等級保護測評-完全過程(非常全面)

1、等級保護測評過程 以三級為例 主題一 1 1 2 2 3 3 4 4 等級保護測評方法論 等保測評安全措施 等級保護測評概述 等級保護測評內容與方法 等保測評概述 等級測評等級測評是測評機構依據國家信息安全等級保護制度規(guī)定，受有關 單位委托，按照有關管理規(guī)范和技術標準，運用科學的手段和方法， 對處理特定應用的信息系統(tǒng)，采用安全技術測評和安全管理測評方 式，對保護狀況進行檢測評估，判定受測系統(tǒng)的技術和管理級別與 所定安全等級要求的符合程度，基于符合程度給出是否滿足所定安 全等級的結論，針對安全不符合項提出安全整改建議。 組合分析 1 1、等級等級測評測評是測評機構依據國家信息安全等級保護制度規(guī)定

2、： u 國家信息化領導小組關于加強信息安全保障工作的意見、保護安全建設整改工作的指導意見 、信 息安全等級保護管理辦法。 2、受有關單位委托，按照有關管理規(guī)范和技術標準（相關標準關系圖參見圖1、圖2） u 定級標準: 信息系統(tǒng)安全保護等級定級指南、 計算機信息系統(tǒng)安全保護等級劃分準則 ； u 建設標準：信息系統(tǒng)安全等級保護基本要求、信息系統(tǒng)通用安全技術要求、信息系統(tǒng)等級保護安 全設計技術要求； u 測評標準：信息系統(tǒng)安全等級保護測評要求 、 信息系統(tǒng)安全等級保護測評過程指南 、 信息系統(tǒng) 安全等級保護實施指南； u 管理標準：信息系統(tǒng)安全管理要求、 信息系統(tǒng)安全工程管理要求。 3、運用科學的手

3、段和方法： 采用6種方式，逐步深化的測試手段 u 調研訪談（業(yè)務、資產、安全技術和安全管理）； u 查看資料（管理制度、安全策略）； u 現場觀察（物理環(huán)境、物理部署）； u 查看配置（主機、網絡、安全設備）； u 技術測試（漏洞掃描）； u 評價（安全測評、符合性評價）。 組合分析 4、對處理特定應用的信息系統(tǒng)（查閱定級指南，哪些應用系統(tǒng)定級） 作為定級對象的信息系統(tǒng)應具有如下基本特征： u 具有唯一確定的安全責任單位。 作為定級對象的信息系統(tǒng)應能夠唯一地確定其安全責任單位。如果一個單位的某 個下級單位負責信息系統(tǒng)安全建設、運行維護等過程的全部安全責任，則這個下級單位可以成為信息系統(tǒng)的安全責

4、 任單位；如果一個單位中的不同下級單位分別承擔信息系統(tǒng)不同方面的安全責任，則該信息系統(tǒng)的安全責任單位應 是這些下級單位共同所屬的單位； u 具有信息系統(tǒng)的基本要素。 作為定級對象的信息系統(tǒng)應該是由相關的和配套的設備、設施按照一定的應用目標和 規(guī)則組合而成的有形實體。應避免將某個單一的系統(tǒng)組件，如服務器、終端、網絡設備等作為定級對象； u 承載單一或相對獨立的業(yè)務應用。 定級對象承載“單一”的業(yè)務應用是指該業(yè)務應用的業(yè)務流程獨立，且與其他 業(yè)務應用沒有數據交換，且獨享所有信息處理設備。定級對象承載“相對獨立”的業(yè)務應用是指其業(yè)務應用的主要 業(yè)務流程獨立，同時與其他業(yè)務應用有少量的數據交換，定級對

5、象可能會與其他業(yè)務應用共享一些設備，尤其是網 絡傳輸設備。 5、采用安全技術測評和安全管理測評方式： u 安全技術測評包括：物理安全、網絡安全、主機安全、應用安全、數據安全； u 安全管理測評包括：安全管理制度、安全管理機構、人員安全管理、系統(tǒng)建設管理、系統(tǒng)運維管理。 6、對保護狀況進行檢測評估，判定受測系統(tǒng)的技術和管理級別與所定安全等級要求的符合程度，基于符合程度給出 是否滿足所定安全等級的結論，針對安全不符合項提出安全整改建議。 u 符合程度：綜合分析具體指標符合性判斷，給出抽象指標符合性判斷結果，匯總所有抽象指標符合判斷，給出安全 等級滿足與否的結論； u 安全等級結論：結合受測系統(tǒng)符合

