信息平安等級(jí)保護(hù)測(cè)評(píng)講師：傅欲華目錄第一局部等級(jí)保護(hù)測(cè)評(píng)根底第二局部等級(jí)保護(hù)測(cè)評(píng)要求第三局部等級(jí)保護(hù)測(cè)評(píng)工程管理第四局部等級(jí)保護(hù)測(cè)評(píng)探討

第一局部等級(jí)保護(hù)測(cè)評(píng)根底

〔1〕國(guó)家和廣東省對(duì)測(cè)評(píng)機(jī)構(gòu)的要求回憶

〔2〕測(cè)評(píng)和測(cè)評(píng)機(jī)構(gòu)的概念

〔3〕等級(jí)保護(hù)測(cè)評(píng)方法和技術(shù)

〔4〕等級(jí)保護(hù)標(biāo)準(zhǔn)體系

當(dāng)前的信息平安等級(jí)保護(hù)有關(guān)法規(guī)《信息平安等級(jí)保護(hù)管理方法》〔公通字[2007]43號(hào)〕廣東省計(jì)算機(jī)信息系統(tǒng)平安保護(hù)條例廣東省公安廳關(guān)于計(jì)算機(jī)信息系統(tǒng)平安保護(hù)的實(shí)施方法關(guān)于貫徹《廣東省計(jì)算機(jī)信息系統(tǒng)平安保護(hù)條例》和《廣東省公安廳關(guān)于計(jì)算機(jī)信息系統(tǒng)平安保護(hù)的實(shí)施方法》的通知廣公〔網(wǎng)監(jiān)〕[2008]633號(hào)《關(guān)于開展信息平安等級(jí)保護(hù)測(cè)評(píng)體系建設(shè)試點(diǎn)工作的通知》〔公信安[2009]812號(hào)〕關(guān)于明確信息平安等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)管理有關(guān)事項(xiàng)的通知〔廣公〔網(wǎng)監(jiān)〕[2009]421號(hào)〕關(guān)于推動(dòng)信息平安等級(jí)保護(hù)測(cè)評(píng)體系建設(shè)和開展等級(jí)測(cè)評(píng)工作的通知〔公信安[2010]303號(hào)〕信息平安等級(jí)保護(hù)測(cè)評(píng)工作管理標(biāo)準(zhǔn)(試行)信息平安等級(jí)測(cè)評(píng)機(jī)構(gòu)能力要求〔試行〕等級(jí)測(cè)評(píng)師培訓(xùn)和考試指南國(guó)家對(duì)等級(jí)保護(hù)測(cè)評(píng)的要求《管理方法》〞等級(jí)保護(hù)的實(shí)施與管理“第十四條信息系統(tǒng)建設(shè)完成后，運(yùn)營(yíng)、使用單位或者其主管部門應(yīng)中選擇符合本方法規(guī)定條件的測(cè)評(píng)單位，依據(jù)《信息系統(tǒng)平安等級(jí)保護(hù)測(cè)評(píng)要求》等技術(shù)標(biāo)準(zhǔn)，定期對(duì)信息系統(tǒng)平安等級(jí)狀況開展等級(jí)測(cè)評(píng)。第三級(jí)信息系統(tǒng)應(yīng)當(dāng)每年至少進(jìn)行一次等級(jí)測(cè)評(píng)，第四級(jí)信息系統(tǒng)應(yīng)當(dāng)每半年至少進(jìn)行一次等級(jí)測(cè)評(píng)，第五級(jí)信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊平安需求進(jìn)行等級(jí)測(cè)評(píng)。國(guó)家對(duì)測(cè)評(píng)機(jī)構(gòu)的根本要求第三級(jí)以上信息系統(tǒng)應(yīng)中選擇符合以下條件的等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)進(jìn)行測(cè)評(píng)：在中華人民共和國(guó)境內(nèi)注冊(cè)成立〔港澳臺(tái)地區(qū)除外〕；由中國(guó)公民投資、中國(guó)法人投資或者國(guó)家投資的企事業(yè)單位〔港澳臺(tái)地區(qū)除外〕；從事相關(guān)檢測(cè)評(píng)估工作兩年以上，無(wú)違法記錄；工作人員僅限于中國(guó)公民；法人及主要業(yè)務(wù)、技術(shù)人員無(wú)犯罪記錄；使用的技術(shù)裝備、設(shè)施應(yīng)當(dāng)符合本方法對(duì)信息平安產(chǎn)品的要求；具有完備的保密管理、工程管理、質(zhì)量管理、人員管理和培訓(xùn)教育等平安管理制度；對(duì)國(guó)家平安、社會(huì)秩序、公共利益不構(gòu)成威脅。廣東省公安廳關(guān)于計(jì)算機(jī)信息系統(tǒng)平安保護(hù)的實(shí)施方法〔一〕第二十二條我省對(duì)測(cè)評(píng)機(jī)構(gòu)實(shí)施備案制度。符合第二十一條規(guī)定的條件，承擔(dān)第二級(jí)以上的計(jì)算機(jī)信息系統(tǒng)測(cè)評(píng)工作的機(jī)構(gòu)應(yīng)當(dāng)?shù)绞」矎d公共信息網(wǎng)絡(luò)平安監(jiān)察部門備案。第二十五條第二級(jí)以上的計(jì)算機(jī)信息系統(tǒng)建設(shè)完成后，使用單位應(yīng)當(dāng)委托符合規(guī)定的測(cè)評(píng)機(jī)構(gòu)平安測(cè)評(píng)合格方可投入使用。測(cè)評(píng)活動(dòng)應(yīng)當(dāng)接受公安機(jī)關(guān)公共信息網(wǎng)絡(luò)平安監(jiān)察部門的監(jiān)督。廣東省信息平安等級(jí)測(cè)評(píng)工作細(xì)那么〔試行〕計(jì)算機(jī)信息系統(tǒng)投入使用后，存在以下情形之一的，應(yīng)當(dāng)進(jìn)行平安自查，同時(shí)委托平安測(cè)評(píng)機(jī)構(gòu)進(jìn)行平安測(cè)評(píng)：〔一〕變更關(guān)鍵部件；〔二〕平安測(cè)評(píng)時(shí)間滿一年；〔三〕發(fā)生危害計(jì)算機(jī)信系統(tǒng)平安的案件或平安事故；〔四〕公安機(jī)關(guān)公共信息網(wǎng)絡(luò)平安監(jiān)察部門根據(jù)應(yīng)急處置工作的需要認(rèn)為應(yīng)當(dāng)進(jìn)行平安測(cè)評(píng)；〔五〕其他應(yīng)當(dāng)進(jìn)行平安自查和平安測(cè)評(píng)的情形。申請(qǐng)單位認(rèn)為平安測(cè)評(píng)報(bào)告的合法性和真實(shí)性存在重大問題的，可以向本單位所在地公安機(jī)關(guān)公共信息網(wǎng)絡(luò)平安監(jiān)察部門提出申訴，提交異議申訴書及有關(guān)證明材料。廣東省轉(zhuǎn)發(fā)開展電子政務(wù)信息平安風(fēng)險(xiǎn)評(píng)估省發(fā)改委、省公安廳、省保密局《轉(zhuǎn)發(fā)關(guān)于加強(qiáng)國(guó)家電子政務(wù)工程建設(shè)工程信息平安風(fēng)險(xiǎn)評(píng)估工作的通知》〔粵發(fā)改高[2009]182號(hào)文〕省電子政務(wù)工程應(yīng)開展信息平安等級(jí)測(cè)評(píng)和風(fēng)險(xiǎn)評(píng)估工作，作為工程竣工驗(yàn)收的重要內(nèi)容。非涉密工程在完成后試運(yùn)行期間，向相關(guān)評(píng)測(cè)機(jī)構(gòu)提出評(píng)估申請(qǐng)。評(píng)測(cè)機(jī)構(gòu)與承建單位原那么上不能為同一家。等級(jí)測(cè)評(píng)和風(fēng)險(xiǎn)評(píng)估費(fèi)用計(jì)入工程總投資。公安部對(duì)測(cè)評(píng)機(jī)構(gòu)的明確要求對(duì)等級(jí)測(cè)評(píng)機(jī)構(gòu)管理相關(guān)問題進(jìn)行了明確，要求開展等級(jí)測(cè)評(píng)的單位不得從事以下活動(dòng)：一是承擔(dān)信息系統(tǒng)平安建設(shè)整改工作；二是將等級(jí)測(cè)評(píng)任務(wù)分包、外包；三是信息平安產(chǎn)品開發(fā)、營(yíng)銷和信息系統(tǒng)集成活動(dòng)；四是限定被測(cè)評(píng)單位購(gòu)置、試用其指定的信息平安產(chǎn)品；五是未經(jīng)許可占有、使用被測(cè)評(píng)單位有關(guān)信息、資料及數(shù)據(jù)文件。關(guān)于明確信息平安等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)管理有關(guān)事項(xiàng)的通知一、進(jìn)一步標(biāo)準(zhǔn)測(cè)評(píng)效勞管理。根據(jù)公安部十一局要求，為確保測(cè)評(píng)活動(dòng)的公正性，承擔(dān)測(cè)評(píng)工作的機(jī)構(gòu)不宜從事信息平安整改、集成效勞。二、提高測(cè)評(píng)工作裝備水平。為統(tǒng)一工具標(biāo)準(zhǔn)，我總隊(duì)制定了《信息平安等級(jí)保護(hù)測(cè)評(píng)工具選用指引》〔以下簡(jiǎn)稱《指引》〕，對(duì)測(cè)評(píng)所需的必備工具和選用工具進(jìn)行了明確。三、推動(dòng)信息平安等級(jí)保護(hù)整改。各級(jí)公安網(wǎng)監(jiān)部門要按照《廣東省深化信息系統(tǒng)平安等級(jí)保護(hù)工作方案》要求，加大各類測(cè)評(píng)機(jī)構(gòu)和平安效勞機(jī)構(gòu)的監(jiān)督指導(dǎo)力度，發(fā)揮其作用，為信息系統(tǒng)運(yùn)營(yíng)、使用單位、主管部門提供差距評(píng)估、整改方案制訂和實(shí)施、平安測(cè)評(píng)等效勞，大力推動(dòng)信息系統(tǒng)的平安整改，切實(shí)推動(dòng)我省信息平安等級(jí)保護(hù)工作深入開展。廣東省等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)關(guān)于發(fā)布廣東省信息平安等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)的公告〔粵等保辦[2010]3號(hào)〕供我省信息系統(tǒng)運(yùn)營(yíng)、使用單位、主管部門選用提供各類測(cè)評(píng)效勞〔差距評(píng)估、驗(yàn)收性測(cè)評(píng)、年度測(cè)評(píng)工作〕。

