1　范圍

    GB30976.1-2014規(guī)定了工業(yè)控制系統(tǒng)（SCADA、DCS、PLC、PCS等）信息安全評估的目標、評估的內(nèi)容、實施過程等。適用于系統(tǒng)設(shè)計方、設(shè)備生產(chǎn)商、系統(tǒng)集成商、工程公司、用戶、資產(chǎn)所有人以及評估認證機構(gòu)等對工業(yè)控制系統(tǒng)的信息安全進行評估時使用。

    2　工業(yè)控制系統(tǒng)信息安全概述

    工業(yè)控制系統(tǒng)的信息安全特性取決于其設(shè)計、管理、健壯性和環(huán)境條件等各種因素。系統(tǒng)信息安全的評估應(yīng)包括在系統(tǒng)生命周期內(nèi)的設(shè)計開發(fā)、安裝、運行維護、退出使用等各階段與系統(tǒng)相關(guān)的所有活動。危險引入點是工業(yè)控制系統(tǒng)與非安全設(shè)備、系統(tǒng)和網(wǎng)絡(luò)的接入點。危險源可能來自于工業(yè)控制系統(tǒng)系統(tǒng)外部，也可能來自于工業(yè)控制系統(tǒng)系統(tǒng)內(nèi)部。安全威脅通過危險引入點并利用傳播途徑可能對受體造成傷害。危險后果的受體是指受到破壞時所侵害的客體,包括人員、環(huán)境和資產(chǎn)。評估分為管理評估和系統(tǒng)能力（技術(shù)）評估。管理評估分為三個級別，分別為管理等級（management level）的ML1，ML2，ML3，由低到高分別對應(yīng)低級、中級和高級。具體的評估內(nèi)容見GB30976.1-2014第5章，和附錄A.1。系統(tǒng)能力（技術(shù)）評估分為四個級別，由小到大分別對應(yīng)系統(tǒng)能力等級（capability level）的CL1，CL2，CL3和CL4，具體的評估內(nèi)容見GB30976.1-2014第6章，和附錄B.1。綜合管理評估和GB/T 30976.1-2014系統(tǒng)能力評估的結(jié)果，得到工業(yè)控制系統(tǒng)的評估結(jié)果，亦即信息安全等級SL1，SL2，SL3，SL4），見表1。

    3　組織機構(gòu)管理評估

    3.1　安全方針

    目標：依據(jù)業(yè)務(wù)要求和相關(guān)法律法規(guī)提供管理指導并支持信息安全。

    （1）信息安全方針文件

    信息安全方針文件應(yīng)由管理者批準、發(fā)布并傳達給所有員工和外部相關(guān)方。

    （2）信息安全方針的評審

    應(yīng)按計劃的時間間隔或當重大變化發(fā)生時進行信息安全方針評審，以確保持續(xù)的適宜性、充分性和有效性。

    3.2　信息安全組織機構(gòu)

    3.2.1　內(nèi)部組織機構(gòu)

    目標：管理組織機構(gòu)范圍內(nèi)信息安全。

    （1）信息安全的管理承諾

    管理者應(yīng)通過清晰的說明、可證實的承諾、明確的信息安全職責分配及確認，來積極支持組織機構(gòu)內(nèi)的安全。

    （2）信息安全協(xié)調(diào)

    信息安全活動應(yīng)由來自組織機構(gòu)不同部門并具備相關(guān)角色和工作職責的代表進行協(xié)調(diào)。

    （3）信息安全職責的分配

    所有的信息安全職責應(yīng)予以清晰定義。

    （4）信息處理設(shè)施的授權(quán)過程

    應(yīng)為新的信息處理設(shè)施定義和實施一個管理授權(quán)過程。

    （5）保密性協(xié)議

    應(yīng)識別并定期評審反映組織機構(gòu)信息保護需要的保密性或不泄露協(xié)議的要求。

    （6）與政府部門的聯(lián)系

    應(yīng)保持與政府相關(guān)部門的適當聯(lián)系。

    （7）信息安全的獨立評審

    組織機構(gòu)管理信息安全的方法及其實施（例如信息安全的控制目標、控制措施、策略、過程和規(guī)程）應(yīng)按計劃的時間間隔進行獨立評審，當安全實施發(fā)生重大變化時，也要進行獨立評審。

