1、1,1,1,2014年7月22日,信息化检测服务介绍,主 要 内 容,服 务 项 目,服 务 内 容,服 务 项 目,信息化建设过程,核心业务,一、服务项目,一、服务项目,信息应用系统检测,项目验收检测,成果鉴定检测,采购选型检测,性能专项测试,应用安全检测,软件产品 测试,软件成果鉴定 测试,软件产品确认 测试,采购选型测试,代码安全审计,测试技术培训,信息系统 安全检测,信息安全风险 评估,信息安全产品 检测,信息安全等级 保护测评,安全加固业务,网络与信息资源检测,网络产品检测,网络性能检测,网络安全及 可靠性检测,信息资源内容 检测,信息资源符合性检测,一、服务项目,一、服务项目,软件
2、产品 测试,信息系统安全检测,网络与信息资源检测,采购选型检测,性能专项测试,应用安全测试,一、服务项目,软件产品 测试,信息系统安全检测,网络与信息资源检测,采购选型检测,代码安全审计,测试技术培训,一、服务项目,软件产品 测试,信息系统安全检测,网络与信息资源检测,信息安全等级 保护测评,安全加固业务,一、服务项目,软件产品 测试,信息系统安全检测,网络与信息资源检测,网络安全及 可靠性检测,信息资源 内容检测,信息资源 符合性检测,主 要 内 容,服 务 项 目,服 务 内 容,服 务 保 障,服 务 内 容,二、服务内容,信息应用系统检测,信息系统安全检测,信息网络系统检测,信息资源开
3、发测试,信息应用系统检测,信息系统安全检测,网络与信息资源检测,软件产品测试,二、服务内容,信息系统安全检测,信息应用系统检测,信息应用系统检测,功能测试,（一）验收测评服务,二、技术方案,HP WebInspect,信息应用系统检测,安全性测试,二、服务内容,信息系统安全检测,信息应用系统检测,信息应用系统检测,安全性测试,（一）验收测评服务,二、技术方案,测试目的,测试方法,系统在出现故障或者违反指定接口的情况下，仍能维持规定的性能级别； 系统具有避免由软件中故障而导致失效的能力。,对用户常见错误操作的提示和屏蔽情况进行测试； 输入数据有效性检查进行测试； 对数据库备份及恢复进行测试； 利
4、用工具使系统在不同业务压力下，持续运行一段时间， 测试系统在不同负载下能否稳定运行； 结合功能测试，进行能增强系统可靠性方面的测试（例如日志，备份，错误提示等）。,信息应用系统检测,可靠性测试,二、服务内容,信息系统安全检测,信息应用系统检测,通过模拟用户的并发访问，测试多用户并发访问同一个应用、同一个模块或者数据记录时否存在死锁或者其他性能问题,通过模拟生产运行的业务压力量和使用场景组合，测试系统的性能是否满足生产性能要求,测试系统在一定饱和状态下，例如CPU、内存等在饱和使用情况下，系统能够处理的会话能力，以及系统是否会出现错误,通过给系统加载一定的业务压力的情况下，让应用持续运行一段时间
5、，测试系统在这种条件下是否能够稳定运行,并发测试,性能测试,压力测试,可靠性测试,失效恢复测试,针对有冗余备份和负载均衡的系统设计，用于检验如果系统局部发生故障，用户是否能够继续使用系统；以及如果这种情况发生，用户将受到多大程度的影响。,信息应用系统检测,性能测试,性能测试可能发现的问题,二、服务内容,信息系统安全检测,信息应用系统检测,信息应用系统检测,可维护性测试,二、服务内容,信息系统安全检测,信息应用系统检测,信息应用系统检测,可移植性测试,二、服务内容,信息系统安全检测,信息应用系统检测,内容安排是否有序，核心内容是否突出，关联内容是否安排在一起； 浏览是否方便，是否需要经常拖动滚动
