信息系统安全等级测评报告.pdf

《信息系统安全等级测评报告.pdf》由会员分享，可在线阅读，更多相关《信息系统安全等级测评报告.pdf（245页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、报告编号：（信息系统安全等级测评报告系统名称：一级分行网络系统被测单位：XXX测评单位：XXX报告时间：20 xx年X月X X日说明：一、每个备案信息系统单独出具测评报告。二、测评报告编号为四组数据，各组含义和编码规则如下。第一组为信息系统备案表编号，有11位数字组成，可以从公安机关颁发的信息系统备案证 明（或备案回执）上获得，即证书编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）。第二组为年份，由2位数字组成。例如09代表2009年。第三组为测评机构代码，由4位数字组成。前两位为省级行政区划数字代码的前两位或行业主管部门编号：0 0为公安部，

2、11为北京，12为某，13为河北，14为山西，15为内蒙古，2 1为辽宁，22为吉林，2 3为黑龙江，31为上海，3 2为江苏，33为浙江，3 4为安徽，35为福建，3 6为江西，37为山东，4 1为河南，4 2为湖北，4 3为湖南，4 4为广东，4 5为广西，4 6为海南，50为重庆，5 1为四川，52为贵州，5 3为云南，5 4为西藏，6 1为陕西，6 2为甘肃，6 3为青海，64为宁夏，65为新疆，6 6为新疆兵团。9 0为国防科工局，9 1为电监会，92为教育部。后两位为公安机关或行业主管部门举荐的测评机构顺序号。第四组为本年度信息系统测评次数，由两位构成。例如0 2表示该信息系统本年

3、度测评2次。信息系统等级测评基本信息表信息系统系统名称一级分行网络系统安全保护等级第三级备案证明编号测评结论基本符合被测单位单位名称XXX单位地址邮政编码联系人姓 名职务/职称所属部门办公电话移动电话电子邮件测评单位单位名称单位代码通信地址邮政编码联系人姓 名职务/职称所属部门办公电话移动电话电子邮件审核批准编制人编制日期审核人审核日期批准人批准日期注:单位代码由受理测评机构备案的公安机关给出。II声 明本报告是某银行一级分行网络系统的等级测评报告。本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。当测评工作完成后，由

4、于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。在任何情形下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。III目 录信息系统等级测评基本信息表.I I声 明.I I I报告摘要.1第1章测评项目概述.21.1 测评目的.21.2 测评依据.51.3 测评过程.1 11.4 报告分发范畴.3 4第2章 被测信息系统情形.3 52.1承载的业务情形.3 52.2网络结构.3 62.3系统构成.3 72.3.1业

5、务应用软件.3 72.3.2关键数据类别.3 72.3.3主机/储备设备.3 72.3.4网络互联设备.3 72.3.5安全设备.3 82.3.6安全相关人员.4 02.3.7安全治理文档.4 02.4安全环境.5 02.5前次测评情形.5 2第3章 等级测评范畴与方法.5 33.1测评指标.5 33.1.1基本指标.5 33.1.2特别指标.8 93.2测评对象.1 043.2.1测评对象挑选方法.1 04IV3.2.2测评对象挑选结果.1053.3测评方法.117第4章 单 元 测 评.1194.1物理安全.1194.1.1结果记录.1194.1.2结果汇总.1294.1.3问题分析.13

6、04.2网络安全.1314.2.1结果记录.1314.2.2结果汇总.1394.2.3问题分析.1404.3主机安全.1414.4应用安全.1424.5数据安全及备份复原.1434.5.1结果记录.1434.5.2结果汇总.1464.5.3问题分析.1474.6安全治理制度.1484.6.1 结果记录.1484.6.2结果汇总.1524.6.3问题分析.1534.7 安全治理机构.1544.7.1结果记录.1544.7.2结果汇总.1614.7.3问题分析.1614.8 人员安全治理.1634.8.1结果记录.1634.8.2结果汇总.167V4.8.3问题分析.1684.9系统建设治理.16

7、94.9.1 结果记录.1694.9.2结果汇总.1814.9.3问题分析.1824.1 0系统运维治理.1834.10.1结果记录.1834.1 0.2结果汇总.2114.10.3问题分析.212第5章 整 体 测 评.2135.1 安全控制间安全测评.2165.2层面间安全测评.2195.3区域间安全测评.2225.4系统结构安全测评.225第6章 测评结果汇总.228第7章 风险分析和评判.231第8章 等级测评结论.236第9章 安全建设整改建议.237VI报告摘要一级分行网络系统业务信息安全等级为3级，系统服务安全等级为3级，通用安全保护等 级 为3级。一级分行网络系统主要是负责承载

