信息系统生命周期安全风险管理有哪些阶段

信息系统生命周期安全风险管理有以下阶段：

• 规划阶段：信息系统规划阶段的安全目标是明确信息系统安全建设的目的，对信息系统安全建设实现的可能性进行分析论证并设计出总体安全规划方案。为了保证安全目标的实现，需要对信息系统规划阶段中可能引入安全风险的环节进行风险管理，从而降低在项目后期处理相同安全风险所带来的高额成本。信息系统规划阶段所涉及的主要安全需求包括：明确安全总体方针，确保安全总体方针源自业务期望，清晰描述所涉及系统的安全现状，提交明确的安全需求文档，明确风险评估准则并达成一致，清晰描述从系统的哪些层次进行安全实现，对系统规划中安全实现的可能性进行充分分析和论证。

• 设计阶段：信息系统设计阶段的安全目标是依据规划阶段输出的总体安全规划方案来设计信息系统安全的实现结构（包括功能划分、接口协议和性能指标等）和实施方案（包括实现技术、设备选型和系统集成等）。在设计信息系统的实现结构和实施方案时，在技术的选择、配合和管理等众多环节均容易引入安全风险。因此，对关键的环节应提出必要的安全要求并有针对性地进行安全风险管理。信息系统设计阶段的主要安全需求包括：设计方案符合系统建设规划，设计方案中的安全需求符合规划阶段的安全目标，对用以实现安全系统的各类技术进行有效性评估，对用于实施方案的产品需满足安全保护等级的要求，对自主开发的软件要在设计阶段就充分考虑安全风险。

• 实施阶段：信息系统实施阶段安全目标是按照规划和设计阶段所定义的信息系统安全实施方案，采购设备和软件，开发定制功能，集成、部署、配置和测试信息系统的安全机制，培训人员，并对是否允许系统投入运行进行批准监督。信息系统实施阶段的主要安全需求包括：确保采购的设备、软件和其他系统组件满足已定义的安全要求；确保定制开发的软件和系统满足已定义的安全要求；确保整个系统已按照设计要求进行了部署和配置，并通过整体的安全测试来验证系统的安全功能和安全特性符合设计要求；通过对相关人员的操作培训和安全培训，确保人员已具备维持系统安全功能和安全特性的能力；通过对系统投入运行前的批准监督，确保信息系统的使用已得到授权。

• 运行维护阶段：信息系统运行维护阶段安全目标是在信息系统经过授权投入运行之后，确保在运行过程中，以及信息系统或其运行环境发生变化时维持系统的正常运行和安全性。信息系统运行维护阶段的安全需求包括：在信息系统未发生更改的情况下，维持系统的正常运行，进行日常的安全操作及安全管理；在信息系统及其运行环境发生变化的情况下，进行风险评估并针对风险制定处理措施；定期进行风险再评估工作，维持系统的持续安全；定期进行信息系统的重新审批工作，确保系统授权时间的有效性。

• 废弃阶段：信息系统废弃阶段安全目标是确保对信息系统的过时或无用部分进行安全报废处理，防止信息系统的安全要求和安全功能遭到破坏。废弃阶段涉及信息、硬件和软件的安全处置，应防止将敏感信息泄露给外部人员。在这一阶段主要的风险管理活动是对系统废弃的风险评估和风险处理。