信息安全技术 信息系统安全等级保护测评要求.docx

《信息安全技术 信息系统安全等级保护测评要求.docx》由会员分享，可在线阅读，更多相关《信息安全技术 信息系统安全等级保护测评要求.docx（109页珍藏版）》请在课桌文档上搜索。

1、ICS35.0401.80GE中华人民共和家标准GB/TXXXXXXXX信息安全技术信息系统安全等级保护测评要求Inibrmationsecuritytechno1.ogy-Tcs1.ingandeva1.uationrequirenen1.forc1.assifiedprotectionOfinfornia1.ionsystem200X-XX-XX实施200X-XX-XX发布中华人民共和国国家质量监督检验检疫总局若启中国国家标准化管理委员会发布目次前III引IV1池田12规范性引用文件I3术谙和定义I4总则!4.1 测评坂则14.2 测评内容14.3 测评力度24.4 钻果爪用24.5 使用

2、方法25第级信息系统整元测评35.1 安全技术测评35.1.1 物理安全35.1.2 网络安全55.1.3 主机安全65.1.4 应用安全75.1.5 数据安全及名份快豆85.2 安全竹理测评95.2.1 安全管理捌度95.2.2 安全管理机构95.2.3 人属安全管理105.2.4 系统建设管理125.2.5 系统运难管理146第：媛信息系统小元测评176.1 安全技术测评176.1.1 物理安全176.1.2 网络安全206.1.3 主机安全226.1.4 应用安全246.1.5 数据安全及备份愦0276.2 安全管理3M坪286.2.1 安全管理嗣度286.2.2 安全管理机构296.2

3、.3 人员安全管理306.2.4 系统建设管理326.2.5 系统运锥管理357三级信息系统单元制评397.1 安全技术测评397.1.1 物理安全397.1.2 网络安全447.1.3 主机安全477.1.4 应用安全497.1.5 数据安全及爸份快打537.2 安全管理测评557.2.1 安全管理制度557.2.2 安全管理机构567.2.3 人员安全誉理597.2.4 系统建设管理617.2.5 原统运堆管理6S8维四级信息系统的元刊评718.1 安全技术测评718.1.1 物理安全718.1.2 M络安全768.1.3 主机安全798.1.4 应用安全828.1.5 数据安全及各份恢复

4、878.2 安全管理测评898.2.1 安全管理捌度898.2.2 安全管理机构90823人员安全管理938.2.4 系统建设管理958.2.5 系统运维管理999第五极信息系统单元测评106IO信息系统整体测评10610.1 概述10610.2 安全控制点间测评10610.3 层面间测评10610.4 区域间测评10710.5 系统结构安全测评107I1.等级测评结论10?11.1 各层面的测评结论10711.2 整体保护能力的测评结论107附录A（资料性附录）测评力度IWA1.测评方法的测评力度描述109A.2信息系统测评力度109!依据中华人民共和国计号机信息系统安全保护条例3（国务院1

5、47号令）、国冢信息化领导小组关于加强信息安全保障工作的意见B（中办发200327号）、关于信息系统安全等级保护工作的实施意见（公通字200466号）和信息安全等级保护管理办法3（公通字200743号）等有关文件要求，制定本标准，本标准是信息安全等级保护相关系列标准之一.与本标准相关的系列胡准包括：一GB/T22240-2008信息安全技术信息系统安全等级保护定级指南；GB/T222392008信息安全技术信息系统安全等级保护基本要求：GB/TAAAA-RAAA信息安全技术信息系统安全等蟆保护实柩指南。一般来说,信息系统需要籁多种安全措施进行踪合防范以降低其面临的安全风险.本标准针对格息系统中

6、的单项安全措施和多个安全措施的琮合防范.对应地提出单元测评和整体测评的技术要求,用以指9测评人员从信息安全等缎保护的珀度对信息系统进行测试评估。单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求.整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求，本标准给出了等级测评结论中应包括的主要内容.未规定给出测评结论的具体方法和出化指标.如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。在木标准文本中，黑体字的测评要求表示该要求出现在当前等婚而在低于当前等级信息系统的测评要求中没有出现过.IV信息系

