等級(jí)保護(hù)測(cè)評(píng)方案

等級(jí)保護(hù)測(cè)評(píng)方案目錄TOC\o"1-5"\h\z\o"CurrentDocument"測(cè)評(píng)概述 1\o"CurrentDocument"測(cè)評(píng)標(biāo)準(zhǔn) 1\o"CurrentDocument"測(cè)評(píng)目的 1\o"CurrentDocument"測(cè)評(píng)原則 1\o"CurrentDocument"風(fēng)險(xiǎn)和規(guī)避 2測(cè)評(píng)手段 3測(cè)評(píng)方法 3測(cè)評(píng)工具 .4\o"CurrentDocument"測(cè)評(píng)內(nèi)容 4\o"CurrentDocument"單元測(cè)評(píng)實(shí)施 .4\o"CurrentDocument"物理安全 .4\o"CurrentDocument"網(wǎng)絡(luò)安全 5\o"CurrentDocument"主機(jī)數(shù)據(jù)庫(kù)系統(tǒng)安全 6\o"CurrentDocument"應(yīng)用安全 .6\o"CurrentDocument"數(shù)據(jù)安全 .7\o"CurrentDocument"安全管理機(jī)構(gòu) 7\o"CurrentDocument"安全管理制度 8\o"CurrentDocument"人員安全管理 8\o"CurrentDocument"系統(tǒng)建設(shè)管理 8\o"CurrentDocument"系統(tǒng)運(yùn)維管理 9\o"CurrentDocument"系統(tǒng)測(cè)評(píng)實(shí)施 11\o"CurrentDocument"安全控制間安全測(cè)評(píng) 11\o"CurrentDocument"層面間安全測(cè)評(píng) 12\o"CurrentDocument"區(qū)域間安全測(cè)評(píng) 12\o"CurrentDocument"系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng) 12\o"CurrentDocument"測(cè)評(píng)工作流程 13\o"CurrentDocument"4.1. 工作流程綜述 13\o"CurrentDocument"測(cè)評(píng)準(zhǔn)備階段 14\o"CurrentDocument"項(xiàng)目啟動(dòng) 14\o"CurrentDocument"信息收集和分析 15\o"CurrentDocument"編制測(cè)評(píng)方案 15工具和文檔準(zhǔn)備 16\o"CurrentDocument"現(xiàn)場(chǎng)實(shí)施階段 16方案確認(rèn)和資源協(xié)調(diào) 16\o"CurrentDocument"現(xiàn)場(chǎng)測(cè)評(píng)和結(jié)果記錄 17\o"CurrentDocument"分析與報(bào)告編制階段 17\o"CurrentDocument"分析測(cè)評(píng)結(jié)果 17\o"CurrentDocument"形成等級(jí)測(cè)評(píng)結(jié)論 18\o"CurrentDocument"編制測(cè)評(píng)報(bào)告 18\o"CurrentDocument"測(cè)評(píng)計(jì)劃 19測(cè)評(píng)概述本測(cè)評(píng)的委托單位是宜保通金融服務(wù)集團(tuán)。根據(jù)《廣東省計(jì)算機(jī)信息統(tǒng)安全保護(hù)條例》和《廣東省公安廳關(guān)于計(jì)算機(jī)信息系統(tǒng)安全保護(hù)的實(shí)施辦法》［粵公通字〔2008〕228號(hào)］的要求，以及雙方簽訂的等級(jí)測(cè)評(píng)服務(wù)合同，我方參照信息安全等級(jí)保護(hù)技術(shù)標(biāo)準(zhǔn)，對(duì)合同約定的被測(cè)系統(tǒng)實(shí)施等級(jí)測(cè)評(píng)。測(cè)評(píng)標(biāo)準(zhǔn)■《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求》(GB/T22239-2008)；■《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》(GB/T28448-2012)；《信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南》(GB/T25058-2010)；《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》(GB17859-1999)《信息系統(tǒng)等級(jí)保護(hù)等級(jí)定級(jí)指南》(GB/T22240-2008)；《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》(GB/T20984-2007)；。測(cè)評(píng)目的通過(guò)本次安全等級(jí)測(cè)評(píng)，不僅可以檢驗(yàn)被測(cè)系統(tǒng)是否符合《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》中對(duì)信息系統(tǒng)采取安全保護(hù)措施的要求，還可以全面、完整地了解信息安全等級(jí)保護(hù)要求的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況以及系統(tǒng)的整體安全性，出具安全等級(jí)測(cè)評(píng)的結(jié)論；指出該系統(tǒng)存在的安全問(wèn)題并提出相應(yīng)的整改建議，為委托方進(jìn)一步完善被評(píng)估系統(tǒng)安全管理策略、采取適當(dāng)?shù)陌踩Ｕ洗胧┨峁┮罁?jù)。測(cè)評(píng)原則客觀性和公正性原則測(cè)評(píng)工作雖然不能完全擺脫個(gè)人主張或判斷，但測(cè)評(píng)人員應(yīng)當(dāng)在沒(méi)有偏見(jiàn)和最小主觀判斷情形下，按照測(cè)評(píng)雙方相互認(rèn)可的測(cè)評(píng)方案，基于明確定義的測(cè)評(píng)方法和過(guò)程，實(shí)施測(cè)評(píng)活動(dòng)。經(jīng)濟(jì)性和可重用性原則基于測(cè)評(píng)成本和工作復(fù)雜性考慮，鼓勵(lì)測(cè)評(píng)工作重用以前的測(cè)評(píng)結(jié)果，包等級(jí)保護(hù)評(píng)測(cè)方案括商業(yè)安全產(chǎn)品測(cè)評(píng)結(jié)果和信息系統(tǒng)先前的安全測(cè)評(píng)結(jié)果。所有重用的結(jié)果，都應(yīng)基于這些結(jié)果還能適用于目前的系統(tǒng)，能反映目前系統(tǒng)的安全狀態(tài)。3） 可重復(fù)性和可再現(xiàn)性原則無(wú)論誰(shuí)執(zhí)行測(cè)評(píng)，依照同樣的要求，使用同樣的方法，對(duì)每個(gè)測(cè)評(píng)實(shí)施過(guò)程的重復(fù)執(zhí)行都應(yīng)該得到同樣的測(cè)評(píng)結(jié)果?？稍佻F(xiàn)性體現(xiàn)在不同測(cè)評(píng)者執(zhí)行相同測(cè)評(píng)的結(jié)果的一致性?？芍貜?fù)性體現(xiàn)在同一測(cè)評(píng)者重復(fù)執(zhí)行相同測(cè)評(píng)的結(jié)果的一致性。