DB14／T 1252-2016标准规范下载简介

DB14／T 1252-2016 信息化工程安全建设和管理规范

4.2信息安全工程过程

信息系统的安全体系是信息系统完整不可分割的一部分，在信息系统生命周期的每一阶段均需开展 信息安全活动。表1描述了信息安全工程过程与信息系统生命周期阶段的对应关系。

4.3信息化工程安全管理制度

DB34／T 2921-2017 渡槽工程管理规程DB14/T 12522016

信息化工程安全管理制度除应行 括但不限于： GB/T20261一2006明确了信息安全工程过程的主要任务，提出了信息安全工程能力成熟度模 型，规定了信息安全工程的项目组织活动。 GB/T20282一2006明确了信息安全工程实施要求和项目实施要求，提出了分等级的信息安全 工程管理要求， GB/T19668.6一2007提出了信息化工程招标、设计、实施、验收阶段的安全监理规范，并明确 了各类信息化工程的安全监理要点。 GB/T22081一2008提出了“信息系统获取、开发和维护”要求，

4.4信息化工程安全项目管理

应有专人负责信息安全工作或成立信息安全管理机构，并满足以下要求： a） 信息安全管理机构应在信息化工程建设之初便参与信息系统生命周期的所有活动，并能够在各 阶段的活动中充分表达意见。要以信息安全部门为主成立信息安全工程小组，负责信息化工程 中信息安全工程的管理。信息安全部门对信息化工程的重大决策拥有一票否决权。 b) 应成立内部协调机制，在信息化工程建设过程中处理业务部门、信息化部门与信息安全部门之 间可能出现的分歧，提高信息化工程的整体性、协调性。 R 4.4.2 管理任务 P 应按照GB/T202822006的“组织保证要求”和“项目实施要求”， 贯彻工程项目管理的思路，对 信息化工程安全项目实施全过程管理，管理任务包括但不限于： a) 明确项目范围。 b) 确定所需资源及其可用性。 c) 确定相关角色和责任，定义管理接口。 d) 估算项目成本。 e) 制定项目进度计划。 f) 确定项目可交付项。 g) 制定项目管理规划。 h) 与用户沟通，获得用户认同。 i) 建立专家团队，指导技术工作。 j) 跟踪项目资源。 k) 跟踪技术参数。 1) 监督技术活动的进展，报告项目状态。 m) 确保可交付项的质量。 n) 开展项目有效性评估，审查项目绩效。

DB14/T 12522016

5.1分析信息安全需求

分析信息安全需求是信息化工程安全建设的起点，应从本机构的职能或业务的角度分析对信息安全 的需求。与之相关的任务主要有以下几个方面： 梳理本机构的职能或业务对信息系统的需求。 b) 分析本机构信息系统面临的威胁。 c) 结合本机构的职能或业务特性，分析信息安全威胁可能对本机构造成的影响。 d) 明确本机构职能或业务对信息的保密性、完整性、可用性需求。 ey 描述本机构信息系统中涉及信息安全的角色和责任。 f) 梳理法律法规、政策文件对信息安全的强制性要求，以及本机构的上级机构或关联机构对信息 安全的约束性规定。

DB14/T 12522016

DB14/T 12522016

等级 标识 定义 5 很高 出现的频率很高（或≥1次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过 4 高 出现的频率较高（或1次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过 3 中等 出现的频率中等（或1次/半年）；或在某种情况下可能会发生；或被证实曾经发生过 2 低 出现的频率较小／或一般不太可能发生；或没有被证实发生过 1 很低 威胁几乎不可能发生； 仅可能在非常罕见和例外的情况下发生 .2 定义系统安全要求 0 5.2. 1 主要任务 S S 应基于信息安全需求说明书，定义信息系统的信息安全要求。与之相关的任务主要有以下几方面内 a) 定义信息系统的安全边界及信息安全运行环境 b) c) 将信息安全需求在待建系统自身与外部环境、系统间进行分配，如图2所示。例如，对数字证 书的安全需求应由依法成立的第三方电子认证机构提供。 d) 明确待建系统与外部系统之间的数据流，以及各数据流的信息安全防护需求。 e) 梳理对后续信息安全方案设计可能构成约束的条件，包括由外部系统施加的约束。例如，环境 条件或环境限制、合同约束、习惯或惯例等 f) 定义信息系统的信息安全功能要求与性能要求，性能要求应考虑峰值因素。 g） 制定信息系统的信息安全策略，包含信息安全目标 h) 向用户说明，已定义的信息系统信息安全要求如何满足用户的信息安全需求，并得到用户认可。

