中國石化集團(tuán)信息系統(tǒng)安全等級(jí)保護(hù)評(píng)估和檢查細(xì)則信息系統(tǒng)管理部編制xxxx-XX-XX發(fā)布XXXX-XX-XX實(shí)施TOC\o"1-5"\h\z目次1范圍4規(guī)范性引用文件4術(shù)語和定義4工作單元4評(píng)估和檢查強(qiáng)度4總則4評(píng)估和檢查原則4評(píng)估和檢查內(nèi)容5I級(jí)安全評(píng)估和檢查6信息安全管理評(píng)估和檢查6安全管理機(jī)構(gòu)6安全管理制度6人員安全管理7系統(tǒng)建設(shè)管理8系統(tǒng)運(yùn)行維護(hù)管理10信息安全技術(shù)評(píng)估和檢查13物理安全13網(wǎng)絡(luò)安全14主機(jī)安全15應(yīng)用安全17數(shù)據(jù)安全及備份恢復(fù)18HA級(jí)安全評(píng)估和檢查20信息安全管理評(píng)估和檢查20安全管理機(jī)構(gòu)20安全管理制度22人員安全管理22系統(tǒng)建設(shè)管理25系統(tǒng)運(yùn)行維護(hù)管理27信息安全技術(shù)評(píng)估和檢查32物理安全32網(wǎng)絡(luò)安全36主機(jī)安全39應(yīng)用安全42數(shù)據(jù)安全及備份恢復(fù)45HB級(jí)安全評(píng)估和檢查47信息安全管理評(píng)估和檢查47安全管理機(jī)構(gòu)47安全管理制度50人員安全管理50系統(tǒng)建設(shè)管理53系統(tǒng)運(yùn)行維護(hù)管理55信息安全技術(shù)評(píng)估和檢查60物理安全60網(wǎng)絡(luò)安全63主機(jī)安全67應(yīng)用安全69數(shù)據(jù)安全及備份恢復(fù)72IDA級(jí)安全評(píng)估和檢查75信息安全管理評(píng)估和檢查75安全管理機(jī)構(gòu)75安全管理制度78人員安全管理79系統(tǒng)建設(shè)管理81系統(tǒng)運(yùn)行維護(hù)管理84信息安全技術(shù)評(píng)估和檢查91物理安全91網(wǎng)絡(luò)安全95主機(jī)安全98應(yīng)用安全102數(shù)據(jù)安全及備份恢復(fù)107IDB級(jí)安全評(píng)估和檢查108信息安全管理評(píng)估和檢查108安全管理機(jī)構(gòu)108安全管理制度112人員安全管理113系統(tǒng)建設(shè)管理116系統(tǒng)運(yùn)行維護(hù)管理120信息安全技術(shù)評(píng)估和檢查127物理安全127網(wǎng)絡(luò)安全132主機(jī)安全137應(yīng)用安全144數(shù)據(jù)安全及備份恢復(fù)149IV級(jí)安全評(píng)估和檢查153信息安全管理評(píng)估和檢查153安全管理機(jī)構(gòu)153安全管理制度157人員安全管理158系統(tǒng)建設(shè)管理162系統(tǒng)運(yùn)行維護(hù)管理168信息安全技術(shù)評(píng)估和檢查177物理安全177網(wǎng)絡(luò)安全185主機(jī)安全190應(yīng)用安全200數(shù)據(jù)安全及備份恢復(fù)209引言根據(jù)《中國石化集團(tuán)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》，為推動(dòng)中國石化信息系統(tǒng)安全等級(jí)保護(hù)工作的開展，結(jié)合國家信息系統(tǒng)安全等級(jí)保護(hù)檢查細(xì)則的相關(guān)要求，修訂本細(xì)則。范圍本細(xì)則規(guī)定了對(duì)中國石化信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行安全評(píng)估和檢查的要求，包括第一級(jí)、第二級(jí)、第三級(jí)和第四級(jí)信息系統(tǒng)安全評(píng)估和檢查要求。本細(xì)則沒有規(guī)定第五級(jí)信息系統(tǒng)安全評(píng)估和檢查要求的具體內(nèi)容要求。本細(xì)則適用于評(píng)估和檢查機(jī)構(gòu)、信息系統(tǒng)的主管部門及運(yùn)營使用單位對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行的安全測試評(píng)估。規(guī)范性引用文件下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則GB/T5271.8信息技術(shù)詞匯第8部分：安全GB/T22239-2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求術(shù)語和定義GB/T5271.8和GB/T22239-2008所確立的以及下列術(shù)語和定義適用于本細(xì)則。工作單元工作單元是安全評(píng)估和檢查的最小工作單位，由評(píng)估和檢查項(xiàng)目、評(píng)估和檢查內(nèi)容、評(píng)估和檢查標(biāo)準(zhǔn)、評(píng)估和檢查方法以及備注等組成，分別描述評(píng)估和檢查項(xiàng)目和內(nèi)容、評(píng)估和檢查過程中涉及的評(píng)估和檢查標(biāo)準(zhǔn)。評(píng)估和檢查強(qiáng)度評(píng)估和檢查是一個(gè)自評(píng)估的工作，通過評(píng)估和檢查工作對(duì)比等級(jí)保護(hù)的工作。評(píng)估和檢查的廣度和深度，體現(xiàn)評(píng)估和檢查工作的實(shí)際投入程度?？倓t評(píng)估和檢查原則評(píng)估和檢查原則包括：a）客觀性和公正性原則雖然評(píng)估和檢查工作不能完全擺脫個(gè)人主張或判斷，但評(píng)估和檢查人員應(yīng)當(dāng)沒有偏見，在最小主觀判斷情形下，按照評(píng)估和檢查雙方相互認(rèn)可的評(píng)估和檢查方案，基于明確定義的評(píng)估和檢查方式和解釋，實(shí)施評(píng)估和檢查活動(dòng)?；谠u(píng)估和檢查成本和工作復(fù)雜性考慮，鼓勵(lì)評(píng)估和檢查工作重用以前的評(píng)估和檢查結(jié)果，包括商業(yè)安全產(chǎn)品評(píng)估和檢查結(jié)果和信息系統(tǒng)先前的安全評(píng)估和檢查結(jié)果。所有重用的結(jié)果，都應(yīng)基于結(jié)果適用于目前的系統(tǒng)，并且能夠反映出目前系統(tǒng)的安全狀態(tài)基礎(chǔ)之上。b）可重復(fù)性和可再現(xiàn)性原則無論誰執(zhí)行評(píng)估和檢查，依照同樣的要求，使用同樣的評(píng)估和檢查方式，對(duì)每個(gè)評(píng)估和檢查過程的重復(fù)執(zhí)行都應(yīng)該得到同樣的結(jié)果?？稍佻F(xiàn)性體現(xiàn)在不同評(píng)估和檢查者執(zhí)行評(píng)估和檢查的結(jié)果的一致性，可重復(fù)性體現(xiàn)在同一評(píng)估和檢查者重復(fù)執(zhí)行相同評(píng)估和檢查的結(jié)果的一致性。c）結(jié)果完善性原則評(píng)估和檢查所產(chǎn)生的結(jié)果應(yīng)當(dāng)證明是良好的判斷和對(duì)評(píng)估和檢查項(xiàng)的正確理解。評(píng)估和檢查過程和結(jié)果應(yīng)當(dāng)服從正確的評(píng)估和檢查方法以確保其滿足了評(píng)估和檢查項(xiàng)的要求。評(píng)估和檢查內(nèi)容對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行評(píng)估和檢查，應(yīng)包括兩個(gè)方面的內(nèi)容：一是安全控制進(jìn)行評(píng)估和檢查，主要評(píng)估和檢查信息安全等級(jí)保護(hù)要求的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況；二是系統(tǒng)整體進(jìn)行評(píng)估和檢查，主要評(píng)估和檢查分析信息系統(tǒng)的整體安全性。其中，安全控制評(píng)估和檢查是信息系統(tǒng)整體安全評(píng)估和檢查的基礎(chǔ)。對(duì)安全控制評(píng)估和檢查的描述，使用工作單元方式組織。工作單元分為安全技術(shù)評(píng)估和檢查和安全管理評(píng)估和檢查兩大類。安全技術(shù)評(píng)估和檢查包括：物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全和數(shù)據(jù)安全等五個(gè)層面上的安全控制評(píng)估和檢查；安全管理評(píng)估和檢查包括：安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方面的安全控制評(píng)估和檢查。系統(tǒng)整體評(píng)估和檢查涉及到信息系統(tǒng)的整體拓?fù)?、局部結(jié)構(gòu)，也關(guān)系到信息系統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置，與特定信息系統(tǒng)的實(shí)際情況緊密相關(guān)，內(nèi)容復(fù)雜且充滿系統(tǒng)個(gè)性。因此，全面地給出系統(tǒng)整體評(píng)估和檢查要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方法是很困難的。評(píng)估和檢查人員應(yīng)根據(jù)特定信息系統(tǒng)的具體情況，結(jié)合本細(xì)則要求，確定系統(tǒng)整體評(píng)估和檢查的具體內(nèi)容，在安全控制評(píng)估和檢查的基礎(chǔ)上，重點(diǎn)考慮安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系，評(píng)估和檢查安全控制間、層面間和區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充和削弱作用以及信息系統(tǒng)整體結(jié)構(gòu)安全性、不同信息系統(tǒng)之間整體安全性等。

