精選優(yōu)質(zhì)文檔-----傾情為你奉上精選優(yōu)質(zhì)文檔-----傾情為你奉上專心---專注---專業(yè)專心---專注---專業(yè)精選優(yōu)質(zhì)文檔-----傾情為你奉上專心---專注---專業(yè)附件：報(bào)告編號：XXXXXXXXXXX-XXXXX-XX-XXXX-XX信息系統(tǒng)安全等級測評報(bào)告模版（2015年版）系統(tǒng)名稱：委托單位：測評單位：報(bào)告時(shí)間：年月日說明：一、每個(gè)備案信息系統(tǒng)單獨(dú)出具測評報(bào)告。二、測評報(bào)告編號為四組數(shù)據(jù)。各組含義和編碼規(guī)則如下：第一組為信息系統(tǒng)備案表編號，由2段16位數(shù)字組成，可以從公安機(jī)關(guān)頒發(fā)的信息系統(tǒng)備案證明（或備案回執(zhí)）上獲得。第1段即備案證明編號的前11位（前6位為受理備案公安機(jī)關(guān)代碼，后5位為受理備案的公安機(jī)關(guān)給出的備案單位的順序編號）；第2段即備案證明編號的后5位（系統(tǒng)編號）。第二組為年份，由2位數(shù)字組成。例如09代表2009年。第三組為測評機(jī)構(gòu)代碼，由四位數(shù)字組成。前兩位為省級行政區(qū)劃數(shù)字代碼的前兩位或行業(yè)主管部門編號：00為公安部，11為北京，12為天津，13為河北，14為山西，15為內(nèi)蒙古，21為遼寧，22為吉林，23為黑龍江，31為上海，32為江蘇，33為浙江，34為安徽，35為福建，36為江西，37為山東，41為河南，42為湖北，43為湖南，44為廣東，45為廣西，46為海南，50為重慶，51為四川，52為貴州，53為云南，54為西藏，61為陜西，62為甘肅，63為青海，64為寧夏，65為新疆，66為新疆兵團(tuán)。90為國防科工局，91為電監(jiān)會，92為教育部。后兩位為公安機(jī)關(guān)或行業(yè)主管部門推薦的測評機(jī)構(gòu)順序號。第四組為本年度信息系統(tǒng)測評次數(shù)，由兩位構(gòu)成。例如02表示該信息系統(tǒng)本年度測評2次。信息系統(tǒng)等級測評基本信息表信息系統(tǒng)系統(tǒng)名稱安全保護(hù)等級備案證明編號測評結(jié)論被測單位單位名稱單位地址郵政編碼聯(lián)系人姓名職務(wù)/職稱所屬部門辦公電話移動(dòng)電話電子郵件測評單位單位名稱單位代碼通信地址郵政編碼聯(lián)系人姓名職務(wù)/職稱所屬部門辦公電話移動(dòng)電話電子郵件審核批準(zhǔn)編制人(簽名)編制日期審核人(簽名)審核日期批準(zhǔn)人(簽名)批準(zhǔn)日期注：單位代碼由受理測評機(jī)構(gòu)備案的公安機(jī)關(guān)給出。聲明（聲明是測評機(jī)構(gòu)對測評報(bào)告的有效性前提、測評結(jié)論的適用范圍以及使用方式等有關(guān)事項(xiàng)的陳述。針對特殊情況下的測評工作，測評機(jī)構(gòu)可在以下建議內(nèi)容的基礎(chǔ)上增加特殊聲明。）本報(bào)告是xxx信息系統(tǒng)的等級測評報(bào)告。本報(bào)告測評結(jié)論的有效性建立在被測評單位提供相關(guān)證據(jù)的真實(shí)性基礎(chǔ)之上。本報(bào)告中給出的測評結(jié)論僅對被測信息系統(tǒng)當(dāng)時(shí)的安全狀態(tài)有效。當(dāng)測評工作完成后，由于信息系統(tǒng)發(fā)生變更而涉及到的系統(tǒng)構(gòu)成組件（或子系統(tǒng)）都應(yīng)重新進(jìn)行等級測評，本報(bào)告不再適用。本報(bào)告中給出的測評結(jié)論不能作為對信息系統(tǒng)內(nèi)部署的相關(guān)系統(tǒng)構(gòu)成組件（或產(chǎn)品）的測評結(jié)論。在任何情況下，若需引用本報(bào)告中的測評結(jié)果或結(jié)論都應(yīng)保持其原有的意義，不得對相關(guān)內(nèi)容擅自進(jìn)行增加、修改和偽造或掩蓋事實(shí)。單位名稱（加蓋單位公章）年月等級測評結(jié)論測評結(jié)論與綜合得分系統(tǒng)名稱保護(hù)等級系統(tǒng)簡介（簡要描述被測信息系統(tǒng)承載的業(yè)務(wù)功能等基本情況。建議不超過400字）測評過程簡介（簡要描述測評范圍和主要內(nèi)容。建議不超過200字。）測評結(jié)論綜合得分總體評價(jià)根據(jù)被測系統(tǒng)測評結(jié)果和測評過程中了解的相關(guān)信息，從用戶角度對被測信息系統(tǒng)的安全保護(hù)狀況進(jìn)行評價(jià)。例如可以從安全責(zé)任制、管理制度體系、基礎(chǔ)設(shè)施與網(wǎng)絡(luò)環(huán)境、安全控制措施、數(shù)據(jù)保護(hù)、系統(tǒng)規(guī)劃與建設(shè)、系統(tǒng)運(yùn)維管理、應(yīng)急保障等方面分別評價(jià)描述信息系統(tǒng)安全保護(hù)狀況。綜合上述評價(jià)結(jié)果，對信息系統(tǒng)的安全保護(hù)狀況給出總括性結(jié)論。例如：信息系統(tǒng)總體安全保護(hù)狀況較好。主要安全問題描述被測信息系統(tǒng)存在的主要安全問題及其可能導(dǎo)致的后果。問題處置建議針對系統(tǒng)存在的主要安全問題提出處置建議。目錄測評項(xiàng)目概述測評目的測評依據(jù)列出開展測評活動(dòng)所依據(jù)的文件、標(biāo)準(zhǔn)和合同等。如果有行業(yè)標(biāo)準(zhǔn)的，行業(yè)標(biāo)準(zhǔn)的指標(biāo)作為基本指標(biāo)。報(bào)告中的特殊指標(biāo)屬于用戶自愿增加的要求項(xiàng)。測評過程描述等級測評工作流程，包括測評工作流程圖、各階段完成的關(guān)鍵任務(wù)和工作的時(shí)間節(jié)點(diǎn)等內(nèi)容。報(bào)告分發(fā)范圍說明等級測評報(bào)告正本的份數(shù)與分發(fā)范圍。被測信息系統(tǒng)情況參照備案信息簡要描述信息系統(tǒng)。承載的業(yè)務(wù)情況描述信息系統(tǒng)承載的業(yè)務(wù)、應(yīng)用等情況。網(wǎng)絡(luò)結(jié)構(gòu)給出被測信息系統(tǒng)的拓?fù)浣Y(jié)構(gòu)示意圖，并基于示意圖說明被測信息系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)基本情況，包括功能/安全區(qū)域劃分、隔離與防護(hù)情況、關(guān)鍵網(wǎng)絡(luò)和主機(jī)設(shè)備的部署情況和功能簡介、與其他信息系統(tǒng)的互聯(lián)情況和邊界設(shè)備以及本地備份和災(zāi)備中心的情況。系統(tǒng)資產(chǎn)系統(tǒng)資產(chǎn)包括被測信息系統(tǒng)相關(guān)的所有軟硬件、人員、數(shù)據(jù)及文檔等。機(jī)房以列表形式給出被測信息系統(tǒng)的部署機(jī)房。序號機(jī)房名稱物理位置網(wǎng)絡(luò)設(shè)備以列表形式給出被測信息系統(tǒng)中的網(wǎng)絡(luò)設(shè)備。序號設(shè)備名稱操作系統(tǒng)品牌型號用途數(shù)量（臺/套）重要程度……安全設(shè)備以列表形式給出被測信息系統(tǒng)中的安全設(shè)備。序號設(shè)備名稱操作系統(tǒng)品牌型號用途數(shù)量（臺/套）重要程度……服務(wù)器/存儲設(shè)備以列表形式給出被測信息系統(tǒng)中的服務(wù)器和存儲設(shè)備，描述服務(wù)器和存儲設(shè)備的項(xiàng)目包括設(shè)備名稱、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)以及承載的業(yè)務(wù)應(yīng)用軟件系統(tǒng)。序號設(shè)備名稱設(shè)備名稱在本報(bào)告中應(yīng)唯一，如xx業(yè)務(wù)主數(shù)據(jù)庫服務(wù)器或設(shè)備名稱在本報(bào)告中應(yīng)唯一，如xx業(yè)務(wù)主數(shù)據(jù)庫服務(wù)器或xx-svr-db-1。操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)版本業(yè)務(wù)應(yīng)用軟件數(shù)量（臺/套）重要程度…終端以列表形式給出被測信息系統(tǒng)中的終端，包括業(yè)務(wù)管理終端、業(yè)務(wù)終端和運(yùn)維終端等。序號設(shè)備名稱操作系統(tǒng)用途數(shù)量（臺/套）重要程度………………業(yè)務(wù)應(yīng)用軟件以列表的形式給出被測信息系統(tǒng)中的業(yè)務(wù)應(yīng)用軟件（包括含中間件等應(yīng)用平臺軟件），描述項(xiàng)目包括軟件名稱、主要功能簡介。序號軟件名稱主要功能開發(fā)廠商重要程度……………關(guān)鍵數(shù)據(jù)類別以列表形式描述具有相近業(yè)務(wù)屬性和安全需求的數(shù)據(jù)集合。序號數(shù)據(jù)類別如如鑒別數(shù)據(jù)、管理信息和業(yè)務(wù)數(shù)據(jù)等，而業(yè)務(wù)數(shù)據(jù)可從安全防護(hù)需求（保密、完整等）的角度進(jìn)一步細(xì)分。所屬業(yè)務(wù)應(yīng)用安全防護(hù)需求保密性保密性，完整性等。重要程度……………安全相關(guān)人員以列表形式給出與被測信息系統(tǒng)安全相關(guān)的人員情況。相關(guān)人員包括（但不限于）安全主管、系統(tǒng)建設(shè)負(fù)責(zé)人、系統(tǒng)運(yùn)維負(fù)責(zé)人、網(wǎng)絡(luò)（安全）管理員、主機(jī)（安全）管理員、數(shù)據(jù)庫（安全）管理員、應(yīng)用（安全）管理員、機(jī)房管理人員、資產(chǎn)管理員、業(yè)務(wù)操作員、安全審計(jì)人員等。序號姓名崗位/角色聯(lián)系方式…………安全管理文檔以列表形式給出與信息系統(tǒng)安全相關(guān)的文檔，包括管理類文檔、記錄類文檔和其他文檔。