1、公司项目及信息系统建设安全工程实施管理制度编 制： 审 核： 批 准： 版 本 号: 目录编制说明3第一章总则4第二章安全要求4第一节项目建设安全管理的总体要求4第二节项目巾报安全笛理标准5第三节系统定级管理7第四节方案论证和审批安全管理标准7第五节项目实施方案和实施过程安全管理标准8第六节安全方案设计管理11第七节产品釆购和使用管理12第八节口行软件开发管理12第九节外包软件开发管理13第十节 工程实施管理13第十一节 测试验收管理14第十二节系统交付管理14第十三节 系统备案管理14第十四节 等级测评管理15第十五节安全服务商选择管理15第十六节项目验收与投产安全管理标准16第三章 评估和2、论证安全管理19第四章附则21第一节文挡信息21第二节版本控制21第三节其他信息21编制说明为进一步贯彻党中央和国务院批准的国家信息化领导小组关于加强信 息安全保障工作的意见及其“重点保护基础信息网络和重要信息系统安全” 的思想、贯彻信息产业部“积极预防、及时发现、快速反应、确保恢复”的方 针和“同步规划、同步建设、同步运行”的要求，特制定木制度。本制度依据我国信息安全的有关法律法规，结合*单位的口身业务特 点、并参考国际有关信息安全标准制定的。郴*单位安全管理制度汇编项目及信息系统建设管理制度，是针对所 有IT建设项口，主要用于在IT项口立项过程屮安全部分的方案规划、评估 和安全管理。第一章3、总则第一条制度目标：为了加强*单位信息安全保障能力，建立健全的安全 管理体系，捉高整体的网络与信息安全水平，保证网络通信畅通和业务系统的正 常运营，提高网络服务质量，在安全体系框架厂 本制度旨在提高IT项目信息 安全建设质量，加强IT项口建设安全管理工作。第二条适用范:本制度适用于所有TCP/IP网络IT建设项目，主要用于IT项目立项过程中方案设计、规划的安全耍求参考。第三条 使用人员及角色职责：本制度适用于全体人员。第二章安全要求第一节 项目建设安全管理的总体要求第四条项目建设安全管理目标一个项口的生命周期包括：项口申报、项口审批和立项、项口实施、 项目验收和投产；从项目建设的角度来看，这些4、生命周期的阶段则包括以 下子阶段：需求分析、总体方案设计、概要设计、详细设计、系统实施、 系统测试和试运行，如下表所示。项目管理生命周期项口申报系统定级 需求分析 总体方案设计项目审批和立项项目实施概要设计、详细设计、系统实施项目验收和投产系统测试、试运行和投产项目建设安全管理的H标就是保证整个项口管理和建设过程中系统的 安全。为了达到这个目标，信息安全（INFOSEC）必须融合在项目管理和项 目建设过程中，与组织的业务需求、环境要求、项目计划、成本效益以及国家和地方的政策、标准、指令相一致。这种融合应该产生一个信息系统 安全工程（ISSE）项廿，它要确认、评估、并11消除或控制住系统对已知 5、或假定的威胁的脆弱点，最终得到一个可以接受水平的安全风险。第五条 项0建设安全管理原则 信息建设项0建设安全管理应遵循如 下原则：（-）全生命周期安全管理：信息安全管理必须贯穿信息系统建设项口 建设的整个生命周期；（-）成木-效益分析：进行信息安全建设和管理应考虑投入产出比；（三）明确职责：每个参与项目建设和项目管理的人员都应该明确安全 职责，应进行安全意识和职责培训，并落实到位；（四）管理公开：应保证每个项口参与人员都知晓和理解安全管理的模 式和方法；（五）科学制衡：进行适当的职责分离，将业务的不同责任分配给不同 的责任人；（六）最小特权：人员对项目资产的访问权限制到最低限度，即仅赋予 其执6、行授权任务所必需的权限。第六条项目建设安全管理耍求项目安全管理工作由信息安全管理部门负责，在项目的巾报、审批、立项、 实施、验收等关键环节中，必须有信息安全管理部门的参与和评审意见。