1、廣州競(jìng)遠(yuǎn)系統(tǒng)網(wǎng)絡(luò)技術(shù)

2、中國(guó)賽寶實(shí)驗(yàn)室〔工業(yè)和信息化部電子第五研究所〕

3、廣州華南信息平安測(cè)評(píng)中心

4、深圳市信息平安測(cè)評(píng)中心

5、深圳市網(wǎng)安計(jì)算機(jī)平安檢測(cè)技術(shù)

等級(jí)測(cè)評(píng)師管理測(cè)評(píng)人員參加由評(píng)估中心舉辦的專門培訓(xùn)、考試并取得評(píng)估中心頒發(fā)的《等級(jí)測(cè)評(píng)師證書》〔等級(jí)測(cè)評(píng)師分為初級(jí)、中級(jí)和高級(jí)〕。等級(jí)測(cè)評(píng)人員需持等級(jí)測(cè)評(píng)師證上崗。測(cè)評(píng)報(bào)告測(cè)評(píng)機(jī)構(gòu)應(yīng)按照公安部統(tǒng)一制訂的《信息系統(tǒng)平安等級(jí)測(cè)評(píng)報(bào)告模版〔試行〕》格式出具測(cè)評(píng)報(bào)告等級(jí)保護(hù)測(cè)評(píng)流程〔1〕等級(jí)保護(hù)測(cè)評(píng)流程〔1〕測(cè)評(píng)過程測(cè)評(píng)準(zhǔn)備活動(dòng)本活動(dòng)是開展等級(jí)測(cè)評(píng)工作的前提和根底,是整個(gè)等級(jí)測(cè)評(píng)過程有效性的保證。測(cè)評(píng)準(zhǔn)備工作是否充分直接關(guān)系到后續(xù)工作能否順利開展。本活動(dòng)的主要任務(wù)是掌握被測(cè)系統(tǒng)的詳細(xì)情況,準(zhǔn)備測(cè)試工具,為編制測(cè)評(píng)方案做好準(zhǔn)備。方案編制活動(dòng)本活動(dòng)是開展等級(jí)測(cè)評(píng)工作的關(guān)鍵活動(dòng),為現(xiàn)場(chǎng)測(cè)評(píng)提供最根本的文檔和指導(dǎo)方案。本活動(dòng)的主要任務(wù)是確定與被測(cè)信息系統(tǒng)相適應(yīng)的測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)及測(cè)評(píng)內(nèi)容等,并根據(jù)需要重用或開發(fā)測(cè)評(píng)指導(dǎo)書測(cè)評(píng)指導(dǎo)書,形成測(cè)評(píng)方案?，F(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)本活動(dòng)是開展等級(jí)測(cè)評(píng)工作的核心活動(dòng)。本活動(dòng)的主要任務(wù)是按照測(cè)評(píng)方案的總體要求,嚴(yán)格執(zhí)行測(cè)評(píng)指導(dǎo)書測(cè)評(píng)指導(dǎo)書,分步實(shí)施所有測(cè)評(píng)工程,包括單元測(cè)評(píng)和整體測(cè)評(píng)兩個(gè)方面,以了解系統(tǒng)的真實(shí)保護(hù)情況,獲取足夠證據(jù),發(fā)現(xiàn)系統(tǒng)存在的平安問題。分析與報(bào)告編制活動(dòng)本活動(dòng)是給出等級(jí)測(cè)評(píng)工作結(jié)果的活動(dòng),是總結(jié)被測(cè)系統(tǒng)整體平安保護(hù)能力的綜合評(píng)價(jià)活動(dòng)。本活動(dòng)的主要任務(wù)是根據(jù)現(xiàn)場(chǎng)測(cè)評(píng)結(jié)果和《信息系統(tǒng)平安等級(jí)保護(hù)測(cè)評(píng)要求》的有關(guān)要求,通過單項(xiàng)測(cè)評(píng)結(jié)果判定、單元測(cè)評(píng)結(jié)果判定、整體測(cè)評(píng)和風(fēng)險(xiǎn)分析等方法,找出整個(gè)系統(tǒng)的平安保護(hù)現(xiàn)狀與相應(yīng)等級(jí)的保護(hù)要求之間的差距,并分析這些差距導(dǎo)致被測(cè)系統(tǒng)面臨的風(fēng)險(xiǎn),從而給出等級(jí)測(cè)評(píng)結(jié)論,形成測(cè)評(píng)報(bào)告文本。等級(jí)保護(hù)測(cè)評(píng)方法〔1〕測(cè)評(píng)方法測(cè)評(píng)采用訪談、檢查和測(cè)試三種方法，測(cè)評(píng)對(duì)象是測(cè)評(píng)實(shí)施過程中涉及到的信息系統(tǒng)的構(gòu)成成份，包括人員、文檔、機(jī)制、軟件、設(shè)備。測(cè)評(píng)的層面涉及物理平安、網(wǎng)絡(luò)平安、主機(jī)平安、應(yīng)用系統(tǒng)平安、數(shù)據(jù)平安以及平安管理。測(cè)評(píng)要求使用測(cè)評(píng)表進(jìn)行具體檢查時(shí)，首先按詢問、查驗(yàn)、檢測(cè)等工作方式將所有檢查工程分類。所有以詢問方式檢查的工程，在與有關(guān)人員的談話或會(huì)議上進(jìn)行；所有以查驗(yàn)方式檢查的工程，將需要的文檔清單在檢查現(xiàn)場(chǎng)提交給被檢查方，請(qǐng)被檢查方當(dāng)前提供并進(jìn)行查驗(yàn)；所有需要以檢測(cè)方式檢查的工程，按檢測(cè)部門或設(shè)備分類后，根據(jù)具體情況選擇檢測(cè)順序。等級(jí)保護(hù)測(cè)評(píng)方法〔2〕對(duì)技術(shù)要求‘訪談’方法：目的是了解信息系統(tǒng)的全局性。范圍一般不覆蓋所有要求內(nèi)容?！畽z查’方法：目的是確認(rèn)信息系統(tǒng)當(dāng)前具體平安機(jī)制和運(yùn)行的配置是否符合要求。范圍一般要覆蓋所有要求內(nèi)容?！疁y(cè)試’方法：目的是驗(yàn)證信息系統(tǒng)平安機(jī)制有效性和平安強(qiáng)度。范圍不覆蓋所有要求內(nèi)容。等級(jí)保護(hù)測(cè)評(píng)方法〔3〕對(duì)管理要求對(duì)人員方面的要求，重點(diǎn)通過‘訪談’的方式來測(cè)評(píng)，檢查為輔；對(duì)過程方面的要求，通過‘訪談’和‘檢查’的方式來測(cè)評(píng)；對(duì)標(biāo)準(zhǔn)方面的要求，以‘檢查’文檔為主，‘訪談’為輔優(yōu)勢(shì)證據(jù)對(duì)單一測(cè)評(píng)項(xiàng)實(shí)施等級(jí)測(cè)評(píng)過程中獲得的多個(gè)測(cè)評(píng)結(jié)果之間存在矛盾,且都沒有足夠的證據(jù)否認(rèn)與之矛盾的測(cè)評(píng)結(jié)果的,那么測(cè)評(píng)結(jié)果的證明力明顯大于其他測(cè)評(píng)結(jié)果的證明力的那個(gè)(些)測(cè)評(píng)結(jié)果即為優(yōu)勢(shì)證據(jù)。檢查>測(cè)試>訪談測(cè)評(píng)準(zhǔn)備活動(dòng)測(cè)評(píng)方案方案編制活動(dòng)的根本工作流程測(cè)評(píng)指標(biāo)確定從GB/T22239-2008中選擇相應(yīng)等級(jí)的平安要求作為測(cè)評(píng)指標(biāo),包括對(duì)SAG三類平安要求的選擇。舉例來說,假設(shè)某信息系統(tǒng)的定級(jí)結(jié)果為:平安保護(hù)等級(jí)為3級(jí),業(yè)務(wù)信息平安保護(hù)等級(jí)為2級(jí),系統(tǒng)效勞平安保護(hù)等級(jí)為3級(jí);那么該系統(tǒng)的測(cè)評(píng)指標(biāo)將包括GB/T22239-2008“技術(shù)要求〞中的3級(jí)通用平安保護(hù)類要求(G3),2級(jí)業(yè)務(wù)信息平安類要求(S2),3級(jí)系統(tǒng)效勞保證類要求(A3),以及第3級(jí)“管理要求〞中的所有要求。測(cè)評(píng)指標(biāo)測(cè)試工具接入點(diǎn)確定現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)的根本工作流程檢查方式訪談文檔審查配置檢查工具測(cè)試實(shí)地觀察分析與報(bào)告編制活動(dòng)的根本工作流程××平安單元測(cè)評(píng)結(jié)果匯總表測(cè)評(píng)對(duì)象確定原那么和方法〔二級(jí)〕1.主機(jī)房(包括其環(huán)境、設(shè)備和設(shè)施等),如果某一輔機(jī)房中放置了效勞于整個(gè)信息系統(tǒng)或?qū)π畔⑾到y(tǒng)的平安性起決定作用的設(shè)備、設(shè)施,那么也應(yīng)該作為測(cè)評(píng)對(duì)象;2.存儲(chǔ)被測(cè)系統(tǒng)重要數(shù)據(jù)的介質(zhì)的存放環(huán)境;3.整個(gè)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu);4.平安設(shè)備,包括防火墻、入侵檢測(cè)設(shè)備、防病毒網(wǎng)關(guān)等;5.邊界網(wǎng)絡(luò)設(shè)備(可能會(huì)包含平安設(shè)備),包括路由器、防火墻和認(rèn)證網(wǎng)關(guān)等;6.對(duì)整個(gè)信息系統(tǒng)或其局部的平安性起決定作用的網(wǎng)絡(luò)互聯(lián)設(shè)備,如核心交換機(jī)、會(huì)聚層交換機(jī)、核心路由器等;7.承載被測(cè)系統(tǒng)核心或重要業(yè)務(wù)、數(shù)據(jù)的效勞器(包括其操作系統(tǒng)和數(shù)據(jù)庫(kù));8.重要管理終端;9.能夠代表被測(cè)系統(tǒng)主要使命的業(yè)務(wù)應(yīng)用系統(tǒng);10.信息平安主管人員、各方面的負(fù)責(zé)人員;11.涉及到信息系統(tǒng)平安的所有管理制度和記錄。在本級(jí)信息系統(tǒng)測(cè)評(píng)時(shí),信息系統(tǒng)中配置相同的平安設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備以及效勞器應(yīng)至少抽查兩臺(tái)作為測(cè)評(píng)對(duì)象。測(cè)評(píng)對(duì)象確定原那么和方法〔三級(jí)〕1.主機(jī)房(包括其環(huán)境、設(shè)備和設(shè)施等)和局部輔機(jī)房,應(yīng)將放置了效勞于信息系統(tǒng)的局部(包括整體)或?qū)π畔⑾到y(tǒng)的局部(包括整體)平安性起重要作用的設(shè)備、設(shè)施的輔機(jī)房選取作為測(cè)評(píng)對(duì)象;2.存儲(chǔ)被測(cè)系統(tǒng)重要數(shù)據(jù)的介質(zhì)的存放環(huán)境;3.辦公場(chǎng)地;4.整個(gè)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu);5.平安設(shè)備,包括防火墻、入侵檢測(cè)設(shè)備和防病毒網(wǎng)關(guān)等;6.邊界網(wǎng)絡(luò)設(shè)備(可能會(huì)包含平安設(shè)備),包括路由器、防火墻、認(rèn)證網(wǎng)關(guān)和邊界接入設(shè)備(如樓層交換機(jī))等;7.對(duì)整個(gè)信息系統(tǒng)或其局部的平安性起作用的網(wǎng)絡(luò)互聯(lián)設(shè)備,如核心交換機(jī)、會(huì)聚層交換機(jī)、路由器等;測(cè)評(píng)對(duì)象確定原那么和方法〔三級(jí)〕8.承載被測(cè)系統(tǒng)主要業(yè)務(wù)或數(shù)據(jù)的效勞器(包括其操作系統(tǒng)和數(shù)據(jù)庫(kù));9.管理終端和主要業(yè)務(wù)應(yīng)用系統(tǒng)終端;10.能夠完成被測(cè)系統(tǒng)不同業(yè)務(wù)使命的業(yè)務(wù)應(yīng)用系統(tǒng);11.業(yè)務(wù)備份系統(tǒng);12.信息平安主管人員、各方面的負(fù)責(zé)人員、具體負(fù)責(zé)平安管理的當(dāng)事人、業(yè)務(wù)負(fù)責(zé)人;13.涉及到信息系統(tǒng)平安的所有管理制度和記錄。在本級(jí)信息系統(tǒng)測(cè)評(píng)時(shí),信息系統(tǒng)中配置相同的平安設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備、效勞器、終端以及備份設(shè)備,每類應(yīng)至少抽查兩臺(tái)作為測(cè)評(píng)對(duì)象。系統(tǒng)承建單位主管\使用\運(yùn)行單位測(cè)評(píng)機(jī)構(gòu)專家組支持測(cè)評(píng)提供技術(shù)、工程和質(zhì)量文檔實(shí)施的配合公安網(wǎng)監(jiān)部門測(cè)評(píng)工作組織協(xié)調(diào)確保技術(shù)、工程和質(zhì)量文檔、提供運(yùn)營(yíng)相關(guān)文檔的提供評(píng)審實(shí)施方案等相關(guān)文檔配合等級(jí)測(cè)評(píng)實(shí)施測(cè)評(píng)過程中的風(fēng)險(xiǎn)管理和應(yīng)急管理制定測(cè)評(píng)計(jì)劃和方案等相關(guān)文檔在相關(guān)單位支持下實(shí)施等級(jí)測(cè)評(píng)提交測(cè)評(píng)報(bào)告對(duì)方案評(píng)審對(duì)評(píng)估結(jié)論進(jìn)行評(píng)審測(cè)評(píng)工作

