5.3.3 風(fēng)險控制

5.3.3.1 選擇和實施風(fēng)險控制措施

對選擇和實施風(fēng)險控制措施，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 基于安全等級標準選擇控制措施：以信息系統(tǒng)及產(chǎn)品的安全等級標準對不同等級的技術(shù)和管理要求，選擇相應(yīng)等級的安全技術(shù)和管理措施，決定需要實施的信息系統(tǒng)安全控制措施；
b） 基于風(fēng)險評估選擇控制措施：在a）的基礎(chǔ)上，根據(jù)風(fēng)險評估的結(jié)果，結(jié)合組織機構(gòu)對于信息系統(tǒng)安全的需求，決定信息系統(tǒng)安全的控制措施；
c） 基于風(fēng)險評估形成防護控制系統(tǒng)：在b）的基礎(chǔ)上，根據(jù)風(fēng)險評估的結(jié)果，結(jié)合機構(gòu)對于信息系統(tǒng)安全的需求，決定信息系統(tǒng)安全的控制措施；對相關(guān)的各種控制措施進行綜合分析，得出緊迫性、優(yōu)先級、投資比重等評價，形成體系化的防護控制系統(tǒng)。


5.3.4 基于風(fēng)險的決策

5.3.4.1 安全確認

應(yīng)對信息系統(tǒng)定期進行安全確認。對安全確認，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 殘余風(fēng)險接受：針對信息系統(tǒng)的資產(chǎn)清單、威脅列表、脆弱性列表，結(jié)合已采用的安全控制措施，分析存在的殘余風(fēng)險；應(yīng)形成殘余風(fēng)險分析報告，并由組織機構(gòu)的高層管理人員決定殘余風(fēng)險是否可接受；
b） 殘余風(fēng)險監(jiān)視：在a）的基礎(chǔ)上，應(yīng)編制出信息系統(tǒng)殘余風(fēng)險清單，并密切監(jiān)視殘余風(fēng)險可能誘發(fā)的安全事件，并及時采取防護措施；
c） 安全風(fēng)險再評估：在b）的基礎(chǔ)上，采用系統(tǒng)化的方法對信息系統(tǒng)安全風(fēng)險實施再次評估，通過再次評估，驗證防護措施的有效性。


5.3.4.2 信息系統(tǒng)運行的決策

對信息系統(tǒng)運行的決策，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 信息系統(tǒng)運行的決定：信息系統(tǒng)的主管者或運營者應(yīng)根據(jù)安全確認的結(jié)果，判斷殘余風(fēng)險是否處在可接受的水平之內(nèi)，并決定是否允許信息系統(tǒng)繼續(xù)運行；
b） 信息系統(tǒng)受控運行：在a）的基礎(chǔ)上，如果信息系統(tǒng)的殘余風(fēng)險不可接受，而現(xiàn)實情況又要求系統(tǒng)必須投入運行，且當前沒有其它資源能勝任組織機構(gòu)的使命，經(jīng)過組織機構(gòu)管理層的審批，可以臨時批準信息系統(tǒng)投入運行，同時應(yīng)采取相應(yīng)的風(fēng)險規(guī)避和監(jiān)測控制措施，并明確風(fēng)險一旦發(fā)生的責(zé)任陳述。


5.3.5 風(fēng)險評估的管理

5.3.5.1 評估機構(gòu)的選擇

對評估機構(gòu)選擇，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 按資質(zhì)和信譽選擇：應(yīng)選擇有國家主管部門認可的安全服務(wù)資質(zhì)且有良好信譽的評估機構(gòu)進行信息系統(tǒng)風(fēng)險評估；
b） 在上級認可的范圍內(nèi)選擇：應(yīng)在經(jīng)過本行業(yè)主管部門認可或上級行政領(lǐng)導(dǎo)部門批準的選擇范圍內(nèi)，確定有國家主管部門認可的安全服務(wù)資質(zhì)且有良好信譽的評估機構(gòu)，進行信息系統(tǒng)風(fēng)險評估；
c） 組織專門的評估：應(yīng)按照國家主管部門有關(guān)管理規(guī)定選擇可信評估機構(gòu)，必要時應(yīng)由國家指定專門部門、專門機構(gòu)組織進行信息系統(tǒng)風(fēng)險評估。