序號文檔名稱主要內(nèi)容………安全服務(wù)序號安全服務(wù)名稱安全服務(wù)包括系統(tǒng)集成、安全集成、安全運(yùn)維、安全測評、應(yīng)急響應(yīng)、安全監(jiān)測等所有相關(guān)安全服務(wù)。安全服務(wù)包括系統(tǒng)集成、安全集成、安全運(yùn)維、安全測評、應(yīng)急響應(yīng)、安全監(jiān)測等所有相關(guān)安全服務(wù)。安全服務(wù)商………安全環(huán)境威脅評估描述被測信息系統(tǒng)的運(yùn)行環(huán)境中與安全相關(guān)的部分，并以列表形式給出被測信息系統(tǒng)的威脅列表。序號威脅分(子)類描述………前次測評情況簡要描述前次等級測評發(fā)現(xiàn)的主要問題和測評結(jié)論。等級測評范圍與方法測評指標(biāo)測評指標(biāo)包括基本指標(biāo)和特殊指標(biāo)兩部分?；局笜?biāo)依據(jù)信息系統(tǒng)確定的業(yè)務(wù)信息安全保護(hù)等級和系統(tǒng)服務(wù)安全保護(hù)等級，選擇《基本要求》中對應(yīng)級別的安全要求作為等級測評的基本指標(biāo)，以表格形式在表3-1中列出。表3-1基本指標(biāo)安全層面安全層面對應(yīng)基本要求中的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全與備份恢復(fù)、安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等10個(gè)安全要求類別。安全層面對應(yīng)基本要求中的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全與備份恢復(fù)、安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等10個(gè)安全要求類別。安全控制點(diǎn)安全控制點(diǎn)安全控制點(diǎn)是對安全層面的進(jìn)一步細(xì)化，在《基本要求》目錄級別中對應(yīng)安全層面的下一級目錄。測評項(xiàng)數(shù)………不適用指標(biāo)鑒于信息系統(tǒng)的復(fù)雜性和特殊性，《基本要求》的某些要求項(xiàng)可能不適用于整個(gè)信息系統(tǒng)，對于這些不適用項(xiàng)應(yīng)在表后給出不適用原因。表3-2不適用指標(biāo)安全層面安全控制點(diǎn)不適用項(xiàng)原因說明………特殊指標(biāo)結(jié)合被測評單位要求、被測信息系統(tǒng)的實(shí)際安全需求以及安全最佳實(shí)踐經(jīng)驗(yàn)，以列表形式給出《基本要求》（或行業(yè)標(biāo)準(zhǔn)）未覆蓋或者高于《基本要求》（或行業(yè)標(biāo)準(zhǔn)）的安全要求。安全層面安全控制點(diǎn)特殊要求描述測評項(xiàng)數(shù)………測評對象測評對象選擇方法依據(jù)GB/T28449-2012信息系統(tǒng)安全等級保護(hù)測評過程指南的測評對象確定原則和方法，結(jié)合資產(chǎn)重要程度賦值結(jié)果，描述本報(bào)告中測評對象的選擇規(guī)則和方法。測評對象選擇結(jié)果機(jī)房序號機(jī)房名稱物理位置重要程度網(wǎng)絡(luò)設(shè)備序號設(shè)備名稱操作系統(tǒng)用途重要程度…………安全設(shè)備序號設(shè)備名稱操作系統(tǒng)用途重要程度…………服務(wù)器/存儲設(shè)備序號設(shè)備名稱設(shè)備名稱在本報(bào)告中應(yīng)唯一，如xx業(yè)務(wù)主數(shù)據(jù)庫服務(wù)器或設(shè)備名稱在本報(bào)告中應(yīng)唯一，如xx業(yè)務(wù)主數(shù)據(jù)庫服務(wù)器或xx-svr-db-1。操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)業(yè)務(wù)應(yīng)用軟件重要程度………終端序號設(shè)備名稱操作系統(tǒng)用途重要程度……數(shù)據(jù)庫管理系統(tǒng)序號數(shù)據(jù)庫系統(tǒng)名稱數(shù)據(jù)庫管理系統(tǒng)類型所在設(shè)備名稱重要程度……………業(yè)務(wù)應(yīng)用軟件序號軟件名稱主要功能開發(fā)廠商重要程度………訪談人員序號姓名崗位/職責(zé)………安全管理文檔序號文檔名稱主要內(nèi)容………測評方法描述等級測評工作中采用的訪談、檢查、測試和風(fēng)險(xiǎn)分析等方法。單元測評單元測評內(nèi)容包括“3.1.1基本指標(biāo)”以及“3.1.3特殊指標(biāo)”中涉及的安全層面，內(nèi)容由問題分析和結(jié)果匯總等兩個(gè)部分構(gòu)成，詳細(xì)結(jié)果記錄及符合程度參見報(bào)告附錄物理安全結(jié)果匯總針對不同安全控制點(diǎn)對單個(gè)測評對象在物理安全層面的單項(xiàng)測評結(jié)果進(jìn)行匯總和統(tǒng)計(jì)。表4-1物理安全-單元測評結(jié)果匯總表序號測評對象符合情況安全控制點(diǎn)物理位置的選擇物理訪問控制防盜竊和防破壞防雷擊防火防水和防潮防靜電溫濕度控制電力供應(yīng)電磁屏蔽1對象1符合部分符合不符合不適用…………結(jié)果分析針對物理安全測評結(jié)果中存在的符合項(xiàng)加以分析說明，形成被測系統(tǒng)具備的安全保護(hù)措施描述。針對物理安全測評結(jié)果中存在的部分符合項(xiàng)或不符合項(xiàng)加以匯總和分析，形成安全問題描述。網(wǎng)絡(luò)安全結(jié)果匯總針對不同安全控制點(diǎn)對單個(gè)測評對象在網(wǎng)絡(luò)安全層面的單項(xiàng)測評結(jié)果進(jìn)行匯總和統(tǒng)計(jì)。結(jié)果分析主機(jī)安全結(jié)果匯總針對不同安全控制點(diǎn)對單個(gè)測評對象在主機(jī)安全層面的單項(xiàng)測評結(jié)果進(jìn)行匯總和統(tǒng)計(jì)。結(jié)果分析應(yīng)用安全結(jié)果匯總結(jié)果分析數(shù)據(jù)安全及備份恢復(fù)結(jié)果匯總結(jié)果分析安全管理制度結(jié)果匯總結(jié)果分析安全管理機(jī)構(gòu)結(jié)果匯總結(jié)果分析人員安全管理結(jié)果匯總結(jié)果分析系統(tǒng)建設(shè)管理結(jié)果匯總結(jié)果分析系統(tǒng)運(yùn)維管理結(jié)果匯總結(jié)果分析××××（特殊指標(biāo)）結(jié)果匯總結(jié)果分析單元測評小結(jié)控制點(diǎn)符合情況匯總根據(jù)附錄A中測評項(xiàng)的符合程度得分，以算術(shù)平均法合并多個(gè)測評對象在同一測評項(xiàng)的得分，得到各測評項(xiàng)的多對象平均分。根據(jù)測評項(xiàng)權(quán)重（參見附件《測評項(xiàng)權(quán)重賦值表》，其他情況的權(quán)重賦值另行發(fā)布），以加權(quán)平均合并同一安全控制點(diǎn)下的所有測評項(xiàng)的符合程度得分，并按照控制點(diǎn)得分計(jì)算公式得到各安全控制點(diǎn)的5分制得分?？刂泣c(diǎn)得分=k=1n測評項(xiàng)的多對象平均分×以表格形式匯總測評結(jié)果，表格以不同顏色對測評結(jié)果進(jìn)行區(qū)分，部分符合（安全控制點(diǎn)得分在0分和5分之間，不等于0分或5分）的安全控制點(diǎn)采用黃色標(biāo)識，不符合（安全控制點(diǎn)得分為0分）的安全控制點(diǎn)采用紅色標(biāo)識。表4-*單元測評結(jié)果分類統(tǒng)計(jì)表序號安全層面安全控制點(diǎn)安全控制點(diǎn)得分符合情況符合部分符合不符合不適用1物理安全物理位置的選擇2物理訪問控制3防盜竊和防破壞4防雷擊5防火6防水和防潮7防靜電8溫濕度控制9電力供應(yīng)10電磁防護(hù)………………統(tǒng)計(jì)安全問題匯總針對單元測評結(jié)果中存在的部分符合項(xiàng)或不符合項(xiàng)加以匯總，形成安全問題列表并計(jì)算其嚴(yán)重程度值。依其嚴(yán)重程度取值為1~5，最嚴(yán)重的取值為5。安全問題嚴(yán)重程度值是基于對應(yīng)的測評項(xiàng)權(quán)重并結(jié)合附錄A中對應(yīng)測評項(xiàng)的符合程度進(jìn)行的。具體計(jì)算公式如下：安全問題嚴(yán)重程度值=（5-測評項(xiàng)符合程度得分）×測評項(xiàng)權(quán)重。表4-4安全問題匯總表問題編號安全問題測評對象安全層面安全控制點(diǎn)測評項(xiàng)測評項(xiàng)權(quán)重問題嚴(yán)重程度值………整體測評從安全控制間、層面間、區(qū)域間和驗(yàn)證測試等方面對單元測評的結(jié)果進(jìn)行驗(yàn)證、分析和整體評價(jià)。具體內(nèi)容參見《GB/T28448信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)測評要求》。安全控制間安全測評層面間安全測評區(qū)域間安全測評驗(yàn)證測試驗(yàn)證測試包括漏洞掃描，滲透測試等，驗(yàn)證測試發(fā)現(xiàn)的安全問題對應(yīng)到相應(yīng)的測評項(xiàng)的結(jié)果記錄中。詳細(xì)驗(yàn)證測試報(bào)告見報(bào)告附錄A。若由于用戶原因無法開展驗(yàn)證測試，應(yīng)將用戶簽章的“自愿放棄驗(yàn)證測試聲明”作為報(bào)告附件。整體測評結(jié)果匯總根據(jù)整體測評結(jié)果，修改安全問題匯總表中的問題嚴(yán)重程度值及對應(yīng)的修正后測評項(xiàng)符合程度得分，并形成修改后的安全問題匯總表（僅包括有所修正的安全問題）?？筛鶕?jù)整體測評安全控制措施對安全問題的彌補(bǔ)程度將修正因子設(shè)為0.5~0.9。修正后問題嚴(yán)重程度值問題嚴(yán)重程度值最高為5。=修正前的問題嚴(yán)重程度值×修正因子。問題嚴(yán)重程度值最高為5。修正后測評項(xiàng)符合程度=5-修正后問題嚴(yán)重程度值/測評項(xiàng)權(quán)重表5-1修正后的安全問題匯總表該處僅該處僅列出問題嚴(yán)重程度有所修正的安全問題。