組織與監(jiān)管等級(jí)保護(hù)測(cè)評(píng)中的角色和職責(zé)關(guān)系等級(jí)保護(hù)測(cè)評(píng)工作實(shí)施步驟首次會(huì)議〔1〕參加人員：主管領(lǐng)導(dǎo)、技術(shù)人員、測(cè)評(píng)機(jī)構(gòu)人員〔2〕被測(cè)評(píng)機(jī)構(gòu)工作匯報(bào)測(cè)評(píng)實(shí)施被測(cè)評(píng)單位派人負(fù)責(zé)測(cè)評(píng)過程聯(lián)絡(luò)和協(xié)助。末次會(huì)議〔1〕參加人員：主管領(lǐng)導(dǎo)、技術(shù)人員、測(cè)評(píng)機(jī)構(gòu)人員〔2〕測(cè)評(píng)機(jī)構(gòu)進(jìn)行測(cè)試情況匯報(bào)等級(jí)保護(hù)測(cè)評(píng)工程組的構(gòu)成測(cè)評(píng)工程組構(gòu)成組長(zhǎng)職責(zé)：管理測(cè)評(píng)過程、主持編制測(cè)評(píng)方案、主持設(shè)計(jì)測(cè)評(píng)方案、負(fù)責(zé)訪談、檢查、組織分析測(cè)評(píng)結(jié)果、主持編制測(cè)評(píng)總結(jié)報(bào)告；訪談和查看組：負(fù)責(zé)訪談、執(zhí)行測(cè)試，記錄和分析測(cè)評(píng)結(jié)果；測(cè)試組：執(zhí)行測(cè)試、記錄和分析測(cè)評(píng)結(jié)果。測(cè)評(píng)原那么等級(jí)保護(hù)測(cè)評(píng)的一些本卷須知信息平安產(chǎn)品采購(gòu) 對(duì)于產(chǎn)品的功能和性能指標(biāo)，可以依據(jù)國(guó)家認(rèn)可的測(cè)試機(jī)構(gòu)所出具的產(chǎn)品測(cè)試報(bào)告，也可以根據(jù)用戶自行組織的信息平安產(chǎn)品功能和性能選型測(cè)試所出具的報(bào)告。應(yīng)用系統(tǒng)平安控制開發(fā)應(yīng)用系統(tǒng)的平安控制開發(fā)應(yīng)當(dāng)與應(yīng)用開發(fā)同步設(shè)計(jì)、同步實(shí)施，而應(yīng)用系統(tǒng)一旦開發(fā)完成后，再增加平安措施會(huì)造成很大的本錢投入。需要軟件測(cè)評(píng)機(jī)構(gòu)參與?！陡疽蟆返墓芾恚航梃b了ISO/IEC17799:2005等國(guó)際上流行的信息平安管理方面的標(biāo)準(zhǔn)，盡量做到全方位的平安管理。所以在落實(shí)和測(cè)評(píng)“管理要求〞時(shí)，就必須結(jié)合ISO/IEC17799:2005、ISO/IEC27001等信息平安管理體系的要求進(jìn)行。等級(jí)測(cè)評(píng)實(shí)施過程中可能存在的風(fēng)險(xiǎn)

驗(yàn)證測(cè)試影響系統(tǒng)正常運(yùn)行在現(xiàn)場(chǎng)測(cè)評(píng)時(shí)，需要對(duì)設(shè)備和系統(tǒng)進(jìn)行一定的驗(yàn)證測(cè)試工作，局部測(cè)試內(nèi)容需要上機(jī)查看一些信息，這就可能對(duì)系統(tǒng)的運(yùn)行造成一定的影響，甚至存在誤操作的可能。工具測(cè)試影響系統(tǒng)正常運(yùn)行在現(xiàn)場(chǎng)測(cè)評(píng)時(shí)，會(huì)使用一些技術(shù)測(cè)試工具進(jìn)行漏洞測(cè)試、性能測(cè)試甚至抗?jié)B透能力測(cè)試。測(cè)試可能會(huì)對(duì)系統(tǒng)的負(fù)載造成一定的影響，漏洞測(cè)試和滲透測(cè)試可能對(duì)效勞器和網(wǎng)絡(luò)通訊造成一定影響甚至傷害。敏感信息泄漏泄漏被測(cè)系統(tǒng)狀態(tài)信息，如網(wǎng)絡(luò)拓?fù)?、IP地址、業(yè)務(wù)流程、平安機(jī)制、平安隱患和有關(guān)文檔信息。等級(jí)測(cè)評(píng)方式－測(cè)試功能/性能測(cè)試、滲透測(cè)試等。測(cè)試對(duì)象包括機(jī)制和設(shè)備等。測(cè)試一般需要借助特定工具。掃描檢測(cè)工具網(wǎng)絡(luò)協(xié)議分析儀攻擊工具滲透工具等級(jí)保護(hù)實(shí)施中的有關(guān)測(cè)評(píng)活動(dòng)物理平安建筑防雷測(cè)試〔含接地電阻測(cè)試〕機(jī)房火災(zāi)消防驗(yàn)收測(cè)試綜合布線系統(tǒng)驗(yàn)收測(cè)試網(wǎng)絡(luò)平安網(wǎng)絡(luò)與信息平安產(chǎn)品選型測(cè)試應(yīng)用平安應(yīng)進(jìn)行應(yīng)用系統(tǒng)軟件驗(yàn)收測(cè)試。總結(jié)：在系統(tǒng)整改階段，進(jìn)行了充分測(cè)試，并且有詳細(xì)的測(cè)試報(bào)告和測(cè)試記錄，可保證等級(jí)保護(hù)工程質(zhì)量。測(cè)評(píng)結(jié)果統(tǒng)計(jì)〔紅綠燈〕測(cè)評(píng)結(jié)果第一局部等級(jí)保護(hù)測(cè)評(píng)根底

