《信息系统安全等级保护测评准则》

ICS 35.040 GB/T L80 XXX--200X 中 华 人 民 共 和 国 国 家 标 准 GB/T XXXX XXXX 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 测 评 要 求 Information security technology- Testing and evaluation requirement for classified protection of information system 200X-XX-XX 发 布 中 华 人 民 共 和 国 国 家 质 量 监 督 检 验 检 疫 总 局 中 国 国 家 标 准 化 管 理 委 员 会 200X-XX-XX 实 施 发 布

目 次 前 引 言... III 言... IV 1 范 围... 1 2 规 范 性 引 用 文 件... 1 3 术 语 和 定 义... 1 4 总 则... 1 4.1 测 评 原 则... 1 4.2 测 评 内 容... 1 4.3 测 评 力 度... 2 4.4 结 果 重 用... 2 4.5 使 用 方 法... 2 5 第 一 级 信 息 系 统 单 元 测 评... 3 5.1 安 全 技 术 测 评... 3 5.1.1 物 理 安 全... 3 5.1.2 网 络 安 全... 5 5.1.3 主 机 安 全... 6 5.1.4 应 用 安 全... 7 5.1.5 数 据 安 全 及 备 份 恢 复... 8 5.2 安 全 管 理 测 评... 9 5.2.1 安 全 管 理 制 度... 9 5.2.2 安 全 管 理 机 构... 9 5.2.3 人 员 安 全 管 理... 10 5.2.4 系 统 建 设 管 理... 12 5.2.5 系 统 运 维 管 理... 14 6 第 二 级 信 息 系 统 单 元 测 评... 17 6.1 安 全 技 术 测 评... 17 6.1.1 物 理 安 全... 17 6.1.2 网 络 安 全... 20 6.1.3 主 机 安 全... 22 6.1.4 应 用 安 全... 24 6.1.5 数 据 安 全 及 备 份 恢 复... 27 6.2 安 全 管 理 测 评... 28 6.2.1 安 全 管 理 制 度... 28 6.2.2 安 全 管 理 机 构... 29 6.2.3 人 员 安 全 管 理... 30 6.2.4 系 统 建 设 管 理... 32 6.2.5 系 统 运 维 管 理... 35 I

7 第 三 级 信 息 系 统 单 元 测 评... 39 7.1 安 全 技 术 测 评... 39 7.1.1 物 理 安 全... 39 7.1.2 网 络 安 全... 44 7.1.3 主 机 安 全... 47 7.1.4 应 用 安 全... 49 7.1.5 数 据 安 全 及 备 份 恢 复... 53 7.2 安 全 管 理 测 评... 55 7.2.1 安 全 管 理 制 度... 55 7.2.2 安 全 管 理 机 构... 56 7.2.3 人 员 安 全 管 理... 59 7.2.4 系 统 建 设 管 理... 61 7.2.5 系 统 运 维 管 理... 65 8 第 四 级 信 息 系 统 单 元 测 评... 71 8.1 安 全 技 术 测 评... 71 8.1.1 物 理 安 全... 71 8.1.2 网 络 安 全... 76 8.1.3 主 机 安 全... 79 8.1.4 应 用 安 全... 82 8.1.5 数 据 安 全 及 备 份 恢 复... 87 8.2 安 全 管 理 测 评... 89 8.2.1 安 全 管 理 制 度... 89 8.2.2 安 全 管 理 机 构... 90 8.2.3 人 员 安 全 管 理... 93 8.2.4 系 统 建 设 管 理... 95 8.2.5 系 统 运 维 管 理... 99 9 第 五 级 信 息 系 统 单 元 测 评... 106 10 信 息 系 统 整 体 测 评... 106 10.1 概 述... 106 10.2 安 全 控 制 点 间 测 评... 106 10.3 层 面 间 测 评... 106 10.4 区 域 间 测 评... 107 10.5 系 统 结 构 安 全 测 评... 107 11 等 级 测 评 结 论... 107 11.1 各 层 面 的 测 评 结 论... 107 11.2 整 体 保 护 能 力 的 测 评 结 论... 107 附 录 A( 资 料 性 附 录 ) 测 评 力 度... 109 A.1 测 评 方 法 的 测 评 力 度 描 述... 109 A.2 信 息 系 统 测 评 力 度... 109 II

前 ( 略 ) 言 III

引 言 依 据 中 华 人 民 共 和 国 计 算 机 信 息 系 统 安 全 保 护 条 例 ( 国 务 院 147 号 令 ) 国 家 信 息 化 领 导 小 组 关 于 加 强 信 息 安 全 保 障 工 作 的 意 见 ( 中 办 发 [2003]27 号 ) 关 于 信 息 系 统 安 全 等 级 保 护 工 作 的 实 施 意 见 ( 公 通 字 [2004]66 号 ) 和 信 息 安 全 等 级 保 护 管 理 办 法 ( 公 通 字 [2007]43 号 ) 等 有 关 文 件 要 求, 制 定 本 标 准 本 标 准 是 信 息 安 全 等 级 保 护 相 关 系 列 标 准 之 一 与 本 标 准 相 关 的 系 列 标 准 包 括 : GB/T 22240-2008 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 定 级 指 南 ; GB/T 22239-2008 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 基 本 要 求 ; GB/T AAAA-AAAA 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 实 施 指 南 一 般 来 说, 信 息 系 统 需 要 靠 多 种 安 全 措 施 进 行 综 合 防 范 以 降 低 其 面 临 的 安 全 风 险 本 标 准 针 对 信 息 系 统 中 的 单 项 安 全 措 施 和 多 个 安 全 措 施 的 综 合 防 范, 对 应 地 提 出 单 元 测 评 和 整 体 测 评 的 技 术 要 求, 用 以 指 导 测 评 人 员 从 信 息 安 全 等 级 保 护 的 角 度 对 信 息 系 统 进 行 测 试 评 估 单 元 测 评 对 安 全 技 术 和 安 全 管 理 上 各 个 层 面 的 安 全 控 制 点 提 出 不 同 安 全 保 护 等 级 的 测 评 要 求 整 体 测 评 根 据 安 全 控 制 点 间 层 面 间 和 区 域 间 相 互 关 联 关 系 以 及 信 息 系 统 整 体 结 构 对 信 息 系 统 整 体 安 全 保 护 能 力 的 影 响 提 出 测 评 要 求 本 标 准 给 出 了 等 级 测 评 结 论 中 应 包 括 的 主 要 内 容, 未 规 定 给 出 测 评 结 论 的 具 体 方 法 和 量 化 指 标 如 果 没 有 特 殊 指 定, 本 标 准 中 的 信 息 系 统 主 要 指 计 算 机 信 息 系 统 在 本 标 准 文 本 中, 黑 体 字 的 测 评 要 求 表 示 该 要 求 出 现 在 当 前 等 级 而 在 低 于 当 前 等 级 信 息 系 统 的 测 评 要 求 中 没 有 出 现 过 IV

信 息 系 统 安 全 等 级 保 护 测 评 要 求 1 范 围 本 标 准 规 定 了 对 信 息 系 统 安 全 等 级 保 护 状 况 进 行 安 全 测 试 评 估 的 要 求, 包 括 对 第 一 级 信 息 系 统 第 二 级 信 息 系 统 第 三 级 信 息 系 统 和 第 四 级 信 息 系 统 进 行 安 全 测 试 评 估 的 单 元 测 评 要 求 和 信 息 系 统 整 体 测 评 要 求 本 标 准 略 去 对 第 五 级 信 息 系 统 进 行 单 元 测 评 的 具 体 内 容 要 求 本 标 准 适 用 于 信 息 安 全 测 评 服 务 机 构 信 息 系 统 的 主 管 部 门 及 运 营 使 用 单 位 对 信 息 系 统 安 全 等 级 保 护 状 况 进 行 的 安 全 测 试 评 估 信 息 安 全 监 管 职 能 部 门 依 法 进 行 的 信 息 安 全 等 级 保 护 监 督 检 查 可 以 参 考 使 用 2 规 范 性 引 用 文 件 下 列 文 件 中 的 条 款 通 过 本 标 准 的 引 用 而 成 为 本 标 准 的 条 款 注 日 期 的 引 用 文 件, 其 随 后 所 有 的 修 改 单 ( 不 包 括 勘 误 的 内 容 ) 或 修 订 版 均 不 适 用 于 本 标 准, 然 而, 鼓 励 根 据 本 标 准 达 成 协 议 的 各 方 研 究 是 否 可 使 用 这 些 文 件 的 最 新 版 本 不 注 日 期 的 引 用 文 件, 其 最 新 版 本 适 用 于 本 标 准 GB/T 5271.8 信 息 技 术 词 汇 第 8 部 分 : 安 全 GB/T 22239-2008 信 息 安 全 技 术 信 息 系 统 安 全 等 级 保 护 基 本 要 求 3 术 语 和 定 义 GB/T 5271.8 和 GB/T 22239-2008 所 确 立 的 以 及 下 列 术 语 和 定 义 适 用 于 本 标 准 3.1 测 评 力 度 testing and evaluation intensity 测 评 工 作 实 际 投 入 力 量 的 表 征, 可 以 由 测 评 广 度 和 深 度 来 描 述 4 总 则 4.1 测 评 原 则 a) 客 观 性 和 公 正 性 原 则 测 评 工 作 虽 然 不 能 完 全 摆 脱 个 人 主 张 或 判 断, 但 测 评 人 员 应 当 在 没 有 偏 见 和 最 小 主 观 判 断 情 形 下, 按 照 测 评 双 方 相 互 认 可 的 测 评 方 案, 基 于 明 确 定 义 的 测 评 方 法 和 过 程, 实 施 测 评 活 动 b) 经 济 性 和 可 重 用 性 原 则 基 于 测 评 成 本 和 工 作 复 杂 性 考 虑, 鼓 励 测 评 工 作 重 用 以 前 的 测 评 结 果, 包 括 商 业 安 全 产 品 测 评 结 果 和 信 息 系 统 先 前 的 安 全 测 评 结 果 所 有 重 用 的 结 果, 都 应 基 于 这 些 结 果 还 能 适 用 于 目 前 的 系 统, 能 反 映 目 前 系 统 的 安 全 状 态 c) 可 重 复 性 和 可 再 现 性 原 则 无 论 谁 执 行 测 评, 依 照 同 样 的 要 求, 使 用 同 样 的 方 法, 对 每 个 测 评 实 施 过 程 的 重 复 执 行 都 应 该 得 到 同 样 的 测 评 结 果 可 再 现 性 体 现 在 不 同 测 评 者 执 行 相 同 测 评 的 结 果 的 一 致 性 可 重 复 性 体 现 在 同 一 测 评 者 重 复 执 行 相 同 测 评 的 结 果 的 一 致 性 d) 符 合 性 原 则 测 评 所 产 生 的 结 果 应 当 是 在 对 测 评 指 标 的 正 确 理 解 下 所 取 得 的 良 好 的 判 断 测 评 实 施 过 程 应 当 使 用 正 确 的 方 法 以 确 保 其 满 足 了 测 评 指 标 的 要 求 4.2 测 评 内 容 信 息 系 统 安 全 等 级 测 评 主 要 包 括 单 元 测 评 和 整 体 测 评 两 部 分 单 元 测 评 是 等 级 测 评 工 作 的 基 本 活 动, 每 个 单 元 测 评 包 括 测 评 指 标 测 评 实 施 和 结 果 判 定 三 部 分 其 中, 测 评 指 标 来 源 于 GB/T 22239-2008 中 的 第 五 级 目 录 中 的 各 要 求 项 ( 详 见 4.5 节 说 明 ), 测 评 实 施 描 述 测 评 过 程 中 使 用 的 具 体 测 评 方 法 涉 及 的 测 评 对 象 和 具 体 测 评 取 证 过 程 的 要 求, 结 果 判 定 描 述 测 评 1

