1、I C S 3 5.0 2 0C C S L 7 044广 东 省 地 方 标 准D B 4 4/T 2 3 7 5 2 0 2 2信 息 系 统 内 部 风 险 管 理 基 本 要 求B a s i c r e q u i r e m e n t s f o r i n t e r n a l r i s k m a n a g e m e n t i n i n f o r m a t i o n s y s t e m2 0 2 2-0 7-1 1 发 布 2 0 2 2-1 0-1 1 实 施广 东 省 市 场 监 督 管 理 局 发 布D B 4 4/T 2 3 7 5 2 0 2
2、2I目 次前 言.I I引 言.I I I1 范 围.12 规 范 性 引 用 文 件.13 术 语 和 定 义.14 内 部 风 险 管 理 原 则.25 内 部 风 险 管 理 要 求.3附 录 A（资 料 性）职 权 电 子 化 过 程 中 的 对 应 关 系.7参 考 文 献.8D B 4 4/T 2 3 7 5 2 0 2 2I I前 言本 文 件 按 照 G B/T 1.1 2 0 2 0 标 准 化 工 作 导 则 第 1 部 分：标 准 化 文 件 的 结 构 和 起 草 规 则 的 规 定起 草。本 文 件 由 广 东 省 国 际 问 题 研 究 中 心 提 出 并 组 织
3、实 施。本 文 件 由 广 东 省 网 络 空 间 安 全 标 准 化 技 术 委 员 会 归 口。本 文 件 起 草 单 位：广 东 省 信 息 安 全 测 评 中 心、广 东 安 络 司 法 鉴 定 所、广 东 外 语 外 贸 大 学、广 州 华 南信 息 安 全 测 评 中 心、东 莞 市 公 共 资 源 交 易 中 心。本 文 件 主 要 起 草 人：陈 宁、骆 林 勇、王 辉、王 文 佳、王 常 吉、袁 毅 鸣、李 虹、李 俊 华、崔 顺 艳、邓思 贤、谢 柏 林、宋 琅 靖、邓 艳 利、洪 松 远、何 文 婷、黄 志 强、邝 建、张 新 猛、邢 静、黄 珊 珊。D B 4 4/T
4、2 3 7 5 2 0 2 2I I I引 言信 息 化 建 设 已 经 进 入 深 度 应 用 阶 段，信 息 系 统 所 面 临 的 安 全 风 险 逐 步 由 物 理、网 络、主 机、应 用 等层 面 向 业 务 层 面 发 展，给 信 息 系 统 内 部 风 险 管 理 带 来 极 大 挑 战，尤 其 体 现 在 电 子 政 务 信 息 系 统 方 面。组织 在 信 息 化 过 程 中，相 关 人 员 的 决 策 权、执 行 权 和 监 督 权 映 射 到 信 息 系 统 中 产 生 电 子 业 务 权 力 和 电 子 技术 权 力。业 务 是 否 合 规、电 子 权 力 是 否 控
5、制 有 效 直 接 影 响 信 息 系 统 内 部 风 险 管 理 及 职 权 电 子 化 的 成 效。内 部 风 险 管 理 控 制 失 效 会 给 组 织 带 来 不 可 估 量 的 损 失，如 国 家 核 心 机 密 外 泄、政 府 部 门 公 信 力 下 降 和 国有 资 产 流 失 等。因 此，建 立 信 息 系 统 内 部 风 险 管 理 基 本 要 求 势 在 必 行，是 一 项 非 常 紧 迫 与 重 要 的 任 务。信 息 系 统 内 部 风 险 管 理 的 目 的 是 为 了 加 强 组 织 内 部 对 线 下 业 务 和 线 上 业 务 风 险 的 管 理，有 效 防 控
6、 信息 系 统 业 务 风 险，提 高 信 息 系 统 建 设 与 管 理 的 规 范 性、科 学 性，以 及 信 息 化 对 业 务 管 理 的 支 撑 和 流 程 控制 能 力，最 大 程 度 减 少 人 为 操 纵 因 素，确 保 业 务、权 力 及 信 息 系 统 的 安 全 稳 定 运 行。本 文 件 综 合 运 用 信 息 安 全 相 关 法 律 法 规、标 准 规 范 和 内 审 内 控 方 法，将 信 息 系 统 内 部 风 险 管 理 措 施涉 及 的 内 控 理 论 和 控 制 活 动 贯 穿 于 信 息 系 统 建 设、管 理 与 运 营 全 过 程，对 组 织 业 务
