等级保护测评-完全过程(非常全面)

1、等级保护测评过程 以三级为例 主题一 1 1 2 2 3 3 4 4 等级保护测评方法论 等保测评安全措施 等级保护测评概述 等级保护测评内容与方法 等保测评概述 等级测评等级测评是测评机构依据国家信息安全等级保护制度规定，受有关 单位委托，按照有关管理规范和技术标准，运用科学的手段和方法， 对处理特定应用的信息系统，采用安全技术测评和安全管理测评方 式，对保护状况进行检测评估，判定受测系统的技术和管理级别与 所定安全等级要求的符合程度，基于符合程度给出是否满足所定安 全等级的结论，针对安全不符合项提出安全整改建议。 组合分析 1 1、等级等级测评测评是测评机构依据国家信息安全等级保护制度规定

2、： u 国家信息化领导小组关于加强信息安全保障工作的意见、保护安全建设整改工作的指导意见 、信 息安全等级保护管理办法。 2、受有关单位委托，按照有关管理规范和技术标准（相关标准关系图参见图1、图2） u 定级标准: 信息系统安全保护等级定级指南、 计算机信息系统安全保护等级划分准则 ； u 建设标准：信息系统安全等级保护基本要求、信息系统通用安全技术要求、信息系统等级保护安 全设计技术要求； u 测评标准：信息系统安全等级保护测评要求 、 信息系统安全等级保护测评过程指南 、 信息系统 安全等级保护实施指南； u 管理标准：信息系统安全管理要求、 信息系统安全工程管理要求。 3、运用科学的手

3、段和方法： 采用6种方式，逐步深化的测试手段 u 调研访谈（业务、资产、安全技术和安全管理）； u 查看资料（管理制度、安全策略）； u 现场观察（物理环境、物理部署）； u 查看配置（主机、网络、安全设备）； u 技术测试（漏洞扫描）； u 评价（安全测评、符合性评价）。 组合分析 4、对处理特定应用的信息系统（查阅定级指南，哪些应用系统定级） 作为定级对象的信息系统应具有如下基本特征： u 具有唯一确定的安全责任单位。 作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某 个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责

4、 任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应 是这些下级单位共同所属的单位； u 具有信息系统的基本要素。 作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和 规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象； u 承载单一或相对独立的业务应用。 定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他 业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要 业务流程独立，同时与其他业务应用有少量的数据交换，定级对

5、象可能会与其他业务应用共享一些设备，尤其是网 络传输设备。 5、采用安全技术测评和安全管理测评方式： u 安全技术测评包括：物理安全、网络安全、主机安全、应用安全、数据安全； u 安全管理测评包括：安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。 6、对保护状况进行检测评估，判定受测系统的技术和管理级别与所定安全等级要求的符合程度，基于符合程度给出 是否满足所定安全等级的结论，针对安全不符合项提出安全整改建议。 u 符合程度：综合分析具体指标符合性判断，给出抽象指标符合性判断结果，汇总所有抽象指标符合判断，给出安全 等级满足与否的结论； u 安全等级结论：结合受测系统符合

6、性程度，判断受测系统是否满足所定安全等级的结论； u 安全整改建议：提出安全整改建议，汇总、分析所有不符合项对应的改进建议，组合成可单独执行的整改建议。 主题二 1 1 2 2 3 3 4 4 等级保护测评方法论 等保测评安全措施 等级保护测评概述 等级保护测评内容与方法 等级保护完全实施过程 信息系统定级信息系统定级 安全总体规划安全总体规划 安全设计与实施安全设计与实施 安全运行维护安全运行维护 信息系统终止信息系统终止 安全等级测评安全等级测评 信息系统备案信息系统备案 安全整改设计安全整改设计 等级符合性检查等级符合性检查 应急预案及演练应急预案及演练 安全要求整改 安全等级整改 局部