人 员 执 行 测 评 实 施 并 产 生 各 种 测 评 数 据 后, 如 何 依 据 这 些 测 评 数 据 来 判 定 被 测 系 统 是 否 满 足 测 评 指 标 要 求 的 原 则 和 方 法 整 体 测 评 是 在 单 元 测 评 的 基 础 上, 通 过 进 一 步 分 析 信 息 系 统 的 整 体 安 全 性, 对 信 息 系 统 实 施 的 综 合 安 全 测 评 整 体 测 评 主 要 包 括 安 全 控 制 点 间 层 面 间 和 区 域 间 相 互 作 用 的 安 全 测 评 以 及 系 统 结 构 的 安 全 测 评 等 整 体 测 评 需 要 与 信 息 系 统 的 实 际 情 况 相 结 合, 因 此 全 面 地 给 出 整 体 测 评 要 求 的 全 部 内 容 具 体 实 施 过 程 和 明 确 的 结 果 判 定 方 法 是 非 常 困 难 的, 测 评 人 员 应 根 据 被 测 系 统 的 实 际 情 况, 结 合 本 标 准 的 要 求, 实 施 整 体 测 评 测 评 方 法 指 测 评 人 员 在 测 评 实 施 过 程 中 所 使 用 的 方 法, 主 要 包 括 访 谈 检 查 和 测 试 三 种 测 评 方 法 其 中, 访 谈 是 指 测 评 人 员 通 过 引 导 信 息 系 统 相 关 人 员 进 行 有 目 的 的 ( 有 针 对 性 的 ) 交 流 以 帮 助 测 评 人 员 理 解 分 析 或 取 得 证 据 的 过 程, 检 查 是 指 测 评 人 员 通 过 对 测 评 对 象 ( 如 管 理 制 度 操 作 记 录 安 全 配 置 等 ) 进 行 观 察 查 验 分 析 以 帮 助 测 评 人 员 理 解 分 析 或 取 得 证 据 的 过 程, 测 试 是 测 评 人 员 使 用 预 定 的 方 法 / 工 具 使 测 评 对 象 产 生 特 定 的 行 为, 通 过 查 看 和 分 析 结 果 以 帮 助 测 评 人 员 获 取 证 据 的 过 程 测 评 对 象 指 测 评 实 施 的 对 象, 即 测 评 过 程 中 涉 及 到 的 信 息 系 统 的 相 关 人 员 制 度 文 档 各 类 设 备 及 其 安 全 配 置 等 4.3 测 评 力 度 测 评 力 度 是 在 测 评 过 程 中 实 施 测 评 工 作 的 力 度, 反 映 测 评 的 广 度 和 深 度, 体 现 为 测 评 工 作 的 实 际 投 入 程 度 测 评 广 度 越 大, 测 评 实 施 的 范 围 越 大, 测 评 实 施 包 含 的 测 评 对 象 就 越 多 ; 测 评 深 度 越 深, 越 需 要 在 细 节 上 展 开, 测 评 就 越 严 格, 因 此 就 越 需 要 更 多 的 投 入 投 入 越 多, 测 评 力 度 就 越 强, 测 评 就 越 有 保 证 测 评 的 广 度 和 深 度 落 实 到 访 谈 检 查 和 测 试 三 种 不 同 的 测 评 方 法 上, 能 体 现 出 测 评 实 施 过 程 中 访 谈 检 查 和 测 试 的 投 入 程 度 的 不 同 信 息 安 全 等 级 保 护 要 求 不 同 安 全 保 护 等 级 的 信 息 系 统 应 具 有 不 同 的 安 全 保 护 能 力, 满 足 相 应 等 级 的 保 护 要 求 为 了 检 验 不 同 安 全 保 护 等 级 的 信 息 系 统 是 否 具 有 相 应 等 级 的 安 全 保 护 能 力, 是 否 满 足 相 应 等 级 的 保 护 要 求, 需 要 实 施 与 其 安 全 保 护 等 级 相 适 应 的 测 评, 付 出 相 应 的 工 作 投 入, 达 到 应 有 的 测 评 力 度 第 一 级 到 第 四 级 信 息 系 统 的 测 评 力 度 反 映 在 访 谈 检 查 和 测 试 等 三 种 基 本 测 评 方 法 的 测 评 广 度 和 深 度 上, 落 实 在 不 同 单 元 测 评 中 具 体 的 测 评 实 施 上 不 同 安 全 保 护 等 级 的 信 息 系 统 在 总 体 上 所 对 应 的 测 评 力 度 在 附 录 A 中 描 述 4.4 结 果 重 用 在 信 息 系 统 中, 有 些 安 全 控 制 可 以 不 依 赖 于 其 所 在 的 地 点 便 可 测 评, 即 在 其 部 署 到 运 行 环 境 之 前 便 可 以 接 受 安 全 测 评 一 些 商 用 安 全 产 品 的 测 评 就 属 于 这 种 安 全 测 评 如 果 一 个 信 息 系 统 部 署 和 安 装 在 多 个 地 点, 且 系 统 具 有 一 组 共 同 的 软 件 硬 件 固 件 等 组 成 部 分, 对 这 些 安 全 控 制 的 测 评 可 以 集 中 在 一 个 集 成 测 试 环 境 中 实 施, 如 果 没 有 这 种 环 境, 则 可 以 在 其 中 一 个 预 定 的 运 行 地 点 实 施, 在 其 他 运 行 地 点 的 安 全 测 评 便 可 重 用 此 测 评 结 果 在 信 息 系 统 所 有 安 全 控 制 中, 有 一 些 安 全 控 制 与 它 所 处 于 的 运 行 环 境 紧 密 相 关 ( 如 与 人 员 或 物 理 有 关 的 某 些 安 全 控 制 ), 对 其 测 评 必 须 在 分 发 到 相 应 运 行 环 境 中 才 能 进 行 如 果 多 个 信 息 系 统 处 在 地 域 临 近 的 封 闭 场 地 内, 系 统 所 属 的 机 构 在 同 一 个 领 导 层 管 理 之 下, 对 这 些 安 全 控 制 在 多 个 信 息 系 统 中 进 行 重 复 测 评, 可 能 是 对 有 效 资 源 的 一 种 浪 费 因 此, 可 以 在 一 个 选 定 的 信 息 系 统 中 进 行 测 评, 其 他 相 关 信 息 系 统 可 以 直 接 重 用 这 些 测 评 结 果 4.5 使 用 方 法 本 标 准 第 5 章 到 第 8 章 分 别 描 述 了 第 一 级 信 息 系 统 第 二 级 信 息 系 统 第 三 级 信 息 系 统 和 第 四 级 信 息 系 统 所 有 单 元 测 评 的 内 容, 在 章 节 上 分 别 对 应 国 标 GB/T 22239-2008 的 第 5 章 到 第 8 章 在 国 标 GB/T 22239-2008 第 5 章 到 第 8 章 中, 各 章 的 二 级 目 录 都 分 为 安 全 技 术 和 安 全 管 理 两 部 分, 三 级 目 录 从 安 全 层 面 ( 如 物 理 安 全 网 络 安 全 主 机 安 全 等 ) 进 行 划 分 和 描 述, 四 级 目 录 按 照 安 全 控 制 点 进 行 划 分 和 描 述 ( 如 主 机 安 全 层 面 下 分 为 身 份 鉴 别 访 问 控 制 安 全 审 计 等 ), 第 五 级 目 录 是 每 一 个 安 全 控 制 点 下 面 2

包 括 的 具 体 安 全 要 求 项 ( 以 下 简 称 要 求 项, 这 些 要 求 项 在 本 标 准 中 被 称 为 测 评 指 标 ) 本 标 准 中 针 对 每 一 个 安 全 控 制 点 的 测 评 就 构 成 一 个 单 元 测 评, 单 元 测 评 中 的 每 一 个 具 体 测 评 实 施 要 求 项 ( 以 下 简 称 测 评 要 求 项 ) 是 与 安 全 控 制 点 下 面 所 包 括 的 要 求 项 ( 测 评 指 标 ) 相 对 应 的 在 对 每 一 要 求 项 进 行 测 评 时, 可 能 用 到 访 谈 检 查 和 测 试 三 种 测 试 方 法, 也 可 能 用 到 其 中 一 种 或 两 种, 为 了 描 述 简 洁, 在 测 评 要 求 项 中, 没 有 针 对 每 一 个 要 求 项 分 别 进 行 描 述, 而 是 对 具 有 相 同 测 评 方 法 的 多 个 要 求 项 进 行 了 合 并 描 述, 但 测 评 实 施 的 内 容 完 全 覆 盖 了 GB/T 22239-2008 中 所 有 要 求 项 的 测 评 要 求, 使 用 时, 应 当 从 单 元 测 评 的 测 评 实 施 中 抽 取 出 对 于 GB/T 22239-2008 中 每 一 个 要 求 项 的 测 评 要 求, 并 按 照 这 些 测 评 要 求 开 发 测 评 指 导 书, 以 规 范 和 指 导 安 全 等 级 测 评 活 动 测 评 过 程 中, 测 评 人 员 应 注 意 对 测 评 记 录 和 证 据 的 采 集 处 理 存 储 和 销 毁, 保 护 其 在 测 评 期 间 免 遭 破 坏 更 改 或 遗 失, 并 保 守 秘 密 测 评 的 最 终 输 出 是 测 评 报 告, 测 评 报 告 应 结 合 第 11 章 的 要 求 给 出 等 级 测 评 结 论 5 第 一 级 信 息 系 统 单 元 测 评 5.1 安 全 技 术 测 评 5.1.1 物 理 安 全 5.1.1.1 物 理 访 问 控 制 5.1.1.1.1 测 评 指 标 见 GB/T 22239-2008 5.1.1.1 5.1.1.1.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 了 解 部 署 了 哪 些 控 制 人 员 进 出 机 房 的 保 护 措 施 ; b) 应 检 查 是 否 有 专 人 负 责 机 房 的 出 入 控 制 且 有 进 入 机 房 人 员 的 登 记 记 录 5.1.1.1.3 结 果 判 定 如 果 5.1.1.1.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.1.2 防 盗 窃 和 防 破 坏 5.1.1.2.1 测 评 指 标 见 GB/T 22239-2008 5.1.1.2 5.1.1.2.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 了 解 采 取 了 哪 些 防 止 设 备 介 质 等 丢 失 的 保 护 措 施 ; b) 应 检 查 关 键 设 备 是 否 放 置 在 机 房 内 或 其 它 不 易 被 盗 窃 和 被 破 坏 的 可 控 范 围 内 ; c) 应 检 查 关 键 设 备 或 设 备 的 主 要 部 件 的 固 定 情 况, 查 看 其 是 否 不 易 被 移 动 或 被 搬 走, 是 否 设 置 明 显 的 不 易 除 去 的 标 记 5.1.1.2.3 结 果 判 定 如 果 5.1.1.2.2 b) 和 c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.1.3 防 雷 击 5.1.1.3.1 测 评 指 标 见 GB/T 22239-2008 5.1.1.3 5.1.1.3.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 机 房 建 筑 是 否 设 置 了 避 雷 装 置, 是 否 通 过 验 收 或 国 家 有 关 部 门 的 技 术 检 测 ; 3

4 GB/T XXXX XXXX b) 应 检 查 机 房 建 筑 是 否 有 避 雷 装 置 5.1.1.3.3 结 果 判 定 如 果 5.1.1.3.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.1.4 防 火 5.1.1.4.1 测 评 指 标 见 GB/T 22239-2008 5.1.1.4 5.1.1.4.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 机 房 是 否 设 置 了 灭 火 设 备, 是 否 制 定 了 有 关 机 房 消 防 的 管 理 制 度 和 消 防 预 案, 是 否 进 行 了 消 防 培 训 ; b) 应 检 查 机 房 是 否 设 置 了 灭 火 设 备, 灭 火 设 备 摆 放 位 置 是 否 合 理, 其 有 效 期 是 否 合 格 5.1.1.4.3 结 果 判 定 如 果 5.1.1.4.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.1.5 防 水 和 防 潮 5.1.1.5.1 测 评 指 标 见 GB/T 22239-2008 5.1.1.5 5.1.1.5.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 机 房 是 否 部 署 了 防 水 防 潮 措 施, 是 否 没 有 出 现 过 漏 水 和 返 潮 事 件 ; 如 果 机 房 内 有 上 / 下 水 管 安 装, 则 查 看 是 否 采 取 必 要 的 保 护 措 施 ; b) 应 检 查 穿 过 主 机 房 墙 壁 或 楼 板 的 管 道 是 否 采 取 必 要 的 防 渗 防 漏 等 防 水 保 护 措 施 ; c) 应 检 查 机 房 的 窗 户 屋 顶 和 墙 壁 等 是 否 未 出 现 过 漏 水 渗 透 和 返 潮 现 象, 机 房 及 其 环 境 是 否 不 存 在 明 显 的 漏 水 和 返 潮 的 威 胁 ; 如 果 出 现 漏 水 渗 透 和 返 潮 现 象 是 否 能 够 及 时 修 复 解 决 5.1.1.5.3 结 果 判 定 如 果 5.1.1.5.2 b) 和 c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.1.6 温 湿 度 控 制 5.1.1.6.1 测 评 指 标 见 GB/T 22239-2008 5.1.1.6 5.1.1.6.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 机 房 是 否 配 备 了 空 调 等 温 湿 度 控 制 设 施, 保 证 温 湿 度 能 够 满 足 计 算 机 设 备 运 行 的 要 求, 是 否 在 机 房 管 理 制 度 中 规 定 了 温 湿 度 控 制 的 要 求 ; b) 应 检 查 空 调 设 备 是 否 能 够 正 常 运 行, 检 查 机 房 温 湿 度 是 否 满 足 计 算 站 场 地 的 技 术 条 件 要 求 5.1.1.6.3 结 果 判 定 如 果 5.1.1.6.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.1.7 电 力 供 应 5.1.1.7.1 测 评 指 标 见 GB/T 22239-2008 5.1.1.7 5.1.1.7.2 测 评 实 施