7、统安全等级保护测评要求1 楚因本标准规定了对信息系统安全等级保妒状况进行安全测试评估的要求，包括对第一级信息系统、第二圾信息系统.第二级信息系统和第四级信息系统进行安全测试评怙的单元测评要求和信息系统整体测评要求，木标掂略去对第五级信息系统进行单元测评的具体内容要求，本标准适用于信息安全测评服务机构、信息系统的主管部门及运昔使用单位对信息系统安全等级保护状况进行的安全测试评估，信息安全监管职能部门依法诳行的信息安全等级保护监督依优可以多考使用.2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款.注日期的引用文件，其随后所有的修改单（不包括勘误的内容或修订版均不适用于本标掂，然

8、而，鼓励根据本标准达成1.议的各方研究是否可使用这些文件的最新版本.不注日期的引用文件.其最新版本适用于本标准.GB/T5271.8信息技术词汇第8部分：安全GB/T22239-2008信息安全技术信息系统安全等娘保护基本要求3 术语和定义GB/T5271.8和（；82223r2008所确立的以及下列术语和定义适用于本标准，3.1 测评力度testingandeva1.uationintensity测评工作实际投入力量的表征，可以由测评广度和深度来描述.4 总副4.1 测评原则3）客观性和公正性原则测评工作虽然不能完全摆蜕个人主张或判断,但.测W人员应当在没有偏见和最小主观判断情形下,按照测评

9、双方相互认可的测评方案，基于明确定义的刈评方法和过程，实胞测评活动.b）羟济性和可乘用性原则基于测评成本和工作复杂性考虑，鼓勘测评工作费用以前的测评结果,包括商业安全产品测评结果和信息系统先前的安全测评结果.所有重用的结果.那应基于这些结果还能适用干目前的系统,能反映目前系统的安全状态.c）可曳及性和可再现性原则无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的IR复执行都应该祖到同样的测评结果.可再现性体现在不同测评者执行相同测评的结果的一致性.可重复性体现在同一测评者录女执行相同测评的结果的一致性.d）符合性原则测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的

10、判断.测评实能过程应当使用正确的方法以确保其满足了测评指标的要求.4. 2测评内容信息系统安全等级测评主要包括单元测评和整体测评两部分.单元测评及等级测评工作的基本活动，每个单元测评包括测评指标、测评实施和结果判定三部分.其中.测评指标来源于GB/T22239-2008中的第五级目录中的各要求项（详见4.5节说明）测评实施描述测评过程中使用的具体测评方法、涉及的测评对象和具体测评取证过程的要求，结果判定描述测评员执行刈评实施并产生各种测评数据后，如何依据这些测评数掘来判定被网系统是否满足测评指标要求的原则和方法。整体测评是在单元测评的基础上，通过进一步分析信息系统的整体安全性，对信息系统实施的

11、综合安全测评。整体测评主要包括安全控制点间、层面间和区域间相互作用的安全测评以及系统结构的安全测评等。整体测评需要与信息系统的实际情况相结合，因此全面地给出集体测评要求的全部内容、具体实施过程和明确的结果判定方法是非常困难的.刈评人员应根据被测系统的实际情况，结合本标准的要求,实施整体测评.测评方法指测评人员在测评实施过程中所使用的方法，主要包括访谈、检变和测试三种测评方法。其中,访谈是指测评人员通过引导信息系统相关人员进行有目的的有针对性的）交流以帮助测评人员理斛、分析或取得证据的过程,检查是指测评人员通过对测评对象（如管理制度、操作记录、安全配置等）进行观察.连验、分析以格助测评人员理解、

12、分析或取得证据的过程,测试是测评人员使用预定的方法，工具使测评对象产生特定的行为,通过查看和分析结果以帮助测评人员获取证据的过程.测评对象指测评实施的对象，即测评过程中涉及到的信息系统的相关人员、制度文档、各类设备及其安全配置等.4.3 测评力度测评力度是在测评过程中实施测评工作的力度，反映测评的广度和i采度，体现为测评工作的实际投入程度.测评广度越大.测评实脩的葩眼越大，刈评实施包含的测评对象就越多：测评深度越深，越衢要在细节上展开，测评就越严格因此就越需要更名的投入.投入越多，测评力度就越强,测评就越有保证.测评的广丧和深度落实到访谈、检查和测试三种不同的测评方法上.他体现出测评实施过程中