7、调整 等级变更 信息系统全生命周期分为“信息系统定级、总体安全规划、安全设计与 实施、安全运行维护、信息系统终止”等五个阶段。 u 信息系统定级信息系统定级 定级备案是信息安全等级保护的首要环节。信息系统定级工作应按照“自主定级、专家评审、主管部门审批、 公安机关审核”的原则进行。在等级保护工作中，信息系统运营使用单位和主管部门按照“谁主管谁负责，谁 运营谁负责”的原则开展工作，并接受信息安全监管部门对开展等级保护工作的监管。 u 总体安全规划总体安全规划 总体安全规划阶段的目标是根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况，通过分 析明确信息系统安全需求，设计合理的、满足

8、等级保护要求的总体安全方案，并制定出安全实施计划，以指导 后续的信息系统安全建设工程实施。对于已运营（运行）的信息系统，需求分析应当首先分析判断信息系统的 安全保护现状与等级保护要求之间的差距。 u 安全设计与实施安全设计与实施 安全设计与实施阶段的目标是按照信息系统安全总体方案的要求，结合信息系统安全建设项目计划，分期分步 落实安全措施 u 安全运行维护安全运行维护 安全运行与维护是等级保护实施过程中确保信息系统正常运行的必要环节，涉及的内容较多，包括安全运行与 维护机构和安全运行与维护机制的建立，环境、资产、设备、介质的管理，网络、系统的管理，密码、密钥的 管理，运行、变更的管理，安全状态

9、监控和安全事件处置，安全审计和安全检查等内容。本标准并不对上述所 有的管理过程进行描述，希望全面了解和控制安全运行与维护阶段各类过程的本标准使用者可以参见其它标准 或指南 u 信息系统终止信息系统终止 信息系统终止阶段是等级保护实施过程中的最后环节。当信息系统被转移、终止或废弃时，正确处理系统内的 敏感信息对于确保机构信息资产的安全是至关重要的。在信息系统生命周期中，有些系统并不是真正意义上的 废弃，而是改进技术或转变业务到新的信息系统，对于这些信息系统在终止处理过程中应确保信息转移、设备 迁移和介质销毁等方面的安全 等保测评工作流程 等级测评的工作流程，依据信息系统安全等级保护测评过程指南，

10、具体内容 参见：等保测评工作流程图 准备阶段 方案编制阶段 现场测评阶段 报告编制阶段 等保实施计划 安全管理调研安全管理调研 现场实地调研现场实地调研 现状调研报告现状调研报告 渗透渗透测试报告测试报告 信息信息资产调研表资产调研表 人工审计报告人工审计报告 扫描报告扫描报告 基础培训基础培训PPTPPT 安全技术调研安全技术调研 信息安全信息安全 愿景制定愿景制定 信息安全总体信息安全总体 框架设计框架设计 管理体系管理体系 技术体系技术体系 运维体系运维体系 项目项目 准备准备 等保差距报告等保差距报告 风险风险评估报告评估报告 技能和意识培训技能和意识培训 项目项目 准备准备 现状调研

11、现状调研风险与差距分析风险与差距分析体系规划与建立体系规划与建立 交流、知识转移、培训、宣传交流、知识转移、培训、宣传 项目项目 验收验收 项目项目 验收验收 控制风险分析控制风险分析 等保差距分析等保差距分析 高危问题整改高危问题整改 规划报告规划报告 体系体系文件文件 . 等保测评等保测评 主题三 1 1 2 2 3 3 4 4 等级保护测评方法论 等保测评安全措施 等级保护测评概述 等级保护测评内容与方法 等级保护综合测评 物理安全物理安全 网络安全网络安全 主机系统安全主机系统安全 应用安全应用安全 数据安全数据安全 安全管理机构安全管理机构 安全管理制度安全管理制度 人员安全管理人员

12、安全管理 系统建设管理系统建设管理 系统运维管理系统运维管理 信息信息 系统系统 综合综合测评测评 技技 术术 要要 求求 管管 理理 要要 求求 等级保护测评类型 等等保基本要求的三种技术类型保基本要求的三种技术类型 （S/A/GS/A/G） S:保护数据在存储、传输、处理过程 中不被泄漏、破坏和免受未授权修改的信信 息安全类息安全类要求要求;-物理访问控制、边界完整 性检查、身份鉴别、通信完整性、保密性 等； A:保护系统连续正常的运行，免受对 系统的未授权修改、破坏而导致系统不可 用的服务保证类服务保证类要求要求;-电力供应、资源控 制、软件容错等 G:通用通用安全保护类安全保护类要求要

