信息安全等級保護項目測評方案(DOC181頁)

1、 / 181 / 181信息安全等級保護測評項目測評方案廣州華南信息安全測評中心二。一六年 TOC o 1-5 h z 第一章概述 3第二章測評基本原則 4 HYPERLINK l bookmark0 o Current Document 客觀性和公正性原則 4 HYPERLINK l bookmark2 o Current Document 經(jīng)濟性和可重用性原則 4 HYPERLINK l bookmark4 o Current Document 可重復(fù)性和可再現(xiàn)性原則 4 HYPERLINK l bookmark6 o Current Document 結(jié)果完善性原則 4 HYPERLIN

2、K l bookmark8 o Current Document 第三章 測評安全目標(biāo)（ 2 級） 5技術(shù)目標(biāo) 5 HYPERLINK l bookmark12 o Current Document 管理目標(biāo) 6第四章測評內(nèi)容 9資料審查 10核查測試 10綜合評估 10第五章項目實施 12 HYPERLINK l bookmark38 o Current Document 實施流程 12測評工具 13調(diào)查問卷 13 HYPERLINK l bookmark45 o Current Document 系統(tǒng)安全性技術(shù)檢查工具 13 HYPERLINK l bookmark47 o Current

3、 Document 測評工具使用原則 13 HYPERLINK l bookmark49 o Current Document 測評方法 14 HYPERLINK l bookmark51 o Current Document 第六章 項目管理 15 HYPERLINK l bookmark53 o Current Document 項目組織計劃 15 HYPERLINK l bookmark55 o Current Document 項目成員組成與職責(zé)劃分 15 HYPERLINK l bookmark57 o Current Document 項目溝通 16 HYPERLINK l boo

4、kmark59 o Current Document 日常溝通，記錄和備忘錄 16 HYPERLINK l bookmark61 o Current Document 報告 16 HYPERLINK l bookmark63 o Current Document 正式會議 16 HYPERLINK l bookmark65 o Current Document 第七章 附錄：等級保護評測準(zhǔn)則 19 HYPERLINK l bookmark67 o Current Document 一、 信息系統(tǒng)安全等級保護2 級測評準(zhǔn)則 19基本要求 19評估測評準(zhǔn)則 31 HYPERLINK l bookm

5、ark765 o Current Document 二、信息系統(tǒng)安全等級保護3 級測評準(zhǔn)則 88基本要求 88評估測評準(zhǔn)則 108第一章 概述2003年中央辦公廳、國務(wù)院辦公廳轉(zhuǎn)發(fā)了國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見（中辦發(fā) 200327 號）以及 2004 年 9 月四部委局聯(lián)合簽發(fā)的關(guān)于信息安全等級保護工作的實施意見等信息安全等級保護的文件明確指出， “要重點保護基礎(chǔ)信息網(wǎng)絡(luò)和關(guān)系國家安全、經(jīng)濟命脈、社會穩(wěn)定等方面的重要信息系統(tǒng)，抓緊建立信息安全等級保護制度，制定信息安全等級保護的管理辦法和技術(shù)指南。 ”2009 年 4月廣東省公安廳、省保密局、密碼管理局和省信息化工作領(lǐng)導(dǎo)小

6、組聯(lián)合發(fā)文廣東省深化信息安全等級保護工作方案 （粵公通字 200945 號 ）中又再次指出， “通過深化信息安全等級保護，全面推動重要信息系統(tǒng)安全整改和測評工作，增強信息系統(tǒng)安全保護的整體性、針對性和實效性，使信息系統(tǒng)安全建設(shè)更加突出重點、統(tǒng)一規(guī)范、科學(xué)合理，提高信息安全保障能力，維護國家安全、社會穩(wěn)定和公共利益，保障和促進信息化建設(shè)”。由此可見，等級保護測評和等級保護安全整改工作已經(jīng)迫在眉睫。第二章測評基本原則一、 客觀性和公正性原則雖然測評工作不能完全擺脫個人主張或判斷，但測評人員應(yīng)當(dāng)沒有偏見，在最小主觀判斷情形下，按照測評雙方相互認(rèn)可的測評方案，基于明確定義的 測評方式和解釋，實施測評活

7、動。二、 經(jīng)濟性和可重用性原則基于測評成本和工作復(fù)雜性考慮，鼓勵測評工作重用以前的測評結(jié)果，包括商業(yè)安全產(chǎn)品測評結(jié)果和信息系統(tǒng)先前的安全測評結(jié)果。所有重用的結(jié)果，都應(yīng)基于結(jié)果適用于目前的系統(tǒng)，并且能夠反映出目前系統(tǒng)的安全狀態(tài)基礎(chǔ)之上。三、 可重復(fù)性和可再現(xiàn)性原則不論誰執(zhí)行測評，依照同樣的要求，使用同樣的測評方式，對每個測評實施過程的重復(fù)執(zhí)行應(yīng)該得到同樣的結(jié)果。可再現(xiàn)性和可重復(fù)性的區(qū)別在于，前者與不同測評者測評結(jié)果的一致性有關(guān)，后者與同一測評者測評結(jié)果的一致性有關(guān)。四、 結(jié)果完善性原則測評所產(chǎn)生的結(jié)果應(yīng)當(dāng)證明是良好的判斷和對測評項的正確理解。測評過程和結(jié)果應(yīng)當(dāng)服從正確的測評方法以確保其滿足了測評

8、項的要求。測評安全目標(biāo)（ 2 級）技術(shù)目標(biāo)O2-1. 應(yīng)具有抵抗一般強度地震、臺風(fēng)等自然災(zāi)難造成破壞的能力O2-2. 應(yīng)具有控制接觸重要設(shè)備、介質(zhì)的能力O2-3. 應(yīng)具有對通信線路進行物理保護的能力O2-4. 應(yīng)具有控制機房進出的能力O2-5. 應(yīng)具有防止設(shè)備、介質(zhì)等丟失的能力O2-6. 應(yīng)具有控制機房內(nèi)人員活動的能力O2-7. 應(yīng)具有防止雷擊事件導(dǎo)致重要設(shè)備被破壞的能力O2-8. 應(yīng)具有滅火的能力O2-9. 應(yīng)具有檢測火災(zāi)和報警的能力O2-10. 應(yīng)具有防水和防潮的能力O2-11. 應(yīng)具有防止靜電導(dǎo)致重要設(shè)備被破壞的能力O2-12. 應(yīng)具有溫濕度自動檢測和控制的能力O2-13. 應(yīng)具有防止電

9、壓波動的能力O2-14. 應(yīng)具有對抗短時間斷電的能力O2-15. 具有基本的抗電磁干擾能力O2-16. 應(yīng)具有限制網(wǎng)絡(luò)、操作系統(tǒng)和應(yīng)用系統(tǒng)資源使用的能力O2-17. 應(yīng)具有能夠檢測對網(wǎng)絡(luò)的各種攻擊并記錄其活動的能力O2-18. 應(yīng)具有網(wǎng)絡(luò)邊界完整性檢測能力O2-19. 應(yīng)具有對傳輸和存儲數(shù)據(jù)進行完整性檢測的能力O2-20. 應(yīng)具有對硬件故障產(chǎn)品進行替換的能力O2-21. 應(yīng)具有系統(tǒng)軟件、應(yīng)用軟件容錯的能力O2-22. 應(yīng)具有軟件故障分析的能力O2-23. 應(yīng)具有合理使用和控制系統(tǒng)資源的能力O2-24. 應(yīng)具有記錄用戶操作行為的能力O2-25. 應(yīng)具有對用戶的誤操作行為進行檢測和報警的能力O2-