应在项 目规划中明确信息安全责任、义务与管理程序。第二节项目申报安全管理标准项目中报阶段应对信息系统建设项目各个环节进行统一的安全管理规划，确 定项目的等级保护系统保护级别、安全需求、安全目标、安全建设方案，以及生 命周期各阶段的安全需求、安全目标、安全管理措施。由项口开发单位协同用户单位进行项口需求分析、确定总体口标和建设方 案。第七条挖掘安全需求在需求分析报告中除了描述系统业务需求Z外，还应进行系统的安全 性需7、求分析，应尽可能包括以下信息安全方面的内容：（-）等级保护等级：从信息系统口身对于国家、社会公共秩序、法人 及其它合法权益的侵害及侵害程度，判别系统的等级保护级别。（二）安全威胁分析报告：应分析待建计算机系统在生命周期的各个阶 段屮可能遭受的自然威胁或者人为威胁（故意或无意），具体包括威 胁列表、威胁可能性分析、威胁严重性分析等；（三）系统脆弱性分析报告：包括对系统造成问题的脆弱性的定性或定 量的描述，这些问题是被攻击的可能性、被攻击成功的可能性；（四）影响分析报告：描述威胁利用系统脆弱性可能导致不良影响。影 响口J能是冇形的，例如资金的损失或收益的减少，或口J能是无形 的，例如声誉和信誉的损8、失；（五）风险分析报告：安全风险分析的目的在丁识别岀一个给定环境中 涉及到对某一系统有依赖关系的安全风险。它取决于上面的威胁 分析、脆弱性分析和影响分析，应提供风险清单以及风险优先级 列表;（六）系统安全需求报告：针对安全风险，应捉岀安全需求，对于每个 不可接受的安全风险，都至少有一个安全需求与其对应。第八条安全可行性在信息系统建设项口可行性研究报告的以下条口中应增加相应的信息 安全方面的内容：（一）项目目标、主要内容与关键技术：增加信息系统建设项目的总休 安全目标，并在主要内容后而增加针对前而分析出的安全需求所捉 出的相应安全对策，每个安全需求都至少对应一个安全对策，安全 对策的强度应根据相9、应资产的重要性来选择；（-）项目采用的技术路线或者技术方案：增加描述如何从技术、运作、 组织以及制度四个方面來实现所有的安全对策，并形成安全方 案；（三）项目的承担单位及人员情况介绍：增加项目各承担单位的信息安 全方面的资质和经验介绍，并增加介绍项FI主要参与人员的信息安全背景；（四）项目安全管理：安全级别达到重要级以上的项H应增加项H建设 中的安全管理模式、安全组织结构、人员的安全职责、建设实施 中的安全操作程序和相应安全管理要求，项目安全管理人员由 xxx部主管及信息安全管理部门人员担任，信息安全管理部门人 员具体对项口安全进行监管；（五）成本效益分析：对安全方案进行成本-效益分析。（六）10、对投入使用的应用软件需要升级改造的，虽不需另行立项，但仍 需参照上述方法进行一定的安全性分析，并针对可能发生的安全 问题提出和实现相应安全对策。第三节系统定级管理单位应根据信息系统等级保护管理办法和信息系统安全保护等级定 级指南以及上级定级指导意见，初步确定系统安全保护等级。定级工作需要符 合如下要求：（一）应明确信息系统的边界和安全保护等级；（-）应以书面的形式说明确定信息系统为某个安全保护等级的方法 和理由；（三）定级结果有本单位信息安全主管领导的批准；（四）定级结果有上级主管单位批准；（五）应组织相关部门和冇关安全技术专家对信息系统定级结果的合 理性和止确性进行论证和审定；（六）应确保信11、息系统的定级结果经过相关部门的批准。第四节方案论证和审批安全管理标准本阶段主要是XXX部主管组织人员对项目中报内容中的信息安全需求与解 决方案部分进行论证，必要时可以聘请外单位的专家参与论证工作。第九条安全性论证和审批安全性论证应着重对项R的安全需求分析、安全对策以及总体安全方案进 行成本-效益、合理性、可行性和有效性分析，给出明确的结论：（一）适当（-）不合适（否决）（三）需作复议对论证结论为“需作复议”的项口，通知申报单位对有关内容进行必要的 补充或者修改后，再次提交复审。