第一篇：計(jì)算機(jī)信息系統(tǒng)安全等級保護(hù)數(shù)據(jù)庫安全技術(shù)要求

《信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求》

修訂說明 工作簡要過程 1.1 任務(wù)來源

近年來，隨著黑客技術(shù)的不斷發(fā)展以及網(wǎng)絡(luò)非法入侵事件的激增，國內(nèi)網(wǎng)絡(luò)安全產(chǎn)品市場也呈現(xiàn)出良好的發(fā)展態(tài)勢，各種品牌的防火墻產(chǎn)品、入侵檢測產(chǎn)品等已經(jīng)達(dá)到了相當(dāng)可觀的規(guī)模。最近幾年，網(wǎng)絡(luò)脆弱性掃描產(chǎn)品的出現(xiàn)，為網(wǎng)絡(luò)安全產(chǎn)品廠商提供了一個展現(xiàn)自身技術(shù)水平的更高層次舞臺，市場上，各種實(shí)現(xiàn)脆弱性掃描功能的產(chǎn)品層出不窮，發(fā)展迅速，標(biāo)準(zhǔn)《GB/T 20278-2006 信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求》已不能滿足現(xiàn)在產(chǎn)品的發(fā)展需求，另一方面，為了更好地配合等級保護(hù)工作的開展，為系統(tǒng)等級保護(hù)在產(chǎn)品層面上的具體實(shí)施提供依據(jù)，需要對該標(biāo)準(zhǔn)進(jìn)行合理的修訂，通過對該標(biāo)準(zhǔn)的修訂，將更加全面系統(tǒng)的闡述網(wǎng)絡(luò)脆弱性掃描產(chǎn)品的安全技術(shù)要求，并對其進(jìn)行合理的分級。本標(biāo)準(zhǔn)編寫計(jì)劃由中國國家標(biāo)準(zhǔn)化管理委員會2010年下達(dá)，計(jì)劃號20101497-T-469，由公安部第三研究所負(fù)責(zé)制定，具體修訂工作由公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心承擔(dān)。1.2 參考國內(nèi)外標(biāo)準(zhǔn)情況

該標(biāo)準(zhǔn)修訂過程中，主要參考了：

—GB 17859-1999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則 —GB/T 20271-2006 信息安全技術(shù) 信息系統(tǒng)安全通用技術(shù)要求 —GB/T 22239-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求

—GB/T 18336.2-2008 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準(zhǔn)則 第二部分：安全功能要求 —GB/T 18336.3-2008 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估準(zhǔn)則 第三部分：安全保證要求 —GA/T 404-2002 信息技術(shù) 網(wǎng)絡(luò)安全漏洞掃描產(chǎn)品技術(shù)要求 —GB/T 20278-2006 信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求 —GB/T 20280-2006信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測試評價方法 —MSTL_JGF_04-017 信息安全技術(shù) 主機(jī)安全漏洞掃描產(chǎn)品檢驗(yàn)規(guī)范 1.3 主要工作過程

1）成立修訂組

2010年11月在我中心成立了由顧建新具體負(fù)責(zé)的標(biāo)準(zhǔn)修訂組，共由5人組成，包括俞優(yōu)、顧建新、張笑笑、陸臻、顧健。

2）制定工作計(jì)劃

修訂組首先制定了修訂工作計(jì)劃，并確定了修訂組人員例會及時溝通交流工作情況。3）確定修訂內(nèi)容

確定標(biāo)準(zhǔn)主要內(nèi)容的論據(jù) 2.1 修訂目標(biāo)和原則 2.1.1 修訂目標(biāo)

本標(biāo)準(zhǔn)的修訂目標(biāo)是：對網(wǎng)絡(luò)脆弱性掃描類產(chǎn)品提出產(chǎn)品功能要求、產(chǎn)品自身安全要求以及產(chǎn)品保證要求，使之適用于我國脆弱性掃描產(chǎn)品的研究、開發(fā)、測試、評估以及采購。2.1.2 修訂原則

為了使我國網(wǎng)絡(luò)脆弱性掃描產(chǎn)品的開發(fā)工作從一開始就與國家標(biāo)準(zhǔn)保持一致，本標(biāo)準(zhǔn)的編寫參考了國家有關(guān)標(biāo)準(zhǔn)，主要有GA/T 698-2007、GB/T 17859-1999、GB/T 20271-2006、GB/T 22239-2008和GB/T 18336-2008第二、三部分。本標(biāo)準(zhǔn)又要符合我國的實(shí)際情況，遵從我國有關(guān)法律、法規(guī)的規(guī)定。具體原則與要求如下：

1）先進(jìn)性

標(biāo)準(zhǔn)是先進(jìn)經(jīng)驗(yàn)的總結(jié)，同時也是技術(shù)的發(fā)展趨勢。目前，我國網(wǎng)絡(luò)脆弱性掃描類產(chǎn)品種類繁多，功能良莠不齊，要制定出先進(jìn)的信息安全技術(shù)標(biāo)準(zhǔn)，必須參考國內(nèi)外先進(jìn)技術(shù)和標(biāo)準(zhǔn)，吸收其精華，制定出具有先進(jìn)水平的標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)的編寫始終遵循這一原則。

2）實(shí)用性

標(biāo)準(zhǔn)必須是可用的，才有實(shí)際意義。因此本標(biāo)準(zhǔn)的編寫是在對國內(nèi)外標(biāo)準(zhǔn)的相關(guān)技術(shù)內(nèi)容消化、吸收的基礎(chǔ)上，結(jié)合我國的實(shí)際情況，制定出符合我國國情的、可操作性強(qiáng)的標(biāo)準(zhǔn)。

3）兼容性

本標(biāo)準(zhǔn)既要與國際接軌，更要與我國現(xiàn)有的政策、法規(guī)、標(biāo)準(zhǔn)、規(guī)范等相一致。修訂組在對標(biāo)準(zhǔn)起草過程中始終遵循此原則，其內(nèi)容符合我國已經(jīng)發(fā)布的有關(guān)政策、法律和法規(guī)。2.2 對網(wǎng)絡(luò)脆弱性掃描類產(chǎn)品的理解 2.2.1 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品

脆弱性掃描是一項(xiàng)重要的安全技術(shù)，它采用模擬攻擊的形式對網(wǎng)絡(luò)系統(tǒng)組成元素（服務(wù)器、工作站、路由器和防火墻等）可能存在的安全漏洞進(jìn)行逐項(xiàng)檢查，根據(jù)檢查結(jié)果提供詳細(xì)的脆弱性描述和修補(bǔ)方案，形成系統(tǒng)安全性分析報告，從而為網(wǎng)絡(luò)管理員完善網(wǎng)絡(luò)系統(tǒng)提供依據(jù)。通常，我們將完成脆弱性掃描的軟件、硬件或軟硬一體的組合稱為脆弱性掃描產(chǎn)品。

脆弱性掃描產(chǎn)品的分類

根據(jù)工作模式，脆弱性掃描產(chǎn)品分為主機(jī)脆弱性掃描產(chǎn)品和網(wǎng)絡(luò)脆弱性掃描產(chǎn)品。其中前者基于主機(jī)，通過在主機(jī)系統(tǒng)本地運(yùn)行代理程序來檢測系統(tǒng)脆弱性，例如針對操作系統(tǒng)和數(shù)據(jù)庫的掃描產(chǎn)品。后者基于網(wǎng)絡(luò)，通過請求/應(yīng)答方式遠(yuǎn)程檢測目標(biāo)網(wǎng)絡(luò)和主機(jī)系統(tǒng)的安全脆弱性。例如Satan 和ISS Internet Scanner等。針對檢測對象的不同，脆弱性掃描產(chǎn)品還可分為網(wǎng)絡(luò)掃描產(chǎn)品、操作系統(tǒng)掃描產(chǎn)品、WWW服務(wù)掃描產(chǎn)品、數(shù)據(jù)庫掃描產(chǎn)品以及無線網(wǎng)絡(luò)掃描產(chǎn)品。

這是最基本的TCP掃描。操作系統(tǒng)提供的connect（）系統(tǒng)調(diào)用，用來與每一個感興趣的目標(biāo)計(jì)算機(jī)的端口進(jìn)行連接。如果端口處于偵聽狀態(tài)，那么connect（）就能成功。否則，這個端口是不能用的，即沒有提供服務(wù)。

FIN+URG+PUSH掃描

向目標(biāo)主機(jī)發(fā)送一個FIN、URG和PUSH 分組，根據(jù)RFC793，如果目標(biāo)主機(jī)的相應(yīng)端口是關(guān)閉的，那么應(yīng)該返回一個RST標(biāo)志。

NULL掃描

通過發(fā)送一個沒有任何標(biāo)志位的TCP包，根據(jù)RFC793，如果目標(biāo)主機(jī)的相應(yīng)端口是關(guān)閉的，它應(yīng)該發(fā)送回一個RST數(shù)據(jù)包。

UDP ICMP端口不能到達(dá)掃描

在向一個未打開的UDP端口發(fā)送一個數(shù)據(jù)包時，許多主機(jī)會返回一個ICMP_PORT_UNREACH 錯誤。這樣就能發(fā)現(xiàn)哪個端口是關(guān)閉的。UDP和ICMP錯誤都不保證能到達(dá)，因此這種掃描器必須能夠重新傳輸丟失的數(shù)據(jù)包。這種掃描方法速度很慢，因?yàn)镽FC對ICMP錯誤消息的產(chǎn)生速率做了規(guī)定。

安全漏洞特征定義

目前，脆弱性掃描產(chǎn)品多數(shù)采用基于特征的匹配技術(shù)，與基于誤用檢測技術(shù)的入侵檢測系統(tǒng)相類似。掃描產(chǎn)品首先通過請求/應(yīng)答，或通過執(zhí)行攻擊腳本，來搜集目標(biāo)主機(jī)上的信息，然后在獲取的信息中尋找漏洞特征庫定義的安全漏洞，如果有，則認(rèn)為安全漏洞存在。可以看到，安全漏洞能否發(fā)現(xiàn)很大程度上取決于漏洞特征的定義。

掃描器發(fā)現(xiàn)的安全漏洞應(yīng)該符合國際標(biāo)準(zhǔn)，這是對掃描器的基本要求。但是由于掃描器的開發(fā)商大都自行定義標(biāo)準(zhǔn)，使得安全漏洞特征的定義不盡相同。

漏洞特征庫通常是在分析網(wǎng)絡(luò)系統(tǒng)安全漏洞、黑客攻擊案例和網(wǎng)絡(luò)系統(tǒng)安全配置的基礎(chǔ)上形成的。對于網(wǎng)絡(luò)安全漏洞，人們還需要分析其表現(xiàn)形式，檢查它在某個連接請求情況下的應(yīng)答信息；或者通過模式攻擊的形式，查看模擬攻擊過程中目標(biāo)的應(yīng)答信息，從應(yīng)答信息中提取安全漏洞特征。漏洞特征的定義如同入侵檢測系統(tǒng)中對攻擊特征的定義，是開發(fā)漏洞掃描系統(tǒng)的主要工作，其準(zhǔn)確直接關(guān)系到漏洞掃描系統(tǒng)性能的好壞。這些漏洞特征，有的存在于單個應(yīng)答數(shù)據(jù)包中，有的存在于多個應(yīng)答數(shù)據(jù)包中，還有的維持在一個網(wǎng)絡(luò)連接之中。因此，漏洞特征定義的難度很大，需要反復(fù)驗(yàn)證和測試。目前，國內(nèi)許多漏洞掃描產(chǎn)品直接基于國外的一些源代碼進(jìn)行開發(fā)。利用現(xiàn)成的漏洞特征庫，使系統(tǒng)的性能基本能夠與國外保持同步，省掉不少工作量，但核心內(nèi)容并不能很好掌握。從長遠(yuǎn)發(fā)展來看，我國需要有自主研究安全漏洞特征庫實(shí)力的掃描類產(chǎn)品開發(fā)商，以掌握漏洞掃描的核心技術(shù)。

技術(shù)趨勢

從最初的專門為UNIX系統(tǒng)編寫的具有簡單功能的小程序發(fā)展到現(xiàn)在，脆弱性掃描系統(tǒng)已經(jīng)成為能夠運(yùn)行在各種操作系統(tǒng)平臺上、具有復(fù)雜功能的商業(yè)程序。脆弱性掃描產(chǎn)品的發(fā)展正呈現(xiàn)出以下趨勢。

系統(tǒng)評估愈發(fā)重要

目前多數(shù)脆弱性掃描產(chǎn)品只能夠簡單地把各個掃描器測試項(xiàng)的執(zhí)行結(jié)果（目標(biāo)主機(jī)信息、安全漏洞信息和補(bǔ)救建議等）羅列出來提供給測試者，而不對信息進(jìn)行任何分析處理。少數(shù)脆弱性掃描產(chǎn)品能夠?qū)呙杞Y(jié)果整理形成報表，依據(jù)一些關(guān)鍵詞（如IP地址和風(fēng)險等級等）對掃描結(jié)果進(jìn)行歸納總結(jié)，但是仍然沒有分析掃描結(jié)果，缺乏對網(wǎng)絡(luò)安全狀況的整體評估，也不會提出解決方案。

在系統(tǒng)評估方面，我國的國標(biāo)已明確提出系統(tǒng)評估分析應(yīng)包括目標(biāo)的風(fēng)險等級評估、同一目標(biāo)多次掃描形式的趨勢分析、多個目標(biāo)掃描后結(jié)果的總體分析、關(guān)鍵脆弱性掃描信息的摘要和主機(jī)間的比較分析等等，而不能僅僅將掃描結(jié)果進(jìn)行簡單羅列。應(yīng)該說，脆弱性掃描技術(shù)已經(jīng)對掃描后的評估越來越重視。下一代的脆弱性掃描系統(tǒng)不但能夠掃描安全漏洞，還能夠智能化地協(xié)助管理人員評估網(wǎng)絡(luò)的安全狀況，并給出安全建議。為達(dá)這一目的，開發(fā)廠商需要在脆弱性掃描產(chǎn)品中集成安全評估專家系統(tǒng)。專家系統(tǒng)應(yīng)能夠從網(wǎng)絡(luò)安全策略、風(fēng)險評估、脆弱性評估、脆弱性修補(bǔ)、網(wǎng)絡(luò)結(jié)構(gòu)和安全體系等多個方面綜合對網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全評估。

插件技術(shù)和專用腳本語言

插件就是信息收集或模擬攻擊的腳本，每個插件都封裝著一個或者多個漏洞的測試手段。通常，脆弱性掃描產(chǎn)品是借助于主掃描程序通過用插件的方法來執(zhí)行掃描，通過添加新的插件就可以使掃描產(chǎn)品增加新的功能，掃描更多的脆弱性。如果能夠格式化插件的編寫規(guī)范并予以公布，用戶或者第三方就可以自己編寫插件來擴(kuò)展掃描器的功能。插件技術(shù)可使掃描產(chǎn)品的結(jié)構(gòu)清晰，升級維護(hù)變的相對簡單，并具有非常強(qiáng)的擴(kuò)展性。目前，大多數(shù)掃描產(chǎn)品其實(shí)已采用了基于插件的技術(shù)，但各開發(fā)商自行規(guī)定接口規(guī)范，還沒有達(dá)到嚴(yán)格的規(guī)范水平。

專用腳本語言是一種更高級的插件技術(shù)，用戶使用專用腳本語言可以大大擴(kuò)展掃描器的功能。這些腳本語言語法通常比較簡單直觀，十幾行代碼就可以定制一個安全漏洞的檢測，為掃描器添加新的檢測項(xiàng)目。專用腳本語言的使用，簡化了編寫新插件的編程工作，使擴(kuò)展掃描產(chǎn)品功能的工作變的更加方便，能夠更快跟上安全漏洞出現(xiàn)的速度。

網(wǎng)絡(luò)拓?fù)鋻呙?/p>

網(wǎng)絡(luò)拓?fù)鋻呙枘壳斑€被大多數(shù)掃描器所忽略。隨著系統(tǒng)評估的愈發(fā)重要，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)正成為安全體系中的一個重要因素。拓?fù)鋻呙枘軌蜃R別網(wǎng)絡(luò)上的各種設(shè)備以及設(shè)備的連接關(guān)系，能夠識別子網(wǎng)或

和增強(qiáng)級兩個級別，且與“基本要求”和“通用要求”中的劃分沒有對應(yīng)關(guān)系，不利于該類產(chǎn)品在系統(tǒng)等級保護(hù)推行中產(chǎn)品選擇方面的有效對應(yīng)?！禛B/T 22239-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求》的網(wǎng)絡(luò)安全管理，從第一級就要求“定期進(jìn)行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時的修補(bǔ)”，《GB/T 20271-2006 信息安全技術(shù) 信息系統(tǒng)通用安全技術(shù)要求》中的信息系統(tǒng)安全性檢測分析，從第二級開始要求“操作系統(tǒng)安全性檢測分析、數(shù)據(jù)庫管理系統(tǒng)安全性檢測分析、網(wǎng)絡(luò)系統(tǒng)安全性檢測分析、應(yīng)用系統(tǒng)安全性檢測分析和硬件系統(tǒng)安全性檢測分析的要求，運(yùn)用有關(guān)工具，檢測所選用和/或開發(fā)的操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)、硬件系統(tǒng)的安全性，并通過對檢測結(jié)果的分析，按系統(tǒng)審計(jì)保護(hù)級的要求，對存在的安全問題加以改進(jìn)?！?/p>

本次在對原標(biāo)準(zhǔn)的修訂過程中，對于產(chǎn)品本身的安全保護(hù)要求，主要參考了GB/T 17859-1999、GB/T 20271-2006、GB/T 18336-2008、GB/T 22239-2008等，以等級保護(hù)的思路編寫制定了自身安全功能要求和保證要求。對于產(chǎn)品提供服務(wù)功能的安全保護(hù)能力方面，現(xiàn)階段是以產(chǎn)品功能強(qiáng)弱以及配合等級保護(hù)安全、審計(jì)等要素進(jìn)行分級的。通過對標(biāo)準(zhǔn)意見的不斷收集以及修改，將產(chǎn)品提供的功能與等級保護(hù)安全要素產(chǎn)生更密切的聯(lián)系，以便有能力參與到系統(tǒng)等級保護(hù)相關(guān)要素的保護(hù)措施中去。2.2.3 與原標(biāo)準(zhǔn)的區(qū)別

1)標(biāo)準(zhǔn)結(jié)構(gòu)更加清晰規(guī)范，全文按照產(chǎn)品安全功能要求、自身安全功能要求和安全保證要求三部分進(jìn)行整理修訂，與其他信息安全產(chǎn)品標(biāo)準(zhǔn)的編寫結(jié)構(gòu)保持一致。

2）刪除原標(biāo)準(zhǔn)中性能部分的要求，將原來有關(guān)掃描速度、穩(wěn)定性和容錯性，以及脆弱性發(fā)現(xiàn)能力等重新整理，作為功能部分予以要求，同時，考慮到原來對于誤報率和漏報濾的模糊描述以及實(shí)際測試的操作性較差，刪除了這兩項(xiàng)內(nèi)容的要求。

3）對于產(chǎn)品功能要求的邏輯結(jié)構(gòu)進(jìn)行重新整理，按照信息獲取，端口掃描，脆弱性掃描，報告的先后順序進(jìn)行修訂，使得產(chǎn)品的功能要求在描述上逐步遞進(jìn)，易于讀者的理解，并且結(jié)合產(chǎn)品的功能強(qiáng)弱進(jìn)行分級。

4)對于產(chǎn)品的自身安全功能要求和安全保證要求，充分參考了等級保護(hù)的要求，對其進(jìn)行了重新分級，使得該標(biāo)準(zhǔn)在應(yīng)用時更能有效指導(dǎo)產(chǎn)品的開發(fā)和檢測，使得產(chǎn)品能更加有效的應(yīng)用于系統(tǒng)的等級保護(hù)工作。

5）將標(biāo)準(zhǔn)名稱修改為《信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求》，增加了“安全”二字，體現(xiàn)出這個標(biāo)準(zhǔn)的內(nèi)容是規(guī)定了產(chǎn)品的安全要求，而非其它電器、尺寸、環(huán)境等標(biāo)準(zhǔn)要求。

6）將原標(biāo)準(zhǔn)中“網(wǎng)絡(luò)脆弱性掃描”的定義修改為“通過網(wǎng)絡(luò)對目標(biāo)網(wǎng)絡(luò)系統(tǒng)安全隱患進(jìn)行遠(yuǎn)程探測的過程，它對網(wǎng)絡(luò)系統(tǒng)進(jìn)行安全脆弱性檢測和分析，從而發(fā)現(xiàn)可能被入侵者利用的漏洞，并可以提出一定的防范和補(bǔ)救措施建議。”作為掃描類產(chǎn)品，在發(fā)現(xiàn)系統(tǒng)脆弱性的同時，還要求“能夠采取一定的準(zhǔn)，結(jié)合當(dāng)前國內(nèi)外網(wǎng)絡(luò)脆弱性掃描產(chǎn)品的發(fā)展情況，系統(tǒng)地描述了產(chǎn)品的功能要求、自身安全要求和保證要求。這些技術(shù)是在對國內(nèi)外現(xiàn)有技術(shù)及標(biāo)準(zhǔn)進(jìn)行吸收、消化的基礎(chǔ)上，考慮了我國國情制定的。

本次是對原有國標(biāo)《GB/T 20278-2006 信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求》的修訂，在修訂過程中，重新整理了內(nèi)容和結(jié)構(gòu)，結(jié)合等級保護(hù)的要求重新進(jìn)行了分級，在內(nèi)容和結(jié)構(gòu)上趨于完整化、可行化和系統(tǒng)化。4 貫徹標(biāo)準(zhǔn)的要求和實(shí)施建議

本標(biāo)準(zhǔn)是對網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求的詳細(xì)描述，為生產(chǎn)、測試和評估信息過濾產(chǎn)品提供指導(dǎo)性意見。建議將本標(biāo)準(zhǔn)作為國家標(biāo)準(zhǔn)在全國推薦實(shí)施。

《信息安全技術(shù) 網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求》修訂組

2012年9月

第二篇：西安市信息系統(tǒng)安全等級保護(hù)

西安市信息系統(tǒng)安全等級保護(hù)

責(zé)

任

書

西安市公安局網(wǎng)安支隊(duì)印制

信息系統(tǒng)安全等級保護(hù)

責(zé) 任 書

甲方: 西安市公安局網(wǎng)安支隊(duì)

乙方:

為加強(qiáng)我市信息系統(tǒng)安全等級保護(hù)工作，保證信息系統(tǒng)安全，建設(shè)平安西安、和諧西安，依據(jù)《關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知》（公信安[2007]861號）文件精神和《信息安全等級保護(hù)管理辦法》相關(guān)規(guī)定，制定本責(zé)任書。

一、雙方職責(zé)及義務(wù)

（一）網(wǎng)安支隊(duì)