10、26. 應(yīng)具有對傳輸和存儲中的信息進行保密性保護的能力O2-27. 應(yīng)具有發(fā)現(xiàn)所有已知漏洞并及時修補的能力O2-28. 應(yīng)具有對網(wǎng)絡(luò)、系統(tǒng)和應(yīng)用的訪問進行控制的能力O2-29. 應(yīng)具有對數(shù)據(jù)、文件或其他資源的訪問進行控制的能力O2-30. 應(yīng)具有對資源訪問的行為進行記錄的能力O2-31. 應(yīng)具有對用戶進行唯一標(biāo)識的能力O2-32. 應(yīng)具有對用戶產(chǎn)生復(fù)雜鑒別信息并進行鑒別的能力O2-33. 應(yīng)具有對惡意代碼的檢測、阻止和清除能力O2-34. 應(yīng)具有防止惡意代碼在網(wǎng)絡(luò)中擴散的能力O2-35. 應(yīng)具有對惡意代碼庫和搜索引擎及時更新的能力O2-36. 應(yīng)具有保證鑒別數(shù)據(jù)傳輸和存儲保密性的能力O2-37

11、. 應(yīng)具有對存儲介質(zhì)中的殘余信息進行刪除的能力O2-38. 應(yīng)具有非活動狀態(tài)一段時間后自動切斷連接的能力O2-39. 應(yīng)具有重要數(shù)據(jù)恢復(fù)的能力二、 管理目標(biāo)O2-40. 應(yīng)確保建立了安全職能部門，配備了安全管理人員，支持信息安全管理工作O2-41. 應(yīng)確保配備了足夠數(shù)量的管理人員，對系統(tǒng)進行運行維護O2-42. 應(yīng)確保對主要的管理活動進行了制度化管理O2-43. 應(yīng)確保建立并不斷完善、健全安全管理制度O2-44. 應(yīng)確保能協(xié)調(diào)信息安全工作在各功能部門的實施O2-45. 應(yīng)確保能控制信息安全相關(guān)事件的授權(quán)與審批O2-46. 應(yīng)確保建立恰當(dāng)可靠的聯(lián)絡(luò)渠道，以便安全事件發(fā)生時能得到支持O2-47.

12、應(yīng)確保對人員的行為進行控制O2-48. 應(yīng)確保對人員的管理活動進行了指導(dǎo)O2-49. 應(yīng)確保安全策略的正確性和安全措施的合理性O(shè)2-50. 應(yīng)確保對信息系統(tǒng)進行合理定級O2-51. 應(yīng)確保安全產(chǎn)品的可信度和產(chǎn)品質(zhì)量O2-52. 應(yīng)確保自行開發(fā)過程和工程實施過程中的安全O2-53. 應(yīng)確保能順利地接管和維護信息系統(tǒng)O2-54. 應(yīng)確保安全工程的實施質(zhì)量和安全功能的準(zhǔn)確實現(xiàn)O2-55. 應(yīng)確保機房具有良好的運行環(huán)境O2-56. 應(yīng)確保對信息資產(chǎn)進行標(biāo)識管理O2-57. 應(yīng)確保對各種軟硬件設(shè)備的選型、采購、發(fā)放、使用和保管等過程 進行控制O2-58. 應(yīng)確保各種網(wǎng)絡(luò)設(shè)備、服務(wù)器正確使用和維護O2-5

13、9. 應(yīng)確保對網(wǎng)絡(luò)、操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)和應(yīng)用系統(tǒng)進行安全管 理O2-60. 應(yīng)確保用戶具有鑒別信息使用的安全意識O2-61. 應(yīng)確保定期地對通信線路進行檢查和維護O2-62. 應(yīng)確保硬件設(shè)備、存儲介質(zhì)存放環(huán)境安全，并對其的使用進行控制和保護O2-63. 應(yīng)確保對支撐設(shè)施、硬件設(shè)備、存儲介質(zhì)進行日常維護和管理O2-64. 應(yīng)確保系統(tǒng)中使用的硬件、軟件產(chǎn)品的質(zhì)量O2-65. 應(yīng)確保各類人員具有與其崗位相適應(yīng)的技術(shù)能力O2-66. 應(yīng)確保對各類人員進行相關(guān)的技術(shù)培訓(xùn)O2-67. 應(yīng)確保提供的足夠的使用手冊、維護指南等資料O2-68. 應(yīng)確保內(nèi)部人員具有安全方面的常識和意識O2-69. 應(yīng)確保具

14、有設(shè)計合理、安全網(wǎng)絡(luò)結(jié)構(gòu)的能力O2-70. 應(yīng)確保密碼算法和密鑰的使用符合國家有關(guān)法律、法規(guī)的規(guī)定O2-71. 應(yīng)確保任何變更控制和設(shè)備重用要申報和審批，并對其實行制度化 的管理O2-72. 應(yīng)確保在事件發(fā)生后能采取積極、有效的應(yīng)急策略和措施O2-73. 應(yīng)確保信息安全事件實行分等級響應(yīng)、處置測 評內(nèi)容當(dāng)根據(jù)信息系統(tǒng)的業(yè)務(wù)重要性及其他相關(guān)因素對信息系統(tǒng)進行劃分，確定了信息系統(tǒng)的安全保護等級后，需要了解不同級別的信息系統(tǒng)或子系統(tǒng)當(dāng)前的安全保護與相應(yīng)等級的安全保護基本要求之間存在的差距，這種差距是一種安全需求，是進行安全方案設(shè)計的基礎(chǔ)。傳統(tǒng)的安全需求分析方法有很多，如風(fēng)險分析法，但是作為了解信息系

15、統(tǒng)或子系統(tǒng)當(dāng)前的安全保護狀況與相應(yīng)等級的安全保護基本要求之間存在的差距的簡便方法，莫過于等級評估測評法。?活動目標(biāo)：本活動的目標(biāo)是通過信息安全等級測評機構(gòu)對已經(jīng)完成等級保護建設(shè)的信息系統(tǒng)定期進行等級測評，確保信息系統(tǒng)的安全保護措施符合相應(yīng)等級的安全要求。?參與角色：甲方 廣州華南信息安全測評中心?活動輸入：信息系統(tǒng)詳細(xì)描述文件，信息系統(tǒng)安全保護等級定級報告，信息系統(tǒng)測評計劃，信息系統(tǒng)測評方案。? 活動描述：參見有關(guān)信息系統(tǒng)安全保護等級測評的規(guī)范或標(biāo)準(zhǔn)。?活動輸出：安全等級測評評估報告。信息系統(tǒng)安全測評包括資料審查、核查測試、綜合評估如下三個部分內(nèi)容：資料審查測評機構(gòu)接受用戶提供的測評委托書和測

16、評資料；測評機構(gòu)對用戶提供的測評委托書和測評資料進行形式化審查，判斷是 否需要補充相關(guān)資料；核查測試測評機構(gòu)依據(jù)用戶提供的資料、評估機構(gòu)實地調(diào)研資料及定級報告等， 制定系統(tǒng)安全評估測評計劃；依據(jù)系統(tǒng)安全測評計劃制定系統(tǒng)安全評估測評方案；依據(jù)系統(tǒng)安全測評方案實施現(xiàn)場核查測試；對核查測試結(jié)果進行數(shù)據(jù)整理記錄，并形成核查測試報告。綜合評估對用戶資料，評估機構(gòu)實地調(diào)研資料和測試報告進行綜合分析，形成 分析意見；就分析意見與用戶溝通確認(rèn)，最終形成系統(tǒng)安全測評綜合評估報告；對系統(tǒng)安全測評綜合評估報告進行審定；出具最終信息系統(tǒng)安全測評綜合評估報告?測評數(shù)據(jù)處理對信息系統(tǒng)現(xiàn)場核查記錄進行匯總分析，完成信息系統(tǒng)

