GB/T 20269-2006 信息安全技术 信息系统安全管理要求

犐犆犛３５．０４０

犔８０

中华人民共和国国家标准

／—

犌犅犜２０２６９２００６

信息安全技术信息系统安全管理要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狋犲犮犺狀狅犾狅—

狔犵狔

犐狀犳狅狉犿犪狋犻狅狀狊狊狋犲犿狊犲犮狌狉犻狋犿犪狀犪犲犿犲狀狋狉犲狌犻狉犲犿犲狀狋狊

狔狔犵狇

２００６０５３１发布２００６１２０１实施

中华人民共和国国家质量监督检验检疫总局

发布

中国国家标准化管理委员会

／—

犌犅犜２０２６９２００６

目次

前言Ⅴ

引言Ⅵ

１范围１

２规范性引用文件１

３术语和定义１

４信息系统安全管理的一般要求２

４．１信息系统安全管理的内容２

４．２信息系统安全管理的原则２

５信息系统安全管理要素及其强度３

５．１策略和制度３

５．１．１信息安全管理策略３

５．１．２安全管理规章制度５

５．１．３策略与制度文档管理６

５．２机构和人员管理６

５．２．１安全管理机构６

５．２．２安全机制集中管理机构７

５．２．３人员管理８

５．２．４教育和培训９

５．３风险管理１０

５．３．１风险管理要求和策略１０

５．３．２风险分析和评估１１

５．３．３风险控制１２

５．３．４基于风险的决策１２

５．３．５风险评估的管理１２

５．４环境和资源管理１３

５．４．１环境安全管理１３

５．４．２资源管理１４

５．５运行和维护管理１６

５．５．１用户管理１６

５．５．２运行操作管理１７

５．５．３运行维护管理１９

５．５．４外包服务管理２１

５．５．５有关安全机制保障２２

５．５．６安全集中管理２６

５．６业务连续性管理２７

５．６．１备份与恢复２７

５．６．２安全事件处理２８

５．６．３应急处理２９

Ⅰ

／—

犌犅犜２０２６９２００６

５．７监督和检查管理３０

５．７．１符合法律要求３０

５．７．２依从性检查３０

５．７．３审计及监管控制