安全評估實施方案完整模板

XXXXX平安評估實施方案20XX年X月北京XXXXXX公司平安效勞事業(yè)部文檔信息工程名稱XXXXX平安效勞工程文檔編號版本號日期參與人員更新說明分發(fā)控制編號讀者文檔權限與文檔的主要關系1范卿編寫，修改負責編制、修改2XXXXX工程組成員讀取審核3XXXXXX工程組成員讀取版權說明本文件中出現(xiàn)的全部內(nèi)容，除另有特別注明，版權均屬北京XXXXXX公司所有。任何個人、機構(gòu)未經(jīng)北京XXXXXX公司的書面授權許可，不得以任何方式復制或引用文件的任何片斷。北京XXXXXX公司平安效勞事業(yè)部負責對本文檔的解釋。保密申明本文件包含了來自北京XXXXXX的可靠、權威的信息，以及XXXXX網(wǎng)絡系統(tǒng)的敏感信息，接受這份文件表示同意對其內(nèi)容保密并且未經(jīng)北京XXXXXX公司書面請求和書面認可，不得復制，泄露或散布這份文件。如果你不是有意接受者，請注意對這份文件內(nèi)容的任何形式的泄露、復制或散布都是被禁止的。目錄一.背景81.1.評估目標81.2.評估范圍9二.評估原那么92.1.保密原那么92.2.標準性原那么102.3.可控性原那么102.4.全面性原那么112.5.重點性原那么112.6.最小影響原那么12三.評估標準123.1.信息平安標準123.1.1.BS7799(ISO/IEC17799)123.1.2.SSE-CMM133.1.3.ISO/IEC15408(GB/T18336)133.1.4.ISO/IEC13335133.1.5.其他相關標準143.2.組織平安策略143.2.1.相關法規(guī)和政策143.2.2.行業(yè)管理標準15四.資產(chǎn)調(diào)查與賦值154.1.需求調(diào)查154.1.1.調(diào)查對象164.1.2.調(diào)查方式174.1.3.調(diào)查內(nèi)容174.2.資產(chǎn)賦值184.2.1.根本概念184.2.2.信息資產(chǎn)分類194.2.3.信息資產(chǎn)賦值22五.平安類別Ⅱ級評估內(nèi)容245.1.平安技術評估255.1.1.物理平安255.1.2.網(wǎng)絡平安265.1.3.節(jié)點平安285.1.4.應用與數(shù)據(jù)平安305.2.平安管理評估315.2.1.政策與制度325.2.2.機構(gòu)與人員345.2.3.平安風險管理385.2.4.工程建設管理445.2.5.運行與維護管理495.2.6.業(yè)務連續(xù)性管理605.2.7.其他管理要求65六.掃描評估方案666.1.目標666.2.地點666.3.時間666.4.參與人員676.5.范圍676.5.1.網(wǎng)絡設備676.5.2.應用系統(tǒng)676.6.評估方法676.7.工具選擇686.7.1.漏洞掃描工具686.7.2.輔助工具696.7.3.系統(tǒng)自帶程序736.8.評估的代價746.8.1.流量的代價746.8.2.主機的代價756.8.3.主機的潛在威脅766.9.實施步驟766.9.1.網(wǎng)絡掃描766.9.2.掃描策略776.9.3.掃描操作786.9.4.報告整理82七.人工評估方案827.1.目標827.2.地點827.3.時間837.4.參與人員837.5.范圍837.5.1.網(wǎng)絡設備837.5.2.應用系統(tǒng)837.6.評估方法837.7.實施步驟857.7.1.評估步驟857.7.2.評估內(nèi)容867.7.3.報告整理87八.工程實施方案878.1.工程組結(jié)構(gòu)878.1.1.甲方工程組結(jié)構(gòu)878.1.2.乙方工程組結(jié)構(gòu)888.2.工程小組聯(lián)系表898.2.1.甲方小組聯(lián)系表898.2.2.乙方小組聯(lián)系表898.3.工程進度安排908.4.用戶配合908.5.評估監(jiān)控908.5.1.網(wǎng)頁監(jiān)控918.5.2.系統(tǒng)監(jiān)控918.6.評估風險的應對措施918.7.評估風險應急預案92附錄一：甲方工程組聯(lián)系表94附錄二：乙方工程組聯(lián)系表95附錄三：工程進度方案96背景企業(yè)對信息技術和效勞的依賴意味著自身更容易受到平安威脅的攻擊。為保證企業(yè)富有競爭力，保持現(xiàn)金流順暢和贏利，以及維護企業(yè)的良好商業(yè)形象，信息平安的三要素保密性、完整性和可用性都是至關重要的。對于一個特定的網(wǎng)絡，為了實現(xiàn)其網(wǎng)絡平安的目標，就是要在網(wǎng)絡平安風險評估的根底上，明確系統(tǒng)中所存在的各種平安風險，并制訂相應的平安策略，通過網(wǎng)絡平安管理和各種網(wǎng)絡平安技術的實施，從而到達網(wǎng)絡平安的目標。平安評估是網(wǎng)絡平安防御中的一項重要技術，其原理是根據(jù)的平安漏洞知識庫，對目標可能存在的平安隱患進行逐項檢查。目標可以包括工作站、效勞器、交換機、路由器、數(shù)據(jù)庫等各種網(wǎng)絡對象和應用對象。然后根據(jù)掃描結(jié)果向系統(tǒng)管理員提供周密可靠的平安性分析報告，為提高網(wǎng)絡平安整體水平產(chǎn)生重要依據(jù)。在網(wǎng)絡平安體系的建設中，平安掃描工具花費低、效果好、見效快、與網(wǎng)絡的運行相對獨立、安裝運行簡單，可以大規(guī)模減少平安管理員的手工勞動，有利于保持全網(wǎng)平安政策的統(tǒng)一和穩(wěn)定。為了充分了解客戶當前的網(wǎng)絡平安威脅狀況，需要利用一些常用的掃描工具、應用軟件以及人工分析的等方式獲得客戶中重要效勞器的各類數(shù)據(jù)。在掃描之后，將掃描系統(tǒng)獲得的報告聚集成為一個當前系統(tǒng)漏洞評估報告，同時根據(jù)漏洞情況提供加強網(wǎng)絡平安的建議。為了保證客戶網(wǎng)絡的平安有效運行以及漏洞信息能夠更加完整和準確，XXXXXX公司還為客戶提供手工的平安評估效勞，我們公司擁有大量具有豐富經(jīng)驗的平安工程師，通過對客戶網(wǎng)絡主機的直接接觸，對目標進行平安評估，到達及時發(fā)現(xiàn)網(wǎng)絡存在的平安問題，保證網(wǎng)絡的平安性，同時對網(wǎng)絡系統(tǒng)性能不造成影響。評估目標本期平安風險評估工程，將通過管理上、技術上的等多方面進行，以實現(xiàn)以下平安評估目標：管理上審核平安策略的合理性審核平安管理文檔的完備程度完成資產(chǎn)識別、分類工作擬定體系及策略改良方案技術上識別被評估系統(tǒng)面臨的威脅識別被評估系統(tǒng)存在的脆弱性識別平安設施的有效性分析威脅發(fā)生的可能性分析威脅發(fā)生的后果評價平安風險擬定風險處理方案評估范圍對于指定的信息系統(tǒng)必須首先進行資產(chǎn)識別和分類，明確被保護的信息資產(chǎn)，對每一項資產(chǎn)進行確認和評估。在對信息資產(chǎn)進行識別評估分析時，要根據(jù)系統(tǒng)遭受破壞后，對保密性、完整性和可用性造成的影響來決定信息資產(chǎn)的價值。XXXXX目前擁有一個機房。XXXXXX將對個機房進行平安評估和加固效勞。主要從這個機房的管理層、技術層、操作層、物理層等多個層面進行平安評估工作，以求能夠通過這次評估和加固工作到達要求的平安標準，大幅度提高XXXXX以及下屬機房的平安防御能力。評估原那么為了確保平安工程成功實施，我們將遵循以下原那么進行：保密原那么對于平安工程，實施方首先應做到的就是對用戶要求保密的信息遵守保密原那么。XXXXXX公司和參加此次評估工程的所有工程組成員，都要與甲方簽署相關的保密協(xié)議和非侵害性協(xié)議。標準性原那么依據(jù)國際國內(nèi)標準開展工作是本次評估工作的指導原那么，也是XXXXXX公司提供信息平安效勞的一貫原那么。XXXXXX公司在提供本次評估效勞中，將會依據(jù)相關的國內(nèi)和國際標準進行。這些標準包括：ISO17799BS7799-2ISO13335AS/NZS4360ISO15408/GB18336SSE-CMMXXXXXX公司在提供本次評估效勞中，除了依據(jù)相關的國內(nèi)和國際標準之外，還要參考一些沒有成為國際和國內(nèi)標準，但是已經(jīng)成為業(yè)界事實上標準的一些標準和約定。這些標準和約定包括： CVE公共漏洞和暴露 PMI工程管理方法學XXXXXX公司在提供本次評估效勞中，除了依據(jù)相關的國內(nèi)和國際標準之外，還根據(jù)本工程的需要，遵循XXXXXX公司自身的一些標準和要求。這些標準包括： XXXXXX科技參謀效勞工程管理標準 XXXXXX科技信息平安參謀效勞標準 XXXXXX科技信息平安風險評估標準 XXXXXX科技信息平安風險評估效勞標準可控性原那么XXXXXX公司將從多個方面配合甲方，以便到達甲方對評估工作的可控性。這些可控性包括：人員可控性XXXXXX公司工程組將確保工程組成員工作的連續(xù)性。XXXXXX公司將派遣有經(jīng)驗的參謀、評估師和工程師參加本工程的評估工作，同時還會安排有經(jīng)驗的工程管理人員、質(zhì)量保證人員、標準化審核人員等支持工程的工作。XXXXXX公司的人員安排將在參謀效勞的工作說明中明確定義并得到雙方的同意、確認和簽署。如果根據(jù)工程的具體情況，后期需要進行人員調(diào)整時，必須經(jīng)過正規(guī)的工程變更程序，并得到雙方的正式認可和簽署。工具可控性XXXXXX公司工程組所使用的所有技術工具都事先通告甲方。