a) 应 访 谈 物 理 安 全 负 责 人, 询 问 计 算 机 系 统 供 电 线 路 上 是 否 设 置 了 稳 压 器 和 过 电 压 防 护 设 备 ; b) 应 检 查 机 房, 查 看 计 算 机 系 统 供 电 线 路 上 是 否 设 置 了 稳 压 器 和 过 电 压 防 护 设 备, 这 些 设 备 是 否 正 常 运 行 5.1.1.7.3 结 果 判 定 如 果 5.1.1.7.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.2 网 络 安 全 5.1.2.1 结 构 安 全 5.1.2.1.1 测 评 指 标 见 GB/T 22239-2008 5.1.2.1 5.1.2.1.2 测 评 实 施 a) 应 访 谈 网 络 管 理 员, 询 问 关 键 网 络 设 备 的 业 务 处 理 能 力 是 否 满 足 基 本 业 务 需 求 ; b) 应 访 谈 网 络 管 理 员, 询 问 接 入 网 络 及 核 心 网 络 的 带 宽 是 否 满 足 基 本 业 务 需 要 ; c) 应 检 查 网 络 拓 扑 结 构 图, 查 看 其 与 当 前 运 行 的 实 际 网 络 系 统 是 否 一 致 5.1.2.1.3 结 果 判 定 a) 如 果 5.1.2.1.2 c) 中 缺 少 网 络 拓 扑 结 构 图, 则 为 否 定 ; b) 如 果 5.1.2.1.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.2.2 访 问 控 制 5.1.2.2.1 测 评 指 标 见 GB/T 22239-2008 5.1.2.2 5.1.2.2.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 网 络 访 问 控 制 的 措 施 有 哪 些 ; 询 问 网 络 访 问 控 制 设 备 具 备 哪 些 访 问 控 制 功 能 ; b) 应 检 查 边 界 网 络 设 备, 查 看 是 否 有 正 确 的 访 问 控 制 列 表, 以 通 过 源 地 址 目 的 地 址 源 端 口 目 的 端 口 协 议 等 进 行 网 络 数 据 流 控 制, 其 控 制 粒 度 是 否 至 少 为 用 户 组 5.1.2.2.3 结 果 判 定 如 果 5.1.2.2.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.2.3 网 络 设 备 防 护 5.1.2.3.1 测 评 指 标 见 GB/T 22239-2008 5.1.2.3 5.1.2.3.2 测 评 实 施 a) 应 访 谈 网 络 管 理 员, 询 问 关 键 网 络 设 备 的 防 护 措 施 有 哪 些 ; 询 问 关 键 网 络 设 备 的 登 录 和 验 证 方 式 做 过 何 种 配 置 ; 询 问 远 程 管 理 的 设 备 是 否 采 取 措 施 防 止 鉴 别 信 息 泄 漏 ; b) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 是 否 配 置 了 对 登 录 用 户 进 行 身 份 鉴 别 的 功 能 ; c) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 是 否 配 置 了 鉴 别 失 败 处 理 功 能 ; d) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 是 否 配 置 了 对 设 备 远 程 管 理 所 产 生 的 鉴 别 信 息 进 行 保 护 的 功 能 5.1.2.3.3 结 果 判 定 5

如 果 5.1.2.3.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.3 主 机 安 全 5.1.3.1 身 份 鉴 别 5.1.3.1.1 测 评 指 标 见 GB/T 22239-2008 5.1.3.1 5.1.3.1.2 测 评 实 施 a) 应 访 谈 系 统 管 理 员 和 数 据 库 管 理 员, 询 问 操 作 系 统 和 数 据 库 管 理 系 统 的 身 份 标 识 与 鉴 别 机 制 采 取 何 种 措 施 实 现 ; b) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 是 否 提 供 了 身 份 鉴 别 措 施 5.1.3.1.3 结 果 判 定 如 果 5.1.3.1.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.3.2 访 问 控 制 5.1.3.2.1 测 评 指 标 见 GB/T 22239-2008 5.1.3.2 5.1.3.2.2 测 评 实 施 a) 应 检 查 关 键 服 务 器 操 作 系 统 的 安 全 策 略, 查 看 是 否 对 重 要 文 件 的 访 问 权 限 进 行 了 限 制, 对 系 统 不 需 要 的 服 务 共 享 路 径 等 进 行 了 禁 用 或 删 除 ; b) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 匿 名 / 默 认 帐 户 的 访 问 权 限 是 否 已 被 禁 用 或 者 限 制, 是 否 删 除 了 系 统 中 多 余 的 过 期 的 以 及 共 享 的 帐 户 ; c) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统 的 权 限 设 置 情 况, 查 看 是 否 依 据 安 全 策 略 对 用 户 权 限 进 行 了 限 制 5.1.3.2.3 结 果 判 定 如 果 5.1.3.2.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.3.3 入 侵 防 范 5.1.3.3.1 测 评 指 标 见 GB/T 22239-2008 5.1.3.3 5.1.3.3.2 测 评 实 施 a) 应 访 谈 系 统 管 理 员, 询 问 操 作 系 统 中 所 安 装 的 系 统 组 件 和 应 用 程 序 是 否 都 是 必 须 的, 询 问 操 作 系 统 补 丁 更 新 的 方 式 和 周 期 ; b) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统 的 补 丁 是 否 得 到 了 及 时 更 新 5.1.3.3.3 结 果 判 定 如 果 5.1.3.3.2 b) 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.3.4 恶 意 代 码 防 范 5.1.3.4.1 测 评 指 标 见 GB/T 22239-2008 5.1.3.4 6

5.1.3.4.2 测 评 实 施 GB/T XXXX XXXX a) 应 访 谈 系 统 安 全 管 理 员, 询 问 主 机 系 统 是 否 采 取 恶 意 代 码 实 时 检 测 与 查 杀 措 施, 恶 意 代 码 实 时 检 测 与 查 杀 措 施 的 部 署 覆 盖 范 围 如 何 ; b) 应 检 查 关 键 服 务 器, 查 看 是 否 安 装 了 实 时 检 测 与 查 杀 恶 意 代 码 的 软 件 产 品 并 进 行 及 时 更 新 5.1.3.4.3 结 果 判 定 如 果 5.1.3.4.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.4 应 用 安 全 5.1.4.1 身 份 鉴 别 5.1.4.1.1 测 评 指 标 见 GB/T 22239-2008 5.1.4.1 5.1.4.1.2 测 评 实 施 a) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 有 专 用 的 登 录 控 制 模 块 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别, 具 体 采 取 的 鉴 别 措 施 是 什 么 ; b) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 具 有 登 录 失 败 处 理 功 能 ; c) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 采 取 措 施 防 止 鉴 别 信 息 传 输 过 程 中 被 窃 听, 具 体 措 施 是 什 么 ; d) 应 检 查 关 键 应 用 系 统, 查 看 其 是 否 提 供 身 份 标 识 和 鉴 别 功 能 ; e) 应 检 查 关 键 应 用 系 统, 查 看 其 提 供 的 登 录 失 败 处 理 功 能, 是 否 根 据 安 全 策 略 配 置 了 相 关 参 数 5.1.4.1.3 结 果 判 定 如 果 5.1.4.1.2 d) 和 e) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.4.2 访 问 控 制 5.1.4.2.1 测 评 指 标 见 GB/T 22239-2008 5.1.4.2 5.1.4.2.2 测 评 实 施 a) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 提 供 访 问 控 制 措 施, 以 及 具 体 措 施 和 访 问 控 制 策 略 有 哪 些 ; b) 应 检 查 关 键 应 用 系 统, 查 看 系 统 是 否 提 供 访 问 控 制 功 能 控 制 用 户 组 / 用 户 对 系 统 功 能 和 用 户 数 据 的 访 问 ; c) 应 检 查 关 键 应 用 系 统, 查 看 其 是 否 具 有 由 授 权 用 户 设 置 其 它 用 户 访 问 系 统 功 能 和 用 户 数 据 的 权 限 的 功 能, 是 否 限 制 默 认 用 户 的 访 问 权 限 ; d) 应 测 试 关 键 应 用 系 统, 可 通 过 以 不 同 权 限 的 用 户 登 录 系 统, 查 看 其 拥 有 的 权 限 是 否 与 系 统 赋 予 的 权 限 一 致, 验 证 应 用 系 统 访 问 控 制 功 能 是 否 有 效 5.1.4.2.3 结 果 判 定 如 果 5.1.4.2.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.4.3 通 信 完 整 性 5.1.4.3.1 测 评 指 标 见 GB/T 22239-2008 5.1.4.3 5.1.4.3.2 测 评 实 施 7

8 GB/T XXXX XXXX a) 应 访 谈 安 全 管 理 员, 询 问 应 用 系 统 是 否 具 有 在 数 据 传 输 过 程 中 保 护 其 完 整 性 的 措 施, 具 体 措 施 是 什 么 ; b) 应 检 查 设 计 或 验 收 文 档, 查 看 其 是 否 有 关 于 保 护 通 信 完 整 性 的 说 明 5.1.4.3.3 结 果 判 定 如 果 5.1.4.3.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.4.4 软 件 容 错 5.1.4.4.1 测 评 指 标 见 GB/T 22239-2008 5.1.4.4 5.1.4.4.2 测 评 实 施 a) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 具 有 保 证 软 件 容 错 能 力 的 措 施, 具 体 措 施 有 哪 些 ; b) 应 检 查 关 键 应 用 系 统, 查 看 应 用 系 统 是 否 具 有 对 人 机 接 口 输 入 或 通 信 接 口 输 入 的 数 据 进 行 有 效 性 检 验 的 功 能 ; c) 应 测 试 关 键 应 用 系 统, 可 通 过 对 人 机 接 口 输 入 的 不 同 长 度 或 格 式 的 数 据, 查 看 系 统 的 反 应, 验 证 系 统 人 机 接 口 有 效 性 检 验 功 能 是 否 正 确 5.1.4.4.3 结 果 判 定 如 果 5.1.4.4.2 b) 和 c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.1.5 数 据 安 全 及 备 份 恢 复 5.1.5.1 数 据 完 整 性 5.1.5.1.1 测 评 指 标 见 GB/T 22239-2008 5.1.5.1 5.1.5.1.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 关 键 应 用 系 统 用 户 数 据 在 传 输 过 程 中 是 否 有 完 整 性 保 证 措 施, 具 体 措 施 有 哪 些 ; b) 应 检 查 关 键 应 用 系 统, 查 看 其 是 否 配 备 检 测 重 要 用 户 数 据 在 传 输 过 程 中 完 整 性 受 到 破 坏 的 功 能 5.1.5.1.3 结 果 判 定 如 果 5.1.5.1.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.1.5.2 备 份 和 恢 复 5.1.5.2.1 测 评 指 标 见 GB/T 22239-2008 5.1.5.2 5.1.5.2.2 测 评 实 施 a) 应 访 谈 网 络 管 理 员, 询 问 是 否 对 网 络 设 备 中 的 配 置 文 件 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ; b) 应 访 谈 系 统 管 理 员, 询 问 是 否 对 操 作 系 统 中 的 重 要 信 息 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ; c) 应 访 谈 数 据 库 管 理 员, 询 问 是 否 对 数 据 库 管 理 系 统 中 的 关 键 数 据 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ;

d) 应 访 谈 安 全 管 理 员, 询 问 是 否 对 应 用 系 统 中 的 应 用 程 序 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ; e) 应 检 查 关 键 主 机 操 作 系 统 关 键 网 络 设 备 关 键 数 据 库 管 理 系 统 和 关 键 应 用 系 统, 查 看 其 是 否 提 供 备 份 和 恢 复 功 能, 备 份 和 恢 复 功 能 的 配 置 是 否 正 确, 并 且 查 看 实 际 备 份 结 果 是 否 与 备 份 策 略 一 致 5.1.5.2.3 结 果 判 定 如 果 5.1.5.2.2 e) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.2 安 全 管 理 测 评 5.2.1 安 全 管 理 制 度 5.2.1.1 管 理 制 度 5.2.1.1.1 测 评 指 标 见 GB/T 22239-2008 5.2.1.1 5.2.1.1.2 测 评 实 施 a) 应 检 查 各 项 安 全 管 理 制 度, 查 看 是 否 覆 盖 物 理 网 络 主 机 系 统 数 据 应 用 建 设 和 管 理 等 层 面 5.2.1.1.3 结 果 判 定 如 果 5.2.1.1.2 a) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.2.1.2 制 定 和 发 布 5.2.1.2.1 测 评 指 标 见 GB/T 22239-2008 5.2.1.2 5.2.1.2.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 是 否 有 专 人 负 责 制 定 安 全 管 理 制 度 ; b) 应 访 谈 安 全 管 理 制 度 制 修 订 人 员, 询 问 安 全 管 理 制 度 的 发 布 方 式, 是 否 能 够 发 布 到 相 关 人 员 手 中 5.2.1.2.3 结 果 判 定 如 果 5.2.1.2.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.2 安 全 管 理 机 构 5.2.2.1 岗 位 设 置 5.2.2.1.1 测 评 指 标 见 GB/T 22239-2008 5.2.2.1 5.2.2.1.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 信 息 系 统 设 置 了 哪 些 工 作 岗 位, 各 个 岗 位 的 职 责 分 工 是 否 明 确 ; b) 应 检 查 岗 位 职 责 分 工 文 档, 查 看 其 定 义 的 岗 位 职 责 中 是 否 包 括 系 统 管 理 员 网 络 管 理 员 安 全 管 理 员 等 重 要 岗 位 的 职 责 5.2.2.1.3 结 果 判 定 如 果 5.2.2.1.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 9

