信息系統(tǒng)安全等級(jí)測(cè)評(píng)報(bào)告模版

1、信息系統(tǒng)安全等級(jí)測(cè)評(píng)報(bào)告模版（試行）系統(tǒng)名稱： 被測(cè)單位： 測(cè)評(píng)單位： 報(bào)告時(shí)間： 年月日 說明：一、每個(gè)備案信息系統(tǒng)單獨(dú)出具測(cè)評(píng)報(bào)告。二、測(cè)評(píng)報(bào)告編號(hào)為四組數(shù)據(jù)。各組含義和編碼規(guī)則如下：第一組為信息系統(tǒng)備案表編號(hào)，由 11 位數(shù)字組成，可以從公安機(jī)關(guān)頒發(fā)的信息系統(tǒng)備案證明（或備案回執(zhí)）上獲得，即證書編號(hào)的前 11位（前 6 位為受理備案公安機(jī)關(guān)代碼，后 5 位為受理備案的公安機(jī)關(guān)給出的備案單位的順序編號(hào)）。第二組為年份，由 2 位數(shù)字組成。例如 09 代表 2009 年。第三組為測(cè)評(píng)機(jī)構(gòu)代碼，由四位數(shù)字組成。前兩位為省級(jí)行政區(qū)劃數(shù)字代碼的前兩位或行業(yè)主管部門編號(hào)：00 為公安部，11 為北京

2、，12 為天津，13 為河北，14 為山西，15 為內(nèi)蒙古，21 為遼寧，22 為吉林，23 為黑龍江，31 為上海，32 為江蘇，33 為浙江，34 為安徽，35 為福建，36 為江西，37 為山東，41 為河南，42 為湖北，43 為湖南，44 為廣東，45 為廣西，46 為海南，50 為重慶，51 為四川，52 為貴州，53 為云南，54 為西藏，61 為陜西，62 為甘肅，63 為青海，64 為寧夏，65 為新疆，66 為新疆兵團(tuán)。90 為國(guó)防科工局，91 為電監(jiān)會(huì)，92 為教育部。后兩位為公安機(jī)關(guān)或行業(yè)主管部門推薦的測(cè)評(píng)機(jī)構(gòu)順序號(hào)。第四組為本年度信息系統(tǒng)測(cè)評(píng)次數(shù)，由兩位構(gòu)成。例如 0

3、2 表示該信息系統(tǒng)本年度測(cè)評(píng) 2 次。信息系統(tǒng)等級(jí)測(cè)評(píng)基本信息表信息系統(tǒng)系統(tǒng)名稱安全保護(hù)等級(jí)備案證明編號(hào)測(cè)評(píng)結(jié)論被測(cè)單位單位名稱單位地址郵政編碼聯(lián) 系 人姓名職務(wù)/職稱所屬部門辦公電話移動(dòng)電話電子郵件測(cè)評(píng)單位單位名稱單位代碼通信地址郵政編碼聯(lián) 系 人姓名職務(wù)/職稱所屬部門辦公電話移動(dòng)電話電子郵件審核批準(zhǔn)編 制 人(簽名)編制日期審 核 人(簽名)審核日期批 準(zhǔn) 人(簽名)批準(zhǔn)日期注：?jiǎn)挝淮a由受理測(cè)評(píng)機(jī)構(gòu)備案的公安機(jī)關(guān)給出。聲明（聲明是測(cè)評(píng)機(jī)構(gòu)對(duì)測(cè)評(píng)報(bào)告的有效性前提、測(cè)評(píng)結(jié)論的適用范圍以及使用方式等有關(guān)事項(xiàng)的陳述。針對(duì)特殊情況下的測(cè)評(píng)工作，測(cè)評(píng)機(jī)構(gòu)可在以下建議內(nèi)容的基礎(chǔ)上增加特殊聲明。）本報(bào)告