并且在必要時可以應甲方要求，向甲方介紹主要工具的使用方法，并進行一些實驗。工程過程可控性本評估工程的管理將依據(jù)PMI工程管理方法學到達工程過程的可控性。為了保證XXXXXX公司的工作能夠按照工程進度實施，甲方組成的評估小組的工作需要在雙方進行評估之前舉行會議，予以討論，正式形成文字材料，即書面確定甲方評估小組的職責和義務。評估期間雙方將本著友好合作的態(tài)度完成各自的職責。全面性原那么XXXXXX公司將按照確定的評估范圍進行全面的評估，從范圍上滿足甲方的要求。XXXXXX公司實施的網(wǎng)絡、系統(tǒng)和應用評估是對xxxxx的全面評估；XXXXXX公司實施的人工分析也覆蓋了上述業(yè)務系統(tǒng)的業(yè)務流程和相互間的業(yè)務相關性和數(shù)據(jù)共享；XXXXXX公司進行的綜合分析和建議將結(jié)合XXXXXX公司長期的信息平安經(jīng)驗和相關的國際經(jīng)驗。評估覆蓋信息的存儲、傳輸、處理全過程。重點性原那么從用戶的業(yè)務期望出發(fā)，采用詳細的平安風險評估方式對用戶指出的關鍵性業(yè)務系統(tǒng)進行重點評估。最小影響原那么XXXXXX公司會從工程管理層面和工具技術層面，將評估工作對甲方系統(tǒng)和網(wǎng)絡正常運行的可能影響降低到最低限度，不會對現(xiàn)有網(wǎng)絡的運行和業(yè)務的正常提供產(chǎn)生顯著影響。系統(tǒng)評估我們選擇對業(yè)務連續(xù)性影響較小的主機進行。數(shù)據(jù)庫評估和網(wǎng)絡評估，我們選擇業(yè)務最小的時段進行，一般在半夜12點以后進行，在評估前作好數(shù)據(jù)備份。評估標準XXXXXX公司采用國際信息平安管理標準BS7799的風險管理思想作為貫穿整個風險評估過程的主要指導標準。另外，在風險等關鍵因素的評估方面，我們還參考了SSE-CMM、ISO15408和ISO13335標準。同時，SSE-CMM在這次工程的平安工程實施，ISO15408、ISO13335在平安評估方案的制定等方面都提供了標準化的指導。其中在評估過程中涉及到的一些技術細節(jié)問題，我們嚴格遵循和執(zhí)行有關國家的法律法規(guī)和行業(yè)的管理標準。信息平安標準BS7799(ISO/IEC17799)BS7799是國內(nèi)外現(xiàn)在比擬流行的信息平安管理標準，其平安模型主要是建立在風險管理的根底上，通過風險分析的方法，使信息風險的發(fā)生概率和后果降低到可接受水平，并采取相應措施保證業(yè)務不會因平安事件的發(fā)生而中斷。這個標準中風險管理框架的構(gòu)建過程也就是宏觀上指導整個平安風險評估的過程。這個標準中給出了10類需要進行控制的局部：平安策略、平安組織、資產(chǎn)分類與控制、個人信息平安、物理和環(huán)境平安、通信和操作平安、訪問控制、系統(tǒng)的開發(fā)和維護、商業(yè)持續(xù)規(guī)劃、合法性要求等方面的平安風險評估和控制，以及127項控制細那么。SSE-CMMSSE-CMM是“系統(tǒng)平安工程能力成熟模型〞的縮寫。系統(tǒng)平安工程旨在了解用戶單位存在的平安風險，建立符合實際的平安需求，將平安需求轉(zhuǎn)換為貫穿平安系統(tǒng)工程的實施指南。系統(tǒng)平安工程需要對平安機制的正確性和有效性做出驗證，證明系統(tǒng)平安的信任度能夠到達用戶要求，以及未在平安基線內(nèi)仍存在的平安問題連帶的風險在用戶可容許、或可控范圍內(nèi)。SSE-CMM將一個平安事件分為了三個組成局部：威脅、脆弱性和影響，并且提供了影響、風險、威脅和脆弱性的具體評估方法和過程，進一步為平安風險評估的實施提供了指導。作為更主要的作用，我們應用SSE-CMM模型把整個平安風險評估工程劃分為如下幾個階段：平安需求分析階段、平安系統(tǒng)規(guī)劃階段、平安系統(tǒng)實施階段、平安系統(tǒng)確認階段和平安需求驗證階段。在平安工程的整個生命周期過程中，我們都將嚴格按照SSE-CMM的要求進行實施，以保證整個工程工程的質(zhì)量。ISO/IEC15408(GB/T18336)信息技術平安性評估通用準那么ISO15408已被公布為國家標準GB/T18336，簡稱通用準那么〔CC〕，它是評估信息技術產(chǎn)品和系統(tǒng)平安性的根底準那么。該標準針對在平安性評估過程中信息技術產(chǎn)品和系統(tǒng)的平安功能及相應的保證措施提出一組通用要求，使各種相對獨立的平安性評估結(jié)果具有可比性。ISO15408同樣對本次工程的平安風險評估模型及關鍵風險因素有著指導意義，但更重要的是它能比擬好的指導我們對系統(tǒng)平安功能的各方面進行平安檢查和分析，保證了平安風險評估的全面性和完整性，也使得信息系統(tǒng)在技術上能夠符合國家的平安測評認證的要求。最后，我們可以根據(jù)這個標準生成針對信息系統(tǒng)平安的標準化的平安評估方案，或者更確切叫信息系統(tǒng)平安標準。ISO/IEC13335ISO13335是信息平安管理方面的標準，這個標準的主要目的就是要給出如何有效地實施IT平安管理的建議和指南。ISO13335首先為風險評估提供了方法上的支持，并且它所定義的平安概念更加全面化了平安風險評估考慮的問題，使得最終生成的平安評估方案不但在技術方面完整而且從管理的角度看也很全面。其他相關標準這些標準包括國際和國內(nèi)的一些涉及具體平安技術方面的標準，如GB9361-88計算機場地平安要求、GB2887-89計算機站場地技術條件等，以便為平安評估的具體技術細節(jié)作指導。組織平安策略相關法規(guī)和政策信息系統(tǒng)的建設是國家信息化的一個組成局部，在促進國民經(jīng)濟開展和社會穩(wěn)定方面具有越來越重要的作用。隨著計算機應用的進一步普及和開展，計算機信息系統(tǒng)平安問題日益社會化、嚴重化，國家有必要運用行政法律手段來進行有效的管理，維護社會的穩(wěn)定和開展。這些相關的政策法規(guī)包括了可能約束信息系統(tǒng)在進行平安體系建立和使用信息的平安方面的國家法律法規(guī)和政策。這些政策法規(guī)主要有：《中華人民共和國保守國家秘密法》〔1988年9月5日中華人民共和國主席令第6號公布〕《中華人民共和國保守國家秘密法實施方法》〔國家保密局文件國保發(fā)[1990]1號〕《中華人民共和國國家平安法》〔主席令68號，1993年2月22日第七屆全國人民代表大會常務委員會第三十次會議通過〕《中華人民共和國計算機信息系統(tǒng)平安保護條例》〔國務院令147號〕《計算機信息系統(tǒng)保密管理暫行規(guī)定》〔國家保密局文件國保發(fā)[1998]1號〕《計算機信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》〔國家保密局文件國保發(fā)[1999]1號〕《中華人民共和國計算機信息網(wǎng)絡國際聯(lián)網(wǎng)管理暫行規(guī)定》〔國務院令195號〕《中華人民共和國計算機信息網(wǎng)絡國際聯(lián)網(wǎng)管理暫行規(guī)定實施方法》〔1997年12月8日國務院信息化工作領導小組審定〕《計算機病毒防治管理方法》〔2000年4月26日中華人民共和國公安部第51號令〕《計算機信息網(wǎng)絡國際聯(lián)網(wǎng)平安保護管理方法》〔1997年12月11日國務院批準，1997年12月30日公安部發(fā)布〕《計算機信息系統(tǒng)平安專用產(chǎn)品分類原那么》〔1997年4月公安部發(fā)布〕《計算機信息系統(tǒng)平安保護等級劃分準那么》〔1999年9月國家技術監(jiān)督局發(fā)布〕《互聯(lián)網(wǎng)電子公告效勞管理規(guī)定》〔信息產(chǎn)業(yè)部2000年10月8日第4次部務會議通過〕《互聯(lián)網(wǎng)站從事登載新聞業(yè)務管理暫行規(guī)定》〔國務院新聞辦公室和信息產(chǎn)業(yè)部11月7日聯(lián)合發(fā)布〕《計算機信息系統(tǒng)平安等級保護劃分準那么》〔GB/T17859-1999〕《計算機信息系統(tǒng)平安等級保護網(wǎng)絡技術要求》〔GA/T387-2002〕《計算機信息系統(tǒng)平安等級保護操作系統(tǒng)技術要求》〔GA/T388-2002〕《計算機信息系統(tǒng)平安等級保護數(shù)據(jù)庫管理系統(tǒng)技術要求》〔GA/T389-2002〕《計算機信息系統(tǒng)平安等級保護通用技術要求》〔GA/T390-2002〕《計算機信息系統(tǒng)平安等級保護管理要求》〔GA/T391-2002〕《計算機機房場地平安要求》〔GB9361-88〕上述國家政策法規(guī)對信息系統(tǒng)平安等級標準、機房場地與設施、通信和信息保密信息、平安產(chǎn)品和平安系統(tǒng)開發(fā)商、電子商務平安以及有關技術標準等方面提出了具體要求。行業(yè)管理標準行業(yè)管理標準是指各行業(yè)的主管機構(gòu)對整個行業(yè)信息系統(tǒng)平安所作的針對行業(yè)特點的具體標準和要求，這些行業(yè)包括證券、銀行、電信、政府部門等眾多的機構(gòu)和組織。這些要求成為平安風險評估的根本平安需求和尺度，因此在評估中應當嚴格遵循這些要求。資產(chǎn)調(diào)查與賦值需求調(diào)查需求調(diào)查是整個平安效勞的根底?？紤]到平安業(yè)務的特殊性，平安效勞工程師將盡可能與用戶密切配合，根據(jù)XXXXX的總體要求對用戶環(huán)境和平安需求進行相當全面和細致的調(diào)查，以便準確理解用戶需求，全面實現(xiàn)平安效勞保護用戶網(wǎng)絡的目的。