1、信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)測評要求Information security technology-Testing and evaluation requirement for classified protection of information system PAGE * ROMAN II目次 HYPERLINK l _TOC_250006 前言III HYPERLINK l _TOC_250005 引言IV范圍1規(guī)范性引用文件1術(shù)語和定義1 HYPERLINK l _TOC_250004 總則1測評原則1測評內(nèi)容1測評力度2結(jié)果重用2使用方法2 HYPERLINK l _TOC_2

2、50003 第一級信息系統(tǒng)單元測評3安全技術(shù)測評3物理安全3網(wǎng)絡(luò)安全5主機(jī)安全6應(yīng)用安全7數(shù)據(jù)安全及備份恢復(fù)8安全管理測評9安全管理制度9安全管理機(jī)構(gòu)9人員安全管理10系統(tǒng)建設(shè)管理12系統(tǒng)運(yùn)維管理14 HYPERLINK l _TOC_250002 第二級信息系統(tǒng)單元測評17安全技術(shù)測評17物理安全17網(wǎng)絡(luò)安全20主機(jī)安全22應(yīng)用安全24數(shù)據(jù)安全及備份恢復(fù)27安全管理測評28安全管理制度28安全管理機(jī)構(gòu)29人員安全管理30系統(tǒng)建設(shè)管理32系統(tǒng)運(yùn)維管理35 HYPERLINK l _TOC_250001 第三級信息系統(tǒng)單元測評39安全技術(shù)測評39物理安全39網(wǎng)絡(luò)安全44主機(jī)安全47應(yīng)用安全49數(shù)

3、據(jù)安全及備份恢復(fù)53安全管理測評55安全管理制度55安全管理機(jī)構(gòu)56人員安全管理59系統(tǒng)建設(shè)管理61系統(tǒng)運(yùn)維管理65 HYPERLINK l _TOC_250000 第四級信息系統(tǒng)單元測評71安全技術(shù)測評71物理安全71網(wǎng)絡(luò)安全76主機(jī)安全79應(yīng)用安全82數(shù)據(jù)安全及備份恢復(fù)87安全管理測評89安全管理制度89安全管理機(jī)構(gòu)90人員安全管理93系統(tǒng)建設(shè)管理95系統(tǒng)運(yùn)維管理99第五級信息系統(tǒng)單元測評106信息系統(tǒng)整體測評10610.1 概述106安全控制點(diǎn)間測評106層面間測評106區(qū)域間測評107系統(tǒng)結(jié)構(gòu)安全測評107等級測評結(jié)論107各層面的測評結(jié)論107整體保護(hù)能力的測評結(jié)論107附錄 A（資

4、料性附錄）測評力度109測評方法的測評力度描述109信息系統(tǒng)測評力度109 PAGE * ROMAN IV引言依據(jù)中華人民共和國計算機(jī)信息系統(tǒng)安全保護(hù)條例（國務(wù)院 147 號令）、國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見（中辦發(fā)200327 號）、關(guān)于信息系統(tǒng)安全等級保護(hù)工作的實(shí)施意見（公通字200466 號）和信息安全等級保護(hù)管理辦法（公通字200743 號）等有關(guān)文件要求，制定本標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)是信息安全等級保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。與本標(biāo)準(zhǔn)相關(guān)的系列標(biāo)準(zhǔn)包括：GB/T 22240-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)定級指南；GB/T 22239-2008 信息安全技術(shù) 信息系統(tǒng)

5、安全等級保護(hù)基本要求；GB/T AAAA-AAAA 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)實(shí)施指南。一般來說，信息系統(tǒng)需要靠多種安全措施進(jìn)行綜合防范以降低其面臨的安全風(fēng)險。本標(biāo)準(zhǔn)針對信息系統(tǒng)中的單項安全措施和多個安全措施的綜合防范，對應(yīng)地提出單元測評和整體測評的技術(shù)要求，用以指導(dǎo)測評人員從信息安全等級保護(hù)的角度對信息系統(tǒng)進(jìn)行測試評估。單元測評對安全技術(shù)和安全管理上各個層面的安全控制點(diǎn)提出不同安全保護(hù)等級的測評要求。整體測評根據(jù)安全控制點(diǎn)間、層面間和區(qū)域間相互關(guān)聯(lián)關(guān)系以及信息系統(tǒng)整體結(jié)構(gòu)對信息系統(tǒng)整體安全保護(hù)能力的影響提出測評要求。本標(biāo)準(zhǔn)給出了等級測評結(jié)論中應(yīng)包括的主要內(nèi)容，未規(guī)定給出測評結(jié)論的具體

6、方法和量化指標(biāo)。如果沒有特殊指定，本標(biāo)準(zhǔn)中的信息系統(tǒng)主要指計算機(jī)信息系統(tǒng)。在本標(biāo)準(zhǔn)文本中，黑體字的測評要求表示該要求出現(xiàn)在當(dāng)前等級而在低于當(dāng)前等級信息系統(tǒng)的測評要求中沒有出現(xiàn)過。信息系統(tǒng)安全等級保護(hù)測評要求范圍本標(biāo)準(zhǔn)規(guī)定了對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行安全測試評估的要求，包括對第一級信息系統(tǒng)、第二級信息系統(tǒng)、第三級信息系統(tǒng)和第四級信息系統(tǒng)進(jìn)行安全測試評估的單元測評要求和信息系統(tǒng)整體測評要求。本標(biāo)準(zhǔn)略去對第五級信息系統(tǒng)進(jìn)行單元測評的具體內(nèi)容要求。本標(biāo)準(zhǔn)適用于信息安全測評服務(wù)機(jī)構(gòu)、信息系統(tǒng)的主管部門及運(yùn)營使用單位對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行的安全測試評估。信息安全監(jiān)管職能部門依法進(jìn)行的信息安全等

7、級保護(hù)監(jiān)督檢查可以參考使用。規(guī)范性引用文件下列文件中的條款通過本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否可使用這些文件的最新版本。不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。GB/T 5271.8信息技術(shù) 詞匯 第 8 部分：安全GB/T 22239-2008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求術(shù)語和定義GB/T 5271.8 和 GB/T 22239-2008 所確立的以及下列術(shù)語和定義適用于本標(biāo)準(zhǔn)。測評力度testing and evaluation intensity

