信息安全技术-信息系统安全等级保护测评要求.pdf

1、GB/T XXX-200X ICS 35.040 L80 中华人民共和国国家标准 信息安全技术 信息系统安全等级保护测评要求 Information security technology- Testing and evaluation requirement for classified protection of information system 200X-XX-XX 发布 200X-XX-XX 实施 GB/T XXXX XXXX 中华人民共和国国家质量监督检验检疫总局 中 国 国 家 标 准 化 管 理 委 员 会 发布 GB/T XXXX XXXX I 目 次 前 言 III 引

2、言 IV 1 范围 . 1 2 规范性引 用文件 . 1 3 术语和定义 . 1 4 总则 . 1 4.1 测评原则 1 4.2 测评内容 1 4.3 测评力度 2 4.4 结果重用 2 4.5 使用方法 2 5 第一级信息系统单元测评 . 3 5.1 安全技术测评 3 5.1.1 物理安全 . 3 5.1.2 网络安全 . 5 5.1.3 主机安全 . 6 5.1.4 应用安全 . 7 5.1.5 数据安全及备份恢复 . 8 5.2 安全管理测评 9 5.2.1 安全管理制度 . 9 5.2.2 安全管理机构 . 9 5.2.3 人员 安全管理 . 10 5.2.4 系统建设管理 . 12

3、5.2.5 系统运维管理 . 14 6 第二级信息系统单元测评 . 17 6.1 安全技术测评 17 6.1.1 物理安全 . 17 6.1.2 网络安全 . 20 6.1.3 主机安全 . 22 6.1.4 应用安全 . 24 6.1.5 数据安全及备份恢复 . 27 6.2 安全管理测评 28 6.2.1 安全管理制度 . 28 6.2.2 安全管理机构 . 29 6.2.3 人员安全管理 . 30 6.2.4 系统建设管理 . 32 6.2.5 系统运维管理 . 35 GB/T XXXX XXXX II 7 第三级信息系统单元测评 . 39 7.1 安全技术测评 39 7.1.1 物理安

4、全 . 39 7.1.2 网络安全 . 44 7.1.3 主机安全 . 47 7.1.4 应用安全 . 49 7.1.5 数据安全及备份恢复 . 53 7.2 安全管理测评 55 7.2.1 安全管理制度 . 55 7.2.2 安全管理机构 . 56 7.2.3 人员安全管理 . 59 7.2.4 系统建设管理 . 61 7.2.5 系统运维管理 . 65 8 第四级信息系统单元测评 . 71 8.1 安全技术测评 71 8.1.1 物理安全 . 71 8.1.2 网络安全 . 76 8.1.3 主机安全 . 79 8.1.4 应用安全 . 82 8.1.5 数据安全及备份恢复 . 87 8.

5、2 安全管理测评 89 8.2.1 安全管理制度 . 89 8.2.2 安全管理机构 . 90 8.2.3 人员安全管理 . 93 8.2.4 系统建设管理 . 95 8.2.5 系统运维管理 . 99 9 第五级信息系统单元测评 . 106 10 信息系统整体测评 . 106 10.1 概述 106 10.2 安全控制点间测 评 106 10.3 层面间测评 106 10.4 区域间测评 107 10.5 系统结构安全测评 107 11 等级测评结论 . 107 11.1 各层面的测评结论 107 11.2 整体保护能力的测评结论 107 附录 A（资料性附录）测评力度 . 109 A.1

6、测评方法的测评力度描述 109 A.2 信息系统测评力度 109 GB/T XXXX XXXX III 前 言 (略 ) GB/T XXXX XXXX IV 引 言 依 据中华人民共和国计算机信息系统安全保护条例 （国务院 147 号令）、国家信息化领导小组关于加强信息安全保障工作的意见（中办发 200327 号）、关于信息系统安全等级保护工作的实施意见（公通字 200466 号）和信息安全等级保护管理办法 （公通字 200743 号） 等有关 文件 要求 ，制定本标准。 本标准 是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： GB/T 22240-2008 信息安全技术