8、某分行所辖所有机构的业务数据、治理数据的传输，承载某分行与各外联单位的数据传输。本次测评范畴为某银行一级分行网络系统，从技术与治理两方面测评该信息系统是否符合信息安全保护等级第3级的标准要求，技术方面包括物理安全、网络安全、主机安全、应用安全和数据安全及备份复原，治理方面包括安全治理制度、安全治理机构、人员安全治理、系统建设治理和系统运维治理。综合单元测评、整体测评和风险分析结果，得出某银行某市分行一级分行网络系统的等级测评结论为基本符合。一级分行网络系统存在着一些安全问题，在技术方面，机房内未安装机房专用空调对温湿度进行控制，不能对温湿度进行精密控制；互联网区、外联区防火墙上没有开启深度检测

9、功能，不能对进入网络的流量进行应用层的检测；网络系统由代理服务器中的软件对部分数据进行分析，不能生成审计报表；无法对内部人员使用其他途径的上网方式(如无线上网卡等)进 行 控 制、阻断；互联网区域部署了飞塔(F o r t in e t)防病毒网关，可以对进入网络的内容进行恶意代码检测和清除，外联区只有启明星辰I D S进行检测，没有部署防病毒网关；分行在河北支行设置了同城数据备份中心，与其生产中心直线距离未达到3 0公里，河北支行只有介质库，无法接管所有核心业务的运行等；在治理方面无问题。根据安全问题，建议信息系统做如下改进，在技术方面，建议机房使用专用的空调设备；建议通过配置防火墙策略对互

10、联网区、外联区的数据内容进行检测；建议添加审计设备便于数据分析和生成审计报表；建议屏蔽终端通过无线上网卡跨接，来控制和阻断非法外联；建议在外联区设置防毒墙设备，来防止恶意代码入侵；建议完善同城数据中心的相关功能，保证大楼主机房发生故障时，同城数据中心接管所有核心业务的运行。1第1章测评项目概述1.1测评目的随着科学技术的迅猛发展和信息技术的广泛应用，特别是我国国民经济和社会信息化进程的全面加快，信息化带动了工业化的发展，初步实现了互联互通、资源共享、跨过式发展的信息化发展目标。基础信息网络与重要信息系统的基础性、全局性作用日益增强，已成为国家和社会发展新的重要战略资源。与此同时，随着社会信息化

11、的依靠程度越来越高，网络和信息系统的安全问题愈加重要。保证基础网络和重要信息系统安全，更好地保护国家安全、保证社会稳固和经济命脉，是信息化发展中必须要解决的重大问题。但是从整体上看，我国的信息安全保证工作尚处于初级阶段，基础薄弱，水平不高，存在许多亟待解决的问题。应当看到，我国信息安全面临的形势非常严肃，互联网上影响国家安全和社会稳固的问题日益突出，网上斗争越来越尖锐复杂。作为非传统安全范畴的信息安全问题，已经成为当前最难控制、最难把握的问题之一，必须高度重视信息安全，保护网络空间的国家安全和国家利益。信息安全等级保护制度是国家信息安全保证工作的基本制度、基本策略和基本方法，是促进信息化健康发

12、展，保护国家安全、社会秩序和公共利益的根本保证。国务院法规和中央文件明确规定，要实行信息安全等级保护，重点保护基础信息网络和关系国家安全、经济命脉、社会稳固等方面的重要信息系统，抓紧建立信息安全等级保护制度。信息安全等级保护是当今发达国家保护关键信息基础设施、保证信息安全的通行做法，也是我国多年来信息安全工作体会的总结。开展信息安全等级保护工作不仅是保证重要信息系统安全的重大措施，也是一项事关国家安全、社会稳固、国家利益的重要任务。信息系统安全等级保护测评工作是指测评机构依据国家信息安全等级保护制度规定，按照有关治理规范和技术标准，对未涉及国家秘密的信息系统安全等级保护状况进行检测评估的活动。

13、等级测评是标准符合性评判活动，即依据信息安全等级保护的国家标准或行业标准，按照特定方法对信息系统的安全保护能力进行科学公平的综合评判过程。某银行是一家在中国市场处于领先地位的股份制商业银行，为客户提供全面的商业银行产品与服务。主要经营领域包括公司银行业务、个人银行业务和资金业务，多种产品和服务2（如基本建设贷款、住房按揭贷款和银行卡业务等）在某银行业居于市场领先地位。在“2010年中国25家最受尊敬上市公司”排行榜中，位列第5位，公司董秘陈彩虹荣膺“中国上市公司最佳董秘”大奖。某银行拥有广泛的客户基础，与多个大型企业集团及中国经济战略性行业的主导企业保持银行业务联系，营销网络覆盖全国的主要地区