8、測評工作實(shí)際投入力量的表征，可以由測評廣度和深度來描述。總則測評原則客觀性和公正性原則測評工作雖然不能完全擺脫個人主張或判斷，但測評人員應(yīng)當(dāng)在沒有偏見和最小主觀判斷情形下， 按照測評雙方相互認(rèn)可的測評方案，基于明確定義的測評方法和過程，實(shí)施測評活動。經(jīng)濟(jì)性和可重用性原則基于測評成本和工作復(fù)雜性考慮，鼓勵測評工作重用以前的測評結(jié)果，包括商業(yè)安全產(chǎn)品測評結(jié)果和信息系統(tǒng)先前的安全測評結(jié)果。所有重用的結(jié)果，都應(yīng)基于這些結(jié)果還能適用于目前的系統(tǒng)，能反映目前系統(tǒng)的安全狀態(tài)。可重復(fù)性和可再現(xiàn)性原則無論誰執(zhí)行測評，依照同樣的要求，使用同樣的方法，對每個測評實(shí)施過程的重復(fù)執(zhí)行都應(yīng)該得到同樣的測評結(jié)果?？稍佻F(xiàn)性體

9、現(xiàn)在不同測評者執(zhí)行相同測評的結(jié)果的一致性?？芍貜?fù)性體現(xiàn)在同一測評者重復(fù)執(zhí)行相同測評的結(jié)果的一致性。符合性原則測評所產(chǎn)生的結(jié)果應(yīng)當(dāng)是在對測評指標(biāo)的正確理解下所取得的良好的判斷。測評實(shí)施過程應(yīng)當(dāng)使用正確的方法以確保其滿足了測評指標(biāo)的要求。測評內(nèi)容信息系統(tǒng)安全等級測評主要包括單元測評和整體測評兩部分。單元測評是等級測評工作的基本活動，每個單元測評包括測評指標(biāo)、測評實(shí)施和結(jié)果判定三部分。其中，測評指標(biāo)來源于 GB/T 22239-2008 中的第五級目錄中的各要求項（詳見 4.5 節(jié)說明），測評實(shí)施描述測評過程中使用的具體測評方法、涉及的測評對象和具體測評取證過程的要求，結(jié)果判定描述測評人員執(zhí)行測評實(shí)

10、施并產(chǎn)生各種測評數(shù)據(jù)后，如何依據(jù)這些測評數(shù)據(jù)來判定被測系統(tǒng)是否滿足測評指標(biāo)要求的原則和方法。整體測評是在單元測評的基礎(chǔ)上，通過進(jìn)一步分析信息系統(tǒng)的整體安全性，對信息系統(tǒng)實(shí)施的綜合安全測評。整體測評主要包括安全控制點(diǎn)間、層面間和區(qū)域間相互作用的安全測評以及系統(tǒng)結(jié)構(gòu)的安全測評等。整體測評需要與信息系統(tǒng)的實(shí)際情況相結(jié)合，因此全面地給出整體測評要求的全部內(nèi)容、具體實(shí)施過程和明確的結(jié)果判定方法是非常困難的，測評人員應(yīng)根據(jù)被測系統(tǒng)的實(shí)際情況，結(jié)合本標(biāo)準(zhǔn)的要求，實(shí)施整體測評。測評方法指測評人員在測評實(shí)施過程中所使用的方法，主要包括訪談、檢查和測試三種測評方法。其中，訪談是指測評人員通過引導(dǎo)信息系統(tǒng)相關(guān)人員進(jìn)

11、行有目的的（有針對性的）交流以幫助測評人員理解、分析或取得證據(jù)的過程，檢查是指測評人員通過對測評對象（如管理制度、操作記錄、安全配置等）進(jìn)行觀察、查驗、分析以幫助測評人員理解、分析或取得證據(jù)的過程，測試是測評人員使用預(yù)定的方法/工具使測評對象產(chǎn)生特定的行為，通過查看和分析結(jié)果以幫助測評人員獲取證據(jù)的過程。測評對象指測評實(shí)施的對象，即測評過程中涉及到的信息系統(tǒng)的相關(guān)人員、制度文檔、各類設(shè)備及其安全配置等。測評力度測評力度是在測評過程中實(shí)施測評工作的力度，反映測評的廣度和深度，體現(xiàn)為測評工作的實(shí)際投入程度。測評廣度越大，測評實(shí)施的范圍越大，測評實(shí)施包含的測評對象就越多；測評深度越深，越需要在細(xì)節(jié)上

12、展開，測評就越嚴(yán)格，因此就越需要更多的投入。投入越多，測評力度就越強(qiáng)，測評就越有保證。測評的廣度和深度落實(shí)到訪談、檢查和測試三種不同的測評方法上，能體現(xiàn)出測評實(shí)施過程中訪談、檢查和測試的投入程度的不同。信息安全等級保護(hù)要求不同安全保護(hù)等級的信息系統(tǒng)應(yīng)具有不同的安全保護(hù)能力，滿足相應(yīng)等級的保護(hù)要求。為了檢驗不同安全保護(hù)等級的信息系統(tǒng)是否具有相應(yīng)等級的安全保護(hù)能力，是否滿足相應(yīng)等級的保護(hù)要求，需要實(shí)施與其安全保護(hù)等級相適應(yīng)的測評，付出相應(yīng)的工作投入，達(dá)到應(yīng)有的測評力度。第一級到第四級信息系統(tǒng)的測評力度反映在訪談、檢查和測試等三種基本測評方法的測評廣度和深度 上，落實(shí)在不同單元測評中具體的測評實(shí)施上

13、。不同安全保護(hù)等級的信息系統(tǒng)在總體上所對應(yīng)的測評力度在附錄 A 中描述。結(jié)果重用在信息系統(tǒng)中，有些安全控制可以不依賴于其所在的地點(diǎn)便可測評，即在其部署到運(yùn)行環(huán)境之前便可以接受安全測評。一些商用安全產(chǎn)品的測評就屬于這種安全測評。如果一個信息系統(tǒng)部署和安裝在多個地點(diǎn)，且系統(tǒng)具有一組共同的軟件、硬件、固件等組成部分，對這些安全控制的測評可以集中在一個集成測試環(huán)境中實(shí)施，如果沒有這種環(huán)境，則可以在其中一個預(yù)定的運(yùn)行地點(diǎn)實(shí)施，在其他運(yùn)行地點(diǎn)的安全測評便可重用此測評結(jié)果。在信息系統(tǒng)所有安全控制中，有一些安全控制與它所處于的運(yùn)行環(huán)境緊密相關(guān)（如與人員或物理有關(guān)的某些安全控制），對其測評必須在分發(fā)到相應(yīng)運(yùn)行環(huán)

