GB/T 20269-2006信息安全技術(shù)信息系統(tǒng)安全管理要求

犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２０２６９—２００６

信息安全技術(shù)信息系統(tǒng)安全管理要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犐狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊犲犮狌狉犻狋狔犿犪狀犪犵犲犿犲狀狋狉犲狇狌犻狉犲犿犲狀狋狊

２００６０５３１發(fā)布２００６１２０１實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標準化管理委員會

書

犌犅／犜２０２６９—２００６

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４信息系統(tǒng)安全管理的一般要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１信息系統(tǒng)安全管理的內(nèi)容!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２信息系統(tǒng)安全管理的原則!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５信息系統(tǒng)安全管理要素及其強度!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１策略和制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．１信息安全管理策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．２安全管理規(guī)章制度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．３策略與制度文檔管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２機構(gòu)和人員管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２．１安全管理機構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２．２安全機制集中管理機構(gòu)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２．３人員管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．２．４教育和培訓(xùn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．３風(fēng)險管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．３．１風(fēng)險管理要求和策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

５．３．２風(fēng)險分析和評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

５．３．３風(fēng)險控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．４基于風(fēng)險的決策!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．３．５風(fēng)險評估的管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

５．４環(huán)境和資源管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

５．４．１環(huán)境安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

５．４．２資源管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

５．５運行和維護管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

５．５．１用戶管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

５．５．２運行操作管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

５．５．３運行維護管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

５．５．４外包服務(wù)管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

５．５．５有關(guān)安全機制保障!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

５．５．６安全集中管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

５．６業(yè)務(wù)連續(xù)性管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

５．６．１備份與恢復(fù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

５．６．２安全事件處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

５．６．３應(yīng)急處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

Ⅰ

書

犌犅／犜２０２６９—２００６

５．７監(jiān)督和檢查管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

５．７．１符合法律要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

５．７．２依從性檢查!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

５．７．３審計及監(jiān)管控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

５．７．４責任認定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

５．８生存周期管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

５．８．１規(guī)劃和立項管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

５．８．２建設(shè)過程管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

５．８．３系統(tǒng)啟用和終止管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

６信息系統(tǒng)安全管理分等級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１第一級：用戶自主保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

６．１．３機構(gòu)和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．４風(fēng)險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３６

６．１．７業(yè)務(wù)連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

６．１．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

６．１．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

６．２第二級：系統(tǒng)審計保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．３機構(gòu)和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．４風(fēng)險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

６．２．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

６．２．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

６．２．７業(yè)務(wù)連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．２．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．２．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．３第三級：安全標記保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．３．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

６．３．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

６．３．３機構(gòu)和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

６．３．４風(fēng)險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

６．３．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４２

６．３．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４２

６．３．７業(yè)務(wù)連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４３

６．３．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４３

６．３．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４３

６．４第四級：結(jié)構(gòu)化保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

Ⅱ

犌犅／犜２０２６９—２００６

６．４．３機構(gòu)和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．４風(fēng)險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

６．４．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４５

６．４．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４５

６．４．７業(yè)務(wù)連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．４．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．４．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．５第五級：訪問驗證保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．５．１管理目標和范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４６

６．５．２政策和制度要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．３機構(gòu)和人員管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．４風(fēng)險管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．５環(huán)境和資源管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．６操作和維護管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４７

６．５．７業(yè)務(wù)連續(xù)性管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

６．５．８監(jiān)督和檢查管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

６．５．９生存周期管理要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

附錄Ａ（資料性附錄）安全管理要素及其強度與安全管理分等級要求的對應(yīng)關(guān)系!!!!!!!４９

附錄Ｂ（資料性附錄）信息系統(tǒng)安全管理概念說明!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１主要安全因素!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１．１資產(chǎn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１．２威脅!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５３

Ｂ．１．３脆弱性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．１．４意外事件影響!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．１．５風(fēng)險!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．１．６保護措施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．２安全管理的過程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．２．１安全管理過程模型!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

Ｂ．２．２安全目標!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．３安全保護等級的確定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．４安全風(fēng)險分析與評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．５制定安全策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

Ｂ．２．６安全需求分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５６

Ｂ．２．７安全措施的實施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５６

Ｂ．２．８安全實施過程的監(jiān)理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５７

Ｂ．２．９信息系統(tǒng)的安全審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５７

Ｂ．２．１０生存周期管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５８

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５９

Ⅲ

犌犅／犜２０２６９—２００６

前言

本標準的附錄Ａ、附錄Ｂ是資料性附錄。

本標準由全國信息安全標準化技術(shù)委員會提出并歸口。

本標準起草單位：北京思源新創(chuàng)信息安全資訊有限公司，江南計算技術(shù)研究所技術(shù)服務(wù)中心。

本標準主要起草人：陳冠直、王志強、吉增瑞、景乾元、宋健平。

Ⅴ

犌犅／犜２０２６９—２００６

引言

信息安全等級保護從與信息系統(tǒng)安全相關(guān)的物理層面、網(wǎng)絡(luò)層面、系統(tǒng)層面、應(yīng)用層面和管理層面

對信息和信息系統(tǒng)實施分等級安全保護。管理層面貫穿于其他層面之中，是其他層面實施分等級安全

保護的保證。本標準對信息和信息系統(tǒng)的安全保護提出了分等級安全管理的要求，闡述了安全管理要

素及其強度，并將管理要求落實到信息安全等級保護所規(guī)定的五個等級上，有利于對安全管理的實施、

評估和檢查。ＧＢ１７８５９—１９９９中安全保護等級的劃分是根據(jù)對安全技術(shù)和安全風(fēng)險控制的關(guān)系確定

的，公通字［２００４］６６號文件中安全等級的劃分是根據(jù)信息和信息系統(tǒng)受到破壞后，會對國家安全、社會

秩序、經(jīng)濟建設(shè)和公共利益造成損害的程度確定的。兩者的共同點是：安全等級越高，發(fā)生的安全技術(shù)

費用和管理成本越高，從而預(yù)期能夠抵御的安全威脅越大，建立起的安全信心越強，使用信息系統(tǒng)的風(fēng)

險越小。

本標準以安全管理要素作為描述安全管理要求的基本組件。安全管理要素是指，為實現(xiàn)信息系統(tǒng)

安全等級保護所規(guī)定的安全要求，從管理角度應(yīng)采取的主要控制方法和措施。根據(jù)ＧＢ１７８５９—１９９９

對安全保護等級的劃分，不同的安全保護等級會有不同的安全管理要求，可以體現(xiàn)在管理要素的增加和

管理強度的增強兩方面。對于每個管理要素，根據(jù)特定情況分別列出不同的管理強度，最多分為５級，

最少可不分級。在具體描述中，除特別聲明之外，一般高級別管理強度的