信息安全技術(shù)信息系統(tǒng)安全工程管理規(guī)定

1范圍

本原則規(guī)定了信息安全工程（如下簡稱安全工程）II勺管理規(guī)定，是對信息安全工程中所波及到H勺需求方、

實行方與第三方工程實行的指導(dǎo)性文獻(xiàn)，各方可以此為根據(jù)建立安全工程管理體系。

本原則按照GB17859-1999劃分的五個安全保護(hù)等級，規(guī)定了信息安全工程的不一樣規(guī)定。

本原則合用于該系統(tǒng)的需求方和實行方的工程管理，其他有關(guān)各方也可參照使用。

2規(guī)范性引用文獻(xiàn)

下列文獻(xiàn)中的條款通過本原則的引用而成為本原則的條款。但凡注明日期的引用文獻(xiàn)，其隨即所有的修改

單（不包括勘誤口勺內(nèi)容）或修訂版均不合用于本原則。使用本原則的各方應(yīng)探討使用下列原則最新版本的

也許性。但凡不注明口期的引用文獻(xiàn)，其最新版本合用于本原則，

GB17859-1999計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則

GB/T20269-2023信息安全等級保護(hù)信息系統(tǒng)安全通用技術(shù)規(guī)定

GB/T20271-2023信息安全等級保護(hù)信息系統(tǒng)安全管理規(guī)定

3術(shù)語和定義

下列術(shù)語和定義合用于本原則。

3.1

安全工程securityengineering

為保證信息系統(tǒng)的保密性、完整性、可用性等目的而進(jìn)行的系統(tǒng)工程過程。

3.2

安全工程口勺生存周期securityengineeringlifecycle

在整個信息系統(tǒng)生存周期中執(zhí)行的安全工程活動包括：概念形成、概念開發(fā)和定義、驗證與確認(rèn)、工程實

行開發(fā)與制造、生產(chǎn)與布署、運(yùn)行與支持和終止。

3.3

安全工程指南securityengineeringguide

由工程組做出的有關(guān)怎樣選擇工程體系構(gòu)造、設(shè)計與實現(xiàn)H勺指導(dǎo)性信息

3.4

脆弱性vulnerability

可以被某種威脅運(yùn)用的某個或某組資產(chǎn)的弱點。

3.5

風(fēng)險risk

某種威脅會運(yùn)用一種資產(chǎn)或若干資產(chǎn)出勺脆弱性使這些資產(chǎn)損失或破壞的也許性V

3.6

需求方owner

信息系統(tǒng)安全工程建設(shè)的擁有者或組織者。

3.7

實行方developer

信息系統(tǒng)安全工程的建設(shè)與服務(wù)的提供方。

3.8

第三方thirdparty

獨立于需求方、實行方，從事信息系統(tǒng)安全工程建設(shè)有關(guān)活動的中立組織或機(jī)構(gòu)。

3.9

項目project

項目是多種有關(guān)實行活動和資源的總和，這些實行活動和資源用于開發(fā)或維護(hù)信息安全工程。一種項目往

往有有關(guān)的資金，成本賬目和交付時間表。

3.10

過程process

把輸入轉(zhuǎn)化為輸出的一組有關(guān)活動。

3.11

過程管理processmanagement

一系列用于預(yù)見、評價和控制過程執(zhí)行的活動和體系構(gòu)造。

4安全工程體系

4.1概述

在整個工程范圍內(nèi)確定了不一樣等級工程的詳細(xì)規(guī)定構(gòu)成了安全工程管理規(guī)定體系。通過這個體系從安全

工程中分離出實行和保證的基本特性，立信息系統(tǒng)安全分級保護(hù)規(guī)定與工程管理H勺關(guān)系。

4.2安全工程目的

理解需求方的安全風(fēng)險，根據(jù)已標(biāo)識的安全風(fēng)險建立合理的安全規(guī)定，將安全規(guī)定轉(zhuǎn)換成安全指南，這些

安全指南指導(dǎo)項目實行的其他活動，在對的有效的安全機(jī)制下建立對信息安全的信心和保證：判斷系統(tǒng)中

和系統(tǒng)運(yùn)行時殘留的安全脆弱性，及其對運(yùn)行H勺影響與否可容忍（即可接受的風(fēng)險），使安全工程成為一

種可信的工程活動，可以滿足對應(yīng)等級信息系統(tǒng)設(shè)計的規(guī)定。

4.3基本關(guān)系

安全工程由安全等級、保證與實行規(guī)定兩個維度構(gòu)成，不一樣等級規(guī)定的安全工程對應(yīng)不一樣H勺保證與實

行規(guī)定。其中保證是由資格保證規(guī)定和組織保證規(guī)定構(gòu)成，實行足由工程實行規(guī)定和項目實行規(guī)定構(gòu)成。

資格保證規(guī)定表達(dá)信息安全工程中對應(yīng)具有一定能力級別的實行方或與工程有關(guān)第三方資質(zhì)的規(guī)定：組織

保證規(guī)定表達(dá)信息安全工程過程規(guī)定中對需求方組織保證的規(guī)定；工程實行規(guī)定表達(dá)信息安全工程中對安

全實行過程的規(guī)定：項目實行規(guī)定表達(dá)信息安全工程中對項目實行過程的規(guī)定。

5資格保證規(guī)定

5.1系統(tǒng)集成資質(zhì)規(guī)定

國家主管部門承認(rèn)的系統(tǒng)集成資質(zhì)。

5.2人員資質(zhì)規(guī)定

國家主管部門承認(rèn)的安全服務(wù)人員資質(zhì)。

5.3第三方服務(wù)規(guī)定

國家主管部門承認(rèn)的服務(wù)單位資質(zhì)。

5.4安全產(chǎn)品規(guī)定

信息安全產(chǎn)品應(yīng)具有在國內(nèi)生產(chǎn)、經(jīng)營、銷售的許可證，并符合對應(yīng)的等級。

5.5L程監(jiān)理規(guī)定

5.5.1應(yīng)具有信息安全系統(tǒng)建改工程實行監(jiān)理管理制度.

5.5.2系統(tǒng)聘任專業(yè)監(jiān)理企業(yè)，且監(jiān)理企業(yè)具有國家主管部門承認(rèn)監(jiān)理資質(zhì)證書。

5.6法律、法規(guī)、政策符合性規(guī)定

系統(tǒng)應(yīng)符合國家有關(guān)的法律、法規(guī)和政策。

6組織保證規(guī)定

6.1定義組織的系統(tǒng)工程過程

6.1.1基本規(guī)定

應(yīng)為系統(tǒng)工程定義一套原則有明確目II勺的過程，這套原則I內(nèi)過程可以通過裁剪應(yīng)用于定義新工程項目的過

程。

6.1.2制定過程目的

6.1.2.1從組織的應(yīng)用目的出發(fā)為組織的系統(tǒng)工程過程制定目的。

6.1.2.2系統(tǒng)工程過程在業(yè)務(wù)環(huán)境中運(yùn)行，為了使組織的原則實現(xiàn)制度化，該目的應(yīng)得到明確的承認(rèn)：

這個過程H勺目的應(yīng)考慮財力、質(zhì)量、人力資源和對業(yè)務(wù)成功起重要作用的問題。

6.1.3搜集過程資產(chǎn)

6.1.3.1搜集和維護(hù)系統(tǒng)工程過程資產(chǎn)。

6.1.3.2在組織和項目層次中，由過程定義活動所產(chǎn)生的信息都需要存儲（在過程資產(chǎn)庫中），使得那些剪

裁、過程設(shè)計活動中的資產(chǎn)能被使用人理解，并得到維護(hù)與保持：

6.1.4開發(fā)組織口勺系統(tǒng)工程過程

6.1.4.1為組織開發(fā)?種充足定義的原則系統(tǒng)工程過程。

6.1.4.2在開發(fā)組織的原則系統(tǒng)工程過程中，也許使用到過程資產(chǎn)庫中的設(shè)備：在開發(fā)任務(wù)時，也許需要某

些新的過程資產(chǎn)，應(yīng)當(dāng)將這些資產(chǎn)添加到過程資產(chǎn)庫中；應(yīng)當(dāng)將組織的原則系統(tǒng)工程過程置于過程資產(chǎn)庫

中。

6.1.5定義剪裁指南

定義剪裁組織的原則系統(tǒng)工程過程的指南，該指南在開發(fā)項目的定義過程中使用。

6.2改善組織的系統(tǒng)T程i寸程

6.2.1基本規(guī)定

應(yīng)實行測量和改善系統(tǒng)工程過程的持續(xù)活動，以原則系統(tǒng)工程過程定義為基礎(chǔ)，通過不停改善活動提高組

織系統(tǒng)工程過程的效益和效率。

6.2.2評估過程

6.2.2.1評估組織中既有的執(zhí)行過程以便理解它們的強(qiáng)項和弱項，理解組織既有的執(zhí)行過程的強(qiáng)項和弱項是

建立改善活動基線的關(guān)鍵:

6.2.2.2評估時應(yīng)考慮過程執(zhí)行的測量與課程學(xué)習(xí)過程；評估可以多種形式進(jìn)行，評估措施的選擇應(yīng)與文化

和組織需求相匹配。

6.2.3規(guī)劃過程改善

應(yīng)基于對潛在改善所產(chǎn)生影響的分析，為組織制定過程改善計劃，以到達(dá)過程的目的。

6.2.4變化原則過程

變化組織的原則系統(tǒng)工程過程以便反應(yīng)H『、jn勺改善。

6.2.5溝通過程改善

合適地同既有項目和其他有有關(guān)團(tuán)體共同溝通過程I內(nèi)改善。

6.3管理系列產(chǎn)品演化

6.3.1基本規(guī)定

應(yīng)通過引進(jìn)服務(wù)、設(shè)備和新技術(shù)實現(xiàn)產(chǎn)品更新與工程鋤用減少，獲取工程進(jìn)度和執(zhí)行的最佳收益。

6.3.2定義產(chǎn)品演化

6.3.2.1定義要提供產(chǎn)品的類型。

6.3.2.2定義支持組織戰(zhàn)略目內(nèi)的系列產(chǎn)品。

6.S.2.3考慮組織的強(qiáng)項和弱項、競爭力、潛在H勺市場份額和可運(yùn)用H勺技術(shù)。

6.3.3標(biāo)識新生產(chǎn)技術(shù)