5.2定义系统安全要求

5. 2. 1主要任务

DB14/T 12522016

5. 2. 2任务输出

应按照GB/T20282一2006的“指定安全要求”，采取以下方法，定义信息系统的信息安全要求： 1. 通过收集所有用于全面理解需求方安全要求所需的信息，获得对安全要求的理解。 6 收集所有对系统安全产生影响的外部影响；标识出支配系统目标环境的法律、规则、策略和业 务标准。 c） 标识出系统间的关系是如何影响安全的，任务的处理和运行概要应作为安全因素加以评估。 d定义系统的安全边界，包括梳理本机构的外部环境如何影响信息系统的安全。

DB14/T 12522016

3.1设计安全体系结构

应基于已经定义的信息系统信息安全要求，设计信息系统的信息安全体系结构。与之相关的任务主 要有： a) 分析待建系统的信息安全体系结构。“定义系统安全要求”与“设计安全体系结构”的主要区 别是，前者将信息安全要求分配到整个信息系统之中，只指明系统的功能，不定义系统的组件 而后者则明确了承担信息安全功能的各项组件。前者将目标系统视为“黑盒”，后者则创建信 息安全体系的内部结构。图3和图4分别描述了两者的区别。 D 在信息安全体系结构中分配安全服务，并为已分配的安全服务选择合适的安全机制，以便将此 前确定的高层安全功能分解至低层功能，与高层功能相关的性能要求也应分解至低层。关于安 全服务和安全机制的概念，可参见GB9387.2一1995。 向用户说明，已设计的信息安全体系结构如何满足信息安全要求，并得到用户认可。 d 开展信息安全风险评估，说明安全服务和安全机制如何抵御待建系统可能面临的安全风险，并 设定信息安全风险处置日标，同时对信息系统的残余风险作出说明。

图4设计安全体系结构展现方框图

DB14/T 12522016

a）待建信息系统的信息安全体系结构。重点是明确系统内的各类信息安全组件，说明各组件提供 的信息安全服务及可能的实现机制，包括各组件的逻辑功能和性能。此外，还需说明内外部的 各类接口、信息流等。 b）对信息安全体系结构的安全风险评估报告

应采取以下方法设计信息系统的安全体系结构： a）按照GB9387.2一1995和GB/T18794（所有部分），完成信息安全服务、机制在信息系统体 系结构中的分配。信息安全服务是信息系统所能为用户提供的安全目标，是对用户信息安全需 求的客观描述，如身份鉴别、访问控制、保密性、完整性、抗抵赖等。信息安全机制是为了实 现相关安全服务而采取的技术措施。例如，为了实现“保密性”这一服务，可以采用“加密” 这一机制，也可以使用“信息隐藏”这一机制。 按照GB/T20984一2007的关于“设计阶段的风险评估”要求，根据规划阶段所明确的系统运 行环境、资产重要性等，提出安全功能需求，对安全体系结构开展以下评估： 1）2 是否符合系统建设规划，并得到最高管理者的认可。 2） 是否对系统建成后面临的威胁进行了分析，包括物理环境、自然的威胁，以及由于内、外 部入侵等造成的威胁。 3) 安全需求是否符合规划阶段的安全目标，并基于威胁的分析，制定信息系统的总体安全策 略。 c) 针对等级保护定级为第一级至第四级（含）系统的安全体系结构，按照GB/T25070一2010规 定的相应等级保护安全设计技术进行安全机制的设计，设计目标考虑如下： 第一级系统安全保护环境应实现定级系统的自主访问控制，使系统用户对其所属客体具有 自我保护的能力。 2) 第二级系统安全保护环境在第一级系统安全保护环境的基础上，增加系统安全审计、客体 重用等安全功能，并实施以用户为基本粒度的自主访问控制，使系统具有更强的自主安全 保护能力。 3） 第三级系统安全保护环境应在第二级系统安全保护环境的基础上，通过实现基于安全策略 模型和标记的强制访问控制以及增强系统的审计机制，使系统具有在统一安全策略管控下 保护敏感资源的能力。 4 第四级系统安全保护环境应建立一个明确定义的形式化安全策略模型，将自主和强制访问 控制扩展到所有主体与客体，相应增强其他安全功能强度；将系统安全保护环境结构化为 关键保护元素和非关键保护元素，以使系统具有抗渗透的能力。