6、性程度，判斷受測系統(tǒng)是否滿足所定安全等級的結論； u 安全整改建議：提出安全整改建議，匯總、分析所有不符合項對應的改進建議，組合成可單獨執(zhí)行的整改建議。 主題二 1 1 2 2 3 3 4 4 等級保護測評方法論 等保測評安全措施 等級保護測評概述 等級保護測評內容與方法 等級保護完全實施過程 信息系統(tǒng)定級信息系統(tǒng)定級 安全總體規(guī)劃安全總體規(guī)劃 安全設計與實施安全設計與實施 安全運行維護安全運行維護 信息系統(tǒng)終止信息系統(tǒng)終止 安全等級測評安全等級測評 信息系統(tǒng)備案信息系統(tǒng)備案 安全整改設計安全整改設計 等級符合性檢查等級符合性檢查 應急預案及演練應急預案及演練 安全要求整改 安全等級整改 局部

7、調整 等級變更 信息系統(tǒng)全生命周期分為“信息系統(tǒng)定級、總體安全規(guī)劃、安全設計與 實施、安全運行維護、信息系統(tǒng)終止”等五個階段。 u 信息系統(tǒng)定級信息系統(tǒng)定級 定級備案是信息安全等級保護的首要環(huán)節(jié)。信息系統(tǒng)定級工作應按照“自主定級、專家評審、主管部門審批、 公安機關審核”的原則進行。在等級保護工作中，信息系統(tǒng)運營使用單位和主管部門按照“誰主管誰負責，誰 運營誰負責”的原則開展工作，并接受信息安全監(jiān)管部門對開展等級保護工作的監(jiān)管。 u 總體安全規(guī)劃總體安全規(guī)劃 總體安全規(guī)劃階段的目標是根據信息系統(tǒng)的劃分情況、信息系統(tǒng)的定級情況、信息系統(tǒng)承載業(yè)務情況，通過分 析明確信息系統(tǒng)安全需求，設計合理的、滿足

8、等級保護要求的總體安全方案，并制定出安全實施計劃，以指導 后續(xù)的信息系統(tǒng)安全建設工程實施。對于已運營（運行）的信息系統(tǒng)，需求分析應當首先分析判斷信息系統(tǒng)的 安全保護現狀與等級保護要求之間的差距。 u 安全設計與實施安全設計與實施 安全設計與實施階段的目標是按照信息系統(tǒng)安全總體方案的要求，結合信息系統(tǒng)安全建設項目計劃，分期分步 落實安全措施 u 安全運行維護安全運行維護 安全運行與維護是等級保護實施過程中確保信息系統(tǒng)正常運行的必要環(huán)節(jié)，涉及的內容較多，包括安全運行與 維護機構和安全運行與維護機制的建立，環(huán)境、資產、設備、介質的管理，網絡、系統(tǒng)的管理，密碼、密鑰的 管理，運行、變更的管理，安全狀態(tài)

9、監(jiān)控和安全事件處置，安全審計和安全檢查等內容。本標準并不對上述所 有的管理過程進行描述，希望全面了解和控制安全運行與維護階段各類過程的本標準使用者可以參見其它標準 或指南 u 信息系統(tǒng)終止信息系統(tǒng)終止 信息系統(tǒng)終止階段是等級保護實施過程中的最后環(huán)節(jié)。當信息系統(tǒng)被轉移、終止或廢棄時，正確處理系統(tǒng)內的 敏感信息對于確保機構信息資產的安全是至關重要的。在信息系統(tǒng)生命周期中，有些系統(tǒng)并不是真正意義上的 廢棄，而是改進技術或轉變業(yè)務到新的信息系統(tǒng)，對于這些信息系統(tǒng)在終止處理過程中應確保信息轉移、設備 遷移和介質銷毀等方面的安全 等保測評工作流程 等級測評的工作流程，依據信息系統(tǒng)安全等級保護測評過程指南，

10、具體內容 參見：等保測評工作流程圖 準備階段 方案編制階段 現場測評階段 報告編制階段 等保實施計劃 安全管理調研安全管理調研 現場實地調研現場實地調研 現狀調研報告現狀調研報告 滲透滲透測試報告測試報告 信息信息資產調研表資產調研表 人工審計報告人工審計報告 掃描報告掃描報告 基礎培訓基礎培訓PPTPPT 安全技術調研安全技術調研 信息安全信息安全 愿景制定愿景制定 信息安全總體信息安全總體 框架設計框架設計 管理體系管理體系 技術體系技術體系 運維體系運維體系 項目項目 準備準備 等保差距報告等保差距報告 風險風險評估報告評估報告 技能和意識培訓技能和意識培訓 項目項目 準備準備 現狀調研

11、現狀調研風險與差距分析風險與差距分析體系規(guī)劃與建立體系規(guī)劃與建立 交流、知識轉移、培訓、宣傳交流、知識轉移、培訓、宣傳 項目項目 驗收驗收 項目項目 驗收驗收 控制風險分析控制風險分析 等保差距分析等保差距分析 高危問題整改高危問題整改 規(guī)劃報告規(guī)劃報告 體系體系文件文件 . 等保測評等保測評 主題三 1 1 2 2 3 3 4 4 等級保護測評方法論 等保測評安全措施 等級保護測評概述 等級保護測評內容與方法 等級保護綜合測評 物理安全物理安全 網絡安全網絡安全 主機系統(tǒng)安全主機系統(tǒng)安全 應用安全應用安全 數據安全數據安全 安全管理機構安全管理機構 安全管理制度安全管理制度 人員安全管理人員