6.3.3.1標(biāo)識新生產(chǎn)技術(shù)或加強(qiáng)基礎(chǔ)設(shè)施建設(shè)，將有助于組織獲取、開發(fā)和應(yīng)用新生產(chǎn)技術(shù)來提高競爭優(yōu)勢。

6.3.3.2確定也許引入到系列產(chǎn)品的新生產(chǎn)技術(shù)，為確定新技術(shù)和基礎(chǔ)設(shè)施改善而建立并能維護(hù)的原始資料

和措施。

6.3.4適應(yīng)開發(fā)過程

6.3.4.1在產(chǎn)品開發(fā)周期中采用必要的變動以支持新產(chǎn)品的開發(fā)。

6.3.4.2適應(yīng)組織的產(chǎn)品開發(fā)過程，熟悉并運(yùn)用準(zhǔn)備在未來使用的組件。

6.3.5保證關(guān)健組件的可用性

6.3.5.1保證關(guān)鍵組件都可運(yùn)用，并可以支持有計劃的產(chǎn)品改善。

6.3.5.2組織應(yīng)確定產(chǎn)品系列的關(guān)鍵組件及其可用性的計劃。

6.3.6插入產(chǎn)品技術(shù)

6.3.6.1將新的技術(shù)插入到產(chǎn)品開發(fā)、市場營銷和制造過程中。

6.3.6.2管理將新技術(shù)引入到系列產(chǎn)品的工作（包括既有產(chǎn)品系列組件的改善、新組件的引進(jìn)）；標(biāo)識和管

理與產(chǎn)品設(shè)計變化有關(guān)的風(fēng)險。

6.4管理系統(tǒng)工程支持環(huán)境

6.4.1基本規(guī)定

應(yīng)可認(rèn)為不?樣需求的系統(tǒng)工程提供支持環(huán)境，并可以通過剪裁適應(yīng)不?樣的項目。根據(jù)技術(shù)、環(huán)境狀態(tài)

的變化對支持環(huán)境進(jìn)行改善。

6.4.2維持技術(shù)認(rèn)識

6.4.2.1維持對支持實現(xiàn)組織目的（I勺那些技術(shù)的認(rèn)識。

6.4.2.2對工藝現(xiàn)實狀況或?qū)嵭鞋F(xiàn)實狀況應(yīng)當(dāng)插入新的技術(shù)，組織應(yīng)具有對新技術(shù)II勺充足認(rèn)識。

6.4.3確定支持需求

根據(jù)組織H勺需要確定組織的系統(tǒng)工程支持環(huán)境的需求.

6.4.4獲得系統(tǒng)工程支持環(huán)境

6.4.4.1獲得一種系統(tǒng)工程支持環(huán)境，該環(huán)境要滿足在確定支持需求中通過運(yùn)用分析候選處理規(guī)定項時實行

而建立的規(guī)定。

6.4.4.2針對所需的系統(tǒng)工程支持環(huán)境，確定其評價原則和潛在的候選處理方案；運(yùn)用分析候選處理規(guī)定項

選擇?種處理方案：得到并實現(xiàn)所選的系統(tǒng)工程支持環(huán)境。

6.4.5剪裁系統(tǒng)工程支持環(huán)境

剪裁系統(tǒng)T.程支持環(huán)境，以滿足單個項目的規(guī)定。

6.4.6插入新技術(shù)

6.4.6.1根據(jù)組織的應(yīng)用目的和項目需要將新技術(shù)插入到系統(tǒng)工程支持環(huán)境中。

6.4.6.2組織的系統(tǒng)工程支持環(huán)境應(yīng)用新技術(shù)更新，并要支持組織的應(yīng)用目的及工程需要；在系統(tǒng)工程支持

環(huán)境中，應(yīng)提供使用新技術(shù)的培訓(xùn)。

6.4.7維護(hù)環(huán)境

6.4.7.1維護(hù)系統(tǒng)工程支持環(huán)境以持續(xù)支持依賴該環(huán)境H勺項目。

6.4.7.2維護(hù)活動包括計算機(jī)系統(tǒng)管理、培訓(xùn)、熱線支持、專家的作用、發(fā)展或者擴(kuò)充一種技術(shù)庫等。

6.4.8監(jiān)視系統(tǒng)工程支持環(huán)境

6.4.8.1監(jiān)視系統(tǒng)工程支持環(huán)境以發(fā)現(xiàn)改善的機(jī)會。

6.4.8.2確定影響系統(tǒng)工程支持環(huán)境有用性的原因，包括任何新插入的技術(shù)：監(jiān)視新技術(shù)和整個系統(tǒng)工程支

持環(huán)境的接受狀況。

6.5培訓(xùn)

6.5.1基本規(guī)定

應(yīng)建立一套完整H勺培訓(xùn)體系，可認(rèn)為員工提供滿足組織需求并合用于系統(tǒng)工程活動的，及時有效的知識與

技能培訓(xùn)。

6.5.2確定培訓(xùn)規(guī)定

6.5.2.1以項目的規(guī)定、組織的戰(zhàn)略計劃和既有的員工技能狀況為指導(dǎo)，確定組織在技能與知識方面所需的

改善。

6.5.2.2綜合既有的程序、組織的戰(zhàn)略計劃和既有員工的技能等各方面信息確定這些規(guī)定。

6.5.3選擇知識或技能的獲取模式

6.5.3.1評價和選擇通過培訓(xùn)或其他資源獲取知識或技能的合適模式。

6.5.3.2應(yīng)保證所選擇的措施是最佳的，以使得所需技能和知識詆項目及時有效。

6.5.4保證技能和知識的可用性

保證技能和知識對系統(tǒng)工程活動是合用的。

6.5.5準(zhǔn)備培訓(xùn)材料

6.5.5.1根據(jù)確定的培訓(xùn)規(guī)定掛備培訓(xùn)材料。

6.5.5.2為每?種由組織內(nèi)部人員建成的班編制培訓(xùn)材料，或為每?種己存在的班準(zhǔn)備培訓(xùn)材料。

6.5.6培訓(xùn)人員

6.5.6.1培訓(xùn)教員要具有執(zhí)行賦予他們的J角色的J技能與知識。

6.5.6.2要根據(jù)培訓(xùn)計劃和編制的材料進(jìn)行人員培訓(xùn)。

6.5.7評估培訓(xùn)的有效性

6.5.7.1評估培訓(xùn)的有效性以滿足所確定的培訓(xùn)規(guī)定。

6.5.7.2評估有效性的措施應(yīng)。培訓(xùn)計劃編制和培訓(xùn)材料的確定同步列出；應(yīng)及時獲取有效性評估的成果,

以便對培訓(xùn)做出對應(yīng)調(diào)整。

6.5.8維護(hù)培訓(xùn)記錄

6.5.8.1維護(hù)培訓(xùn)與獲得經(jīng)驗的記錄。

6.5.8.2維護(hù)記錄以追蹤每個人員接受培訓(xùn)的狀況，以及受訓(xùn)后的技能和能力。

6.5.9維護(hù)培訓(xùn)材料

6.5.9.1維護(hù)知識庫中的培訓(xùn)材料。

6.5.9.2維護(hù)知識庫中的課件材料以供員工此后訪問，并且在課程材料變動時可供跟蹤。

6.6與供應(yīng)商協(xié)調(diào)

6.6.1基本規(guī)定

應(yīng)可以根據(jù)工程H勺需求建立與維護(hù)供應(yīng)商的關(guān)系，保證供應(yīng)商可認(rèn)為系統(tǒng)工程提供滿足規(guī)定H勺產(chǎn)品或服務(wù)

6.6.2確定系統(tǒng)H勺組件或服務(wù)

確定應(yīng)由其他外部組織提供的系統(tǒng)組件或服務(wù)。

6.6.3確定勝任的供應(yīng)商或銷售商

6.6.3.1標(biāo)識在特定領(lǐng)域中具有專門技術(shù)的供應(yīng)商。

6.6.3.2供應(yīng)商的能力包括勝任開發(fā)過程、制造過程、驗證責(zé)任、及時交付、牛.存周期支持過程及遠(yuǎn)程有效

通信能力，上述能力應(yīng)符合本組織的各項規(guī)定。

6.6.4選擇供應(yīng)商或銷告商

6.6.4.1根據(jù)7.1選擇供應(yīng)商。

6.6.4.2以合乎邏輯和公平H勺方式選擇供應(yīng)商以滿足產(chǎn)品的目的：提供最能彌補(bǔ)本組織能力的供應(yīng)商特性，

標(biāo)識合格的候選者：通過規(guī)定項7.1“管理安全控制”的實行來選擇出合適的供應(yīng)商。

6.6.5提出規(guī)定

6.6.5.1對供應(yīng)商提出組織對系統(tǒng)組件或服務(wù)的規(guī)定、期望和效柒指標(biāo)。

6.6.5.2在協(xié)議簽訂時組織應(yīng)將它的規(guī)定和期望清晰地指明并排出優(yōu)先次序，并且要指明對供應(yīng)商方面的所

有限制；組織要與供應(yīng)商親密合作，使其充足理解產(chǎn)品到達(dá)的規(guī)定和自己要承擔(dān)的責(zé)任，并到達(dá)互相理解。

6.6.6維持溝通

6.6.6.1與供應(yīng)商維持及時H勺雙向溝通。

6.6.6.2組織與供應(yīng)商要對期望的和所需H勺溝通建立互相諒解。所建立的溝通的特點包括：雙方公認(rèn)的公開

的沒有任何限制的信息類型，受限的信息類型（如方略或協(xié)議關(guān)系），所期望的信息祈求與回應(yīng)的及時性,

用于溝通的工具和措施，安全，保密以及期望的分布狀況。

7工程實行規(guī)定

7.1管理安全控制

7.1.1基本規(guī)定

應(yīng)保證系統(tǒng)在運(yùn)行狀態(tài)下到達(dá)設(shè)計預(yù)期的安全特性，安全控制措施被配置且能正常使用。

7.1.2建立安全職責(zé)

7.1.2.1建立安全控制措施的職責(zé)和責(zé)任并告知到組織中的每一種人。

7.1.2.2本項目應(yīng)當(dāng)保證承擔(dān)對應(yīng)安全責(zé)任的人員是負(fù)責(zé)的，并獲得對應(yīng)的授權(quán)：應(yīng)當(dāng)保證采用H勺所有安全

