精华内容
下载资源
问答
  • 对于管理者的基本要求
    万次阅读
    2018-12-27 17:59:06

    企业能够持续发展,最为关键的因素在于企业是否拥有一批懂经营、会管理、善沟通、踏踏实实、公道正派、廉洁勤治、求真务实的管理者。

    作为一个优秀的管理者,既要胸怀大局观念,又要熟悉业务流程;既要具备领导能力,又要强化执行能力

    那么,如何做好一名优秀的管理者呢?

    一、要以身作则

    要有责任感,以身作则,平时更要勇于承担责任,不推诿,以德服人。表率的作用是一种无形的力量,经理做出样子,模范带头,就等于无声的命令,权威就自然地树立起来。

    作为一名中层管理人员,尤其是一名基层领导,首先要把责任放在第一位,淡化权利。

    确保项目目标实现,保证业主满意,这一项基本职责是检查和衡量项目经理管理成败、水平高低的基本标志。

    二:要抓大放小,不要面面俱到

    经理要总揽全局,但是更要把掌握的权利尽量能“分散管”的分散管,能“公开化 ”的公开管。

    工作中要善于抓住事物的主要矛盾,提纲挈领、抓大放小,切莫事无巨细、面面俱到。如果眉毛胡子一把抓,容易顾此失彼,捡了芝麻丢了西瓜。

    三:要知人善任,不要求全责备

    作为一个部门经理,应了解部门内每一位干部职工的长处,用其所长,避其所短,让每个人各得其位,发挥所长。

    如果用苛刻的标准去衡量人才、评价工作,就会求全责备、吹毛求疵,势必影响团队士气。

    四:要与人为善,不要与人为敌

    领导要树立自己的权威,必须坚持与人为善。所谓与人为善,就是要与大家交朋友,要以善良关怀的心态对待每一个人和每一件事。协调矛盾,要公道正派,合情合理。不搞厚此薄彼。

    定期或不定期要求员工给领导提意见,多与员工用不同的方式进行沟通。

    五:要勇于创新,不要因循守旧

    作为一个中层经理,要富有想象力,思路开阔,思维活跃,善于提出大胆而新颖的推测和设想,提出新方案。

    敢于和善于创新,工作要有新点子、新路子,持续改进,永不满足,不断用新的更高的目标去鼓舞员工。

    六:要虚怀若谷,不要虚头巴脑

    谦虚很重要。

    管好一个部门,必须充分发挥团队的力量。自以为是、唯我独尊只能成为孤家寡人。

    所以,工作中要谦虚谨慎、从谏如流,挖掘群众的智慧,激发群众的力量。这样,部门工作才能蒸蒸日上。

    七、要有大局观念,不要心胸狭窄

    一个部门工作有没有成效,部门经理的胸襟格局非常重要。胸襟宽广、格局高大,自然受到员工的支持和爱戴。如果心胸狭窄,不能容人,就会造成团队离心离德、一盘散沙。

    企业运营过程中,部门之间难免会有交叉冲突,一个优秀的中层管理绝不会各人自扫门前雪,不管他人瓦上霜,而是具有大局观念,考虑公司整体利益,主动协调配合,积极补台堵漏。

    更多相关内容
  • 有一个朋友前几年通过猎头进入一家公司...如果那位技术负责人不是项目管理或者沟通能力太差的话,这位朋友基本上在这家公司没有位置了。最终,这位朋友被动辞职了,着实可惜。其实朋友是一个非常称职的项目管理人才,经

    编辑导读:技术管理和项目管理虽然是不同分工的两个角色,但在产品团队里技术管理者往往比项目管理者更受重视。为什么?本文作者从这两者的概念出发,对背后的原因进行了详细说明,与大家分享。

    有一个朋友前几年通过猎头进入一家公司做研发负责人,他之前在一个软件外包企业做开发团队负责人。

    刚进公司时,公司对其非常重视,也是统领三军,但是过了一年,虽然职位没变,但是只负责一个团队的研发了,而且奇怪的是他只做和项目管理、外部沟通相关的事情,团队内还有一个技术负责人,所有技术人员的上级是这位技术负责人,这位技术负责人的上级是他。

    此时你会想到什么?如果那位技术负责人不是项目管理或者沟通能力太差的话,这位朋友基本上在这家公司没有位置了。

    最终,这位朋友被动辞职了,着实可惜。

    其实朋友是一个非常称职的项目管理人才,经他手的项目不论是对内外的沟通,还是项目的过程的控制都还是非常到位,但是他很多年不写代码,不做技术,平时也忽视了对于技术的关注,同时也缺乏产品思维,这估计和他之前一直在外包公司工作的经历有关。

    所以在一个产品型的团队里,他的长板无用武之地,而他的短板却被放大了,做不了产品,又无法掌控技术决策,也无法统一公司内不同的技术体系,提升团队的技术及架构能力,导致老板不满意,下属不服气,虽然在技术管理的岗位上,但却无法胜任。

    通过这个案例,我们真正成为一名管理者后,自己扪心自问,我是一个技术管理者还是只是一名项目管理者呢?二者的差异在哪呢?

    一、了解二者的概念

    无论是春秋战国时候的丞相,还是三国时候的谋士们,技能大概分成两种:谋略和理事。谋略重在想办法,理事重在做事情。现代的技术管理者需要的核心技能仍然是这两样,只不过体现形式有些变化。

    • 谋略:技术架构搭建、新技术演进选型等,解决该做什么和怎么做的问题。
    • 理事:任务和人员协调、分配等,解决谁来做、哪件事先做的问题。

    首先我们先了解一下项目管理和技术管理的定义:

    项目管理:

    指在项目活动中运用专门的知识、技能、工具和方法,使项目能够在有限资源限定条件下,实现或超过设定的需求和期望的过程。项目管理是对一些成功地达成一系列目标相关的活动(譬如任务)的整体监测和管控。这包括策划、进度计划和维护组成项目的活动的进展。

    ——百度百科

    技术管理:

    用于计划、开发和实现技术能力,完成组织战略和运营目标。技术管理通常是指在技术行业当中所作的管理工作,管理者一般具有较高的技术水平,同时带领着自己所管理的团队完成某项技术任务。

    技术管理的实际操作当中,强调的是管理者对所领导的团队的技术分配,技术指向和技术监察。管理者用自己所掌握的技术知识和能力来提高整个团队的效率,继而完成技术任务。

    技术管理是技术和管理的融合,是较高知识容量的高深行业。

    ——百度百科

    从项目管理和技术管理的定义来看,项目管理更侧重单一的理事,而技术管理则重在谋略,并兼顾理事。所以一个优秀的技术管理者虽然不一定是一名优秀的项目管理者,但也是一个不错的项目管理者,但一名优秀的项目管理者并不见得能成为优秀的技术管理者。

    img

    二、谈谈项目管理

    要想成长为一名优秀的技术管理者,项目管理是我们必经的阶段,因为要成为团队的领导都是在一件件具体的事情中不断磨练而崭露头角的,事事皆项目,项目管理将是我们成为一名管理者的起点。

    项目管理关注的事情如何更好的完成,所以项目管理是以项目交付为工作核心。对一个项目来说当然最理想的情况就是“多、快、好、省”。“多”指工作范围大,“快”指时间短、“好”指质量高,“省”指成本低。这就是项目管理的四要素。

    img

    但是众所周知,项目管理中著名的铁三角理论,提高一个指标的同时会降低另一个指标,他们之间是一种此消彼长的关系,所以实际上这种理想的情况很难达到。

    想想那些豆腐渣工程是怎么产生的吧。进度一赶再赶,成本一压再压,需求一加再加,这时候不牺牲质量又该如何完成?如果客户或者老板再要求要保证质量,你可以直接把这个图丢丫脸上!~~且慢别冲动,一个合格的项目管理人员不就是要把这几项关键要素管理好吗?

    下图是我们产品研发项目的主要流程:

    img

    另外,外部客户的项目和内部研发自身的项目其实差别还是很大的,相比于研发内部项目,外部项目对于项目管理的要求更高,比如沟通能力更强,控制需求的能力更强,危急事件公关能力更强,这也是一个专业的项目管理人员在团队中不可或缺的原因。

    img

    三、如何成长为技术管理者?

    在技术管理的定义中明确知道技术管理是技术和管理的融合,如果说技术不好却不妨碍成为一名优秀的项目管理者的话,那技术不好就一定很难成为一名优秀的技术管理者。(当然这里的技术是指广义的技术,比如技术能力,技术决策,技术领导力等,而不仅仅是运用某些技术解决问题的能力。)

    在一个项目型的公司里,项目管理者的角色非常的重要,薪资待遇,发展通道都要胜过技术管理者,但在以研发或者技术主导的企业里,技术管理者才是拥有绝对话语权的人,引领团队技术的发展方向。

    我在前面的章节中提到程序员的职业发展规划,而技术管理者也是很多程序员趋之若鹜的发展方向。

    img

    如何成为一名优秀的技术管理者呢?首先我们要了解技术管理者的主要工作或者职责:

    (1)项目过程中的人力及技术支持

    项目是临时的,短周期的,项目交付后项目的生命周期就结束了,所以在很多公司的团队管理不是以项目为核心的。项目上的资源来源于技术部门的支持。技术管理者要以公司利益为出发点,合理的分配自己的人力资源到具体项目上,并在这个过程中充分提供技术支持。

    (2)开发质量的把控

    一些大型的项目上,一般会有架构师之类的角色来把控技术开发的质量,架构师是技术管理者的一种,完全从技术角度去引导技术的走向,控制技术开发的质量。项目经理往往更侧重于进度的把控和内外部的沟通协调。

    (3)技术平台的建设和应用

    如果说项目管理者工作成果是项目正常交付,那么技术管理者的工作成果则是团队技术的积累,技术资产化,所以一般打造优秀的技术平台则是技术管理者最直接有效的产出。

    (4)技术人才的培养

    技术管理者要承担起新技术的分享应用、技术人才的能力的培养,团队的能力建设是技术管理者区分项目管理者最大的区别,因为项目管理者为事负责,而技术管理者更多要为人负责。

    (5)技术体系和规范建设

    作为中高阶的技术管理者,为了更好的指导技术开发工作正确的,高效的,稳定的执行,需要建设一套完整的技术体系和技术规范,通过将自己的经验和学识转化为制度和规范,从而更长远的指导技术团队的工作。

    (6)技术战略的制定和督导

    作为团队最高的技术管理者,比如CTO或者技术总监等,如何确立团队的技术路线,如何技术创新,如何顺应技术发展的趋势,如何通过技术战略保持团队的核心竞争力,引领团队技术走向未来,创造更大的效益,是不得不思考并付诸行动的重大事情。

    了解了技术管理者的工作内容以后,你自己就可以决定你要不要成为一名技术管理者,如果要,应该如何去锻炼呢?

    1. 要转型技术管理,需要清楚自己的特点和特长,技术管理者要在技术和管理能力上都要保持出色才行;
    2. 要在平时的工作中,多去解决技术问题,帮助其他同事解决技术方面的问题,并能够形成团队内的知识库;
    3. 培养自己的核心能力,加强对技术的整体把握能力,提升对业务的理解和把握能力;
    4. 技术管理者要一专多能,平时要加强广泛技术的学习,理解他们的技术原理及应用场景;
    5. 把握每次负责项目的机会,提升自己项目管理的经验,在一次次的胜仗中获得领导认可。
    展开全文
  • 文章目录序言第1章 卓有成效是可以学会的第2章 掌握自己的时间第3章 我能贡献什么第4章 如何发挥人的长处第5章 要事优先第6章 决策的要素第7章 有效的决策第8章 结论:管理者必须卓有成效 序言 本书提出了所有管理者...

    本书是由作者于上个世纪的1966年撰写和发表的,至今天仍对提高我们的工作水平、组织管理水平有重要的参考意义。

    序言

    本书提出了所有管理者努力的正确方向,这至少包括了以下几重含义。
    1. 管理最根本的问题,或者说管理的要害,就是管理者和每个知识工作者怎么看待与处理人和权力的关系。在德鲁克看来,人是不应该有权力的,人性是软弱的,经不起权力的引诱和考验。因此,人可以拥有的只是授权,也就是人只是在某一阶段、某一事情上,因为所拥有的品德、知识和能力而被授权。
    2. 尽管人性是不完美的,但是人彼此平等,都有自己的价值,都有自己的创造能力,都有自己的功能,都应该被尊敬,而且应该被鼓励去创造。
    3. 在知识社会和知识型组织里,每一个工作者在某种程度上,都既是知识工作者,也是管理者。因为他可以凭借自己的专门知识对他人和组织产生权威性的影响——知识就是权力。但是权力必须和责任捆绑在一起。而一个管理者是否负担起了责任,要以绩效和成果做检验。凭绩效和成果问责的权力是正当和合法的权力,也就是授权,否则就成为德鲁克坚决反对的强权。
    4. 除了让组织取得绩效和成果,管理者还有没有其他的责任?我们必须努力学会把伦理道德的诉求和经济目标,设计进同一个工作流程、同一套衡量系统,直至每一种方法、工具和模式中去。

    德鲁克著述的现实意义表现在:
    1. 对功能社会重要性的信念
    2. 对人的关注
    3. 对绩效的关注
    4. 对自我管理的关注
    5. 基于实践的、跨学科的、终身的学习观念

    德鲁克回答在诸多事项中有哪三门功课是最重要的,是当今商学院应该教给明日之管理者的:
    1. 第一课,他们必须学会对自己负责。太多的人仍在指望人事部门来照顾他们,他们不知道自己的优势,不知道自己的归属何在,他们对自己毫不负责。
    2. 第二课,也是最重要的,要向上看,而不是向下看。焦点仍然放在对下属的管理上,但应该开始关注如何成为一名管理者。管理你的上司比管理下属更重要。所以你要问:“我应该为组织贡献什么?”
    3. 最后一课,是必须修习基本的素养。这包括业务方面和管理方面,这类素养不是学一些相关课程就行了,而是与实践经验有关。

    管理工作在很大是要言传身教的,如果管理者不懂得如何在自己的工作中做到卓有成效,就会给其他人树立错误的榜样。我从来没有遇见过一个“天生”的卓有成效的管理者。他们都是通过不断的实践,最终将追求成效变成一种习惯。所有那些想努力让自己成为卓有成效的管理者的人都成功地做到了这一点。

    卓有成效是可以学会的,也是必须学会的。

    第1章 卓有成效是可以学会的

    为什么需要卓有成效的管理者

    知识工作者的工作动力,取决于他是否具有有效性及他在工作中能否有所成就。如果他的工作缺少有效性,那么他对做好工作和做出贡献的热情很快就会消退,他将成为朝九晚五在办公室消磨时间的人。谁是管理者在一个现代组织里,如果一位知识工作者能够凭借其职位和知识,对该组织负有贡献的责任,因而能对该组织的经营能力及达成的成果产生实质性的影响,那么他就是一位管理者。不论职位的高低,只要你是一位管理者,就必须力求卓有成效。

    管理者必须面对的现实每一位管理者都要面对的现实是,一方面要求他们具有有效性,一方面却又使他们很难达成有效性。

    • 管理者的时间往往只属于别人,不属于自己
    • 管理者往往被迫忙于“日常动作”,除非他们敢于采取行动来改变周围的一切。
    • 使管理者缺乏有效性的第三项现实因素,是管理者本身处于一个”组织“之中。只有当别人能够利用管理者的贡献时,管理者才算有效。
    • 最后,管理者身处一个组织的”内部“,受到组织的局限。但是在组织的内部,根本不会有成果出现,一切成果都存在于组织之外。举例来说,企业机构的成果,是通过顾客产生的,企业付出的成本和努力,必须通过顾客购买其产品或服务,才能转变为收入和利润。也就是说,做决定的人在企业之外,不在企业之内。

    上面所说的4项现实问题,是管理者无力改变的,也是管理者之所以存在的必要条件。因此他必须明了,如果他不致力于学习以提高自己的有效性,就不可能成为卓有成效的管理者。

    对有效性的认识

    我们当然可以在各方面作用能力特别强的人,知识特别丰富的人,但是这两类人才毕竟难以找到。事实上根据我们人类以往的经验,容易找到的人肯定不会是全才。我们必须学会这么一种建立组织的方式:若某人在某一重要领域具有一技之长,就要让他充分发挥这一特长。我们应该努力的是,学会善用那些专精于某一领域的人。也就是说,我们必须提高有效性。既然不能增加资源的供应量,就应该设法增加资源的产出量。所谓有效性,就是使能力和知识资源能够产生更多、更好成果的一种手段。

    卓有成效可以学会吗

    大型组织的文明,所依赖的是大批具有一定有效性而且可以担任管理者的人。卓有成效的管理者有一个共同点,那就是他们在实践中都要经历一段训练,这一训练使他们工作起来能卓有成效。有效性是一种后天的习惯,是一种实践的综合。不过要把习惯建立得很好,却是不容易的。学习习惯就非得反复地实践不可。

    下列5项是要成为一个卓有成效的管理者,必须在思想上养成的习惯:
    1. 有效的管理者知道应该将他们的时间用在什么地方。他们所能控制的时间非常有限,他们会有系统地工作,来善用这有限的时间。
    2. 有效的管理者重视对外界的贡献。他们并非为工作而工作,而为成果而工作。他们接到一项工作,会首先自问:”别人期望我做出什么成果?“
    3. 有效的管理者善于利用长处,包括自己的长处、上司的长处、同事的长处和下属的长处。他们还善于抓住有利形势,做他们能做的事。他们不会把工作建立在自己的短处上,也绝不会去做自己做不了的事。
    4. 有效的管理者集中精力于少数重要的领域,在这少数重要的领域中,如果能有优秀的绩效就可以产生卓越的成果。他们别无选择,只能要事第一。重要的事先做。
    5. 最后,有效的管理者必须善于做有效的决策。他们知道有效的决策事关处事的条理和秩序问题,也就是如何按正确的次序采取正确的步骤。他们知道一项有效的决策,总是在”不同意见讨论“的基础上做出的判断,而绝不会是”一致意见“的产物。