13、求。-技术类中 的安全审计、管理制度等 G GA AS S 等级保护测评指标 测评测评指标指标 技术技术/ 管理管理 安全类 安全子类数量安全子类数量 S类 (2级) S类 (3级) A类 (2级) A类 (3级) G类 (2级) G类 (3级) F类 (2级) F类 (3级) 要求项控制点控制点 二 级 三 级 二 级 三三 级级 技术技术 类类 物理安全11118 29 4 18101823 47 网络安全1100531676724 40 主机安全2311312036320 34 应用安全452216267621 37 数据安全22110003334 8 管理管理 类类 安全管理制度007

14、 10 0 2327 12 安全管理机构00919285811 27 人员安全管理001116545416 20 系统建设管理002841131891841 59 系统运维管理0027514254125469 105 合合 计计6673236389 等保测评方法 访谈 访谈是指测评人员通过与信息系统有关人员（个人/群体）进 行交流、讨论等活动，获取相关证据以表明信息系统安全保护 措施是否有效落实的一种方法。在访谈范围上，应基本覆盖所 有的安全相关人员类型，在数量上可以抽样。 检查 检查是指测评人员通过对测评对象进行观察、查验、分析等活 动，获取相关证据以证明信息系统安全保护措施是否有效实施 的

15、一种方法。在检查范围上，应基本覆盖所有的对象种类（设 备、文档、机制等），数量上可以抽样。 测试 测试是指测评人员针对测评对象按照预定的方法/工具使其产 生特定的响应，通过查看和分析响应的输出结果，获取证据以 证明信息系统安全保护措施是否得以有效实施的一种方法。在 测试范围上，应基本覆盖不同类型的机制，在数量上可以抽样。 安全等级安全等级控制点控制点要求项要求项 919 1032 1039 物理位置的选择物理位置的选择 （2项）项） 物理访问控制物理访问控制 （4项）项） 防盗窃和防破坏防盗窃和防破坏 （6项）项） 防雷击防雷击 （3项）项） 防火防火 （3项）项） 防水和防潮防水和防潮 （4

16、项）项） 防静电防静电 （2项）项） 温湿度控制温湿度控制 （1项）项） 电力供应电力供应 （4项）项） 电磁防护电磁防护 （3项）项） 以以第第三级为例三级为例 物 理 安 全 物理安全测评内容和方法 物理位置物理位置选择选择 物理物理访问访问控制控制 调研访谈：机房具有防震、防雨和防风能力，并提供机房设计和验收证明； 现场查看：查看机房是否建在高层或地下室。 防防盗盗和防破坏和防破坏 防雷防雷击击 防火防火 防水和防潮防水和防潮 防防静电静电 温湿温湿度控制度控制 电电力供力供应应 电电磁防磁防护护 物 理 安 全 调研访谈：专人值守、进出记录、申请和审批记录、物理隔离、门禁系统； 现场查

17、看：进出登记记录、物理区域化管理、电子门禁系统运行和维护记录。 调研访谈：设备固定和标识、隐蔽布线、介质分类存储标识、部署防盗监控系统； 现场查看：设备固定和标识、监控报警系统安全材料、测试和验收报告。 调研访谈：安装避雷装置、专业地线、防雷感应器； 现场查看：机房防雷设计/验收文档、接地设计/验收文档，交流地线和防雷设备 调研访谈：自动报警灭火设备、耐火材料、物理防火隔离； 现场查看：自动消防运行、报警、维护记录，机房防火设计/验收文档。 调研访谈：机房内有无上下水，防水和防漏措施； 现场查看：机房防水和防潮设计/验收文档，地下积水的转移与渗透的措施。 调研访谈：接地防静电措施，采用防静电地