7、与 信 息 系 统 业 务 流 程一 致 性，业 务 流 程 中 业 务 活 动 控 制、留 痕、人 员 权 力 赋 予、权 力 运 行 过 程 的 风 险 进 行 控 制，解 决 信 息 安全 中 由 于 人 员 行 为 不 可 控 的 因 素 导 致 的 内 部 安 全 问 题。本 文 件 可 以 作 为 政 府 部 门、履 行 行 政 管 理 职 能 的 事 业 单 位 和 国 有 企 业 等 网 络 运 营 者 的 信 息 化 建 设 和信 息 系 统 内 部 风 险 管 理 控 制 体 系 建 设 的 主 要 依 据，也 可 以 作 为 通 信 和 信 息 服 务、能 源、交 通、水
8、 利、金融 等 重 要 行 业 和 领 域 信 息 系 统 内 部 风 险 控 制 体 系 建 设 和 实 施 的 参 考 标 准。D B 4 4/T 2 3 7 5 2 0 2 21信 息 系 统 内 部 风 险 管 理 基 本 要 求1 范 围本 文 件 规 定 了 信 息 系 统 内 部 风 险 管 理 的 术 语 和 定 义、原 则 及 要 求。本 文 件 适 用 于 政 府 部 门、履 行 行 政 管 理 职 能 的 事 业 单 位 和 国 有 企 业 等 网 络 运 营 者，对 自 身 的 信 息 系统 内 部 风 险 管 理 情 况 进 行 内 部 审 查，也 适 用 于 监 管
9、 单 位、第 三 方 审 查 机 构 对 上 述 组 织 进 行 外 部 审 查，其他 组 织 可 参 考 执 行。审 查 结 果 可 作 为 组 织 内 部 信 息 化 建 设 和 信 息 系 统 内 部 风 险 管 理 体 系 建 设 的 参 考 依 据。2 规 范 性 引 用 文 件本 文 件 没 有 规 范 性 引 用 文 件。3 术 语 和 定 义下 列 术 语 和 定 义 适 用 于 本 文 件。信 息 系 统 内 部 风 险 管 理 b a s i c r e q u i r e m e n t s f o r i n t e r n a l r i s k m a n a g
10、e m e n t i n i n f o r m a t i o ns y s t e m指 导 和 控 制 组 织 对 内 部 信 息 系 统 风 险 开 展 相 关 协 调 活 动，并 管 理 不 确 定 性，以 确 保 组 织 业 务 目 标 的一 致 性。职 权 电 子 化 e l e c t r o n i z a t i o n o f a u t h o r i t y以 职 权 为 对 象，利 用 信 息 技 术 手 段 将 职 权 运 行 的 部 分 或 全 部 过 程 实 现 电 子 化。职 权 电 子 化 既 是 职 权实 现 电 子 化 的 过 程，又 是 职 权 在
11、 网 络 空 间 中 以 另 一 种 形 态 存 在 的 表 现 形 式。线 下 职 权 o f f l i n e a u t h o r i t y国 家 法 律、法 规 赋 予 的 组 织 职 权，是 由 上 级 组 织 依 法 依 规 授 权 下 级 业 务 部 门、责 任 岗 位 和 人 员，依照 法 定 程 序 履 行 的 权 力 职 责。线 上 职 权 o n l i n e a u t h o r i t y国 家 法 律、法 规 赋 予 的 组 织 职 权，通 过 信 息 化 建 设 映 射 到 信 息 系 统 中，形 成 对 应 的 电 子 岗 位、职 权账 号 和 权 限