I級(jí)安全評(píng)估和檢查信息安全管理評(píng)估和檢查安全管理機(jī)構(gòu)檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法安全管理機(jī)構(gòu)崗位設(shè)置應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各個(gè)工作崗位的職責(zé)；應(yīng)訪談安全主管，詢問信息系統(tǒng)設(shè)置了哪些工作崗位(如機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全員等重要崗位)，是否明確各個(gè)崗位的職責(zé)分工；應(yīng)檢查崗位職責(zé)分工文檔，查看定義的各個(gè)崗位職責(zé)是否包括機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全員等重要崗位，各個(gè)崗位的職責(zé)范圍是否清晰、明確。人員配備應(yīng)配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員，各個(gè)崗位的人員可以兼任；應(yīng)訪談安全主管，詢問各個(gè)安全管理崗位人員配備情況(按照崗位職責(zé)文件詢問，包括機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全員等重要崗位人員)，包括數(shù)量、專職還是兼職等；應(yīng)檢查安全管理人員名單，查看其是否明確機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全員等重要崗位人員的信息。授權(quán)審批應(yīng)授權(quán)審批部門及批準(zhǔn)人，對(duì)網(wǎng)絡(luò)、應(yīng)用、系統(tǒng)等重要資源的訪問等關(guān)鍵活動(dòng)進(jìn)行審批；應(yīng)訪談安全主管，詢問其是否需要對(duì)信息系統(tǒng)中的關(guān)鍵活動(dòng)進(jìn)行審批，審批部門是何部門，批準(zhǔn)人是何人，他們的審批活動(dòng)是否得到授權(quán)；應(yīng)訪談關(guān)鍵活動(dòng)的批準(zhǔn)人，詢問其對(duì)關(guān)鍵活動(dòng)的審批范圍包括哪些(如網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、重要服務(wù)器和設(shè)備等重要資源的訪問)，審批程序如何；應(yīng)檢查經(jīng)審批的文檔，查看是否具有批準(zhǔn)人的簽字或?qū)徟块T的蓋章。溝通和合作應(yīng)加強(qiáng)各類管理人員和組織內(nèi)、外部機(jī)構(gòu)之間的合作與溝通，定期或不定期召開協(xié)調(diào)會(huì)議，共同協(xié)助處理信息安全問題；應(yīng)訪談安全主管，詢問與組織機(jī)構(gòu)內(nèi)其他部門之間有哪些合作內(nèi)容，溝通、合作方式有哪些，是否召開過部門間協(xié)調(diào)會(huì)議，組織其它部門人員共同協(xié)助處理信息系統(tǒng)安全有關(guān)問題，會(huì)議結(jié)果如何；應(yīng)訪談安全管理人員(從系統(tǒng)管理員和安全員等人員中抽查)，詢問其與組織機(jī)構(gòu)內(nèi)其他部門人員，與內(nèi)部其他管理人員之間的溝通方式和主要溝通內(nèi)容有哪些；應(yīng)檢查部門間協(xié)調(diào)會(huì)議文件或會(huì)議記錄，查看是否有會(huì)議內(nèi)容、會(huì)議時(shí)間、參加人員、會(huì)議結(jié)果等的描述。5.1.2.安全管理制度

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法管理制度管理制度應(yīng)建立日常管理活動(dòng)中常用的安全管理制度，以規(guī)范安全管理活動(dòng)，約束人員的行為。a）應(yīng)訪談安全主管，詢問是否制定信息安全工作的總體方針、政策莊文件和安全策略，是否制定安全管理制度規(guī)范日常管理活動(dòng)；b）應(yīng)檢查總體方針、政策莊文件和安全策略文件，查看文件是否明確機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、方針、原則、責(zé)任等；c）應(yīng)檢查安全管理制度清單，查看是否覆蓋物理、網(wǎng)絡(luò)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用和管理等層面。制定和發(fā)布應(yīng)授權(quán)或指定專門的人員負(fù)責(zé)制定安全管理制度；安全管理制度應(yīng)以某種方式發(fā)布到相關(guān)人員手中。a）應(yīng)訪談安全主管，詢問是否有專人負(fù)責(zé)制訂安全管理制度，負(fù)責(zé)人是何人；b）應(yīng)訪談管理人員（負(fù)責(zé)制定管理制度的人員），詢問安全管理制度的制定程序，是否對(duì)制定的安全管理制度進(jìn)行論證和審定，論證和審定方式如何（如召開評(píng)審會(huì)、函審、內(nèi)部審核等），發(fā)布方式有哪些；c）應(yīng)檢查管理制度評(píng)審記錄，查看是否具有相關(guān)人員的評(píng)審意見。5.1.3.人員安全管理檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法人員安全管理人員錄用應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)人員錄用；a）應(yīng)訪談人事負(fù)責(zé)人，詢問在人員錄用時(shí)對(duì)人員條件有哪些要求，目前錄用的安全管理和技術(shù)人員是否有能力完成與其職責(zé)相對(duì)應(yīng)的工作；b）應(yīng)訪談人事，作人貝，詢問在人貝錄用時(shí)是否對(duì)被錄用人的身份和專業(yè)資格進(jìn)行證實(shí)，錄用后是否對(duì)其說明工作職責(zé)；c）應(yīng)檢查人員錄用要求管埋文檔，查看是否說明錄用人員應(yīng)具備的條件，如學(xué)歷、學(xué)位要求，技術(shù)人員應(yīng)具備的專業(yè)技術(shù)水平，管理人員應(yīng)具備的安全管理知識(shí)等；d）應(yīng)檢查是否具有人員錄用時(shí)對(duì)錄用人身份、專業(yè)資格等進(jìn)行審查的相關(guān)文檔或記錄，查看是否記錄審查內(nèi)容和審查結(jié)果等。應(yīng)對(duì)被錄用人員的身份和專業(yè)資格等進(jìn)行審查，并確保其具有基本的專業(yè)技術(shù)水平和安全管理知識(shí)；人員離崗應(yīng)立即終止由于各種原因即將離崗的員工的所有訪問權(quán)限；a）應(yīng)訪談安全主管，詢問是否及時(shí)終止離商人員所有訪問權(quán)限，取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件設(shè)備等；b）應(yīng)檢查是否具有對(duì)離崗人員的安全處理記錄，如交還身份證件、設(shè)備等的登記記錄。應(yīng)取回各種身份證件、鑰匙、徽章等以及機(jī)構(gòu)提供的軟硬件