    第2章 掌握自己的时间

    有效的管理者并不是一开始就着手工作,他们往往会从时间安排上着手。他们并不以计划为起点,认识清楚自己的时间用在什么地方才是起点。然后他们管理自己的时间,减少非生产性工作所占用的时间。最后,再将”可自由运用的时间“,由零星而集中成大块连续性的时段。这三个步骤,是管理者有效性的基础:

    • 记录时间;
    • 管理时间;
    • 统一安排时间。

    有效的管理者知道,时间是一项限制因素。任何生产程序的产出量,都会受到最稀有资源的制约,而在我们称之为”工作成就“的生产程序里,最稀有的资源,就是时间。
    时间也是最特殊的一项资源,租不到、雇不到,也买不到,不能以任何其他手段来获得。
    时间的供给,丝毫没有弹性,而且永远是最短缺的。
    时间也完全没有替代品。

    对这项最特殊、无可代替的和不可或缺的资源,绝大多数人却都以为可以取用不竭。有效的管理者与其他他最大的区别,就是他们非常珍惜自己的时间。

    大多数人都不善于管理自己的时间。如果完全靠记忆,我们恐怕说不清楚自己的时间是怎样打发的。

    所以,有效的管理者知道,如果要管理好自己的时间,首先应该了解自己的时间实际上是怎么耗用的。

    时间对管理者的压力
    即使是只想获得最低程度的有效性,管理者在绝大部分任务上也需要相当多的整块时间。如果每一次所花的时间少于这个极限,事情就做不好,所花的时间就是浪费,再做就得从头开始。
    每一位知识工作者,尤其是每一位管理者,要想有效就必须能将时间做整块的运用。
    组织规模越大,管理者实际可掌握的时间越少。身为管理者,因此更应该知道自己的时间应该用在什么地方,并且更应该妥善运用那剩下来可自由支配的少量时间了。
    管理者如果不了解自己是如何使用时间的,就别想管理好时间。如何诊断自己的时间要提高管理者的有效性,第一步就是记录其时间耗用的实际情形。时间记录的具体方法,不作陈述。事实上许多管理者都备有一本小册子,自己记录,也有人请秘书代为记录。重要的是,必须在处理某一工作的”当时“立即加以记录,而不能事后凭记忆补记。
    许多有效的管理者都经常保持这样的一份时间记录,每月定期拿出来检讨,找出差距,努力改进。持之以恒才能避免再回到浪费的状态上去。

    第二个步骤,就是要做有系统的时间管理。
    1. 首先找出什么事根本不必做
    2. 第二个该问的问题是:时间记录上的哪些活动可以由别人代为参加或处理,而又不影响效果?
    3. 第三个因素是管理者自己可以控制并消除的:管理者在浪费别人的时间。应该大胆减少无谓的工作,这绝对无损于有效性。

    消除浪费时间的活动
    浪费时间有时也是由于管理不善和机构有缺陷,身为主管者也应予以同等的重视。管理不善不仅会浪费大家的时间,更重要的是会浪费主管自己的时间。

    (1) 首先要做的是,找出由于缺乏制度或远见而产生时间浪费的因素。

    • 应注意的现象,是机构中一而再、再而三出现同样的”危机“。同样的危机如果出现了第二次,就绝不应该再让它出现第三次。
    • 一项重复出现的危机应该是可以预见的。因此,这类危机可以预先防止,或可以设计成一种例行工作,使每个人都能处理。
    • 同一个危机如果重复出现,往往是疏忽和懒散造成的。

    (2)人员过多,也常造成时间的浪费。

    • 人数过多,难免彼此侵犯,也难免成为绩效的阻碍。在精干的组织里,人的活动空间较大,不至于互相冲突,工作时也不用每次都向别人说明。

    (3)再一个常见的浪费时间的原因,是组织不健全,其表现就是会议太多。

    • 会议,顾名思义,是靠集会来商议,是组织缺陷的一种补救措施。我们开会时就不能工作,工作时就不能开会。
    • 一位管理者花费在会议上的时间如果过多,便是组织不健全的表现。试着看看我们的时间记录,如果发现开会太多——例如参加会议的时间占总时间1/4以上,那一定是一个浪费时间的不健全的组织。

    (4)第四项浪费时间的因素是,信息功能不健全或者是信息的表达方式不当。

    针对以上种种浪费时间的活动,只要你肯付出努力,改善的效果是很大的,特别是可以帮你节省出许多时间来。

    统一安排可以自由支配的时间
    管理者在做过了自己的时间记录和分析后,就可以了解究竟有多少时间可用于重要而不紧急的事务了,虽然这部分可自由支配的时间不会太多。高级主管真能自由运用的时间,大概只有1/4。就是说他只有这么多的时间可以用在重大事务上,能用在有所贡献的事务上,能用在他应该做的事务上。

    因此,有效的管理者知道他必须集中他的自由时间。如果整块时间被分割成许多段,等于没有时间。时间如果能集中,即使只有一个工作日的1/4,也足可以办理几件大事。
    所以,时间管理的最后一步,应该是将可由管理者自行支配的零碎时间集中起来。至于如何集中,则各人有各人的办法。不过,话又说回来:集中自己的时间,集中的”方法“倒在其次,重要的是时间如何使用。

    一切卓有成效的管理者都懂得:对时间的控制与管理不能一劳永逸。他们要持续不断地做时间记录,定期对这些记录进行分析,还必须根据自己可以支配的时间的多少,给一些重要的活动定下必须完成的期限。

    ”认识你自己“这句充满智慧的誓言,对我们一般人来说,真是太难理解了。可是,”认识你的时间“却是任何人只要肯做就能做到的,这是通向贡献和有效性之路。

    第3章 我能贡献什么

    有效的管理者一定注重贡献,并懂得将自己的工作与长远目标结合起来。他常自问:”对我服务的机构,在绩效和成果上,我能有什么贡献?“他强调的是责任。
    重视贡献是有效性的关键。所谓有效性,表现在以下三个方面:
    1. 自己的工作
    2. 自己与他人的关系
    3. 各项管理手段的运用

    大多数管理者的视线都集中在下方。他们重视勤奋,但忽略成果。他们耿耿于怀的是:所服务的组织和上司是否亏待了他们,是否该为他们做些什么。他们最在意的是”应有“的权威,结果是做事没有成效。
    一个人如果只知道埋头苦干,如果老是强调自己的职权,那不论其职位有多高,也只能算是别人的”下属“。反过来说,一个重视贡献的人,一个注意对成果负责的人,即使他位卑职小,也应该算是”高层管理人员“,因为他能对整个机构的经营绩效负责。

    管理者的承诺
    重视贡献,才能使管理者的注意力不为其本身的专长所限,不为其本身的技术所限,不为其本身所属的部门所限,才能看到整体的绩效,同时也能使他更加重视外部世界。
    外部世界才是产生成果的地方。因此,他会考虑自己的技能、专长、作用以及所属的部门与整个组织及组织目标的关系。只有这样,他才会凡事都想到顾客、服务对象和病人。事实上一个组织之所以存在,不论其产品是商品、政府的服务,还是健康医疗服务,最终目的总是为了顾客、为了服务对象或为了病人。因此,重视贡献的人,其所作所为可能会与其他人卓然不同。

    管理者如果不自问”我可以做出什么贡献“,他在工作中就不会有远大的目标,甚至可能把目标搞错而且特别容易对”贡献“一词只有狭义的理解。”贡献“一词,在不同的场合有不同的含义。一般机构对成效的要求往往表现在以下三个方面:

    • 直接成果
    • 树立新的价值观及对这些价值观的重新确认
    • 培养与开发明天所需要的人才

    如果在成效中缺少这三方面中的任何一个方面,机构就会衰败甚至垮台。因此,管理者若想做点贡献,就必须在这三方面下功夫。
    对贡献的承诺,就是对有效性的承诺。没有这项承诺,管理者等于没有尽到自己的责任,这必将有损于其服务的组织,也必将有损于与其共事的同事。管理者的失败,原因有很多。常见的原因,应该是他本人在出任一项新职位时,不能或不愿为适应新职位的需要而改变自身。自以为过去做得成功了,因此满足于老一套的工作方法,结果必然遭到失败。职务有了改变,管理者所要贡献的成果也一定会有所改变,而且新职位所要求的上述三种绩效之间的相对比重也会改变。

    如何使专业人员的工作卓有成效
    专业人员必须使他本人有效,必须使他的专才有效。他必须考虑到他的产出供什么人使用,也必须了解用户应该知道些什么才能有效使用他的产出,从而产生成果。
    一个人如果想成为管理者,换句话说,如果愿以贡献为目标,就必须使自己的”产品“——即他的知识能为别人所用。
    卓有成效的管理者都懂得这一点,因为他们都有想把工作干得更好的心理动力,总想了解别人需要什么、发现了什么以及能理解什么。他们会向机构内部人员(包括他们的上司、下属,特别是其他部门的同事)提出这样的问题:”为便于你为机构做出贡献,你需要我做些什么贡献?需要我在什么时候,以哪种形式,用什么方式来提供这些贡献?“

    一位专家只要能肩负贡献的责任,就一定能使他所专精的知识配合整体。他尽管不一定能将几门知识整合为一,但他一定知道应该了解别人的需要、别人的方向、别人的限度和别人的理解,以使别人能够应用他的成果。纵然他不能领略广大知识领域的丰富和趣味,至少可以使他不至于沾染傲慢自大的习气。这种习气会毁灭知识,会损害知识的完美和效用。

    正确的人际关系
    在一个组织中,管理者拥有良好的人际关系,绝不是因为他们有”与人交往的天赋“,而是因为他们在自己的工作和人际关系上都注重贡献,他们的工作也因此而富有成效,这也许是所谓”良好的人际关系“的真义所在。在以工作或任务为主的环境下,如果我们不能有所成就,那就算我们能与人和谐相处,愉快交谈,又有什么意义呢?这种”和谐相处,愉快交谈“恰恰是恶劣态度的伪装。反过来说,如果能在工作上取得成绩,即使偶尔疾言厉色,也不至于影响人际关系的。

    有效的人际关系,有下列4项基本要求,而着眼于贡献,正可满足这些条件:

    • 互相沟通,互相沟通是多年最引人重视的一项管理课题,但结果收效甚微。一位在工作中以贡献为重的管理者,通常期望其下属也能以贡献为重,重视了解员工对目标的理解和规划,重视双向的沟通与反馈。
    • 团队合作,强调贡献有助于横向的沟通,因此能够促成团队合作。在一个知识型组织中,主要有赖于拥有不同的知识和技术的专业人员组成的团队,工作才能有效。各路英雄的合作,贵在自动自发,贵在能依循情势的逻辑和任务的需要,而非仅依赖正式的组织结构。
    • 自我发展,个人能否有所发展,在很大程度上要看你是否重视贡献。如果我们自问:我对组织能有什么最大的贡献?这就等于是说:”我需要怎么的自我发展,我应该学习什么知识和技能,才有助于我对组织做出贡献?我应该将我的哪些优点用在我的工作上?我应为自己设定怎样的标准?“
    • 培养他人,重视贡献的管理者必然会同时启发他人寻求自我发展。

    有效的会议
    卓有成效的管理者知道他们能从会议中得到什么,也知道会议的目的是什么或应该是什么。他会自问:”我们为什么要召开这次会议?是为了某项决策?是为了宣布什么?还是为了澄清我们应该做些什么?“
    他会在事前想清楚会议目的,想清楚要求什么报告以及想清楚简报的用意。他一定坚持开会必须依据之前的承诺,真正有所贡献。

    有效的管理者在会议开始时,会先说明会议的目的和要求达成的贡献。同时,他还要设法让会议紧紧围绕着主题。他绝不会使会议成为一次摆龙门阵的机会,任大家随便发言。当然,如果会议的目的是在激发大家的思想和创见,他也不会仅让某一个人滔滔不绝。他会刺激每一位与会人员的发言兴趣。但是在会议结束之前,他会回到开场所介绍的主题,使会议获得的结论与主题相符。
    当然还有其他一些使会议开得有效的办法。举例来说,简单但是最易被人忽视的一条规则是:你可以主持会议,听取重要的发言,也可以是大家共同讨论。但你不能既主持会议,又高谈阔论。无论如何,最重要的在于从一开始就把焦点放在贡献上。

    重视贡献,足以消除管理者的一项基本问题:让你在一团乱麻似的事务中理出轻重缓急来。重视贡献是一项组织的原则,使管理者能掌握各项工作的关联性。
    重视贡献,还可将管理者的先天弱点(过分依赖他人以及属于组织之内)转变为力量,进而创造出一个坚强的工作团队来。最后要交代的是,我们常有一种倾向:为组织内部所惑,跳不出组织之外。重视贡献,才能使管理者的视线从”内部事务、内部工作和内部关系“转移到”外部世界“,转移到组织的成果。重视贡献,才能使管理者努力与外界进行直接接触,包括市场和顾客、社区的病人及政府机构以外的公众。

    总之,重视贡献,就是重视有效性。

    第4章 如何发挥人的长处

    有效的管理者能使人发挥其长处。他知道只抓住缺点和短处是干不成任何事的,为实现目标,必须用人所长——用其同事之所长、用其上级之所长和用其本身之所长。利用好这些长处可以给你带来真正的机会。充分发挥人的长处,才是组织存在的唯一目的。

    要用人所长
    管理者要运用人的长处,面临的第一关即在于择人。有效的管理者择人任事和升迁,都以一个人能做些什么为基础。所以他的用人决策,不在于如何克服人的短处,而在于如何发挥人的长处。
    如果一位管理者仅能见人之短而不能识人之长,因而刻意避其短,而非着眼于发挥其所长,则这位管理者本身就是一位弱者。他会觉得别人的才干可能构成对他本身的威胁。但是,世界上从来没有发生过下属的才干反而害了主管的事。美国的钢铁之父卡内基的墓志铭说得最为透彻:“这里躺着的人,知道选用比自己能力更强的人来为他工作。”卡内基能够看到他们的长处,在工作中运用他们的长处。他们只是在某方面有才干,而适于某项特定的工作。卡内基就是他们的卓有成效的管理者。

    有效的管理者知道他们之所以用人,是用人来做事,而不是用人来投主管之所好。

    有效的管理者从来不问:“他能跟我合得来吗?”他们问的是:“他贡献了什么?”他们从来不问:“他不能做什么?”他们问的是:“他能把什么做好?”所以在用人时,他们用的都是在某一方面有所长的人,而不是在各方面都过得去的人。

    重视一个人的长处,也就是要对他的工作绩效提出要求。真正“苛求的上司”(实际上懂得用人的上司大部分都是“苛求”的上司),总是先发掘一个人最擅长做些什么,再来“苛求”他做些什么。

    卓有成效的管理者究竟该怎样用人,才能既发挥他人的长处,又不致陷入因人设事的陷阱呢?大致来说,不外乎下面4个原则。

    1. 卓有成效的管理者不会认为职位是上天或上帝创造的。职位是由人设计的,是人都可能犯错。因此,他们绝不会设计一个“不可能达成”的职位,换言之,不会设计一个“常人”不可能胜任的职位。 所以,有效的管理者,第一项任务就是要将自己管辖下的职位都设置得合情合理。一旦发现某职位设计不当,他会立刻重新设计,而不会去设法寻找天才来担任,他知道组织的好坏不是由天才来验证的。只有“让平凡人都能做出不平凡的事”的组织,才是好的组织。
    2. 职位的要求要严格,而涵盖要广。合理的职位,是对具有才干的人的挑战。同时因为职位的涵盖很广,所以人们可以把与任务有关的优势转化为切实的成果。
    3. 卓有成效的管理者在用人时,会先考虑某人能做些什么,而不是先考虑职位的要求是什么。
    4. 卓有成效的管理者知道在用人之所长的同时,必须容忍人之所短。

    用人所长是卓有成效的管理者必须具备的一种素质,是一个组织工作是否有效的关键,也是知识工作者和社会不可或缺的素质。

    如何管理上司
    卓有成效的管理者还要设法充分发挥上司的长处,这也是非常重要的。运用上司的长处,也是下属工作卓有成效的关键。要使上司能发挥其所长,不能靠唯命是从,应该从正确的事情着手,并以上司能够接受的方式向其提出建议。
    有效的管理者了解他的上司也是人(然而年轻的下属却不容易有此了解)。上司既然是人,所以肯定有其长处,也肯定有其短处。若能在上司的长处上下工夫,协助他做好能做的工作,便能使上司有效,下属也才能有效。反之,如果下属总强调上司的短处,那就像上司强调下属的短处一样,结果将一无所成。
    所以,有效的管理者常问:“我的上司究竟能做好什么?他曾有过什么成就?要使他发挥他的长处,他还需要知道些什么?他需要我完成些什么?”至于上司不能做些什么,那就不必细究了。 俗语说:“观人易,察己难。”观察别人,我们都是“专家” 。 因此,要使上司有效其实不难。问题只在于应了解上司的长处,知道上司能做些什么。只在于重视上司的长处,使其弱点不产生影响。协助上司发挥其所长,是促使管理者有效的最好方法。