12、。电 子 权 力 e l e c t r o n i c a l a u t h o r i t y线 下 职 责 权 限 在 信 息 系 统 中 的 映 射 或 嵌 入，包 括 电 子 业 务 权 力 和 电 子 技 术 权 力。电 子 业 务 权 力 e l e c t r o n i c a l b u s i n e s s a u t h o r i t y线 下 业 务 岗 位 的 职 责 权 限 在 信 息 系 统 中 的 映 射 或 嵌 入。D B 4 4/T 2 3 7 5 2 0 2 22电 子 技 术 权 力 e l e c t r o n i c a l t e c h
13、 n o l o g y a u t h o r i t y岗 位 角 色 权 力 电 子 化 时 洐 生 的 一 种 权 限，即 对 支 撑 业 务 运 行 的 计 算 机 网 络 系 统 涉 及 的 一 系 列 管 理 权、控 制 权 和 知 情 权，它 具 有 对 电 子 业 务 间 接 的 管 理 权 限。电 子 岗 位 e l e c t r o n i c a l p o s t根 据 线 下 人 员 岗 位 角 色 权 力 电 子 化 的 要 求 在 信 息 系 统 中 设 立 的 与 线 下 岗 位 相 对 应 的 虚 拟 岗 位 以 及实 际 存 在 于 信 息 系 统 及
14、其 相 关 支 撑 设 备 中 的 对 应 账 号 与 角 色。电 子 技 术 岗 e l e c t r o n i c a l t e c h n i c a l p o s t线 下 技 术 岗 在 信 息 系 统 中 的 映 射 或 嵌 入，具 有 对 承 载 信 息 系 统 的 操 作 系 统、数 据 库、中 间 件、网 络与 网 络 安 全 设 备、物 理 机 房 等 设 施 的 管 理、运 维、操 作、监 控 等 职 权。电 子 业 务 管 理 岗 e l e c t r o n i c a l b u s i n e s s m a n a g e m e n t p o s
15、t线 下 业 务 管 理 岗 在 信 息 系 统 中 的 映 射 或 嵌 入，具 有 业 务 流 程 的 设 计 建 立、合 规 监 督 和 业 务 档 案 管 理等 职 权。电 子 人 事 岗 e l e c t r o n i c a l p e r s o n n e l p o s t线 下 人 事 岗 在 信 息 系 统 中 的 映 射 或 嵌 入，具 有 职 权 电 子 化 后 的 线 上 人 事 架 构 的 设 定、人 员 的 任 免，人 员 业 务 账 号 及 权 限 的 初 始 化 管 控 等 职 权。电 子 财 务 岗 e l e c t r o n i c a l f i
16、 n a n c e p o s t线 下 财 务 岗 在 信 息 系 统 中 的 映 射 或 嵌 入，具 有 职 权 电 子 化 后 的 线 上 财 务 审 批 和 管 理 等 职 权。电 子 监 察 审 计 岗 e l e c t r o n i c a l s u p e r v i s i o n a n d a u d i t p o s t线 下 监 察 审 计 岗 在 信 息 系 统 中 的 映 射 或 嵌 入，具 有 电 子 监 察、数 据 流 归 档 与 审 计、监 督 线 上 与 线 下业 务 的 一 致 性 和 业 务 流 程 的 记 录 审 查 等 职 权。4 内 部
17、风 险 管 理 原 则安 全 需 求 原 则组 织 应 根 据 其 信 息 系 统 担 负 的 使 命，积 累 的 信 息 资 产 的 重 要 性，可 能 受 到 的 威 胁 及 面 临 的 风 险 分 析安 全 需 求，按 照 信 息 系 统 等 级 保 护 要 求 确 定 相 应 的 信 息 系 统 安 全 保 护 等 级，遵 从 相 应 等 级 的 规 范 要 求，从 全 局 上 恰 当 地 平 衡 安 全 投 入 与 效 果。系 统 方 法 原 则按 照 系 统 工 程 的 要 求，识 别 和 理 解 信 息 安 全 保 障 相 互 关 联 的 层 面 和 过 程，采 用 管 理 和