4） 符合性和整體性原則測(cè)評(píng)所產(chǎn)生的結(jié)果應(yīng)當(dāng)是在對(duì)測(cè)評(píng)指標(biāo)的正確理解下所取得的良好的判斷。測(cè)評(píng)實(shí)施過(guò)程應(yīng)當(dāng)使用正確的方法以確保其滿足了測(cè)評(píng)指標(biāo)的要求。整體性體現(xiàn)在等級(jí)測(cè)評(píng)的范圍和內(nèi)容應(yīng)當(dāng)系統(tǒng)、全面，覆蓋信息系統(tǒng)安全所涉及的各個(gè)層面，并考慮各個(gè)層面的相互關(guān)系。5） 最小影響和保密性原則測(cè)評(píng)工作應(yīng)盡可能小地影響網(wǎng)絡(luò)和系統(tǒng)的正常運(yùn)行，不能對(duì)系統(tǒng)的業(yè)務(wù)產(chǎn)生顯著影響。保密性體現(xiàn)在對(duì)測(cè)評(píng)過(guò)程中所接觸到的被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位的所有敏感信息，測(cè)評(píng)人員應(yīng)遵循相關(guān)的保密承諾，不利用它們進(jìn)行任何侵害被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位安全利益的行為。1.4.風(fēng)險(xiǎn)和規(guī)避在進(jìn)行等級(jí)測(cè)評(píng)過(guò)程中可能存在以下風(fēng)險(xiǎn)：1） 驗(yàn)證測(cè)試對(duì)運(yùn)行系統(tǒng)可能會(huì)造成影響在現(xiàn)場(chǎng)測(cè)評(píng)時(shí)，需要對(duì)設(shè)備和系統(tǒng)進(jìn)行一定的驗(yàn)證測(cè)試工作，部分測(cè)試內(nèi)容需要上機(jī)查看一些信息，這就可能對(duì)系統(tǒng)的運(yùn)行造成一定的影響，甚至存在誤操作的可能。2） 工具測(cè)試對(duì)運(yùn)行系統(tǒng)可能會(huì)造成影響在現(xiàn)場(chǎng)測(cè)評(píng)時(shí)，會(huì)使用一些技術(shù)測(cè)試工具進(jìn)行漏洞掃描測(cè)試、性能測(cè)試。測(cè)試可能會(huì)對(duì)系統(tǒng)的負(fù)載造成一定的影響，漏洞掃描測(cè)試可能對(duì)服務(wù)器和網(wǎng)絡(luò)通訊造成一定影響甚至傷害。3） 敏感信息泄漏泄漏被檢測(cè)單位信息系統(tǒng)狀態(tài)信息，如網(wǎng)絡(luò)拓?fù)?、IP地址、業(yè)務(wù)流程、安等級(jí)保護(hù)評(píng)測(cè)方案全機(jī)制、安全隱患和有關(guān)文檔信息。在等級(jí)測(cè)評(píng)過(guò)程中可以通過(guò)采取以下措施規(guī)避風(fēng)險(xiǎn)：1） 現(xiàn)場(chǎng)測(cè)評(píng)工作風(fēng)險(xiǎn)的規(guī)避進(jìn)行驗(yàn)證測(cè)試和工具測(cè)試時(shí)，測(cè)評(píng)機(jī)構(gòu)需要與測(cè)評(píng)委托單位充分的協(xié)調(diào)，安排好測(cè)試時(shí)間，盡量避開(kāi)業(yè)務(wù)高峰期，在系統(tǒng)資源處于空閑狀態(tài)時(shí)進(jìn)行，并需要被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位對(duì)整個(gè)測(cè)試過(guò)程進(jìn)行監(jiān)督；在進(jìn)行驗(yàn)證測(cè)試和工具測(cè)試前，需要對(duì)關(guān)鍵數(shù)據(jù)做好備份工作，并對(duì)可能出現(xiàn)的影響制定相應(yīng)的處理方案；上機(jī)驗(yàn)證測(cè)試原則上由被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位相應(yīng)的技術(shù)人員進(jìn)行操作，測(cè)評(píng)人員根據(jù)情況提出需要操作的內(nèi)容，并進(jìn)行查看和驗(yàn)證，避免由于測(cè)評(píng)人員對(duì)某些專用設(shè)備不熟悉造成誤操作；測(cè)評(píng)機(jī)構(gòu)使用的測(cè)試工具在使用前應(yīng)事先告知被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位，并詳細(xì)介紹這些工具的用途以及可能對(duì)信息系統(tǒng)造成的影響，征得其同意。必要時(shí)先進(jìn)行一些試驗(yàn)。2） 簽署保密協(xié)議測(cè)評(píng)雙方應(yīng)簽署完善的、合乎法律規(guī)范的保密協(xié)議，以約束測(cè)評(píng)雙方現(xiàn)在及將來(lái)的行為。保密協(xié)議規(guī)定了測(cè)評(píng)雙方保密方面的權(quán)利與義務(wù)。測(cè)評(píng)工作的成果屬被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位所有，測(cè)評(píng)機(jī)構(gòu)對(duì)其的引用與公開(kāi)應(yīng)得到被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位的授權(quán)，否則被測(cè)系統(tǒng)運(yùn)營(yíng)、使用單位將按照保密協(xié)議的要求追究測(cè)評(píng)機(jī)構(gòu)的法律責(zé)任。測(cè)評(píng)手段2.1.測(cè)評(píng)方法安全測(cè)評(píng)的主要方法有：訪談、檢查和測(cè)試。?訪談訪談是指測(cè)評(píng)人員通過(guò)與信息系統(tǒng)有關(guān)人員（個(gè)人/群體）進(jìn)行交流、討論等活動(dòng)，獲取相關(guān)證據(jù)以表明信息系統(tǒng)安全保護(hù)措施是否有效落實(shí)的一種方法。在訪談范圍上，應(yīng)基本覆蓋所有的安全相關(guān)人員類型，在數(shù)量上可以抽樣。?檢查檢查是指測(cè)評(píng)人員通過(guò)對(duì)測(cè)評(píng)對(duì)象進(jìn)行觀察、查驗(yàn)、分析等活動(dòng)，獲取相關(guān)證據(jù)以證明信息系統(tǒng)安全保護(hù)措施是否有效實(shí)施的一種方法。在檢查范圍上，應(yīng)基本覆蓋所有的對(duì)象種類（設(shè)備、文檔、機(jī)制等），數(shù)量上可以抽樣。等級(jí)保護(hù)評(píng)測(cè)方案測(cè)試測(cè)試是指測(cè)評(píng)人員針對(duì)測(cè)評(píng)對(duì)象按照預(yù)定的方法/工具使其產(chǎn)生特定的響應(yīng)，通過(guò)查看和分析響應(yīng)的輸出結(jié)果，獲取證據(jù)以證明信息系統(tǒng)安全保護(hù)措施是否得以有效實(shí)施的一種方法。在測(cè)試范圍上，應(yīng)基本覆蓋不同類型的機(jī)制，在數(shù)量上可以抽樣。2?2.測(cè)評(píng)工具主要使用到的測(cè)評(píng)工具有：綠盟安全評(píng)估系統(tǒng)RSAS。具體描述如下表:序號(hào)工具名稱工具描述01綠盟安全評(píng)估系統(tǒng)RSAS可以對(duì)操作系統(tǒng)，網(wǎng)絡(luò)設(shè)備和數(shù)據(jù)庫(kù)的等多種設(shè)備的掃描規(guī)則庫(kù)，漏洞庫(kù)遵循CVE，CAN和MS等國(guó)際標(biāo)準(zhǔn)。