控制措施是明確的，并被廣泛和一致地應(yīng)用。

7.1.3管理安全措施的配置

7.1.3.1所有設(shè)備的安全配置都需要管理。

7.1.3.2管理系統(tǒng)安全控制措施的配置。

7.1.4管理安全意識、培訓(xùn)和教育大綱

7.1.4.1組織和管理對所有員工進(jìn)行安全意識的培訓(xùn)和教育。

7.1.4.2管理所有的需求方和管理員的安全意識、培訓(xùn)和教育大綱。

7.1.5管理安全服務(wù)及控制機(jī)制

7.1.5.1安全服務(wù)及控制機(jī)制的一般管理類似于其他服務(wù)及機(jī)制的管理，包括保護(hù)它們防止損傷、偶木事故

和人為故障，并根據(jù)法律和政策規(guī)定進(jìn)行整頓并歸檔。

7.1.5.2對安全服務(wù)及控制機(jī)制進(jìn)行定期的維護(hù)和管理。

7.2評估影響

7.2.1基本規(guī)定

應(yīng)標(biāo)識對該系統(tǒng)有關(guān)系的影響，并對發(fā)生影響的也許性進(jìn)行評估＜

7.2.2對影響進(jìn)行優(yōu)先級排列

對在系統(tǒng)中起關(guān)鍵作用的運(yùn)行、業(yè)務(wù)或任務(wù)的能力進(jìn)行標(biāo)識、分析和按優(yōu)先級排列。

7.2.3標(biāo)識系統(tǒng)資產(chǎn)

7.2.3.1對支持系統(tǒng)的安全目內(nèi)或美鍵性能力（運(yùn)行，業(yè)務(wù)或任務(wù)功能）進(jìn)行標(biāo)識。

7.2.3.2對必需的系統(tǒng)資源和數(shù)據(jù)進(jìn)行標(biāo)識：通過對給定環(huán)境中提供這種支持的每項資產(chǎn)的意義進(jìn)行評估,

來對每項資產(chǎn)進(jìn)行定義。

7.2.3.3對支持系統(tǒng)的關(guān)鍵性運(yùn)行能力或安全目的的系統(tǒng)資產(chǎn)進(jìn)行標(biāo)識和特性化。

7.2.4選擇影響的度量

應(yīng)預(yù)先確定適合的度量用于評估影響。

7.2.5標(biāo)識度量關(guān)系

標(biāo)識所選影響的評估度量與度量轉(zhuǎn)換因子之間的關(guān)系。

7.2.6標(biāo)識和特性化影響

運(yùn)用多重度量或統(tǒng)一度量的措施對意外事件H勺意外影響進(jìn)行標(biāo)識卻特性化。

7.2.7監(jiān)視影響

監(jiān)視影響中的變化，本條與7.8.3中的通用性監(jiān)視活動緊密相連。

7.3評估安全風(fēng)險

7.3.1基本規(guī)定

應(yīng)對在特定環(huán)境中運(yùn)行該系統(tǒng)有關(guān)的安全風(fēng)險進(jìn)行標(biāo)識與評價，并按照一定的措施對風(fēng)險問題進(jìn)行優(yōu)先級

排序。

7.3.2選擇風(fēng)險分析措施

7.3.2.1本規(guī)定項包括定義用于標(biāo)識給定環(huán)境中的系統(tǒng)安全風(fēng)險的措施，該措施是對安全風(fēng)險進(jìn)行分析、評

估和比較；應(yīng)當(dāng)包括?種對風(fēng)險進(jìn)行分類和分級的方案，其根據(jù)是威脅、運(yùn)行功能、已建立的系統(tǒng)脆弱性、

潛在損失、安全需求等有關(guān)問題。

7.3.2.2選擇用于分析、評估和比較給定環(huán)境中系統(tǒng)安全風(fēng)險所根據(jù)的措施、技術(shù)和準(zhǔn)則。

7.3.3標(biāo)識安全風(fēng)險

7.3.3.1標(biāo)識該風(fēng)險，認(rèn)識這些威脅和脆弱性的利害關(guān)系，進(jìn)而標(biāo)識出威脅和脆弱性導(dǎo)致的影響；這些風(fēng)險

在選擇系統(tǒng)保護(hù)措施中應(yīng)予以考慮。

7.3.3.2標(biāo)識威脅/脆弱性/影響三組合（風(fēng)險）。

7.3.4評估安全風(fēng)險

7.3.4.1標(biāo)識每個風(fēng)險出現(xiàn)的也許性。

7.3.4.2評估與每個風(fēng)險有關(guān)的風(fēng)險。

7.3.5評估總體不確定性

7.3.5.1每種風(fēng)險均有與之有關(guān)的不確定性：總體風(fēng)險不確定性是在746“評估威脅的也許性”中已被標(biāo)識

的威脅、脆弱性和影響及其特性不確定性的積累、746"評估威脅的也許性”、754“搜集脆弱性數(shù)據(jù)”以及

7.3.6"安全風(fēng)險優(yōu)先級排列工本規(guī)定項與7.6“建立保證論據(jù)"親密有關(guān)，山于證據(jù)能用于追蹤修改，從而在

某種輸入下減少不確定性。

7.3.5.2評估與該風(fēng)險有關(guān)的總體不確定性。

7.3.6安全風(fēng)險優(yōu)先級排列

7.3.6.1已經(jīng)被標(biāo)識的風(fēng)險應(yīng)以組織優(yōu)先權(quán)、風(fēng)險出現(xiàn)的也許性與這些原因有關(guān)的不確定性和可用財力為根

據(jù)進(jìn)行排序：風(fēng)險可以被減輕、防止、轉(zhuǎn)移或接受，也可以使用這些措施的組合。"減輕"這一措施可以對

付威脅、脆弱性、影響或風(fēng)險自身；安全措施的選擇要合適考慮到.10“指定安全規(guī)定”

中的規(guī)定，業(yè)務(wù)優(yōu)先級和整個系統(tǒng)體系構(gòu)造。

7.3.6.2按優(yōu)先級對風(fēng)險進(jìn)行排列。

7.3.7監(jiān)視安全風(fēng)險及其特性

7.3.7.1定期地檢查新的風(fēng)險，本條與7.8.3“監(jiān)視變化”中一般性監(jiān)視活動緊密相聯(lián)。

7.3.7.2監(jiān)視安全風(fēng)險頻度變化和風(fēng)險特性的變化。

7.4評估威脅

7.4.1基本規(guī)定

應(yīng)標(biāo)識安全威脅及其性質(zhì)和特性，對系統(tǒng)安全的威脅進(jìn)行標(biāo)識和特性化；應(yīng)定期地對威脅進(jìn)行監(jiān)視，以保

證山木規(guī)定項所產(chǎn)生的安全理解一直得到維持。

7.4.2標(biāo)識自然威脅

標(biāo)識由自然原因引起的對應(yīng)威脅。

7.4.3標(biāo)識人為威脅

標(biāo)識由人為偶爾原因引起的威脅與故意行為引起的威脅0

7.4.4標(biāo)識威脅II勺測量尺度

7.4.4.1對也許在特定位置中出現(xiàn)的預(yù)料事件，應(yīng)根據(jù)詳細(xì)狀況建立最大和最小測量單位范圍。

7.4.4.2標(biāo)識特定環(huán)境中對應(yīng)的測量尺度和合用范圍。

7.4.5評估威脅影響的效果

7.4.5.1確定對系統(tǒng)進(jìn)行成功襲擊的黑客潛在的能力。

7.4.5.2評估由人為原因引起的威脅影響的動因和成果。

7.4.6評估威脅的也許性

對威脅事件怎樣發(fā)生的也許性進(jìn)行評估，評估出現(xiàn)威脅事件的也許性。

7.4.7監(jiān)視威脅及其特性

7.4.7.1有規(guī)律地對既有威脅及其特性進(jìn)行監(jiān)視，并檢查新的威脅：木條與7.7.2"定義協(xié)調(diào)目的”1內(nèi)一般化

監(jiān)視活動緊密相連。

7.4.7.2監(jiān)視威脅范圍中不停的變化以及對應(yīng)特性的變化。

7.5評估脆弱性

7.5.1基本規(guī)定

應(yīng)標(biāo)識和特性化系統(tǒng)的安全脆弱性。實行系統(tǒng)資產(chǎn)分析、定義特殊的脆弱性以及提供對整個系統(tǒng)脆弱性的

評估，并獲得對一確定環(huán)境中系統(tǒng)安全脆弱性的理解。

7.5.2選擇脆弱性分析措施

7.5.2.1所有分析應(yīng)在預(yù)先安排和指定期間內(nèi)，在一種已知的并記錄有配置H勺框架內(nèi)進(jìn)行：分析H勺措施論應(yīng)

包括預(yù)期成果；分析的特定目H勺應(yīng)陳說清晰。

7.5.2.2選擇對一確定環(huán)境中系統(tǒng)安全脆弱性進(jìn)行標(biāo)識和特性化的措施、技術(shù)和原則。

7.5.3標(biāo)識脆弱性

7.5.2中研究過的脆弱性分析措施論應(yīng)延伸到對脆弱性的證明：所有發(fā)現(xiàn)的系統(tǒng)安全脆弱性應(yīng)予以記錄、標(biāo)

識。

7.5.4搜集脆弱性數(shù)據(jù)

搜集與脆弱性有關(guān)的數(shù)據(jù)。

7.5.5綜合系統(tǒng)脆弱性

分析哪些脆弱性或脆弱性的組合會對系統(tǒng)導(dǎo)致問題，所有分析應(yīng)標(biāo)識出該脆弱性的特性：評估由特定脆弱

性和特定脆弱性組合所產(chǎn)生的系統(tǒng)脆弱性與總體脆弱性。

7.5.6監(jiān)視脆弱性及其特性

7.5.6.1本項規(guī)定與783“監(jiān)視變化”中變化的一般性監(jiān)視活動緊密相連。

7.5.6.2監(jiān)視脆弱性及其特性的持續(xù)變化。

7.6建立保證論據(jù)

7.6.1基本規(guī)定

應(yīng)對需求有關(guān)的保證證據(jù)進(jìn)行標(biāo)識和定義，包括證據(jù)的產(chǎn)生和分析的活動，包括支持保證需求所需的附加

證據(jù)、文檔清單和過程以及那些能清晰地向需求方提供已滿足其安全需求的證據(jù)。

本項目規(guī)定建立保證證據(jù)有關(guān)的活動記錄，包括管理、標(biāo)識、計劃、封裝和提交安全保證證據(jù)。

7.6.2標(biāo)識保證目的

7.6.2.1標(biāo)識安全保證目的。

7.6.2.2系統(tǒng)安全保證目的J應(yīng)規(guī)定強(qiáng)制性系統(tǒng)安全方略H勺保密性等級；目的JH勺充足性由開發(fā)者、集成者、需