18、技 术 相 结 合 的方 法，提 高 实 现 安 全 保 障 目 标 的 有 效 性 和 效 率。依 法 管 理 原 则D B 4 4/T 2 3 7 5 2 0 2 23信 息 安 全 管 理 工 作 主 要 体 现 为 管 理 行 为，应 保 证 信 息 系 统 安 全 管 理 主 体 合 法、管 理 行 为 合 法、管 理内 容 合 法、管 理 程 序 合 法。对 安 全 事 件 的 处 理，应 依 法 适 时 发 布 准 确 一 致 的 有 关 信 息，避 免 带 来 不 良 的社 会 影 响。权 力 制 衡 原 则对 特 定 职 能 岗 位 或 责 任 领 域 的 管 理 功 能 实
19、 施 职 责 分 离 和 独 立 审 计，应 确 保 线 上 职 权 与 线 下 职 权 一 一对 应，遵 循 管 理、业 务、技 术 的“三 权 分 立”，电 子 业 务 岗 负 责 业 务 运 营、电 子 技 术 岗 负 责 技 术 支 撑、电 子 监 察 审 计 岗 负 责 监 督 审 计。权 力 最 小 化 原 则为 避 免 权 力 过 分 集 中 所 带 来 的 隐 患，以 减 少 未 授 权 的 修 改 或 滥 用 系 统 资 源 的 机 会，任 何 管 理、业 务、技 术 的 岗 位 仅 享 有 该 岗 位 履 行 职 能 的 最 小 权 限。管 理 与 技 术 并 重 原 则坚
20、 持 积 极 防 御 和 综 合 防 范，全 面 提 高 风 险 控 制 应 对 能 力，立 足 国 情，采 用 管 理 与 技 术 相 结 合，管 理科 学 性 和 技 术 前 瞻 性 相 结 合 的 方 法，保 障 信 息 系 统 的 安 全 性 达 到 所 要 求 的 目 标。过 程 控 制 原 则遵 循 系 统 安 全 工 程 理 念，对 信 息 系 统 全 生 命 周 期 进 行 全 过 程 控 制，依 照 安 全 工 程 要 求 跟 踪 过 程、找出 偏 差、分 析 成 因、研 究 纠 偏 对 策、实 施 纠 偏 措 施 等，确 保 信 息 系 统 内 部 风 险 可 管、过 程
21、可 控。持 续 改 进 原 则安 全 管 理 是 一 种 动 态 反 馈 过 程，贯 穿 整 个 安 全 管 理 的 生 命 周 期。应 根 据 业 务 的 变 化、系 统 环 境 的 变化、系 统 的 脆 弱 性 以 及 面 临 的 威 胁 等 因 素，及 时 调 整 现 有 安 全 策 略、风 险 接 受 程 度 和 安 全 防 护 措 施，并周 期 性 的 对 信 息 系 统 安 全 状 态 进 行 复 查、修 改 和 调 整，以 调 整 安 全 管 理 等 级，维 护 和 改 进 信 息 安 全 管 理体 系。5 内 部 风 险 管 理 要 求总 体 要 求本 项 要 求 主 要 包
22、括：a)应 制 定 信 息 系 统 内 部 风 险 管 理 的 总 体 规 划，包 含 但 不 限 于 计 划 安 排、人 员 配 置、资 金 配 置 等；b)应 对 总 体 规 划 开 展 内 部 组 织 评 审、发 布、宣 贯，且 过 程 记 录 完 整、可 读；c)宜 以 信 息 技 术 为 支 撑，积 极 推 进 职 权 电 子 化，结 合 实 际 业 务 工 作 开 展 风 险 管 理；d)应 积 极 推 进 内 部 事 务 职 权 电 子 化 进 程，采 用 信 息 技 术 手 段 对 组 织 内 部 的 人、财、物 管 理 等 权力 的 使 用 进 行 监 管；e)应 建 立 完
23、 善 的 信 息 系 统 管 理 风 险 评 估 与 控 制 程 序，包 括 但 不 限 于 风 险 识 别、风 险 定 级、风 险处 置、风 险 例 外 处 置 策 略 等；f)应 配 合 业 务 主 管 部 门、监 管 部 门 对 组 织 开 展 信 息 系 统 内 部 风 险 管 理 落 实 情 况 的 监 督 检 查 工 作。合 规 性 要 求本 项 要 求 主 要 包 括：D B 4 4/T 2 3 7 5 2 0 2 24a)应 符 合 国 家 网 络 安 全 相 关 法 律 法 规 及 标 准 要 求；b)应 建 立 健 全 组 织 法 规 库，形 成 法 规 要 求 的 业 务