    充分发挥自己的长处

    有效的管理者对于本身的工作,也同样要从长处出发,使自己的长处得以充分发挥。
    大部分的管理者能了解他们自己不能做什么。他们抱怨说:老板不同意他们做什么,公司政策不让他们做什么。因此,他们的时间和才干,都在无限委屈中浪费了。
    当然,有效的管理者肯定关心自己所面临的局限性,但他们也应该了解自己能做的和该做的其实还有很多。尽管有人觉得委屈,不能做事,但有效的管理者却能勇往直前。由于他们能勇往直前,所以别人感到非常严重的限制,在他们面前都烟消云散了。

    有效的管理者会发掘机会。他只要先问:“我到底能做些什么?”他准能找出许许多多重大的工作,就只怕他的时间和资源不够。
    有效的管理者会顺应自己的个性特点,不会勉强自己。他注意的是自己的绩效、自己的成果,从而发展出自己的工作方式来。他会问:“哪一类工作别人做起来要费九牛二虎之力,我做起来却是轻而易举?”
    人的性情往往是事情成败的关键。成年人一般都能了解自己的性情。我们要求有效,就要以了解自己能做些什么为基础,然后以最适合自己的方式做下去。

    在一个组织中,有效性的每一面,都是“机会的开发,问题的消失”。尤其是对人,这一点更是特别重要。有效的管理者,把每一个人都视为可以开发的机会,包括他本人在内。他知道唯有长处才能产生成果,而抓住弱点则只能造成令人头痛的问题。纵然没有弱点,也不能产生什么成果。

    有效的管理者也知道,任何一个团体,其行事标准都取决于领导人的表现。所以,有效的管理者决不允许把自己的表率作用建立在充分发挥所长以外的任何方面。
    领导人和一般人之间总有一段差距。领导人的绩效提高了,一般人也竞相争高。有效的管理者一定明白这层道理:提高领导人的水平容易,但提高全体人员的水平很难。所以,他一定要找出有条件做出突出贡献,并能起带头作用的人才,赋予他们领导人的地位,把他们安置到能“制定标准”并能创造成绩的位置上。这就要求管理者能重视人的长处,而不介意其缺点。当然,如果缺点足以阻碍其长处的发挥,则另当别论。

    总而言之,管理者的任务不是去改变人。管理者的任务,在于运用每一个人的才干,是要让各人的才智、健康以及抱负得到充分发挥,从而使组织的整体效益得到成倍的增长。

    第5章 要事优先

    卓有成效如果有什么秘诀的话,那就是善于集中精力。卓有成效的管理者总是把重要的事情放在前面先做,而且一次只做好一件事。
    同样地,一位管理者越想发挥长处,就越感到应在重大机会上,集中一切可用的长处。这是获得成果的唯一办法。
    要有效地利用人类的才能,最好的办法,莫过于集中个人所有的才能于一件要务上。

    正因为管理者面对的事务太多太杂,才特别需要专心。一次只做好一件工作,恰恰就是加快工作速度的最佳方法。越能集中我们的时间、努力和资源,我们所能完成的工作也就越多。

    摆脱昨天

    管理者专心一致,第一项原则是要摆脱已经不再有价值的过去。
    人若遭遇了重大的失败,改正并不太难,他们能检讨自己。可是昨天的成功,却能留无尽的影响,远超出成功的有效期。尤其危险的是,有些活动本应该产生良好的效果,但是由于一些原因却没能产生效果。过去的成功和活动,往往演变成“经营管理上的自我主义的资产”,并且是神圣不可侵犯的。但是,这些过去的成功和活动最需要无情的检讨,否则组织的血液都流失到这种自我之中了。而且这种“经营管理上的自我主义的资产”,往往占用了组织中最能干的人才,却还说那是“值得的”。

    政府机构容易受上述毛病的感染,其他组织也不能免疫。奉劝各大公司的企业家在抱怨政府官僚习气的同时,也检讨自己的公司是否充满了形形色色的“控制机制”,其实却什么也控制不了。自己的公司是否在进行种种研究,其实只是用来掩饰自己缺乏果断?自己的公司是否拥有各方面的人才,其实只是为了表示你们“有”各种研究和“有”各种关系?自己的公司是否沉湎于昨天的过时产品,浪费自己的主要智囊人物的时间,也扼杀了明天的产品?

    一位希望自己有效,也希望其组织有效的管理者,必然会自我检视一切的方案、活动和任务。他会问:“这件事现在还有继续做的价值吗?”如果认为没有价值了,他便立即停手,而将时间精力转移到其他只要做得好,便能使自己更为有效的任务上,也能促使他的组织更为成功。

    尤其重要的是:有效的管理者打算做一项新的业务时,一定要先删除一项原有的业务。这对控制组织的“膨胀”是非常必要的。“膨胀”如不加以控制,组织就会变得涣散、难以管理。社会组织恰如生物有机体,必须保持“瘦且有肌肉”的状态。

    要“出新”,必从“推新”着手。任何一个组织,都不缺乏新的创意。所以,严格说来,我们的问题不是缺乏“创意“,所缺乏的只是创意的执行。人人都在为昨天的任务而忙碌。只要能定期审视当前的计划或活动,并抛弃那些不再有产出的事情,即便是最暮气沉沉的机构,也能获得生机。

    先后次序的考虑

    在管理者面前,摆着许多值得去做的工作,但管理者的时间却非常有限。未来的机会也很多,但能抓得住的机会的能人却太少。
    只有在我们确有足够的人力去做时,才能为我们带来机会。

    如果按压力来决定优先次序,结果必将牺牲许多重大的要务。
    按压力来决定优先次序,还会产生另一种后果:组织中的高层,完全无法完成其职责。一般来说一件新任务肯定不是为了解决昨天的困难,而是为了一个新的明天,所以总是可以缓办的。许多管理者都知道,所谓”暂行缓办“,实际就是“永远不办”。许多管理者都知道,一个计划如果该办时不办,日后再恢复办理,恐怕就不一定适当了。

    以下是几条可帮助确定优先次序的重要原则,每条都与勇气密切相关:

    • 重将来而不重过去;
    • 重视机会,不能只看到困难;
    • 选择自己的方向,而不盲从;
    • 目标要高,要有新意,不能只求安全和容易。

    换言之,一位有效的管理者,会把主要精力集中在当前正在进行的工作上,而不会再去兼办其他工作。完成一件事情之后,他会根据情况的变化,再决定下一步的优先事项。]要想集中精力,全神贯注于一项工作,首先要有足够的勇气,要敢于决定真正该做和真正先做的工作。这是管理者唯一的希望,只有这样,管理者才能成为时间和任务的“主宰”,而不会成为它们的奴隶。

    第6章 决策的要素

    管理者之所以为管理者,正是由于他拥有特殊的地位和知识,所以人们期望他能做出对整个组织、绩效和成果具有特殊影响的决策。
    因此,卓有成效的管理者,做的是有效的决策。

    有效的管理者知道什么时候应依据原则做决策,什么时候应依据实际情况的需要做决策。他们知道最棘手的决策,是正反两面折中的决策,他们能分辨正反两面的差异。他们知道在整个决策过程中,最费时的不是决策本身,而是决策的推行。一项决策如果不能付诸于行动,就称不上是真正的决策,最多只是一种良好的意愿。也就是说,有效的决策虽然是以高层次的理论认识为基础,但决策的推行却必须尽可能地接近工作层面,必须力求简单。

    决策的五个要素

    1. 要确实了解问题的性质,如果问题是经常性的,那就只能通过一项建立规则或原则的决策才能解决。
    2. 要确实找出解决问题时必须满足的界限,换言之,应找出问题的“边界条件”。
    3. 仔细思考解决问题的正确方案是什么以及这些方案必须满足哪些条件,然后再考虑必要的妥协、适应及让步事项,以期该决策能被接受。
    4. 决策方案要同时兼顾执行措施,让决策变成可被贯彻的行动。
    5. 在执行的过程中重视反馈,以印证决策的正确性及有效性。

    (1)有效的管理者所做的决策一般不会太多。
    他既然已经设计了一套规则和政策来解决经常事件,就可以运用有关的规则来解决绝大多数的问题。一位管理者如果天天要做决策,时时要做决策,那恰恰说明他是个疏懒和无效的人。

    (2)决策的第二个要素,在于确实了解决策应遵循的规范。
    决策的目标是什么?换言之,最低限度应该达成什么目的?应该满足什么条件?用科学的术语来说,这就是所谓“边界条件”。一项有效的决策必须符合边界条件,必须足以达成目的。事实上,我们对边界条件必须保持清醒的认识,这能提醒我们一项决策什么时候应该抛弃。错误的边界条件,以及不符合边界条件的决策,均是无效和不适当的决策。

    (3)决策的第三个要素,是研究“正确”的决策是什么,而不是研究“能为人接受”的决策是什么。
    人总有采取折中办法的倾向,如果我们不知道符合规范及边界条件的“正确”决策是什么,就无法辨别正确的折中和错误的折中之间的区别,最终不免走到错误的折中方向去。

    (4)决策的第四个要素,是化决策为行动。
    考虑决策边界条件,是决策过程中最难的一步;化决策为行动,则是最费时的一步。然而打从决策开始,我们就应该将行动的承诺纳入决策中,否则便是纸上谈兵。事实上,一项决策如果没有列举详细具体的行动步骤,并指派为某人的工作和责任,那便不能算是一项决策,最多只是一种意愿。决策行动还必须与执行人员的工作能力相适应。
    若要化决策为行动,首先必须明确无误地回答下面几个问题:

    1. 谁应该了解这项决策?
    2. 应该采取什么行动?
    3. 谁采取行动?
    4. 这些行动应如何进行,才能使执行的人能够执行?

    第一个问题和最后一个问题,通常最容易被人忽略,以至于即使有了结果,也是灾难性的。

    (5)决策的最后一个要素,是应在决策中建立一项信息反馈制度,以便经常对决策所预期的成果做实际的印证。

    第7章 有效的决策

    个人见解和决策的关系

    决策是一种判断,是若干项方案中的选择。有效的管理者都知道一项决策不是从搜集事实开始,而是先有自己的见解。这样做是正确的,因为凡在某一领域具有经验者,都应该有他的见解。假如说一个人在某一方面经验丰富,而竟然没有见解,那就说明此人没有敏锐的观察力,头脑迟钝。

    许多教科书说,决策来自大家一致的意见,其实这也不然。有效的决策,常自多种不同且互相冲突的见解中产生,常自多种旗鼓相当、优劣互见的方案中产生。

    有效的管理者鼓励大家提出见解。但在鼓励的同时,他也会叫大家深思其见解,认清其见解经过实证后的结果。这其中最为关键的问题是:问题本身的衡量和决策的衡量。
    有效的管理者通常必先假定传统的衡量方法并非适当的衡量方法。否则,他就用不着做决策了,他只略做简单的调整就可以了。传统的衡量方法反映的是昨天的决策。我们之所以需要一项新决策,正表示过去的衡量方法已不适于今天了。

    管理者的决策不是从“众口一词”中得来的。好的决策,应以互相冲突的意见为基础,从不同的观点和不同的判断中选择。所以,除非有不同的见解,否则就不可能有决策。

    反面意见的运用

    为什么该有反面意见,主要有三项理由。

    第一,唯有反面意见,才能保护决策者不致沦为组织的俘虏。
    在一个组织中,所有人都必有求于决策者,每个人都各有所求,都希望主管的决策能对自己有利。唯一能突破这一陷阱,使决策者不致成为某方面的俘虏的办法,就在于引起争辩、掌握实据和经过深思熟虑的反面意见。

    第二,反面意见本身,正是决策所需的“另一方案”。
    决策时只有一种方案,别无其他选择,无论多少深思熟虑,那与赌博何异?

    第三,反面意见可以激发想象力。
    我们需要想象力,因为缺乏想象力的管理者不可能从另一个不同的、全新的角度去观察和理解。

    所以,有效的管理者会运用反面意见。只有这样,他才能避免为“似是而非”的看法所征服;他才能得到“替代方案”,以供他选择和决定;他也才能在万一决策行不通时不至于迷惘。同时,鼓励反面意见,可以启发他本人的想象力,启发与他共事者的想象力。反面意见能把“言之有理”者转化为“正确”,再把“正确”转化为“良好的决策”。

    有效的管理者绝不认为某一行动方向为“对”,其他行动方向均为“错”。他也绝不坚持己见,以自己为“对”,以他人为“错”。有效的管理者第一步会先找出为什么各人有不同的意见。

    最后,有效的管理者还得再问一个问题:“我们是不是真的需要一项决策?”为什么要问这个问题呢?因为有时候什么都不做也是一种决策。

    做一项决策像动一次外科手术。任何新的决策都不免影响既有的制度,因此多少得冒风险。我们通常所做的决策,大部分都介于必须做决策与可以不做决策这两者之间。在这种情形下,有效的管理者会做比较:做了新决策,可能有什么收获和风险;不做又可能有什么损失。至于如何比较,通常没有一定的公式。但是,实际上只要遵循下面两项原则就够了:

    • 如果利益远大于成本及风险,就该行动;
    • 行动或不行动,切忌只做一半或折中。

    组织雇用管理者并不是要他去做他自己喜欢做的事。管理者的责任是要把该做的事做好,具体地说,就是要进行有效的决策。

    第8章 结论:管理者必须卓有成效

    本书讨论的内容是以如下两项为前提的:

    • 管理者的工作必须卓有成效;
    • 卓有成效是可以学会的。

    (1)要做到卓有成效,首先要做的第一步,是记录好时间的使用情况。
    (2)第二步,是管理者应把眼光集中在贡献上。
    (3)第三步,充分发挥人的长处。
    (4)第四步,要事优先。
    (5)做有效的决策。

    管理者的自我提高往往比卓有成效的训练更为重要。管理者必须增进其知识与技巧,必须养成各种新的工作习惯,同时也必须放弃旧的工作习惯。

    当一名管理者,并没有什么值得自豪的,因为管理者与其他千千万万人一样,都是做他自己应做的工作。即使已成为一位有效的管理者,我们仍然还有更高的人生境界。正因为有效的管理者并不是高不可攀的境界,我们才期望能到达这一境界。

    本书的目的,是希望在我们今天的社会和各种组织中,能培养出大量的卓有成效的管理者。今天的组织,需要的是由平凡人来做不平凡的事业。这正是有效的管理者所应自勉的目标。

    有效的管理者的自我提高,是个人的真正发展。这种自我提高该包括从技术性细节到工作态度、价值观、品格等各个方面,包括从履行工作程序到承担各项义务等各个领域。

    有效的管理者的自我提高,是组织发展的关键所在。管理者有效性的发展,其实是对组织的目标和方向的挑战。有了这种挑战精神,我们就能转移视线:由专注于问题转而重视机会,由只见人之所短转而能用人所长。

    今天的社会有两种需要:对组织而言,需要个人为其做出贡献;对个人而言,需要把组织当成实现自己人生目标的工具。只有管理者的有效性,才能使这两种社会需要相辅相成。

    总而言之,卓有成效确实是必须学会的。

    展开全文
  • 《等级保护二级基本要求

    千次阅读 2020-07-15 10:00:57
    等级保护二级基本要求: 通过等级保护工作发现单位信息系统存在的安全隐患和不足,进行安全整改之后,提高信息系统的信息安全防护能力,降低系统被各种攻击的风险,维护单位良好的形象。 等级保护是我国关于信息安全...

