5.5.1.5 临时用户要求

对临时用户，不同安全等级应有选择地满足以下要求的一项：

a） 临时用户的设置与删除：临时用户的设置和期限必须经过审批，使用完毕或到期应及时删除，设置与删除均应记录备案；
b） 临时用户的审计：在a）的基础上，对主要部位的临时用户应进行审计，并在删除前进行风险评估；
c） 临时用户的限制：在b）的基础上，在关键部位，一般不允许设置临时用户。


5.5.2 运行操作管理

5.5.2.1 服务器操作管理

对服务器操作的管理，不同安全等级应有选择地满足以下要求的一项：

a） 服务器操作管理基本要求：对服务器的操作应由授权的系统管理员实施；应按操作规程实现服务器的启动/停止、加电/断电等操作；维护服务器的运行环境及配置和服务设定；按5.5.5.1
的相关要求实现操作的身份鉴别管理；
b） 日志文件和监控管理：在a）的基础上，加强日志文件管理和监控管理。日志管理包括对操作系统、数据库系统以及业务系统等日志的管理和维护；监控管理包括监控系统性能，如监测CPU和内存的利用率、检测进程运行及磁盘使用情况等；
c） 配置文件管理：在b）的基础上，加强配置文件管理，包括服务器的系统配置和服务设定的配置文件的管理，定期对系统安全性进行有效性评估和检查，及时发现系统的新增缺陷或漏洞。


5.5.2.2 终端计算机操作管理

对终端计算机操作的管理，不同安全等级应有选择地满足以下要求的一项：

a） 终端计算机操作管理基本要求：用户在使用自己的终端计算机时，应设置开机、屏幕保护、目录共享口令；非组织机构配备的终端计算机未获批准，不能在办公场所使用；及时安装经过许可的软件和补丁程序，不得自行安装及使用其它软件和自由下载软件；未获批准，严禁使用Modem拨号、无线网卡等方式或另辟通路接入其它网络；身份鉴别机制按照5.5.5.1相关要求处理；
b） 重要部位的终端计算机管理：在a）的基础上，应有措施防止终端计算机机箱私自开启，如需拆机箱应在获得批准后由相关管理部门执行；接入保密性较高的业务系统的终端计算机不得直接接入低级别系统或网络；
c） 关键部位的终端计算机管理：在b）的基础上，终端计算机必须启用两个及两个以上身份鉴别技术的组合来进行身份鉴别；终端计算机应采用低辐射设备；每个终端计算机的管理必须由专人负责，如果多人共用一个终端计算机，应保证各人只能以自己的身份登录，并采用的身份鉴别机制。


5.5.2.3 便携机操作管理

对便携机操作的管理，不同安全等级应有选择地满足以下要求的一项：

a） 便携机操作管理的基本要求：便携机需设置开机口令和屏保口令，口令标准等身份鉴别机制按照5.5.5.1相关要求处理；因工作岗位变动不再需要使用便携机时，应及时办理资产转移或清退手续，并删除机内的敏感数据；在本地网络工作时应按5.5.2.2要求执行；在本地之外网络接入过的便携机，需要接入本地网络前应进行必要的安全检查；
b） 便携机远程操作的限制：在a）的基础上，在机构内使用的便携机，未获批准，严禁使用Modem拨号、无线网卡等方式接入其它网络；
c） 重要应用的便携机的管理：在b）的基础上，在重要区域使用的便携机必须启用两个及两个以上身份鉴别技术的组合来进行身份鉴别；便携机离开重要区域时不应存储相关敏感或涉及国家秘密数据，必须带出时应经过有关领导批准并记录在案；
d） 有涉及国家秘密数据的便携机的管理：在c）的基础上，要求采用低辐射便携机；便携机在系统外使用时，没有足够强度安全措施不应使用Modem拨号或无线网卡等方式接入网络；机内的涉及国家秘密数据应采用一定强度的加密储存或采用隐藏技术，以减小便携机丢失所造成的损失；必要时应对便携机采取物理保护措施。