24、 流 程 及 业 务 关 键 控 制 点 清 单；c)应 对 信 息 系 统 内 部 风 险 管 理 涉 及 的 相 关 法 律 法 规 及 标 准 要 求 进 行 梳 理，形 成 合 规 性 要 求 列 表；d)应 按 照 相 关 法 规 及 标 准 要 求 设 定 电 子 岗 位；e)应 按 照 相 关 法 规 及 标 准 要 求 设 定 信 息 系 统 的 业 务 流 程；f)应 按 照 相 关 法 规 及 标 准 要 求 设 定 信 息 系 统 的 业 务 关 键 控 制 点；g)宜 采 用 自 主 安 全 的 信 息 技 术、服 务 及 产 品 建 设 信 息 系 统。职 权 电 子
25、 化 管 理 要 求本 项 要 求 主 要 包 括：a)应 明 确 职 权 电 子 化 过 程 中 的 对 应 关 系(见 附 录 A)，确 定 线 上 职 权 与 线 下 职 权 在 组 织 中 的 岗 位 职责、业 务 流 程 和 账 号 权 限 等 方 面 获 得 准 确 映 射 或 嵌 入；b)应 设 立 电 子 业 务 管 理 岗，负 责 信 息 系 统 的 业 务 功 能、业 务 流 程、访 问 方 式、权 限 等 设 定，监控 业 务 的 正 常 运 行，避 免 业 务 岗 位 之 间 存 在 越 权 或 绕 权；c)应 设 立 电 子 人 事 岗，负 责 信 息 系 统 的 组
26、 织 架 构、业 务 部 门、责 任 岗 位、人 员 账 号 初 始 化 等 人事 信 息 的 设 定，监 控 人 事 信 息 的 非 法 变 动；d)应 设 立 电 子 财 务 岗，负 责 财 务 信 息 系 统 电 子 业 务 权 力 的 行 使；e)应 设 立 电 子 监 察 审 计 岗，负 责 监 督、审 查 电 子 业 务 权 力 和 电 子 技 术 权 力 的 行 使，避 免 电 子 业务 管 理 岗、电 子 人 事 岗、电 子 财 务 岗、电 子 技 术 岗 参 与 业 务 运 作，确 保 各 岗 位 独 立 运 行，排除 岗 位 间 相 互 干 预 及 隐 患；f)应 对 职
27、权 电 子 化 后 的 电 子 岗 位 进 行 权 限 设 计，建 立 电 子 岗 位 权 限 清 单；g)应 明 确 电 子 岗 位 角 色 权 力 事 项 名 称、内 容、行 使 主 体、法 律 法 规 制 度 依 据、监 督 方 式 等；h)应 依 据 法 规 要 求 建 立 职 权 电 子 化 控 制 流 程，形 成 电 子 岗 位 的 权 责 不 兼 容 矩 阵，固 化 电 子 岗 位权 限 运 行 流 程；i)应 根 据 决 策、执 行、监 督 互 为 独 立 的 原 则 进 行 分 岗 分 责，实 现 同 一 业 务 不 同 岗 位、同 一 流 程不 同 环 节 的 相 互 制
28、约，重 点 满 足 业 务 部 门 与 技 术 部 门 的 权 责 分 离；j)宜 建 立 职 权 电 子 化 需 求 编 制 与 变 更 的 评 审 机 制，确 保 职 权 电 子 化 过 程 得 到 有 效 控 制，包 括 职权 电 子 化 的 需 求 提 出、审 核、审 批 等 各 个 环 节，并 实 现 全 程 留 痕；k)应 建 立 全 程 留 痕 机 制，留 痕 内 容 应 包 括 但 不 限 于 可 研 报 告、立 项 书、招 投 标 文 件、系 统 概 设与 详 设 文 档、开 发 人 员 保 密 协 议 承 诺、测 试 报 告、系 统 功 能 说 明、系 统 操 作 维 护
29、手 册、验 收文 档 等 相 关 审 批 情 况 与 文 档 记 录。电 子 权 力 运 行 管 理 要 求本 项 要 求 主 要 包 括：a)应 对 信 息 系 统 开 展 上 线 前 的 风 险 评 估，评 估 范 围 包 括 但 不 限 于 信 息 系 统 自 身、网 络 设 备、安全 设 备、数 据 处 理 全 流 程 等，评 估 内 容 包 括 但 不 限 于 法 律 合 规、逻 辑 设 计、编 码 漏 洞、网 络安 全 风 险、数 据 安 全 风 险 等；b)应 建 立 电 子 业 务 权 力 岗 位 角 色 与 权 限 清 单，包 括 但 不 限 于 业 务 部 门、电 子 业
