1、XXXXXX公司XXXXXX等级测评项目测评指导书XXXXXX信息安全测评技术中心2009 年 10 月第 2 页 共 109 页Document Control文档名称文档类型文档编号密 级日期 版本 编写者 描述 审核人员第 3 页 共 109 页目录第 1 章 安全管理测评指导书 .51.1 安全管理机构测评 .51.2 安全管理制度测评 .81.3 人员安全管理测评 .101.4 系统建设管理测评 .121.5 系统运维管理测评 .17第 2 章 物理安全测评指导书 .262.1 物理安全测评 .26第 3 章 网络安全测评指导书 .343.1 网络全局安全测评 .343.2 路由器安
2、全测评 .363.2.1 思科路由器安全测评 .363.3 交换机安全测评 .403.3.1 华为交换机安全测评 .403.3.2 思科交换机安全测评 .433.4 防火墙安全测评 .463.4.1 PIX 防火墙安全测评 .463.4.2 天融信防火墙安全测评 .483.4.3 华为防火墙安全测评 .513.5 远程拨号服务器安全测评 .533.6 入侵检测/防御系统安全测评 .54第 4 章 操作系统安全测评指导书 574.1 WINDOWS 操作系统安全测评 .574.2 TRU64 操作系统安全测评 614.3 LINUX 操作系统安全测评 694.4 SOLARIS 操作系统安全测评
3、 .744.5 AIX 操作系统安全测评 .78第 4 页 共 109 页第 5 章 应用系统安全测评指导书 825.1 应用系统安全测评 .825.2 IIS 应用安全测评 875.3 APACHE 应用安全测评 .89第 6 章 数据库安全测评指导书 936.1 SQL SERVER 数据库安全测评 .936.2 ORACLE 数据库安全测评 .986.3 SYBASE 数据库安全测评 103第 5 页 共 109 页第 1 章 安全管理测评指导书1.1 安全管理机构测评序号 测评指标 测评项 检测方法 预期结果a)设定管理部，定义各个方面的负责人岗位和职责访谈安全主管，管理机构，部门和各
4、负责人职责；检查核查各岗位职责范围和技能要求；b)定义各个岗位和职责(系统、网络、安全管理）访谈安全主管，岗位分工及相关职责；1岗位设置(G2)c)制定文件明确分工检查安全管理委员会职责文件。制度类文档要求部门设置、岗位设置及工作职责定义方面的管理制度证据类文档要求机构安全管理人员岗位名单2人员配备(G2)a) 配备系统、网络、安全管理员访谈安全主管， 岗位人员配备情况；检查安全管理人员名单；人员配备要求文档；制度类文档要求 安全保障人事管理制度第 6 页 共 109 页序号 测评指标 测评项 检测方法 预期结果b) 安全管理员是专职的检查安全管理人员名单；人员配备要求文档。a) 对关键活动授
5、权审批部门及批准人访谈安全主管，关键活动的审批部门，批准人是否得到授权，更新审批项目，审查周期；检查授权管理文件包括事项列表（审批、事项、程序），更新审批项目，审查周期；3授权和审批(G2)b)列表说明须审批的事项、部门和可批准人访谈关键活动的批准人，审批范围,审查程序；审批文档、签字和盖章。制度类文档要求授权和审批流程记录类文档要求各项审批和批准执行记录（来访人员进入机房审批、介质/设备外带审批、系统外联审批等）（外联接入、服务访问、配置变更、采购、外来人员访问和管理）第 7 页 共 109 页序号 测评指标 测评项 检测方法 预期结果a）内部沟通，定期召开会议访谈安全主管，与外单位和其他部
6、门合作内容，沟通、合作方式有哪些； 安全主管，部门间协调会议,安全管理机构内部会议，信息安全领导小组例会；安全管理人员，与外单位和其他部门人员主要沟通内容；检查部门间协调会议文件；b）职能部门召开会议协调安全工作实施检查安全工作会议文件；4沟通和合作（G2)c）加强公安，电信的合作与沟通检查外联单位说明文档；记录类文档要求各类会议纪要或记录（部门内、部门间协调会、领导小组）证据类文档要求外联单位联系列表5审核和检查 （G2)a）定期安全检查访谈安全主管，检查周期，定期分析、评审异常行为；安全员，安全检查包含内容、人员、程序策略和要求，通报形式、范围；检查安全检查内容、检查程序和检查结果等。制度