4、是 xxx 信息系統(tǒng)的等級(jí)測(cè)評(píng)報(bào)告。本報(bào)告測(cè)評(píng)結(jié)論的有效性建立在被測(cè)評(píng)單位提供相關(guān)證據(jù) 的真實(shí)性基礎(chǔ)之上。本報(bào)告中給出的測(cè)評(píng)結(jié)論僅對(duì)被測(cè)信息系統(tǒng)當(dāng)時(shí)的安全狀 態(tài)有效。當(dāng)測(cè)評(píng)工作完成后，由于信息系統(tǒng)發(fā)生變更而涉及到 的系統(tǒng)構(gòu)成組件（或子系統(tǒng)）都應(yīng)重新進(jìn)行等級(jí)測(cè)評(píng)，本報(bào)告 不再適用。本報(bào)告中給出的測(cè)評(píng)結(jié)論不能作為對(duì)信息系統(tǒng)內(nèi)部署的相 關(guān)系統(tǒng)構(gòu)成組件（或產(chǎn)品）的測(cè)評(píng)結(jié)論。在任何情況下，若需引用本報(bào)告中的測(cè)評(píng)結(jié)果或結(jié)論都應(yīng) 保持其原有的意義，不得對(duì)相關(guān)內(nèi)容擅自進(jìn)行增加、修改和偽 造或掩蓋事實(shí)。目錄 HYPERLINK l _TOC_250076 報(bào)告摘要I HYPERLINK l _TOC_25007

5、5 測(cè)評(píng)項(xiàng)目概述1 HYPERLINK l _TOC_250074 測(cè)評(píng)目的1 HYPERLINK l _TOC_250073 測(cè)評(píng)依據(jù)1 HYPERLINK l _TOC_250072 測(cè)評(píng)過程1 HYPERLINK l _TOC_250071 報(bào)告分發(fā)范圍1 HYPERLINK l _TOC_250070 被測(cè)信息系統(tǒng)情況2 HYPERLINK l _TOC_250069 承載的業(yè)務(wù)情況2 HYPERLINK l _TOC_250068 網(wǎng)絡(luò)結(jié)構(gòu)2 HYPERLINK l _TOC_250067 系統(tǒng)構(gòu)成2 HYPERLINK l _TOC_250066 業(yè)務(wù)應(yīng)用軟件2 HYPERLINK

6、 l _TOC_250065 關(guān)鍵數(shù)據(jù)類別2 HYPERLINK l _TOC_250064 主機(jī)/存儲(chǔ)設(shè)備3 HYPERLINK l _TOC_250063 網(wǎng)絡(luò)互聯(lián)設(shè)備3 HYPERLINK l _TOC_250062 安全設(shè)備3 HYPERLINK l _TOC_250061 安全相關(guān)人員3 HYPERLINK l _TOC_250060 安全管理文檔4 HYPERLINK l _TOC_250059 安全環(huán)境4 HYPERLINK l _TOC_250058 前次測(cè)評(píng)情況4 HYPERLINK l _TOC_250057 等級(jí)測(cè)評(píng)范圍與方法4 HYPERLINK l _TOC_2500

7、56 測(cè)評(píng)指標(biāo)4 HYPERLINK l _TOC_250055 基本指標(biāo)5 HYPERLINK l _TOC_250054 特殊指標(biāo)5 HYPERLINK l _TOC_250053 測(cè)評(píng)對(duì)象5 HYPERLINK l _TOC_250052 測(cè)評(píng)對(duì)象選擇方法5 HYPERLINK l _TOC_250051 測(cè)評(píng)對(duì)象選擇結(jié)果5 HYPERLINK l _TOC_250050 測(cè)評(píng)方法7 HYPERLINK l _TOC_250049 單元測(cè)評(píng)8 HYPERLINK l _TOC_250048 物理安全8 HYPERLINK l _TOC_250047 結(jié)果記錄8 HYPERLINK l _

8、TOC_250046 結(jié)果匯總8 HYPERLINK l _TOC_250045 問題分析8 HYPERLINK l _TOC_250044 網(wǎng)絡(luò)安全9 HYPERLINK l _TOC_250043 結(jié)果記錄9 HYPERLINK l _TOC_250042 結(jié)果匯總9 HYPERLINK l _TOC_250041 問題分析9 HYPERLINK l _TOC_250040 主機(jī)安全9 HYPERLINK l _TOC_250039 結(jié)果記錄9 HYPERLINK l _TOC_250038 結(jié)果匯總9 HYPERLINK l _TOC_250037 問題分析9 HYPERLINK l _

9、TOC_250036 應(yīng)用安全9 HYPERLINK l _TOC_250035 結(jié)果記錄9 HYPERLINK l _TOC_250034 結(jié)果匯總9 HYPERLINK l _TOC_250033 問題分析9 HYPERLINK l _TOC_250032 數(shù)據(jù)安全及備份恢復(fù)9 HYPERLINK l _TOC_250031 結(jié)果記錄9 HYPERLINK l _TOC_250030 結(jié)果匯總9 HYPERLINK l _TOC_250029 問題分析9 HYPERLINK l _TOC_250028 安全管理制度9 HYPERLINK l _TOC_250027 結(jié)果記錄9 HYPERL