5.3.5.2 評估機構(gòu)保密要求

對評估機構(gòu)的保密要求，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 簽署保密協(xié)議：評估機構(gòu)人員應(yīng)按照第三方人員管理要求（詳見5.2.3.6）簽署保密協(xié)議；
b） 專人監(jiān)督檢查：在a）的基礎(chǔ)上，應(yīng)有專人在整個評估過程中監(jiān)督檢查評估機構(gòu)對保密協(xié)議的執(zhí)行情況；
c） 制定具體辦法：在b）的基礎(chǔ)上，對專門評估組的保密要求應(yīng)參照《中華人民共和國保守國家秘密法》的要求，結(jié)合實際情況制定具體實施辦法。


5.3.5.3 評估信息的管理

對評估信息的管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 規(guī)定交接手續(xù)：提交涉及評估需要的資料、數(shù)據(jù)等各種信息，應(yīng)規(guī)定辦理交接手續(xù)，防止丟失；
b） 替換敏感參數(shù)：在a）的基礎(chǔ)上，提交涉及評估需要的資料、數(shù)據(jù)等各種信息，必要時可以隱藏或替換核心的或敏感的參數(shù)；
c） 不得帶出指定區(qū)域：在b）的基礎(chǔ)上，所有提交涉及評估需要的資料、數(shù)據(jù)等各種信息，只能存放在被評估方指定的計算機內(nèi)，不得帶出指定辦公區(qū)域。


5.3.5.4 技術(shù)測試過程管理

新投入運行的信息系統(tǒng)或經(jīng)過風(fēng)險評估對安全機制有較大變動的信息系統(tǒng)應(yīng)進行技術(shù)測試。對技術(shù)測試過程的管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 必須經(jīng)過授權(quán)：使用工具或手工進行技術(shù)測試，應(yīng)事先提交測試的技術(shù)方案，并得到授權(quán)方可進行；
b） 在監(jiān)督下進行：在a）的基礎(chǔ)上，使用工具或手工進行技術(shù)測試，應(yīng)在被測試方專人監(jiān)督下按技術(shù)方案進行；
c） 由被評估方操作：在b）的基礎(chǔ)上，使用工具或手工進行技術(shù)測試，可以采用由被評估方技術(shù)人員按技術(shù)方案進行操作，評估機構(gòu)技術(shù)人員進行場外指導(dǎo)；
d） 過濾測試結(jié)果：在c）的基礎(chǔ)上，使用工具或手工進行技術(shù)測試，應(yīng)由被評估方技術(shù)人員按技術(shù)方案進行操作，對測試結(jié)果過濾敏感或涉及國家秘密信息后再交評估方分析。