7、信息系统安全等级保护定级指南； GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求； GB/T AAAA-AAAA 信息安全技术 信息系统安全等级保护实施指南。 一般来说， 信息系统需要靠多种安全措施进行综合防范 以降低其 面临的安全风险。 本标准 针对 信息系统中的 单项安全措施和多个 安全 措施的综合防范，对应地提出 单元测评 和整体测评 的 技术 要求 ， 用以指导测评 人员 从信息安全等级保护的角度对信息系统进行测试评估。 单元测评 对安全技术和安全管理上各个层面的安全控制 点 提出不同 安全保护等级 的测评要求。整体测评根据安全控制 点 间、层面间和区域间相互

8、关联关系以及信息系统整体结构对信息系统整体安全 保护能力 的影响提出测评要求。 本标准 给出了 等级 测评结论 中 应 包括 的主要内容，未规定 给出 测评结论的 具体方法和量化指标。 如果没有特殊指定，本标准中的信息系统 主要 指计算机信息系统。 在本标准文本中，黑体字 的测评要求 表示 该要求 出现 在当前 等级 而在低于当前等级信息系统 的测评要求中 没有 出现过 。 GB/T XXXX XXXX 1 信息系统安全等级保护测评 要求 1 范围 本标准规定了 对信息系统 安全等级保护 状况进行 安全测试评估 的 要求 ，包括 对 第一级 信息系统 、第二级 信息系统 、第三级 信息系统 和

9、第四级 信息系统 进行安全测试评估的 单元测评 要求和 信息系统 整体测评要求 。 本标准 略去 对 第五级信息系统 进行 单元测评 的具体 内容 要求 。 本标准适用于 信息安全 测评 服务 机构 、信息系统的主管部门及运营使用单位 对 信息系统 安全等级保护 状况进行的安全测试评估 。 信息安全监管职能部门 依 法进行的 信息安全等级保护 监督 检查 可以 参 考 使用 。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。 注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓 励根据本标准达成协议的各方研究是否可使用这些文件的最

10、新版本。 不注日期的引用文件，其最新版本适用于本标准。 GB/T 5271.8 信息技术 词汇 第 8 部 分：安全 GB/T 22239-2008 信息安全技术 信息系统安全等级保护 基本要求 3 术语 和 定义 GB/T 5271.8 和 GB/T 22239-2008 所确立的 以及 下列术语 和定义 适用于本标准 。 3.1 测评 力 度 testing and evaluation intensity 测 评工作实际投入力量的表征，可以 由 测评广度和深度来描述 。 4 总则 4.1 测评原则 a) 客观 性和 公正性 原则 测评工作 虽然 不能完全摆脱个人主张或判断，但测评人员应当

11、 在 没有偏见 和 最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的 测评方法 和 过 程 ，实施 测评活动。 b) 经济性和可重用性原则 基于测评成本和工作复杂性考虑， 鼓励 测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果，都应基于 这些 结果 还能 适用于目前的系统，能反映目前系统的安全状态。 c) 可重复性和可再现性 原则 无 论谁执行测评，依照同样的要求，使用同样的 方法 ， 对每个测评实施过程的重复执行 都 应该得到同样的 测评 结果 。可再现性 体现在不同测评者执行相同测评的结果的一致性。 可重复性 体现在 同一测

12、评者 重复执行相同 测评 的 结果的一致性。 d) 符合性 原则 测评所产生的结果应当是 在 对 测评指标 的正确理解 下所取得的良好的判断 。测评 实施 过程应当 使用正确的 方法 以确保其满足了 测评指标 的要求。 4.2 测评内容 信息系统安全 等级测评主要 包括单元测评 和 整体 测评两部分。 单元测评 是等级测评工作的基本活动 ， 每个单元测评 包括测评指标、测评实施和结果判定三部分。其中 ， 测评指标来源于 GB/T 22239-2008 中的第五级目录中的各要求项（详见 4.5 节说明） ， 测评实施描述测评过程中使用的具体测评方法、涉及的测评对象和具体测评取证过程 的 要求 ，

