3級等3級保護(hù)訪談表保訪談表

通用部分包括：安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心、安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理十個層面。8.1.4.1身份鑒別a）應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查用戶在登陸時是否采用了身份鑒別措施；2、應(yīng)核查用戶列表確認(rèn)用戶身份標(biāo)識是否具有唯一性；3、應(yīng)核查用戶配置信息或測試驗證是否不存在空口令用戶；4、應(yīng)核查用戶鑒別信息是否具有復(fù)雜度要求并定期更換。b）應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施；測評對象：器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否配置并啟用了登錄失敗處理功能；2、應(yīng)核查是否配置并啟用了限制非法登錄功能，非法登錄達(dá)到一定次數(shù)后采取特定動作，如賬號鎖定等；3、應(yīng)核查是否配置并啟用了登錄連續(xù)超時及自動退出功能。c）當(dāng)進(jìn)行遠(yuǎn)程管理時，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：應(yīng)核查是否采用加密等安全方式對系統(tǒng)進(jìn)行遠(yuǎn)程管理，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽。d）應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。測評對象：機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否采用動態(tài)口令、數(shù)字證書、生物技術(shù)和設(shè)備指紋等兩種或兩種以上組合的鑒別技術(shù)對用戶身份進(jìn)行鑒別；2、應(yīng)核查其中一種鑒別技術(shù)是否使用密碼技術(shù)來實現(xiàn)。8.1.4.2訪問控制a）應(yīng)對登錄的用戶分配賬戶和權(quán)限;測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否為用戶分配了賬戶和權(quán)限及相關(guān)設(shè)置情況；2、應(yīng)核查是否已禁用或限制匿名、默認(rèn)賬戶的訪問權(quán)限。b）應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否已經(jīng)重命名默認(rèn)賬戶或默認(rèn)賬戶已被刪除；2、應(yīng)核查是否已修改默認(rèn)賬戶的默認(rèn)口令。c）應(yīng)及時刪除或停用多余的、過期的賬戶，避免共享賬戶的存在；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否不存在多余或過期賬戶，管理員用戶與賬戶之間是否一一對應(yīng)；2、應(yīng)測試驗證多余的、過期的賬戶是否被刪除或停用。d）應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離;測評對象：器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否進(jìn)行角色劃分；2、應(yīng)核查管理用戶的權(quán)限是否已進(jìn)行分離；3、應(yīng)核查管理用戶權(quán)限是否為其工作任務(wù)所需的最小權(quán)限。e）應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否由授權(quán)主體（如管理用戶）負(fù)責(zé)配置訪問控制策略；2、應(yīng)核查授權(quán)主體是否依據(jù)安全策略配置了主體對客體的訪問規(guī)則；3、應(yīng)測試驗證用戶是否有可越權(quán)訪問情形。f）訪問控制的粒度應(yīng)達(dá)到主體為用戶級或進(jìn)程級，客體為文件、數(shù)據(jù)庫表級；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法:應(yīng)核查訪問控制策略的控制粒度是否達(dá)到主體為用戶級別或進(jìn)程級，客體為文件、數(shù)據(jù)庫表、記錄或字段級。g）應(yīng)對重要主體和客體設(shè)置安全標(biāo)記，并控制主體對有安全標(biāo)記信息資源的訪問。測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否對主體、客體設(shè)置了安全標(biāo)記；2、應(yīng)測試驗證是否依據(jù)主體、客體安全標(biāo)記控制主體對客體訪問的強(qiáng)制訪問控制策略。8.1.4.3安全審計a）應(yīng)啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進(jìn)行審計；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否開啟了安全審計功能；2、應(yīng)核查安全審計范圍是否覆蓋到每個用戶；3、應(yīng)核查是否對重要的用戶行為和重要安全事件進(jìn)行審計。b）審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：應(yīng)核查審計記錄信息是否包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息。c）應(yīng)對審計記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查是否采取了保護(hù)措施對審計記錄進(jìn)行保護(hù)；2、應(yīng)核查是否采取技術(shù)措施對審計記錄進(jìn)行定期備份，并核查其備份策略。d）應(yīng)對審計進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷。測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：應(yīng)測試驗證通過非審計管理員的其他賬戶來中斷審計進(jìn)程，驗證審計進(jìn)程是否受到保護(hù)。8.1.4.4入侵防范a）應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備等。測評方法：1、應(yīng)核查是否遵循最小安裝原則；2、應(yīng)核查是否未安裝非必要的組件和應(yīng)用程序。b）應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備等。測評方法：1、應(yīng)核查是否關(guān)閉了非必要的系統(tǒng)服務(wù)和默認(rèn)共享；2、應(yīng)核查是否不存在非必要的高危端口。c）應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備等。測評方法：應(yīng)核查配置文件或參數(shù)是否對終端接入范圍進(jìn)行限制。d）應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機(jī)接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定要求；測評對象：業(yè)務(wù)應(yīng)用系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查系統(tǒng)設(shè)計文檔的內(nèi)容是否包括數(shù)據(jù)有效性檢驗功能的內(nèi)容或模塊；2、應(yīng)測試驗證是否對人機(jī)接口或通信接口輸入的內(nèi)容進(jìn)行有效性檢驗。