5.4 環(huán)境和資源管理

5.4.1 環(huán)境安全管理

5.4.1.1 環(huán)境安全管理要求

對環(huán)境安全管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 環(huán)境安全的基本要求：應(yīng)配置物理環(huán)境安全的責(zé)任部門和管理人員；建立有關(guān)物理環(huán)境安全方面的規(guī)章制度；物理安全方面應(yīng)達到GB/T 20271-2006中6.1.1的有關(guān)要求；
b） 較完整的制度化管理：在a）的基礎(chǔ)上，應(yīng)對物理環(huán)境劃分不同保護等級的安全區(qū)域進行管理；應(yīng)制定對物理安全設(shè)施進行檢驗、配置、安裝、運行的有關(guān)制度和保障措施；實行關(guān)鍵物理設(shè)施的登記制度；物理安全方面應(yīng)達到GB/T 20271-2006中6.2.1的有關(guān)要求；
c） 安全區(qū)域標記管理：在b）的基礎(chǔ)上，應(yīng)對物理環(huán)境中所有安全區(qū)域進行標記管理，包括不同安全保護等級的辦公區(qū)域、機房、介質(zhì)庫房等；介質(zhì)庫房的管理可以參照同等級的機房的要求；物理安全方面應(yīng)達到GB/T 20271-2006中6.3.1的有關(guān)要求；
d） 安全區(qū)域隔離和監(jiān)視：在c）的基礎(chǔ)上，應(yīng)實施不同保護等級安全區(qū)域的隔離管理；出入人員應(yīng)經(jīng)過相應(yīng)級別的授權(quán)并有監(jiān)控措施；對重要安全區(qū)域的活動應(yīng)實時監(jiān)視和記錄；物理安全方面應(yīng)達到B/T 20271-2006中6.4.1的有關(guān)要求；
e） 安全保障的持續(xù)改善：在d）的基礎(chǔ)上，應(yīng)對物理安全保障定期進行監(jiān)督、檢查和不斷改進，實現(xiàn)持續(xù)改善；物理安全方面應(yīng)達到GB/T 20271-2006中6.5.1的有關(guān)要求。


5.4.1.2 機房安全管理要求

對機房安全管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 機房安全管理的基本要求：應(yīng)明確機房安全管理的責(zé)任人，機房出入應(yīng)有指定人員負責(zé)，未經(jīng)允許的人員不準進入機房；獲準進入機房的來訪人員，其活動范圍應(yīng)受到限制，并有接待人員陪同；機房鑰匙由專人管理，未經(jīng)批準，不準任何人私自復(fù)制機房鑰匙或服務(wù)器開機鑰匙；沒有指定管理人員的明確準許，任何記錄介質(zhì)、文件材料及各種被保護品均不準帶出機房，與工作無關(guān)的物品均不準帶入機房；機房內(nèi)嚴禁吸煙及帶入火種和水源；
b） 加強對來訪人員的控制：在a）的基礎(chǔ)上，要求所有來訪人員應(yīng)經(jīng)過正式批準，登記記錄應(yīng)妥善保存以備查；獲準進入機房的來訪人員，一般應(yīng)禁止攜帶個人計算機等電子設(shè)備進入機房，其活動范圍和操作行為應(yīng)受到限制，并有機房接待人員負責(zé)和陪同；
c） 增強門禁控制手段：在b）的基礎(chǔ)上，任何進出機房的人員應(yīng)經(jīng)過門禁設(shè)施的監(jiān)控和記錄，應(yīng)有防止繞過門禁設(shè)施的手段；門禁系統(tǒng)的電子記錄應(yīng)妥善保存以備查；進入機房的人員應(yīng)佩戴相應(yīng)證件；未經(jīng)批準，禁止任何物理訪問；未經(jīng)批準，禁止任何人移動計算機相關(guān)設(shè)備或帶離機房；
d） 使用視頻監(jiān)控和專職警衛(wèi)：在c）的基礎(chǔ)上，機房所在地應(yīng)有專職警衛(wèi)，通道和入口處應(yīng)設(shè)置視頻監(jiān)控點，24小時值班監(jiān)視；所有來訪人員的登記記錄、門禁系統(tǒng)的電子記錄以及監(jiān)視錄像記錄應(yīng)妥善保存以備查；禁止攜帶移動電話、電子記事本等具有移動互連功能的個人物品進入機房；
e） 采取防止電磁泄漏保護：在d）的基礎(chǔ)上，對需要防止電磁泄漏的計算機設(shè)備配備電磁干擾設(shè)備，在被保護的計算機設(shè)備工作時電磁干擾設(shè)備不準關(guān)機；必要時可以使用屏蔽機房。屏蔽機房應(yīng)隨時關(guān)閉屏蔽門；不得在屏蔽墻上打釘鉆孔，不得在波導(dǎo)管以外或不經(jīng)過過濾器對屏蔽機房內(nèi)外連接任何線纜；應(yīng)經(jīng)常測試屏蔽機房的泄漏情況并進行必要的維護。