按照相關(guān)法律法規(guī)賦予的職能，認(rèn)真履行以下職責(zé)及義務(wù)：

1、負(fù)責(zé)西安市非涉密、非密碼信息系統(tǒng)的安全等級保護(hù)工作；

2、負(fù)責(zé)對信息系統(tǒng)信息安全等級保護(hù)工作進(jìn)行監(jiān)督、檢查、指導(dǎo)。審核等級保護(hù)單位填寫的《信息系統(tǒng)安全等級保護(hù)備案表》，并對各單位提出定級建議；

3、負(fù)責(zé)對通過審核的信息系統(tǒng)進(jìn)行備案管理。建立檔案，進(jìn)行備案統(tǒng)計(jì)，并按照國家有關(guān)規(guī)定逐級上報；

4、負(fù)責(zé)監(jiān)督、檢查各單位信息系統(tǒng)安全保護(hù)狀況。依據(jù)《信息安全等級保護(hù)管理辦法》規(guī)定組織運(yùn)營、使用單位定期對信息系統(tǒng)安全等級狀況開展等級測評及自查工作。對測評及自查后發(fā)現(xiàn)問題的單位，下發(fā)整改通知，督促其制定整改方案，整改存在問題。必要時，對整改情況組織檢查；

5、負(fù)責(zé)督促從事信息系統(tǒng)安全等級測評的機(jī)構(gòu)履行《信息安全等級保護(hù)管理辦法》規(guī)定的義務(wù)；

6、負(fù)責(zé)對信息系統(tǒng)備案通過審核、符合等級保護(hù)要求的單位頒發(fā)信息系統(tǒng)安全等級保護(hù)備案證明。

7、負(fù)責(zé)定期對等保單位安全員組織信息系統(tǒng)安全等級保護(hù)相關(guān)知識培訓(xùn)。

（二）信息系統(tǒng)等級保護(hù)單位：

按照國家相關(guān)法律法規(guī)的規(guī)定，要認(rèn)真履行以下職責(zé)及義務(wù)：

1、負(fù)責(zé)落實(shí)本單位及下屬單位開展信息系統(tǒng)安全等級保護(hù)工作；

2、在公安機(jī)關(guān)的指導(dǎo)下，負(fù)責(zé)對本單位的信息系統(tǒng)自定等級，如實(shí)填寫《信息系統(tǒng)安全等級保護(hù)備案表》和定級報告，到公安機(jī)關(guān)辦理備案手續(xù)。建立本單位信息系統(tǒng)等級保護(hù)工作領(lǐng)導(dǎo)小組，并及時向公安機(jī)關(guān)部門報告領(lǐng)導(dǎo)小組人員

變更調(diào)整情況；

3、負(fù)責(zé)落實(shí)本單位的信息系統(tǒng)安全等級保護(hù)措施。建立健全信息系統(tǒng)安全保護(hù)制度及措施，及時修訂信息系統(tǒng)安全應(yīng)急方案，積極配合公安機(jī)關(guān)對本單位信息系統(tǒng)安全等級狀況開展測評，對測評后存在的問題及時出臺整改措施進(jìn)行整改；

4、負(fù)責(zé)如實(shí)向公安機(jī)關(guān)提供開展等級保護(hù)工作所需要的所有文檔材料。

二、雙方負(fù)有的安全責(zé)任

（一）網(wǎng)安支隊(duì)

1、指導(dǎo)各單位落實(shí)信息系統(tǒng)安全保護(hù)制度，檢查各單位等級保護(hù)工作開展情況，做好信息系統(tǒng)安全等級保護(hù)備案工作。

2、審查等保評測機(jī)構(gòu)資質(zhì)，指導(dǎo)做好測評工作，努力減少系統(tǒng)漏洞。

3、查辦信息系統(tǒng)案件。

4、依據(jù)《信息安全等級保護(hù)管理辦法》，組織各單位、部門定期開展信息系統(tǒng)等級測評工作。

（二）信息系統(tǒng)安全等級保護(hù)單位

信息系統(tǒng)安全等級保護(hù)單位及相關(guān)人員，在公安機(jī)關(guān)指導(dǎo)下開展本單位信息系統(tǒng)安全保護(hù)工作。

1、要指定專人負(fù)責(zé)，制定并落實(shí)等保人防措施，不斷完

善等等保技術(shù)手段，確保信息系統(tǒng)平穩(wěn)、安全運(yùn)行。

2、配合公安機(jī)關(guān)組織開展的信息系統(tǒng)測評工作，根據(jù)測評情況及時認(rèn)真實(shí)施整改。

3、制定信息系統(tǒng)應(yīng)急預(yù)案，保證系統(tǒng)不間斷運(yùn)行。

4、及時向公安機(jī)關(guān)報告本系統(tǒng)發(fā)生的問題，協(xié)助公安機(jī)關(guān)的查處工作。

5、做好本單位等保宣傳教育工作，確保信息系統(tǒng)安全。

三、本責(zé)任書未盡事宜，嚴(yán)格按照法律法規(guī)的規(guī)定執(zhí)行。

本責(zé)任書自簽字蓋章后兩年內(nèi)有效，一式兩份，雙方各執(zhí)一份。

網(wǎng)安支隊(duì)領(lǐng)導(dǎo)簽字：

（單位蓋章）（單位蓋章）

年 月 日 年 月 日

信息系統(tǒng)安全等級保護(hù)

單位領(lǐng)導(dǎo)簽字：

第三篇：信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)測評過程指南送審稿

信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)測評過程指南

送審稿

引 言

依據(jù)《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》（國務(wù)院147號令）、《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號）、《關(guān)于信息安全等級保護(hù)工作的實(shí)施意見》（公通字[2004]66號）和《信息安全等級保護(hù)管理辦法》（公通字[2007]43號），制定本標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)是信息安全等級保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。與本標(biāo)準(zhǔn)相關(guān)的系列標(biāo)準(zhǔn)包括：

——GB/T 22240-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)定級指南； ——GB/T 22239-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求； ——GB/T CCCC-CCCC 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)實(shí)施指南； ——GB/T DDDD-DDDD 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)測評要求。

信息安全技術(shù)

信息系統(tǒng)安全等級保護(hù)測評過程指南 范圍

本標(biāo)準(zhǔn)規(guī)定了信息系統(tǒng)安全等級保護(hù)測評（以下簡稱等級測評）工作的測評過程，既適用于測評機(jī)構(gòu)、信息系統(tǒng)的主管部門及運(yùn)營使用單位對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行的安全測試評價，也適用于信息系統(tǒng)的運(yùn)營使用單位在信息系統(tǒng)定級工作完成之后，對信息系統(tǒng)的安全保護(hù)現(xiàn)狀進(jìn)行的測試評價，獲取信息系統(tǒng)的全面保護(hù)需求。2 規(guī)范性引用文件

下列文件中的條款通過在本標(biāo)準(zhǔn)中的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否使用這些文件的最新版本。凡是不注明日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。

GB/T 5271.8 信息技術(shù) 詞匯 第8部分：安全 GB 17859-1999 計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則 GB/T 22240-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)定級指南 GB/T 22239-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求 GB/T CCCC-CCCC 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)實(shí)施指南 GB/T DDDD-DDDD 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)測評要求 《信息安全等級保護(hù)管理辦法》（公通字[2007]43號）3 術(shù)語和定義

GB/T 5271.8、GB 17859-1999、GB/T CCCC-CCCC和GB/T DDDD-DDDD確立的以及下列的術(shù)語和定義適用于本標(biāo)準(zhǔn)。3.1

優(yōu)勢證據(jù) superior evidence 對單一測評項(xiàng)實(shí)施等級測評過程中獲得的多個測評結(jié)果之間存在矛盾，且都沒有足夠的證據(jù)否定與之矛盾的測評結(jié)果的，則測評結(jié)果的證明力明顯大于其他測評結(jié)果的證明力的那個（些）測評結(jié)果即為優(yōu)勢證據(jù)。4 等級測評概述 4.1 等級測評的作用

依據(jù)《信息安全等級保護(hù)管理辦法》（公通字[2007]43號），信息系統(tǒng)運(yùn)營、使用單位在進(jìn)行信息系統(tǒng)備案后，都應(yīng)當(dāng)選擇測評機(jī)構(gòu)進(jìn)行等級測評。等級測評是測評機(jī)構(gòu)依據(jù)《信息系統(tǒng)安全等級保護(hù)測評要求》等管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，檢測評估信息系統(tǒng)安全等級保護(hù)狀況是否達(dá)到相應(yīng)等級基本要求的過程，是落實(shí)信息安全等級保護(hù)制度的重要環(huán)節(jié)。

在信息系統(tǒng)建設(shè)、整改時，信息系統(tǒng)運(yùn)營、使用單位通過等級測評進(jìn)行現(xiàn)狀分析，確定系統(tǒng)的安全保護(hù)現(xiàn)狀和存在的安全問題，并在此基礎(chǔ)上確定系統(tǒng)的整改安全需求。

在信息系統(tǒng)運(yùn)維過程中，信息系統(tǒng)運(yùn)營、使用單位定期委托測評機(jī)構(gòu)開展等級測評，對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行安全測試，對信息安全管控能力進(jìn)行考察和評價，從而判定信息系統(tǒng)是否具備GB/T 22239-2008中相應(yīng)等級安全保護(hù)能力。而且，等級測評報告是信息系統(tǒng)開展整改加固的重要指導(dǎo)性文件，也是信息系統(tǒng)備案的重要附件材料。等級測評結(jié)論為信息系統(tǒng)未達(dá)到相應(yīng)等級的基本安全保護(hù)能力的，運(yùn)營、使用單位應(yīng)當(dāng)根據(jù)等級測評報告，制定方案進(jìn)行整改，盡快達(dá)到相應(yīng)等級的安全保護(hù)能力。4.2 等級測評執(zhí)行主體

可以為三級及以上等級信息系統(tǒng)實(shí)施等級測評的等級測評執(zhí)行主體應(yīng)具備如下條件：在中華人民共和國境內(nèi)注冊成立（港澳臺地區(qū)除外）；由中國公民投資、中國法人投資或者國家投資的企事業(yè)單位（港澳臺地區(qū)除外）；從事相關(guān)檢測評估工作兩年以上，無違法記錄；

工作人員僅限于中國公民；法人及主要業(yè)務(wù)、技術(shù)人員無犯罪記錄；使用的技術(shù)裝備、設(shè)施應(yīng)當(dāng)符合《信息安全等級保護(hù)管理辦法》（公通字[2007]43號）對信息安全產(chǎn)品的要求；具有完備的保密管理、項(xiàng)目管理、質(zhì)量管理、人員管理和培訓(xùn)教育等安全管理制度；對國家安全、社會秩序、公共利益不構(gòu)成威脅。（摘自《信息安全等級保護(hù)管理辦法》（公通字[2007]43號））

等級測評執(zhí)行主體應(yīng)履行如下義務(wù)：遵守國家有關(guān)法律法規(guī)和技術(shù)標(biāo)準(zhǔn)，提供安全、客觀、公正的檢測評估服務(wù)，保證測評的質(zhì)量和效果；保守在測評活動中知悉的國家秘密、商業(yè)秘密和個人隱私，防范測評風(fēng)險；對測評人員進(jìn)行安全保密教育，與其簽訂安全保密責(zé)任書，規(guī)定應(yīng)當(dāng)履行的安全保密義務(wù)和承擔(dān)的法律責(zé)任，并負(fù)責(zé)檢查落實(shí)。4.3 等級測評風(fēng)險

等級測評實(shí)施過程中，被測系統(tǒng)可能面臨以下風(fēng)險。4.3.1 驗(yàn)證測試影響系統(tǒng)正常運(yùn)行

在現(xiàn)場測評時，需要對設(shè)備和系統(tǒng)進(jìn)行一定的驗(yàn)證測試工作，部分測試內(nèi)容需要上機(jī)查看一些信息，這就可能對系統(tǒng)的運(yùn)行造成一定的影響，甚至存在誤操作的可能。4.3.2 工具測試影響系統(tǒng)正常運(yùn)行

在現(xiàn)場測評時，會使用一些技術(shù)測試工具進(jìn)行漏洞掃描測試、性能測試甚至抗?jié)B透能力測試。測試可能會對系統(tǒng)的負(fù)載造成一定的影響，漏洞掃描測試和滲透測試可能對服務(wù)器和網(wǎng)絡(luò)通訊造成一定影響甚至傷害。4.3.3 敏感信息泄漏

泄漏被測系統(tǒng)狀態(tài)信息，如網(wǎng)絡(luò)拓?fù)洹P地址、業(yè)務(wù)流程、安全機(jī)制、安全隱患和有關(guān)文檔信息。4.4 等級測評過程

本標(biāo)準(zhǔn)中的測評工作過程及任務(wù)基于受委托測評機(jī)構(gòu)對信息系統(tǒng)的初次等級測評給出。運(yùn)營、使用單位的自查或受委托測評機(jī)構(gòu)對已經(jīng)實(shí)施過一次（或以上）等級測評的被測系統(tǒng)的等級測評，測評機(jī)構(gòu)和測評人員可以根據(jù)實(shí)際情況調(diào)整部分工作任務(wù)，具體原則見附錄A。

等級測評過程分為四個基本測評活動：測評準(zhǔn)備活動、方案編制活動、現(xiàn)場測評活動、分析及報告編制活動。而測評雙方之間的溝通與洽談應(yīng)貫穿整個等級測評過程。

4.4.1 測評準(zhǔn)備活動

本活動是開展等級測評工作的前提和基礎(chǔ)，是整個等級測評過程有效性的保證。測評準(zhǔn)備工作是否充分直接關(guān)系到后續(xù)工作能否順利開展。本活動的主要任務(wù)是掌握被測系統(tǒng)的詳細(xì)情況，準(zhǔn)備測試工具，為編制測評方案做好準(zhǔn)備。4.4.2 方案編制活動

本活動是開展等級測評工作的關(guān)鍵活動，為現(xiàn)場測評提供最基本的文檔和指導(dǎo)方案。本活動的主要任務(wù)是確定與被測信息系統(tǒng)相適應(yīng)的測評對象、測評指標(biāo)及測評內(nèi)容等，并根據(jù)需要重用或開發(fā)測評指導(dǎo)書測評指導(dǎo)書，形成測評方案。4.4.3 現(xiàn)場測評活動 本活動是開展等級測評工作的核心活動。本活動的主要任務(wù)是按照測評方案的總體要求，嚴(yán)格執(zhí)行測評指導(dǎo)書測評指導(dǎo)書，分步實(shí)施所有測評項(xiàng)目，包括單元測評和整體測評兩個方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。4.4.4 分析與報告編制活動

本活動是給出等級測評工作結(jié)果的活動，是總結(jié)被測系統(tǒng)整體安全保護(hù)能力的綜合評價活動。本活動的主要任務(wù)是根據(jù)現(xiàn)場測評結(jié)果和GB/T DDDD-DDDD的有關(guān)要求，通過單項(xiàng)測評結(jié)果判定、單元測評結(jié)果判定、整體測評和風(fēng)險分析等方法，找出整個系統(tǒng)的安全保護(hù)現(xiàn)狀與相應(yīng)等級的保護(hù)要求之間的差距，并分析這些差距導(dǎo)致被測系統(tǒng)面臨的風(fēng)險，從而給出等級測評結(jié)論，形成測評報告文本。5 測評準(zhǔn)備活動

5.1 測評準(zhǔn)備活動的工作流程

測評準(zhǔn)備活動的目標(biāo)是順利啟動測評項(xiàng)目，準(zhǔn)備測評所需的相關(guān)資料，為順利編制測評方案打下良好的基礎(chǔ)。

測評準(zhǔn)備活動包括項(xiàng)目啟動、信息收集和分析、工具和表單準(zhǔn)備三項(xiàng)主要任務(wù)。這三項(xiàng)任務(wù)的基本工作流程見圖1：

5.2 測評準(zhǔn)備活動的主要任務(wù) 5.2.1 項(xiàng)目啟動

在項(xiàng)目啟動任務(wù)中，測評機(jī)構(gòu)組建等級測評項(xiàng)目組，獲取測評委托單位及被測系統(tǒng)的基本情況，從基本資料、人員、計(jì)劃安排等方面為整個等級測評項(xiàng)目的實(shí)施做基本準(zhǔn)備。輸入：委托測評協(xié)議書。任務(wù)描述：

a)根據(jù)測評雙方簽訂的委托測評協(xié)議書和系統(tǒng)規(guī)模，測評機(jī)構(gòu)組建測評項(xiàng)目組，從人員方面做好準(zhǔn)備，并編制項(xiàng)目計(jì)劃書。項(xiàng)目計(jì)劃書應(yīng)包含項(xiàng)目概述、工作依據(jù)、技術(shù)思路、工作內(nèi)容和項(xiàng)目組織等。b)測評機(jī)構(gòu)要求測評委托單位提供基本資料，包括：被測系統(tǒng)總體描述文件，詳細(xì)描述文件，安全保護(hù)等級定級報告，系統(tǒng)驗(yàn)收報告，安全需求分析報告，安全總體方案，自查或上次等級測評報告（如果有），測評委托單位的信息化建設(shè)狀況與發(fā)展以及聯(lián)絡(luò)方式等。

輸出/產(chǎn)品：項(xiàng)目計(jì)劃書。5.2.2 信息收集和分析

測評機(jī)構(gòu)通過查閱被測系統(tǒng)已有資料或使用調(diào)查表格的方式，了解整個系統(tǒng)的構(gòu)成和保護(hù)情況，為編寫測評方案和開展現(xiàn)場測評工作奠定基礎(chǔ)。

輸入：調(diào)查表格，被測系統(tǒng)總體描述文件，詳細(xì)描述文件，安全保護(hù)等級定級報告，系統(tǒng)驗(yàn)收報告，安全需求分析報告，安全總體方案，自查或上次等級測評報告（如果有）。任務(wù)描述：

a)測評機(jī)構(gòu)收集等級測評需要的各種資料，包括測評委托單位的各種方針文件、規(guī)章制度及相關(guān)過程管理記錄、被測系統(tǒng)總體描述文件、詳細(xì)描述文件、安全保護(hù)等級定級報告、安全需求分析報告、安全總體方案、安全現(xiàn)狀評價報告、安全詳細(xì)設(shè)計(jì)方案、用戶指南、運(yùn)行步驟、網(wǎng)絡(luò)圖表、配置管理文檔等。b)測評機(jī)構(gòu)將調(diào)查表格提交給測評委托單位，督促被測系統(tǒng)相關(guān)人員準(zhǔn)確填寫調(diào)查表格。

c)測評機(jī)構(gòu)收回填寫完成的調(diào)查表格，并分析調(diào)查結(jié)果，了解和熟悉被測系統(tǒng)的實(shí)際情況。分析的內(nèi)容包括被測系統(tǒng)的基本信息、物理位置、行業(yè)特征、管理框架、管理策略、網(wǎng)絡(luò)及設(shè)備部署、軟硬件重要性及部署情況、范圍及邊界、業(yè)務(wù)種類及重要性、業(yè)務(wù)流程、業(yè)務(wù)數(shù)據(jù)及重要性、業(yè)務(wù)安全保護(hù)等級、用戶范圍、用戶類型、被測系統(tǒng)所處的運(yùn)行環(huán)境及面臨的威脅等。這些信息可以重用自查或上次等級測評報告中的可信結(jié)果。

d)如果調(diào)查表格填寫不準(zhǔn)確或不完善或存在相互矛盾的地方較多，測評機(jī)構(gòu)應(yīng)安排現(xiàn)場調(diào)查，與被測系統(tǒng)相關(guān)人員進(jìn)行面對面的溝通和了解。

輸出/產(chǎn)品：填好的調(diào)查表格。5.2.3 工具和表單準(zhǔn)備

測評項(xiàng)目組成員在進(jìn)行現(xiàn)場測評之前，應(yīng)熟悉與被測系統(tǒng)相關(guān)的各種組件、調(diào)試測評工具、準(zhǔn)備各種表單等。

輸入：各種與被測系統(tǒng)相關(guān)的技術(shù)資料。任務(wù)描述：

a)測評人員調(diào)試本次測評過程中將用到的測評工具，包括漏洞掃描工具、滲透性測試工具、性能測試工具和協(xié)議分析工具等。

b)測評人員模擬被測系統(tǒng)搭建測評環(huán)境。

c)準(zhǔn)備和打印表單，主要包括：現(xiàn)場測評授權(quán)書、文檔交接單、會議記錄表單、會議簽到表單等。

輸出/產(chǎn)品：選用的測評工具清單，打印的各類表單。5.3 測評準(zhǔn)備活動的輸出文檔

測評準(zhǔn)備活動的輸出文檔及其內(nèi)容如表1所示：

5.4 測評準(zhǔn)備活動中雙方的職責(zé) 測評機(jī)構(gòu)職責(zé)：

a)組建等級測評項(xiàng)目組。

b)指出測評委托單位應(yīng)提供的基本資料。

c)準(zhǔn)備被測系統(tǒng)基本情況調(diào)查表格，并提交給測評委托單位。d)向測評委托單位介紹安全測評工作流程和方法。

e)向測評委托單位說明測評工作可能帶來的風(fēng)險和規(guī)避方法。

f)了解測評委托單位的信息化建設(shè)狀況與發(fā)展，以及被測系統(tǒng)的基本情況。g)初步分析系統(tǒng)的安全情況。h)準(zhǔn)備測評工具和文檔。

測評委托單位職責(zé)：

a)向測評機(jī)構(gòu)介紹本單位的信息化建設(shè)狀況與發(fā)展情況。b)準(zhǔn)備測評機(jī)構(gòu)需要的資料。

c)為測評人員的信息收集提供支持和協(xié)調(diào)。d)準(zhǔn)確填寫調(diào)查表格。e)根據(jù)被測系統(tǒng)的具體情況，如業(yè)務(wù)運(yùn)行高峰期、網(wǎng)絡(luò)布置情況等，為測評時間安排提供適宜的建議。f)制定應(yīng)急預(yù)案。方案編制活動

6.1 方案編制活動的工作流程

方案編制活動的目標(biāo)是整理測評準(zhǔn)備活動中獲取的信息系統(tǒng)相關(guān)資料，為現(xiàn)場測評活動提供最基本的文檔和指導(dǎo)方案。

方案編制活動包括測評對象確定、測評指標(biāo)確定、測試工具接入點(diǎn)確定、測評內(nèi)容確定、測評指導(dǎo)書測評指導(dǎo)書開發(fā)及測評方案編制六項(xiàng)主要任務(wù)。這六項(xiàng)任務(wù)的基本工作流程見圖 2：

6.2 方案編制活動的主要任務(wù) 6.2.1 測評對象確定

根據(jù)已經(jīng)了解到的被測系統(tǒng)信息，分析整個被測系統(tǒng)及其涉及的業(yè)務(wù)應(yīng)用系統(tǒng)，確定出本次測評的測評對象。輸入：填好的調(diào)查表格。任務(wù)描述：

a)識別并描述被測系統(tǒng)的整體結(jié)構(gòu)