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法設(shè)備。安全意識(shí)教育和培訓(xùn)應(yīng)對(duì)各類人員進(jìn)行安全意識(shí)教育；a）應(yīng)訪談安全主管，詢問是否對(duì)各個(gè)崗位人員進(jìn)行安全教育，告知相關(guān)的安全知識(shí)、安全責(zé)任和懲戒措施，以什么形式進(jìn)行，效果如何；b）應(yīng)訪談安全員，考查其對(duì)工作相關(guān)的信息安全基礎(chǔ)知識(shí)、安全責(zé)任和懲戒措施等的理解程度。應(yīng)告知人員相關(guān)的安全責(zé)任和懲戒措施。外部人員訪問管理應(yīng)確保在外部人員訪問受控區(qū)域前得到授權(quán)或?qū)徟?。a）應(yīng)訪談安全主管，詢問對(duì)第三方人員（如向系統(tǒng)提供服務(wù)的系統(tǒng)軟、硬件維護(hù)人員，業(yè)務(wù)合作伙伴等）的訪問采取哪些管理措施，是否要求第三方人員訪問前與機(jī)構(gòu)簽署安全責(zé)任合同書或保密協(xié)議；b）應(yīng)檢查安全責(zé)任合同書或保密協(xié)議，查有是否有保密范圍、保密責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等。5.1.4,系統(tǒng)建設(shè)管理檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法系統(tǒng)建設(shè)管理系統(tǒng)定級(jí)應(yīng)明確信息系統(tǒng)的邊界和安全保護(hù)等級(jí)；a）應(yīng)訪談安全主管，詢問劃分信息系統(tǒng)的方法和確定信息系統(tǒng)安全保護(hù)等級(jí)的方法是否參照定級(jí)指南的指導(dǎo)，是否對(duì)其進(jìn)行明確描述；定級(jí)結(jié)果是否認(rèn)得了相關(guān)部門（如上級(jí)主管部門）的批準(zhǔn)；b）應(yīng)檢查系統(tǒng)劃分相關(guān)文檔，查看文檔是否明確描述信息系統(tǒng)劃分的方法和理由；c）應(yīng)檢查系統(tǒng)定級(jí)文檔，查看文檔是否給出信息系統(tǒng)的安全保護(hù)等級(jí)，查看定級(jí)結(jié)果是否有相關(guān)部門的批準(zhǔn)蓋章；d）應(yīng)檢查系統(tǒng)屬性說明文檔，查看文檔是否明確了系統(tǒng)使命、業(yè)務(wù)、網(wǎng)絡(luò)、硬件、軟件、數(shù)據(jù)、邊界、人員等。應(yīng)以書面的形式說明信息系統(tǒng)確定為某個(gè)安全保護(hù)等級(jí)的方法和理由；應(yīng)確保信息系統(tǒng)的定級(jí)結(jié)果經(jīng)過相關(guān)部門的批準(zhǔn)。安全方案設(shè)計(jì)應(yīng)根據(jù)系統(tǒng)的安全級(jí)別選擇基本安全措施，依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施；a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否根據(jù)系統(tǒng)的安全級(jí)別選擇基本安全措施，是否依據(jù)風(fēng)險(xiǎn)分析的結(jié)果補(bǔ)充和調(diào)整安全措施，做過哪些調(diào)整；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問系統(tǒng)選擇和調(diào)整基本安全措施是否依據(jù)系統(tǒng)安全級(jí)別和風(fēng)險(xiǎn)分析的結(jié)果；c）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否制定系統(tǒng)的安全方案并根據(jù)安全方案制定出系統(tǒng)詳應(yīng)以書面的形式描述對(duì)系統(tǒng)的安全保護(hù)要求和策略、安全措施等內(nèi)容，形成系統(tǒng)的安全

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法力殺；細(xì)設(shè)計(jì)方案指導(dǎo)安全系統(tǒng)建設(shè)和安全產(chǎn)品米購；d）應(yīng)檢查系統(tǒng)的安全方案，查看方案是否描述系統(tǒng)的安全保護(hù)要求，是否詳細(xì)描述了系統(tǒng)的安全策略，是否詳細(xì)描述了系統(tǒng)對(duì)應(yīng)的安全措施等內(nèi)容；e）應(yīng)檢查系統(tǒng)的詳細(xì)設(shè)計(jì)方案，查看詳細(xì)設(shè)計(jì)方案是否對(duì)應(yīng)安全方案進(jìn)行細(xì)化，是否有安全建設(shè)方案和安全產(chǎn)品采購方案。應(yīng)對(duì)安全方案進(jìn)行細(xì)化，形成能指導(dǎo)安全系統(tǒng)建設(shè)和安全產(chǎn)品采購的詳細(xì)設(shè)計(jì)方案。產(chǎn)品采購應(yīng)確保安全產(chǎn)品的使用符合國家的有關(guān)規(guī)定。a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問系統(tǒng)信息安全產(chǎn)品的采購情況，是否有相關(guān)要求，是否有產(chǎn)品采購清單指導(dǎo)產(chǎn)品采購，采購過程如何控制；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問系統(tǒng)使用的有關(guān)信息安全產(chǎn)品（邊界安全設(shè)備、重要服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫等）是否符合國家的有關(guān)規(guī)定。自主軟件開發(fā)應(yīng)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理分開；a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問系統(tǒng)是否自主開發(fā)軟件，自主開發(fā)是否有相應(yīng)的控制措施，是否在獨(dú)立的模擬環(huán)境中編寫、調(diào)試和完成；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問系統(tǒng)開發(fā)文檔是否曲專人負(fù)責(zé)保管，負(fù)責(zé)人是何人，如何控制使用（如限制使用人員范圍并做使用登記等）；c）應(yīng)檢查軟件開發(fā)環(huán)境與系統(tǒng)運(yùn)行環(huán)境在物理上是否是分開的；d）應(yīng)檢查是否具有系統(tǒng)開發(fā)文檔的使用控制記錄。應(yīng)確保軟件設(shè)計(jì)相關(guān)文檔曲專人負(fù)責(zé)保管。外包軟件開發(fā)應(yīng)根據(jù)開發(fā)要求檢測軟件質(zhì)量；a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問在外包軟件前是否對(duì)軟件開發(fā)單位以書面形式（如軟件開發(fā)安全協(xié)議）規(guī)范軟件開發(fā)單位的責(zé)任、開發(fā)過程中的安全行為、開發(fā)環(huán)境要求和軟件質(zhì)量等相關(guān)內(nèi)容；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問軟件交付前是否對(duì)軟件功能和性能等進(jìn)行驗(yàn)收檢測，軟件安裝之前是否檢測軟件中的惡意代碼，檢測工具是否是第二方的商業(yè)產(chǎn)品；c）應(yīng)檢查軟件開發(fā)協(xié)議是否規(guī)定知識(shí)產(chǎn)權(quán)歸屬、安全行為等內(nèi)容。應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼；應(yīng)確保提供軟件設(shè)計(jì)的相關(guān)文檔和使用指南。工程實(shí)施應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實(shí)施過程的管理。a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否以書面形式（如工程安全建設(shè)協(xié)議）約束工程實(shí)施方的工程實(shí)施行為；b）應(yīng)檢查工程安全建設(shè)協(xié)議，查看其內(nèi)容是否覆蓋工程實(shí)施方的責(zé)任、任務(wù)要求和質(zhì)量要求等方圓內(nèi)谷，約束工程實(shí)施行為。測試驗(yàn)收應(yīng)對(duì)系統(tǒng)進(jìn)行安全性測試驗(yàn)收；a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問在信息系統(tǒng)正式運(yùn)行前，是否對(duì)信息系統(tǒng)進(jìn)行獨(dú)立的安全