5.4.1.3 辦公環(huán)境安全管理要求

對辦公環(huán)境的安全管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 辦公環(huán)境安全管理基本要求：設(shè)置有網(wǎng)絡(luò)終端的辦公環(huán)境，是信息系統(tǒng)環(huán)境的組成部分，應(yīng)防止利用終端系統(tǒng)竊取敏感信息或非法訪問；工作人員下班后，終端計算機應(yīng)關(guān)閉；存放敏感文件或信息載體的文件柜應(yīng)上鎖或設(shè)置密碼；工作人員調(diào)離部門或更換辦公室時，應(yīng)立即交還辦公室鑰匙；設(shè)立獨立的會客接待室，不在辦公環(huán)境接待來訪人員；
b） 辦公環(huán)境安全管理增強要求：在a）的基礎(chǔ)上，工作人員離開座位應(yīng)將桌面上含有敏感信息的紙件文檔放在抽屜或文件柜內(nèi)；工作人員離開座位，終端計算機應(yīng)退出登錄狀態(tài)、采用屏幕保護口令保護或關(guān)機；
c） 關(guān)鍵部位辦公環(huán)境的要求：在b）的基礎(chǔ)上，在關(guān)鍵區(qū)域或部位，應(yīng)使相應(yīng)的辦公環(huán)境與機房的物理位置在一起，以便進行統(tǒng)一的物理保護。


5.4.2 資源管理

5.4.2.1 資產(chǎn)清單管理

對資產(chǎn)清單的管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 一般資產(chǎn)清單：應(yīng)編制并維護與信息系統(tǒng)相關(guān)的資產(chǎn)清單，至少包括以下內(nèi)容：
——信息資產(chǎn)：應(yīng)用數(shù)據(jù)、系統(tǒng)數(shù)據(jù)、安全數(shù)據(jù)等數(shù)據(jù)庫和數(shù)據(jù)文檔、系統(tǒng)文件、用戶手冊、培訓(xùn)資料、操作和支持程序、持續(xù)性計劃、備用系統(tǒng)安排、存檔信息；
——軟件資產(chǎn)：應(yīng)用軟件、系統(tǒng)軟件、開發(fā)工具和實用程序；
——有形資產(chǎn)：計算機設(shè)備（處理器、監(jiān)視器、膝上形電腦、調(diào)制解調(diào)器），通信設(shè)備（路由器、數(shù)字程控交換機、傳真機、應(yīng)答機），磁媒體（磁帶和軟盤），其他技術(shù)裝備（電源，空調(diào)設(shè)備），家具和機房；
——應(yīng)用業(yè)務(wù)相關(guān)資產(chǎn)：由信息系統(tǒng)控制的或與信息系統(tǒng)密切相關(guān)的應(yīng)用業(yè)務(wù)的各類資產(chǎn)，由于信息系統(tǒng)或信息的泄露或破壞，這些資產(chǎn)會受到相應(yīng)的損壞；
——服務(wù)：計算和通信服務(wù)，通用設(shè)備如供暖、照明、供電和空調(diào)等；
b） 詳細的資產(chǎn)清單：在a）的基礎(chǔ)上，應(yīng)清晰識別每項資產(chǎn)的擁有權(quán)、責(zé)任人、安全分類以及資產(chǎn)所在的位置等；
c） 業(yè)務(wù)應(yīng)用系統(tǒng)清單：在b）的基礎(chǔ)上，應(yīng)清晰識別業(yè)務(wù)應(yīng)用系統(tǒng)資產(chǎn)的擁有權(quán)、責(zé)任人、安全分類以及資產(chǎn)所在的位置等；必要時應(yīng)該包括主要業(yè)務(wù)應(yīng)用系統(tǒng)處理流程和數(shù)據(jù)流的描述，以及業(yè)務(wù)應(yīng)用系統(tǒng)用戶分類說明。