6.2开展详细的安全设计

6. 2. 1主要任务

应基于已设计的信息安全体系结构，开展详细的安全设计，细化到安全机制在信息系统中的具体实 现。与之相关的任务主要有： a）分析所需的信息安全机制的强度。 b）分析信息安全机制之间的互依赖性，如审计机制是监测机制的基础，身份标识是访问控制机制 的基础。

DB14/T 12522016

c) 落实设计中的约束因素，并结合强度分析结果和互依赖性分析结果，研判相应强度的安全机制 在系统中是否可实现。在此基础上，综合考虑成本、进度、性能、优先级等因素，确定整体信 息安全体系结构的可行性。 对于需要通过非技术性措施提供的安全服务，应列明相应的信息安全管理措施，并形成管理制 度，例如应急响应、培训等。 er 确定哪些机制需要通过现货产品提供，哪些机制则需要通过定制的产品提供，并明确产品的重 要配置参数。 f) 确定哪些机制需要通过信息安全外包服务提供。 g 对详细的信息安全设计进行有效性评估，以确保产品、管理制度与安全服务、安全机制之间具 有对应性。 h) 依据信息化工程信息安全建设合同及有关的政策法规、标准，明确信息安全系统的指标规范 i) 根据详细设计的结果，必要时对信息安全运行概念进行修正。

6. 2. 2任务输出

DB14/T 12522016

应基于已完成的详细设计，开发定制产品，并采购现货产品。与之相关的任务主要有 a) 选择合适的开发商，对定制产品进行开发。在选择开发商时，应重点考虑开发商的技术实力、 信誉、可信度、安全资质、开发环境的安全保障水平、交付条件等因素。 b) 采购现货产品，重点考虑产品安全资质、成本、厂商信誉、可替代性等因素。 c) 对定制产品进行安全功能和性能测试。 d) ）对开发和采购过程进行有效性评估。