根據(jù)調(diào)查表格獲得的被測系統(tǒng)基本情況，識別出被測系統(tǒng)的整體結(jié)構(gòu)并加以描述。描述內(nèi)容應(yīng)包括被測系統(tǒng)的標(biāo)識（名稱），物理環(huán)境，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和外部邊界連接情況等，并 給出網(wǎng)絡(luò)拓?fù)鋱D。

b)識別并描述被測系統(tǒng)的邊界

根據(jù)填好的調(diào)查表格，識別出被測系統(tǒng)邊界并加以描述。描述內(nèi)容應(yīng)包括被測系統(tǒng)與其他網(wǎng)絡(luò)進(jìn)行外部連接的邊界連接方式，如采用光纖、無線和專線等；描述各邊界主要設(shè)備，如防火墻、路由器或服務(wù)器等。如果在被測系統(tǒng)邊界連接處有共用設(shè)備，一般可以把該設(shè)備劃到等級較高的那個信息系統(tǒng)中。c)識別并描述被測系統(tǒng)的網(wǎng)絡(luò)區(qū)域

一般信息系統(tǒng)都會根據(jù)業(yè)務(wù)類型及其重要程度將信息系統(tǒng)劃分為不同的區(qū)域。對于沒有進(jìn)行區(qū)域劃分的系統(tǒng)，應(yīng)首先根據(jù)被測系統(tǒng)實(shí)際情況進(jìn)行大致劃分并加以描述。描述內(nèi)容主要包括區(qū)域劃分、每個區(qū)域內(nèi)的主要業(yè)務(wù)應(yīng)用、業(yè)務(wù)流程、區(qū)域的邊界以及它們之間的連接情況等。d)識別并描述被測系統(tǒng)的重要節(jié)點(diǎn)

描述系統(tǒng)節(jié)點(diǎn)時可以以區(qū)域?yàn)榫€索，具體描述各個區(qū)域內(nèi)包括的計(jì)算機(jī)硬件設(shè)備（包括服務(wù)器設(shè)備、客戶端設(shè)備、打印機(jī)及存儲器等外圍設(shè)備）、網(wǎng)絡(luò)硬件設(shè)備（包括交換機(jī)、路由器、各種適配器等）等，并說明各個節(jié)點(diǎn)之間的主要連接情況和節(jié)點(diǎn)上安裝的應(yīng)用系統(tǒng)軟件情況等。e)描述被測系統(tǒng)

對上述描述內(nèi)容進(jìn)行整理，確定被測系統(tǒng)并加以描述。描述被測系統(tǒng)時，一般以被測系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)為基礎(chǔ)，采用總分式的描述方法，先說明整體結(jié)構(gòu)，然后描述外部邊界連接情況和邊界主要設(shè)備，最后介紹被測系統(tǒng)的網(wǎng)絡(luò)區(qū)域組成、主要業(yè)務(wù)功能及相關(guān)的設(shè)備節(jié)點(diǎn)等。f)確定測評對象

分析各個作為定級對象的信息系統(tǒng)，包括信息系統(tǒng)的重要程度及其相關(guān)設(shè)備、組件，在此基礎(chǔ)上，確定出各測評對象。g)描述測評對象

描述測評對象時，一般針對每個定級對象分門別類加以描述，包括機(jī)房、業(yè)務(wù)應(yīng)用軟件、主機(jī)操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、網(wǎng)絡(luò)互聯(lián)設(shè)備及其操作系統(tǒng)、安全設(shè)備及其操作系統(tǒng)、訪談人員及其安全管理文檔等。在對每類測評對象進(jìn)行描述時則一般采用列表的方式，包括測評對象所屬區(qū)域、設(shè)備名稱、用途、設(shè)備信息等內(nèi)容。

輸出/產(chǎn)品：測評方案的測評對象部分。6.2.2 測評指標(biāo)確定

根據(jù)已經(jīng)了解到的被測系統(tǒng)定級結(jié)果，確定出本次測評的測評指標(biāo)。輸入：填好的調(diào)查表格，GB/T 22239-2008。任務(wù)描述：

a)根據(jù)被測系統(tǒng)調(diào)查表格，得出被測系統(tǒng)的定級結(jié)果，包括業(yè)務(wù)信息安全保護(hù)等級和系統(tǒng)服務(wù)安全保護(hù)等級，從而得出被測系統(tǒng)應(yīng)采取的安全保護(hù)措施ASG組合情況。

b)從GB/T 22239-2008中選擇相應(yīng)等級的安全要求作為測評指標(biāo)，包括對ASG三類安全要求的選擇。舉例來說，假設(shè)某信息系統(tǒng)的定級結(jié)果為：安全保護(hù)等級為3級，業(yè)務(wù)信息安全保護(hù)等級為2級，系統(tǒng)服務(wù)安全保護(hù)等級為3級；則該系統(tǒng)的測評指標(biāo)將包括GB/T 22239-2008“技術(shù)要求”中的3級通用安全保護(hù)類要求（G3），2級業(yè)務(wù)信息安全類要求（S2），3級系統(tǒng)服務(wù)保證類要求（A3），以及第3級“管理要求”中的所有要求。

c)對于由多個不同等級的信息系統(tǒng)組成的被測系統(tǒng)，應(yīng)分別確定各個定級對象的測評指標(biāo)。如果多個定級對象共用物理環(huán)境或管理體系，而且測評指標(biāo)不能分開，則不能分開的這些測評指標(biāo)應(yīng)采用就高原則。d)分別針對每個定級對象加以描述，包括系統(tǒng)的定級結(jié)果、指標(biāo)選擇兩部分。其中，指標(biāo)選擇可以列表的形式給出。例如，一個安全保護(hù)等級和系統(tǒng)服務(wù)安全保護(hù)等級均為三級、業(yè)務(wù)信息安全保護(hù)等級為2級的定級對象，測評指標(biāo)可以列出下表：

6.2.3 測試工具接入點(diǎn)確定

在等級測評中，對二級和二級以上的信息系統(tǒng)應(yīng)進(jìn)行工具測試，工具測試可能用到漏洞掃描器、滲透測試工具集、協(xié)議分析儀等測試工具。

輸入：填好的調(diào)查表格，GB/T DDDD-DDDD。任務(wù)描述：

a)確定需要進(jìn)行工具測試的測評對象。

b)選擇測試路徑。一般來說，測試工具的接入采取從外到內(nèi)，從其他網(wǎng)絡(luò)到本地網(wǎng)段的逐步逐點(diǎn)接入，即：測試工具從被測系統(tǒng)邊界外接入、在被測系統(tǒng)內(nèi)部與測評對象不同網(wǎng)段及同一網(wǎng)段內(nèi)接入等幾種方式。c)根據(jù)測試路徑，確定測試工具的接入點(diǎn)。

從被測系統(tǒng)邊界外接入時，測試工具一般接在系統(tǒng)邊界設(shè)備（通常為交換設(shè)備）上。在該點(diǎn)接入漏洞掃描器，掃描探測被測系統(tǒng)的主機(jī)、網(wǎng)絡(luò)設(shè)備對外暴露的安全漏洞情況。在該接入點(diǎn)接入?yún)f(xié)議分析儀，可以捕獲應(yīng)用程序的網(wǎng)絡(luò)數(shù)據(jù)包，查看其安全加密和完整性保護(hù)情況。在該接入點(diǎn)使用滲透測試工具集，試圖利用被測試系統(tǒng)的主機(jī)或網(wǎng)絡(luò)設(shè)備的安全漏洞，跨過系統(tǒng)邊界，侵入被測系統(tǒng)主機(jī)或網(wǎng)絡(luò)設(shè)備。

從系統(tǒng)內(nèi)部與測評對象不同網(wǎng)段接入時，測試工具一般接在與被測對象不在同一網(wǎng)段的內(nèi)部核心交換設(shè)備上。在該點(diǎn)接入掃描器，可以直接掃描測試內(nèi)部各主機(jī)和網(wǎng)絡(luò)設(shè)備對本單位其他不同網(wǎng)絡(luò)所暴露的安全漏洞情況。在該接入點(diǎn)接入網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)工具，可以探測信息系統(tǒng)的網(wǎng)絡(luò)拓?fù)淝闆r。在系統(tǒng)內(nèi)部與測評對象同一網(wǎng)段內(nèi)接入時，測試工具一般接在與被測對象在同一網(wǎng)段的交換設(shè)備上。在該點(diǎn)接入掃描器，可以在本地直接測試各被測主機(jī)、網(wǎng)絡(luò)設(shè)備對本地網(wǎng)絡(luò)暴露的安全漏洞情況。一般來說，該點(diǎn)掃描探測出的漏洞數(shù)應(yīng)該是最多的，它說明主機(jī)、網(wǎng)絡(luò)設(shè)備在沒有網(wǎng)絡(luò)安全保護(hù)措施下的安全狀況。如果該接入點(diǎn)所在網(wǎng)段有大量用戶終端設(shè)備，則可以在該接入點(diǎn)接入非法外聯(lián)檢測設(shè)備，測試各終端設(shè)備是否出現(xiàn)過非法外聯(lián)情況。

d)結(jié)合網(wǎng)絡(luò)拓?fù)鋱D，采用圖示的方式描述測試工具的接入點(diǎn)、測試目的、測試途徑和測試對象等相關(guān)內(nèi)容。

輸出/產(chǎn)品：測評方案的測評內(nèi)容中關(guān)于測評工具接入點(diǎn)部分。6.2.4 測評內(nèi)容確定

本部分確定現(xiàn)場測評的具體實(shí)施內(nèi)容，即單元測評內(nèi)容。

輸入：填好的調(diào)查表格，測評方案的測評對象、測評指標(biāo)及測評工具接入點(diǎn)部分。任務(wù)描述： a)確定單元測評內(nèi)容

依據(jù)GB/T DDDD-DDDD，將前面已經(jīng)得到的測評指標(biāo)和測評對象結(jié)合起來，然后再將測評對象與具體的測評方法結(jié)合起來，這也是編制測評指導(dǎo)書測評指導(dǎo)書的第一步。

具體做法就是把各層面上的測評指標(biāo)結(jié)合到具體測評對象上，并說明具體的測評方法，如此構(gòu)成一個個可以具體實(shí)施測評的單元。參照GB/T DDDD-DDDD，結(jié)合已選定的測評指標(biāo)和測評對象，概要說明現(xiàn)場單元測評實(shí)施的工作內(nèi)容；涉及到工具測試部分，應(yīng)根據(jù)確定的測試工具接入點(diǎn)，編制相應(yīng)的測試內(nèi)容。在測評方案中，現(xiàn)場單元測評實(shí)施內(nèi)容通常以表格的形式給出，表格包括測評指標(biāo)、測評內(nèi)容描述等內(nèi)容?，F(xiàn)場測評實(shí)施內(nèi)容是項(xiàng)目組每個成員開發(fā)測評指導(dǎo)書測評指導(dǎo)書的基礎(chǔ)。現(xiàn)場單元測評實(shí)施內(nèi)容表格描述的基本格式之一為：

6.2.5 測評指導(dǎo)書開發(fā) 測評指導(dǎo)書是具體指導(dǎo)測評人員如何進(jìn)行測評活動的文件，是現(xiàn)場測評的工具、方法和操作步驟等的詳細(xì)描述，是保證測評活動可以重現(xiàn)的根本。因此，測評指導(dǎo)書應(yīng)當(dāng)盡可能詳盡、充分。輸入：測評方案的測試工具接入點(diǎn)、單元測評實(shí)施部分。任務(wù)描述：

a)描述單個測評對象，包括測評對象的名稱、IP地址、用途、管理人員等信息。b)根據(jù)GB/T DDDD-DDDD的單元測評實(shí)施確定測評活動，包括測評項(xiàng)、測評方法、操作步驟和預(yù)期結(jié)果等四部分。

測評項(xiàng)是指GB/T 22239-2008中對該測評對象在該用例中的要求，在GB/T DDDD-DDDD中對應(yīng)每個測評單元中的“測評指標(biāo)”的具體要求項(xiàng)。測評方法是指訪談、檢查和測試三種方法，具體到測評對象上可細(xì)化為文檔審查、配置檢查、工具測試和實(shí)地察看等多種方法，每個測評項(xiàng)可能對應(yīng)多個測評方法。操作步驟是指在現(xiàn)場測評活動中應(yīng)執(zhí)行的命令或步驟，是按照GB/TDDDD-DDDD中的每個“測評實(shí)施”項(xiàng)目開發(fā)的操作步驟，涉及到工具測試時，應(yīng)描述工具測試路徑及接入點(diǎn)等；預(yù)期結(jié)果是指按照操作步驟在正常的情況下應(yīng)得到的結(jié)果和獲取的證據(jù)。

c)單元測評一般以表格形式設(shè)計(jì)和描述測評項(xiàng)、測評方法、操作步驟和預(yù)期結(jié)果等內(nèi)容。整體測評則一般以文字描述的方式表述，可以以測評用例的方式進(jìn)行組織。

單元測評的測評指導(dǎo)書描述的基本格式為：

輸出/產(chǎn)品：測評指導(dǎo)書，測評結(jié)果記錄表格。6.2.6 測評方案編制

測評方案是等級測評工作實(shí)施的基礎(chǔ)，指導(dǎo)等級測評工作的現(xiàn)場實(shí)施活動。測評方案應(yīng)包括但不局限于以下內(nèi)容：項(xiàng)目概述、測評對象、測評指標(biāo)、測評工具的接入點(diǎn)以及單元測 評實(shí)施等。

輸入：委托測評協(xié)議書，填好的調(diào)研表格，GB/T 22239-2008中相應(yīng)等級的基本要求，測評方案的測評對象、測評指標(biāo)、測試工具接入點(diǎn)、測評內(nèi)容部分。任務(wù)描述：

a)根據(jù)委托測評協(xié)議書和填好的調(diào)研表格，提取項(xiàng)目來源、測評委托單位整體信息化建設(shè)情況及被測系統(tǒng)與單位其他系統(tǒng)之間的連接情況等。

b)根據(jù)等級保護(hù)過程中的等級測評實(shí)施要求，將測評活動所依據(jù)的標(biāo)準(zhǔn)羅列出來。

c)依據(jù)委托測評協(xié)議書和被測系統(tǒng)情況，估算現(xiàn)場測評工作量。工作量可以根據(jù)配置檢查的節(jié)點(diǎn)數(shù)量和工具測試的接入點(diǎn)及測試內(nèi)容等情況進(jìn)行估算。d)根據(jù)測評項(xiàng)目組成員安排，編制工作安排情況。

e)根據(jù)以往測評經(jīng)驗(yàn)以及被測系統(tǒng)規(guī)模，編制具體測評計(jì)劃，包括現(xiàn)場工作人員的分工和時間安排。在進(jìn)行時間計(jì)劃安排時，應(yīng)盡量避開被測系統(tǒng)的業(yè)務(wù)高峰期，避免給被測系統(tǒng)帶來影響。同時，在測評計(jì)劃中應(yīng)將具體測評所需條件以及測評需要的配合人員也一并給出，便于測評實(shí)施之前雙方溝通協(xié)調(diào)、合理安排。f)匯總上述內(nèi)容及方案編制活動的其他任務(wù)獲取的內(nèi)容形成測評方案文稿。

g)評審和提交測評方案。測評方案初稿應(yīng)通過測評項(xiàng)目組全體成員評審，修改完成后形成提交稿。然后，測評機(jī)構(gòu)將測評方案提交給測評委托單位簽字認(rèn)可。

輸出/產(chǎn)品：經(jīng)過評審和確認(rèn)的測評方案文本。6.3 方案編制活動的輸出文檔

方案編制活動的輸出文檔及其內(nèi)容如表5所示：

6.4 方案編制活動中雙方的職責(zé) 測評機(jī)構(gòu)職責(zé)：

a)詳細(xì)分析被測系統(tǒng)的整體結(jié)構(gòu)、邊界、網(wǎng)絡(luò)區(qū)域、重要節(jié)點(diǎn)等。b)初步判斷被測系統(tǒng)的安全薄弱點(diǎn)。

c)分析確定測評對象、測評指標(biāo)和測試工具接入點(diǎn)，確定測評內(nèi)容及方法。d)編制測評方案文本，并對其內(nèi)部評審，并提交被測機(jī)構(gòu)簽字確認(rèn)。

測評委托單位職責(zé)：

a)對測評方案進(jìn)行認(rèn)可，并簽字確認(rèn)?，F(xiàn)場測評活動

7.1 現(xiàn)場測評活動的工作流程

現(xiàn)場測評活動通過與測評委托單位進(jìn)行溝通和協(xié)調(diào)，為現(xiàn)場測評的順利開展打下良好基礎(chǔ)，然后依據(jù)測評方案實(shí)施現(xiàn)場測評工作，將測評方案和測評工具等具體落實(shí)到現(xiàn)場測評活動中。現(xiàn)場測評工作應(yīng)取得分析與報告編制活動所需的、足夠的證據(jù)和資料。

現(xiàn)場測評活動包括現(xiàn)場測評準(zhǔn)備、現(xiàn)場測評和結(jié)果記錄、結(jié)果確認(rèn)和資料歸還三項(xiàng)主要任務(wù)。這三項(xiàng)任務(wù)的基本工作流程見圖3：

7.2 現(xiàn)場測評活動的主要任務(wù) 7.2.1 現(xiàn)場測評準(zhǔn)備

本任務(wù)啟動現(xiàn)場測評，是保證測評機(jī)構(gòu)能夠順利實(shí)施測評的前提。輸入：現(xiàn)場測評授權(quán)書，測評方案。任務(wù)描述：

a)測評委托單位簽署現(xiàn)場測評授權(quán)書。

b)召開測評現(xiàn)場首次會，測評機(jī)構(gòu)介紹測評工作，交流測評信息，進(jìn)一步明確測評計(jì)劃和方案中的內(nèi)容，說明測評過程中具體的實(shí)施工作內(nèi)容，測評時間安排等，以便于后面的測評工作開展。

c)測評雙方確認(rèn)現(xiàn)場測評需要的各種資源，包括測評委托單位的配合人員和需要提供的測評條件等，確認(rèn)被測系統(tǒng)已備份過系統(tǒng)及數(shù)據(jù)。

d)測評人員根據(jù)會議溝通結(jié)果，對測評結(jié)果記錄表單和測評程序進(jìn)行必要的更新。

輸出/產(chǎn)品：會議記錄，更新后的測評計(jì)劃和測評程序，確認(rèn)的測評授權(quán)書等。7.2.2 現(xiàn)場測評和結(jié)果記錄

現(xiàn)場測評一般包括訪談、文檔審查、配置檢查、工具測試和實(shí)地察看五個方面。7.2.2.1 訪談

輸入：測評指導(dǎo)書，技術(shù)安全和管理安全測評的測評結(jié)果記錄表格。任務(wù)描述：

a)測評人員與被測系統(tǒng)有關(guān)人員（個人/群體）進(jìn)行交流、討論等活動，獲取相關(guān)證據(jù)，了解有關(guān)信息。在訪談范圍上，不同等級信息系統(tǒng)在測評時有不同的要求，一般應(yīng)基本覆蓋所有的安全相關(guān)人員類型，在數(shù)量上可以抽樣。具體可參照GB/T DDDD-DDDD中的各級要求。

輸出/產(chǎn)品：技術(shù)安全和管理安全測評的測評結(jié)果記錄或錄音。7.2.2.2 文檔審查

輸入：安全方針文件，安全管理制度，安全管理的執(zhí)行過程文檔，系統(tǒng)設(shè)計(jì)方案，網(wǎng)絡(luò)設(shè)備的技術(shù)資料，系統(tǒng)和產(chǎn)品的實(shí)際配置說明，系統(tǒng)的各種運(yùn)行記錄文檔，機(jī)房建設(shè)相關(guān)資料，機(jī)房出入記錄等過程記錄文檔，測評指導(dǎo)書，管理安全測評的測評結(jié)果記錄表格。任務(wù)描述：

a)檢查GB/T 22239-2008中規(guī)定的必須具有的制度、策略、操作規(guī)程等文檔是否齊備。

b)檢查是否有完整的制度執(zhí)行情況記錄，如機(jī)房出入登記記錄、電子記錄、高等級系統(tǒng)的關(guān)鍵設(shè)備的使用登記記錄等。

c)對上述文檔進(jìn)行審核與分析，檢查他們的完整性和這些文件之間的內(nèi)部一致性。

下面列出對不同等級信息系統(tǒng)在測評實(shí)施時的不同強(qiáng)度要求。一級：滿足GB/T 22239-2008中的一級要求。

二級：滿足GB/T 22239-2008中的二級要求，并且所有文檔之間應(yīng)保持一致性，要求有執(zhí)行過程記錄的，過程記錄文檔的記錄內(nèi)容應(yīng)與相應(yīng)的管理制度和文檔保持一致，與實(shí)際情況保持一致。

三級：滿足GB/T 22239-2008中的三級要求，所有文檔應(yīng)具備且完整，并且所有文檔之間應(yīng)保持一致性，要求有執(zhí)行過程記錄的，過程記錄文檔的記錄內(nèi)容應(yīng)與相應(yīng)的管理制度和文檔保持一致，與實(shí)際情況保持一致，安全管理過程應(yīng)與系統(tǒng)設(shè)計(jì)方案保持一致且能夠有效管理系統(tǒng)。

四級：滿足GB/T 22239-2008中的四級要求，所有文檔應(yīng)具備且完整，并且所有文檔之間應(yīng)保持一致性，要求有執(zhí)行過程記錄的，過程記錄文檔的記錄內(nèi)容應(yīng)與相應(yīng)的管理制度和文檔保持一致，與實(shí)際情況保持一致，安全管理過程應(yīng)與系統(tǒng)設(shè)計(jì)方案保持一致且能夠有效管理系統(tǒng)。輸出/產(chǎn)品：管理安全測評的測評結(jié)果記錄。7.2.2.3 配置檢查

輸入：測評指導(dǎo)書，技術(shù)安全測評的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測評結(jié)果記錄表格。任務(wù)描述：

a)根據(jù)測評結(jié)果記錄表格內(nèi)容，利用上機(jī)驗(yàn)證的方式檢查應(yīng)用系統(tǒng)、主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及網(wǎng)絡(luò)設(shè)備的配置是否正確，是否與文檔、相關(guān)設(shè)備和部件保持一致，對文檔審核的內(nèi)容進(jìn)行核實(shí)（包括日志審計(jì)等）。b)如果系統(tǒng)在輸入無效命令時不能完成其功能，將要對其進(jìn)行錯誤測試。c)針對網(wǎng)絡(luò)連接，應(yīng)對連接規(guī)則進(jìn)行驗(yàn)證。

下面列出對不同等級信息系統(tǒng)在測評實(shí)施時的不同強(qiáng)度要求。一級：滿足GB/T 22239-2008中的一級要求。

二級：滿足GB/T 22239-2008中的二級要求，測評其實(shí)施的正確性和有效性，檢查配置的完整性，測試網(wǎng)絡(luò)連接規(guī)則的一致性。