14、境中才能進(jìn)行。如果多個信息系統(tǒng)處在地域臨近的封閉場地內(nèi)，系統(tǒng)所屬的機(jī)構(gòu)在同一個領(lǐng)導(dǎo)層管理之下，對這些安全控制在多個信息系統(tǒng)中進(jìn)行重復(fù)測評，可能是對有效資源的一種浪費(fèi)。因此，可以在一個選定的信息系統(tǒng)中進(jìn)行測評，其他相關(guān)信息系統(tǒng)可以直接重用這些測評結(jié)果。使用方法本標(biāo)準(zhǔn)第 5 章到第 8 章分別描述了第一級信息系統(tǒng)、第二級信息系統(tǒng)、第三級信息系統(tǒng)和第四級信息系統(tǒng)所有單元測評的內(nèi)容，在章節(jié)上分別對應(yīng)國標(biāo) GB/T 22239-2008 的第 5 章到第 8 章。在國標(biāo) GB/T22239-2008 第 5 章到第 8 章中，各章的二級目錄都分為安全技術(shù)和安全管理兩部分，三級目錄從安全層面（如物理安全、

15、網(wǎng)絡(luò)安全、主機(jī)安全等）進(jìn)行劃分和描述，四級目錄按照安全控制點(diǎn)進(jìn)行劃分和描述（如主機(jī)安全層面下分為身份鑒別、訪問控制、安全審計等），第五級目錄是每一個安全控制點(diǎn)下面包括的具體安全要求項（以下簡稱“要求項”，這些要求項在本標(biāo)準(zhǔn)中被稱為“測評指標(biāo)”）。本標(biāo)準(zhǔn)中針對每一個安全控制點(diǎn)的測評就構(gòu)成一個單元測評，單元測評中的每一個具體測評實(shí)施要求項（以下簡稱“測評要求項”）是與安全控制點(diǎn)下面所包括的要求項（測評指標(biāo)）相對應(yīng)的。在對每一要求項進(jìn)行測評時，可能用到訪談、檢查和測試三種測試方法，也可能用到其中一種或兩種，為了描述簡潔，在測評要求項中，沒有針對每一個要求項分別進(jìn)行描述，而是對具有相同測評方法的多個要

16、求項進(jìn)行了合并描述，但測評實(shí)施的內(nèi)容完全覆蓋了 GB/T 22239-2008 中所有要求項的測評要求,使用時，應(yīng)當(dāng)從單元測評的測評實(shí)施中抽取出對于 GB/T 22239-2008 中每一個要求項的測評要求，并按照這些測評要求開發(fā)測評指導(dǎo)書，以規(guī)范和指導(dǎo)安全等級測評活動。測評過程中，測評人員應(yīng)注意對測評記錄和證據(jù)的采集、處理、存儲和銷毀，保護(hù)其在測評期間免遭破壞、更改或遺失，并保守秘密。測評的最終輸出是測評報告，測評報告應(yīng)結(jié)合第 11 章的要求給出等級測評結(jié)論。第一級信息系統(tǒng)單元測評安全技術(shù)測評物理安全物理訪問控制測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安

17、全負(fù)責(zé)人，了解部署了哪些控制人員進(jìn)出機(jī)房的保護(hù)措施；應(yīng)檢查是否有專人負(fù)責(zé)機(jī)房的出入控制且有進(jìn)入機(jī)房人員的登記記錄。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防盜竊和防破壞測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，了解采取了哪些防止設(shè)備、介質(zhì)等丟失的保護(hù)措施；應(yīng)檢查關(guān)鍵設(shè)備是否放置在機(jī)房內(nèi)或其它不易被盜竊和被破壞的可控范圍內(nèi)；應(yīng)檢查關(guān)鍵設(shè)備或設(shè)備的主要部件的固定情況，查看其是否不易被移動或被搬走，是否設(shè)置明顯的不易除去的標(biāo)記。結(jié)果判定如果.2 b）和c）均為肯定，則信息系統(tǒng)符合

18、本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防雷擊測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房建筑是否設(shè)置了避雷裝置，是否通過驗收或國家有關(guān)部門的技術(shù)檢測；應(yīng)檢查機(jī)房建筑是否有避雷裝置。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防火測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否設(shè)置了滅火設(shè)備，是否制定了有關(guān)機(jī)房消防的管理制度和消防預(yù)案，是否進(jìn)行了消防培訓(xùn)；應(yīng)檢查機(jī)房是否設(shè)置了滅火設(shè)備，滅火

19、設(shè)備擺放位置是否合理，其有效期是否合格。結(jié)果判定如果.2 a)和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防水和防潮測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否部署了防水防潮措施，是否沒有出現(xiàn)過漏水和返潮事件； 如果機(jī)房內(nèi)有上/下水管安裝，則查看是否采取必要的保護(hù)措施；應(yīng)檢查穿過主機(jī)房墻壁或樓板的管道是否采取必要的防滲防漏等防水保護(hù)措施；應(yīng)檢查機(jī)房的窗戶、屋頂和墻壁等是否未出現(xiàn)過漏水、滲透和返潮現(xiàn)象，機(jī)房及其環(huán)境是否不存在明顯的漏水和返潮的威脅；如果出現(xiàn)漏水、滲透和返潮現(xiàn)象是否能夠

20、及時修復(fù)解決。結(jié)果判定如果.2 b）和c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。溫濕度控制測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否配備了空調(diào)等溫濕度控制設(shè)施，保證溫濕度能夠滿足計算機(jī)設(shè)備運(yùn)行的要求，是否在機(jī)房管理制度中規(guī)定了溫濕度控制的要求；應(yīng)檢查空調(diào)設(shè)備是否能夠正常運(yùn)行，檢查機(jī)房溫濕度是否滿足計算站場地的技術(shù)條件要求。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。電力供應(yīng)測評指標(biāo)見 GB/T 22239-20