7、类文档要求安全审批和安全检查方面的管制制度第 8 页 共 109 页1.2 安全管理制度测评序号 测评指标 测评项 检测方法 预期结果a)制定总体方针、政策性文件和安全策略访谈安全主管，制度体系是否有安全政策、安全策略；检查明确总体目标、范围、方针、原则、责任，安全策略；b）建立安全管理制度 检查覆盖物理、网络、主机系统、数据、应用和管理等层面；1 管理制度（G2)c）建立操作规程 检查重要管理操作的操作规程，如维护手册和操作规程；制度类文档要求总体安全方针信息安全工作管理制度证据类文档要求总体安全策略专家论证文档a)信息安全职能部门，组织相关人员制定访谈安全主管，是否在信息安全领导小组或委员
8、会负责下统一制定；b）统一的格式和版本访谈安全主管，是否按照统一的格式标准或要求制定、论证和审定；检查管理文档说明制定和发布程序、格式要求及版本；c）论证和审定 检查评审记录，评审意见；2制定和发布（G2)d）签发后按照一定的程序以文件形式发布检查管理层的签字或盖章,格式统一；制度类文档要求安全管理制度改收发规范记录类文档要求安全管理制度的收发登记记录第 9 页 共 109 页序号 测评指标 测评项 检测方法 预期结果3评审与修订（G2)a）对存在不足或需要改进的安全管理制度进行修订访谈安全主管，对安全管理制度的评审由何部门、何人负责；管理人员，对安全管理制度的评审、修订程序，维护措施；检查列
9、表注明评审周期；评审记录，日期与评审周期是否一致，修订记录和版本。制度类文档要求授权审批、审批流程等方面的管理制度记录类文档要求各类评审和修订记录第 10 页 共 109 页1.3 人员安全管理测评序号 测评指标 测评项 检测方法 预期结果a）具备专业技术水平和安全管理知识访谈人事负责人，录用人员要求与其职责相对应；检查人事工作人员，人员录用要求管理文档；b）身份、背景、专业资格和资质等进行审查访谈审查身份、背景、专业资格和资质，签署保密协议，说明工作职责；审查文档，记录审查内容和审查结果；c）技能进行考核 检查考核内容和结果；d）说明其角色和职责访谈人事负责人，录用人员要求与其职责相对应；检
10、查人事工作人员，人员录用要求管理文档；1 人员录用（G2)e)签署保密协议 检查保密范围、保密责任、违约责任、协议的有效期限和责任人签字；a）终止所有访问权限 访谈安全主管，及时终止离岗人员所有访问权限，取回物资；b）物资收回 核查检查安全处理记；2 人员离岗（G2)c）离岗须承诺调离后的保密义务访谈人事工作人员，调离手续；检查保密承诺文档，有调离人员的签字；制度类文档要求人员录用、离岗、考核等方面的管理制度记录类文档要求人员考核、审查、培训记录（人员录用、人员定期考核）、离岗手续证据类文档要求人员保密协议关键岗位安全协议离岗人员保密协议书第 11 页 共 109 页序号 测评指标 测评项 检
11、测方法 预期结果a）技能及认知的考核 访谈安全主管，专人负责定期考核；b）安全审查访谈人事工作人员,考核情况，考核周期、考核内容、审查情况和内容如如操作行为、社会关系、社交活动；3 人员考核（G2)c）违背安全策略和规定的人员进行惩戒访谈人事工作人员,惩戒措施；a）安全意识教育 访谈安全主管，以何形式制定安全教育和培训计划，效果如何；b）告知责任和惩戒措施访谈安全员，系统管理员，网络管理员，数据库管理员，各岗位人员对安全知识、责任和惩戒措施等的理解程度；c）制定安全教育和培训计划检查安全教育、培训计划和不同岗位培训计划，明确目的、方式、对象、内容、时间和地点，内容包含信息安全基础知识、岗位操作
12、规程；4安全意识教育和培训（G2)d)记录并归档保存 检查记录包括人员、内容、结果的描述，记录与培训计划一致。制度类文档要求人员安全教育和培训方面的管理制度第 12 页 共 109 页序号 测评指标 测评项 检测方法 预期结果a）应在访问前与机构签署安全责任合同书或保密协议访谈安全主管，管理措施，访问前签署安全责任合同书或保密协议；检查全责任合同书或保密协议有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字；5第三人员访问管理（G2)b）重要区域的访问负责人的批准，专人陪同或监督，并记录备案访谈安全管理人员，访问重要区域采取措施，有负责人批准，专人陪同记录并备案管理；检查书面申请，批
