应用系统安全改造监督规范样本.docVIP

某某石油管理局公司原则

应用系统安全改造监督规范

1合用范畴

本原则规定了某某石油管理局应用系统安全改造监督规范。

本原则合用于某某油田（公司内部）应用系统安全改造管理方权责、施工方权责、施工方资格审查、施工方方案预审、施工方案实行、评估与审计、管理方应当注意事项、认证与批准等。

2规范解释权

本规定合用于某某油田管理局信息安全管理中心和下属各单位中心机房。

3管理方权责

依照工作量大小，应成立专门或者兼职领导小组督察改造工作。

提供信息系统规定达到安全目的（参见其他规范），以及评估原则。

安全目的，以及改造办法设定要综合考虑上级和下级有关单位。

对系统安全目的，以及拟采用安全方案应当上报上级机关审批。

对重要应用系统安全改造，有权利和责任对施工方案做出评审。

对施工方申请，规定有义务做出积极响应。

提供系统安全现状，依照工作量大小，以书面形式提交。

提供系统安全规范。

提供系统安全目的。

提供系统软、硬件设备阐明书，必要技术资料。

提供系统改造时必要顾客名，口令、密码。

提供系统改造时资源设备保护规定。

提供必要场地以及配合工作人员。

提供基本工作环境，例如电源，网络接口等。

4施工方权责

提供必要资格证明。

提供详细施工方案。

规定对重要设备物理安全做出承诺。

对改造中涉及到重要系统，数据访问有义务向管理方申请，并作记录。

对重要系统参数设立，修改有义务向施工方做出书面阐明。

改造后规定写出总结文档。

5施工方资格审查

依照改造工作任务量，安全规定级别酌情使用如下规范：

施工方规定有合法身份证明。

施工方必要有一定从事该业务资质和经济实力。

必要有与其业务量相适应工程技术人员和技术工人。

从事安全改造技术人员规定政治过关，遵纪守法。

对涉及财务等重要系统安全改造，不能由内部人员从事。

6施工方方案预审

方案中要对安全需求，做出分析阐明并且提出明确安全方略。

方案规定对方案实行后可达到安全目的做出阐明或解释。

规定方案对每一种安全方略，规定对其安全功能和代价做出详细阐明。

规定方案对改造中将要采购软件、硬件设备做出阐明。

规定方案对改造中将涉及到设施改动做出阐明。

规定方案对改造工程做出总体预算。

规定方案对改造工期安排，改造对现行业务影响限度作详细阐明。

规定方案对改造中规定管理方承诺服务做出阐明。

规定方案对改造过程中也许浮现意外状况（例如，系统死锁），以及有关防护、补救办法做出阐明。

管理方应当依照实际状况评审方案。

权衡施工方案实行对业务导致影响。

权衡安全需求与所付出资金代价。

权衡改造中风险代价与业务持续性和安全性规定。

权衡给施工方提供服务与也许导致安全隐患之间矛盾。

权衡新设备运用率与业务安全需求之间关系。

7施工方案实行

规定监督施工进度，工期原则上不能延期。

工程间歇，系统不能停留在不安全状态。

对重要系统，在安全改造之前，应当对信息系统资源和施工方人员进行登记，备案。

对改造中涉及到重要数据，必要备份。

启用新应用软件，应当交管理方系统维护人员安装到业务系统，并做好日记记录。

对存有重要数据故障设备修理时，管理方必要安排专人在场监督。

对改造过程中浮现意外状况，规定做好日记记录。

8验收与测试．评估与审计

应用系统安全改造施工之后，施工方应当归还有关资料，提交工程报告。

应用系统安全改造施工之后，管理局信息中心根据合同对工程进行验收。

测试过程必要在管理局技术委员会监督下进行，由管理局信息中心与施工方共同参加测试。

管理局技术委员会相应用系统安全性能以及安全级别做出评估，保证系统安全改造后安全性能和级别达到合同中所规定安全目的。

考察应用系统与否达到规定安全规定并作测试纪录。

改造施工后，测试操作系统加固以及安装最新安全补丁状况与否达到所规定安全目的。

改造施工后，施工方就还也许浮现安全漏洞以及补救办法等向管理局信息中心进行阐明，避免浮现不必要操作错误和安全隐患。

应用系统授权人应当考察评估成果，用以决定与否可以接受系统运营风险。

9管理方应当注意事项

系统安全改造之后，对分派给施工方人员权力应当交还系统管理员。

系统改造之后，必要对系统日记做出审计。

系统管理员对超级顾客口令，其他顾客名和口令等登录信息进行重新设立。

系统管理员可以依照需要对其他网络进出口口令重新设立。

10认证与批准

认证与批准是针对自动信息系统和其她保护办法技术或非技术安全特性一种复杂评估。其目是拟定某一特定设计和实行满足指定安全需求集限度，并由指定批准授权机构籍此正式宣布某信息系统被获准可在某一可接受风险级别上运营。CA（CetificationAuthority）是负责执行对这些安全特性与其他保护办法（用于支持批准过程）进行评估官方。它用来拟定特定设计与系统实行对指定安全需求满足限度。最初认证任务涉及：

系统体系构