5.5.2.4 网络及安全设备操作管理

对网络及安全设备操作的管理，不同安全等级应有选择地满足以下要求的一项：

a） 网络及安全设备操作基本要求：对网络及安全设备的操作应由授权的系统管理员实施；应按操作规程实现网络设备和安全设备的接入/断开、启动/停止、加电/断电等操作；维护网络和安全设备的运行环境及配置和服务设定；对实施网络及安全设备操作的管理员应按5.5.5.1的要求进行身份鉴别；
b） 策略配置及检查：在a）的基础上，管理员应按照安全策略要求进行网络及设备配置；应定期检查实际配置与安全策略要求的符合性；
c） 安全机制集中管理控制：在b）的基础上，应通过安全管理控制平台等设施对网络及安全设备的安全机制进行统一控制、统一管理、统一策略，保障网络正常运行。


5.5.2.5 业务应用操作管理

对业务应用操作的管理，不同安全等级应有选择地满足以下要求的一项：

a） 业务应用操作程序和权限控制：业务应用系统应按5.5.5.1的要求对操作人员进行身份鉴别；业务应用系统的安全管理见5.5.5.5的要求；业务应用系统应能够以菜单等方式限制操作人员的访问权限；业务应用操作程序应形成正式文档，需要进行改动时应得到管理层授权；这些操作步骤应指明具体执行每个作业的指令，至少包括：
—— 指定需要处理和使用的信息；
—— 明确操作步骤，包括与其它系统的相互依赖性、操作起始和结束的时间；
—— 说明处理错误或其它异常情况的指令，系统出现故障时进行重新启动和恢复的措施，以及在出现意外的操作或技术问题时需要技术支持的联系方法；
b） 业务应用操作的限制：在a）的基础上，对重要的业务应用操作应根据特别许可的权限执行；业务应用操作应进行审计；
c） 业务应用操作的监督：在b）的基础上，关键的业务应用操作应有2人同时在场或同时操作，并对操作过程进行记录。


5.5.2.6 变更控制和重用管理

对变更控制和重用的管理，不同安全等级应有选择地满足以下要求的一项：

a） 变更控制的申报和审批：任何变更控制和设备重用必须经过申报和审批才能进行，同时还应注意以下要求：
——注意识别重大变更，并进行记录；
——评估这些变更的潜在影响；
——向所有相关人员通报变更细节；
——明确中止变更并从失败变更中恢复的责任和处理方法；
——重用设备中原有信息的清除；
b） 制度化的变更控制：在a）的基础上，制度化的变更控制和设备重用还应包括：对操作系统、
数据库、应用系统、人员、服务等的变更控制应制度化；对所有计划和制度执行情况进行定期或不定期的检查；对安全策略和管理计划的修订；对基于变更和设备重用的各种规章制度的修订和完善；建立运行过程管理文档，书面记录相关的管理责任及工作程序；
c） 变更控制的一致性管理：在b）的基础上，一致性的变更控制和设备重用还应包括：对信息系统的任何变更必须考虑全面安全事务一致性；更改方案应得到系统主管领导的审批；操作系统与应用系统的控制更改程序应相互配合；通过审计日志和过程记录，记载更改中的所有有关信息；更改后将变更结果书面通知所有有关部门和人员，以便进行相应的调整；
d） 变更控制的安全审计：在c）的基础上，变更控制的安全审计还应包括：建立系统更改操作的审批程序和操作流程，防止随意更改而开放危险端口或服务；对重要的变更控制应实施独立的安全审计，并对全面安全事务一致性进行检查和评估；系统更改的日志记录和设备重用记录应妥善保存；
e） 变更的安全评估：在d）的基础上，变更控制的安全审计还应包括：针对所有变更和设备重用进行安全评估；应采取相应保证措施，对变更计划和效果进行持续改善。

5.5.2.7 信息交换管理

对信息交换管理，不同安全等级应有选择地满足以下要求的一项：

a） 信息交换的基本管理：在信息系统上公布信息应符合国家有关政策法规的规定；对所公布的信息应采取适当的安全措施保护其完整性；应保护业务应用中的信息交换的安全性，防止欺诈、合同纠纷以及泄露或修改信息事件的发生；
b） 信息交换的规范化管理：在a）的基础上，还应包括在组织机构之间进行信息交换应建立安全条件的协议，根据业务信息的敏感度，明确管理责任，以及数据传输的最低安全要求；
c） 不同安全区域之间信息传输的管理：在b）的基础上，还应包括对于信息系统内部不同安全区域之间的信息传输，应有明确的安全要求；
d） 高安全信息向低安全域传输的管理：在c）的基础上，还应包括对高安全信息向低安全域的传输应经过组织机构领导层的批准，明确部门和人员的责任，并采取的安全专控措施。