序號問題編號該處編號與該處編號與4.12.2安全問題匯總表中的問題編號一一對應(yīng)。安全問題描述測評項(xiàng)權(quán)重整體測評描述修正因子修正后問題嚴(yán)重程度值修正后測評項(xiàng)符合程度…總體安全狀況分析系統(tǒng)安全保障評估以表格形式匯總被測信息系統(tǒng)已采取的安全保護(hù)措施情況，并綜合附錄A中的測評項(xiàng)符合程度得分以及5.5章節(jié)中的修正后測評項(xiàng)符合程度得分（有修正的測評項(xiàng)以5.5章節(jié)中的修正后測評項(xiàng)符合程度得分帶入計(jì)算），以算術(shù)平均法合并多個(gè)測評對象在同一測評項(xiàng)的得分，得到各測評項(xiàng)的多對象平均分。根據(jù)測評項(xiàng)權(quán)重（見附件《測評項(xiàng)權(quán)重賦值表》，其他情況的權(quán)重賦值另行發(fā)布），以加權(quán)平均合并同一安全控制點(diǎn)下的所有測評項(xiàng)的符合程度得分，并按照控制點(diǎn)得分計(jì)算公式得到各安全控制點(diǎn)的5分制得分。計(jì)算公式為：控制點(diǎn)得分=k=1n測評項(xiàng)的多對象平均分以算術(shù)平均合并同一安全層面下的所有安全控制點(diǎn)得分，并轉(zhuǎn)換為安全層面的百分制得分。根據(jù)表格內(nèi)容描述被測信息系統(tǒng)已采取的有效保護(hù)措施和存在的主要安全問題情況。表6-1系統(tǒng)安全保障情況得分表序號安全層面安全控制點(diǎn)安全控制點(diǎn)得分安全層面得分1物理安全物理位置的選擇2物理訪問控制3防盜竊和防破壞4防雷擊5防火6防水和防潮7防靜電8溫濕度控制9電力供應(yīng)10電磁防護(hù)11網(wǎng)絡(luò)安全結(jié)構(gòu)安全12訪問控制13安全審計(jì)14邊界完整性檢查15入侵防范16惡意代碼防范17網(wǎng)絡(luò)設(shè)備防護(hù)18主機(jī)安全身份鑒別19安全標(biāo)記20訪問控制21可信路徑22安全審計(jì)23剩余信息保護(hù)24入侵防范25惡意代碼防范26資源控制27應(yīng)用安全身份鑒別28安全標(biāo)記29訪問控制30可信路徑31安全審計(jì)32剩余信息保護(hù)33通信完整性34通信保密性35抗抵賴36軟件容錯(cuò)37資源控制38數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性39數(shù)據(jù)保密性40備份和恢復(fù)41安全管理制度管理制度42制定和發(fā)布43評審和修訂44安全管理機(jī)構(gòu)崗位設(shè)置45人員配備46授權(quán)和審批47溝通和合作48審核和檢查49人員安全管理人員錄用50人員離崗51人員考核52安全意識教育和培訓(xùn)53外部人員訪問管理54系統(tǒng)建設(shè)管理系統(tǒng)定級55安全方案設(shè)計(jì)56產(chǎn)品采購和使用57自行軟件開發(fā)58外包軟件開發(fā)59工程實(shí)施60測試驗(yàn)收61系統(tǒng)交付62系統(tǒng)備案63等級測評64安全服務(wù)商選擇65系統(tǒng)運(yùn)維管理環(huán)境管理66資產(chǎn)管理67介質(zhì)管理68設(shè)備管理69監(jiān)控管理和安全管理中心70網(wǎng)絡(luò)安全管理71系統(tǒng)安全管理72惡意代碼防范管理73密碼管理74變更管理75備份與恢復(fù)管理76安全事件處置77應(yīng)急預(yù)案管理安全問題風(fēng)險(xiǎn)評估依據(jù)信息安全標(biāo)準(zhǔn)規(guī)范，采用風(fēng)險(xiǎn)分析的方法進(jìn)行危害分析和風(fēng)險(xiǎn)等級判定。針對等級測評結(jié)果中存在的所有安全問題，結(jié)合關(guān)聯(lián)資產(chǎn)和威脅分別分析安全危害，找出可能對信息系統(tǒng)、單位、社會及國家造成的最大安全危害（損失），并根據(jù)最大安全危害嚴(yán)重程度進(jìn)一步確定信息系統(tǒng)面臨的風(fēng)險(xiǎn)等級，結(jié)果為“高”、“中”或“低”。并以列表形式給出等級測評發(fā)現(xiàn)安全問題以及風(fēng)險(xiǎn)分析和評價(jià)情況，參見表6-2。其中，最大安全危害（損失）結(jié)果應(yīng)結(jié)合安全問題所影響業(yè)務(wù)的重要程度、相關(guān)系統(tǒng)組件的重要程度、安全問題嚴(yán)重程度以及安全事件影響范圍等進(jìn)行綜合分析。表6-2信息系統(tǒng)安全問題風(fēng)險(xiǎn)分析表問題編號安全層面問題描述關(guān)聯(lián)資產(chǎn)如風(fēng)險(xiǎn)值和評價(jià)相同，可填寫多個(gè)關(guān)聯(lián)資產(chǎn)。如風(fēng)險(xiǎn)值和評價(jià)相同，可填寫多個(gè)關(guān)聯(lián)資產(chǎn)。關(guān)聯(lián)威脅對于多個(gè)對于多個(gè)威脅關(guān)聯(lián)同一個(gè)問題的情況，應(yīng)分別填寫。危害分析結(jié)果風(fēng)險(xiǎn)等級等級測評結(jié)論綜合上述幾章節(jié)的測評與風(fēng)險(xiǎn)分析結(jié)果，根據(jù)符合性判別依據(jù)給出等級測評結(jié)論，并計(jì)算信息系統(tǒng)的綜合得分。等級測評結(jié)論應(yīng)表述為“符合”、“基本符合”或者“不符合”。結(jié)論判定及綜合得分計(jì)算方式見下表：測評結(jié)論符合性判別依據(jù)綜合得分計(jì)算公式符合信息系統(tǒng)中未發(fā)現(xiàn)安全問題，等級測評結(jié)果中所有測評項(xiàng)得分均為5分。100分基本符合信息系統(tǒng)中存在安全問題，但不會導(dǎo)致信息系統(tǒng)面臨高等級安全風(fēng)險(xiǎn)。k=1p測評項(xiàng)不符合信息系統(tǒng)中存在安全問題，而且會導(dǎo)致信息系統(tǒng)面臨高等級安全風(fēng)險(xiǎn)。60-j=1l修正后注：修正后問題嚴(yán)重程度賦值結(jié)果取多對象中針對同一測評項(xiàng)的最大值。也可根據(jù)特殊指標(biāo)重要程度為其賦予權(quán)重，并參照上述方法和綜合得分計(jì)算公式，得出綜合基本指標(biāo)與特殊指標(biāo)測評結(jié)果的綜合得分。問題處置建議針對系統(tǒng)存在的安全問題提出處置建議。附錄A等級測評結(jié)果記錄A.1物理安全以表格形式給出物理安全的現(xiàn)場測評結(jié)果。符合程度根據(jù)被測信息系統(tǒng)實(shí)際保護(hù)狀況進(jìn)行賦值，完全符合項(xiàng)賦值為5，其他情況根據(jù)被測系統(tǒng)在該測評指標(biāo)的符合程度賦值為0~4（取整數(shù)值）。測評對象安全控制點(diǎn)測評指標(biāo)結(jié)果記錄符合程度…物理位置的選擇………………物理訪問控制………………A.2網(wǎng)絡(luò)安全A.3主機(jī)安全A.4應(yīng)用安全A.5數(shù)據(jù)安全及備份恢復(fù)A.6安全管理制度A.7安全管理機(jī)構(gòu)A.8人員安全管理A.9系統(tǒng)建設(shè)管理A.10系統(tǒng)運(yùn)維管理A.11××××（特殊指標(biāo)安全層面）A.12驗(yàn)證測試附件第三級信息系統(tǒng)測評項(xiàng)權(quán)重賦值表（此表可不提供被測評單位）下表給出第三級（S3A3G3）信息系統(tǒng)安全等級保護(hù)基本要求對應(yīng)的測評項(xiàng)權(quán)重，其他等級信息系統(tǒng)測評項(xiàng)權(quán)重賦值序號層面控制點(diǎn)要求項(xiàng)測評項(xiàng)權(quán)重1物理安全物理位置的選擇a）機(jī)房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；0.22物理安全物理位置的選擇b）機(jī)房場地應(yīng)避免設(shè)在建筑物的高層或地下室，以及用水設(shè)備的下層或隔壁。0.53物理安全物理訪問控制a）機(jī)房出入口應(yīng)有專人值守，控制、鑒別和記錄進(jìn)入的人員。0.54物理安全物理訪問控制b）需進(jìn)入機(jī)房的來訪人員應(yīng)經(jīng)過申請和審批流程，并限制和監(jiān)控其活動(dòng)范圍。0.55物理安全物理訪問控制c）應(yīng)對機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過渡區(qū)域。0.56物理安全物理訪問控制d）重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。17物理安全防盜竊和防破壞a）應(yīng)將主要設(shè)備放置在機(jī)房內(nèi)。0.28物理安全防盜竊和防破壞b）應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記。0.29物理安全防盜竊和防破壞c）應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中。0.210物理安全防盜竊和防破壞d）應(yīng)對介質(zhì)分類標(biāo)識，存儲在介質(zhì)庫或檔案室中。0.211物理安全防盜竊和防破壞e）應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房的防盜報(bào)警系統(tǒng)。0.512物理安全防盜竊和防破壞f）應(yīng)對機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。0.513物理安全防雷擊a）機(jī)房建筑應(yīng)設(shè)置避雷裝置。0.214物理安全防雷擊b）應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷。0.515物理安全防雷擊c）機(jī)房應(yīng)設(shè)置交流電源地線。