三級：滿足GB/T 22239-2008中的三級要求，測評其實(shí)施的正確性和有效性，檢查配置的完整性，測試網(wǎng)絡(luò)連接規(guī)則的一致性，測試系統(tǒng)是否達(dá)到可用性和可靠性的要求。

四級：滿足GB/T 22239-2008中的四級要求，測評其實(shí)施的正確性和有效性，檢查配置的完整性，測試網(wǎng)絡(luò)連接規(guī)則的一致性，測試系統(tǒng)是否達(dá)到可用性和可靠性的要求。輸出/產(chǎn)品：技術(shù)安全測評的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測評結(jié)果記錄。7.2.2.4 工具測試

輸入：測評指導(dǎo)書，技術(shù)安全測評的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測評結(jié)果記錄表格。任務(wù)描述：

a)根據(jù)測評指導(dǎo)書，利用技術(shù)工具對系統(tǒng)進(jìn)行測試，包括基于網(wǎng)絡(luò)探測和基于主機(jī)審計(jì)的漏洞掃描、滲透性測試、性能測試、入侵檢測和協(xié)議分析等。b)備份測試結(jié)果。

下面列出對不同等級信息系統(tǒng)在測評實(shí)施時的不同強(qiáng)度要求。

一級：滿足GB/T 22239-2008中的一級要求。

二級：滿足GB/T 22239-2008中的二級要求，針對主機(jī)、服務(wù)器、關(guān)鍵網(wǎng)絡(luò)設(shè)備、安全設(shè)備等設(shè)備進(jìn)行漏洞掃描等。

三級：滿足GB/T 22239-2008中的三級要求，針對主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等設(shè)備進(jìn)行漏洞掃描，針對應(yīng)用系統(tǒng)完整性和保密性要求進(jìn)行協(xié)議分析，滲透測試應(yīng)包括基于一般脆弱性的內(nèi)部和外部滲透攻擊。

四級：滿足GB/T 22239-2008中的四級要求，針對主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等設(shè)備進(jìn)行漏洞掃描，針對應(yīng)用系統(tǒng)完整性和保密性要求進(jìn)行協(xié)議分析，滲透測試應(yīng)包括基于一般脆弱性的內(nèi)部和外部滲透攻擊。

輸出/產(chǎn)品：技術(shù)安全測評的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測評結(jié)果記錄，工具測試完成后的電子輸出記錄，備份的測試結(jié)果文件。7.2.2.5 實(shí)地察看

輸入：測評指導(dǎo)書，技術(shù)安全測評的物理安全和管理安全測評結(jié)果記錄表格。任務(wù)描述：

a)根據(jù)被測系統(tǒng)的實(shí)際情況，測評人員到系統(tǒng)運(yùn)行現(xiàn)場通過實(shí)地的觀察人員行為、技術(shù)設(shè)施和物理環(huán)境狀況判斷人員的安全意識、業(yè)務(wù)操作、管理程序和系統(tǒng)物理環(huán)境等方面的安全情況，測評其是否達(dá)到了相應(yīng)等級的安全要求。

下面列出對不同等級信息系統(tǒng)在測評實(shí)施時的不同強(qiáng)度要求。一級：滿足GB/T 22239-2008中的一級要求。二級：滿足GB/T 22239-2008中的二級要求。

三級：滿足GB/T 22239-2008中的三級要求，判斷實(shí)地觀察到的情況與制度和文檔中說明的情況是否一致，檢查相關(guān)設(shè)備、設(shè)施的有效性和位置的正確性，與系統(tǒng)設(shè)計(jì)方案的一致性。

四級：滿足GB/T 22239-2008中的四級要求，判斷實(shí)地觀察到的情況與制度和文檔中說明的情況是否一致，檢查相關(guān)設(shè)備、設(shè)施的有效性和位置的正確性，與系統(tǒng)設(shè)計(jì)方案的一致性。輸出/產(chǎn)品：技術(shù)安全測評的物理安全和管理安全測評結(jié)果記錄。7.2.3 結(jié)果確認(rèn)和資料歸還

輸入：測評結(jié)果記錄，工具測試完成后的電子輸出記錄。任務(wù)描述：

a)測評人員在現(xiàn)場測評完成之后，應(yīng)首先匯總現(xiàn)場測評的測評記錄，對漏掉和需要進(jìn)一步驗(yàn)證的內(nèi)容實(shí)施補(bǔ)充測評。

b)召開測評現(xiàn)場結(jié)束會，測評雙方對測評過程中發(fā)現(xiàn)的問題進(jìn)行現(xiàn)場確認(rèn)。

c)測評機(jī)構(gòu)歸還測評過程中借閱的所有文檔資料，并由測評委托單位文檔資料提供者簽字確認(rèn)。

輸出/產(chǎn)品：現(xiàn)場測評中發(fā)現(xiàn)的問題匯總，證據(jù)和證據(jù)源記錄，測評委托單位的書面認(rèn)可文件。

7.3 現(xiàn)場測評活動的輸出文檔

現(xiàn)場測評活動的輸出文檔及其內(nèi)容如表6所示：

7.4 現(xiàn)場測評活動中雙方的職責(zé) 測評機(jī)構(gòu)職責(zé)：

a)利用訪談、文檔審查、配置檢查、工具測試和實(shí)地察看的方法測評被測系統(tǒng)的保護(hù)措施情況，并獲取相關(guān)證據(jù)。

測評委托單位職責(zé)：

a)測評前備份系統(tǒng)和數(shù)據(jù)，并確認(rèn)被測設(shè)備狀態(tài)完好。b)協(xié)調(diào)被測系統(tǒng)內(nèi)部相關(guān)人員的關(guān)系，配合測評工作的開展。c)簽署現(xiàn)場測評授權(quán)書。

d)相關(guān)人員回答測評人員的問詢，對某些需要驗(yàn)證的內(nèi)容上機(jī)進(jìn)行操作。

e)相關(guān)人員確認(rèn)測試前協(xié)助測評人員實(shí)施工具測試并提供有效建議，降低安全測評對系統(tǒng)運(yùn)行的影響。f)相關(guān)人員協(xié)助測評人員完成業(yè)務(wù)相關(guān)內(nèi)容的問詢、驗(yàn)證和測試。g)相關(guān)人員對測評結(jié)果進(jìn)行確認(rèn)。h)相關(guān)人員確認(rèn)測試后被測設(shè)備狀態(tài)完好。分析與報告編制活動

8.1 分析與報告編制活動的工作流程

在現(xiàn)場測評工作結(jié)束后，測評機(jī)構(gòu)應(yīng)對現(xiàn)場測評獲得的測評結(jié)果（或稱測評證據(jù)）進(jìn)行匯總分析，形成等級測評結(jié)論，并編制測評報告。

測評人員在初步判定單元測評結(jié)果后，還需進(jìn)行整體測評，經(jīng)過整體測評后，有的單元測評結(jié)果可能會有所變化，需進(jìn)一步修訂單元測評結(jié)果，而后進(jìn)行風(fēng)險分析和評價，形成等級測評結(jié)論。分析與報告編制活動包括單項(xiàng)測評結(jié)果判定、單元測評結(jié)果判定、整體測評、風(fēng)險分析、等級測評結(jié)論形成及測評報告編制六項(xiàng)主要任務(wù)。這六項(xiàng)任務(wù)的基本工作流程見圖4：

8.2 分析與報告編制活動的主要任務(wù) 8.2.1 單項(xiàng)測評結(jié)果判定

本任務(wù)主要是針對測評指標(biāo)中的單個測評項(xiàng)，結(jié)合具體測評對象，客觀、準(zhǔn)確地分析測評證據(jù)，形成初步單項(xiàng)測評結(jié)果，單項(xiàng)測評結(jié)果是形成等級測評結(jié)論的基礎(chǔ)。輸入：技術(shù)安全和管理安全的單項(xiàng)測評結(jié)果記錄，測評指導(dǎo)書。任務(wù)描述：

a)針對每個測評項(xiàng)，分析該測評項(xiàng)所對抗的威脅在被測系統(tǒng)中是否存在，如果不存在，則該測評項(xiàng)應(yīng)標(biāo)為不適用項(xiàng)。

b)分析單個測評項(xiàng)是否有多方面的要求內(nèi)容，針對每一方面的要求內(nèi)容，從一個或多個測評證據(jù)中選擇出“優(yōu)勢證據(jù)”，并將“優(yōu)勢證據(jù)”與要求內(nèi)容的預(yù)期測評結(jié)果相比較。

c)如果測評證據(jù)表明所有要求內(nèi)容與預(yù)期測評結(jié)果一致，則判定該測評項(xiàng)的單項(xiàng)測評結(jié)果為符合；如果測評證據(jù)表明所有要求內(nèi)容與預(yù)期測評結(jié)果不一致，判定該測評項(xiàng)的單項(xiàng)測評結(jié)果為不符合；否則判定該測評項(xiàng)的單項(xiàng)測評結(jié)果為部分符合。

根據(jù)“優(yōu)勢證據(jù)”的定義，具體從測評方式上來看，針對物理安全測評，實(shí)地察看證據(jù)相比文檔審查證據(jù)為優(yōu)勢證據(jù)，文檔審查證據(jù)相比訪談證據(jù)為優(yōu)勢證據(jù)；針對技術(shù)安全的其他方面測評，工具測試證據(jù)相比配置檢查證據(jù)為優(yōu)勢證據(jù)，配置檢查證據(jù)相比訪談證據(jù)為優(yōu)勢證據(jù)；針對管理安全測評，優(yōu)勢證據(jù)不確定，需根據(jù)實(shí)際情況分析確定優(yōu)勢證據(jù)。

輸出/產(chǎn)品：測評報告的單元測評的結(jié)果記錄部分。8.2.2 單元測評結(jié)果判定

本任務(wù)主要是將單項(xiàng)測評結(jié)果進(jìn)行匯總，分別統(tǒng)計(jì)不同測評對象的單項(xiàng)測評結(jié)果，從而判定單元測評結(jié)果，并以表格的形式逐一列出。

輸入：測評報告的單元測評的結(jié)果記錄部分。任務(wù)描述：

a)按層面分別匯總不同測評對象對應(yīng)測評指標(biāo)的單項(xiàng)測評結(jié)果情況，包括測評多少項(xiàng)，符合要求的多少項(xiàng)等內(nèi)容，一般以表格形式列出。

匯總統(tǒng)計(jì)分析的基本表格形式可以如下：

注：“.”表示“符合”，“.”表示部分符合，“×”表示“不符合”，“N/A”表示“不適用”。

上表中的符號即為測評對象對應(yīng)的單元測評結(jié)果。測評對象在某個測評指標(biāo)的單元測評結(jié)果判別原則如下：

1． 測評指標(biāo)包含的所有適用測評項(xiàng)的單項(xiàng)測評結(jié)果均為符合，則該測評對象對應(yīng)該測評指標(biāo)的單元測評結(jié)果為符合；

2． 測評指標(biāo)包含的所有適用測評項(xiàng)的單項(xiàng)測評結(jié)果均為不符合，則該測評對象對應(yīng)該測評指標(biāo)的單元測評結(jié)果為不符合；

3． 測評指標(biāo)包含的所有測評項(xiàng)均為不適用項(xiàng)，則該測評對象對應(yīng)該測評指標(biāo)的單元測評結(jié)果為不適用； 4． 測評指標(biāo)包含的所有適用測評項(xiàng)的單項(xiàng)測評結(jié)果不全為符合或不符合，則該測評對象對應(yīng)該測評指標(biāo)的單元測評結(jié)果為部分符合。

輸出/產(chǎn)品：測評報告的單元測評的結(jié)果匯總部分。

8.2.3 整體測評

針對單項(xiàng)測評結(jié)果的不符合項(xiàng)，采取逐條判定的方法，從安全控制間、層面間和區(qū)域間出發(fā)考慮，給出整體測評的具體結(jié)果，并對系統(tǒng)結(jié)構(gòu)進(jìn)行整體安全測評。輸入：測評報告的單元測評的結(jié)果匯總部分。任務(wù)描述：

a)針對測評對象“部分符合”及“不符合”要求的單個測評項(xiàng)，分析與該測評項(xiàng)相關(guān)的其他測評項(xiàng)能否和它發(fā)生關(guān)聯(lián)關(guān)系，發(fā)生什么樣的關(guān)聯(lián)關(guān)系，這些關(guān)聯(lián)關(guān)系產(chǎn)生的作用是否可以“彌補(bǔ)”該測評項(xiàng)的不足，以及該測評項(xiàng)的不足是否會影響與其有關(guān)聯(lián)關(guān)系的其他測評項(xiàng)的測評結(jié)果。b)針對測評對象“部分符合”及“不符合”要求的單個測評項(xiàng)，分析與該測評項(xiàng)相關(guān)的其他層面的測評對象能否和它發(fā)生關(guān)聯(lián)關(guān)系，發(fā)生什么樣的關(guān)聯(lián)關(guān)系，這些關(guān)聯(lián)關(guān)系產(chǎn)生的作用是否可以“彌補(bǔ)”該測評項(xiàng)的不足，以及該測評項(xiàng)的不足是否會影響與其有關(guān)聯(lián)關(guān)系的其他測評項(xiàng)的測評結(jié)果。

c)針對測評對象“部分符合”及“不符合”要求的單個測評項(xiàng)，分析與該測評項(xiàng)相關(guān)的其他區(qū)域的測評對象能否和它發(fā)生關(guān)聯(lián)關(guān)系，發(fā)生什么樣的關(guān)聯(lián)關(guān)系，這些關(guān)聯(lián)關(guān)系產(chǎn)生的作用是否可以“彌補(bǔ)”該測評項(xiàng)的不足，以及該測評項(xiàng)的不足是否會影響與其有關(guān)聯(lián)關(guān)系的其他測評項(xiàng)的測評結(jié)果。

d)從安全角度分析被測系統(tǒng)整體結(jié)構(gòu)的安全性，從系統(tǒng)角度分析被測系統(tǒng)整體安全防范的合理性。e)匯總上述分析結(jié)論，形成表格。

表格基本形式如下：

輸出/產(chǎn)品：測評報告的整體測評部分。8.2.4 風(fēng)險分析

測評人員依據(jù)等級保護(hù)的相關(guān)規(guī)范和標(biāo)準(zhǔn)，采用風(fēng)險分析的方法分析等級測評結(jié)果中存在的安全問題可能對被測系統(tǒng)安全造成的影響。

輸入：填好的調(diào)查表格，測評報告的單元測評的結(jié)果匯總及整體測評部分。任務(wù)描述：

a)結(jié)合單元測評的結(jié)果匯總和整體測評結(jié)果，將物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全等層面中各個測評對象的測評結(jié)果再次匯總分析，統(tǒng)計(jì)符合情況。一般可以表格的形式描述。

表格的基本形式可以如下：

b)判斷測評結(jié)果匯總中部分符合項(xiàng)或不符合項(xiàng)所產(chǎn)生的安全問題被威脅利用的可能性，可能性的取值范圍為高、中和低。

c)判斷測評結(jié)果匯總中部分符合項(xiàng)或不符合項(xiàng)所產(chǎn)生的安全問題被威脅利用后，對被測系統(tǒng)的業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全造成的影響程度，影響程度取值范圍為高、中和低。

d)綜合b）和c）的結(jié)果，對被測系統(tǒng)面臨的安全風(fēng)險進(jìn)行賦值，風(fēng)險值的取值范圍為高、中和低。e)結(jié)合被測系統(tǒng)的安全保護(hù)等級對風(fēng)險分析結(jié)果進(jìn)行評價，即對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益造成的風(fēng)險。

輸出：測評報告的測評結(jié)果匯總及風(fēng)險分析和評價部分。8.2.5 等級測評結(jié)論形成

測評人員在測評結(jié)果匯總的基礎(chǔ)上，找出系統(tǒng)保護(hù)現(xiàn)狀與等級保護(hù)基本要求之間的差距，并形成等級測評結(jié)論。

輸入：測評報告的測評結(jié)果匯總部分。任務(wù)描述：

a)根據(jù)表9測評結(jié)果匯總表格，如果部分符合和不符合項(xiàng)的統(tǒng)計(jì)結(jié)果不全為0，則該信息系統(tǒng)未達(dá)到相應(yīng)等級的基本安全保護(hù)能力；如果部分符合和不符合項(xiàng)的統(tǒng)計(jì)結(jié)果全為0，則該信息系統(tǒng)達(dá)到了相應(yīng)等級的基本安全保護(hù)能力。

輸出/產(chǎn)品：測評報告的等級測評結(jié)論部分。8.2.6 測評報告編制

測評報告應(yīng)包括但不局限于以下內(nèi)容：概述、被測系統(tǒng)描述、測評對象說明、測評指標(biāo)說明、測評內(nèi)容和方法說明、單元測評、整體測評、測評結(jié)果匯總、風(fēng)險分析和評價、等級測評結(jié)論、整改建議等。其中，概述部分描述被測系統(tǒng)的總體情況、本次測評的主要測評目的和依據(jù)；被測系統(tǒng)描述、測評對象、測評指標(biāo)、測評內(nèi)容和方法等部分內(nèi)容編制時可以參考測評方案相關(guān)部分內(nèi)容，有改動的地方應(yīng)根據(jù)實(shí)際測評情況進(jìn)行修改。

輸入：測評方案，單元測評的結(jié)果記錄和結(jié)果匯總部分，整體測評部分，風(fēng)險分析和評價部分、等級測評結(jié)論部分。任務(wù)描述：

a)測評人員整理前面幾項(xiàng)任務(wù)的輸出/產(chǎn)品，編制測評報告相應(yīng)部分。一個測評委托單位應(yīng)形成一份測評報告，如果一個測評委托單位內(nèi)有多個被測系統(tǒng)，報告中應(yīng)分別描述每一個被測系統(tǒng)的等級測評情況。b)針對被測系統(tǒng)存在的安全隱患，從系統(tǒng)安全角度提出相應(yīng)的改進(jìn)建議，編制測評報告的安全建設(shè)整改建議部分。

c)列表給出現(xiàn)場測評的文檔清單和單項(xiàng)測評記錄，以及對各個測評項(xiàng)的單項(xiàng)測評結(jié)果判定情況，編制測評報告的單元測評的結(jié)果記錄和問題分析部分。

d)測評報告編制完成后，測評機(jī)構(gòu)應(yīng)根據(jù)測評協(xié)議書、測評委托單位提交的相關(guān)文檔、測評原始記錄和其他輔助信息，對測評報告進(jìn)行評審。

e)評審?fù)ㄟ^后，由項(xiàng)目負(fù)責(zé)人簽字確認(rèn)并提交給測評委托單位。

輸出/產(chǎn)品：經(jīng)過評審和確認(rèn)的被測系統(tǒng)等級測評報告。8.3 分析與報告編制活動的輸出文檔

分析與報告編制活動的輸出文檔及其內(nèi)容如表10所示：

8.4 分析與報告編制活動中雙方的職責(zé) 測評機(jī)構(gòu)職責(zé)：

a)分析并判定單項(xiàng)測評結(jié)果和整體測評結(jié)果。b)分析評價被測系統(tǒng)存在的風(fēng)險情況。c)根據(jù)測評結(jié)果形成等級測評結(jié)論。

d)編制等級測評報告，說明系統(tǒng)存在的安全隱患和缺陷，并給出改進(jìn)建議。e)評審等級測評報告，并將評審過的等級測評報告按照分發(fā)范圍進(jìn)行分發(fā)。f)將生成的過程文檔歸檔保存，并將測評過程中生成的電子文檔清除。

測評委托單位職責(zé)： a)簽收測評報告。

附錄A（資料性附錄）等級測評工作流程

受委托測評機(jī)構(gòu)實(shí)施的等級測評工作活動及流程與運(yùn)營、使用單位的自查活動及流程會有所差異，初次等級測評和再次等級測評的工作活動及流程也不完全相同，而且針對不同等級信息系統(tǒng)實(shí)施的等級測評工作活動及流程也不相同。

受委托測評機(jī)構(gòu)對信息系統(tǒng)的初次等級測評可以分為四項(xiàng)活動：測評準(zhǔn)備活動、方案編制活動、現(xiàn)場測評活動、分析與報告編制活動。具體如圖5所示：

上圖是對受委托測評機(jī)構(gòu)對信息系統(tǒng)實(shí)施初次等級測評的基本工作流程。如果被測系統(tǒng)已經(jīng)實(shí)施過一次（或多次）等級測評，上圖中的四個活動保持不變，但是具體任務(wù)內(nèi)容會有所變化。測評機(jī)構(gòu)和測評人員可以根據(jù)上一次等級測評中存在的問題和被測系統(tǒng)的實(shí)際情況調(diào)整部分工作任務(wù)內(nèi)容。例如，信息收集和分析任務(wù)中，可以只收集那些自上次等級測評后有所變更的信息，其他信息可以重用上次等級測評結(jié)果；測評對象盡量選擇上次等級測評中未測過或存在問題的作為測評對象；測評內(nèi)容也應(yīng)關(guān)注上次等級測評中發(fā)現(xiàn)的問題。不同等級信息系統(tǒng)的等級測評的基本工作活動與圖5中信息系統(tǒng)的等級測評活動應(yīng)完全一致，即：測評準(zhǔn)備、方案編制、現(xiàn)場測評、分析與報告編制四項(xiàng)活動。由于圖5給出的是較為全面的工作流程和任務(wù)，因此，較低等級信息系統(tǒng)的等級測評的各個活動的具體工作任務(wù)應(yīng)在圖5基礎(chǔ)上刪除或簡化部分內(nèi)容。如針對二級信息系統(tǒng)的等級測評，測評人員在分析與報告編制活動中可以不進(jìn)行單項(xiàng)測評結(jié)果匯總分析，僅進(jìn)行簡單的匯總等。相反，較高等級信息系統(tǒng)的等級測評的工作任務(wù)則可以在此基礎(chǔ)上增加或細(xì)化部分內(nèi)容。如針對四級信息系統(tǒng)的等級測評，在測評對象確定任務(wù)中，不但需要確定出測評對象，還需給出選擇這些測評對象的過程及理由等；整體測評需設(shè)計(jì)具體的整體測評實(shí)例等。

附錄B

（資料性附錄）測評對象確定方法 B.1 測評對象確定原則和方法

測評對象是等級測評的直接工作對象，也是在被測系統(tǒng)中實(shí)現(xiàn)特定測評指標(biāo)所對應(yīng)的安全功能的具體系統(tǒng)組件，因此，選擇測評對象是編制測評方案的必要步驟，也是整個測評工作的重要環(huán)節(jié)。恰當(dāng)選擇測評對象的種類和數(shù)量是整個等級測評工作能夠獲取足夠證據(jù)、了解到被測系統(tǒng)的真實(shí)安全保護(hù)狀況的重要保證。

測評對象的確定一般采用抽查的方法，即：抽查信息系統(tǒng)中具有代表性的組件作為測評對象。并且，在測評對象確定任務(wù)中應(yīng)兼顧工作投入與結(jié)果產(chǎn)出兩者的平衡關(guān)系。在確定測評對象時，需遵循以下原則：