30、务 岗 位、电 子 业务 岗 位 人 员、电 子 业 务 账 号、电 子 职 责 等；c)应 建 立 电 子 技 术 权 力 岗 位 角 色 与 权 限 清 单，包 括 但 不 限 于 业 务 部 门、电 子 技 术 岗 位、电 子 技术 岗 位 人 员、系 统 平 台 账 号、电 子 职 责 等；d)应 建 立 电 子 业 务 权 力 运 行 流 程 图，包 括 但 不 限 于 业 务 受 控 因 素、业 务 流 全 过 程、业 务 节 点 输入 输 出 信 息、业 务 节 点 对 应 电 子 岗 位 等；D B 4 4/T 2 3 7 5 2 0 2 25e)应 建 立 电 子 技 术 权
31、 力 运 行 流 程 图，包 括 但 不 限 于 业 务 信 息 存 储 和 访 问 的 流 程、业 务 对 应 的 应用 模 块、信 息 平 台 对 应 电 子 技 术 岗 位、主 机 设 备 架 构、主 机 对 应 的 电 子 技 术 岗 位、网 络 及 网络 设 备 架 构、网 络 对 应 的 电 子 技 术 岗 位、监 督 系 统 等；f)应 识 别 电 子 业 务 权 力 运 行 风 险 点，包 括 但 不 限 于 权 限 设 置 不 合 理、无 明 确 的 权 力 保 管 要 求、误 操 作、用 户 操 作 抵 赖、职 责 不 清、职 责 未 有 效 分 离、绕 权、越 权 等 风
32、 险；g)应 识 别 电 子 技 术 权 力 运 行 风 险 点，包 括 但 不 限 于 职 责 不 清、职 责 未 有 效 分 离、权 力 无 明 确 保管 要 求、重 要 参 数 和 策 略 设 置 不 合 理、业 务 系 统 安 装 及 更 新 维 护 管 理 不 规 范、安 全 维 护 不 规范、数 据 维 护 和 备 份 管 理 不 规 范、没 有 例 外 的 处 理 机 制、运 维 操 作 无 审 计、无 主 机 自 身 的 安全 保 障 机 制、主 机 不 可 用 等 风 险；h)应 建 立 电 子 权 力 运 行 风 险 点 列 表，包 括 但 不 限 于 业 务 部 门、电
33、子 岗 位、账 号 信 息、权 力 对 应的 业 务 流 程 节 点、风 险 编 号、风 险 描 述、控 制 目 标 等 信 息；i)应 对 电 子 权 力 运 行 风 险 进 行 分 析，明 确 风 险 点、风 险 控 制 目 标、现 有 控 制 措 施、风 险 评 价 结果、风 险 描 述、风 险 严 重 程 度、残 余 风 险 分 析 结 果 等 信 息，并 提 出 风 险 控 制 措 施；j)应 建 立 有 效 的 电 子 权 力 行 使 主 体 身 份 的 识 别、验 证 与 管 理 机 制，包 括 唯 一 性 识 别、多 因 素 认证 以 及 安 全 性 管 理；k)应 对 电 子
34、 权 力 运 行 全 过 程 进 行 监 控，包 括 权 力 行 使 主 体、时 间、内 容、结 果 等；l)宜 建 立 电 子 权 力 运 行 预 警 与 处 置 机 制，实 现 电 子 权 力 管 理 风 险 的 事 前 提 醒、事 中 监 督 和 事 后追 溯；m)宜 对 时 效 性 要 求 高 的 重 要 电 子 权 力 承 载 主 体，建 立 相 应 的 机 制，保 障 权 限 运 行 的 连 续 性；n)应 采 用 规 划、设 计 和 技 术 手 段 限 制 或 消 除 特 权 电 子 权 力 的 运 行；o)应 对 电 子 权 力 运 行 情 况 进 行 定 期 审 计，审 计