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法應(yīng)在測試驗(yàn)收前根據(jù)設(shè)計(jì)方案或合同要求等制訂測試驗(yàn)收方案，測試驗(yàn)收過程中詳細(xì)記錄測試驗(yàn)收結(jié)果，形成測試驗(yàn)收?qǐng)?bào)告；性測試；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否對(duì)測試過程（包括測試前、測試中和測試后）進(jìn)行文檔化要求，是否對(duì)測試報(bào)告進(jìn)行符合性審定；c）應(yīng)檢查工程測試方案，查看其是否對(duì)參與測試部門、人員和現(xiàn)場操作過程等進(jìn)行要求；查看測試記錄是否詳細(xì)記錄了測試時(shí)間、人員、現(xiàn)場操作過程和測試結(jié)果等方面內(nèi)容；查看測試報(bào)告是否提出存在問題及改進(jìn)意見等；d）應(yīng)檢查是否具有系統(tǒng)驗(yàn)收?qǐng)?bào)告。系統(tǒng)交付應(yīng)制定系統(tǒng)交付清單，并根據(jù)交付清單對(duì)所交接的設(shè)備、軟件和文檔等進(jìn)行清點(diǎn)；應(yīng)對(duì)負(fù)責(zé)系統(tǒng)運(yùn)行維護(hù)的技術(shù)人員進(jìn)行相應(yīng)的技能培訓(xùn)；應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)行維護(hù)的文檔。a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問交接手續(xù)是什么，系統(tǒng)交接工作是否按照該手續(xù)辦理，是否根據(jù)交付清單對(duì)所交接的設(shè)備、文檔、軟件等進(jìn)行清點(diǎn)，交付清單是否滿足合同的有關(guān)要求；b）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問目前的信息系統(tǒng)是否由內(nèi)部人員獨(dú)立運(yùn)行維護(hù)，如果是，系統(tǒng)建設(shè)方是否對(duì)運(yùn)維技術(shù)人員進(jìn)行過培訓(xùn)，針對(duì)哪些方面進(jìn)行過培訓(xùn)，系統(tǒng)是否具有支持其獨(dú)立運(yùn)行維護(hù)的文檔；c）應(yīng)檢查系統(tǒng)交付清單，查看其是否具有系統(tǒng)建設(shè)文檔（如系統(tǒng)建設(shè)方案）、指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔（如服務(wù)器操作規(guī)程書）以及系統(tǒng)培訓(xùn)手冊(cè)等文檔名稱。安全服務(wù)商選擇應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定。應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責(zé)任a）應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問對(duì)信息系統(tǒng)進(jìn)行安全規(guī)劃、設(shè)計(jì)、實(shí)施、維護(hù)、測評(píng)等服務(wù)的安全服務(wù)單位是否符合國家有關(guān)規(guī)定。5.1.5.系統(tǒng)運(yùn)行維護(hù)管理檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法系統(tǒng)運(yùn)行維護(hù)管理環(huán)境管理應(yīng)指定專門的部門或人員定期對(duì)機(jī)房供配電、空調(diào)、溫濕度控制等設(shè)施進(jìn)行維護(hù)管理；應(yīng)對(duì)機(jī)房的出入、服務(wù)器的開機(jī)或關(guān)機(jī)等工作進(jìn)行管理；a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問是否指定專人或1FB門負(fù)責(zé)機(jī)房基本設(shè)施（如空調(diào)、供配電設(shè)備等）的定期維護(hù)管理，由何部門/何人負(fù)責(zé)，維護(hù)周期多長；b）應(yīng)訪談物理安全負(fù)責(zé)人，詢問是否指定人員負(fù)責(zé)機(jī)房安全管理工作，對(duì)機(jī)房的出入管理是否要求制度化；c）應(yīng)檢查機(jī)房安全管理制度，查看其內(nèi)容是否覆蓋機(jī)房物理訪問、物品帶進(jìn)、帶出機(jī)房和機(jī)房

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法應(yīng)建立機(jī)房安全管理制度，對(duì)有關(guān)機(jī)房物理訪問，物品帶進(jìn)、帶出機(jī)房和機(jī)房環(huán)境安全等方面的管理作出規(guī)定。環(huán)境安全等方面。資產(chǎn)管理應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容。a）應(yīng)訪談安全主管，詢問是否指定資產(chǎn)管理的責(zé)任人員或部門，由何部門/何人負(fù)責(zé)；b）應(yīng)訪談物理安全負(fù)責(zé)人，詢問是否對(duì)資產(chǎn)管理要求文檔化；c）應(yīng)檢查資產(chǎn)安全管理制度，查看是否明確資產(chǎn)管理的責(zé)任部門、責(zé)任人等方面要求；d）應(yīng)檢查資產(chǎn)清單，查看其內(nèi)容是否覆蓋資產(chǎn)責(zé)任人、所屬級(jí)別、所處位置和所屬部門等方面。介質(zhì)管理應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對(duì)各類介質(zhì)進(jìn)行控制和保護(hù)；a）應(yīng)訪談資產(chǎn)管理員，詢問介質(zhì)的存放環(huán)境是否有保護(hù)措施，防止其被盜、被毀、被未授權(quán)修改以及信息的非法泄漏；b）應(yīng)訪談資產(chǎn)管理員，詢問是否對(duì)介質(zhì)的使用管理要求文檔化，是否根據(jù)介質(zhì)的目錄清單對(duì)介質(zhì)的使用現(xiàn)狀進(jìn)行定期檢查；c）應(yīng)檢查介質(zhì)管理記錄，查有其是否記錄介質(zhì)的存儲(chǔ)、歸檔、借用等情況。應(yīng)對(duì)介質(zhì)歸檔和查詢等過程進(jìn)行記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點(diǎn)°設(shè)備管理應(yīng)對(duì)信息系統(tǒng)相關(guān)的各種設(shè)施、設(shè)備、線路等指定專人或?qū)ｉT的部門定期進(jìn)行維護(hù)管理；a）應(yīng)訪談資產(chǎn)管理員，詢問是否對(duì)各類設(shè)施、設(shè)備指定專人或?qū)ｉT部門進(jìn)行定期維護(hù)，由何部門/何人維護(hù)，維護(hù)周期多長；b）應(yīng)訪談資產(chǎn)管理員，詢問是否對(duì)設(shè)備選用的各個(gè)環(huán)節(jié)（選型、采購和發(fā)放等）進(jìn)行審批控制，設(shè)備的操作和使用是否要求規(guī)范化管理；c）應(yīng)檢查設(shè)備使用管理文檔，查看其內(nèi)容是否對(duì)終端計(jì)算機(jī)、便攜機(jī)、網(wǎng)絡(luò)設(shè)備等使用、操作原則、注意事項(xiàng)等方面作出規(guī)定；d）應(yīng)檢查設(shè)備審批、發(fā)放管理文檔，查看其內(nèi)容是否對(duì)設(shè)備選型、采購和發(fā)放等環(huán)節(jié)的申報(bào)和審批作出規(guī)定；e）應(yīng)檢查服務(wù)器操作規(guī)程，查看其內(nèi)容是否覆蓋服務(wù)器如何啟動(dòng)、停止、加電和斷電等操作。應(yīng)建立基于申報(bào)、審批和專人負(fù)責(zé)的設(shè)備安全管理制度，對(duì)信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放和領(lǐng)用等過程進(jìn)行規(guī)范化管理；網(wǎng)絡(luò)安全管理應(yīng)指定專人對(duì)網(wǎng)絡(luò)進(jìn)行管理，負(fù)責(zé)運(yùn)行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護(hù)和報(bào)警a）應(yīng)訪談安全主管，詢問是否指定專人負(fù)責(zé)維護(hù)網(wǎng)絡(luò)運(yùn)行日志、監(jiān)控記錄和分析處理報(bào)警信息等網(wǎng)絡(luò)安全管理工作；b）應(yīng)訪談網(wǎng)絡(luò)管理員，詢問是否根據(jù)廠家提供