求方和簽名授權(quán)者確定。

7.6.2.3新的和修改正的安全保證目的的標(biāo)識應(yīng)與所有內(nèi)部和外部工程組織等安全有關(guān)性團(tuán)體保持協(xié)調(diào)一

致。

7.6.2.4對安全保證目的進(jìn)行修改的內(nèi)容需及時解釋其中變化。

7.6.2.5安全保證目的應(yīng)清晰地溝通。

7.6.3定義保證方略

7.6.3.1規(guī)劃并保證對的地實現(xiàn)強(qiáng)制性安全目的：通過實現(xiàn)安全保證方略所產(chǎn)生的證據(jù)應(yīng)（向系統(tǒng)簽名授權(quán)

者〉提供一種可接受的保密性等級，此等級安全H勺測量足以管理安全風(fēng)險。通過開發(fā)并頒布安全保證方略，

獲得對保證的有關(guān)活動進(jìn)行有效管理；工程初期應(yīng)對需求有關(guān)的保證進(jìn)行的標(biāo)識和定義產(chǎn)生必要的支持證

據(jù)；通過不停外部協(xié)調(diào)，對保證需求方需求II勺滿意程度進(jìn)行理解知監(jiān)視，保證高質(zhì)量組合保證規(guī)定。

7.6.3.2為所有保證目的定義一種安全保證方略。

7.6.4控制保證證據(jù)

安全保證證據(jù)通過與所有工程實行規(guī)定項互相配合，在安全保證方略內(nèi)標(biāo)識出的不一樣層面抽象的證據(jù)的

措施進(jìn)行搜集：證據(jù)應(yīng)受到控制。

7.6.5分析證據(jù)

對安全保證證據(jù)進(jìn)行分析，保證工程產(chǎn)品相對于基線系統(tǒng)是完善卻對的的。

7.6.6提供保證論據(jù)

7.6.6.1開發(fā)出?種完整的證明與安全目的?致的安全保證論據(jù)，并提供應(yīng)需求方；保證論據(jù)是由多層抽象

中獲得的保證證據(jù)的組合所支持的?系列申明性保證目的；應(yīng)對旌交證據(jù)中的缺陷和安全保證目的中的缺

陷進(jìn)行評審。

7.6.6.2提供證明需求方安全需求得到滿足的安全保證性論據(jù)。

7.7協(xié)調(diào)安全

7.7.1基本規(guī)定

應(yīng)協(xié)調(diào)并保持安全工程所波及到安全組織、其他工程組織和外部組織之間的關(guān)系：以保證所有部門均有一

種參與安全T程H勺意識.

7.7.2定義協(xié)調(diào)目的

定義和建立與其他組織之間的聯(lián)絡(luò)和義務(wù)關(guān)系；這些關(guān)系應(yīng)被全體參與部門所接受。

7.7.3標(biāo)識協(xié)調(diào)機(jī)制

標(biāo)識安全工程的協(xié)調(diào)機(jī)制，明確協(xié)調(diào)機(jī)制實現(xiàn)的措施。

7.7.4增進(jìn)協(xié)調(diào)

7.7.4.1保證不一樣優(yōu)先級H勺不一樣組織間進(jìn)行溝通有也許發(fā)生的某些沖突和爭端以合適的、富有成果的方

式得到處理。

7.7.4.2增進(jìn)安全工程的協(xié)調(diào)。

7.7.5協(xié)調(diào)安全確定和提議

在多種安全工程組織、其他工程組織、外部實體及其他合適的部門中溝通安全確定和提議，用標(biāo)識出的機(jī)

制去協(xié)調(diào)有關(guān)安全確實定和提議。

7.8監(jiān)視安全態(tài)勢

7.8.1基本規(guī)定

應(yīng)標(biāo)識并匯報所有的安全違規(guī)行為；監(jiān)視外部和內(nèi)部環(huán)境中也許影響系統(tǒng)安全的所有原因；探測和跟蹤內(nèi)

部和外部與安全有關(guān)I內(nèi)事件。根據(jù)方略制定響應(yīng)突發(fā)事件的措施：根據(jù)安全目H勺標(biāo)識并處理運(yùn)行安仝態(tài)勢

的變化。

7.8.2分析事件記錄

檢測安全有關(guān)性信息的歷史和事件記錄，通過多條記錄中的事件芍關(guān)元素，標(biāo)識出安全事件：分析事件記

錄，以確定事件的原因、預(yù)測也許發(fā)生的事件。

7.8.3監(jiān)視變化

監(jiān)視威脅、脆弱性、影響、風(fēng)險和環(huán)境方面H勺變化，查找也許影響目前安全狀態(tài)有效性H勺任何變化；監(jiān)視

所有原因的變化并分析這些變化以評估它們對安全有效性的意義,

7.8.4標(biāo)識安全突發(fā)事件

7.8.4.1確定與否發(fā)生了?種有關(guān)安全的突發(fā)事件，標(biāo)識出事件詳細(xì)狀況并且在必要時提出匯報；有關(guān)安全

的突發(fā)事件可運(yùn)用歷史事件的數(shù)據(jù)、系統(tǒng)配置數(shù)據(jù)、完整性工具加其他系統(tǒng)信息診斷。

7.8.4.2標(biāo)識與安全有關(guān)的突發(fā)事件。

7.8.5監(jiān)視安全防護(hù)措施

7.8.5.1檢測安全防護(hù)措施的執(zhí)行狀況，標(biāo)識出安全防護(hù)措施執(zhí)行中H勺變化。

7.8.5.2監(jiān)視安全防護(hù)措旅H勺性能和有效性.

7.8.6檢查安全態(tài)勢

檢查系統(tǒng)安全態(tài)勢以標(biāo)識出必要的改正，評審實行安全的理山并根據(jù)其他的規(guī)則檢查需要安全的地方。

7.8.7管理安全突發(fā)事件響應(yīng)

應(yīng)急計劃規(guī)定標(biāo)識出系統(tǒng)失效的最長時間、系統(tǒng)正常工作的基本元素：開發(fā)?種可恢復(fù)方略和計劃，測試

并維護(hù)該計劃。

7.8.8保護(hù)安全監(jiān)視IKJ記錄數(shù)據(jù)

保證與安全監(jiān)視有關(guān)的設(shè)備得到對應(yīng)H勺保護(hù)，監(jiān)視活動包括封存和歸檔有關(guān)的日志、審計匯報和有關(guān)分析

成果。

7.9提供安全輸入

7.9.1基本規(guī)定

應(yīng)為系統(tǒng)的規(guī)劃者、設(shè)計者、實行者或需求方提供他們所需的安全信息，信息應(yīng)包括安全體系構(gòu)造、設(shè)計

或?qū)嵭羞x擇以及安全指南：開發(fā)、分析并提供安全輸入并與基于7.10“指定安全規(guī)定”中定義的安全需求中

的合適組織機(jī)構(gòu)組員協(xié)調(diào)一致；規(guī)定所有具有安全意義內(nèi)系統(tǒng)問題都應(yīng)受到檢查并按照安全目的的規(guī)定予

以處理.；所有項目組組員都要理解安全問題，處理措施應(yīng)反應(yīng)出所提供的安全輸入。

本規(guī)定項合用于標(biāo)定開發(fā)（設(shè)計者和實現(xiàn)者）和運(yùn)行（顧客和管理員）的安全輸入。

7.9.2理解安全輸入規(guī)定

7.9.2.1安全輸入包括任何種類的、應(yīng)被其他項目所考慮的、與安全有關(guān)的指南、設(shè)計、文檔或思想：

輸入可認(rèn)為多種形式包括文檔、備忘錄、電子郵件、培訓(xùn)和征詢,

7.9.2.2安全輸入規(guī)定可基于7.10"指定安全規(guī)定”中確定的需求。

7.9.2.3設(shè)計者、開發(fā)者和需求方應(yīng)一起保證對應(yīng)部門對安全輸入有一種共同的理解。

7.9.3確定安全約束和考慮原因

確定做出有科學(xué)根據(jù)的JT.程決策所需H勺所有安全約束和考慮原因,安全工程組進(jìn)行分析以確定在需求、設(shè)

計、實現(xiàn)、配宜和文檔方面的任何安全限制和考慮；約束可在系統(tǒng)生存周期內(nèi)的所有時間進(jìn)行標(biāo)識，可在

許多不一樣的抽象層上進(jìn)行標(biāo)識。

7.9.4標(biāo)識安全選項

標(biāo)識出與安全有關(guān)的工程問題的處理措施選項：處理措施可以多種形式提供。

7.9.5分析工程選項的安全性

7.9.5.1分析和辨別工程選項的優(yōu)先級；確定安全約束與考慮原因（見7.9.3確定安全約束和考慮原因），

根據(jù)標(biāo)識的安全約束和考慮原因，設(shè)計組可以評估每個工程選項并提出對工程組的提議：安全工程組應(yīng)考

慮其他工程組的工程指南。

7.9.5.2這些工程選項不受所標(biāo)識的安全選項的限制（見7.9.4標(biāo)識安全選項），還應(yīng)包括來自其他項目的

選項。

7.9.5.3運(yùn)用安全約束和考慮原因來分析和辨別工程選項的優(yōu)先級。

7.9.6提供安全工程指南

制定出與安全有關(guān)的指南，并將它提供應(yīng)工程組。

7.9.7提供運(yùn)行安全指南

7.9.7.1制定出與安全有關(guān)的指南并提供應(yīng)系統(tǒng)顧客和管理員；運(yùn)行安全指南的制定應(yīng)在生存周期內(nèi)提早開

始。

7.9.7.2運(yùn)行安全指南包括顧客和管理員在以安全模式進(jìn)行安裝、配置、運(yùn)行和終止系統(tǒng)時應(yīng)做的內(nèi)容。

7.10指定安全規(guī)定

7.10.1基本規(guī)定

應(yīng)明確地為系統(tǒng)標(biāo)識出與安全有關(guān)的規(guī)定；指定安全規(guī)定波及到系統(tǒng)安全定義的基本原則，遵照有關(guān)安全