〔4〕等級(jí)保護(hù)標(biāo)準(zhǔn)體系

信息系統(tǒng)安全等級(jí)保護(hù)基本要求計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則（GB17859）信息系統(tǒng)通用安全技術(shù)要求信息系統(tǒng)物理安全技術(shù)要求技術(shù)類其他技術(shù)類標(biāo)準(zhǔn)信息系統(tǒng)安全管理要求信息系統(tǒng)安全工程管理要求其他管理類標(biāo)準(zhǔn)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南信息系統(tǒng)安全等級(jí)保護(hù)基本要求的行業(yè)細(xì)則信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求管理類產(chǎn)品類數(shù)據(jù)庫(kù)管理系統(tǒng)安全技術(shù)要求其他產(chǎn)品類標(biāo)準(zhǔn)信息系統(tǒng)安全等級(jí)保護(hù)行業(yè)定級(jí)細(xì)則操作系統(tǒng)安全技術(shù)要求信息安全等級(jí)保護(hù)安全建設(shè)整改工作網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求網(wǎng)絡(luò)和終端設(shè)備隔離部件技術(shù)要求安全等級(jí)基線要求狀況分析方法指導(dǎo)信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南測(cè)評(píng)類標(biāo)準(zhǔn)設(shè)計(jì)類標(biāo)準(zhǔn)等級(jí)保護(hù)標(biāo)準(zhǔn)體系等級(jí)保護(hù)設(shè)計(jì)標(biāo)準(zhǔn)〔2〕設(shè)計(jì)《信息系統(tǒng)平安等級(jí)保護(hù)根本要求》GB/T22239-2008《信息系統(tǒng)平安等級(jí)保護(hù)實(shí)施指南》GB/T27058-2010《信息系統(tǒng)等級(jí)保護(hù)平安設(shè)計(jì)技術(shù)要求》GB/T27070-2010《信息平安技術(shù)信息系統(tǒng)通用平安技術(shù)要求》GB/T20271-2006《信息平安風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)》GB/T20984-2007《信息平安技術(shù)信息系統(tǒng)平安管理要求》GB/T20269-2006等級(jí)保護(hù)設(shè)計(jì)標(biāo)準(zhǔn)〔續(xù)〕《信息平安技術(shù)網(wǎng)絡(luò)根底平安技術(shù)要求》GB/T20270-2006《信息系統(tǒng)物理平安技術(shù)要求》GB/T21052-2007《信息平安技術(shù)信息系統(tǒng)災(zāi)難恢復(fù)標(biāo)準(zhǔn)》GB/T20988-2007《信息平安技術(shù)信息平安事件分類分級(jí)指南》GB/Z20986-2007《信息技術(shù)平安技術(shù)信息平安管理體系要求》GB/T22080-2008，ISO/IEC27001《信息技術(shù)平安技術(shù)信息平安管理實(shí)用規(guī)那么》(GB/T22081-2008,ISO/IEC27002,GB/T19716-2005的更新《基于互聯(lián)網(wǎng)電子政務(wù)信息平安實(shí)施指南》〔報(bào)批稿〕等級(jí)保護(hù)測(cè)評(píng)《信息系統(tǒng)平安等級(jí)保護(hù)測(cè)評(píng)要求》《信息系統(tǒng)平安等級(jí)保護(hù)測(cè)評(píng)過程指南》《信息平安技術(shù)信息系統(tǒng)平安審計(jì)產(chǎn)品技術(shù)要求和測(cè)試評(píng)價(jià)方法》〔GB/T20945-2007〕《信息平安技術(shù)入侵檢測(cè)系統(tǒng)技術(shù)要求和測(cè)試評(píng)價(jià)方法》〔GB/T20275-2006〕《信息平安技術(shù)網(wǎng)絡(luò)和終端設(shè)備隔離部件測(cè)試評(píng)價(jià)方法》〔GB/T20277-2006〕《信息平安技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品測(cè)試評(píng)價(jià)方法》〔GB/T20280-2006〕《信息平安技術(shù)防火墻技術(shù)要求和測(cè)試評(píng)價(jià)方法》〔GB/T20281-2006〕《信息平安技術(shù)操作系統(tǒng)平安技術(shù)要求》〔GB/T20272-2006〕 《信息平安技術(shù)操作系統(tǒng)平安評(píng)估準(zhǔn)那么》〔GB/T20008-2005〕〕等級(jí)保護(hù)產(chǎn)品標(biāo)準(zhǔn)《信息平安技術(shù)數(shù)據(jù)庫(kù)管理系統(tǒng)通用平安技術(shù)要求》GB/T20273-2006《信息平安技術(shù)數(shù)據(jù)庫(kù)管理系統(tǒng)平安評(píng)估準(zhǔn)那么》〔GB/T20009-2005〕《信息平安技術(shù)網(wǎng)絡(luò)交換機(jī)平安技術(shù)要求評(píng)估保證級(jí)3》〔GB/T21050-2007〕《信息平安技術(shù)公鑰根底設(shè)施PKI系統(tǒng)平安等級(jí)保護(hù)評(píng)估準(zhǔn)那么》〔GB/T21054-2007〕《信息平安技術(shù)終端計(jì)算機(jī)系統(tǒng)平安等級(jí)技術(shù)要求》〔GA/T671-2006〕《效勞器平安技術(shù)要求》GB/T21028-2007等級(jí)保護(hù)產(chǎn)品標(biāo)準(zhǔn)〔續(xù)〕〔a〕機(jī)房工程：《GB/T2887-2000電子計(jì)算機(jī)場(chǎng)地通用標(biāo)準(zhǔn)》《GB50174-2008電子信息系統(tǒng)機(jī)房設(shè)計(jì)標(biāo)準(zhǔn)》《SJ/T31469-2002防靜電地面施工及驗(yàn)收標(biāo)準(zhǔn)》《GB9361-88計(jì)算站場(chǎng)地平安要求》《GB50057建筑物防雷設(shè)計(jì)標(biāo)準(zhǔn)》《GB/T50314智能建筑設(shè)計(jì)標(biāo)準(zhǔn)》等級(jí)保護(hù)其它參考標(biāo)準(zhǔn)〔5〕其它標(biāo)準(zhǔn)〔b〕綜合布線系統(tǒng)： 《GB/T50311-2007建筑與建筑群綜合布線工程系統(tǒng)設(shè)計(jì)標(biāo)準(zhǔn)》《GB/T50312-2007建筑與建筑群綜合布線系統(tǒng)工程驗(yàn)收標(biāo)準(zhǔn)》〔c〕網(wǎng)絡(luò)根底平臺(tái)： 《YD5051－97本地網(wǎng)通信線路工程驗(yàn)收標(biāo)準(zhǔn)》《YD5070-98公用計(jì)算機(jī)互聯(lián)網(wǎng)工程驗(yàn)收標(biāo)準(zhǔn)》〔d〕信息應(yīng)用系統(tǒng)：《GB/T17544-1998信息技術(shù)軟件包質(zhì)量要求和測(cè)試》《GB/T16260-1996軟件工程產(chǎn)品質(zhì)量》《GB/T18905-2002軟件工程產(chǎn)品評(píng)價(jià)》等級(jí)保護(hù)其它參考標(biāo)準(zhǔn)〔續(xù)〕《GB/T19668.1-2005信息化工程監(jiān)理標(biāo)準(zhǔn)第1局部：總那么》《GB/T19668.2-2007信息化工程監(jiān)理標(biāo)準(zhǔn)第2局部：通用布纜系統(tǒng)工程監(jiān)理標(biāo)準(zhǔn)》《GB/T19668.3-2007信息化工程監(jiān)理標(biāo)準(zhǔn)第3局部：電子設(shè)備機(jī)房系統(tǒng)工程監(jiān)理標(biāo)準(zhǔn)》《GB/T19668.4-2007信息化工程監(jiān)理標(biāo)準(zhǔn)第4局部：計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)工程監(jiān)理標(biāo)準(zhǔn)》《GB/T19668.5-2007信息化工程監(jiān)理標(biāo)準(zhǔn)第5局部:軟件工程監(jiān)理標(biāo)準(zhǔn)》《GB/T19668.6-2007信息化工程監(jiān)理標(biāo)準(zhǔn)第6局部:信息化工程平安監(jiān)理標(biāo)準(zhǔn)》等級(jí)保護(hù)工程監(jiān)理參考標(biāo)準(zhǔn)