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法信息分析和處理工作；的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行過升級(jí)，目前的版本號(hào)為多少，升級(jí)前是否對(duì)重要文件（帳戶數(shù)據(jù)、配置數(shù)據(jù)等）進(jìn)行備份；是否對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行過漏洞掃描，對(duì)掃描出的漏洞是否及時(shí)修補(bǔ)；c）應(yīng)檢查網(wǎng)絡(luò)漏洞掃描報(bào)告，查看其內(nèi)容是覆蓋網(wǎng)絡(luò)存在的漏洞、漏洞級(jí)別、原因分析和改進(jìn)意見等方面。應(yīng)根據(jù)廠家提供的軟件升級(jí)版本對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行更新，并在更新前對(duì)現(xiàn)有的重要文件進(jìn)行備份；應(yīng)定期進(jìn)行網(wǎng)絡(luò)系統(tǒng)漏洞掃描，對(duì)發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)。系統(tǒng)安全管理應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略；a）應(yīng)訪談安全主管，詢問是否指定專人負(fù)責(zé)系統(tǒng)安全管理；b）應(yīng)訪談系統(tǒng)管理員，詢問是否定期對(duì)系統(tǒng)安裝安全補(bǔ)丁程序和進(jìn)行漏洞修補(bǔ)，在安裝系統(tǒng)補(bǔ)丁前是否對(duì)重要文件（系統(tǒng)配置、系統(tǒng)用戶數(shù)據(jù)等）進(jìn)行備份；對(duì)不常用的系統(tǒng)缺省用戶是否采取了一定的處理手段阻止其繼續(xù)使用（如刪除或禁用）；c）應(yīng)訪談安全員，詢問是否制定系統(tǒng)訪問控制策略。應(yīng)定期進(jìn)行漏洞掃描，對(duì)發(fā)現(xiàn)的系統(tǒng)安全漏洞進(jìn)行及時(shí)的修補(bǔ)；應(yīng)安裝系統(tǒng)的最新補(bǔ)丁程序，并在安裝系統(tǒng)補(bǔ)」.前對(duì)現(xiàn)有的重要文件進(jìn)行備份。惡意代碼防范管理應(yīng)提高所有用戶的防病毒意識(shí)，告知及時(shí)升級(jí)防病毒軟件,在讀取移動(dòng)存儲(chǔ)設(shè)備（如軟盤、移動(dòng)硬盤、光盤）上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進(jìn)行病毒檢查，對(duì)外來計(jì)算機(jī)或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也要進(jìn)行病毒檢查。a）應(yīng)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否對(duì)員工進(jìn)行基本惡意代碼防范意識(shí)教育，如告知應(yīng)及時(shí)升級(jí)軟件版本，使用外來設(shè)備、網(wǎng)絡(luò)上接收文件和外來計(jì)算機(jī)或存儲(chǔ)設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前應(yīng)進(jìn)行病毒檢查。備份與恢復(fù)管理應(yīng)識(shí)別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；a）應(yīng)訪談系統(tǒng)管理員和數(shù)據(jù)庫管理員，詢問是否識(shí)別出需要定期備份的業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)和軟件系統(tǒng)，主要后哪些；對(duì)其備份工作是否以文檔形式規(guī)范了備份方式、頻度、介質(zhì)和保存期等內(nèi)容；b）應(yīng)檢查備份管理文檔，查看其是否規(guī)定備份方式、頻度、介質(zhì)和保存期等方面內(nèi)容。應(yīng)規(guī)定備份信息的備份方式、備份頻度、存儲(chǔ)介質(zhì)、保存期等。安全事件處置應(yīng)報(bào)告所發(fā)現(xiàn)的安全弱點(diǎn)和可疑事件，但任何情況下用a）應(yīng)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否告知用戶在發(fā)現(xiàn)安全弱點(diǎn)和可疑事件時(shí)應(yīng)及時(shí)報(bào)告；b）應(yīng)檢查安全事件報(bào)告和處置管理制度，查看

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法戶均不應(yīng)嘗試驗(yàn)證弱點(diǎn)；應(yīng)制定安全事件報(bào)告和處置管理制度，規(guī)定女全事件的現(xiàn)場處理、事件報(bào)告和后期恢復(fù)的管理職責(zé)。其是否明確與安全事件有關(guān)的工作職責(zé)，包括報(bào)告單位(人)、接報(bào)單位(人)和處置單位等職責(zé)。信息安全技術(shù)評(píng)估和檢查物理安全檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法物理物理訪問控制機(jī)房出入應(yīng)安排專人負(fù)責(zé)，控制、鑒別和記錄進(jìn)入的人員。a)應(yīng)訪談物理安全負(fù)責(zé)人，了解具有哪些控制機(jī)房進(jìn)出的能力；b)可檢查機(jī)房安全管理制度，查看是否有美于機(jī)房出入方面的規(guī)定；c)應(yīng)檢查機(jī)房是否有進(jìn)出機(jī)房的登記記錄。防盜竊和防破壞應(yīng)將主要設(shè)備放置在機(jī)房內(nèi)；應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記。應(yīng)訪談物理安全負(fù)責(zé)人，采取了哪些防止設(shè)備、介質(zhì)等丟失的保護(hù)措施；可檢查是否有設(shè)備管理制度文檔；應(yīng)檢查主要設(shè)備是否放置在機(jī)房內(nèi)或其它不易被盜竊和破壞的可控范圍內(nèi)；應(yīng)檢查主要設(shè)備或設(shè)備的主要部件的固定情況，是臺(tái)/、易被移動(dòng)或被搬走，是否設(shè)置明顯的無法除去的標(biāo)記。防雷擊機(jī)房建筑應(yīng)設(shè)置避雷裝置。應(yīng)訪談物理安全負(fù)責(zé)人，詢問為防止雷擊事件導(dǎo)致重要設(shè)備被破壞采取了哪些防護(hù)措施，機(jī)房建筑是否設(shè)置了避雷裝置，是否通過驗(yàn)收或國家有關(guān)部門的技術(shù)檢測；可檢查機(jī)房是否有建筑防雷設(shè)計(jì)/驗(yàn)收文檔。防火機(jī)房應(yīng)設(shè)置火火設(shè)備。應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否設(shè)置了滅火設(shè)備，是否制訂了有關(guān)機(jī)房消防的管理制度和消防預(yù)案，是否進(jìn)行了消防培訓(xùn)；應(yīng)檢查機(jī)房是否設(shè)置了滅火設(shè)備，擺放位置是否合理，有效期是否合格；可檢查有關(guān)機(jī)房消防的管理制度文檔，檢查機(jī)房是否有防火設(shè)計(jì)/驗(yàn)收文檔。