17、現(xiàn)場核查報告；對系統(tǒng)安全性測評過程得到的被測單位提供的申請資料、方案的形式 化審查報告、信息系統(tǒng)現(xiàn)；場核查記錄、現(xiàn)場核查報告以及測試過程中所有的書面記錄，經(jīng)分析 整理后，形成信息系統(tǒng)安全測評綜合評估報告；系統(tǒng)安全性測評過程所產(chǎn)生的全部數(shù)據(jù)、記錄、資料應(yīng)歸檔管理；e) 系統(tǒng)安全性測評過程所產(chǎn)生的全部數(shù)據(jù)、記錄、資料不得以任何方式向第三方透露；f) 系統(tǒng)安全性測評過程所產(chǎn)生的全部數(shù)據(jù)、記錄、資料的處置應(yīng)符合相 關(guān)法令法規(guī)的規(guī)定。?測評結(jié)論信息系統(tǒng)經(jīng)測評機構(gòu)安全測評后，向被測評單位出具信息系統(tǒng)安全測 評綜合評估報告；信息系統(tǒng)安全測評綜合評估報告是客觀反映被測單位信息系統(tǒng)在管理 方面及技術(shù)方面的安全狀

18、況，其中包括了信息系統(tǒng)在安全性方面存在 的漏洞、潛在的風(fēng)險以及相應(yīng)的建議性改進意見。 /181 /181第五草,、實施流程項目實施笄為制評劉日啟即劉k中對象嫡定J: 方案；應(yīng)對安全方案進行細(xì)化，形成能指導(dǎo)安全系統(tǒng)建設(shè)、安全產(chǎn)品采購和使用的詳細(xì)設(shè)計方案；應(yīng)組織相關(guān)部門和有關(guān)安全技術(shù)專家對安全設(shè)計方案的合理性和正確性進行論證和審定，并且經(jīng)過批準(zhǔn)后，才能正式實施。產(chǎn)品采購和使用(G2)本項要求包括：應(yīng)確保安全產(chǎn)品采購和使用符合國家的有關(guān)規(guī)定；應(yīng)確保密碼產(chǎn)品采購和使用符合國家密碼主管部門的要求；應(yīng)指定或授權(quán)專門的部門負(fù)責(zé)產(chǎn)品的采購。自行軟件開發(fā)(G2)本項要求包括：應(yīng)確保開發(fā)環(huán)境與實際運行環(huán)境物理分開

19、；應(yīng)制定軟件開發(fā)管理制度，明確說明開發(fā)過程的控制方法和人員行為準(zhǔn)則；應(yīng)確保提供軟件設(shè)計的相關(guān)文檔 和使用指南 ，并由專人負(fù)責(zé)保管。外包軟件開發(fā)(G2)本項要求包括：應(yīng)根據(jù)開發(fā)要求檢測軟件質(zhì)量；應(yīng)確保提供軟件設(shè)計的相關(guān)文檔和使用指南；應(yīng)在軟件安裝之前檢測軟件包中可能存在的惡意代碼；應(yīng)要求開發(fā)單位提供軟件源代碼，并審查軟件中可能存在的后門。本項要求包括：應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)工程實施過程的管理；應(yīng)制定詳細(xì)的工程實施方案，控制工程實施過程。測試驗收(G2)本項要求包括：應(yīng)對系統(tǒng)進行安全性測試驗收；在測試驗收前應(yīng)根據(jù)設(shè)計方案或合同要求等制訂測試驗收方案，在測試驗收過程中應(yīng)詳細(xì)記錄測試驗收結(jié)果

20、，并形成測試驗收報告；應(yīng)組織相關(guān)部門和相關(guān)人員對系統(tǒng)測試驗收報告進行審定，并簽字確認(rèn)。系統(tǒng)交付(G2)本項要求包括：應(yīng)制定系統(tǒng)交付清單，并根據(jù)交付清單對所交接的設(shè)備、軟件和文檔等進行清點；應(yīng)對負(fù)責(zé)系統(tǒng)運行維護的技術(shù)人員進行相應(yīng)的技能培訓(xùn)；應(yīng)確保提供系統(tǒng)建設(shè)過程中的文檔和指導(dǎo)用戶進行系統(tǒng)運行維護的文檔。安全服務(wù)商選擇(G2)本項要求包括：應(yīng)確保安全服務(wù)商的選擇符合國家的有關(guān)規(guī)定；應(yīng)與選定的安全服務(wù)商簽訂與安全相關(guān)的協(xié)議，明確約定相關(guān)責(zé)任；應(yīng)確保選定的安全服務(wù)商提供技術(shù)支持和服務(wù)承諾，必要的與其簽訂服務(wù)合同。 系統(tǒng)運維管理環(huán)境管理(G2)本項要求包括：應(yīng)指定專門的部門或人員定期對機房供配電、空調(diào)、

21、溫濕度控制等設(shè)施進行維護管理；應(yīng)配備機房安全管理人員，對機房的出入、服務(wù)器的開機或關(guān)機等工作進行管理；應(yīng)建立機房安全管理制度，對有關(guān)機房物理訪問，物品帶進、帶出機房和機房環(huán)境安全等方面的管理作出規(guī)定；應(yīng)加強對辦公環(huán)境的保密性管理，包括工作人員調(diào)離辦公室應(yīng)立即交還該辦公室鑰匙和不在辦公區(qū)接待來訪人員等。資產(chǎn)管理(G2)本項要求包括： / 181 / 181應(yīng)編制與信息系統(tǒng)相關(guān)的資產(chǎn)清單，包括資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容；應(yīng)建立資產(chǎn)安全管理制度，規(guī)定信息系統(tǒng)資產(chǎn)管理的責(zé)任人員或責(zé)任部門，并規(guī)范資產(chǎn)管理和使用的行為。介質(zhì)管理(G2)本項要求包括：應(yīng)確保介質(zhì)存放在安全的環(huán)境中，對各類介質(zhì)進行

22、控制和保護， 并實行存儲環(huán)境專人管理 ；應(yīng)對介質(zhì)歸檔和查詢等過程進行記錄，并根據(jù)存檔介質(zhì)的目錄清單定期盤點；應(yīng)對需要送出維修或銷毀的介質(zhì)，首先清除其中的敏感數(shù)據(jù)，防止信息的非法泄漏；應(yīng)根據(jù)所承載數(shù)據(jù)和軟件的重要程度對介質(zhì)進行分類和標(biāo)識管理。設(shè)備管理(G2)本項要求包括：應(yīng)對信息系統(tǒng)相關(guān)的各種設(shè)備 (包括備份和冗余設(shè)備) 、線路等指定專門的部門或人員定期進行維護管理；應(yīng)建立基于申報、審批和專人負(fù)責(zé)的設(shè)備安全管理制度，對信息系統(tǒng)的各種軟硬件設(shè)備的選型、采購、發(fā)放和領(lǐng)用等過程進行規(guī)范化管理；應(yīng)對終端計算機、工作站、便攜機、系統(tǒng)和網(wǎng)絡(luò)等設(shè)備的操作和使用進行規(guī)范化管理，按操作規(guī)程實現(xiàn)關(guān)鍵設(shè)備(包括備份和

23、冗余設(shè)備)的啟動/ 停止、加電/ 斷電等操作；應(yīng)確保信息處理設(shè)備必須經(jīng)過審批才能帶離機房或辦公地點。網(wǎng)絡(luò)安全管理(G2)本項要求包括：應(yīng)指定人員對網(wǎng)絡(luò)進行管理，負(fù)責(zé)運行日志、網(wǎng)絡(luò)監(jiān)控記錄的日常維護和報警信息分析和處理工作；應(yīng)建立網(wǎng)絡(luò)安全管理制度，對網(wǎng)絡(luò)安全配置、日志保存時間、安全策略、升級與打補丁、口令更新周期等方面作出規(guī)定；應(yīng)根據(jù)廠家提供的軟件升級版本對網(wǎng)絡(luò)設(shè)備進行更新，并在更新前對現(xiàn)有的重要文件進行備份；應(yīng)定期對網(wǎng)絡(luò)系統(tǒng)進行漏洞掃描，對發(fā)現(xiàn)的網(wǎng)絡(luò)系統(tǒng)安全漏洞進行及時的修補；應(yīng)對網(wǎng)絡(luò)設(shè)備的配置文件進行定期備份；f) 應(yīng)保證所有與外部系統(tǒng)的連接均得到授權(quán)和批準(zhǔn)。系統(tǒng)安全管理(G2)本項要求包括