13、访淡、检查和测试的投入程度的不同.信息安全等级保护要求不同安全保护等级的信息系统应具有不同的安全保护能力，涌足相应等级的保护要求。为了检蕤不同安全保护等级的信息系统是否具有相应等级的安全保护能力，是否满足相应等级的保护要求，僭要实施与其安全保护等级相适应的测评，付出相应的工作投入，达到应有的冽评力度。第一级到第四级佰恩系统的测评力度反映在访谈、检件和测试等匚种基本测评方法的测评广度和深僮上，落实在不同单元测评中具体的测评实脩上.不同安全保妒等欲的信息系统在总体上所对应的测评力度在附录A中描述.4.4 结果重用在信息系统中，有些安全控制可以不依赖于其所在的地点便可测评，即在其部潜到运行环境之前便

14、可以接受安全测评.一些商用安全产品的测评就属于这种安全测评.如果一个信息系统部署和安装在多个地点且系统具有一组共同的软件、硬件、固件等组成部分.对这些安全控制的测评可以集中在一个集成测试环境中实施.如果没有这种环境.则可以在其中一个偿定的运行地点实施.在其他运行地点的安全测评便可重用此测评结果。在估恩系统所有安全控制中,有一些安全控制与它所处于的运行环境紧密相关（如与人员或物理有关的某些安全控制），对其测评必须在分发到相应运行环境中才能进行.如果多个伯恩系统处在地域临近的封闭场地内,系统所属的机构在同一个领导层管埋之下,对这些安全控制在多个信息系统中进行曳复测评可能是对有效资源的一种浪费.因此

15、,可以在一个选定的信息系统中进行测评其他相关信息系统可以宜接重用这些测评结果.4.5 使用方法本标准第5章到第8堂分别描述了第一级信息系统、第：级信息系统、第三级信息系统和笫四级信息系统所有单元测评的内容，在章节上分别对应国标GB/T22239-2008的笫5拿到第8章，在国标GB/T22239-2008第5章到第8堂中，各章的.级目录都分为安全技术和安全管理两部分，三级目录从安全层面（如物理安全、网络安全、主机安全等）进行划分和描述，四级目录按照安全控制点进行划分和描述（如主机安全层面下分为身份鉴别、访问控制、安全审计等）,第五级目录是每一个安全控制点下面GBTXXXX-XXXX包括的具体安

16、全要求项（以下简称“要求项”.这些要求项在本标准中被称为“测评指标”）.本标准中针对每一个安全控制点的测评就构成一个中元测评，单元测评中的每一个具体测评实施要求项（以下简称“测评要求项”是与安全控制点下面所包括的要求项（测评指标）相对应的.在对每一要求顶进行测评时，可能用到访谈、桧查和测试三种测试方法,也可能用到其中种或两种,为了描述简洁,在测评要求项中，没有针对每个要求呼分别进行描述.而毡对具有相同测评方法的多个要求项进行了合并描述，但测评实施的内容完全横说了GB/T22239-200中所有要求理的刈评要求.使用时，应当从难元测评的测评实施中抽取出对于GBzH-22239-2008中每一个要

17、求J的测评要求，并按照这些测评要求开发测评指导书，以规范和指导安全等级测评活动.测评过程中，测评人员应注意对测评记录和证据的采集、处理、行储和销毁，保护其在测评期间免遭破坏、更改或遗失，并保守秘密.测评的蛇终输出是测评报告，测评报告应结合第I1.章的要求给出等级测评结论.5第一锻!息系统单元能评5.1安全技术测评5.1.1物理安全5. 1.1.1物理访问控制5. 1.1.1.1测评指标见GB/T22239-20085.1.1.1.5.1.1.1.2测评实施本项要求包括：a）应访谈物理安全负贵人,了解部署哪些控制人员进出机房的保护措施：b）应检查是否有专人负贡机房的出入控制且有进入机房人员的登记