0.216物理安全防火a）機(jī)房應(yīng)設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，自動(dòng)檢測火情、自動(dòng)報(bào)警，并自動(dòng)滅火。0.517物理安全防火b）機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級的建筑材料。0.218物理安全防火c）機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。0.219物理安全防水和防潮a）水管安裝，不得穿過機(jī)房屋頂和活動(dòng)地板下。0.220物理安全防水和防潮b）應(yīng)采取措施防止雨水通過機(jī)房窗戶、屋頂和墻壁滲透。0.221物理安全防水和防潮c）應(yīng)采取措施防止機(jī)房內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。0.222物理安全防水和防潮d）應(yīng)安裝對水敏感的檢測儀表或元件，對機(jī)房進(jìn)行防水檢測和報(bào)警。0.523物理安全防靜電a）主要設(shè)備應(yīng)采用必要的接地防靜電措施。0.224物理安全防靜電b）機(jī)房應(yīng)采用防靜電地板。0.525物理安全溫濕度控制a）機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。0.226物理安全電力供應(yīng)a）應(yīng)在機(jī)房供電線路上設(shè)置穩(wěn)壓器和過電壓防護(hù)設(shè)備。0.527物理安全電力供應(yīng)b）應(yīng)提供短期的備用電力供應(yīng)，至少滿足主要設(shè)備在斷電情況下的正常運(yùn)行要求。0.528物理安全電力供應(yīng)c）應(yīng)設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電。129物理安全電力供應(yīng)d）應(yīng)建立備用供電系統(tǒng)。130物理安全電磁防護(hù)a）應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾。0.531物理安全電磁防護(hù)b）電源線和通信線纜應(yīng)隔離鋪設(shè)，避免互相干擾。0.532物理安全電磁防護(hù)c）應(yīng)對關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。133網(wǎng)絡(luò)安全結(jié)構(gòu)安全a)應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；134網(wǎng)絡(luò)安全結(jié)構(gòu)安全b)應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要；0.535網(wǎng)絡(luò)安全結(jié)構(gòu)安全c)應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問路徑；136網(wǎng)絡(luò)安全結(jié)構(gòu)安全d)應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；0.537網(wǎng)絡(luò)安全結(jié)構(gòu)安全e)應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；138網(wǎng)絡(luò)安全結(jié)構(gòu)安全f)應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；0.539網(wǎng)絡(luò)安全結(jié)構(gòu)安全g)應(yīng)按照對業(yè)務(wù)服務(wù)的重要次序來指定帶寬分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要主機(jī)。0.540網(wǎng)絡(luò)安全訪問控制a)應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；0.541網(wǎng)絡(luò)安全訪問控制b)應(yīng)能根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；142網(wǎng)絡(luò)安全訪問控制c)應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級的控制；143網(wǎng)絡(luò)安全訪問控制d)應(yīng)在會話處于非活躍一定時(shí)間或會話結(jié)束后終止網(wǎng)絡(luò)連接；0.544網(wǎng)絡(luò)安全訪問控制e)應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；0.545網(wǎng)絡(luò)安全訪問控制f)重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；0.546網(wǎng)絡(luò)安全訪問控制g)應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶；0.547網(wǎng)絡(luò)安全訪問控制h)應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。0.548網(wǎng)絡(luò)安全安全審計(jì)a)應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；149網(wǎng)絡(luò)安全安全審計(jì)b)審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；0.550網(wǎng)絡(luò)安全安全審計(jì)c)應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；151網(wǎng)絡(luò)安全安全審計(jì)d)應(yīng)對審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等。0.552網(wǎng)絡(luò)安全邊界完整性檢查a)應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對其進(jìn)行有效阻斷；153網(wǎng)絡(luò)安全邊界完整性檢查b)應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對其進(jìn)行有效阻斷。154網(wǎng)絡(luò)安全入侵防范a)應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；155網(wǎng)絡(luò)安全入侵防范b)當(dāng)檢測到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。0.556網(wǎng)絡(luò)安全惡意代碼防范a)應(yīng)在網(wǎng)絡(luò)邊界處對惡意代碼進(jìn)行檢測和清除；157網(wǎng)絡(luò)安全惡意代碼防范b)應(yīng)維護(hù)惡意代碼庫的升級和檢測系統(tǒng)的更新。0.558網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)a)應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；0.559網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)b)應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；0.560網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)c)網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；0.561網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)d)主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進(jìn)行身份鑒別；162網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)e)身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；163網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)f)應(yīng)具有登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施；0.564網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)g)當(dāng)對網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；0.565網(wǎng)絡(luò)安全網(wǎng)絡(luò)設(shè)備防護(hù)h)應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。0.566主機(jī)安全身份鑒別a)應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)識和鑒別；0.567主機(jī)安全身份鑒別b)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；168主機(jī)安全身份鑒別c)應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動(dòng)退出等措施；0.569主機(jī)安全身份鑒別d)當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；170主機(jī)安全身份鑒別e)為操作系統(tǒng)和數(shù)據(jù)庫的不同用戶分配不同的用戶名，確保用戶名具有唯一性；0.571主機(jī)安全身份鑒別f）應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進(jìn)行身份鑒別。