12、安全管理 系統(tǒng)建設管理系統(tǒng)建設管理 系統(tǒng)運維管理系統(tǒng)運維管理 信息信息 系統(tǒng)系統(tǒng) 綜合綜合測評測評 技技 術術 要要 求求 管管 理理 要要 求求 等級保護測評類型 等等?；疽蟮娜N技術類型?；疽蟮娜N技術類型 （S/A/GS/A/G） S:保護數據在存儲、傳輸、處理過程 中不被泄漏、破壞和免受未授權修改的信信 息安全類息安全類要求要求;-物理訪問控制、邊界完整 性檢查、身份鑒別、通信完整性、保密性 等； A:保護系統(tǒng)連續(xù)正常的運行，免受對 系統(tǒng)的未授權修改、破壞而導致系統(tǒng)不可 用的服務保證類服務保證類要求要求;-電力供應、資源控 制、軟件容錯等 G:通用通用安全保護類安全保護類要求要

13、求。-技術類中 的安全審計、管理制度等 G GA AS S 等級保護測評指標 測評測評指標指標 技術技術/ 管理管理 安全類 安全子類數量安全子類數量 S類 (2級) S類 (3級) A類 (2級) A類 (3級) G類 (2級) G類 (3級) F類 (2級) F類 (3級) 要求項控制點控制點 二 級 三 級 二 級 三三 級級 技術技術 類類 物理安全11118 29 4 18101823 47 網絡安全1100531676724 40 主機安全2311312036320 34 應用安全452216267621 37 數據安全22110003334 8 管理管理 類類 安全管理制度007

14、 10 0 2327 12 安全管理機構00919285811 27 人員安全管理001116545416 20 系統(tǒng)建設管理002841131891841 59 系統(tǒng)運維管理0027514254125469 105 合合 計計6673236389 等保測評方法 訪談 訪談是指測評人員通過與信息系統(tǒng)有關人員（個人/群體）進 行交流、討論等活動，獲取相關證據以表明信息系統(tǒng)安全保護 措施是否有效落實的一種方法。在訪談范圍上，應基本覆蓋所 有的安全相關人員類型，在數量上可以抽樣。 檢查 檢查是指測評人員通過對測評對象進行觀察、查驗、分析等活 動，獲取相關證據以證明信息系統(tǒng)安全保護措施是否有效實施 的

15、一種方法。在檢查范圍上，應基本覆蓋所有的對象種類（設 備、文檔、機制等），數量上可以抽樣。 測試 測試是指測評人員針對測評對象按照預定的方法/工具使其產 生特定的響應，通過查看和分析響應的輸出結果，獲取證據以 證明信息系統(tǒng)安全保護措施是否得以有效實施的一種方法。在 測試范圍上，應基本覆蓋不同類型的機制，在數量上可以抽樣。 安全等級安全等級控制點控制點要求項要求項 919 1032 1039 物理位置的選擇物理位置的選擇 （2項）項） 物理訪問控制物理訪問控制 （4項）項） 防盜竊和防破壞防盜竊和防破壞 （6項）項） 防雷擊防雷擊 （3項）項） 防火防火 （3項）項） 防水和防潮防水和防潮 （4

16、項）項） 防靜電防靜電 （2項）項） 溫濕度控制溫濕度控制 （1項）項） 電力供應電力供應 （4項）項） 電磁防護電磁防護 （3項）項） 以以第第三級為例三級為例 物 理 安 全 物理安全測評內容和方法 物理位置物理位置選擇選擇 物理物理訪問訪問控制控制 調研訪談：機房具有防震、防雨和防風能力，并提供機房設計和驗收證明； 現場查看：查看機房是否建在高層或地下室。 防防盜盜和防破壞和防破壞 防雷防雷擊擊 防火防火 防水和防潮防水和防潮 防防靜電靜電 溫濕溫濕度控制度控制 電電力供力供應應 電電磁防磁防護護 物 理 安 全 調研訪談：專人值守、進出記錄、申請和審批記錄、物理隔離、門禁系統(tǒng)； 現場查

17、看：進出登記記錄、物理區(qū)域化管理、電子門禁系統(tǒng)運行和維護記錄。 調研訪談：設備固定和標識、隱蔽布線、介質分類存儲標識、部署防盜監(jiān)控系統(tǒng)； 現場查看：設備固定和標識、監(jiān)控報警系統(tǒng)安全材料、測試和驗收報告。 調研訪談：安裝避雷裝置、專業(yè)地線、防雷感應器； 現場查看：機房防雷設計/驗收文檔、接地設計/驗收文檔，交流地線和防雷設備 調研訪談：自動報警滅火設備、耐火材料、物理防火隔離； 現場查看：自動消防運行、報警、維護記錄，機房防火設計/驗收文檔。 調研訪談：機房內有無上下水，防水和防漏措施； 現場查看：機房防水和防潮設計/驗收文檔，地下積水的轉移與滲透的措施。 調研訪談：接地防靜電措施，采用防靜電地