    3.2.2　外部方

    目標：保持組織機構(gòu)被外部方訪問、處理、管理或與外部進行通信的信息和信息處理設(shè)施的安全。

    （1）與外部方相關(guān)風險的識別

    應(yīng)識別涉及外部方業(yè)務(wù)過程中工業(yè)控制系統(tǒng)的信息和信息處理設(shè)施的風險，并在允許訪問前實施適當?shù)目刂拼胧?br/>
    （2）處理與顧客有關(guān)的安全問題

    應(yīng)在允許顧客訪問組織機構(gòu)信息或資產(chǎn)之前處理所有確定的安全要求。

    （3）處理第三方協(xié)議中的安全問題

    涉及訪問、處理或管理組織機構(gòu)的信息或信息處理設(shè)施以及與之通信的第三方協(xié)議，或在信息處理設(shè)施中增加產(chǎn)品或服務(wù)的第三方協(xié)議，應(yīng)涵蓋所有相關(guān)的安全要求。

    3.3　資產(chǎn)管理

    3.3.1　對資產(chǎn)負責

    目標：實現(xiàn)和保持對組織機構(gòu)資產(chǎn)的適當保護。

    （1）資產(chǎn)清單

    應(yīng)清晰地識別所有資產(chǎn)，編制并維護所有重要資產(chǎn)的清單。

    （2）資產(chǎn)責任人

    與信息處理設(shè)施有關(guān)的所有信息和資產(chǎn)應(yīng)由組織機構(gòu)的指定部門或人員承擔責任。

    （3）資產(chǎn)的可接受使用

    與信息處理設(shè)施有關(guān)的信息和資產(chǎn)可接受使用規(guī)則應(yīng)被確定、形成文件并加以實施。

    3.3.2　信息分類

    目標：確保信息受到適當級別的保護。

    （1）分類指南

    信息應(yīng)按照其對組織機構(gòu)的價值、法律要求、敏感性和關(guān)鍵性予以分類。

    （2）信息的標記和處理

    應(yīng)按照組織機構(gòu)所采納的分類機制建立和實施一組合適的信息標記和處理規(guī)程。

    3.4　人力資源安全

    3.4.1　任用之前

    目標：應(yīng)確保雇員、承包方人員和第三方人員理解其職責、考慮對其承擔的角色是適合的，以降低設(shè)施被竊、欺詐和誤用的風險。

    （1）角色和職責

    雇員、承包方人員和第三方人員的安全角色和職責應(yīng)按組織機構(gòu)的信息安全方針定義并形成文件。

    （2）審查

    關(guān)于所有任用的候選者、承包方人員和第三方人員的背景驗證核查應(yīng)按照相關(guān)法律法規(guī)、道德規(guī)范和對應(yīng)的業(yè)務(wù)要求、被訪問信息的類別和察覺的風險來執(zhí)行。

    （3）任用條款和條件

    作為他們合同義務(wù)的一部分，雇員、承包方人員和第三方人員應(yīng)同意并簽署他們的任用合同的條款和條件，這些條款和條件聲明他們在組織機構(gòu)中的信息安全職責。

    3.4.2　任用中

    確保所有的雇員、承包方人員和第三方人員知悉信息安全威脅和利害關(guān)系、他們的職責和義務(wù)，并準備好在其正常工作過程中支持組織機構(gòu)的安全方針，以減少人為出錯的風險。

    （1）管理職責

    管理者應(yīng)要求雇員、承包方人員和第三方人員按照組織機構(gòu)已建立的方針策略和規(guī)程對安全盡心盡力。

    （2）信息安全意識、教育和培訓

    組織機構(gòu)的所有雇員，適當時，包括承包方人員和第三方人員，應(yīng)受到與其工作職能相關(guān)的適當?shù)囊庾R培訓和組織機構(gòu)方針策略及規(guī)程的定期更新培訓。