為了發(fā)揮測(cè)評(píng)工具的作用，達(dá)到測(cè)評(píng)的目的，各種測(cè)評(píng)工具需要接入到被測(cè)評(píng)的信息系統(tǒng)網(wǎng)絡(luò)中，并需要配置恰當(dāng)?shù)木W(wǎng)絡(luò)IP地址。測(cè)評(píng)內(nèi)容單元測(cè)評(píng)實(shí)施把測(cè)評(píng)指標(biāo)內(nèi)容和測(cè)評(píng)方法結(jié)合到被測(cè)信息系統(tǒng)的具體測(cè)評(píng)對(duì)象上，就構(gòu)成了一個(gè)個(gè)可以具體測(cè)評(píng)實(shí)施的工作單元。本章按層面，從技術(shù)上的物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全五個(gè)層面和管理上的安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方面分別描述單元測(cè)評(píng)實(shí)施的主要內(nèi)容。物理安全物理安全層面測(cè)評(píng)實(shí)施過(guò)程涉及10個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01物理位置的選擇通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房等過(guò)程，測(cè)評(píng)主機(jī)房和輔機(jī)房等信息系統(tǒng)物理場(chǎng)所在位置上是否具有防震、防風(fēng)和防雨等多方面的安全防范能力。02物理訪問(wèn)控制通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房出入口、機(jī)房分區(qū)域情況等過(guò)程，測(cè)評(píng)信息系統(tǒng)在物理訪問(wèn)控制方面的安全防范能力。03防盜竊和防破壞通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房主要設(shè)備、介質(zhì)和防序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述盜報(bào)警系統(tǒng)等過(guò)程，測(cè)評(píng)信息系統(tǒng)是否采取必要的措施預(yù)防設(shè)備、介質(zhì)等丟失和被破壞。04防雷擊通過(guò)訪談物理安全負(fù)責(zé)人，檢查機(jī)房設(shè)計(jì)/驗(yàn)收文檔，測(cè)評(píng)信息系統(tǒng)是否采取相應(yīng)的措施預(yù)防雷擊。05防火通過(guò)訪談物理安全負(fù)責(zé)人，檢查機(jī)房設(shè)計(jì)/驗(yàn)收文檔，檢查機(jī)房防火設(shè)備等過(guò)程，測(cè)評(píng)信息系統(tǒng)是否采取必要的措施防止火災(zāi)的發(fā)生。06防水和防潮通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房和除潮設(shè)備等過(guò)程，測(cè)評(píng)信息系統(tǒng)是否采取必要措施來(lái)防止水災(zāi)和機(jī)房潮濕。07防靜電通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房等過(guò)程，測(cè)評(píng)信息系統(tǒng)是否采取必要措施防止靜電的產(chǎn)生。08溫濕度控制通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房恒溫恒濕系統(tǒng)，測(cè)評(píng)信息系統(tǒng)是否采取必要措施對(duì)機(jī)房?jī)?nèi)的溫濕度進(jìn)行控制。09電力供應(yīng)通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房供電線路、設(shè)備等過(guò)程，測(cè)評(píng)信息系統(tǒng)是否具備提供一定的電力供應(yīng)能力。10電磁防護(hù)通過(guò)訪談物理安全負(fù)責(zé)人，檢查主要設(shè)備等過(guò)程，測(cè)評(píng)信息系統(tǒng)是否具備一定的電磁防護(hù)能力。3.1.2.網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全層面測(cè)評(píng)實(shí)施過(guò)程涉及7個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01網(wǎng)絡(luò)結(jié)構(gòu)安全通過(guò)訪談網(wǎng)絡(luò)管理員，檢查網(wǎng)絡(luò)拓?fù)淝闆r、抽查核心交換機(jī)等網(wǎng)絡(luò)互聯(lián)、安全設(shè)備，測(cè)試系統(tǒng)訪問(wèn)路徑和網(wǎng)絡(luò)帶寬分配情況等過(guò)程，測(cè)評(píng)分析網(wǎng)絡(luò)架構(gòu)與網(wǎng)段劃分、隔離等情況的合理性和有效性。02網(wǎng)絡(luò)訪問(wèn)控制通過(guò)訪談安全員，檢查交換機(jī)等網(wǎng)絡(luò)訪問(wèn)控制設(shè)備，測(cè)試系統(tǒng)對(duì)外暴露安全漏洞情況等過(guò)程，測(cè)評(píng)分析信息系統(tǒng)對(duì)網(wǎng)絡(luò)區(qū)域邊界相關(guān)的網(wǎng)絡(luò)隔離與訪問(wèn)控制能力。03網(wǎng)絡(luò)安全審計(jì)通過(guò)訪談審計(jì)員，檢查核心交換機(jī)等網(wǎng)絡(luò)互聯(lián)、審計(jì)設(shè)備的安全審計(jì)情況等，測(cè)評(píng)分析信息系統(tǒng)審計(jì)配置和審計(jì)記錄保護(hù)情況。04邊界完整性檢查通過(guò)訪談安全員，檢查邊界完整性檢查設(shè)備，接入邊界完整性檢查設(shè)備進(jìn)行測(cè)試等過(guò)程，測(cè)評(píng)分析信息系統(tǒng)私自聯(lián)到外部網(wǎng)絡(luò)的行為。05網(wǎng)絡(luò)入侵防范通過(guò)訪談安全員，檢查網(wǎng)絡(luò)邊界處的入侵檢查設(shè)備等，測(cè)評(píng)分析信息系統(tǒng)對(duì)攻擊行為的識(shí)別和處理情況。