24、：應(yīng)根據(jù)業(yè)務(wù)需求和系統(tǒng)安全分析確定系統(tǒng)的訪問控制策略；應(yīng)定期進行漏洞掃描，對發(fā)現(xiàn)的系統(tǒng)安全漏洞及時進行修補；應(yīng)安裝系統(tǒng)的最新補丁程序，在安裝系統(tǒng)補丁前， 應(yīng)首先在測試環(huán)境中測試通過，并對重要文件進行備份后，方可實施系統(tǒng)補丁程序的安裝；應(yīng)建立系統(tǒng)安全管理制度，對系統(tǒng)安全策略、安全配置、日志管理和日常操作流程等方面作出規(guī)定；應(yīng)依據(jù)操作手冊對系統(tǒng)進行維護，詳細(xì)記錄操作日志，包括重要的日常操作、運行維護記錄、參數(shù)的設(shè)置和修改等內(nèi)容，嚴(yán)禁進行未經(jīng)授權(quán)的操作；應(yīng)定期對運行日志和審計數(shù)據(jù)進行分析，以便及時發(fā)現(xiàn)異常行為。惡意代碼防范管理( G2)本項要求包括：應(yīng)提高所有用戶的防病毒意識，告知及時升級防病毒軟件

25、，在讀取移動存儲設(shè)備上的數(shù)據(jù)以及網(wǎng)絡(luò)上接收文件或郵件之前，先進行病毒檢查，對外來計算機或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前也應(yīng)進行病毒檢查；應(yīng)指定專人對網(wǎng)絡(luò)和主機進行惡意代碼檢測并保存檢測記錄；應(yīng)對防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級、定期匯報等作出明確規(guī)定。密碼管理(G2)應(yīng)使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品。變更管理(G2)本項要求包括：應(yīng)確認(rèn)系統(tǒng)中要發(fā)生的重要變更，并制定相應(yīng)的變更方案；系統(tǒng)發(fā)生重要變更前，應(yīng)向主管領(lǐng)導(dǎo)申請，審批后方可實施變更，并在實施后向相關(guān)人員通告。備份與恢復(fù)管理(G2)本項要求包括：應(yīng)識別需要定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)及軟件系統(tǒng)等；應(yīng)規(guī)定備份信息的備份方式、備

26、份頻度、存儲介質(zhì)、保存期等；應(yīng)根據(jù)數(shù)據(jù)的重要性及其對系統(tǒng)運行的影響，制定數(shù)據(jù)的備份策略和恢復(fù)策略，備份策略指明備份數(shù)據(jù)的放置場所、文件命名規(guī)則、介質(zhì)替換頻率和數(shù)據(jù)離站運輸方法。安全事件處置(G2)本項要求包括：應(yīng)報告所發(fā)現(xiàn)的安全弱點和可疑事件，但任何情況下用戶均不應(yīng)嘗試驗證弱點；應(yīng)制定安全事件報告和處置管理制度， 明確安全事件類型 ，規(guī)定安全事件的現(xiàn)場處理、事件報告和后期恢復(fù)的管理職責(zé)；應(yīng)根據(jù)國家相關(guān)管理部門對計算機安全事件等級劃分方法和安全事件對本系統(tǒng)產(chǎn)生的影響，對本系統(tǒng)計算機安全事件進行等級劃分；應(yīng)記錄并保存所有報告的安全弱點和可疑事件，分析事件原因，監(jiān)督事態(tài)發(fā)展，采取措施避免安全事件發(fā)生

27、。應(yīng)急預(yù)案管理(G2)本項要求包括：應(yīng)在統(tǒng)一的應(yīng)急預(yù)案框架下制定不同事件的應(yīng)急預(yù)案，應(yīng)急預(yù)案框架應(yīng)包括啟動應(yīng)急預(yù)案的條件、應(yīng)急處理流程、系統(tǒng)恢復(fù)流程、事后教育和培訓(xùn)等內(nèi)容；應(yīng)對系統(tǒng)相關(guān)的人員進行應(yīng)急預(yù)案培訓(xùn)，應(yīng)急預(yù)案的培訓(xùn)應(yīng)至少每年舉辦一次。廣州華南信息安全測評中心 /181廣州華南信息安全測評中心 /1811.2 評估測評準(zhǔn)則安全技術(shù)測評物理安全物理位置的選擇測評項a） 機房和辦公場地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房，辦公場地，機房場地設(shè)計 /驗收文檔。測評實施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問現(xiàn)有機房和辦公場地（放置終端計算機設(shè)備）的

28、環(huán) 境條件是否能夠滿足信息系統(tǒng)業(yè)務(wù)需求和安全管理需求，是否具有基本的防震、 防風(fēng)和防雨等能力；b）應(yīng)檢查機房和辦公場地的設(shè)計/驗收文檔，是否有機房和辦公場地所在建筑能夠具有防震、防風(fēng)和防雨等能力的說明；c）應(yīng)檢查機房和辦公場地是否在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)。結(jié)果判定a）測評實施a） -c）均為肯定，則信息系統(tǒng)符合本單元測評項要求。物理訪問控制測評項a） 機房出入口應(yīng)有專人值守，鑒別進入的人員身份并登記在案；b）應(yīng)批準(zhǔn)進入機房的來訪人員，限制和監(jiān)控其活動范圍。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房值守人員，機房，機房安全管理制度，值守記錄，進入機房的登記記錄，來訪人員進入機房

29、的審批記錄。測評實施a） 應(yīng)訪談物理安全負(fù)責(zé)人，了解具有哪些控制機房進出的能力；b）應(yīng)訪談機房值守人員，詢問是否認(rèn)真執(zhí)行有關(guān)機房出入的管理制度，是否對進入機房的人員記錄在案；第31頁共181頁c）應(yīng)檢查機房安全管理制度，查看是否有關(guān)于機房出入方面的規(guī)定；d）應(yīng)檢查機房出入口是否有專人值守，是否有值守記錄，以及進出機房的人員登記 記錄；檢查機房是否不存在專人值守之外的出入口；應(yīng)檢查機房，是否有進入機房的人員身份鑒別措施，如戴有可見的身份辨識標(biāo)識；應(yīng)檢查是否有來訪人員進入機房的審批記錄。結(jié)果判定a）測評實施a ）至少應(yīng)包括制訂了機房出入的管理制度，指定了專人在機房出入口 值守，對進入的人員登記在案

30、并進行身份鑒別，對來訪人員須經(jīng)批準(zhǔn)、限制和監(jiān) 控其活動范圍，則該項為肯定；b）測評實施c ）至少應(yīng)包括制訂了機房出入的管理制度，指定了專人在機房出入口 值守，對進入的人員登記在案并進行身份鑒別，對來訪人員須經(jīng)批準(zhǔn)、限制和監(jiān) 控其活動范圍，則該項為肯定；測評實施a） -f ）均為肯定，則信息系統(tǒng)符合本單元測評項要求。.3防盜竊和防破環(huán)測評項a） 應(yīng)將主要設(shè)備放置在物理受限的范圍內(nèi)；b）應(yīng)對設(shè)備或主要部件進行固定，并設(shè)置明顯的無法除去的標(biāo)記；c）應(yīng)將通信線纜鋪設(shè)在隱蔽處，如鋪設(shè)在地下或管道中等；d）應(yīng)對介質(zhì)分類標(biāo)識，存儲在介質(zhì)庫或檔案室中；e）應(yīng)安裝必要的防盜報警設(shè)施，以防進入機房的盜竊和破壞行為