    （3）違規(guī)處理過程

    對于安全違規(guī)的雇員，應(yīng)有一個正式的紀律處理過程。

    3.4.3　任用的終止或變更

    目標：確保雇員、承包方人員和第三方人員以一個規(guī)范的方式退出一個組織機構(gòu)或改變其任用關(guān)系。

    （1）終止職責

    任用終止或任用變更的職責應(yīng)清晰地定義和分配。

    （2）資產(chǎn)的歸還

    所有的雇員、承包方人員和第三方人員在終止任用、合同或協(xié)議時應(yīng)歸還他們使用的所有組織機構(gòu)資產(chǎn)。

    （3）撤銷訪問權(quán)

    所有雇員、承包方人員和第三方人員對信息和信息處理設(shè)施的訪問權(quán)應(yīng)在任用、合同或協(xié)議終止時刪除，或在變化時調(diào)整。

    3.5　物理和環(huán)境安全

    3.5.1　安全區(qū)域

    目標：防止對組織機構(gòu)場所和信息的未授權(quán)物理訪問、損壞和干擾。

    （1）物理安全周邊

    應(yīng)使用安全周邊的入口或有人管理的接待臺等屏障來保護包含工業(yè)控制系統(tǒng)設(shè)施的區(qū)域。

    （2）物理入口控制

    安全區(qū)域應(yīng)由適合的人員控制所保護，以確保只有授權(quán)的人員才允許訪問。

    （3）辦公室、房間和設(shè)施的安全保護

    應(yīng)為辦公室、房間和設(shè)施設(shè)計并采取物理安全措施。

    （4）外部和環(huán)境威脅的安全防護

    為防止火災(zāi)、洪水、地震、爆炸、社會動蕩和其他形式的自然或人為災(zāi)難引起的破壞，應(yīng)設(shè)計和采取物理保護措施。

    （5）在安全區(qū)域工作

    應(yīng)設(shè)計和應(yīng)用用于安全區(qū)域工作的物理保護和指南。

    （6）公共訪問、交接區(qū)安全

    訪問點（例如交接區(qū)）和未授權(quán)人員可進入辦公場所的其他點應(yīng)加以控制，如果可能，應(yīng)與信息處理設(shè)施隔離，以避免未授權(quán)訪問。