18、板； 現場查看：防靜電措施文檔，防靜電地板驗收文檔。 調研訪談：溫、濕度自動調節(jié)設施，專人負責； 現場查看：溫濕度控制設計/驗收文檔，溫濕度記錄、運行記錄和維護記錄。 調研訪談：部署穩(wěn)壓器和過電壓防護設備，UPS和市電冗余； 現場查看：電源設備的檢查和維護記錄，備用供電系統(tǒng)運行記錄，市電切換記錄。 調研訪談：安全接地，關鍵設備和磁介質實施電磁屏蔽； 現場查看：查看安全接地、電源線和通訊線隔離，電磁屏蔽容器。 物理安全測評基本要求和實現方法 基本防護能力高層、地下室 基本出入控制 分區(qū)域管理 在機房中的活動電子門禁 存放位置、標識標記監(jiān)控報警系統(tǒng) 建筑防雷、機房接地設備防雷 滅火設備、自動報警自

19、動消防系統(tǒng)區(qū)域隔離措施 關鍵設備和地板防靜電 防靜電地板 穩(wěn)定電壓、短期供應 冗余/并行線路備用供電系統(tǒng) 線纜隔離、設備和介質屏蔽 接地防干擾 電磁屏蔽 防水設備、防水應急預案或措施 基本要求實現方法/案例 空調系統(tǒng)、自動調節(jié) 接地線 溫濕度自動調節(jié)設施 上下水管門窗防水 線纜隔離布線 機房部署中層 物理位置的選擇 物理訪問控制 防盜竊和防破壞 防雷擊 防火 防靜電 電力供應 電磁防護 防水和防潮 溫濕度控制 安全等級安全等級控制點控制點要求項要求項 618 733 732 結構安全結構安全 （7項）項） 訪問控制訪問控制 （8項）項） 安全審計安全審計 （4項）項） 邊界完整性檢查邊界完整性

20、檢查 （2項）項） 入侵防范入侵防范 （2項）項） 惡意代碼防范惡意代碼防范 （2項）項） 網絡設備防護網絡設備防護 （8項）項） 以以第第三級為例三級為例 網 絡 安 全 網絡安全測評內容和方法 結構結構安全安全 訪問訪問控制控制 調研訪談：網絡冗余、帶寬情況、安全路徑、子網和網段分配原則、重要網段隔離； 測評判斷：網絡設計或驗收文檔，路由控制策略，網絡設計或驗收文檔，網絡隔離手段。 安全安全審計審計 邊邊界完整性界完整性檢查檢查 入侵入侵檢測檢測 惡惡意代意代碼碼防防護護 網絡設備網絡設備防防護護 網 絡 安 全 調研訪談：網絡邊界控制策略， 測評判斷：會話對數據流進行控制，應用層協議控制

21、，自動終止網絡連接的配置等。 調研訪談：開啟安全審計功能、審計內容、審計報表、審計記錄保護； 測評判斷：審計全面監(jiān)測、查看審計報表、審計記錄處理方式。 調研訪談：外網接入內網行為監(jiān)控、內網私自聯到外網行為監(jiān)控，并進行阻斷處理； 測評判斷：查看外網接入內網行為和內網私自聯到外網行為進行監(jiān)控的配置。 調研訪談：網絡入侵防范措施、防范規(guī)則庫升級方式、網絡入侵防范的設備； 測評判斷：檢查網絡入侵防范設備，查看檢測的攻擊行為和安全警告方式。 調研訪談：網絡惡意代碼防范措施、惡意代碼庫的更新策略； 測評判斷：網絡設計或驗收文檔，網絡邊界對惡意代碼采取的措施和防惡意代碼產品更新。 調研訪談：兩種用戶身份鑒別

22、、地址限制、用戶唯一、口令復雜度要求、登錄失敗驗證等； 測評判斷：用戶唯一和地址限制、密碼復雜度和兩種身份鑒別方式、特權用戶權限分配。 網絡安全測評基本要求和實現方法 基本要求實現方法/案例 關鍵設備冗余空間 子網/網段控制核心網絡帶寬 主要設備冗余空間 整體網絡帶寬重要網段部署 路由控制 訪問控制設備（用戶、網段） 撥號訪問限制 應用層協議過濾會話終止 端口控制 最大流量數及最大連接數 防止地址欺騙 結構安全 訪問控制 安全審計 邊界完整性檢查 入侵防范 惡意代碼防范 網絡設備防護 審計報表審計記錄的保護 定位及阻斷 內部的非法聯出 非授權設備私自外聯 檢測常見攻擊記錄、報警 網絡邊界處防范