31、。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房維護人員，資產(chǎn)管理員，機房設(shè)施，設(shè)備管理制度文檔，通信線路布線文檔，報警設(shè)施的安裝測試/驗收報告。測評實施a） 應(yīng)訪談物理安全負(fù)責(zé)人，采取了哪些防止設(shè)備、介質(zhì)等丟失的保護措施；b）應(yīng)訪談機房維護人員，詢問主要設(shè)備放置位置是否做到安全可控，設(shè)備或主要部件是否進行了固定和標(biāo)記，通信線纜是否鋪設(shè)在隱蔽處；是否對機房安裝的防盜報警設(shè)施進行定期維護檢查；c）應(yīng)訪談資產(chǎn)管理員，在介質(zhì)管理中，是否進行了分類標(biāo)識，是否存放在介質(zhì)庫或檔案室中；第32頁共181頁d）應(yīng)檢查主要設(shè)備是否放置在機房內(nèi)或其它不易被盜竊和破壞的可控范圍內(nèi)；檢查 主要設(shè)備或設(shè)備的主要部件的

32、固定情況，是否不易被移動或被搬走，是否設(shè)置明 顯的無法除去的標(biāo)記；e）應(yīng)檢查通信線纜鋪設(shè)是否在隱蔽處（如鋪設(shè)在地下或管道中等）；f） 應(yīng)檢查機房防盜報警設(shè)施是否正常運行，并查看運行和報警記錄；g）應(yīng)檢查介質(zhì)的管理情況，查看介質(zhì)是否有正確的分類標(biāo)識，是否存放在介質(zhì)庫或 檔案室中；h）應(yīng)檢查是否有設(shè)備管理制度文檔，通信線路布線文檔，介質(zhì)管理制度文檔，介質(zhì) 清單和使用記錄，機房防盜報警設(shè)施的安裝測試/驗收報告。結(jié)果判定a） 測評實施a ）至少應(yīng)該包括制訂了設(shè)備管理制度，主要設(shè)備放置位置做到安全可控設(shè)備或主要部件進行了固定和標(biāo)記，通信線纜鋪設(shè)在隱蔽處，介質(zhì)分類標(biāo)識并存 儲在介質(zhì)庫或檔案室，機房安裝了防

33、止進入盜竊和破壞的防盜報警設(shè)施，則該項 為目7E；b）測評實施a） -h）均為肯定，則信息系統(tǒng)符合本單元測評項要求。防雷擊測評項機房建筑應(yīng)設(shè)置避雷裝置；b）應(yīng)設(shè)置交流電源地線。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房維護人員，機房設(shè)施（避雷裝置，交流電源地線），建筑防雷設(shè)計/驗收文檔。測評實施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問為防止雷擊事件導(dǎo)致重要設(shè)備被破壞采取了哪些防護 措施，機房建筑是否設(shè)置了避雷裝置，是否通過驗收或國家有關(guān)部門的技術(shù)檢測； 詢問機房計算機供電系統(tǒng)是否有交流電源地線；應(yīng)訪談機房維護人員，詢問機房建筑避雷裝置是否有人定期進行檢查和維護；詢問機房計算機系統(tǒng)接地（交流工作接地

34、、安全保護接地、防雷接地）是否符合GB50174-93電子計算機機房設(shè)計規(guī)范的要求；C）應(yīng)檢查機房是否有建筑防雷設(shè)計/驗收文檔，查看是否有地線連接要求的描述。第33頁共181頁廣州華南信息安全測評中心 /181廣州華南信息安全測評中心 / 181結(jié)果判定a） 測評實施a）至少應(yīng)包括符合 GB 50057 1994建筑物防雷設(shè)計規(guī)范（GB157建筑防雷設(shè)計規(guī)范）中的計算機機房防雷要求，如果在雷電頻繁區(qū)域，是否裝設(shè)浪涌電壓吸收裝置等，則該項為肯定；b）測評實施b）要求地線的引線應(yīng)和大樓的鋼筋網(wǎng)及各種金屬管道絕緣，交流工作接地的接地電阻不應(yīng)大于 4Q,安全保護地的接地電阻不應(yīng)大于4Q;防雷保護地（處

35、在有防雷設(shè)施的建筑群中可不設(shè)此地）的接地電阻不應(yīng)大于10 a的要求，則該項為肯定；測評實施a） -c）均為肯定，則信息系統(tǒng)符合本單元測評項要求。防火測評項a）應(yīng)設(shè)置滅火設(shè)備和火災(zāi)自動報警系統(tǒng)，并保持滅火設(shè)備和火災(zāi)自動報警系統(tǒng)的良 好狀態(tài)。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房值守人員，機房設(shè)施，機房安全管理制度，機房防火設(shè)計/驗收文檔，火災(zāi)自動報警系統(tǒng)設(shè)計 /驗收文檔。測評實施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問機房是否設(shè)置了滅火設(shè)備，是否設(shè)置了火災(zāi)自動報 警系統(tǒng)，是否有人負(fù)責(zé)維護該系統(tǒng)的運行，是否制訂了有關(guān)機房消防的管理制度和 消防預(yù)案，是否進行了消防培訓(xùn)；b）應(yīng)訪談機房值守人員，詢問對

36、機房出現(xiàn)的消防安全隱患是否能夠及時報告并得到 排除；是否參加過機房滅火設(shè)備的使用培訓(xùn)，是否能夠正確使用滅火設(shè)備和火災(zāi) 自動報警系統(tǒng)；c）應(yīng)檢查機房是否設(shè)置了滅火設(shè)備，擺放位置是否合理，有效期是否合格；應(yīng)檢查 機房火災(zāi)自動報警系統(tǒng)是否正常工作，查看是否有運行記錄、報警記錄、定期檢 查和維修記錄；d）應(yīng)檢查是否有有關(guān)機房消防的管理制度文檔，機房防火設(shè)計/驗收文檔，火災(zāi)自動報警系統(tǒng)的設(shè)計/驗收文檔。結(jié)果判定a）測評實施a） -d）均為肯定，則信息系統(tǒng)符合本單元測評項要求。第34頁共181頁防水和防潮測評項a） 水管安裝，不得穿過屋頂和活動地板下；b）應(yīng)對穿過墻壁和樓板的水管增加必要的保護措施，如設(shè)置

37、套管；c） 應(yīng)采取措施防止雨水通過屋頂和墻壁滲透；d）應(yīng)采取措施防止室內(nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房維護人員，機房設(shè)施（上下水裝置，除濕裝置），建筑防水和防潮設(shè)計/驗收文檔。測評實施a） 應(yīng)訪談物理安全負(fù)責(zé)人，詢問機房建設(shè)是否有防水防潮措施；如果機房內(nèi)有上下水管 安裝，是否穿過屋頂和活動地板下，穿過墻壁和樓板的水管是否采取了可靠的保護措 施；在濕度較高地區(qū)或季節(jié)是否有人負(fù)責(zé)機房防水防潮事宜，配備除濕裝置；b）應(yīng)訪談機房維護人員，詢問機房是否出現(xiàn)過漏水和返潮事件；如果機房內(nèi)有上下 水管安裝，是否經(jīng)常檢查是否有漏水情況；在濕度較高地區(qū)或季節(jié)是否

38、有人負(fù)責(zé) 機房防水防潮事宜，使用除濕裝置除濕；如果出現(xiàn)機房水蒸氣結(jié)露和地下積水的 轉(zhuǎn)移與滲透現(xiàn)象是否及時采取防范措施；c）應(yīng)檢查機房是否有建筑防水和防潮設(shè)計/驗收文檔，是否能夠滿足機房防水和防潮的需求；d）如果有管道穿過主機房墻壁和樓板處，應(yīng)檢查是否置套管，管道與套管之間是否 采取可靠的密封措施；e）應(yīng)檢查機房是否不存在屋頂和墻壁等出現(xiàn)過漏水、滲透和返潮現(xiàn)象，機房及其環(huán) 境是否不存在明顯的漏水和返潮的威脅；如果出現(xiàn)漏水、滲透和返潮現(xiàn)是否能夠 及時修復(fù)解決；f） 如果在濕度較高地區(qū)或季節(jié)，應(yīng)檢查機房是否有濕度記錄，是否有除濕裝置并能 夠正常運行，是否有防止出現(xiàn)機房地下積水的轉(zhuǎn)移與滲透的措施，是否