平安效勞將針對用戶環(huán)境中的網(wǎng)絡系統(tǒng)、效勞器系統(tǒng)、應用系統(tǒng)以及數(shù)據(jù)系統(tǒng)進行平安審計和操作、修復工作，因此用戶需求調(diào)查也必須針對這些方面進行。平安效勞的用戶需求調(diào)查的主要內(nèi)容如以下圖所示。平安效勞平安效勞用戶需求調(diào)查用戶需求調(diào)查總結(jié)硬件和網(wǎng)絡系統(tǒng)調(diào)查操作系統(tǒng)調(diào)查應用系統(tǒng)調(diào)查防火墻系統(tǒng)調(diào)查數(shù)據(jù)庫系統(tǒng)調(diào)查用戶其他平安需求MailwwwFTPDNS調(diào)查對象管理人員調(diào)查內(nèi)容：關于XXXXX現(xiàn)有的管理體系和網(wǎng)絡平安策略，并且知道現(xiàn)在平安組織的人員情況，為XXXXXX公司的工程師提交現(xiàn)階段的網(wǎng)絡平安方面的規(guī)章制度，能夠清楚了解現(xiàn)在平安策略的執(zhí)行情況等。關于機房物理環(huán)境的技術人員調(diào)查內(nèi)容：了解XXXXX下屬機房物理環(huán)境。其中內(nèi)容涵蓋了該機房的物理分布圖、平安區(qū)域的設置、訪問控制設備情況、授權和驗證情況、機房內(nèi)物體堆放情況、防火平安設施、電力保障系統(tǒng)、應急照明設施、溫濕度監(jiān)測與控制情況、電磁屏蔽系統(tǒng)等關于網(wǎng)絡情況的技術人員調(diào)查內(nèi)容：了解XXXXX的網(wǎng)絡拓撲情況和網(wǎng)絡設備情況。其中內(nèi)容包括網(wǎng)絡設備的配置情況、使用情況、維護情況、用戶情況、遠程控制情況、效勞開啟情況、管理控制情況、路由情況、訪問控制列表情況以及交換機的端口配置情況等信息。關于應用效勞的技術人員調(diào)查內(nèi)容：了解XXXXX的重要效勞器以及所使用的重要效勞情況。其中內(nèi)容包括每臺關鍵效勞器的硬件配置情況、安裝的操作系統(tǒng)以及軟件情況、所提供的效勞情況、維護情況、補丁情況、用戶使用情況、密碼策略情況、以前受攻擊情況、效勞器之間相互依存情況、開發(fā)平臺情況、加密和認證情況等信息。關于備份的技術人員調(diào)查內(nèi)容：了解XXXXX的系統(tǒng)備份情況。能夠獨立操作XXXXX的備份工作，其中內(nèi)容包括備份時所采用的備份方式、備份介質(zhì)、備份策略、備份設備、備份時間、備份所使用的軟件情況以及備份的存放等情況。其他工作人員調(diào)查內(nèi)容：對以上人員不能答復的調(diào)查表中涉及的問題，要找其他相關的工作人員進行補充，已到達能夠完全對XXXXX的網(wǎng)絡平安情況徹底了解的目的。調(diào)查方式采用非現(xiàn)場問卷調(diào)查方式和現(xiàn)場勘查相結(jié)合的方式進行。調(diào)查內(nèi)容調(diào)查內(nèi)容將覆蓋XXXXX管理、物理、技術、操作等多方面的內(nèi)容，這些內(nèi)容主要有以下幾大類別： 平安策略 組織的平安 資產(chǎn)分類和管理 人員平安 物理的和環(huán)境的平安 通信和運營管理 訪問控制 系統(tǒng)的開發(fā)與維護 業(yè)務連續(xù)性管理 符合性 硬件和網(wǎng)絡系統(tǒng)調(diào)查 操作系統(tǒng)調(diào)查 應用系統(tǒng)調(diào)查 防火墻系統(tǒng)調(diào)查 數(shù)據(jù)庫存系統(tǒng)調(diào)查 用戶其他平安需求等等具體調(diào)查的詳細列表參見以下XXXXXX平安效勞調(diào)查表： 《平安管理調(diào)查表》 《人員調(diào)查表》 《設備調(diào)查表》 《網(wǎng)絡結(jié)構(gòu)調(diào)查表》 《物理環(huán)境調(diào)查表》 《業(yè)務應用調(diào)查表》資產(chǎn)賦值根本概念資產(chǎn)是企業(yè)、機構(gòu)直接賦予了價值因而需要保護的東西。它可能是以多種形式存在，有無形的、有有形的，有硬件、有軟件，有文檔、代碼，也有效勞、企業(yè)形象等。它們分別具有不同的價值屬性和存在特點，存在的弱點、面臨的威脅、需要進行的保護和平安控制都各不相同。為此，有必要對企業(yè)、機構(gòu)中的信息資產(chǎn)進行科學分類，以便于進行后期的信息資產(chǎn)抽樣、制定風險評估策略、分析平安功能需求等活動。資產(chǎn)還具有很強的時間特性，它的價值和平安屬性都會隨著時間的推移發(fā)生變化，所以應該根據(jù)時間變化的頻度制定資產(chǎn)相關的評估和平安策略的頻度。例如，某公司重要的市場活動籌劃方案〔數(shù)據(jù)資產(chǎn)〕，在活動開始之前，為達成市場目標，需要對該數(shù)據(jù)資產(chǎn)進行機密性、完整性和可用性方面的保護。但是在該活動之后，籌劃已經(jīng)根本上都傳達給了群眾，所以資產(chǎn)價值已經(jīng)大局部消失，相關的平安屬性也失去保護意義。因此在本方案定義的評估工作內(nèi)容，其中信息資產(chǎn)〔InformationAssets〕的界定和賦值是整個階段〔現(xiàn)場測試和評估階段〕的前提，是信息資產(chǎn)抽樣的根底和重要依據(jù)。為此，有必要實現(xiàn)信息資產(chǎn)界定和賦值過程的標準化，以便在所有工程參與者中形成一個共同的知識根底?？疾毂敬纹桨矃⒅\效勞的內(nèi)容和特點，在后面的分類方法和賦值章節(jié)中，將不覆蓋xxxxx在傳統(tǒng)文件、文檔管理、人員控制等方面的資產(chǎn)。信息資產(chǎn)分類參照BS7799對信息資產(chǎn)的描述和定義，將信息相關資產(chǎn)按照下面的分類方法：類別簡稱解釋/例如效勞ServiceWWW、SMTP、POP3、FTP、MRPII、DNS、呼叫中心、內(nèi)部文件效勞、內(nèi)部BBS、網(wǎng)絡連接等數(shù)據(jù)〔電子媒介〕Data源代碼、各種數(shù)據(jù)資料、運行管理規(guī)程、方案、報告、用戶手冊等軟件Software應用軟件、系統(tǒng)軟件、開發(fā)工具和資源庫等硬件Hardware計算機硬件、路由器、交換機、程控交換機、布線等文檔〔紙質(zhì)〕Document文件、、電報、財務報告、開展方案設備Facility電源、空調(diào)、食品柜、文件柜等人員HR各級雇員和雇主、合同方雇員其它Other企業(yè)形象，客戶關系等下面重點描述效勞、數(shù)據(jù)和軟件等三種與網(wǎng)絡平安最為直接相關的信息資產(chǎn)類別。效勞效勞在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)運行管理、商業(yè)業(yè)務實現(xiàn)等形式存在。屬于需要重點評估、保護的對象。通常效勞類資產(chǎn)最為需要保護的平安屬性是可用性。但是，對于某些效勞資產(chǎn)，完整性和機密性也可能成為重要的保護對象。例如通常的門戶站點的新聞瀏覽、計算環(huán)境等的可用性最為重要。但是，完整性也同樣重要，門戶站點的主頁被修改，造成的損失也可能是災難性的。另外，對于重要的軟件下載效勞，完整性也同樣重要。例如，著名平安軟件TCPWrapper作者的站點被入侵，軟件被植入木馬程序后被廣泛下載使用，造成非常重大的影響和損失。效勞分為以下幾個子類：簡稱解釋/舉例NT操作系統(tǒng)NT微軟的操作系統(tǒng)各個版本，提供公眾計算環(huán)境和應用運行平臺。Unix操作系統(tǒng)Unix包括各種Unix版本，例如Solaris，AIX，HP-UX，Linux，F(xiàn)reeBSD等，提供公眾計算環(huán)境和應用運行平臺。數(shù)據(jù)庫DB包括各種商業(yè)數(shù)據(jù)庫產(chǎn)品，例如Oracle，Sybase，SQLServer等，為其它應用提供開發(fā)和運行平臺。Domino效勞DominoLotusDominoNotes系統(tǒng)是一種群件應用，它綜合了數(shù)據(jù)庫、各種應用于一身，專門分類，包括Domino郵件效勞、DominoWWW效勞、Domino名字效勞、以及在Domino之上開發(fā)的其它應用效勞。通用效勞GEN包括DNS、WWW、FTP、SMTP、POP3、打印、文件效勞等，它們一般使用通用軟件產(chǎn)品〔off-the-shelf〕實現(xiàn)MISMIS企業(yè)為提高效率而開發(fā)的管理信息系統(tǒng)〔MIS〕，它包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等效勞。如果該系統(tǒng)建立在Domino根底之上，那么將其歸為Domino效勞子類。網(wǎng)絡效勞NET各種網(wǎng)絡設備、設施提供的網(wǎng)絡連接效勞平安效勞SEC為保護自身和其它信息資產(chǎn)而建立的保護措施，例如防火墻訪問控制效勞、入侵檢測效勞、認證、審計、參謀等。數(shù)據(jù)數(shù)據(jù)在信息資產(chǎn)中占有非常重要的地位，通常作為企業(yè)知識產(chǎn)權、競爭優(yōu)勢、商業(yè)秘密的載體。屬于需要重點評估、保護的對象。通常，數(shù)據(jù)類資產(chǎn)需要保護的平安屬性是機密性。