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法防水和防潮應(yīng)對(duì)穿過墻壁和樓板的水管增加必要的保護(hù)措施，如設(shè)置套管；應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房建設(shè)是否有防水防潮措施，是否出現(xiàn)過漏水和返潮事件；如果機(jī)房內(nèi)有上/下水管安裝，是否必要的保護(hù)措施，如設(shè)置套管等；可檢查機(jī)房是否有建筑防水和防潮設(shè)計(jì)/驗(yàn)收文檔；如果有管道穿過主機(jī)房墻壁和樓板處，應(yīng)檢查是否采取必要的保護(hù)措施，如設(shè)置套管等；應(yīng)檢查機(jī)房是否/、存在屋頂和墻壁等出現(xiàn)過漏水、滲透和返潮現(xiàn)象，機(jī)房及其劃、境是否不存在明顯的漏水和返潮的威脅；如果出現(xiàn)漏水、滲透和返潮現(xiàn)是否能夠及時(shí)修復(fù)解決。應(yīng)采取措施防止雨水通過屋頂和墻壁滲透。溫濕度控制應(yīng)設(shè)置必要的溫、濕度控制設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否配備了空調(diào)等溫濕度控制設(shè)施，保證溫濕度能夠滿足計(jì)算機(jī)設(shè)備運(yùn)行的要求，是否在機(jī)房管理制度中規(guī)定了溫濕度控制的要求，是否有人負(fù)責(zé)此項(xiàng)工作；可檢查機(jī)房是否有溫濕度控制設(shè)計(jì)/驗(yàn)收文檔；應(yīng)檢查空調(diào)設(shè)備是否能夠正常運(yùn)行，檢查機(jī)房溫濕度是否滿足GB2887-89《計(jì)算站場地技術(shù)條件》的要求。電力供應(yīng)應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備。應(yīng)訪談物理安全負(fù)責(zé)人，詢問計(jì)算機(jī)系統(tǒng)供電線路是否與其他供電分開；詢問計(jì)算機(jī)系統(tǒng)供電線路上是否設(shè)置了穩(wěn)壓器和過電壓防護(hù)設(shè)備；可檢查機(jī)房是否有電力供應(yīng)安全設(shè)計(jì)/驗(yàn)收文檔；應(yīng)檢查計(jì)算機(jī)供電線路，查看計(jì)算機(jī)系統(tǒng)供電是否與其他供電分開；d)應(yīng)檢查機(jī)房，查看計(jì)算機(jī)系統(tǒng)供電線路上的穩(wěn)壓器和過電壓防護(hù)設(shè)備是否止常運(yùn)行。5.2.2.網(wǎng)絡(luò)安全檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法網(wǎng)絡(luò)安全結(jié)構(gòu)安全應(yīng)保證關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力應(yīng)滿足基本業(yè)務(wù)需要；應(yīng)保證接入網(wǎng)絡(luò)和核心網(wǎng)絡(luò)的帶寬滿足基本業(yè)務(wù)需要；a)可訪談網(wǎng)絡(luò)管理員，詢問信息系統(tǒng)中的邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力是否滿足基本業(yè)務(wù)需求；b)可訪談網(wǎng)絡(luò)管理員，詢問目前的網(wǎng)絡(luò)接入及核心網(wǎng)絡(luò)的帶寬是否滿足業(yè)務(wù)需要；c)可訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)設(shè)備上的路由控制策略措施有哪些，這些策略設(shè)計(jì)的目的是什

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖。么；d）應(yīng)檢查是否繪制有網(wǎng)絡(luò)拓?fù)鋱D，并檢查拓?fù)鋱D是否與當(dāng)前運(yùn)行情況一致；e）應(yīng)檢查網(wǎng)絡(luò)設(shè)計(jì)/驗(yàn)收義檔，查看是否有邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備的處理能力是否能滿足基本業(yè)務(wù)需求的能力，網(wǎng)絡(luò)接入及核心網(wǎng)絡(luò)的帶寬能否滿足業(yè)務(wù)需要的設(shè)計(jì)或說明；f）應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否配置路由控制策略（如使用靜態(tài)路由等）建立安全的訪問路徑。訪問控制應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能。應(yīng)根據(jù)訪問控制列表對(duì)源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包出入。應(yīng)通過訪問控制列表對(duì)系統(tǒng)資源實(shí)現(xiàn)允許或拒絕用戶訪問，控制粒度至少為用戶組a）可訪談安全員，詢問采取網(wǎng)絡(luò)訪問控制的措施有哪些；詢問訪問控制策略的設(shè)計(jì)原則；詢問網(wǎng)絡(luò)訪問控制設(shè)備具備的訪問控制功能（如是基于狀態(tài)的，還是基于包過濾等）；b）應(yīng)檢查邊界網(wǎng)絡(luò)設(shè)備（包括網(wǎng)絡(luò)安全設(shè)備），查看是否有正確的訪問控制列表（如ACD對(duì)數(shù)據(jù)的源地址、目的地址、源端口、目的端口、協(xié)議等進(jìn)行控制。c）可訪談安全員，詢問網(wǎng)絡(luò)是否允許撥號(hào)訪問網(wǎng)絡(luò)；詢問對(duì)撥號(hào)訪問控制的策略是什么，采取何種技術(shù)手段實(shí)現(xiàn)（如使用防火墻還是使用路由器實(shí)現(xiàn)），撥號(hào)訪問用戶的權(quán)限分配原則是什么；d）應(yīng)檢查邊界網(wǎng)絡(luò)設(shè)備（如路由器，防火墻，認(rèn)證網(wǎng)關(guān)），查看是否正確的配置了撥號(hào)訪問控制列表（對(duì)系統(tǒng)資源實(shí)現(xiàn)允許或拒絕用戶訪問），并查看其控制粒度是否為用戶組。網(wǎng)絡(luò)設(shè)備防護(hù)應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；應(yīng)具有登錄失敗處理功能，如結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施。a）可訪談網(wǎng)絡(luò)管理員，詢問對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備的防護(hù)措施有哪些；詢問采取的網(wǎng)絡(luò)設(shè)備的口令策略是什么；詢問對(duì)關(guān)鍵網(wǎng)絡(luò)設(shè)備的登錄和驗(yàn)證方式做過何種特定配置；b）應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備上的安全配置，查看是否對(duì)登錄關(guān)鍵網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；c）應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備上的安全配置，查看是否對(duì)鑒別失敗米取相應(yīng)的措施（如是否有鑒別失敗后鎖定帳號(hào)等措施）；查看是否限制非法登錄次數(shù)。5.2.3.主機(jī)安全檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法主機(jī)身份鑒別應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；應(yīng)具有登錄失敗處理功能，如結(jié)束會(huì)話、限制非法登錄次數(shù)。a）應(yīng)檢查服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的身份鑒別功能是否具后等級(jí)保護(hù)一級(jí)以上的測試報(bào)告；b）可訪談系統(tǒng)管理員，詢問操作系統(tǒng)的身份標(biāo)識(shí)與鑒別機(jī)制采取何種措施實(shí)現(xiàn)；c）應(yīng)檢查核心服務(wù)器操作系統(tǒng)，查看是否提供了身份鑒別措施（如用戶名和口令等）；d）應(yīng)檢查核心服務(wù)器操作系統(tǒng)，查看是臺(tái)已配置了鑒別失敗處理功能，并設(shè)置了非法登錄次數(shù)的限制值；e）應(yīng)測試核心服務(wù)器操作系統(tǒng)，驗(yàn)證當(dāng)進(jìn)入操作系統(tǒng)時(shí)，是否先需要進(jìn)行標(biāo)識(shí)（如建立賬號(hào)）；f）可訪談數(shù)據(jù)庫管理員，詢問數(shù)據(jù)庫的身份標(biāo)識(shí)與鑒別機(jī)制采取何種措施實(shí)現(xiàn)；g）應(yīng)查看核心數(shù)據(jù)庫管理系統(tǒng)，查看是否提供了身份鑒別措施（如用戶名和口令等）；h）應(yīng)檢查核心數(shù)據(jù)庫管理系統(tǒng)，查看是臺(tái)已配置了鑒別失敗處理功能，并設(shè)置了非法登錄次數(shù)的限制值；i）應(yīng)測試核心數(shù)據(jù)庫管理系統(tǒng)，驗(yàn)證當(dāng)進(jìn)入數(shù)據(jù)庫管理系統(tǒng)前是否必須進(jìn)行標(biāo)識(shí)（如建立賬號(hào)）。訪問控制應(yīng)啟用訪問控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問；應(yīng)限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；應(yīng)及時(shí)刪除多余的、過期的帳戶，避免共享帳戶的存在。a）應(yīng)檢查服務(wù)器操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的自主訪問控制功能是否具后等級(jí)保護(hù)一級(jí)以上的測試報(bào)告；b）應(yīng)檢查服務(wù)器操作系統(tǒng)的安全策略，查看是否明確主體（如用戶）以用戶和/或用戶組的身份規(guī)定對(duì)客體（如文件）的訪問控制，覆蓋范圍是否包括與信息安全直接相關(guān)的主體（如用戶）和客體（如文件）及它們之間的操作（如讀或與）；c）應(yīng)檢查核心服務(wù)器操作系統(tǒng)，查看客體（如文件）的所有者是否可以改變其相應(yīng)訪問控制列表的屬性，得到授權(quán)的用戶是否可以改變相應(yīng)客體訪問控制列表的屬性；d）應(yīng)查看核心服務(wù)器操作系統(tǒng)，查看置名/默認(rèn)用戶的訪問權(quán)限是否已被禁用或者嚴(yán)格限制（如限定在有限的范圍內(nèi)）；e）應(yīng)檢查數(shù)據(jù)庫管理系統(tǒng)的安全策略，查看是否明確主體對(duì)客體的訪問權(quán)限（如目錄表訪問控制/存取控制表訪問控制等），是否允許主體（如用戶）以用戶和/或用戶組的身份規(guī)定并控制對(duì)客體（如數(shù)據(jù)庫表）的訪問控制；f）應(yīng)檢查核心數(shù)據(jù)庫管理系統(tǒng)，查看客