    3.5.2　設(shè)備安全

    目標：防止設(shè)備資產(chǎn)的丟失、損壞、失竊或危及資產(chǎn)安全以及相關(guān)組織機構(gòu)活動的中斷。

    （1）設(shè)備安置和保護

    應(yīng)安置或保護設(shè)備，以減少由環(huán)境威脅和危險所造成的各種風險以及未授權(quán)訪問的機會。

    （2）支持性設(shè)施

    應(yīng)保護設(shè)備使其免于由支持性設(shè)施的失效而引起的電源故障和其他中斷。

    （3）布纜安全

    應(yīng)保證傳輸數(shù)據(jù)或支持信息服務(wù)的電源布纜和通信布纜免受竊聽或損壞。

    （4）設(shè)備維護

    設(shè)備應(yīng)予以正確地維護，以確保其持續(xù)的可用性和完整性。

    （5）組織機構(gòu)場所外的設(shè)備安全

    應(yīng)對組織機構(gòu)場所外的設(shè)備采取安全措施，要考慮工作在組織機構(gòu)場所以外的不同風險。

    （6）設(shè)備的安全處置或再利用

    包含儲存介質(zhì)的設(shè)備的所有項目應(yīng)進行核查，以確保在處置之前，任何敏感信息和注冊軟件已被刪除或安全地寫覆蓋。

    （7）資產(chǎn)的移動

    設(shè)備、信息或軟件在授權(quán)之前不應(yīng)帶出組織機構(gòu)場所。

    3.6　通信和操作管理

    3.6.1　操作規(guī)程和職責

    目標：確保對信息處理設(shè)施進行正確、安全的操作。

    （1）文件化操作規(guī)程

    操作規(guī)程應(yīng)形成文件，保持并對所有需要的用戶可用。

    （2）變更管理

    對信息處理設(shè)施和系統(tǒng)的變更應(yīng)加以控制。

    （3）責任劃分

    各類責任及職責范圍應(yīng)加以劃分，以降低未授權(quán)或無意識的修改或不當使用組織機構(gòu)資產(chǎn)的機會。

    （4）開發(fā)、測試和運行設(shè)施分離

    開發(fā)、測試和運行設(shè)施應(yīng)分離，以減少未授權(quán)訪問或改變運行系統(tǒng)的風險。

    3.6.2　第三方服務(wù)交付管理

    目標：實施和保持符合第三方服務(wù)交付協(xié)議的信息安全和服務(wù)交付的適當水準。

    （1）服務(wù)交付

    應(yīng)確保第三方實施、運行和保持包含在第三方服務(wù)協(xié)議中的安全控制措施、服務(wù)定義和交付水準。

    （2）第三方服務(wù)的監(jiān)視和評審

    應(yīng)定期監(jiān)視和評審由第三方提供的服務(wù)、報告和記錄，審核也應(yīng)定期執(zhí)行。

    （3）第三方服務(wù)的變更管理

    應(yīng)管理服務(wù)提供的變更，包括保持和改進現(xiàn)有的信息安全策略、規(guī)程和控制措施，并考慮到業(yè)務(wù)系統(tǒng)和涉
及過程的關(guān)鍵程度及風險的再評估。

    3.6.3　系統(tǒng)規(guī)劃和驗收

    目標：將系統(tǒng)失效的風險降至最小。

    （1）容量管理

    資源的使用應(yīng)加以監(jiān)視、調(diào)整，并作出對于未來容量要求的預(yù)測，以確保擁有所需的系統(tǒng)性能。

    （2）系統(tǒng)驗收

    應(yīng)建立對新信息系統(tǒng)、升級及新版本的驗收準則，并且在開發(fā)中和驗收前對系統(tǒng)進行適當?shù)臏y試。

    3.6.4　防范惡意和移動代碼

    目標：保護軟件和信息的完整性。

    （1）控制惡意代碼

    應(yīng)實施惡意代碼的檢測、預(yù)防和恢復的控制措施，以及適當?shù)靥岣哂脩舭踩庾R的規(guī)程。

    （2）控制移動代碼

    當授權(quán)使用移動代碼時，其配置應(yīng)確保授權(quán)的移動代碼按照清晰定義的安全策略運行，阻止執(zhí)行未授權(quán)的移動代碼。

    3.6.5　備份

    目標：保持信息和信息處理設(shè)施的完整性及可用性。

    （1）信息備份

    應(yīng)按照已設(shè)的備份策略，定期備份和測試信息和軟件。

    3.6.6　網(wǎng)絡(luò)安全管理

    目標：確保網(wǎng)絡(luò)中信息的安全性并保護支持性的基礎(chǔ)設(shè)施。

    （1）網(wǎng)絡(luò)控制

    應(yīng)充分管理和控制網(wǎng)絡(luò)，以防止威脅的發(fā)生，維護使用網(wǎng)絡(luò)的系統(tǒng)和應(yīng)用程序的安全，包括傳輸中的信息。

    （2）網(wǎng)絡(luò)服務(wù)安全

    安全特性、服務(wù)級別以及所有網(wǎng)絡(luò)服務(wù)的管理要求應(yīng)予以確定并包括在所有網(wǎng)絡(luò)服務(wù)協(xié)議中。無論這些服務(wù)是由內(nèi)部提供的還是外包的。

    3.6.7　介質(zhì)處置

    目標：防止資產(chǎn)遭受未授權(quán)泄露、修改、移動、或銷毀以及業(yè)務(wù)活動的中斷。

   （1）可移動介質(zhì)的管理

    應(yīng)有適當?shù)目梢苿咏橘|(zhì)的管理規(guī)程。

   （2）介質(zhì)的處置

    不再需要的介質(zhì)，應(yīng)使用正式的規(guī)程可靠并安全地處置。

   （3）信息處理規(guī)程

    應(yīng)建立信息的處理及存儲規(guī)程，以防止信息的未授權(quán)的泄漏或不當使用。

   （4）系統(tǒng)文件安全

    應(yīng)保護系統(tǒng)文件以防止未授權(quán)的訪問。

    3.6.8　信息的交換

    目標：保持組織機構(gòu)內(nèi)以及與組織機構(gòu)外信息和軟件交換的安全。

    （1）信息交換策略和規(guī)程

    應(yīng)有正式的交換策略、規(guī)程和控制措施，以保護通過使用各種類型通信設(shè)施的信息交換。

    （2）交換協(xié)議

    應(yīng)建立組織機構(gòu)與外部方交換信息和軟件的協(xié)議。

    （3）運輸中的物理介質(zhì)