39、有防水防 潮處理記錄。結(jié)果判定a）如果測評實施d）、f）中如果”條件不成立，則該項為不適用；b）測評實施a） -f ）均為肯定，則信息系統(tǒng)符合本單元測評項要求。第35頁共181頁防靜電測評項a） 應(yīng)采用必要的接地等防靜電措施。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房維護人員，機房設(shè)施，防靜電設(shè)計/驗收文檔。測評實施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問機房是否采用必要的接地防靜電措施，是否有控制 機房濕度的措施；b）應(yīng)訪談機房維護人員，詢問是否經(jīng)常檢查機房濕度，并控制在GB2887中的規(guī)定的范圍內(nèi)；詢問機房是否存在靜電問題或因靜電引起的故障事件；c）應(yīng)檢查機房是否有防靜電設(shè)計 /驗收文檔；d）

40、應(yīng)檢查機房是否有安全接地，查看機房的相對濕度是否符合GB2887中的規(guī)定，查看機房是否明顯存在靜電現(xiàn)象。結(jié)果判定a）測評實施a） -d）均為肯定，則信息系統(tǒng)符合本單元測評項要求。溫濕度控制測評項a）應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍 之內(nèi)。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房維護人員，機房設(shè)施，溫濕度控制設(shè)計/驗收文檔，溫濕度記錄、運行記錄和維護記錄。測評實施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問機房是否配備了溫濕度自動調(diào)節(jié)設(shè)施，保證溫濕度能 夠滿足計算機設(shè)備運行的要求，是否在機房管理制度中規(guī)定了溫濕度控制的要求， 是否有人負(fù)責(zé)此項工作；b）應(yīng)訪談機房維

41、護人員，詢問是否定期檢查和維護機房的溫濕度自動調(diào)節(jié)設(shè)施，詢問是否出現(xiàn)過溫濕度影響系統(tǒng)運行的事件；第36頁共181頁廣州華南信息安全測評中心 # /181廣州華南信息安全測評中心 /181廣州華南信息安全測評中心 / 181c）應(yīng)檢查機房是否有溫濕度控制設(shè)計/驗收文檔；d）應(yīng)檢查溫濕度自動調(diào)節(jié)設(shè)施是否能夠正常運行，查看溫濕度記錄、運行記錄和維護記錄；查看機房溫濕度是否滿足GB 2887-89計算站場地技術(shù)條件的要求。結(jié)果判定a）測評實施a） -d）均為肯定，則信息系統(tǒng)符合本單元測評項要求。電力供應(yīng)測評項a） 計算機系統(tǒng)供電應(yīng)與其他供電分開；b）應(yīng)設(shè)置穩(wěn)壓器和過電壓防護設(shè)備；c）應(yīng)提供短期的備用電

42、力供應(yīng)（如UPS設(shè)備）。測評方式訪談，檢查。測評對象物理安全負(fù)責(zé)人，機房維護人員，機房設(shè)施（供電線路，穩(wěn)壓器，過電壓防護設(shè)備，短期備用電源設(shè)備），電力供應(yīng)安全設(shè)計/驗收文檔，檢查和維護記錄。測評實施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問計算機系統(tǒng)供電線路是否與其他供電分開；詢問計 算機系統(tǒng)供電線路上是否設(shè)置了穩(wěn)壓器和過電壓防護設(shè)備；是否設(shè)置了短期備用電源設(shè)備（如ups ,供電時間是否滿足系統(tǒng)最低電力供應(yīng)需求；b）應(yīng)訪談機房維護人員，詢問是否對在計算機系統(tǒng)供電線路上的穩(wěn)壓器、過電壓防 護設(shè)備、短期備用電源設(shè)備等進行定期檢查和維護；是否能夠控制電源穩(wěn)壓范圍 滿足計算機系統(tǒng)運行正常；c）應(yīng)檢查機房是否有電力

43、供應(yīng)安全設(shè)計/驗收文檔，查看文檔中是否標(biāo)明單獨為計算機系統(tǒng)供電，配備穩(wěn)壓器、過電壓防護設(shè)備以及短期備用電源設(shè)備等要求；d）應(yīng)檢查計算機供電線路，查看計算機系統(tǒng)供電是否與其他供電分開；e）應(yīng)檢查機房，查看計算機系統(tǒng)供電線路上的穩(wěn)壓器、過電壓防護設(shè)備和短期備用電源設(shè)備是否正常運行；f） 應(yīng)檢查是否有穩(wěn)壓器、過電壓防護設(shè)備以及短期備用電源設(shè)備等電源設(shè)備的檢查 和維護記錄。結(jié)果判定a）測評實施a） -g）均為肯定，則信息系統(tǒng)符合本單元測評項要求。電磁防護第37頁共181頁測評項應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；b）電源線和通信線纜應(yīng)隔離，避免互相干擾。測評方式訪談，檢查。測評對象物理安

44、全負(fù)責(zé)人，機房維護人員，機房設(shè)施，電磁防護設(shè)計 /驗收文檔。測評實施a）應(yīng)訪談物理安全負(fù)責(zé)人，詢問是否有防止外界電磁干擾和設(shè)備寄生耦合干擾的措 施（包括設(shè)備外殼有良好的接地、電源線和通信線纜隔離等）；b）應(yīng)訪談機房維護人員，詢問是否對設(shè)備外殼做了良好的接地；是否做到電源線和 通信線纜隔離；是否出現(xiàn)過因外界電磁干擾等問題引發(fā)的故障；c）應(yīng)檢查機房是否有電磁防護設(shè)計 /驗收文檔；d）應(yīng)檢查機房設(shè)備外殼是否有安全接地；e）應(yīng)檢查機房布線，查看是否做到電源線和通信線纜隔離。結(jié)果判定a）測評實施a） -e）均為肯定，則信息系統(tǒng)符合本單元測評項要求。網(wǎng)絡(luò)安全結(jié)構(gòu)安全與網(wǎng)段劃分測評項a） 網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理

45、能力應(yīng)具備冗余空間，要求滿足業(yè)務(wù)高峰期需要；b）應(yīng)設(shè)計和繪制與當(dāng)前運行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；c）應(yīng)根據(jù)機構(gòu)業(yè)務(wù)的特點，在滿足業(yè)務(wù)高峰期需要的基礎(chǔ)上，合理設(shè)計網(wǎng)絡(luò)帶寬；d）應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進行路由控制建立安全的訪問路徑；e）應(yīng)根據(jù)各部門的工作職能、重要性、所涉及信息的重要程度等因素，劃分不同的 子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；f）重要網(wǎng)段應(yīng)采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施，防止地址欺騙。測評方式訪談，檢查，測試。測評對象網(wǎng)絡(luò)管理員，邊界和重要網(wǎng)絡(luò)設(shè)備，網(wǎng)絡(luò)拓?fù)鋱D，網(wǎng)絡(luò)設(shè)計 /驗收文檔。測評實施第38頁共181頁廣州華南信息安全測評中心第 頁共

46、181頁39 /181廣州華南信息安全測評中心 / 181a）可訪談網(wǎng)絡(luò)管理員，詢問信息系統(tǒng)中的邊界和關(guān)鍵網(wǎng)絡(luò)設(shè)備的性能以及目前業(yè)務(wù) 高峰流量情況；可訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)段劃分情況以及劃分的原則；詢問重要的網(wǎng)段有哪些， 對重要網(wǎng)段的保護措施有哪些；可訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)的帶寬情況；詢問網(wǎng)絡(luò)中帶寬控制情況以及帶寬分 配的原則；可訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)設(shè)備上的路由控制策略措施有哪些，這些策略設(shè)計 的目的是什么；e）應(yīng)檢查網(wǎng)絡(luò)拓?fù)鋱D，查看與當(dāng)前運行情況是否一致；f）應(yīng)檢查網(wǎng)絡(luò)設(shè)計/驗收文檔，查看是否有邊界和重要網(wǎng)絡(luò)設(shè)備能滿足基本業(yè)務(wù)需求,網(wǎng)絡(luò)接入及核心網(wǎng)絡(luò)的帶寬能否滿足業(yè)務(wù)高峰期的需要等方面