e）應(yīng)能發(fā)現(xiàn)可能存在的已知漏洞，并在經(jīng)過充分測試評估后，及時修補(bǔ)漏洞；測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備、業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件和系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)通過漏洞掃描、滲透測試等方式核查是否不存在高風(fēng)險漏洞；2、應(yīng)核查是否在經(jīng)過充分測試評估后及時修補(bǔ)漏洞。f）應(yīng)能夠檢測到對重要節(jié)點進(jìn)行入侵的行為，并在發(fā)生嚴(yán)重入侵事件時提供報警。測評對象:終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、網(wǎng)絡(luò)設(shè)備（包括虛擬機(jī)網(wǎng)絡(luò)設(shè)備）、安全設(shè)備（包括虛擬機(jī)安全設(shè)備）、移動終端、移動終端管理系統(tǒng)、移動終端管理客戶端、感知節(jié)點設(shè)備、網(wǎng)關(guān)節(jié)點設(shè)備、控制設(shè)備等。測評方法：1、應(yīng)訪談并核查是否有入侵檢測的措施；2、應(yīng)核查在發(fā)生嚴(yán)重入侵事件時是否提供報警。8.1.4.5惡意代碼防范應(yīng)采用免受惡意代碼攻擊的技術(shù)措施或主動免疫可信驗證機(jī)制及時識別入侵和病毒行為，并將其有效阻斷。測評對象：終端和服務(wù)器等設(shè)備中的操作系統(tǒng)（包括宿主機(jī)和虛擬機(jī)操作系統(tǒng)）、移動終端、移動終端管系統(tǒng)、移動終端管理客戶端和控制設(shè)備等。測評方法：1、應(yīng)核查是否安裝了防惡意代碼軟件或相應(yīng)功能的軟件，定期進(jìn)行升級和更新防惡意代碼庫；2、應(yīng)核查是否采用主動免疫可信驗證技術(shù)及時識別入侵和病毒行為；3、應(yīng)核查當(dāng)識別入侵和病毒行為時是否將其有效阻斷。8.1.4.6可信驗證可基于可信根對計算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進(jìn)行可信驗證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動態(tài)可信驗證，在檢測到其可信性受到破壞后進(jìn)行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。測評對象：提供可信驗證的設(shè)備或組價、提供集中審計功能的系統(tǒng)。測評方法:1、應(yīng)核查是否基于可信根對計算設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和應(yīng)用程序等進(jìn)行可信驗證；2、應(yīng)核查是否在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動態(tài)可信驗證；3、應(yīng)測試驗證當(dāng)檢測到計算設(shè)備的可信性受到破壞后是否進(jìn)行報警；4、應(yīng)測試驗證結(jié)果是否以審計記錄的形式送至安全管理中心。8.1.4.7數(shù)據(jù)完整性a）應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等；測評對象：業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件、系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔、數(shù)據(jù)安全保護(hù)系統(tǒng)、終端和服務(wù)器等設(shè)備中的操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備和安全設(shè)備等。測評方法：1、應(yīng)核查系統(tǒng)設(shè)計文檔，鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等在傳輸過程中是否采用了校驗技術(shù)和密碼技術(shù)保證完整性；2、應(yīng)測試驗證在傳輸過程中對鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等進(jìn)行篡改、是否能否檢測到數(shù)據(jù)在傳輸過程中的完整性收到破壞并能夠及時恢復(fù)。b）應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等。測評對象：業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件、系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔、數(shù)據(jù)安全保護(hù)系統(tǒng)、終端和服務(wù)器等設(shè)備中的操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備和安全設(shè)備等。測評方法：業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件、系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔、數(shù)據(jù)安全保護(hù)系統(tǒng)、終端和服務(wù)器等設(shè)備中的操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備和安全設(shè)備中等。8.1.4.8數(shù)據(jù)保密性a）應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等；測評對象：業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件、系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔等。測評方法：1、應(yīng)核查系統(tǒng)設(shè)計文檔，鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等在傳輸過程中是否采用密碼技術(shù)保證保密性；2、應(yīng)通過嗅探等方式抓取傳輸過程中的數(shù)據(jù)包，鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等在傳輸過程中是否進(jìn)行了加密處理。b）應(yīng)采用密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等。測評對象：業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件、系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔、數(shù)據(jù)安全保護(hù)系統(tǒng)、終端和服務(wù)器等設(shè)備中的操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備和安全設(shè)備中的重要配置數(shù)據(jù)。測評方法：業(yè)務(wù)應(yīng)用系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、中間件、系統(tǒng)管理軟件及系統(tǒng)設(shè)計文檔、數(shù)據(jù)安全保護(hù)系統(tǒng)、終端和服務(wù)器等設(shè)備中的操作系統(tǒng)及網(wǎng)絡(luò)設(shè)備和安全設(shè)備中的重要配置數(shù)據(jù)等。8.1.4.9數(shù)據(jù)備份恢復(fù)a）應(yīng)提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復(fù)功能;測評對象：配置數(shù)據(jù)和業(yè)務(wù)數(shù)據(jù)。測評方法：1、應(yīng)核查是否安裝備份策略進(jìn)行本地備份；2、應(yīng)核查備份策略設(shè)置是否合理、配置是否正確；3、應(yīng)核查備份結(jié)果是否與備份策略一致；4、應(yīng)核查近期恢復(fù)測試記錄是否能夠進(jìn)行正常的數(shù)