的所有法律、方略和組織需求；定義與安全有關(guān)的規(guī)定集合成系統(tǒng)安全的基線。所有部門，包括顧客之間

應(yīng)到達(dá)對安全規(guī)定的共識；應(yīng)定義整個信息系統(tǒng)中所有安全面的活動，通過在整個項目中搜集、提煉、使

用和更新（見7.9提供安全輸入）這一規(guī)定項所獲得和產(chǎn)生的信息，提出安全規(guī)定。

7.10.2獲得對安全規(guī)定U勺理解

通過搜集所有用于全面理解需求方安全規(guī)定所需的信息，獲得對安全規(guī)定的理解。

7.10.3標(biāo)識可用的法律、方晞和約束

為給定系統(tǒng)確定法律、方略、原則、外部影響和約束：搜集所有對系統(tǒng)安全產(chǎn)生影響的外部影響：標(biāo)識出

支配系統(tǒng)目的環(huán)境的法律、規(guī)則、方略和業(yè)務(wù)原則；應(yīng)進(jìn)行全局加局部間優(yōu)先級H勺決策；系統(tǒng)需求方提出

的J系統(tǒng)安全需求應(yīng)被標(biāo)識并闡明安全意義。

7.10.4標(biāo)識系統(tǒng)安全關(guān)聯(lián)性

7.10.4.1標(biāo)識出系統(tǒng)間的關(guān)系是怎樣影響安全的，任務(wù)H勺處理和￡行概要應(yīng)作為安全原因加以評估：標(biāo)識

對系統(tǒng)遭受到的或也許遭受到的威脅，評估性能和功能需求對安全也許產(chǎn)生的影響。

7.10.4.2定義系統(tǒng)的安全邊界：組織的許多外部原因也影響組織安全規(guī)定的變化程度，監(jiān)視和定期地評估

方略上的傾向性和方略重點的變化、技術(shù)開發(fā)、經(jīng)濟(jì)影響、全局性事件以及信息戰(zhàn)等變化帶來的潛在影響。

7.10.4.3標(biāo)識系統(tǒng)的用途以確定其安全的關(guān)聯(lián)性。

7.10.5獲取系統(tǒng)運(yùn)行的安全思想

7.10.5.1應(yīng)明確總體的、面向安全的指導(dǎo)思想，包括任務(wù)、職貢蓄息流、資產(chǎn)、資源、人員保護(hù)以及物理

保護(hù)的指導(dǎo)思想。

7.10.5.2明確系統(tǒng)運(yùn)行的面向安全H勺總體指導(dǎo)思想。

7.10.6獲取安全H勺高層目的

確定在運(yùn)行環(huán)境中對系統(tǒng)安全性是足夠的安全目的：獲取高層安全目的就是定義系統(tǒng)的安全性。

7.10.7定義安全有關(guān)需求

7.10.7.1定義與系統(tǒng)安全有關(guān)的需求，應(yīng)保證需求H勺完備性和一致性，為系統(tǒng)安全的評價提供基礎(chǔ)。

7.10.7.2定義?套?致性需求，該需求定義了在系統(tǒng)中將實現(xiàn)的模護(hù)。

7.10.8到達(dá)安全協(xié)議

應(yīng)在系統(tǒng)H勺安全需求中將所有H勺合用部分與特定安全之間到達(dá)協(xié)議；對T未被標(biāo)識的特殊顧客而不是一種

通用顧客組的狀況下，特定安全要滿足目的設(shè)置：特定的安全應(yīng)當(dāng)完整地、一致地反應(yīng)出對方略、法律和

顧客需求的管理：應(yīng)標(biāo)識并修改所發(fā)現(xiàn)的問題，直抵到達(dá)滿足需求方規(guī)定的協(xié)議。

7.11驗證和確認(rèn)安全性

7.11.1基本規(guī)定

應(yīng)保證處理安全問題的措施已經(jīng)被驗證與證明。通過觀測、示范、分析和測試，根據(jù)安全需求、體系構(gòu)造

和設(shè)計確認(rèn)處理措施；根據(jù)需求方的運(yùn)行安全需求證明處理措施；處理措施應(yīng)滿足需求方安全需求叮運(yùn)行

安全規(guī)定。

7.11.2確定驗證和確認(rèn)II勺目的

確定驗證和確認(rèn)的目的J；確定驗證和確認(rèn)的處理措施。

7.11.3定義驗證和確認(rèn)措施

7.11.3.1應(yīng)定義驗證和確認(rèn)每種處理方案H勺措施和嚴(yán)格等級：

7.11.3.2嚴(yán)密等級應(yīng)表明驗證和確認(rèn)的審查究竟應(yīng)有多嚴(yán)格：該規(guī)定項要受到7.6"建立保證論據(jù)”中保證方

略輸出的影響。

7.11.4執(zhí)行驗證

7.11.4.1應(yīng)通過顯示處理措施實現(xiàn)與上一抽象層有關(guān)的規(guī)定，包括確定的保證需求正是作為7.6“建立保證

論據(jù)"的成果所標(biāo)識的保證需要；所用的措施在7.11.3"定義驗證和確認(rèn)措施”中有標(biāo)識：個人需求和整個系

統(tǒng)都要受到檢測。

7.11.4.2驗證處理措施實現(xiàn)了與上一抽象層有關(guān)的規(guī)定。

7.11.5執(zhí)行證明

7.11.5.1通過顯示能滿足與上一抽象層有關(guān)的規(guī)定，最終滿足需求方的運(yùn)行安全規(guī)定，實現(xiàn)對處理措施IKJ

證明。

7.11.5.2證明處理措施滿足與上一抽象層關(guān)聯(lián)的需要；所使用的:昔施應(yīng)在7.11.3"定義驗證和確認(rèn)措施”中

確定。

7.11.6提供驗證和確認(rèn)的）成果

為其他工程組搜集并提供驗證和確認(rèn)的成果；驗證和確認(rèn)H勺成果應(yīng)以某種易被理解和使用的方式所提供：

所有成果應(yīng)被跟蹤。

8項目實行規(guī)定

8.1質(zhì)量保證

8.1.1基本規(guī)定

應(yīng)通過對過程的測量與監(jiān)視，工作產(chǎn)品的測量發(fā)現(xiàn)其中的偏離：應(yīng)通過質(zhì)量分析、改善活動，以及質(zhì)量修

正監(jiān)測活動保證工程質(zhì)量目的口勺實現(xiàn)。本規(guī)定項與7.6“建立?保證論據(jù)”有關(guān)。保證可以認(rèn)為是安全有關(guān)質(zhì)

量H勺特殊類型。

8.1.2監(jiān)視所定義過程的一致性

8.1.2.1保證項目是按照所定義的系統(tǒng)工程過程來執(zhí)行的：應(yīng)按時應(yīng)的時間間隔來檢查?致狀況；應(yīng)將與所

定義的過程相偏離以及該偏離所帶來的影響記錄下來。

8.1.2.2保證所定義的系統(tǒng)工程過程在系統(tǒng)生存周期中是穩(wěn)定的。

8.1.3測量工作產(chǎn)品的質(zhì)量

8.1.3.1應(yīng)當(dāng)運(yùn)用所設(shè)計的測量工作產(chǎn)品的措施來評估工作產(chǎn)品與否能符合需求方或工程的規(guī)定；產(chǎn)品測量

尚有助于處理隔離系統(tǒng)開發(fā)過程中的問題。

8.1.3.2根據(jù)工作產(chǎn)品的質(zhì)量規(guī)定對工作產(chǎn)品的測量進(jìn)行評價。

8.1.4測量過程質(zhì)量

對項目所使用的系統(tǒng)工程過程的質(zhì)量進(jìn)行測量。

8.1.5分析質(zhì)量測量

8.1.5.1分析質(zhì)量測量以對質(zhì)量改善或操作改善方面提出對應(yīng)的開發(fā)性提議。

8.1.5.2繪制因果圖.

8.1.6參與質(zhì)量活動

在確定和匯報質(zhì)量問題時，有關(guān)員工應(yīng)參與其中。

8.1.7發(fā)起改善質(zhì)量的活動

應(yīng)發(fā)起以質(zhì)量問題或質(zhì)量改善問題為主題的有關(guān)活動。

8.1.8檢測修正行為規(guī)定

8.1.8.1建立一種或一套機(jī)制來檢測過程或產(chǎn)品中修正行為的規(guī)定。

8.1.8.2故障匯報。

8.2管理配置

821基木規(guī)定

應(yīng)維持系統(tǒng)中已確定的配置單元的數(shù)據(jù)和狀況，并對系統(tǒng)及其配置單元的變化進(jìn)行分析和控制：

管理系統(tǒng)配叁包括為開發(fā)者和需求方提供精確的目前配置數(shù)據(jù)和狀況：該規(guī)定項對置于配置管理之下的所

有工作產(chǎn)品都是合用的。

在83'管理配置”中對?種系統(tǒng)/項目而標(biāo)識的配置單元級別確實定應(yīng)當(dāng)考慮76建立保證論據(jù)"的保證目的

所詳細(xì)規(guī)定的級別。

管理配置提供了76建立保證論據(jù)”的證據(jù)；選擇的配置管理(CM)系統(tǒng)自身管理也應(yīng)當(dāng)通過7.1節(jié)理安

全控制”來管理.

配置管理功能應(yīng)容許在生存周期的任一點上通過系統(tǒng)規(guī)定的層次來對配置進(jìn)行跟蹤，從而支持可追溯性:

可追溯性作為規(guī)定項8.3“管理配宜”中實行的一部分應(yīng)建立起來。

8.2.2建立配置管理措施

8.2.2.1應(yīng)有配置管理措施；

8.2.2.2應(yīng)將規(guī)定項8.2“質(zhì)量保證”作為實現(xiàn)業(yè)務(wù)研究的指南。

8.2.2.3配置管理過程的描述。

8.2.3確定配置單元

8.2.3.1確定構(gòu)成基線的配置單元。

8.2.3.2配置管理所選擇的工作產(chǎn)品應(yīng)基于所選配置管理方略建立的準(zhǔn)則上：配置單元應(yīng)當(dāng)在有助于開發(fā)者

和需求方H勺層面之上進(jìn)行選擇，但不應(yīng)將不合理的管理承擔(dān)加在開發(fā)者的上。

8.2.4維護(hù)工作產(chǎn)品基線

維護(hù)工作產(chǎn)品基線庫，建立和維護(hù)一種有關(guān)工作產(chǎn)品配置的信息摩：維護(hù)配置數(shù)據(jù)，為審計跟蹤

提供在系統(tǒng)生存周期任一點上的原始資料。

8.2.5控制變化

8.2.5.1對已建立的配置項的變化進(jìn)行控制，包括跟蹤每個配置項的配置；如需要同意新的配置，應(yīng)更新系

統(tǒng)的基線.