21、08 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問計算機(jī)系統(tǒng)供電線路上是否設(shè)置了穩(wěn)壓器和過電壓防護(hù)設(shè)備；應(yīng)檢查機(jī)房，查看計算機(jī)系統(tǒng)供電線路上是否設(shè)置了穩(wěn)壓器和過電壓防護(hù)設(shè)備，這些設(shè)備是否正常運(yùn)行。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。網(wǎng)絡(luò)安全結(jié)構(gòu)安全測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談網(wǎng)絡(luò)管理員，詢問關(guān)鍵網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力是否滿足基本業(yè)務(wù)需求；應(yīng)訪談網(wǎng)絡(luò)管理員，詢問接入網(wǎng)絡(luò)及核心網(wǎng)絡(luò)的帶寬是否滿足基本業(yè)務(wù)需要；應(yīng)檢查網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，查看其與當(dāng)前運(yùn)行的實(shí)際網(wǎng)絡(luò)系統(tǒng)是否一致。

22、結(jié)果判定本項要求包括：如果 .2 c）中缺少網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，則為否定；如果 .2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。訪問控制測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全管理員，詢問網(wǎng)絡(luò)訪問控制的措施有哪些；詢問網(wǎng)絡(luò)訪問控制設(shè)備具備哪些訪問控制功能；應(yīng)檢查邊界網(wǎng)絡(luò)設(shè)備，查看是否有正確的訪問控制列表，以通過源地址、目的地址、源端口、目的端口、協(xié)議等進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)流控制，其控制粒度是否至少為用戶組。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測

23、評指標(biāo)要求。網(wǎng)絡(luò)設(shè)備防護(hù)測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談網(wǎng)絡(luò)管理員，詢問關(guān)鍵網(wǎng)絡(luò)設(shè)備的防護(hù)措施有哪些；詢問關(guān)鍵網(wǎng)絡(luò)設(shè)備的登錄和驗證方式做過何種配置；詢問遠(yuǎn)程管理的設(shè)備是否采取措施防止鑒別信息泄漏；應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否配置了對登錄用戶進(jìn)行身份鑒別的功能；應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否配置了鑒別失敗處理功能；應(yīng)檢查邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備，查看是否配置了對設(shè)備遠(yuǎn)程管理所產(chǎn)生的鑒別信息進(jìn)行保護(hù)的功能。結(jié)果判定如果.2 b）-d）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。主機(jī)安全身份鑒別測評指標(biāo)見

24、 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)管理員和數(shù)據(jù)庫管理員，詢問操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)的身份標(biāo)識與鑒別機(jī)制采取何種措施實(shí)現(xiàn)；應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看是否提供了身份鑒別措施。結(jié)果判定如果.2 b)為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。訪問控制測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)的安全策略，查看是否對重要文件的訪問權(quán)限進(jìn)行了限制，對系統(tǒng)不需要的服務(wù)、共享路徑等進(jìn)行了禁用或刪除；應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)，查看匿名/

25、默認(rèn)帳戶的訪問權(quán)限是否已被禁用或者限制，是否刪除了系統(tǒng)中多余的、過期的以及共享的帳戶；應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)的權(quán)限設(shè)置情況，查看是否依據(jù)安全策略對用戶權(quán)限進(jìn)行了限制。結(jié)果判定如果.2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。入侵防范測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)管理員，詢問操作系統(tǒng)中所安裝的系統(tǒng)組件和應(yīng)用程序是否都是必須的，詢問操作系統(tǒng)補(bǔ)丁更新的方式和周期；應(yīng)檢查關(guān)鍵服務(wù)器操作系統(tǒng)和關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)的補(bǔ)丁是否得到了及時更新。結(jié)果判定如果.2 b)肯定，則信息系

26、統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。惡意代碼防范測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)安全管理員，詢問主機(jī)系統(tǒng)是否采取惡意代碼實(shí)時檢測與查殺措施，惡意代碼實(shí)時檢測與查殺措施的部署覆蓋范圍如何；應(yīng)檢查關(guān)鍵服務(wù)器，查看是否安裝了實(shí)時檢測與查殺惡意代碼的軟件產(chǎn)品并進(jìn)行及時更新。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。應(yīng)用安全身份鑒別測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否有專用的登錄

27、控制模塊對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，具體采取的鑒別措施是什么；應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否具有登錄失敗處理功能；應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否采取措施防止鑒別信息傳輸過程中被竊聽，具體措施是什么；應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否提供身份標(biāo)識和鑒別功能；應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其提供的登錄失敗處理功能，是否根據(jù)安全策略配置了相關(guān)參數(shù)。結(jié)果判定如果.2 d）和e）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。訪問控制測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否提供訪問控

28、制措施，以及具體措施和訪問控制策略有哪些；應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看系統(tǒng)是否提供訪問控制功能控制用戶組/用戶對系統(tǒng)功能和用戶數(shù)據(jù)的訪問；應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否具有由授權(quán)用戶設(shè)置其它用戶訪問系統(tǒng)功能和用戶數(shù)據(jù)的權(quán)限的功能，是否限制默認(rèn)用戶的訪問權(quán)限；應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過以不同權(quán)限的用戶登錄系統(tǒng)，查看其擁有的權(quán)限是否與系統(tǒng)賦予的權(quán)限一致，驗證應(yīng)用系統(tǒng)訪問控制功能是否有效。結(jié)果判定如果.2 b）-d）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。通信完整性測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全管理員，

29、詢問應(yīng)用系統(tǒng)是否具有在數(shù)據(jù)傳輸過程中保護(hù)其完整性的措施，具體措施是什么；應(yīng)檢查設(shè)計或驗收文檔，查看其是否有關(guān)于保護(hù)通信完整性的說明。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。軟件容錯測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談應(yīng)用系統(tǒng)管理員，詢問應(yīng)用系統(tǒng)是否具有保證軟件容錯能力的措施，具體措施有哪些；應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看應(yīng)用系統(tǒng)是否具有對人機(jī)接口輸入或通信接口輸入的數(shù)據(jù)進(jìn)行有效性檢驗的功能；應(yīng)測試關(guān)鍵應(yīng)用系統(tǒng)，可通過對人機(jī)接口輸入的不同長度或格式的數(shù)據(jù)，查看系統(tǒng)的反應(yīng)，驗證系統(tǒng)人機(jī)接口有效