18、板； 现场查看：防静电措施文档，防静电地板验收文档。 调研访谈：温、湿度自动调节设施，专人负责； 现场查看：温湿度控制设计/验收文档，温湿度记录、运行记录和维护记录。 调研访谈：部署稳压器和过电压防护设备，UPS和市电冗余； 现场查看：电源设备的检查和维护记录，备用供电系统运行记录，市电切换记录。 调研访谈：安全接地，关键设备和磁介质实施电磁屏蔽； 现场查看：查看安全接地、电源线和通讯线隔离，电磁屏蔽容器。 物理安全测评基本要求和实现方法 基本防护能力高层、地下室 基本出入控制 分区域管理 在机房中的活动电子门禁 存放位置、标识标记监控报警系统 建筑防雷、机房接地设备防雷 灭火设备、自动报警自

19、动消防系统区域隔离措施 关键设备和地板防静电 防静电地板 稳定电压、短期供应 冗余/并行线路备用供电系统 线缆隔离、设备和介质屏蔽 接地防干扰 电磁屏蔽 防水设备、防水应急预案或措施 基本要求实现方法/案例 空调系统、自动调节 接地线 温湿度自动调节设施 上下水管门窗防水 线缆隔离布线 机房部署中层 物理位置的选择 物理访问控制 防盗窃和防破坏 防雷击 防火 防静电 电力供应 电磁防护 防水和防潮 温湿度控制 安全等级安全等级控制点控制点要求项要求项 618 733 732 结构安全结构安全 （7项）项） 访问控制访问控制 （8项）项） 安全审计安全审计 （4项）项） 边界完整性检查边界完整性

20、检查 （2项）项） 入侵防范入侵防范 （2项）项） 恶意代码防范恶意代码防范 （2项）项） 网络设备防护网络设备防护 （8项）项） 以以第第三级为例三级为例 网 络 安 全 网络安全测评内容和方法 结构结构安全安全 访问访问控制控制 调研访谈：网络冗余、带宽情况、安全路径、子网和网段分配原则、重要网段隔离； 测评判断：网络设计或验收文档，路由控制策略，网络设计或验收文档，网络隔离手段。 安全安全审计审计 边边界完整性界完整性检查检查 入侵入侵检测检测 恶恶意代意代码码防防护护 网络设备网络设备防防护护 网 络 安 全 调研访谈：网络边界控制策略， 测评判断：会话对数据流进行控制，应用层协议控制

21、，自动终止网络连接的配置等。 调研访谈：开启安全审计功能、审计内容、审计报表、审计记录保护； 测评判断：审计全面监测、查看审计报表、审计记录处理方式。 调研访谈：外网接入内网行为监控、内网私自联到外网行为监控，并进行阻断处理； 测评判断：查看外网接入内网行为和内网私自联到外网行为进行监控的配置。 调研访谈：网络入侵防范措施、防范规则库升级方式、网络入侵防范的设备； 测评判断：检查网络入侵防范设备，查看检测的攻击行为和安全警告方式。 调研访谈：网络恶意代码防范措施、恶意代码库的更新策略； 测评判断：网络设计或验收文档，网络边界对恶意代码采取的措施和防恶意代码产品更新。 调研访谈：两种用户身份鉴别

22、、地址限制、用户唯一、口令复杂度要求、登录失败验证等； 测评判断：用户唯一和地址限制、密码复杂度和两种身份鉴别方式、特权用户权限分配。 网络安全测评基本要求和实现方法 基本要求实现方法/案例 关键设备冗余空间 子网/网段控制核心网络带宽 主要设备冗余空间 整体网络带宽重要网段部署 路由控制 访问控制设备（用户、网段） 拨号访问限制 应用层协议过滤会话终止 端口控制 最大流量数及最大连接数 防止地址欺骗 结构安全 访问控制 安全审计 边界完整性检查 入侵防范 恶意代码防范 网络设备防护 审计报表审计记录的保护 定位及阻断 内部的非法联出 非授权设备私自外联 检测常见攻击记录、报警 网络边界处防范

23、 基本的登录鉴别组合鉴别技术 特权用户的权限分离 边界恶意代码检测 代码库升级 重要客户端的审计重要客户端的审计 日志记录 安全等级安全等级控制点控制点要求项要求项 619 732 936 身份鉴别身份鉴别 （6项）项） 访问控制访问控制 （7项）项） 安全审计安全审计 （6项）项） 剩余信息保护剩余信息保护 （2项）项） 入侵防范入侵防范 （3项）项） 恶意代码防范恶意代码防范 （3项）项） 系统资源控制系统资源控制 （5项）项） 以以第第三级为例三级为例 主 机 安 全 主机安全测评内容和方法 身身份鉴别份鉴别 访问访问控制控制 安全安全审计审计 剩余信息保剩余信息保护护 入侵入侵检测检测