18、记录.5.1.1.1,3结果判定taJ5.1.1.1.2b）为肯定，则信息系统符合本单元测评指标要求,否则，信息系统不符合或部分符合本胞元测评指标要求.5.1.1.2防盗窃和防破坏5. 1.1.2.1测评指标见GB/T22239-20085.1.1.2,5.1 .1.2.2测评实施本项要求包括：a）应访谈物理安全负贡人，了解我取了哪些防止设备、介质等丢失的保护措施：b）应检查关圾设备是否放置在机房内或其它不易被盗窃和被破坏的可控范围内：c）应检查关键设备或设备的主要部件的固定情况，查看其是否不易被移动或被撤走，是否设置明显的不易除去的标记.5.2 .1.2.3结果判定如果5.11.2.2b）和

19、C）均为用定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求.5.1.1.3防雷击5.1.1.3.1测评指标见GB/T22239-20085.1.1.3。5.1.1.3.2测评实施本项要求包括：a）应访谈物理安全负责人，御问机房建筑是否设置了避指装置，是否通过慌收或国家有关部门的技术检测：b）应检查机房建筑是否有避雷装置.5.1.1.3.3结果判定如果5.1.1.3.2b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求.5.1.1.4 防火1. 1.1.4.1测评指标见GB/T22239-20085.1.1.K5.

20、 1.1.4.2测评实施本项要求包括：a）应访读物理安全负而人，询问机房是否设汽了灭火设备，是否制定了有关机房消防的管理制度和消防我案，是否进行了消防培训：b）应检查机房是否设咒了灭火设备,灭火设备排放位置是否合理,其有效期是否合格.6. 1.1.4.3结果判定如果5.1.14.2a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本明元测评指标要求。5.1.1.5 防水和防潮1 .1.1.5.1测评指标见GBzT2223务20085.1.1.5,5 .1.1.5.2测评实施本项要求包括：a）应访谈物理安全负责人，询问机房是否部省了防水防潮措施，是否没有出现过海

21、水和返潮*件；如果机房内有上/下水管安装则查看是否采取必要的保护措6包b）应检查穿过主机房墙壁或楼板的管道是否采取必要的防沙防漏等防水保护措施：c）应检查机房的窗户、屋顶和墙壁等是否未出现过漏水、港透和返潮现象,机房及其环境是否不存在明显的询水和返潮的威胁：如果出现漏水、渗透和返潮现象是否能好及时修女斛决.5.1.1.5. 3结果判定如果5.1.1.5.2b）和C）均为肯定，则信息系统符合本单元测评指标要求,否则，信息系统不符合或部分符合本单元测评指标要求.1. 1.1.6温湿度控制5. 1.1.6.1测评指标JC1GBZT22239-20085.1.1.65.1.1.6. 2测评实施本项要求

22、包括：a）应访谈物理安全负责人，询问机房是否配备了空调等温湿度控制设施，保证湿湿度能算满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求：b）应检查空洞设备是否能够正常运行，检查机房图湿度是否满足计算站场地的技术条件要求，5.1.1.7. 1.1.6.3结果判定taJ5.1.1.6.2b）为肯定，则信息系统符合本单元测评指标要求,否则，信息系统不符合或部分符合本单元测评指标要求.5.1.1.7电力供应5.1.1.7.1测评指标见GB/T22239-20085.1.1.7,5.1.1.7.2测评实施本项要求包括：a）应访谈物理安全负说人.询问计算机系统供电线路上是否设置了稳压器

23、和过电压防护设备：b）应检查机房，查看计算机系统供电线路上是否设置了稔压器和过电压防护设备,这些设备是否正常运行.5. 1.1.7.3结果判定如果5.1.1.7.2b）为肯定.则信息系统符合本单元测评指标要求,否则.信息系统不符合或部分符合本单元测评指标要求，5. 1.2网络安全6. 1.2.1结构安全6.1.1.1.1 测评指标见GBZT2223920085.1.2.1.6.1.1.1.2 测评实施本底要求包括：a）应访谈网络管理员，询问关世网络设备的业务处埋能力是否满足基本业务襦求：b）应访谈同络管理员，询问接入网络及核心网络的带宽是否满足堪本业务需要：C）应检查网络拓扑结构图，有看其与当