5.2.2.2 人 员 配 备 5.2.2.2.1 测 评 指 标 见 GB/T 22239-2008 5.2.2.2 5.2.2.2.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 各 个 安 全 管 理 岗 位 的 人 员 配 备 情 况 ; b) 应 检 查 安 全 管 理 各 岗 位 人 员 信 息 表, 查 看 其 是 否 明 确 机 房 管 理 员 系 统 管 理 员 网 络 管 理 员 和 安 全 管 理 员 等 重 要 岗 位 人 员 的 信 息 5.2.2.2.3 结 果 判 定 如 果 5.2.2.2.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.2.3 授 权 和 审 批 5.2.2.3.1 测 评 指 标 见 GB/T 22239-2008 5.2.2.3 5.2.2.3.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 其 是 否 需 要 对 信 息 系 统 中 的 关 键 活 动 进 行 审 批, 审 批 部 门 是 何 部 门, 批 准 人 是 何 人, 他 们 的 审 批 活 动 是 否 得 到 授 权 ; b) 应 访 谈 安 全 主 管, 询 问 其 对 关 键 活 动 的 审 批 范 围 5.2.2.3.3 结 果 判 定 如 果 5.2.2.3.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.2.4 沟 通 和 合 作 5.2.2.4.1 测 评 指 标 见 GB/T 22239-2008 5.2.2.4 5.2.2.4.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 是 否 经 常 与 公 安 机 关 电 信 公 司 和 兄 弟 单 位 联 系, 联 系 和 合 作 方 式 有 哪 些 ; b) 应 检 查 外 联 单 位 说 明 文 档, 查 看 外 联 单 位 是 否 包 含 公 安 机 关 电 信 公 司 及 兄 弟 单 位, 是 否 说 明 外 联 单 位 的 联 系 人 和 联 系 方 式 等 内 容 5.2.2.4.3 结 果 判 定 如 果 5.2.2.4.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.3 人 员 安 全 管 理 5.2.3.1 人 员 录 用 5.2.3.1.1 测 评 指 标 见 GB/T 22239-2008 5.2.3.1 5.2.3.1.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 是 否 有 专 门 的 部 门 或 人 员 负 责 人 员 的 录 用 工 作, 由 何 部 门 / 何 人 负 责 ; b) 应 访 谈 人 事 管 理 相 关 人 员, 询 问 在 人 员 录 用 时 对 人 员 条 件 有 哪 些 要 求, 是 否 对 被 录 用 人 的 身 份 和 专 业 资 格 进 行 审 查 ; 10

c) 应 检 查 人 员 录 用 要 求 管 理 文 档, 查 看 是 否 说 明 录 用 人 员 应 具 备 的 条 件 ( 如 学 历 学 位 要 求, 技 术 人 员 应 具 备 的 专 业 技 术 水 平, 管 理 人 员 应 具 备 的 安 全 管 理 知 识 等 ); d) 应 检 查 是 否 具 有 人 员 录 用 时 对 录 用 人 身 份 专 业 资 格 等 进 行 审 查 的 相 关 文 档 或 记 录, 查 看 是 否 记 录 审 查 内 容 和 审 查 结 果 等 5.2.3.1.3 结 果 判 定 如 果 5.2.3.1.2 a)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.3.2 人 员 离 岗 5.2.3.2.1 测 评 指 标 见 GB/T 22239-2008 5.2.3.2 5.2.3.2.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 是 否 及 时 终 止 离 岗 人 员 的 所 有 访 问 权 限, 取 回 各 种 身 份 证 件 钥 匙 徽 章 以 及 机 构 提 供 的 软 硬 件 设 备 等 ; b) 应 检 查 是 否 具 有 对 离 岗 人 员 的 安 全 处 理 记 录 ( 如 交 还 身 份 证 件 设 备 等 的 登 记 记 录 ) 5.2.3.2.3 结 果 判 定 如 果 5.2.3.2.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.3.3 安 全 意 识 教 育 和 培 训 5.2.3.3.1 测 评 指 标 见 GB/T 22239-2008 5.2.3.3 5.2.3.3.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 是 否 对 各 个 岗 位 人 员 进 行 安 全 教 育 和 岗 位 技 能 培 训, 告 知 相 关 的 安 全 知 识 安 全 责 任 和 惩 戒 措 施, 具 体 的 培 训 方 式 有 哪 些 ; b) 应 访 谈 安 全 管 理 员, 考 查 其 对 工 作 相 关 的 信 息 安 全 基 础 知 识 安 全 责 任 和 惩 戒 措 施 等 的 理 解 程 度 5.2.3.3.3 结 果 判 定 如 果 5.2.3.3.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.3.4 外 部 人 员 访 问 管 理 5.2.3.4.1 测 评 指 标 见 GB/T 22239-2008 5.2.3.4 5.2.3.4.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 对 外 部 人 员 访 问 重 要 区 域 ( 如 访 问 机 房 重 要 服 务 器 或 设 备 区 等 ) 采 取 了 哪 些 安 全 措 施, 是 否 经 有 关 部 门 或 负 责 人 批 准 才 能 访 问 ; b) 应 检 查 外 部 人 员 访 问 管 理 文 档, 查 看 是 否 有 对 外 部 人 员 访 问 机 房 等 重 要 区 域 应 经 过 相 关 部 门 或 负 责 人 批 准 的 内 容 5.2.3.4.3 结 果 判 定 如 果 5.2.3.4.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 11

5.2.4 系 统 建 设 管 理 5.2.4.1 系 统 定 级 5.2.4.1.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.1 5.2.4.1.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 确 定 信 息 系 统 安 全 保 护 等 级 的 方 法 是 否 参 照 定 级 指 南 的 指 导, 定 级 过 程 是 否 有 书 面 描 述 ; 定 级 结 果 是 否 获 得 了 相 关 部 门 的 批 准 ; b) 应 检 查 系 统 定 级 文 档, 查 看 文 档 是 否 明 确 信 息 系 统 的 边 界 和 信 息 系 统 的 安 全 保 护 等 级, 是 否 说 明 定 级 的 方 法 和 理 由, 查 看 定 级 结 果 是 否 有 相 关 部 门 的 批 准 盖 章 5.2.4.1.3 结 果 判 定 a) 5.2.4.1.2 a) 没 有 上 级 主 管 部 门 的, 如 果 有 本 单 位 信 息 安 全 主 管 领 导 的 批 准, 则 该 项 为 肯 定 ; b) 如 果 5.2.4.1.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.4.2 安 全 方 案 设 计 5.2.4.2.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.2 5.2.4.2.2 测 评 实 施 a) 应 访 谈 系 统 建 设 负 责 人, 询 问 是 否 根 据 系 统 的 安 全 级 别 选 择 基 本 安 全 措 施, 是 否 依 据 风 险 分 析 的 结 果 补 充 和 调 整 安 全 措 施, 具 体 做 过 哪 些 调 整 ; b) 应 检 查 系 统 的 安 全 方 案, 查 看 方 案 是 否 描 述 系 统 的 安 全 保 护 要 求, 是 否 详 细 描 述 了 系 统 的 安 全 策 略, 是 否 详 细 描 述 了 系 统 采 取 的 安 全 措 施 等 内 容 ; c) 应 检 查 系 统 的 详 细 设 计 方 案, 查 看 详 细 设 计 方 案 是 否 对 应 安 全 方 案 进 行 细 化, 是 否 有 安 全 建 设 方 案 和 安 全 产 品 采 购 方 案 5.2.4.2.3 结 果 判 定 如 5.2.4.2.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.2.4.3 产 品 采 购 和 使 用 5.2.4.3.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.3 5.2.4.3.2 测 评 实 施 a) 应 访 谈 系 统 建 设 负 责 人, 询 问 信 息 安 全 产 品 的 采 购 情 况, 是 否 有 产 品 采 购 清 单 指 导 产 品 采 购, 采 购 过 程 如 何 控 制 ; b) 应 访 谈 系 统 建 设 负 责 人, 询 问 系 统 使 用 的 有 关 信 息 安 全 产 品 是 否 符 合 国 家 的 有 关 规 定 5.2.4.3.3 结 果 判 定 如 果 5.2.4.3.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.4.4 自 行 软 件 开 发 5.2.4.4.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.4 12

5.2.4.4.2 测 评 实 施 a) 应 访 谈 系 统 建 设 负 责 人, 询 问 是 否 进 行 自 主 开 发 软 件, 自 主 开 发 软 件 是 否 在 独 立 的 模 拟 环 境 中 编 写 调 试 和 完 成 ; b) 应 访 谈 系 统 建 设 负 责 人, 询 问 软 件 设 计 相 关 文 档 是 否 由 专 人 负 责 保 管, 负 责 人 是 何 人 ; c) 应 检 查 是 否 具 有 软 件 设 计 相 关 文 档 5.2.4.4.3 结 果 判 定 如 果 5.2.4.4.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.4.5 外 包 软 件 开 发 5.2.4.5.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.5 5.2.4.5.2 测 评 实 施 a) 应 访 谈 系 统 建 设 负 责 人, 询 问 软 件 交 付 前 是 否 依 据 开 发 要 求 的 技 术 指 标 对 软 件 功 能 和 性 能 等 进 行 验 收 测 试, 软 件 安 装 之 前 是 否 检 测 软 件 中 的 恶 意 代 码 ; b) 应 检 查 是 否 具 有 需 求 分 析 说 明 书 软 件 设 计 说 明 书 软 件 操 作 手 册 等 软 件 开 发 文 档 和 使 用 指 南 5.2.4.5.3 结 果 判 定 如 果 5.2.4.5.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.4.6 工 程 实 施 5.2.4.6.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.6 5.2.4.6.2 测 评 实 施 应 访 谈 系 统 建 设 负 责 人, 询 问 是 否 指 定 专 门 部 门 或 人 员 对 工 程 实 施 过 程 进 行 进 度 和 质 量 控 制, 由 何 部 门 / 何 人 负 责 5.2.4.6.3 结 果 判 定 如 果 5.2.4.6.2 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.2.4.7 测 试 验 收 5.2.4.7.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.7 5.2.4.7.2 测 评 实 施 a) 应 访 谈 系 统 建 设 负 责 人, 询 问 在 信 息 系 统 建 设 完 成 后 是 否 对 其 进 行 安 全 性 测 试 验 收 ; b) 应 检 查 工 程 测 试 验 收 方 案, 查 看 其 是 否 明 确 说 明 参 与 测 试 的 部 门 人 员 测 试 验 收 内 容 现 场 操 作 过 程 等 内 容 ; c) 应 检 查 测 试 验 收 记 录 是 否 详 细 记 录 了 测 试 时 间 人 员 现 场 操 作 过 程 和 测 试 验 收 结 果 等 方 面 内 容 ; d) 应 检 查 是 否 具 有 系 统 测 试 验 收 报 告 5.2.4.7.3 结 果 判 定 如 果 5.2.4.7.2 a)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 13

