安全管理體系設(shè)計(jì)包括安全策略和管理制度建設(shè)、安全管理機(jī)構(gòu)和人員建設(shè)、安全建設(shè)管理，及安全運(yùn)維管理等幾個(gè)部分。

安全策略和管理制度設(shè)計(jì)

安全策略和管理制度是對信息安全目標(biāo)和工作原則的規(guī)定，其表現(xiàn)形式是一系列安全策略體系文件。安全策略和管理制度是信息安全保障體系的核心，是信息安全管理工作、技術(shù)工作和運(yùn)維工作的目標(biāo)和依據(jù)。具體安全策略和管理制度可參考以下內(nèi)容建設(shè)：

· 設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管人、安全管理各個(gè)方面的負(fù)責(zé)人，定義各負(fù)責(zé)人的職責(zé)；

· 設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各工作崗位的職責(zé)；

· 成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)應(yīng)由單位主管領(lǐng)導(dǎo)委任或授權(quán)；

· 制定文件明確安全管理機(jī)構(gòu)各部門和崗位的職責(zé)、分工和技能要求；配備安全管理專職人員，不可兼任；

· 授權(quán)審批部門及批準(zhǔn)人，對關(guān)鍵活動進(jìn)行審批；建立各審批事項(xiàng)的審批程序，按照審批程序執(zhí)行審批過程；

· 信息安全職能部門應(yīng)定期或不定期召集相關(guān)部門和人員召開安全工作會議，協(xié)調(diào)安全工作的實(shí)施；

· 信息安全領(lǐng)導(dǎo)小組應(yīng)定期召開例會對信息安全工作進(jìn)行指導(dǎo)、決策；

· 加強(qiáng)與供應(yīng)商、安全企業(yè)、安全機(jī)構(gòu)的合作與溝通，獲取信息安全的最新發(fā)展動態(tài)；

· 聘請信息安全專家，作為常年的安全顧問，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評審；

· 由安全管理人員定期進(jìn)行安全檢查，檢查內(nèi)容包括用戶賬號情況、系統(tǒng)漏洞情況、系統(tǒng)審計(jì)情況等；

· 由安全管理部門定期進(jìn)行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等；

· 制定、實(shí)施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報(bào)告，并對安全檢查結(jié)果進(jìn)行通報(bào)。

安全管理機(jī)構(gòu)和人員管理設(shè)計(jì)

安全管理機(jī)構(gòu)和人員管理建設(shè)將決定整個(gè)安全管理體系的成敗。信息安全領(lǐng)導(dǎo)小組應(yīng)由單位高層領(lǐng)導(dǎo)和有關(guān)部門的管理人員組成，負(fù)責(zé)協(xié)調(diào)、指導(dǎo)及管理信息安全各個(gè)方面的工作。

人員安全管理應(yīng)作為安全管理的重中之重，需要重點(diǎn)考慮人員錄用、人員離崗、安全意識教育和培訓(xùn)，以及外部人員管理等。信息安全領(lǐng)導(dǎo)小組應(yīng)履行如下職責(zé)：

· 就整個(gè)單位的信息安全策略方針和責(zé)任達(dá)成一致；

· 就信息安全的重要和原則性的方法、處理過程達(dá)成一致，并提供支持，如風(fēng)險(xiǎn)評估、信息分類方法等；

· 確保將安全作為制定業(yè)務(wù)系統(tǒng)建設(shè)和維護(hù)計(jì)劃的重要部分；

· 授權(quán)對安全控制措施是否完善進(jìn)行評估，并協(xié)調(diào)新系統(tǒng)或新服務(wù)的特定信息安全控制措施的實(shí)施情況；