5.4.2.2 資產(chǎn)的分類與標識要求

對資產(chǎn)的分類與標識，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 資產(chǎn)標識：應(yīng)根據(jù)資產(chǎn)的價值/重要性對資產(chǎn)進行標識，以便可以基于資產(chǎn)的價值選擇保護措施和進行資產(chǎn)管理等相關(guān)工作；
b） 資產(chǎn)分類管理：在a）的基礎(chǔ)上，應(yīng)對信息資產(chǎn)進行分類管理，對信息系統(tǒng)內(nèi)分屬不同業(yè)務(wù)范圍的各類信息，按其對安全性的不同要求分類加以標識。對于信息資產(chǎn)，通常信息系統(tǒng)數(shù)據(jù)可以分為系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)兩類，其重要性一般與其所在的系統(tǒng)或子系統(tǒng)的安全保護等級相關(guān)；用戶數(shù)據(jù)的重要性還應(yīng)考慮自身保密性分類，如：
——國家秘密信息：秘密、機密、絕密信息；
——其他秘密信息：受國家法律保護的商業(yè)秘密和個人隱私信息；
——專有信息：國家或組織機構(gòu)內(nèi)部共享、內(nèi)部受限、內(nèi)部?？匦畔ⅲ约肮駛€人專有信息；
——公開信息：國家公開共享的信息、組織機構(gòu)公開共享的信息、公民個人可公開共享的信息；


組織機構(gòu)應(yīng)根據(jù)業(yè)務(wù)應(yīng)用的具體情況進行分類分級和標識，納入規(guī)范化管理；不同安全等級的信息應(yīng)當本著“知所必需、用所必需、共享必需、公開必需、互聯(lián)通信必需”的策略進行訪問控制和信息交換管理；

c） 資產(chǎn)體系架構(gòu)：在b）的基礎(chǔ)上，以業(yè)務(wù)應(yīng)用為主線，用體系架構(gòu)的方法描述信息資產(chǎn)；資產(chǎn)體系架構(gòu)不是簡單的資產(chǎn)清單，而是通過對各個資產(chǎn)之間有機的聯(lián)系和關(guān)系的結(jié)構(gòu)性描述。


5.4.2.3 介質(zhì)管理

對介質(zhì)管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 介質(zhì)管理基本要求：對脫機存放的各類介質(zhì)（包括信息資產(chǎn)和軟件資產(chǎn)的介質(zhì)）進行控制和保護，以防止被盜、被毀、被修改以及信息的非法泄漏；介質(zhì)的歸檔和查詢應(yīng)有記錄，對存檔介質(zhì)的目錄清單應(yīng)定期盤點；介質(zhì)應(yīng)儲放在安全的環(huán)境中防止損壞；對于需要送出維修或銷毀的介質(zhì)，應(yīng)防止信息的非法泄漏；對各類介質(zhì)的保管應(yīng)參照5.1.3.2相應(yīng)要求執(zhí)行；
b） 介質(zhì)異地存放要求：在a）的基礎(chǔ)上，根據(jù)所承載的數(shù)據(jù)和軟件的重要程度對介質(zhì)進行標識和分類，存放在由專人管理的介質(zhì)庫中，防止被盜、被毀以及信息的非法泄漏；對存儲保密性要求較高的信息的介質(zhì)，其借閱、拷貝、傳輸須經(jīng)相應(yīng)級別的領(lǐng)導(dǎo)批準后方可執(zhí)行，并登記在冊；存儲介質(zhì)的銷毀必須經(jīng)批準并按指定方式進行，不得自行銷毀；介質(zhì)應(yīng)保留2個以上的副本，而且要求介質(zhì)異地存儲，存儲地的環(huán)境要求和管理方法應(yīng)與本地相同；
c） 完整性檢查的要求：在b）的基礎(chǔ)上，對重要介質(zhì)的數(shù)據(jù)和軟件必要時可以加密存儲；對重要的信息介質(zhì)的借閱、拷貝、分發(fā)傳遞須經(jīng)相應(yīng)級別的領(lǐng)導(dǎo)的書面審批后方可執(zhí)行，并各種處理過程應(yīng)登記在冊，介質(zhì)的分發(fā)傳遞采取保護措施；對于需要送出維修或銷毀的介質(zhì)，應(yīng)首先刪除信息，再重復(fù)寫操作進行覆蓋，防止數(shù)據(jù)恢復(fù)和信息泄漏；需要帶出工作環(huán)境的介質(zhì)，其信息應(yīng)受到保護；對存放在介質(zhì)庫中的介質(zhì)應(yīng)定期進行完整性和可用性檢查，確認其數(shù)據(jù)或軟件沒有受到損壞或丟失；
d） 加密存儲的要求：在c）的基礎(chǔ)上，對介質(zhì)中的重要數(shù)據(jù)必須使用加密技術(shù)或數(shù)據(jù)隱藏技術(shù)進行存儲；介質(zhì)的保存和分發(fā)傳遞應(yīng)有嚴格的規(guī)定并進行登記；介質(zhì)受損但無法執(zhí)行刪除操作的，必須銷毀；介質(zhì)銷毀在經(jīng)主管領(lǐng)導(dǎo)審批后應(yīng)由兩人完成，一人執(zhí)行銷毀一人負責(zé)監(jiān)銷，
銷毀過程應(yīng)記錄；
e） 高強度加密存儲的要求：在d）的基礎(chǔ)上，對極為重要數(shù)據(jù)的介質(zhì)應(yīng)該使用高強度的加密技術(shù)或數(shù)據(jù)隱藏技術(shù)進行存儲，并對有關(guān)密鑰和數(shù)據(jù)隱藏處理程序嚴格保管。