第十条项目安全立项审批后，项目审批单位将对项目进行立项，以下条目中应增加和应的计算 机安全方面的内容：（一）项目的管理12、模式、组织结构和责任：增加项目建设中的安全管理 模式、安全组织结构以及人员的安全职责；（-）项目实施的基本程序和相应的管理耍求：增加项目建设实施中的 安全操作程序和相应安全管理耍求；（三）项口设计口标、主要内容和关键技术：增加总体安全口标、安全 对策以及用于实现安全对策的总体安全方案；（四）项目实现功能和性能指标：增加描述系统拥有的具体安全功能以 及安全功能的强度；（五）项目验收考核指标：增加安全性测试和考核指标。（六）立项的项口，如釆用引进、合作开发或者外包开发等形式，则需 与第三方签订安全保密协议。第五节 项目实施方案和实施过程安全管理信息系统建设项目实施阶段包括3个子阶段：概要设计、详细13、设计和项目 实施，本阶段的主要工作由项目实施单位来完成，项目审批单位负责监督工作。 概要设计子阶段的安全要求。在概要设计阶段，系统层次上的设计要求和功能指标都被分配到了子系统 层次上，这个子阶段的安全口标是保证各子系统设计实现了总体安全方案屮的 安全功能。因此，概要设计说明书中应尽可能达到以下安全要求：（一）应当按了系统來描述系统的安全体系结构；（二）应当描述每一个子系统所提供的安全功能；（三）应当标识所要求的任何基础性的硕件、固件或软件，和在这些硕 件、固件或软件中实现的支持性保护机制捉供的功能表示；（四）应当标识子系统的所冇接口，并说明哪些接口是外部可见的；（五）描述子系统所有接口的用途与14、使用方法，并适当提供影响、例外 情况和错谋消息的细节；（六）确证子系统（不论是开发的，还是买來的）的安全功能指标满足 系统安全需求。第十一条详细设计子阶段的安全要求无论是新开发一个系统，或是对一个系统进行修改，本阶段的任务是完成 那些不能买到现成品的软硬件模块的设计。先要完成每个模块的详细设计方案, 最后根据每个模块的详细设计得到整个系统的详细设计。本子阶段的安全目标 是保证各模块设计实现了概要设计中的安全功能，因此在这一阶段的详细设 计说明书中至少要包括以下信息安全内容：（一）详细设计中应提出相应的具体安全方案，标明实现的安全功能， 并应检查其技术原理；（-）对系统层面上的和模块层面上的安全15、设计进行审查；（三）完成安全测试和评佔要求（通常包括完整的系统的、软件的、硬 件的安全测试方案，至少是相关测试程序的一个草案）；（四）确认各模块的设计，以及模块间的接口设计能满足系统层面的安 全要求。第十二条项目实施子阶段的安全耍求无论是新开发一个系统或是进行系统修改，本阶段的主要0的是将所有的 模块（软硬件）集成为完整的系统，并H检查确认集成以后的系统符合要求。本阶段中，应完成以下具体信息安全工作：（一）更新系统安全威胁评估，预测系统的使用寿命；（-）找出并描述实现安全方案后系统和模块的安全要求和限制，以及 相关的系统验证机制及检查方法；（三）完善系统的运行程序和全生命期支持的安全计划，如密16、钥的分发等；（四）在系统集成操作手册中，应制定安全集成的操作程序；（五）在系统修改操作手册中，应制定系统修改的安全操作程序；（六）对项目参与人员进行信息安全意识培训；（七）并对参加项目建设的安全管理和技术人员的安全职责进行检查。（A）在软件的开发被外包的地方，应当考虑如下几点：a. 检查代码的所有权和知识产权情况；b. 质量合格证和所进行的工作的精确度；c. 在第三方发生故障的情况下，有第三方备份保存；d. 进行质量审核；e. 在合同上有代码质量方面的要求；f. 在安装之前进行测试以检测特洛伊代码；g. 捉供源代码以及相关设计、实施文档；h重耍的项目建设中还耍对源代码进行审核。