8.2.5.2應(yīng)對工作產(chǎn)品的標(biāo)識問題或變化工作產(chǎn)品的需求進(jìn)行分析，以便確定此變化對工作產(chǎn)品、項目進(jìn)度

和費(fèi)用、以及其他工作產(chǎn)品產(chǎn)生的影響。

8.2.6溝通配置狀況

在狀況發(fā)生變化時，應(yīng)將配置數(shù)據(jù)狀況告訴有關(guān)的部門或人員。狀況匯報應(yīng)當(dāng)包括何時處理、已接受的配

置單元變化和受變化影響的有關(guān)工作產(chǎn)品等信息；應(yīng)為開發(fā)者、需求方和其他受膨響的團(tuán)體提供配置數(shù)據(jù)

和狀況的訪問權(quán)利。

8.3管理項目風(fēng)險

8.3.1基本規(guī)定

應(yīng)標(biāo)識、評估、監(jiān)視和減少風(fēng)險以使系統(tǒng)工程活動和所有技術(shù)活動均獲得成功：這個規(guī)定項要持續(xù)整個工

程生存周期。與86監(jiān)視技術(shù)活動”和85管理項目風(fēng)險”規(guī)定項相類似，本規(guī)定項的范圍包括系統(tǒng)工程活動

和所有技術(shù)項目活動。

“項目風(fēng)險”指與項目成功完畢有關(guān)的風(fēng)險，與費(fèi)用和進(jìn)度有關(guān)的一系列問題。工程實行規(guī)定項列出“安全

風(fēng)險”活動，這些活動是用來確定與否可容忍殘存安全脆弱性對運(yùn)行的影響。

應(yīng)當(dāng)考慮到7.7"協(xié)調(diào)安全"，以保證安全問題都已列出。

8.3.2制定項目風(fēng)險管理措施

8.3.2.1為項目風(fēng)險管理活動制定出一?種計劃，對于整個項目生存周期來說，該計劃是標(biāo)識、評估、減少和

監(jiān)視安全風(fēng)險的基礎(chǔ).

8.3.2.2本規(guī)定實行H勺目的是制定一種有效的計劃以指導(dǎo)項目H勺風(fēng)險管理活動：計劃元素應(yīng)當(dāng)包括風(fēng)險管理

隊伍組員的標(biāo)識及其責(zé)任：應(yīng)有用于標(biāo)識和減少風(fēng)險的常規(guī)風(fēng)險管理活動、措施和工具列表以及風(fēng)險減少

活動的跟蹤和控制措施：計劃也應(yīng)當(dāng)為風(fēng)險管理成果的評估提供協(xié)助。

8.3.3標(biāo)識項目風(fēng)險

8.3.3.1通過檢查項目目的（井考慮到選擇和限制）確定也許出現(xiàn)哪些差錯并以這兩種措施來標(biāo)識項目的風(fēng)

險。

8.3.3.2有條理地審查項目目的、項目計劃（包括活動或事件依賴性）以及系統(tǒng)需求，確定也許的閑戲區(qū)以

及在這些區(qū)中會出現(xiàn)哪些差錯；上述活動在規(guī)定項86,計劃技術(shù)活動”中制定；建立關(guān)鍵的發(fā)展依賴性和提

供跟蹤和修正行為將在規(guī)定項8.5“監(jiān)視技術(shù)活動”中完畢。

8.3.4評估項目風(fēng)險

評估項目風(fēng)險，確定風(fēng)險發(fā)生H勺也許性與也許導(dǎo)致I向后果。

8.3.5評審項目風(fēng)險評估

8.3.5.1獲得項目風(fēng)險評估的正式承認(rèn)。

8.3.5.2評審項目風(fēng)險評估的充足性，以確定與否需要修改或取消基于風(fēng)險的承諾。

8.3.6執(zhí)行項目風(fēng)險減少活動

8.3.6.1實行項目風(fēng)險減少活動。

8.3.6.2可列出風(fēng)險減少活動減少風(fēng)險發(fā)生的也許性或減少風(fēng)險發(fā)生時所導(dǎo)致?lián)p失程度的列表：對需要尤其

關(guān)注的風(fēng)險，可以同步實行幾種減少風(fēng)險的活動。

8.3.7跟蹤項目風(fēng)險減少活動

8.3.7.1監(jiān)視項目安全風(fēng)險減少活動以保證得到預(yù)期成果。

8.3.7.2定期檢查已經(jīng)有效實行的減少項目風(fēng)險活動，測量成果并確定該活動與否成功。

8.4監(jiān)視技術(shù)活動

8.4.1基本規(guī)定

應(yīng)為實際進(jìn)步和風(fēng)險提供充足H勺可見性：可見性是在執(zhí)行計劃發(fā)生嚴(yán)重偏差時及時增進(jìn)修1EH勺行為。

“監(jiān)視技術(shù)活動”將根據(jù)項目估計、承諾和計劃的文檔來指導(dǎo)、跟蹤和評審項目的完畢狀況、成果和風(fēng)險:

一種計劃的文檔是用來作為跟蹤活動和風(fēng)險，交流狀況和修改方案的基礎(chǔ)。

類似于規(guī)定項8.6“監(jiān)視技術(shù)活動”，此規(guī)定項合用于項目技術(shù)性行為以及系統(tǒng)工程活動。

在開發(fā)和系統(tǒng)運(yùn)行時，需要考慮到7.8“監(jiān)視安全態(tài)勢”和7.1“管理安全控制”。

需要考慮到規(guī)定項7.7“協(xié)調(diào)安全”以保證安全問題都已經(jīng)列出。

8.4.2指導(dǎo)技術(shù)活動

8.4.2.1根據(jù)技術(shù)性管理計劃指導(dǎo)技術(shù)性活動。

8.4.2.2貫徹貫徹在“計劃技術(shù)活動”規(guī)定項中創(chuàng)立的技術(shù)管理計劃：這一實行波及到項目中所有T.程活動的

技術(shù)指導(dǎo)。

8.4.3跟蹤項目資源

8.4.3.1根據(jù)技術(shù)性管理計劃跟蹤資源的實際運(yùn)用狀況。

8.4.3.2提供在項目中資源使用的目前信息，在需要時及時調(diào)整活動和計劃。

8.4.4跟蹤技術(shù)參數(shù)

8.4.4.1根據(jù)巴建立的技術(shù)性參數(shù)跟蹤執(zhí)行。

8.4.4.2通過測量在技術(shù)管理計劃中建立的技術(shù)性參數(shù)來跟蹤項目和它的產(chǎn)品的實際執(zhí)行；將測量成果與技

術(shù)管理方案中建立的閾值進(jìn)行比較，將問題告知給管理人員。

8.4.5評審項目執(zhí)行

8.4.5.1根據(jù)技術(shù)性管理計劃執(zhí)行評審。

8.4.5.2應(yīng)定期對項目和其產(chǎn)品的執(zhí)行狀況進(jìn)行評審，當(dāng)超過正常技術(shù)參數(shù)II勺閾值時也要進(jìn)行評審：評審技

術(shù)執(zhí)行的測量分析成果和技術(shù)執(zhí)行的其他指標(biāo)，同意修正行動計劃。

8.4.6分析項目問題

8.4.6.1分析跟蹤和評審技術(shù)性參數(shù)的成果，確定修正行動。

8.4.6.2及時標(biāo)識、分析和跟蹤項目問題控制項目的執(zhí)行。

8.4.7采用修正行動

8.4.7.1當(dāng)實際成果偏離計劃時或技術(shù)參數(shù)預(yù)示著將有問題時，應(yīng)采用修正行動。

8.4.7.2當(dāng)修正行動同意后，道過再分派資源，變化措施和環(huán)節(jié)或加強(qiáng)對原計劃的支持來執(zhí)行修正行動；當(dāng)

需要變化技術(shù)管理計劃時，采用8.6“計劃技術(shù)活動”以修改該計劃。

8.5計劃技術(shù)活動

8.5.1基本規(guī)定

應(yīng)建立計劃，這些比劃能為在系統(tǒng)開發(fā)、制造、使用和配置過程中波及到的技術(shù)性工作的進(jìn)度、費(fèi)用、控

制、跟蹤與商議H勺性質(zhì)和范圍提供基礎(chǔ)：應(yīng)將系統(tǒng)工程行為集成到整個項目的綜合性技術(shù)計劃中。

“計劃技術(shù)活動”波及對所要執(zhí)行工作量的估算，從有有關(guān)的部門或人員中獲得必要的承諾，并對要進(jìn)行的

工作計劃進(jìn)行定義。

尤其是在執(zhí)行856“分析項目詞題”和857”采用修正行動”時應(yīng)考慮到7.7“協(xié)調(diào)安全，

計劃應(yīng)從對要進(jìn)行的工作范圍H勺理解開始，然后定義項目的限制卻約束、風(fēng)險和目的：計劃過程應(yīng)包括估

算工作產(chǎn)品的規(guī)格，估算所需資源，制定期間安排表，考慮風(fēng)險和協(xié)商承諾等環(huán)節(jié)。

8.5.2標(biāo)識關(guān)鍵資源

標(biāo)識對項目技術(shù)上的成功起關(guān)鍵作用的資源.