    等级保护二级基本要求:
    通过等级保护工作发现单位信息系统存在的安全隐患和不足,进行安全整改之后,提高信息系统的信息安全防护能力,降低系统被各种攻击的风险,维护单位良好的形象。
    等级保护是我国关于信息安全的基本政策,国家法律法规、相关政策制度要求单位开展等级保护工作。如《网络安全等级保护管理办法》和《中华人民共和国网络安全法》。
    很多行业主管单位要求行业客户开展等级保护工作,目前已经下发行业要求文件的有:金融、电力、广电、医疗、教育等行业等。
    落实个人及单位的网络安全保护义务,合理规避风险。
    1  范围
    本标准规定了不同安全保护等级信息系统的基本保护要求,包括基本技术要求和基本管理要求,适用于指导分等级的信息系统的安全建设和监督管理。
    2  规范性引用文件
    下列文件中的条款通过在本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件,其最新版本适用于本标准。
    GB/T 5271.8?信息技术 词汇 第8部分:安全
    GB17859-1999 计算机信息系统安全保护等级划分准则
    GB/T AAAA-AAAA 信息安全技术 信息系统安全等级保护定级指南
    3  术语和定义
    GB/T 5271.8和GB 17859-1999确立的以及下列术语和定义适用于本标准。
    3.1  ?
    安全保护能力 security protection ability
    系统能够抵御威胁、发现安全事件以及在系统遭到损害后能够恢复先前状态等的程度。
    等级保护二级基本要求
    4  信息系统安全等级保护概述
    4.1  信息系统安全保护等级
    信息系统根据其在国家安全、经济建设、社会生活中的重要程度,遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等,由低到高划分为五级,五级定义见GB/T AAAA-AAAA。
    4.2  不同等级的安全保护能力
    不同等级的信息系统应具备的基本安全保护能力如下:
    第一级安全保护能力:应能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害,在系统遭到损害后,能够恢复部分功能。
    第二级安全保护能力:应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害,能够发现重要的安全漏洞和安全事件,在系统遭到损害后,能够在一段时间内恢复部分功能。
    第三级安全保护能力:应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害,能够发现安全漏洞和安全事件,在系统遭到损害后,能够较快恢复绝大部分功能。
    第四级安全保护能力:应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害,能够发现安全漏洞和安全事件,在系统遭到损害后,能够迅速恢复所有功能。
    第五级安全保护能力:(略)。
    4.3  基本技术要求和基本管理要求
    信息系统安全等级保护应依据信息系统的安全保护等级情况保证它们具有相应等级的基本安全保护能力,不同安全保护等级的信息系统要求具有不同的安全保护能力。
    基 本安全要求是针对不同安全保护等级信息系统应该具有的基本安全保护能力提出的安全要求,根据实现方式的不同,基本安全要求分为基本技术要求和基本管理要求 两大类。技术类安全要求与信息系统提供的技术安全机制有关,主要通过在信息系统中部署软硬件并正确的配置其安全功能来实现;管理类安全要求与信息系统中各 种角色参与的活动有关,主要通过控制各种角色的活动,从政策、制度、规范、流程以及记录等方面做出规定来实现。
    基本技术要求从物理安全、网络安全、主机安全、应用安全和数据安全几个层面提出;基本管理要求从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理几个方面提出,基本技术要求和基本管理要求是确保信息系统安全不可分割的两个部分。
    基 本安全要求从各个层面或方面提出了系统的每个组件应该满足的安全要求,信息系统具有的整体安全保护能力通过不同组件实现基本安全要求来保证。除了保证系统 的每个组件满足基本安全要求外,还要考虑组件之间的相互关系,来保证信息系统的整体安全保护能力。关于信息系统整体安全保护能力的说明见附录A。
    对于涉及国家秘密的信息系统,应按照国家保密工作部门的相关规定和标准进行保护。对于涉及密码的使用和管理,应按照国家密码管理的相关规定和标准实施。
    4.4  基本技术要求的三种类型
    根据保护侧重点的不同,技术类安全要求进一步细分为:保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求(简记为S);保护系统连续正常的运行,免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求(简记为A);通用安全保护类要求(简记为G)。
    本标准中对基本安全要求使用了标记,其中的字母表示安全要求的类型,数字表示适用的安全保护等级。关于各类安全要求的选择和使用见附录B。
    5  第一级基本要求?
    5.1  技术要求
    5.1.1  物理安全
    5.1.1.1  物理访问控制(G1)
    机房出入应安排专人负责,控制、鉴别和记录进入的人员。
    5.1.1.2  防盗窃和防破坏(G1)
    本项要求包括:
    a) 应将主要设备放置在机房内;
    b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记。
    5.1.1.3  防雷击(G1)
    机房建筑应设置避雷装置。
    5.1.1.4  防火(G1)
    机房应设置灭火设备。
    5.1.1.5  防水和防潮(G1)
    本项要求包括:
    a) 应对穿过机房墙壁和楼板的水管增加必要的保护措施;
    b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
    5.1.1.6  温湿度控制(G1)
    机房应设置必要的温、湿度控制设施,使机房温、湿度的变化在设备运行所允许的范围之内。
    5.1.1.7  电力供应(A1)
    应在机房供电线路上配置稳压器和过电压防护设备。
    5.1.2  网络安全
    5.1.2.1  结构安全(G1)
    本项要求包括:
    a) 应保证关键网络设备的业务处理能力满足基本业务需要;
    b) 应保证接入网络和核心网络的带宽满足基本业务需要;
    c) 应绘制与当前运行情况相符的网络拓扑结构图。
    5.1.2.2  访问控制(G1)
    本项要求包括:
    a) 应在网络边界部署访问控制设备,启用访问控制功能;
    b) 应根据访问控制列表对源地址、目的地址、源端口、目的端口和协议等进行检查,以允许/拒绝数据包出入;
    c) 应通过访问控制列表对系统资源实现允许或拒绝用户访问,控制粒度至少为用户组。
    5.1.2.3  网络设备防护(G1)
    本项要求包括:
    a) 应对登录网络设备的用户进行身份鉴别;
    b) 应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;
    c) 当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听。
    5.1.3  主机安全
    5.1.3.1  身份鉴别(S1)
    应对登录操作系统和数据库系统的用户进行身份标识和鉴别。
    5.1.3.2  访问控制(S1)
    本项要求包括:
    a) 应启用访问控制功能,依据安全策略控制用户对资源的访问;
    b) 应限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;
    c) 应及时删除多余的、过期的帐户,避免共享帐户的存在。
    5.1.3.3  入侵防范(G1)
    操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并保持系统补丁及时得到更新。
    5.1.3.4  恶意代码防范(G1)
    应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库。
    5.1.4  应用安全
    5.1.4.1  身份鉴别(S1)
    本项要求包括:
    a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
    b) 应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
    c) 应启用身份鉴别和登录失败处理功能,并根据安全策略配置相关参数。
    5.1.4.2  访问控制(S1)
    本项要求包括:
    a) 应提供访问控制功能控制用户组/用户对系统功能和用户数据的访问;
    b) 应由授权主体配置访问控制策略,并严格限制默认用户的访问权限。
    5.1.4.3  通信完整性(S1)
    应采用约定通信会话方式的方法保证通信过程中数据的完整性。
    5.1.4.4  软件容错(A1)
    应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求。
    5.1.5  数据安全及备份恢复
    5.1.5.1  数据完整性(S1)
    应能够检测到重要用户数据在传输过程中完整性受到破坏。
    5.1.5.2  备份和恢复(A1)
    应能够对重要信息进行备份和恢复。
    5.2  管理要求
    5.2.1  安全管理制度
    5.2.1.1  管理制度(G1)
    应建立日常管理活动中常用的安全管理制度。
    5.2.1.2  制定和发布(G1)
    本项要求包括:
    a) 应指定或授权专门的人员负责安全管理制度的制定;
    b) 应将安全管理制度以某种方式发布到相关人员手中。
    5.2.2  安全管理机构
    5.2.2.1  岗位设置(G1)
    应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责。
    5.2.2.2  人员配备(G1)
    应配备一定数量的系统管理员、网络管理员、安全管理员等。
    5.2.2.3  授权和审批(G1)
    应根据各个部门和岗位的职责明确授权审批部门及批准人,对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批。
    5.2.2.4  沟通和合作(G1)
    应加强与兄弟单位、公安机关、电信公司的合作与沟通。
    5.2.3  人员安全管理
    5.2.3.1  人员录用(G1)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责人员录用;
    b) 应对被录用人员的身份和专业资格等进行审查,并确保其具有基本的专业技术水平和安全管理知识。
    5.2.3.2  人员离岗(G1)
    等级保护二级
    本项要求包括:
    a) 应立即终止由于各种原因离岗员工的所有访问权限;
    b) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。
    5.2.3.3  安全意识教育和培训(G1)
    本项要求包括:
    a) 应对各类人员进行安全意识教育和岗位技能培训;
    b) 应告知人员相关的安全责任和惩戒措施。
    5.2.3.4  外部人员访问管理(G1)
    应确保在外部人员访问受控区域前得到授权或审批。
    5.2.4  系统建设管理
    5.2.4.1  系统定级(G1)
    本项要求包括:
    a) 应明确信息系统的边界和安全保护等级;
    b) 应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由;
    c) 应确保信息系统的定级结果经过相关部门的批准。
    5.2.4.2  安全方案设计(G1)
    本项要求包括:
    a) 应根据系统的安全保护等级选择基本安全措施,依据风险分析的结果补充和调整安全措施;
    b) 应以书面的形式描述对系统的安全保护要求和策略、安全措施等内容,形成系统的安全方案;
    c) 应对安全方案进行细化,形成能指导安全系统建设、安全产品采购和使用的详细设计方案。
    5.2.4.3  产品采购和使用(G1)
    应确保安全产品采购和使用符合国家的有关规定。
    5.2.4.4  自行软件开发(G1)
    本项要求包括:
    a) 应确保开发环境与实际运行环境物理分开;
    b) 应确保软件设计相关文档由专人负责保管。
    5.2.4.5  外包软件开发(G1)
    本项要求包括:
    a) 应根据开发要求检测软件质量;
    b) 应在软件安装之前检测软件包中可能存在的恶意代码;
    c) 应确保提供软件设计的相关文档和使用指南。
    5.2.4.6  工程实施(G1)
    应指定或授权专门的部门或人员负责工程实施过程的管理。
    5.2.4.7  测试验收(G1)
    本项要求包括:
    a) 应对系统进行安全性测试验收;
    b) 在测试验收前应根据设计方案或合同要求等制订测试验收方案,在测试验收过程中应详细记录测试验收结果,并形成测试验收报告。
    5.2.4.8  系统交付(G1)
    本项要求包括:
    a) 应制定系统交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点;
    b) 应对负责系统运行维护的技术人员进行相应的技能培训;
    c) 应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。
    5.2.4.9  安全服务商选择(G1)
    本项要求包括:
    a) 应确保安全服务商的选择符合国家的有关规定;
    b) 应与选定的安全服务商签订与安全相关的协议,明确约定相关责任。
    5.2.5  系统运维管理
    5.2.5.1  环境管理(G1)
    本项要求包括:
    a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理;
    b) 应对机房的出入、服务器的开机或关机等工作进行管理;
    c) 应建立机房安全管理制度,对有关机房物理访问,物品带进、带出机房和机房环境安全等方面的管理作出规定。
    5.2.5.2  资产管理(G1)
    应编制与信息系统相关的资产清单,包括资产责任部门、重要程度和所处位置等内容。
    5.2.5.3  介质管理(G1)
    本项要求包括:
    a) 应确保介质存放在安全的环境中,对各类介质进行控制和保护;
    b) 应对介质归档和查询等过程进行记录,并根据存档介质的目录清单定期盘点。
    5.2.5.4  设备管理(G1)
    本项要求包括:
    a) 应对信息系统相关的各种设备、线路等指定专门的部门或人员定期进行维护管理;
    b) 应建立基于申报、审批和专人负责的设备安全管理制度,对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理。
    5.2.5.5  网络安全管理(G1)
    本项要求包括:
    a) 应指定人员对网络进行管理,负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作;
    b) 应定期进行网络系统漏洞扫描,对发现的网络系统安全漏洞进行及时的修补。
    5.2.5.6  系统安全管理(G1)
    本项要求包括:
    a) 应根据业务需求和系统安全分析确定系统的访问控制策略;
    b) 应定期进行漏洞扫描,对发现的系统安全漏洞进行及时的修补;
    c) 应安装系统的最新补丁程序,并在安装系统补丁前对现有的重要文件进行备份。
    5.2.5.7  恶意代码防范管理(G1)
    应提高所有用户的防病毒意识,告知及时升级防病毒软件,在读取移动存储设备上的数据以及网络上接收文件或邮件之前,先进行病毒检查,对外来计算机或存储设备接入网络系统之前也应进行病毒检查。
    5.2.5.8  备份与恢复管理(G1)
    本项要求包括:
    a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等;
    b) 应规定备份信息的备份方式、备份频度、存储介质、保存期等。
    5.2.5.9  安全事件处置(G1)
    本项要求包括:
    a) 应报告所发现的安全弱点和可疑事件,但任何情况下用户均不应尝试验证弱点;
    b) 应制定安全事件报告和处置管理制度,规定安全事件的现场处理、事件报告和后期恢复的管理职责。
    6  第二级基本要求
    6.1  技术要求
    6.1.1  物理安全
    6.1.1.1  物理位置的选择(G2)
    机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。
    6.1.1.2  物理访问控制(G2)
    本项要求包括:
    a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员;
    b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围。
    6.1.1.3  防盗窃和防破坏(G2)
    本项要求包括:
    a) 应将主要设备放置在机房内;
    b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记;
    c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;
    d) 应对介质分类标识,存储在介质库或档案室中;
    e) 主机房应安装必要的防盗报警设施。
    6.1.1.4  防雷击(G2)
    本项要求包括:
    a) 机房建筑应设置避雷装置;
    b) 机房应设置交流电源地线。
    6.1.1.5  防火(G2)
    机房应设置灭火设备和火灾自动报警系统。
    6.1.1.6  防水和防潮(G2)
    本项要求包括:
    a) 水管安装,不得穿过机房屋顶和活动地板下;
    b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
    c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。
    6.1.1.7  防静电(G2)
    关键设备应采用必要的接地防静电措施。
    6.1.1.8  温湿度控制(G2)
    机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。
    6.1.1.9  电力供应(A2)
    本项要求包括:
    a) 应在机房供电线路上配置稳压器和过电压防护设备;
    b) 应提供短期的备用电力供应,至少满足关键设备在断电情况下的正常运行要求。
    6.1.1.10  电磁防护(S2)
    电源线和通信线缆应隔离铺设,避免互相干扰。
    6.1.2  网络安全
    6.1.2.1  结构安全(G2)
    本项要求包括:
    a) 应保证关键网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;
    b) 应保证接入网络和核心网络的带宽满足业务高峰期需要;
    c) 应绘制与当前运行情况相符的网络拓扑结构图;
    d) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段。
    6.1.2.2  访问控制(G2)
    本项要求包括:
    a) 应在网络边界部署访问控制设备,启用访问控制功能;
    b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为网段级。
    c) 应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户;
    d) 应限制具有拨号访问权限的用户数量。
    6.1.2.3  安全审计(G2)
    本项要求包括:
    a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;
    b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。
    6.1.2.4  边界完整性检查(S2)
    应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查。
    6.1.2.5  入侵防范(G2)
    应在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。
    6.1.2.6  网络设备防护(G2)
    本项要求包括:
    a) 应对登录网络设备的用户进行身份鉴别;
    b) 应对网络设备的管理员登录地址进行限制;
    c) 网络设备用户的标识应唯一;
    d) 身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
    e) 应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;
    f) 当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听。
    6.1.3  主机安全
    6.1.3.1  身份鉴别(S2)
    本项要求包括:
    a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
    b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
    c) 应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
    d) 当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;
    e) 应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性。
    6.1.3.2  访问控制(S2)
    本项要求包括:
    a) 应启用访问控制功能,依据安全策略控制用户对资源的访问;
    b) 应实现操作系统和数据库系统特权用户的权限分离;
    c) 应限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;
    d) 应及时删除多余的、过期的帐户,避免共享帐户的存在。
    6.1.3.3  安全审计(G2)
    本项要求包括:
    a) 审计范围应覆盖到服务器上的每个操作系统用户和数据库用户;
    b) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;
    c) 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;
    d) 应保护审计记录,避免受到未预期的删除、修改或覆盖等。
    6.1.3.4  入侵防范(G2)
    操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方式保持系统补丁及时得到更新。
    6.1.3.5  恶意代码防范(G2)
    本项要求包括:
    a) 应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;
    b) 应支持防恶意代码软件的统一管理。
    6.1.3.6  资源控制(A2)
    本项要求包括:
    a) 应通过设定终端接入方式、网络地址范围等条件限制终端登录;
    b) 应根据安全策略设置登录终端的操作超时锁定;
    c) 应限制单个用户对系统资源的最大或最小使用限度。
    6.1.4  应用安全
    6.1.4.1  身份鉴别(S2)
    本项要求包括:
    a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
    b) 应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;
    c) 应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
    d) 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。
    6.1.4.2  访问控制(S2)
    本项要求包括:
    a) 应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;
    b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;
    c) 应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;
    d) 应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。
    6.1.4.3  安全审计(G2)
    本项要求包括:
    a) 应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;
    b) 应保证无法删除、修改或覆盖审计记录;
    c) 审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等。
    6.1.4.4  通信完整性(S2)
    应采用校验码技术保证通信过程中数据的完整性。
    6.1.4.5  通信保密性(S2)
    本项要求包括:
    a) 在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;
    b) 应对通信过程中的敏感信息字段进行加密。
    6.1.4.6  软件容错(A2)
    本项要求包括:
    a) 应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;
    b) 在故障发生时,应用系统应能够继续提供一部分功能,确保能够实施必要的措施。
    6.1.4.7  资源控制(A2)
    本项要求包括:
    a) 当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;
    b) 应能够对应用系统的最大并发会话连接数进行限制;
    c) 应能够对单个帐户的多重并发会话进行限制。
    6.1.5  数据安全及备份恢复
    6.1.5.1  数据完整性(S2)
    应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏。
    6.1.5.2  数据保密性(S2)
    应采用加密或其他保护措施实现鉴别信息的存储保密性。
    6.1.5.3  备份和恢复(A2)
    本项要求包括:
    a) 应能够对重要信息进行备份和恢复;
    b) 应提供关键网络设备、通信线路和数据处理系统的硬件冗余,保证系统的可用性。
    6.2  管理要求
    6.2.1  安全管理制度
    6.2.1.1  管理制度(G2)
    本项要求包括:
    a) 应制定信息安全工作的总体方针和安全策略,说明机构安全工作的总体目标、范围、原则和安全框架等;
    b) 应对安全管理活动中重要的管理内容建立安全管理制度;
    c) 应对安全管理人员或操作人员执行的重要管理操作建立操作规程。
    6.2.1.2  制定和发布(G2)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责安全管理制度的制定;
    b) 应组织相关人员对制定的安全管理制度进行论证和审定;
    c) 应将安全管理制度以某种方式发布到相关人员手中。
    6.2.1.3  评审和修订(G2)
    应定期对安全管理制度进行评审,对存在不足或需要改进的安全管理制度进行修订。
    6.2.2  安全管理机构
    6.2.2.1  岗位设置(G2)
    本项要求包括:
    a) 应设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责;
    b) 应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责。
    6.2.2.2  人员配备(G2)
    本项要求包括:
    a) 应配备一定数量的系统管理员、网络管理员、安全管理员等;
    b) 安全管理员不能兼任网络管理员、系统管理员、数据库管理员等。
    6.2.2.3  授权和审批(G2)
    本项要求包括:
    a) 应根据各个部门和岗位的职责明确授权审批部门及批准人,对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批;
    b) 应针对关键活动建立审批流程,并由批准人签字确认。
    6.2.2.4  沟通和合作(G2)
    本项要求包括:
    a) 应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通;
    b) 应加强与兄弟单位、公安机关、电信公司的合作与沟通。
    6.2.2.5  审核和检查(G2)
    安全管理员应负责定期进行安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况。
    6.2.3  人员安全管理
    6.2.3.1  人员录用(G2)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责人员录用;
    b) 应规范人员录用过程,对被录用人员的身份、背景和专业资格等进行审查,对其所具有的技术技能进行考核;
    c) 应与从事关键岗位的人员签署保密协议。
    6.2.3.2  人员离岗(G2)
    本项要求包括:
    a) 应规范人员离岗过程,及时终止离岗员工的所有访问权限;
    b) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;
    c) 应办理严格的调离手续。
    6.2.3.3  人员考核(G2)
    应定期对各个岗位的人员进行安全技能及安全认知的考核。
    6.2.3.4  安全意识教育和培训(G2)
    本项要求包括:
    a) 应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训;
    b) 应告知人员相关的安全责任和惩戒措施,并对违反违背安全策略和规定的人员进行惩戒;
    c) 应制定安全教育和培训计划,对信息安全基础知识、岗位操作规程等进行培训。
    6.2.3.5  外部人员访问管理(G2)
    应确保在外部人员访问受控区域前得到授权或审批,批准后由专人全程陪同或监督,并登记备案。
    6.2.4  系统建设管理
    6.2.4.1  系统定级(G2)
    本项要求包括:
    a) 应明确信息系统的边界和安全保护等级;
    b) 应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由;
    c) 应确保信息系统的定级结果经过相关部门的批准。
    6.2.4.2  安全方案设计(G2)
    本项要求包括:
    a) 应根据系统的安全保护等级选择基本安全措施,依据风险分析的结果补充和调整安全措施;
    b) 应以书面形式描述对系统的安全保护要求、策略和措施等内容,形成系统的安全方案;
    c) 应对安全方案进行细化,形成能指导安全系统建设、安全产品采购和使用的详细设计方案;
    d) 应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定,并且经过批准后,才能正式实施。
    6.2.4.3  产品采购和使用(G2)
    本项要求包括:
    a) 应确保安全产品采购和使用符合国家的有关规定;
    b) 应确保密码产品采购和使用符合国家密码主管部门的要求;
    c) 应指定或授权专门的部门负责产品的采购。
    6.2.4.4  自行软件开发(G2)
    本项要求包括:
    a) 应确保开发环境与实际运行环境物理分开;
    b) 应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则;
    c) 应确保提供软件设计的相关文档和使用指南,并由专人负责保管。
    6.2.4.5  外包软件开发(G2)
    本项要求包括:
    a) 应根据开发要求检测软件质量;
    b) 应确保提供软件设计的相关文档和使用指南;
    c) 应在软件安装之前检测软件包中可能存在的恶意代码;
    d) 应要求开发单位提供软件源代码,并审查软件中可能存在的后门。
    6.2.4.6  工程实施(G2)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责工程实施过程的管理;
    b) 应制定详细的工程实施方案,控制工程实施过程。
    6.2.4.7  测试验收(G2)
    本项要求包括:
    a) 应对系统进行安全性测试验收;
    b) 在测试验收前应根据设计方案或合同要求等制订测试验收方案,在测试验收过程中应详细记录测试验收结果,并形成测试验收报告;
    c) 应组织相关部门和相关人员对系统测试验收报告进行审定,并签字确认。
    6.2.4.8  系统交付(G2)
    本项要求包括:
    a) 应制定系统交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点;
    b) 应对负责系统运行维护的技术人员进行相应的技能培训;
    c) 应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。
    6.2.4.9  安全服务商选择(G2)
    本项要求包括:
    a) 应确保安全服务商的选择符合国家的有关规定;
    b) 应与选定的安全服务商签订与安全相关的协议,明确约定相关责任;
    c) 应确保选定的安全服务商提供技术支持和服务承诺,必要的与其签订服务合同。
    6.2.5  系统运维管理
    6.2.5.1  环境管理(G2)
    本项要求包括:
    a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理;
    b) 应配备机房安全管理人员,对机房的出入、服务器的开机或关机等工作进行管理;
    c) 应建立机房安全管理制度,对有关机房物理访问,物品带进、带出机房和机房环境安全等方面的管理作出规定;
    d) 应加强对办公环境的保密性管理,包括工作人员调离办公室应立即交还该办公室钥匙和不在办公区接待来访人员等。
    6.2.5.2  资产管理(G2)
    本项要求包括:
    a) 应编制与信息系统相关的资产清单,包括资产责任部门、重要程度和所处位置等内容;
    b) 应建立资产安全管理制度,规定信息系统资产管理的责任人员或责任部门,并规范资产管理和使用的行为。
    6.2.5.3  介质管理(G2)
    本项要求包括:
    a) 应确保介质存放在安全的环境中,对各类介质进行控制和保护,并实行存储环境专人管理;
    b) 应对介质归档和查询等过程进行记录,并根据存档介质的目录清单定期盘点;
    c) 应对需要送出维修或销毁的介质,首先清除其中的敏感数据,防止信息的非法泄漏;
    d) 应根据所承载数据和软件的重要程度对介质进行分类和标识管理。
    6.2.5.4  设备管理(G2)
    本项要求包括:
    a) 应对信息系统相关的各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理;
    b) 应建立基于申报、审批和专人负责的设备安全管理制度,对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理;
    c) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理,按操作规程实现关键设备(包括备份和冗余设备)的启动/停止、加电/断电等操作;
    d) 应确保信息处理设备必须经过审批才能带离机房或办公地点。
    6.2.5.5  网络安全管理(G2)
    本项要求包括:
    a) 应指定人员对网络进行管理,负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作;
    b) 应建立网络安全管理制度,对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定;
    c) 应根据厂家提供的软件升级版本对网络设备进行更新,并在更新前对现有的重要文件进行备份;
    d) 应定期对网络系统进行漏洞扫描,对发现的网络系统安全漏洞进行及时的修补;
    e) 应对网络设备的配置文件进行定期备份;
    f) 应保证所有与外部系统的连接均得到授权和批准。
    6.2.5.6  系统安全管理(G2)
    本项要求包括:
    a) 应根据业务需求和系统安全分析确定系统的访问控制策略;
    b) 应定期进行漏洞扫描,对发现的系统安全漏洞及时进行修补;
    c) 应安装系统的最新补丁程序,在安装系统补丁前,应首先在测试环境中测试通过,并对重要文件进行备份后,方可实施系统补丁程序的安装;
    d) 应建立系统安全管理制度,对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定;
    e) 应依据操作手册对系统进行维护,详细记录操作日志,包括重要的日常操作、运行维护记录、参数的设置和修改等内容,严禁进行未经授权的操作;
    f) 应定期对运行日志和审计数据进行分析,以便及时发现异常行为。
    6.2.5.7  恶意代码防范管理(G2)
    本项要求包括:
    a) 应提高所有用户的防病毒意识,告知及时升级防病毒软件,在读取移动存储设备上的数据以及网络上接收文件或邮件之前,先进行病毒检查,对外来计算机或存储设备接入网络系统之前也应进行病毒检查;
    b) 应指定专人对网络和主机进行恶意代码检测并保存检测记录;
    c) 应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定。
    6.2.5.8  密码管理(G2)
    应使用符合国家密码管理规定的密码技术和产品。
    6.2.5.9  变更管理(G2)
    本项要求包括:
    a) 应确认系统中要发生的重要变更,并制定相应的变更方案;
    b) 系统发生重要变更前,应向主管领导申请,审批后方可实施变更,并在实施后向相关人员通告。
    6.2.5.10  备份与恢复管理(G2)
    本项要求包括:
    a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等;
    b) 应规定备份信息的备份方式、备份频度、存储介质、保存期等;
    c) 应根据数据的重要性及其对系统运行的影响,制定数据的备份策略和恢复策略,备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法。
    6.2.5.11  安全事件处置(G2)
    本项要求包括:
    a) 应报告所发现的安全弱点和可疑事件,但任何情况下用户均不应尝试验证弱点;
    b) 应制定安全事件报告和处置管理制度,明确安全事件类型,规定安全事件的现场处理、事件报告和后期恢复的管理职责;
    c) 应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响,对本系统计算机安全事件进行等级划分;
    d) 应记录并保存所有报告的安全弱点和可疑事件,分析事件原因,监督事态发展,采取措施避免安全事件发生。
    6.2.5.12  应急预案管理(G2)
    本项要求包括:
    a) 应在统一的应急预案框架下制定不同事件的应急预案,应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容;
    b) 应对系统相关的人员进行应急预案培训,应急预案的培训应至少每年举办一次。
    7  第三级基本要求
