IT项目中的技术措施

技术措施是在系统本身中发挥作用的安全防护，有别于描述这些措施的政策和程序。欧盟NIS2指令，即欧盟关于网络安全的第2022/2555号指令，自2026年4月3日起由《国家网络安全体系法》转化实施（法律状态截至2026年9月20日）。指令所列的风险管理措施包括访问控制、备份与恢复运行、加密和事件处置等。还包括系统采购、开发和维护中的安全，其中包括漏洞（即安全防护上的缺口）的处理。这些是否以及从何时起适用于贵公司，由另一项服务范围来判定：影响及差距分析。

验收标准是系统必须满足的条件清单，满足后您才验收该阶段并为之付款。我们把安全要求与功能并列写入其中。访问权限：每人有自己的带角色账号，由指定人员授予和收回，员工离职时关闭。事件日志：系统记录谁在什么时间做了什么，包括数据和权限的变更，用户无法修改。备份与恢复：系统自动备份，验收内容包括从备份启动系统。更新：写明系统上线后安全补丁的进入途径，并留下每次安装的记录。环境隔离：测试环境，即用于试验的独立系统副本，使用测试数据运行。加密：存储和传输的数据在没有密钥时不可读。事件处置：系统显示发生了什么、何时发生、涉及谁，并可将这些信息记录下来用于上报。重大事件的早期预警须在发现后24小时内发送给行业CSIRT，即您所在行业负责接收报告的团队。

审计证据在项目过程中形成。自该法生效之日起受其约束的关键主体，须在2028年4月3日前完成首次信息系统安全审计。此后至少每三年一次；重要主体则在发生重大事件或其他违法行为后，根据主管机关的命令接受审计。每个阶段的材料都归入同一个档案夹：附法条依据的要求、设计方案、含恢复记录的测试结果、验收记录、上线当天的账号清单以及更新清单。

如果系统由其他承包商建设，我们站在您这一方工作：把要求写进询价书或合同，从这些要求的角度审阅承包商的设计方案，参与验收并收集证据。与承包商合同中的条款、政策和程序属于另外的服务范围；这里的工作以它们为基础。不论法规要求如何，对公司服务器和网络的安全防护属于“云与基础设施”服务中的“基础设施安全”。

1. 梳理要求。根据公司政策、差距分析结果（如有）和系统范围，挑选出适用于该系统的要求。成果：附验收标准的要求清单。
2. 监督建设。我们在承包商的设计方案中核查每项要求将如何满足，并在每个阶段归档证据。成果：随阶段推进逐步充实的档案夹。
3. 通过测试验收安全措施。我们关闭一个测试用户的访问权限，从备份启动系统，查阅日志，并走一遍模拟事件上报流程。成果：安全措施验收记录。
4. 把档案夹连同维护规则移交给指定人员。成果：证据档案夹在您手中，此后由您的团队或我们继续维护。

1. 哪些安全要求在项目范围和验收标准之内，哪些仍由我们自己负责？
2. 事件日志记录什么、保存多久、谁能修改？
3. 验收时我们如何检验员工离职后其访问权限确实终止？
4. 什么时候用备份进行试恢复？由谁签署记录？
5. 系统上线后，安全补丁如何进入系统？由谁安装？
6. 验收时我们会拿到哪些文件？审计人员不借助承包商能否看懂？

上述期限反映的是截至2026年9月20日的法律状态；在确定范围之前，我们会重新核实。要求的范围取决于公司在该法下的身份以及系统的用途，因此我们从分析开始。