172主機(jī)安全訪問控制a)應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；0.573主機(jī)安全訪問控制b)應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；0.574主機(jī)安全訪問控制c)應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離；175主機(jī)安全訪問控制d)應(yīng)嚴(yán)格限制默認(rèn)賬戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，并修改這些賬戶的默認(rèn)口令；0.576主機(jī)安全訪問控制e)應(yīng)及時(shí)刪除多余的、過期的賬戶，避免共享賬戶的存在；0.577主機(jī)安全訪問控制f）應(yīng)對重要信息資源設(shè)置敏感標(biāo)記；178主機(jī)安全訪問控制g）應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作。179主機(jī)安全安全審計(jì)a)安全審計(jì)應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫用戶；180主機(jī)安全安全審計(jì)b)審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；0.581主機(jī)安全安全審計(jì)c)審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識、客體標(biāo)識和結(jié)果等；0.582主機(jī)安全安全審計(jì)d）應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；183主機(jī)安全安全審計(jì)e）應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷；0.584主機(jī)安全安全審計(jì)f）應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。0.585主機(jī)安全入侵防范a)應(yīng)能夠檢測到對重要服務(wù)器進(jìn)行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警；0.586主機(jī)安全入侵防范b）應(yīng)能夠?qū)χ匾绦蛲暾赃M(jìn)行檢測，并在檢測到完整性受到破壞后具有恢復(fù)的措施；187主機(jī)安全入侵防范c)操作系統(tǒng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。0.588主機(jī)安全惡意代碼防范a)應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫；189主機(jī)安全惡意代碼防范b)主機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫；0.590主機(jī)安全惡意代碼防范c)應(yīng)支持惡意代碼防范的統(tǒng)一管理。0.591主機(jī)安全剩余信息保護(hù)a）應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的鑒別信息所在的存儲空間，被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；0.592主機(jī)安全剩余信息保護(hù)b）應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間，被釋放或重新分配給其他用戶前得到完全清除。0.293主機(jī)安全資源控制a)應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；0.594主機(jī)安全資源控制b)應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；0.595主機(jī)安全資源控制c）應(yīng)對重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；0.596主機(jī)安全資源控制d)應(yīng)限制單個(gè)用戶對系統(tǒng)資源的最大或最小使用限度；0.297主機(jī)安全資源控制e）應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警。0.298應(yīng)用安全身份鑒別a)應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身份標(biāo)識和鑒別；0.599應(yīng)用安全身份鑒別b)應(yīng)對同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別；1100應(yīng)用安全身份鑒別c)應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息不易被冒用；1101應(yīng)用安全身份鑒別d)應(yīng)提供登錄失敗處理功能，可采取結(jié)束會話、限制非法登錄次數(shù)和自動(dòng)退出等措施；0.5102應(yīng)用安全身份鑒別e)應(yīng)啟用身份鑒別、用戶身份標(biāo)識唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。0.5103應(yīng)用安全訪問控制a)應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；0.5104應(yīng)用安全訪問控制b)訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它們之間的操作；0.5105應(yīng)用安全訪問控制c)應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限；0.5106應(yīng)用安全訪問控制d)應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。1107應(yīng)用安全訪問控制e)應(yīng)具有對重要信息資源設(shè)置敏感標(biāo)記的功能；1108應(yīng)用安全訪問控制f)應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作；1109應(yīng)用安全安全審計(jì)a)應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；1110應(yīng)用安全安全審計(jì)b)應(yīng)保證無法單獨(dú)中斷審計(jì)進(jìn)程，無法刪除、修改或覆蓋審計(jì)記錄；0.5111應(yīng)用安全安全審計(jì)c)審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等；0.5112應(yīng)用安全安全審計(jì)d)應(yīng)提供對審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。1113應(yīng)用安全剩余信息保護(hù)a)應(yīng)保證用戶鑒別信息所在的存儲空間被釋放或再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是在內(nèi)存中；0.5114應(yīng)用安全剩余信息保護(hù)b)應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫記錄等資源所在的存儲空間被釋放或重新分配給其他用戶前得到完全清除。0.2115應(yīng)用安全通信完整性a)應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。0.2116應(yīng)用安全通信保密性a)在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會話初始化驗(yàn)證；0.5117應(yīng)用安全通信保密性b)應(yīng)對通信過程中的整個(gè)報(bào)文或會話過程進(jìn)行加密。1118應(yīng)用安全抗抵賴a)應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；0.5119應(yīng)用安全抗抵賴b)應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。0.5120應(yīng)用安全軟件容錯(cuò)a)應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求；1121應(yīng)用安全軟件容錯(cuò)b)應(yīng)提供自動(dòng)保護(hù)功能，當(dāng)故障發(fā)生時(shí)自動(dòng)保護(hù)當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)。0.5122應(yīng)用安全資源控制a)當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動(dòng)結(jié)束會話；0.5123應(yīng)用安全資源控制b)應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會話連接數(shù)進(jìn)行限制；0.2124應(yīng)用安全資源控制c)應(yīng)能夠?qū)蝹€(gè)帳戶的多重并發(fā)會話進(jìn)行限制；0.2125應(yīng)用安全資源控制d)應(yīng)能夠?qū)σ粋€(gè)時(shí)間段內(nèi)可能的并發(fā)會話連接數(shù)進(jìn)行限制；0.2126應(yīng)用安全資源控制e)應(yīng)能夠?qū)σ粋€(gè)訪問帳戶或一個(gè)請求進(jìn)程占用的資源分配最大限額和最小限額；0.5127應(yīng)用安全資源控制f)應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報(bào)警；0.2128應(yīng)用安全資源控制g)應(yīng)提供服務(wù)優(yōu)先級設(shè)定功能，并在安裝后根據(jù)安全策略設(shè)定訪問帳戶或請求進(jìn)程的優(yōu)先級，根據(jù)優(yōu)先級分配系統(tǒng)資源。