1 范圍

      本標準規定了辦公信息系統的建設管理、系統運維管理、制度管理和外包管理方面的要求。

      本標準適用于指導黨政部門(mén)的辦公信息系統安全管理工作，涉密辦公信息系統的建設管理依據相關(guān)國家保密法規和標準要求實(shí)施。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB/T 25069-2010 信息安全技術(shù) 術(shù)語(yǔ)

      GB/T 32926-2016 信息安全技術(shù) 政府部門(mén)信息技術(shù)服務(wù)外包信息安全管理規范

      GB/T 37095-2018 信息安全技術(shù) 辦公信息系統安全基本技術(shù)要求

      GB/T 37096-2018 信息安全技術(shù) 辦公信息系統安全測試規范

3 術(shù)語(yǔ)和定義

      GB/T 25069-2010和GB/T37095-2018界定的術(shù)語(yǔ)和定義適用于本文件。

4 管理要求

4.1 建設管理

4.1.1 方案設計

      方案設計要求如下：

      a）業(yè)主單位指定或授權專(zhuān)門(mén)的部門(mén)，根據辦公信息系統建設原則和建設需求，編制建設的總體規劃、技術(shù)框架和詳細設計方案，制定建設工作計劃和管理制度，并形成配套文件；

      b）應組織相關(guān)部門(mén)和專(zhuān)家對建設中采用的總體規劃、技術(shù)框架、詳細設計方案等相關(guān)配套文件的合理性和科學(xué)性進(jìn)行論證，并且經(jīng)過(guò)業(yè)主單位批準后，才能正式實(shí)施。

4.1.2 產(chǎn)品采購和使用

      產(chǎn)品采購和使用要求如下：

      a）應根據辦公信息系統建設原則和建設需求選擇基礎設施、設備、軟硬件產(chǎn)品等，可預先對產(chǎn)品進(jìn)行選型測試；

      b）產(chǎn)品選擇應依據以下基本要求：

      ——應符合GB/T 37095-2018中針對各產(chǎn)品的技術(shù)要求；

      ——應依據GB/T 37096-2018由產(chǎn)品廠(chǎng)商、第三方測試機構、用戶(hù)共同進(jìn)行測試，并由第三方測試機構出具相應證明文件；

      ——相關(guān)產(chǎn)品廠(chǎng)商應承諾不私自收集用戶(hù)信息；對掌握的用戶(hù)信息進(jìn)行有效保護，不在未授權情況下境外存儲或處理掌握的用戶(hù)信息；

      ——相關(guān)產(chǎn)品廠(chǎng)商應作出在售后服務(wù)中能夠提供原廠(chǎng)服務(wù)的承諾。

      c）應確保密碼產(chǎn)品采購和使用符合國家密碼主管部門(mén)的要求；

      d）應指定或授權專(zhuān)門(mén)的部門(mén)負責產(chǎn)品的采購；

      e）產(chǎn)品使用時(shí)需遵守相關(guān)國家部門(mén)或單位規定。

4.1.3 軟件開(kāi)發(fā)

      軟件開(kāi)發(fā)要求如下：

      a）應制定軟件開(kāi)發(fā)管理制度，明確軟件設計、開(kāi)發(fā)、測試、驗收過(guò)程的控制方法和人員行為準則；

      b）應制定軟件設計和開(kāi)發(fā)的相關(guān)文檔，包括軟件設計文件、源代碼、測試文檔、使用手冊和維護手冊等；

      c）軟件交付前應委托第三方測試機構依據開(kāi)發(fā)要求的技術(shù)指標，對軟件功能和性能等進(jìn)行驗收測試，并檢測源代碼中可能存在的惡意代碼。

4.1.4 工程實(shí)施

      工程實(shí)施要求如下：

      a）應選擇具備計算機信息系統集成資質(zhì)的信息系統集成商作為工程實(shí)施的承接單位；

      b）應制定詳細的工程實(shí)施方案控制實(shí)施過(guò)程，實(shí)施方案包括工程時(shí)間限制、進(jìn)度控制和質(zhì)量控制等方面內容；

      c）應制定工程實(shí)施方面的管理制度，包括工程實(shí)施過(guò)程的控制方法、實(shí)施參與人員的行為準則等方面內容；

      d）應指定或授權專(zhuān)門(mén)的部門(mén)或人員負責工程實(shí)施過(guò)程的管理，可通過(guò)第三方工程監理控制項目的實(shí)施過(guò)程。