1． 恰當(dāng)性，選擇的設(shè)備、軟件系統(tǒng)等應(yīng)能滿足相應(yīng)等級的測評強(qiáng)度要求； 2． 重要性，應(yīng)抽查對被測系統(tǒng)來說重要的服務(wù)器、數(shù)據(jù)庫和網(wǎng)絡(luò)設(shè)備等； 3． 安全性，應(yīng)抽查對外暴露的網(wǎng)絡(luò)邊界；

4． 共享性，應(yīng)抽查共享設(shè)備和數(shù)據(jù)交換平臺/設(shè)備；

5． 代表性，抽查應(yīng)盡量覆蓋系統(tǒng)各種設(shè)備類型、操作系統(tǒng)類型、數(shù)據(jù)庫系統(tǒng)類型和應(yīng)用系統(tǒng)類型。

B.2 具體確定方法說明 B.2.1 第一級信息系統(tǒng)

第一級信息系統(tǒng)的等級測評，測評對象的種類和數(shù)量比較少，重點(diǎn)抽查關(guān)鍵的設(shè)備、設(shè)施、人員和文檔等?？梢猿椴榈臏y評對象種類主要考慮以下幾個方面：

1． 主機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等），如果某一輔機(jī)房中放置了服務(wù)于整個信息系統(tǒng)或?qū)π畔⑾到y(tǒng)的安全性起決定作用的設(shè)備、設(shè)施，那么也應(yīng)該作為測評對象； 2． 整個系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；

3． 安全設(shè)備，包括防火墻、入侵檢測設(shè)備、防病毒網(wǎng)關(guān)等；

4． 邊界網(wǎng)絡(luò)設(shè)備（可能會包含安全設(shè)備），包括路由器、防火墻和認(rèn)證網(wǎng)關(guān)等； 5． 對整個信息系統(tǒng)的安全性起決定作用的網(wǎng)絡(luò)互聯(lián)設(shè)備，如核心交換機(jī)、路由器等； 6． 承載最能夠代表被測系統(tǒng)使命的業(yè)務(wù)或數(shù)據(jù)的核心服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）； 7． 最能夠代表被測系統(tǒng)使命的重要業(yè)務(wù)應(yīng)用系統(tǒng)； 8． 信息安全主管人員；

9． 涉及到信息系統(tǒng)安全的主要管理制度和記錄，包括進(jìn)出機(jī)房的登記記錄、信息系統(tǒng)相關(guān)設(shè)計(jì)驗(yàn)收文檔等。

在本級信息系統(tǒng)測評時，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備以及服務(wù)器應(yīng)至少抽查一臺作為測評對象。B.2.2 第二級信息系統(tǒng)

第二級信息系統(tǒng)的等級測評，測評對象的種類和數(shù)量都較多，重點(diǎn)抽查重要的設(shè)備、設(shè)施、人員和文檔等?？梢猿椴榈臏y評對象種類主要考慮以下幾個方面：

1． 主機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等），如果某一輔機(jī)房中放置了服務(wù)于整個信息系統(tǒng)或?qū)π畔⑾到y(tǒng)的安全性起決定作用的設(shè)備、設(shè)施，那么也應(yīng)該作為測評對象； 2． 存儲被測系統(tǒng)重要數(shù)據(jù)的介質(zhì)的存放環(huán)境； 3． 整個系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；

4． 安全設(shè)備，包括防火墻、入侵檢測設(shè)備、防病毒網(wǎng)關(guān)等；

5． 邊界網(wǎng)絡(luò)設(shè)備（可能會包含安全設(shè)備），包括路由器、防火墻和認(rèn)證網(wǎng)關(guān)等；

6． 對整個信息系統(tǒng)或其局部的安全性起決定作用的網(wǎng)絡(luò)互聯(lián)設(shè)備，如核心交換機(jī)、匯聚層交換機(jī)、核心路由器等；

7． 承載被測系統(tǒng)核心或重要業(yè)務(wù)、數(shù)據(jù)的服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）； 8． 重要管理終端；

9． 能夠代表被測系統(tǒng)主要使命的業(yè)務(wù)應(yīng)用系統(tǒng)； 10． 信息安全主管人員、各方面的負(fù)責(zé)人員； 11． 涉及到信息系統(tǒng)安全的所有管理制度和記錄。

在本級信息系統(tǒng)測評時，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備以及服務(wù)器應(yīng)至少抽查兩臺作為測評對象。B.2.3 第三級信息系統(tǒng)

第三級信息系統(tǒng)的等級測評，測評對象種類上基本覆蓋、數(shù)量進(jìn)行抽樣，重點(diǎn)抽查主要的設(shè)備、設(shè)施、人員和文檔等。可以抽查的測評對象種類主要考慮以下幾個方面：

1． 主機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等）和部分輔機(jī)房，應(yīng)將放置了服務(wù)于信息系統(tǒng)的局部（包括整體）或?qū)π畔⑾到y(tǒng)的局部（包括整體）安全性起重要作用的設(shè)備、設(shè)施的輔機(jī)房選取作為測評對象； 2． 存儲被測系統(tǒng)重要數(shù)據(jù)的介質(zhì)的存放環(huán)境； 3． 辦公場地；

4． 整個系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；

5． 安全設(shè)備，包括防火墻、入侵檢測設(shè)備和防病毒網(wǎng)關(guān)等；

6． 邊界網(wǎng)絡(luò)設(shè)備（可能會包含安全設(shè)備），包括路由器、防火墻、認(rèn)證網(wǎng)關(guān)和邊界接入設(shè)備（如樓層交換機(jī)）等；

7． 對整個信息系統(tǒng)或其局部的安全性起作用的網(wǎng)絡(luò)互聯(lián)設(shè)備，如核心交換機(jī)、匯聚層交換機(jī)、路由器等； 8． 承載被測系統(tǒng)主要業(yè)務(wù)或數(shù)據(jù)的服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）； 9． 管理終端和主要業(yè)務(wù)應(yīng)用系統(tǒng)終端；

10． 能夠完成被測系統(tǒng)不同業(yè)務(wù)使命的業(yè)務(wù)應(yīng)用系統(tǒng)； 11． 業(yè)務(wù)備份系統(tǒng)；

12． 信息安全主管人員、各方面的負(fù)責(zé)人員、具體負(fù)責(zé)安全管理的當(dāng)事人、業(yè)務(wù)負(fù)責(zé)人； 13． 涉及到信息系統(tǒng)安全的所有管理制度和記錄。

在本級信息系統(tǒng)測評時，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備、服務(wù)器、終端以及備份設(shè)備，每類應(yīng)至少抽查兩臺作為測評對象。B.2.4 第四級信息系統(tǒng)

第四級信息系統(tǒng)的等級測評，測評對象種類上完全覆蓋、數(shù)量進(jìn)行抽樣，重點(diǎn)抽查不同 種類的設(shè)備、設(shè)施、人員和文檔等?？梢猿椴榈臏y評對象種類主要考慮以下幾個方面：

1． 主機(jī)房和全部輔機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等）； 2． 介質(zhì)的存放環(huán)境； 3． 辦公場地；

4． 整個系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；

5． 安全設(shè)備，包括防火墻、入侵檢測設(shè)備和防病毒網(wǎng)關(guān)等；

6． 邊界網(wǎng)絡(luò)設(shè)備（可能會包含安全設(shè)備），包括路由器、防火墻、認(rèn)證網(wǎng)關(guān)和邊界接入設(shè)備（如樓層交換機(jī)）等；

7． 主要網(wǎng)絡(luò)互聯(lián)設(shè)備，包括核心和匯聚層交換機(jī)； 8． 主要服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）； 9． 管理終端和主要業(yè)務(wù)應(yīng)用系統(tǒng)終端； 10． 全部應(yīng)用系統(tǒng)； 11． 業(yè)務(wù)備份系統(tǒng)；

12． 信息安全主管人員、各方面的負(fù)責(zé)人員、具體負(fù)責(zé)安全管理的當(dāng)事人、業(yè)務(wù)負(fù)責(zé)人； 13． 涉及到信息系統(tǒng)安全的所有管理制度和記錄。

在本級信息系統(tǒng)測評時，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備、服務(wù)器、終端以及備份設(shè)備，每類應(yīng)至少抽查三臺作為測評對象。附錄C

（資料性附錄）等級測評工作要求 C.1 依據(jù)標(biāo)準(zhǔn)，遵循原則

等級測評實(shí)施應(yīng)依據(jù)等級保護(hù)的相關(guān)技術(shù)標(biāo)準(zhǔn)進(jìn)行。相關(guān)技術(shù)標(biāo)準(zhǔn)主要包括GB/T 22239-2008和GB/T DDDD-DDDD，其中等級測評目標(biāo)和內(nèi)容應(yīng)依據(jù)GB/T 22239-2008，對具體測評項(xiàng)的測評實(shí)施方法則依據(jù)GB/T DDDD-DDDD。

在等級測評實(shí)施活動中，應(yīng)遵循GB/T DDDD-DDDD中規(guī)定的測評原則，保證測評工作公正、科學(xué)、合理和完善。

C.2 恰當(dāng)選取，保證強(qiáng)度

恰當(dāng)選取是指對具體測評對象的選擇要恰當(dāng)，既要避免重要的對象、可能存在安全隱患的對象沒有被選擇，也要避免過多選擇，使得工作量增大。

保證強(qiáng)度是指對被測系統(tǒng)應(yīng)實(shí)施與其等級相適應(yīng)的測評強(qiáng)度。C.3 規(guī)范行為，規(guī)避風(fēng)險

測評機(jī)構(gòu)實(shí)施等級測評的過程應(yīng)規(guī)范，包括：制定內(nèi)部保密制度；制定過程控制制度； 規(guī)定相關(guān)文檔評審流程；指定專人負(fù)責(zé)保管等級測評的歸檔文件等。

測評人員的行為應(yīng)規(guī)范，包括：測評人員進(jìn)入現(xiàn)場佩戴工作牌；使用測評專用的電腦和工具；嚴(yán)格按照測評指導(dǎo)書使用規(guī)范的測評技術(shù)進(jìn)行測評；準(zhǔn)確記錄測評證據(jù)；不擅自評價 測評結(jié)果；不將測評結(jié)果復(fù)制給非測評人員等。

規(guī)避風(fēng)險，是指要充分估計(jì)測評可能給被測系統(tǒng)帶來的影響，向被測系統(tǒng)運(yùn)營/使用單位揭示風(fēng)險，要求其提前采取預(yù)防措施進(jìn)行規(guī)避。同時，測評機(jī)構(gòu)也應(yīng)采取與測評委托單位簽署委托測評協(xié)議、保密協(xié)議、現(xiàn)場測評授權(quán)書、要求測評委托單位進(jìn)行系統(tǒng)備份、規(guī)范測評活動、及時與測評委托單位溝通等措施規(guī)避風(fēng)險，盡量避免給被測系統(tǒng)和單位帶來影響。附錄D

（資料性附錄）

測評方案與報告編制示例

某公司（簡稱“AAA”）用電信息系統(tǒng)承載著該公司的電力營銷業(yè)務(wù)，由數(shù)據(jù)存儲、業(yè)務(wù)處理、接入、對外服務(wù)和外聯(lián)等五個功能區(qū)域組成，是一個安全等級為三級的信息系統(tǒng)。

現(xiàn)場測評時間為X年X月X日至X年X月X日，現(xiàn)場測評小組分為管理組（2人）和技術(shù)組（4人）兩組，分別完成安全管理和安全技術(shù)方面的測評。D.1 測評方案編制示例 針對AAA用電信息系統(tǒng)的實(shí)際情況，下面從被測系統(tǒng)描述、測評對象、測評指標(biāo)、測評工具和接入點(diǎn)、測評內(nèi)容以及配套的測評指導(dǎo)書等方面說明測評方案的編制方法。D.1.1 被測系統(tǒng)描述

被測系統(tǒng)為承載著AAA公司電力營銷業(yè)務(wù)，是AAA公司的重要信息系統(tǒng)，其安全等級定為三級（S3A2G3）。

被測系統(tǒng)由數(shù)據(jù)存儲、業(yè)務(wù)處理、接入、對外服務(wù)和外聯(lián)等五個功能區(qū)域組成，對內(nèi)有業(yè)務(wù)擴(kuò)充管理、電量計(jì)量管理、電費(fèi)結(jié)算、收費(fèi)、統(tǒng)計(jì)分析等業(yè)務(wù)功能模塊；對外有可以為Internet網(wǎng)、大客戶單位、撥號用戶等提供電費(fèi)數(shù)據(jù)查詢、交納、業(yè)務(wù)擴(kuò)充、投訴等服務(wù)的功能模塊。數(shù)據(jù)存儲功能區(qū)位于屏蔽機(jī)房，其它功能區(qū)域位于中心機(jī)房。

與被測系統(tǒng)相連的外部連接有Internet、外聯(lián)單位（包括DDN單位和PSTN用戶）和控制網(wǎng)三處。在Internet、外聯(lián)單位的邊界連接處設(shè)置了防火墻；與控制網(wǎng)連接是通過交換機(jī)SJ6506以共用服務(wù)器方式進(jìn)行的。整個網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖如圖6所示。D.1.2 測評對象

根據(jù)用電信息系統(tǒng)的實(shí)際情況，分別確定物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全等各層面的測評對象。

a)物理方面主要是測評屏蔽機(jī)房和主機(jī)房。

b)網(wǎng)絡(luò)方面主要測評的設(shè)備有：路由器、交換機(jī)、防火墻、IDS、外聯(lián)檢測、防病毒等，如表11所示。

c)主機(jī)方面主要測評的主機(jī)服務(wù)器（包括數(shù)據(jù)庫服務(wù)器）如表12所示。

d)應(yīng)用方面主要測評的應(yīng)用系統(tǒng)如表13所示。

e)安全管理，主要測評對象為與信息安全管理有關(guān)的策略、制度、操作規(guī)程、運(yùn)行記錄、管理人員、技術(shù)人員和相關(guān)設(shè)備設(shè)施等。

D.1.3 測評指標(biāo)

被測系統(tǒng)的定級結(jié)果為：安全保護(hù)等級為3級，業(yè)務(wù)信息安全等級為S3，系統(tǒng)服務(wù)安全等級為A2；則該系統(tǒng)的測評指標(biāo)應(yīng)包括GB/T 22239-2008“技術(shù)要求”中的3級通用指標(biāo)類（G3），3級業(yè)務(wù)信息安全指標(biāo)類（S3），2級系統(tǒng)服務(wù)安全指標(biāo)類（A2），以及第3級“管理要求”中的所有指標(biāo)類。本次測評的測評指標(biāo)情況具體如表14所示。

D.1.4 測評工具和接入點(diǎn)

本次測評的信息系統(tǒng)為3級信息系統(tǒng)，根據(jù)3級信息系統(tǒng)的測評強(qiáng)度要求，在測試的廣度上，應(yīng)基本覆蓋不同類型的機(jī)制，在數(shù)量、范圍上可以抽樣；在測試的深度上，應(yīng)執(zhí)行功能測試和滲透測試，功能測試可能涉及機(jī)制的功能規(guī)范、高級設(shè)計(jì)和操作規(guī)程等文檔，滲透測試可能涉及機(jī)制的所有可用文檔，并試圖智取進(jìn)入信息系統(tǒng)等。因此，對其進(jìn)行測評，應(yīng)涉及到漏洞掃描工具、滲透測評工具集等多種測試工具。針對被測系統(tǒng)的網(wǎng)絡(luò)邊界和測評設(shè)備、主機(jī)和業(yè)務(wù)應(yīng)用系統(tǒng)的情況，需要在被測系統(tǒng)及其互聯(lián)網(wǎng)絡(luò)中設(shè)置6個測試工具接入點(diǎn)――接入點(diǎn)JA到JF，如圖7所示，“接入點(diǎn)”標(biāo)注表示進(jìn)行工具測試時，需要從該接入點(diǎn)接入，對應(yīng)的箭頭路線表示工具測試數(shù)據(jù)的主要流向示意。

a)在接入點(diǎn)JA接入掃描器，模擬Internet用戶，探測對外服務(wù)功能區(qū)上各服務(wù)器對Internet暴露的安全漏洞情況。并根據(jù)漏洞掃描的結(jié)果接入滲透測試工具集，試圖利用服務(wù)器的安全漏洞入侵服務(wù)器。b)在接入點(diǎn)JB接入掃描器，模擬外聯(lián)單位，探測對外服務(wù)功能區(qū)上各服務(wù)器對外聯(lián)單位暴露的安全漏洞情況。并根據(jù)漏洞掃描的結(jié)果接入滲透測試工具集，試圖利用服務(wù)器的安全漏洞入侵服務(wù)器。

c)在接入點(diǎn)JC接入掃描器，直接測試對外服務(wù)功能區(qū)上各服務(wù)器對網(wǎng)絡(luò)暴露的安全漏洞情況。同時，試圖穿過防火墻，探測業(yè)務(wù)處理功能區(qū)上各服務(wù)器對外暴露的安全漏洞情況。并根據(jù)漏洞掃描的結(jié)果接入滲透測試工具集，試圖利用業(yè)務(wù)處理功能區(qū)上各服務(wù)器的安全漏洞入侵服務(wù)器。d)……

D.1.5 測評內(nèi)容

本次測評的單項(xiàng)測評從技術(shù)上的物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全五個層面和管理上的安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個方面分別進(jìn)行。a)物理安全

物理安全測評將通過訪談、文檔審查和實(shí)地察看的方式測評信息系統(tǒng)的物理安全保障情況。主要涉及對象為屏蔽機(jī)房和主機(jī)房。

在內(nèi)容上，物理安全層面測評實(shí)施過程涉及10個測評單元，具體如表15所示：

b)網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全測評將通過訪談、配置檢查和工具測試的方式測評信息系統(tǒng)的網(wǎng)絡(luò)安全保障情況。主要涉及對象為網(wǎng)絡(luò)互聯(lián)設(shè)備、網(wǎng)絡(luò)安全設(shè)備和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)等三大類對象。

在內(nèi)容上，網(wǎng)絡(luò)安全層面測評實(shí)施過程涉及7個測評單元，具體如表16所示：

c)主機(jī)系統(tǒng)安全

主機(jī)系統(tǒng)安全測評將通過訪談、配置檢查和工具測試的方式測評信息系統(tǒng)的主機(jī)安全保障情況。本次重點(diǎn)測評的操作系統(tǒng)包括各網(wǎng)站服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器等的操作系統(tǒng)，數(shù)據(jù)庫管理系統(tǒng)為數(shù)據(jù)庫服務(wù)器Sybase。

在內(nèi)容上，主機(jī)系統(tǒng)安全層面測評實(shí)施過程涉及7個測評單元，具體如表17所示。

d)應(yīng)用安全

應(yīng)用安全測評將通過訪談、配置檢查和工具測試的方式測評信息系統(tǒng)的應(yīng)用安全保障情況，主要涉及對象為用電信息系統(tǒng)、對外服務(wù)網(wǎng)站系統(tǒng)和遠(yuǎn)程客戶服務(wù)系統(tǒng)。

在內(nèi)容上，應(yīng)用安全層面測評實(shí)施過程涉及9個測評單元，具體如表18所示。

e)數(shù)據(jù)安全

數(shù)據(jù)安全測評將通過訪談、配置檢查的方式測評信息系統(tǒng)的數(shù)據(jù)安全保障情況，主要涉及對象為信息系統(tǒng)的管理數(shù)據(jù)及業(yè)務(wù)數(shù)據(jù)等。

在內(nèi)容上，數(shù)據(jù)安全層面測評實(shí)施過程涉及3個測評單元，具體如表19所示。

f)安全管理部分

安全管理部分為全局性問題，涉及安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個方面。其中，安全管理制度測評實(shí)施過程涉及3個測評單元，安全管理機(jī)構(gòu)測評實(shí)施過程涉及5個測評單元，人員安全管理測評實(shí)施過程涉及5個測評單元，系統(tǒng)建設(shè)管理測評實(shí)施過程涉及11個測評單元，系統(tǒng)運(yùn)維管理測評實(shí)施過程涉及13個測評單元等。由于管理部分的測評內(nèi)容在描述時差異不大，這里以安全管理制度部分為例說明。

安全管理制度方面的測評對象主要為安全主管人員、安全管理人員等，具體如表20所示。

D.1.6 測評指導(dǎo)書

下面從被測系統(tǒng)的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全等技術(shù)部分和安全管理部分分別舉例說明測評指導(dǎo)書的格式和開發(fā)方法。a)物理安全

按照方案的要求，物理安全應(yīng)測評物理位置選擇（G3）、物理訪問控制（G3）、防盜竊和防破壞（G3）、防雷擊（G3）、防水和防潮（G3）、防靜電（G3）、溫濕度控制（G3）、電力供應(yīng)（A2）和電磁防護(hù)（S3）等。在GB/T 22239-2008中找到對應(yīng)等級項(xiàng)目的要求，然后在GB/T DDDD-DDDD中找到相應(yīng)的測評方法。如：對于溫濕度控制（G3），在GB/T 22239-2008中的描述為“機(jī)房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)?！?，按照該要求在GB/T DDDD-DDDD的第三級中找到對應(yīng)測評方法，然后按照該方法開發(fā)出對應(yīng)的預(yù)期結(jié)果。按照上述思路，對于“溫濕度控制（G3）”可以開發(fā)出如下的測評指導(dǎo)書。【測評項(xiàng)】

機(jī)房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)?！緶y評實(shí)施過程】

1． 應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否配備了溫、濕度自動調(diào)節(jié)設(shè)施，保證溫濕度能夠滿足計(jì)算機(jī)設(shè)備運(yùn)行的要求，是否在機(jī)房管理制度中規(guī)定了溫濕度控制的要求，是否有人負(fù)責(zé)此項(xiàng)工作；

2． 應(yīng)訪談機(jī)房維護(hù)人員，詢問是否定期檢查和維護(hù)機(jī)房的溫濕度自動調(diào)節(jié)設(shè)施，詢問是否出現(xiàn)過溫濕度影響系統(tǒng)運(yùn)行的事件；

3． 應(yīng)檢查機(jī)房是否有溫濕度控制設(shè)計(jì)/驗(yàn)收文檔，是否能夠滿足系統(tǒng)運(yùn)行需要，是否與當(dāng)前實(shí)際情況相符合；

4． 應(yīng)檢查溫、濕度自動調(diào)節(jié)設(shè)施是否能夠正常運(yùn)行，查看溫濕度記錄、運(yùn)行記錄和維護(hù)記錄；查看機(jī)房溫、濕度是否滿足GB 2887-89《計(jì)算站場地技術(shù)條件》的要求。

【預(yù)期結(jié)果】

1． 執(zhí)行步驟1)，機(jī)房配備了溫、濕度自動調(diào)節(jié)設(shè)施，在機(jī)房管理制度中規(guī)定了溫濕度控制的要求，有人負(fù)責(zé)此項(xiàng)工作；