24、 恶恶意代意代码码防范防范 资资源控制源控制 主 机 安 全 调研访谈：安全策略、最小分配原则、权限分离、删除多余账户、敏感标识、控制敏感资源； 测评判断：检查服务器操作系统的安全策略、查看特权用户的权限是否进行分离。 调研访谈：保证数据存储空间、重新分配前完全清楚数据； 测评判断：检查操作系统和数据库系统维护操作手册，包括：存储空间被释放和重新分配原则。 调研访谈：入侵防范措施和安全报警、重要程序的完整性进行检测、系统补丁及时更新； 测评判断：检查入侵防范系统、检测到完整性受到破坏后恢复的措施、补丁升级记录。 调研访谈： 安装防恶意代码软件、防恶意代码软件统一管理； 测评判断：检查实时检测与

25、恶意代码的软件产品并进行及时更新、主机和网络恶意代码软件不同 调研访谈：限制终端登录、登录超时锁定、对服务器进行监控、限制用户对资源的访问等； 测评判断：检查服务器操作系统限制终端登录、超时锁定、服务器监控等 调研访谈：两种用户身份鉴别、地址限制、用户唯一、口令复杂度要求、登录失败验证等； 测评判断：用户唯一和地址限制、密码复杂度和两种身份鉴别方式、特权用户权限分配。 调研访谈：开启安全审计功能、审计内容、审计报表、审计记录保护； 测评判断：审计全面监测、查看审计报表、审计记录处理方式。 主机安全测评基本要求和实现方法 基本要求实现方法/案例 访问控制 安全审计 剩余信息保护 入侵防范 恶意代

26、码防范 资源控制 审计报表审计记录的保护 空间释放 恶意代码防范产品 对用户会话数及终端登录的限制 监视重要服务器 最小服务水平的检测及报警 防恶意代码软件、代码库统一管理 身份鉴别 基本的身份鉴别组合鉴别技术 安全策略特权用户的权限分离 管理用户的权限分离 敏感标记的设置及操作 服务器基本运行情况审计 重要客户端的审计 空间释放及信息清除 最小安装原则升级服务器重要服务器：检测、记录、报警 重要程序完整性 安全等级安全等级控制点控制点要求项要求项 719 931 1136 身份鉴别身份鉴别 （5项）项） 访问控制访问控制 （6项）项） 安全审计安全审计 （4项）项） 剩余信息保护剩余信息保护

27、 (2项项) 通信完整性通信完整性 (1项项) 通信保密性通信保密性 (2项项) 抗抵赖抗抵赖 (2项项) 软件容错软件容错 (2项项) 以以第第三级为例三级为例 应 用 安 全 应用安全测评内容和方法 身身份鉴别份鉴别 访问访问控制控制 安全安全审计审计 剩余信息保剩余信息保护护 通通讯讯完整性完整性 通通讯讯保密性保密性 抗抵抗抵赖赖 应 用 安 全 调研访谈：应采用密码技术保证通信过程中数据的完整性； 测评判断：检查设计或验收文档，是否有用密码技术来保证通信过程中数据的完整性的描述。 调研访谈：利用密码技术进行会话初始化验证、对整个报文或会话过程进行加密； 测评判断：系统数据在通信过程中

28、采取扫描保密措施，查看具体措施。 调研访谈：数据原发者或接收者提供数据原发证据的功能； 测评判断：系统是否具有抗抵赖的措施，查看具体措施。 软软件容件容错错 调研访谈：数据有效性检验功能、当故障发生时自动保护当前所有状态； 测评判断：查看应用系统是否对人机接口输入或通信接口输入的数据进行有效性检验。 资资源控制源控制 调研访谈：两种用户身份鉴别、地址限制、用户唯一、口令复杂度要求、登录失败验证等； 测评判断：用户唯一和地址限制、密码复杂度和两种身份鉴别方式、特权用户权限分配。 调研访谈：安全策略、最小分配原则、权限分离、删除多余账户、敏感标识、控制敏感资源； 测评判断：检查服务器操作系统的安全