13、准人允许访问的签字；制度类文档要求外部人员访问控制方面的管理制度记录类文档要求各项审批和批准执行记录（来访人员进入机房审批、介质/设备外带审批、系统外联审批等）1.4 系统建设管理测评序号 测评指标 测评项 检测方法 预期结果a)明确系统划分方法访谈划分系统方法，确定等级方法参照定级指南的指导，定级结果得到批准；检查给出等保 SxAyGz值，定级结果有批准盖章；b)确定信安全等级 访谈系统划分方法和理由；1系统定级(G2)c书面确定系统属性 检查 明确系统属性:使命、业务、网络、硬件、软件、数据、边界、人员；证据类文档要求信息系统定级报告或定级建议书第 13 页 共 109 页序号 测评指标
14、测评项 检测方法 预期结果d)定级结果经过批准访谈划分系统方法，确定等级方法参照定级指南的指导，定级结果得到批准；检查给出等保 SxAyGz值，定级结果有批准盖章；专家对定级结果的论证意见。a)依据等保和风险分析选择和调整安全措施访谈系统建设负责人，根据系统的安全级别选择基本安全措施，依据风险分析的结果补充和调整安全措施，做过哪些调整；b) 书面描述对系统的安全保护要求和策略、措施等内容，形成系统的安全方案访谈安全主管，授权专人负责制定总体安全方案；检查系统安全方案，要求、策略和措施；c) 考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件访
15、谈系统建设负责人，根据信息系统等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案等；d)安全保障体系的配套文件经过专家论证和审定访谈系统建设负责人，安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定，并经过管理部门的批准；检查核查相关论证意见；2 安全方案设计(G2)e)安全保障体系的配套文件经批准后，才能正式实施检查各方案管理层的批准；证据类文档要求近期和远期安全建设工作计划、总体建设规划书详细设计方案前一次测评报告第 14 页 共 109 页序号 测评指标 测评项 检测方法 预期结果a）采购符合国家规定访
16、谈系统建设负责人，密码产品的使用是否符合国家密码主管部门的要求；检查安全产品（边界安全设备、重要服务器操作系统、数据库等）是否符合国家的规定；b）密码产品符合国密要求检查商用密码产品和保密专用产品采购符合商用密码管理条例和计算机信息系统保密工作暂行规定；3 产品采购(G2)c）专人负责采购 访谈安全主管， 何部门何人负责产品采购。制度类文档要求产品选型、采购方面的管理制度记录类文档要求产品的选型测试结果记录证据类文档要求候选产品名单a）开发与运行，与测试环境要独立访谈系统建设负责人，程序的修改、更新、发布进行授权和批准，控制措施，开发人员不能做测试人员（即二者分离），独立的模拟环境中编写、调试
17、和完成；检查开发环境与运行环境物理分开；e)提供文档指南检查软件设计的相关文档（应用软件设计程序文件、源代码文档等）和软件使用指南或操作手册和维护手册等；4 自行软件开发(G2)b)文档由专人保管，控制使用检查开发相关文档（软件设计和开发程序文件、测试数据、测试结果、维护手册等）的使用控制记录。5 外包软件开发(G2) a）签订协议，明确知识产权的归属和安全方面的要求访谈外包前书面文档形式规范软件开发单位的责任、安全行为、开发环境要求、软件质量、开发后的服务承诺；检查软件开发协议,知识产权归属、安全行为等内容；制度类文档要求软件外包开发或自我开发方面的管理制度证据类文档要求软件开发协议与安全服
18、务商或外包开发商签订的服务合同和安全协议软件开发设计和用户指南等相关文档（目录体系框架或交换原形系统）、软件测试报告第 15 页 共 109 页序号 测评指标 测评项 检测方法 预期结果b）检测软件质量 检查软件开发协议,知识产权归属、安全行为等内容；c）安装之前检测软件包中可能存在的恶意代码访谈交付前进行软件功能和性能验收检测，验收检测是否是由开发商和委托方共同参与，检测软件中的恶意代码，检测工具是否是第三方的商业产品；d）提供软件设计的相关文档和使用指南检查应检查是否具有需求分析说明书、软件设计说明书和软件操作手册等开发文档以及用户培训计划、程序员培训手册等后期技术支持文档。a)签订安全协
19、议访谈系统建设负责人，以书面形式（如工程安全建设协议）约束工程实施方的工程实施行为；检查覆盖工程实施方的责任、任务要求和质量要求等方面内容，约束工程实施行为；b）专人负责 访谈系统建设负责人，指定专人负责进度和质量控制，行为规范制度化，资质证明和能力保证；6工程实施(G2)c）制定施工方案检查覆盖工程时间限制、进度控制和质量控制等方面内容，工程实施过程是否按照实施方案形成各种文档，如阶段性工程报告；制度类文档要求工程实施过程管理方面的管理制度证据类文档要求工程实施方案a）安全性测试验收 访谈系统正式运行前，根据设计方案或合同要求对信息系统进行独立的安全性测试；b）制定测试验收报告访谈对测试过程