24、前运行的实际网络系统是否一致，6.1.1.1.3 结果判定本校要求包括：a）如果5.1.2.1.2c）中缺少网络拓扑结构图，则为否定；b）如果5.1.2.12a-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求.5.1.2.2访问控制5.1.2.2.1测评指标见GB./T22239-20085.1.2.2,5.1.2.2.2测评实施本项要求包括：a）应访谈安全管理员，询问网络访问控牺的措施行哪些：询问网络访问控制设备具任哪些访问控制功能；b）应检查边界网络设的.查看是否有正确的访问控制列表,以通过源地址、目的地址、源端口、目的端口、办议等进行网络

25、数据流控制，其控制粒度是否至少为用户姐,5.1.2.2.3结果判定如果5.1222b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求.5.1.2.3网络设备防护5.1.2.3.1测评指标见GB/T22239-20085.1.2.3。5.1.2.3.2测评实施本项要求包括：a）应访谈网络管理员，询问关键网络设符的防护措施有哪些；询问关键网络设符的登录和股证方式做过何种配置：M问远程管埋的设备姑否采取措饰防止鉴别信恩泄漏：b）应检查边界和关域网络设备,皆看是否配跣了对登录用户进行身份鉴别的功能：c）应检杳边界和关键网络设备，ittfi是否配置了鉴别失败处

26、理功能；d）应检传边界和关键网络设备，杳看是否配过了对设备远程管理所产生的膝别信息进行保护的功能.5.1.2.3.3结果判定如果5.1.2.3.2b）d）均为肯定,则信息系统符合本单元测评指标要求,否则,信息系统不符合或部分符合本明元测评指标要求。5.1.3主机安全5.1.3.1身份鉴别5.1.3.1.1测评指标见GBZT22239-20085.1.3.I.5.1.3.1.2测评实施本项要求包括：）应访该系统管埋员和数据库管埋员，沏问操作系统和数抵际管理系统的身份标识与鉴别机制采取何种措施实现：b）应检交关槌服务器操作系统和关键数据库管理系统，查看是否提供了身份鉴别措施。5.1.3.1.3结果

27、判定如果5.1.3.1.2b）为肯定，则信息系统符合本的元测评指标要求,否则.信息系统不符合或部分符合本单元测评指标要求。5.1.3.2访问控制5.1.3.2.1测评指标见GB/T22239-20085.1.3.2.5.1.3.2.2测评实施本项要求包括：a）应检查关犍服务器操作系统的安全策略.连看是否对理要文件的访问权限进行了限制,对系统不需要的眼务、共享路径等进行了禁用或删除：b）应检更关键服务潺操作系统和关键数据库管理系统，查杳匿名/默认帐户的访问权限是否已被禁用或拧限制，是否删除了系统中多余的、过期的以及共享的帐户：C）应检查关键服务器操作系统和关谴数据库管理系统的权限设置情况,查看是

28、否依据安全策略对用户权限进行了限制。5.1.3.2.3结果判定如果51.3.2.2a）-c）均为泞定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求.5.1.3.3入侵防范5.1.3.3.1测评指标见GBZT22239-20085.1.3.3。5.1.3.3.2测评实施檎要求包括：a）应访谈系统管理员，泡问操作系统中所安装的系统祖件和应用程序是否都是必须的，泡河操作系统补丁更新的方式和展期；b）应检查关键服务器操作系统和关键数据库管埋系统的补丁是否得到了及时更新.5.1,3.3.3结果判定如果5.1.3.3.2b）件定，则信息系统符合本单元测普指标要求，否则

29、，信息系统不符合或部分符合本单元冽评指标要求.5.1.3.4恶意代码防范5.1.3.4.1测评指标见GB/T22239-20085.1.3.4.5.1.3.4.2测评实施本项要求包括：a）应访淡系统安全管理员,询问主机系统是否果取恶意代码实时检测与查杀措施.恶造代码实时检测与杳杀措施的部署里盖范的如何：b）应检食关锭服务器，也看是否安装了实时检测与杳杀恶意代码的软件产品并进行及时更新，5.1.3.4.3结果判定如果5.1.3.4.2b）为肯定.则信息系统符合本单元测评指标要求,否则.信息系统不符合或部分符合本堆元测评指标要求.5.1.4应用安全5. 1.4.1身份鉴别5.1.1.1.1 测评指