30、性檢驗功能是否正確。結(jié)果判定如果.2 b）和c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。數(shù)據(jù)安全及備份恢復(fù)數(shù)據(jù)完整性測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全管理員，詢問關(guān)鍵應(yīng)用系統(tǒng)用戶數(shù)據(jù)在傳輸過程中是否有完整性保證措施，具體措施有哪些；應(yīng)檢查關(guān)鍵應(yīng)用系統(tǒng)，查看其是否配備檢測重要用戶數(shù)據(jù)在傳輸過程中完整性受到破壞的功能。結(jié)果判定如果 .2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。備份和恢復(fù)測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要

31、求包括：應(yīng)訪談網(wǎng)絡(luò)管理員，詢問是否對網(wǎng)絡(luò)設(shè)備中的配置文件進(jìn)行備份，備份策略是什么；當(dāng)其受到破壞時，恢復(fù)策略是什么；應(yīng)訪談系統(tǒng)管理員，詢問是否對操作系統(tǒng)中的重要信息進(jìn)行備份，備份策略是什么；當(dāng)其受到破壞時，恢復(fù)策略是什么；應(yīng)訪談數(shù)據(jù)庫管理員，詢問是否對數(shù)據(jù)庫管理系統(tǒng)中的關(guān)鍵數(shù)據(jù)進(jìn)行備份，備份策略是什么； 當(dāng)其受到破壞時，恢復(fù)策略是什么；應(yīng)訪談安全管理員，詢問是否對應(yīng)用系統(tǒng)中的應(yīng)用程序進(jìn)行備份，備份策略是什么；當(dāng)其受到破壞時，恢復(fù)策略是什么；應(yīng)檢查關(guān)鍵主機(jī)操作系統(tǒng)、關(guān)鍵網(wǎng)絡(luò)設(shè)備、關(guān)鍵數(shù)據(jù)庫管理系統(tǒng)和關(guān)鍵應(yīng)用系統(tǒng)，查看其是否提供備份和恢復(fù)功能，備份和恢復(fù)功能的配置是否正確，并且查看實(shí)際備份結(jié)果是否與

32、備份策略一致。結(jié)果判定如果 .2 e）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。安全管理測評安全管理制度管理制度測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)檢查各項安全管理制度，查看是否覆蓋物理、網(wǎng)絡(luò)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用、建設(shè)和管理等層面。結(jié)果判定如果.2 a）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。制定和發(fā)布測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問是否有專人負(fù)責(zé)制定安全管理制度；應(yīng)訪談安全管理制度制、修訂人員，詢問安全管

33、理制度的發(fā)布方式，是否能夠發(fā)布到相關(guān)人員手中。結(jié)果判定如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。安全管理機(jī)構(gòu)崗位設(shè)置測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問信息系統(tǒng)設(shè)置了哪些工作崗位，各個崗位的職責(zé)分工是否明確；應(yīng)檢查崗位職責(zé)分工文檔，查看其定義的崗位職責(zé)中是否包括系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等重要崗位的職責(zé)。結(jié)果判定如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。人員配備測評指標(biāo)見 GB/T 22239

34、-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問各個安全管理崗位的人員配備情況；應(yīng)檢查安全管理各崗位人員信息表，查看其是否明確機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全管理員等重要崗位人員的信息。結(jié)果判定如果.2 a)和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。授權(quán)和審批測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問其是否需要對信息系統(tǒng)中的關(guān)鍵活動進(jìn)行審批，審批部門是何部門，批準(zhǔn)人是何人，他們的審批活動是否得到授權(quán)；應(yīng)訪談安全主管，詢問其對關(guān)鍵活動的審批范圍。結(jié)果判定如果.2 a）和b）均為肯

35、定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。溝通和合作測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問是否經(jīng)常與公安機(jī)關(guān)、電信公司和兄弟單位聯(lián)系，聯(lián)系和合作方式有哪些；應(yīng)檢查外聯(lián)單位說明文檔，查看外聯(lián)單位是否包含公安機(jī)關(guān)、電信公司及兄弟單位，是否說明外聯(lián)單位的聯(lián)系人和聯(lián)系方式等內(nèi)容。結(jié)果判定如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。人員安全管理人員錄用測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問是

36、否有專門的部門或人員負(fù)責(zé)人員的錄用工作，由何部門/何人負(fù)責(zé)；應(yīng)訪談人事管理相關(guān)人員，詢問在人員錄用時對人員條件有哪些要求，是否對被錄用人的身份和專業(yè)資格進(jìn)行審查；應(yīng)檢查人員錄用要求管理文檔，查看是否說明錄用人員應(yīng)具備的條件（如學(xué)歷、學(xué)位要求，技術(shù)人員應(yīng)具備的專業(yè)技術(shù)水平，管理人員應(yīng)具備的安全管理知識等）；應(yīng)檢查是否具有人員錄用時對錄用人身份、專業(yè)資格等進(jìn)行審查的相關(guān)文檔或記錄，查看是否記錄審查內(nèi)容和審查結(jié)果等。結(jié)果判定如果.2 a）-d）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。人員離崗測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項

37、要求包括：應(yīng)訪談安全主管，詢問是否及時終止離崗人員的所有訪問權(quán)限，取回各種身份證件、鑰匙、徽章以及機(jī)構(gòu)提供的軟硬件設(shè)備等；應(yīng)檢查是否具有對離崗人員的安全處理記錄（如交還身份證件、設(shè)備等的登記記錄）。結(jié)果判定如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。安全意識教育和培訓(xùn)測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問是否對各個崗位人員進(jìn)行安全教育和崗位技能培訓(xùn)，告知相關(guān)的安全知識、安全責(zé)任和懲戒措施，具體的培訓(xùn)方式有哪些；應(yīng)訪談安全管理員，考查其對工作相關(guān)的信息安全基礎(chǔ)知識、安全責(zé)任和懲