5.5.3 运行维护管理

5.5.3.1 日常运行安全管理

对日常运行安全管理，不同安全等级应有选择地满足以下要求的一项：

a） 系统运行的基本安全管理：应通过正式授权程序委派专人负责系统运行的安全管理；应建立运行值班等有关安全规章制度；应正确实施为信息系统可靠运行而采取的各种检测、监控、审计、分析、备份及容错等方法和措施；应对运行安全进行监督检查；应明确各个岗位人员对信息系统各类资源的安全责任；应明确信息系统安全管理人员和普通用户对信息系统资源的访问权限；对信息系统中数据管理应保证技术上能够达到GB/T 20271-2006中6.1.3的有关要求；
b） 系统运行的制度化管理：在a）的基础上，应按风险管理计划和操作规程定期对信息系统的运行进行风险分析与评估，并向管理层提交正式的风险分析报告。为此应实行系统运行的制度化管理，包括：
——对病毒防护系统的使用制定管理规定；（见5.5.5.6）
——制定应用软件安全管理规章制度，应用软件的采购应经过批准，对应用软件的安全性应进行调查，未经验证的软件不得运行；对应用软件的使用采取授权管理，没有得到许可的用户不得安装、调试、运行、卸载应用软件，并对应用软件的使用进行审计；
——制定外部服务方对信息系统访问的安全制度，对外部服务方访问系统可能发生的安全性进行评估，采取安全措施对访问实施控制，与外部服务方签署安全保密合同，并要求有关合同不违背总的安全策略；
——安全管理负责人应会同信息系统应用各方制定应急计划和灾难恢复计划，以及实施规程，并进行必要验证、实际演练和技术培训；对所需外部资源的应急计划要与有关各方签署正式合同，合同中应规定服务质量，并包括安全责任和保密条款；
——制定安全事件处理规程，保证在短时间内能够对安全事件进行处理；
——制定信息系统的数据备份制度，要求指定专人负责备份管理，保证信息系统自动备份和人工备份的准确性、可用性；
——制定有关变更控制制度，保证变更后的信息系统能满足既定的安全目标；（见5.5.2.6）
——制定运行安全管理检查制度，定期或不定期对所有计划和制度执行情况进行监督检查，并对安全策略和管理计划进行修订；接受上级或国家有关部门对信息系统安全工作的监督和检查；
——根据组织机构和信息系统出现的各种变化及时修订、完善各种规章制度；
——建立严格的运行过程管理文档，其中包括责任书、授权书、许可证、各类策略文档、事故报告处理文档、安全配置文档、系统各类日志等，并保证文档的一致性；
——对信息系统中数据管理应保证技术上能够达到GB/T 20271-2006中6.2.3的有关要求；
c） 系统运行的风险控制：在b）的基础上，使用规范的方法对信息系统运行的有关方面进行风险控制，包括要求对关键岗位的人员实施严格的背景调查和管理控制，切实落实最小授权原则和分权制衡原则，关键安全事务要求双人共管；对外部服务方实施严格的访问控制，对其访问实施监视，并定期对外部服务方访问的风险进行分析和评估；要求有专人负责应急计划和灾难恢复计划的管理工作，保证应急计划和灾难恢复计划有效执行；要求系统中的关键设备和数据采取可靠的备份措施；要求保证各方面安全事务管理的一致性；对信息系统中数据管理应保证技术上能够达到GB/T 20271-2006中6.3.3的有关要求；
d） 系统运行的安全审计：在c）的基础上，应建立风险管理质量管理体系文件，并对系统运行管理过程实施独立的审计，保证安全管理过程的有效性；信息系统生存周期各个阶段的安全管理工作应有明确的目标、明确的职责（见5.8），实施独立的审计；应对病毒防护管理制度实施定期和不定期的检查；应对外部服务方每次访问信息系统的风险进行控制，实施独立的审计；定期对应急计划和灾难恢复计划的管理工作进行评估；对使用单位的安全策略、安全计划等安全事务的一致性进行检查和评估；对信息系统中数据管理应保证技术上能够达到GB/T 20271-2006中6.4.3的有关要求；
e） 系统运行的全面安全管理：在d）的基础上，应将风险管理作为机构业务管理的组成部分，对风险管理活动和信息系统生存周期各个阶段的安全实施全面管理；应制定全面的应急计划和灾难恢复计划管理细则，并通过持续评估，保证应急计划和灾难恢复计划的有效性；应对所有变更进行安全评估，保证变更控制计划的不断完善；对信息系统中数据管理应保证技术上能够达到GB/T 20271-2006中6.5.3的有关要求。