14、，设 有13600多家分支机构。某银行在大陆境外的中国香港、新加坡、德国法兰克福、南非约翰内斯堡、日本东京、韩国首尔、美国纽约、越南胡志明市和澳大利亚悉尼设有海外分行，在英国伦敦设有子银行，在中国台湾台北、俄罗斯莫斯科设有代表处。某银行的子公司包括某银行（亚洲）股份有限公司、建 银 国 际（控股）有限公司、中德住房储蓄银行有限责任公司、建信基金治理有限责任公司和建信金融租赁股份有限公司。某银行已与世界上600家银行建立了代理行关系，其业务往来遍及五大洲的近80个国家。某银行被巴菲特杂志、世界企业竞争力实验室、世界经济学人周刊联合评为2010年（第七届）中国上市公司100强，排名第7位。该金融品

15、牌在世界品牌价值实验室（World Brand Value Lab）编 制 的2010年 度 中国品 牌500强排行榜中排名第十，品牌价值876.32亿元。在由中国企业联合会、中国企业家协会共同发布的2011中国企业500强名单中某银行位列第80某测评公司是某市高新技术企业，以高新技术为导向，雄厚的技术实力为依靠，凝聚了大量网络安全专业的优秀人才，以技术为核心竞争力的企业文化打造了强悍的公司团队，从而建立了良好的公司发展基础。作为公安部举荐的等级保护测评机构，xxxx为客户提供等级保护定级咨询、等级保护测评、运算机安全检测、网络安全审计、网络与信息系统安全测评、信息安全产品检测、信息系统安全监

16、控、信息安全应急响应、容灾备份及灾难复原等相关技术、标准、实施指南的咨询与服务，并提供全面的网络安全解决方案和网络安全运维服务。某测评公司作为某银行某市分行信息系统测评单位，将 从10个方面对某银行某市分行信息系统进行全面检查，其中包括物理安全、网络安全、主机安全、应用安全、数据安全、安全制度治理、安全机构治理、人员安全治理、系统建设治理和系统运维治理。通过本次测评项目，一是可以把握某银行某市分行信息系统的安全状况、排查系统安全隐患和薄弱环节、明确信息系统安全建设整改需求；二是衡量信息系统的安全保护治理措施和技术措施是否符合等级保护基本要求，是否具备了相应的安全保护能力。等级测评结果也3是公安

17、机关等安全监督部门进行监督、检查、指导的参照。41.2 测评依据信息安全等级保护相关标准大致可以分为四类：政策基础类、应用类、产品类和其他类。政策基础类标准I 政策类 中华人民共和国运算机信息系统安全保护条例（国务院1 4 7 号令）关于信息安全等级保护工作的实施意见（公通字 2 0 0 4 6 6 号）信息安全等级保护治理办法（公通字 2 0 0 7 4 3 号）国家信息化领导小组关于加强信息安全保证工作的意见（中办发 2 0 0 3 2 7 号）关于开展全国重要信息系统安全等级保护定级工作的通知（公信安 2 0 0 7 8 6 1 号）信息安全等级保护备案实施细则（公信安 2 0 0 7

18、1 3 6 0 号）公安机关信息安全等级保护检查工作规范（公信安 2 0 0 8 7 3 6 号）关于加强国家电子政务工程建设项目信息安全风险评估工作的通知（发改高技 2 0 0 8 2 0 7 1 号）关于开展信息安全等级保护安全建设整改工作的指导意见（公信安 2 0 0 9 1 4 2 9 号）信息系统安全等级测评报告模版（试行）（公信安 2 0 0 9 1 4 8 7）I I 基础类 运算机信息系统安全保护等级划分准则（G B 1 7 8 5 9-1 9 9 9）信息系统安全等级保护基本要求（G B/T 2 2 2 3 9-2 0 0 8）应用类标准I信息系统定级 信息系统安全保护等级定

19、级指南（G B/T 2 2 2 4 0-2 0 0 8）I I 等级保护实施 信息系统安全等级保护实施指南（信安字 2 0 0 7 1 0 号）m 信息系统安全建设 信息系统通用安全技术要求（G B/T 2 0 2 7 1-2 0 0 6）信息系统等级保护安全设计技术要求（信安秘字 2 0 0 9 0 5 9 号）信息系统安全治理要求（G B/T 2 0 2 6 9-2 0 0 6）5 信息系统安全工程治理要求(G B/T 2 0 2 8 2-2 0 0 6)信息系统物理安全技术要求(G B/T 2 1 0 5 2-2 0 0 7)网络基础安全技术要求(G B/T 2 0 2 7 0-2 0