網(wǎng)絡(luò)信任體系標(biāo)準(zhǔn)PKI/PMI安全機(jī)制密碼算法GB/T15843-2008《信息技術(shù)平安技術(shù)實(shí)體鑒別GB/T17902-2005《信息技術(shù)平安技術(shù)帶附錄的數(shù)字簽名》GB/T17903-2008《信息技術(shù)平安技術(shù)抗抵賴》………分組算法應(yīng)用接口標(biāo)準(zhǔn)〔征求意見稿〕CA密碼設(shè)備應(yīng)用程序接口〔征求意見稿〕雜湊算法應(yīng)用接口標(biāo)準(zhǔn)〔征求意見稿〕隨機(jī)性檢測(cè)標(biāo)準(zhǔn)〔征求意見稿〕網(wǎng)絡(luò)密碼機(jī)通用技術(shù)標(biāo)準(zhǔn)〔征求意見稿〕ECC算法應(yīng)用接口標(biāo)準(zhǔn)〔征求意見稿〕………GB/T16264.8-2005《信息技術(shù)開放系統(tǒng)互連目錄第8局部：公鑰和屬性證書框架》GB/T20518-2006《信息技術(shù)平安技術(shù)公鑰根底設(shè)施數(shù)字證書格式》GB/T19714-2005《信息技術(shù)平安技術(shù)公鑰根底設(shè)施證書管理協(xié)議》GB/T20519-2006《信息平安技術(shù)公鑰根底設(shè)施特定權(quán)限管理中心技術(shù)標(biāo)準(zhǔn)》GB/T19713-2005《信息技術(shù)平安技術(shù)公鑰根底設(shè)施在線證書狀態(tài)協(xié)議》GB/T20520-2006《信息平安技術(shù)公鑰根底設(shè)施時(shí)間戳標(biāo)準(zhǔn)》………第二局部等級(jí)保護(hù)測(cè)評(píng)要求第二局部等級(jí)保護(hù)測(cè)評(píng)要求

〔1〕等級(jí)保護(hù)測(cè)評(píng)要求的理解

〔2〕等級(jí)保護(hù)測(cè)評(píng)內(nèi)容分析

〔3〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔物理平安〕

〔4〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔網(wǎng)絡(luò)平安〕

〔5〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔主機(jī)平安—操作系統(tǒng)〕

〔6〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔應(yīng)用平安〕

第二局部等級(jí)保護(hù)測(cè)評(píng)要求

〔1〕等級(jí)保護(hù)測(cè)評(píng)要求的理解

等級(jí)保護(hù)測(cè)評(píng)的內(nèi)容某級(jí)系統(tǒng)物理平安技術(shù)要求管理要求根本要求網(wǎng)絡(luò)平安主機(jī)平安應(yīng)用平安數(shù)據(jù)平安平安管理機(jī)構(gòu)平安管理制度人員平安管理系統(tǒng)建設(shè)管理系統(tǒng)運(yùn)維管理測(cè)評(píng)要求編制思路信息系統(tǒng)測(cè)評(píng)系統(tǒng)測(cè)評(píng)〔對(duì)平安控制、層面、區(qū)域間關(guān)聯(lián)關(guān)系以及系統(tǒng)整體結(jié)構(gòu)，分層次綜合分析、測(cè)評(píng)〕平安控制測(cè)評(píng)〔以測(cè)評(píng)單元組織的測(cè)評(píng)實(shí)施〕平安控制測(cè)評(píng)思路在內(nèi)容上，與《根本要求》一一對(duì)應(yīng)，針對(duì)《根本要求》的每一個(gè)控制項(xiàng)，開發(fā)具體的測(cè)評(píng)實(shí)施方法。在結(jié)構(gòu)上，以“測(cè)評(píng)單元〞為根本工作單位，分等級(jí)進(jìn)行組織。測(cè)評(píng)單元測(cè)評(píng)項(xiàng)測(cè)評(píng)方式測(cè)評(píng)對(duì)象測(cè)評(píng)實(shí)施結(jié)果判定具體技術(shù)和管理要求訪談/檢查/測(cè)試人員/文檔/機(jī)制/設(shè)備測(cè)評(píng)方式＋對(duì)象＋操作是否符合測(cè)評(píng)項(xiàng)要求第二局部等級(jí)保護(hù)測(cè)評(píng)要求

〔3〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔物理平安〕

防雷擊本項(xiàng)要求包括：機(jī)房建筑應(yīng)設(shè)置避雷裝置；應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；機(jī)房應(yīng)設(shè)置交流電源地線。防雷擊實(shí)施討論在南方地區(qū)，夏季多雨水，雷擊發(fā)生的可能性很大，需要重點(diǎn)檢測(cè)?！峨娮有畔⑾到y(tǒng)機(jī)房施工及驗(yàn)收標(biāo)準(zhǔn)》GB50462-2008《電子信息系統(tǒng)機(jī)房設(shè)計(jì)標(biāo)準(zhǔn)》GB50174-2008《建筑物電子信息系統(tǒng)防雷技術(shù)標(biāo)準(zhǔn)》GB50343-2004《建筑物防雷裝置檢測(cè)技術(shù)標(biāo)準(zhǔn)》GB/T21431-2008防雷擊測(cè)評(píng)實(shí)施應(yīng)檢查機(jī)房建筑是否有避雷裝置，是否有交流地線；應(yīng)檢查機(jī)房是否安裝防雷保安器等裝置。防雷擊結(jié)果記錄機(jī)房建筑有避雷裝置，有交流地線；機(jī)房電源和信號(hào)線上安裝防雷保安器等裝置；機(jī)房計(jì)算機(jī)系統(tǒng)接地設(shè)置了專用地線；通過驗(yàn)收或國(guó)家有關(guān)部門的技術(shù)檢測(cè)〔有檢測(cè)報(bào)告〕第二局部等級(jí)保護(hù)測(cè)評(píng)要求

〔4〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔網(wǎng)絡(luò)平安〕

2.4.1結(jié)構(gòu)平安

本項(xiàng)要求包括：應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)頂峰期需要；應(yīng)保證網(wǎng)絡(luò)各個(gè)局部的帶寬滿足業(yè)務(wù)頂峰期需要；應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)效勞器之間進(jìn)行路由控制建立平安的訪問路徑；應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原那么為各子網(wǎng)、網(wǎng)段分配地址段；應(yīng)防止將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；應(yīng)按照對(duì)業(yè)務(wù)效勞的重要次序來指定帶寬分配優(yōu)先級(jí)別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要主機(jī)。2.4.2結(jié)構(gòu)平安要求:1.應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)頂峰期需要；測(cè)評(píng)實(shí)施:訪談網(wǎng)絡(luò)管理員，詢問主要網(wǎng)絡(luò)設(shè)備的性能及業(yè)務(wù)頂峰流量。訪談網(wǎng)絡(luò)管理員，詢問采用何種手段對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行監(jiān)控。通過網(wǎng)絡(luò)管理軟件,或IT資源監(jiān)控系統(tǒng),確認(rèn)主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)頂峰期需要。應(yīng)檢查網(wǎng)絡(luò)設(shè)計(jì)/驗(yàn)收文檔，查看是否有主要網(wǎng)絡(luò)設(shè)備業(yè)務(wù)處理能力、接入網(wǎng)絡(luò)及核心網(wǎng)絡(luò)的帶寬滿足業(yè)務(wù)頂峰期的需要以及不存在帶寬瓶頸等方面的設(shè)計(jì)或描述。結(jié)構(gòu)平安要求:2.應(yīng)保證網(wǎng)絡(luò)各個(gè)局部的帶寬滿足業(yè)務(wù)頂峰期需要；測(cè)評(píng)實(shí)施:應(yīng)訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)中帶寬控制情況以及帶寬分配的原那么;詢問當(dāng)前網(wǎng)絡(luò)各局部的帶寬是否滿足業(yè)務(wù)頂峰需要。如果無(wú)法滿足業(yè)務(wù)頂峰期需要，那么需迚行帶寬分配。檢查主要網(wǎng)絡(luò)設(shè)備是否進(jìn)行行帶寬分配。以CISCOIOS為例:檢查配置是否類似如下配置項(xiàng):輸入命令:showrunning-configclass-map:class-1bandwidth:percent50bandwith5000(kbps)maxthreshold64(packets)2.4.4結(jié)構(gòu)平安要求:3.應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)效勞器之間進(jìn)行路由控制建立平安的訪問路徑；條款理解:靜態(tài)路由是指由網(wǎng)絡(luò)管理員手工配置的路由信息。勱態(tài)路由是指路由器能夠自勱地建立自己的路由表。路由器之間的路由信息交換是基亍路由協(xié)議實(shí)現(xiàn)的，如OSPF路由協(xié)議是一種典型的鏈路狀態(tài)的路由協(xié)議。如果使用動(dòng)態(tài)路由協(xié)議應(yīng)配置使用路由協(xié)議認(rèn)證功能，保證網(wǎng)絡(luò)路由平安。測(cè)評(píng)實(shí)施:應(yīng)檢查邊界和主要網(wǎng)絡(luò)設(shè)備，查看是否配置路由控制策略以建立平安的訪問路徑；以CISCOIOS為例，輸入命令：showrunning-config檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)：iproute93〔靜態(tài)〕routerospf100〔動(dòng)態(tài)〕ipospfmessage-digest-key1md57XXXXXX〔認(rèn)證碼〕測(cè)試：使用tracert路由命令結(jié)構(gòu)平安要求:4.應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；測(cè)評(píng)實(shí)施:登錄網(wǎng)絡(luò)管理軟件,檢查網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，查看其與當(dāng)前運(yùn)行的實(shí)際網(wǎng)絡(luò)系統(tǒng)是否一致；如果沒有網(wǎng)絡(luò)管理軟件,使用其它的網(wǎng)絡(luò)管理軟件查看。如HPOPENVIEW、游龍網(wǎng)管等。結(jié)構(gòu)平安要求:5.應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原那么為各子網(wǎng)、網(wǎng)段分配地址段；條款理解：根據(jù)實(shí)際情況和區(qū)域平安防護(hù)要求，應(yīng)在主要網(wǎng)絡(luò)設(shè)備上進(jìn)行VLAN劃分或子網(wǎng)劃分。不同VLAN內(nèi)的報(bào)文在傳輸時(shí)是相互隔離的。如果丌同VLAN要迚行通信，那么需要通過路由器或三層交換機(jī)等三層設(shè)備實(shí)現(xiàn)。使用防火墻，或使用網(wǎng)絡(luò)隔離與交換產(chǎn)品網(wǎng)絡(luò)進(jìn)行劃分網(wǎng)段。測(cè)評(píng)實(shí)施：應(yīng)訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)段劃分情況以及劃分的原那么；詢問重要網(wǎng)段有哪些，其具體的部署位置，與其他網(wǎng)段的隔離措施有哪些；以CISCOIOS為例，輸入命令：showvlan檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)：vlan2nameinfoInte0/2vlan-membershipstatic2結(jié)構(gòu)平安要求:6.應(yīng)防止將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；條款理解為了保證信息系統(tǒng)的平安，應(yīng)防止將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，防止來自外部信息系統(tǒng)的攻擊。在重要網(wǎng)段和其它網(wǎng)段之間配置平安策略進(jìn)行行訪問控制。測(cè)評(píng)實(shí)施檢查網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，查看是否將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處，重要網(wǎng)段和其它網(wǎng)段之間是否配置平安策略進(jìn)行行訪問控制，如防火墻。結(jié)構(gòu)平安要求:7.應(yīng)按照對(duì)業(yè)務(wù)效勞的重要次序來指定帶寬分配優(yōu)先級(jí)別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要主機(jī)。測(cè)評(píng)實(shí)施：應(yīng)檢查邊界和主要網(wǎng)絡(luò)設(shè)備，查看是否配置對(duì)帶寬進(jìn)行控制的策略，這些策略是否能夠保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要業(yè)務(wù)。以CISCOIOS為例，檢查配置文件中是否存在類似如下配置項(xiàng)：policy-mapbarclassvoiceprioritypercent10classdatabandwidthpercent30classvideobandwidthpercent202.4.9訪問控制