（九）如果软件是17、自主开发的，则需注意上述的d、f、g、h点要求。（十）计算机系统集成的信息技术产品（如操作系统、数据库等）或安 全专用产品（如防火墙、IDS等）应达到以下要求：1. 对项目实施所需的计算机及配套设备、网络设备、重耍机具、计 算机软件产品的购置，计算机应用系统的合作开发或者外包开发 的确定，按现有制度屮的相关规定执行；2. 安全专用产品应具有国家职能部门颁发的信息安全专用产品的 销售许可证；3. 密码产品符合国家密码主管部门的耍求，来源于国家主管部门批 准的密码研制单位；4. 关键安全专用产品应获得国家相关安全认证，在选型屮根据实际 需耍制定安全产品选型的标准；5. 关键信息技术产品的安全功能模18、块应获得国家相关安全认证，在 选型中根据实际需要制定信息技术产品选型的标准。（十一）产品和服务供应商应达到以下要求：1.系统集成商的资质要求：至少要拥有国家权威部门认可的系统一级集成资质，对丁较为重要的系统应有更高级别的集成资质；2. 工商要求：a. 产品、系统或服务提供单位的营业执照和税务登记在合法期 限内；b. 产品、系统或服务提供商的产品、系统或服务的提供资格；c. 连续赢利期限要求；d. 连续无相关法律诉讼年限耍求；e. 没有发生重大管理、技术人员变化和流动的期限要求；f. 没有发生主业变化期限要求。3. 安全服务商资质：至少应具有国家一级安全服务资质，对于较为 重要的系统应冇更高级别19、的安全服务资质；4. 人员资质要求：系统集成人员、安全服务人员以及相关管理人员 应获得国家权威部门颁发的信息安全人员资质认证；5. 其它耍求：系统符合国家相关法律、法规，按照相关主管部门的 技术管理规定对非法信息和恶意代码进行有效控制，按照有关规 定对设备进行控制，使之不被作为非法攻击的跳板。第六节安全方案设计管理（-）应根据系统的安全保护等级选择基本安全措施，并依据风险分析 的结果补充和调整安全措施；（-）单位指定和授权XXX部门对信息系统的安全建设进行总体规划， 制定近期和远期的安全建设工作计划；（三）应根据信息系统的等级划分情况，统i考虑安全保障体系的总体 安全策略、安全技术框架、安全管20、理策略、总体建设规划和详细设 计方案，并形成配套文件；（四）应组织相关部门和冇关安全技术专家对总体安全策略、安全技术 框架、安全管理策略、总体建设规划、详细设计方案等相关配套文 件的合理性和正确性进行论证和审定，并且经过批准后，才能正式 实施；（五）应根据等级测评、安全评估的结杲定期调整和修订总体安全策 略、安全技术框架、安全管理策略、总体建设规划、详细设计方案 等相关配套文件。第七节产品采购和使用管理（-）应确保安全产品采购和使用符合国家的有关规定；（-）应确保密码产品采购和使用符合国家密码主管部门的耍求；（三）应指定或授权专门的部门负责产品的釆购；（四）应预先对产品进行选型测试，确定产品的21、候选范围，并定期审定 和更新候选产品名单。（五）对项目实施所需的计算机及配套设备、网络设备、重要机具、计 算机软件产品的购置，计算机应用系统的合作开发或者外包开发的 确定，按现冇制度中的相关规定执行；（六）安全专用产品应具有国家职能部门颁发的信息安全专用产品的 销售许可证；（七）密码产品符合国家密码主管部门的耍求，來源于国家主管部门批 准的密码研制单位；（A）关键安全专用产品应获得国家相关安全认证，在选型中根据实际 需要制定安全产品选型的标准；（九）关键信息技术产品的安全功能模块应获得国家相关安全认证，在 选型屮根据实际需耍制定信息技术产品选型的标准。第八节自行软件开发管理（-）应确保开发环境22、与实际运行环境物理分开，开发人员和测试人员 分离，测试数据和测试结果受到控制；（二）应制定软件开发管理制度，明确说明开发过程的控制方法和人员 行为准则；（三）应制定代码编写安全规范，耍求开发人员参照规范编写代码;（四）应确保提供软件设计的相关文档和使用指南，并由专人负责保（五）应确保对程序资源库的修改、更新、发布进行授权和批准。