5.4.2.4 設(shè)備管理要求

對設(shè)備管理要求，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 申報和審批要求：對于信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放或領(lǐng)用，使用者應(yīng)提出申請，報經(jīng)相應(yīng)領(lǐng)導(dǎo)審批，才可以實施；設(shè)備的選型、采購、使用和保管應(yīng)明確責(zé)任人；
b） 系統(tǒng)化管理：在a）的基礎(chǔ)上，要求設(shè)備有專人負責(zé)，實行分類管理；通過對資產(chǎn)清單（見5.4.2.1）的管理，記錄資產(chǎn)的狀況和資產(chǎn)使用、轉(zhuǎn)移、廢棄及其授權(quán)過程，保證設(shè)備的完好率；
c） 建立資產(chǎn)管理信息登記機制：在b）的基礎(chǔ)上，對各種資產(chǎn)進行全面管理，提高資產(chǎn)安全性和使用效率；建立資產(chǎn)管理登記系統(tǒng)，提供資產(chǎn)分類標識、授權(quán)與訪問控制、變更管理、系統(tǒng)安全審計等功能，為整個系統(tǒng)提供基礎(chǔ)技術(shù)支撐。


5.5 運行和維護管理

5.5.1 用戶管理

5.5.1.1 用戶分類管理

對用戶分類管理，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 用戶分類清單：應(yīng)按審查和批準的用戶分類清單建立用戶和分配權(quán)限。用戶分類清單應(yīng)包括信息系統(tǒng)的所有用戶的清單，以及各類用戶的權(quán)限；用戶權(quán)限發(fā)生變化時應(yīng)及時更改用戶清單內(nèi)容；必要時可以對有關(guān)用戶開啟審計功能。用戶分類清單應(yīng)包括：
——系統(tǒng)用戶：指系統(tǒng)管理員、網(wǎng)絡(luò)管理員、數(shù)據(jù)庫管理員和系統(tǒng)運行操作員等特權(quán)用戶；
——普通用戶：指OA和各種業(yè)務(wù)應(yīng)用系統(tǒng)的用戶；
——外部客戶用戶：指組織機構(gòu)的信息系統(tǒng)對外服務(wù)的客戶用戶；
——臨時用戶：指系統(tǒng)維護測試和第三方人員使用的用戶；
b） 特權(quán)用戶管理：在a）的基礎(chǔ)上，應(yīng)對信息系統(tǒng)的所有特權(quán)用戶列出清單，說明各個特權(quán)用戶的權(quán)限，以及特權(quán)用戶的責(zé)任人員和授權(quán)記錄；定期檢查特權(quán)用戶的實際分配權(quán)限是否與特權(quán)用戶清單符合；對特權(quán)用戶開啟審計功能；
c） 重要業(yè)務(wù)用戶管理：在b）的基礎(chǔ)上，應(yīng)對信息系統(tǒng)的所有重要業(yè)務(wù)用戶的列出清單，說明各個用戶的權(quán)限，以及用戶的責(zé)任人員和授權(quán)記錄；定期檢查重要業(yè)務(wù)用戶的實際分配權(quán)限是否與用戶清單符合；對重要業(yè)務(wù)用戶開啟審計功能；
d） 關(guān)鍵部位用戶管理：在c）的基礎(chǔ)上，應(yīng)對關(guān)鍵部位用戶采取逐一審批和授權(quán)的程序，并記錄備案；定期檢查這些用戶的實際分配權(quán)限是否與授權(quán)符合，對這些用戶開啟審計功能。