    7.1  技术要求
    7.1.1  物理安全
    7.1.1.1  物理位置的选择(G3)
    本项要求包括:
    a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;
    b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。
    7.1.1.2  物理访问控制(G3)
    本项要求包括:
    a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员;
    b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围;
    c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域;
    d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。
    7.1.1.3  防盗窃和防破坏(G3)
    本项要求包括:
    a) 应将主要设备放置在机房内;
    b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记;
    c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;
    d) 应对介质分类标识,存储在介质库或档案室中;
    e) 应利用光、电等技术设置机房防盗报警系统;
    f) 应对机房设置监控报警系统。
    7.1.1.4  防雷击(G3)
    本项要求包括:
    a) 机房建筑应设置避雷装置;
    b) 应设置防雷保安器,防止感应雷;
    c) 机房应设置交流电源地线。
    7.1.1.5  防火(G3)
    本项要求包括:
    a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
    b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
    c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。
    7.1.1.6  防水和防潮(G3)
    本项要求包括:
    a) 水管安装,不得穿过机房屋顶和活动地板下;
    b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
    c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;
    d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。
    7.1.1.7  防静电(G3)
    本项要求包括:
    a) 主要设备应采用必要的接地防静电措施;
    b) 机房应采用防静电地板。
    7.1.1.8  温湿度控制(G3)
    机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。
    7.1.1.9  电力供应(A3)
    本项要求包括:
    a) 应在机房供电线路上配置稳压器和过电压防护设备;
    b) 应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运行要求;
    c) 应设置冗余或并行的电力电缆线路为计算机系统供电;
    d) 应建立备用供电系统。
    7.1.1.10  电磁防护(S3)
    本项要求包括:
    a) 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;
    b) 电源线和通信线缆应隔离铺设,避免互相干扰;
    c) 应对关键设备和磁介质实施电磁屏蔽。
    7.1.2  网络安全
    7.1.2.1  结构安全(G3)
    本项要求包括:
    a) 应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;
    b) 应保证网络各个部分的带宽满足业务高峰期需要;
    c) 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;
    d) 应绘制与当前运行情况相符的网络拓扑结构图;
    e) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段;
    f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段;
    g) 应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机。
    7.1.2.2  访问控制(G3)
    本项要求包括:
    a) 应在网络边界部署访问控制设备,启用访问控制功能;
    b) 应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级;
    c) 应对进出网络的信息内容进行过滤,实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制;
    d) 应在会话处于非活跃一定时间或会话结束后终止网络连接;
    e) 应限制网络最大流量数及网络连接数;
    f) 重要网段应采取技术手段防止地址欺骗;
    g) 应按用户和系统之间的允许访问规则,决定允许或拒绝用户对受控系统进行资源访问,控制粒度为单个用户;
    h) 应限制具有拨号访问权限的用户数量。
    7.1.2.3  安全审计(G3)
    本项要求包括:
    a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;
    b) 审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
    c) 应能够根据记录数据进行分析,并生成审计报表;
    d) 应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等。
    7.1.2.4  边界完整性检查(S3)
    本项要求包括:
    a) 应能够对非授权设备私自联到内部网络的行为进行检查,准确定出位置,并对其进行有效阻断;
    b) 应能够对内部网络用户私自联到外部网络的行为进行检查,准确定出位置,并对其进行有效阻断。
    7.1.2.5  入侵防范(G3)
    本项要求包括:
    a) 应在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等;
    b) 当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警。
    7.1.2.6  恶意代码防范(G3)
    本项要求包括:
    a) 应在网络边界处对恶意代码进行检测和清除;
    b) 应维护恶意代码库的升级和检测系统的更新。
    7.1.2.7  网络设备防护(G3)
    本项要求包括:
    a) 应对登录网络设备的用户进行身份鉴别;
    b) 应对网络设备的管理员登录地址进行限制;
    c) 网络设备用户的标识应唯一;
    d) 主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;
    e) 身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
    f) 应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;
    g) 当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
    h) 应实现设备特权用户的权限分离。
    7.1.3  主机安全
    7.1.3.1  身份鉴别(S3)
    本项要求包括:
    a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
    b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
    c) 应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
    d) 当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;
    e) 应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性。
    f) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
    7.1.3.2  访问控制(S3)
    本项要求包括:
    a) 应启用访问控制功能,依据安全策略控制用户对资源的访问;
    b) 应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;
    c) 应实现操作系统和数据库系统特权用户的权限分离;
    d) 应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;
    e) 应及时删除多余的、过期的帐户,避免共享帐户的存在。
    f) 应对重要信息资源设置敏感标记;
    g) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
    7.1.3.3  安全审计(G3)
    本项要求包括:
    a) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;
    b) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;
    c) 审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等;
    d) 应能够根据记录数据进行分析,并生成审计报表;
    e) 应保护审计进程,避免受到未预期的中断;
    f) 应保护审计记录,避免受到未预期的删除、修改或覆盖等。
    7.1.3.4  剩余信息保护(S3)
    本项要求包括:
    a) 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
    b) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
    7.1.3.5  入侵防范(G3)
    本项要求包括:
    a) 应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
    b) 应能够对重要程序的完整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;
    c) 操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方式保持系统补丁及时得到更新。
    7.1.3.6  恶意代码防范(G3)
    本项要求包括:
    a) 应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;
    b) 主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;
    c) 应支持防恶意代码的统一管理。
    7.1.3.7  资源控制(A3)
    本项要求包括:
    a) 应通过设定终端接入方式、网络地址范围等条件限制终端登录;
    b) 应根据安全策略设置登录终端的操作超时锁定;
    c) 应对重要服务器进行监视,包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况;
    d) 应限制单个用户对系统资源的最大或最小使用限度;
    e) 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。
    7.1.4  应用安全
    7.1.4.1  身份鉴别(S3)
    本项要求包括:
    a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
    b) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别;
    c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;
    d) 应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
    e) 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。
    7.1.4.2  访问控制(S3)
    本项要求包括:
    a) 应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;
    b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作;
    c) 应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;
    d) 应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。
    e) 应具有对重要信息资源设置敏感标记的功能;
    f) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作;
    7.1.4.3  安全审计(G3)
    本项要求包括:
    a) 应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;
    b) 应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;
    c) 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;
    d) 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。
    7.1.4.4  剩余信息保护(S3)
    本项要求包括:
    a) 应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
    b) 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。
    7.1.4.5  通信完整性(S3)
    应采用密码技术保证通信过程中数据的完整性。
    7.1.4.6  通信保密性(S3)
    本项要求包括:
    a) 在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;
    b) 应对通信过程中的整个报文或会话过程进行加密。
    7.1.4.7  抗抵赖(G3)
    本项要求包括:
    a) 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;
    b) 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。
    7.1.4.8  软件容错(A3)
    本项要求包括:
    a) 应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;
    b) 应提供自动保护功能,当故障发生时自动保护当前所有状态,保证系统能够进行恢复。
    7.1.4.9  资源控制(A3)
    本项要求包括:
    a) 当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;
    b) 应能够对系统的最大并发会话连接数进行限制;
    c) 应能够对单个帐户的多重并发会话进行限制;
    d) 应能够对一个时间段内可能的并发会话连接数进行限制;
    e) 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额;
    f) 应能够对系统服务水平降低到预先规定的最小值进行检测和报警;
    g) 应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源。
    7.1.5  数据安全及备份恢复
    7.1.5.1  数据完整性(S3)
    本项要求包括:
    a) 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;
    b) 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施。
    7.1.5.2  数据保密性(S3)
    本项要求包括:
    a) 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性;
    b) 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性。
    7.1.5.3  备份和恢复(A3)
    本项要求包括:
    a) 应提供本地数据备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放;
    b) 应提供异地数据备份功能,利用通信网络将关键数据定时批量传送至备用场地;
    c) 应采用冗余技术设计网络拓扑结构,避免关键节点存在单点故障;
    d) 应提供主要网络设备、通信线路和数据处理系统的硬件冗余,保证系统的高可用性。
    7.2  管理要求
    7.2.1  安全管理制度
    7.2.1.1  管理制度(G3)
    本项要求包括:
    a) 应制定信息安全工作的总体方针和安全策略,说明机构安全工作的总体目标、范围、原则和安全框架等;
    b) 应对安全管理活动中的各类管理内容建立安全管理制度;
    c) 应对要求管理人员或操作人员执行的日常管理操作建立操作规程;
    d) 应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
    7.2.1.2  制定和发布(G3)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责安全管理制度的制定;
    b) 安全管理制度应具有统一的格式,并进行版本控制;
    c) 应组织相关人员对制定的安全管理制度进行论证和审定;
    d) 安全管理制度应通过正式、有效的方式发布;
    e) 安全管理制度应注明发布范围,并对收发文进行登记。
    7.2.1.3  评审和修订(G3)
    本项要求包括:
    a) 信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定;
    b) 应定期或不定期对安全管理制度进行检查和审定,对存在不足或需要改进的安全管理制度进行修订。
    7.2.2  安全管理机构
    7.2.2.1  岗位设置(G3)
    本项要求包括:
    a) 应设立信息安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责;
    b) 应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责;
    c) 应成立指导和管理信息安全工作的委员会或领导小组,其最高领导由单位主管领导委任或授权;
    d) 应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
    7.2.2.2  人员配备(G3)
    本项要求包括:
    a) 应配备一定数量的系统管理员、网络管理员、安全管理员等;
    b) 应配备专职安全管理员,不可兼任;
    c) 关键事务岗位应配备多人共同管理。
    7.2.2.3  授权和审批(G3)
    本项要求包括:
    a) 应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
    b) 应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度;
    c) 应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息;
    d) 应记录审批过程并保存审批文档。
    7.2.2.4  沟通和合作(G3)
    本项要求包括:
    a) 应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通,定期或不定期召开协调会议,共同协作处理信息安全问题;
    b) 应加强与兄弟单位、公安机关、电信公司的合作与沟通;
    c) 应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通;
    d) 应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息;
    e) 应聘请信息安全专家作为常年的安全顾问,指导信息安全建设,参与安全规划和安全评审等。
    7.2.2.5  审核和检查(G3)
    本项要求包括:
    a) 安全管理员应负责定期进行安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况;
    b) 应由内部人员或上级单位定期进行全面安全检查,检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等;
    c) 应制定安全检查表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报;
    d) 应制定安全审核和安全检查制度规范安全审核和安全检查工作,定期按照程序进行安全审核和安全检查活动。
    7.2.3  人员安全管理
    7.2.3.1  人员录用(G3)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责人员录用;
    b) 应严格规范人员录用过程,对被录用人的身份、背景、专业资格和资质等进行审查,对其所具有的技术技能进行考核;
    c) 应签署保密协议;
    d) 应从内部人员中选拔从事关键岗位的人员,并签署岗位安全协议。
    7.2.3.2  人员离岗(G3)
    本项要求包括:
    a) 应严格规范人员离岗过程,及时终止离岗员工的所有访问权限;
    b) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;
    c) 应办理严格的调离手续,关键岗位人员离岗须承诺调离后的保密义务后方可离开。
    7.2.3.3  人员考核(G3)
    本项要求包括:
    a) 应定期对各个岗位的人员进行安全技能及安全认知的考核;
    b) 应对关键岗位的人员进行全面、严格的安全审查和技能考核;
    c) 应对考核结果进行记录并保存。
    7.2.3.4  安全意识教育和培训(G3)
    本项要求包括:
    a) 应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训;
    b) 应对安全责任和惩戒措施进行书面规定并告知相关人员,对违反违背安全策略和规定的人员进行惩戒;
    c) 应对定期安全教育和培训进行书面规定,针对不同岗位制定不同的培训计划,对信息安全基础知识、岗位操作规程等进行培训;
    d) 应对安全教育和培训的情况和结果进行记录并归档保存。
    7.2.3.5  外部人员访问管理(G3)
    本项要求包括:
    a) 应确保在外部人员访问受控区域前先提出书面申请,批准后由专人全程陪同或监督,并登记备案;
    b) 对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定,并按照规定执行。
    7.2.4  系统建设管理
    7.2.4.1  系统定级(G3)
    本项要求包括:
    a) 应明确信息系统的边界和安全保护等级;
    b) 应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由;
    c) 应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定;
    d) 应确保信息系统的定级结果经过相关部门的批准。
    7.2.4.2  安全方案设计(G3)
    本项要求包括:
    a) 应根据系统的安全保护等级选择基本安全措施,并依据风险分析的结果补充和调整安全措施;
    b) 应指定和授权专门的部门对信息系统的安全建设进行总体规划,制定近期和远期的安全建设工作计划;
    c) 应根据信息系统的等级划分情况,统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案,并形成配套文件;
    d) 应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定,并且经过批准后,才能正式实施;
    e) 应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。
    7.2.4.3  产品采购和使用(G3)
    本项要求包括:
    a) 应确保安全产品采购和使用符合国家的有关规定;
    b) 应确保密码产品采购和使用符合国家密码主管部门的要求;
    c) 应指定或授权专门的部门负责产品的采购;
    d) 应预先对产品进行选型测试,确定产品的候选范围,并定期审定和更新候选产品名单。
    7.2.4.4  自行软件开发(G3)
    本项要求包括:
    a) 应确保开发环境与实际运行环境物理分开,开发人员和测试人员分离,测试数据和测试结果受到控制;
    b) 应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则;
    c) 应制定代码编写安全规范,要求开发人员参照规范编写代码;
    d) 应确保提供软件设计的相关文档和使用指南,并由专人负责保管;
    e) 应确保对程序资源库的修改、更新、发布进行授权和批准。
    7.2.4.5  外包软件开发(G3)
    本项要求包括:
    a) 应根据开发需求检测软件质量;
    b) 应在软件安装之前检测软件包中可能存在的恶意代码;
    c) 应要求开发单位提供软件设计的相关文档和使用指南;
    d) 应要求开发单位提供软件源代码,并审查软件中可能存在的后门。
    7.2.4.6  工程实施(G3)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责工程实施过程的管理;
    b) 应制定详细的工程实施方案控制实施过程,并要求工程实施单位能正式地执行安全工程过程;
    c) 应制定工程实施方面的管理制度,明确说明实施过程的控制方法和人员行为准则。
    7.2.4.7  测试验收(G3)
    本项要求包括:
    a) 应委托公正的第三方测试单位对系统进行安全性测试,并出具安全性测试报告;
    b) 在测试验收前应根据设计方案或合同要求等制订测试验收方案,在测试验收过程中应详细记录测试验收结果,并形成测试验收报告;
    c) 应对系统测试验收的控制方法和人员行为准则进行书面规定;
    d) 应指定或授权专门的部门负责系统测试验收的管理,并按照管理规定的要求完成系统测试验收工作;
    e) 应组织相关部门和相关人员对系统测试验收报告进行审定,并签字确认。
    7.2.4.8  系统交付(G3)
    本项要求包括:
    a) 应制定详细的系统交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点;
    b) 应对负责系统运行维护的技术人员进行相应的技能培训;
    c) 应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档;
    d) 应对系统交付的控制方法和人员行为准则进行书面规定;
    e) 应指定或授权专门的部门负责系统交付的管理工作,并按照管理规定的要求完成系统交付工作。
    7.2.4.9  系统备案(G3)
    本项要求包括:
    a)?应指定专门的部门或人员负责管理系统定级的相关材料,并控制这些材料的使用;
    b)?应将系统等级及相关材料报系统主管部门备案;
    c)?应将系统等级及其他要求的备案材料报相应公安机关备案。
    7.2.4.10  等级测评(G3)
    本项要求包括:
    a) 在系统运行过程中,应至少每年对系统进行一次等级测评,发现不符合相应等级保护标准要求的及时整改;
    b) 应在系统发生变更时及时对系统进行等级测评,发现级别发生变化的及时调整级别并进行安全改造,发现不符合相应等级保护标准要求的及时整改;
    c) 应选择具有国家相关技术资质和安全资质的测评单位进行等级测评;
    d) 应指定或授权专门的部门或人员负责等级测评的管理。
    7.2.4.11  安全服务商选择(G3)
    本项要求包括:
    a) 应确保安全服务商的选择符合国家的有关规定;
    b) 应与选定的安全服务商签订与安全相关的协议,明确约定相关责任;
    c) 应确保选定的安全服务商提供技术培训和服务承诺,必要的与其签订服务合同。
    7.2.5  系统运维管理
    7.2.5.1  环境管理(G3)
    本项要求包括:
    a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理;
    b) 应指定部门负责机房安全,并配备机房安全管理人员,对机房的出入、服务器的开机或关机等工作进行管理;
    c) 应建立机房安全管理制度,对有关机房物理访问,物品带进、带出机房和机房环境安全等方面的管理作出规定;
    d) 应加强对办公环境的保密性管理,规范办公环境人员行为,包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等。
    7.2.5.2  资产管理(G3)
    本项要求包括:
    a) 应编制并保存与信息系统相关的资产清单,包括资产责任部门、重要程度和所处位置等内容;
    b) 应建立资产安全管理制度,规定信息系统资产管理的责任人员或责任部门,并规范资产管理和使用的行为;
    c) 应根据资产的重要程度对资产进行标识管理,根据资产的价值选择相应的管理措施;
    d) 应对信息分类与标识方法作出规定,并对信息的使用、传输和存储等进行规范化管理。
    7.2.5.3  介质管理(G3)
    本项要求包括:
    a) 应建立介质安全管理制度,对介质的存放环境、使用、维护和销毁等方面作出规定;
    b) 应确保介质存放在安全的环境中,对各类介质进行控制和保护,并实行存储环境专人管理;
    c) 应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制,对介质归档和查询等进行登记记录,并根据存档介质的目录清单定期盘点;
    d) 应对存储介质的使用过程、送出维修以及销毁等进行严格的管理,对带出工作环境的存储介质进行内容加密和监控管理,对送出维修或销毁的介质应首先清除介质中的敏感数据,对保密性较高的存储介质未经批准不得自行销毁;
    e) 应根据数据备份的需要对某些介质实行异地存储,存储地的环境要求和管理方法应与本地相同;
    f) 应对重要介质中的数据和软件采取加密存储,并根据所承载数据和软件的重要程度对介质进行分类和标识管理。
    7.2.5.4  设备管理(G3)
    本项要求包括:
    a) 应对信息系统相关的各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理;
    b) 应建立基于申报、审批和专人负责的设备安全管理制度,对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理;
    c) 应建立配套设施、软硬件维护方面的管理制度,对其维护进行有效的管理,包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等;
    d) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理,按操作规程实现主要设备(包括备份和冗余设备)的启动/停止、加电/断电等操作;
    e) 应确保信息处理设备必须经过审批才能带离机房或办公地点。
    7.2.5.5  监控管理和安全管理中心(G3)
    本项要求包括:
    a) 应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警,形成记录并妥善保存;
    b) 应组织相关人员定期对监测和报警记录进行分析、评审,发现可疑行为,形成分析报告,并采取必要的应对措施;
    c) 应建立安全管理中心,对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
    7.2.5.6  网络安全管理(G3)
    本项要求包括:
    a) 应指定专人对网络进行管理,负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作;
    b) 应建立网络安全管理制度,对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定;
    c) 应根据厂家提供的软件升级版本对网络设备进行更新,并在更新前对现有的重要文件进行备份;
    d) 应定期对网络系统进行漏洞扫描,对发现的网络系统安全漏洞进行及时的修补;
    e) 应实现设备的最小服务配置,并对配置文件进行定期离线备份;
    f) 应保证所有与外部系统的连接均得到授权和批准;
    g) 应依据安全策略允许或者拒绝便携式和移动式设备的网络接入;
    h) 应定期检查违反规定拨号上网或其他违反网络安全策略的行为。
    7.2.5.7  系统安全管理(G3)
    本项要求包括:
    a) 应根据业务需求和系统安全分析确定系统的访问控制策略;
    b) 应定期进行漏洞扫描,对发现的系统安全漏洞及时进行修补;
    c) 应安装系统的最新补丁程序,在安装系统补丁前,首先在测试环境中测试通过,并对重要文件进行备份后,方可实施系统补丁程序的安装;
    d) 应建立系统安全管理制度,对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定;
    e) 应指定专人对系统进行管理,划分系统管理员角色,明确各个角色的权限、责任和风险,权限设定应当遵循最小授权原则;
    f) 应依据操作手册对系统进行维护,详细记录操作日志,包括重要的日常操作、运行维护记录、参数的设置和修改等内容,严禁进行未经授权的操作;
    g) 应定期对运行日志和审计数据进行分析,以便及时发现异常行为。
    7.2.5.8  恶意代码防范管理(G3)
    本项要求包括:
    a) 应提高所有用户的防病毒意识,及时告知防病毒软件版本,在读取移动存储设备上的数据以及网络上接收文件或邮件之前,先进行病毒检查,对外来计算机或存储设备接入网络系统之前也应进行病毒检查;
    b) 应指定专人对网络和主机进行恶意代码检测并保存检测记录;
    c) 应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定;
    d) 应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录,对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理,并形成书面的报表和总结汇报。
    7.2.5.9  密码管理(G3)
    应建立密码使用管理制度,使用符合国家密码管理规定的密码技术和产品。
    7.2.5.10  变更管理(G3)
    本项要求包括:
    a) 应确认系统中要发生的变更,并制定变更方案;
    b) 应建立变更管理制度,系统发生变更前,向主管领导申请,变更和变更方案经过评审、审批后方可实施变更,并在实施后将变更情况向相关人员通告;
    c) 应建立变更控制的申报和审批文件化程序,对变更影响进行分析并文档化,记录变更实施过程,并妥善保存所有文档和记录;
    d) 应建立中止变更并从失败变更中恢复的文件化程序,明确过程控制方法和人员职责,必要时对恢复过程进行演练。
    7.2.5.11  备份与恢复管理(G3)
    本项要求包括:
    a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等;
    b) 应建立备份与恢复管理相关的安全管理制度,对备份信息的备份方式、备份频度、存储介质和保存期等进行规范;
    c) 应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略,备份策略须指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法;
    d) 应建立控制数据备份和恢复过程的程序,对备份过程进行记录,所有文件和记录应妥善保存;
    e) 应定期执行恢复程序,检查和测试备份介质的有效性,确保可以在恢复程序规定的时间内完成备份的恢复。
    7.2.5.12  安全事件处置(G3)
    本项要求包括:
    a) 应报告所发现的安全弱点和可疑事件,但任何情况下用户均不应尝试验证弱点;
    b) 应制定安全事件报告和处置管理制度,明确安全事件的类型,规定安全事件的现场处理、事件报告和后期恢复的管理职责;
    c) 应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响,对本系统计算机安全事件进行等级划分;
    d) 应制定安全事件报告和响应处理程序,确定事件的报告流程,响应和处置的范围、程度,以及处理方法等;
    e) 应在安全事件报告和响应处理过程中,分析和鉴定事件产生的原因,收集证据,记录处理过程,总结经验教训,制定防止再次发生的补救措施,过程形成的所有文件和记录均应妥善保存;
    f) 对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序。
    7.2.5.13  应急预案管理(G3)
    本项要求包括:
    a) 应在统一的应急预案框架下制定不同事件的应急预案,应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容;
    b) 应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障;
    c) 应对系统相关的人员进行应急预案培训,应急预案的培训应至少每年举办一次;
    d) 应定期对应急预案进行演练,根据不同的应急恢复内容,确定演练的周期;
    e) 应规定应急预案需要定期审查和根据实际情况更新的内容,并按照执行。
    8  第四级基本要求
    8.1  技术要求
    8.1.1  物理安全
    8.1.1.1  物理位置的选择(G4)
    本项要求包括:
    a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内;
    b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。
    8.1.1.2  物理访问控制(G4)
    本项要求包括:
    a) 机房出入口应安排专人值守并配置电子门禁系统,控制、鉴别和记录进入的人员;
    b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围;
    c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域;
    d) 重要区域应配置第二道电子门禁系统,控制、鉴别和记录进入的人员。
    8.1.1.3  防盗窃和防破坏(G4)
    本项要求包括:
    a) 应将主要设备放置在机房内;
    b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记;
    c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中;
    d) 应对介质分类标识,存储在介质库或档案室中;
