GA/T 713-2007信息安全技术信息系统安全管理测评

犐犆犛３５．０２０

犔０９

中华人民共和国公共安全行业标准

犌犃／犜７１３—２００７

信息安全技术

信息系统安全管理测评

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犐狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊犲犮狌狉犻狋狔犿犪狀犪犵犲犿犲狀狋狋犲狊狋犻狀犵犪狀犱犲狏犪犾狌犪狋犻狅狀

２００７０８１３发布２００７１００１实施

中华人民共和国公安部发布

书

中华人民共和国公共安全

行业标准

信息安全技术

信息系统安全管理测评

ＧＡ／Ｔ７１３—２００７

中国标准出版社出版发行

北京复兴门外三里河北街１６号

邮政编码：１０００４５

网址ｗｗｗ．ｓｐｃ．ｎｅｔ．ｃｎ

电话：６８５２３９４６６８５１７５４８

中国标准出版社秦皇岛印刷厂印刷

各地新华书店经销

开本８８０×１２３０１／１６印张２字数５２千字

２００７年１１月第一版２００７年１１月第一次印刷

书号：１５５０６６·２１８２８３

如有印装差错由本社发行中心调换

版权专有侵权必究

举报电话：（０１０）６８５３３５３３

书

犌犃／犜７１３—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范围!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２规范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３术语和定义!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４管理评估的基本原则!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５评估方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１调查性访谈!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．１调查性访谈主要对象!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．２调查性访谈准备!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．３调查性访谈阶段划分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１．４调查性访谈质量控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２符合性检查!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２．１符合性检查主要对象!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２．２符合性检查方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２．３符合性检查质量控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３有效性验证!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３．１有效性验证主要对象!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３．２有效性验证方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３．３有效性验证质量控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４监测验证!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．１监测验证的主要依据!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．２监测验证方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．３监测验证质量控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

６评估实施!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．１确定评估目标!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．２控制评估过程!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６．３处理评估结果!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．４建立保障证据!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

７分等级评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７．１第一级：用户自主保护级!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７．１．１管理目标和范围评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７．１．２策略和制度评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７．１．３机构和人员管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７．１．４风险管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７．１．５环境和资源管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７．１．６运行和维护管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

７．１．７业务连续性管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

Ⅰ

书

犌犃／犜７１３—２００７

７．１．８监督和检查管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

７．１．９生存周期管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

７．１．１０实施原则及方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

７．２第二级：系统审计保护级!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２．１管理目标和范围评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２．２策略和制度评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２．３机构和人员管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２．４风险管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２．５环境和资源管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２．６运行和维护管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．２．７业务连续性管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．２．８监督和检查管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．２．９生存周期管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２．１０实施原则及方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．３第三级：安全标记保护级!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．３．１管理目标和范围评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．３．２策略和制度评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．３．３机构和人员管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．３．４风险管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．３．５环境和资源管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

７．３．６运行和维护管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

７．３．７业务连续性管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

７．３．８监督和检查管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．３．９生存周期管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．３．１０实施原则及方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．４第四级：结构化保护级!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．４．１管理目标和范围评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．４．２策略和制度评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．４．３机构和人员管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７．４．４风险管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７．４．５环境和资源管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７．４．６运行和维护管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

７．４．７业务连续性管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．４．８监督和检查管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．４．９生存周期管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．４．１０实施原则及方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．５第五级：访问验证保护级!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．５．１管理目标和范围评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７．５．２策略和制度评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．５．３机构和人员管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．５．４风险管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．５．５环境和资源管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．５．６运行和维护管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

Ⅱ

犌犃／犜７１３—２００７

７．５．７业务连续性管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

７．５．８监督和检查管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

７．５．９生存周期管理评估!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

７．５．１０实施原则及方法!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

附录Ａ（资料性附录）安全管理评估内容!!!!!!!!!!!!!!!!!!!!!!!!２０

参考文献!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

Ⅲ

犌犃／犜７１３—２００７

前言

本标准的附录Ａ为资料性附录。

本标准由公安部信息系统安全标准化技术委员会提出并归口。

本标准起草单位：北京江南天安科技有限公司，北京思源新创信息安全资讯有限公司。

本标准主要起草人：陈冠直、王志强、吉增瑞、景乾元、宋建平。

Ⅴ

犌犃／犜７１３—２００７

引言

本标准用于在实施信息系统安全等级保护时，根据ＧＢ／Ｔ２０２６９—２００６《信息安全技术信息系统

安全管理要求》对安全管理体系各等级安全管理要求的落实情况进行评估，规定了评估的主要内容和原

则，明确了评估过程和方法。对于涉及国家秘密的信息和信息系统的保密管理，应按照国家有关保密管

理规定和相关测评标准执行。

信息系统安全管理评估的主体包括信息系统的主管领导部门、信息安全监管机构、第三方评估机

构、信息系统的管理者等，对应的评估可以是检查评估、第三方评估或自评估，本标准中统称评估。

本标准第４章（管理评估