5.5.1.2 系統(tǒng)用戶要求

對系統(tǒng)用戶，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 最小授權(quán)要求：系統(tǒng)用戶應(yīng)由信息系統(tǒng)的主管領(lǐng)導(dǎo)指定，授權(quán)應(yīng)以滿足其工作需要的最小權(quán)限為原則；系統(tǒng)用戶應(yīng)接受審計；
b） 責(zé)任到人要求：在a）的基礎(chǔ)上，對重要信息系統(tǒng)的系統(tǒng)用戶，應(yīng)進行人員的嚴格審查，符合要求的人員才能給予授權(quán)；對系統(tǒng)用戶應(yīng)能區(qū)分責(zé)任到個人，不應(yīng)以部門或組作為責(zé)任人；
c） 監(jiān)督性保護要求：在b）的基礎(chǔ)上，在關(guān)鍵信息系統(tǒng)中，對系統(tǒng)用戶的授權(quán)操作，必須有兩人在場，并經(jīng)雙重認可后方可操作；操作過程應(yīng)自動產(chǎn)生不可更改的審計日志。


5.5.1.3 普通用戶要求

對普通用戶，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 普通用戶的基本要求：應(yīng)保護好口令等身份鑒別信息；發(fā)現(xiàn)系統(tǒng)的漏洞、濫用或違背安全行為應(yīng)及時報告；不應(yīng)透露與組織機構(gòu)有關(guān)的非公開信息；不應(yīng)故意進行違規(guī)的操作；
b） 處理敏感信息的要求：在a）的基礎(chǔ)上，不應(yīng)在不符合敏感信息保護要求的系統(tǒng)中保存和處理高敏感度的信息；不應(yīng)使用各種非正版軟件和不可信的自由軟件；
c） 重要業(yè)務(wù)應(yīng)用的要求：在b）的基礎(chǔ)上，應(yīng)在系統(tǒng)規(guī)定的權(quán)限內(nèi)進行操作，必要時某些重要操作應(yīng)得到批準；用戶應(yīng)保管好自己的身份鑒別信息載體，不得轉(zhuǎn)借他人。


5.5.1.4 機構(gòu)外部用戶要求

對機構(gòu)外部用戶，不同安全等級應(yīng)有選擇地滿足以下要求的一項：

a） 外部用戶一般要求：應(yīng)對外部用戶明確說明使用者的責(zé)任、義務(wù)和風(fēng)險，并要求提供合法使用的聲明；外部用戶應(yīng)保護口令等身份鑒別信息；外部用戶只能是應(yīng)用層的用戶；
b） 外部特定用戶要求：在a）的基礎(chǔ)上，可對特定外部用戶提供專用通信通道，端口，特定的應(yīng)用或數(shù)據(jù)協(xié)議，以及專用設(shè)備等；
c） 外部用戶的限制：在b）的基礎(chǔ)上，在關(guān)鍵部位，一般不允許設(shè)置外部用戶。