35、范 围 应 涵 盖 电 子 业 务 权 力 运 行 情 况 与 电 子 技 术 权力 运 行 情 况，具 体 内 容 应 包 含 操 作 主 体、事 件、操 作 内 容、合 规 性 情 况、异 常 信 息 等；p)应 建 立 电 子 权 力 运 行 全 过 程 留 痕 与 追 溯 机 制，增 强 关 键 日 志 的 可 读 性，实 现 重 要 数 据 更 改 的日 志 报 警，留 痕 信 息 保 留 限 期 应 符 合 相 关 法 律 法 规 要 求；q)宜 对 承 载 电 子 权 力 运 行 的 主 体 变 更 建 立 完 整 的 变 更 控 制 程 序、流 程 和 记 录，并 保 留 变
36、更 控 制相 关 记 录；r)宜 对 重 要 电 子 业 务 权 力 运 行 主 体 保 留 原 始 主 体 及 其 变 更 主 体 源 代 码 的 完 整 记 录。敏 感 数 据 保 护 要 求本 项 要 求 主 要 包 括：a)应 依 法 建 立 数 据 分 类 分 级 规 范，确 定 组 织 的 重 要 数 据 具 体 目 录，对 列 入 目 录 的 数 据 进 行 重 点保 护；b)应 对 敏 感 数 据 进 行 标 识，形 成 敏 感 数 据 资 产 列 表，不 限 于 公 民 个 人、公 共 管 理、信 息 传 播、行 业 领 域、组 织 经 营 等 维 度 数 据；c)应 加 强
37、 数 据 安 全 风 险 监 测，识 别 数 据 安 全 缺 陷、漏 洞 等 风 险，对 重 要 数 据 的 数 据 处 理 活 动 定期 开 展 风 险 评 估，并 向 有 关 主 管 部 门 报 送 风 险 评 估 报 告；d)应 建 立 健 全 全 流 程 数 据 安 全 管 理 制 度，明 确 数 据 安 全 负 责 人 和 管 理 机 构，落 实 数 据 安 全 保 护责 任；e)应 采 取 技 术 措 施 保 护 数 据 全 生 命 周 期 各 阶 段 的 数 据 安 全，对 敏 感 数 据 变 更、数 据 高 风 险 操 作和 敏 感 数 据 访 问 进 行 全 流 程 管 控
38、和 审 计；f)宜 采 用 密 码 技 术 保 障 数 据 的 机 密 性、完 整 性、可 用 性、真 实 性、不 可 否 认 性 等 属 性 不 受 侵 害；g)可 利 用 数 据 资 产 管 理、数 据 安 全 管 控、数 据 安 全 威 胁 感 知 等 技 术 对 数 据 资 产 的 安 全 属 性 进 行有 效 监 管。D B 4 4/T 2 3 7 5 2 0 2 26持 续 改 进 机 制 要 求本 项 要 求 主 要 包 括：a)应 围 绕 信 息 系 统 内 部 风 险 管 理 工 作，在 组 织 内 部 建 立 自 查、互 查 等 完 善 的 督 查 机 制；b)应 每 年
39、定 期 对 信 息 系 统 内 部 风 险 管 理 开 展 自 评 估，根 据 评 估 结 果 整 改 并 修 订 内 部 控 制 策 略；c)应 每 年 定 期 对 信 息 系 统 内 部 风 险 管 理 落 实 情 况 进 行 检 查；d)应 积 极 开 展 对 业 务 主 管 部 门、监 督 检 查 部 门 以 及 内 部 检 查 工 作 中 发 现 的 信 息 系 统 内 部 风 险 管理 控 制 缺 陷 的 评 估 与 处 置；e)应 指 定 相 关 业 务 部 门 和 人 员 负 责 组 织 的 信 息 系 统 内 部 风 险 管 理 评 估 工 作，并 负 责 风 险 的 处 置
40、；f)应 定 期 开 展 信 息 系 统 内 部 风 险 管 理 工 作 的 监 督 检 查，并 向 有 关 主 管 部 门 报 送 监 督 检 查 结 果；g)应 定 期 对 重 要 的 录 入 数 据 或 原 始 数 据 进 行 完 整 性、可 用 性 和 真 实 性 审 计；h)应 定 期 对 重 大 电 子 权 力 的 运 行 操 作 进 行 稽 核；i)应 定 期 对 内 控 例 外 策 略 的 执 行 情 况 进 行 检 查；j)宜 在 内 外 部 环 境、业 务 活 动 或 管 理 要 求 发 生 重 大 变 化 时 组 织 开 展 检 查，并 对 发 现 的 问 题 予 以改