序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述06惡意代碼防范通過(guò)訪談安全員，檢查網(wǎng)絡(luò)防惡意代碼產(chǎn)品等，測(cè)評(píng)分析信息系統(tǒng)網(wǎng)絡(luò)邊界和交易網(wǎng)段對(duì)病毒等惡意代碼的防護(hù)情況。07網(wǎng)絡(luò)設(shè)備防護(hù)通過(guò)訪談網(wǎng)絡(luò)管理員，檢查核心交換機(jī)等網(wǎng)絡(luò)設(shè)備，查看它們的安全配置情況，包括身份鑒別、權(quán)限分離、登錄失敗處理、限制非法登錄和登錄連接超時(shí)等，考察網(wǎng)絡(luò)設(shè)備自身的安全防范情況。3.1.3.主機(jī)數(shù)據(jù)庫(kù)系統(tǒng)安全主機(jī)系統(tǒng)安全層面測(cè)評(píng)實(shí)施過(guò)程涉及7個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01身份鑒別檢查信息系統(tǒng)各主機(jī)的身份標(biāo)識(shí)與鑒別和用戶登錄的配置情況。02訪問(wèn)控制檢查信息系統(tǒng)各主機(jī)的自主訪問(wèn)控制設(shè)置情況，包括安全策略覆蓋、控制粒度以及權(quán)限設(shè)置情況等。03安全審計(jì)檢查信息系統(tǒng)各主機(jī)的安全審計(jì)的配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查安全審計(jì)進(jìn)程和記錄的保護(hù)情況。04系統(tǒng)保護(hù)檢查信息系統(tǒng)各主機(jī)在運(yùn)行中的系統(tǒng)保護(hù)能力；檢查是否提供手動(dòng)或者自動(dòng)恢復(fù)運(yùn)行的功能。05剩余信息保護(hù)檢查信息系統(tǒng)各主機(jī)的剩余信息保護(hù)情況，如將用戶鑒別信息以及文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間再分配時(shí)的處理情況。06惡意代碼防范檢查信息系統(tǒng)各主機(jī)的惡意代碼防范情況。07系統(tǒng)資源控制檢查信息系統(tǒng)各主機(jī)的系統(tǒng)資源控制情況，如會(huì)話限定、用戶登錄限制、最大并發(fā)連接以及服務(wù)優(yōu)先級(jí)設(shè)置等。3.1.4.應(yīng)用安全應(yīng)用安全層面測(cè)評(píng)實(shí)施過(guò)程涉及9個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01身份鑒別檢查系統(tǒng)的身份標(biāo)識(shí)與鑒別功能設(shè)置和使用配置情況；檢查系統(tǒng)對(duì)用戶登錄各種情況的處理，如登錄失敗處理、登錄連接超時(shí)等。02訪問(wèn)控制檢查系統(tǒng)的訪問(wèn)控制功能設(shè)置情況，如訪問(wèn)控制的策略、訪問(wèn)控制粒度、權(quán)限設(shè)置情況等。

序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述03安全審計(jì)檢查系統(tǒng)的安全審計(jì)配置情況，如覆蓋范圍、記錄的項(xiàng)目和內(nèi)容等；檢查系統(tǒng)安全審計(jì)進(jìn)程和記錄的保護(hù)情況。04剩余信息保護(hù)檢查系統(tǒng)的剩余信息保護(hù)情況，如將用戶鑒別信息以及文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間再分配時(shí)的處理情況。05通信完整性檢查系統(tǒng)客戶端和服務(wù)器端之間的通信完整性保護(hù)情況。06通信保密性檢查分析系統(tǒng)客戶端和服務(wù)器端之間的通信保密性保護(hù)情況。07抗抵賴檢查分析系統(tǒng)客戶端和服務(wù)器端之間的抗抵賴情況。08軟件容錯(cuò)檢查系統(tǒng)的軟件容錯(cuò)能力，如輸入輸出格式檢查、自我狀態(tài)監(jiān)控、自我保護(hù)、回退等能力。09資源控制檢查系統(tǒng)的資源控制情況，如會(huì)話限定、用戶登錄限制、最大并發(fā)連接以及服務(wù)優(yōu)先級(jí)設(shè)置等。3.1.5,數(shù)據(jù)安全數(shù)據(jù)安全層面測(cè)評(píng)實(shí)施過(guò)程涉及3個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01數(shù)據(jù)完整性檢查系統(tǒng)的操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)和網(wǎng)絡(luò)設(shè)備的管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸和保存過(guò)程中的完整性保護(hù)情況。02數(shù)據(jù)保密性檢查系統(tǒng)的操作系統(tǒng)和數(shù)據(jù)庫(kù)管理系統(tǒng)的管理數(shù)據(jù)、鑒別信息和用戶數(shù)據(jù)在傳輸和保存過(guò)程中的保密性保護(hù)情況。03安全備份檢查系統(tǒng)的安全備份情況，如重要信息的備份（包括本地備份和異地備份）、硬件冗余以及業(yè)務(wù)系統(tǒng)的熱備等。3.1.6.安全管理機(jī)構(gòu)安全管理機(jī)構(gòu)測(cè)評(píng)實(shí)施過(guò)程涉及5個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01崗位設(shè)置通過(guò)訪談安全主管，檢查部門/崗位職責(zé)文件，測(cè)評(píng)被測(cè)系統(tǒng)內(nèi)的安全主管部門設(shè)置情況以及各崗位設(shè)置情況。02人員配備通過(guò)訪談安全主管，檢查人員名單等文檔，測(cè)評(píng)被測(cè)系統(tǒng)內(nèi)各個(gè)崗位人員配備情況以及關(guān)鍵崗位的輪崗情況。

03授權(quán)和審批通過(guò)訪談安全主管，檢查相關(guān)文檔，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)重要活動(dòng)的授權(quán)和審批情況。04溝通與合作通過(guò)訪談安全主管，檢查相關(guān)文檔，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)內(nèi)部部門、外部單位間的溝通與合作情況。05審核與檢查通過(guò)訪談安全主管，檢查相關(guān)制度文檔和管理要求文檔等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)安全工作的審核和檢查情況。3.1.7.安全管理制度安全管理制度測(cè)評(píng)實(shí)施過(guò)程涉及3個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01管理制度通過(guò)訪談安全主管，檢查有關(guān)管理制度體系文檔等過(guò)程，測(cè)評(píng)管理制度體系在內(nèi)容覆蓋上是否全面、完善。02制定與發(fā)布通過(guò)訪談安全主管，檢查有關(guān)制度制定要求文檔等過(guò)程，測(cè)評(píng)管理制度的制定和發(fā)布過(guò)程是否遵循一定的流程。03評(píng)審和修訂通過(guò)訪談安全主管，檢查管理制度評(píng)審記錄等過(guò)程，測(cè)評(píng)管理制度定期評(píng)審和修訂情況。3.1.8.人員安全管理人員安全管理測(cè)評(píng)實(shí)施過(guò)程涉及5個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01人員錄用通過(guò)訪談人事負(fù)責(zé)人，檢查人員錄用文檔等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)在錄用人員時(shí)是否對(duì)人員提出要求以及是否對(duì)其進(jìn)行各種審查和考核。02人員離崗?fù)ㄟ^(guò)訪談人事負(fù)責(zé)人，檢查人員離崗要求文檔等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)在人員離崗時(shí)是否按照一定的手續(xù)辦理。03人員考核通過(guò)訪談安全主管，檢查有關(guān)考核記錄等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否對(duì)人員進(jìn)行日常的業(yè)務(wù)考核和工作審查。04安全意識(shí)教育和培訓(xùn)通過(guò)訪談安全主管，檢查培訓(xùn)計(jì)劃和執(zhí)行記錄等文檔，測(cè)評(píng)被測(cè)系統(tǒng)是否對(duì)人員進(jìn)行安全方面的教育和培訓(xùn)。05第三方人員訪問(wèn)管理通過(guò)訪談安全主管，檢查有關(guān)文檔等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)第三方人員訪問(wèn)（物理、邏輯）系統(tǒng)和系統(tǒng)是否采取必要控制措施。3.1.9.系統(tǒng)建設(shè)管理系統(tǒng)建設(shè)管理測(cè)評(píng)實(shí)施過(guò)程涉及9個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述