7. 1. 2任务输出

应形成以下成果： a）获得定制产品，并将定制产品的开发文档、测试文档、使用说明书等进行归档 b）采购现货产品，并将现货产品的选型标准、采购过程文件等进行归档。

DB14/T12522016

应采取以下方法进行开发和采购： a) 按照GB/T22239一2008，在自行开发软件时考虑下列要点： 确保开发环境与实际运行环境物理分开，开发人员与测试人员分离，测试数据和测试结果 受到控制。 制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则。 3) 制定代码编写安全规范，并要求开发人员参照。 提供软件设计的相关文档和使用指南，并由专人保管。 5) 确保对程序资源库的修改、更新、发布得到授权和批准。 b) 按照GB/T22081一2008，在外包软件开发时应考虑下列要点： 1) 许可协议、代码所有权和知识产权 2) 所完成工作的质量和准确性的认证。 3) 第三方发生故障时的契约安排。 审核所完成的工作质量和准确性的访问权。 V 5) 代码质量和安全功能的合同要求 6) 在安装前，检测恶意代码。 C 按照GB/T209842007对开发和采购过程进行评估，评估要点包括但不限于： 1) 法律、政策、适用标准和指导方针，直接或间接影响信息系统安全需求的特定法律；影响 信息系统安全需求、产品选择的政府政策、国际或国家标准。 2) 信息系统的功能需要，安全需求是否有效地支持系统的功能。 3) 成本效益风险！是否根据信息系统的资产、威胁和脆弱性的分析结果，确定在符合相关法 律、政策、 标准和功能需要的前提下选择最合适的安全措施。 4) 评估级别， 是否明确系统建设后应进行怎样的测试和检查，从而确定是否满足项目建设、 实施规范的要求。 R 安全集成 .1 主要任务 开发完成定制产品并采购现货产品后，应在信息系统集成过程中同步集成信息安全产品。与之相关 王务主要有： 根据信息安全技术方案，将定制产品和现货产品集成到信息系统之中，确保产品之间的互操作 性，确保信息系统整体性能最佳。 b) 确保产品的安全特性已经激活，且安全参数已得到正确设置。 对集成了信息安全产品的信息系统进行上线运行前的自测，测试信息安全系统是否达到指标规 范的要求，验证信息安全系统对信息系统性能的影响，及时解决测评中发现的问题。 d) 建立模拟环境，开展线上自测，并及时解决测评中发现的问题。 对信息系统管理员和用户进行培训

应采取以下方法进行开发和采购： a) 按照GB/T22239一2008，在自行开发软件时考虑下列要点： 确保开发环境与实际运行环境物理分开，开发人员与测试人员分离，测试数据和测试结果 受到控制。 2) 制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则。 制定代码编写安全规范，并要求开发人员参照， 4) 提供软件设计的相关文档和使用指南，并由专人保管。 5) 确保对程序资源库的修改、更新、发布得到授权和批准。 按照GB/T22081一2008，在外包软件开发时应考虑下列要点，

7. 2. 1主要任务

开发完成定制产品并采购现货产品后，应在信息系统集成过程中同步集成信息安全产品。与之相关 任务主要有： 根据信息安全技术方案，将定制产品和现货产品集成到信息系统之中，确保产品之间的互操作 性，确保信息系统整体性能最佳。 b) 确保产品的安全特性已经激活，且安全参数已得到正确设置。 c) 对集成了信息安全产品的信息系统进行上线运行前的自测，测试信息安全系统是否达到指标规 范的要求，验证信息安全系统对信息系统性能的影响，及时解决测评中发现的问题。 d) 建立模拟环境，开展线上自测，并及时解决测评中发现的问题。 e 对信息系统管理员和用户进行培训。 f) 对安全集成过程进行有效性评估。

7. 2. 2 任务输出

应形成以下成果： a）向用户交付信息系统时，应同步交付已完成自测的信息安全系统 b）应将线下自测和模拟线上自测的相关技术文档进行归档。

DB14/T12522016

应采取以下方法进行安全集成： a) 按照GB/T22239一2008开展安全集成任务： 1) 指定或授权专门部门或人员负责安全集成任务的管理。 2 制定详细的集成方案，并要求集成商正式地执行该方案。 3） 制定安全集成管理制度，明确说明安全集成过程的控制方法和人员行为准则。 制定详细的系统交付清单，根据交付清单，对所交接的设备、软件和文档进行清点。 对系统交付的控制方法和人员准则进行书面规定。 6) 制定或授权专门的部门负责系统交付的管理工作，并按照管理规定的要求完成系统交付工 作。 b) 按照GB/T20984一2007对安全集成过程进行评估，评估要点包括但不限于： 1） 根据实际建设的系统，详细分析资产面临的威胁和脆弱性。 2) 根据系统建设目标和安全需求，对系统的安全功能进行验收测试。 3) 评价安全措施能否抵御安全威胁。 4) 评估是否建立了与整体安全策略一致的组织管理制度。 5) 对系统实现的风险控制效果与预期设计的符合性进行判断，如存在较大的不符合，应重新

7. 3. 1主要任务

方法，对信息系统安全违

DB14/T 12522016

评店安全惜地实现 程度，从而确定安全措施能否抵御现有威胁、脆弱性的影响。 按照GB/T28448一2012，对不同保护等级的信息系统进行测试评估，验证信息系统是否符合 GB/T22239一2008提出的技术要求和管理要求： 1）测评的主要方法是访谈、检查、测试，表5给出了测评方法的深度与广度