20、0 6)信息系统安全等级保护体系框架(G A/T 7 0 8-2 0 0 7)信息系统安全等级保护基本模型(G A/T 7 0 9-2 0 0 7)信息系统安全等级保护基本配置(G A/T 7 1 0-2 0 0 7)IV等级测评 信息系统安全等级保护测评要求(报批稿)信息系统安全等级保护测评过程指南(报批稿)信息系统安全治理测评(G A/T 7 1 3-2 0 0 7)产品类标准I操作系统 操作系统安全技术要求(G B/T 2 0 2 7 2-2 0 0 6)操作系统安全评估准则(G B/T 2 0 0 0 8-2 0 0 5)I I数据库 数据库治理系统安全技术要求(G B/T 2 0 2

21、 7 3-2 0 0 6)数据库治理系统安全评估准则(G B/T 2 0 0 0 9-2 0 0 5)m网络 网络端设备隔离部件技术要求(G B/T 2 0 2 7 9-2 0 0 6)网络端设备隔离部件测试评判方法(G B/T 2 0 2 7 7-2 0 0 6)网络脆弱性扫描产品技术要求(G B/T 2 0 2 7 8-2 0 0 6)网络脆弱性扫描产品测试评判方法(G B/T 2 0 2 8 0-2 0 0 6)网络交换机安全技术要求(G A/T 6 8 4-2 0 0 7)虚拟专用网安全技术要求(G A/T 6 8 6-2 0 0 7)IV PKI 公钥基础设施安全技术要求(G A/T

22、 6 8 7-2 0 0 7)P K I 系统安全等级保护技术要求(G B/T 2 1 0 5 3-2 0 0 7)V网关 网关安全技术要求(G A/T 6 8 1-2 0 0 7)6V I服务器 服务器安全技术要求(G B/T 2 1 0 2 8-2 0 0 7)vn入侵检测 入侵检测系统技术要求和检测方法(G B/T 2 0 2 7 5-2 0 0 6)运算机网络入侵分级要求(G A/T 7 0 0-2 0 0 7)W防火墙 防火墙安全技术要求(G A/T 6 8 3-2 0 0 7)防火墙技术测评方法(报批稿)信息系统安全等级保护防火墙安全配置指南(报批稿)防火墙技术要求和测评方法(G

23、B/T 2 0 2 8 1-2 0 0 6)包过滤防火墙评估准则(G B/T 2 0 0 1 0-2 0 0 5)IX路由器 路由器安全技术要求(G B/T 1 8 0 1 8-2 0 0 7)路由器安全评估准则(G B/T 2 0 0 1 1-2 0 0 5)路由器安全测评要求(G A/T 6 8 2-2 0 0 7)X交换机 网络交换机安全技术要求(G B/T 2 1 0 5 0-2 0 0 7)交换机安全测评要求(G A/T 6 8 5-2 0 0 7)X I其他产品 终端运算机系统安全等级技术要求(G A/T 6 7 1-2 0 0 6)终端运算机系统测评方法(G A/T 6 7 1-

24、2 0 0 6)审计产品技术要求和测评方法(G B/T 2 0 94 5-2 0 0 6)虹膜特点识别技术要求(G B/T 2 0 97 9-2 0 0 7)虚拟专网安全技术要求(G A/T 6 8 6-2 0 0 7)应用软件系统安全等级保护通用技术指南(G A/T 7 1 1-2 0 0 7)应用软件系统安全等级保护通用测试指南(G A/T 7 1 2-2 0 0 7)网络和终端设备隔离部件测试评判方法(G B/T 2 0 2 7 7-2 0 0 6)网络脆弱性扫描产品测评方法(G B/T 2 0 2 8 0-2 0 0 6)7其他类标准I风险评估 信息安全风险评估规范(GB/T20984

25、-2007)I I事件治理 信息安全事件治理指南(GB/T20985-2007)信息系统安全工程治理要求(GB/T20282-2007)信息系统灾难复原规范(GB/T 20988-2007)其他相关参考标准I公钥基础设施 PKI组件最小互操作规范(GB/T 19771-2005)在线证书状态协议(GB/T 19713-2005)证书治理协议(GB/T 19714-2005)数字证书格式(GB/T 20518-2006)时间戳规范(GB/T 20520-2006)特定权限治理中心技术规范(GB/T 20519-2006)PKI系统安全等级保护评估准则(GB/T 21054-2006)安全支撑平台