20、（包括测试前、测试中和测试后）进行文档化要求和制度化要求；应检查是否具有系统验收报告；7 测试验收(G2)c）测试验收报告审定，双方签字 检查应检查验收测试管理制度是否对系统验收测试的过程控制、参与人员的行为等进行规定。制度类文档要求测试、验收方面的管理制度记录类文档要求系统验收测试记录、报告证据类文档要求系统验收测试第 16 页 共 109 页序号 测评指标 测评项 检测方法 预期结果方案a）明确交接手续访谈交接手续，交接清单是否满足合同的有关要求；检查 系统交付清单具有系统建设文档、指导用户进行系统运维的文档以及系统培训手册；b）技能培训访谈运行维护，培训，技术支持服务，维护的文档；服务承
21、诺书、培训记录；c）提供运维文档 检查 系统交付清单具有系统建设文档、指导用户进行系统运维的文档以及系统培训手册；8 系统交付(G2)d）服务承诺书，确保对系统运行维护的支持访谈服务承诺书、培训记录。证据类文档要求与安全服务商或外包开发商签订的服务合同和安全协议系统交付清单9安全服务商选择(G2)a)符合国家规定访谈信息系统进行安全规划、设计、实施、维护、测评等服务的安全服务单位是否符合国家有关规定。证据类文档要求与安全服务商或外包开发商签订的服务合同和安全协议备资质条件第 17 页 共 109 页1.5 系统运维管理测评序号 测评指标 测评项 检测方法 预期结果a）对机房设施定期维护管理访谈
22、物理安全负责人，机房基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责，维护周期；检查设施维护记录；b）指定部门负责机房安全访谈物理安全负责人，指定人员负责机房安全管理工作，对机房的出入管理是否要求进行制度化和文档化；c）建立机房安全管理制度 检查覆盖机房物理访问、物品带进、带出机房和机房环境安全等方面；d）对机房来访人员进行登记和备案管理，限制来访人员的活动范围检查进出登记表；1 环境管理(G2)d）办公环境的保密性管理访谈工作人员，保证办公环境的保密性要求事项；检查办公环境管理文档对工作人员离开座位的保密行为（如清理桌面文件和屏幕锁定等）、人员调离办公室后的行为行规定。制度类
23、文档要求机房安全管理方面的管理制度办公环境安全管理方面的管理制度记录类文档要求机房日常巡检记录机房出入登记记录（包括第三方人员）机房记录设备维护记录证据类文档要求机房安全设计和验收方面的文档第 18 页 共 109 页序号 测评指标 测评项 检测方法 预期结果a）资产管理制度访谈安全主管，指定资产管理的责任人员或部门，由何部门/何人负责；物理安全负责人，资产管理要求文档化；覆盖资产使用、借用、维护等方面；b）编制资产清单 检查覆盖资产责任人、所属级别、所处位置和所属部门等方面；2 资产管理(G2)c）资产标识访谈资产管理员，对资产进行赋值和标识管理，不同类别的资产是否采取不同的管理措施；检查资
24、产清单中的设备有相应标识；制度类文档要求资产、设备、介质安全管理方面的管理制度证据类文档要求资产清单a）介质存放环境安全访谈资产管理员，介质的存放环境的保护措施，防止其被盗、被毁、被未授权修改以及信息的非法泄漏，专人管理；检查应检查介质管理制度，查看其内容是否覆盖介质的存放环境、使用、维护和销毁等方面；3 介质管理(G2)b）介质归档和查询记录，定期盘点访谈资产管理员，对介质的使用管理要求文档化，是否根据介质的目录清单对介质的使用现状进行定期检查，是否对介质进行分类和标识管理；检查介质管理记录，记录介质的存储、归档和借用等情况；制度类文档要求信息分类、标识、发布、使用方面的管理制度记录类文档要
25、求介质归档、查询等的登记记录第 19 页 共 109 页序号 测评指标 测评项 检测方法 预期结果c）介质使用、维修、销毁管理访谈资产管理员， 进行保密性处理；对保密性较高的介质销毁前是否有领导批准，否对数据进行净化处理；询问对介质的物理传输过程是否要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制；资产管理员，重要介质实行异地存储，异地存储环境是否与本地环境相同；d）对介质进行分类和标识管理，专人管理检查应检查介质，查看是否对其进行了分类，并具有不同标识；a）专人维护 访谈资产管理员，设备指定专人或专门部门进行定期维护，周期；b）建立设
