，由项目应用单位组织进入试运行阶段，应有一系列的安全措施来维护系统安全，它包括处理系统在现场运行时的安全问题和采取措施保证系统的安全水平在系统运行期间不会下降。具体工作如下：

1)监测系统的安全性能，包括事故报告；

2)进行用户安全培训，并对培训进行总结；

3)监视与安全有关的部件的拆除处理；

4)监测新发现的对系统安全的攻击、系统所受威胁的变化以及其它与安全风险有关的因素；

5)监测安全部件的备份支持，支持与系统安全有关的维护培训；

6)评估大大小小的系统改动对安全造成的影响；

7)监测系统功能配置，包括运行过程，因为一些不太显眼的改变可能影响系统的安全风险。

第三十条 系统安全试运行半年后，信息系统使用单位可以组织由项目开发承担单位和信息系统负责部门人员参加的项目验收组对项目进行验收。验收应增加以下安全内容：

1)项目是否已达到项目任务书中制定的总体安全目标和安全指标，实现全部安全功能；

2)采用技术是否符合国家、电力行业有关安全技术标准及规范；

3)是否实现验收测评的安全技术指标；

4)项目建设过程中的各种文档资料是否规范、齐全；

5)在验收报告中也应在以下条目中反映对系统安全性验收的情况：

6)项目设计总体安全目标及主要内容；

7)项目采用的关键安全技术；

8)验收专家组中的安全专家及安全验收评价意见。

第三十一条 系统备案

1）系统建设完成后，要向相应的公安机关进行备案，系统的备案，备案的相关材料有由单位进行统一管理，相应的系统应用、管理部门可以借阅；

2）系统等级及相关材料报系统主管部门进行备案；

3）系统待级及其它要求的备案材料报相应的公安机关备案。

第三十二条 投产后的监控与跟踪

项目投产后还应进行一段时间的监控和跟踪，具体包括以下要求：

1)应对系统关键安全性能的变化情况进行监控，了解其变化的原因；

2)对系统安全事故的发生、应急、处理、恢复、总结进行全程跟踪，并编写详细的记录；

3)监控新增的安全部件对系统安全的影响；

4)跟踪安全有关部件的拆除处理情况，并监控随后系统安全性的变化；

5)对新发现的对系统安全的攻击进行监控，记录其发生的频率以及对系统的影响；

6)监控系统所受威胁的变化，评估其发生的可能性以及可能造成的影响；

7)监控并跟踪安全部件的备份情况；

8)监控运行程序的变化，并记录这些变化对系统安全的影响；

9)监控系统物理环境的变化情况，并记录这些变化对系统安全的影响；

10)监控安全配置的变化情况，并记录这些变化对系统安全的影响；

11)对于上述所有监控和跟踪内容，如果对系统安全有不良影响处，都应在系统设计、配置、运行管理上做相应改进，以保证系统安全、正常运行。

第三十三条 等级测评

1）系统进入运行过程后，三级的系统每年聘请第三方测评机构对系统进行一次等级测评，二级的系统每年进行一次自测评，发现不符合相应等级保护标准要求的及时整改；

2）系统发生变更时，及时对系统进行等级测评，发现级别发生变化的及时调整级别并进行安全改造，发现不符合相应等级保护标准要求的及时整改；

3）测评机构要选择具有国家相关技术资质和安全资质的单位；

4）系统的等级测评由信息部负责管理。

第十章 持续改进

第一条 为了保证本文件的时效性、可行性，必须根据相关审核规定进行评审和修订，修订后重新发布。

第十一章 附则

第二条 本规范由武汉学院负责制定、解释和修改。

第三条 本规范自发布之日起实行。