    包含信息的介質(zhì)在組織機構(gòu)的物理邊界以外運送時，應(yīng)防止未授權(quán)的訪問、不當使用或毀壞。

    （4）電子消息發(fā)送

    包含在電子消息發(fā)送中的信息應(yīng)給予適當?shù)谋Ｗo。

    （5）業(yè)務(wù)信息系統(tǒng)

    應(yīng)建立并實施策略和規(guī)程，以保護與業(yè)務(wù)信息系統(tǒng)互聯(lián)相關(guān)的信息。

    3.6.9　監(jiān)視

    目標：檢測未經(jīng)授權(quán)的信息處理活動。

    （1）審計記錄

    應(yīng)產(chǎn)生記錄用戶活動、異常情況和信息安全事態(tài)的審計日志，并保持一個已設(shè)的周期以支持將來的調(diào)查和訪問控制監(jiān)視。

    （2）監(jiān)視系統(tǒng)的使用

    應(yīng)建立信息處理設(shè)施的監(jiān)視使用規(guī)程，并經(jīng)常評審監(jiān)視活動的結(jié)果。

    （3）日志信息的保護

    記錄日志的設(shè)施和日志信息應(yīng)加以保護，以防止篡改和未授權(quán)的訪問。

    （4）管理員和操作員日志

    系統(tǒng)管理員和系統(tǒng)操作員的活動應(yīng)記入日志。

    （5）故障日志

    故障應(yīng)被記錄、分析，并采取適當?shù)拇胧?br/>
    （6）時鐘同步

    一個組織機構(gòu)或安全域內(nèi)的所有相關(guān)信息處理設(shè)施的時鐘應(yīng)使用已設(shè)的精確時間源進行同步。

    3.7　訪問控制

    3.7.1　訪問控制的業(yè)務(wù)要求

    目標：控制對信息的訪問。

    （1）訪問控制策略

    訪問控制策略應(yīng)建立、形成文件，并基于業(yè)務(wù)和訪問的安全要求進行評審。

    3.7.2　用戶訪問管理

    目標：確保授權(quán)用戶訪問信息系統(tǒng)，并防止未授權(quán)的訪問。

    （1）用戶注冊

    應(yīng)有正式的用戶注冊及注銷規(guī)程，來授權(quán)和撤銷對所有信息系統(tǒng)及服務(wù)的訪問。

    （2）特殊權(quán)限管理

    應(yīng)限制和控制特殊權(quán)限的分配及使用。

    （3）用戶口令管理

    應(yīng)通過正式的管理過程控制口令的分配。

    （4）用戶訪問權(quán)的復查

    管理者應(yīng)定期使用正式過程對用戶的訪問權(quán)進行復查。

    3.7.3　用戶職責

    目標：防止未授權(quán)用戶對信息和信息處理設(shè)施的訪問、損害或竊取。

    （1）口令使用

    應(yīng)要求用戶在選擇及使用口令時，遵循良好的安全習慣。

    （2）無人值守的用戶設(shè)備

    用戶應(yīng)確保無人值守的用戶設(shè)備有適當?shù)谋Ｗo。

    （3）清空桌面和屏幕策略

    應(yīng)采取清空桌面上文件、可移動存儲介質(zhì)的策略和清空信息處理設(shè)施屏幕的策略。

    3.7.4　網(wǎng)絡(luò)訪問控制

    目標：防止對網(wǎng)絡(luò)服務(wù)的未授權(quán)訪問。

    （1）網(wǎng)絡(luò)服務(wù)的策略

    用戶應(yīng)僅能訪問已獲專門授權(quán)使用的服務(wù)。

    （2）外部連接的用戶鑒別

    應(yīng)使用適當?shù)蔫b別方法以控制遠程用戶的訪問。

    （3）網(wǎng)絡(luò)上的設(shè)備標識