29、策略、查看特权用户的权限是否进行分离。 调研访谈：开启安全审计功能、审计内容、审计报表、审计记录保护； 测评判断：审计全面监测、查看审计报表、审计记录处理方式。 调研访谈：保证数据存储空间、重新分配前完全清楚数据； 测评判断：检查操作系统和数据库系统维护操作手册，包括：存储空间被释放和重新分配原则。 调研访谈：限制终端登录、登录超时锁定、对服务器进行监控、限制用户对资源的访问等； 测评判断：检查服务器操作系统限制终端登录、超时锁定、服务器监控等。 应用安全测评基本要求和实现方法 基本要求实现方法/案例 访问控制 安全审计 剩余信息保护 通讯完整性 通讯保密性 资源控制 审计报表审计记录的保护

30、空间释放 对用户会话数及 系统最大并发会话数的限制 身份鉴别 基本的身份鉴别组合鉴别技术 安全策略最小授权原则敏感标记的设置及操作 空间释放及信息清除 运行情况审计（用户级） 审计记录的保护 校验码技术 初始化验证 密码技术 整个报文及会话过程加密 抗抵赖 数据原发证据和接收证据用户认证、数字签名、操作日志 资源分配限制、资源分配优先级 最小服务水平的检测及报警 软件容错 数据有效性检验、部分运行保护自动保护功能 安全等级安全等级控制点控制点要求项要求项 34 38 311 数据完整性数据完整性 （2项项） 数据保密性数据保密性 （2项项） 备份备份与与恢复恢复 （8项项） 以以第第三级为例三

31、级为例 数 据 安 全 数据安全测评内容和方法 数数据完整性据完整性 数数据保密性据保密性 调研访谈： 应能够检测到系统管理数据、鉴别信息和重要业务数据在传输和存 储过程中完整性受到破坏，并进行必要措施； 检查判断：检测传输和存储破坏的措施和恢复措施。 安全安全备份备份 数 据 安 全 调研访谈：采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据 传输和存储保密性； 检查判断：鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性 调研访谈：本地数据备份和恢复，备份介质场外存放，通信线路和数据处理系统 的硬件冗余； 检查判断：查设计或验收文档，对本地数据备份和恢复功能及策略

32、的描述，查主 要网络设备、主要通信线路和主要数据处理系统是否采用硬件冗余、软件配置等 应用安全测评基本要求和实现方法 基本要求实现方法/案例 访问控制 备份和恢复备份和恢复 数据完整性数据完整性 鉴别数据传输的完整性 各类数据传输及存储各类数据传输及存储 检测和恢复检测和恢复 鉴别数据存储的保密性各类数据的传输及存储各类数据的传输及存储 重要数据的备份 硬件冗余 异地备份异地备份 网络冗余、硬件冗余网络冗余、硬件冗余 本地完全备份本地完全备份每天每天1次次 备份介质场外存放备份介质场外存放 安全等级安全等级控制点控制点要求项要求项 37 311 314 管理制度管理制度 （4项项） 制定和发布

33、制定和发布 （5项项） 评审和修订评审和修订 （2项项） 以以第第三级为例三级为例 安 全 管 理 制 度 安全管理制度测评内容和方法 管理制度管理制度 制定和制定和发发布布 调研访谈：制定总体方针和安全策略、建立操作规程； 查文件：查部门、岗位职责文件，信息安全方针、安全策略文件；查各类安全管理 制度文件；形成安全管理制度体系 评审评审和修和修订订 安 全 管 理 制 度 调研访谈：专人负责制定安全管理制度，统一格式和版本，并进行论证和审定，通过 有效形式进行发布，注明发布范围； 查文件：查指定部门和人员的工作职责，信息安全管理制度的文件模板或格式规定， 论证和审定记录和文件发布、登记记录。