13、 结果判 定描述测评GB/T XXXX XXXX 2 人员执行 测评实施 并 产生各种测评 数 据后，如何依据这些测评 数 据来 判定被测系统是否满足测评指标要求的原则 和方法。 整体测评是在单元测评的 基础 上，通过进一步分析信息系统的整体安全性，对信息系统实施的综合安全测评。整体测评主要 包括 安全控制点间、层面间和区域间 相互作用的安全测评以及系统结构的安全测评 等 。整体测评 需要 与信息系统的实际情况 相结合， 因此全面地给出整体测评要求的全部内容、具体实施过程和明确的结果判定方法是非常困难的 ， 测评人员应根据被测系统的实际情况，结合本标准的要求， 实施 整体测评。 测评方法指测评

14、人员在测评实施过程中所使用的方法，主要包括访谈、检查和测试三种测评方法。其 中 ， 访谈是指测评人员 通过引导 信息系统相 关人员进行有目的 的 （有针对性的） 交流以帮助测评人员理解、 分析 或取得证据的过程 ， 检查是指测评人员通过对测评对象 （如 管理制度、操作记录、安全配置等 ） 进行观察、查验、分析以帮助测评人员理解、 分析 或取得证据 的过程 ， 测试是测评人员使用预定的方法 /工具使测评对象产生特定的行为，通过查看和分析结果以帮助测评人员获取证据的过程。 测评对象指测评实施的对象，即测评过程中涉及到的信息系统的相关人员、制度文档、各类设备及其安全配置等。 4.3 测评力度 测评力

15、度 是在测评过程中实施测评工作 的 力 度， 反映 测评的广度和深度， 体现 为 测评工作的 实际投入程度 。测评广度越大， 测评实施的 范围越大， 测评实施 包含的测评对象就越多 ； 测评深度越深，越需要在细节上展开 ，测评就 越 严格 ， 因此 就越需要 更多的投入 。 投入 越多 ， 测评力度 就越强 ， 测评 就越 有保证。测评的广度和深度落实 到访谈、检查和测试三种 不同的 测评方法 上， 能 体现出 测评实施过程中 访谈、 检查和测试的投入 程度 的 不同 。 信息 安全 等级保护要求不同 安全保护等级 的信息系统应具有不同的安全保护能力， 满足相应 等级 的保护 要求。 为了检验

16、 不同 安全保护等级 的信息系统是否具有相应 等级 的安全 保护能力，是否 满 足相应 等级 的保护要求 ， 需要实施与其 安全保护等级 相适应的测评 ， 付出相应的工作投入 ，达到应有的 测评力度 。第 一 级 到 第 四 级信息系统 的 测评力度 反映在 访谈、 检查和测试等三种基本 测评方法 的测评广度和深度上 ， 落实 在 不同单元测评中 具体的测评实施 上 。 不同 安全保护等级 的 信息系统在总体上所对应的 测评力度 在附录 A 中描述。 4.4 结果重用 在信息系统中， 有 些安全控制 可以 不依赖于其所在的地点便可测评，即在其部署到运行环境之前便可以接受安全测评 。一些商 用

17、安全产品的测评就属于这种安全测评 。如果一个信息系统部署和安装在多个地点，且系统具有一组共同的 软件、硬件、固件 等 组成部分，对 这些 安全控制的测评可以集中在一个集成测试环境中实施，如果没有这种环境，则可以在其中一个预定的运行地点实施，在其他运行地点的安全测评便可重用此测评结果。 在信息系统所有安全控制中， 有 一些安全控制与它所处于的运行环境紧密相关（如与人员或物理有关的 某些 安全控制），对其测评必须在分发到 相应 运行环境中才能进行。如果多个信息系统处在地域临近的封闭场地内，系统所属的机构在 同 一个领导层管理之下 ， 对这些安全控制在多个信息系统中进行重复测评 ， 可能是 对有效资

18、源 的 一种浪费 。 因此， 可以在一个选定的信息系 统中进行测评，其他 相关 信息系统 可以 直接重用这些测评结果。 4.5 使用方法 本标准 第 5 章到第 8 章 分别 描述了第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统 所有 单元测评 的 内容，在章节上分别对应 国标 GB/T 22239-2008 的 第 5 章到第 8 章 。 在 国标 GB/T 22239-2008 第 5 章到第 8 章 中，各章的二级目录都分为安全技术和安全管理两部分，三级目录从安全层面（如物理安全、网络安全、主机安全等）进行划分和描述，四级目录按照安全控制点进行划分和描述（如主机安全层面下

