权责划分是降低事故风险和故意滥用系统风险的一个有效手段。因此，要考虑对各部门的权责进行清楚划分，以避免未经授权而修改或滥用信息。
小单位可能觉得这一管制办法实施起来比较困难，但应尽量参考运用其原则和做法。如划分权责有困难，那么应该考虑其它的管制手段如行动监视、审计记录和管理监督等。保持安全审计的独立性是非常重要的。
应注意确保在责任单一的区域内，只要有人从事犯罪活动就马上会被察觉。事件的发起和其授权要分开考虑。可考虑如下要素：
- 对集体犯罪行为进行区分非常重要，此类活动可包括提高订单价格或对所收订单加以确认等 - 如有集体犯罪的危险，管制手段的实施就需要两个或以上的人员参与，这样可以降低合谋的可能性
8.1.5 开发与操作设备的隔离 对开发、测试和操作设备进行隔离对权责划分来说非常重要。要制定相关法规来控制软件从开发部门向操作部门的划拨。
开发和测试活动会导致严重的问题，如对文件或系统环境的乱改，或系统瘫痪等。因此，要针对操作、测试和开发环境的隔离考虑必要的隔离级别，以避免操作上的问题。在开发和测试功能之间，也要求有类似的隔离。在此情况下，有必要保持一个已知而稳定的环境，以供开展有意义的测试，并避免非法开发人员的存取。
如开发和测试人员可进入操作系统并存取其信息，他们有可能会引入未经授权或未经检测的编码并篡改操作数据。在某些系统内，这一能力可能会被滥用来进行犯罪活动，或引入未经测试的病毒码。未经检测的病毒码会导致严重的操作问题。开发人员和测试人员也会构成对操作信息保密性的威胁。
如共用相同的计算环境，开发和测试活动可能会导致软件和信息的变更。这样，把开发、测试和操作设备隔离开就可以降低发生事故或非法存取操作软件和业务数据的风险。可考虑如下的管制手段：
- 如可能，应在不同的电脑处理机上，或不同的域名或目录下运行开发和操作软件 - 尽可能地将开发和测试活动隔离开
- 不必要时，编辑器和其它系统设备不得通过操作系统进行存取
- 操作和测试系统要使用不同的登录流程，以此降低出错的风险。要鼓励使用者在不同系统上使用不同的口令，而菜单也要求能显示适当的身份辨别指令。 - 只有管制手段要求向开发人员发放口令以支持操作系统时，开发人员才可获得操作口令。同时，管制手段要确保口令在用毕后马上更换。
8.1.6 外部设备管理 使用外部承包方来管理信息处理设备可能会引起诸如数据丢失、泄漏或毁坏等潜在的安全问题。因此，对这些风险要事先加以辨认，并纳入和承包方签订的合同当中。需
要
考虑的要素包括
- 对单位内部的敏感或关键应用加以辨认 - 获得商业应用软件产权人的批准 - 持续运营计划的考虑
- 要加以规定的安全标准和检验是否合法的程序 - 具体权责的划分和对有关安全活动进行监视的流程 - 报告和处理安全事故的权责及流程（参见8.1.3）
8.2 系统规划及可行性
目标：将系统失效风险降至最低。 要进行事前计划和准备以确保有充足的能力和资源。 要作出对未来能力要求的预测，降低系统超载的风险。在验收和使用前，制定、记录并测试新系统的操作要求。
8.2.1 系统容量需求计划 对系统容量要求进行监控，并进行未来容量要求预测，确保充足的处理和存储能力。这些预测要考虑新业务和系统的要求及单位信息处理的当前和未来走向。
对主框计算机要格外注意，因为它们采购的成本较高，时间也较长。主框服务的经理人员应当对主要系统资源的使用情况进行监视，包括处理器、主要内存、文件储存、打印机和其它输出设备及通讯系统。它们要对使用的走向加以辨认，特别是有关业务应用或管理信息系统工具方面的走向。
管理人员应当运用这些信息来辨认并避免可能对系统安全或使用者服务构成安全的潜在瓶颈，并事先进行适当的补救行动规划。
8.2.2 系统验收 建立新信息系统、系统升级和新版本方面的验收标准；在验收前进行适当测试。管理人员应当确保新系统验收的要求和标准有清除的定义，并得到同意、记录和测试。可考虑下列有关方面： - 运转和计算能力的要求 - 错误恢复、启动流程和应急计划 - 备有经过同意的安全管制措施 - 有效的操作流程
- 11.1条款中要求的业务持续安排
- 新系统不会，特别是在月末这样的高峰期间不会影响现有设备运行的证据 - 对新系统对单位总体安全作产生影响已加以考虑的证据 - 操作和使用新系统方面的有关培训
在从事重大开发项目时，要开发过程中的所有阶段要就操作功能和使用进行咨询，以确保提出的系统设计的最高操作效率。采取适当的测试来确认所有的验收标准都已达到。
8.3 侵略性软件防护
目标：保护软件及信息的完整。 采取措施防止并检测侵略性软件的侵入。 软件和信息处理设备很容易受到诸如电脑病毒、网络蠕虫、特洛伊木马、逻辑炸弹等侵略性软件的侵害。因此，使用者应当意识到非法或侵略性软件的危害；管理人员应当在必要时采取特别管制手段来检测和防范此类软件的入侵。特别是应采取措施来检测和防范个人电脑上的电脑病毒。