序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01系統(tǒng)定級(jí)通過(guò)訪談安全主管，檢查系統(tǒng)定級(jí)相關(guān)文檔等過(guò)程，測(cè)評(píng)系統(tǒng)和系統(tǒng)是否按照一定要求確定其等級(jí)。02安全方案設(shè)計(jì)通過(guò)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，檢查系統(tǒng)安全建設(shè)計(jì)劃等文檔，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)系統(tǒng)整體的安全規(guī)劃設(shè)計(jì)是否按照一定流程進(jìn)行。03產(chǎn)品采購(gòu)?fù)ㄟ^(guò)訪談安全主管、系統(tǒng)建設(shè)負(fù)責(zé)人，檢查相關(guān)采購(gòu)制度等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否按照一定的要求進(jìn)行產(chǎn)品采購(gòu)。04自行軟件開(kāi)發(fā)通過(guò)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，檢查相關(guān)軟件開(kāi)發(fā)文檔和管理制度文檔，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)自行開(kāi)發(fā)的軟件是否采取必要的措施保證開(kāi)發(fā)過(guò)程的安全性。05外包軟件開(kāi)發(fā)通過(guò)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，檢查相關(guān)文檔，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)外包開(kāi)發(fā)的軟件是否采取必要的措施保證開(kāi)發(fā)過(guò)程和日后的維護(hù)工作能夠正常開(kāi)展。06工程實(shí)施通過(guò)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，檢查相關(guān)制度文檔和實(shí)施文檔，測(cè)評(píng)被測(cè)系統(tǒng)對(duì)系統(tǒng)建設(shè)的實(shí)施過(guò)程是否采取必要的措施使其在機(jī)構(gòu)可控的范圍內(nèi)進(jìn)行。07測(cè)試驗(yàn)收通過(guò)訪談系統(tǒng)建設(shè)負(fù)責(zé)人，檢查相關(guān)制度文檔和測(cè)試驗(yàn)收文檔，測(cè)評(píng)被測(cè)系統(tǒng)在信息系統(tǒng)運(yùn)行前是否對(duì)其進(jìn)行測(cè)試驗(yàn)收工作。08系統(tǒng)交付通過(guò)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，檢查系統(tǒng)交付清單和系統(tǒng)交付管理制度等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)系統(tǒng)交付過(guò)程進(jìn)行有效控制。09安全服務(wù)商選擇通過(guò)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，測(cè)評(píng)被測(cè)系統(tǒng)是否選擇符合國(guó)家有關(guān)規(guī)定的安全服務(wù)單位進(jìn)行相關(guān)的安全服務(wù)工作。3.1.10.系統(tǒng)運(yùn)維管理系統(tǒng)運(yùn)維管理測(cè)評(píng)實(shí)施過(guò)程涉及13個(gè)工作單元，具體如下表:序號(hào)控制點(diǎn)測(cè)評(píng)實(shí)施描述01環(huán)境管理通過(guò)訪談物理安全負(fù)責(zé)人，檢查主機(jī)房安全管理制度和辦公環(huán)境管理文檔等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)主機(jī)房的出入控制和辦公環(huán)境的人員行為等方面進(jìn)行安全管理。02資產(chǎn)管理通過(guò)訪談資產(chǎn)管理員，檢查資產(chǎn)清單和系統(tǒng)、網(wǎng)絡(luò)設(shè)備等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)信息系統(tǒng)資產(chǎn)進(jìn)行分類標(biāo)識(shí)管理。

03介質(zhì)管理通過(guò)訪談資產(chǎn)管理員，檢查介質(zhì)管理記錄、介質(zhì)安全管理制度以及各類介質(zhì)等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)介質(zhì)存放環(huán)境、使用、維護(hù)和銷毀等方面進(jìn)行管理。04設(shè)備管理通過(guò)訪談資產(chǎn)管理員、系統(tǒng)管理員，檢查設(shè)備使用管理文檔和設(shè)備操作規(guī)程等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施確保設(shè)備在使用、維護(hù)和銷毀等過(guò)程安全。05監(jiān)控管理通過(guò)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，檢查監(jiān)控記錄文檔等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)重要主機(jī)的運(yùn)行和訪問(wèn)權(quán)限進(jìn)行監(jiān)控管理。06系統(tǒng)安全管理通過(guò)訪談安全主管、系統(tǒng)管理員，檢查系統(tǒng)安全管理制度、系統(tǒng)審計(jì)日志和系統(tǒng)漏洞掃描報(bào)告等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)信息系統(tǒng)的安全配置、系統(tǒng)賬戶、漏洞掃描和審計(jì)日志等方面進(jìn)行有效的管理。07網(wǎng)絡(luò)安全管理通過(guò)訪談安全主管、網(wǎng)絡(luò)管理員，檢查網(wǎng)絡(luò)安全管理制度、網(wǎng)絡(luò)審計(jì)日志和網(wǎng)絡(luò)漏洞掃描報(bào)告等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)網(wǎng)絡(luò)的安全配置、網(wǎng)絡(luò)用戶權(quán)限和審計(jì)日志等方面進(jìn)行有效的管理，確保網(wǎng)絡(luò)安全運(yùn)行。