    e) 应利用光、电等技术设置机房防盗报警系统;
    f) 应对机房设置监控报警系统。
    8.1.1.4  防雷击(G4)
    本项要求包括:
    a) 机房建筑应设置避雷装置;
    b) 应设置防雷保安器,防止感应雷;
    c) 机房应设置交流电源地线。
    8.1.1.5  防火(G4)
    本项要求包括:
    a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
    b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料;
    c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。
    8.1.1.6  防水和防潮(G4)
    本项要求包括:
    a) 水管安装,不得穿过机房屋顶和活动地板下;
    b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透;
    c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透;
    d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。
    8.1.1.7  防静电(G4)
    本项要求包括:
    a) 设备应采用必要的接地防静电措施;
    b) 机房应采用防静电地板;
    c) 应采用静电消除器等装置,减少静电的产生。
    8.1.1.8  温湿度控制(G4)
    机房应设置温湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。
    8.1.1.9  电力供应(A4)
    本项要求包括:
    a) 应在机房供电线路上配置稳压器和过电压防护设备;
    b) 应提供短期的备用电力供应,至少满足设备在断电情况下的正常运行要求;
    c) 应设置冗余或并行的电力电缆线路为计算机系统供电;
    d) 应建立备用供电系统。
    8.1.1.10  电磁防护(S4)
    本项要求包括:
    a) 应采用接地方式防止外界电磁干扰和设备寄生耦合干扰;
    b) 电源线和通信线缆应隔离铺设,避免互相干扰;
    c) 应对关键区域实施电磁屏蔽。
    8.1.2  网络安全
    8.1.2.1  结构安全(G4)
    本项要求包括:
    a) 应保证网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;
    b) 应保证网络各个部分的带宽满足业务高峰期需要;
    c) 应在业务终端与业务服务器之间进行路由控制建立安全的访问路径;
    d) 应绘制与当前运行情况相符的网络拓扑结构图;
    e) 应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网、网段分配地址段;
    f) 应避免将重要网段部署在网络边界处且直接连接外部信息系统,重要网段与其他网段之间采取可靠的技术隔离手段;
    g) 应按照对业务服务的重要次序来指定带宽分配优先级别,保证在网络发生拥堵的时候优先保护重要主机。
    8.1.2.2  访问控制(G4)
    本项要求包括:
    a) 应在网络边界部署访问控制设备,启用访问控制功能;
    b) 应不允许数据带通用协议通过;
    c) 应根据数据的敏感标记允许或拒绝数据通过;
    d) 应不开放远程拨号访问功能。
    8.1.2.3  安全审计(G4)
    本项要求包括:
    a) 应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录;
    b) 审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;
    c) 应能够根据记录数据进行分析,并生成审计报表;
    d) 应对审计记录进行保护,避免受到未预期的删除、修改或覆盖等;
    e) 应定义审计跟踪极限的阈值,当存储空间接近极限时,能采取必要的措施,当存储空间被耗尽时,终止可审计事件的发生;
    f) 应根据信息系统的统一安全策略,实现集中审计,时钟保持与时钟服务器同步。
    8.1.2.4  边界完整性检查(S4)
    本项要求包括:
    a) 应能够对非授权设备私自联到内部网络的行为进行检查,准确定出位置,并对其进行有效阻断;
    b) 应能够对内部网络用户私自联到外部网络的行为进行检查,准确定出位置,并对其进行有效阻断。
    8.1.2.5  入侵防范(G4)
    本项要求包括:
    a) 应在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等;
    b) 当检测到攻击行为时,应记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警及自动采取相应动作。
    8.1.2.6  恶意代码防范(G4)
    本项要求包括:
    a) 应在网络边界处对恶意代码进行检测和清除;
    b) 应维护恶意代码库的升级和检测系统的更新。
    8.1.2.7  网络设备防护(G4)
    本项要求包括:
    a) 应对登录网络设备的用户进行身份鉴别;
    b) 应对网络设备的管理员登录地址进行限制;
    c) 网络设备用户的标识应唯一;
    d) 主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别;
    e) 身份鉴别信息应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
    f) 网络设备用户的身份鉴别信息至少应有一种是不可伪造的;
    g) 应具有登录失败处理功能,可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施;
    h) 当对网络设备进行远程管理时,应采取必要措施防止鉴别信息在网络传输过程中被窃听;
    i) 应实现设备特权用户的权限分离。
    8.1.3  主机安全
    8.1.3.1  身份鉴别(S4)
    本项要求包括:
    a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别;
    b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,口令应有复杂度要求并定期更换;
    c) 应启用登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
    d) 应设置鉴别警示信息,描述未授权访问可能导致的后果;
    e) 当对服务器进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;
    f) 应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性;
    g) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别,并且身份鉴别信息至少有一种是不可伪造的。
    8.1.3.2  安全标记(S4)
    应对所有主体和客体设置敏感标记;
    8.1.3.3  访问控制(S4)
    本项要求包括:
    a) 应依据安全策略和所有主体和客体设置的敏感标记控制主体对客体的访问;
    b) 访问控制的粒度应达到主体为用户级或进程级,客体为文件、数据库表、记录和字段级。
    c) 应根据管理用户的角色分配权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限;
    d) 应实现操作系统和数据库系统特权用户的权限分离;
    e) 应严格限制默认帐户的访问权限,重命名系统默认帐户,修改这些帐户的默认口令;
    f) 应及时删除多余的、过期的帐户,避免共享帐户的存在。
    8.1.3.4  可信路径(S4)
    本项要求包括:
    a) 在系统对用户进行身份鉴别时,系统与用户之间应能够建立一条安全的信息传输路径。
    b) 在用户对系统进行访问时,系统与用户之间应能够建立一条安全的信息传输路径。
    8.1.3.5  安全审计(G4)
    本项要求包括:
    a) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户;
    b) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件;
    c) 审计记录应包括日期和时间、类型、主体标识、客体标识、事件的结果等;
    d) 应能够根据记录数据进行分析,并生成审计报表;
    e) 应保护审计进程,避免受到未预期的中断;
    f) 应保护审计记录,避免受到未预期的删除、修改或覆盖等;
    g) 应能够根据信息系统的统一安全策略,实现集中审计。
    8.1.3.6  剩余信息保护(S4)
    本项要求包括:
    a) 应保证操作系统和数据库系统用户的鉴别信息所在的存储空间,被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
    b) 应确保系统内的文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前得到完全清除。
    8.1.3.7  入侵防范(G4)
    本项要求包括:
    a) 应能够检测到对重要服务器进行入侵的行为,能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间,并在发生严重入侵事件时提供报警;
    b) 应能够对重要程序的完整性进行检测,并在检测到完整性受到破坏后具有恢复的措施;
    c) 操作系统应遵循最小安装的原则,仅安装需要的组件和应用程序,并通过设置升级服务器等方式保持系统补丁及时得到更新。
    8.1.3.8  恶意代码防范(G4)
    本项要求包括:
    a) 应安装防恶意代码软件,并及时更新防恶意代码软件版本和恶意代码库;
    b) 主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库;
    c) 应支持防恶意代码的统一管理。
    8.1.3.9  资源控制(A4)
    本项要求包括:
    a) 应通过设定终端接入方式、网络地址范围等条件限制终端登录;
    b) 应根据安全策略设置登录终端的操作超时锁定;
    c) 应对重要服务器进行监视,包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况;
    d) 应限制单个用户对系统资源的最大或最小使用限度;
    e) 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。
    8.1.4  应用安全
    8.1.4.1  身份鉴别(S4)
    本项要求包括:
    a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
    b) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别,其中一种是不可伪造的;
    c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统中不存在重复用户身份标识,身份鉴别信息不易被冒用;
    d) 应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自动退出等措施;
    e) 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能,并根据安全策略配置相关参数。
    8.1.4.2  安全标记(S4)
    应提供为主体和客体设置安全标记的功能并在安装后启用;
    8.1.4.3  访问控制(S4)
    本项要求包括:
    a) 应提供自主访问控制功能,依据安全策略控制用户对文件、数据库表等客体的访问;
    b) 自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作;
    c) 应由授权主体配置访问控制策略,并禁止默认帐户的访问;
    d) 应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系;
    e) 应通过比较安全标记来确定是授予还是拒绝主体对客体的访问。
    8.1.4.4  可信路径(S4)
    本项要求包括:
    a) 在应用系统对用户进行身份鉴别时,应能够建立一条安全的信息传输路径。
    b) 在用户通过应用系统对资源进行访问时,应用系统应保证在被访问的资源与用户之间应能够建立一条安全的信息传输路径。
    8.1.4.5  安全审计(G4)
    本项要求包括:
    a) 应提供覆盖到每个用户的安全审计功能,对应用系统重要安全事件进行审计;
    b) 应保证无法单独中断审计进程,无法删除、修改或覆盖审计记录;
    c) 审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等;
    d) 应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能;
    e) 应根据系统统一安全策略,提供集中审计接口。
    8.1.4.6  剩余信息保护(S4)
    本项要求包括:
    a) 应保证用户的鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除,无论这些信息是存放在硬盘上还是在内存中;
    b) 应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。
    8.1.4.7  通信完整性(S4)
    应采用密码技术保证通信过程中数据的完整性。
    8.1.4.8  通信保密性(S4)
    本项要求包括:
    a) 在通信双方建立连接之前,应用系统应利用密码技术进行会话初始化验证;
    b) 应对通信过程中的整个报文或会话过程进行加密;
    c) 应基于硬件化的设备对重要通信过程进行加解密运算和密钥管理。
    8.1.4.9  抗抵赖(G4)
    本项要求包括:
    a) 应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能;
    b) 应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。
    8.1.4.10  软件容错(A4)
    本项要求包括:
    a) 应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;
    b) 应提供自动保护功能,当故障发生时自动保护当前所有状态;
    c) 应提供自动恢复功能,当故障发生时立即自动启动新的进程,恢复原来的工作状态。
    8.1.4.11  资源控制(A4)
    本项要求包括:
    a) 当应用系统中的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;
    b) 应能够对系统的最大并发会话连接数进行限制;
    c) 应能够对单个帐户的多重并发会话进行限制;
    d) 应能够对一个时间段内可能的并发会话连接数进行限制;
    e) 应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额;
    f) 应能够对系统服务水平降低到预先规定的最小值进行检测和报警;
    g) 应提供服务优先级设定功能,并在安装后根据安全策略设定访问帐户或请求进程的优先级,根据优先级分配系统资源。
    8.1.5  数据安全及备份恢复
    8.1.5.1  数据完整性(S4)
    本项要求包括:
    a) 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;
    b) 应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏,并在检测到完整性错误时采取必要的恢复措施;
    c) 应对重要通信提供专用通信协议或安全通信协议服务,避免来自基于通用通信协议的攻击破坏数据完整性。
    8.1.5.2  数据保密性(S4)
    本项要求包括:
    a) 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性;
    b) 应采用加密或其他保护措施实现系统管理数据、鉴别信息和重要业务数据存储保密性;
    c) 应对重要通信提供专用通信协议或安全通信协议服务,避免来自基于通用协议的攻击破坏数据保密性。
    8.1.5.3  备份和恢复(A4)
    本项要求包括:
    a) 应提供数据本地备份与恢复功能,完全数据备份至少每天一次,备份介质场外存放;
    b) 应建立异地灾难备份中心,配备灾难恢复所需的通信线路、网络设备和数据处理设备,提供业务应用的实时无缝切换;
    c) 应提供异地实时备份功能,利用通信网络将数据实时备份至灾难备份中心;
    d) 应采用冗余技术设计网络拓扑结构,避免存在网络单点故障;
    e) 应提供主要网络设备、通信线路和数据处理系统的硬件冗余,保证系统的高可用性。
    8.2  管理要求
    8.2.1  安全管理制度
    8.2.1.1  管理制度(G4)
    本项要求包括:
    a) 应制定信息安全工作的总体方针和安全策略,说明机构安全工作的总体目标、范围、原则和安全框架等;
    b) 应对安全管理活动中的各类管理内容建立安全管理制度;
    c) 应对要求管理人员或操作人员执行的日常管理操作建立操作规程;
    d) 应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
    8.2.1.2  制定和发布(G4)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责安全管理制度的制定;
    b) 安全管理制度应具有统一的格式,并进行版本控制;
    c) 应组织相关人员对制定的安全管理制度进行论证和审定;
    d) 安全管理制度应通过正式、有效的方式发布;
    e) 安全管理制度应注明发布范围,并对收发文进行登记;
    f) 有密级的安全管理制度,应注明安全管理制度密级,并进行密级管理。
    8.2.1.3  评审和修订(G4)
    本项要求包括:
    a) 应由信息安全领导小组负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定;
    b) 应定期或不定期对安全管理制度进行检查和审定,对存在不足或需要改进的安全管理制度进行修订;
    c) 应明确需要定期修订的安全管理制度,并指定负责人或负责部门负责制度的日常维护;
    d) 应根据安全管理制度的相应密级确定评审和修订的操作范围。
    8.2.2  安全管理机构
    8.2.2.1  岗位设置(G4)
    本项要求包括:
    a) 应设立信息安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责;
    b) 应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责;
    c) 应成立指导和管理信息安全工作的委员会或领导小组,其最高领导由单位主管领导委任或授权;
    d) 应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
    8.2.2.2  人员配备(G4)
    本项要求包括:
    a) 应配备一定数量的系统管理员、网络管理员、安全管理员等;
    b) 应配备专职安全管理员,不可兼任;
    c) 关键事务岗位应配备多人共同管理。
    8.2.2.3  授权和审批(G4)
    本项要求包括:
    a) 应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等;
    b) 应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度;
    c) 应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息;
    d) 应记录审批过程并保存审批文档。
    8.2.2.4  沟通和合作(G4)
    本项要求包括:
    a) 应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通,定期或不定期召开协调会议,共同协作处理信息安全问题;
    b) 应加强与兄弟单位、公安机关、电信公司的合作与沟通;
    c) 应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通;
    d) 应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息;
    e) 应聘请信息安全专家作为常年的安全顾问,指导信息安全建设,参与安全规划和安全评审等。
    8.2.2.5  审核和检查(G4)
    本项要求包括:
    a) 安全管理员应负责定期进行安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况;
    b) 应由内部人员或上级单位定期进行全面安全检查,检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等;
    c) 应制定安全检查表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报;
    d) 应制定安全审核和安全检查制度规范安全审核和安全检查工作,定期按照程序进行安全审核和安全检查活动。
    8.2.3  人员安全管理
    8.2.3.1  人员录用(G4)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责人员录用;
    b) 应严格规范人员录用过程,对被录用人员的身份、背景、专业资格和资质等进行审查,对其所具有的技术技能进行考核;
    c) 应签署保密协议;
    d) 应从内部人员中选拔从事关键岗位的人员,并签署岗位安全协议。
    8.2.3.2  人员离岗(G4)
    本项要求包括:
    a) 应制定有关管理规范,严格规范人员离岗过程,及时终止离岗员工的所有访问权限;
    b) 应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;
    c) 应办理严格的调离手续,并承诺调离后的保密义务后方可离开。
    8.2.3.3  人员考核(G4)
    本项要求包括:
    a) 应定期对各个岗位的人员进行安全技能及安全认知的考核;
    b) 应对关键岗位的人员进行全面、严格的安全审查和技能考核;
    c) 应建立保密制度,并定期或不定期的对保密制度执行情况进行检查或考核;
    d) 应对考核结果进行记录并保存。
    8.2.3.4  安全意识教育和培训(G4)
    本项要求包括:
    a) 应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训;
    b) 应对安全责任和惩戒措施进行书面规定并告知相关人员,对违反违背安全策略和规定的人员进行惩戒;
    c) 应对定期安全教育和培训进行书面规定,针对不同岗位制定不同的培训计划,对信息安全基础知识、岗位操作规程等进行培训;
    d) 应对安全教育和培训的情况和结果进行记录并归档保存。
    8.2.3.5  外部人员访问管理(G4)
    本项要求包括:
    a) 应确保在外部人员访问受控区域前先提出书面申请,批准后由专人全程陪同或监督,并登记备案;
    b) 对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定,并按照规定执行;
    c) 对关键区域不允许外部人员访问。
    8.2.4  系统建设管理
    8.2.4.1  系统定级(G4)
    本项要求包括:
    a)?应明确信息系统的边界和安全保护等级;
    b)?应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由;
    c)?应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定;
    d)?应确保信息系统的定级结果经过相关部门的批准。
    8.2.4.2  安全方案设计(G4)
    本项要求包括:
    a) 应根据系统的安全保护等级选择基本安全措施,依据风险分析的结果补充和调整安全措施;
    b) 应指定和授权专门的部门对信息系统的安全建设进行总体规划,制定近期和远期的安全建设工作计划;
    c) 应根据信息系统的等级划分情况,统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案,并形成配套文件;
    d) 应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的合理性和正确性进行论证和审定,并且经过批准后,才能正式实施;
    e) 应根据等级测评、安全评估的结果定期调整和修订总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件。
    8.2.4.3  产品采购和使用(G4)
    本项要求包括:
    a) 应确保安全产品采购和使用符合国家的有关规定;
    b) 应确保密码产品采购和使用符合国家密码主管部门的要求;
    c) 应指定或授权专门的部门负责产品的采购;
    d) 应预先对产品进行选型测试,确定产品的候选范围,并定期审定和更新候选产品名单;
    e) 应对重要部位的产品委托专业测评单位进行专项测试,根据测试结果选用产品。
    8.2.4.4  自行软件开发(G4)
    本项要求包括:
    a) 应确保开发环境与实际运行环境物理分开,测试数据和测试结果受到控制;
    b) 应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则;
    c) 应制定代码编写安全规范,要求开发人员参照规范编写代码;
    d) 应确保提供软件设计的相关文档和使用指南,并由专人负责保管;
    e) 应确保对程序资源库的修改、更新、发布进行授权和批准;
    f) 应确保开发人员为专职人员,开发人员的开发活动受到控制、监视和审查。
    8.2.4.5  外包软件开发(G4)
    本项要求包括:
    a) 应根据开发要求测试软件质量;
    b) 应在软件安装之前检测软件包中可能存在的恶意代码;
    c) 应要求开发单位提供软件设计的相关文档和使用指南;
    d) 应要求开发单位提供软件源代码,并审查软件中可能存在的后门和隐蔽信道。
    8.2.4.6  工程实施(G4)
    本项要求包括:
    a) 应指定或授权专门的部门或人员负责工程实施过程的管理;
    b) 应制定详细的工程实施方案控制实施过程,并要求工程实施单位能正式地执行安全工程过程;
    c) 应制定工程实施方面的管理制度明确说明实施过程的控制方法和人员行为准则;
    d) 应通过第三方工程监理控制项目的实施过程。
    8.2.4.7  测试验收(G4)
    本项要求包括:
    a) 应委托公正的第三方测试单位对系统进行安全性测试,并出具安全性测试报告;
    b) 在测试验收前应根据设计方案或合同要求等制订测试验收方案,在测试验收过程中应详细记录测试验收结果,并形成测试验收报告;
    c) 应对系统测试验收的控制方法和人员行为准则进行书面规定;
    d) 应指定或授权专门的部门负责系统测试验收的管理,并按照管理规定的要求完成系统测试验收工作;
    e) 应组织相关部门和相关人员对系统测试验收报告进行审定,并签字确认。
    8.2.4.8  系统交付(G4)
    本项要求包括:
    a) 应制定详细的系统交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点;
    b) 应对负责系统运行维护的技术人员进行相应的技能培训;
    c) 应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档;
    d) 应对系统交付的控制方法和人员行为准则进行书面规定;
    e) 应指定或授权专门的部门负责系统交付的管理工作,并按照管理规定的要求完成系统交付工作。
    8.2.4.9  系统备案(G4)
    本项要求包括:
    a)?应指定专门的部门或人员负责管理系统定级的相关材料,并控制这些材料的使用;
    b)?应将系统等级的相关材料报系统主管部门备案;
    c)?应将系统等级及其他要求的备案材料报相应公安机关备案。
    8.2.4.10  等级测评(G4)
    本项要求包括:
    a) 在系统运行过程中,应至少每半年对系统进行一次等级测评,发现不符合相应等级保护标准要求的及时整改;
    b) 应在系统发生变更时及时对系统进行等级测评,发现级别发生变化的及时调整级别并进行安全改造;发现不符合相应等级保护标准要求的及时整改;
    c) 应选择具有国家相关技术资质和安全资质的测评单位进行等级测评;
    d) 应指定或授权专门的部门或人员负责等级测评的管理。
    8.2.4.11  安全服务商选择(G4)
    本项要求包括:
    a) 应确保安全服务商的选择符合国家的有关规定;
    b) 应与选定的安全服务商签订与安全相关的协议,明确约定相关责任;
    c) 应确保选定的安全服务商提供技术培训和服务承诺,必要的与其签订服务合同。
    8.2.5  系统运维管理
    8.2.5.1  环境管理(G4)
    本项要求包括:
    a) 应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理;
    b) 应指定部门负责机房安全,并配备机房安全管理人员,对机房的出入、服务器的开机或关机等工作进行管理;
    c) 应建立机房安全管理制度,对有关机房物理访问,物品带进、带出机房和机房环境安全等方面的管理作出规定;
    d) 应加强对办公环境的保密性管理,规范办公环境人员行为,包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等;
    e) 应对机房和办公环境实行统一策略的安全管理,对出入人员进行相应级别的授权,对进入重要安全区域的活动行为实时监视和记录。
    8.2.5.2  资产管理(G4)
    本项要求包括:
    a) 应编制并保存与信息系统相关的资产清单,包括资产责任部门、重要程度和所处位置等内容;
    b) 应建立资产安全管理制度,规定信息系统资产管理的责任人员或责任部门,并规范资产管理和使用的行为;
    c) 应根据资产的重要程度对资产进行标识管理,根据资产的价值选择相应的管理措施;
    d) 应对信息分类与标识方法作出规定,并对信息的使用、传输和存储等进行规范化管理。
    8.2.5.3  介质管理(G4)
    本项要求包括:
    a) 应建立介质安全管理制度,对介质的存放环境、使用、维护和销毁等方面作出规定;
    b) 应确保介质存放在安全的环境中,对各类介质进行控制和保护,实行存储环境专人管理,并根据存档介质的目录清单定期盘点;
    c) 应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制,并对介质的归档和查询等进行登记记录;
    d) 应对存储介质的使用过程、送出维修以及销毁等进行严格的管理,重要数据的存储介质带出工作环境必须进行内容加密并进行监控管理,对于需要送出维修或销毁的介质应采用多次读写覆盖、清除敏感或秘密数据、对无法执行删除操作的受损介质必须销毁,保密性较高的信息存储介质应获得批准并在双人监控下才能销毁,销毁记录应妥善保存;
    e) 应根据数据备份的需要对某些介质实行异地存储,存储地的环境要求和管理方法应与本地相同;
    f) 应对重要介质中的数据和软件采取加密存储,并根据所承载数据和软件的重要程度对介质进行分类和标识管理。
    8.2.5.4  设备管理(G4)
    本项要求包括:
    a) 应对信息系统相关的各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理;
    b) 应建立基于申报、审批和专人负责的设备安全管理制度,对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理;
    c) 应建立配套设施、软硬件维护方面的管理制度,对其维护进行有效的管理,包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等;
    d) 应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理,按操作规程实现设备(包括备份和冗余设备)的启动/停止、加电/断电等操作;
    e) 应确保信息处理设备必须经过审批才能带离机房或办公地点。
    8.2.5.5  监控管理和安全管理中心(G4)
    本项要求包括:
    a) 应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警,形成记录并妥善保存;
    b) 应组织相关人员定期对监测和报警记录进行分析、评审,发现可疑行为,形成分析报告,并采取必要的应对措施;
    c) 应建立安全管理中心,对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
    8.2.5.6  网络安全管理(G4)
    本项要求包括:
    a) 应指定专人对网络进行管理,负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作;
    b) 应建立网络安全管理制度,对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定;
    c) 应根据厂家提供的软件升级版本对网络设备进行更新,并在更新前对现有的重要文件进行备份;
    d) 应定期对网络系统进行漏洞扫描,对发现的网络系统安全漏洞进行及时的修补;
    e) 应实现设备的最小服务配置和优化配置,并对配置文件进行定期离线备份;
    f) 应保证所有与外部系统的连接均得到授权和批准;
    g) 应禁止便携式和移动式设备接入网络;
    h) 应定期检查违反规定拨号上网或其他违反网络安全策略的行为;
    i) 应严格控制网络管理用户的授权,授权程序中要求必须有两人在场,并经双重认可后方可操作,操作过程应保留不可更改的审计日志。
    8.2.5.7  系统安全管理(G4)
    本项要求包括:
    a) 应根据业务需求和系统安全分析确定系统的访问控制策略;
    b) 应定期进行漏洞扫描,对发现的系统安全漏洞及时进行修补;
    c) 应安装系统的最新补丁程序,在安装系统补丁前,首先在测试环境中测试通过,并对重要文件进行备份后,方可实施系统补丁程序的安装;
    d) 应建立系统安全管理制度,对系统安全策略、安全配置、日志管理、日常操作流程等方面作出具体规定;
    e) 应指定专人对系统进行管理,划分系统管理员角色,明确各个角色的权限、责任和风险,权限设定应当遵循最小授权原则;
    f) 应依据操作手册对系统进行维护,详细记录操作日志,包括重要的日常操作、运行维护记录、参数的设置和修改等内容,严禁进行未经授权的操作;
    g) 应定期对运行日志和审计数据进行分析,以便及时发现异常行为;
    h) 应对系统资源的使用进行预测,以确保充足的处理速度和存储容量,管理人员应随时注意系统资源的使用情况,包括处理器、存储设备和输出设备。
    8.2.5.8  恶意代码防范管理(G4)
    本项要求包括:
    a) 应提高所有用户的防病毒意识,及时告知防病毒软件版本,在读取移动存储设备上的数据以及网络上接收文件或邮件之前,先进行病毒检查,对外来计算机或存储设备接入网络系统之前也应进行病毒检查;
    b) 应指定专人对网络和主机进行恶意代码检测并保存检测记录;
    c) 应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定;
    d) 应定期检查信息系统内各种产品的恶意代码库的升级情况并进行记录,对主机防病毒产品、防病毒网关和邮件防病毒网关上截获的危险病毒或恶意代码进行及时分析处理,并形成书面的报表和总结汇报。
    8.2.5.9  密码管理(G4)
    应建立密码使用管理制度,使用符合国家密码管理规定的密码技术和产品。
    8.2.5.10  变更管理(G4)
    本项要求包括:
    a) 应确认系统中要发生的变更,并制定变更方案;
    b) 应建立变更管理制度,系统发生变更前,向主管领导申请,变更和变更方案经过评审、审批后方可实施变更,并在实施后将变更情况向相关人员通告;
    c) 应建立变更控制的申报和审批文件化程序,控制系统所有的变更情况,对变更影响进行分析并文档化,记录变更实施过程,并妥善保存所有文档和记录;
    d) 应建立中止变更并从失败变更中恢复的文件化程序,明确过程控制方法和人员职责,必要时对恢复过程进行演练;
    e) 应定期检查变更控制的申报和审批程序的执行情况,评估系统现有状况与文档记录的一致性。
    8.2.5.11  备份与恢复管理(G4)
    本项要求包括:
    a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等;
    b) 应建立备份与恢复管理相关的安全管理制度,对备份信息的备份方式、备份频度、存储介质和保存期等进行规定;
    c) 应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略,备份策略须指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法;
    d) 应建立控制数据备份和恢复过程的程序,记录备份过程,对需要采取加密或数据隐藏处理的备份数据,进行备份和加密操作时要求两名工作人员在场,所有文件和记录应妥善保存;
    e) 应定期执行恢复程序,检查和测试备份介质的有效性,确保可以在恢复程序规定的时间内完成备份的恢复;
    f) 应根据信息系统的备份技术要求,制定相应的灾难恢复计划,并对其进行测试以确保各个恢复规程的正确性和计划整体的有效性,测试内容包括运行系统恢复、人员协调、备用系统性能测试、通信连接等,根据测试结果,对不适用的规定进行修改或更新。
    8.2.5.12  安全事件处置(G4)
    本项要求包括:
    a) 应报告所发现的安全弱点和可疑事件,但任何情况下用户均不应尝试验证弱点;
    b) 应制定安全事件报告和处置管理制度,明确安全事件类型,规定安全事件的现场处理、事件报告和后期恢复的管理职责;
    c) 应根据国家相关管理部门对计算机安全事件等级划分方法和安全事件对本系统产生的影响,对本系统计算机安全事件进行等级划分;
    d) 应制定安全事件报告和响应处理程序,确定事件的报告流程,响应和处置的范围、程度,以及处理方法等;
    e) 应在安全事件报告和响应处理过程中,分析和鉴定事件产生的原因,收集证据,记录处理过程,总结经验教训,制定防止再次发生的补救措施,过程形成的所有文件和记录均应妥善保存;
    f) 对造成系统中断和造成信息泄密的安全事件应采用不同的处理程序和报告程序;
    g) 发生可能涉及国家秘密的重大失、泄密事件,应按照有关规定向公安、安全、保密等部门汇报;
    h) 应严格控制参与涉及国家秘密事件处理和恢复的人员,重要操作要求至少两名工作人员在场并登记备案。
    8.2.5.13  应急预案管理(G4)
    本项要求包括:
    a) 应在统一的应急预案框架下制定不同事件的应急预案,应急预案框架应包括启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容;
    b) 应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障;
    c) 应对系统相关的人员进行应急预案培训,应急预案的培训应至少每年举办一次;
    d) 应定期对应急预案进行演练,根据不同的应急恢复内容,确定演练的周期;
    e) 应规定应急预案需要定期审查和根据实际情况更新的内容,并按照执行;
    f) 应随着信息系统的变更定期对原有的应急预案重新评估,修订完善。
    9  第五级基本要求
    (略)。