10、INK l _TOC_250026 結(jié)果匯總9 HYPERLINK l _TOC_250025 問題分析9 HYPERLINK l _TOC_250024 安全管理機(jī)構(gòu)9 HYPERLINK l _TOC_250023 結(jié)果記錄9 HYPERLINK l _TOC_250022 結(jié)果匯總9 HYPERLINK l _TOC_250021 問題分析9 HYPERLINK l _TOC_250020 人員安全管理10 HYPERLINK l _TOC_250019 結(jié)果記錄10 HYPERLINK l _TOC_250018 結(jié)果匯總10 HYPERLINK l _TOC_250017 問題分析1

11、0 HYPERLINK l _TOC_250016 系統(tǒng)建設(shè)管理10 HYPERLINK l _TOC_250015 結(jié)果記錄10 HYPERLINK l _TOC_250014 結(jié)果匯總10 HYPERLINK l _TOC_250013 問題分析10 HYPERLINK l _TOC_250012 系統(tǒng)運(yùn)維管理10 HYPERLINK l _TOC_250011 結(jié)果記錄10 HYPERLINK l _TOC_250010 結(jié)果匯總10 HYPERLINK l _TOC_250009 問題分析10 HYPERLINK l _TOC_250008 整體測(cè)評(píng)11 HYPERLINK l _TO

12、C_250007 安全控制間安全測(cè)評(píng)11 HYPERLINK l _TOC_250006 層面間安全測(cè)評(píng)11 HYPERLINK l _TOC_250005 區(qū)域間安全測(cè)評(píng)11 HYPERLINK l _TOC_250004 系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng)11 HYPERLINK l _TOC_250003 測(cè)評(píng)結(jié)果匯總12 HYPERLINK l _TOC_250002 風(fēng)險(xiǎn)分析和評(píng)價(jià)13 HYPERLINK l _TOC_250001 等級(jí)測(cè)評(píng)結(jié)論14 HYPERLINK l _TOC_250000 安全建設(shè)整改建議15報(bào)告摘要（建議不超過 800 字）簡(jiǎn)要描述被測(cè)信息系統(tǒng)的名稱、安全等級(jí)、承載的業(yè)務(wù)等

13、基本情況。簡(jiǎn)要描述測(cè)評(píng)范圍和主要內(nèi)容。簡(jiǎn)要描述測(cè)評(píng)指標(biāo)的符合性情況，給出測(cè)評(píng)結(jié)論（包括符 合、基本符合和不符合）。簡(jiǎn)要描述測(cè)評(píng)中發(fā)現(xiàn)的主要問題和危害，并提出安全建設(shè) 整改建議。測(cè)評(píng)項(xiàng)目概述測(cè)評(píng)目的測(cè)評(píng)依據(jù)列出開展測(cè)評(píng)活動(dòng)所依據(jù)的文件、標(biāo)準(zhǔn)和合同等。測(cè)評(píng)過程描述等級(jí)測(cè)評(píng)工作流程，包括測(cè)評(píng)工作流程圖、各階段完成的關(guān)鍵任務(wù)和工作的時(shí)間節(jié)點(diǎn)等內(nèi)容。報(bào)告分發(fā)范圍說明等級(jí)測(cè)評(píng)報(bào)告正本的份數(shù)與分發(fā)范圍。被測(cè)信息系統(tǒng)情況參照備案信息簡(jiǎn)要描述信息系統(tǒng)。承載的業(yè)務(wù)情況描述信息系統(tǒng)承載的業(yè)務(wù)、應(yīng)用等情況。網(wǎng)絡(luò)結(jié)構(gòu)給出被測(cè)信息系統(tǒng)的拓?fù)浣Y(jié)構(gòu)示意圖，并基于示意圖說明被測(cè)信息系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)基本情況，包括功能/安全區(qū)域劃分