26、技术框架(GB/T 24851-2009)签名生成应用程序的安全要求(GB/T 24857-2009)XML数字签名语法与处理规范(GB/T 24855-2009)X.509数字证书应用接口规范(GB/T 24854-2009)建议在线证书状态协议(GB/T 24853-2009)电子签名卡应用接口基本要求(GB/T 24852-2009)I I安全治理 信息安全治理实用规则(GB/T 19716-2005)信息技术安全治理指南第 1部分：信息技术安全概念和模型(GB/T 19715.1-2005)信息技术安全治理指南第 2 部分：治理和规划信息技术安全(GB/T 19715.2-2005)信

27、息安全风险治理指南(GB/T 24364-2009)信息安全治理使用规则(GB/T 22081-2008)信息安全治理体系：要求(GB/T 22080-2008)8 基于角色的拜访控制模型与治理规范(G B/T 2 4 8 4 8-2 0 0 9)m其他安全技术标准 基于多用途互联网邮件扩展(M I M E)的安全报文交换(G B/T 1 97 1 7-2 0 0 5)实体鉴别第1 部分：概述(G B/T 1 5 8 4 3.1-2 0 0 8)实体鉴别第2 部分：采用对称加密算法的机制(G B/T 1 5 8 4 3.2-2 0 0 8)实体鉴别 第 3 部分：采用数字签名技术的机制(G B

28、/T 1 5 8 4 3.3-2 0 0 8)实体鉴别第4 部分：采用密码校验函数的机制(G B/T 1 5 8 4 3.4-2 0 0 8)实体鉴别第5 部分：使用零知识技术的机制(G B/T 1 5 8 4 3.5-2 0 0 5)带附录的数字签名第2 部分：基于身份的机制(G B/T 1 7 90 2.2-2 0 0 5)带附录的数字签名 第 3 部分：基于证书的机制(G B/T 1 7 90 2.3-2 0 0 5)信息系统安全保证评估框架第1 部分：简介和一样模型(G B/T 2 0 2 7 4.1-2 0 0 6)信息系统安全保证评估框架 第 2 部分：技术保证(G B/T 2 0

29、 2 7 4.2-2 0 0 8)信息系统安全保证评估框架第3 部分：治理保证(G B/T 2 0 2 7 4.3-2 0 0 8)信息系统安全保证评估框架 第 4 部分：工程保证(G B/T 2 0 2 7 4.4-2 0 0 8)网上银行系统信息安全保证评估准则(G B/T 2 0 98 3-2 0 0 7)网上证券交易系统信息安全保证评估准则(G B/T 2 0 98 7-2 0 0 6)智能卡嵌入式软件安全技术要求(E A L 4 增强级)(G B/T 2 0 2 7 6-2 0 0 6)保护轮廓和安全目标的生产指南(G B/T 2 0 2 8 3-2 0 0 6)消息鉴别码第1 部分

30、：采用分组密码的机制(G B/T 1 5 8 5 2.1-2 0 0 8)信息技术安全性评估准则 第 1 部分：简介和一样模型(G B/T 1 8 3 3 6.1-2 0 0 8)信息技术安全性评估准则第2 部分：安全功能要求(G B/T 1 8 3 3 6.2-2 0 0 8)信息技术安全性评估准则 第 3 部分：安全保证要求(G B/T 1 8 3 3 6.3-2 0 0 8)具有中央处理器的集成电路(I C)卡芯片安全技术要求(评估保证级4 增强)(G B/T2 2 1 8 6-2 0 0 8)信息安全事件分类分级(G B/T 2 0 98 6-2 0 0 7)分组密码算法的工作模式(G

31、 B/T 1 7 96 4-2 0 0 8)消息鉴别码第1 部分：采用分组密码的机制(G B/T 1 5 8 5 2.1-2 0 0 8)抗抵赖 第 1 部分:概述(G B/T 1 7 90 3.1-2 0 0 8)抗抵赖第2 部分：采用对称技术的机制(G B/T 1 7 90 3.2-2 0 0 8)抗抵赖 第 3 部分：采用非对称技术的机制(G B/T 1 7 90 3.3-2 0 0 8)9 基于互联网电子政务信息安全实施指南(G B/Z 2 4 2 94-2 0 0 9)信息系统等级保护安全技术设计要求(G B/T 2 4 8 5 6-2 0 0 9)信息安全应急响应计划规范(G B/