5.2.4.8 系 统 交 付 5.2.4.8.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.8 5.2.4.8.2 测 评 实 施 a) 应 访 谈 系 统 建 设 负 责 人, 询 问 系 统 交 接 工 作 是 否 根 据 交 付 清 单 对 所 交 接 的 设 备 文 档 软 件 等 进 行 清 点 ; b) 应 访 谈 系 统 建 设 负 责 人, 询 问 目 前 的 信 息 系 统 是 否 由 内 部 人 员 独 立 运 行 维 护, 如 果 是, 系 统 正 式 运 行 前 是 否 对 运 行 维 护 人 员 进 行 过 培 训, 针 对 哪 些 方 面 进 行 过 培 训 ; c) 应 检 查 是 否 具 有 系 统 交 付 清 单 说 明 系 统 交 付 的 各 类 设 备 软 件 文 档 等 ; d) 应 检 查 是 否 具 有 系 统 建 设 文 档 指 导 用 户 进 行 系 统 运 维 的 文 档 系 统 培 训 手 册 等 5.2.4.8.3 结 果 判 定 如 果 5.2.4.8.2 a)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.4.9 安 全 服 务 商 选 择 5.2.4.9.1 测 评 指 标 见 GB/T 22239-2008 5.2.4.9 5.2.4.9.2 测 评 实 施 a) 应 访 谈 系 统 建 设 负 责 人, 询 问 信 息 系 统 选 择 的 安 全 服 务 商 有 哪 些, 是 否 符 合 国 家 有 关 规 定 ; b) 应 检 查 是 否 具 有 与 安 全 服 务 商 签 订 的 安 全 责 任 合 同 书 或 保 密 协 议 等 文 档, 查 看 其 内 容 是 否 包 含 保 密 范 围 安 全 责 任 违 约 责 任 协 议 的 有 效 期 限 和 责 任 人 的 签 字 等 5.2.4.9.3 结 果 判 定 如 果 5.2.4.9.2 a) 和 b) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.5 系 统 运 维 管 理 5.2.5.1 环 境 管 理 5.2.5.1.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.1 5.2.5.1.2 测 评 实 施 a) 应 访 谈 系 统 运 维 负 责 人, 询 问 是 否 有 专 门 的 部 门 或 人 员 对 机 房 基 础 设 施 进 行 定 期 维 护, 由 何 部 门 / 何 人 负 责, 维 护 周 期 多 长 ; b) 应 访 谈 系 统 运 维 负 责 人, 询 问 对 机 房 的 出 入 服 务 器 开 机 / 关 机 如 何 进 行 管 理 ; c) 应 检 查 机 房 安 全 管 理 制 度, 查 看 其 内 容 是 否 覆 盖 机 房 物 理 访 问 物 品 带 进 / 带 出 机 房 和 机 房 环 境 安 全 等 方 面 5.2.5.1.3 结 果 判 定 如 果 5.2.5.1.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.5.2 资 产 管 理 5.2.5.2.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.2 5.2.5.2.2 测 评 实 施 应 检 查 资 产 清 单, 查 看 其 内 容 是 否 覆 盖 资 产 责 任 部 门 责 任 人 所 处 位 置 和 重 要 程 度 等 方 面 ; 14

5.2.5.2.3 结 果 判 定 如 果 5.2.5.2.2 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.2.5.3 介 质 管 理 5.2.5.3.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.3 5.2.5.3.2 测 评 实 施 a) 应 访 谈 资 产 管 理 员, 询 问 介 质 的 存 放 环 境 是 否 采 取 保 护 措 施 防 止 介 质 被 盗 被 毁 介 质 内 存 储 信 息 被 未 授 权 修 改 以 及 非 法 泄 漏 等 ; b) 应 访 谈 资 产 管 理 员, 询 问 是 否 根 据 介 质 的 目 录 清 单 对 介 质 的 使 用 现 状 进 行 定 期 检 查 ; c) 应 检 查 介 质 管 理 记 录, 查 看 其 是 否 记 录 介 质 归 档 和 查 询 等 情 况 5.2.5.3.3 结 果 判 定 a) 如 果 5.2.5.3.2 a) 中 在 防 火 防 水 防 盗 等 方 面 均 有 措 施, 则 为 肯 定 ; b) 如 果 5.2.5.3.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.5.4 设 备 管 理 5.2.5.4.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.4 5.2.5.4.2 测 评 实 施 a) 应 访 谈 资 产 管 理 员, 询 问 是 否 有 专 门 的 部 门 或 人 员 对 各 种 设 备 线 路 进 行 定 期 维 护, 对 各 类 测 试 工 具 进 行 有 效 性 检 查, 由 何 部 门 / 何 人 负 责, 维 护 周 期 多 长 ; b) 应 访 谈 资 产 管 理 员, 询 问 是 否 对 设 备 选 用 的 各 个 环 节 ( 选 型 采 购 发 放 和 领 用 等 ) 进 行 审 批 控 制 ; c) 应 检 查 设 备 安 全 管 理 制 度, 查 看 其 内 容 是 否 明 确 对 各 种 软 硬 件 设 备 的 选 型 采 购 发 放 和 领 用 等 环 节 进 行 申 报 和 审 批 5.2.5.4.3 结 果 判 定 如 果 5.2.5.4.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.5.5 网 络 安 全 管 理 5.2.5.5.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.5 5.2.5.5.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 是 否 指 定 人 员 负 责 维 护 网 络 运 行 日 志 监 控 记 录 和 分 析 处 理 报 警 信 息 等 网 络 安 全 管 理 工 作 ; b) 应 访 谈 安 全 管 理 员, 询 问 是 否 定 期 对 网 络 设 备 进 行 漏 洞 扫 描, 扫 描 周 期 多 长, 发 现 漏 洞 是 否 及 时 修 补 ; c) 应 检 查 网 络 漏 洞 扫 描 报 告, 检 查 扫 描 时 间 间 隔 与 扫 描 周 期 是 否 一 致 5.2.5.5.3 结 果 判 定 如 果 5.2.5.5.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 15

5.2.5.6 系 统 安 全 管 理 5.2.5.6.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.6 5.2.5.6.2 测 评 实 施 a) 应 访 谈 系 统 管 理 员, 询 问 是 否 根 据 业 务 需 求 和 系 统 安 全 分 析 制 定 系 统 的 访 问 控 制 策 略, 控 制 分 配 信 息 系 统 文 件 及 服 务 的 访 问 权 限 ; 是 否 及 时 安 装 最 新 安 全 补 丁 程 序 和 进 行 漏 洞 修 补, 在 安 装 系 统 补 丁 前 是 否 对 重 要 文 件 进 行 备 份 ; b) 应 访 谈 安 全 管 理 员, 询 问 是 否 定 期 对 系 统 进 行 漏 洞 扫 描, 扫 描 周 期 多 长, 发 现 漏 洞 是 否 及 时 修 补 ; c) 应 检 查 系 统 漏 洞 扫 描 报 告, 检 查 扫 描 时 间 间 隔 与 扫 描 周 期 是 否 一 致 5.2.5.6.3 结 果 判 定 如 果 5.2.5.6.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 5.2.5.7 恶 意 代 码 防 范 管 理 5.2.5.7.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.7 5.2.5.7.2 测 评 实 施 应 访 谈 系 统 运 维 负 责 人, 询 问 是 否 对 员 工 进 行 基 本 恶 意 代 码 防 范 意 识 的 教 育, 是 否 告 知 应 及 时 升 级 软 件 版 本, 使 用 外 来 设 备 网 络 上 接 收 文 件 和 外 来 计 算 机 或 存 储 设 备 接 入 网 络 系 统 之 前 应 进 行 病 毒 检 查 等 5.2.5.7.3 结 果 判 定 如 果 5.2.5.7.2 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.2.5.8 备 份 与 恢 复 管 理 5.2.5.8.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.8 5.2.5.8.2 测 评 实 施 a) 应 访 谈 系 统 管 理 员 和 数 据 库 管 理 员, 询 问 是 否 识 别 出 需 要 定 期 备 份 的 业 务 信 息 系 统 数 据 和 软 件 系 统, 主 要 有 哪 些 ; b) 应 检 查 备 份 管 理 文 档, 查 看 其 是 否 明 确 备 份 方 式 备 份 频 度 存 储 介 质 和 保 存 期 等 方 面 内 容 5.2.5.8.3 结 果 判 定 如 果 5.2.5.8.2 a) 和 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 5.2.5.9 安 全 事 件 处 置 5.2.5.9.1 测 评 指 标 见 GB/T 22239-2008 5.2.5.9 5.2.5.9.2 测 评 实 施 a) 应 访 谈 系 统 运 维 负 责 人, 询 问 是 否 告 知 用 户 在 发 现 安 全 弱 点 和 可 疑 事 件 时 应 及 时 报 告 ; b) 应 检 查 安 全 事 件 报 告 和 处 置 管 理 制 度, 查 看 其 是 否 明 确 安 全 事 件 的 现 场 处 理 事 件 报 告 和 后 期 恢 复 的 管 理 职 责 16

5.2.5.9.3 结 果 判 定 GB/T XXXX XXXX 如 果 5.2.5.9.2 a) 和 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6 第 二 级 信 息 系 统 单 元 测 评 6.1 安 全 技 术 测 评 6.1.1 物 理 安 全 6.1.1.1 物 理 位 置 的 选 择 6.1.1.1.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.1 6.1.1.1.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 现 有 机 房 和 放 置 终 端 计 算 机 设 备 的 办 公 场 地 的 环 境 条 件 是 否 能 够 满 足 信 息 系 统 业 务 需 求 和 安 全 管 理 需 求, 是 否 具 有 基 本 的 防 震 防 风 和 防 雨 等 能 力 ; b) 应 检 查 机 房 和 办 公 场 地 是 否 在 具 有 防 震 防 风 和 防 雨 等 能 力 的 建 筑 内 6.1.1.1.3 结 果 判 定 如 果 6.1.1.1.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.1.2 物 理 访 问 控 制 6.1.1.2.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.2 6.1.1.2.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 了 解 部 署 了 哪 些 控 制 人 员 进 出 机 房 的 保 护 措 施 ; b) 应 检 查 机 房 安 全 管 理 制 度, 查 看 是 否 有 关 于 机 房 出 入 方 面 的 规 定 ; c) 应 检 查 机 房 出 入 口 是 否 有 专 人 值 守, 是 否 有 值 守 记 录 及 人 员 进 入 机 房 的 登 记 记 录 ; 检 查 机 房 是 否 不 存 在 专 人 值 守 之 外 的 其 他 出 入 口 ; d) 应 检 查 是 否 有 来 访 人 员 进 入 机 房 的 审 批 记 录, 查 看 审 批 记 录 是 否 包 括 来 访 人 员 的 访 问 范 围 6.1.1.2.3 结 果 判 定 如 果 6.1.1.2.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.1.3 防 盗 窃 和 防 破 环 6.1.1.3.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.3 6.1.1.3.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 了 解 采 取 了 哪 些 防 止 设 备 介 质 等 丢 失 的 保 护 措 施 ; b) 应 访 谈 机 房 维 护 人 员, 询 问 关 键 设 备 放 置 位 置 是 否 做 到 安 全 可 控, 设 备 或 主 要 部 件 是 否 进 行 了 固 定 和 标 记, 通 信 线 缆 是 否 铺 设 在 隐 蔽 处 ; 是 否 对 机 房 安 装 的 防 盗 报 警 设 施 并 定 期 进 行 维 护 检 查 ; c) 应 访 谈 资 产 管 理 员, 介 质 是 否 进 行 了 分 类 标 识 管 理, 介 质 是 否 存 放 在 介 质 库 或 档 案 室 内 进 行 管 理 ; d) 应 检 查 关 键 设 备 是 否 放 置 在 机 房 内 或 其 它 不 易 被 盗 窃 和 破 坏 的 可 控 范 围 内 ; 检 查 关 键 设 备 或 设 备 的 主 要 部 件 的 固 定 情 况, 查 看 其 是 否 不 易 被 移 动 或 被 搬 走, 是 否 设 置 明 显 的 不 易 除 去 的 标 记 ; 17