2． 執(zhí)行步驟2)，定期檢查和維護(hù)機(jī)房的溫濕度自動調(diào)節(jié)設(shè)施，沒有出現(xiàn)過溫濕度影響系統(tǒng)運(yùn)行的事件； 3． 執(zhí)行步驟3)，有溫濕度控制設(shè)計(jì)/驗(yàn)收文檔，能夠滿足系統(tǒng)運(yùn)行需要，與當(dāng)前實(shí)際情況相符合； 4． 溫、濕度自動調(diào)節(jié)設(shè)施能夠正常運(yùn)行，機(jī)房溫、濕度滿足GB 2887-89《計(jì)算站場地技術(shù)條件》的要求。b)網(wǎng)絡(luò)安全

按照測評方案的要求，核心交換機(jī)SJ6509應(yīng)測評網(wǎng)絡(luò)訪問控制（G3）、網(wǎng)絡(luò)安全審計(jì)（G3）、網(wǎng)絡(luò)設(shè)備防護(hù)（G3）等部分的內(nèi)容。在GB/T 22239-2008中找到對應(yīng)等級項(xiàng)目的要求，然后在GB/T DDDD-DDDD中找到相應(yīng)的測評方法。如：對于網(wǎng)絡(luò)設(shè)備防護(hù)（G3），在GB/T 22239-2008中的描述之一為“應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制”，按照該項(xiàng)要求找到對應(yīng)測評實(shí)施（方法），然后開發(fā)出對應(yīng)的操作步驟和預(yù)期結(jié)果即可。按照上述思路，對于“網(wǎng)絡(luò)設(shè)備防護(hù)（G3）” 的一個測評項(xiàng)可以開發(fā)如下的測評指導(dǎo)書?！緶y評項(xiàng)】

應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制。【測評實(shí)施過程】

1． 應(yīng)檢查邊界和主要網(wǎng)絡(luò)設(shè)備上的安全設(shè)置，查看是否對邊界和主要網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；

2． 應(yīng)測試邊界和主要網(wǎng)絡(luò)設(shè)備的安全設(shè)置，對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制（如使用任意地址登錄，觀察網(wǎng)絡(luò)設(shè)備的動作等）等功能是否有效。

【操作步驟】

1． 執(zhí)行命令：show ip permit，查看IP地址限定情況；

2． 在業(yè)務(wù)處理功能區(qū)中，用主機(jī)192.168.1.3（限制的IP地址）試圖登錄SJ6509的管理界面，查看是否成功。

【預(yù)期結(jié)果】

1． 執(zhí)行步驟1)，系統(tǒng)對管理IP地址進(jìn)行了限定；

2． 執(zhí)行步驟2)，192.168.1.3登錄SJ6509的管理界面失敗。c)主機(jī)安全

按照方案的要求，DB2（數(shù)據(jù)庫為Sybase）應(yīng)測評身份鑒別（S3）、自主訪問控制（S3）、強(qiáng)制訪問控制（S3）、安全審計(jì)（G3）、資源控制（A2）、數(shù)據(jù)備份與恢復(fù)（A2）、數(shù)據(jù)完整性（S3）、數(shù)據(jù)保密性（S3）等部分的內(nèi)容。在GB/T 22239-2008中找到對應(yīng)等級項(xiàng)目的要求，然后在GB/T DDDD-DDDD中找到相應(yīng)的測評方法。如：對于身份鑒別（S3），在測評項(xiàng)中的描述之一為“應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別”，按照該項(xiàng)要求找到對應(yīng)測評實(shí)施方法，然后開發(fā)對應(yīng)操作步驟和預(yù)期結(jié)果。按照上述思路，對于“身份鑒別（S3）”的一個測評項(xiàng)可以開發(fā)如下的測評指導(dǎo)書?！緶y評項(xiàng)】

應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別?！緶y評實(shí)施過程】

應(yīng)檢查主要數(shù)據(jù)庫管理系統(tǒng)，查看對管理用戶的身份鑒別是否采用兩個及兩個以上鑒別技術(shù)的組合來進(jìn)行身份鑒別（如采用用戶名/口令、挑戰(zhàn)應(yīng)答、動態(tài)口令、物理設(shè)備、生物識別技術(shù)和數(shù)字證書方式的身份鑒別技術(shù)中的任意兩個組合）。【操作步驟】

1． 在DB2主機(jī)上執(zhí)行命令：select * from syslogins，查看是否有用戶存在空口令；

2． 詢問數(shù)據(jù)庫管理員，除使用口令鑒別外是否采用其他的鑒別方式，如果有，則檢查其是否有效。

【預(yù)期結(jié)果】

1． 執(zhí)行步驟1)，數(shù)據(jù)庫沒有空口令用戶，從而說明數(shù)據(jù)庫管理系統(tǒng)采用口令鑒別方式； 2． 執(zhí)行步驟2)，數(shù)據(jù)庫管理系統(tǒng)還采取有其他的鑒別方式，并且有效。d)應(yīng)用安全和數(shù)據(jù)安全

按照方案的要求，業(yè)務(wù)應(yīng)用程序（用戶自主開發(fā)）應(yīng)測評身份鑒別（S3）、訪問控制（S3）、安全審計(jì)（G3）、剩余信息保護(hù)（G3）、通信完整性（S3）、通信, 保密性（S3）、抗抵賴（S3）、軟件容錯（A3）、資源控制（A3）、數(shù)據(jù)備份與恢復(fù)（A3）、數(shù)據(jù)完整性（S3）、數(shù)據(jù)保密性（S3）等部分的內(nèi)容。在GB/T 22239-2008中找到對應(yīng)等級項(xiàng)目的要求，然后在GB/T DDDD-DDDD中找到相應(yīng)的測評方法。如：對于通信保密性（S3），在測評項(xiàng)中的描述之一為“應(yīng)對通信過程中的整個報文或會話過程進(jìn)行加密?！?，按照該項(xiàng)要求找到對應(yīng)測評實(shí)施方法，然后開發(fā)出對應(yīng)操作步驟和預(yù)期結(jié)果。按照上述思路，對于“通信保密性（S3）”的一個測評項(xiàng)可以開發(fā)如下的測試用例。【測評項(xiàng)】

應(yīng)對通信過程中的整個報文或會話過程進(jìn)行加密?！緶y評實(shí)施過程】

1． 應(yīng)訪談安全管理員，詢問業(yè)務(wù)系統(tǒng)數(shù)據(jù)在通信過程中是否采取保密措施，具體措施有哪些； 2． 應(yīng)測試主要應(yīng)用系統(tǒng)，通過查看通信雙方數(shù)據(jù)包的內(nèi)容，查看系統(tǒng)在通信過程中，對整個報文或會話過程進(jìn)行加密的功能是否有效。

【操作步驟】

1． 應(yīng)訪談安全管理員，詢問業(yè)務(wù)系統(tǒng)數(shù)據(jù)在通信過程中是否采取保密措施，具體措施有哪些； 2． 應(yīng)采用協(xié)議分析工具測試應(yīng)用系統(tǒng)，通過查看通信雙方數(shù)據(jù)包的內(nèi)容，查看系統(tǒng)在通信過程中，是否對整個報文或會話過程進(jìn)行加密，加密功能是否有效。

【預(yù)期結(jié)果】

1． 執(zhí)行步驟1)，業(yè)務(wù)系統(tǒng)采用了保密措施，且能具體說明保密措施；

2． 執(zhí)行步驟2)，協(xié)議分析工具看到的數(shù)據(jù)包進(jìn)行了加密，且加密方法符合國家規(guī)定，時有效的。e)管理安全

管理安全部分在測評時可以按照GB/T DDDD-DDDD中介紹的測評實(shí)施過程在現(xiàn)場直接實(shí)施使用。對于系統(tǒng)運(yùn)維管理中的密碼管理“應(yīng)建立密碼使用管理制度，使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品”的要求可以編制如下的測評指導(dǎo)書?！緶y評項(xiàng)】

應(yīng)建立密碼使用管理制度，使用符, 合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品?！緶y評實(shí)施過程】

1． 應(yīng)訪談安全員，詢問密碼技術(shù)和產(chǎn)品的使用是否遵照國家密碼管理規(guī)定； 2． 應(yīng)檢查是否具有密碼使用管理制度。

【預(yù)期結(jié)果】 1． 執(zhí)行步驟1)，密碼技術(shù)和產(chǎn)品的使用遵照國家密碼管理規(guī)定； 2． 執(zhí), 行步驟2)，有密碼使用管理制度。

D.2 測評報告編制示例

等級測評報告一般包括：概述、被測系統(tǒng)描述、測評對象說明、測評指標(biāo)說明、測評內(nèi)容和方法說明、單元測評的結(jié)果記錄及結(jié)果匯總、整體測評、測評結(jié)果匯總、風(fēng)險分析和評價、等級測評結(jié)論、整改建議等內(nèi)容。下面主要舉例說明整體測評和整改建議這兩部分內(nèi)容。D.2.1 整體測評 a)物理層面

1． 由于屏蔽機(jī)房位于主機(jī)房內(nèi)部，其唯一出口也在主機(jī)房內(nèi)，因此，對其物理層面的安全要求中的物理訪問控制、防盜竊和防破壞的測評項(xiàng)可以通過關(guān)聯(lián)互補(bǔ)關(guān)系得到 補(bǔ)充。2． ……

綜合以上測評分析過程，可以得到如表21物理層面的整體測評結(jié)果（安全控制間、層面間和區(qū)域間）：

b)網(wǎng)絡(luò)層面

1． 外聯(lián)功能區(qū)撥號路由器DW3600上基本沒有直接采取較好的撥號訪問控制措施，只是對用戶進(jìn)行了固定IP地址分配。但是，由于在防火墻DW208FW上，嚴(yán)格限定了撥號接入IP地址的用戶的訪問范圍，從而可以彌補(bǔ)這部分功能。2． 外聯(lián)功能區(qū)的6臺路由器DW3600在網(wǎng)絡(luò)設(shè)備防護(hù)的用戶身份認(rèn)證方面，存在口令不強(qiáng)、未限制管理員登錄地址等方面問題，但是，由于這些設(shè)備都沒有開放網(wǎng)絡(luò)管理（TELNET/HTTP等），全部采取通過本地串口方式來管理，而其又是存放在主機(jī)房中，因此，其網(wǎng)絡(luò)設(shè)備防護(hù)安全控制可以通過物理的相關(guān)措施（物理訪問控制、防盜竊和防破壞等）得到增強(qiáng)。

3． 對外服務(wù)功能區(qū)的網(wǎng)絡(luò)安全審計(jì)功能沒有采取單獨(dú)的設(shè)備來完成，其網(wǎng)絡(luò)流量、用戶行為等的監(jiān)測、記錄功能是通過網(wǎng)絡(luò)入侵防范安全控制的IDS來協(xié)助完成的。

4． 網(wǎng)絡(luò)安全審計(jì)設(shè)備IDS具有對部分病毒、蠕蟲攻擊的檢測識別能力，可以部分彌補(bǔ)惡意代碼防范功能，因?yàn)?，防病毒網(wǎng)關(guān)只對郵件數(shù)據(jù)進(jìn)行病毒過濾。5． …….綜合以上測評分析過程，可以得到如表22的測評結(jié)果：

c)系統(tǒng)結(jié)構(gòu)測評分析

在信息系統(tǒng)整體結(jié)構(gòu)的安全性方面，從被測系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖來看，該網(wǎng)絡(luò)系統(tǒng)雖然有多處相對獨(dú)立的出口，但是這些出口除到控制網(wǎng)外的連線都集中到防火墻DW208FW，因此，從在網(wǎng)絡(luò)結(jié)構(gòu)上，不存在出口過多的問題；對外服務(wù)功能區(qū)上防病毒服務(wù)器a（拓?fù)鋱D上未標(biāo)出）使用雙網(wǎng)卡方式工作，一邊連接內(nèi)部網(wǎng)絡(luò)，一邊連接對外服務(wù)功能區(qū)，通過防火墻DW208FW上網(wǎng)升級，這在安全上是不可取的，外部用戶一旦控制防病毒服務(wù)器a，則可通過雙網(wǎng)卡直接進(jìn)入信息系統(tǒng)的內(nèi)部網(wǎng)絡(luò)功能區(qū)域，對信息系統(tǒng)的安全構(gòu)成嚴(yán)重威脅。

從被測系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖來看，內(nèi)部網(wǎng)絡(luò)劃分了多個功能區(qū)域，這些功能區(qū)域之間采取了網(wǎng)絡(luò)訪問控制措施，即使是內(nèi)網(wǎng)用戶也只能訪問到應(yīng)用處理功能區(qū)上的服務(wù)器主機(jī)，而不能直接訪問數(shù)據(jù)存儲功能區(qū)的數(shù)據(jù)庫服務(wù)器。這種保護(hù)方法符合縱深防御的要求，重點(diǎn)突出，能較好地解決一些安全問題。D.2.2 整改建議

a)安全建議（網(wǎng)絡(luò)安全部分）1． 主要問題

.沒有繪制與實(shí)際網(wǎng)絡(luò)相一致的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖。有一份與實(shí)際網(wǎng)絡(luò)相一致的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖對網(wǎng)絡(luò)管理相當(dāng)重要，可以方便工作人員掌握網(wǎng)絡(luò)的整體情況，便于網(wǎng)絡(luò)故障的排除，便于網(wǎng)絡(luò)安全設(shè)備的策略配置等；

.沒有對重要網(wǎng)段采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施。進(jìn)行MAC地址和IP地址的綁定，有助于防止地址欺騙。

2． 立即整改

需要立即整改的安全建議如下：

.應(yīng)根據(jù)當(dāng)前運(yùn)行的網(wǎng)絡(luò)拓?fù)淝闆r，繪制與實(shí)際網(wǎng)絡(luò)相一致的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，以便于工作人員掌握網(wǎng)絡(luò)結(jié)構(gòu)的整體情況；

3． 持續(xù)改進(jìn)

需要持續(xù)改進(jìn)的建議如下：

.對重要網(wǎng)段采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施，防止地址欺騙；.購置并在適當(dāng)網(wǎng)段部署防病毒網(wǎng)關(guān)。

b)安全管理方面 1． 主要問題

.與安全管理制度相配套的總體信息安全策略還沒有正式制定，且有部分管理制度沒有制定，如工程實(shí)施安全管理制度等。總體性安全策略文件是整個機(jī)構(gòu)開展信息安全工作的綱領(lǐng)，對機(jī)構(gòu)近期和遠(yuǎn)期的安全規(guī)劃起著重要的指導(dǎo)作用。

沒有方針性文件的指引和統(tǒng)一規(guī)劃，機(jī)構(gòu)的信息安全工作則會有工作方向不明確的問題；

.對信息安全關(guān)鍵崗位的人員管理缺乏更細(xì)粒度的要求。沒有明確對這些崗位的人員是否有區(qū)別于其他崗位的更嚴(yán)格的錄用要求、日常信用審查等管理要求。

關(guān)鍵崗位所從事的工作是信息安全工作的重中之重，加強(qiáng)對這些崗位人員的管理，對做好信息安全工作起到了關(guān)鍵的作用。

2． 改進(jìn)建議

.進(jìn)一步完善安全管理文件體系，盡快制定信息安全總體政策、方針文件，并進(jìn)一步補(bǔ)充、完善、細(xì)化各類管理制度，如工程安全實(shí)施管理制度、系統(tǒng)交付管理制度等，從而形成高層策略文件、各類管理制度、具體操作規(guī)程和各類操作記錄等四層塔式管理文件體系；

.加強(qiáng)對關(guān)鍵崗位人員（如系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員）的管理，定期對其進(jìn)行信用審查，并要求其簽署崗位安全協(xié)議，使其承諾在崗位上的具體安全責(zé)任、工作職責(zé)以及保密義務(wù),從而保證對關(guān)鍵崗位進(jìn)行關(guān)鍵管理。

第四篇：內(nèi)蒙古自治區(qū)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)辦法

內(nèi)蒙古自治區(qū)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)辦法

第一章 總 則

第一條 為保護(hù)計(jì)算機(jī)信息系統(tǒng)安全，根據(jù)《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》及有關(guān)法律法規(guī)，結(jié)合自治區(qū)實(shí)際，制定本辦法。

第二條 本辦法適用于自治區(qū)行政區(qū)域內(nèi)計(jì)算機(jī)信息系統(tǒng)的安全保護(hù)。

第三條 旗縣級以上人民政府公安機(jī)關(guān)主管本行政區(qū)域內(nèi)計(jì)算機(jī)信息系統(tǒng)的安全保護(hù)工作。國家安全機(jī)關(guān)、保密工作部門、密碼管理部門和其他有關(guān)部門在各自職責(zé)范圍內(nèi)做好計(jì)算機(jī)信息系統(tǒng)的安全保護(hù)工作。

第四條 計(jì)算機(jī)信息系統(tǒng)的安全保護(hù)，應(yīng)當(dāng)保障計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施、網(wǎng)絡(luò)的安全，運(yùn)行環(huán)境的安全，保障信息的安全，保障計(jì)算機(jī)功能的正常發(fā)揮，以維護(hù)計(jì)算機(jī)信息系統(tǒng)的安全運(yùn)行。

第二章 安全等級保護(hù)

第五條 計(jì)算機(jī)信息系統(tǒng)實(shí)行安全等級保護(hù)制度。安全保護(hù)等級根據(jù)計(jì)算機(jī)信息系統(tǒng)在國家安全、經(jīng)濟(jì)建設(shè)、社會生活中的重要程度，計(jì)算機(jī)信息系統(tǒng)受到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織合法權(quán)益的危害程度等因素確定，分為五級。

（一）計(jì)算機(jī)信息系統(tǒng)受到破壞后，可能對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益的，為第一級；

（二）計(jì)算機(jī)信息系統(tǒng)受到破壞后，可能對公民、法人和其他組織的合法權(quán)益造成嚴(yán)重?fù)p害，或者可能對社會秩序和公共利益造成損害，但不損害國家安全的，為第二級；

（三）計(jì)算機(jī)信息系統(tǒng)受到破壞后，可能對社會秩序和公共利益造成嚴(yán)重?fù)p害，或者可能對國家安全造成損害的，為第三級；

（四）計(jì)算機(jī)信息系統(tǒng)受到破壞后，可能對社會秩序和公共利益造成特別嚴(yán)重?fù)p害，或者可能對國家安全造成嚴(yán)重?fù)p害的，為第四級；

（五）計(jì)算機(jī)信息系統(tǒng)受到破壞后，可能對國家安全造成特別嚴(yán)重?fù)p害的，為第五級。

第六條 計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位應(yīng)當(dāng)遵守下列規(guī)定：

（一）對計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級準(zhǔn)確定級，并按照等級保護(hù)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)實(shí)施保護(hù)；

（二）新建計(jì)算機(jī)信息系統(tǒng)的，應(yīng)當(dāng)在規(guī)劃、設(shè)計(jì)階段確定安全保護(hù)等級，同步建設(shè)符合該安全保護(hù)等級要求的信息系統(tǒng)安全保護(hù)設(shè)施，落實(shí)安全保護(hù)措施；

（三）計(jì)算機(jī)信息系統(tǒng)的結(jié)構(gòu)、處理流程、服務(wù)內(nèi)容等發(fā)生重大變化，或者公安機(jī)關(guān)要求重新確定等級的，應(yīng)當(dāng)重新定級；

（四）按照計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級要求，使用符合國家及自治區(qū)規(guī)定并取得國家計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可證的信息安全產(chǎn)品；

（五）定期對本單位計(jì)算機(jī)信息系統(tǒng)的安全狀況、保護(hù)制度和措施進(jìn)行自查和整改；

（六）建立安全保護(hù)組織，確定安全管理責(zé)任人，指定專職人員負(fù)責(zé)本單位計(jì)算機(jī)信息系統(tǒng)的安

全管理。

第七條 第二級以上計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位，應(yīng)當(dāng)自確定安全保護(hù)等級之日起30日內(nèi)，到所在地盟行政公署、設(shè)區(qū)的市人民政府公安機(jī)關(guān)或者其指定的受理機(jī)構(gòu)備案；屬于自治區(qū)統(tǒng)一聯(lián)網(wǎng)、跨盟市或者中央駐自治區(qū)、自治區(qū)直屬單位的計(jì)算機(jī)信息系統(tǒng)，應(yīng)當(dāng)?shù)阶灾螀^(qū)人民政府公安機(jī)關(guān)或者其指定的受理機(jī)構(gòu)備案。

第八條 公安機(jī)關(guān)應(yīng)當(dāng)在收到備案材料之日起10個工作日內(nèi)對報送備案的材料進(jìn)行審查，對符合等級保護(hù)要求的，出具備案證明。對定級不準(zhǔn)確或者保護(hù)措施不符合技術(shù)規(guī)范的，應(yīng)當(dāng)書面通知報送單位予以糾正。

第九條 計(jì)算機(jī)信息系統(tǒng)涉及國家安全、社會公共利益、重大經(jīng)濟(jì)建設(shè)等信息的，其運(yùn)營、使用單位或者主管部門應(yīng)當(dāng)選擇符合法定條件的安全等級測評機(jī)構(gòu)，依據(jù)國家規(guī)定的技術(shù)標(biāo)準(zhǔn)，對計(jì)算機(jī)信息系統(tǒng)安全等級狀況進(jìn)行測評。

第二級以上計(jì)算機(jī)信息系統(tǒng)建設(shè)完成后，經(jīng)測評合格方可投入使用。

第十條 計(jì)算機(jī)信息系統(tǒng)確定為第二級保護(hù)等級的，應(yīng)當(dāng)每兩年至少進(jìn)行一次系統(tǒng)安全等級測評；確定為第三級的，應(yīng)當(dāng)每年至少進(jìn)行一次系統(tǒng)安全等級測評；確定為第四級以上的，應(yīng)當(dāng)每半年至少進(jìn)行一次系統(tǒng)安全等級測評。

第十一條 從事計(jì)算機(jī)信息系統(tǒng)安全等級測評工作的機(jī)構(gòu)和人員應(yīng)當(dāng)遵守國家規(guī)定。申請成立安全等級測評機(jī)構(gòu)的單位應(yīng)當(dāng)經(jīng)自治區(qū)人民政府公安機(jī)關(guān)初審，并通過公安部信息安全等級保護(hù)評估中心的測評能力評估。

自治區(qū)人民政府公安機(jī)關(guān)應(yīng)當(dāng)加強(qiáng)對安全等級測評機(jī)構(gòu)的監(jiān)督、檢查和指導(dǎo)。

第十二條 旗縣級以上人民政府公安機(jī)關(guān)應(yīng)當(dāng)對計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位的信息安全等級保護(hù)情況進(jìn)行檢查。對第三級計(jì)算機(jī)信息系統(tǒng)每年至少檢查一次，對第四級計(jì)算機(jī)信息系統(tǒng)每半年至少檢查一次。