38、戒措施等的理解程度。結(jié)果判定如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。外部人員訪問管理測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全管理員，詢問對外部人員訪問重要區(qū)域（如訪問機(jī)房、重要服務(wù)器或設(shè)備區(qū)等）采取了哪些安全措施，是否經(jīng)有關(guān)部門或負(fù)責(zé)人批準(zhǔn)才能訪問；應(yīng)檢查外部人員訪問管理文檔，查看是否有對外部人員訪問機(jī)房等重要區(qū)域應(yīng)經(jīng)過相關(guān)部門或負(fù)責(zé)人批準(zhǔn)的內(nèi)容。結(jié)果判定如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。系統(tǒng)建設(shè)管理系統(tǒng)

39、定級測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問確定信息系統(tǒng)安全保護(hù)等級的方法是否參照定級指南的指導(dǎo)，定級過程是否有書面描述；定級結(jié)果是否獲得了相關(guān)部門的批準(zhǔn)；應(yīng)檢查系統(tǒng)定級文檔，查看文檔是否明確信息系統(tǒng)的邊界和信息系統(tǒng)的安全保護(hù)等級，是否說明定級的方法和理由，查看定級結(jié)果是否有相關(guān)部門的批準(zhǔn)蓋章。結(jié)果判定本項要求包括：.2 a）沒有上級主管部門的，如果有本單位信息安全主管領(lǐng)導(dǎo)的批準(zhǔn)，則該項為肯定；如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。安全方案設(shè)計測評指標(biāo)見GB/T 2223

40、9-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否根據(jù)系統(tǒng)的安全級別選擇基本安全措施，是否依據(jù)風(fēng)險分析的結(jié)果補(bǔ)充和調(diào)整安全措施，具體做過哪些調(diào)整；應(yīng)檢查系統(tǒng)的安全方案，查看方案是否描述系統(tǒng)的安全保護(hù)要求，是否詳細(xì)描述了系統(tǒng)的安全策略，是否詳細(xì)描述了系統(tǒng)采取的安全措施等內(nèi)容；應(yīng)檢查系統(tǒng)的詳細(xì)設(shè)計方案，查看詳細(xì)設(shè)計方案是否對應(yīng)安全方案進(jìn)行細(xì)化，是否有安全建設(shè)方案和安全產(chǎn)品采購方案。結(jié)果判定如.2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。產(chǎn)品采購和使用測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)

41、訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問信息安全產(chǎn)品的采購情況，是否有產(chǎn)品采購清單指導(dǎo)產(chǎn)品采購， 采購過程如何控制；應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問系統(tǒng)使用的有關(guān)信息安全產(chǎn)品是否符合國家的有關(guān)規(guī)定。結(jié)果判定如果.2 a）和b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。自行軟件開發(fā)測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問是否進(jìn)行自主開發(fā)軟件，自主開發(fā)軟件是否在獨(dú)立的模擬環(huán)境中編寫、調(diào)試和完成；應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問軟件設(shè)計相關(guān)文檔是否由專人負(fù)責(zé)保管，負(fù)責(zé)人是何人；應(yīng)檢查是否具有軟件設(shè)計相關(guān)文檔。結(jié)果判定如果.2

42、 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。外包軟件開發(fā)測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問軟件交付前是否依據(jù)開發(fā)要求的技術(shù)指標(biāo)對軟件功能和性能等進(jìn)行驗收測試，軟件安裝之前是否檢測軟件中的惡意代碼；應(yīng)檢查是否具有需求分析說明書、軟件設(shè)計說明書、軟件操作手冊等軟件開發(fā)文檔和使用指南。結(jié)果判定如果 .2 a）和 b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。工程實(shí)施測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施應(yīng)訪談系統(tǒng)

43、建設(shè)負(fù)責(zé)人，詢問是否指定專門部門或人員對工程實(shí)施過程進(jìn)行進(jìn)度和質(zhì)量控制，由何部門/何人負(fù)責(zé)。結(jié)果判定如果 .2 為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。測試驗收測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問在信息系統(tǒng)建設(shè)完成后是否對其進(jìn)行安全性測試驗收；應(yīng)檢查工程測試驗收方案，查看其是否明確說明參與測試的部門、人員、測試驗收內(nèi)容、現(xiàn)場操作過程等內(nèi)容；應(yīng)檢查測試驗收記錄是否詳細(xì)記錄了測試時間、人員、現(xiàn)場操作過程和測試驗收結(jié)果等方面內(nèi)容；應(yīng)檢查是否具有系統(tǒng)測試驗收報告。結(jié)果判定如果 .2 a）-d）

44、均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。系統(tǒng)交付測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問系統(tǒng)交接工作是否根據(jù)交付清單對所交接的設(shè)備、文檔、軟件等進(jìn)行清點(diǎn)；應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問目前的信息系統(tǒng)是否由內(nèi)部人員獨(dú)立運(yùn)行維護(hù)，如果是，系統(tǒng)正式運(yùn)行前是否對運(yùn)行維護(hù)人員進(jìn)行過培訓(xùn)，針對哪些方面進(jìn)行過培訓(xùn)；應(yīng)檢查是否具有系統(tǒng)交付清單說明系統(tǒng)交付的各類設(shè)備、軟件、文檔等；應(yīng)檢查是否具有系統(tǒng)建設(shè)文檔、指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔、系統(tǒng)培訓(xùn)手冊等。結(jié)果判定如果 .2 a）-d）均為肯定，則信息系統(tǒng)符合本單

45、元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。安全服務(wù)商選擇測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，詢問信息系統(tǒng)選擇的安全服務(wù)商有哪些，是否符合國家有關(guān)規(guī)定；應(yīng)檢查是否具有與安全服務(wù)商簽訂的安全責(zé)任合同書或保密協(xié)議等文檔，查看其內(nèi)容是否包含保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等。結(jié)果判定如果 .2 a）和 b）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。系統(tǒng)運(yùn)維管理環(huán)境管理測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)運(yùn)維負(fù)責(zé)

46、人，詢問是否有專門的部門或人員對機(jī)房基礎(chǔ)設(shè)施進(jìn)行定期維護(hù)，由何部門/何人負(fù)責(zé)，維護(hù)周期多長；應(yīng)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問對機(jī)房的出入、服務(wù)器開機(jī)/關(guān)機(jī)如何進(jìn)行管理；應(yīng)檢查機(jī)房安全管理制度，查看其內(nèi)容是否覆蓋機(jī)房物理訪問、物品帶進(jìn)/帶出機(jī)房和機(jī)房環(huán)境安全等方面。結(jié)果判定如果.2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。資產(chǎn)管理測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施應(yīng)檢查資產(chǎn)清單，查看其內(nèi)容是否覆蓋資產(chǎn)責(zé)任部門、責(zé)任人、所處位置和重要程度等方面；如果.2 為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部

