軟件系統(tǒng)運維管理測評現(xiàn)場記錄表

系統(tǒng)運維管理測評現(xiàn)場記錄表XXXXXXXX限公司

XXXX年XX月測評對象對象名稱備注XXXX系統(tǒng)入場確認(rèn)序號確認(rèn)內(nèi)容1測評對象中的關(guān)鍵數(shù)據(jù)已備份，如果沒有備份則不進行核查。2測評對象工作正常，如工作異常則不進行核查。開始時間 XXX年XX月XX日星期一 確認(rèn)簽字離場確認(rèn)序號確認(rèn)內(nèi)容1測評工作未對測評對象造成不良影響，測評對象工作正常。結(jié)束時間XXXX年XX月XX日星期五確認(rèn)簽字

測評記錄配合人:測評人:日期:配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況1環(huán)境管理（G3）a）應(yīng)指定專門的部門或人員定期對機房供配電、空調(diào)、溫濕度控制等設(shè)施進行維護管理；1） 機房管理員負責(zé)機房設(shè)備維護，每天進行維護一次；2） 機房維護記錄：《機房主機存儲設(shè)備日常巡視表》，對檢查內(nèi)容、巡視時間、巡視人、檢查的結(jié)果，設(shè)施的運行狀況、硬件狀態(tài)進行記錄；故障記錄：《省局（公司）IT綜合運維服務(wù)登記表》，登記表記錄故障的原因，解決方案，解決效果等；3）機房內(nèi)空調(diào)附近的水蒸氣結(jié)露和地下積水現(xiàn)象有安排人員檢查，每周檢查一次；4）當(dāng)設(shè)備發(fā)生自己解決不了的故障時有供應(yīng)商對機房設(shè)備進行維護，具有維護的記錄；符合（5分）b）應(yīng)指定部門負責(zé)機房安全，并配備機房安全管理人員，對機房的出入、服務(wù)器的開機或關(guān)機等工作進行管理；符合（5分）c）應(yīng)建立機房安全管理制度，對有關(guān)機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定；符合（5分）d）應(yīng)加強對辦公環(huán)境的保密性管理，規(guī)范辦公環(huán)境人員行為，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙、不在辦公區(qū)接待來訪人員、工作人員時座位應(yīng)確保終端計算機退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等。符合（5分）