08惡意代碼防護(hù)管理通過(guò)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，檢查惡意代碼防范管理制度和惡意代碼檢測(cè)、分析記錄等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)惡意代碼進(jìn)行集中管理，確保信息系統(tǒng)具有惡意代碼防范能力。09密碼管理通過(guò)訪談安全員，檢查密碼管理制度等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否能夠確保信息系統(tǒng)中密碼算法和密鑰的使用符合國(guó)家密碼管理規(guī)定。10變更管理通過(guò)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，檢查變更方案和變更管理制度等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)系統(tǒng)發(fā)生的變更進(jìn)行有效管理。11備份和恢復(fù)管理通過(guò)訪談系統(tǒng)管理員、網(wǎng)絡(luò)管理員，檢查系統(tǒng)備份管理文檔和記錄等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)數(shù)據(jù)、設(shè)備和系統(tǒng)進(jìn)行備份，并確保必要時(shí)能夠?qū)π畔⑾到y(tǒng)進(jìn)行有效地恢復(fù)。12安全事件處置通過(guò)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，檢查安全事件記錄分析文檔、安全事件報(bào)告和處置管理制度等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否采取必要的措施對(duì)安全事件進(jìn)行等級(jí)劃分和對(duì)安全事件的報(bào)告、處理過(guò)程進(jìn)行有效的管理。13應(yīng)急預(yù)案管理通過(guò)訪談系統(tǒng)運(yùn)維負(fù)責(zé)人，檢查應(yīng)急響應(yīng)預(yù)案文檔，應(yīng)急預(yù)案培訓(xùn)記錄等過(guò)程，測(cè)評(píng)被測(cè)系統(tǒng)是否針對(duì)不同安全事件制定相應(yīng)的應(yīng)急預(yù)案，是否對(duì)應(yīng)急預(yù)案展開(kāi)培訓(xùn)、演練和審查等。3.2.系統(tǒng)測(cè)評(píng)實(shí)施信息系統(tǒng)的安全控制綜合集成到信息系統(tǒng)后，會(huì)在層面內(nèi)、層面間和區(qū)域間產(chǎn)生連接、交互、依賴、協(xié)調(diào)、協(xié)同等相互關(guān)聯(lián)關(guān)系，共同作用于信息系統(tǒng)的安全功能，使信息系統(tǒng)的整體安全功能與信息系統(tǒng)的結(jié)構(gòu)以及安全控制間、層面間和區(qū)域間的相互關(guān)聯(lián)關(guān)系密切相關(guān)，在整體上呈現(xiàn)出一種集成特性。這些集成特性在安全控制的工作單元中是沒(méi)有體現(xiàn)的。因此，在安全控制測(cè)評(píng)的基礎(chǔ)上，有必要對(duì)集成系統(tǒng)和運(yùn)行環(huán)境進(jìn)行整體測(cè)評(píng)，以確定安全控制部署、層面整合、區(qū)域互連乃至整體系統(tǒng)結(jié)構(gòu)等是否會(huì)增強(qiáng)或者削弱信息系統(tǒng)的整體安全保護(hù)能力；缺失或者低等級(jí)的安全控制是否會(huì)影響到系統(tǒng)的整體安全功能，在高等級(jí)的信息系統(tǒng)使用低等級(jí)的安全控制能否達(dá)到相應(yīng)等級(jí)的安全要求等，這些共同構(gòu)成系統(tǒng)整體測(cè)評(píng)。針對(duì)系統(tǒng)的情況，對(duì)其進(jìn)行的系統(tǒng)整體安全性測(cè)評(píng)包括：安全控制間安全測(cè)評(píng)、層面間安全測(cè)評(píng)、區(qū)域間安全測(cè)評(píng)和系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng)等內(nèi)容。3.2.1.安全控制間安全測(cè)評(píng)安全控制間的安全測(cè)評(píng)主要考慮同一區(qū)域內(nèi)、同一層面上的不同安全控制間存在的功能增強(qiáng)、補(bǔ)充或削弱等關(guān)聯(lián)作用。從物理層面上看，主要網(wǎng)絡(luò)設(shè)備、服務(wù)器和數(shù)據(jù)庫(kù)管理系統(tǒng)都在機(jī)房，因此，應(yīng)測(cè)評(píng)分析機(jī)房各安全控制之間的關(guān)聯(lián)作用。其中，需重點(diǎn)關(guān)注物理訪問(wèn)控制與防盜竊和防破壞之間的安全功能互補(bǔ)情況。從網(wǎng)絡(luò)層面上看，其網(wǎng)絡(luò)系統(tǒng)區(qū)域劃分是明確的，同一區(qū)域中的網(wǎng)絡(luò)設(shè)備的安全功能也是較為明確的。但是，一般情況下網(wǎng)絡(luò)層面的網(wǎng)絡(luò)安全審計(jì)、惡意代碼防范等安全控制功能在大多數(shù)區(qū)域沒(méi)有使用專門的安全設(shè)備來(lái)執(zhí)行。因此，應(yīng)測(cè)評(píng)分析網(wǎng)絡(luò)層面其他安全控制（措施）是否提供補(bǔ)充作用，滿足這些安全功能的要求。對(duì)于主機(jī)系統(tǒng)層面，應(yīng)查看不同主機(jī)之間是否存在信任關(guān)系，是否存在共享相同的安全機(jī)制等（如主機(jī)身份集中鑒別）。如果不同主機(jī)之間存在安全功能上等級(jí)保護(hù)評(píng)測(cè)方案的削弱，如由于存在信任關(guān)系，可以從一臺(tái)機(jī)器作為跳板，侵入另外一臺(tái)機(jī)器。因此，需要分析這些安全功能之間的削弱作用。對(duì)于管理涉及的問(wèn)題大多數(shù)是全局性的，因此，對(duì)管理各個(gè)方面的安全控制應(yīng)重點(diǎn)查看其措施內(nèi)容是否能構(gòu)成一個(gè)完整的、全面的管理體系，并且這些管理制度都得到具體落實(shí)，有人員、環(huán)境和設(shè)備的保證。層面間安全測(cè)評(píng)層面間的安全測(cè)評(píng)主要考慮同一區(qū)域內(nèi)的不同層面之間存在的功能增強(qiáng)、補(bǔ)充和削弱等關(guān)聯(lián)作用。從系統(tǒng)的實(shí)際情況看，測(cè)評(píng)應(yīng)重點(diǎn)考慮物理層面和網(wǎng)絡(luò)層面、主機(jī)系統(tǒng)層面之間的關(guān)聯(lián)互補(bǔ)作用，如主機(jī)系統(tǒng)的身份鑒別存在的脆弱性是否可以通過(guò)物理層面的安全控制措施得到加強(qiáng)彌補(bǔ)。另外，網(wǎng)絡(luò)層面、應(yīng)用層面和主機(jī)系統(tǒng)層面與安全管理的系統(tǒng)運(yùn)維管理之間關(guān)系密切，應(yīng)關(guān)注他們之間的關(guān)聯(lián)互補(bǔ)作用。如考慮網(wǎng)絡(luò)層面的邊界完整性檢查安全功能是否通過(guò)采取恰當(dāng)?shù)陌踩芾泶胧┒玫綕M足等等。