30、标见GB/T22239-20085.1.4.1.5.1.1.1.2 测评实施本底要求包括：a）应访谈应用系统管理员,询问应用系统是否有专用的登录捽制模块对登录的用户进行身份标识和鉴别，具体采取的鉴别措施是什么；b）应访谈应用系统管Ft!员，询问应用系统是否具有登录失败处理功能：c）应访谈应用系统管理员，闻问应用系统是否采取措施防止鉴别信息传输过程中被冏听,具体措施是什么；d）应检查关谨应用系统，查看其是否提供身份标识和鉴别功能：e）应检企关键应用系统，杳行其提供的守录失败处理功能，是否根据安全策略配置了相关参数，5.1.1.1.3 结果判定如果5.1.4.1.2d）和e）均为肯定,则信息系统符

31、合本的元测评指标要求.否则,信息系统不符合或郃分符合本单元测评指标要求.5.1.4.2访问控制5.1,4.2.1测评指标J1.GBZT22239-20085.1.425.1.4.2.2测评实施本要求包括：a）应访谈应用系统管理员,询问应用系统是否提供访问控制措施，以及具体措施和访问控制策略有哪些：b）应检杳美键应用系统，自看系统是否提供访问控制功能控制用户祖/用户对系统功能和用户数据的访问：c）应检杳关键应用系统，杳看其是否具有由授权用户设置其它用户访问系统功能和用户数据的权限的功能，是否限制默认用户的访问权限：d）应测试关谯应用系统，可通过以不同权限的用户登录系统.查看其拥彳I的权限是否与系

32、统赋予的权限一致，险证应用系统访问控制功能是否有效.5.1.4,2.3结果判定如果5.1.4.2.2b）d）均为肯定.则信息系统符合本胞元测评指标要求.否则.信息系统不符合或部分符合本单元测评指标要求.5.1.4.3通信完整性5.1,4.3.1测评指标见GB/T22239-20085.1.4.35.1.4.3.2测评实施趣要求包括：n）应访谈安全管理员,询问应用系统是否具有在数据传输过程中保护其完整性的措施,具体措施是什么：b）应检查设计或验文档，查看其是否有关于保妒通信完整性的说明.5.1.4.3.3结果判定如果5.1.4.3.2b）为内定,则信息系统符合本单元测评指标要求,否则.信息系统不

33、符合或部分符合本单元测评指标要求.5.1.4.4软件容错5.1.4.4.1测评指标见GB/T22239-20085.1.4.4.5.1.4.4.2测评实施本项要求包括：a）应访谈应用系统管理员，询问应用系统是否具有保证软件容错能力的措施，具体措施有曜些：b）应检查关械应用系统,查看应用系统是否具有对人机接口愉入或通信接I1给入的数据进行有效性检验的功能：C）应测试关键应用系统，可通过对人机接口输入的不同长度或格式的数据.查看系统的反应，验证系统人机接口有效性检脸功能是否正确.5.1.4.4.3结果判定如果5.1.4.4.2b）和C）均为肯定.则信息系统符合本单元测评指标要求.否则.信息系统不符

34、合或部分符合本单元测评指标要求.51.5数据安全及备份恢复5.1.51数据完卷性5.1.5.1.1测评指标WGBZT22239-20085.1.5.1.5.1.5.1.2测评实施本底要求包括：a）应访谈安全管理员.询问关键应用系统用户数据在传始过程中是否有完整性保证措施,具体措施行哪些：b）应检杳关键应用系统，查看其是否配备依洲重要用户数据在传输过程中完整性受到破坏的功能。5.1.5.1.3结果判定如果5.1.5.1.2b）为肯定，则信息系统符合本单元测评指标要求，否则,伯息系统不符合或部分符合本中元测评指标要求。5.1.5.2备份和恢复5.1.5.2.1测评指标见CWT22239-2008S

35、.1.5.2.5.1.5.2.2测评实施本校要求包括：a）应访谈网络管理员，询问是否刻网络设备中的配置文件迸行备份，法份策略是什么：当其受到破坏时,恢亚策略是什么：b）应访谈系统管理员，询问是否对操作系统中的重要信息进行备价，需份策略是什么：当其殳到岐坏时，恢现策珞是什么；c）应访淡数据库管理员，询问是否对数据库管理系统中的关键数据进行备份，备份策略是什么：当其受到破坏时,快更策略是什么：d）应访谈安全管理员，询问是否对应用系统中的应用程序进行备份，备份策略是什么：当其受到破坏时，恢更策略是什么：e）应依注关谯主机操作系统、关键网络设法、关键数据库管理系统和关键应用系统，杳看其是否提供备份和恢