6、条； 当前操作栏目、审核出错栏目等是否有突出显示，易于获得。,重要的动作例如数据提交、数据删除等是否有提示； 对错误动作是否有准确的告警和提示信息; 报表输出格式是否清晰,编排是否美观.,导航栏目是否简洁易用，深度一般不超过5层； 常用功能项是否按照使用频度安排，安排是否和实际一致。,信息应用系统检测,易用性测试,二、服务内容,信息系统安全检测,信息应用系统检测,检测系统在不同型号硬件平台运行的兼容程度。,硬件适应性,根据系统需求说明书的要求，检测系统在不同操作系统平台（Windows,Unix,Linux,Mac等）的运行情况。,操作系统 适应性,应用系统需求说明指定需支持不同数据库平台进行
7、数据库适应性测试。,数据库 适应性,浏览器适应性、数据适应性、不同杀毒软件适应性等。,其他适应性,信息应用系统检测,适应性测试,二、服务内容,信息系统安全检测,信息应用系统检测,信息应用系统检测,接口测试,二、服务内容,信息系统安全检测,信息应用系统检测,信息应用系统检测,用户文档测试,二、服务内容,信息系统安全检测,信息应用系统检测,物理安全,网络安全,主机安全,应用安全,数据安全,安全管理制度,安全管理机构,人员安全管理,系统运维管理,系统建设管理,二、服务内容,信息系统安全检测,信息系统安全检测,全面评估系统的网络安全状况，并针对测试中发现的安全隐患，提出相关的改进建议,二、服务内容,信
8、息系统安全检测,信息系统安全检测,服务器主机系统 数据库主机系统,安全漏洞检测,病毒木马攻击,DOS攻击测试,二、服务内容,信息系统安全检测,信息系统安全检测,漏洞扫描,跨站点脚本攻击SQL注入式攻击,二、服务内容,信息系统安全检测,信息系统安全检测,二、服务内容,信息系统安全检测,信息系统安全检测,安全管理制度,制定、发布 流程,评审、修订流程,管理制度内容,二、服务内容,信息系统安全检测,信息系统安全检测,二、服务内容,信息系统安全检测,信息系统安全检测,人员录用,人员考核,人员离岗,安全意识教育 和培训,人员安全管理,二、服务内容,信息系统安全检测,信息系统安全检测,产品采购和使用,安全
9、方案设计,自行软件开发,工程实施,外包软件开发,系统交付,二、服务内容,信息系统安全检测,信息系统安全检测,资产管理,介质管理,设备管理,系统运维管理,监控管理和 安群管理中心,网络安全管理,恶意代码 防范管理,密码管理,变更管理,备份与恢复管理,安全事件处置,环境管理,系统安全管理,应急管理,二、服务内容,信息系统安全检测,信息系统安全检测,根据被测系统的应用特点和信息安全需求,二、服务内容,信息系统安全检测,信息系统安全检测,评 估 方 法,对资产进行识别，并对资产的重要性进行赋值；,对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；,对资产的脆弱点进行识别，并对具体资产的脆弱点的严
10、重程度赋值；,根据威胁和脆弱点的识别结果进行风险分析，判断安全事件发生的可能性；,根据脆弱点的严重程度及安全事件所作用资产的重要性计算安全事件的损失；,根据安全事件发生的可能性以及安全事件的损失，计算安全事件一旦发生对 组织的影响，即风险值；,二、服务内容,信息系统安全检测,信息系统安全检测,广州市电子政务信息安全管理办法 广州市电子政务信息安全测评指南 广州市电子政务外网管理办法 信息安全等级保护管理办法 广东省计算机信息系统安全保护条例 计算机信息系统 安全保护等级划分准则（GB/T 17859-1999） 信息技术 安全技术 安全性评估准则 第1部分简介和一般模型 （GB-T 18336
11、.1-2001） 信息技术 安全技术 安全性评估准则 第2部分安全功能要求 （GB-T 18336.2-2001） 信息技术 安全技术 安全性评估准则 第3部分安全保证要求 （GB-T 18336.3-2001） ,二、服务内容,信息系统安全检测,信息系统安全检测,软件测试 中心,客户,检查文档交付,检查需求分析策划,测试设计和开发,首轮结果分析,二次复查分析,项目评价,异常处理,过程保密,过程监督,项目接收,二次复查,测试报告,首轮检查,检测机构,被检查单位,编写方案,数据核查控制,信息安全检查流程,二、服务内容,信息系统安全检测,信息系统安全检测,物理位置的选择、物理访问控制、防盗窃和防破