34、 调研访谈：安全管理制度评审主持部门，定期对制度文件的合理性和适用性进行审定； 查文件：查对安全管理制度体系进行评审的管理文件，修订的安全管理制度修订或评 审记录。 安全等级安全等级控制点控制点要求项要求项 59 520 520 岗位设置岗位设置 （4项项） 人员配备人员配备 （3项项） 授权和审批授权和审批 （4项）项） 沟通和合作沟通和合作 （5项）项） 审核和检查审核和检查 （4项）项） 以以第第三级为例三级为例 安 全 管 理 机 构 安全管理机构测评内容和方法 岗岗位位设设置置 人人员员配配备备 调研访谈：信息安全管理工作的职能部门，设立岗位和职责，建立信息安全领导小组； 查文件：查

35、部门、岗位职责文件，领导小组岗位职责文件，安全管理机构各部门和岗位职 责、分工、技能要求文件 授授权权和和审审批批 安 全 管 理 机 构 调研访谈：安全管理岗位人员的配备情况； 查文件：查安全管理各岗位人员信息表，关键岗位管理人员配备2人或2人以上共同管理。 调研访谈：对重要活动进行审批，审批部门是何部门，批准人是何人，审批范围包括哪些， 定期审查审批； 查文件：查各部门和岗位的职责文档，逐级审批制度及审批记录，查审查审批制度。 沟沟通和合作通和合作 调研访谈：内部沟通机制，兄弟单位合作沟通机制，供应商合作沟通机制，聘请安全专家； 查文件：查内部沟通、合作机制程序或规程，查外联单位联系列表，

36、查安全顾问名单、证 明文件，相关文档或记录。 审审核核和和检查检查 调研访谈：定期安全检查的程序、实施情况及检查周期，对信息系统全面安全检查； 查文件：安全检查的程序文件和记录，全面安全检查记录，安全检查表，安全检查报告和 结果通告记录，全面安全检查报告等。 安全等级安全等级控制点控制点要求项要求项 511 516 518 人员录用人员录用 （4项项） 人员离岗人员离岗 （3项项） 人员考核人员考核 （3项）项） 安全意识教育和培训（安全意识教育和培训（4项）项） 外部人员访问管理（外部人员访问管理（2项）项） 以以第第三级为例三级为例 人 员 安 全 管 理 人员安全管理测评内容和方法 人人

37、员录员录用用 人人员员离离岗岗 调研访谈：专门的部门或人员负责人员的录用工作，人员录用条件和审查内容； 查文件：查部门/人员工作职责文件，人员录用要求管理文档，相关审查及考核记录，查 保密协议；查保密协议签署记录。 人人员员考核考核 人 员 安 全 管 理 调研访谈：离岗人员控制方法，调离手续，关键岗位人员调离时承诺相关保密协议； 查文件：查人员离岗的管理文档，对离岗人员的安全处理记录，调离手续记录，查保密 承诺文档，调离人员记录。 调研访谈：各个岗位人员进行安全技能及安全知识的考核，关键岗位审查考核特殊要求； 查文件：查定期人员审查/考核规程文件，关键岗位的定期审查和考核规程文件，考核文 档

38、和记录，人员安全审查记录。 安全意安全意识教识教育和培育和培训训 调研访谈：制定培训计划及实施情况，对违反安全策略和规定的人员进行惩戒； 查文件：查安全意识教育和培训规程文件，安全责任和惩戒措施管理文档，安全教育和培 训计划文档，教育和培训记录。 外部人外部人员访问员访问管理管理 调研访谈：对外部人员访问重要区域管理措施、规程或制度等情况； 查文件：查外部人员访问管理规程文档和访问重要区域批准文档，外部人员访问重要区域 的登记记录。 安全等级安全等级控制点控制点要求项要求项 928 1145 1148 系统定级系统定级 （4项项） 安全方案设计安全方案设计 （5项项） 产品采购产品采购 （4项