例如，公司的財務信息和薪酬數(shù)據(jù)就是屬于高度機密性的數(shù)據(jù)。但是，完整性的重要性會隨著機密性的提高而提高。企業(yè)內(nèi)部對于數(shù)據(jù)類資產(chǎn)的分類方法通常根據(jù)數(shù)據(jù)的敏感性〔Sensitivity〕來進行，與機密性非常類似。例如，下表是常用的一種數(shù)據(jù)分類方法：簡稱解釋/舉例公開Public不需要任何保密機制和措施，可以公開使用〔例如產(chǎn)品發(fā)表新聞等〕。內(nèi)部Internal公司內(nèi)部員工或文檔所屬部門使用，或文檔涉及的公司使用〔例如合同等〕秘密Private由和數(shù)據(jù)局網(wǎng)絡平安根底設施參謀效勞工程相關的公司和數(shù)據(jù)局成員使用機密Confidential只有在文檔中指定的人員可使用，文檔的保管要在規(guī)定的時間內(nèi)受到控制絕密Secret非文檔的擬訂者或文檔的所有者及管理者，其他指定人員在使用文檔后迅速的按要求銷毀但是，這樣的分類并不能反映在數(shù)據(jù)資產(chǎn)的全部平安屬性。所以，在本次平安效勞工程中，將采取對數(shù)據(jù)類資產(chǎn)直接賦值的方法來進行。軟件軟件是現(xiàn)代企業(yè)中最為重要的固定資產(chǎn)之一，與企業(yè)的硬件資產(chǎn)一起構(gòu)成了企業(yè)的效勞資產(chǎn)以及整個的網(wǎng)絡信息環(huán)境。一般情況下，軟件資產(chǎn)與所在媒體的硬件的價值，也不依賴于媒體而存在，而是經(jīng)常表達在軟件本身的許可證、序列號、軟件伴隨的效勞等無形資產(chǎn)上面。按照軟件所處的層次和功能，可以將軟件資產(chǎn)分為以下子類：簡稱解釋/舉例系統(tǒng)OS各種操作系統(tǒng)及其各種外掛平臺，例如Windows2000，RichWin等應用軟件APP各種應用類軟件，例如MSOffice，財務軟件，MIS等開發(fā)環(huán)境DEV各種開發(fā)環(huán)境類軟件，例如MSDN，JAVA開發(fā)環(huán)境、Delphi等數(shù)據(jù)庫DB各種數(shù)據(jù)庫類軟件，例如Oracle，DB2，Sybase等工具類TOOL例如Winzip，Ghost等信息資產(chǎn)賦值信息資產(chǎn)分別具有不同的平安屬性，機密性、完整性和可用性分別反映了資產(chǎn)在三個不同方面的特性。平安屬性的不同通常也意味著平安控制、保護功能需求的不同。通過考察三種不同平安屬性，可以得出一個能夠根本反映資產(chǎn)價值的數(shù)值。對信息資產(chǎn)進行賦值的目的是為了更好地反映資產(chǎn)的價值，以便于進一步考察資產(chǎn)相關的弱點、威脅和風險屬性，并進行量化。機密性〔Confidentiality〕保密性是指只有授權用戶才可以訪問數(shù)據(jù)信息，用于防止未授權用戶訪問或復制數(shù)據(jù)。通常是通過加密技術〔cryptography〕來實現(xiàn)保密性。根據(jù)資產(chǎn)機密性屬性的不同，將它分為5個不同的等級，分別對應資產(chǎn)在機密性方面的價值或者在機密性方面受到損失時對資產(chǎn)價值的影響。賦值方法參照下表：賦值含義解釋4VeryHigh機密性價值非常關鍵，具有致命性的潛在影響3High機密性價值較高，潛在影響嚴重，企業(yè)將蒙受嚴重損失，難以彌補2Medium機密性價值中等，潛在影響重大，但可以彌補1Low機密性價值較低，潛在影響可以忍受，較容易彌補0Negligible機密性價值或潛在影響可以忽略完整性〔Integrity〕完整性是指信息不被非法修改、刪除、插入虛假信息，以及防止非法生成消息或重發(fā)，用于對抗破壞通信和重發(fā)的威脅。對于網(wǎng)絡信息效勞而言，數(shù)據(jù)完整性的重要性有時高于保密性。通常采用加密函數(shù)和散列函數(shù)來保證數(shù)據(jù)的完整性。根據(jù)資產(chǎn)完整性屬性的不同，將它分為5個不同的等級，分別對應資產(chǎn)在完整性方面的價值或者在完整性方面受到損失時對資產(chǎn)價值的影響：賦值含義解釋4VeryHigh完整性價值非常關鍵，具有致命性的潛在影響3High完整性價值較高，潛在影響嚴重，企業(yè)將蒙受嚴重損失，難以彌補2Medium完整性價值中等，潛在影響重大，但可以彌補1Low完整性價值較低，潛在影響可以忍受，較容易彌補0Negligible完整性價值或潛在影響可以忽略可用性〔Availability〕可用性是指合法用戶可以不受干擾地使用各種資源。一個具有可用性的網(wǎng)絡信息效勞系統(tǒng)應當能夠在攻擊發(fā)生后及時正確地恢復。一般通過加強系統(tǒng)的管理和設計來提高可用性。根據(jù)資產(chǎn)可用性屬性的不同，將它分為5個不同的等級，分別對應資產(chǎn)在可用性方面的價值或者在可用性方面受到損失時對資產(chǎn)價值的影響：賦值含義解釋4VeryHigh可用性價值非常關鍵，具有致命性的潛在影響3High可用性價值較高，潛在影響嚴重，企業(yè)將蒙受嚴重損失，難以彌補2Medium可用性價值中等，潛在影響重大，但可以彌補1Low可用性價值較低，潛在影響可以忍受，較容易彌補0Negligible可用性價值或潛在影響可以忽略資產(chǎn)價值〔AssetValue〕資產(chǎn)價值用于反映某個資產(chǎn)作為一個整體的價值，綜合了機密性、完整性和可用性三個屬性。通常，考察實際經(jīng)驗，三個平安屬性中最高的一個對最終的資產(chǎn)價值影響最大。換而言之，整體平安屬性的賦值并不隨著三個屬性值的增加而線性增加，較高的屬性值具有較大的權重。為此，在本工程中使用下面的公式來計算資產(chǎn)價值賦值：AssetValue=Round1{Log2[(2Conf+2Int+2Avail)/3]}其中，Conf代表機密性賦值；Int代表完整性賦值；Avail代表可用性賦值；Round1{}表示四舍五入處理，保存一位小數(shù)；Log2[]表示取以2為底的對數(shù)。上述算式表達的背后含義是：三個屬性值每相差一，那么影響相差兩倍，以此來表達最高賦值屬性的主導作用。這里需要聲明的是：該算式屬于經(jīng)驗算式，使用與否、使用的方式都由評估者根據(jù)經(jīng)驗來決定。平安類別Ⅱ級評估內(nèi)容下面從物理平安、網(wǎng)絡平安、節(jié)點平安、應用與數(shù)據(jù)平安等方面，提出對本級信息系統(tǒng)進行平安評估的具體方式和評判原那么。平安技術評估本級的評估內(nèi)容，要求基于更強的身份鑒別措施實施更細粒度的自主訪問控制，較強的網(wǎng)絡邊界保護能力，對系統(tǒng)的平安配置和脆弱性修補提出較高的要求，對平安審計提出了初步的要求，以實現(xiàn)必要的平安監(jiān)督措施。物理平安機房出入?yún)⒁娖桨补芾碓u估中有關機房管理局部的評估內(nèi)容。機房平安a) 評估方式1) 評估者應觀察和檢驗機房環(huán)境條件和有關設施、設備的記錄，判斷機房物理環(huán)境是否符合實施指南中有關溫度、電源、防火、防水以及防雷等方面的技術要求。并作詳細記錄。特別對穩(wěn)壓供電、服裝防靜電和電磁防護的驗證；2) 評估者應詢問和查驗有關文檔，確認其有符合國家有關要求的書面證明材料；3) 評估者應觀察并驗證機房的運行狀態(tài)良好。b) 評估結(jié)果判定所有的驗證工程均為肯定答復，才能判定機房平安符合要求。如果有否認答復，評估者可進一步判斷是缺少設施〔設施不全〕，設施存在缺陷或運行管理存在缺陷，并加以記錄。設備平安a) 評估方法1) 評估者應檢查機房環(huán)境條件及防盜設施的安裝情況，判斷能否滿足機房對于設備平安的要求；2) 評估者應驗證機房防盜設施及報警裝置的有效性；3) 評估者應檢查設備的標記與管理方法的一致性。b) 評估結(jié)果判定1) 所有的驗證工程均為肯定答復，才能判定設備平安符合要求。如果有否認答復，評估者可進一步判斷是缺少設施〔設施不全〕，設施存在缺陷或運行管理存在缺陷，并加以記錄。介質(zhì)平安內(nèi)容參見本級管理局部相應章節(jié)。通訊線路平安a) 評估方式1) 評估者應詢問并查驗機房建設的書面材料，確認系統(tǒng)設計時考慮了干擾與輻射的影響，對于不可防止的干擾采取了通信線路的良好屏蔽；2) 評估者應詢問并驗證有關措施的有效性，確認通信線路的暢通。b) 評估結(jié)果判定1) 所有的驗證工程均為肯定答復，才能判定通信線路平安符合要求。網(wǎng)絡平安網(wǎng)絡邊界平安a) 評估方式1) 評估者應查驗文檔，確認系統(tǒng)有清晰的網(wǎng)絡拓撲結(jié)構(gòu)，網(wǎng)絡邊界明確；2) 評估者應觀察系統(tǒng)的實際結(jié)構(gòu)與當前有效的網(wǎng)絡拓撲結(jié)構(gòu)一致，不存在網(wǎng)絡拓撲結(jié)構(gòu)圖上未明確標識的多余設備和網(wǎng)絡連接，評估者應采用工具或人工方式注重驗證可疑的移動和便攜設備接入、可疑的撥入撥出方式、可疑的無線連接方式或者其他可能的方式；3) 評估者應驗證系統(tǒng)內(nèi)部網(wǎng)絡與外部網(wǎng)絡之間的連接點處布置了網(wǎng)絡訪問控制設備，沒有其他旁路方式；4) 評估者應驗證網(wǎng)絡訪問控制設備實現(xiàn)了基于口令的身份鑒別；5) 評估者應通過多種技術工具對網(wǎng)絡訪問控制設備進行脆弱性探測，確認其能抵御常見的基于操作系統(tǒng)和網(wǎng)絡協(xié)議的攻擊，整個測試中沒有發(fā)現(xiàn)明顯的脆弱性；6) 評估者應查驗文檔并實際驗證，確認網(wǎng)絡訪問控制設備具有平安審計功能；7) 評估者應驗證，系統(tǒng)網(wǎng)絡邊界布置了網(wǎng)絡入侵檢測系統(tǒng)和網(wǎng)關防病毒等設施；8) 評估者應查驗文檔和實際驗證，確認網(wǎng)絡訪問控制設備、網(wǎng)絡入侵檢測系統(tǒng)和網(wǎng)關防病毒設備等邊界保護設備當前的有效策略與組織確定的平安策略是一致的〔或沒有發(fā)現(xiàn)明顯的差異〕；9) 評估者應驗證并查驗文檔，確認網(wǎng)絡訪問控制設備、網(wǎng)絡入侵檢測系統(tǒng)和網(wǎng)關防病毒設施有連續(xù)工作的歷史記錄和相應的處理結(jié)果等記錄。