32、T 2 4 3 6 3-2 0 0 9)术语(G B/T 2 4 8 4 9-2 0 0 9)基于角色的拜访控制模型与治理规范(G B/T 2 4 8 4 8-2 0 0 9)证书认证系统密码及其相关安全技术规范(G B/T 2 4 8 5 0-2 0 0 9)本次测评依据的合同文件：某银行股份有限公司某市分行信息安全等级保护测评服务合同101.3 测评过程等级测评过程可以分为四个活动：测评准备、方案编制、现场测评以及分析与报告编制,而测评双方之间的沟通与洽谈应贯穿整个等级测评过程。具体流程如下图所示。1112测评准备活动的目标是顺利启动测评项目，准备测评所需的相关资料，为顺利编制测评方案打下

33、良好的基础。测评准备活动包括项目启动、信息收集和分析、工具和表单准备三项主要任务。具体工作内容如下表。阶段测评机构工作内容被测单位工作内容输入项输出项备注项目启动会项目启动会议组织开展项目启动会议/会议签到表单会议记录、填好的会议签到表：会议记录的内容包含：会议时间、地点、参加人员、会议内容、会议达成的结果等。：会议签到表的内容包含：会议参加人员、时间、地点等。项目组组建根据行业和技术特点组建项目组/项目组成员表内容包括：项目组的成员名单，项目组组长，本项目组的职责、分工等。项目计划书编制编写项目计划书/托付测评协议书项目计划书内容包括：项目背景、目的、工作依 据，主要的技术思路和工作内容，项

34、目的组织结构和项目实施方案，项目质量治理和控制，项目风险治理，保密控制治理等。确定测评单位应提供的资料与被测单位协商并告知需要提供的相关文件，提供资料范畴表单/被测单位应提供的资料的范畴表单主要包括：被测系统总体描述文件，详细描述文件，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次等级测评报告（如果有），测评托付单位的信息化建设状况与发展以及联络方式等。信息资 料,收集收集相关资料提供测评单位告知被测单位应提收集到的被测资料主要包括：测评托付单位的各种方针文件、规章制度及相关过程13收的相关文供的资系统的治理记录、被测系统总体描述文集件料的范资料件、详细描述文件

35、、安全保护等级和畴表单定级报告、安全需求分析报告、安分全总体方案、安全现状评判报告、析安全详细设计方案、用户指南、运行步骤、网络图表、配置治理文档等。调查表内容调整根据被测单位具体情形，调整相关表单内容/收集到的被测系统的资料调整过的表格根据收集到的系统情形，调整调查表的内容。发放与回收表格发放和回收发给被测单位相关人员的调查表格填写信息系统相关调查表格调整过的表格填写完毕的表格可以帮助被测系统填写调查表格。调查表格内容应包含被测系统的安全保护等级、业务情形、数据情形、软硬件情形、治理模式和相关部门及角色等。调杳结果分析分析调查信息与现实的符合程度，如果不符合则和谐相关人员进行现场调查/填写完

36、毕的表格被测单位情形分析表内容包括被测系统的基本信息、物理位置、行业特点、治理框架、治理策略、网络及设备部署、软硬件重要性及部署情形、范畴及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范畴、用户类型、被测系统所处的运行环境及面临的威逼等。这些信息可以重用自查或上次等级测评报告中的可信结果。是否根据调查如需要调填写完现场调根据表格填写的情形，如果调查表14进行结果分析查，配合测毕的表查说明格填写不准确或不完善或存在相现场结果判定评机构相格单互矛盾的地方较多，应安排现场调调查是否需要关人员完查。若需要则出具调查单说明单，现场调查成调查工如果不需要，需说明理由。作工调试

37、测评工具根据信息系统的具体情形，挑选合适的测评工具/各种与被测系统相关的技术资料选用的测评工具清单测评人员熟悉并调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。测评工具清单内容包括，工具的名称、编号、用途、使用人员、使用时间等。具和表单准备模拟被测系统搭建测评环境搭建与被测单位尽可能相似的实验环境/收集的被测单位系统资料被测单位模拟测评环境说明单说明单中包含模拟环境需要使用的设备，场地，时间及其他相关事项。准备和选主要包括现场测评授权书、文档交准备取相关表准备打接单、会议记录单、会议签到表单和打印表单，制作项目过程/印的表单的电打印好的表单等

38、。表单的内容包括现场测评授权、交接的文档名称、会议记录项单中用到的子版目、会议签到项目、会议的时间、特别表单参与人员、会议内容等。15方案编制活动的目标是整理测评准备活动中获取的信息系统相关资料，为现场测评活动提供最基本的文档和指导方案。方案编制活动包括测评对象确定、测评指标确定、测试工具接入点确定、测评内容确定、测评指导书开发及测评方案编制六项主要任务。阶段测评机构工作内容被测单位工作内容输入项输出项备注测评对象确定识别并描述被测系统的整体结构分析并描述信息系统的机构外联情形/填好的调查表格测评方案中的测评对象部分描述内容应包括被测系统的标识（名称），物理环境，网络拓扑结构和外部边界连接情形