26、备管理制度访谈系统管理员，软硬件维护进行制度化管理；检查应检查设备审批、发放管理文档，查看其内容是否对设备选型、采购和发放等环节的申报和审批作出规定；查看是否具有设备的选型、采购、发放等过程的申报材料和审批报告；c）设备的操作和使用进行规范化管理访谈资产管理员，设备选用的各个环节（选型、采购、发放等）进行审批控制，对设备带离机构进行审批控制，设备的操作和使用是否要求规范化管理；检查应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面；4 设备管理(G2)d）带离设备进行控制检查应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设
27、备等使用、操作原则、注意事项等方面；制度类文档要求配套设备、软硬件维护方面的管理制度记录类文档要求主机系统、网络、安全设备等的操作日志和维护记录第 20 页 共 109 页序号 测评指标 测评项 检测方法 预期结果e）监控检查管理访谈审计员，服务器的操作日志，日志文件管理，期检查管理；检查应检查服务器操作规程，查看其内容是否覆盖服务器如何启动、停止、加电、断电等操作。5 监控管理(G2) a）信息系统监控和报警访谈系统运维负责人，查看主要服务器的各项资源指标，如 CPU、内存、进程和磁盘等使用情况。制度类文档要求系统监控、风险评估、漏洞扫描方面的管理制度采集操作手册维护管理规范维护汇总证据类文
28、档要求主要设备漏洞扫描报告系统异常行为审计分析报告a）专人管理访谈安全主管，指定专人负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作；b）更新，备份访谈 应访谈网络管理员，厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件（帐户数据、配置数据等）进行备份，采取什么方式进行备份；网络设备进行过漏洞扫描，对扫描出的漏洞是否及时修补；6 网络安全管理(G2)c）进行网络系统漏洞扫描，及时修补访谈 应访谈网络管理员，厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件（帐户数据、配置数据等）进行备份，采取什么方式进行备
29、份；网络制度类文档要求网络监测与事件汇报制度记录类文档要求对主机、网络设备和应用软件等的监控记录和分析报告第 21 页 共 109 页序号 测评指标 测评项 检测方法 预期结果设备进行过漏洞扫描，对扫描出的漏洞是否及时修补；检查漏洞扫描报告，覆盖网络存在的漏洞、严重级别、原因分析和改进意见等方面；d）与外部系统的连接均应得到授权和批准访谈安全员，外联种类有哪些（互联网、合作伙伴企业网、上级部门网络等），得到授权与批准，由何部门/何人批准；定期检查违规联网的行为；检查应检查是否具有内部网络外联的授权批准书；e）建立网络安全管理制度访谈安全员，网络安全的管理工作（包括网络安全配置、网络用户、日志等
30、方面）制度化；检查应检查网络安全管理制度，查看其是否覆盖网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志内容、日志保存时间等方面内容；f)网络安全策略、授权访问、最小服务、升级与补丁访谈安全员，网络安全的管理工作（包括网络安全配置、网络用户、日志等方面）制度化；检查应检查网络安全管理制度，查看其是否覆盖网络设备的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志内容、日志保存时间等方面内容；g）规定网络审计日志的保存时间 检查 应检查在规定的保存时间范围内是否存在网络审计日志。a）指定专人对系统进行管理 访谈安全主管，询问是否指定专人负责系统安全管理；7 系统安全管
31、理(G2)b）制定系统安全管理制度访谈安全员，将系统安全管理工作（包括系统安全配置、系统账户、审计日志等）制度化；检查覆盖系统安全配置（包括系统的安全策略、授权访问、最小服务、升级与补丁）、系统帐户（用户责任、义务、风险、权限审批、权限分配、账户注销等）、审计日志以及配置文件的生成、备份、变更审批、符合性检查等方面；制度类文档要求系统安全管理（系统配置、账号管理等）方面的管理制度第 22 页 共 109 页序号 测评指标 测评项 检测方法 预期结果c）定期安装系统的最新补丁程序，前对现有的重要文件进行备份访谈应访谈系统管理员，定期安装安全补丁程序，在安装系统补丁前是否对重要文件（系统配置、系统