b) 評估結(jié)果判定1) 所有的驗證工程均為肯定答復，才能判定網(wǎng)絡邊界平安符合要求。如果有否認答復，評估者可進一步判斷是缺少設施〔設施不全〕，設施存在缺陷或運行管理存在缺陷，并加以記錄；2) 如果被評估系統(tǒng)為與外部沒有連接的局域計算環(huán)境，那么對網(wǎng)絡邊界的訪問控制防護措施的要求可以降低，評估者應著重評估局域計算環(huán)境內(nèi)部子網(wǎng)之間的訪問控制防護措施；網(wǎng)絡通信平安分布式系統(tǒng)要實現(xiàn)平安通信，可以通過對網(wǎng)絡通信協(xié)議的平安加固或采用平安的網(wǎng)絡通信協(xié)議來實現(xiàn)，利用通信協(xié)議自身的平安保護機制實現(xiàn)通信雙方的身份鑒別機制，保證數(shù)據(jù)交換的機密性、完整性，有效抵御基于網(wǎng)絡協(xié)議的脆弱性而進行的截獲、偽造、篡改、重放、抵賴等網(wǎng)絡攻擊，保障網(wǎng)絡通信的平安。a) 評估方式1) 評估者應查驗文檔，確認對網(wǎng)絡通信進行了必要的平安加固；2) 評估者應查驗文檔，確認網(wǎng)絡通信采用了密碼技術；3) 評估者應查驗文檔，確認在采用的平安協(xié)議和密碼技術的支持下，能實現(xiàn)網(wǎng)絡通信的機密性、完整性、抗抵賴和抗重放保護；4) 評估者應使用協(xié)議分析儀等工具進行網(wǎng)絡監(jiān)聽，確認沒有發(fā)現(xiàn)明文通信。b) 評估結(jié)果判定1) 所有的驗證工程均為肯定答復，才能判定網(wǎng)絡通信平安符合要求；有效的文檔包括該系統(tǒng)設計或集成單位確認的設計文檔、系統(tǒng)使用單位的驗收文檔或國家權威部門的鑒定材料。內(nèi)部結(jié)構(gòu)平安a) 評估方式1) 評估者應查驗文檔，觀察并采用網(wǎng)絡拓撲發(fā)現(xiàn)等技術工具驗證實際的網(wǎng)絡結(jié)構(gòu)，確認系統(tǒng)內(nèi)部已根據(jù)具體需求劃分為多個網(wǎng)段；2) 評估者應驗證不同網(wǎng)段之間實現(xiàn)基于訪問控制策略的邏輯隔離〔如包過濾等〕；3) 評估者應驗證邏輯隔離設備實際配置使用的訪問控制規(guī)那么符合組織確定的訪問控制策略；4) 評估者應驗證所有的邏輯隔離設備實現(xiàn)了基于口令的身份鑒別，并且口令強度到達了要求；5) 評估者應查驗邏輯隔離設備有連續(xù)可讀的平安審計記錄。b) 評估結(jié)果判定1) 本工程的評估與網(wǎng)絡邊界工程評估中的第一條有密切的關系，本工程的判定應在該條判定為符合的根底上進行。如果系統(tǒng)應用單一，xxxxx確認沒有必要劃分多個網(wǎng)段，評估者應判定本工程不適用或已得到滿足，否那么，所有的驗證工程均應為肯定答復，才能判定內(nèi)部網(wǎng)絡結(jié)構(gòu)符合要求。節(jié)點平安操作系統(tǒng)平安a) 評估方式1) 評估者應驗證被評估系統(tǒng)采用了正式發(fā)布的商業(yè)操作系統(tǒng)；2) 評估者應查驗文檔并實際驗證操作系統(tǒng)對其所有用戶進行了標識，并且標識是唯一的由用戶名和用戶標識〔UID〕組成；3) 評估者應查驗文檔并實際驗證操作系統(tǒng)中的用戶標識在整個生命周期中實現(xiàn)了用戶的唯一性標識，并且用戶名或別名、UID等之間的一致性；4) 評估者應驗證，操作系統(tǒng)至少啟用了基于口令的身份鑒別機制，鑒別強度不低于8位字母數(shù)字組合的口令強度；5) 評估者應查驗文檔并實際驗證，確認主體〔用戶和代表用戶的進程〕對客體的訪問授權規(guī)那么與訪問控制策略一致，操作系統(tǒng)的常用平安選項，如口令強度檢查、平安審計等得到細致的配置，只開放必需的端口，并對明顯的漏洞進行了必要的修補〔如打補丁程序〕；6) 評估者應驗證關鍵節(jié)點的操作系統(tǒng)的平安配置，確認與書面確定的平安策略一致；7) 評估者應查驗文檔并實際驗證，確認操作系統(tǒng)實現(xiàn)了對數(shù)據(jù)的存儲、傳輸及處理的完整性保護，能夠?qū)崿F(xiàn)對數(shù)據(jù)的篡改、刪除、插入等情況進行檢測，并可通過回退實現(xiàn)完整性保護；8) 評估者應對操作系統(tǒng)的脆弱性進行探測，評估者應〔采用多種手段〕對關鍵節(jié)點的操作系統(tǒng)的脆弱性進行探測，確認沒有發(fā)現(xiàn)明顯削弱操作系統(tǒng)平安強度的脆弱性。b) 評估結(jié)果判定1) 所有要求驗證的工程均為肯定答復，才能判定操作系統(tǒng)平安符合要求。如果采用的是通用商用操作系統(tǒng)〔沒有充分實現(xiàn)二級平安操作系統(tǒng)的要求〕，需要加強對訪問控制、平安審計等方面的平安配置與加固，或增加個人防火墻等要求；2) 書面材料可以是正式簽署的鑒定報告或權威機構(gòu)的測評報告。被評估方允許且技術條件滿足的情況下，盡可能使用技術手段驗證以上評估點的有效性，提高評估結(jié)果的可信度，在評估技術手段不能充分滿足要求時，采用的操作系統(tǒng)的設計方案、技術白皮書、權威部門的鑒定材料或測評報告是最起碼的證據(jù)要求。主機防病毒a) 評估方式1) 評估者應驗證所有效勞器、工作站和客戶端中都安裝了殺毒的軟、硬件產(chǎn)品；2) 評估者應詢問并實際查驗，確認殺毒軟件可以通過HTTP、FTP、共享等多途徑，手動或定時自動升級病毒庫。b) 評估結(jié)果判定1) 病毒防護管理主要針對Windows系統(tǒng)主機，其他類型主機可不列入檢查范圍；假設所有的驗證工程均為肯定答復，才能判定主機防病毒平安符合要求。被評估方允許且技術條件滿足的情況下，盡可能使用技術手段驗證以上評估點的有效性，提高評估結(jié)果的可信度，在評估技術手段不能充分滿足要求時，產(chǎn)品的設計方案、鑒定材料或測評報告是最起碼的證據(jù)要求。應用與數(shù)據(jù)平安數(shù)據(jù)庫平安a) 評估方式1) 評估者應查驗文檔并實際驗證，數(shù)據(jù)庫系統(tǒng)實現(xiàn)了基于高強度口令的身份鑒別機制；2) 評估者應查驗文檔并實際驗證，數(shù)據(jù)庫系統(tǒng)進行了細致的平安配置，關閉不必要的帳戶，實現(xiàn)了細化的權限定義和管理〔如最小權限〕，不存在明顯的脆弱性；3) 評估者應查驗文檔并實際驗證，數(shù)據(jù)庫系統(tǒng)實現(xiàn)了對數(shù)據(jù)基于口令、數(shù)據(jù)加密和平安審計的保護；4) 如果用戶之間的身份區(qū)別是通過數(shù)據(jù)庫內(nèi)部建立用戶名/口令表的方式來實現(xiàn)，評估者應查驗文檔并實際驗證，數(shù)據(jù)庫系統(tǒng)對身份鑒別機制進行了必要的加固；5) 評估者應查驗文檔并實際驗證，數(shù)據(jù)庫系統(tǒng)提供了數(shù)據(jù)庫恢復技術；b) 評估結(jié)果判定1) 所有的驗證工程均為肯定答復，才能判定數(shù)據(jù)庫平安符合要求。2) 如果被評估系統(tǒng)未使用獨立的數(shù)據(jù)庫系統(tǒng)，數(shù)據(jù)平安由應用系統(tǒng)自身保證，那么不對本局部進行評估，但評估者應注意數(shù)據(jù)平安的有關要求是否在應用系統(tǒng)中得到了充分保障。3) 書面材料可以是正式簽署的鑒定報告或權威機構(gòu)的測評報告。被評估方允許且技術條件滿足的情況下，盡可能使用技術手段驗證以上評估點的有效性，提高評估結(jié)果的可信度，在評估技術手段不能充分滿足的要求時，產(chǎn)品的設計方案、鑒定材料或測評報告是最起碼的證據(jù)要求。應用系統(tǒng)平安a) 評估方式1) 評估者應查驗文檔并實際驗證，應用系統(tǒng)實現(xiàn)了基于IP的注冊用戶身份鑒別機制，對設備提供了不可偽造鑒別，網(wǎng)上數(shù)據(jù)交換提供了選擇性原發(fā)證明和選擇性接收證明。2) 評估者應查驗文檔并實際驗證，應用系統(tǒng)實現(xiàn)了對數(shù)據(jù)存儲、傳輸和處理過程中的保密保護；3) 評估者應查驗文檔并實際驗證，應用系統(tǒng)對數(shù)據(jù)傳輸實施了完整性保護、完整性檢測和回退等保護機制；4) 評估者應查驗文檔并實際驗證，應用系統(tǒng)采用了一致性策略保護數(shù)據(jù)處理的一致性。5) 評估者應查驗文檔并實際驗證，應用系統(tǒng)提供了記錄平安危害事件并實時報警的平安審計功能；6) 評估者應查驗文檔，應用系統(tǒng)實現(xiàn)了GA/T390-2002標準、6.2.5、6.2.6節(jié)中的保證要求。b) 評估結(jié)果判定1) 所有的驗證工程均為肯定答復，才能判定應用系統(tǒng)平安符合要求。