18 GB/T XXXX XXXX e) 应 检 查 通 信 线 缆 铺 设 是 否 在 隐 蔽 处 ; f) 应 检 查 机 房 防 盗 报 警 设 施 是 否 正 常 运 行, 并 查 看 是 否 有 运 行 和 报 警 记 录 ; g) 应 检 查 介 质 的 管 理 情 况, 查 看 介 质 是 否 有 正 确 的 分 类 标 识, 是 否 存 放 在 介 质 库 或 档 案 室 内 6.1.1.3.3 结 果 判 定 如 果 6.1.1.3.2 d)-g) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.1.4 防 雷 击 6.1.1.4.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.4 6.1.1.4.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 为 防 止 雷 击 事 件 导 致 重 要 设 备 被 破 坏 采 取 了 哪 些 防 护 措 施, 机 房 建 筑 是 否 设 置 了 避 雷 装 置, 是 否 通 过 验 收 或 国 家 有 关 部 门 的 技 术 检 测 ; 询 问 机 房 计 算 机 供 电 系 统 是 否 有 交 流 电 源 地 线 ; b) 应 检 查 机 房 建 筑 是 否 有 避 雷 装 置, 是 否 有 交 流 地 线 ; 6.1.1.4.3 结 果 判 定 如 果 6.1.1.4.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.1.5 防 火 6.1.1.5.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.5 6.1.1.5.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 机 房 是 否 设 置 了 灭 火 设 备, 是 否 设 置 了 火 灾 自 动 报 警 系 统, 是 否 有 人 负 责 维 护 该 系 统 的 运 行, 是 否 制 定 了 有 关 机 房 消 防 的 管 理 制 度 和 消 防 预 案, 是 否 进 行 了 消 防 培 训 ; b) 应 访 谈 机 房 维 护 人 员, 询 问 是 否 对 火 灾 自 动 报 警 系 统 定 期 进 行 检 查 和 维 护 ; c) 应 检 查 机 房 是 否 设 置 了 灭 火 设 备, 灭 火 设 备 摆 放 位 置 是 否 合 理, 其 有 效 期 是 否 合 格 ; 应 检 查 机 房 火 灾 自 动 报 警 系 统 是 否 正 常 工 作, 查 看 是 否 有 运 行 记 录 报 警 记 录 定 期 检 查 和 维 修 记 录 6.1.1.5.3 结 果 判 定 如 果 6.1.1.5.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.1.6 防 水 和 防 潮 6.1.1.6.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.6 6.1.1.6.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 机 房 是 否 部 署 了 防 水 防 潮 措 施 ; 如 果 机 房 内 有 上 / 下 水 管 安 装, 是 否 避 免 穿 过 屋 顶 和 活 动 地 板 下, 穿 过 墙 壁 和 楼 板 的 水 管 是 否 采 取 了 可 靠 的 保 护 措 施 ; 在 湿 度 较 高 的 地 区 或 季 节 是 否 有 人 负 责 机 房 防 水 防 潮 事 宜, 配 备 除 湿 装 置 ; b) 应 访 谈 机 房 维 护 人 员, 询 问 机 房 是 否 没 有 出 现 过 漏 水 和 返 潮 事 件 ; 如 果 机 房 内 有 上 / 下 水 管 安 装, 是 否 经 常 检 查 其 漏 水 情 况 ; 在 湿 度 较 高 地 区 或 季 节 是 否 有 人 负 责 机 房 防 水 防 潮 事 宜, 使 用 除 湿 装 置 除 湿 ; 如 果 出 现 机 房 水 蒸 气 结 露 和 地 下 积 水 的 转 移 与 渗 透 现 象 是 否 及 时 采 取 防 范 措 施 ;

c) 应 检 查 穿 过 主 机 房 墙 壁 或 楼 板 的 管 道 是 否 配 置 套 管, 管 道 与 套 管 之 间 是 否 采 取 可 靠 的 密 封 措 施 ; d) 应 检 查 机 房 的 窗 户 屋 顶 和 墙 壁 等 是 否 未 出 现 过 漏 水 渗 透 和 返 潮 现 象, 机 房 及 其 环 境 是 否 不 存 在 明 显 的 漏 水 和 返 潮 的 威 胁 ; 如 果 出 现 漏 水 渗 透 和 返 潮 现 象, 则 查 看 是 否 能 够 及 时 修 复 解 决 ; e) 对 湿 度 较 高 的 地 区, 应 检 查 机 房 是 否 有 湿 度 记 录, 是 否 有 除 湿 装 置 并 能 够 正 常 运 行, 是 否 有 防 止 出 现 机 房 地 下 积 水 的 转 移 与 渗 透 的 措 施, 是 否 有 防 水 防 潮 处 理 记 录 6.1.1.6.3 结 果 判 定 如 果 6.1.1.6.2 c)-e) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.1.7 防 静 电 6.1.1.7.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.7 6.1.1.7.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 关 键 设 备 是 否 采 取 用 必 要 的 防 静 电 措 施, 机 房 是 否 不 存 在 静 电 问 题 或 因 静 电 引 发 的 安 全 事 件 ; b) 应 检 查 关 键 设 备 是 否 有 安 全 接 地, 查 看 机 房 是 否 不 存 在 明 显 的 静 电 现 象 6.1.1.7.3 结 果 判 定 如 果 6.1.1.7.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.1.8 温 湿 度 控 制 6.1.1.8.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.8 6.1.1.8.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 机 房 是 否 配 备 了 温 湿 度 自 动 调 节 设 施, 保 证 温 湿 度 能 够 满 足 计 算 机 设 备 运 行 的 要 求, 是 否 在 机 房 管 理 制 度 中 规 定 了 温 湿 度 控 制 的 要 求, 是 否 有 人 负 责 此 项 工 作, 是 否 定 期 检 查 和 维 护 机 房 的 温 湿 度 自 动 调 节 设 施, 询 问 是 否 没 有 出 现 过 温 湿 度 影 响 系 统 运 行 的 事 件 ; b) 应 检 查 温 湿 度 自 动 调 节 设 施 是 否 能 够 正 常 运 行, 查 看 是 否 有 温 湿 度 记 录 运 行 记 录 和 维 护 记 录 ; 查 看 机 房 温 湿 度 是 否 满 足 计 算 站 场 地 的 技 术 条 件 要 求 6.1.1.8.3 结 果 判 定 如 果 6.1.1.8.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.1.9 电 力 供 应 6.1.1.9.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.9 6.1.1.9.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 计 算 机 系 统 供 电 线 路 上 是 否 设 置 了 稳 压 器 和 过 电 压 防 护 设 备 ; 是 否 设 置 了 短 期 备 用 电 源 设 备, 供 电 时 间 是 否 满 足 系 统 关 键 设 备 最 低 电 力 供 应 需 求 ; b) 应 检 查 机 房, 查 看 计 算 机 系 统 供 电 线 路 上 的 稳 压 器 过 电 压 防 护 设 备 和 短 期 备 用 电 源 设 备 是 否 正 常 运 行 ; 19

20 GB/T XXXX XXXX c) 应 检 查 是 否 有 稳 压 器 过 电 压 防 护 设 备 以 及 短 期 备 用 电 源 设 备 等 的 检 查 和 维 护 记 录 6.1.1.9.3 结 果 判 定 如 果 6.1.1.9.2 b) 和 c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.1.10 电 磁 防 护 6.1.1.10.1 测 评 指 标 见 GB/T 22239-2008 6.1.1.10 6.1.1.10.2 测 评 实 施 a) 应 访 谈 物 理 安 全 负 责 人, 询 问 电 源 线 和 通 信 线 缆 是 否 隔 离 铺 设, 是 否 没 有 出 现 过 因 电 磁 干 扰 等 问 题 引 发 的 故 障 ; b) 应 检 查 机 房 布 线, 查 看 是 否 做 到 电 源 线 和 通 信 线 缆 隔 离 6.1.1.10.3 结 果 判 定 如 果 6.1.1.10.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.2 网 络 安 全 6.1.2.1 结 构 安 全 6.1.2.1.1 测 评 指 标 见 GB/T 22239-2008 6.1.2.1 6.1.2.1.2 测 评 实 施 a) 应 访 谈 网 络 管 理 员, 询 问 关 键 网 络 设 备 的 性 能 以 及 目 前 业 务 高 峰 流 量 情 况 ; b) 应 访 谈 网 络 管 理 员, 询 问 网 段 划 分 情 况 以 及 划 分 原 则 ; 询 问 重 要 的 网 段 有 哪 些 ; c) 应 访 谈 网 络 管 理 员, 询 问 网 络 中 带 宽 控 制 情 况 以 及 带 宽 分 配 的 原 则 ; d) 应 检 查 网 络 拓 扑 结 构 图, 查 看 其 与 当 前 运 行 的 实 际 网 络 系 统 是 否 一 致 ; e) 应 检 查 网 络 设 计 或 验 收 文 档, 查 看 是 否 有 关 键 网 络 设 备 业 务 处 理 能 力 接 入 网 络 及 核 心 网 络 的 带 宽 满 足 业 务 高 峰 期 需 要 的 设 计 或 说 明 ; f) 应 检 查 网 络 设 计 或 验 收 文 档, 查 看 是 否 有 根 据 各 部 门 的 工 作 职 能 重 要 性 和 所 涉 及 信 息 的 重 要 程 度 等 因 素, 划 分 不 同 的 子 网 或 网 段, 并 按 照 方 便 管 理 和 控 制 的 原 则 为 各 子 网 和 网 段 分 配 地 址 段 的 设 计 或 描 述 6.1.2.1.3 结 果 判 定 a) 如 果 6.1.2.1.2 d)-f) 缺 少 相 应 文 档 资 料, 则 为 否 定 ; b) 如 果 6.1.2.1.2 d)-f) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.2.2 访 问 控 制 6.1.2.2.1 测 评 指 标 见 GB/T 22239-2008 6.1.2.2 6.1.2.2.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 网 络 访 问 控 制 措 施 有 哪 些 ; 询 问 访 问 控 制 策 略 的 设 计 原 则 是 什 么 ; 询 问 网 络 访 问 控 制 设 备 具 备 哪 些 访 问 控 制 功 能 ; 询 问 是 否 允 许 拨 号 访 问 网 络 ; b) 应 检 查 边 界 网 络 设 备, 查 看 其 是 否 根 据 会 话 状 态 信 息 对 数 据 流 进 行 控 制, 控 制 粒 度 是 否 为 网 段 级 ;

c) 应 检 查 边 界 网 络 设 备, 查 看 其 是 否 限 制 具 有 拨 号 访 问 权 限 的 用 户 数 量 ; GB/T XXXX XXXX d) 应 测 试 边 界 网 络 设 备, 可 通 过 试 图 访 问 未 授 权 的 资 源, 验 证 访 问 控 制 措 施 是 否 能 对 未 授 权 的 访 问 行 为 进 行 控 制, 控 制 粒 度 是 否 至 少 为 单 个 用 户 6.1.2.2.3 结 果 判 定 如 果 6.1.2.2.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.2.3 安 全 审 计 6.1.2.3.1 测 评 指 标 见 GB/T 22239-2008 6.1.2.3 6.1.2.3.2 测 评 实 施 a) 应 访 谈 安 全 审 计 员, 询 问 边 界 和 关 键 网 络 设 备 是 否 开 启 审 计 功 能, 审 计 内 容 包 括 哪 些 项 ; 询 问 审 计 记 录 的 主 要 内 容 有 哪 些 ; b) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 其 审 计 策 略 是 否 包 括 网 络 设 备 运 行 状 况 网 络 流 量 用 户 行 为 等 ; c) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 其 事 件 审 计 记 录 是 否 包 括 : 事 件 的 日 期 和 时 间 用 户 事 件 类 型 事 件 成 功 情 况 及 其 他 与 审 计 相 关 的 信 息 6.1.2.3.3 结 果 判 定 如 果 6.1.2.4.2 b) 和 c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.2.4 边 界 完 整 性 检 查 6.1.2.4.1 测 评 指 标 见 GB/T 22239-2008 6.1.2.4 6.1.2.4.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 是 否 对 内 部 用 户 私 自 连 接 到 外 部 网 络 的 行 为 ; b) 应 检 查 边 界 完 整 性 检 查 设 备, 查 看 是 否 正 确 设 置 了 对 网 络 内 部 用 户 私 自 连 接 到 外 部 网 络 的 行 为 进 行 有 效 监 控 的 配 置 ; c) 应 测 试 边 界 完 整 性 检 查 设 备, 验 证 其 是 否 能 够 有 效 发 现 非 法 外 联 的 行 为 6.1.2.4.3 结 果 判 定 如 果 6.1.2.5.2 b) 和 c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.2.5 入 侵 防 范 6.1.2.5.1 测 评 指 标 见 GB/T 22239-2008 6.1.2.5 6.1.2.5.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 网 络 入 侵 防 范 措 施 有 哪 些 ; 询 问 是 否 有 专 门 设 备 对 网 络 入 侵 进 行 防 范 ; b) 应 检 查 网 络 入 侵 防 范 设 备, 查 看 是 否 能 检 测 以 下 攻 击 行 为 : 端 口 扫 描 强 力 攻 击 木 马 后 门 攻 击 拒 绝 服 务 攻 击 缓 冲 区 溢 出 攻 击 IP 碎 片 攻 击 网 络 蠕 虫 攻 击 等 ; c) 应 检 查 网 络 入 侵 防 范 设 备, 查 看 其 规 则 库 是 否 为 最 新 ; d) 应 测 试 网 络 入 侵 防 范 设 备, 验 证 其 检 测 策 略 是 否 有 效 6.1.2.5.3 结 果 判 定 如 果 6.1.2.6.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 21