0.5129數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性a)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施；0.2130數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性b)應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性受到破壞，并在檢測到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。0.5131數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)保密性a)應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；1132數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)保密性b)應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲保密性。1133數(shù)據(jù)安全及備份恢復(fù)備份和恢復(fù)a)應(yīng)提供本地?cái)?shù)據(jù)備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場外存放；0.5134數(shù)據(jù)安全及備份恢復(fù)備份和恢復(fù)b)應(yīng)提供異地?cái)?shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)批量傳送至備用場地；0.5135數(shù)據(jù)安全及備份恢復(fù)備份和恢復(fù)c)應(yīng)采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避免關(guān)鍵節(jié)點(diǎn)存在單點(diǎn)故障；1136數(shù)據(jù)安全及備份恢復(fù)備份和恢復(fù)d)應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。1137安全管理制度管理制度a）應(yīng)制定信息安全工作的總體方針和安全策略，說明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架等。0.5138安全管理制度管理制度b）應(yīng)對安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度。0.5139安全管理制度管理制度c）應(yīng)對安全管理人員或操作人員執(zhí)行的日常管理操作建立操作規(guī)程。0.5140安全管理制度管理制度d）應(yīng)形成由安全政策、管理制度、操作規(guī)程等構(gòu)成的全面的信息安全管理制度體系。1141安全管理制度制定和發(fā)布a）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)安全管理制度的制定。0.5142安全管理制度制定和發(fā)布b）安全管理制度應(yīng)具有統(tǒng)一的格式，并進(jìn)行版本控制。0.2143安全管理制度制定和發(fā)布c）應(yīng)組織相關(guān)人員對制定的安全管理進(jìn)行論證和審定。0.5144安全管理制度制定和發(fā)布d）安全管理制度應(yīng)通過正式、有效的方式發(fā)布。0.2145安全管理制度制定和發(fā)布e）安全管理制度應(yīng)注明發(fā)布范圍，并對收發(fā)文進(jìn)行登記。0.2146安全管理制度評審和修訂a）信息安全領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對安全管理制度體系的合理性和適用性進(jìn)行審定。0.2147安全管理制度評審和修訂b）應(yīng)定期或不定期對安全管理制度進(jìn)行檢查和審定，對存在不足或需要改進(jìn)的安全管理制度進(jìn)行修訂。0.2148安全管理機(jī)構(gòu)崗位設(shè)置a）應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管、安全管理各個(gè)方面的負(fù)責(zé)人崗位，并定義各負(fù)責(zé)人的職責(zé)。1149安全管理機(jī)構(gòu)崗位設(shè)置b）應(yīng)設(shè)立系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等崗位，并定義各個(gè)工作崗位的職責(zé)。0.5150安全管理機(jī)構(gòu)崗位設(shè)置c）應(yīng)成立指導(dǎo)和管理信息安全工作的委員會或領(lǐng)導(dǎo)小組，其最高領(lǐng)導(dǎo)由單位主管領(lǐng)導(dǎo)委任或授權(quán)。0.5151安全管理機(jī)構(gòu)崗位設(shè)置d）應(yīng)制定文件明確安全管理機(jī)構(gòu)各個(gè)部門和崗位的職責(zé)、分工和技能要求。0.5152安全管理機(jī)構(gòu)人員配備a）應(yīng)配備一定數(shù)量的系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等。1153安全管理機(jī)構(gòu)人員配備b）應(yīng)配備專職安全管理員，不可兼任。0.5154安全管理機(jī)構(gòu)人員配備c）關(guān)鍵事務(wù)崗位應(yīng)配備多人共同管理。0.5155安全管理機(jī)構(gòu)授權(quán)和審批a）應(yīng)根據(jù)各個(gè)部門和崗位的職責(zé)明確授權(quán)審批事項(xiàng)、審批部門和批準(zhǔn)人等。0.2156安全管理機(jī)構(gòu)授權(quán)和審批b）應(yīng)針對系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項(xiàng)建立審批程序，按照審批程序執(zhí)行審批過程，對重要活動(dòng)建立逐級審批制度。0.5157安全管理機(jī)構(gòu)授權(quán)和審批c）應(yīng)定期審查審批事項(xiàng)，及時(shí)更新需授權(quán)和審批的項(xiàng)目、審批部門和審批人等信息。0.2158安全管理機(jī)構(gòu)授權(quán)和審批d）應(yīng)記錄審批過程并保存審批文檔。0.2159安全管理機(jī)構(gòu)溝通和合作a）應(yīng)加強(qiáng)各類管理人員之間、組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的合作與溝通，定期或不定期召開協(xié)調(diào)會議，共同協(xié)作處理信息安全問題。0.5160安全管理機(jī)構(gòu)溝通和合作b）應(yīng)加強(qiáng)與兄弟單位、公安機(jī)關(guān)、電信公司的合作與溝通。0.2161安全管理機(jī)構(gòu)溝通和合作c）應(yīng)加強(qiáng)與供應(yīng)商、業(yè)界專家、專業(yè)的安全公司、安全組織的合作與溝通。0.2162安全管理機(jī)構(gòu)溝通和合作d）應(yīng)建立外聯(lián)單位聯(lián)系列表，包括外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息。0.2163安全管理機(jī)構(gòu)溝通和合作e）應(yīng)聘請信息安全專家作為常年的安全顧問，指導(dǎo)信息安全建設(shè)，參與安全規(guī)劃和安全評審等。0.2164安全管理機(jī)構(gòu)審核和檢查a）安全管理員應(yīng)負(fù)責(zé)定期進(jìn)行安全檢查，檢查內(nèi)容包括系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況。1165安全管理機(jī)構(gòu)審核和檢查b）應(yīng)由內(nèi)部人員或上級單位定期進(jìn)行全面安全檢查，檢查內(nèi)容包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等。0.5166安全管理機(jī)構(gòu)審核和檢查c）應(yīng)制定安全檢查表格實(shí)施安全檢查，匯總安全檢查數(shù)據(jù)，形成安全檢查報(bào)告，并對安全檢查結(jié)果進(jìn)行通報(bào)。0.5167安全管理機(jī)構(gòu)審核和檢查d）應(yīng)制定安全審核和安全檢查制度規(guī)范安全審核和安全檢查工作，定期按照程序進(jìn)行安全審核和安全檢查活動(dòng)。0.5168人員安全管理人員錄用a）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用。0.5169人員安全管理人員錄用b）應(yīng)嚴(yán)格規(guī)范人員錄用過程，對被錄用人的身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查，對其所具有的技術(shù)技能進(jìn)行考核。1170人員安全管理人員錄用c）應(yīng)簽署保密協(xié)議。1171人員安全管理人員錄用d）應(yīng)從內(nèi)部人員中選拔從事關(guān)鍵崗位的人員，并簽署崗位安全協(xié)議。0.5172人員安全管理人員離崗a）應(yīng)嚴(yán)格規(guī)范人員離崗過程，及時(shí)終止即將離崗員工的所有訪問權(quán)限。0.5173人員安全管理人員離崗b）應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備。0.5174人員安全管理人員離崗c）應(yīng)辦理嚴(yán)格的調(diào)離手續(xù)，關(guān)鍵崗位人員離崗須承諾調(diào)離后的保密義務(wù)后方可離開。0.2175人員安全管理人員考核a）應(yīng)定期對各個(gè)崗位的人員進(jìn)行安全技能及安全認(rèn)知的考核。