47、分符合本單元測評指標(biāo)要求。介質(zhì)管理測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談資產(chǎn)管理員，詢問介質(zhì)的存放環(huán)境是否采取保護(hù)措施防止介質(zhì)被盜、被毀、介質(zhì)內(nèi)存儲信息被未授權(quán)修改以及非法泄漏等；應(yīng)訪談資產(chǎn)管理員，詢問是否根據(jù)介質(zhì)的目錄清單對介質(zhì)的使用現(xiàn)狀進(jìn)行定期檢查；應(yīng)檢查介質(zhì)管理記錄，查看其是否記錄介質(zhì)歸檔和查詢等情況。結(jié)果判定本項要求包括：如果.2 a）中在防火、防水、防盜等方面均有措施，則為肯定；如果.2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。設(shè)備管理測評指標(biāo)見 GB/T 22239-2008 。測評

48、實(shí)施本項要求包括：應(yīng)訪談資產(chǎn)管理員，詢問是否有專門的部門或人員對各種設(shè)備、線路進(jìn)行定期維護(hù)，對各類測試工具進(jìn)行有效性檢查，由何部門/何人負(fù)責(zé)，維護(hù)周期多長；應(yīng)訪談資產(chǎn)管理員，詢問是否對設(shè)備選用的各個環(huán)節(jié)（選型、采購、發(fā)放和領(lǐng)用等）進(jìn)行審批控制；應(yīng)檢查設(shè)備安全管理制度，查看其內(nèi)容是否明確對各種軟硬件設(shè)備的選型、采購、發(fā)放和領(lǐng)用等環(huán)節(jié)進(jìn)行申報和審批。結(jié)果判定如果.2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。網(wǎng)絡(luò)安全管理測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談安全主管，詢問是否指定人員負(fù)責(zé)維護(hù)網(wǎng)絡(luò)運(yùn)行日志

49、、監(jiān)控記錄和分析處理報警信息等網(wǎng)絡(luò)安全管理工作；應(yīng)訪談安全管理員，詢問是否定期對網(wǎng)絡(luò)設(shè)備進(jìn)行漏洞掃描，掃描周期多長，發(fā)現(xiàn)漏洞是否及時修補(bǔ)；應(yīng)檢查網(wǎng)絡(luò)漏洞掃描報告，檢查掃描時間間隔與掃描周期是否一致。結(jié)果判定如果 .2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。系統(tǒng)安全管理測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)管理員，詢問是否根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析制定系統(tǒng)的訪問控制策略，控制分配信息系統(tǒng)、文件及服務(wù)的訪問權(quán)限；是否及時安裝最新安全補(bǔ)丁程序和進(jìn)行漏洞修補(bǔ)，在安裝系統(tǒng)補(bǔ)丁前是否對重要文件進(jìn)行備份；

50、應(yīng)訪談安全管理員，詢問是否定期對系統(tǒng)進(jìn)行漏洞掃描，掃描周期多長，發(fā)現(xiàn)漏洞是否及時修補(bǔ)；應(yīng)檢查系統(tǒng)漏洞掃描報告，檢查掃描時間間隔與掃描周期是否一致。結(jié)果判定如果.2 a）-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。惡意代碼防范管理測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施應(yīng)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否對員工進(jìn)行基本惡意代碼防范意識的教育，是否告知應(yīng)及時升級軟件版本，使用外來設(shè)備、網(wǎng)絡(luò)上接收文件和外來計算機(jī)或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前應(yīng)進(jìn)行病毒檢查等。結(jié)果判定如果.2 為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部

51、分符合本單元測評指標(biāo)要求。備份與恢復(fù)管理測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)管理員和數(shù)據(jù)庫管理員，詢問是否識別出需要定期備份的業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)和軟件系統(tǒng)，主要有哪些；應(yīng)檢查備份管理文檔，查看其是否明確備份方式、備份頻度、存儲介質(zhì)和保存期等方面內(nèi)容。結(jié)果判定如果.2 a）和b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。安全事件處置測評指標(biāo)見GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，詢問是否告知用戶在發(fā)現(xiàn)安全弱點(diǎn)和可疑事件時應(yīng)及時報告；應(yīng)檢查安全事件報告和處置管理制度，

52、查看其是否明確安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)。結(jié)果判定如果 .2 a）和 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。第二級信息系統(tǒng)單元測評安全技術(shù)測評物理安全物理位置的選擇測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問現(xiàn)有機(jī)房和放置終端計算機(jī)設(shè)備的辦公場地的環(huán)境條件是否能夠滿足信息系統(tǒng)業(yè)務(wù)需求和安全管理需求，是否具有基本的防震、防風(fēng)和防雨等能力；應(yīng)檢查機(jī)房和辦公場地是否在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，

53、信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。物理訪問控制測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，了解部署了哪些控制人員進(jìn)出機(jī)房的保護(hù)措施；應(yīng)檢查機(jī)房安全管理制度，查看是否有關(guān)于機(jī)房出入方面的規(guī)定；應(yīng)檢查機(jī)房出入口是否有專人值守，是否有值守記錄及人員進(jìn)入機(jī)房的登記記錄；檢查機(jī)房是否不存在專人值守之外的其他出入口；應(yīng)檢查是否有來訪人員進(jìn)入機(jī)房的審批記錄，查看審批記錄是否包括來訪人員的訪問范圍。結(jié)果判定如果.2 b）-d）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防盜竊和防破環(huán)測評指標(biāo)見 GB/T