對第五級計(jì)算機(jī)信息系統(tǒng)，應(yīng)當(dāng)由國家指定的專門部門進(jìn)行檢查。

第三章 安全管理

第十三條 公安機(jī)關(guān)應(yīng)當(dāng)為公眾提供計(jì)算機(jī)信息系統(tǒng)安全保護(hù)指導(dǎo)，開展安全宣傳教育。

第十四條 公安機(jī)關(guān)對計(jì)算機(jī)信息系統(tǒng)安全服務(wù)機(jī)構(gòu)實(shí)行分級管理和推薦制度。

第十五條 計(jì)算機(jī)信息系統(tǒng)安全服務(wù)機(jī)構(gòu)應(yīng)當(dāng)向盟市級以上公安機(jī)關(guān)備案。

計(jì)算機(jī)信息系統(tǒng)安全服務(wù)機(jī)構(gòu)應(yīng)當(dāng)執(zhí)行國家及自治區(qū)有關(guān)計(jì)算機(jī)信息系統(tǒng)安全標(biāo)準(zhǔn)，應(yīng)當(dāng)配備適應(yīng)開展相應(yīng)安全服務(wù)需要、掌握國家及自治區(qū)有關(guān)計(jì)算機(jī)信息系統(tǒng)安全標(biāo)準(zhǔn)的技術(shù)人員。

計(jì)算機(jī)信息系統(tǒng)安全服務(wù)機(jī)構(gòu)及其工作人員不得泄露在開展安全服務(wù)過程中獲悉的國家秘密、商業(yè)秘密以及計(jì)算機(jī)信息系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)、配置等用戶信息；不得非法占有、使用用戶的信息資源；不得在計(jì)算機(jī)信息系統(tǒng)中設(shè)置隱蔽信道。

第十六條 發(fā)生重大突發(fā)事件，危及國家安全、公共安全、社會穩(wěn)定及重要計(jì)算機(jī)信息系統(tǒng)安全的緊急情況時，盟市級以上公安機(jī)關(guān)可以按照有關(guān)法律、法規(guī)的規(guī)定，要求有關(guān)單位采取相應(yīng)控制措施。計(jì)算機(jī)信息系統(tǒng)的運(yùn)營、使用單位應(yīng)當(dāng)服從公安機(jī)關(guān)和國家指定部門的調(diào)度。

第十七條 基礎(chǔ)電信運(yùn)營企業(yè)和計(jì)算機(jī)信息系統(tǒng)的運(yùn)營、使用單位應(yīng)當(dāng)接受公安機(jī)關(guān)的安全監(jiān)督、檢查、指導(dǎo)，并如實(shí)提供有關(guān)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)的信息資料、互聯(lián)網(wǎng)基礎(chǔ)數(shù)據(jù)及其他數(shù)據(jù)文件。

第十八條 基礎(chǔ)電信運(yùn)營企業(yè)等提供互聯(lián)網(wǎng)接入服務(wù)的單位應(yīng)當(dāng)執(zhí)行下列規(guī)定：

（一）配合公安機(jī)關(guān)做好接入本網(wǎng)絡(luò)聯(lián)網(wǎng)單位和用戶的備案工作，真實(shí)、準(zhǔn)確、完整登記聯(lián)網(wǎng)單位和用戶的名稱、性質(zhì)、有效證件、互聯(lián)網(wǎng)地址、裝機(jī)地址、上網(wǎng)電話、聯(lián)系人等公安機(jī)關(guān)要求備案的信息，報送同級公安機(jī)關(guān)，并及時報告本網(wǎng)絡(luò)中聯(lián)網(wǎng)單位和用戶的變更情況；

（二）記錄并留存接入本網(wǎng)絡(luò)的聯(lián)網(wǎng)單位和用戶登錄、退出互聯(lián)網(wǎng)時間及主叫號碼、賬號、互聯(lián)網(wǎng)地址等上網(wǎng)日志信息，留存時間不少于1年；

（三）落實(shí)相關(guān)安全保護(hù)技術(shù)措施，通過互聯(lián)網(wǎng)地址和相關(guān)網(wǎng)絡(luò)應(yīng)用信息能夠?qū)?yīng)聯(lián)網(wǎng)單位和用戶信息；

（四）協(xié)助公安機(jī)關(guān)查處涉及互聯(lián)網(wǎng)的違法犯罪行為，并采取人工值守、遠(yuǎn)程聯(lián)網(wǎng)查詢等方式提供24小時快速查詢支持；

（五）協(xié)助公安機(jī)關(guān)對接入本網(wǎng)絡(luò)的聯(lián)網(wǎng)單位和用戶進(jìn)行安全宣傳教育，落實(shí)安全保護(hù)措施；

（六）互聯(lián)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、通信協(xié)議等擬進(jìn)行重大調(diào)整的，應(yīng)當(dāng)報自治區(qū)人民政府公安機(jī)關(guān)備案后實(shí)施。

第十九條 提供互聯(lián)網(wǎng)接入服務(wù)的單位、提供服務(wù)器托管或租賃空間服務(wù)的單位、互聯(lián)網(wǎng)信息服務(wù)提供者及其他有關(guān)電信業(yè)務(wù)經(jīng)營者應(yīng)當(dāng)建立安全管理制度，采取異常流量和違法信息監(jiān)測等安全保護(hù)技術(shù)措施，及時發(fā)現(xiàn)危害信息網(wǎng)絡(luò)安全、網(wǎng)上傳播違法信息等違法犯罪活動，保留有關(guān)原始記錄，及時采取刪除、停止傳輸?shù)却胧?，并?4小時內(nèi)向當(dāng)?shù)毓矙C(jī)關(guān)報告。

第二十條 聯(lián)網(wǎng)單位和用戶應(yīng)當(dāng)采取設(shè)置安全性較高的密碼等安全保護(hù)措施，定期更改密碼，保障所使用上網(wǎng)賬號的安全。

基礎(chǔ)電信運(yùn)營企業(yè)可以采取動態(tài)密碼認(rèn)證等技術(shù)措施為聯(lián)網(wǎng)單位和用戶提供互聯(lián)網(wǎng)接入服務(wù)。

第二十一條 聯(lián)網(wǎng)單位和用戶向其他單位、個人提供互聯(lián)網(wǎng)上網(wǎng)服務(wù)或者與其他單位、個人共用上網(wǎng)線路、賬號的，應(yīng)當(dāng)遵守國家有關(guān)規(guī)定，并到旗縣級以上人民政府公安機(jī)關(guān)備案。

第二十二條 提供互聯(lián)網(wǎng)上網(wǎng)服務(wù)的單位和通過局域網(wǎng)接入互聯(lián)網(wǎng)用戶終端在10臺以上的聯(lián)網(wǎng)單位應(yīng)當(dāng)安裝、運(yùn)行符合國家及自治區(qū)規(guī)定的安全管理系統(tǒng)。

第二十三條 賓館、酒店、餐廳、機(jī)場、車站、閱覽室等提供互聯(lián)網(wǎng)上網(wǎng)服務(wù)的場所和通過無線方式接入互聯(lián)網(wǎng)的地點(diǎn)管理者，應(yīng)當(dāng)采取用戶登錄認(rèn)證安全技術(shù)措施，并對上網(wǎng)用戶的身份證等有效證件進(jìn)行核對、登記。

第二十四條 使用內(nèi)部網(wǎng)絡(luò)地址與互聯(lián)網(wǎng)網(wǎng)絡(luò)地址轉(zhuǎn)換方式接入互聯(lián)網(wǎng)的聯(lián)網(wǎng)單位，應(yīng)當(dāng)記錄并留存用戶上網(wǎng)終端硬件地址等信息與內(nèi)部網(wǎng)絡(luò)地址和互聯(lián)網(wǎng)網(wǎng)絡(luò)地址的對應(yīng)關(guān)系。留存時間不少于1年。

第二十五條 生產(chǎn)、銷售或者提供具有計(jì)算機(jī)信息系統(tǒng)遠(yuǎn)程控制、密碼猜解、漏洞檢測、信息群發(fā)功能的產(chǎn)品和工具的，應(yīng)當(dāng)報自治區(qū)人民政府公安機(jī)關(guān)或者其指定的公安機(jī)關(guān)備案。

第四章 安全秩序

第二十六條 計(jì)算機(jī)信息系統(tǒng)的運(yùn)營、使用單位應(yīng)當(dāng)建立并執(zhí)行下列安全管理制度：

（一）計(jì)算機(jī)機(jī)房安全管理制度；

（二）安全責(zé)任制度；

（三）病毒、網(wǎng)絡(luò)安全漏洞檢測和系統(tǒng)升級制度；

（四）系統(tǒng)安全風(fēng)險管理和應(yīng)急處置制度；

（五）賬號使用登記和操作權(quán)限管理制度；

（六）安全管理人員崗位工作職責(zé)；

（七）重要設(shè)備、介質(zhì)管理制度；

（八）信息發(fā)布審查、登記、保存、清除和備份制度；

（九）信息群發(fā)服務(wù)管理制度；

（十）安全教育和培訓(xùn)制度；

（十一）案件、事件報告和協(xié)助查處制度；

（十二）其他與安全保護(hù)相關(guān)的管理制度。

第二十七條 計(jì)算機(jī)信息系統(tǒng)的運(yùn)營、使用單位應(yīng)當(dāng)采取下列安全保護(hù)技術(shù)措施：

（一）系統(tǒng)重要部分的冗余或者備份措施；

（二）計(jì)算機(jī)病毒防治措施；

（三）網(wǎng)絡(luò)攻擊防范和追蹤措施；

（四）安全審計(jì)和預(yù)警措施；

（五）系統(tǒng)運(yùn)行和用戶使用日志記錄留存1年以上措施；

（六）記錄用戶賬號、主叫電話號碼和網(wǎng)絡(luò)地址措施；

（七）身份登記和識別確認(rèn)措施；

（八）垃圾信息、有害信息的防治、清理措施；

（九）信息群發(fā)限制措施；

（十）其他保護(hù)計(jì)算機(jī)信息系統(tǒng)安全的技術(shù)措施。

第二十八條 任何單位和個人不得利用計(jì)算機(jī)信息系統(tǒng)、移動通訊終端制作、傳播、復(fù)制下列信息：

（一）危害國家統(tǒng)一、主權(quán)和領(lǐng)土完整的；

（二）泄露國家秘密，危害國家安全或者損害國家榮譽(yù)和利益的；

（三）煽動民族仇恨、民族歧視，破壞民族團(tuán)結(jié)或者侵害民族風(fēng)俗、習(xí)慣的；

（四）破壞國家宗教政策，宣揚(yáng)邪教、封建迷信的；

（五）散布謠言，發(fā)布虛假信息，擾亂社會秩序，破壞社會穩(wěn)定的；

（六）煽動聚眾滋事，損害社會公共利益的；

（七）宣揚(yáng)淫穢、色情、賭博、暴力、兇殺、恐怖的；

（八）教唆犯罪或者傳授犯罪方法的；

（九）散布他人隱私，侮辱、誹謗、恐嚇?biāo)?，侵害他人合法?quán)益的；

（十）從事考試作弊相關(guān)活動的；

（十一）販賣假幣、假證件、假發(fā)票、假冒偽劣商品、槍支彈藥、爆炸物、迷藥、竊聽器和其他

法律、法規(guī)禁止流通的物品的；

（十二）法律、法規(guī)禁止制作、傳播、復(fù)制的其他信息。

第二十九條 任何單位和個人不得實(shí)施下列行為：

（一）未經(jīng)允許，進(jìn)入計(jì)算機(jī)信息系統(tǒng)或者非法占有、使用、竊取計(jì)算機(jī)信息系統(tǒng)資源；

（二）未經(jīng)允許，對計(jì)算機(jī)信息系統(tǒng)功能進(jìn)行刪除、修改、增加或者干擾；

（三）未經(jīng)允許，對計(jì)算機(jī)信息系統(tǒng)中存儲、處理或者傳輸?shù)臄?shù)據(jù)和應(yīng)用程序進(jìn)行刪除、修改或者增加；

（四）利用計(jì)算機(jī)信息系統(tǒng)竊取他人賬號和密碼，或者擅自向第三方公開他人賬號和密碼；

（五）非法截取、篡改、刪除他人電子郵件或者其他數(shù)據(jù)資料；

（六）故意制作、傳播計(jì)算機(jī)病毒、惡意軟件等破壞性程序;

（七）利用計(jì)算機(jī)信息系統(tǒng)假冒他人名義制作、傳播信息，或者以其他方式進(jìn)行網(wǎng)絡(luò)詐騙；

（八）建立或者管理主要用于傳播、交流違法犯罪信息的網(wǎng)站、群組、論壇等；

（九）允許、放任他人在自己所有或者管理的網(wǎng)站、網(wǎng)頁、群組上發(fā)布第二十八條所禁止的信息；

（十）為非法網(wǎng)站提供服務(wù)器托管、虛擬主機(jī)、網(wǎng)絡(luò)存儲空間等服務(wù)，或者通過投放廣告等方式向其直接、間接提供資金；

（十一）明知是非法網(wǎng)站，向其提供互聯(lián)網(wǎng)接入、通訊傳輸通道、代收費(fèi)、費(fèi)用結(jié)算等服務(wù)；

（十二）以牟利為目的，在互聯(lián)網(wǎng)上散布、刪除信息，侵犯他人合法權(quán)益；

（十三）提供侵入、非法控制計(jì)算機(jī)信息系統(tǒng)的方法、程序、工具；

（十四）法律、法規(guī)禁止的其他利用計(jì)算機(jī)信息系統(tǒng)實(shí)施的行為。

第五章 法律責(zé)任

第三十條 違反本辦法第六條、第九條、第十條、第十七條、第十八條第一至四項(xiàng)、第十九條、第二十六條、第二十七條規(guī)定的，由公安機(jī)關(guān)責(zé)令限期改正，給予警告，有違法所得的，沒收違法所得；在規(guī)定的限期內(nèi)未改正的，對單位的主管負(fù)責(zé)人員和其他直接責(zé)任人員處以5000元以下的罰款，對單位處以15000元以下的罰款，可以建議主管部門對相關(guān)單位的主要領(lǐng)導(dǎo)給予處分；情節(jié)嚴(yán)重的，并可以給予6個月以內(nèi)停止聯(lián)網(wǎng)、停機(jī)整頓的處罰。

第三十一條 違反本辦法第十五條第三款規(guī)定的，由公安機(jī)關(guān)對單位的主管負(fù)責(zé)人員和其他直接責(zé)任人員處以5000元以下的罰款，對單位處以5000元以上15000元以下的罰款；有違法所得的，除沒收違法所得外，可以處以違法所得1至3倍的罰款，但是最高不得超過30000元。

第三十二條 違反本辦法第二十條第一款規(guī)定的，由公安機(jī)關(guān)責(zé)令限期改正，給予警告；在規(guī)定的限期內(nèi)未改正的，可以給予6個月以內(nèi)停止聯(lián)網(wǎng)、停機(jī)整頓的處罰。

第三十三條 違反本辦法第二十二條、第二十三條、第二十四條規(guī)定的，由公安機(jī)關(guān)責(zé)令限期改正，給予警告，有違法所得的，沒收違法所得；在規(guī)定的限期內(nèi)未改正的，對單位的主管負(fù)責(zé)人員和其他直接責(zé)任人員處以5000元以下的罰款，對單位處以15000元以下的罰款；情節(jié)嚴(yán)重的，并可以給予6個月以內(nèi)停止聯(lián)網(wǎng)、停機(jī)整頓的處罰。

第三十四條 違反本辦法第二十八條、第二十九條規(guī)定的，由公安機(jī)關(guān)給予警告，對個人可以并處5000元以下的罰款，對單位可以并處15000元以下的罰款；有違法所得的，除沒收違法所得

外，可以處以違法所得1至3倍的罰款，但是最高不得超過30000元；情節(jié)嚴(yán)重的，并可以給予6個月以內(nèi)停止聯(lián)網(wǎng)、停機(jī)整頓的處罰。

第三十五條 從事計(jì)算機(jī)信息系統(tǒng)安全等級測評工作的單位和人員有下列行為之一的，由公安機(jī)關(guān)對單位主管負(fù)責(zé)人員和其他直接責(zé)任人員處以5000元以下的罰款，對單位處以5000元以上15000元以下的罰款；有違法所得的，除沒收違法所得外，可以處以違法所得1至3倍的罰款，但是最高不得超過30000元：

（一）未通過測評能力評估，從事測評活動的；

（二）影響被測評計(jì)算機(jī)信息系統(tǒng)正常運(yùn)行，危害被測評計(jì)算機(jī)信息系統(tǒng)安全的；

（三）擅自向第三方泄露被測評計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位秘密和其他信息的；

（四）故意隱瞞測評過程中發(fā)現(xiàn)的安全問題，或者在測評過程中弄虛作假，未如實(shí)出具測評報告的；

（五）擅自占有、使用測評相關(guān)資料及數(shù)據(jù)文件的；

（六）分包或者轉(zhuǎn)包測評項(xiàng)目的；

（七）從事計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品的開發(fā)、銷售及信息系統(tǒng)安全集成業(yè)務(wù)，或者限定被測評單位購買、使用其指定的信息安全專用產(chǎn)品的；

（八）其他可能影響測評結(jié)果客觀、公正的行為，或者未按照國家規(guī)定開展測評工作的。

第三十六條 違反本辦法規(guī)定，構(gòu)成違反治安管理行為的，依照《中華人民共和國治安管理處罰法》的規(guī)定處罰；給國家、其他組織或者他人財產(chǎn)造成損失的，應(yīng)當(dāng)依法承擔(dān)民事責(zé)任；構(gòu)成犯罪的，依法追究刑事責(zé)任。

第三十七條 公安機(jī)關(guān)和其他有關(guān)部門及其工作人員有下列行為之一的，對直接負(fù)責(zé)的主管人員和其他直接責(zé)任人員依法給予行政處分；構(gòu)成犯罪的，依法追究刑事責(zé)任。

（一）利用職權(quán)索取、收受賄賂，或者玩忽職守、濫用職權(quán)的；

（二）泄露計(jì)算機(jī)信息系統(tǒng)運(yùn)營、使用單位或者個人的有關(guān)信息、資料及數(shù)據(jù)文件的；

（三）其他不履行法定職責(zé)的。

第六章 附 則

第三十八條 本辦法所稱的計(jì)算機(jī)信息系統(tǒng)，是指由計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施、網(wǎng)絡(luò)構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對信息進(jìn)行采集、加工、存儲、傳輸、檢索等處理的人機(jī)系統(tǒng)。

本辦法所稱的信息安全等級測評，是指對計(jì)算機(jī)信息系統(tǒng)的安全狀況進(jìn)行測試、評價、判斷。本辦法所稱的安全服務(wù)機(jī)構(gòu)，是指從事計(jì)算機(jī)信息系統(tǒng)安全設(shè)計(jì)、建設(shè)、檢測、維護(hù)、監(jiān)理、咨詢、培訓(xùn)等業(yè)務(wù)的單位。

本辦法所稱聯(lián)網(wǎng)單位和用戶包括通過計(jì)算機(jī)或者手機(jī)等通訊終端以有線、無線等方式接入互聯(lián)網(wǎng)的單位和用戶。

第三十九條 本辦法自2012年2月1日起施行。

第五篇：信息安全等級保護(hù)

信息安全等級保護(hù)(二級)信息安全等級保護(hù)(二級)備注：其中黑色字體為信息安全等級保護(hù)第二級系統(tǒng)要求，藍(lán)色字體為第三級系統(tǒng)等保要求。

一、物理安全

1、應(yīng)具有機(jī)房和辦公場地的設(shè)計(jì)/驗(yàn)收文檔（機(jī)房場地的選址說明、地線連接要求的描述、建筑材料具有相應(yīng)的耐火等級說明、接地防靜電措施）

2、應(yīng)具有有來訪人員進(jìn)入機(jī)房的申請、審批記錄；來訪人員進(jìn)入機(jī)房的登記記錄

3、應(yīng)配置電子門禁系統(tǒng)(三級明確要求)；電子門禁系統(tǒng)有驗(yàn)收文檔或產(chǎn)品安全認(rèn)證資質(zhì)，電子門禁系統(tǒng)運(yùn)行和維護(hù)記錄

4、主要設(shè)備或設(shè)備的主要部件上應(yīng)設(shè)置明顯的不易除去的標(biāo)記

5、介質(zhì)有分類標(biāo)識；介質(zhì)分類存放在介質(zhì)庫或檔案室內(nèi)，磁介質(zhì)、紙介質(zhì)等分類存放

6、應(yīng)具有攝像、傳感等監(jiān)控報警系統(tǒng)；機(jī)房防盜報警設(shè)施的安全資質(zhì)材料、安裝測試和驗(yàn)收報告；機(jī)房防盜報警系統(tǒng)的運(yùn)行記錄、定期檢查和維護(hù)記錄；

7、應(yīng)具有機(jī)房監(jiān)控報警設(shè)施的安全資質(zhì)材料、安裝測試和驗(yàn)收報告；機(jī)房監(jiān)控報警系統(tǒng)的運(yùn)行記錄、定期檢查和維護(hù)記錄

8、應(yīng)具有機(jī)房建筑的避雷裝置；通過驗(yàn)收或國家有關(guān)部門的技術(shù)檢測；

9、應(yīng)在電源和信號線上增加有資質(zhì)的防雷保安器；具有防雷檢測資質(zhì)的檢測部門對防雷裝置的檢測報告

10、應(yīng)具有自動檢測火情、自動報警、自動滅火的自動消防系統(tǒng)；自動消防系統(tǒng)的運(yùn)行記錄、檢查和定期維護(hù)記錄；消防產(chǎn)品有效期合格；自動消防系統(tǒng)是經(jīng)消防檢測部門檢測合格的產(chǎn)品

11、應(yīng)具有除濕裝置；空調(diào)機(jī)和加濕器；溫濕度定期檢查和維護(hù)記錄

12、應(yīng)具有水敏感的檢測儀表或元件；對機(jī)房進(jìn)行防水檢測和報警；防水檢測裝置的運(yùn)行記錄、定期檢查和維護(hù)記錄

13、應(yīng)具有溫濕度自動調(diào)節(jié)設(shè)施；溫濕度自動調(diào)節(jié)設(shè)施的運(yùn)行記錄、定期檢查和維護(hù)記錄

14、應(yīng)具有短期備用電力供應(yīng)設(shè)備（如UPS）；短期備用電力供應(yīng)設(shè)備的運(yùn)行記錄、定期檢查和維護(hù)記錄

15、應(yīng)具有冗余或并行的電力電纜線路（如雙路供電方式）

16、應(yīng)具有備用供電系統(tǒng)（如備用發(fā)電機(jī)）；備用供電系統(tǒng)運(yùn)行記錄、定期檢查和維護(hù)記錄

二、安全管理制度

1、應(yīng)具有對重要管理操作的操作規(guī)程，如系統(tǒng)維護(hù)手冊和用戶操作規(guī)程

2、應(yīng)具有安全管理制度的制定程序：

3、應(yīng)具有專門的部門或人員負(fù)責(zé)安全管理制度的制定（發(fā)布制度具有統(tǒng)一的格式，并進(jìn)行版本控制）

4、應(yīng)對制定的安全管理制度進(jìn)行論證和審定，論證和審定方式如何（如召開評審會、函審、內(nèi)部審核等），應(yīng)具有管理制度評審記錄