39、等，并给出网络拓扑图。识别并描述被测系统的边界了解信息系统边界的相关信息，如设备信息等/填好的调查表格测评方案中的测评对象部分描述内容应包括被测系统与其他网络进行外部连接的边界连接方式，如采用光纤、无线和专线等；描述各边界主要设备，如防火墙、路由器或服务器等。如果在被测系统边界连接处有共用设备，一样可以把该设备划到等级较高的那个信息系统中。识别并描述被测系统的网络区域分析信息系统的各区域功能业务等情形，以及区域间的连接情形/填好的调查表格测评方案中的测评对象部分描述内容主要包括区域划分、每个区域内的主要业务应用、业务流程、区域的边界以及它们之间的连接情形等。识别根据提供/填好的测评方描述系统节

40、点以区域为线索，具体16并描述被测系统的重要节点信息，找出各种类型设备的重要节点以及节点信息调查表格案中的测评对象部分描述各个区域内包括的运算机硬件设 备（包括服务器设备、客户端设备、打印机及储备器等外围设备）、网络硬件设备（包括交换机、路由器、各种适配器等）等，并说明各个节点之间的主要连接情形和节点上安装的应用系统软件情形等。描述被测系统从外连、边界、区域及功能角度描述被测系统/填好的调查表格测评方案中的测评对象部分描述时先说明整体结构，然后描述外部边界连接情形和边界主要设备，最后介绍被测系统的网络区域组成、主要业务功能及相关的设备节点等。确定测评对象根据定级对象，找出测评对象/填好的调查表

41、格测评方案中的测评对象部分分析各个作为定级对象的信息系统，包括信息系统的重要程度及其相关设备、组件，在此基础上，确定出各测评对象。描述测评对象针对各种类型的测评对象进行详细描述提供未被测评机构收集到的信息填好的调查表格测评方案中的测评对象部分描述测评对象时，针对每个定级对象分门别类加以描述，包括机房、业务应用软件、主机操作系统、数据库治理系统、网络互联设备及其操作系统、安全设备及其操作系统、访谈人员及其安全治理文档等。在对每类测评对象进行描述时则一样采用列表的方式，包括测评对象所属区域、设备名称、用途、设备信息等内容。测评安全保护根据业务信息和系/填好的调查表测评方案中的根据被测系统调查表格，

42、得出被测系统的定级结果，包括业务信息安17指 措施统服务的格 信测评指全保护等级和系统服务安全保护等标 A S G等级情形息系统标部分级，从而得出被测系统应采取的安确 组合确定A S G安全等全保护措施A S G 组合情形。定 情形级别要求级保护确定基本要求填好的挑选测评指标根据已经定出的A S G 的级别选定测评指标/调查表格 信息系统安全等级保护基本要求测评方案中的测评指标部分从G B/T 2 2 2 3 9-2 0 0 8 中挑选相应等级的安全要求作为测评指标，包括对A S G 三类安全要求的挑选。填好的调查表描述每个定级对象描述每个定级对象的具体信息提供未被测评机构收集到的信息格 信息

43、系统安全等级保护基本要求测评方案中的测评指标部分描述的内容包括系统的定级结果、指标挑选两部分。其中，指标挑选以列表的形式给出。测 确定根据信息测评方试工具接需要进行工具测试系统的具体情形，挑选出那些对象需/填好的调查表格案的测评内容中关于测评工根据调查的被测系统的情形和分析结果，确定出需要进行工具测试的测评对象。入 的测要工具测具接入18点 评对试点部分确象定测试路径挑选由外到内的原则挑选测试路径/填好的调查表格测评方案的测评内容中关于测评工具接入点部分测试工具的接入采取从外到内，从其他网络到本地网段的逐步逐点接入。模拟各种网络环测评方确定境，互联案的测测试网、内网提供未被测填好的评内容结合网

44、络拓扑图，采用图示的方式工具等情形连评机构收集调查表中关于描述测试工具的接入点、测试目的、的接挑选工具到的信息格测评工测试途径和测试对象等相关内容。入点点，尽量具接入覆盖所有点部分情形识别测评内容确每个测评对象对应的测评指针对信息系统的定级情形确定每个测评对象的指标/填好的调查表格，测评方案测评方案的单元测评实施部分文档包含单元测评（现场测评）的实施内容。现场单元测评实施内容通常以表格的形式给出，表格包括测评对象、测评指标等内容。定 标识别每个不同的测评对象和/填好的调查表测评方案的单现场单元测评实施内容通常以表格的形式给出，表格包括测评方法、19测评对象对应的每个测评指标的测评方法指标挑选合