· 審查重大的信息安全事故，制定改進(jìn)措施；

· 審核信息安全建設(shè)和管理的重要活動，如重要安全項(xiàng)目建設(shè)、重要安全管理措施出臺等。

安全建設(shè)管理

安全建設(shè)管理應(yīng)貫穿到信息系統(tǒng)整個(gè)生命周期，在系統(tǒng)審批、建設(shè)、安全定級與備案、安全方案設(shè)計(jì)、軟件開發(fā)與實(shí)施、驗(yàn)收與測試、系統(tǒng)交付與等級測評，以及服務(wù)商選擇等過程均需要進(jìn)行安全管理。

安全運(yùn)維管理

安全運(yùn)維管理是整個(gè)系統(tǒng)安全運(yùn)營的重要環(huán)節(jié)，其內(nèi)容涵蓋機(jī)房環(huán)境管理、資產(chǎn)管理、介質(zhì)管理、設(shè)備管理、漏洞和風(fēng)險(xiǎn)管理、網(wǎng)絡(luò)及系統(tǒng)安全管理、惡意代碼防范、配置管理、密碼管理、變更管理、備份與恢復(fù)管理、安全應(yīng)急處置，以及安全服務(wù)管理工作等內(nèi)容。具體如下：

機(jī)房環(huán)境管理

在機(jī)房環(huán)境管理中需要對機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施指定專人或?qū)ｉT部門定期進(jìn)行維護(hù)管理；

同時(shí)還應(yīng)建立機(jī)房安全管理制度，對機(jī)房人員出入、物品帶進(jìn)帶出和機(jī)房環(huán)境安全等方面作出規(guī)定；配置電子門禁系統(tǒng)和監(jiān)控錄像系統(tǒng)，對機(jī)房出入人員實(shí)行電子記錄和監(jiān)控錄像。

資產(chǎn)管理

針對資產(chǎn)管理，應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門，規(guī)范資產(chǎn)管理和使用的行為；編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)、資產(chǎn)隸屬關(guān)系、安全級別和所處位置等資產(chǎn)清單。

同時(shí)應(yīng)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進(jìn)行定性賦值和標(biāo)識管理，根據(jù)資產(chǎn)的價(jià)值選擇相應(yīng)的管理措施，確定信息分類與標(biāo)識的原則和方法，對信息的使用、傳輸和存儲作出規(guī)定。

介質(zhì)管理

應(yīng)建立介質(zhì)安全管理制度，對介質(zhì)存放環(huán)境、使用、維護(hù)和銷毀等方面作出規(guī)定；如介質(zhì)的歸檔和查詢須有記錄，并對存檔介質(zhì)的目錄清單定期盤點(diǎn)。除此之外，還應(yīng)對存儲介質(zhì)的數(shù)據(jù)安全進(jìn)行管理和防范，具體如下：

· 對于需要送出維修或銷毀的介質(zhì)，應(yīng)采用多次讀寫覆蓋，清除介質(zhì)中的敏感或重要數(shù)據(jù)，防止數(shù)據(jù)泄露；

· 根據(jù)數(shù)據(jù)備份需要對某些介質(zhì)實(shí)行異地存儲，存儲地的環(huán)境要求和管理方法應(yīng)與本地相同；

· 根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進(jìn)行分類和標(biāo)識管理，并實(shí)行專人管理；

· 對介質(zhì)物理運(yùn)輸過程中人員選擇、打包、交付等情況進(jìn)行控制；

· 保密性較高的信息存儲介質(zhì)未經(jīng)批準(zhǔn)不得自行銷毀，銷毀時(shí)必須做到雙人監(jiān)銷，銷毀記錄應(yīng)妥善保存；

· 重要數(shù)據(jù)存儲介質(zhì)帶出工作環(huán)境應(yīng)采取加密方式，并進(jìn)行監(jiān)控管理；

· 對存放的介質(zhì)定期進(jìn)行完整性和可用性檢查，確認(rèn)其數(shù)據(jù)或軟件沒有受到損壞或丟失。

設(shè)備維護(hù)管理

· 對信息系統(tǒng)相關(guān)的各種設(shè)備、線路等指定專人或?qū)ｉT部門定期進(jìn)行維護(hù)管理；

· 對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放或領(lǐng)用等過程建立申報(bào)、審批管理規(guī)定；