序號測評指標(biāo)測評項結(jié)果記錄符合情況2資產(chǎn)管理（G3）a）應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資料清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容；符合（5分）b）應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門，并規(guī)范資產(chǎn)管理和使用的行為；不符合c）應(yīng)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行標(biāo)識管理，根據(jù)資產(chǎn)的價值選擇相應(yīng)的管理措施；部分符合（2分）d）應(yīng)對信息分類與標(biāo)識方法做出規(guī)定，并對信息的使用、傳輸和存儲等進行規(guī)范化管理。不符合3介質(zhì)管理（G3）a）應(yīng)建立介質(zhì)安全管理制度，對介質(zhì)的存放環(huán)境、使用、維護和銷毀等方面做出規(guī)定；符合（5分）b）應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行控制和保護，并實行存儲環(huán)境專人管理；符合（5分）c）應(yīng)對介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等情況進行控制，對介質(zhì)歸檔和查詢等進行登記記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點；部分符合（4分）配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況d）應(yīng)對存儲介質(zhì)的使用過程、送出維修以及銷毀等進行嚴(yán)格的管理，對帶出工作環(huán)境的存儲介質(zhì)進行內(nèi)容加密和監(jiān)控管理，對送出維修或銷毀的介質(zhì)應(yīng)首先清除介質(zhì)中的敏感數(shù)據(jù)，對保密性較高的存儲介質(zhì)未經(jīng)批準(zhǔn)不得自行銷毀；符合（5分）e）應(yīng)根據(jù)數(shù)據(jù)備份的需要對某些介質(zhì)實行異地存儲，存儲地的環(huán)境要求和管理方法應(yīng)與本地相同；不適用f）應(yīng)對重要介質(zhì)中的數(shù)據(jù)和軟件米取加密存儲，并根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進行分類和標(biāo)識管理。不符合4設(shè)備管理（G3）a）應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備（包括備份和冗余設(shè)備）、線路等指定專門的部門或人員定期進行維護管理；符合（5分）b）應(yīng)建立基于申報、審批和專人負責(zé)的設(shè)備安全管理制度，對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放或領(lǐng)用等過程進行規(guī)范化管理；符合（5分）配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況c）應(yīng)建立配套設(shè)施、軟硬件維護方面的管理制度，對其維護進行有效管理，包括明確維護人員的責(zé)任、涉外維修和服務(wù)的審批、維修過程的監(jiān)督控制等；符合（5分）d）應(yīng)對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進行規(guī)范化管理，按操作規(guī)程實現(xiàn)主要設(shè)備（包括備份和冗余設(shè)備）的啟動/停止、加電/斷電等操作；符合（5分）e）應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機房或辦公地點；符合（5分）5監(jiān)控管理和安全管理中心（G3）a）應(yīng)對通信線纜、主機、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運行狀況、網(wǎng)絡(luò)流量、用戶行為等進行監(jiān)測和報警，形成記錄并妥善保存；部分符合（4分）b）應(yīng)組織相關(guān)人員定期對監(jiān)測和報警記錄進行分析、評審，發(fā)現(xiàn)可疑行為，形成分析報告，并采取必要的應(yīng)對措施；部分符合（2分）c）應(yīng)建立安全管理中心，對設(shè)備狀態(tài)、惡意代碼、補丁升級、安全審計等安全相關(guān)事項進行集中管理。不符合配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況6網(wǎng)絡(luò)安全管理（G3）a）應(yīng)指定專人對網(wǎng)絡(luò)進行管理，負責(zé)運行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護和報警信息分析和處理工作；符合（5分）b）應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規(guī)定；部分符合（4分）c）應(yīng)根據(jù)廠家提供的軟件版本對網(wǎng)絡(luò)設(shè)備進行更新，并在更新前對現(xiàn)有的重要文件進行備份；符合（5分）d）應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補；符合（5分）e）應(yīng)實現(xiàn)設(shè)備的最小服務(wù)配置，并對配置文件進行定期離線備份；符合（5分）f）應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)；符合（5分）配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況g）應(yīng)依據(jù)安全策略允許或者拒絕便攜式和移動式設(shè)備的網(wǎng)絡(luò)接入；符合（5分）h）應(yīng)定期檢查違反規(guī)定撥號上網(wǎng)或其他違反網(wǎng)絡(luò)安全策略的行為。符合（5分）7系統(tǒng)安全管理（G3）a）應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略；符合（5分）b）應(yīng)定期進行漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞及時進行修補；不符合c）應(yīng)安裝系統(tǒng)的最新補丁，在安裝系統(tǒng)補丁前，首先在測試環(huán)境中測試通過，并對重要文件進行備份后，方可實施系統(tǒng)補丁程序的安裝；不符合d）應(yīng)建立系統(tǒng)安全管理制度，對系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面作出具體規(guī)定；符合（5分）e）應(yīng)指定專人對系統(tǒng)進行管理，劃分系統(tǒng)管理員角色，明確各個角色的權(quán)限、責(zé)任和風(fēng)險，權(quán)限設(shè)定應(yīng)當(dāng)遵循最小授權(quán)原則；符合（5分）配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況f）應(yīng)依據(jù)操作手冊對系統(tǒng)進行維護，詳細記錄操作日志，包括重要的日常操作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容，嚴(yán)禁進行未經(jīng)授權(quán)的操作；符合（5分）g）應(yīng)定期對運行日志和審計數(shù)據(jù)進行分析，以便及時發(fā)現(xiàn)異常行為。符合（5分）8惡意代碼防范管理（G3）a）應(yīng)提高所有用戶的防病毒意識，及時告知防病毒軟件版本，在讀取移動存儲設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進行病毒檢查；符合（5分）b）應(yīng)指定專人對網(wǎng)絡(luò)和主機進行惡意代碼檢測并保存檢測記錄；部分符合（3分）c）應(yīng)對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確規(guī)定；符合（5分）配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況d）應(yīng)定期檢查信息系統(tǒng)內(nèi)各種產(chǎn)品的惡意代碼庫的升級情況并進行記錄，對主機防病毒產(chǎn)品、防病毒網(wǎng)關(guān)和郵件防病毒網(wǎng)關(guān)上截獲的危險病毒或惡意代碼進行及時分析處理，并形成書面的報表和總結(jié)匯報。不符合9密碼管理（G3）a）應(yīng)建立密碼使用管理制度，使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。部分符合（1分）10變更管理（G3）a）應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的變更，并制定變更方案；不符合b）應(yīng)建立變更管理制度，系統(tǒng)發(fā)生變更前，向主管領(lǐng)導(dǎo)申請，變更和變更方案經(jīng)過評審、審批后方可實施變更，并在實施后將變更情況向相關(guān)人員通告；不符合c）應(yīng)建立變更控制的申報和審批文件化程序，對變更影響進行分析并文檔化，記錄變更實施過程，并妥善保存所有文檔和記錄；符合（5分）d）應(yīng)建立中止變更并從失敗變更中恢復(fù)的文件化程序，明確過程控制方法和人員職責(zé)，必要時對恢復(fù)過程進行演練。不符合配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況11備份與恢復(fù)管理（G3）a）應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；符合（5分）b）應(yīng)建立備份與恢復(fù)管理相關(guān)的安全管理制度，對備份信息的備份方式、備份頻度、存儲介質(zhì)和保存期等進行規(guī)范；不符合c）應(yīng)根據(jù)數(shù)據(jù)的重要性和數(shù)據(jù)對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略須指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和將數(shù)據(jù)離站運輸?shù)姆椒ǎ徊糠址希?分）d）應(yīng)建立控制數(shù)據(jù)備份和恢復(fù)過程的程序，對備份過程進行記錄，所有文件和記錄應(yīng)妥善保存；部分符合（2分）e）應(yīng)定期執(zhí)行恢復(fù)程序，檢查和測試備份介質(zhì)的有效性，確?？梢栽诨謴?fù)程序規(guī)定的時間內(nèi)完成備份的恢復(fù)。部分符合（2分）12安全事件處置（G3）a）應(yīng)報告所發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗證弱點；符合（5分）b）應(yīng)制定安全事件報告和處置管理制度，明確安全事件的類型，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)；符合（5分）配合人:測評人:日期:

配合人:測評人:日期:序號測評指標(biāo)測評項結(jié)果記錄符合情況c）應(yīng)根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響，對本系統(tǒng)計算機安全事件進行等級劃分；符合（5分）d）應(yīng)制定安全事件報告和響應(yīng)處理程序，確定事件的報告流程，響應(yīng)和處置的范圍、程度，以及處理方法等；符合（5分）e）應(yīng)在安全事件報告和響應(yīng)處理過程中，分析和鑒定事件產(chǎn)生的原因，收集證據(jù)，記錄處理過程，總結(jié)經(jīng)驗教訓(xùn)，制定防止再次發(fā)生的補救措施，過程形成的所有文件和記錄均應(yīng)妥善保存；符合（5分）f）對造成系統(tǒng)中斷和造成信息泄密的安全事件應(yīng)采用不同的處理程序和報告程序。符合（5分）13應(yīng)急預(yù)案管理（G3）a）應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培訓(xùn)等內(nèi)容；部分符