12、坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护,检查内容,结构安全与网段划分、网络访问控制、拨号访问控制、网络安全审计、边界完整性检查、网络入侵防范、恶意代码防范、网络设备防护,身份鉴别、自主访问控制、安全审计、系统保护、恶意代码防范,身份鉴别、访问控制、安全审计、软件容错、代码安全,数据备份和恢复,机构与人员、安全管理制度、安全设计及运维,二、服务内容,信息系统安全检测,信息系统安全检测,渗透测试步骤,1. 目标范围划定,2. 信息收集,3. 目标发现,4. 目标枚举,5. 漏洞映射,6. 漏洞利用,7. 提升权限,8. 持续控制目标,使用渗透测试套件BackTrack
13、 进行渗透测试。,生成测试计划、测试限制、业务目标,收集目标系统的详细信息,识别目标操作系统和已开启服务,收集目标环境,对目标存在的漏洞进行漏洞分析,编制脚本程序测试目标漏洞，深入利用漏洞,获取超级管理员权限,在目标系统设置后门程序，方便进行漏洞演示,生成渗透测试报告,二、服务内容,信息系统安全检测,信息系统安全检测,机房工程 测试,综合布线 系统测试,网络基础平台检测,网络安全和 管理平台检测,云计算和 虚拟化测试,信息系统安全检测,信息网络系统检测,二、服务内容,机房工程 测试,综合布线 系统测试,网络基础平台检测,网络安全和 管理平台检测,云计算和 虚拟化测试,信息系统安全检测,信息网络
14、系统检测,二、服务内容,机房工程 测试,综合布线 系统测试,网络基础平台检测,网络安全和 管理平台检测,云计算和 虚拟化测试,信息系统安全检测,信息网络系统检测,二、服务内容,机房工程 测试,综合布线 系统测试,网络基础平台检测,网络安全和 管理平台检测,云计算和 虚拟化测试,信息系统安全检测,信息网络系统检测,二、服务内容,机房工程 测试,综合布线 系统测试,网络基础平台检测,网络安全和 管理平台检测,云计算和 虚拟化测试,云计算平台,验证是否可在虚拟化情况下基于云计算平台部署相关应用,信息系统安全检测,信息网络系统检测,二、服务内容,机房工程 测试,综合布线 系统测试,网络基础平台检测,网
15、络安全和 管理平台检测,云计算和 虚拟化测试,信息系统安全检测,信息网络系统检测,二、服务内容,二、服务内容,信息系统安全检测,信息系统安全检测,完整性测试,准确性测试,格式测试,信息资源目录测试,信息资源开发测试,信息资源类型,二、服务内容,信息系统安全检测,信息资源开发测试,获取,完整性测试,信息资源开发测试,二、服务内容,信息系统安全检测,信息资源开发测试,准确性测试,信息要素 详细程度,可靠程度,信息含量,是否满足 信息利用者的实际需要,实用价值,各类数据 的准确率,信息资源开发测试,二、服务内容,信息系统安全检测,信息资源开发测试,逐一对外部接口列表和信息资源的展示页面列表涉及的信息进行格式测试，验证格式是否符合依据文件规定的标准和业务规范要求，以实现互联互通、信息共享和业务协同。,格式测试,信息资源开发测试,二、服务内容,信息系统安全检测,信息资源开发测试,信息资源目录测试,信息资源开发测试,二、服务内容,信息系统安全检测,信息资源开发测试,测试能力,二、技术方案,（三）验收测评及验收 管理服务能力说明,在信息工程测试方面，与其他只拥有软件测试能力的同行相比，我们拥有更广泛的测试能力，包括14大类近300项测试能力，具体见CNAS认可能力项附表,