19、分为身份鉴别、访问控制、安全审计等），第 五级目录是每一个安全控制点下面GB/T XXXX XXXX 3 包括的具体安全要求项（以下简称“要求项”，这些要求项在本标准中被称为“测评指标”）。本标准中针对每一个安全控制点的测评就构成一个单元测评，单元测评中的每一个具体测评实施要求项（ 以 下简称“测评要求项”）是与安全控制点下面所包括的要求项（测评指标）相对应的。 在对每一要求项进行测评时，可能用到访谈、检查和测试三种测试方法，也可能用到其中一种或两种，为了描述简洁，在测评要求项中，没有针对每一个要求项分别进行描述，而是对具有相同测评方法的多个要求项进行了合并描述，但测评实施的内容完全覆盖 了

20、GB/T 22239-2008 中所有要求项 的测评要求 ,使用时，应当从单元测评的测评实施中抽取出对于 GB/T 22239-2008 中每一个要求项的测评要求，并按照这些测评要求开发测评指导书，以规范和指导安全等级测评活动 。 测评过程中，测评人员应注意 对 测评记录和证据 的 采集 、处理、存储和销毁，保护其在测评期间免遭 破坏、更改或 遗失，并保守秘密。 测评的最终输出是测评报告，测评报告 应 结合第 11 章的要求给出 等级 测评结论 。 5 第 一 级 信息系统 单元 测评 5.1 安全技术测评 5.1.1 物理安全 5.1.1.1 物理访问控制 5.1.1.1.1 测评指标 见

21、GB/T 22239-2008 5.1.1.1。 5.1.1.1.2 测评实施 本项要求包括： a) 应访谈物理安全负责人，了解 部署了 哪些控制 人员 进出 机房 的 保护 措施 ； b) 应检查是否 有专人负责机房的出入控制 且 有 进入机房 人员的登记记录。 5.1.1.1.3 结果判定 如果 5.1.1.1.2 b）为肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.1.2 防盗窃和防破坏 5.1.1.2.1 测评指标 见 GB/T 22239-2008 5.1.1.2。 5.1.1.2.2 测评实施 本项要求包括： a) 应访谈物理

22、安全负责人， 了解 采取了哪些防止设备、介质等丢失的保护措施； b) 应检查 关键 设备是否放置 在机房内或其它不易被盗窃和 被 破坏的可控范围内； c) 应检查 关键 设备或设备的主要部件的固定情况， 查看其 是否不易被移动或被搬走，是否设置明显的不易除去的标记。 5.1.1.2.3 结果判定 如果 5.1.1.2.2 b） 和 c）均为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合 本单元测评指标要求 。 5.1.1.3 防雷击 5.1.1.3.1 测评指标 见 GB/T 22239-2008 5.1.1.3。 5.1.1.3.2 测评实施 本项要求包括： a

23、) 应访谈物理安全负责人，询问机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测 ； GB/T XXXX XXXX 4 b) 应 检查机房建筑是否有 避雷装置 。 5.1.1.3.3 结果判定 如果 5.1.1.3.2 b）为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.1.4 防火 5.1.1.4.1 测评指标 见 GB/T 22239-2008 5.1.1.4。 5.1.1.4.2 测评实施 本项要求包括： a) 应访谈物理安全负责人，询问机房是否设置了灭火设备，是否 制定 了有关机房消防的管理制度和消防预案，是否进

24、行了消防培训； b) 应检查机房是否设置了灭火设备， 灭火设备 摆放位置是否合理， 其 有效期是否合格 。 5.1.1.4.3 结果判定 如果 5.1.1.4.2 a)和 b） 均 为肯定，则信息系统符合 本单元测评指标要求 ， 否则 ，信息系统不符合或部分符合本单元测评指标要求。 5.1.1.5 防水和防潮 5.1.1.5.1 测评指标 见 GB/T 22239-2008 5.1.1.5。 5.1.1.5.2 测评实施 本项要求包括： a) 应访谈物理安全负责人，询问机房 是否部署了防水防潮措施 ，是否没有出现过漏水和返潮事件；如果机房内有上 /下水管安装， 则查看 是否采取必要的保护措施；