14、、隔離與防護(hù)情況、關(guān)鍵網(wǎng)絡(luò)和主機(jī)設(shè)備的部署情況和功能簡(jiǎn)介、與其他信息系統(tǒng)的互聯(lián)情況和邊界設(shè)備以及本地備份和災(zāi)備中心的情況。系統(tǒng)構(gòu)成業(yè)務(wù)應(yīng)用軟件序號(hào)軟件名稱主要功能重要程度1以列表的形式給出被測(cè)信息系統(tǒng)中的業(yè)務(wù)應(yīng)用軟件（包括含中間件等應(yīng)用平臺(tái)軟件），描述項(xiàng)目包括軟件名稱、主要功能簡(jiǎn)介。關(guān)鍵數(shù)據(jù)類別以列表形式描述具有相近業(yè)務(wù)屬性和安全需求的數(shù)據(jù)集合。序號(hào)數(shù)據(jù)類別所屬業(yè)務(wù)應(yīng)用主機(jī)/存儲(chǔ)設(shè)備重要程度1 依據(jù)信息系統(tǒng)安全等級(jí)測(cè)評(píng)過程指南判定主機(jī)/存儲(chǔ)設(shè)備序號(hào)設(shè)備名稱操作系統(tǒng)/數(shù)據(jù)庫(kù)管理系統(tǒng)業(yè)務(wù)應(yīng)用軟件以列表形式給出被測(cè)信息系統(tǒng)中的主機(jī)設(shè)備，描述主機(jī)設(shè)備的項(xiàng)目包括設(shè)備名稱、操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)以及承載

15、的業(yè)務(wù)應(yīng)用軟件系統(tǒng)。網(wǎng)絡(luò)互聯(lián)設(shè)備以列表形式給出被測(cè)信息系統(tǒng)中的網(wǎng)絡(luò)互聯(lián)設(shè)備。序號(hào)設(shè)備名稱用途重要程度安全設(shè)備以列表形式給出被測(cè)信息系統(tǒng)中的安全設(shè)備。序號(hào)設(shè)備名稱用途重要程度安全相關(guān)人員以列表形式給出與被測(cè)信息系統(tǒng)安全相關(guān)的人員情況。相關(guān)人員包括（但不限于）安全主管、系統(tǒng)建設(shè)負(fù)責(zé)人、系統(tǒng)運(yùn)維負(fù)責(zé)人、網(wǎng)絡(luò)（安全）管理員、主機(jī)（安全）管理員、數(shù)據(jù)庫(kù)（安全）管理員、應(yīng)用（安全）管理員、機(jī)房管理人員、資產(chǎn)管理員、業(yè)務(wù)操作員、安全審計(jì)人員等。序號(hào)姓名崗位/角色聯(lián)系方式序號(hào)姓名崗位/角色聯(lián)系方式安全管理文檔以列表形式給出與信息系統(tǒng)安全相關(guān)的文檔，包括管理類文檔、記錄類文檔和其他文檔。序號(hào)文檔名稱主要內(nèi)容安全

16、環(huán)境序號(hào)威脅分(子)類描述威脅賦值描述被測(cè)信息系統(tǒng)的運(yùn)行環(huán)境中與安全相關(guān)的部分，并以列表形式給出被測(cè)信息系統(tǒng)的威脅列表并賦值。威脅賦值是基于歷史統(tǒng)計(jì)或者行業(yè)判斷進(jìn)行的，具體內(nèi)容可參考風(fēng)險(xiǎn)評(píng)估規(guī)范。前次測(cè)評(píng)情況簡(jiǎn)要描述前次等級(jí)測(cè)評(píng)發(fā)現(xiàn)的主要問題和測(cè)評(píng)結(jié)論。等級(jí)測(cè)評(píng)范圍與方法測(cè)評(píng)指標(biāo)測(cè)評(píng)指標(biāo)包括基本指標(biāo)和特殊指標(biāo)兩部分?；局笜?biāo)依據(jù)信息系統(tǒng)確定的業(yè)務(wù)信息安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)，選擇基本要求中對(duì)應(yīng)級(jí)別的安全要求作為等級(jí)測(cè)評(píng)的基本指標(biāo)。安全分類1安全子類2測(cè)評(píng)項(xiàng)數(shù)備注鑒于信息系統(tǒng)的復(fù)雜性和特殊性（如某些信息系統(tǒng)未部署數(shù)據(jù)庫(kù)服務(wù)器），基本指標(biāo)中可能存在部分不適用項(xiàng)，可以在單元測(cè)評(píng)時(shí)進(jìn)行識(shí)別。