2) 書面材料包括經(jīng)正式確認的應用系統(tǒng)設計材料、過程監(jiān)理材料、系統(tǒng)鑒定報告或權威機構(gòu)的測評報告等。評估者應分析相關文檔之間的一致性，驗證各種平安機制實現(xiàn)的有效性，配合管理局部的評估結(jié)果，判斷應用系統(tǒng)平安功能實現(xiàn)的可信度。3) 被評估方允許且技術條件滿足的情況下，盡可能使用技術手段驗證以上評估點的有效性，提高評估結(jié)果的可信度，在評估技術手段不能充分滿足的要求時，應用系統(tǒng)的設計方案、鑒定材料或測評報告是最起碼的證據(jù)要求。平安管理評估本級的平安管理評估以《黨政機關信息系統(tǒng)平安評測標準》中平安類別Ⅱ級平安保護管理要求為根底，評價被評估信息系統(tǒng)是否根據(jù)自身平安需求，建立必要的信息系統(tǒng)平安管理制度，對平安管理和執(zhí)行過程通過平安策略、管理制度、操作標準等文件方式加以固化。政策與制度本級的評估內(nèi)容，注重驗證平安方針和政策、平安策略和制度以正式文件的形式加以固化，內(nèi)容覆蓋面比擬齊全，有上述文件的評審、修訂過程，并有評審、修訂的證據(jù)。信息平安方針和政策方針與政策的制訂制定信息平安工作的總體方針和政策，明確計算機信息系統(tǒng)的平安目標和平安范圍等內(nèi)容，總體方針和政策經(jīng)單位主管領導批準。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了總體方針和政策；2) 評估者查驗內(nèi)容是否包含計算機信息系統(tǒng)的平安目標和平安范圍等；3) 評估者查驗是否有單位主管領導的簽字或蓋章等方式的批準。b) 評估結(jié)果判定1) 對于第2個問題，平安目標和平安范圍可能包括對機構(gòu)有重大意義的平安方針、原那么、標準、平安框架、信息平安的方法、支持信息平安的管理意向等，如果大局部內(nèi)容均有可以認為符合；第1、2個問題為符合，該工程評估結(jié)果符合。方針與政策的評審、修訂總體方針和政策應有專人〔或組織〕按照既定的評審程序負責它的評審和修訂。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了總體方針和政策的評審和修訂程序；2) 評估者查驗評審和修訂程序，驗證是否明確了評審和修訂的人員、評審和修訂的周期等；3) 評估者要求出示評審和修訂的評審表、會議記錄等相關材料，驗證總體方針和政策按照評審表等文件進行了修訂。b) 評估結(jié)果判定1) 第1個問題要求有評審和修訂的制度文件，如果有為符合；2) 第2個問題要求文件指定評審和修訂的人員或組織，明確評審和修訂的周期，如果有為符合；3) 第3個問題要求材料證明執(zhí)行了評審和修訂過程，如果有為符合；所有問題為符合，該工程評估結(jié)果為符合。平安管理策略與制度必要的信息平安策略和制度的制定應當制定必要的信息平安策略和制度文件。要根據(jù)機構(gòu)的實際情況，由信息系統(tǒng)使用單位的相關部門制定信息平安工作所涉及和需要的必要的策略和制度文件。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了平安管理必要的策略和制度；2) 評估者查驗策略文件，驗證內(nèi)容是否覆蓋風險管理、信息分類分級、業(yè)務連續(xù)性、審計等方面；3) 評估者查驗制度文件，驗證內(nèi)容是否覆蓋機房、網(wǎng)絡、系統(tǒng)、數(shù)據(jù)、防病毒管理等方面，同時是否包含設備使用、人員平安、平安審計、平安事件報告、事故處理和應急管理等方面。b) 評估結(jié)果判定1) 第2個問題要求策略文件至少包括風險管理、信息分類分級、業(yè)務連續(xù)性、平安審計謀略，如果大局部有為符合；2) 第3個問題要求規(guī)程和制度的內(nèi)容要包括機房、網(wǎng)絡、系統(tǒng)、數(shù)據(jù)、防病毒管理、設備使用、人員平安、平安審計、平安事件報告、事故處理和應急管理等方面，規(guī)程和制度的名稱可以根據(jù)需要決定，但內(nèi)容應覆蓋上述方面，如果大局部內(nèi)容均有可以認為符合；所有問題為符合，該工程評估結(jié)果為符合。策略與制度文件的發(fā)布、評審與修訂機構(gòu)制訂的策略和制度應有一個有效的發(fā)布渠道，應有專人〔或組織〕按照既定的評審程序負責它們的評審和修訂。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了策略與制度文件發(fā)布的程序；2) 評估者查驗文檔資料，驗證是否制定了策略與制度文件的評審和修訂程序；3) 評估者查驗評審和修訂程序，驗證是否明確了評審和修訂的人員、評審和修訂的周期等；4) 評估者要求出示評審和修訂的評審表、會議記錄等相關材料，驗證策略與制度文件按照評審表等文件進行了修訂。b) 評估結(jié)果判定1) 第1個問題要求有評審和修訂的制度文件，如果有為符合；2) 第2個問題要求文件指定評審和修訂的人員或組織，明確評審和修訂的周期，如果有為符合；3) 第3個問題要求材料證明執(zhí)行了評審和修訂過程，如果有為符合；所有問題為符合，該工程評估結(jié)果為符合。機構(gòu)與人員本級的評估內(nèi)容，注重驗證有信息平安工作的組織部門，有文件規(guī)定了機構(gòu)和人員的職責，有證據(jù)說明對人員進行了平安方面的約束和平安方面的教育。組織機構(gòu)和人員職責平安組織的建立應當在機構(gòu)中建立信息平安工作的專門功能部門〔如部、處、科等〕，可以考慮非常明確地將信息平安的主要職責賦予一個功能部門兼管。a) 評估方式1) 評估者詢問單位主管，確認負責信息平安工作的組織形式；2) 如果是專門功能部門，要求出示組織結(jié)構(gòu)的示意圖。b) 評估結(jié)果判定1) 有信息平安工作的組織為符合；所有問題為符合，該工程評估結(jié)果為符合。信息平安工作的組織和人員職責的定義制定文件明確平安管理機構(gòu)、平安管理人員的職責，確定各個機構(gòu)和人員對平安事務的分工等。a) 評估方式1) 評估者查驗文檔資料，驗證是否有文件明確了平安管理機構(gòu)、平安管理人員的職責，確定了各個機構(gòu)和人員對平安事務的分工等；2) 評估者詢問平安管理機構(gòu)負責人和平安管理人員，讓其表述自己的平安管理責任和權力，與文件比擬描述的責任和權利的區(qū)別；b) 評估結(jié)果判定1) 第1個問題有制度文件為符合；2) 第2個問題表述與文件一致為符合；3) 所有問題為符合，該工程評估結(jié)果為符合。平安管理人員配備配備一定數(shù)量的平安管理人員。平安管理人員應具有根本的專業(yè)技術水平，掌握計算機信息系統(tǒng)平安管理根本知識，能夠進行根本的系統(tǒng)平安風險分析和評估。a) 評估方式1) 評估者要求出示平安管理人員的名單；2) 評估者要求出具平安管理人員的受教育或培訓情況的資料，查驗相關資料的內(nèi)容，檢查專業(yè)技術水平是否符合平安管理人員的要求；3) 評估者詢問平安管理人員，讓其表述系統(tǒng)平安風險分析和評估的過程，判斷其對平安風險分析和評估的過程的掌握程度。b) 評估結(jié)果判定1) 第1個問題有名單為符合；2) 第2個問題證明材料為符合；3) 第3個問題表述熟練、正確為符合；4) 第1、2個問題為符合，該工程評估結(jié)果為符合。人員平安管理人員錄用對準備錄用人員應該進行核實檢查，核實檢查的內(nèi)容可能包括身份的真實性、工作的經(jīng)歷、技術專業(yè)資格或能力。a) 評估方式1) 評估者查驗文檔資料，驗證是否有人員錄用方面的規(guī)定；2) 評估者要求出具錄用人員的相關登記資料，查驗是否包括身份的真實性、工作的經(jīng)歷、技術專業(yè)資格或能力等信息驗證的過程。b) 評估結(jié)果判定1) 第1個問題只要有相關的規(guī)定，不一定必須有確定的制度，即符合；2) 第2個問題有身份證復印材料、個人簡歷、各類技術證書為符合；3) 所有問題為符合，該工程評估結(jié)果為符合。人員離崗對準備離崗人員應該在離崗前進行核實檢查和平安處理，核實檢查和平安處理的內(nèi)容包括終止所有訪問權限、取回各種證件和標志、回收提供的各種設備。a) 評估方式1) 評估者查驗文檔資料，驗證是否有人員離崗方面的處理規(guī)定；2) 評估者要求出具離崗人員的離崗手續(xù)資料，查驗是否包括回收證件、設備等的簽字信息。b) 評估結(jié)果判定1) 第1個問題只要有相關的規(guī)定，不一定必須有確定的制度，即符合；2) 第2個問題有離崗手續(xù)并含有各種簽字為符合；所有問題為符合，該工程評估結(jié)果為符合。雇傭關系雇員在受雇時應該給其出示雇傭條款和條件。雇傭條款和條件應該說明雇員對信息平安的責任。在雇傭結(jié)束后，這些責任應該繼續(xù)一定的時間。a) 評估方式1) 評估者查驗文檔資料，驗證是否有雇傭條款和條件方面的規(guī)定；2) 評估者查驗雇傭條款和條件，驗證內(nèi)容是否有雇員的法律責任和權利、雇員對信息平安的責任等等；3) 評估者詢問雇員，讓其表述自己對雇傭條款和條件的了解，與文件比擬描述的區(qū)別。b) 評估結(jié)果判定1) 第1個問題有規(guī)定為符合；2) 第2個問題內(nèi)容至少有雇員的法律責任和權利、雇員對信息平安的責任為符合；3) 第3個問題表述根本一致為符合；4) 所有問題為符合，該工程評估結(jié)果為符合。教育和培訓信息平安意識教育給予員工有關信息平安責任方面的意識教育，意識教育內(nèi)容包括告知員工信息的敏感性、信息平安的重要性和嚴重性，員工的責任、平安違例可導致紀律懲罰等。