    應(yīng)考慮自動設(shè)備標識，將其作為鑒別特定位置和設(shè)備連接的方法。

    （4）遠程診斷和配置端口的保護

    對于診斷和配置端口的物理和邏輯訪問應(yīng)加以控制。

    （5）網(wǎng)絡(luò)隔離

    應(yīng)在網(wǎng)絡(luò)中隔離信息服務(wù)、用戶及信息系統(tǒng)。

    （6）網(wǎng)絡(luò)連接控制

    對于共享的網(wǎng)絡(luò)，特別是越過組織機構(gòu)邊界的網(wǎng)絡(luò)，用戶的聯(lián)網(wǎng)能力應(yīng)按照訪問控制策略和業(yè)務(wù)應(yīng)用要求加以限制。

    （7）網(wǎng)絡(luò)路由控制

    應(yīng)在網(wǎng)絡(luò)中實施路由控制，以確保計算機連接和信息流不違反業(yè)務(wù)應(yīng)用的訪問控制策略。

    3.7.5　操作系統(tǒng)訪問控制

    目標：防止對操作系統(tǒng)的未授權(quán)訪問。

    （1）安全登錄規(guī)程

    訪問操作系統(tǒng)應(yīng)通過安全登錄規(guī)程加以控制。

    （2）用戶標識和鑒別

    所有用戶應(yīng)有唯一的，專供其個人使用的標識符（用戶ID），選擇一種適當?shù)蔫b別技術(shù)證實用戶所宣稱的身份。

    （3）口令管理系統(tǒng)

    口令管理系統(tǒng)宜是交互式的，并應(yīng)確保優(yōu)質(zhì)的口令。

    （4）系統(tǒng)實用工具的使用

    對于可能超越系統(tǒng)和應(yīng)用程序控制措施的實用工具的使用應(yīng)加以限制并嚴格控制。

    （5）會話超時

    不活動會話應(yīng)在一個設(shè)定的休止期后關(guān)閉。

    （6）聯(lián)機時間的限定

    應(yīng)使用聯(lián)機時間的限制，為高風險應(yīng)用程序提供額外的安全。

    3.7.6　應(yīng)用和信息訪問控制

    目標：防止對應(yīng)用系統(tǒng)中信息的未授權(quán)訪問。

    （1）信息訪問限制

    用戶和支持人員對信息和應(yīng)用系統(tǒng)功能的訪問應(yīng)依照已確定的訪問控制策略加以限制。

    （2）敏感系統(tǒng)隔離

    敏感系統(tǒng)應(yīng)有專用的（隔離的）運算環(huán)境。

    3.7.7　移動計算和遠程工作

    目標：確保使用移動計算和遠程工作設(shè)施時的信息安全。

    （1）移動計算和通信

    應(yīng)有正式策略并且采用適當?shù)陌踩胧苑婪妒褂靡苿佑嬎愫屯ㄐ旁O(shè)施時所造成的風險。

    （2）遠程工作

    應(yīng)為遠程工作活動開發(fā)和實施策略、操作計劃和規(guī)程。

    3.8　信息系統(tǒng)獲取、開發(fā)和維護

    3.8.1　信息系統(tǒng)的安全要求

    目標：確保安全是信息系統(tǒng)的一個有機組成部分。

    （1）安全要求分析和說明

    在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務(wù)要求陳述中，應(yīng)規(guī)定對安全控制措施的要求。

    3.8.2　應(yīng)用中的正確處理

    目標：防止應(yīng)用系統(tǒng)中的信息的差錯、遺失、未授權(quán)的修改或誤用。

    （1）輸入數(shù)據(jù)確認

    應(yīng)對輸入應(yīng)用系統(tǒng)的數(shù)據(jù)加以確認，以確保數(shù)據(jù)是正確且恰當?shù)摹?br/>
    （2）內(nèi)部處理的控制

