GAT483-2004计算机信息系统安全等级保护工程管理要求.pdf

《GAT483-2004计算机信息系统安全等级保护工程管理要求.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、GA/T483-2004前言GB17859-1999《计算机信息系统安全保护等级划分准则》是我国计算机信息系统信息安全等级管理的重要标准，已于1999年9月13日发布。为促进计算机信息系统安全等级管理工作正常有序地开展，特制定一系列相关的标准，包括:—计算机信息系统安全等级保护技术要求系列标准;—计算机信息系统安全等级保护评估准则系列标准;—计算机信息系统安全等级保护工程管理要求;—计算机信息系统安全等级保护管理要求。本标准为以上相关系列标准之一。本标准的附录A中列出了等级要求对照表。本标准的附录A是资料性附

2、录。本标准由公安部公共信息网络安全监察局提出。本标准由公安部信息系统安全标准化技术委员会归口。本标准起草单位:公安部公共信息网络安全监察局、中国电子科技集团第三十研究所、上海三零卫士信息安全有限公司。本标准主要起草人:张建军、魏忠、叶铭、陈克军、卿昊、昊晓星。GA/T483-2004引言本标准所指的信息系统安全等级保护工程是指按照GB17859-1999及其相关配套标准对计算机信息系统安全等级管理的要求，对信息网络系统、信息应用系统和信息资源开发等项目的新建、扩建和升级。本标准不仅是计算机信息系统安全等级保护

3、工程实施的指南，而且也是实施计算机信息系统安全等级保护工程、建立工程实施保证体系的依据，同时也是国家相应主管部门进行计算机信息系统安全工程等级评审的依据。本标准可作为甲方、乙方、第三方进行安全保护工程建设时的参考，也可作为制定与安全保护工程质量相关的法令、法规、标准的依据和参考。GA/T483-2004计算机信息系统安全等级保护工程管理要求范围本标准规定了计算机信息系统安全工程(以下简称信息安全工程)管理的要求，是对信息安全工程中所涉及到的甲方、乙方与第三方实施安全工程的指导性文件，各方可以此为依据建立安全项

4、目的安全工程管理体系。本标准按照GB17859-1999划分的五个安全保护等级，规定了对不同安全保护等级的计算机信息系统进行工程实施采用不同安全要求。本标准按照GB17859-1999的五个安全保护等级的要求，适用于有关信息安全的计算机信息系统开发与集成工程管理，对于提供安全服务和安全工程组织的机构也可参照使用。本标准适用于安全系统的机构和开发商的工程管理，集成商、安全服务的提供商和安全工程的组织商也可参照使用。2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所

5、有的修改单(不包括勘误的内容)或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。GB17859-1999计算机信息系统安全保护等级划分准则GA/T390-2002计算机信息系统安全等级保护通用技术要求GA/T391-2002计算机信息系统安全等级保护管理要求3术语和定义下列术语和定义适用于本标准。3.1信息安全informationsecurity信息的保密性、完整性和可用性。3.2甲方owner信息系统安全工程的投资

6、者(或拥有人)，代表信息系统安全工程建设的需求方。3.3乙方developer承担信息系统安全工程建设的实体，通过自身的努力，建设信息系统安全工程，满足信息系统建设者的安全需求。3.4第三方thirdparty独立于甲、乙两方的组织或机构。3.5安全工程securityengineeringtGA/T483-2004为了确保信息系统的保密性、完整性、可用性等目标而进行的系统工程活动。3.6安全1程相关的活动securityengineeringrelatedactivity与安全工程相关的其他工程活动，其中包

7、括:企业工程、系统工程、软件工程、人力工程、通信工程、硬件工程、测试工程和系统管理。3.7安全工程的生命期securityengineeringlifecycle在整个信息系统生命期中执行的安全工程活动包括:概念形成、概念开发和定义、验证与确认、工程实施开发与制造、生产与部署、运行与支持和终止。3.8组织organization按一定宗旨和系统建立起来的集体。3.9项目project项目是各种相关实施活动和资源的总和，这些实施活动和资源用于开发或维护信息安全工程。一个项目往往有相关的资金，成本账目和交付时间表

8、。3.10过程process将一个或多个输人进行一系列结构化处理，并将处理结果转化为对用户有价值的相互关联或相互作用的活动。3.11脆弱性vulnerability系统中存在的弱点，安全漏洞，或实施缺陷等非设计意图的部分，可被威胁利用对系统进行攻击。3.12过程能力processcapability评估组织遵循工程过程能力的量化指标。3.13过程成熟度processmaturity表明一个特定过程被