47、的設(shè)計或說明；g）應(yīng)檢查網(wǎng)絡(luò)設(shè)計/驗收文檔，查看是否有根據(jù)各部門的工作職能、重要性和所涉及 信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則 為各子網(wǎng)和網(wǎng)段分配地址段的設(shè)計或描述；h）應(yīng)檢查邊界和重要網(wǎng)絡(luò)設(shè)備，查看是否配置路由控制策略（如使用靜態(tài)路由等） 建立安全的訪問路徑；應(yīng)檢查邊界和重要網(wǎng)絡(luò)設(shè)備，查看對重要網(wǎng)段是否采取了網(wǎng)絡(luò)地址與數(shù)據(jù)鏈路地址綁定的措施（如對重要服務(wù)器采用IP地址和MAC地址綁定措施）；應(yīng)測試網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，可通過網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)自動發(fā)現(xiàn)、繪制工具，驗證實際的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖是否一致；k）應(yīng)測試業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間的訪問路徑，可通過使用路由跟

48、蹤工具（如 tracert等工具），驗證業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間的訪問路徑的是否安全（如訪問路徑是否固定等）；1）應(yīng)測試重要網(wǎng)段，驗證其采取的網(wǎng)絡(luò)地址與數(shù)據(jù)鏈路地址綁定措施是否有效（如試圖使用非綁定地址，查看是否能正常訪問等）。結(jié)果判定a）如果測評實施f ） -g）中缺少相應(yīng)的文檔，則該項為否定；b）測評實施e） -l ）均為肯定，則信息系統(tǒng)符合本單元測評項要求。網(wǎng)絡(luò)訪問控制測評項a）應(yīng)能根據(jù)會話狀態(tài)信息（包括數(shù)據(jù)包的源地址、目的地址、源端口號、目的端口號、 協(xié)議、出入的接口、會話序列號、發(fā)出信息的主機名等信息，并應(yīng)支持地址通配符 的使用），為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力。測評方式訪談

49、，檢查，測試。測評對象安全員，邊界網(wǎng)絡(luò)設(shè)備（包括網(wǎng)絡(luò)安全設(shè)備）。測評實施a） 可訪談安全員，詢問采取的網(wǎng)絡(luò)訪問控制措施有哪些；詢問訪問控制策略的設(shè)計 原則是什么；詢問網(wǎng)絡(luò)訪問控制設(shè)備具備的訪問控制功能（如是基于狀態(tài)的，還 是基吁二包過濾等）；b）應(yīng)檢查邊界網(wǎng)絡(luò)設(shè)備，查看其是否根據(jù)會話狀態(tài)信息（如包括數(shù)據(jù)包的源地址、 目的地址、源端口號、目的端口號、協(xié)議、出入的接口、會話序列號、發(fā)出信息 的主機名等信息，并應(yīng)支持地址通配符的使用）對數(shù)據(jù)流進行控制；c）應(yīng)測試邊界網(wǎng)絡(luò)設(shè)備，可通過試圖訪問未授權(quán)的資源，驗證訪問控制措施是否能 對未授權(quán)的訪問行為的控制（如可以使用掃描工具探測等）。結(jié)果判定a）測評實施

50、b） -c）均為肯定，則信息系統(tǒng)符合本單元測評項要求。撥號訪問控制測評項a）應(yīng)在基于安全屬性的允許遠程用戶對系統(tǒng)訪問的規(guī)則的基礎(chǔ)上，對系統(tǒng)所有資源 允許或拒絕用戶進行訪問，控制粒度為單個用戶；b）應(yīng)限制具有撥號訪問權(quán)限的用戶數(shù)量。測評方式訪談，檢查，測試。測評對象安全員，邊界網(wǎng)絡(luò)設(shè)備。測評實施a）可訪談安全員，詢問網(wǎng)絡(luò)是否允許撥號訪問網(wǎng)絡(luò)；詢問對撥號訪問控制的策略是 什么，采取何種技術(shù)手段實現(xiàn)（如使用防火墻還是路由器實現(xiàn)），采取的撥號訪 問用戶的權(quán)限分配原則是什么；b）應(yīng)檢查邊界網(wǎng)絡(luò)設(shè)備（如路由器，防火墻，認(rèn)證網(wǎng)關(guān)），查看是否配置了正確的撥第40頁共181頁號訪問控制列表（對系統(tǒng)資源實現(xiàn)允許或

51、拒絕用戶訪問），控制粒度是否為單個用戶；查看其能否限制撥號訪問權(quán)限的用戶數(shù)量；c）應(yīng)測試邊界網(wǎng)絡(luò)設(shè)備，可通過試圖非授權(quán)的訪問，驗證撥號訪問措施能否有效對 系統(tǒng)資源實現(xiàn)允許或拒絕用戶訪問的控制；d）應(yīng)測試邊界網(wǎng)絡(luò)設(shè)備，可使用測試網(wǎng)絡(luò)連接數(shù)工具，驗證其限制具有撥號訪問權(quán) 限的用戶數(shù)量的功能是否有效。結(jié)果判定a）測評實施b） -d）均為肯定，則信息系統(tǒng)符合本單元測評項要求。網(wǎng)絡(luò)安全審計測評項應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況、網(wǎng)絡(luò)流量、用戶行為等事件進行日志記錄；b）對于每一個事件，其審計記錄應(yīng)包括：事件的日期和時間、用戶、事件類型、事 件是否成功，及其他與審計相關(guān)的信息。測評方式訪談，檢查，測試。測

52、評對象審計員，邊界和重要網(wǎng)絡(luò)設(shè)備（包括安全設(shè)備）審計記錄，審計策略。測評實施a）可訪談審計員，詢問是否對網(wǎng)絡(luò)系統(tǒng)中的邊界和重要網(wǎng)絡(luò)設(shè)備進行審計，審計包 括哪些項；詢問審計記錄的主要內(nèi)容有哪些；詢問對審計記錄的處理方式；b）應(yīng)檢查邊界和重要網(wǎng)絡(luò)設(shè)備的審計記錄，查看是否有網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行 狀況、網(wǎng)絡(luò)流量、用戶行為等事件的記錄；c）應(yīng)檢查邊界和重要網(wǎng)絡(luò)設(shè)備的事件審計策略，查看是否包括：事件的日期和時間、 用戶、事件類型、事件成功情況，及其他與審計相關(guān)的信息。d）應(yīng)測試邊界和重要網(wǎng)絡(luò)設(shè)備的事件審計記錄是否包括：事件的日期和時間、用戶、 事件類型、事件成功情況，及其他與審計相關(guān)的信息（如產(chǎn)生相應(yīng)

53、的事件，觀察審 計的記錄看是否對這些事件的準(zhǔn)確記錄）。結(jié)果判定a）測評實施b） -d）均為肯定，則信息系統(tǒng)符合本單元測評項要求。邊界完整性檢查測評項廣州華南信息安全測評中心 / 181廣州華南信息安全測評中心 / 181廣州華南信息安全測評中心 /181a）應(yīng)能夠檢測內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為（即非法外聯(lián)”行為）。測評方式訪談，檢查，測試。測評對象安全員，邊界完整性檢查設(shè)備 /工具，邊界完整性檢查工具運行日志。測評實施a）可訪談安全員，詢問是否有對內(nèi)部用戶未通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進行監(jiān)控的措施，具體是什么措施；詢問網(wǎng)絡(luò)內(nèi)是否使用邊界完整性檢查設(shè)備/工具對網(wǎng)