第九节外包软件开发管理（-）应根据开发需求检测软件质量；（-）应在软件安装之前检测软件包中可能存在的恶意代码；（三）应要求开发单位提供软件设计的相关文档和使用指南；（四）应要求开发单位提供软件源代码，并审查软件小可能存在的后 门。（五）检查代码的所有权和知识产权情况；（23、六）质量合格证和所进行的工作的精确度；（七）在第三方发生故障的情况下，有第三方备份保存；（A）进行质量审核；（九）在合同上冇代码质量方而的要求；（十）在安装2而进行测试以检测特洛伊代码；（十一） 提供源代码以及相关设计、实施文档；（十二） 重要的项目建设中还要对源代码进行审核。第十节工程实施管理（-）应指定或授权专门的部门或人员负责工程实施过程的管理；（二）应制定详细的工程实施方案控制实施过程，并要求工程实施单位 能正式地执行安全工程过程；（三）应制定工程实施方面的管理制度，明确说明实施过程的控制方法和人员行为准则。第十一节测试验收管理（-）应委托公正的第三方测试单位对系统进行安全性测试，并出24、具安 全性测试报告；（二）在测试验收前应根据设计方案或合同要求等制订测试验收方案， 在测试验收过程中应详细记录测试验收结杲，并形成测试验收报告;（三）应对系统测试验收的控制方法和人员行为准则进行书面规定；（四）应指定或授权专门的部门负责系统测试验收的管理，并按照管 理规定的耍求完成系统测试验收工作；（五）应组织相关部门和相关人员对系统测试验收报告进行审定，并签 字确认。第十二节系统交付管理（-）应制定详细的系统交付清单，并根据交付清单对所交接的设备、 软件和文档等进行清点；（二）应对负责系统运行维护的技术人员进行相应的技能培训；（三）应确保捉供系统建设过程屮的文档和指导用户进行系统运行维 护的25、文档；（四）应对系统交付的控制方法和人员行为准则进行书面规定；（五）应指定或授权专门的部门负责系统交付的管理工作，并按照管理 规定的要求完成系统交付工作。第十三节系统备案管理（-）指定XXX部门或人员负责管理系统定级的相关材料，并控制这些 材料的使用；（-）应将系统等级及相关材料报系统主管部门备案；（三）应将系统等级及其他要求的备案材料报相应公安机关备案。第十四节等级测评管理（-）在系统运行过程中，至少每年对3级系统进行一次等级测评，发 现不符合相应等级保护标准要求的及时整改；（二）应在系统发生变更时及时对系统进行等级测评，发现级别发生变 化的及时调整级别并进行安全改造，发现不符合相应等级保护26、标准 要求的及时整改；（三）应选择具有国家相关技术资质和安全资质的测评单位进行等级 测评;（四）耍求技术测评机构提供相关材料。包括营业执照、声明、证明及 资质材料等；（五）与测评机构签订保密协议；（六）要求测评机构制定技术检测方案；（七）具体项目将指定具体人员负责等级测评的管理。第十五节安全服务商选择管理（-）应确保安全服务商的选择符合国家的冇关规定；（二）应与选定的安全服务商签订与安全相关的协议，明确约定相关责 任；（三）应确保选定的安全服务商提供技术培训和服务承诺，必要的与其 签订服务合同。（四）系统集成商的资质要求：至少要拥有国家权威部门认可的系统一 级集成资质，对于较为重要的系统应右更27、高级别的集成资质；（五）工商要求：g. 产品、系统或服务提供单位的营业执照和税务登记在合法期 限内；h. 产品、系统或服务提供商的产品、系统或服务的提供资格； i连续赢利期限要求；J.连续无相关法律诉讼年限要求；k.没有发生重大管理、技术人员变化和流动的期限耍求；l. 没冇发生主业变化期限要求。