表5测评方法的测评力度

DB14/T 12522016

一评估系统的安全功能保护机制是否具有抽象机测试、失败保护、安全数据保密性、安全数 据完整性、安全数据可用性、安全数据传输、物理保护、可信恢复、重放检测、参照仲裁、域 分离、状态同步协议、时间戳、安全数据复制的一致性、安全功能自检等功能。 一一评估系统的资源利用机制是否支持资源处理能力或存储能力，以防止由系统故障引起的系 统资源不可用。 一评估系统的访问控制机制是否具有会话锁定、系统访问旗标、系统访问历史、会话建立等 功能。 一一评估系统的可信路径、可信通道机制是否为用户和系统安全功能之间建立了可信通信路 径，以及为系统安全功能和其他可信系统组件、产品之间建立了可信通信信道

2）安全管理保障措施评估要求是

评估本科机松是否律 型 步骤，并将沟通与监控贯穿于这三个步骤中，进行信息安全风险管理与防范，将系统风险降低 到可接受的水平。 一评估本机构是否围绕信息安全策略的制定和维护实施了管理，以便于为信息安全提供符合 业务要求和相关法律法规的管理指导和支持。 一评估本机构的信息安全管理是否得到了机构最高管理层的承诺和支持，并建立了完善的信 息安全组织结构，包括建立相应的岗位、职责和职权。此外，还应评估是否建立了完善的内部 和外部沟通协作组织和机制，同机构内部和外部信息安全所有相关方进行充分沟通、学习、交 流和合作等。 一评估本机构是否建立了规范的人员安全管理制度，对机构的聘用人员进行严格的审查，并 明确了人员的安全职责和保密要求。还应评估本机构是否开展了人员安全意识培训和教育，并 建立了考核和奖惩机制，使信息安全融至组织机构的整个环境和文化中，减少有意、无意的内、 外部威胁。 P 评估本机构是否通过规范资产的管理和使用来保障资产的安全，以最终确保系统的安全。 评估本机构是否建立了物理安全、区域安全制度，包括严格的物理访问控制措施，以防止 非法访问、危害及干扰系统运行。还应评估本机构在防火、防水、温湿度、防雷等方面的安全 措施，以保证基础设施安全，确保系统持续运行。 一评估本机构是否建有效的监督体系，以监督验证信息安全工作对相关法律法、政策标 准等要求以及本机构所制定的信息安全策略体系的符合性以及执行的效果。 一评估本机构是否建立了完善的信息安全规划管理体系，以规划和指导本机构的信息安全工 作。重点评估信息安全规划是否基于本机构的业务要求和风险管理要求，以及这些规划是否是 本机构整体规划的综合组成部分。 一评估本机构是否将信息安全综合至系统开发的整个生命周期中，是否在系统的需求分析、 设计、实施和交付中考虑信息安全。 评估本机构是否具有业务连续性管理制度，以防止业务过程中断，保护关键业务流程不会 受信息系统重大失效或自然灾害的影响，并确保及时恢复。还应评估本机构是否制定了业务连 续性计划，以保证业务过程能够在所需的时间范围内恢复。 3）安全工程保障措施评估要求是：

3）安全工程保障措施评估要求是：

评估是否为系统架构者、设计者、实施者或用户提供了他们所需的安全信息。 评估是否所有的安全机制都能对应到安全体系结构，并且安全体系结构有具体的安全机制 来保证。 评估最终的详细安全设计结果是否为实施系统提供了充分的组件和接口描述信息

DB14/T 12522016

8.1信息安全风险评估和监测

应采取以下措施，对信息系统开展信息安全风险评估和监测， 了解和控制运行过程中的安全 a）资产评估：在真实环境下较为细致的评估。包括实施阶段采购的软硬件资产、系统运行过 生成的信息资产、相关的人员与服务等，本阶段资产识别是前期资产识别的补充与增加。