8.5.3估計項目范圍

8.5.3.1對影響項目的規(guī)模和技術(shù)可行性的原因進(jìn)行估計。

8.5.3.2應(yīng)通過將系統(tǒng)分解成與其他項目相似的構(gòu)成單元的措施來對項目范圍和規(guī)模進(jìn)行估計：對規(guī)植的估

計可以調(diào)整為如復(fù)雜性差異或其他參數(shù)等原因。

8.5.3.3歷史原始資料可為初始規(guī)模估計提供最有用的信息。

8.5.4估算項目費(fèi)用

針對項目實行規(guī)定的所有技術(shù)資源建立費(fèi)用估算。

8.5.5確定工程過程

8.5.5.1確定項目使用的技術(shù)過程。

8.5.5.2在最高層的技術(shù)過程應(yīng)遵照基于工程特性、組織特性和組織的原則過程的生存周期模型。

8.5.6確定技術(shù)活動

8.5.6.1為項目的整個生存周期確定技術(shù)活動。

8.5.6.2參照組織的歷史經(jīng)驗，從可合用的原則與業(yè)界最佳實踐中選擇項目和系統(tǒng)工程活動。

8.5.7定義項目界面

定義支持■需求方和供應(yīng)商進(jìn)行有效交互作用的特定過程。

8.5.8開發(fā)項目進(jìn)度表

8.5.8.1為項目的整個生存周期制定技術(shù)進(jìn)度表。

8.5.8.2項目進(jìn)度表包括系統(tǒng)和組件的開發(fā)與采購，有關(guān)人員的培訓(xùn)以及工程所需支持環(huán)境的準(zhǔn)備：

進(jìn)度表是基于可驗證模型或已確定任務(wù)的數(shù)據(jù)，以及它們?nèi)蝿?wù)互相依賴性和采購項的可用性；進(jìn)度表應(yīng)當(dāng)

包括為已標(biāo)識的風(fēng)險留有余地；所有受影響的部門或個人應(yīng)復(fù)審并提交該進(jìn)度表。

8.5.9設(shè)置技術(shù)參數(shù)

8.5.9.1為項目和系統(tǒng)設(shè)置有閾值的技術(shù)參數(shù)。

8.5.9.2設(shè)置可在工程整個生存周期中都需要跟蹤的關(guān)鍵技術(shù)參數(shù)，這些參數(shù)作為進(jìn)度指示，以便滿足最終

的技術(shù)目的：通過交互顧客、顧客需求、市場調(diào)杏、原型、已標(biāo)識項目風(fēng)險或類似項目的歷史經(jīng)驗來確定

這些關(guān)鍵技術(shù)參數(shù)。每個可￡瞞的技術(shù)參數(shù)應(yīng)當(dāng)有一種期望的校正閾值或公差；在項目進(jìn)度表中的重要時

間點關(guān)鍵技術(shù)參數(shù)應(yīng)進(jìn)行事先估算。

8.5.10開發(fā)技術(shù)管理計劃

8.5.10.1運(yùn)用在計劃活動中搜集到H勺信息開發(fā)技術(shù)管理計劃，這種計劃可以作為跟蹤項目和系統(tǒng)工程的基

礎(chǔ)。

8.5.10.2制定并維護(hù)所有技術(shù)活動需要的內(nèi)部、外部組織項目活動的完整計劃。

8.5.11評審并承認(rèn)工程計劃

8.5.11.1與所有有關(guān)團(tuán)體和個人一同評審技術(shù)管理計劃并需得到團(tuán)體承認(rèn)。

8.5.11.2應(yīng)保證在整個工程中通過有影響的團(tuán)體和個人，對過程、資源、進(jìn)度表和信息需求有自上而下的

共同理解。

9安全工程管理分等級規(guī)定

9.1第一級顧客自主保護(hù)級

9.1.1工程目的和范圍

目的：在這一級別，規(guī)定滿足資格保證的基本規(guī)定項，應(yīng)基本到達(dá)組織保證、工程實行和項目實行的基本

規(guī)定項。此級別組織內(nèi)口勺個人可標(biāo)識出一種行動應(yīng)被執(zhí)行，并同意這個行動會在需要時執(zhí)行。

范圍：這個級別應(yīng)當(dāng)制定安全工程計劃，明確計算機(jī)信息系統(tǒng)的安全目II勺和安全范圍并經(jīng)組織內(nèi)或具有所

有權(quán)單位的主管領(lǐng)導(dǎo)同意。

保證計算機(jī)信息系統(tǒng)安全保護(hù)等級到達(dá)GB/TAAAA-200X中6.1、GB/TBBBB-200X中5.1的規(guī)定。

9.1.2資格保證規(guī)定

資格保證規(guī)定滿足下列2個基本規(guī)定項

a）信息安全產(chǎn)品應(yīng)具有在國內(nèi)生產(chǎn)、經(jīng)營、銷售H勺許可證，并符合對應(yīng)H勺等級（見5.4）：

b）系統(tǒng)應(yīng)符合國家有關(guān)的法律、法規(guī)和政策（見5.6）:

9.1.3組織保證規(guī)定

組織保證過程中下列6個規(guī)定項的過程應(yīng)完整、明確，應(yīng)基本到達(dá)每個規(guī)定項的目的：此級別組織內(nèi)的個

人可標(biāo)識出一種行動應(yīng)被執(zhí)行，并同意這個行動會在需要時執(zhí)行.

a）定義組織的系統(tǒng)工程過程（見6.1.1）：

b）改善組織的系統(tǒng)工程過程（見6.2.1）：

c）管理系列產(chǎn)品演化（見6.3.1）：

d）管理系統(tǒng)工程支持環(huán)境（見6.4.1）；

e）提供不停發(fā)展的技能和知識（見6.5.1）：

f）與供應(yīng)商協(xié)調(diào)（見661）。

9.1.4工程實行規(guī)定

安全工程中11個規(guī)定項『'J過程完整、明確，應(yīng)基本到達(dá)每個規(guī)定項的目小J；組織內(nèi)的個人可標(biāo)識出一種行

動應(yīng)被執(zhí)行，并同意這個行動會在需要時執(zhí)行。

a）管理安全控制（見7.1.1）；

b）評估影響（見7.2.1）：

C）評估安全風(fēng)險（見7.3.1）；

d）評估威脅,（見741）；

e）評估脆弱性（見7.5.1）：

f）建立保證論據(jù)（見761）：

g）協(xié)調(diào)安全（見771）；

h）監(jiān)視安全態(tài)勢（見7.8.1）：

i）提供安全輸入（見791）；

j）指定安全規(guī)定（見7.10.1）：

k）驗證和確認(rèn)安全性（見7.111）：

9.1.5項目實行規(guī)定

安全項目過程中下列5個規(guī)定項的過程完整、明確，應(yīng)基本到達(dá)每個規(guī)定項的目的；組織內(nèi)的個人可標(biāo)識

出一種行動應(yīng)被執(zhí)行，并同意這個行動會在需要時執(zhí)行。

a）質(zhì)量保證（見811）：

b）管理配置（見8.2.1）；

c）管理項目風(fēng)險（見8.3.1）：

d）監(jiān)視技術(shù)活動（見8.4.1）；

e）計劃技術(shù)活動（見851）；

9.2第二級系統(tǒng)審計保護(hù)級

9.2.1工程目的和范圍

目H勺：在這一級別，資格保證規(guī)定滿足，組織保證、工程實行和項目實行H勺基本規(guī)定項是通過計劃并被跟

范圍：應(yīng)驗證特定環(huán)節(jié)的執(zhí)行工作產(chǎn)品應(yīng)符合指定11勺原則和需求；測量用于跟蹤規(guī)定項的執(zhí)行狀況；組織

可以基于實際執(zhí)行活動進(jìn)行管理：本級別除去對基本規(guī)定項H勺規(guī)定外，還對規(guī)定項中的規(guī)定子項提出了尤

其規(guī)定；

保證計算機(jī)信息系統(tǒng)安全保護(hù)等級到達(dá)GB/TAAAA-200X中6.2、GB/TBBBB-200X中5.2的規(guī)定。

9.2.2資格保證規(guī)定

資格保證規(guī)定滿足下列5個規(guī)定項：

a）國家主管部門承認(rèn)的集成資質(zhì)（見5.1）；

b）國家主管部門承認(rèn)的服務(wù)人員資質(zhì)（見5.2）；

c）國家主管部門承認(rèn)的服務(wù)單位資質(zhì)（見5.3）；

d）信息安全產(chǎn)品應(yīng)具有在國內(nèi)生產(chǎn)、經(jīng)營、銷售的許可證，并符合對應(yīng)的等級（見5.4）；

e）系統(tǒng)符合國家有關(guān)口勺法律、法規(guī)和政策（見5.6）。

9.2.3組織保證規(guī)定

組織保證基本規(guī)定項是經(jīng)計劃并被跟蹤。應(yīng)驗證特定環(huán)節(jié)的執(zhí)行：工作產(chǎn)品應(yīng)符合指定的原則和需求；測

量用于跟蹤規(guī)定項的執(zhí)行狀況：組織可以基于實際執(zhí)行活動進(jìn)行管理；本級別除去對組織保證規(guī)定中6個

規(guī)定項的過程完整、明確，除完全到達(dá)每個規(guī)定項的規(guī)定外，還對卜列規(guī)定項中的規(guī)定子項提出了尤其規(guī)

定。

a）定義剪裁指南（見6.1.4）；

b）評估過程（見6.2.2）：

C）監(jiān)視系統(tǒng)工程支持環(huán)境（見6.4.7）：

d）確定培訓(xùn)規(guī)定（見6.5.1）；

e）評估培訓(xùn)的有效性（見6.5.6）：

f）維護(hù)培訓(xùn)材料（見658）；

g）確定系統(tǒng)的組件或服務(wù)（見6.6.1）：

h）選擇供應(yīng)商或銷售商（見6.6.3）；

i）提供期望（ML6.6.4）o

9.2.4工程實行規(guī)定

工程實行基本規(guī)定項經(jīng)計劃并被跟蹤。應(yīng)驗證特定環(huán)節(jié)胸執(zhí)行；工作產(chǎn)品應(yīng)符合指定的原則和需求；測量

用于跟蹤規(guī)定項的執(zhí)行狀況；工程實行可以基于實際執(zhí)行活動進(jìn)行管理。本級別除去對安全工程實行中11

個規(guī)定項過程完整、明確，除完全到達(dá)每個規(guī)定項的規(guī)定外，還對下列規(guī)定項中的規(guī)定子項提出了尤其規(guī)

定。

a）管理安全服務(wù)及控制機(jī)制:見7.1.5）；

b）監(jiān)視影響（見7.2.7）；

c）監(jiān)視安全風(fēng)險及其特性（見737）:

d）監(jiān)視威脅及其特性（見7.4.7）；

e）監(jiān)視脆弱性及其特性（見7.5.6）：

f）控制保證證據(jù)（見764）:

g）提供保證論據(jù)（見7.6.6）：

h）分析事件記錄（見783）：

i）監(jiān)視變化（見7.8.4〉：

j）監(jiān)視安全防護(hù)措施（見785）:

k）檢查安全態(tài)勢（見786）：

I）管理安全突發(fā)事件響應(yīng)（見7.8.7）：

m）保護(hù)安全監(jiān)視H勺記錄數(shù)據(jù)（見7.8.8）:

n）標(biāo)識安全選項（見7.9.4）；

0）標(biāo)識可用的法律、方略和約束（見7.10.3）；

p）定義安全有關(guān)需求（見7.10.7）:

q）確定驗證和確認(rèn)的目的（見7.11.2）：

r）定義驗證和確認(rèn)措施（見7.11.3）：

S）執(zhí)行驗證（見7.11.4）：

t）執(zhí)行證明（見7.11.5）:

u）提供驗證和確認(rèn)的成果（見7.11.6）.