23、 基本的登錄鑒別組合鑒別技術 特權用戶的權限分離 邊界惡意代碼檢測 代碼庫升級 重要客戶端的審計重要客戶端的審計 日志記錄 安全等級安全等級控制點控制點要求項要求項 619 732 936 身份鑒別身份鑒別 （6項）項） 訪問控制訪問控制 （7項）項） 安全審計安全審計 （6項）項） 剩余信息保護剩余信息保護 （2項）項） 入侵防范入侵防范 （3項）項） 惡意代碼防范惡意代碼防范 （3項）項） 系統(tǒng)資源控制系統(tǒng)資源控制 （5項）項） 以以第第三級為例三級為例 主 機 安 全 主機安全測評內容和方法 身身份鑒別份鑒別 訪問訪問控制控制 安全安全審計審計 剩余信息保剩余信息保護護 入侵入侵檢測檢測

24、 惡惡意代意代碼碼防范防范 資資源控制源控制 主 機 安 全 調研訪談：安全策略、最小分配原則、權限分離、刪除多余賬戶、敏感標識、控制敏感資源； 測評判斷：檢查服務器操作系統(tǒng)的安全策略、查看特權用戶的權限是否進行分離。 調研訪談：保證數據存儲空間、重新分配前完全清楚數據； 測評判斷：檢查操作系統(tǒng)和數據庫系統(tǒng)維護操作手冊，包括：存儲空間被釋放和重新分配原則。 調研訪談：入侵防范措施和安全報警、重要程序的完整性進行檢測、系統(tǒng)補丁及時更新； 測評判斷：檢查入侵防范系統(tǒng)、檢測到完整性受到破壞后恢復的措施、補丁升級記錄。 調研訪談： 安裝防惡意代碼軟件、防惡意代碼軟件統(tǒng)一管理； 測評判斷：檢查實時檢測與

25、惡意代碼的軟件產品并進行及時更新、主機和網絡惡意代碼軟件不同 調研訪談：限制終端登錄、登錄超時鎖定、對服務器進行監(jiān)控、限制用戶對資源的訪問等； 測評判斷：檢查服務器操作系統(tǒng)限制終端登錄、超時鎖定、服務器監(jiān)控等 調研訪談：兩種用戶身份鑒別、地址限制、用戶唯一、口令復雜度要求、登錄失敗驗證等； 測評判斷：用戶唯一和地址限制、密碼復雜度和兩種身份鑒別方式、特權用戶權限分配。 調研訪談：開啟安全審計功能、審計內容、審計報表、審計記錄保護； 測評判斷：審計全面監(jiān)測、查看審計報表、審計記錄處理方式。 主機安全測評基本要求和實現方法 基本要求實現方法/案例 訪問控制 安全審計 剩余信息保護 入侵防范 惡意代

26、碼防范 資源控制 審計報表審計記錄的保護 空間釋放 惡意代碼防范產品 對用戶會話數及終端登錄的限制 監(jiān)視重要服務器 最小服務水平的檢測及報警 防惡意代碼軟件、代碼庫統(tǒng)一管理 身份鑒別 基本的身份鑒別組合鑒別技術 安全策略特權用戶的權限分離 管理用戶的權限分離 敏感標記的設置及操作 服務器基本運行情況審計 重要客戶端的審計 空間釋放及信息清除 最小安裝原則升級服務器重要服務器：檢測、記錄、報警 重要程序完整性 安全等級安全等級控制點控制點要求項要求項 719 931 1136 身份鑒別身份鑒別 （5項）項） 訪問控制訪問控制 （6項）項） 安全審計安全審計 （4項）項） 剩余信息保護剩余信息保護

27、 (2項項) 通信完整性通信完整性 (1項項) 通信保密性通信保密性 (2項項) 抗抵賴抗抵賴 (2項項) 軟件容錯軟件容錯 (2項項) 以以第第三級為例三級為例 應 用 安 全 應用安全測評內容和方法 身身份鑒別份鑒別 訪問訪問控制控制 安全安全審計審計 剩余信息保剩余信息保護護 通通訊訊完整性完整性 通通訊訊保密性保密性 抗抵抗抵賴賴 應 用 安 全 調研訪談：應采用密碼技術保證通信過程中數據的完整性； 測評判斷：檢查設計或驗收文檔，是否有用密碼技術來保證通信過程中數據的完整性的描述。 調研訪談：利用密碼技術進行會話初始化驗證、對整個報文或會話過程進行加密； 測評判斷：系統(tǒng)數據在通信過程中