5.5.3.2 运行状况监控

对运行状况监控，不同安全等级应有选择地满足以下要求的一项：

a） 日志管理：所有的系统日志应保留一定期限，不能被改变，只允许授权用户访问；日志应有脱机保存的介质；信息系统应使用统一的时间，以确保记录日志准确；日志应定期处理并产生报告；审计日志须经授权方可查阅；应告知用户某些行为是会被审计的；
b） 监视服务器安全性能：在a）的基础上，监视与安全机制相关的服务器性能变化，包括：监测CPU和内存的利用率；检测进程运行，发现对资源消耗大的进程，并提出解决方案；监测磁盘使用情况，主要是指数据库的容量变化和日志文件的大小变化；
c） 监视网络安全性能：在b）的基础上，应建立信息系统安全机制集中管理机构（见5.2.2）完成网络安全性能和其他信息的监视；
d） 对关键区域的监视：在c）的基础上，安全机制集中管理机构应对关键区域和关键业务应用系统运行的监视，并与主管部门共同制定具体的管理办法；
e） 对核心数据的监视：在d）的基础上，安全机制集中管理机构应对关键区域和关键业务应用系统核心数据进行监视，并与主管部门共同制定具体的管理办法，经上一级负责人的批准执行。


5.5.3.3 软件硬件维护管理

对软件、硬件维护的管理，不同安全等级应有选择地满足以下要求的一项：

a） 软件、硬件维护的责任：应明确信息系统的软件、硬件维护的人员和责任，规定维护的时限，以及设备更新和替换的管理办法；制定有关软件、硬件维修的制度；
b） 涉外维修的要求：在a）基础上，对需要外出维修的设备，应经过审批，磁盘数据应进行删除；外部维修人员进入机房维修，应经过审批，并有专人负责陪同；
c） 可监督的维修过程：在b）基础上，应对重要区域的数据和软件系统进行必要的保护，防止因维修造成破坏和泄漏；应对维修过程及有关现象记录备案；
d） 强制性的维修管理：在c）基础上，一般不应允许外部维修人员进入关键区域；应根据维修方案和风险评估的结果确定维修方式，可采用更新设备的方法解决。


5.5.3.4 外部服务方访问管理

对外部服务方访问管理，不同安全等级应有选择地满足以下要求的一项：

a） 外部服务方访问的审批控制：对外部服务方访问的要求，应经过相应的申报和审批程序；
b） 外部服务方访问的制度化管理：在a）的基础上，应对外部服务方访问建立相应的安全管理制度；外部服务方访问应签署保密合同；
c） 外部服务方访问的风险评估：在b）的基础上，应对外部服务方访问进行风险分析和评估；应对外部服务方访问实施严格控制；应对外部服务方访问实施监视；
d） 外部服务方访问的强制管理：在c）的基础上，在重要安全区域，应对外部服务方每次访问进行风险控制；必要时应外部服务方的访问进行限制。


5.5.4 外包服务管理

5.5.4.1 外包服务合同

a） 外包服务合同基本要求：对由组织机构外部服务商承担完成的外包服务，应签署正式的书面合同，至少包括：
——对符合法律要求的说明，如数据保护法规；
——对外包服务的风险的说明，包括风险的来源、具体风险描述和风险的影响，明确如何维护并检测组织的业务资产的完整性和保密性；
——对外包服务合同各方的安全责任界定，应确保外包合同中的参与方（包括转包商）都了解各自的安全责任；
——对控制安全风险应采用的控制措施的说明，包括物理和逻辑两个方面，应明确使用何种物理和逻辑控制措施，限制授权用户对组织的敏感业务信息的访问，以及为外包出去的设备提供何种级别的物理安全保护；
——对外包服务风险发生时应采取措施的说明，如在发生灾难事故时，应如何维护服务的可用性；
——对外包服务的期限、中止的条件和善后处理的事宜以及由此产生责任问题的说明；
——对审计人员权限的说明。