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法體（如數(shù)據(jù)庫表、視圖、存儲(chǔ)過程和觸發(fā)器等）的所有者是否可以改變其相應(yīng)訪問控制列表的屬性，得到授權(quán)的用戶是否可以改變相應(yīng)客體訪問控制列表的屬性；g）應(yīng)檢查核心數(shù)據(jù)庫管理系統(tǒng)，查看置名/默認(rèn)用戶的訪問權(quán)限是否已被禁用或者嚴(yán)格限制（如限定在有限的范圍內(nèi)）。入侵防范操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并保持系統(tǒng)補(bǔ)」及時(shí)得到更新。a）應(yīng)訪談系統(tǒng)安全員，詢問操作系統(tǒng)是否遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序；b）應(yīng)檢查操作系統(tǒng),查看是否安裝最新補(bǔ)丁。惡意代碼防范應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫。a）應(yīng)訪談系統(tǒng)安全員，詢問主機(jī)系統(tǒng)是否采取惡意代碼實(shí)時(shí)檢測與查殺措施，惡意代碼實(shí)時(shí)檢測與查殺措施的部署情況如何；b）應(yīng)檢查重要服務(wù)器，查看是否安裝實(shí)時(shí)檢測與查殺惡意代碼的軟件產(chǎn)品（主要是防病毒產(chǎn)品）；查看實(shí)時(shí)檢測與查殺惡意代碼軟件產(chǎn)品的廠家、名稱和惡意代碼庫版本號(hào)。5.2.4.應(yīng)用安全檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法應(yīng)用安全身份鑒別應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別；應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施。a）可訪談系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否采取身份標(biāo)識(shí)和鑒別措施，具體措施有哪些；b）應(yīng)訪談系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否具有登錄失敗處理的功能，是如何進(jìn)行處理的；c）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看具是否配備身份標(biāo)識(shí)（如建立賬號(hào)）和鑒別（如口令等）功能；

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法應(yīng)啟用身份鑒別和登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)d）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否配備并使用登錄失敗處理功能（如限制非法登錄次數(shù)，登錄失敗次數(shù)超過設(shè)定值則結(jié)束會(huì)話等）。訪問控制應(yīng)提供訪問控制功能控制用戶組/用戶對(duì)系統(tǒng)功能和用戶數(shù)據(jù)的訪問；a）可訪談系統(tǒng)管理員，詢問業(yè)務(wù)系統(tǒng)是否提供訪問控制措施，具體措施有哪些；b）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看系統(tǒng)是否提供訪問控制機(jī)制；c）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否有限制默認(rèn)用戶訪問權(quán)限的功能，并已配置使用；d）應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過用不同權(quán)限的用戶登錄，查看其權(quán)限是否受到應(yīng)用系統(tǒng)的限制，驗(yàn)證系統(tǒng)權(quán)限分離功能是否啟效;e）應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過授權(quán)主體設(shè)置特定用戶對(duì)系統(tǒng)功能進(jìn)行操作和對(duì)數(shù)據(jù)進(jìn)行訪問的權(quán)限，然后以該用戶登錄，驗(yàn)證用戶權(quán)限管理功能是否有效；f）應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過用默認(rèn)用戶登錄，驗(yàn)證系統(tǒng)對(duì)默認(rèn)用戶訪問權(quán)限的限制是否有效。應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)用戶的訪問權(quán)限；通信完整性應(yīng)采用約定通信會(huì)話方式的方法保證通信過程中數(shù)據(jù)的完整性。a）可訪談安全員，詢問業(yè)務(wù)系統(tǒng)數(shù)據(jù)在傳輸過程中是否后完整性保證措施，具體措施有哪些；b）應(yīng)檢查設(shè)計(jì)/驗(yàn)收文檔，查看其是否有關(guān)于系統(tǒng)是根據(jù)校驗(yàn)碼（CR服驗(yàn)）判斷對(duì)方數(shù)據(jù)包的有效性的描述；c）應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過狄取通信雙方的數(shù)據(jù)包，查看其是否有驗(yàn)證碼。軟件容錯(cuò)應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格式或長度符合系統(tǒng)設(shè)定要求。a）可訪談系統(tǒng)管理員，詢問業(yè)務(wù)系統(tǒng)是否有保證軟件具后容錯(cuò)能力的措施（如對(duì)人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn)，在故障發(fā)生并中斷退出時(shí)系統(tǒng)是否提供故障類型和故障發(fā)生點(diǎn)的信息等），具體措施有哪些；b）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看業(yè)務(wù)系統(tǒng)是否有對(duì)人機(jī)接口輸入（如用戶界面的數(shù)據(jù)輸入）或通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗(yàn)的功能；c）應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過輸入的不問（如數(shù)據(jù)格式或長度等符合、不符合軟件設(shè)定的要求）驗(yàn)證系統(tǒng)人機(jī)接口有效性檢驗(yàn)功能是否止確；d）應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過制造一些故障（如系統(tǒng)異常等），查看系統(tǒng)是否提供故障類型和故障發(fā)生點(diǎn)的信息。5.2.5,數(shù)據(jù)安全及備份恢復(fù)

檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性應(yīng)能夠檢測到重要用戶數(shù)據(jù)在傳輸過程中完整性受到破壞。a）應(yīng)訪談安全員，詢問業(yè)務(wù)系統(tǒng)數(shù)據(jù)在傳輸和存儲(chǔ)過程中是否后完整性保證措施，具體措施有哪些；b）應(yīng)檢查操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫管理系統(tǒng)的設(shè)計(jì)/驗(yàn)收文檔或相關(guān)證明性材料（如證書、檢驗(yàn)報(bào)告等）等，查看其是否能檢測/驗(yàn)證到系統(tǒng)管理數(shù)據(jù)（如WINDOWS管理、目錄管理數(shù)據(jù)）、鑒別信息（如用戶名和口令）和用戶數(shù)據(jù)（如用戶數(shù)據(jù)文件）在傳輸過程中完整性受到破壞；能否檢測/驗(yàn)證到系統(tǒng)管理數(shù)據(jù)（如WINDOWS冊(cè)表、系統(tǒng)義件）、身份鑒別信息（如用戶名和口令存儲(chǔ)文件）和用戶數(shù)據(jù)（如用戶數(shù)據(jù)文件）在存儲(chǔ)過程中未授權(quán)的修改與破壞；如果有相關(guān)信息，查看其配置是否止確；c）應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看具是否配備檢測/驗(yàn)證系統(tǒng)管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸過程中完整性受到破壞的功能；是臺(tái)配備檢測/驗(yàn)證系統(tǒng)管理數(shù)據(jù)、身份鑒別信息和用戶數(shù)據(jù)在存儲(chǔ)過程中未授權(quán)修改與破壞的功能。備份和恢復(fù)應(yīng)能夠?qū)χ匾畔⑦M(jìn)行備份和恢復(fù)。a）可訪談網(wǎng)絡(luò)管理員，詢問信息系統(tǒng)中的網(wǎng)絡(luò)設(shè)備是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能，配置如何；是否提供對(duì)重要信息進(jìn)行恢復(fù)的功能；b）可訪談系統(tǒng)管理員，詢問信息系統(tǒng)中的操作系統(tǒng)是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能，配置如何；是否提供對(duì)重要信息進(jìn)行恢復(fù)的功能；c）可訪談數(shù)據(jù)庫管理員，詢問信息系統(tǒng)中的數(shù)據(jù)庫管理系統(tǒng)是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能，配置如何；是否提供對(duì)重要信息進(jìn)行恢復(fù)的功能；d）可訪談安全員，詢問信息系統(tǒng)中的業(yè)務(wù)系統(tǒng)是否具有對(duì)重要數(shù)據(jù)進(jìn)行備份的功能，配置如何；是否提供對(duì)重要信息進(jìn)行恢復(fù)的功能；e）應(yīng)檢查操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫管理系統(tǒng)、關(guān)鍵應(yīng)用系統(tǒng)，查看其是否配置有選擇的備份和恢復(fù)重要信息恢復(fù)的功能，其配置是否止確。

nA級(jí)安全評(píng)估和檢查信息安全管理評(píng)估和檢查安全管理機(jī)構(gòu)檢查項(xiàng)目檢查內(nèi)容評(píng)估和檢查標(biāo)準(zhǔn)評(píng)估和檢查方法安全管理機(jī)構(gòu)崗位設(shè)置應(yīng)設(shè)立信息安全管理工作的職能部門，設(shè)立安全主管人、安全管理各個(gè)方面的負(fù)責(zé)人，定義各負(fù)責(zé)人的職責(zé)；應(yīng)設(shè)立系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員崗位，定義各個(gè)工作崗位的職責(zé)；應(yīng)訪談安全主管，詢問是否設(shè)立安全管理機(jī)構(gòu)（即信息安全管理工作的職能部門，可以由其它部門兼職）；機(jī)構(gòu)內(nèi)部門設(shè)置情況如何，是否明確機(jī)構(gòu)內(nèi)各部門的職責(zé)分工；應(yīng)訪談安全主管，詢問是否設(shè)立安全管理各個(gè)方面的負(fù)責(zé)人，設(shè)置了哪些工作崗位（如安全主管、安全管理各個(gè)方面的負(fù)責(zé)人、機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全員等重要崗位），是否明確各個(gè)崗位的職責(zé)分工；應(yīng)訪談安全主管、安全管理某方面的負(fù)責(zé)人，詢問其崗位職責(zé)包括哪些內(nèi)容；應(yīng)檢查部門、崗位職責(zé)文件，查看文件是否明確安全管理機(jī)構(gòu)的職責(zé)，是否明確機(jī)構(gòu)內(nèi)各部門的職責(zé)和分，，部門職責(zé)是否涵蓋物理、網(wǎng)絡(luò)和系統(tǒng)等各個(gè)方面；查看文件是否明確設(shè)置安全主管、安全管理各個(gè)方面的負(fù)責(zé)人、機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全員等各個(gè)崗位，各個(gè)崗位的職責(zé)范圍是否清晰、明確；查看文件是否明確各個(gè)崗位人員應(yīng)具有的技能要求。人員配備應(yīng)配備一定數(shù)量的系統(tǒng)管理人員、網(wǎng)絡(luò)管理人員、安全管理人員等；安全管理人員不能兼任網(wǎng)絡(luò)管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員等。應(yīng)訪談安全主管，詢問各個(gè)安全管理崗位人員（按照崗位職責(zé)文件詢問，包括機(jī)房管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員、網(wǎng)絡(luò)管理員、安全員等重要崗位人員）配備情況，包括數(shù)量、專職還是兼職等；應(yīng)檢查人貝配備要求的相關(guān)文檔，查看是否明確應(yīng)配備哪些安全管理人員，是否包括機(jī)房管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員、網(wǎng)絡(luò)管理員、安全員等重要崗位人員；應(yīng)檢查管理人員名單，查看其是否明確機(jī)房管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員、網(wǎng)絡(luò)管理員、安全員等重要崗位人員的信息，確認(rèn)安全員是否沒有兼任網(wǎng)絡(luò)管理員、系統(tǒng)管理員、數(shù)據(jù)庫管理員等。授權(quán)和審批應(yīng)根據(jù)各個(gè)部門和崗位的職責(zé)明確授權(quán)審批部門及批準(zhǔn)人，對(duì)系統(tǒng)投入運(yùn)行、網(wǎng)絡(luò)系統(tǒng)接入和重要資源的訪問等關(guān)鍵活動(dòng)進(jìn)行審批；應(yīng)針對(duì)關(guān)鍵活動(dòng)建立a）應(yīng)訪談安全主管，詢問其是否對(duì)信息系統(tǒng)中的關(guān)鍵活動(dòng)進(jìn)行審批，審批部門是何部門，批準(zhǔn)人是何人，他們的審批活動(dòng)是否得到授權(quán)；b）應(yīng)訪談關(guān)鍵活動(dòng)的批準(zhǔn)人，詢問其對(duì)關(guān)鍵活動(dòng)的審批范圍包括哪些（如網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、重要服務(wù)器和

檢查項(xiàng)目檢查內(nèi)