28、采取掃描保密措施，查看具體措施。 調研訪談：數據原發(fā)者或接收者提供數據原發(fā)證據的功能； 測評判斷：系統(tǒng)是否具有抗抵賴的措施，查看具體措施。 軟軟件容件容錯錯 調研訪談：數據有效性檢驗功能、當故障發(fā)生時自動保護當前所有狀態(tài)； 測評判斷：查看應用系統(tǒng)是否對人機接口輸入或通信接口輸入的數據進行有效性檢驗。 資資源控制源控制 調研訪談：兩種用戶身份鑒別、地址限制、用戶唯一、口令復雜度要求、登錄失敗驗證等； 測評判斷：用戶唯一和地址限制、密碼復雜度和兩種身份鑒別方式、特權用戶權限分配。 調研訪談：安全策略、最小分配原則、權限分離、刪除多余賬戶、敏感標識、控制敏感資源； 測評判斷：檢查服務器操作系統(tǒng)的安全

29、策略、查看特權用戶的權限是否進行分離。 調研訪談：開啟安全審計功能、審計內容、審計報表、審計記錄保護； 測評判斷：審計全面監(jiān)測、查看審計報表、審計記錄處理方式。 調研訪談：保證數據存儲空間、重新分配前完全清楚數據； 測評判斷：檢查操作系統(tǒng)和數據庫系統(tǒng)維護操作手冊，包括：存儲空間被釋放和重新分配原則。 調研訪談：限制終端登錄、登錄超時鎖定、對服務器進行監(jiān)控、限制用戶對資源的訪問等； 測評判斷：檢查服務器操作系統(tǒng)限制終端登錄、超時鎖定、服務器監(jiān)控等。 應用安全測評基本要求和實現方法 基本要求實現方法/案例 訪問控制 安全審計 剩余信息保護 通訊完整性 通訊保密性 資源控制 審計報表審計記錄的保護

30、空間釋放 對用戶會話數及 系統(tǒng)最大并發(fā)會話數的限制 身份鑒別 基本的身份鑒別組合鑒別技術 安全策略最小授權原則敏感標記的設置及操作 空間釋放及信息清除 運行情況審計（用戶級） 審計記錄的保護 校驗碼技術 初始化驗證 密碼技術 整個報文及會話過程加密 抗抵賴 數據原發(fā)證據和接收證據用戶認證、數字簽名、操作日志 資源分配限制、資源分配優(yōu)先級 最小服務水平的檢測及報警 軟件容錯 數據有效性檢驗、部分運行保護自動保護功能 安全等級安全等級控制點控制點要求項要求項 34 38 311 數據完整性數據完整性 （2項項） 數據保密性數據保密性 （2項項） 備份備份與與恢復恢復 （8項項） 以以第第三級為例三

31、級為例 數 據 安 全 數據安全測評內容和方法 數數據完整性據完整性 數數據保密性據保密性 調研訪談： 應能夠檢測到系統(tǒng)管理數據、鑒別信息和重要業(yè)務數據在傳輸和存 儲過程中完整性受到破壞，并進行必要措施； 檢查判斷：檢測傳輸和存儲破壞的措施和恢復措施。 安全安全備份備份 數 據 安 全 調研訪談：采用加密或其他有效措施實現系統(tǒng)管理數據、鑒別信息和重要業(yè)務數據 傳輸和存儲保密性； 檢查判斷：鑒別信息和重要業(yè)務數據是否采用加密或其他有效措施實現傳輸保密性 調研訪談：本地數據備份和恢復，備份介質場外存放，通信線路和數據處理系統(tǒng) 的硬件冗余； 檢查判斷：查設計或驗收文檔，對本地數據備份和恢復功能及策略

32、的描述，查主 要網絡設備、主要通信線路和主要數據處理系統(tǒng)是否采用硬件冗余、軟件配置等 應用安全測評基本要求和實現方法 基本要求實現方法/案例 訪問控制 備份和恢復備份和恢復 數據完整性數據完整性 鑒別數據傳輸的完整性 各類數據傳輸及存儲各類數據傳輸及存儲 檢測和恢復檢測和恢復 鑒別數據存儲的保密性各類數據的傳輸及存儲各類數據的傳輸及存儲 重要數據的備份 硬件冗余 異地備份異地備份 網絡冗余、硬件冗余網絡冗余、硬件冗余 本地完全備份本地完全備份每天每天1次次 備份介質場外存放備份介質場外存放 安全等級安全等級控制點控制點要求項要求項 37 311 314 管理制度管理制度 （4項項） 制定和發(fā)布

33、制定和發(fā)布 （5項項） 評審和修訂評審和修訂 （2項項） 以以第第三級為例三級為例 安 全 管 理 制 度 安全管理制度測評內容和方法 管理制度管理制度 制定和制定和發(fā)發(fā)布布 調研訪談：制定總體方針和安全策略、建立操作規(guī)程； 查文件：查部門、崗位職責文件，信息安全方針、安全策略文件；查各類安全管理 制度文件；形成安全管理制度體系 評審評審和修和修訂訂 安 全 管 理 制 度 調研訪談：專人負責制定安全管理制度，統(tǒng)一格式和版本，并進行論證和審定，通過 有效形式進行發(fā)布，注明發(fā)布范圍； 查文件：查指定部門和人員的工作職責，信息安全管理制度的文件模板或格式規(guī)定， 論證和審定記錄和文件發(fā)布、登記記錄。