39、）项） 自行软件开发自行软件开发 （5项）项） 外包软件开发外包软件开发 （4项）项） 工程工程实施实施 （3项）项） 测试验收测试验收 （5项）项） 系统交付系统交付 （5项）项） 系统备案系统备案 （3项）项） 等级测评等级测评 （4项）项） 服务服务商选择商选择 （3项）项） 以以第第三级为例三级为例 系 统 建 设 管 理 系统建设管理测评内容和方法 系系统统定定级级 安全方案安全方案设计设计 调研访谈：系统定级过程、方法和理由，定级结果论证和审定，定级结果批准等； 查文件：查系统定级文档，文档说明定级方法和理由，论证和审定意见，批准盖章等。 产产品采品采购购和使用和使用 自行自行软软

40、件件开发开发 外部外部软软件件开发开发 工程工程实实施施 测试验测试验收收 系系统统交付交付 系系统备统备案案 等等级测评级测评 系 统 建 设 管 理 调研访谈：专人负责安全建设规划，安全设计方案，专家论证和审定，定期修订配套文件； 查文件：安全措施文档、风险分析表，总体规划文件和工作计划，专家论证文档，文档修订记录。 调研访谈：安全、密码产品使用，指定部门负责采购，审定和更新候选产品名单； 查文件：采购文件中涉及产品指标和候选范围，密码产品使用规定，产品选型测试记录等。 调研访谈：开发环境与测试环境分开，编码安全规范，专人保管设计文档和使用指南，授权审批； 查文件：查软件开发管理制度，明确

41、软件开发生命周期管理，编码规范，设计文档等管理。 调研访谈：检测软件质量，恶意代码检测，开发商提供设计文档、使用指南和源代码等； 查文件：外包软件验收测试报告，恶意代码检测报告，设计文件和使用指南，源代码审查记录等。 调研访谈：专人负责管理实施过程，制定实施方案，制定工程实施方面的安全管理制度； 查文件：工程实施方的责任、任务和质量要求，工程实施方案，阶段性报告，工程实施管理制度。 调研访谈：第三方安全测试，制定测试验收方案和报告，专人负责验收工作，测试验收报告审定； 查文件：第三方测试文档，测试验收方案，测试验收管理文档，测试验收记录和测试验收报告。 调研访谈：根据交付清单对设备、文档、软件

42、等进行清点，新系统培训，专人负责系统交接工作； 查文件：详细系统交付清单，新系统培训记录，系统运维文档，系统交付管理文档等。 调研访谈：专门部门管理和使用定级材料，报主管部门和公安机关进行备案； 查文件：系统定级相关材料，主管部门和公安机关备案的记录或备案文档。 调研访谈：等保测评管理文件，系统变更后的等级测评，如何选择测评机构，专人负责等保测评； 查文件：测评报告、建议报告和整改方案，测评机构资质。 安全服安全服务务商商选择选择 调研访谈：安全服务器选择，签订服务协议，服务商提供技术培训和服务培训； 查文件：服务招标文件，签订的服务合同和保密协议等文档，服务合同中包含服务内容和期限等。 安全

43、等级安全等级控制点控制点要求项要求项 1241 1362 1370 系 统 运 维 管 理 环境管理环境管理 （4项项） 资产管理资产管理 （4项项） 介质管理介质管理 （6项）项） 设备管理设备管理 （5项）项） 监控管理和安全管理中心（监控管理和安全管理中心（3项）项） 网络安全管理网络安全管理 （8项）项） 系统安全管理系统安全管理 （7项）项） 恶意代码防范管理恶意代码防范管理 （4项）项） 密码管理密码管理 （1项）项） 变更管理变更管理 （4项）项） 备份与恢复管理备份与恢复管理 （5项）项） 安全事件处置安全事件处置 （6项）项） 应急预案管理应急预案管理 （5项）项） 以以第第三级为例三级为例 系统运维管理测评内容和方法 环环境管理境管理 调研访谈：指定部门或人员对机房维护、机房安全，建立机房制度，办公环境保密性管理； 查文件：机房维护管理制度和维护记录，查机房管理制度，物理访问、环境安全等，办公环境管理文档。 系 统 运 维 管 理 资产资产管理管理 调研访谈：建立资产登记管理及资产清单，依据重要资产进行分类和标识管理； 查文件：查资产清单，资产安全管理制度，依据资产重要程度的管理措施，信息分类文档和资产标识原则和方法。 介介质质管