本項(xiàng)要求包括：應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級(jí)；應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級(jí)的控制；應(yīng)在會(huì)話處于非活潑一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)那么，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶；應(yīng)限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量。2.4.10訪問控制

要求:1.應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；條款理解在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備,防御來自其他網(wǎng)絡(luò)的攻擊，保護(hù)內(nèi)部網(wǎng)絡(luò)的平安。測(cè)評(píng)實(shí)施檢查網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，查看是否在網(wǎng)絡(luò)邊界處部署了訪問控制設(shè)備，是否啟用了訪問控制功能。2.4.11訪問控制

要求:2.應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級(jí)；條款理解在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備,對(duì)進(jìn)出網(wǎng)絡(luò)的流量進(jìn)行過濾，保護(hù)內(nèi)部網(wǎng)絡(luò)的平安。配置的訪問控制列表應(yīng)有明確的源/目的地址、源/目的、協(xié)議及效勞等。測(cè)評(píng)實(shí)施〔以路由器，或防火墻〕以CISCOIOS為例，輸入命令：showipaccess-list檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)：noaccess-list111ipaccess-listextended111denyipx.x.x.055anyloginterfaceeth0/0ipaccess-group111in

訪問控制以防火墻檢查為例，應(yīng)有明確的訪問控制策略，如以下圖所示：2.4.13訪問控制

要求:3.應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級(jí)的控制；條款理解對(duì)亍一些常用的應(yīng)用層協(xié)議，能夠在訪問控制設(shè)備上實(shí)現(xiàn)應(yīng)用層協(xié)議命令級(jí)的控制和內(nèi)容檢查，從而增強(qiáng)訪問控制粒度。測(cè)評(píng)實(shí)施該測(cè)評(píng)項(xiàng)一般在防火墻、入侵防御系統(tǒng)上檢查。首先查看防火墻、入侵防御系統(tǒng)是否具有該功能，然后登錄設(shè)備查看是否啟用了相應(yīng)的功能。

訪問控制以聯(lián)想網(wǎng)御防火墻為例，如以下圖所示：2.4.15訪問控制

要求:4.應(yīng)在會(huì)話處于非活潑一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；條款理解當(dāng)惡意用戶迚行網(wǎng)絡(luò)攻擊時(shí)，有時(shí)會(huì)發(fā)起大量會(huì)話連接，建立會(huì)話后長(zhǎng)時(shí)間保持狀態(tài)連接從而占用大量網(wǎng)絡(luò)資源，最終將網(wǎng)絡(luò)資源耗盡的情況。應(yīng)在會(huì)話終止或長(zhǎng)時(shí)間無(wú)響應(yīng)的情況下終止網(wǎng)絡(luò)連接，釋放被占用網(wǎng)絡(luò)資源，保證業(yè)務(wù)可以被正常訪問。測(cè)評(píng)實(shí)施該測(cè)評(píng)項(xiàng)一般在防火墻上檢查。登錄防火墻，查看是否設(shè)置了會(huì)話連接超時(shí)，設(shè)置的超時(shí)時(shí)間是多少，判斷是否合理。2.4.16訪問控制以天融信防火墻為例，如以下圖所示：2.4.17訪問控制

要求:5.應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；條款理解可根據(jù)IP地址、端口、協(xié)議來限制應(yīng)用數(shù)據(jù)流的最大流量，還可以根據(jù)IP地址來限制網(wǎng)絡(luò)連接數(shù)，從而保證業(yè)務(wù)帶寬丌被占用，業(yè)務(wù)系統(tǒng)可以對(duì)外正常提供業(yè)務(wù)。測(cè)評(píng)實(shí)施該測(cè)評(píng)項(xiàng)一般在防火墻上檢查。訪談系統(tǒng)管理員，依據(jù)實(shí)際網(wǎng)絡(luò)狀況是否需要限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)。登錄設(shè)備查看是否設(shè)置了最大流量數(shù)和連接數(shù)，并做好記錄。

訪問控制以天融信防火墻為例，如以下圖所示：2.4.19訪問控制

要求:6.重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；條款理解地址欺騙在網(wǎng)絡(luò)平安中比較重要的一個(gè)問題,這里的地址,可以是MAC地址,也可以是IP地址。在關(guān)鍵設(shè)備上，采用IP/MAC地址綁定方式防止地址欺騙。測(cè)評(píng)實(shí)施以CISCOIOS為例，輸入showiparp檢查配置文件中應(yīng)當(dāng)存在類似如下配置項(xiàng)：arp0000.e268.9980arpa2.4.20訪問控制以聯(lián)想網(wǎng)御防火墻為例，如以下圖所示：2.4.21訪問控制

要求:7.應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)那么，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個(gè)用戶；條款理解對(duì)亍進(jìn)程撥號(hào)用戶，應(yīng)在相關(guān)設(shè)備上提供用戶認(rèn)證功能。通過配置用戶、用戶組，并結(jié)合訪問控制規(guī)那么可以實(shí)現(xiàn)對(duì)認(rèn)證成功的用戶允許訪問受控資源。測(cè)評(píng)實(shí)施登錄相關(guān)設(shè)備查看是否對(duì)撥號(hào)用戶迚行身份認(rèn)證，是否配置訪問控制規(guī)那么對(duì)認(rèn)證成功的用戶允許訪問受控資源。2.4.22訪問控制

要求:8.應(yīng)限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量。條款理解應(yīng)限制通過進(jìn)程采用撥號(hào)方式或通過其他方式連入系統(tǒng)內(nèi)部的用戶數(shù)量。測(cè)評(píng)實(shí)施詢問系統(tǒng)管理員，是否有進(jìn)程撥號(hào)用戶，采用什么方式接入系統(tǒng)部，采用何種方式迚行身份認(rèn)證，具體用戶數(shù)量有多少。

2.4.23平安審計(jì)本項(xiàng)要求包括：應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，防止受到未預(yù)期的刪除、修改或覆蓋等。第二局部等級(jí)保護(hù)測(cè)評(píng)要求

〔5〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔主機(jī)平安—操作系統(tǒng)〕

2.5.1身份鑒別本項(xiàng)要求包括：應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；當(dāng)對(duì)效勞器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)行身份鑒別。2.5.2身份鑒別要求:1.應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；條款理解用戶的身份標(biāo)識(shí)和鑒別，就是用戶向系統(tǒng)以一種平安的方式提交自己的身份證實(shí)，然后由系統(tǒng)確認(rèn)用戶的身份是否屬實(shí)的過程。2.5.3身份鑒別測(cè)評(píng)實(shí)施

Window：訪談系統(tǒng)管理員，系統(tǒng)用戶是否已設(shè)置密碼，并查看登錄過程中系統(tǒng)賬戶是否使用了密碼進(jìn)行驗(yàn)證登錄。

Linux：采用查看方式，在root權(quán)限下，使用命令more、cat或vi查看/etc/passwd和/etc/shadow文件中各用戶名狀態(tài)

身份鑒別要求:2.操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；測(cè)評(píng)實(shí)施Windows:本地平安策略->帳戶策略->密碼策略中的相關(guān)工程Linux:采用查看方式，在root權(quán)限下，使用命令more、cat或vi查看/etc/login.defs文件中相關(guān)配置參數(shù)2.5.5身份鑒別2.5.6身份鑒別

身份鑒別要求:3.應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；條款理解要求系統(tǒng)應(yīng)具有一定的登錄控制功能?？梢酝ㄟ^適當(dāng)?shù)呐渲谩皫翩i定策略〞來對(duì)用戶的登錄進(jìn)行限制。如帳戶鎖定閾值，帳戶鎖定時(shí)間等。測(cè)評(píng)實(shí)施Windows:本地平安策略->帳戶策略->帳戶鎖定策略中的相關(guān)工程Linux:采用查看方式，在root權(quán)限下，使用命令more、cat或vi查看/etc/pam.d/system-auth文件中相關(guān)配置參數(shù)2.5.8身份鑒別2.5.9身份鑒別