34、 調研訪談：安全管理制度評審主持部門，定期對制度文件的合理性和適用性進行審定； 查文件：查對安全管理制度體系進行評審的管理文件，修訂的安全管理制度修訂或評 審記錄。 安全等級安全等級控制點控制點要求項要求項 59 520 520 崗位設置崗位設置 （4項項） 人員配備人員配備 （3項項） 授權和審批授權和審批 （4項）項） 溝通和合作溝通和合作 （5項）項） 審核和檢查審核和檢查 （4項）項） 以以第第三級為例三級為例 安 全 管 理 機 構 安全管理機構測評內容和方法 崗崗位位設設置置 人人員員配配備備 調研訪談：信息安全管理工作的職能部門，設立崗位和職責，建立信息安全領導小組； 查文件：查

35、部門、崗位職責文件，領導小組崗位職責文件，安全管理機構各部門和崗位職 責、分工、技能要求文件 授授權權和和審審批批 安 全 管 理 機 構 調研訪談：安全管理崗位人員的配備情況； 查文件：查安全管理各崗位人員信息表，關鍵崗位管理人員配備2人或2人以上共同管理。 調研訪談：對重要活動進行審批，審批部門是何部門，批準人是何人，審批范圍包括哪些， 定期審查審批； 查文件：查各部門和崗位的職責文檔，逐級審批制度及審批記錄，查審查審批制度。 溝溝通和合作通和合作 調研訪談：內部溝通機制，兄弟單位合作溝通機制，供應商合作溝通機制，聘請安全專家； 查文件：查內部溝通、合作機制程序或規(guī)程，查外聯單位聯系列表，

36、查安全顧問名單、證 明文件，相關文檔或記錄。 審審核核和和檢查檢查 調研訪談：定期安全檢查的程序、實施情況及檢查周期，對信息系統(tǒng)全面安全檢查； 查文件：安全檢查的程序文件和記錄，全面安全檢查記錄，安全檢查表，安全檢查報告和 結果通告記錄，全面安全檢查報告等。 安全等級安全等級控制點控制點要求項要求項 511 516 518 人員錄用人員錄用 （4項項） 人員離崗人員離崗 （3項項） 人員考核人員考核 （3項）項） 安全意識教育和培訓（安全意識教育和培訓（4項）項） 外部人員訪問管理（外部人員訪問管理（2項）項） 以以第第三級為例三級為例 人 員 安 全 管 理 人員安全管理測評內容和方法 人人

37、員錄員錄用用 人人員員離離崗崗 調研訪談：專門的部門或人員負責人員的錄用工作，人員錄用條件和審查內容； 查文件：查部門/人員工作職責文件，人員錄用要求管理文檔，相關審查及考核記錄，查 保密協議；查保密協議簽署記錄。 人人員員考核考核 人 員 安 全 管 理 調研訪談：離崗人員控制方法，調離手續(xù)，關鍵崗位人員調離時承諾相關保密協議； 查文件：查人員離崗的管理文檔，對離崗人員的安全處理記錄，調離手續(xù)記錄，查保密 承諾文檔，調離人員記錄。 調研訪談：各個崗位人員進行安全技能及安全知識的考核，關鍵崗位審查考核特殊要求； 查文件：查定期人員審查/考核規(guī)程文件，關鍵崗位的定期審查和考核規(guī)程文件，考核文 檔

38、和記錄，人員安全審查記錄。 安全意安全意識教識教育和培育和培訓訓 調研訪談：制定培訓計劃及實施情況，對違反安全策略和規(guī)定的人員進行懲戒； 查文件：查安全意識教育和培訓規(guī)程文件，安全責任和懲戒措施管理文檔，安全教育和培 訓計劃文檔，教育和培訓記錄。 外部人外部人員訪問員訪問管理管理 調研訪談：對外部人員訪問重要區(qū)域管理措施、規(guī)程或制度等情況； 查文件：查外部人員訪問管理規(guī)程文檔和訪問重要區(qū)域批準文檔，外部人員訪問重要區(qū)域 的登記記錄。 安全等級安全等級控制點控制點要求項要求項 928 1145 1148 系統(tǒng)定級系統(tǒng)定級 （4項項） 安全方案設計安全方案設計 （5項項） 產品采購產品采購 （4項