17、特殊指標(biāo)安全分類安全子類特殊要求描述測(cè)評(píng)項(xiàng)數(shù)結(jié)合行業(yè)和系統(tǒng)的實(shí)際，以列表形式給出基本要求未覆蓋或者高于基本要求的安全要求。測(cè)評(píng)對(duì)象測(cè)評(píng)對(duì)象選擇方法描述測(cè)評(píng)對(duì)象的選擇規(guī)則和方法。測(cè)評(píng)對(duì)象選擇結(jié)果機(jī)房序號(hào)機(jī)房名稱物理位置1 安全分類對(duì)應(yīng)基本要求中的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全與備份恢復(fù)、安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等 10 個(gè)安全要求類別。2 安全子類是對(duì)安全分類的進(jìn)一步細(xì)化，在基本要求目錄級(jí)別中對(duì)應(yīng)安全分類的下一級(jí)目錄。業(yè)務(wù)應(yīng)用軟件序號(hào)軟件名稱主要功能主機(jī)（存儲(chǔ)）操作系統(tǒng)序號(hào)設(shè)備名稱操作系統(tǒng)/數(shù)據(jù)庫(kù)管理系統(tǒng)數(shù)據(jù)庫(kù)管理系統(tǒng)序號(hào)設(shè)備名稱操作

18、系統(tǒng)/數(shù)據(jù)庫(kù)管理系統(tǒng)網(wǎng)絡(luò)互聯(lián)設(shè)備操作系統(tǒng)序號(hào)操作系統(tǒng)名稱設(shè)備名稱安全設(shè)備操作系統(tǒng)序號(hào)操作系統(tǒng)名稱設(shè)備名稱訪談人員序號(hào)姓名崗位/職責(zé)安全管理文檔序號(hào)文檔名稱主要內(nèi)容測(cè)評(píng)方法描述等級(jí)測(cè)評(píng)工作中采用的訪談、檢查、測(cè)試和風(fēng)險(xiǎn)分析等方法。單元測(cè)評(píng)等級(jí)測(cè)評(píng)內(nèi)容包括“3.1 測(cè)評(píng)指標(biāo)”中涉及的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全等10 個(gè)安全分類，具體內(nèi)容由結(jié)果記錄、問題分析和結(jié)果匯總等三部分構(gòu)成。物理安全結(jié)果記錄以表格形式給出物理安全的現(xiàn)場(chǎng)測(cè)評(píng)結(jié)果。安全子類測(cè)評(píng)指標(biāo)結(jié)果記錄符合情況物理位置的選擇物理訪問控制結(jié)果匯總針對(duì)不同測(cè)評(píng)指標(biāo)子類對(duì)物理安全的單項(xiàng)測(cè)評(píng)結(jié)果進(jìn)行匯總和統(tǒng)計(jì)。問題分析針對(duì)物理安全測(cè)評(píng)結(jié)果中存在的部分

19、符合項(xiàng)或不符合項(xiàng)加以匯總和分析，形成安全問題描述。網(wǎng)絡(luò)安全結(jié)果記錄結(jié)果匯總問題分析主機(jī)安全結(jié)果記錄結(jié)果匯總問題分析應(yīng)用安全結(jié)果記錄結(jié)果匯總問題分析數(shù)據(jù)安全及備份恢復(fù)結(jié)果記錄結(jié)果匯總問題分析安全管理制度結(jié)果記錄結(jié)果匯總問題分析安全管理機(jī)構(gòu)結(jié)果記錄結(jié)果匯總問題分析人員安全管理結(jié)果記錄結(jié)果匯總問題分析系統(tǒng)建設(shè)管理結(jié)果記錄結(jié)果匯總問題分析系統(tǒng)運(yùn)維管理結(jié)果記錄結(jié)果匯總問題分析整體測(cè)評(píng)從安全控制間、層面間、區(qū)域間和系統(tǒng)結(jié)構(gòu)等方面對(duì)單元測(cè)評(píng)的結(jié)果進(jìn)行驗(yàn)證、分析和整體評(píng)價(jià)。具體內(nèi)容參見信息安全技術(shù) 信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求。安全控制間安全測(cè)評(píng)層面間安全測(cè)評(píng)區(qū)域間安全測(cè)評(píng)系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng)測(cè)評(píng)結(jié)果匯總序號(hào)安全分類安全子類符合情況符合部分符合不符合1物理安全物理位置的選擇2物理訪問控制3防盜竊和防破壞4防雷擊5防火6防水和防潮7防靜電8溫濕度控制9電力供應(yīng)10電磁防護(hù)統(tǒng)計(jì)721一是以表格形式匯總測(cè)評(píng)結(jié)果。表格以不同顏色對(duì)測(cè)評(píng)結(jié)果進(jìn)行區(qū)分，部分符合的安全子類采用黃色標(biāo)識(shí)，不符合的安全子類采用紅色標(biāo)識(shí)。二是以柱狀圖形式統(tǒng)計(jì)不同設(shè)備和安全子類的測(cè)評(píng)結(jié)果。三是以表格形式匯總信息系