45、适的方法格，测评方案元测评实施部分测评实施描述、测评内容描述等内容。测评指导书开发描述单个测评对象给出单个测评对象的详细内容/测评方案测评指导书其内容包括测评对象的名称、IP 地址、用途、治理人员等信息。确定测评活动明确测评操作步骤/测评方案的测试工具接入点、单元测评实施部分。测评指导书其内容包括测评项、测评方法、操作步骤和预期结果等四部分。单元测评表格和整体测评表格编挑选适合信息系统的相关表格，不合适的要重新编制/测评方案的测试工具接入点、单元测评实施部测评指导书，测评结果记录表格单元测评一样以表格形式给出，其内容包含各个测评对象的测评项、测评方法、操作步骤和预期结果等。整体测评则一样以文字

46、描述的方式表述，可以以测评用例的方式进行组织。20制分。测托付测评协根据被测议 书，估算信息系统填好的现场等级和测调研表测评方工 作 量 可 以 根 据 配 置 检 查 的 节 点 数测评试力度等/格，信案文本量 和 工 具 测 试 的 接 入 点 及 测 试 内 容工作信息对工息系统等 情 形 进 行 估 算。昂：时进行估安全等算级保护基本要测求 填好的评调研表方编制根据人员格，信案工作和工时编与测评机构息系统测评方根 据 测 评 项 目 组 成 员 安 排，编制工编安排写工作安协 商，安排安全等案文本作 安 排 情 形。制情形排工作进度级保护基本要求 编制编制项目填好的一 并 列 出 包

47、括 现 场 工 作 人 员 的 分 工具体W B S,详细/调研表测评方和 时 间 安 排，具 体 测 评 所需条件以测评分解项目格案文本及 测 评 需 要 的 配 合 人 员。计划各个流程形成编写完整测评托付单填好的评审通：汇 总 上 述 内 容 及 方 案 编 制 活 动测评测评方位签字认可调研表过并且的 其 他 任 务 获 取 的 内 容 形 成 测 评 方方案案，进行测评方案格，信经过确案 文 稿。文稿内部评审息系统认的测：测评方案初稿应通过测评项目21并进并交给被安全等评方案组全体成员评审，修改完成后形成行评测单位进级保护文本提交稿。然后，测评机构将测评方审行签字确基本要案提交给测评

48、托付单位签字认可。认求22现场测评活动通过与测评托付单位进行沟通和和谐，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还三项主要任务。阶段测评机构工作内容被测单位工作内容输入项输出项备注现场经过签测评签署现场签署现场署和确授权书应包含双方的权益义务、责授权测评授权测评授权授权书认的现任划分、风险通知、签字以及单位书签书书场测评公章等内容署授权书召开组织相关会议记录应包含交流测评信息，进现场与被测单工

49、作人员会议记一步明确的测评计划和方案中的内测评位协商召参与现场/录容，测评过程中具体的实施工作内现启动开会议测评启动容，测评时间安排等内容。场会会测双方评确认告知被测准现场单位现在确认测评现场测测评需内容包括测评托付单位的配合人员备测评测评需要机构告知评授权要资源和需要提供的测评条件等，确认被需要的各种资的各种资书，测确认单测系统已备份过系统及数据。的各源源评方案种资源测评根据现场改进后根据会议沟通结果，对测评结果记方测评提供/会议记的测评录表单和测评程序进行必要的更案、资源情录结果记新。结果形，适当录表单23记录表格等资料 更新调整表单、程序等和测评程序以及方案测评指对相关工导书，技术安作人

50、员进和谐测评技术安全和治行访谈，机构找出全和治理安全访谈记录表单内容包括测评项、测访谈了解信息被访谈各理安全测评的评人员、测评结果记录等。系统的相岗位人员测评的测评结关情形和测评结果记录现工作流程果记录或录音场表格测安全治评理制度和对治理制提供必要和安全治理安测评记录的内容为治理制度和治理结文档度等过程的文档，比治理的全测评执行过程文档的记录，包括完整性果审杳文档进行如治理制执行过的测评和文件之间的内部一致性的检查记记审查度，检查记程文档结果记录。录录等及相关录技术文档等测评指技术安填写必要检查工作导书，全测评文档的内容为检查内容的记录，包配置表单，记的结果确技术安的网括测评人、测评时间、测评