9.2.5項目實行規(guī)定

項目實行基本規(guī)定項是經(jīng)計劃并被跟蹤的。應(yīng)驗證特定環(huán)節(jié)內(nèi)執(zhí)行；工作產(chǎn)品應(yīng)符合指定的原則和需求;

測量用于跟蹤規(guī)定項的執(zhí)行狀況；項IH實行可以基于實際執(zhí)行活動進(jìn)行管理。本級別除去對安全項目實行

中5個規(guī)定項過程完整、明確，除完全到達(dá)每個規(guī)定項的規(guī)定外，還對下列規(guī)定項中的規(guī)定子項提出了尤

其規(guī)定。

a）監(jiān)視所定義過程的一致性：見8.1.2）：

b）測量工作產(chǎn)品的質(zhì)量（見8.1.3）：

c）測量過程質(zhì)量（見8.1.4）：

d）分析質(zhì)量測量（見815）；

e）檢測修正行為規(guī)定（見818）；

f）標(biāo)識項目風(fēng)險（見833）:

g）評估項目風(fēng)險（見8.3.4）；

h）評審項目風(fēng)險評估（見835）；

i）執(zhí)行風(fēng)險減少活動（見8.3.6）；

j）跟蹤風(fēng)險減少活動（見8.3.7）：

k）跟蹤項目資源（見843）：

I）跟蹤技術(shù)參數(shù)（見8.4.4）；

m）評審項目執(zhí)行（見845）；

n）采用修正行動（見847）；

o）設(shè)宜技術(shù)參數(shù)（見8.5.9）；

p）評審并承認(rèn)工程計劃（見8.5.11）。

9.3第三級安全標(biāo)識保護(hù)級

9.3.1工程目的和范圍

目的：在這一級別，規(guī)定滿足資格保證規(guī)定；組織保證、工程實行和項目實行按照充足定義的過程執(zhí)行（充

足定義的過程是根據(jù)對文檔化口勺原則過程進(jìn)行裁的并經(jīng)同意的過程）：

范圍：本級別運(yùn)用組織范圍內(nèi)的過程原則來管理和規(guī)劃，在實現(xiàn)第二級工程管理目的的基礎(chǔ)匕規(guī)定對需

求方、系統(tǒng)資源和工程過程進(jìn)行規(guī)范記錄，對規(guī)定和文檔清單建立健全的?系列安全管理制度，實現(xiàn)制度

化管理。

保證計算機(jī)信息系統(tǒng)安全保護(hù)等級到達(dá)GB/TAAAA-200X中6.3、GB/TBBBB-200X中5.3的規(guī)定。

9.3.2資格保證規(guī)定

滿足下列資格清單規(guī)定子項的目的：

a）國家主管部門承認(rèn)的集成資質(zhì)（見5.1）；

b）國家主管部門承認(rèn)II勺服務(wù)人員資質(zhì)（見5.2）；

C）國家主管部門承認(rèn)的服務(wù)單位資質(zhì)（見5.3）：

d）信息安全產(chǎn)品應(yīng)具有在國內(nèi)生產(chǎn)、經(jīng)營、銷售H勺許可證，并符合對應(yīng)的等級（見5.4）；

e）應(yīng)具有信息安全系統(tǒng)建設(shè)工程實行監(jiān)理管理制度（見551）；

f）系統(tǒng)聘任專業(yè)監(jiān)理企業(yè)，且監(jiān)理企業(yè)具有國家主管部門承認(rèn)監(jiān)理資質(zhì)證書（見5.5.2）：

g）系統(tǒng)符合國家有關(guān)I向法律、法規(guī)和政策（見5.6）。

9.3.3組織保證規(guī)定

在這一級別，組織保證按照充足定義H勺過程執(zhí)行，充足定義的過程是根據(jù)對文檔化的原則過程進(jìn)行裁剪并

經(jīng)同意的過程版本：本級別運(yùn)用組織范圍內(nèi)H勺過程原則來管理和規(guī)劃，在實現(xiàn)第二級工程管理目的的基礎(chǔ)

上，規(guī)定實現(xiàn)制度化管理。

除滿足二級組織保證規(guī)定項外還應(yīng)滿足下列規(guī)定子項的目的并規(guī)范化、制度化管理：

a）搜集過程資產(chǎn)（見6.1.3）；

b）開發(fā)組織的系統(tǒng)工程過程：見6.1.4）；

c）溝通過程改善（見6.2.5）：

d）保證關(guān)鍵組件的可用性（見6.3.5）：

e）插入產(chǎn)品技術(shù)（見6.3.6）；

f）維持技術(shù)認(rèn)識（見642）；

g）確定支持需求（見6.4.3）；

h）保證技能和知識的可用性：見654）：

i）準(zhǔn)備培訓(xùn)材料（見655）；

j）培訓(xùn)人員（見6.5.6）:

k）維護(hù)培訓(xùn)記錄（見658）：

I）確定勝任的供應(yīng)商或銷售商（見6.6.3）；

m）維持溝通（見6.6.6）。

9.3.4工程實行規(guī)定

在這一級別，工程實行按照充足定義H勺過程執(zhí)行，充足定義的過程是根據(jù)對文檔化的原則過程進(jìn)行裁剪并

經(jīng)同意的過程：運(yùn)用組織范圍內(nèi)的過程原則來管理和規(guī)劃，在到達(dá)第二級工程管理目的的基礎(chǔ)上，規(guī)定對

需求方、系統(tǒng)資源和工程過程進(jìn)行規(guī)范記錄，建立健全一系列的安全管理制度，實現(xiàn)制度化管理。除滿足

二級所有規(guī)定項和規(guī)定子項外，還應(yīng)滿足下列子項的規(guī)定并實現(xiàn)規(guī)范化、制度化管理：

a）建立安全職責(zé)（見7.1.2）：

b）管理安全配置（見7.1.3）：

c）管理安全意識、培訓(xùn)和教育大綱（見7.1.4）：

d）對影響進(jìn)行優(yōu)先級排列（見7.2.2）：

e）標(biāo)識系統(tǒng)資產(chǎn)（見7.2.3）；

f）選擇影響的度量（見724；；

g）標(biāo)識度量關(guān)系（見725）；

h）標(biāo)識和特性化影響（見7.2.6）；

i）標(biāo)識安全風(fēng)險（見7.3.3）；

j）評估安全風(fēng)險（見7.3.4）；

k）評估總體不確定性（見7.3.5）:

I）標(biāo)識自然威脅（見742）;

m）標(biāo)識人為威脅（見7.4.3）；

n）標(biāo)識威脅的測量尺度（見7.4.4）；

o）評估威脅影響的效果（見7.4.5）:

p）評估威脅的也許性（見7.4.6）；

q）標(biāo)識脆弱性（見7.5.3）；

r）搜集脆弱性數(shù)據(jù)（見754：：

S）增進(jìn)協(xié)調(diào)（見7.7.4）；

t）分析工程選項的安全性（見7.9.5）：

U）提供安全工程指南（見7.9.6）：

v）標(biāo)識系統(tǒng)安全關(guān)聯(lián)性（見7.10.4）。

9.3.5項目實行規(guī)定

在這?級別，項目實行按照充足定義的過程執(zhí)行，充足定義的過程是根據(jù)對文檔化的原則過程進(jìn)行裁翦并

經(jīng)同意的過程：本級別運(yùn)用組織范圍內(nèi)的過程原則來管理和規(guī)劃，在實現(xiàn)第二級項目管理目的的基殆上，

規(guī)定對需求方、系統(tǒng)資源和工程過程進(jìn)行規(guī)范記錄，建立健全?系列的安全管理制度，實現(xiàn)制度化管理。

除滿足二級所有規(guī)定項外，還應(yīng)滿足下列規(guī)定子項的規(guī)定并規(guī)范化、制度化管理：

a）發(fā)起改善質(zhì)量的活動（見8.1.7）；

b）確定配置單元（見8.2.3）；

c）控制變化（見8.2.5）；

d）溝通配置狀況（見8.2.6）：

e）分析項目問題（見8.4.6）；

f）標(biāo)識關(guān)鍵資源（見852）；

g）估計項目范圍（見8.5.3）；

h）開發(fā)項目進(jìn)度表（見8.5.8）：

i）開發(fā)技術(shù)管理計劃（見8.5.10）o

9.4第四級構(gòu)造化保護(hù)級

9.4.1工程目的和范圍

目的：在這?級別，規(guī)定滿足更高?級的資格保證規(guī)定；通過有效的控制手段將安全工程過程、安全項目

過程和組織保證過程的有效性程序化、周期化。

范圍：在到達(dá)第三級管理目的的基礎(chǔ)匕規(guī)定計算機(jī)信息系統(tǒng)的使用單位可以使用有效的控制手段對各項

規(guī)定和文檔清單進(jìn)行管理。

保證計算機(jī)信息系統(tǒng)安全保護(hù)等級到達(dá)GB/TAAAA-200X中6.4、GB/TBBBB-200X中5.4的規(guī)定。

9.4.2資格保證規(guī)定

滿足下列規(guī)定子項的資格目的規(guī)定：

a）國家主管部門承認(rèn)II勺集成資質(zhì)（見5.1）；

b）國家主管部門承認(rèn)II勺服務(wù)人員資質(zhì)（見5.2）；

C）國家主管部門承認(rèn)的服務(wù)單位資質(zhì)（見5.3）；

d）信息安全產(chǎn)品應(yīng)具有在國內(nèi)生產(chǎn)、經(jīng)營、銷售的許可證，并符合對應(yīng)的等級（見5.4）；

e）應(yīng)具有信息安全系統(tǒng)建設(shè)工程實行監(jiān)理管理制度（見551）:

f）系統(tǒng)聘任專業(yè)監(jiān)理企業(yè)，且監(jiān)理企業(yè)具有國家主管部門承認(rèn)監(jiān)理資質(zhì)證書（見5.5.2）；

g）系統(tǒng)符合國家有關(guān)II勺法律、法規(guī)和政策（見5.6）。

9.4.3組織保證規(guī)定

組織保證規(guī)定項中下列5個過程完整，在文檔清單規(guī)定中除了滿足