身份鑒別要求:4.當(dāng)對(duì)效勞器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；條款理解為方便管理員進(jìn)行管理操作，眾多效勞器采用了網(wǎng)絡(luò)登錄的方式進(jìn)行遠(yuǎn)程管理操作，例如Linux可以使用telnet登錄，Windows使用遠(yuǎn)程終端效勞。根本要求規(guī)定了這些傳輸?shù)臄?shù)據(jù)需要進(jìn)行加密處理過，目的是為了保障帳戶與口令的平安。測(cè)評(píng)實(shí)施Windows:確認(rèn)操作系統(tǒng)版本確認(rèn)終端效勞器使用了SSL加密確認(rèn)RDP客戶端使用SSL加密2.5.11身份鑒別Linux:在root權(quán)限下，使用命令more、cat或vi查看是否運(yùn)行了sshd效勞：service–status-all|grepsshd假設(shè)未使用ssh方式進(jìn)行遠(yuǎn)程管理，那么查看是否使用了telnet方式進(jìn)行遠(yuǎn)程管理：service–status-all|greprunning

身份鑒別要求:5.應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。條款理解對(duì)于操作系統(tǒng)來說，用戶管理是操作系統(tǒng)應(yīng)具備的根本功能。用戶管理由創(chuàng)立用戶和組以及定義它們的屬性構(gòu)成。用戶的一個(gè)主要屬性是如何對(duì)他們進(jìn)行認(rèn)證。用戶是系統(tǒng)的主要代理。其屬性控制他們的訪問權(quán)、環(huán)境、如何對(duì)他們進(jìn)行認(rèn)證以及如何、何時(shí)、在哪里可以訪問他們的帳戶。因此，用戶標(biāo)識(shí)的唯一性至關(guān)重要。如果系統(tǒng)允許用戶名相同，而UID不同，其唯一性標(biāo)識(shí)為UID，如果系統(tǒng)允許UID相同，而用戶名不同，其唯一性標(biāo)識(shí)為用戶名。2.5.13身份鑒別測(cè)評(píng)實(shí)施Windows:“管理工具〞->“計(jì)算機(jī)管理〞->“本地用戶和組〞中的“用戶〞，檢查其中的用戶名是否出現(xiàn)重復(fù)。Linux:采用查看方式，在root權(quán)限下，使用命令more、cat或vi查看/etc/passwd文件中用戶名信息

身份鑒別要求:6.應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)行身份鑒別。條款理解對(duì)于三級(jí)以上的操作系統(tǒng)應(yīng)使用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別，如密碼和令牌的組合使用等。測(cè)評(píng)實(shí)施訪談系統(tǒng)管理員，詢問系統(tǒng)除用戶名口令外有無(wú)其他身份鑒別方法，如有沒有令牌等。

訪問控制本項(xiàng)要求包括：應(yīng)啟用訪問控制功能，依據(jù)平安策略控制用戶對(duì)資源的訪問；應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限別離，僅授予管理用戶所需的最小權(quán)限；應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限別離；應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；應(yīng)及時(shí)刪除多余的、過期的帳戶，防止共享帳戶的存在。應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記；應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作.

訪問控制要求:1.應(yīng)啟用訪問控制功能，依據(jù)平安策略控制用戶對(duì)資源的訪問；

訪問控制測(cè)評(píng)實(shí)施

訪問控制

訪問控制要求:2.應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限別離，僅授予管理用戶所需的最小權(quán)限；條款理解根據(jù)管理用戶的角色對(duì)權(quán)限作出標(biāo)準(zhǔn)細(xì)致的劃分，有利于各崗位細(xì)致協(xié)調(diào)的工作。僅授予管理用戶所需的最小權(quán)限，防止出現(xiàn)權(quán)限的漏洞使一些高級(jí)用戶擁有過大的權(quán)限。測(cè)評(píng)實(shí)施記錄系統(tǒng)是否有完整的平安策略、系統(tǒng)主要有哪些角色、每個(gè)角色的權(quán)限是否相互制約、每個(gè)系統(tǒng)用戶是否被賦予相應(yīng)的角色。

訪問控制

訪問控制要求:3.應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限別離；條款理解操作系統(tǒng)特權(quán)用戶可能擁有以下一些權(quán)限：安裝和配置系統(tǒng)的硬件和軟件、建立和管理用戶帳戶、升級(jí)軟件、備份和恢復(fù)等業(yè)務(wù)，從而保證操作系統(tǒng)的可用性、完整性和平安性。數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶那么更多是對(duì)數(shù)據(jù)庫(kù)的安裝、配置、升級(jí)和遷移以及數(shù)據(jù)庫(kù)用戶的管理，從而保證數(shù)據(jù)庫(kù)系統(tǒng)的可用性、完整性和平安性。將操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限別離，能夠防止一些特權(quán)用戶擁有過大的權(quán)限以及減少一些人為的誤操作，做到了職責(zé)明確。測(cè)評(píng)實(shí)施結(jié)合系統(tǒng)管理員的組成情況，判定是否實(shí)現(xiàn)了該項(xiàng)要求

訪問控制要求:4.應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；條款理解對(duì)于系統(tǒng)默認(rèn)的用戶名，由于它們的某些權(quán)限與實(shí)際系統(tǒng)的要求可能存在差異，從而造成平安隱患，因此這些默認(rèn)用戶名應(yīng)禁用。對(duì)于匿名用戶的訪問原那么上是禁止的，查看效勞器操作系統(tǒng)，確認(rèn)匿名/默認(rèn)用戶的訪問權(quán)限已被禁用或者嚴(yán)格限制。依據(jù)效勞器操作系統(tǒng)訪問控制的平安策略，以未授權(quán)用戶身份/角色測(cè)試訪問客體，是否不允許進(jìn)行訪問。測(cè)評(píng)實(shí)施查看默認(rèn)用戶名是否重命名查看guest等默認(rèn)賬戶是否已禁用

訪問控制要求:5.應(yīng)及時(shí)刪除多余的、過期的帳戶，防止共享帳戶的存在。條款理解對(duì)于系統(tǒng)默認(rèn)的用戶名，由于它們的某些權(quán)限與實(shí)際系統(tǒng)的要求可能存在差異，從而造成平安隱患，因此這些默認(rèn)用戶名應(yīng)禁用。對(duì)于匿名用戶的訪問原那么上是禁止的，查看效勞器操作系統(tǒng)，確認(rèn)匿名/默認(rèn)用戶的訪問權(quán)限已被禁用或者嚴(yán)格限制。依據(jù)效勞器操作系統(tǒng)訪問控制的平安策略，以未授權(quán)用戶身份/角色測(cè)試訪問客體，是否不允許進(jìn)行訪問。測(cè)評(píng)實(shí)施查看是否存在多余的、過期的帳戶，防止共享帳戶

訪問控制要求:6.應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記；要求:7.應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作.測(cè)評(píng)實(shí)施詢問管理員是否對(duì)重要信息資源設(shè)置敏感標(biāo)記詢問或查看目前的敏感標(biāo)記策略的相關(guān)設(shè)置，如：如何劃分敏感標(biāo)記分類，如何設(shè)定訪問權(quán)限等

剩余信息保護(hù)本項(xiàng)要求包括：應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全去除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中；應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全去除。

剩余信息保護(hù)要求:1.應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全去除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中；條款理解剩余信息保護(hù)是指操作系統(tǒng)用戶的鑒別信息存儲(chǔ)空間，被釋放或再分配給其他用戶前是否得到完全去除。測(cè)評(píng)實(shí)施翻開“本地平安策略〞->本地策略中的平安選項(xiàng)查看是否啟用“不顯示上次登錄用戶名〞

剩余信息保護(hù)要求:2.應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全去除。條款理解由于主存與輔存價(jià)格和性能的差異，現(xiàn)代操作系統(tǒng)普遍采用輔存作為緩存，對(duì)于緩存使用的平安問題也尤其重要。測(cè)評(píng)實(shí)施翻開“本地平安策略〞->本地策略中的平安選項(xiàng)查看是否選中“關(guān)機(jī)前去除虛擬內(nèi)存頁(yè)面〞翻開“本地平安策略〞->“帳戶策略〞中的密碼策略查看是否選中“用可復(fù)原的加密來存儲(chǔ)密碼〞

剩余信息保護(hù)第二局部等級(jí)保護(hù)測(cè)評(píng)要求

〔6〕等級(jí)保護(hù)測(cè)評(píng)要求局部解讀

〔應(yīng)用平安〕

應(yīng)用平安的形勢(shì)〔一〕開發(fā)商和用戶對(duì)應(yīng)用平安重視程度不夠開發(fā)商平安意識(shí)普遍淡薄，開發(fā)中留有平安隱患用戶普遍對(duì)應(yīng)用平安不重視，系統(tǒng)上線前把關(guān)不嚴(yán)應(yīng)用系統(tǒng)存在的漏洞較多121NIST的報(bào)告顯示，超過90%的平安漏洞是應(yīng)用層漏洞，它已經(jīng)遠(yuǎn)遠(yuǎn)超過網(wǎng)絡(luò)、操作系統(tǒng)和瀏覽器的漏洞數(shù)量，這個(gè)比例還有上升的趨勢(shì)。應(yīng)用平安的形勢(shì)〔二〕針對(duì)應(yīng)用系統(tǒng)的攻擊手段越來越多，面臨的威脅在不斷增大針對(duì)口令的攻擊，如口令破解等非授權(quán)獲取敏感信息，如信息竊聽、系統(tǒng)管理員非授權(quán)獲取敏感業(yè)務(wù)數(shù)據(jù)〔如用戶的密碼等信息〕等針對(duì)WEB應(yīng)用的攻擊，如跨站腳本攻擊、SQL注入、緩沖區(qū)溢出、拒絕效勞攻擊、改變網(wǎng)頁(yè)內(nèi)容等122典型網(wǎng)絡(luò)攻擊例如黑客發(fā)現(xiàn)某web應(yīng)用程序登陸界面，單擊login嘗試登陸系統(tǒng)提示需要輸入有效用戶名典型網(wǎng)絡(luò)攻擊例如黑客嘗試猜測(cè)有效用戶名系統(tǒng)提示需要輸入正確口令典型網(wǎng)絡(luò)攻擊例如黑客采用單引號(hào)‘作為口令嘗試登陸后臺(tái)數(shù)據(jù)庫(kù)報(bào)錯(cuò)，通過分析可知數(shù)據(jù)庫(kù)查詢命令為：SQL查詢=SELECTUsernameFROMUsersWHEREUsername=‘donald’ANDPassword=‘‘’典型網(wǎng)絡(luò)攻擊例如系統(tǒng)反響不存在名為dan的用戶，標(biāo)明后臺(tái)查詢語(yǔ)句為SQL查詢=“SELECTUsernameFROMUsersWHEREUsername=‘dan’––后面所有的字符被作為注釋對(duì)待口令有效性驗(yàn)證被旁路黑客嘗試使用dan’—作為用戶名登陸