區(qū)域間安全測(cè)評(píng)區(qū)域間的安全測(cè)評(píng)主要考慮互連互通（包括物理上和邏輯上的互連互通等）的不同區(qū)域之間存在的安全功能增強(qiáng)、補(bǔ)充和削弱等關(guān)聯(lián)作用，特別是有數(shù)據(jù)交換的兩個(gè)不同區(qū)域。系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng)系統(tǒng)結(jié)構(gòu)安全測(cè)評(píng)主要考慮信息系統(tǒng)整體結(jié)構(gòu)的安全性和整體安全防范的合理性。在掌握系統(tǒng)的物理布局、網(wǎng)絡(luò)拓?fù)?、業(yè)務(wù)邏輯（業(yè)務(wù)數(shù)據(jù)流）、系統(tǒng)實(shí)現(xiàn)和集成方式等基礎(chǔ)上，結(jié)合系統(tǒng)的業(yè)務(wù)數(shù)據(jù)流分析物理布局與網(wǎng)絡(luò)拓?fù)渲g、網(wǎng)絡(luò)拓?fù)渑c業(yè)務(wù)邏輯之間、物理布局與業(yè)務(wù)邏輯之間、不同信息系統(tǒng)之間存在的各種關(guān)系，明確物理、網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)等不同位置上可能面臨的威脅、可能暴露的脆弱性等，綜合判定系統(tǒng)的整體布局是否合理、主要關(guān)系是否簡(jiǎn)單、整體是否安全有效等。在熟悉系統(tǒng)安全保護(hù)措施的具體實(shí)現(xiàn)方式和部署情況后，結(jié)合其業(yè)務(wù)數(shù)據(jù)流等級(jí)保護(hù)評(píng)測(cè)方案分析不同區(qū)域和不同邊界與安全保護(hù)措施的關(guān)系、重要業(yè)務(wù)和關(guān)鍵信息與安全保護(hù)措施的關(guān)系等，參照縱深防御的要求，識(shí)別系統(tǒng)的安全防范是否突出重點(diǎn)、層層深入，綜合判定系統(tǒng)的整體安全防范是否恰當(dāng)合理等。測(cè)評(píng)工作流程4.1.工作流程綜述為確保等級(jí)測(cè)評(píng)工作的順利開(kāi)展，應(yīng)首先了解等級(jí)測(cè)評(píng)的工作流程，然后按照工作流程中的活動(dòng)內(nèi)容有序地開(kāi)展等級(jí)測(cè)評(píng)工作。等級(jí)測(cè)評(píng)基本工作流程分為三個(gè)階段：測(cè)評(píng)準(zhǔn)備階段、現(xiàn)場(chǎng)實(shí)施階段以及分析與報(bào)告編制階段。測(cè)評(píng)準(zhǔn)備階段是開(kāi)展現(xiàn)場(chǎng)測(cè)評(píng)工作的前提和基礎(chǔ)，是整個(gè)等級(jí)測(cè)評(píng)過(guò)程有效性的保證。測(cè)評(píng)準(zhǔn)備工作是否充分直接關(guān)系到現(xiàn)場(chǎng)測(cè)評(píng)工作能否順利開(kāi)展。本階段的主要工作是掌握被測(cè)系統(tǒng)的詳細(xì)情況和為實(shí)施現(xiàn)場(chǎng)測(cè)評(píng)作好方案、文檔及測(cè)試工具等方面的準(zhǔn)備?，F(xiàn)場(chǎng)實(shí)施階段是開(kāi)展等級(jí)測(cè)評(píng)工作的關(guān)鍵階段。本階段的主要工作是按照測(cè)評(píng)方案的總體要求，嚴(yán)格執(zhí)行作業(yè)指導(dǎo)書(shū)，分步實(shí)施所有測(cè)評(píng)項(xiàng)目，包括單項(xiàng)測(cè)評(píng)和系統(tǒng)整體測(cè)評(píng)兩個(gè)方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問(wèn)題。分析與報(bào)告編制階段是等級(jí)測(cè)評(píng)工作的最后環(huán)節(jié)，是對(duì)被測(cè)系統(tǒng)整體安全保護(hù)能力的綜合評(píng)價(jià)過(guò)程。主要工作是根據(jù)現(xiàn)場(chǎng)測(cè)評(píng)結(jié)果和《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》的有關(guān)要求，通過(guò)單項(xiàng)測(cè)評(píng)結(jié)果判定和系統(tǒng)整體測(cè)評(píng)分析等方法，分析整個(gè)系統(tǒng)的安全保護(hù)現(xiàn)狀與相應(yīng)等級(jí)的保護(hù)要求之間的差距，給出測(cè)評(píng)結(jié)論，并編制測(cè)評(píng)報(bào)告等。等級(jí)測(cè)評(píng)項(xiàng)目啟動(dòng)信息收集和分析1F編制測(cè)評(píng)方案工具和文檔準(zhǔn)備■■■, m 方案確認(rèn)和資源協(xié)調(diào)溝：實(shí) i誓、實(shí) < 現(xiàn)場(chǎng)測(cè)評(píng)和結(jié)果記錄"段］ !談'段I 結(jié)果確認(rèn)和資料歸還; 與 分析測(cè)評(píng)結(jié)果|5I形成等級(jí)測(cè)評(píng)結(jié)論段 、…』* J 編制測(cè)評(píng)報(bào)告說(shuō)明：圖中虛線框中的活動(dòng)不是一個(gè)獨(dú)立的活動(dòng)過(guò)程，它貫穿等級(jí)測(cè)評(píng)的各個(gè)階段中，需要雙方配合共同完成等級(jí)測(cè)評(píng)工作。二1代表測(cè)評(píng)單位/人員單獨(dú)可以單獨(dú)完成的活動(dòng)過(guò)程，代表必須由被測(cè)評(píng)單位/人員參與、配合才能完成的活動(dòng)過(guò)程。圖4-1等級(jí)測(cè)評(píng)流程圖42測(cè)評(píng)準(zhǔn)備階段測(cè)評(píng)準(zhǔn)備階段主要完成啟動(dòng)測(cè)評(píng)項(xiàng)目，組建測(cè)評(píng)項(xiàng)目組；通過(guò)收集和分析被測(cè)系統(tǒng)的相關(guān)資料信息，掌握被測(cè)系統(tǒng)的大體情況；并通過(guò)編制測(cè)評(píng)方案以及準(zhǔn)備測(cè)評(píng)工具和文檔等任務(wù)，為順利實(shí)施現(xiàn)場(chǎng)測(cè)評(píng)工作打下良好的基礎(chǔ)。測(cè)評(píng)準(zhǔn)備階段實(shí)施的主要活動(dòng)包括:項(xiàng)目啟動(dòng)、信息收集和分析、編制測(cè)評(píng)方案及工具和文檔準(zhǔn)備。4.2.1.項(xiàng)目啟動(dòng)測(cè)評(píng)單位在項(xiàng)目啟動(dòng)過(guò)程中主要是組建等級(jí)測(cè)評(píng)工作組，從資料、人員、計(jì)劃安排等方面為整個(gè)等級(jí)測(cè)評(píng)項(xiàng)目的開(kāi)展做好準(zhǔn)備。首先，等級(jí)測(cè)評(píng)單位通過(guò)簽訂的《委托測(cè)評(píng)協(xié)議書(shū)》等資料以及與被測(cè)系統(tǒng)等級(jí)保護(hù)評(píng)測(cè)方案單位的溝通，了解被測(cè)系統(tǒng)的主要業(yè)務(wù)、范圍、規(guī)模、安全保護(hù)等級(jí)等情況，明確雙方的責(zé)任與義務(wù)等。然后，根據(jù)《委托測(cè)評(píng)協(xié)議書(shū)》的工作期限和技術(shù)能力等要求，組建等級(jí)測(cè)評(píng)工作組，從人員方面做好準(zhǔn)備，正式啟動(dòng)等級(jí)測(cè)評(píng)項(xiàng)目，并編制項(xiàng)目計(jì)劃書(shū)。