54、絡(luò)進行監(jiān)控；詢問網(wǎng)絡(luò)內(nèi) 非法外聯(lián)”的情況；b）應(yīng)檢查邊界完整性檢查工具運行日志，查看運行是否正常（查看是否持續(xù)對網(wǎng)絡(luò) 進行監(jiān)控）；c）應(yīng)檢查邊界完整性檢查設(shè)備 /工具的配置，查看是否正確配置對網(wǎng)絡(luò)的內(nèi)部用戶未 通過準(zhǔn)許私自聯(lián)到外部網(wǎng)絡(luò)的行為進行有效監(jiān)控；d）應(yīng)測試邊界完整性檢查工具，是否能有效的發(fā)現(xiàn)非法外聯(lián)”的行為（如產(chǎn)生非法外聯(lián)的動作，查看邊界完整性檢查工具是否能夠及時發(fā)現(xiàn)該行為）。結(jié)果判定a）測評實施b） -d）均為肯定，則信息系統(tǒng)符合本單元測評項要求。網(wǎng)絡(luò)入侵防范測評項a）應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕 服務(wù)攻擊、緩沖區(qū)溢出攻擊、 IP碎片攻擊、網(wǎng)

55、絡(luò)蠕蟲攻擊等入侵事件的發(fā)生。測評方式訪談，檢查，測試。測評對象安全員，網(wǎng)絡(luò)入侵防范設(shè)備。測評實施a）可訪談安全員，詢問網(wǎng)絡(luò)入侵防范措施有哪些；詢問是否有專門的設(shè)備對網(wǎng)絡(luò)入 侵進行防范；詢問采取什么方式進行網(wǎng)絡(luò)入侵防范規(guī)則庫升級；應(yīng)檢查網(wǎng)絡(luò)入侵防范設(shè)備，查看是否能檢測以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊、網(wǎng)絡(luò)蠕蟲攻擊等；應(yīng)檢查網(wǎng)絡(luò)入侵防范設(shè)備，查看其生產(chǎn)廠商是否為正規(guī)廠商，規(guī)則庫是否為最新；第42頁共181頁d）應(yīng)測試網(wǎng)絡(luò)入侵防范設(shè)備，驗證其監(jiān)控策略是否有效（如模擬產(chǎn)生攻擊動作，查 看網(wǎng)絡(luò)入侵防范設(shè)備的反應(yīng)）。結(jié)果判定a） 測評實施b ） -

56、d ）均為肯定，則信息系統(tǒng)符合本單元測評項要求。惡意代碼防范測評項a） 應(yīng)在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處對惡意代碼進行檢測和清除；b）應(yīng)維護惡意代碼庫的升級和檢測系統(tǒng)的更新；c）應(yīng)支持惡意代碼防范的統(tǒng)一管理。測評方式訪談，檢查。測評對象安全員，防惡意代碼產(chǎn)品，網(wǎng)絡(luò)設(shè)計/驗收文檔，惡意代碼產(chǎn)品運行日志。測評實施a）可訪談安全員，詢問系統(tǒng)中的網(wǎng)絡(luò)防惡意代碼防范措施是什么；詢問惡意代碼庫 的更新策略，詢問防惡意代碼產(chǎn)品的有哪些主要功能；詢問系統(tǒng)是否發(fā)生過惡意 代碼入侵的安全事件；b）應(yīng)檢查網(wǎng)絡(luò)設(shè)計/驗收文檔，查看其是否有在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處是否有對 惡意代碼采取相關(guān)措施（如是否有防病毒網(wǎng)關(guān)）；檢查

57、防惡意代碼產(chǎn)品是否有實 時更新的功能的描述；c）應(yīng)檢查惡意代碼產(chǎn)品運行日志，查看是否持續(xù)運行；d）應(yīng)檢查在網(wǎng)絡(luò)邊界及核心業(yè)務(wù)網(wǎng)段處是否有相應(yīng)的防惡意代碼的措施；e）應(yīng)檢查防惡意代碼產(chǎn)品，查看是否為正規(guī)廠商生產(chǎn)，運行是否正常，惡意代碼庫 是否為最新版本；f） 應(yīng)檢查防惡意代碼產(chǎn)品的配置策略，查看是否支持惡意代碼防范的統(tǒng)一管理（如 查看是否為分布式部署，集中管理等）。結(jié)果判定a）如果測評實施b）中缺少相應(yīng)的文檔，則該項為否定；b）測評實施b） -f ）均為肯定，則信息系統(tǒng)符合本單元測評項要求。網(wǎng)絡(luò)設(shè)備防護測評項a） 應(yīng)對登錄網(wǎng)絡(luò)設(shè)備的用戶進行身份鑒別；第43頁共181頁b）應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄

58、地址進行限制；c）網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識應(yīng)唯一；d）身份鑒別信息應(yīng)具有不易被冒用的特點，例如口令長度、復(fù)雜性和定期的更新等；e）應(yīng)具有登錄失敗處理功能，如結(jié)束會話、限制非法登錄次數(shù)，當(dāng)網(wǎng)絡(luò)登錄連接超時， 自動退出。測評方式訪談，檢查，測試。測評對象網(wǎng)絡(luò)管理員，邊界和重要網(wǎng)絡(luò)設(shè)備（包括安全設(shè)備）。測評實施a） 可訪談網(wǎng)絡(luò)管理員，詢問對關(guān)鍵網(wǎng)絡(luò)設(shè)備的防護措施有哪些；詢問對關(guān)鍵網(wǎng)絡(luò)設(shè) 備的登錄和驗證方式做過何種特定配置；b）應(yīng)訪談網(wǎng)絡(luò)管理員，詢問網(wǎng)絡(luò)設(shè)備的口令策略是什么；c） 應(yīng)檢查邊界和重要網(wǎng)絡(luò)設(shè)備上的安全設(shè)置，查看其是否有對鑒別失敗采取相應(yīng)的 措施的設(shè)置；查看其是否有限制非法登錄次數(shù)的功能；d）應(yīng)檢

59、查邊界和重要網(wǎng)絡(luò)設(shè)備上的安全設(shè)置，查看是否對主要網(wǎng)絡(luò)設(shè)備的管理員登 錄地址進行限制；查看是否設(shè)置網(wǎng)絡(luò)登錄連接超時，并自動退出；查看是否實現(xiàn) 設(shè)備特權(quán)用戶的權(quán)限分離；查看是否對網(wǎng)絡(luò)上的對等實體進行身份鑒別；查看是 否對同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進行身份鑒別；e）應(yīng)測試邊界和重要網(wǎng)絡(luò)設(shè)備的安全設(shè)置，驗證鑒別失敗處理措施（如模擬失敗登錄， 觀察網(wǎng)絡(luò)設(shè)備的動作等），限制非法登錄次數(shù)（如模擬非法登錄，觀察網(wǎng)絡(luò)設(shè)備的 動作等），對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制（如使用任意地址登錄，觀察網(wǎng) 絡(luò)設(shè)備的動作等）等功能是否有效；f） 應(yīng)測試邊界和重要網(wǎng)絡(luò)設(shè)備的安全設(shè)置，驗證其網(wǎng)絡(luò)登錄連接超自動退

60、出的設(shè)置 是否有效（如長時間連接無任何操作，觀察觀察網(wǎng)絡(luò)設(shè)備的動作等）；g）應(yīng)對邊界和重要網(wǎng)絡(luò)設(shè)備進行滲透測試，通過使用各種滲透測試技術(shù)（如口令猜 解等）對網(wǎng)絡(luò)設(shè)備進行滲透測試，驗證網(wǎng)絡(luò)設(shè)備防護能力是否符合要求。結(jié)果判定a）如網(wǎng)絡(luò)設(shè)備的口令策略為口令長度6位以上，口令復(fù)雜（如規(guī)定字符應(yīng)混有大、小寫字母、數(shù)字和特殊字符），口令生命周期，新舊口令的替換要求（規(guī)定替換 的字符數(shù)量）或為了便于記憶使用了令牌；則測評實施b ）滿足測評要求；b）測評實施b） -f ）均為肯定，則信息系統(tǒng)符合本單元測評項要求。第44頁共181頁主機系統(tǒng)安全身份鑒別測評項a） 操作系統(tǒng)和數(shù)據(jù)庫管理系統(tǒng)用戶的身份標(biāo)識應(yīng)具有唯一