6.1.2.6 网 络 设 备 防 护 6.1.2.6.1 测 评 指 标 见 GB/T 22239-2008 6.1.2.6 6.1.2.6.2 测 评 实 施 a) 应 访 谈 网 络 管 理 员, 询 问 边 界 和 关 键 网 络 设 备 的 防 护 措 施 有 哪 些 ; 询 问 边 界 和 关 键 网 络 设 备 的 登 录 和 验 证 方 式 做 过 何 种 配 置 ; 询 问 远 程 管 理 的 设 备 是 否 采 取 措 施 防 止 鉴 别 信 息 被 窃 听 ; b) 应 访 谈 网 络 管 理 员, 询 问 网 络 设 备 的 口 令 策 略 是 什 么 ; c) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 是 否 配 置 了 对 登 录 用 户 进 行 身 份 鉴 别 的 功 能, 口 令 设 置 是 否 有 复 杂 度 和 定 期 修 改 要 求 ; d) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 是 否 配 置 了 鉴 别 失 败 处 理 功 能 ; e) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 是 否 配 置 了 对 设 备 远 程 管 理 所 产 生 的 鉴 别 信 息 进 行 保 护 的 功 能 ; f) 应 检 查 边 界 和 关 键 网 络 设 备, 查 看 是 否 对 网 络 设 备 管 理 员 登 录 地 址 进 行 限 制 ; g) 应 对 边 界 和 关 键 网 络 设 备 进 行 渗 透 测 试, 通 过 使 用 各 种 渗 透 测 试 技 术 对 网 络 设 备 进 行 渗 透 测 试, 验 证 网 络 设 备 防 护 能 力 是 否 符 合 要 求 6.1.2.6.3 结 果 判 定 如 果 6.1.2.6.2 c)-f) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.3 主 机 安 全 6.1.3.1 身 份 鉴 别 6.1.3.1.1 测 评 指 标 见 GB/T 22239-2008 6.1.3.1 6.1.3.1.2 测 评 实 施 a) 应 访 谈 系 统 管 理 员 和 数 据 库 管 理 员, 询 问 操 作 系 统 和 数 据 库 管 理 系 统 的 身 份 标 识 与 鉴 别 机 制 采 取 何 种 措 施 实 现 ; b) 应 访 谈 系 统 管 理 员 和 数 据 库 管 理 员, 询 问 对 操 作 系 统 和 数 据 库 管 理 系 统 是 否 采 用 了 远 程 管 理, 如 果 采 用 了 远 程 管 理, 查 看 是 否 采 用 了 防 止 鉴 别 信 息 在 网 络 传 输 过 程 中 被 窃 听 的 措 施 ; c) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统 帐 户 列 表, 查 看 管 理 员 用 户 名 分 配 是 否 唯 一 ; d) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 是 否 提 供 了 身 份 鉴 别 措 施, 其 身 份 鉴 别 信 息 是 否 具 有 不 易 被 冒 用 的 特 点, 如 对 用 户 登 录 口 令 的 最 小 长 度 复 杂 度 和 更 换 周 期 进 行 要 求 和 限 制 ; e) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 是 否 已 配 置 了 鉴 别 失 败 处 理 功 能, 设 置 了 非 法 登 录 次 数 的 限 制 值 ; 查 看 是 否 设 置 登 录 连 接 超 时 处 理 功 能, 如 自 动 退 出 6.1.3.1.3 结 果 判 定 如 果 6.1.3.1.2 b)-e) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.3.2 访 问 控 制 6.1.3.2.1 测 评 指 标 见 GB/T 22239-2008 6.1.3.2 22

6.1.3.2.2 测 评 实 施 GB/T XXXX XXXX a) 应 检 查 关 键 服 务 器 操 作 系 统 的 安 全 策 略, 查 看 是 否 对 重 要 文 件 的 访 问 权 限 进 行 了 限 制, 对 系 统 不 需 要 的 服 务 共 享 路 径 等 进 行 了 禁 用 或 删 除 ; b) 应 检 查 关 键 数 据 库 服 务 器 的 数 据 库 管 理 员 与 操 作 系 统 管 理 员 是 否 由 不 同 管 理 员 担 任 ; c) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 匿 名 / 默 认 用 户 的 访 问 权 限 是 否 已 被 禁 用 或 者 严 格 限 制, 是 否 删 除 了 系 统 中 多 余 的 过 期 的 以 及 共 享 的 帐 户 ; d) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统 的 权 限 设 置 情 况, 查 看 是 否 依 据 安 全 策 略 对 用 户 权 限 进 行 了 限 制 6.1.3.2.3 结 果 判 定 如 果 6.1.3.2.2 a)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.3.3 安 全 审 计 6.1.3.3.1 测 评 指 标 见 GB/T 22239-2008 6.1.3.3 6.1.3.3.2 测 评 实 施 a) 应 访 谈 安 全 审 计 员, 询 问 主 机 系 统 的 安 全 审 计 策 略 是 否 包 括 系 统 内 重 要 用 户 行 为 系 统 资 源 的 异 常 和 重 要 系 统 命 令 的 使 用 等 重 要 的 安 全 相 关 事 件 ; b) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 安 全 审 计 配 置 是 否 符 合 安 全 审 计 策 略 的 要 求 ; c) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 审 计 记 录 信 息 是 否 包 括 事 件 发 生 的 日 期 与 时 间 触 发 事 件 的 主 体 与 客 体 事 件 的 类 型 事 件 成 功 或 失 败 事 件 的 结 果 等 内 容 ; d) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统, 查 看 是 否 对 审 计 记 录 实 施 了 保 护 措 施, 使 其 避 免 受 到 未 预 期 的 删 除 修 改 或 覆 盖 等 ; 6.1.3.3.3 结 果 判 定 如 果 6.1.3.3.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.3.4 入 侵 防 范 6.1.3.4.1 测 评 指 标 见 GB/T 22239-2008 6.1.3.4 6.1.3.4.2 测 评 实 施 a) 应 访 谈 系 统 管 理 员, 询 问 操 作 系 统 中 所 安 装 的 系 统 组 件 和 应 用 程 序 是 否 都 是 必 须 的, 询 问 操 作 系 统 补 丁 更 新 的 方 式 和 周 期 ; b) 应 检 查 关 键 服 务 器 操 作 系 统 中 所 安 装 的 系 统 组 件 和 应 用 程 序 是 否 都 是 必 须 的 ; c) 应 检 查 是 否 设 置 了 专 门 的 升 级 服 务 器 实 现 对 关 键 服 务 器 操 作 系 统 补 丁 的 升 级 ; d) 应 检 查 关 键 服 务 器 操 作 系 统 和 关 键 数 据 库 管 理 系 统 的 补 丁 是 否 得 到 了 及 时 安 装 6.1.3.4.3 结 果 判 定 如 果 6.1.3.4.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.3.5 恶 意 代 码 防 范 6.1.3.5.1 测 评 指 标 见 GB/T 22239-2008 6.1.3.5 23

6.1.3.5.2 测 评 实 施 a) 应 访 谈 系 统 安 全 管 理 员, 询 问 主 机 系 统 是 否 采 取 恶 意 代 码 实 时 检 测 与 查 杀 措 施, 恶 意 代 码 实 时 检 测 与 查 杀 措 施 的 部 署 覆 盖 范 围 如 何 ; b) 应 检 查 关 键 服 务 器, 查 看 是 否 安 装 了 实 时 检 测 与 查 杀 恶 意 代 码 的 软 件 产 品 并 进 行 及 时 更 新 ; c) 应 检 查 防 恶 意 代 码 产 品 是 否 实 现 了 统 一 管 理 6.1.3.5.3 结 果 判 定 如 果 6.1.3.5.2 b)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.3.6 资 源 控 制 6.1.3.6.1 测 评 指 标 见 GB/T 22239-2008 6.1.3.6 6.1.3.6.2 测 评 实 施 a) 应 检 查 关 键 服 务 器 操 作 系 统, 查 看 是 否 设 定 终 端 接 入 方 式 网 络 地 址 范 围 等 条 件 限 制 终 端 登 录 ; b) 应 检 查 关 键 服 务 器 操 作 系 统, 查 看 是 否 设 置 了 单 个 用 户 对 系 统 资 源 的 最 大 或 最 小 使 用 限 度 ; c) 应 检 查 能 够 访 问 关 键 服 务 器 的 终 端 是 否 设 置 了 操 作 超 时 锁 定 的 配 置 6.1.3.6.3 结 果 判 定 如 果 6.1.3.6.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.4 应 用 安 全 6.1.4.1 身 份 鉴 别 6.1.4.1.1 测 评 指 标 见 GB/T 22239-2008 6.1.4.1 6.1.4.1.2 测 评 实 施 a) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 提 供 专 用 的 登 录 控 制 模 块 对 登 录 的 用 户 进 行 身 份 标 识 和 鉴 别, 具 体 措 施 有 哪 些 ; 系 统 采 取 何 种 措 施 防 止 身 份 鉴 别 信 息 被 冒 用 ; b) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 具 有 登 录 失 败 处 理 功 能 ; c) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 对 用 户 标 识 是 否 具 有 唯 一 性 ; d) 应 检 查 设 计 或 验 收 文 档, 查 看 其 是 否 有 系 统 采 用 了 保 证 唯 一 标 识 的 措 施 的 描 述 ; e) 应 检 查 关 键 应 用 系 统, 查 看 其 是 否 提 供 身 份 标 识 和 鉴 别 功 能 ; 查 看 其 身 份 鉴 别 信 息 是 否 具 有 不 易 被 冒 用 的 特 点 ; 其 鉴 别 信 息 复 杂 度 检 查 功 能 是 否 能 保 证 系 统 中 不 存 在 弱 口 令 等 ; f) 应 检 查 关 键 应 用 系 统, 查 看 其 提 供 的 登 录 失 败 处 理 功 能, 是 否 根 据 安 全 策 略 配 置 了 相 关 参 数 ; g) 应 测 试 关 键 应 用 系 统, 可 通 过 试 图 以 合 法 和 非 法 用 户 分 别 登 录 系 统, 查 看 是 否 成 功, 验 证 其 身 份 标 识 和 鉴 别 功 能 是 否 有 效 ; h) 应 测 试 关 键 应 用 系 统, 验 证 其 登 录 失 败 处 理 功 能 是 否 有 效 6.1.4.1.3 结 果 判 定 a) 如 果 6.1.4.1.2 d) 中 相 关 文 档 有 系 统 采 用 了 保 证 用 户 唯 一 性 标 识 的 措 施 的 描 述, 则 为 肯 定 ; b) 如 果 6.1.4.1.2 d)-h) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 24