39、）項） 自行軟件開發(fā)自行軟件開發(fā) （5項）項） 外包軟件開發(fā)外包軟件開發(fā) （4項）項） 工程工程實施實施 （3項）項） 測試驗收測試驗收 （5項）項） 系統(tǒng)交付系統(tǒng)交付 （5項）項） 系統(tǒng)備案系統(tǒng)備案 （3項）項） 等級測評等級測評 （4項）項） 服務服務商選擇商選擇 （3項）項） 以以第第三級為例三級為例 系 統(tǒng) 建 設 管 理 系統(tǒng)建設管理測評內容和方法 系系統(tǒng)統(tǒng)定定級級 安全方案安全方案設計設計 調研訪談：系統(tǒng)定級過程、方法和理由，定級結果論證和審定，定級結果批準等； 查文件：查系統(tǒng)定級文檔，文檔說明定級方法和理由，論證和審定意見，批準蓋章等。 產產品采品采購購和使用和使用 自行自行軟軟

40、件件開發(fā)開發(fā) 外部外部軟軟件件開發(fā)開發(fā) 工程工程實實施施 測試驗測試驗收收 系系統(tǒng)統(tǒng)交付交付 系系統(tǒng)備統(tǒng)備案案 等等級測評級測評 系 統(tǒng) 建 設 管 理 調研訪談：專人負責安全建設規(guī)劃，安全設計方案，專家論證和審定，定期修訂配套文件； 查文件：安全措施文檔、風險分析表，總體規(guī)劃文件和工作計劃，專家論證文檔，文檔修訂記錄。 調研訪談：安全、密碼產品使用，指定部門負責采購，審定和更新候選產品名單； 查文件：采購文件中涉及產品指標和候選范圍，密碼產品使用規(guī)定，產品選型測試記錄等。 調研訪談：開發(fā)環(huán)境與測試環(huán)境分開，編碼安全規(guī)范，專人保管設計文檔和使用指南，授權審批； 查文件：查軟件開發(fā)管理制度，明確

41、軟件開發(fā)生命周期管理，編碼規(guī)范，設計文檔等管理。 調研訪談：檢測軟件質量，惡意代碼檢測，開發(fā)商提供設計文檔、使用指南和源代碼等； 查文件：外包軟件驗收測試報告，惡意代碼檢測報告，設計文件和使用指南，源代碼審查記錄等。 調研訪談：專人負責管理實施過程，制定實施方案，制定工程實施方面的安全管理制度； 查文件：工程實施方的責任、任務和質量要求，工程實施方案，階段性報告，工程實施管理制度。 調研訪談：第三方安全測試，制定測試驗收方案和報告，專人負責驗收工作，測試驗收報告審定； 查文件：第三方測試文檔，測試驗收方案，測試驗收管理文檔，測試驗收記錄和測試驗收報告。 調研訪談：根據交付清單對設備、文檔、軟件

42、等進行清點，新系統(tǒng)培訓，專人負責系統(tǒng)交接工作； 查文件：詳細系統(tǒng)交付清單，新系統(tǒng)培訓記錄，系統(tǒng)運維文檔，系統(tǒng)交付管理文檔等。 調研訪談：專門部門管理和使用定級材料，報主管部門和公安機關進行備案； 查文件：系統(tǒng)定級相關材料，主管部門和公安機關備案的記錄或備案文檔。 調研訪談：等保測評管理文件，系統(tǒng)變更后的等級測評，如何選擇測評機構，專人負責等保測評； 查文件：測評報告、建議報告和整改方案，測評機構資質。 安全服安全服務務商商選擇選擇 調研訪談：安全服務器選擇，簽訂服務協議，服務商提供技術培訓和服務培訓； 查文件：服務招標文件，簽訂的服務合同和保密協議等文檔，服務合同中包含服務內容和期限等。 安全

43、等級安全等級控制點控制點要求項要求項 1241 1362 1370 系 統(tǒng) 運 維 管 理 環(huán)境管理環(huán)境管理 （4項項） 資產管理資產管理 （4項項） 介質管理介質管理 （6項）項） 設備管理設備管理 （5項）項） 監(jiān)控管理和安全管理中心（監(jiān)控管理和安全管理中心（3項）項） 網絡安全管理網絡安全管理 （8項）項） 系統(tǒng)安全管理系統(tǒng)安全管理 （7項）項） 惡意代碼防范管理惡意代碼防范管理 （4項）項） 密碼管理密碼管理 （1項）項） 變更管理變更管理 （4項）項） 備份與恢復管理備份與恢復管理 （5項）項） 安全事件處置安全事件處置 （6項）項） 應急預案管理應急預案管理 （5項）項） 以以第第三級為例三級為例 系統(tǒng)運維管理測評內容和方法 環(huán)環(huán)境管理境管理 調研訪談：指定部門或人員對機房維護、機房安全，建立機房制度，辦公環(huán)境保密性管理； 查文件：機房維護管理制度和維護記錄，查機房管理制度，物理訪問、環(huán)境安全等，辦公環(huán)境管理文檔。 系 統(tǒng) 運 維 管 理 資產資產管理管理 調研訪談：建立資產登記管理及資產清單，依據重要資產進行分類和標識管理； 查文件：查資產清單，資產安全管理制度，依據資產重要程度的管理措施，信息分類文檔和資產標識原則和方法。 介介質質管