41、进；k)应 不 定 期 委 托 第 三 方 机 构 对 自 身 信 息 系 统 内 部 风 险 管 理 工 作 进 行 评 估，评 估 报 告 应 作 为 本 单位 建 立 责 任 制 考 核 的 参 考。宣 传 与 培 训 要 求本 项 要 求 主 要 包 括：a)应 定 期 开 展 信 息 系 统 内 部 风 险 管 理 的 教 育、培 训 和 宣 传 活 动，验 证 活 动 效 果，纳 入 考 核 体 系，并 做 好 资 料 归 档；b)应 不 定 期 的 组 织 人 员 参 加 相 关 专 业 的 继 续 教 育，重 要 岗 位 人 员 应 持 有 国 家 相 关 网 络 安 全 专
42、业认 证 证 书。D B 4 4/T 2 3 7 5 2 0 2 27A A附 录 A（资 料 性）职 权 电 子 化 过 程 中 的 对 应 关 系组 织 在 信 息 化 建 设 过 程 中，将 线 下 业 务 和 职 权 映 射 到 信 息 系 统 各 个 业 务 功 能、权 限 控 制、信 息 平 台等 模 块 中，从 而 衍 生 出 线 上 电 子 业 务 权 力 和 电 子 技 术 权 力，即 为 职 权 电 子 化 过 程，如 图 A.1 所 示。图 A.1 职 权 电 子 化 过 程 示 意 图职 权 电 子 化 过 程 中 的 对 应 关 系 如 下：a)线 上 职 权 与 线
43、 下 职 权 两 者 对 应 的 业 务 部 门、责 任 岗 位 和 人 员 必 须 保 持 一 致；b)电 子 业 务 权 力 与 电 子 技 术 权 力 两 者 对 应 的 所 有 者 不 为 同 一 人；c)电 子 业 务 权 力 通 过 电 子 岗 位 人 员 的 信 息 系 统 账 号 和 权 限 进 行 行 使，涉 及 的 电 子 岗 位 包 括 电 子业 务 管 理 岗、电 子 人 事 岗、电 子 财 务 岗、电 子 监 察 审 计 岗 和 其 他 电 子 业 务 岗，且 与 线 下 业 务岗 位 保 持 对 应；d)电 子 技 术 权 力 通 过 支 撑 信 息 系 统 运 行
44、 的 平 台 账 号 和 权 限 进 行 行 使，涉 及 的 岗 位 包 括 但 不 限 于系 统 管 理 员、数 据 库 管 理 员、网 络 管 理 员、安 全 管 理 员 等。D B 4 4/T 2 3 7 5 2 0 2 28参 考 文 献 1 G B 1 7 8 5 9 1 9 9 9 计 算 机 信 息 系 统 安 全 保 护 等 级 划 分 准 则 2 G B/T 2 0 2 6 9 2 0 0 6 信 息 安 全 技 术 信 息 系 统 安 全 管 理 要 求 3 G B/T 2 0 9 8 4 2 0 2 2 信 息 安 全 技 术 信 息 安 全 风 险 评 估 规 范 4
45、G B/T 2 2 0 8 0 2 0 1 6 信 息 技 术 安 全 技 术 信 息 安 全 管 理 体 系 要 求 5 G B/T 2 2 0 8 1 2 0 1 6 信 息 技 术 安 全 技 术 信 息 安 全 控 制 实 践 指 南 6 G B/T 2 2 2 3 9 2 0 1 9 信 息 安 全 技 术 网 络 安 全 等 级 保 护 基 本 要 求 7 G B/T 2 9 2 4 5 2 0 1 5 信 息 安 全 技 术 政 府 部 门 信 息 安 全 管 理 基 本 要 求 8 G B/T 2 9 2 4 6 2 0 1 7 信 息 技 术 安 全 技 术 信 息 安 全 管 理 体 系 概 述 和 词 汇 9 G B/T 3 6 0 7 3 2 0 1 8 数 据 管 理 能 力 成 熟 度 评 估 模 型 1 0 G B/T 3 7 9 8 8 2 0 1 9 信 息 安 全 技 术 数 据 安 全 能 力 成 熟 度 模 型 1 1 中 国 内 部 审 计 协 会 公 告 2 0 1 3 年 第 1 号 中 国 内 部 审 计 准 则