· 對終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理；

· 按操作規(guī)程實(shí)現(xiàn)服務(wù)器的啟動/停止、加電/斷電等操作，加強(qiáng)對服務(wù)器、網(wǎng)絡(luò)設(shè)備等重要設(shè)備或系統(tǒng)的日志文件檢查和監(jiān)控；

· 建立軟硬件設(shè)備維護(hù)管理制度，包括明確維護(hù)人員的責(zé)任、涉外維修和服務(wù)的審批、維修過程的監(jiān)督控制等；

漏洞和風(fēng)險(xiǎn)管理

針對漏洞和風(fēng)險(xiǎn)管理，需要通過漏洞掃描系統(tǒng)對發(fā)現(xiàn)的系統(tǒng)安全漏洞進(jìn)行及時(shí)修補(bǔ)；需要定期安裝最新補(bǔ)丁程序，對重要漏洞進(jìn)行及時(shí)修補(bǔ)；定期開展安全測評，形成安全測評報(bào)告，采取措施應(yīng)對發(fā)現(xiàn)的安全問題。

網(wǎng)絡(luò)和系統(tǒng)安全管理

· 指定專人對網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析處理工作；

· 對網(wǎng)絡(luò)設(shè)備和系統(tǒng)的安全策略維護(hù)、配置文件更改進(jìn)行流程審批；

· 通過身份鑒別、訪問控制等措施限制遠(yuǎn)程管理賬戶的操作行為；

· 指定專人對系統(tǒng)進(jìn)行管理，刪除或者禁用不使用的系統(tǒng)缺省賬戶；

· 對能夠使用系統(tǒng)工具的人員及數(shù)量進(jìn)行限制和控制；

· 根據(jù)業(yè)務(wù)需求和系統(tǒng)安全確定系統(tǒng)的訪問控制策略、文件及服務(wù)的訪問權(quán)限；

· 對系統(tǒng)賬戶進(jìn)行分類管理，權(quán)限設(shè)定應(yīng)當(dāng)遵循最小授權(quán)要求；

· 對于賬戶安全管理的執(zhí)行情況進(jìn)行檢查和監(jiān)督，定期審計(jì)和分析用戶賬戶的使用情況；

· 定期檢查違反規(guī)定無線上網(wǎng)及其他違反網(wǎng)絡(luò)安全策略的行為。

惡意代碼防范管理

· 提高全體員工的網(wǎng)絡(luò)病毒、惡意代碼安全防范意識，及時(shí)升級防病毒軟件；

· 在讀取移動存儲設(shè)備上的數(shù)據(jù)以及接收文件或郵件之前，先進(jìn)行病毒檢查；

· 對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報(bào)等作出明確管理規(guī)定；

· 定期檢查惡意代碼庫的升級情況并進(jìn)行記錄，對防病毒軟件、防病毒網(wǎng)關(guān)上截獲的危險(xiǎn)病毒或惡意代碼進(jìn)行及時(shí)分析處理，形成書面報(bào)表和總結(jié)匯報(bào)。

配置管理

應(yīng)建立對包括網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、設(shè)備和系統(tǒng)安裝的服務(wù)組件、組件版本和補(bǔ)丁信息、設(shè)備或系統(tǒng)的配置參數(shù)等進(jìn)行記錄和保存的管理模式；建立配置信息變更流程，及時(shí)更新配置信息庫。

密碼管理

密碼管理環(huán)節(jié)需要建立密碼使用管理制度，保證密碼算法使用符合國家密碼管理規(guī)定。

變更管理

· 建立變更管理制度，重要系統(tǒng)變更前需經(jīng)過申請審批，變更和變更方案經(jīng)過評審、審批后方可實(shí)施變更；

· 應(yīng)建立變更控制的申報(bào)和審批程序，如變更影響分析應(yīng)文檔化，變更實(shí)施過程應(yīng)記錄，所有文檔記錄應(yīng)妥善保存；

