为更好保护实体组织的服务器、网络设备、安全设备、数据库等具有标准协议远程方式运维管理的信息资产，全国信息安全标准化技术委员会秘书处发布了《信息安全技术 安全运维系统技术规范（征求意见稿）》（以下简称《征求意见稿》）。

《征求意见稿》规定了网络运维访问控制、运维审计、安全管理等安全运维系统安全功能要求、自身安全要求、安全保障要求及测试评价方法，适用于安全运维系统的设计、开发、测试与评价。

《征求意见稿》中将安全运维系统的安全技术要求分为安全功能要求、自身安全要求、安全保障要求三类。其中，安全功能要求是对安全运维系统应具备的安全功能提出具体要求，包括运维用户管理、运维对象管理、运维服务协议支持、运维访问控制、告警、远程访问加密、运维审计、运维会话管理、高可用性、设备虚拟化、IPv6 支持等；自身安全要求是对安全运维系统的自身安全保护提出具体要求，包括标识与鉴别、安全管理、审计日志等；安全保障要求针对安全运维系统的开发和使用文档的内容提出具体的要求。

此外，《征求意见稿》将安全运维系统的安全功能要求、自身安全要求和安全保障要求分为基本级和增强级，安全功能与自身安全的强弱、以及安全保障要求的高低是等级划分的具体依据，等级突出安全特性，并且针对安全运维系统的安全技术要求提出对应的测试评价方法，为使用《征求意见稿》的人员提供一个测试评价安全运维系统的技术准则。

《征求意见稿》指出安全运维系统产品应支持对运维用户以及运维对象进行类似增加、删除、修改等基础管理权限，能够对违规操作进行告警、阻断（操作命令或会话阻断），确保运维用户访问过程的合规性。

《征求意见稿》还提出产品安全运维系统产品应对运维用户的运维操作进行审计，并生成审计记录。产品应支持提供统一的身份鉴别功能，实现运维用户的单点登录，运维用户需经过产品的身份鉴别后，方可访问授权范围内的资产。

《征求意见稿》对于安全运维系统产品开发也做出了相应规范，规定开发者应提供产品安全功能的安全架构描述并且能够提供完备的功能规范说明，以及产品设计文档、明确且合理的用户操作指南等产品基础开发资料。

产品交付层面，《征求意见稿》强调开发者应提供开发安全文档，且开发安全文档应描述在产品的开发环境中，为保护产品设计和实现的保密性和完整性所必需的所有物理的、程序的、人员的和其他方面的安全措施。产品交付后，开发者还应建立一个生命周期模型对产品的开发和维护进行的必要控制，并提供生命周期定义文档描述用于开发和维护产品的模型。

《征求意见稿》中提出要对安全运维系统进行测评，使用具体测评方法来验证安全运维系统是否达到安全技术要求中所提出的要求，并一再指出测评方法要与安全技术要求一一对应，主要采用基础测评以及加强测评两部分，由测试方法、预期结果和结果判定三个基础模块构成。

附：《信息安全技术 安全运维系统技术规范（征求意见稿）》原文