（六）安全服务商资质：至少应具有国家一级安全服务资质，对于较为 重要的系统应冇更高级别的安全服务资质；（七）人员资质要求：系统集成人员、安全服务人员以及相关管理人员 应获得国家权威部门颁发的信息安全人员资质认证；（八）其它耍求：系统符合国家相关法律、法规，按照相关主管部门的 技术管理规定对非法信息和恶意28、代码进行有效控制，按照有关规定 对设备进行控制，使Z不被作为非法攻击的跳板。第十六节项目验收与投产安全管理标准第十三条安全测评应制定研发、投产与验收等过程中的安全测试与验收人纲，在项目实施完 成后，由项口用户单位、项口开发单位共同组织进行测试。在测试大纲屮应至 少包括以下安全性测试和评估要求：（一）配置管理：项目实施单位应使用配置管理系统，并提供配置管理 文档；（二）交付程序：应将把系统及其部分交付给用户的程序文档化；（三）安装、生成和启动程序：应制定安装、生成和启动程序，并保证 最终产生了安全的配置；（四）安全功能测试：对系统的安全功能进行测试，以保证其符合详细 设计并对详细设计进行检查，保29、证其符合概耍设计以及总体安全 方案；（五）系统管理员指南：应提供如何安全地管理系统和如何高效地利用 系统安全功能的优点和保护功能等详细准确的信息；（六）系统用户指南：必须包含两方面的内容：首先，它必须解释那些 用户可见的安全功能的用途以及如何使用它们，这样用户可以持 续有效地保护他们的信息；其次，它必须解释在维护系统的安全 时用户所能起的作用；（七）安全功能强度评估：功能强度分析应说明以概率或排列机制（如, 口令字或哈希函数）实现的系统安全功能。例如，对口令机制的 功能強度分析可以通过说明口令空间是否有足够大来指出口令 字功能是否满足强度要求；（A）脆弱性分析：应分析所采取的安全对策的完备性（30、安全对策是否 可以满足所有的安全需求）以及安全对策之间的依赖关系。通常 可以使用穿透性测试来评估上述内容，以判断它们在实际应用中 是否会被利用來削弱系统的安全。（九）测试完成后，项目测试小组应提交测试报告，其中应包括安 全性测试和评估的结果。不能通过安全性测试评估的，由测试小 组提出修改意见，项目实施单位应作进一步修改。第十四条安全试运行测试通过后，由项目用户单位组织进入试运行阶段，应有一系列的安全措 施来维护系统安全，它包括处理系统在现场运行时的安全问题和采取措施保证 系统的安全水平在系统运行期间不会下降。具体工作如下：（一）监测系统的安全性能，包括事故报告；（-）进行用户安全培训，并对培训31、进行总结；（三）监视与安全有关的部件的拆除处理；（四）监测新发现的对系统安全的攻击、系统所受威胁的变化以及其它 与安全风险有关的因素；（五）监测安全部件的备份支持，支持与系统安全有关的维护培训；（六）评估大大小小的系统改动对安全造成的影响；（七）监测系统物理和功能配置，包括运行过程，因为一些不太显限的 改变口J能影响系统的安全风险。（A）在试运行情况报告屮应对上述工作做总结性描述。第十五条安全验收在项H建设要求中规定的系统试运行过程结束后，项口开发单位可以组织 用户单位人员参加的项目验收组对项目进行验收。验收应增加以下安全内容：（一）项目是否已达到项目任务I沖制定的总休安全目标和安全指标， 实32、现全部安全功能；（二）采用技术是否符合国家、行业有关安全技术标准及规范；（三）是否实现验收测评的安全技术指标；（四）项目建设过程中的各种文档资料是否规范、齐全；（五）在验收报告屮也应在以下条目屮反映对系统安全性验收的情况：（六）项目设计总体安全目标及主要内容；（七）项口釆用的关键安全技术；（A）验收专家组中的安全专家及安全验收评价意见。