25、 b) 应检查 穿过主机房墙壁 或 楼板 的 管道 是否采取 必要的 防渗防漏等防水 保护措施 ； c) 应检查机房 的 窗户、屋顶和墙壁等 是否未 出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、渗透和返潮现象是否能够及 时修复解决。 5.1.1.5.3 结果判定 如果 5.1.1.5.2 b） 和 c）均为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合 本单元测评指标要求 。 5.1.1.6 温湿度控制 5.1.1.6.1 测评指标 见 GB/T 22239-2008 5.1.1.6。 5.1.1.6.2 测评实施 本项

26、要求包括： a) 应访谈物理安全负责人，询问机房是否配备了空调等温湿度控制设施，保证 温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了 温湿度控制的要求； b) 应检查空调设备 是否能够 正常运行，检查机房 温湿度 是否满足 计算站场地 的技术条件 要求。 5.1.1.6.3 结果判定 如果 5.1.1.6.2 b）为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.1.7 电力供应 5.1.1.7.1 测评指标 见 GB/T 22239-2008 5.1.1.7。 5.1.1.7.2 测评实施 本项要求包括： GB/T X

27、XXX XXXX 5 a) 应访谈物理安全负责人，询问计算机系统供电线路上是否设置了稳压器和过电压防护设备； b) 应检查机房，查看计算机系统供电线路上是否设置了稳压器和过电压防护设备，这些设备是否正常运行。 5.1.1.7.3 结果判定 如果 5.1.1.7.2 b）为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.2 网 络安全 5.1.2.1 结构安全 5.1.2.1.1 测评指标 见 GB/T 22239-2008 5.1.2.1。 5.1.2.1.2 测评实施 本项要求包括： a) 应访谈网络管理员，询问关键网络设备的业务处理

28、能力是否满足基本业务需求； b) 应访谈网络管理员，询问接入网络及核心网络的带宽是否满足基本业务需要； c) 应检查网络拓扑 结构 图，查看 其 与当前运行 的实际网络系统 是否一致。 5.1.2.1.3 结果判定 本项要求包括： a) 如果 5.1.2.1.2 c）中缺少网络拓扑 结构 图， 则为否定 ； b) 如果 5.1.2.1.2 a） -c）均为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合 本单 元测评指标要求 。 5.1.2.2 访问控制 5.1.2.2.1 测评指标 见 GB/T 22239-2008 5.1.2.2。 5.1.2.2.2 测评实施

29、 本项要求包括： a) 应访谈安全管理员，询问网络访问控制的措施有哪些；询问网络访问控制设备具备 哪些 访问控制功能； b) 应检查边界网络设备，查看是否有正确的访问控制列表 ，以通过 源地址、目的地址、源端口、目的端口、协议等进行 网络 数据 流 控制， 其 控制粒度是否至少为用户组 。 5.1.2.2.3 结果判定 如果 5.1.2.2.2 b）为肯定， 则信息系统符合本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.2.3 网络设备防护 5.1.2.3.1 测评指标 见 GB/T 22239-2008 5.1.2.3。 5.1.2.3.2 测评实施 本项

30、要求包括： a) 应访谈网络管理员，询问关键网络设备的防护措施有哪些； 询问关键网络设备的登录和验证方式做过何种配置；询问远程管理的设备是否采取措施防止鉴别信息 泄漏 ； b) 应检查边界和关键网络设备， 查看是 否 配置了 对登录用户进行身份鉴别的功能； c) 应检查边界和关键网络设备 ，查看是否配置了 鉴别失败处理功能； d) 应检查边界和关键网络设备，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能。 5.1.2.3.3 结果判定 GB/T XXXX XXXX 6 如果 5.1.2.3.2 b） -d）均为肯定，则信息系统符 合 本单元测评指标要求 ， 否则，信息系统不符合或部

31、分符合本单元测评指标要求。 5.1.3 主机 安全 5.1.3.1 身份鉴别 5.1.3.1.1 测评指标 见 GB/T 22239-2008 5.1.3.1。 5.1.3.1.2 测评实施 本项要求包括： a) 应访谈系统管理员和数据库管理员，询问操作系统和 数据库管理系统 的身份标识与鉴别机制采取何种措施实现； b) 应 检查关键服务器操作系统和关键数据库管理系统，查看 是否提供了身份鉴别措施。 5.1.3.1.3 结果判定 如果 5.1.3.1.2 b)为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.3.2 访问控制 5.1.3