· 應(yīng)明確變更過程控制方法和人員職責(zé)，必要時(shí)恢復(fù)過程應(yīng)經(jīng)過演練；

備份與恢復(fù)管理

· 識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；

· 規(guī)定備份信息的備份方式（如增量備份或全備份等）、備份頻度（如每日或每周等）、存儲介質(zhì)、保存期等；

· 根據(jù)數(shù)據(jù)的重要性和對系統(tǒng)運(yùn)行的影響程度，制定數(shù)據(jù)備份和恢復(fù)策略；備份策略應(yīng)指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和離站運(yùn)輸?shù)姆椒ǎ?/p>

· 指定相應(yīng)的負(fù)責(zé)人定期維護(hù)和檢查備份及冗余設(shè)備的運(yùn)行狀況，確保需要接入系統(tǒng)時(shí)能夠正常運(yùn)行；

· 建立數(shù)據(jù)備份和恢復(fù)過程控制程序，如備份過程應(yīng)記錄，所有文件和記錄應(yīng)妥善保存；

· 建立備份及冗余設(shè)備的安裝、配置、啟動、操作及維護(hù)過程控制的程序，如記錄設(shè)備運(yùn)行過程狀況，所有文件和記錄應(yīng)妥善保存；

· 定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性，確保可在規(guī)定的時(shí)間內(nèi)完成備份恢復(fù)。

安全事件處置

· 制定安全事件報(bào)告和處置管理制度，如規(guī)定安全事件的現(xiàn)場處理、事件報(bào)告和恢復(fù)的管理職責(zé)；

· 了解本系統(tǒng)和同類系統(tǒng)已發(fā)生的安全事件，識別本系統(tǒng)需要防止發(fā)生的安全事件，如可能來自攻擊、錯(cuò)誤、故障、事故或?yàn)?zāi)難；

· 根據(jù)安全事件在本系統(tǒng)產(chǎn)生的影響，將安全事件進(jìn)行等級劃分；

· 制定的安全事件報(bào)告和響應(yīng)處理程序，如確定事件的報(bào)告流程，響應(yīng)和處置的范圍、程度，以及處理方法等；

· 在安全事件響應(yīng)處理過程中，應(yīng)分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗(yàn)教訓(xùn)。

應(yīng)急預(yù)案管理

· 應(yīng)在統(tǒng)一應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案。應(yīng)急預(yù)案框架應(yīng)包括啟動應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程，以及教育和培訓(xùn)等內(nèi)容；

· 應(yīng)從人員、技術(shù)和財(cái)務(wù)等方面確保應(yīng)急預(yù)案執(zhí)行有足夠的資源保障；

· 進(jìn)行人員進(jìn)行培訓(xùn)，以了解如何及何時(shí)使用應(yīng)急預(yù)案中的控制手段及恢復(fù)策略，對應(yīng)急預(yù)案的培訓(xùn)至少每年舉辦一次；

· 應(yīng)急預(yù)案須定期演練，應(yīng)根據(jù)不同的應(yīng)急恢復(fù)內(nèi)容，確定演練周期。

外包運(yùn)維管理

· 應(yīng)與外包運(yùn)維服務(wù)商簽訂服務(wù)協(xié)議，約定外包運(yùn)維的范圍和內(nèi)容；

· 建立外包運(yùn)維服務(wù)商審核評定機(jī)制，保證其在技術(shù)和管理方面具有等級保護(hù)要求的安全運(yùn)維能力；

· 與外包運(yùn)維服務(wù)商簽訂的協(xié)議中應(yīng)明確所有安全要求，如可能涉及對敏感信息的訪問、處理、存儲要求，對基礎(chǔ)設(shè)施中斷服務(wù)的應(yīng)急保障要求等。