36、凝功能，备份和恢发功能的配Ht是否正的，并且查看实际符份结果是否与备价策略一致.5.1.5.2.3结果判定如果5.1.5.2.2。）为肯定，则信息系统符合本维元浏评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2安全管理测评5.2.1安全管理制度5. 2.1.1管理制度6. 2,1.1.1测评指标见GBZT2223920085.2.1.U7. 2.1.1.2测评实施本项要求包括：a）应检杳各项安全管理制度，也看是否覆盖物理、网络、主机系统、数据、应用、建设和管理等层面.8. 2.1.1.3结果列定如果5.2.I.1.2a）为肯定，则信息系统符合本单元测评指标要求，否则.信息系

37、统不符合或都分符合本单元测评指标要求。5. 2,1.2制定和发布6. 2.1.2.1测评指标-GB/T2223920085.2.1.2.5.2.1.2.2测评实做本项要求包括：a）应访谈安全主管，询问是否有专人负责制定安全管理制度：b）应访谈安全管理制度制、蟋订人员，询问安全管理制度的发布方式，是否能鲂发布到相关人员手中。5.2.1.2.3结果判定如果5.2.1.2.2a）和b）均为肯定，则信息系统符合本单元测评指标要求,否则，信息系统不符合或部分符合本单元测评指标要求.5.2.2安全管理机构5.2.2.1岗位设置5.2.2.1.1测评指标见GBZT22239-20085.2.2.15.2.2

38、.1.2测评实施本项要求包括：a）应访谈安全主管，沏问估恩系统设置了哪些工作岗位，各个岗位的职员分工是否明fi:b）应检在讲位职而分工文档，在看其定义的岗位职货中是否包括系统管理显、网络管理员、安全管理员等桑要岗位的职费，5.2.2.1.3结果判定15R5.2.2.1.2a）和h）均为肯定,则信息系统符合本单元测评指惊要求,否则，信息系统不符合或部分符合木单元浏评指标要求。5.2.2.2人员配备5.2.2.2.1测评指标见GBZT22239-20085.2.2.2.5.2.2.2.2测评实施本项要求包括：a）应访谈安全主管，询问各个安全管理岗位的人仍配备情况：b）应检杳安全管理各词位人员信息去

39、，含看其是否明确机房管理员、系统管理员、网络管理员和安全管理员等重要岗位人员的信息.5.2.2.2.3结果判定如果5.2.2.2.2a）和b）均为肯定.则信息系统符合本的元测评指标要求.否则,信息系统不符合或部分符合本单元测评指标要求。5.2.2.3授权和审批5.2.2.3.1测评指标见GBZT2223920085.2.2.3.5.2.2.3.2测评实旗本项要求包括：a）应访谈安全主管，询问其是否需要财信息系统中的关键活动进行审批，审批部门是何部门，批准人是何人,他们的审批活动是否好到授权：b）应访谈安全主管.询问其对关键活动的审枇范阚.5.2.2.3.3结果判定如果5.22.3.2a）和b均

40、为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求.5.2.2.4沟通和合作5.2.2.4.1测评指标见GB/T22239-20085.2.2.4。5.2.2.4.2测评实施本项要求包括：a）应访谈安全主管.询网是否经常与公安机关、电信公司和兄弟的位联系,联系和合作方式行序些；b）应检置外联单位说明文档，也看外联单位是否包含公安机关、电信公司及兄弟单位，是否说明外联单位的联系人和联系方式等内容.5.2.2.4.3结果判定15K5.2.2.J.2a）和b）均为肯定，则伯恩系统符合本单元测评指标要求，否则，佰息系统不符合或部分符合木单元测评指标要求。5.2.