項(xiàng)目計(jì)劃書(shū)的內(nèi)容一般包括項(xiàng)目概述、工作依據(jù)、技術(shù)思路、工作內(nèi)容和項(xiàng)目組織等幾個(gè)方面的內(nèi)容。信息收集和分析測(cè)評(píng)單位通過(guò)查閱資料（如定級(jí)報(bào)告等資料）或使用調(diào)查表單的方式，了解整個(gè)系統(tǒng)的構(gòu)成和保護(hù)情況，為編寫(xiě)測(cè)評(píng)方案、作業(yè)指導(dǎo)書(shū)和開(kāi)展現(xiàn)場(chǎng)測(cè)評(píng)工作奠定基礎(chǔ)。此過(guò)程的活動(dòng)主要包括：編制和發(fā)放調(diào)查表、協(xié)助填寫(xiě)調(diào)查表以及收回和分析調(diào)查結(jié)果等。被測(cè)評(píng)單位應(yīng)積極配合，組織人員認(rèn)真填寫(xiě)調(diào)查表、并為測(cè)評(píng)單位提供其所需要的資料。測(cè)評(píng)單位對(duì)填寫(xiě)完成的調(diào)查表單或查閱到的資料應(yīng)進(jìn)行必要的分析，以了解和熟悉被測(cè)系統(tǒng)的實(shí)際情況，分析的內(nèi)容包括：明確被測(cè)系統(tǒng)的范圍，包括整個(gè)被測(cè)信息系統(tǒng)的范圍及其邊界等，包括內(nèi)部邊界和外部邊界。明確被測(cè)系統(tǒng)包含的業(yè)務(wù)、業(yè)務(wù)類型、其業(yè)務(wù)信息安全性等級(jí)和業(yè)務(wù)服務(wù)保證性等級(jí)，以及信息系統(tǒng)保護(hù)措施的ASG類選擇情況。了解被測(cè)系統(tǒng)業(yè)務(wù)流程及相關(guān)的軟硬件設(shè)備和數(shù)據(jù)，分析重要數(shù)據(jù)信息產(chǎn)生、傳輸、處理及存儲(chǔ)的路徑和相關(guān)系統(tǒng)部件。了解被測(cè)系統(tǒng)的管理模式，明確安全管理主要責(zé)任部門和重要安全管理角色，如系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等的部門所屬和配備情況，以便確定現(xiàn)場(chǎng)測(cè)評(píng)時(shí)的訪談對(duì)象和配合人員。編制測(cè)評(píng)方案測(cè)評(píng)方案是等級(jí)測(cè)評(píng)工作實(shí)施的基礎(chǔ)，指導(dǎo)等級(jí)測(cè)評(píng)工作的現(xiàn)場(chǎng)實(shí)施過(guò)程。此過(guò)程的活動(dòng)主要包括：編制測(cè)評(píng)方案（包括編制配套的作業(yè)指導(dǎo)書(shū)）、評(píng)審和提交測(cè)評(píng)方案等。測(cè)評(píng)項(xiàng)目組負(fù)責(zé)人應(yīng)組織項(xiàng)目組人員，針對(duì)測(cè)評(píng)協(xié)議書(shū)中的測(cè)試技術(shù)要求和收集到的信息，在《測(cè)評(píng)要求》的指導(dǎo)下，選擇合適的測(cè)評(píng)對(duì)象、方式和工具，等級(jí)保護(hù)評(píng)測(cè)方案設(shè)計(jì)可操作的測(cè)評(píng)方案。測(cè)評(píng)方案編制完成后，應(yīng)提交被測(cè)評(píng)單位確認(rèn)。編制測(cè)評(píng)方案應(yīng)包括如下過(guò)程：分析和描述被測(cè)系統(tǒng)；確定人員分工和測(cè)評(píng)計(jì)劃；選擇測(cè)評(píng)對(duì)象；確定測(cè)評(píng)指標(biāo)；確定現(xiàn)場(chǎng)測(cè)評(píng)實(shí)施內(nèi)容，包括單項(xiàng)測(cè)評(píng)和系統(tǒng)整體測(cè)評(píng)；編制配套的作業(yè)指導(dǎo)書(shū)；匯總上述6個(gè)步驟的各類文檔和資料形成測(cè)評(píng)方案文稿。4.2.4.工具和文檔準(zhǔn)備測(cè)評(píng)項(xiàng)目組成員在進(jìn)行現(xiàn)場(chǎng)測(cè)評(píng)之前，應(yīng)做好各方面的準(zhǔn)備工作，具體包括：熟悉測(cè)評(píng)工具和打印各類表單等。準(zhǔn)備和打印各類表單文檔主要包括：測(cè)評(píng)方案；測(cè)評(píng)結(jié)果記錄表格（含測(cè)評(píng)人員入場(chǎng)和離場(chǎng)確認(rèn)）；現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書(shū)；文檔接收/歸還確認(rèn)單等。4.3.現(xiàn)場(chǎng)實(shí)施階段現(xiàn)場(chǎng)實(shí)施階段通過(guò)與被測(cè)信息系統(tǒng)單位進(jìn)行方案確認(rèn)和資源協(xié)調(diào)，跟被測(cè)方進(jìn)行良好溝通和協(xié)調(diào)，為現(xiàn)場(chǎng)測(cè)評(píng)的順利開(kāi)展打下良好基礎(chǔ)，然后依據(jù)測(cè)評(píng)方案實(shí)施現(xiàn)場(chǎng)測(cè)評(píng)、結(jié)果記錄、結(jié)果確認(rèn)、資料歸還等環(huán)節(jié)，將測(cè)評(píng)準(zhǔn)備階段的測(cè)評(píng)方案和測(cè)評(píng)工具等具體落實(shí)到測(cè)評(píng)實(shí)施過(guò)程中，現(xiàn)場(chǎng)測(cè)評(píng)需取得分析和報(bào)告編制階段所需的、足夠的證據(jù)和資料。現(xiàn)場(chǎng)實(shí)施階段的主要活動(dòng)包括：方案確認(rèn)和資源協(xié)調(diào)、現(xiàn)場(chǎng)測(cè)評(píng)和結(jié)果記錄、結(jié)果確認(rèn)和資料歸還。4.3.1.方案確認(rèn)和資源協(xié)調(diào)本過(guò)程是實(shí)施現(xiàn)場(chǎng)測(cè)評(píng)的啟動(dòng)環(huán)節(jié)，是保證測(cè)評(píng)單位現(xiàn)場(chǎng)測(cè)評(píng)能夠順利實(shí)施的前提。通過(guò)召開(kāi)測(cè)評(píng)現(xiàn)場(chǎng)首次會(huì)，在測(cè)評(píng)首次會(huì)議上對(duì)測(cè)評(píng)方案進(jìn)行最終審定，確認(rèn)現(xiàn)場(chǎng)測(cè)評(píng)需要的各種資源（包括被測(cè)單位的配合人員和需要提供的測(cè)評(píng)條件等），現(xiàn)場(chǎng)測(cè)評(píng)工作正式啟動(dòng)。4.3.2.現(xiàn)場(chǎng)測(cè)評(píng)和結(jié)果記錄測(cè)評(píng)人員在現(xiàn)場(chǎng)測(cè)評(píng)過(guò)程中應(yīng)嚴(yán)格執(zhí)行作業(yè)指導(dǎo)書(shū)，對(duì)試點(diǎn)系統(tǒng)的測(cè)評(píng)對(duì)象進(jìn)行現(xiàn)場(chǎng)測(cè)評(píng)（包括單項(xiàng)測(cè)評(píng)和系統(tǒng)整體測(cè)評(píng)兩個(gè)方面的測(cè)評(píng)內(nèi)容），在被測(cè)單位相關(guān)人員的積極