安全評估服務(wù)

安全風(fēng)險(xiǎn)評估服務(wù)將提供如下安全服務(wù)：

· 評估和分析網(wǎng)絡(luò)上存在的技術(shù)和管理風(fēng)險(xiǎn)；

· 梳理業(yè)務(wù)訪問關(guān)聯(lián)關(guān)系，分析業(yè)務(wù)運(yùn)作和管理方面存在的安全缺陷；

· 調(diào)查信息系統(tǒng)的現(xiàn)有安全控制措施，評價(jià)業(yè)務(wù)安全風(fēng)險(xiǎn)承擔(dān)能力；

· 評價(jià)風(fēng)險(xiǎn)的優(yōu)先等級，據(jù)此提出風(fēng)險(xiǎn)控制措施建議。

滲透測試服務(wù)

現(xiàn)有業(yè)務(wù)系統(tǒng)的安全性與否可以通過滲透測試服務(wù)來進(jìn)行測試和驗(yàn)證；針對現(xiàn)有安全防御措施是否發(fā)生最大效用也可以通過滲透測試服務(wù)來檢測；

因此，通過滲透測試服務(wù)可以盡早發(fā)現(xiàn)現(xiàn)有安全技術(shù)和管理措施是否存在隱蔽性的安全弱點(diǎn)。

源代碼審計(jì)服務(wù)

通過源代碼審計(jì)服務(wù)可以發(fā)現(xiàn)軟件代碼的隱形缺陷和編碼設(shè)計(jì)錯(cuò)誤；

通過源代碼審計(jì)服務(wù)可以提供代碼安全性驗(yàn)證，防止由于人為失誤或有意嵌入惡意代碼情況；還可以為軟件安全編碼提供技術(shù)指導(dǎo)和支持。

安全加固服務(wù)

安全加固服務(wù)可以針對系統(tǒng)和網(wǎng)絡(luò)中存在的安全漏洞、配置錯(cuò)誤、設(shè)計(jì)錯(cuò)誤等安全問題進(jìn)行安全性加固和修復(fù)。

安全值守服務(wù)

安全值守服務(wù)是針對網(wǎng)絡(luò)中大量安全設(shè)備、安全措施、安全策略的日常維護(hù)和檢查，而自身安全運(yùn)維力量比較薄弱的情況下量身定做的現(xiàn)場安全運(yùn)維服務(wù)。采用安全值守服務(wù)可以有效保障系統(tǒng)及網(wǎng)絡(luò)安全運(yùn)維的安全性和可靠性。

安全培訓(xùn)服務(wù)

安全培訓(xùn)主要是從人員的角度出發(fā)來強(qiáng)化安全知識以增強(qiáng)抵御攻擊的能力，主要培訓(xùn)建議如下：

· 安全基礎(chǔ)知識培訓(xùn)：主要對普通人員提供個(gè)人計(jì)算機(jī)使用的基本安全知識，提高個(gè)人計(jì)算機(jī)系統(tǒng)的安全防范能力。

· 安全管理培訓(xùn)：主要對安全管理員進(jìn)行系統(tǒng)安全管理培訓(xùn)，強(qiáng)化信息人員的安全技術(shù)水平。

· 安全技術(shù)培訓(xùn)：主要針對安全運(yùn)維人員、系統(tǒng)維護(hù)人員提供安全技能及相關(guān)安全技術(shù)知識培訓(xùn)。

· 安全認(rèn)證培訓(xùn)：主要針對安全運(yùn)維人員、網(wǎng)絡(luò)管理人員、系統(tǒng)管理人員提供系統(tǒng)化、體系化的安全知識技能培訓(xùn)，并通過國家專業(yè)安全機(jī)構(gòu)的資格認(rèn)證考試，提供人員自身安全技術(shù)能力。