    展开全文
  • 在这里分享下国家信息系统安全等级保护基本要求——等保一级、等保二级、等保三级、等保四级内容,以备查阅及编写单位自用信息安全要求。 《信息系统安全等级保护基本要求》 中华人民共和国国家标准GB/T 22239-2008 ...
  • 《 信息安全技术网络安全等级保护基本要求》解读 标准的修订变化 总体的结构变化 描述模型和主要特点 安全通用要求的内容 等级保护2.0-法律依据-网络安全法 第二十一条 国家实行网络安全等级保护制度。网络运营...
  • 这是我最喜欢的一篇文章!如何成为优秀的管理者?其实很简单,做好两件事:(1)确保团队能够工作;(2)关心他们,把他们当人看。
  • 42.admin后台管理的使用及基本设置

    千次阅读 多人点赞 2021-09-09 21:18:36
    3.admin后台 (1)好奇引入: 在项目目录下的urls.py文件中我们会看到这样一个url的配置,你有自己去访问这个url地址吗?? 访问之后发现了什么呢?...(后台管理管理数据库中的数据。可以对当前项目数据库中的数据
  • 将重点集中在作出贡献上.这是提高有效性的关键。这种有效性可以表现在以下三个方面: 表现在自已的工作上,其中包活工作内容、水平、标准及影响; 表现在与其他人的关系上,包括上级、同事、下属...管理者的承诺 ...
  • 作为一名管理者,要如何去做好上传下达工作呢?如何才能有效传达出公司的宗旨呢?下面就赶紧跟着黄一老师一起来了解下吧!  管理者做好上传下达的方法  任何组织或团体的管理者,都具有一定的职位,都要运用和...
  • 管理基本职能