典型網(wǎng)絡(luò)攻擊例如黑客嘗試使用admin’—作為用戶名登陸即猜測(cè)存在名為admin的管理員用戶成功登陸系統(tǒng)，黑客可以隨意讀取郵件、下載文件等操作。應(yīng)用系統(tǒng)的指標(biāo)選取在《根本要求》中的位置“應(yīng)用平安〞的所有指標(biāo)，對(duì)于應(yīng)用平臺(tái)軟件等那么從中選擇局部指標(biāo)；“數(shù)據(jù)平安及備份恢復(fù)〞中的局部指標(biāo)，對(duì)于三級(jí)信息系統(tǒng)，在應(yīng)用平安中，主要檢查“數(shù)據(jù)完整性〞、“數(shù)據(jù)保密性〞和“備份和恢復(fù)〞第一和第二項(xiàng)；應(yīng)結(jié)合管理的要求，如“應(yīng)根據(jù)開發(fā)需求檢測(cè)軟件質(zhì)量〞、“應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門〞，加強(qiáng)應(yīng)用系統(tǒng)的源代碼平安性。128129應(yīng)用測(cè)評(píng)的特點(diǎn)平安功能和配置檢查并重和數(shù)據(jù)庫(kù)、操作系統(tǒng)等成熟產(chǎn)品不同，應(yīng)用系統(tǒng)現(xiàn)場(chǎng)測(cè)評(píng)除檢查平安配置外，還需驗(yàn)證相關(guān)平安功能是否正確應(yīng)用測(cè)評(píng)中不確定因素較多業(yè)務(wù)和數(shù)據(jù)流程不同，需根據(jù)業(yè)務(wù)和數(shù)據(jù)特點(diǎn)確定范圍應(yīng)用系統(tǒng)平安漏洞發(fā)現(xiàn)困難，很難消除代碼級(jí)的平安隱患測(cè)評(píng)范圍較廣，分析較為困難應(yīng)用系統(tǒng)測(cè)評(píng)包括應(yīng)用平臺(tái)〔如IIS等〕的測(cè)評(píng)，且和其他層面關(guān)聯(lián)較大應(yīng)用測(cè)評(píng)的方法〔1〕通過訪談，了解平安措施的實(shí)施情況130和其他成熟產(chǎn)品不同，應(yīng)用系統(tǒng)只有在充分了解其部署情況后，才能明確測(cè)評(píng)的范圍和對(duì)象，分析其系統(tǒng)的脆弱性和面臨的主要平安威脅，有針對(duì)性的進(jìn)行檢查和測(cè)試。--右圖是一個(gè)支付系統(tǒng)的流程示意圖，通過網(wǎng)頁(yè)和可以完成沖值、查詢等業(yè)務(wù)。應(yīng)用測(cè)評(píng)的方法〔2〕通過檢查，查看其是否進(jìn)行了正確的配置有的平安功能〔如口令長(zhǎng)度限制、錯(cuò)誤登錄嘗試次數(shù)等〕需要在應(yīng)用系統(tǒng)上進(jìn)行配置，那么查看其是否進(jìn)行了正確的配置，與平安策略是否一致。無(wú)需進(jìn)行配置的，那么應(yīng)查看其部署情況是否與訪談一致。如果條件允許，需進(jìn)行測(cè)試可通過測(cè)試驗(yàn)證平安功能是否正確，配置是否生效。代碼級(jí)的平安漏洞在現(xiàn)場(chǎng)查驗(yàn)比較困難，那么可進(jìn)行漏洞掃描和滲透測(cè)試。131第三局部等級(jí)保護(hù)測(cè)評(píng)工程管理第三局部等級(jí)保護(hù)測(cè)評(píng)工程管理

〔1〕等級(jí)保護(hù)測(cè)評(píng)過程分析

〔2〕等級(jí)保護(hù)測(cè)評(píng)工作準(zhǔn)備

〔3〕等級(jí)保護(hù)測(cè)評(píng)案例分析

〔4〕等級(jí)保護(hù)測(cè)評(píng)中常見問題

第三局部等級(jí)保護(hù)測(cè)評(píng)工程管理

〔3〕等級(jí)保護(hù)測(cè)評(píng)案例分析

等級(jí)保護(hù)被測(cè)評(píng)系統(tǒng)說明(1)某公司〔簡(jiǎn)稱“AAA〞〕用電信息系統(tǒng)承載著該公司的電力營(yíng)銷業(yè)務(wù)，由數(shù)據(jù)存儲(chǔ)、業(yè)務(wù)處理、接入、對(duì)外效勞和外聯(lián)等五個(gè)功能區(qū)域組成，是一個(gè)平安等級(jí)為三級(jí)的信息系統(tǒng)。(2)現(xiàn)場(chǎng)測(cè)評(píng)時(shí)間為X年X月X日至X年X月X日，現(xiàn)場(chǎng)測(cè)評(píng)小組分為管理組〔2人〕和技術(shù)組〔4人〕兩組，分別完成平安管理和平安技術(shù)方面的測(cè)評(píng)。等級(jí)保護(hù)被測(cè)評(píng)系統(tǒng)說明(2)(3)被測(cè)系統(tǒng)為承載著AAA公司電力營(yíng)銷業(yè)務(wù)，是AAA公司的重要信息系統(tǒng)，其平安等級(jí)定為三級(jí)〔S3A2G3〕。(4)被測(cè)系統(tǒng)由數(shù)據(jù)存儲(chǔ)、業(yè)務(wù)處理、接入、對(duì)外效勞和外聯(lián)等五個(gè)功能區(qū)域組成.對(duì)外有可以為大客戶單位、internet網(wǎng)、撥號(hào)用戶等提供電費(fèi)數(shù)據(jù)查詢、交納、業(yè)務(wù)擴(kuò)充、投訴等效勞的功能模塊。數(shù)據(jù)存儲(chǔ)功能區(qū)位于屏蔽機(jī)房，其它功能區(qū)域位于中心機(jī)房。測(cè)評(píng)對(duì)象根據(jù)用電信息系統(tǒng)的實(shí)際情況，分別確定物理平安、網(wǎng)絡(luò)平安、主機(jī)系統(tǒng)平安、應(yīng)用平安等各層面的測(cè)評(píng)對(duì)象。物理方面主要是測(cè)評(píng)屏蔽機(jī)房和主機(jī)房。網(wǎng)絡(luò)方面主要測(cè)評(píng)的設(shè)備有：路由器、交換機(jī)、防火墻、IDS、外聯(lián)檢測(cè)、防病毒等。測(cè)評(píng)對(duì)象〔2〕主機(jī)方面主要測(cè)評(píng)的主機(jī)效勞器〔包括數(shù)據(jù)庫(kù)效勞器〕。測(cè)評(píng)對(duì)象〔3〕應(yīng)用方面主要測(cè)評(píng)的應(yīng)用系統(tǒng)。測(cè)評(píng)對(duì)象〔4〕平安管理，主要測(cè)評(píng)對(duì)象為與信息平安管理有關(guān)的策略、制度、操作規(guī)程、運(yùn)行記錄、管理人員、技術(shù)人員和相關(guān)設(shè)備設(shè)施等。測(cè)評(píng)指標(biāo)選取被測(cè)系統(tǒng)的定級(jí)結(jié)果為：平安保護(hù)等級(jí)為3級(jí)，業(yè)務(wù)信息平安等級(jí)為S3，系統(tǒng)效勞平安等級(jí)為A2；那么該系統(tǒng)的測(cè)評(píng)指標(biāo)應(yīng)包括GB/T22239-2008“技術(shù)要求〞中的3級(jí)通用指標(biāo)類〔G3〕，3級(jí)業(yè)務(wù)信息平安指標(biāo)類〔S3〕，2級(jí)系統(tǒng)效勞平安指標(biāo)類〔A2〕，以及第3級(jí)“管理要求〞中的所有指標(biāo)類。測(cè)評(píng)工具和接入點(diǎn)根據(jù)3級(jí)信息系統(tǒng)的測(cè)評(píng)強(qiáng)度要求，在測(cè)試的廣度上，應(yīng)根本覆蓋不同類型的機(jī)制，在數(shù)量、范圍上可以抽樣；在測(cè)試的深度上，應(yīng)執(zhí)行功能測(cè)試和滲透測(cè)試，功能測(cè)試可能涉及機(jī)制的功能標(biāo)準(zhǔn)、高級(jí)設(shè)計(jì)和操作規(guī)程等文檔，滲透測(cè)試可能涉及機(jī)制的所有可用文檔，并試圖智取進(jìn)入信息系統(tǒng)等。因此，對(duì)其進(jìn)行