第十六条投产后的监控与跟踪项目投产后还应进行一段时间的监控和跟踪，应用系统的管理人员负责监 控和跟踪工作，具体包描以下要求：（一）应对系统关键安全性能的变化情况进行监控，了解其变化的原 因；（-）对系统安全事故的发生、应急、处理、恢复、总结进行全程跟踪, 并编写33、详细的记录；（三）监控新增的安全部件对系统安全的影响；（四）跟踪安全有关部件的拆除处理情况，并监控随后系统安全性的变 化；（五）对新发现的对系统安全的攻击进行监控，记录其发生的频率以及 对系统的影响；（六）监控系统所受威胁的变化，评估其发生的可能性以及可能造成的 影响；（七）监控并跟踪安全部件的备份情况；（八）监控运行程序的变化，并记录这些变化对系统安全的影响；（九）监控系统物理环境的变化情况，并记录这些变化对系统安全的影 响；（十）监控安全配置的变化情况，并记录这些变化对系统安全的影响；（十一）对于上述所有监控和跟踪内容，如果对系统安全有不良影响处，都应在系统设计、配置、运行管理上做和应改进34、，以保证系 统安全、正常运行。第十七条各职能管理部门在进行TCP/IP网络和系统建设项冃立项申请过 程中，应由信息安全工作组对项目提出安全建议。第十八条 根据项目立项中的项目立项申请、立项论证、立项评估和立项审 批四个程序，都应结合各类的安全技术规范。第十九条各职能管理部门、各直屈单位进行项目立项申请时，在捉交项 目立项建议书等相关资料中应增加以下安全方面的资料：（-） 系统安全需求分析说明书；（-） 系统安全功能说明书；（三） 系统中采用的安全设备以及性能指标参数。第二十条对提交立项巾请的项目，在进行项目立项论证和评佔的过程中， 应包插项目安全建设的论证和评估，论证和评估的重点在本办法第三章35、中详述。第二十i条 通过项目安全建设的立项论证和评估，可作为公司审批项目 立项的重要依据之一。第三章评估和论证安全管理第二十二条 各职能管理部门进行项目立项申请前，在进行项目规划和设 计的过程屮，应参照各安全技术规范屮的相关技术要求进行安全建设。第二十三条 项目安全性论证对项目的安全需求分析、安全功能说明、安 全设备、性能指标以及技术方案的技术可行性进行总体分析和审计。第二十四条 项口立项论证和评佔过程屮，信息安全工作组负责IT项口 安全性建设的技术部分论证和评估。第二十五条 在提交项目立项申请时，应在技术方案中增加安全方面的说 明和文档，内容包括：（一）根据安全规范屮的要求，系统在建设过程屮36、进行安全部署的说 明；（二）根据安全规范屮的要求，系统在建设过程屮无法实现的安全部署 的说明和论证；（三）系统在建设过程屮具体的安全功能以及安全功能的实现方法和 技术；（四）系统在建设过程中所采用的安全设备的品牌、型号、性能指标说 明以及对于业务系统的影响分析。第二十六条 IT项目安全性的论证和评估主要关注以下方面的内容：（）1T项目建设中网络规划中安全域的划分、网络兀余、网络传输安 全、网络访问控制、网络边界安全、远程访问安全；（二）IT项口建设屮系统的性能、容量以及系统和业务的兼容性；（三）IT项口建设屮应用系统屮身份验证、角色访问控制、数据加密、 备份、志审计等安全功能；（四）IT项目建37、设中应用系统是否有后门、漏洞和不安全的隐患。第四章附则第一节文挡信息第二十七条 木制度由网络室制定，并负责解释和修订。由信息安全工作 组讨论通过，发布执行。第二十八条 本制度门发布Z日起执行。第二节版本控制第二十九条对本制度所冇修改及审批、发布都按时间顺序记录在此。版本日期修改内容修改人审批人VI. 02010 年 9 月 1 H文档定稿第三节其他信息第三十条本制度小所称的人员角色职责由齐部门人员分别担任，可能现有 岗位的员工在不同时期所担任的角色不同，甚至身兼多种角色，这种情况下该员 工应该履行所兼每种角色的安全职责。第三十一条 秤*单位安全管理制度汇编定义了信息安全体系的整体 结构、安全组织及各角色岗位的职责、以及覆盖各项安全内容的安全管理制度。 所有员工均应把*单位安全管理制度汇编的规定作为信息安全工作的基木 要求，其内容一经颁布将在一定时间内t期有效，其涉及的所有部门或个人均需 对其负责。