DB14/T 12522016

8.3灾难备份和业务连续性计划

应采取以下措施，对信息系统实施配置管理： a）制定信息系统配置管理计划，明确配置管理流程，定义信息系统的重要配置项。配置管理计划 应安全保存，防止非授权泄露。 b 制定、记录并维护信息系统的基线配置。 保留信息系统基线配置的历史版本，便于必要时恢复历史配置，

DB14/T 12522016

信息系统及其运行环境发生明显变化时，应评估其风险，对信息系统实施变更管理： a) 明确重大变更的类型，包括系统升级、增加新的功能、本机构组织结构有重大调整、发现新的 威胁或脆弱性等。 b) 在实施变更前，对拟变更事项进行分析，必要时进行测试，判断该变更事项对信息系统安全带 来的潜在影响。 c) 制定书面流程，便于对变更时可能出现的意外情况进行及时处理，并规定变更失败时的系统恢 复流程。 d) 将变更事项、变更计划等提交本单位管理层批准。 严格根据已批准的变更计划实施系统变更，留存全部变更记录

3.6维修维护 信息系统或其组件进行维修维护时，应采取以下措施，防范维修维护过程中可能出现的安全风险： a) 审批和监视所有维修维护行为，包括现场维修维护、远程维修维护，以及对设备的异地维修维 护。 b) 将信息系统组件转移到外部进行维修维护时，应事先得到本机构管理层批准，并评估其中所含 信息的敏感程度，必要时作出信息净化处理。含有特别重要的敏感信息或涉密信息的重要组件 不得交由无资质的机构进行维修维护。 c) 对维修维护过程作出全面记录，包括日期和时间、维修维护人员姓名、陪同人员姓名、对维修 维护活动的描述、被转移或替换的设备列表（包括设备标识号）等信息。 d) 对维修维护人员带入机构内的维修维工具进行检查，以确保该工具不含有恶意功能。维修维 护工具带出机构时，应进行信息净化处理。对于重要机构，维修维护工具一经带入，不得带出。 e) 远程维修维护应采取强身份鉴别机制，所有远程维修维护活动应进行审计。远程维修维护结束 后，应立即终端网络连接。 a 确保废弃过程的安全 信息安全风险评估 应确保对信息系统的过时或无用部分进行安全废弃处理，以防止敏感信息非授权泄露。系统废弃前，

9.1信息安全风险评估

信息系统因各种原因废弃后，并不意味信息系统支撑的原有功能消亡。如需要建设新的信息系统承 接原有功能，应采取以下措施，确保业务平稳、安全迁移 a）在新信息系统建设完成、通过验收并正式上线前，不得关闭原有信息系统。新信息系统上线运 行后，应留出过渡时间封存旧信息系统，便于在紧急情况下依然可以重新启动旧信息系统。如

DB14/T 12522016

因物理环境、人力资源等条件限制，新旧系统不能同时并存，应采取分步骤、分阶段方式，实 现边废弃、边建设。 如出现对软硬件或服务提供商过度依赖，导致系统迁移受制于人、明显违背市场经济规则的情 况，应及时上报国家和地方信息安全主管部门作出处理，

在废弃信息系统时，应采取以下措施，保护被废弃介质中存储信息的安全： a) 对存储敏感信息的介质进行妥善保存，或采用安全方式进行处置，如焚烧、破碎等，或在净化 信息后重复利用。 对含有特别重要的敏感信息或涉密信息的重要介质，选择有资质的机构进行安全销毁， C 对敏感组件或信息的处置作出详细记录。

10.1信息安全监管部门的监督检查

TB 10415-2018 铁路桥涵工程施工质量验收标准10.2自身信息化工程安全管理

DB14/T12522016

附录A （资料性附录） 信息化工程安全管理相关政策要求

A.2国家和部委政策文

A.3山西省地方性政策文件要求

《山西省信息化促进条例》第四十三条：信息安全系统应当与信息化工程同时设计、同时施工、 同时投入使用，采用依法认证的信息安全产品，所需经费列入工程预算

JTG 3830-2018 公路工程建设项目概算预算编制办法DB14/T 12522016