a) 評估方式1) 評估者要求出示人員的平安意識教育培訓方案、培訓教材、培訓合格記錄等文件；2) 評估者查驗培訓教材等材料，驗證是否包括信息的敏感性、信息平安的重要性和嚴重性，員工的責任、平安違例可導致紀律懲罰等方面的內(nèi)容。b) 評估結(jié)果判定1) 第1個問題有培訓方案、培訓教材、培訓合格記錄為符合；第1個問題為符合，該工程評估結(jié)果為符合。信息平安技術培訓對組織中所有員工進行適當?shù)男畔⑵桨才嘤?，并且根?jù)組織方針和程序的變化定期再培訓。a) 評估方式1) 評估者要求出示人員的平安技術培訓方案、培訓教材、培訓合格記錄等文件；2) 評估者查驗培訓教材等材料，驗證是否包括平安知識、平安技術、平安標準、平安要求、法律責任和業(yè)務控制措施；3) 評估者查驗培訓方案等材料，驗證是否再培訓的信息。b) 評估結(jié)果判定1) 第1個問題有平安技術培訓方案、培訓教材、培訓合格記錄為符合；2) 第2個問題內(nèi)容至少有平安知識、平安技術、平安標準、平安要求、法律責任和業(yè)務控制措施為符合；3) 第3個問題有再培訓方案為符合；所有問題為符合，該工程評估結(jié)果為符合。平安風險管理風險管理環(huán)境風險管理策略制定制訂文檔化的平安風險分析和評估活動程序標準風險管理活動。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了平安風險分析和評估活動程序；2) 評估者查驗文檔內(nèi)容，驗證是否包含平安風險管理的根本觀念和方法、風險管理的組織和資源保證等。b) 評估結(jié)果判定1) 第1個問題有程序為符合；2) 第2個問題內(nèi)容至少有平安風險管理的根本觀念和方法、風險管理的組織和資源保證的描述為符合；所有問題為符合，該工程評估結(jié)果為符合。資產(chǎn)鑒別和管理資產(chǎn)清單編制并保持與信息系統(tǒng)相關的重要資產(chǎn)的清單，清晰識別每項資產(chǎn)、其擁有權、責任人以及資產(chǎn)現(xiàn)在的位置等，對于支持信息系統(tǒng)運行的網(wǎng)絡設備、主機設備及平安設備等，進行標識和登記。a) 評估方式1) 評估者要求出示信息系統(tǒng)相關的資產(chǎn)清單等文件；2) 評估者查驗資產(chǎn)清單中是否清晰識別每項資產(chǎn)、其擁有權、責任人以及資產(chǎn)現(xiàn)在的位置等信息；3) 評估者觀察實際環(huán)境中網(wǎng)絡設備、主機設備及平安設備等，驗證是否有設備標識信息。b) 評估結(jié)果判定1) 第1、2個問題有資產(chǎn)清單且資產(chǎn)清單包含每項資產(chǎn)、資產(chǎn)擁有權、責任人、資產(chǎn)位置為符合；2) 第3個問題所有網(wǎng)絡設備、主機設備及平安設備有標識和登記為符合；所有問題為符合，該工程評估結(jié)果為符合。信息資產(chǎn)的分類與標識采取一種信息資產(chǎn)分類方式對信息資產(chǎn)進行分類管理。對于支持信息系統(tǒng)運行的網(wǎng)絡設備、主機設備及平安設備等，進行標識和登記。根據(jù)風險分析的結(jié)果，對信息系統(tǒng)內(nèi)分屬不同業(yè)務范圍的各類信息，按其在保密性、完整性和可用性影響級確定風險等級，分類加以標識。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了信息資產(chǎn)分類分級的規(guī)定；2) 評估者觀察實際環(huán)境中網(wǎng)絡設備、主機設備及平安設備等，驗證是否有設備標識信息；3) 評估者查驗資產(chǎn)清單中是否清晰識別每項資產(chǎn)的類別、風險等級和保護要求等。b) 評估結(jié)果判定1) 第1個問題有規(guī)定為符合；2) 第2個問題均有標識信息為符合；3) 第3個問題有資產(chǎn)清單且識別每項資產(chǎn)的類別、風險等級和保護要求為符合；所有問題為符合，該工程評估結(jié)果為符合。資產(chǎn)定性賦值機構(gòu)應該根據(jù)資產(chǎn)的重要程度對資產(chǎn)進行定性賦值，以便可以基于資產(chǎn)的價值選擇保護措施和進行其他的一些相關工作。a) 評估方式1) 評估者查驗文檔資料，驗證是否規(guī)定了按照風險分析思路對信息資產(chǎn)的重要性進行分類賦值的方法；2) 評估者查驗資產(chǎn)清單中是否給每項資產(chǎn)進行了價值的估計。b) 評估結(jié)果判定1) 第1個問題有方法為符合；2) 第2個問題資產(chǎn)均有賦值為符合；所有問題為符合，該工程評估結(jié)果為符合。威脅分析和評估根本的威脅分析機構(gòu)應該根據(jù)以往發(fā)生的平安事件、外部提供的資料和積累的經(jīng)驗對威脅進行粗略的分析。a) 評估方式1) 評估者要求出示信息系統(tǒng)威脅分析的相關文件。b) 評估結(jié)果判定1) 有材料證明進行了威脅分析過程為符合，材料可以是風險評估報告、需求分析報告、設計方案等；所有問題為符合，該工程評估結(jié)果為符合。威脅列表在國內(nèi)外標準和相關參考文檔的根底上，結(jié)合業(yè)務應用、系統(tǒng)結(jié)構(gòu)特點以及訪問流程等因素，建立并維護一個較全面的威脅列表。機構(gòu)的威脅列表應當有專門的機構(gòu)負責開發(fā)和維護。威脅列表應當隨時適應業(yè)務的變化、系統(tǒng)的變化、環(huán)境的變化、技術的更新等。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了威脅列表；2) 評估者查驗威脅列表是否依據(jù)業(yè)務的變化、系統(tǒng)的變化、環(huán)境的變化、技術的更新等及時進行更新。b) 評估結(jié)果判定1) 第1個問題有威脅列表〔可能在風險評估報告、需求分析報告、設計方案等中〕為符合；2) 第2個問題有材料證明威脅列表根據(jù)變化調(diào)整為符合；所有問題為符合，該工程評估結(jié)果為符合。脆弱性評估和分析脆弱性的人工分析通過人工分析的方式來獲得對系統(tǒng)脆弱性的認識。a) 評估方式1) 評估者要求出示對系統(tǒng)脆弱性進行人工分析的方案、具體實施方案、實際實施記錄等材料；2) 評估者查驗相關材料，驗證脆弱性人工分析范圍是否包括系統(tǒng)配置、用戶管理、系統(tǒng)日志和審計檢查等內(nèi)容。c) 評估結(jié)果判定1) 第1個問題有材料且材料完整為符合；2) 第2個問題范圍至少包括了系統(tǒng)配置、用戶管理、系統(tǒng)日志和審計檢查為符合；所有問題為符合，該工程評估結(jié)果為符合。脆弱性的工具掃描應該通過類似掃描器的工具來獲得對系統(tǒng)脆弱性的認識，掃描范圍包括網(wǎng)關設備、網(wǎng)絡設備、主機設備和平安設備。a) 評估方式1) 評估者要求出示對信息系統(tǒng)漏洞掃描的具體報告或相關報告；2) 評估者查驗漏洞掃描的具體日期，判斷漏洞掃描數(shù)據(jù)的可信程度；3) 評估者判斷漏洞掃描范圍是否包括網(wǎng)關設備、網(wǎng)絡設備、主機設備和平安設備等。b) 評估結(jié)果判定1) 第1、2個問題有漏洞掃描報告且報告真實為符合；2) 第3個問題掃描范圍應至少包括網(wǎng)關設備、網(wǎng)絡設備、主機設備及平安設備，齊全為符合；所有問題為符合，該工程評估結(jié)果為符合。滲透測試在獲得機構(gòu)相關部門了解并同意的情況下，通過系統(tǒng)穿透來測試系統(tǒng)的平安。a) 評估方式1) 評估者要求出示對系統(tǒng)進行滲透測試的方案、具體實施方案、實際實施記錄等材料；2) 評估者查驗相關材料，驗證滲透測試之前是否有領導的簽字或蓋章，是否進行了風險說明。b) 評估結(jié)果判定1) 第1個問題有材料且材料完整為符合；2) 第2個問題有風險說明且有領導的簽字或蓋章為符合；3) 所有問題為符合，該工程評估結(jié)果為符合。脆弱性評估綜合應用人工評估、工具掃描、滲透性測試等方法和工具對系統(tǒng)的脆弱性進行分析和評估。a) 評估方式1) 評估者要求出示對系統(tǒng)的風險分析報告或相關材料；2) 評估者查驗相關材料，驗證內(nèi)容包含綜合應用人工評估、工具掃描、滲透性測試等結(jié)果對系統(tǒng)的脆弱性進行分析和評估的過程。b) 評估結(jié)果判定1) 第1個問題有材料且材料完整為符合；2) 第2個問題綜合應用人工評估、工具掃描、滲透性測試等結(jié)果為符合；所有問題為符合，該工程評估結(jié)果為符合。脆弱性列表機構(gòu)應當經(jīng)常性地進行自身的脆弱性評估，并形成脆弱性列表。這個脆弱性列表將成為系統(tǒng)加固、改良和平安工程建設的依據(jù)。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了脆弱性列表；2) 評估者查驗脆弱性列表是否依據(jù)業(yè)務的變化、系統(tǒng)的變化、環(huán)境的變化、技術的更新等及時進行更新。b) 評估結(jié)果判定1) 第1個問題有脆弱性列表〔可能在風險評估報告、需求分析報告、設計方案等中〕為符合；2) 第2個問題有材料證明脆弱性列表根據(jù)變化調(diào)整為符合；所有問題為符合，該工程評估結(jié)果為符合。風險分析和評估定性的風險評價采用多層面、多角度的系統(tǒng)分析方法，由用戶和專家對資產(chǎn)、威脅和脆弱性等方面進行定性綜合評價，最終形成風險評估報告。a) 評估方式1) 評估者要求出示對系統(tǒng)的風險分析報告或相關材料；2) 評估者查驗相關材料，驗證內(nèi)容和過程是否采用了適宜的風險分析和評估方法。