    確認核查應(yīng)整合到應(yīng)用中，以檢驗由于處理的差錯或故意的行為造成的信息的任何訛誤。

    （3）消息完整性

    應(yīng)用中確保真實性和保護消息完整性的要求應(yīng)得到識別，適當?shù)目刂拼胧┮矐?yīng)得到識別并實施。

    （4）輸出數(shù)據(jù)確認

    從應(yīng)用系統(tǒng)輸出的數(shù)據(jù)應(yīng)加以確認，以確保對所存儲信息的處理是正確的且適于環(huán)境的。

    3.8.3　密碼控制

    目標：通過密碼方法保護信息的保密性、真實性或完整性。

    （1）使用密碼控制的策略

    應(yīng)開發(fā)和實施使用密碼控制措施來保護信息的策略。

    （2）密鑰管理

    應(yīng)有密鑰管理以支持組織機構(gòu)使用密碼技術(shù)。

    3.8.4　系統(tǒng)文件的安全

    目標：確保系統(tǒng)文件的安全。

    （1）運行軟件的控制

    應(yīng)有規(guī)程來控制在運行系統(tǒng)上安裝軟件。

    （2）系統(tǒng)測試數(shù)據(jù)的保護

    測試數(shù)據(jù)應(yīng)認真地加以選擇、保護和控制。

    （3）對程序源代碼的訪問控制

    應(yīng)限制訪問程序源代碼。

    3.8.5　開發(fā)和支持過程中的安全

    目標：維護應(yīng)用軟件和信息的安全。

    （1）變更控制規(guī)程

    應(yīng)使用正式的變更控制規(guī)程來控制變更的實施。

    （2）操作系統(tǒng)變更后應(yīng)用的技術(shù)評審

    當操作系統(tǒng)發(fā)生變更時，應(yīng)對業(yè)務(wù)的關(guān)鍵應(yīng)用進行評審和測試，以確保對組織機構(gòu)的運行和安全沒有負面影響。

    （3）軟件包變更的限制

    應(yīng)對軟件包的修改進行勸阻，只限于必要的變更，且對所有的變更加以嚴格控制。

    （4）信息泄露

    應(yīng)防止信息泄露的可能性。

    （5）外包軟件開發(fā)

    組織機構(gòu)應(yīng)管理和監(jiān)視外包軟件的開發(fā)。

    3.8.6　技術(shù)脆弱性管理

    目標：降低利用公布的技術(shù)脆弱性導致的風險。

    （1）技術(shù)脆弱性的控制

    應(yīng)及時得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息，評價組織機構(gòu)對這些脆弱性的暴露程度，并采取適當?shù)拇胧﹣硖幚硐嚓P(guān)的風險。

    3.9　信息安全事件管理

    3.9.1　報告信息安全事態(tài)和弱點

    目標：確保與信息系統(tǒng)有關(guān)的信息安全事態(tài)和弱點能夠以某種方式傳達，以便及時采取糾正措施。

    （1）報告信息安全事態(tài)

    信息安全事態(tài)應(yīng)盡可能快地通過適當?shù)墓芾砬肋M行報告。

    （2）報告安全弱點

    應(yīng)要求信息系統(tǒng)和服務(wù)的所有雇員、承包方人員和第三方人員記錄并報告他們觀察到的或懷疑的任何系統(tǒng)或服務(wù)的安全弱點。

    3.9.2　信息安全事件和改進的管理

    目標：確保采用一致和有效的方法對信息安全事件進行管理。

    （1）職責和規(guī)程

    應(yīng)建立管理職責和規(guī)程，以確保快速、有效和有序地響應(yīng)信息安全事件。

    （2）對信息安全事件的總結(jié)

    應(yīng)有一套機制量化和監(jiān)視信息安全事件的類型、數(shù)量和代價。

    （3）證據(jù)的收集

    當一個信息安全事件涉及訴訟（民事的或刑事的），需要進一步對個人或組織機構(gòu)進行起訴時，應(yīng)收集、保留和呈遞證據(jù)，以使其符合相關(guān)管轄區(qū)域?qū)ψC據(jù)的要求。