32、用户数据等）进行备份，采取什么方式进行；是否对系统进行过漏洞扫描，发现漏洞是否及时修补；d）确定系统的访问控制策略，控制分配信息系统、文件及服务的访问权限e）遵循最小授权要求f）对系统的安全策略、授权访问、最小服务、升级与打补丁、维护记录、日志以及配置文件的生成、备份、变更审批、符合性检查等方面做出具体要求访谈系统管理员，对系统工具的使用（如脆弱性扫描工具）是否采取措施控制不同使用人员及数量；检查覆盖系统安全配置（包括系统的安全策略、授权访问、最小服务、升级与补丁）、系统帐户（用户责任、义务、风险、权限审批、权限分配、账户注销等）、审计日志以及配置文件的生成、备份、变更审批、符合性检查等方面。
33、g）规定系统审计日志的保存时间访谈审计员，规定系统审计日志的保存时间检查在规定的保存时间范围内是否存在系统审计日志；h）对发现的系统安全漏洞进行及时的修补检查覆盖系统存在的漏洞、严重级别、原因分析和改进意见等方面；8恶意代码防范管理(G2)a)提高防病毒意识及时升级防病毒软件访谈系统运维负责人，对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本，使用外来设备、网络上接收文件和外来计算机或存储设备接入网络系统之前进行病毒检查；工作人员，熟知恶意代码基本的防范手段，主要包括哪些；制度类文档要求病毒防范方面的管理制度记录类文档要求恶意代码检测、升级记录和分析第 23 页 共 109 页序
34、号 测评指标 测评项 检测方法 预期结果b)外来计算机或存储设备接入网络系统之前也要进行病毒检查检查覆盖系统安全配置（包括系统的安全策略、授权访问、最小服务、升级与补丁）、系统帐户（用户责任、义务、风险、权限审批、权限分配、账户注销等）、审计日志以及配置文件的生成、备份、变更审批、符合性检查等方面；c)专人负责检测 访谈系统运维负责人，专人对恶意代码进行检测，并保存记录；d)明确规定防范软件使用访谈安全员，恶意代码防护管理工作（包括恶意代码软件的授权使用、代码库升级和防范工作情况汇报等）制度化，对其执行情况是否进行检查，周期；检查是否对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等方面作
35、出规定；恶意代码检测记录、恶意代码库升级和分析报告，查看升级记录是否有升级时间、升级版本等内容；查看分析报告是否描述恶意代码的特征、修补措施等；报告9 密码管理(G2) a)密码算法和密钥的使用应符合国家密码管理规定 访谈密码算法和密钥的使用是否遵照国家密码管理规定。制度类文档要求密码管理方面的管理制度a）制定变更方案访谈系统运维负责人，制定变更方案指导系统执行变更，变更是否要求制度化管理；检查系统运维负责人， 对变更类型、变更原因、变更过程、变更前评估等方面进行说明；b）建立变更管理制度，审批后方可实施变更访谈系统运维负责人，重要系统变更前是否得到有关领导的批准，由何人批准，对发生的变更情况
36、是否通知了所有相关人员，以何种方式通知；检查更管理制度覆盖变更前审批、变更过程记录、变更后通报等方面内容；系统的变更申请书，是否有主管领导的批准。10 变更管理(G2)c）系统变更情况向所有相关人员通告访谈系统运维负责人，制定变更方案指导系统执行变更，变更是否要求制度化管理。制度类文档要求系统变更控制方面的管理制度记录类文档要求变更方案评审记录和变更过程记录证据类文档要求变更申请书变更方案第 24 页 共 109 页序号 测评指标 测评项 检测方法 预期结果a）定期备份的重要业务信息访谈系统管理员、数据库管理员和网络管理员，识别出需要定期备份的业务信息、系统数据及软件系统，主要有哪些；对其的备
37、份工作是否以文档形式规范了备份方式、频度、介质、保存期等内容，数据备份和恢复策略是否文档化；b）规定备份方式、备份频度（、存储介质、保存期检查备份方式、频度、介质、保存期的文档；c)制定数据的备份策略和恢复策略，备份策略应指明备份数据的放置场所、文件命名规则、介质替换频率和将数据离站运输的方法检查备份和恢复策略文档，覆盖数据的存放场所、文件命名规则、介质替换频率、数据离站传输方法等方面；d)指定负责人定期维护和检查备份及冗余设备的状况访谈系统管理员、数据库管理员和网络管理员，询问其对备份和冗余设备的安装、配置和启动工作是否根据一定的流程进行，是否指定专人对备份和冗余设备的有效性定期维护和检查，