4.1.5 測試驗收

      測試驗收要求如下：

      a）在測試驗收前應根據設計方案或合同要求等制訂測試驗收方案；

      b）應委托第三方測試機構對系統進(jìn)行驗收測試，并出具驗收測試報告；

      c）應組織相關(guān)部門(mén)和相關(guān)人員對系統測試驗收報告進(jìn)行評審；

      d）應組織相關(guān)專(zhuān)家、相關(guān)部門(mén)和相關(guān)人員召開(kāi)項目驗收會(huì )，并形成驗收意見(jiàn)。

4.1.6 系統交付

      系統交付要求如下：

      a）應制定系統交付清單，并根據交付清單對所交接的設備、軟件和文檔等進(jìn)行清點(diǎn)；

      b）應對負責系統運行維護的技術(shù)人員進(jìn)行相應的技能培訓，形成培訓記錄，記錄培訓內容、培訓時(shí)間和參與人員等；

      c）應確保提供系統建設過(guò)程中的文檔和指導用戶(hù)進(jìn)行系統運行維護的文檔。

4.1.7 服務(wù)商選擇

      服務(wù)商選擇要求如下：

      a）應確保服務(wù)商的選擇符合國家的有關(guān)規定；

      b）應與選定的服務(wù)商簽訂相關(guān)的協(xié)議，明確約定相關(guān)責任，協(xié)議內容包含服務(wù)內容、培訓和服務(wù)承諾、保密范圍、安全責任、違約責任、協(xié)議的有效期限等。

4.2 系統運維管理

4.2.1 環(huán)境管理

      環(huán)境管理要求如下：

      a）應建立機房管理制度，內容覆蓋機房物理訪(fǎng)問(wèn)、物品帶進(jìn)和帶出機房、機房環(huán)境維護等；

      b）應指定專(zhuān)門(mén)的部門(mén)或人員定期對機房供配電、空調、溫濕度控制等設施進(jìn)行維護，形成維護記錄，記錄維護日期、維護人、維護設備、故障原因、維護結果等方面內容；

      c）應指定部門(mén)負責機房安全，對機房的出入、服務(wù)器的開(kāi)機或關(guān)機等工作進(jìn)行管理。

4.2.2 資產(chǎn)管理

      資產(chǎn)管理要求如下：

      a）應編制并保存與信息系統相關(guān)的資產(chǎn)清單，包括資產(chǎn)責任部門(mén)、重要程度和所處位置等內容；

      b）應建立資產(chǎn)管理制度，規定信息系統資產(chǎn)管理的責任人員或責任部門(mén)，并規范資產(chǎn)管理和使用的行為。

4.2.3 設備管理

      設備管理要求如下：

      a）應對信息系統中的基礎軟硬件產(chǎn)品、主要網(wǎng)絡(luò )設備和主要安全設備等指定專(zhuān)門(mén)的部門(mén)或人員定期進(jìn)行維護管理，形成設備維護記錄；

      b）應建立基于申報、審批和專(zhuān)人負責的設備管理制度，對信息系統中的基礎軟硬件產(chǎn)品、主要網(wǎng)絡(luò )設備和主要安全設備等的選型、采購、發(fā)放和領(lǐng)用等過(guò)程進(jìn)行規范化管理；

      c）應確?；A軟硬件產(chǎn)品、主要網(wǎng)絡(luò )設備和主要安全設備經(jīng)過(guò)審批才能帶離機房或辦公地點(diǎn)；

      d）應對信息系統中的移動(dòng)存儲設備建立嚴格的安全管理制度和流程，指定專(zhuān)門(mén)的安全人員負責移動(dòng)存儲設備的采購、使用和銷(xiāo)毀等活動(dòng)。

4.2.4 監控管理

      監控管理要求如下：

      a）應對通信線(xiàn)路、主機、網(wǎng)絡(luò )設備和應用軟件的運行狀況、網(wǎng)絡(luò )流量等進(jìn)行監測和報警，形成記錄并妥善保存；

      b）應組織相關(guān)人員定期對監測和報警記錄進(jìn)行分析、評審，形成分析報告，并采取必要的應對措施。

以上為標準部分內容，也可點(diǎn)擊下方鏈接下載標準原文：

下載地址：《GB/T 37094-2018 信息安全技術(shù) 辦公信息系統安全管理要求》