    3.10　業(yè)務(wù)連續(xù)性管理

    3.10.1　業(yè)務(wù)連續(xù)性管理的信息安全方面

    目標：防止業(yè)務(wù)活動中斷，保護關(guān)鍵業(yè)務(wù)過程免受信息系統(tǒng)重大失誤或災(zāi)難的影響，并確保他們的及時恢復。

    （1）在業(yè)務(wù)連續(xù)性管理過程中包含信息安全

    應(yīng)為貫穿于組織機構(gòu)的業(yè)務(wù)連續(xù)性開發(fā)和保持一個管理過程，以解決組織機構(gòu)的業(yè)務(wù)連續(xù)性所需的信息安全要求。

    （2）業(yè)務(wù)連續(xù)性和風險評估

    應(yīng)識別能引起業(yè)務(wù)過程中斷的事態(tài)，連同這種中斷發(fā)生的概率和影響，以及他們對信息安全所造成的后果。

    （3）制定和實施包含信息安全的連續(xù)性計劃

    應(yīng)制定和實施計劃來保持或恢復運行，以在關(guān)鍵業(yè)務(wù)過程中斷或失敗后能夠在要求的水平和時間內(nèi)確保信息的可用性。

    （4）業(yè)務(wù)連續(xù)性計劃框架

    應(yīng)保持一個唯一的業(yè)務(wù)連續(xù)性計劃框架，以確保所有計劃是一致的，能夠協(xié)調(diào)地解決信息安全要求，并為測試和維護確定優(yōu)先級。

    （5）測試、維護和再評估業(yè)務(wù)連續(xù)性計劃

    業(yè)務(wù)連續(xù)性計劃應(yīng)定期測試和更新，以確保其及時性和有效性。

    3.11　符合性

    3.11.1　符合法律要求

    目標：避免違反任何法律、法令、法規(guī)或合同義務(wù)以及任何安全要求。

    （1）可用法律的識別

    對每一個信息系統(tǒng)和組織機構(gòu)而言，所有相關(guān)的法令、法規(guī)和合同要求，以及為滿足這些要求組織機構(gòu)所采
用的方法，應(yīng)加以明確地定義、形成文件并保持更新。

    （2）知識產(chǎn)權(quán)（IPR）

    應(yīng)實施適當?shù)囊?guī)程，以確保在使用具有知識產(chǎn)權(quán)的材料和具有所有權(quán)的軟件產(chǎn)品時，符合法律、法規(guī)和合同的要求。

    （3）保護組織機構(gòu)的記錄

    應(yīng)防止重要的記錄的遺失、毀壞和偽造，以滿足法令、法規(guī)、合同和業(yè)務(wù)的要求。

    （4）數(shù)據(jù)保護和個人信息的隱私

    應(yīng)依照相關(guān)的法律、法規(guī)和合同條款的要求，確保數(shù)據(jù)保護和隱私。

    （5）防止濫用信息處理設(shè)施

    應(yīng)禁止用戶使用信息處理設(shè)施用于未授權(quán)的目的。

    （6）密碼控制措施的規(guī)則

    使用密碼控制措施應(yīng)遵從相關(guān)的協(xié)議、法律和法規(guī)。

    3.11.2　符合安全策略和標準以及技術(shù)符合性

    目標：確保系統(tǒng)符合組織機構(gòu)的安全策略及標準

    （1）符合安全策略和標準

    管理人員應(yīng)確保在其職責范圍內(nèi)的所有安全規(guī)程被正確地執(zhí)行，以確保符合安全策略及標準。

    （2）技術(shù)符合性核查

    信息系統(tǒng)應(yīng)被定期核查是否符合安全實施標準。

    3.11.3　信息系統(tǒng)審計考慮

    目標：將信息系統(tǒng)審計過程中的有效性最大化，干擾最小化。

    （1）信息系統(tǒng)審計控制措施

    涉及對運行系統(tǒng)核查的審計要求活動，應(yīng)謹慎地加以規(guī)劃并取得批準，以便最小化造成業(yè)務(wù)過程中斷的風險。

    （2）信息系統(tǒng)審計工具的保護

    對于信息系統(tǒng)審計工具的訪問應(yīng)加以保護，以防止任何可能的濫用或損害。