標準解讀

GB/T 20269-2006《信息安全技術 信息系統安全管理要求》是中國針對信息系統安全管理領域制定的一項國家標準，旨在為各類組織和機構提供一套系統化的管理框架，以確保信息系統的安全穩(wěn)定運行。該標準詳細規(guī)定了在設計、實施、運維及改進信息系統安全管理過程中的具體要求與實踐指導，覆蓋策略、組織、人事、技術和操作等多個層面。以下是其主要內容的概述：

  1. 安全政策：強調建立全面的信息安全政策體系，明確信息安全的總體目標、范圍、原則和職責，確保所有用戶和員工對信息安全政策有充分的認識和理解。

  2. 組織結構與責任：要求建立清晰的信息安全管理組織架構，明確各級管理人員和執(zhí)行人員在信息安全管理工作中的角色、職責和權限，確保安全管理活動得到有效執(zhí)行和監(jiān)督。

  3. 資產管理：涉及對信息資產的識別、分類、保護和定期評估，確保對關鍵信息資產實施重點保護，減少潛在的安全風險。

  4. 人力資源安全：涵蓋人員招聘、培訓、考核直至離職的全生命周期管理，強調提高員工的信息安全意識和技能，實施訪問控制，確保員工行為符合信息安全要求。

  5. 物理與環(huán)境安全：規(guī)定了對信息系統物理設施及其運行環(huán)境的安全防護措施，包括防入侵、防火、防水、防靜電、溫濕度控制等方面，確保硬件設備和存儲介質的安全。

  6. 通信與操作管理：涉及信息處理和傳輸過程中的安全控制，如網絡架構設計、數據加密、訪問控制、操作規(guī)程、變更管理等，確保信息在傳輸和處理過程中的完整性和保密性。

  7. 訪問控制：要求實施嚴格的訪問控制機制，包括身份認證、授權管理和審計追蹤，確保只有經過授權的人員才能訪問相應的信息系統資源。

  8. 信息系統獲取、開發(fā)與維護：強調在信息系統生命周期的各個階段（規(guī)劃、采購、開發(fā)、測試、部署、升級和退役）融入安全考慮，確保系統的安全性從源頭得到保障。

  9. 信息安全事故管理：要求建立信息安全事件的響應、報告、調查、處理和恢復機制，通過預案演練提升應對突發(fā)事件的能力，最大限度減少損失。

  10. 業(yè)務連續(xù)性管理與合規(guī)性：確保組織具備應對重大信息安全事件的能力，保持關鍵業(yè)務功能的連續(xù)性，同時遵守相關的法律法規(guī)和行業(yè)標準。

  11. 監(jiān)控與審計：實施定期的安全監(jiān)控和審計活動，評估安全控制的有效性，及時發(fā)現并糾正安全漏洞和違規(guī)行為。


如需獲取更多詳盡信息，請直接參考下方經官方授權發(fā)布的權威標準文檔。

....

查看全部

  • 現行
  • 正在執(zhí)行有效
  • 2006-05-31 頒布
  • 2006-12-01 實施
?正版授權
GB/T 20269-2006信息安全技術信息系統安全管理要求_第1頁
GB/T 20269-2006信息安全技術信息系統安全管理要求_第2頁
GB/T 20269-2006信息安全技術信息系統安全管理要求_第3頁
GB/T 20269-2006信息安全技術信息系統安全管理要求_第4頁
GB/T 20269-2006信息安全技術信息系統安全管理要求_第5頁
已閱讀5頁，還剩63頁未讀， 繼續(xù)免費閱讀

下載本文檔

GB/T 20269-2006信息安全技術信息系統安全管理要求-免費下載試讀頁

文檔簡介

犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２０２６９—２００６

信息安全技術信息系統安全管理要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犐狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊犲犮狌狉犻狋狔犿犪狀犪犵犲犿犲狀狋狉犲狇狌犻狉犲犿犲狀狋狊

２００６０５３１發(fā)布２００６１２０１實施

中華人民共和國國家質量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標準化管理委員會

書

犌犅／犜２０２６９—２００６

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系統安全管理的一般要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１信息系統安全管理的內容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２信息系統安全管理的原則!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５信息系統安全管理要素及其強度!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１策略和制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．１信息安全管理策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．２安全管理規(guī)章制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．３策略與制度文檔管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２機構和人員管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２．１安全管理機構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２．２安全機制集中管理機構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２．３人員管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．４教育和培訓!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．３風險管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．３．１風險管理要求和策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．３．２風險分析和評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

５．３．３風險控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．４基于風險的決策!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．５風險評估的管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．４環(huán)境和資源管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