54、22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，了解采取了哪些防止設(shè)備、介質(zhì)等丟失的保護(hù)措施；應(yīng)訪談機(jī)房維護(hù)人員，詢問關(guān)鍵設(shè)備放置位置是否做到安全可控，設(shè)備或主要部件是否進(jìn)行了固定和標(biāo)記，通信線纜是否鋪設(shè)在隱蔽處；是否對機(jī)房安裝的防盜報警設(shè)施并定期進(jìn)行維護(hù)檢查；應(yīng)訪談資產(chǎn)管理員，介質(zhì)是否進(jìn)行了分類標(biāo)識管理，介質(zhì)是否存放在介質(zhì)庫或檔案室內(nèi)進(jìn)行管理；應(yīng)檢查關(guān)鍵設(shè)備是否放置在機(jī)房內(nèi)或其它不易被盜竊和破壞的可控范圍內(nèi)；檢查關(guān)鍵設(shè)備或設(shè)備的主要部件的固定情況，查看其是否不易被移動或被搬走，是否設(shè)置明顯的不易除去的標(biāo)記；應(yīng)檢查通信線纜鋪設(shè)是否在隱蔽處；應(yīng)檢查機(jī)房防盜報警設(shè)施是否正常運(yùn)行

55、，并查看是否有運(yùn)行和報警記錄；應(yīng)檢查介質(zhì)的管理情況，查看介質(zhì)是否有正確的分類標(biāo)識，是否存放在介質(zhì)庫或檔案室內(nèi)。結(jié)果判定如果.2 d）-g）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防雷擊測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問為防止雷擊事件導(dǎo)致重要設(shè)備被破壞采取了哪些防護(hù)措施，機(jī)房建筑是否設(shè)置了避雷裝置，是否通過驗收或國家有關(guān)部門的技術(shù)檢測；詢問機(jī)房計算機(jī)供電系統(tǒng)是否有交流電源地線；應(yīng)檢查機(jī)房建筑是否有避雷裝置，是否有交流地線；結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求

56、，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防火測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否設(shè)置了滅火設(shè)備，是否設(shè)置了火災(zāi)自動報警系統(tǒng)，是否有人負(fù)責(zé)維護(hù)該系統(tǒng)的運(yùn)行，是否制定了有關(guān)機(jī)房消防的管理制度和消防預(yù)案，是否進(jìn)行了消防培訓(xùn)；應(yīng)訪談機(jī)房維護(hù)人員，詢問是否對火災(zāi)自動報警系統(tǒng)定期進(jìn)行檢查和維護(hù)；應(yīng)檢查機(jī)房是否設(shè)置了滅火設(shè)備，滅火設(shè)備擺放位置是否合理，其有效期是否合格；應(yīng)檢查機(jī)房火災(zāi)自動報警系統(tǒng)是否正常工作，查看是否有運(yùn)行記錄、報警記錄、定期檢查和維修記錄。結(jié)果判定如果.2 a)-c）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否

57、則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防水和防潮測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否部署了防水防潮措施；如果機(jī)房內(nèi)有上/下水管安裝， 是否避免穿過屋頂和活動地板下，穿過墻壁和樓板的水管是否采取了可靠的保護(hù)措施；在濕度較高的地區(qū)或季節(jié)是否有人負(fù)責(zé)機(jī)房防水防潮事宜，配備除濕裝置；應(yīng)訪談機(jī)房維護(hù)人員，詢問機(jī)房是否沒有出現(xiàn)過漏水和返潮事件；如果機(jī)房內(nèi)有上/下水管安裝，是否經(jīng)常檢查其漏水情況；在濕度較高地區(qū)或季節(jié)是否有人負(fù)責(zé)機(jī)房防水防潮事宜，使用除濕裝置除濕；如果出現(xiàn)機(jī)房水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透現(xiàn)象是否及時采取防范措施；

58、應(yīng)檢查穿過主機(jī)房墻壁或樓板的管道是否配置套管，管道與套管之間是否采取可靠的密封措施；應(yīng)檢查機(jī)房的窗戶、屋頂和墻壁等是否未出現(xiàn)過漏水、滲透和返潮現(xiàn)象，機(jī)房及其環(huán)境是否不存在明顯的漏水和返潮的威脅；如果出現(xiàn)漏水、滲透和返潮現(xiàn)象，則查看是否能夠及時修復(fù)解決；對濕度較高的地區(qū)，應(yīng)檢查機(jī)房是否有濕度記錄，是否有除濕裝置并能夠正常運(yùn)行，是否有防止出現(xiàn)機(jī)房地下積水的轉(zhuǎn)移與滲透的措施，是否有防水防潮處理記錄。結(jié)果判定如果.2 c）-e）均為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。防靜電測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物

59、理安全負(fù)責(zé)人，詢問關(guān)鍵設(shè)備是否采取用必要的防靜電措施，機(jī)房是否不存在靜電問題或因靜電引發(fā)的安全事件；應(yīng)檢查關(guān)鍵設(shè)備是否有安全接地，查看機(jī)房是否不存在明顯的靜電現(xiàn)象。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。溫濕度控制測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否配備了溫濕度自動調(diào)節(jié)設(shè)施，保證溫濕度能夠滿足計算機(jī)設(shè)備運(yùn)行的要求，是否在機(jī)房管理制度中規(guī)定了溫濕度控制的要求，是否有人負(fù)責(zé)此項工作， 是否定期檢查和維護(hù)機(jī)房的溫濕度自動調(diào)節(jié)設(shè)施，詢問是否沒有出現(xiàn)過溫濕度影響系統(tǒng)

60、運(yùn)行的事件；應(yīng)檢查溫濕度自動調(diào)節(jié)設(shè)施是否能夠正常運(yùn)行，查看是否有溫濕度記錄、運(yùn)行記錄和維護(hù)記錄；查看機(jī)房溫濕度是否滿足計算站場地的技術(shù)條件要求。結(jié)果判定如果.2 b）為肯定，則信息系統(tǒng)符合本單元測評指標(biāo)要求，否則，信息系統(tǒng)不符合或部分符合本單元測評指標(biāo)要求。電力供應(yīng)測評指標(biāo)見 GB/T 22239-2008 。測評實(shí)施本項要求包括：應(yīng)訪談物理安全負(fù)責(zé)人，詢問計算機(jī)系統(tǒng)供電線路上是否設(shè)置了穩(wěn)壓器和過電壓防護(hù)設(shè)備；是否設(shè)置了短期備用電源設(shè)備，供電時間是否滿足系統(tǒng)關(guān)鍵設(shè)備最低電力供應(yīng)需求；應(yīng)檢查機(jī)房，查看計算機(jī)系統(tǒng)供電線路上的穩(wěn)壓器、過電壓防護(hù)設(shè)備和短期備用電源設(shè)備是否正常運(yùn)行；應(yīng)檢查是否有穩(wěn)壓器、