8.3.1 对非法入侵软件的防御管理 检测并防止非法软件的入侵，实施恰当的防范流程。对侵略性软件的防范应以安全意识、适当的系统存取和更改管理管制措施等为基础。可考虑如下措施： - 制定政策要求使用正版软件，禁止使用盗版软件（参见12.1.2.2） - 制定政策防范使用外来的软件或文件的风险（参见10.5.4和10.5.5） - 安装并定期升级防病毒检测和修补软件，用其来扫描电脑和媒体并将其制度化 - 对支持关键业务程序的系统软件和数据进行定期监测。对非法文件或修改展开调查 - 在使用前，对电子媒体上的任何来源不详的文件或从不可靠网络上下载的文件进行防病毒扫描 - 在使用前，对任何电子邮件的附件和下载的文件进行防病毒扫描。这种监测可开不用的地方展开，如电力邮件服务器、桌面电脑或进入单位的网络时 - 防范系统病毒的管理流程及权责、其使用方法的培训、报告和病毒攻击后的恢复（参见6.3和8.1.3） - 用于病毒攻击后恢复工作的持续经营计划，包罗所有必要的数据和软件备份及恢复安排（参见地11条款） - 用于检测所有侵略性软件信息的流程，确保警告标志的准确。管理人员要确保合格的来源，如有名的杂志、可靠的因特网站点或防病毒软件供应商等，来区分小把戏和真正的病毒。员工要求认识小把戏的危害并知道如何处理之。
这些管制措施对支持大批工作站的网络文件服务器尤为重要。
8.4 储存管理
目标：维护信息处理及服务的完整性和可行性。 建立正常的流程来实施经过批准的后援策略（参见11.1）、准备数据的备份、监视设备环境等。
8.4.1 资料备份 重要的商业信息和软件应进行定期备份。要有充足的备份设备来确保所有关键的业务信息和软件在发生灾难或媒体瘫痪后都能得以恢复。针对单个系统的备份安排要进行定期测试，确保它们符合持续运营计划的要求（参见11条款）。可考虑如下指导原则：
- 备份信息、关于备份拷贝的准确完整的记录及恢复的流程等信息要储存在一个远离主场的地点，确保即使主场发生灾难信息备份信息也能幸免遇难。对重要的业务应用软件应保留最少三代的备份信息。 - 对备份信息的物理和环境保护级别不得亚于主场的保护级别标准（参见第7条款）。对主场媒体的管制措施也应延展到备份文件的保护。 - 应对备份媒体进行定期检查，确保其在紧急情况下能正常发挥作用。
- 恢复流程应定期审订测试，确保其有效性，使其在规定时间内能够完成恢复的任务 重大业务信息的保留期及文档附件是否永久保存等都要加以规定。
8.4.2 登录数据管理 操作人员应保存其登录数据记录。登录数据要包括如下信息： - 系统启动和关闭时间 - 系统错误和所采取的修改行动
- 对数据文件和电脑输出的正确操作的确认 - 登录人员的名称
对操作人员登录应按操作流程进行能够定期审核。
8.4.3 差错记录管理 对差错进行记录并采取纠正措施。使用者作出的信息处理或通讯系统的差错报告要进行记录。对如何处理报告的差错应有明确的规定，包括 - 对差错记录进行审核，确保差错已得到满意的解决
- 对采取的修改措施进行审核，确保管制手段的正确性和采取行动的合法性
8.5 网络管理
目标：建立网络信息及基础架构支持的防护措施。 对跨单位的网络安全管理要格外注意。 对通过公共网络传输的敏感数据的保护也要格外小心。
8.5.1 网络管制 实施一系列管制措施，实现并保持网络安全。对网络管理人员实行管制，确保网络上数据的安全，并保护相关服务不被非法使用。特别是要考虑如下要素： - 在适当情况下，把网络的操作权责和电脑操作划分开（参见8.1.4） - 要建立管理远程设备（包括使用区域的设备）的责任和流程
- 如有必要，采取特别管制措施保护通过公共网络传送的数据的保密性和完整性，并保护联结系统（参见9.4和10.3）。同时，采用特别管制措施来保持网络服务和电脑联网。 - 对管理活动进行跟踪协调，使提供的服务最优化，并确保对整个信息处理基础设施的管制得以持续进行
8.6 媒体存取及安全性
目标：防止资产损失及企业活动中断。 对媒体加以管制和物理保护。 采取适当操作流程来保护文件、电脑媒体（磁带、软盘、录音带等）、输入输出数据和系统记录，使之避免被破坏、盗窃和非法存取。
8.6.1 可移动计算机媒体的管理 对可移动计算机媒体如磁带、光盘、打印的报告的管理进行管制。可考虑如下指导原则：
- 任何可再用媒体上保留的过去的内容如不需要都要加以清除。
- 任何媒体如从单位移出，都要经过审批并同时保留记录以供事后查询（参见8.7.2） - 所有媒体都要按照制造商的规定保存在安全的环境中 对所有的流程和授权级别进行清楚的记录。