５．４．１環(huán)境安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

５．４．２資源管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

５．５運行和維護管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

５．５．１用戶管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

５．５．２運行操作管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

５．５．３運行維護管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

５．５．４外包服務管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

５．５．５有關安全機制保障!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

５．５．６安全集中管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

５．６業(yè)務連續(xù)性管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

５．６．１備份與恢復!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

５．６．２安全事件處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

５．６．３應急處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

Ⅰ

書

犌犅／犜２０２６９—２００６

５．７監(jiān)督和檢查管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

５．７．１符合法律要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

５．７．２依從性檢查!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

５．７．３審計及監(jiān)管控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

５．７．４責任認定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

５．８生存周期管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

５．８．１規(guī)劃和立項管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

５．８．２建設過程管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

５．８．３系統啟用和終止管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

６信息系統安全管理分等級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１第一級：用戶自主保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１．３機構和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．４風險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．７業(yè)務連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

６．１．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

６．１．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

６．２第二級：系統審計保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．３機構和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．４風險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

６．２．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

６．２．７業(yè)務連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．２．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．２．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．３第三級：安全標記保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．３．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．３．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

６．３．３機構和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

６．３．４風險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

６．３．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４２

６．３．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４２

６．３．７業(yè)務連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４３

６．３．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４３

６．３．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４３

６．４第四級：結構化保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

Ⅱ

犌犅／犜２０２６９—２００６

６．４．３機構和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．４風險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４５

６．４．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４５

６．４．７業(yè)務連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．４．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．４．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．５第五級：訪問驗證保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．５．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．５．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．３機構和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．４風險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．７業(yè)務連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

６．５．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

６．５．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

附錄Ａ（資料性附錄）安全管理要素及其強度與安全管理分等級要求的對應關系!!!!!!!４９

附錄Ｂ（資料性附錄）信息系統安全管理概念說明!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１主要安全因素!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１．１資產!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１．２威脅!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１．３脆弱性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．１．４意外事件影響!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．１．５風險!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．１．６保護措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．２安全管理的過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．２．１安全管理過程模型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．２．２安全目標!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．３安全保護等級的確定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．４安全風險分析與評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．５制定安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．６安全需求分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５６

Ｂ．２．７安全措施的實施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５６

Ｂ．２．８安全實施過程的監(jiān)理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５７

Ｂ．２．９信息系統的安全審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５７

Ｂ．２．１０生存周期管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５８

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５９

Ⅲ

犌犅／犜２０２６９—２００６

前言

本標準的附錄Ａ、附錄Ｂ是資料性附錄。

本標準由全國信息安全標準化技術委員會提出并歸口。

本標準起草單位：北京思源新創(chuàng)信息安全資訊有限公司，江南計算技術研究所技術服務中心。

本標準主要起草人：陳冠直、王志強、吉增瑞、景乾元、宋健平。

Ⅴ

犌犅／犜２０２６９—２００６

引言

信息安全等級保護從與信息系統安全相關的物理層面、網絡層面、系統層面、應用層面和管理層面

對信息和信息系統實施分等級安全保護。管理層面貫穿于其他層面之中，是其他層面實施分等級安全

保護的保證。本標準對信息和信息系統的安全保護提出了分等級安全管理的要求，闡述了安全管理要

素及其強度，并將管理要求落實到信息安全等級保護所規(guī)定的五個等級上，有利于對安全管理的實施、

評估和檢查。ＧＢ１７８５９—１９９９中安全保護等級的劃分是根據對安全技術和安全風險控制的關系確定

的，公通字［２００４］６６號文件中安全等級的劃分是根據信息和信息系統受到破壞后，會對國家安全、社會

秩序、經濟建設和公共利益造成損害的程度確定的。兩者的共同點是：安全等級越高，發(fā)生的安全技術

費用和管理成本越高，從而預期能夠抵御的安全威脅越大，建立起的安全信心越強，使用信息系統的風

險越小。

本標準以安全管理要素作為描述安全管理要求的基本組件。安全管理要素是指，為實現信息系統

安全等級保護所規(guī)定的安全要求，從管理角度應采取的主要控制方法和措施。根據ＧＢ１７８５９—１９９９

對安全保護等級的劃分，不同的安全保護等級會有不同的安全管理要求，可以體現在管理要素的增加和

管理強度的增強兩方面。對于每個管理要素，根據特定情況分別列出不同的管理強度，最多分為５級，

最少可不分級。在具體描述中，除特別聲明之外，一般高級別管理強度的

溫馨提示

  • 1. 本站所提供的標準文本僅供個人學習、研究之用，未經授權，嚴禁復制、發(fā)行、匯編、翻譯或網絡傳播等，侵權必究。
  • 2. 本站所提供的標準均為PDF格式電子版文本（可閱讀打?。?，因數字商品的特殊性，一經售出，不提供退換貨服務。
  • 3. 標準文檔要求電子版與印刷版保持一致，所以下載的文檔中可能包含空白頁，非文檔質量問題。

評論

0/150

提交評論