32、.2.1 测评指标 见 GB/T 22239-2008 5.1.3.2。 5.1.3.2.2 测评实施 本项要求包括： a) 应检查关键服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用 或 删除； b) 应检查关键服务器操作系统和关键数据库管理系统，查看匿名 /默认帐户的访问权限是否已被禁用或者限制，是否删除了系统中多余的、过期的 以及 共享的帐户； c) 应检查关键服务器操作系统和关键数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制。 5.1.3.2.3 结果判定 如果 5.1.3.2.2 a） -c）均为肯定，

33、则信息系 统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合 本单元测评指标要求 。 5.1.3.3 入侵防范 5.1.3.3.1 测评指标 见 GB/T 22239-2008 5.1.3.3。 5.1.3.3.2 测评实施 本项要求包括： a) 应访谈系统管理员，询问操作系统中所安装的系统组件和应用程序是否都是必须的，询问操作系统补丁更新的方式和周期； b) 应检查关键服务器操作系统和 关键 数据库管理系统 的补丁是否得到了及时 更新 。 5.1.3.3.3 结果判定 如果 5.1.3.3.2 b)肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元

34、测评指标要求。 5.1.3.4 恶意代码防范 5.1.3.4.1 测评指标 见 GB/T 22239-2008 5.1.3.4。 GB/T XXXX XXXX 7 5.1.3.4.2 测评实施 本项要求包括： a) 应访谈系统安全管理员，询问主机系统是否采取恶意代码实时检测与查杀措施，恶意代码实时检测与查杀措施的部署 覆盖范围 如何； b) 应检查关键服务器，查看是否安装了实时检测与查杀恶意代码的软件产品并进行及时更新。 5.1.3.4.3 结果判定 如果 5.1.3.4.2 b）为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.4 应

35、用安全 5.1.4.1 身份鉴别 5.1.4.1.1 测评指标 见 GB/T 22239-2008 5.1.4.1。 5.1.4.1.2 测评实施 本项要求包 括： a) 应访谈应用系统管理员， 询问应用系统是否有专用的登录控制模块对登录的用户进行身份标识和鉴别， 具体采取的鉴别措施 是什么 ； b) 应访谈应用系统管理员， 询问 应用系统是否具有登录失败处理功能 ； c) 应访谈应用系统管理员，询问应用系统是否采取措施 防止鉴别信息传输过程中被窃听， 具体 措施是什么； d) 应检查关键应用 系统 ，查看其是否提供身份标识和鉴别功能； e) 应检查关键应用 系统 ， 查看其提供的登录失败处理

36、功能，是否根据安全策略配置了相关参数 。 5.1.4.1.3 结果判定 如果 5.1.4.1.2 d）和 e） 均为肯定，则信息系统符合 本单元测评指标要求 ， 否 则，信息系统不符合或部分符合 本单元测评指标要求 。 5.1.4.2 访问控制 5.1.4.2.1 测评指标 见 GB/T 22239-2008 5.1.4.2。 5.1.4.2.2 测评实施 本项要求包括： a) 应 访谈 应用系统管理员 ，询问 应用系统 是否提供访问控制 措施，以及具体措施和访问控制策略有哪些； b) 应检查关键应用系统，查看系统是否提供访问控制功能 控制用户组 /用户对系统功能和用户数据的访问 ； c) 应

37、检查关键应用系统，查看其是否 具 有 由授权用户设置其它用户访问系统功能和用户数据的权限的功能，是否 限制默认用户 的 访问权限； d) 应测试关键应用系统，可通过以不同权限的用户登录系统，查 看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效。 5.1.4.2.3 结果判定 如果 5.1.4.2.2 b） -d） 均为肯定，则信息系统符合本单元测评指标要求 ， 否则，信息系统不符合或部分符合 本单元测评指标要求。 5.1.4.3 通信完整性 5.1.4.3.1 测评指标 见 GB/T 22239-2008 5.1.4.3。 5.1.4.3.2 测评实施 GB/T XXX