38、多长时间检查一次；检查应检查备份设备操作流程文档，查看其是否规定备份和冗余设备的安装、配置、启动、关闭等操作流程。11备份与恢复管理(G2)e)规定备份及冗余设备的安装、配置和启动流程检查应检查备份设备操作流程文档，查看其是否规定备份和冗余设备的安装、配置、启动、关闭等操作流程。制度类文档要求备份和恢复方面的管理制度记录类文档要求备份过程记录第 25 页 共 109 页序号 测评指标 测评项 检测方法 预期结果a)报告弱点、可疑事件 访谈及时报告告知用户在发现安全弱点和可疑事件，记录并保存；b)建立安全事件管理制度访谈对安全事件处置制度化管理；检查安全事件报告和处置管理制度，查看其内容是否明确
39、与安全事件有关的工作职责，包括报告单位（人）、接报单位（人）和处置单位等职责；c)识别本系统需要防止发生的安全事件访谈本系统已发生的和需要防止发生的安全事件主要有哪几类，对识别出的安全事件是否根据其对系统的影响程度划分不同等级，划分为几级；d)安全事件进行等级划分检查安全事件定级文档，查看其内容是否明确安全事件的定义、安全事件等级划分的原则、等级描述等方面内容；12 安全事件处置(G2)e)记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事态发展，采取措施避免安全事件发生检查全事件记录分析文档，查看其是否记录引发安全事件的原因，是否记录事件处理过程，是否采取措施避免其再次发生。制度类
40、文档要求安全事件报告和处置方面的管理制度记录类文档要求安全事件处理过程记录证据类文档要求信息系统定期安全检查的检查表和安全检查报告a)统一框架，不同事件不同预案访谈系统运维负责人，制定不同事件的应急预案，对系统相关人员进行应急预案培训，培训内容是什么，多长时间举办一次；检查工作人员，应急响预案文档，查看其内容是否覆盖启动预案的条件、应急处理流程、系统恢复流程和事后教育等内容。13 应急预案管理(G2)b)应急预案培训 检查应急预案培训记录，演练记录和审查记录。制度类文档要求应急响应方法、应急响应计划等方面的文件记录类文档要求应急预案培训、演练、审查记录第 26 页 共 109 页第 2章 物理
41、安全测评指导书2.1 物理安全测评序号 测评指标 测评项 检查方法 预期结果1 物理位置的选 择(G2)a)机房是否具备有防震、防风、防雨能力；访谈询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。a)是否专人值守；访谈：询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守；访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记
42、录在案。有专人值守机房，进入机房有记录。2 物理访问控制 (G2)b)是否具有申请、审批和监控的措施；访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是否限制和监控其活动范围；检查：检查是否有来访人员进入机房的审批记录。来访人员进入机房需经过申请、审批流程并记录，进入机房有机房管理人员陪同并监控和限制其活动范围。第 27 页 共 109 页序号 测评指标 测评项 检查方法 预期结果a)设备放置机房并固定、设置标记；访谈：访谈物理安全负责人，采取了哪些防止设备、介质丢失的保护措施；检查：检查主要设备是否防止在机房内或其他不易被盗窃和破坏的可控范围内。主要设备都放置在机房可控
43、制范围内，机柜门牢固并上锁。b)设备和主要部件固定并标识；访谈：访谈机房维护人员，设备和主要部件是否进行了固定和标记；检查：检查主要设备或设备的主要部件的固定情况，是否不易被移动或被搬走，是否设置了明显的不易除去的标记。设备和主要部件固定不易移动，设置明显的不易除去的标记。c)隐蔽通信线缆；访谈：访谈机房维护人员，了解通信线缆是否铺设在隐蔽处；是否设置了冗余或并行的通信线路；检查：检查通信线缆铺设是否在隐蔽处（如铺设在地下或管道中等）。通信线缆铺设在地下或管道中，有冗余或并行的通信线路。3 防盗窃和防破 坏(G2)d)介质分类标识,带出应受控和加密保护；访谈：访谈资产管理人员，在介质管理中，是