5、應(yīng)具有安全管理制度的收發(fā)登記記錄，收發(fā)應(yīng)通過正式、有效的方式（如正式發(fā)文、領(lǐng)導(dǎo)簽署和單位蓋章等）----安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進(jìn)行登記。

6、信息安全領(lǐng)導(dǎo)小組定期對安全管理制度體系的合理性和適用性進(jìn)行審定，審定周期多長。（安全管理制度體系的評審記錄）

7、系統(tǒng)發(fā)生重大安全事故、出現(xiàn)新的安全漏洞以及技術(shù)基礎(chǔ)結(jié)構(gòu)和組織結(jié)構(gòu)等發(fā)生變更時應(yīng)對安全管理制度進(jìn)行檢查，對需要改進(jìn)的制度進(jìn)行修訂。（應(yīng)具有安全管理制度修訂記錄）

三、安全管理機(jī)構(gòu)

1、應(yīng)設(shè)立信息安全管理工作的職能部門

2、應(yīng)設(shè)立安全主管、安全管理各個方面的負(fù)責(zé)人

3、應(yīng)設(shè)立機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等重要崗位（分工明確，各司其職），數(shù)量情況（管理人員名單、崗位與人員對應(yīng)關(guān)系表）

4、安全管理員應(yīng)是專職人員

5、關(guān)鍵事物需要配備2人或2人以上共同管理，人員具體配備情況如何。

6、應(yīng)設(shè)立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組（最高領(lǐng)導(dǎo)是否由單位主管領(lǐng)導(dǎo)委任或授權(quán)的人員擔(dān)任）

7、應(yīng)對重要信息系統(tǒng)活動進(jìn)行審批（如系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入、重要管理制度的制定和發(fā)布、人員的配備和培訓(xùn)、產(chǎn)品的采購、外部人員的訪問等），審批部門是何部門，審批人是何人。審批程序：

8、應(yīng)與其它部門之間及內(nèi)部各部門管理人員定期進(jìn)行溝通（信息安全領(lǐng)導(dǎo)小組或者安全管理委員會應(yīng)定期召開會議）

9、應(yīng)組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的安全工作會議文件或會議記錄，定期：

10、信息安全管理委員會或領(lǐng)導(dǎo)小組安全管理工作執(zhí)行情況的文件或工作記錄（如會議記錄/紀(jì)要，信息安全工作決策文檔等）

11、應(yīng)與公安機(jī)關(guān)、電信公司和兄弟單位等的溝通合作（外聯(lián)單位聯(lián)系列表）

12、應(yīng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織等建立溝通、合作機(jī)制。

13、聘請信息安全專家作為常年的安全顧問（具有安全顧問名單或者聘請安全顧問的證明文件、具有安全顧問參與評審的文檔或記錄）

14、應(yīng)組織人員定期對信息系統(tǒng)進(jìn)行安全檢查（查看檢查內(nèi)容是否包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況）

15、應(yīng)定期進(jìn)行全面安全檢查（安全檢查是否包含現(xiàn)行技術(shù)措施有效性和管理制度執(zhí)行情況等方面、具有安全檢查表格，安全檢查報告，檢查結(jié)果通告記錄）

四、人員安全管理

1、何部門/何人負(fù)責(zé)安全管理和技術(shù)人員的錄用工作（錄用過程）

2、應(yīng)對被錄用人的身份、背景、專業(yè)資格和資質(zhì)進(jìn)行審查，對技術(shù)人員的技術(shù)技能進(jìn)行考核，技能考核文檔或記錄

3、應(yīng)與錄用后的技術(shù)人員簽署保密協(xié)議（協(xié)議中有保密范圍、保密責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容）

4、應(yīng)設(shè)定關(guān)鍵崗位，對從事關(guān)鍵崗位的人員是否從內(nèi)部人員中選拔，是否要求其簽署崗位安全協(xié)議。

5、應(yīng)及時終止離崗人員的所有訪問權(quán)限（離崗人員所有訪問權(quán)限終止的記錄）

6、應(yīng)及時取回離崗人員的各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備等（交還身份證件和設(shè)備等的登記記錄）

7、人員離崗應(yīng)辦理調(diào)離手續(xù)，是否要求關(guān)鍵崗位調(diào)離人員承諾相關(guān)保密義務(wù)后方可離開（具有按照離崗程序辦理調(diào)離手續(xù)的記錄，調(diào)離人員的簽字）

8、對各個崗位人員應(yīng)定期進(jìn)行安全技能考核；具有安全技能考核記錄，考核內(nèi)容要求包含安全知識、安全技能等。

9、對關(guān)鍵崗位人員的安全審查和考核與一般崗位人員有何不同，審查內(nèi)容是否包括操作行為和社會關(guān)系等。

10、應(yīng)對各類人員（普通用戶、運(yùn)維人員、單位領(lǐng)導(dǎo)等）進(jìn)行安全教育、崗位技能和安全技術(shù)培訓(xùn)。

11、應(yīng)針對不同崗位制定不同的培訓(xùn)計(jì)劃，并按照計(jì)劃對各個崗位人員進(jìn)行安全教育和培訓(xùn)（安全教育和培訓(xùn)的結(jié)果記錄，記錄應(yīng)與培訓(xùn)計(jì)劃一致）

12、外部人員進(jìn)入條件（對哪些重要區(qū)域的訪問須提出書面申請批準(zhǔn)后方可進(jìn)入），外部人員進(jìn)入的訪問控制（由專人全程陪同或監(jiān)督等）

13、應(yīng)具有外部人員訪問重要區(qū)域的書面申請

14、應(yīng)具有外部人員訪問重要區(qū)域的登記記錄（記錄描述了外部人員訪問重要區(qū)域的進(jìn)入時間、離開時間、訪問區(qū)域、訪問設(shè)備或信息及陪同人等）

五、系統(tǒng)建設(shè)管理

1、應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級（具有定級文檔，明確信息系統(tǒng)安全保護(hù)等級）

2、應(yīng)具有系統(tǒng)建設(shè)/整改方案

3、應(yīng)授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃，由何部門/何人負(fù)責(zé)

4、應(yīng)具有系統(tǒng)的安全建設(shè)工作計(jì)劃（系統(tǒng)安全建設(shè)工作計(jì)劃中明確了近期和遠(yuǎn)期的安全建設(shè)計(jì)劃）

5、應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技術(shù)框架、安全管理策略等相關(guān)配套文件進(jìn)行論證和審定（配套文件的論證評審記錄或文檔）

6、應(yīng)對總體安全策略、安全技術(shù)框架、安全管理策略等相關(guān)配套文件應(yīng)定期進(jìn)行調(diào)整和修訂

7、應(yīng)具有總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的維護(hù)記錄或修訂版本

8、應(yīng)按照國家的相關(guān)規(guī)定進(jìn)行采購和使用系統(tǒng)信息安全產(chǎn)品

9、安全產(chǎn)品的相關(guān)憑證，如銷售許可等，應(yīng)使用符合國家有關(guān)規(guī)定產(chǎn)品

10、應(yīng)具有專門的部門負(fù)責(zé)產(chǎn)品的采購

11、采購產(chǎn)品前應(yīng)預(yù)先對產(chǎn)品進(jìn)行選型測試確定產(chǎn)品的候選范圍，形成候選產(chǎn)品清單，是否定期審定和更新候選產(chǎn)品名單

12、應(yīng)具有產(chǎn)品選型測試結(jié)果記錄和候選產(chǎn)品名單及更新記錄（產(chǎn)品選型測試結(jié)果文檔）

13、應(yīng)具有軟件設(shè)計(jì)相關(guān)文檔，專人保管軟件設(shè)計(jì)的相關(guān)文檔，應(yīng)具有軟件使用指南或操作手冊

14、對程序資源庫的修改、更新、發(fā)布應(yīng)進(jìn)行授權(quán)和批準(zhǔn)

15、應(yīng)具有程序資源庫的修改、更新、發(fā)布文檔或記錄

16、軟件交付前應(yīng)依據(jù)開發(fā)協(xié)議的技術(shù)指標(biāo)對軟件功能和性能等進(jìn)行驗(yàn)收檢測

17、軟件安裝之前應(yīng)檢測軟件中的惡意代碼（該軟件包的惡意代碼檢測報告），檢測工具是否是第三方的商業(yè)產(chǎn)品

18、應(yīng)具有軟件設(shè)計(jì)的相關(guān)文檔和使用指南

19、應(yīng)具有需求分析說明書、軟件設(shè)計(jì)說明書、軟件操作手冊等開發(fā)文檔

20、應(yīng)指定專門部門或人員按照工程實(shí)施方案的要求對工程實(shí)施過程進(jìn)行進(jìn)度和質(zhì)量控制

21、應(yīng)具有工程實(shí)施過程應(yīng)按照實(shí)施方案形成各種文檔，如階段性工程進(jìn)程匯報報告，工程實(shí)施方案

22、在信息系統(tǒng)正式運(yùn)行前，應(yīng)委托第三方測試機(jī)構(gòu)根據(jù)設(shè)計(jì)方案或合同要求對信息系統(tǒng)進(jìn)行獨(dú)立的安全性測試（第三方測試機(jī)構(gòu)出示的系統(tǒng)安全性測試驗(yàn)收報告）

23、應(yīng)具有工程測試驗(yàn)收方案（測試驗(yàn)收方案與設(shè)計(jì)方案或合同要求內(nèi)容一致）

24、應(yīng)具有測試驗(yàn)收報告

25、應(yīng)指定專門部門負(fù)責(zé)測試驗(yàn)收工作（具有對系統(tǒng)測試驗(yàn)收報告進(jìn)行審定的意見）

26、根據(jù)交付清單對所交接的設(shè)備、文檔、軟件等進(jìn)行清點(diǎn)（系統(tǒng)交付清單）

27、應(yīng)具有系統(tǒng)交付時的技術(shù)培訓(xùn)記錄

28、應(yīng)具有系統(tǒng)建設(shè)文檔（如系統(tǒng)建設(shè)方案）、指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔（如服務(wù)器操作規(guī)程書）以及系統(tǒng)培訓(xùn)手冊等文檔。

29、應(yīng)指定部門負(fù)責(zé)系統(tǒng)交付工作

30、應(yīng)具有與產(chǎn)品供應(yīng)商、軟件開發(fā)商、系統(tǒng)集成商、系統(tǒng)運(yùn)維商和等級測評機(jī)構(gòu)等相關(guān)安全服務(wù)商簽訂的協(xié)議（文檔中有保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容

31、選定的安全服務(wù)商應(yīng)提供一定的技術(shù)培訓(xùn)和服務(wù)

32、應(yīng)與安全服務(wù)商簽訂的服務(wù)合同或安全責(zé)任合同書

11、采購產(chǎn)品前應(yīng)預(yù)先對產(chǎn)品進(jìn)行選型測試確定產(chǎn)品的候選范圍，形成候選產(chǎn)品清單，是否定期審定和更新候選產(chǎn)品名單

12、應(yīng)具有產(chǎn)品選型測試結(jié)果記錄和候選產(chǎn)品名單及更新記錄（產(chǎn)品選型測試結(jié)果文檔）

13、應(yīng)具有軟件設(shè)計(jì)相關(guān)文檔，專人保管軟件設(shè)計(jì)的相關(guān)文檔，應(yīng)具有軟件使用指南或操作手冊

14、對程序資源庫的修改、更新、發(fā)布應(yīng)進(jìn)行授權(quán)和批準(zhǔn)

15、應(yīng)具有程序資源庫的修改、更新、發(fā)布文檔或記錄

16、軟件交付前應(yīng)依據(jù)開發(fā)協(xié)議的技術(shù)指標(biāo)對軟件功能和性能等進(jìn)行驗(yàn)收檢測

17、軟件安裝之前應(yīng)檢測軟件中的惡意代碼（該軟件包的惡意代碼檢測報告），檢測工具是否是第三方的商業(yè)產(chǎn)品

18、應(yīng)具有軟件設(shè)計(jì)的相關(guān)文檔和使用指南

19、應(yīng)具有需求分析說明書、軟件設(shè)計(jì)說明書、軟件操作手冊等開發(fā)文檔

20、應(yīng)指定專門部門或人員按照工程實(shí)施方案的要求對工程實(shí)施過程進(jìn)行進(jìn)度和質(zhì)量控制

21、應(yīng)具有工程實(shí)施過程應(yīng)按照實(shí)施方案形成各種文檔，如階段性工程進(jìn)程匯報報告，工程實(shí)施方案

22、在信息系統(tǒng)正式運(yùn)行前，應(yīng)委托第三方測試機(jī)構(gòu)根據(jù)設(shè)計(jì)方案或合同要求對信息系統(tǒng)進(jìn)行獨(dú)立的安全性測試（第三方測試機(jī)構(gòu)出示的系統(tǒng)安全性測試驗(yàn)收報告）

23、應(yīng)具有工程測試驗(yàn)收方案（測試驗(yàn)收方案與設(shè)計(jì)方案或合同要求內(nèi)容一致）

24、應(yīng)具有測試驗(yàn)收報告

25、應(yīng)指定專門部門負(fù)責(zé)測試驗(yàn)收工作（具有對系統(tǒng)測試驗(yàn)收報告進(jìn)行審定的意見）

26、根據(jù)交付清單對所交接的設(shè)備、文檔、軟件等進(jìn)行清點(diǎn)（系統(tǒng)交付清單）

27、應(yīng)具有系統(tǒng)交付時的技術(shù)培訓(xùn)記錄

28、應(yīng)具有系統(tǒng)建設(shè)文檔（如系統(tǒng)建設(shè)方案）、指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔（如服務(wù)器操作規(guī)程書）以及系統(tǒng)培訓(xùn)手冊等文檔。

29、應(yīng)指定部門負(fù)責(zé)系統(tǒng)交付工作

30、應(yīng)具有與產(chǎn)品供應(yīng)商、軟件開發(fā)商、系統(tǒng)集成商、系統(tǒng)運(yùn)維商和等級測評機(jī)構(gòu)等相關(guān)安全服務(wù)商簽訂的協(xié)議（文檔中有保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容

31、選定的安全服務(wù)商應(yīng)提供一定的技術(shù)培訓(xùn)和服務(wù)

32、應(yīng)與安全服務(wù)商簽訂的服務(wù)合同或安全責(zé)任合同書

六、系統(tǒng)運(yùn)維管理

1、應(yīng)指定專人或部門對機(jī)房的基本設(shè)施（如空調(diào)、供配電設(shè)備等）進(jìn)行定期維護(hù)，由何部門/何人負(fù)責(zé)。

2、應(yīng)具有機(jī)房基礎(chǔ)設(shè)施的維護(hù)記錄，空調(diào)、溫濕度控制等機(jī)房設(shè)施定期維護(hù)保養(yǎng)的記錄

3、應(yīng)指定部門和人員負(fù)責(zé)機(jī)房安全管理工作

4、應(yīng)對辦公環(huán)境保密性進(jìn)行管理（工作人員離開座位確保終端計(jì)算機(jī)退出登錄狀態(tài)、桌面上沒有包含敏感信息的紙檔文件）

5、應(yīng)具有資產(chǎn)清單（覆蓋資產(chǎn)責(zé)任人、所屬級別、所處位置、所處部門等方面）

6、應(yīng)指定資產(chǎn)管理的責(zé)任部門或人員

7、應(yīng)依據(jù)資產(chǎn)的重要程度對資產(chǎn)進(jìn)行標(biāo)識

8、介質(zhì)存放于何種環(huán)境中，應(yīng)對存放環(huán)境實(shí)施專人管理（介質(zhì)存放在安全的環(huán)境（防潮、防盜、防火、防磁，專用存儲空間））

9、應(yīng)具有介質(zhì)使用管理記錄，應(yīng)記錄介質(zhì)歸檔和使用等情況（介質(zhì)存放、使用管理記錄）

10、對介質(zhì)的物理傳輸過程應(yīng)要求選擇可靠傳輸人員、嚴(yán)格介質(zhì)的打包（如采用防拆包裝置）、選擇安全的物理傳輸途徑、雙方在場交付等環(huán)節(jié)的控制

11、應(yīng)對介質(zhì)的使用情況進(jìn)行登記管理，并定期盤點(diǎn)（介質(zhì)歸檔和查詢的記錄、存檔介質(zhì)定期盤點(diǎn)的記錄）

12、對送出維修或銷毀的介質(zhì)如何管理，銷毀前應(yīng)對數(shù)據(jù)進(jìn)行凈化處理。（對帶出工作環(huán)境的存儲介質(zhì)是否進(jìn)行內(nèi)容加密并有領(lǐng)導(dǎo)批準(zhǔn)。對保密性較高的介質(zhì)銷毀前是否有領(lǐng)導(dǎo)批準(zhǔn)）（送修記錄、帶出記錄、銷毀記錄）

13、應(yīng)對某些重要介質(zhì)實(shí)行異地存儲，異地存儲環(huán)境是否與本地環(huán)境相同（防潮、防盜、防火、防磁，專用存儲空間）

14、介質(zhì)上應(yīng)具有分類的標(biāo)識或標(biāo)簽

15、應(yīng)對各類設(shè)施、設(shè)備指定專人或?qū)ｉT部門進(jìn)行定期維護(hù)。

16、應(yīng)具有設(shè)備操作手冊

17、應(yīng)對帶離機(jī)房的信息處理設(shè)備經(jīng)過審批流程，由何人審批（審批記錄）

18、應(yīng)監(jiān)控主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用系統(tǒng)的運(yùn)行狀況等

19、應(yīng)有相關(guān)網(wǎng)絡(luò)監(jiān)控系統(tǒng)或技術(shù)措施能夠?qū)νㄐ啪€路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測和報警

20、應(yīng)具有日常運(yùn)維的監(jiān)控日志記錄和運(yùn)維交接日志記錄

21、應(yīng)定期對監(jiān)控記錄進(jìn)行分析、評審

22、應(yīng)具有異?，F(xiàn)象的現(xiàn)場處理記錄和事后相關(guān)的分析報告

23、應(yīng)建立安全管理中心，對設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級、安全審計(jì)等相關(guān)事項(xiàng)進(jìn)行集中管理

24、應(yīng)指定專人負(fù)責(zé)維護(hù)網(wǎng)絡(luò)安全管理工作

25、應(yīng)對網(wǎng)絡(luò)設(shè)備進(jìn)行過升級，更新前應(yīng)對現(xiàn)有的重要文件是否進(jìn)行備份（網(wǎng)絡(luò)設(shè)備運(yùn)維維護(hù)工作記錄）

26、應(yīng)對網(wǎng)絡(luò)進(jìn)行過漏洞掃描，并對發(fā)現(xiàn)的漏洞進(jìn)行及時修補(bǔ)。

27、對設(shè)備的安全配置應(yīng)遵循最小服務(wù)原則，應(yīng)對配置文件進(jìn)行備份（具有網(wǎng)絡(luò)設(shè)備配置數(shù)據(jù)的離線備份）

28、系統(tǒng)網(wǎng)絡(luò)的外聯(lián)種類（互聯(lián)網(wǎng)、合作伙伴企業(yè)網(wǎng)、上級部門網(wǎng)絡(luò)等）應(yīng)都得到授權(quán)與批準(zhǔn)，由何人/何部門批準(zhǔn)。應(yīng)定期檢查違規(guī)聯(lián)網(wǎng)的行為。

29、對便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入應(yīng)進(jìn)行限制管理

30、應(yīng)具有內(nèi)部網(wǎng)絡(luò)外聯(lián)的授權(quán)批準(zhǔn)書，應(yīng)具有網(wǎng)絡(luò)違規(guī)行為（如撥號上網(wǎng)等）的檢查手段和工具。

31、在安裝系統(tǒng)補(bǔ)丁程序前應(yīng)經(jīng)過測試，并對重要文件進(jìn)行備份。

32、應(yīng)有補(bǔ)丁測試記錄和系統(tǒng)補(bǔ)丁安裝操作記錄

33、應(yīng)對系統(tǒng)管理員用戶進(jìn)行分類（比如：劃分不同的管理角色，系統(tǒng)管理權(quán)限與安全審計(jì)權(quán)限分離等）

34、審計(jì)員應(yīng)定期對系統(tǒng)審計(jì)日志進(jìn)行分析（有定期對系統(tǒng)運(yùn)行日志和審計(jì)數(shù)據(jù)的分析報告）

35、應(yīng)對員工進(jìn)行基本惡意代碼防范意識的教育，如告知應(yīng)及時升級軟件版本（對員工的惡意代碼防范教育的相關(guān)培訓(xùn)文檔）

36、應(yīng)指定專人對惡意代碼進(jìn)行檢測，并保存記錄。

37、應(yīng)具有對網(wǎng)絡(luò)和主機(jī)進(jìn)行惡意代碼檢測的記錄

38、應(yīng)對惡意代碼庫的升級情況進(jìn)行記錄（代碼庫的升級記錄），對各類防病毒產(chǎn)品上截獲的惡意代碼是否進(jìn)行分析并匯總上報。是否出現(xiàn)過大規(guī)模的病毒事件，如何處理

39、應(yīng)具有惡意代碼檢測記錄、惡意代碼庫升級記錄和分析報告 40、應(yīng)具有變更方案評審記錄和變更過程記錄文檔。

41、重要系統(tǒng)的變更申請書，應(yīng)具有主管領(lǐng)導(dǎo)的批準(zhǔn)

42、系統(tǒng)管理員、數(shù)據(jù)庫管理員和網(wǎng)絡(luò)管理員應(yīng)識別需定期備份的業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)（備份文件記錄）

43、應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性

44、應(yīng)有系統(tǒng)運(yùn)維過程中發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件對應(yīng)的報告或相關(guān)文檔

45、應(yīng)對安全事件記錄分析文檔

46、應(yīng)具有不同事件的應(yīng)急預(yù)案

47、應(yīng)具有應(yīng)急響應(yīng)小組，應(yīng)具備應(yīng)急設(shè)備并能正常工作，應(yīng)急預(yù)案執(zhí)行所需資金應(yīng)做過預(yù)算并能夠落實(shí)。

48、應(yīng)對系統(tǒng)相關(guān)人員進(jìn)行應(yīng)急預(yù)案培訓(xùn)（應(yīng)急預(yù)案培訓(xùn)記錄）

49、應(yīng)定期對應(yīng)急預(yù)案進(jìn)行演練（應(yīng)急預(yù)案演練記錄）50、應(yīng)對應(yīng)急預(yù)案定期進(jìn)行審查并更新

51、應(yīng)具有更新的應(yīng)急預(yù)案記錄、應(yīng)急預(yù)案審查記錄。