0.5176人員安全管理人員考核b）應(yīng)對關(guān)鍵崗位的人員進(jìn)行全面、嚴(yán)格的安全審查和技能考核。1177人員安全管理人員考核c）應(yīng)對考核結(jié)果進(jìn)行記錄并保存。0.5178人員安全管理安全意識教育和培訓(xùn)a）應(yīng)對各類人員進(jìn)行安全意識教育、崗位技能培訓(xùn)和相關(guān)安全技術(shù)培訓(xùn)。1179人員安全管理安全意識教育和培訓(xùn)b）應(yīng)對安全責(zé)任和懲戒措施進(jìn)行書面規(guī)定并告知相關(guān)人員，對違反違背安全策略和規(guī)定的人員進(jìn)行懲戒。0.5180人員安全管理安全意識教育和培訓(xùn)c）應(yīng)對安全教育和培訓(xùn)進(jìn)行書面規(guī)定，針對不同崗位制定不同的培訓(xùn)計(jì)劃，對信息安全基礎(chǔ)知識、崗位操作規(guī)程等進(jìn)行培訓(xùn)。1181人員安全管理安全意識教育和培訓(xùn)d）應(yīng)對安全教育和培訓(xùn)的情況和結(jié)果進(jìn)行記錄并歸檔保存。0.5182人員安全管理外部人員訪問管理a）應(yīng)確保在外部人員訪問機(jī)房等重要區(qū)域前先提出書面申請，批準(zhǔn)后由專人全程陪同或監(jiān)督，并登記備案。0.5183人員安全管理外部人員訪問管理b）對外部人員允許訪問的區(qū)域、系統(tǒng)、設(shè)備、信息等內(nèi)容應(yīng)進(jìn)行書面的規(guī)定，并按照規(guī)定執(zhí)行。0.2184系統(tǒng)建設(shè)管理系統(tǒng)定級a）應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級。0.5185系統(tǒng)建設(shè)管理系統(tǒng)定級b）應(yīng)以書面的形式說明確定信息系統(tǒng)為某個(gè)安全保護(hù)等級的方法和理由。0.2186系統(tǒng)建設(shè)管理系統(tǒng)定級c）應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對信息系統(tǒng)定級結(jié)果的合理性和正確性進(jìn)行論證和審定。0.2187系統(tǒng)建設(shè)管理系統(tǒng)定級d）應(yīng)確保信息系統(tǒng)的定級結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)。0.2188系統(tǒng)建設(shè)管理安全方案設(shè)計(jì)a）應(yīng)根據(jù)系統(tǒng)的安全級別選擇基本安全措施，并依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施。0.5189系統(tǒng)建設(shè)管理安全方案設(shè)計(jì)b）應(yīng)指定和授權(quán)專門的部門對信息系統(tǒng)的安全建設(shè)進(jìn)行總體規(guī)劃，制定近期和遠(yuǎn)期的安全建設(shè)工作計(jì)劃。1190系統(tǒng)建設(shè)管理安全方案設(shè)計(jì)c）應(yīng)根據(jù)信息系統(tǒng)的等級劃分情況，統(tǒng)一考慮安全保障體系的總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃和詳細(xì)設(shè)計(jì)方案，并形成配套文件。1191系統(tǒng)建設(shè)管理安全方案設(shè)計(jì)d）應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的合理性和正確性進(jìn)行論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式實(shí)施。0.5192系統(tǒng)建設(shè)管理安全方案設(shè)計(jì)e）應(yīng)根據(jù)等級測評、安全評估的結(jié)果定期調(diào)整和修訂總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件。0.5193系統(tǒng)建設(shè)管理產(chǎn)品采購和使用a）應(yīng)確保安全產(chǎn)品的采購和使用符合國家的有關(guān)規(guī)定。0.2194系統(tǒng)建設(shè)管理產(chǎn)品采購和使用b）應(yīng)確保密碼產(chǎn)品的采購和使用符合國家密碼主管部門的要求。0.2195系統(tǒng)建設(shè)管理產(chǎn)品采購和使用c）應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)產(chǎn)品的采購。0.2196系統(tǒng)建設(shè)管理產(chǎn)品采購和使用d）應(yīng)預(yù)先對產(chǎn)品進(jìn)行選型測試，確定產(chǎn)品的候選范圍，并定期審定和更新候選產(chǎn)品名單。0.5197系統(tǒng)建設(shè)管理自行軟件開發(fā)a）應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開，開發(fā)人員和測試人員分離，測試數(shù)據(jù)和測試結(jié)果受到控制。1198系統(tǒng)建設(shè)管理自行軟件開發(fā)b）應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則。0.5199系統(tǒng)建設(shè)管理自行軟件開發(fā)c）應(yīng)制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼。0.5200系統(tǒng)建設(shè)管理自行軟件開發(fā)d）應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南，并由專人負(fù)責(zé)保管。0.5201系統(tǒng)建設(shè)管理自行軟件開發(fā)e）應(yīng)確保對程序資源庫的修改、更新、發(fā)布進(jìn)行授權(quán)和批準(zhǔn)。1202系統(tǒng)建設(shè)管理外包軟件開發(fā)a）應(yīng)根據(jù)開發(fā)需求檢測軟件質(zhì)量。1203系統(tǒng)建設(shè)管理外包軟件開發(fā)b）應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼。1204系統(tǒng)建設(shè)管理外包軟件開發(fā)c）應(yīng)要求開發(fā)單位提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南。0.5205系統(tǒng)建設(shè)管理外包軟件開發(fā)d）應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門。0.5206系統(tǒng)建設(shè)管理工程實(shí)施a）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實(shí)施過程的管理。0.2207系統(tǒng)建設(shè)管理工程實(shí)施b）應(yīng)制定詳細(xì)的工程實(shí)施方案控制實(shí)施過程，并要求工程實(shí)施單位能正式地執(zhí)行安全工程過程。0.5208系統(tǒng)建設(shè)管理工程實(shí)施c）應(yīng)制定工程實(shí)施方面的管理制度，明確說明實(shí)施過程的控制方法和人員行為準(zhǔn)則。0.2209系統(tǒng)建設(shè)管理測試驗(yàn)收a）應(yīng)委托公正的第三方測試單位對系統(tǒng)進(jìn)行安全性測試，并出具安全性測試報(bào)告。0.5210系統(tǒng)建設(shè)管理測試驗(yàn)收b）應(yīng)在測試驗(yàn)收前根據(jù)設(shè)計(jì)方案或合同要求等制訂測試驗(yàn)收方案，測試驗(yàn)收過程中詳細(xì)記錄測試驗(yàn)收結(jié)果，形成測試驗(yàn)收報(bào)告。0.2211系統(tǒng)建設(shè)管理測試驗(yàn)收c）應(yīng)對系統(tǒng)測試驗(yàn)收的控制方法和人員行為準(zhǔn)則進(jìn)行書面規(guī)定。0.2212系統(tǒng)建設(shè)管理測試驗(yàn)收d）應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)測試驗(yàn)收的管理，并按照管理制度的要求完成系統(tǒng)測試驗(yàn)收工作。0.2213系統(tǒng)建設(shè)管理測試驗(yàn)收e）應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗(yàn)收報(bào)告進(jìn)行審定，并簽字確認(rèn)。0.2214系統(tǒng)建設(shè)管理系統(tǒng)交付a）應(yīng)制定詳細(xì)的系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進(jìn)行清點(diǎn)。0.2215系統(tǒng)建設(shè)管理系統(tǒng)交付b）應(yīng)對負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)行相應(yīng)的技能培訓(xùn)。0.5216系統(tǒng)建設(shè)管理系統(tǒng)交付c）應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔。0.2217系統(tǒng)建設(shè)管理系統(tǒng)交付d）應(yīng)對系統(tǒng)交付的控制方法和人員行為準(zhǔn)則進(jìn)行書面規(guī)定。0.2218系統(tǒng)建設(shè)管理系統(tǒng)交付e）應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)系統(tǒng)交付的管理工作，并按照管理規(guī)定的要求完成系統(tǒng)交付工作。0.5219系統(tǒng)建設(shè)管理系統(tǒng)備案a）應(yīng)指定專門的部門或人員負(fù)責(zé)管理系統(tǒng)定級的相關(guān)材料，并控制這些材料的使用。