38、X XXXX 8 本项要求包括： a) 应 访谈 安全管理员 ， 询问 应用系统 是否 具 有在数据传输过程中 保护其 完整性的 措施 ， 具体措施是什么 ； b) 应检查 设计或验收 文档， 查看其是否有 关于保护 通信完整性的说明 。 5.1.4.3.3 结果判定 如果 5.1.4.3.2 b） 为肯 定，则信息系统符合本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.1.4.4 软件容错 5.1.4.4.1 测评指标 见 GB/T 22239-2008 5.1.4.4。 5.1.4.4.2 测评实施 本项要求包括： a) 应 访谈应用系统管理员，询问 应用系

39、统 是否具有 保证软件容错能力的措施，具体措施有哪些； b) 应检查关键应用系统，查看应用系统 是否具有 对人机接口输入或通信接口输入的数据进行有效性检验的功能； c) 应测试关键应用系统，可通过对人机接口输入的不同长度或格式的数据，查看系统的反应，验证系统人机接口有效性检验功能是否正确。 5.1.4.4.3 结果判定 如果 5.1.4.4.2 b）和 c） 均为肯定，则信息系统符合本单元测评指标要求 ， 否则，信息系统不符合或部分符合 本单元测评指标要求。 5.1.5 数据安全 及备份恢复 5.1.5.1 数据完整性 5.1.5.1.1 测评指标 见 GB/T 22239-2008 5.1.

40、5.1。 5.1.5.1.2 测评实施 本项要求包括： a) 应访谈安全管理员，询问关键应用系统用户数据在传输过程中是否有完整性保证措施，具体措施有哪些； b) 应检查关键应用系统，查看其是否配备 检测重要用户数据在传输过程中完整性受到破坏的功能 。 5.1.5.1.3 结果判定 如果 5.1.5.1.2 b）为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息 系统不符合或部分符合本单元测评指标要求。 5.1.5.2 备份和恢复 5.1.5.2.1 测评指标 见 GB/T 22239-2008 5.1.5.2。 5.1.5.2.2 测评实施 本项要求包括： a) 应访谈网络管理员 ，询

41、问是否对网络设备中的 配置文件进行备份， 备份策略是什么；当其受到破坏时，恢复策略是什么； b) 应访谈系统管理员，询问是否对操作系统中的 重要信息进行备份， 备份策略是什么；当其受到破坏时，恢复策略是什么； c) 应访谈数据库管理员，询问是否对 数据库管理系统 中的 关键数据进行备份， 备份策略是什么；当其受到破坏时，恢复策略是什么； GB/T XXXX XXXX 9 d) 应访谈安全管理员，询问是否对应用系统中 的 应用程序进行备份， 备份策略是什么；当其受到破坏时，恢复策略是什么； e) 应检查关键主机操作系统、关键网络设备、 关键 数据库管理系统和关键应用 系统 ，查看其是否提供 备份

42、和恢复功能， 备份和恢复功能 的 配置是否正确，并且查看 实际 备份结果是否与备份策略一致。 5.1.5.2.3 结果判定 如果 5.1.5.2.2 e）为肯定，则信息系统符合 本单元测评指标要求 ， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.2 安全管理测评 5.2.1 安全管理制度 5.2.1.1 管理制度 5.2.1.1.1 测评指标 见 GB/T 22239-2008 5.2.1.1。 5.2.1.1.2 测评实施 本项要求包括： a) 应 检查各项安全管理制度，查看是否 覆盖物理、网络、主机系统、数据、应用 、建设 和管理等层面。 5.2.1.1.3 结果判定 如果 5

43、.2.1.1.2 a）为肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.2.1.2 制定和发布 5.2.1.2.1 测评指标 见 GB/T 22239-2008 5.2.1.2。 5.2.1.2.2 测评实施 本项要求包括： a) 应访谈 安全主管 ，询问是否有专人负责 制定 安全管理制度； b) 应访谈 安全管理制度制、修订人员 ，询问安全管理制度的发布方式 ，是否能够发布到相关人员手中 。 5.2.1.2.3 结果判定 如果 5.2.1.2.2 a）和 b）均为 肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合 本单