41、3人员安全管理5.2.3.1人员录用5.2.3.1.1测评指标见GB/T22239-20085.2.3.I.5.2.3.1.2测评实施本项要求包括：a）应访谈安全主管询问是否有专门的部门或人员负贲人员的录用工作,由何部门/何人负责：b）应访谈人事管理相关人员.询问在人员录用时对人员条件有用些要求,是否对被录用人的身份和业资格进行审有：IOc）应检iS人员录用要求管理文档，查看是否说明录用人员应具备的条件（如学历、学位要求.技术人员应具备的专业技术水平，管理人员应具备的安全管现知识等）：d）应检杳是否具有人员录用时对录用人身份、+业资格等进行审杳的相关文档或记录，查看是否记录审查内容和审查结果等

42、.5. 2.3.1.3结果判定如果5.2.3.1.2a）-d）均为肯定，则估息系统符合本单元测评指标要求，否则.伯恩系统不符合或部分符合木单元浏评指标要求。5. 2.3.2人员商岗6. 2.3.2.1测评指标见GBZT2223920085.2.3.2.7. 2.3.2.2测评实施本校要求包括：a）应访诙安全主管，询问是否及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、微章以及机内提供的软现件设备等：b）应检查是否具有对离岗人员的安全处理记录（如交还身份证件、设备等的登记记录）.8. 23.2.3结果判定如果5.2.3.2.2a）和b）均为肯定，则信息系统符合本单元测评指标要求,否则，信

43、息系统不符合或部分符合本单元测评指标要求.9. 2.3.3安全意识教育和培训10. 2.3.3.1测评指标见GB/T22239-20085.2.3.3。11. 2.3.3.2测评实施梓要求包括：a）应访谈安全主管，询问是否对各个谒位人员诳行安全数百和岗位技能培训,告知相关的安全知识、安全费什和惩戒措施，具体的培训方式有哪咚；b）应访谈安全管理员，考杏其对工作相关的信息安全夔础知识、安全贡任和惩戒措施等的理解程度.12. 2.3.3.3结果判定如果5.2.3.3.2a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合木单元测评指标要求。5.2.3.4外郃人员访问管

44、理5.2.3.4.1测评指标见GBZT2223920085.2.345.2.3.4.2测评实施本项要求包括：a）应访谈安全管理员，询问对外部人员访问重要区域（如访问机房、重要服务器或设备区等）来取了哪些安全措施,是否经有关部门或负说人批准才能访问：b）应检查外部人员访问管理文档，近百是否有对外部人员访问机房等重要区域应般过相关部门或负责人批准的内容，5.2.3.4,3结果判定1.5.2.3.4.2a）和b）均为泞定，则信息系统符合本单元测评指标要求,否则，信息系统不符合或部分符合本单元测评指标要求.5. 2.4系统建设管理6. 2.4.1系统定级7. 2.4.1.1测评指标见GBzT22239

45、-20085.2.4.1.8. 2.4.1.2测评实施本项要求包括：a）应访谈安全主管，询问确定信息系统安全保护等级的方法是否参照定级指曲的指V,定级过程是否有书面描述：定级结果是否获得了相关部门的批准：b）应检查系统定级文档，交看文档是否明确信息系统的边界和信息系统的安全保护等级，是否说明定级的方法和理由，杳看定级结果是否有相关部门的批准萩章。9. 2.4.1.3结果判定本项要求包括：a）5,241.2a）没有上级主管部门的，如果有本单位信息安全主管领导的批准,则该项为肯定；b）如果5.2.4.1.2n和b均为肯定,则信息系统符合本的元测评指标要求，否则,信息系统不符合或部分符合本尊元测评指标要求，5. 2.4.2安全方案设计6. 2,4.2.1测评指标见GB/T22239-20085.2.4.2.7. 2.4.2.2测评实施本项要求包括：a）应访谈系统建设负贡人，询问是否根据系统的安全级别选择味本安全措施，是否依据风险分析的结果补充和阿整安全措施，具体做过哪些网整：b）应检查系统的安全方案,查看方案是否描述系统的安全保护要求,是否详细描述了系统的安全策略，是否详细描述了系统采取的安全措施等内容；c）应检查系统的详细改计方案,查看详细设计方案是否对应安全方案进行细化,是否布安全建设方案和安全产品采购方案.8. 2.4.2.3结果判定如5.2