0.2220系統(tǒng)建設(shè)管理系統(tǒng)備案b）應(yīng)將系統(tǒng)等級和系統(tǒng)屬性等資料報(bào)系統(tǒng)主管部門備案。0.2221系統(tǒng)建設(shè)管理系統(tǒng)備案c）應(yīng)將系統(tǒng)等級及其他要求的備案材料報(bào)相應(yīng)公安機(jī)關(guān)備案。0.5222系統(tǒng)建設(shè)管理等級測評a）在系統(tǒng)運(yùn)行過程中，應(yīng)至少每年對系統(tǒng)進(jìn)行一次等級測評，發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時(shí)整改。1223系統(tǒng)建設(shè)管理等級測評b）應(yīng)在系統(tǒng)發(fā)生變更時(shí)及時(shí)對系統(tǒng)進(jìn)行等級測評，發(fā)現(xiàn)級別發(fā)生變化的及時(shí)調(diào)整級別并進(jìn)行安全改造，發(fā)現(xiàn)不符合相應(yīng)等級保護(hù)標(biāo)準(zhǔn)要求的及時(shí)整改。1224系統(tǒng)建設(shè)管理等級測評c）應(yīng)選擇具有國家相關(guān)技術(shù)資質(zhì)和安全資質(zhì)的測評單位進(jìn)行等級測評。0.5225系統(tǒng)建設(shè)管理等級測評d）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)等級測評的管理。0.5226系統(tǒng)建設(shè)管理安全服務(wù)商選擇a）應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定。0.2227系統(tǒng)建設(shè)管理安全服務(wù)商選擇b）應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責(zé)任。0.5228系統(tǒng)建設(shè)管理安全服務(wù)商選擇c）應(yīng)確保選定的安全服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)承諾，必要的與其簽訂服務(wù)合同。0.2229系統(tǒng)運(yùn)維管理環(huán)境管理a）應(yīng)指定專門的部門或人員定期對機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理。0.5230系統(tǒng)運(yùn)維管理環(huán)境管理b）應(yīng)指定部門負(fù)責(zé)機(jī)房安全，并配備機(jī)房安全管理人員，對機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理。0.5231系統(tǒng)運(yùn)維管理環(huán)境管理c）應(yīng)建立機(jī)房安全管理制度，對有關(guān)機(jī)房物理訪問，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理作出規(guī)定。0.2232系統(tǒng)運(yùn)維管理環(huán)境管理d）應(yīng)加強(qiáng)對辦公環(huán)境的保密性管理，規(guī)范辦公環(huán)境人員行為，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙、不在辦公區(qū)接待來訪人員、工作人員離開座位應(yīng)確保終端計(jì)算機(jī)退出登錄狀態(tài)和桌面上沒有包含敏感信息的紙檔文件等。0.2233系統(tǒng)運(yùn)維管理資產(chǎn)管理a）應(yīng)編制并保存與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容。0.2234系統(tǒng)運(yùn)維管理資產(chǎn)管理b）應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門,并規(guī)范資產(chǎn)管理和使用的行為。0.5235系統(tǒng)運(yùn)維管理資產(chǎn)管理c）應(yīng)根據(jù)資產(chǎn)的重要程度對資產(chǎn)進(jìn)行標(biāo)識管理，根據(jù)資產(chǎn)的價(jià)值選擇相應(yīng)的管理措施。0.2236系統(tǒng)運(yùn)維管理資產(chǎn)管理d）應(yīng)對信息分類與標(biāo)識方法作出規(guī)定，并對信息的使用、傳輸和存儲等進(jìn)行規(guī)范化管理。0.5237系統(tǒng)運(yùn)維管理介質(zhì)管理a）應(yīng)建立介質(zhì)安全管理制度，對介質(zhì)的存放環(huán)境、使用、維護(hù)和銷毀等方面作出規(guī)定。0.5238系統(tǒng)運(yùn)維管理介質(zhì)管理b）應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進(jìn)行控制和保護(hù)，并實(shí)行存儲環(huán)境專人管理。0.2239系統(tǒng)運(yùn)維管理介質(zhì)管理c）應(yīng)對介質(zhì)在物理傳輸過程中的人員選擇、打包、交付等情況進(jìn)行控制，對介質(zhì)歸檔和查詢等進(jìn)行登記記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點(diǎn)。0.2240系統(tǒng)運(yùn)維管理介質(zhì)管理d）應(yīng)對存儲介質(zhì)的使用過程、送出維修以及銷毀等進(jìn)行嚴(yán)格的管理，對帶出工作環(huán)境的存儲介質(zhì)進(jìn)行內(nèi)容加密和監(jiān)控管理，對送出維修或銷毀的介質(zhì)應(yīng)首先清除介質(zhì)中的敏感數(shù)據(jù)，對保密性較高的存儲介質(zhì)未經(jīng)批準(zhǔn)不得自行銷毀。0.5241系統(tǒng)運(yùn)維管理介質(zhì)管理e）應(yīng)根據(jù)數(shù)據(jù)備份的需要對某些介質(zhì)實(shí)行異地存儲，存儲地的環(huán)境要求和管理方法應(yīng)與本地相同。0.2242系統(tǒng)運(yùn)維管理介質(zhì)管理f）應(yīng)對重要介質(zhì)中的數(shù)據(jù)和軟件采取加密存儲，并根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進(jìn)行分類和標(biāo)識管理。0.5243系統(tǒng)運(yùn)維管理設(shè)備管理a）應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備（包括備份和冗余設(shè)備）、線路等指定專人或?qū)ｉT的部門定期進(jìn)行維護(hù)管理。0.2244系統(tǒng)運(yùn)維管理設(shè)備管理b）應(yīng)建立基于申報(bào)、審批和專人負(fù)責(zé)的設(shè)備安全管理制度，對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放和領(lǐng)用等過程進(jìn)行規(guī)范化管理。0.5245系統(tǒng)運(yùn)維管理設(shè)備管理c）應(yīng)建立配套設(shè)施、軟硬件維護(hù)方面的管理制度，對其維護(hù)進(jìn)行有效的管理，包括明確維護(hù)人員的責(zé)任、涉外維修和服務(wù)的審批、維修過程的監(jiān)督控制等。0.5246系統(tǒng)運(yùn)維管理設(shè)備管理d）應(yīng)對終端計(jì)算機(jī)、工作站、便攜機(jī)、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進(jìn)行規(guī)范化管理，按操作規(guī)程實(shí)現(xiàn)主要設(shè)備（包括備份和冗余設(shè)備）的啟動(dòng)/停止、加電/斷電等操作。0.2247系統(tǒng)運(yùn)維管理設(shè)備管理e）應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機(jī)房或辦公地點(diǎn)。0.2248系統(tǒng)運(yùn)維管理監(jiān)控管理和安全管理中心a）應(yīng)對通信線路、主機(jī)、網(wǎng)絡(luò)設(shè)備和應(yīng)用軟件的運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行監(jiān)測和報(bào)警，形成記錄并妥善保存。1249系統(tǒng)運(yùn)維管理監(jiān)控管理和安全管理中心b）應(yīng)組織相關(guān)人員定期對監(jiān)測和報(bào)警記錄進(jìn)行分析、評審，發(fā)現(xiàn)可疑行為，形成分析報(bào)告，并采取必要的應(yīng)對措施。1250系統(tǒng)運(yùn)維管理監(jiān)控管理和安全管理中心c）應(yīng)建立安全管理中心，對設(shè)備狀態(tài)、惡意代碼、補(bǔ)丁升級、安全審計(jì)等安全相關(guān)事項(xiàng)進(jìn)行集中管理。1251系統(tǒng)運(yùn)維管理網(wǎng)絡(luò)安全管理a）應(yīng)指定專人對網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警信息分析和處理工作。1252系統(tǒng)運(yùn)維管理網(wǎng)絡(luò)安全管理b）應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保存時(shí)間、安全策略、升級與打補(bǔ)丁、口令更新周期等方面作出規(guī)定。0.5253系統(tǒng)運(yùn)維管理網(wǎng)絡(luò)安全管理c）應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對現(xiàn)有的重要文件進(jìn)行備份。0.5254系統(tǒng)運(yùn)維管理網(wǎng)絡(luò)安全管理d）應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進(jìn)行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)。0.