44、元测评指标要求。 5.2.2 安全 管理机构 5.2.2.1 岗位设置 5.2.2.1.1 测评指标 见 GB/T 22239-2008 5.2.2.1。 5.2.2.1.2 测评实施 本项要求包括： a) 应访谈安全主管，询问信息系统设置了哪些工作岗位，各个岗位的职责分工是否明确； b) 应检查岗位职责分工文档，查看 其 定义的岗位职责 中 是否包括系统管理员、网络管理员、安全管理员等重要岗位 的职责 。 5.2.2.1.3 结果判定 如果 5.2.2.1.2 a）和 b）均为肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合 本单 元测评指标要求。 GB/T XXXX

45、 XXXX 10 5.2.2.2 人员配备 5.2.2.2.1 测评指标 见 GB/T 22239-2008 5.2.2.2。 5.2.2.2.2 测评实施 本项要求包括： a) 应访谈安全主管，询问各个安全管理岗位的人员配备情况； b) 应检查 安全 管理 各岗位 人员 信息表 ，查看其是否明确机房管理员、系统管理员、网络管理员和安全管理员等重要岗位人员的信息。 5.2.2.2.3 结果判定 如果 5.2.2.2.2 a)和 b） 均 为肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合本单元测评指标要求。 5.2.2.3 授权和审批 5.2.2.3.1 测评指标 见

46、GB/T 22239-2008 5.2.2.3。 5.2.2.3.2 测评实施 本 项要求包括： a) 应访谈 安全主管 ，询问其是否需要对信息系统中的关键活动进行审批，审批部门是何部门，批准人是何人，他们的审批活动是否得到授权； b) 应访谈 安全主管 ，询问其对关键活动的审批范围。 5.2.2.3.3 结果判定 如果 5.2.2.3.2 a）和 b）均为肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合 本单元测评指标要求。 5.2.2.4 沟通和合作 5.2.2.4.1 测评指标 见 GB/T 22239-2008 5.2.2.4。 5.2.2.4.2 测评实施 本

47、项要求包括： a) 应访谈安全主管，询问是否经常与公安机关、电信公司和兄弟单位联系，联系 和 合作方式有哪些； b) 应检查外联单位说明文档，查看外联单位是否包含公安机关、电信公司及兄弟单位，是否说明外联单位的联系人和联系方式等内容。 5.2.2.4.3 结果判定 如果 5.2.2.4.2 a）和 b）均为肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合 本单元测评指标要求。 5.2.3 人员 安全 管理 5.2.3.1 人员录用 5.2.3.1.1 测评指标 见 GB/T 22239-2008 5.2.3.1。 5.2.3.1.2 测评实施 本项要求包括： a) 应访

48、谈安全主管，询问是否有专门的部门或人员负责人员的录用工作，由何部门 /何人负责； b) 应访谈 人事 管理相关 人 员 ，询问在人员录用时对人员条件有哪些 要求，是否对被录用人的身份和专业资格进行审查； GB/T XXXX XXXX 11 c) 应检查人员录用要求管理文档，查看是否说明录用人员应具备的条件（如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等）； d) 应检查是否具有人员录用时对录用人身份、专业资格等进行审查的相关文档或记录，查看是否记录审查内容和审查结果等。 5.2.3.1.3 结果判定 如果 5.2.3.1.2 a） -d）均为肯定，则信息系统符合

49、本单元测评指标要求， 否则，信息系统不符合或部分符合 本单元测评指标要求。 5.2.3.2 人员离岗 5.2.3.2.1 测评指标 见 GB/T 22239-2008 5.2.3.2。 5.2.3.2.2 测评实施 本项要求包括： a) 应访谈安全主管，询问 是否及时终止离岗人员 的 所有访问权限，取回各种身份证件、 钥匙、徽章以及机构提供的软硬件设备等； b) 应检查是否具有对离岗人员的安全处理记录（如交还身份证件、设备等的登记记录）。 5.2.3.2.3 结果判定 如果 5.2.3.2.2 a）和 b）均为肯定，则信息系统符合本单元测评指标要求， 否则，信息系统不符合或部分符合 本单元测评指标要求。 5.2.3.3 安全意识教育和培训 5.2.3.3.1 测评指标 见 GB/T 22239-2008 5.2.3.3。 5.2.3.3.2 测评实