    千次阅读 2014-03-16 15:18:34
    管理的基本职能很多人做管理软件、实施管理软件、应用管理软件,甚至很多人做管理者,都不明白到底应该做些什么,应该理什么管什么。所以我今天就来说道说道。我们做管理的都听过很多管理:战略管理、组织管理、项目...
  • 企业信息安全建设工作可以从多个方面来建设与完善,我在这里就介绍信息安全等级保护的基本要求加上自己从事多年的安全工作经验,与各位共勉,干货在后面。 等级保护包含哪些方面 根据GB/T22239-2008 《...
  • ISO 37301:2021《合规管理体系 要求及使用指南》国际标准解读及相关标准 2021年4月13日,ISO 37301: 2021《合规管理体系 要求及使用指南》(Compliance management systems — Requirements with guidance for use)...
  • (项目沟通管理、项目质量管理、整体管理、范围管理、进度管理、成本管理、人力资源管理、风险管理、项目采购管理、项目干系人管理) 比如刚刚举例这题,就是要求写成本管理,题目2.1“项目成本管理的过程”这个是...
  • 健康管理师【21】

    千次阅读 2022-03-17 16:41:51
    1.医疗保险产品按照保障责任范畴分为 A.费用补偿型医疗保险和补充型医疗保险 B.费用补偿型医疗保险和定额给付型医疗保险 ...3.健康保险的基本原则是 A.保费收入大于赔款支出 B.保费收入等于赔款支出 C.保费收入小于赔
  • CIO应具备的基本素质要求(zt)

    千次阅读 2019-07-06 15:45:05
    做为一个企业的CIO,究竟应该如何为企业带来效益,如何站在一个战略的高度进行信息化管理,CIO应该具备什么样的基本素质要求?...作为一个高层管理者,CIO必须对本行业的发展背景有全面的了解,对 企业...
  • 管理者的角色修炼-第一课总结

    千次阅读 2016-06-12 18:20:50
    作为中层管理者要有培养他人的意愿与倾向,关注下属的潜能与可塑性,并在实际工作中帮助其成长。 部属个人能力提升了,整个团队的战斗力就会提升。 要相信你的下属都是最优秀的,即使他们不够优秀,那么你也...
  • 基本分页、请求分页储存管理方式

    千次阅读 2018-06-19 14:10:53
    基本分页储存管理方式具有如下特征:1) 一次性。要求将作业全部装入内存后方能运行。许多作业在每次运行时,并非其全部程序和数据都要用到。如果一次性地装入其全部程序,造成内存空间的浪费。2) 驻留性。作业装入...
  • 项目质量管理的七个基本原理

    千次阅读 2018-04-27 16:36:02
    项目质量管理可归纳为七个基本原理(文字描述来自网络bbs.mypm.net)) 系统原理、PDCA循环原理、全面质量管理原理、质量控制原理、质量保证原理、合格控制原理和监督原理。1、系统原理bbs.mypm.net 项目质量管理...
  • 如何进行软件技术管理

    千次阅读 2019-06-11 17:58:00
    文章目录引言组织文化体系软件工程管理ScrumRUPScrum+RUP迭代边界研发测试与发布总结 这个问题其实来源于一次面试,在聊完一堆的技术架构之后,面试官抛出一个问题:“你是怎么进行研发管理的工作的?”当时我的...
  • 本文是在黑马程序员网课课件基础上修改的...运维基本功(五):Linux文件管理-用户管理 运维基本功(六):Linux用户管理-远程管理 运维基本功(七):Linux的权限管理操作 一、权限概述 1、权限的基本概念 在多用户计
  • 测试管理之--团队管理和建设

    万次阅读 2018-08-07 13:38:00
    对于测试部门来说,也是如此。任何问题归根到底都是管理的问题,所以管理的重要性不言而喻。怎么才能做好测试团队的管理和建设,下面来谈一下我的经验和教训。 我认为,做好以下三点就足够了: 1、放权; 2、沟通...
  • 技术到管理岗位的角色转换:从优秀骨干到优秀管理者 作者:王珺之 前言 目前,我国企业95%的中层管理者都是从技术骨干提拔上来的,有相当一部分从技术骨干提拔上来的新任管理者都存在着诸多的困惑和问题。...
  • 13.1 系统安全加固的基本要求 本节将为读者介绍系统安全加固的一些基本要求,这些内容主要来源于各项安全法案的标准条例。不管是信息安全等级保护、PCI(Payment Card Industry)还是SOX(Sarbanes-Oxley Act),...
  • 管理后台界面基本框架设计

    万次阅读 2018-10-18 13:56:54
    后台系统使用用户比较专一,不需要太多炫动效果,应该色调比较平淡,开发工程师借助一些前端开发JS类库可以实现后台界面设计,基本上不需美工参与即可到达普通用户的要求。古方红糖创客系统后台管理界面使用Easyui...
  • 如果我们假设知识经济的程度逐渐加深,那么管理者与被管理者的发言权将会越来越被倒置,例如医院院长并不能命令主治医生,最终的发言权将会属于专业技能。在这种情形下,越是依照权责来自顶向下进行管理,工作意愿的...
  • 测试管理之--用例管理

    万次阅读 2018-08-07 18:24:53
    用例管理是测试管理中非常重要的一项工作,用例也是产品测试设计的重要产出。用例管理的好坏也直接决定着测试执行的效果。我们的用例管理也经历了几个阶段的发展,获得了诸多的经验和教训。 测试用例包括如下元素:...
  • c#图书管理系统+详细数据库设计文档+程序说明

    千次下载 热门讨论 2011-10-24 18:13:28
    图书管理系统是一个学校不可缺少的部分,它的内容对于学校的管理者和读者来说都至关重要,直接关系到图书的借用率,所以开发图书管理系统能够为管理员和读者提供充足的信息和快捷的查询手段。 编写程序系统主要实现...
  • 管理者的" 概念技能

    千次阅读 2014-12-04 19:54:15
    管理者需要三种基本的技能或者素质,即技术技能、人际技能和概念技能。 技术技能却是层次越高,要求越低,概念技能则与技术技能相反,层次越高要求越高。技术技能(technical skills)是指熟悉和精通某种特定专业领域...
  • 图书管理系统 java

    千次下载 热门讨论 2011-10-01 02:16:31
    图书馆作为提供学习的场所,不仅要求便于管理,而且要求对读者和借阅提供方便快速的查找,借阅和登记手续。一个好的图书馆不仅仅看它的藏书的种类和数量是否齐全,还要看它的管理机制是否健全。这不仅仅是人的因素...

空空如也

空空如也

1 2 3 4 5 ... 20
收藏数 546,743
精华内容 218,697
热门标签
关键字:

对于管理者的基本要求