b) 評估結(jié)果判定1) 第1個問題有風險分析報告為符合；2) 第2個問題采用比擬正式風險分析和評估方法為符合；3) 所有問題為符合，該工程評估結(jié)果為符合。選擇和實施風險控制措施基于風險評估選擇控制措施根據(jù)風險評估的結(jié)果，結(jié)合機構(gòu)對于信息平安的需求決定信息平安的控制措施。a) 評估方式1) 評估者要求出示對系統(tǒng)的風險分析報告或相關材料；2) 評估者查驗相關材料，驗證平安控制措施的選擇是否采用了適宜的風險分析和評估方法；3) 評估者要求介紹平安措施選擇的根本過程和方法；4) 評估者判斷平安措施的選擇是否符合要求。b) 評估結(jié)果判定1) 第1個問題有風險分析報告為符合；2) 第2個問題采用比擬正式風險分析和評估方法為符合；3) 第3，4問題平安措施選擇采用比擬正式的方法為符合；4) 所有問題為符合，該工程評估結(jié)果為符合。工程建設管理本級的評估內(nèi)容，注重驗證工程建設過程中，比擬全面地考慮了平安問題，有信息平安規(guī)劃過程、有平安體系設計過程，對工程工程過程進行了控制，對建設過程中開發(fā)文檔和資源進行了控制。平安系統(tǒng)的設計和采購信息平安規(guī)劃在總體信息平安方針和政策的指導下，對于整個機構(gòu)在信息平安方面的工作進行全面的規(guī)劃。規(guī)劃應考慮短期、中期和長期，規(guī)劃應當是一個不斷改良和完善的文件。機構(gòu)應當定期對信息平安規(guī)劃進行復審，以確保信息平安規(guī)劃可以適應機構(gòu)內(nèi)外環(huán)境的變化。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了信息平安規(guī)劃；2) 評估者查驗信息平安規(guī)劃內(nèi)容，是否考慮了短期、中期和長期；3) 評估者查驗文檔資料，驗證是否規(guī)定了信息平安規(guī)劃復審、改良和修訂的程序；4) 評估者要求出示對信息平安規(guī)劃進行審核、評審的記錄；5) 評估者查驗信息平安規(guī)劃內(nèi)容，驗證是否按照評審的要求進行改良和修訂；b) 評估結(jié)果判定1) 第1個問題有信息平安規(guī)劃為符合；2) 第2個問題信息平安規(guī)劃內(nèi)容考慮了短期、中期和長期為符合；3) 第3個問題有程序為符合；4) 第4、5個問題有記錄證明為符合；5) 所有問題為符合，該工程評估結(jié)果為符合。平安需求分析和說明分析信息系統(tǒng)的平安需求，平安需求應以文件的形式來表達，并獲得管理層的認可。a) 評估方式1) 評估者要求出示信息系統(tǒng)的平安需求報告；2) 評估者查驗是否有單位主管領導的簽字或蓋章等方式的批準。b) 評估結(jié)果判定1) 有平安需求報告且獲得批準為符合；2) 所有問題為符合，該工程評估結(jié)果為符合。平安詳細方案設計制定清晰的信息系統(tǒng)的平安詳細設計方案，平安詳細設計方案包括系統(tǒng)組件的性能和功能要求、系統(tǒng)組件的形態(tài)和接口標準、系統(tǒng)組件的部署和配置要求等等。a) 評估方式1) 評估者要求出示信息系統(tǒng)的平安詳細設計方案；2) 評估者查驗是否包括系統(tǒng)組件的性能和功能要求、系統(tǒng)組件的形態(tài)和接口標準、系統(tǒng)組件的部署和配置要求等等。b) 評估結(jié)果判定1) 第1個問題有平安詳細設計方案為符合；第2個問題方案內(nèi)容應至少包括系統(tǒng)組件的性能和功能要求、系統(tǒng)組件的形態(tài)和接口標準、系統(tǒng)組件的部署和配置要求，齊全為符合，否那么為局部符合。系統(tǒng)、產(chǎn)品和效勞采購制定采購程序標準采購過程。a) 評估方式1) 評估者查驗是否有系統(tǒng)、產(chǎn)品和效勞采購方面的規(guī)程；2) 評估者要求出示某個產(chǎn)品采購方面的全部相關材料；3) 評估者查驗采購過程的相關材料是否遵循規(guī)程要求。b) 評估結(jié)果判定1) 第1個問題只要有相關的規(guī)定，不一定必須有確定的制度，即符合；2) 第2，3個問題有采購方面的材料證明符合規(guī)定為符合；所有問題為符合，該工程評估結(jié)果為符合。工程工程的控制和驗收工程工程的過程控制工程建設工程應選擇有資質(zhì)的建設者進行實施，要求建設者能正式地執(zhí)行平安工程過程，要求建設者制定詳細的工程實施方案控制實施過程。應通過工程監(jiān)理控制工程的實施過程。在工程結(jié)束、投入使用前，進行平安測試驗收。如果需要，可以實施系統(tǒng)評估、系統(tǒng)平安認證和認可等過程。a) 評估方式1) 評估者要求出示工程建設工程相關的材料，包括建設者的資質(zhì)材料、工程方案、測試方案、測試記錄、監(jiān)理報告等；2) 評估者查驗材料，驗證建設者的資質(zhì)是否符合要求；3) 評估者查驗材料，驗證工程實施過程是否符合平安工程要求；4) 評估者查驗材料，驗證工程實施方案是否符合要求；5) 評估者查驗材料，驗證是否通過工程監(jiān)理控制工程的實施過程；6) 評估者查驗材料，驗證是否進行平安測試驗收；7) 評估者查驗材料，驗證是否實施系統(tǒng)評估、系統(tǒng)平安認證和認可過程。b) 評估結(jié)果判定1) 第1個問題有材料且材料完整為符合；2) 第2、3、4、5個問題材料內(nèi)容符合要求為符合；3) 第6、7個問題材料證明過程實施為符合；4) 所有問題為符合，該工程評估結(jié)果為符合。平安系統(tǒng)的測試驗收進行平安測試驗收，規(guī)定誰應當對平安測試驗收負責。測試驗收前，應該制訂測試和接收標準，確保新系統(tǒng)的接收要求和標準被清晰定義并文檔化。a) 評估方式1) 評估者要求出示平安系統(tǒng)驗收的相關材料；2) 評估者查驗相關材料中是否明確了平安驗收的負責人或負責單位；3) 評估者查驗相關材料中是否有測試和接受標準的描述；4) 評估者查驗相關材料中是否有實際測試和接受的證明。b) 評估結(jié)果判定1) 第1個問題只要有相關的規(guī)定，不一定必須有確定的制度，即符合；2) 第2，3個問題有平安驗收的負責人或負責單位、有測試和接受標準或要求為符合；3) 第4個問題有平安測試和驗收的實際證明材料為符合；4) 第1、2個問題為符合，該工程評估結(jié)果為符合。防止有缺陷的軟件對商業(yè)軟件、自開發(fā)軟件、外包開發(fā)軟件等應在投入使用前防止可能的缺陷。a) 評估方式1) 評估者要求出示使用的商業(yè)軟件、自開發(fā)軟件、外包開發(fā)軟件等的批準使用的簽字、使用許可、測試文檔等相關材料；2) 評估者查驗測試文檔，驗證上述軟件在使用之前進行了測試和驗證。b) 評估結(jié)果判定1) 第1個問題有材料且材料完整為符合；2) 第2個問題材料證明實施了測試和驗收為符合；所有問題為符合，該工程評估結(jié)果為符合。開發(fā)文件的控制和保護系統(tǒng)開發(fā)文檔的控制系統(tǒng)開發(fā)文檔應當受到保護和控制。在必要的時候，經(jīng)管理層的批準，才允許使用系統(tǒng)開發(fā)文檔。系統(tǒng)開發(fā)文檔的訪問在物理或邏輯上應當予以控制。a) 評估方式1) 評估者要求指出系統(tǒng)開發(fā)文檔的保存地點，觀察位置是否平安，物理訪問控制是否予以保證；2) 評估者要求提供系統(tǒng)開發(fā)文檔的使用記錄，查驗對系統(tǒng)開發(fā)文檔使用是否獲得批準；3) 評估者查驗系統(tǒng)開發(fā)文檔的使用記錄，驗證是否記錄了系統(tǒng)開發(fā)文檔的使用人員、使用目的、使用時間等重要信息。b) 評估結(jié)果判定1) 第1個問題位置平安、實施訪問控制為符合；2) 第2個問題記錄證明使用獲得了批準為符合；3) 第3個問題記錄信息齊全為符合；4) 所有問題為符合，該工程評估結(jié)果為符合。對程序資源庫的控制為了減少計算機程序被破壞的可能性，應當嚴格控制對程序資源庫的訪問。a) 評估方式1) 評估者要求指出程序資源庫的保存地點，觀察位置是否平安，物理訪問控制是否與予保證，程序資源庫的位置是否與運行系統(tǒng)別離；2) 評估者要求提供程序資源庫的使用記錄，查驗對程序資源庫的使用是否獲得批準；3) 評估者查驗程序資源庫的使用記錄，驗證是否記錄了程序資源庫的使用人員、使用目的、使用時間等重要信息；4) 評估者查驗程序資源庫的內(nèi)容，驗證程序資源庫中是否保存了程序的所有版本。b) 評估結(jié)果判定1) 第1個問題位置平安、實施訪問控制為符合；2) 第2個問題記錄證明使用獲得了批準為符合；3) 第3個問題記錄信息齊全為符合；4) 第4個問題版本齊全為符合；5) 所有問題為符合，該工程評估結(jié)果為符合。對軟件包的改動應該按照嚴格的控制流程對軟件包進行修改。a) 評估方式1) 評估者查驗文檔資料，驗證是否制定了軟件包改動的控制流程；2) 評估者要求出示軟件包改動的相關資料，包括方案、方案、測試記錄等；3) 評估者查驗方案和方案，驗證是否在改動之前，對可能產(chǎn)生的風險和影響進行的分析；4) 評估者查驗方案和方案，驗證是否對軟件包的改動有批準和簽字；5) 評估者查驗測試記錄，驗證軟件包改動后，進行了測試。b) 評估結(jié)果判定1) 第1個問題有流程為符合；2) 第3個問題有材料證明有分析過程為符合；3) 第4個問題有批準為符合；4) 第5個問題有材料證明有測試過程為符合；所有問題為符合，該工程評估結(jié)果為符合。運行與維護管理本級在詢問和