6.1.4.2 访 问 控 制 6.1.4.2.1 测 评 指 标 见 GB/T 22239-2008 6.1.4.2 6.1.4.2.2 测 评 实 施 GB/T XXXX XXXX a) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 提 供 访 问 控 制 措 施, 以 及 具 体 措 施 和 访 问 控 制 策 略 有 哪 些, 访 问 控 制 的 粒 度 如 何 ; b) 应 检 查 关 键 应 用 系 统, 查 看 系 统 是 否 提 供 访 问 控 制 机 制 ; 是 否 依 据 安 全 策 略 控 制 用 户 对 客 体 的 访 问 ; c) 应 检 查 关 键 应 用 系 统, 查 看 其 访 问 控 制 的 覆 盖 范 围 是 否 包 括 与 信 息 安 全 直 接 相 关 的 主 体 客 体 及 它 们 之 间 的 操 作 ; 访 问 控 制 的 粒 度 是 否 达 到 主 体 为 用 户 级, 客 体 为 文 件 数 据 库 表 级 ; d) 应 检 查 关 键 应 用 系 统, 查 看 其 是 否 有 由 授 权 用 户 设 置 其 它 用 户 访 问 系 统 功 能 和 用 户 数 据 的 权 限 的 功 能, 是 否 限 制 默 认 用 户 的 访 问 权 限 ; e) 应 检 查 关 键 应 用 系 统, 查 看 系 统 是 否 授 予 不 同 帐 户 为 完 成 各 自 承 担 任 务 所 需 的 最 小 权 限, 特 权 用 户 的 权 限 是 否 分 离, 权 限 之 间 是 否 相 互 制 约 ; f) 应 测 试 关 键 应 用 系 统, 可 通 过 以 不 同 权 限 的 用 户 登 录 系 统, 查 看 其 拥 有 的 权 限 是 否 与 系 统 赋 予 的 权 限 一 致, 验 证 应 用 系 统 访 问 控 制 功 能 是 否 有 效 ; g) 应 测 试 关 键 应 用 系 统, 可 通 过 以 默 认 用 户 登 录 系 统, 并 进 行 一 些 合 法 和 非 法 操 作, 验 证 系 统 是 否 严 格 限 制 了 默 认 帐 户 的 访 问 权 限 6.1.4.2.3 结 果 判 定 如 果 6.1.4.2.2 b)-g) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.4.3 安 全 审 计 6.1.4.3.1 测 评 指 标 见 GB/T 22239-2008 6.1.4.3 6.1.4.3.2 测 评 实 施 a) 应 访 谈 安 全 审 计 员, 询 问 应 用 系 统 是 否 有 安 全 审 计 功 能 ; 对 事 件 进 行 审 计 的 选 择 要 求 和 策 略 是 什 么 ; 对 审 计 日 志 的 处 理 方 式 有 哪 些 ; b) 应 检 查 关 键 应 用 系 统, 查 看 其 当 前 审 计 范 围 是 否 覆 盖 到 每 个 用 户 ; c) 应 检 查 关 键 应 用 系 统, 查 看 其 审 计 策 略 是 否 覆 盖 系 统 内 重 要 的 安 全 相 关 事 件, 例 如, 用 户 标 识 与 鉴 别 访 问 控 制 的 所 有 操 作 记 录 重 要 用 户 行 为 系 统 资 源 的 异 常 使 用 重 要 系 统 命 令 的 使 用 等 ; d) 应 检 查 关 键 应 用 系 统, 查 看 其 审 计 记 录 信 息 是 否 包 括 事 件 发 生 的 日 期 与 时 间 触 发 事 件 的 主 体 与 客 体 事 件 的 类 型 事 件 成 功 或 失 败 身 份 鉴 别 事 件 中 请 求 的 来 源 事 件 的 结 果 等 内 容 ; e) 应 测 试 重 要 应 用 系 统, 在 应 用 系 统 上 试 图 产 生 一 些 重 要 的 安 全 相 关 事 件 ( 如 用 户 登 录 修 改 用 户 权 限 等 ), 查 看 应 用 系 统 是 否 对 其 进 行 了 审 计, 验 证 应 用 系 统 安 全 审 计 的 覆 盖 情 况 是 否 覆 盖 到 每 个 用 户 ; 如 果 进 行 了 审 计 则 查 看 审 计 记 录 内 容 是 否 包 含 事 件 的 日 期 时 间 发 起 者 信 息 类 型 描 述 和 结 果 等 ; f) 应 测 试 重 要 应 用 系 统, 试 图 非 授 权 删 除 修 改 或 覆 盖 审 计 记 录, 验 证 安 全 审 计 的 保 护 情 况 是 否 无 法 非 授 权 删 除 修 改 或 覆 盖 审 计 记 录 6.1.4.3.3 结 果 判 定 如 果 6.1.4.3.2 b)-f) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 25

26 GB/T XXXX XXXX 6.1.4.4 通 信 完 整 性 6.1.4.4.1 测 评 指 标 见 GB/T 22239-2008 6.1.4.4 6.1.4.4.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 应 用 系 统 是 否 具 有 在 数 据 传 输 过 程 中 保 护 其 完 整 性 的 措 施, 具 体 措 施 是 什 么 ; b) 应 检 查 设 计 或 验 收 文 档, 查 看 其 是 否 有 关 于 保 护 通 信 完 整 性 的 说 明, 如 果 有 则 查 看 文 档 中 描 述 的 保 护 措 施 是 否 与 依 据 验 证 码 判 断 对 方 数 据 包 的 有 效 性 的 措 施 相 一 致 ; c) 应 测 试 关 键 应 用 系 统, 可 通 过 获 取 通 信 双 方 的 数 据 包, 查 看 其 是 否 有 验 证 码 6.1.4.4.3 结 果 判 定 如 果 6.1.4.4.2 b) 和 c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.4.5 通 信 保 密 性 6.1.4.5.1 测 评 指 标 见 GB/T 22239-2008 6.1.4.5 6.1.4.5.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 应 用 系 统 数 据 在 通 信 过 程 中 是 否 采 取 保 密 措 施, 具 体 措 施 有 哪 些, 关 键 应 用 系 统 的 通 信 是 否 都 采 取 了 上 述 措 施 ; b) 应 测 试 关 键 应 用 系 统, 通 过 查 看 通 信 双 方 数 据 包 的 内 容, 查 看 系 统 是 否 能 在 通 信 双 方 建 立 连 接 之 前, 利 用 密 码 技 术 进 行 会 话 初 始 化 验 证 ; 系 统 在 通 信 过 程 中, 对 敏 感 信 息 字 段 进 行 加 密 的 功 能 是 否 有 效 6.1.4.5.3 结 果 判 定 如 果 6.1.4.5.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.4.6 软 件 容 错 6.1.4.6.1 测 评 指 标 见 GB/T 22239-2008 6.1.4.6 6.1.4.6.2 测 评 实 施 a) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 具 有 保 证 软 件 容 错 能 力 的 措 施, 具 体 措 施 有 哪 些 ; b) 应 检 查 关 键 应 用 系 统, 查 看 应 用 系 统 是 否 对 人 机 接 口 输 入 或 通 信 接 口 输 入 的 数 据 进 行 有 效 性 检 验 ; c) 应 测 试 关 键 应 用 系 统, 可 通 过 对 人 机 接 口 输 入 的 不 同 长 度 或 格 式 的 数 据, 查 看 系 统 的 反 应, 验 证 系 统 人 机 接 口 有 效 性 检 验 功 能 是 否 正 确 ; d) 应 测 试 关 键 应 用 系 统, 验 证 其 在 故 障 发 生 时 是 否 继 续 提 供 一 部 分 功 能, 确 保 能 够 实 施 必 要 的 措 施 6.1.4.6.3 结 果 判 定 如 果 6.1.4.6.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.4.7 资 源 控 制 6.1.4.7.1 测 评 指 标 见 GB/T 22239-2008 6.1.4.7

6.1.4.7.2 测 评 实 施 GB/T XXXX XXXX a) 应 访 谈 应 用 系 统 管 理 员, 询 问 应 用 系 统 是 否 有 资 源 控 制 的 措 施, 具 体 措 施 有 哪 些 ; b) 应 检 查 关 键 应 用 系 统, 查 看 系 统 是 否 有 最 大 并 发 会 话 连 接 数 的 限 制 ; c) 应 检 查 关 键 应 用 系 统, 查 看 系 统 是 否 对 单 个 帐 户 的 多 重 并 发 会 话 进 行 限 制 ; d) 应 测 试 重 要 应 用 系 统, 当 应 用 系 统 的 通 信 双 方 中 的 一 方 在 一 段 时 间 内 未 作 任 何 响 应, 查 看 另 一 方 是 否 能 够 自 动 结 束 会 话 6.1.4.7.3 结 果 判 定 如 果 6.1.4.7.2 b)-d) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.1.5 数 据 安 全 及 备 份 恢 复 6.1.5.1 数 据 完 整 性 6.1.5.1.1 测 评 指 标 见 GB/T 22239-2008 6.1.5.1 6.1.5.1.2 测 评 实 施 a) 应 访 谈 安 全 管 理 员, 询 问 应 用 系 统 的 鉴 别 信 息 和 重 要 业 务 数 据 在 传 输 过 程 中 是 否 有 完 整 性 保 证 措 施, 具 体 措 施 有 哪 些 ; b) 应 检 查 关 键 主 机 操 作 系 统 关 键 网 络 设 备 操 作 系 统 关 键 数 据 库 管 理 系 统 和 关 键 应 用 系 统, 查 看 其 是 否 配 备 检 测 鉴 别 信 息 和 重 要 业 务 数 据 在 传 输 过 程 中 完 整 性 受 到 破 坏 的 功 能 6.1.5.1.3 结 果 判 定 如 果 6.1.5.1.2 b) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.5.2 数 据 保 密 性 6.1.5.2.1 测 评 指 标 见 GB/T 22239-2008 6.1.5.2 6.1.5.2.2 测 评 实 施 a) 应 访 谈 网 络 管 理 员, 询 问 关 键 网 络 设 备 的 鉴 别 信 息 否 采 用 加 密 或 其 他 有 效 措 施 实 现 存 储 保 密 性 ; b) 应 访 谈 系 统 管 理 员, 询 问 关 键 主 机 操 作 系 统 的 鉴 别 信 息 否 采 用 加 密 或 其 他 有 效 措 施 实 现 存 储 保 密 性 ; c) 应 访 谈 数 据 库 管 理 员, 询 问 关 键 数 据 库 管 理 系 统 的 鉴 别 信 息 否 采 用 加 密 或 其 他 有 效 措 施 实 现 存 储 保 密 性 ; d) 应 访 谈 安 全 管 理 员, 询 问 关 键 应 用 系 统 的 鉴 别 信 息 否 采 用 加 密 或 其 他 有 效 措 施 实 现 存 储 保 密 性 ; e) 应 检 查 关 键 主 机 操 作 系 统 关 键 网 络 设 备 操 作 系 统 关 键 数 据 库 管 理 系 统 和 关 键 应 用 系 统, 查 看 其 鉴 别 信 息 否 采 用 加 密 或 其 他 有 效 措 施 实 现 存 储 保 密 性 6.1.5.2.3 结 果 判 定 如 果 6.1.5.2.2 e) 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 或 部 分 符 合 本 单 元 测 评 指 标 要 求 6.1.5.3 备 份 和 恢 复 6.1.5.3.1 测 评 指 标 见 GB/T 22239-2008 6.1.5.3 27

6.1.5.3.2 测 评 实 施 a) 应 访 谈 网 络 管 理 员, 询 问 是 否 对 网 络 设 备 中 的 配 置 文 件 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ; 是 否 提 供 关 键 网 络 设 备 通 信 线 路 的 硬 件 冗 余 ; b) 应 访 谈 系 统 管 理 员, 询 问 是 否 对 操 作 系 统 中 的 重 要 信 息 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ; 是 否 提 供 关 键 服 务 器 的 硬 件 冗 余 ; c) 应 访 谈 数 据 库 管 理 员, 询 问 是 否 对 数 据 库 管 理 系 统 中 的 关 键 数 据 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ; d) 应 访 谈 安 全 管 理 员, 询 问 是 否 对 应 用 系 统 中 的 应 用 程 序 进 行 备 份, 备 份 策 略 是 什 么 ; 当 其 受 到 破 坏 时, 恢 复 策 略 是 什 么 ; e) 应 检 查 关 键 主 机 操 作 系 统 关 键 网 络 设 备 关 键 数 据 库 管 理 系 统 和 关 键 应 用 系 统, 查 看 其 是 否 提 供 备 份 和 恢 复 功 能, 其 配 置 是 否 正 确, 并 且 查 看 其 备 份 结 果 是 否 与 备 份 策 略 一 致 ; f) 应 检 查 关 键 网 络 设 备 通 信 线 路 和 服 务 器 是 否 提 供 硬 件 冗 余 6.1.5.3.3 结 果 判 定 如 果 6.1.5.3.2 e) 和 f) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.2 安 全 管 理 测 评 6.2.1 安 全 管 理 制 度 6.2.1.1 管 理 制 度 6.2.1.1.1 测 评 指 标 见 GB/T 22239-2008 6.2.1.1 6.2.1.1.2 测 评 实 施 a) 应 检 查 信 息 安 全 工 作 的 总 体 方 针 和 安 全 策 略 文 件, 查 看 文 件 是 否 明 确 机 构 安 全 工 作 的 总 体 目 标 范 围 原 则 和 安 全 框 架 等 ; b) 应 检 查 各 项 安 全 管 理 制 度, 查 看 是 否 覆 盖 物 理 网 络 主 机 系 统 数 据 应 用 建 设 和 管 理 等 层 面 的 重 要 管 理 内 容 ; c) 应 检 查 是 否 具 有 重 要 管 理 操 作 的 操 作 规 程 ( 如 系 统 维 护 手 册 和 用 户 操 作 规 程 等 ) 6.2.1.1.3 结 果 判 定 如 果 6.2.1.1.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 6.2.1.2 制 定 和 发 布 6.2.1.2.1 测 评 指 标 见 GB/T 22239-2008 6.2.1.2 6.2.1.2.2 测 评 实 施 a) 应 访 谈 安 全 主 管, 询 问 是 否 有 专 门 的 部 门 或 人 员 负 责 制 定 安 全 管 理 制 度 ; b) 应 访 谈 安 全 管 理 制 度 制 修 订 人 员, 询 问 安 全 管 理 制 度 的 制 定 程 序 和 发 布 方 式, 是 否 对 制 定 的 安 全 管 理 制 度 进 行 论 证 和 审 定, 论 证 和 评 审 方 式 如 何 ; c) 应 检 查 管 理 制 度 评 审 记 录, 查 看 是 否 有 相 关 人 员 的 评 审 意 见 6.2.1.2.3 结 果 判 定 如 果 6.2.1.2.2 a)-c) 均 为 肯 定, 则 信 息 系 统 符 合 本 单 元 测 评 指 标 要 求, 否 则, 信 息 系 统 不 符 合 28