44、否设置了分类标识，是否存放在介质库或档案室中；询问对设备或存储介质携带出工作环境是否规定了审批程序、内容加密、专人检查等安全保护的措施；检查：检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或资料室中并且进行分类存放（满足磁介质、纸介质等的存放要求）；检查有关设备或存储介质携带出工作环境的审批记录，以及专人对内容加密进行检查的记录。1.介质正确的分类标识并存放在介质库或档案室，存放环境满足不同介质的存放需求；2.设备和存储介质携带出工作环境需审批并有审批记录；3.存储介质携带出工作环境需经过安全人员进行加密后方可允许。第 28 页 共 109 页序号 测评指标 测评项 检查方
45、法 预期结果e)设置光电防盗报警系统；访谈：询问机房维护人员，采用了何种技术设置机房防盗报警系统；检查：检查机房防盗报警设施是否正常运行，并查看运行和报警记录。机房防盗报警设施运行正常并可进行相关运行和报警记录。a)避雷装置；访谈：访谈物理安全负责人，机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测；询问机房维护人员机房建筑避雷装置是否有人定期进行检查和维护；检查：检查机房是否有建筑防雷设计/验收文档，是否符合 GB 50057-1994建筑物防雷设计规范（GB157建筑物防雷设计规范 ）要求，如果是在雷电频繁区域，是否装设有浪涌电压吸收装置等。1.机房建筑设置了避雷装置，并通
46、过验收或国家有关部门的技术检测；2.定期对避雷装置进行检查和维护。4 防雷击(G2)b)交流电接地；访谈：询问物理安全负责人，机房计算机系统接地是否设置了专用地线；检查：检查机房是否有机房接地设计/验收文档，查看是否有地线连接要求的描述，与实际情况是否一致。机房交流电设置了专用的地线，与机房接地设计/验收文档中关于地线连接要求的描述一致。第 29 页 共 109 页序号 测评指标 测评项 检查方法 预期结果5 防火(G2) a)自动消防系统；访谈：访谈物理安全负责人，是否设置了灭火设备，是否设置了自动检测火情、自动报警、自动灭火的自动消防系统；是否有专人负责维护该系统的运行，是否制定了机房的消
47、防管理制度和消防预案，是否进行了消防培训；访谈机房值守人员，询问对机房出现的消防安全隐患是否能够及时报告并得到排除；是否参加过机房灭火设备的使用培训，是否能够正确使用灭火设备和自动消防系统（喷水不适用于机房）；检查：检查机房是否设置了自动测火情（如使用温感、烟感探测器）、自动报警、自动灭火的自动消防系统，摆放位置是否合理，有效期是否合格；检查自动消防系统是否正常工作，查看运行记录、报警记录、定期检查和维修记录；检查是否有机房的消防管理制度文档，是否有机房防火设计/验收文档，是否有机房自动消防系统的设计/验收文档，文档是否与现有消防配置状况一致。1.机房设置了自动检测火情、自动报警和自动灭火的自
48、动消防系统；2.第 30 页 共 109 页序号 测评指标 测评项 检查方法 预期结果a)水管不得穿过机房；访谈：访谈物理安全负责人，询问机房建设是否有防水防潮措施；如果机房有上下水管安装，是否避免穿过屋顶和活动地板下，穿过墙壁和楼板的水管是否采取了保护措施，如设置套管；在湿度较高地区或季节是否有人负责机房防水防潮事宜，是否配备除湿装置。检查：检查机房是否有建筑防水和防潮设计/验收文档，与实际情况是否一致；如果有管道穿过主机房墙壁和楼板处，应检查是否有必要的保护措施，如设置套管等。1.机房屋顶和活动地板下没有水管穿过；2.有水管穿过，但水管设置有套管防止漏水。b)防止雨水渗透；访谈：询问机房维
49、护人员，机房是否出现过漏水和返潮事件；检查：检查机房是否不存在屋顶和墙壁等出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁；检查机房如果出现漏水、渗透和返潮现象是否能够及时修复解决。不存在雨水渗透威胁，屋顶和墙壁不存在漏水、渗透和返潮现象。6 防水和防潮 (G2)c)防止水蒸气结露和积水转移破坏；访谈：访谈机房维护人员，如果出现机房水蒸气结露和地下积水的转移与渗透现象是否采取防范措施；检查：检查机房是否有湿度记录，是否有除湿装置并能够正常运行，是否有防止出现机房地下积水的转移与渗透的措施，是否有防水防潮处理记录和除湿装置运行记录，与机房湿度记录情况是否一致。除湿装置运行正常。
