ISCCC 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表

ISCCC-QOT-0462-B/1 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表審查員簽名： 日期： 中國(guó)信息安全認(rèn)證中心 第 1 頁(yè) 共 8 頁(yè)信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表組織名稱 深圳市脈山龍信息技術(shù)股份有限公司 申請(qǐng)類別/級(jí)別 安全集成/一級(jí)審核時(shí)間 2015.9.8-9.9 受審核部門/人員 集成服務(wù)部/李青、丁杰，綜合管理中心 /李婷審核結(jié)果序號(hào) 要點(diǎn) 條款 需提供證明材料 符合不符合需觀察審核記錄1.B1.1.1 a) 調(diào)研客戶背景信息，采集系統(tǒng)建設(shè)需求和建設(shè)目標(biāo)，明確功能、性能及安全性要求。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的設(shè)計(jì)方案里，調(diào)研了用戶背景信息、總體設(shè)計(jì)目標(biāo)、明確了功能、性能及安全性的要求。2. B1.1.1 b) 基于系統(tǒng)建設(shè)需求，提出產(chǎn)品選型方案和建設(shè)預(yù)算。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的設(shè)計(jì)方案及投標(biāo)書里，基于系統(tǒng)建設(shè)需求，提出了入侵防御系統(tǒng)、郵件安全網(wǎng)關(guān)和服務(wù)器選型等內(nèi)容，并有項(xiàng)目投標(biāo)報(bào)價(jià)。3.集成準(zhǔn)備-需求調(diào)研與分析B1.1.1 c) 結(jié)合系統(tǒng)建設(shè)和安全需求，與客戶、設(shè)計(jì)、開發(fā)等充分溝通，達(dá)成共識(shí)并形成記錄。抽查項(xiàng)目案例，驗(yàn)證準(zhǔn)備階段控制程序文件的落實(shí)情況，包括明確工作內(nèi)容、流程、方法、文檔模板，內(nèi)容至少包括需求調(diào)研、分析、審核，產(chǎn)品選型，財(cái)務(wù)預(yù)算。提供投標(biāo)文件、項(xiàng)目文檔等證明。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目,公司通過(guò)郵件形式與客戶進(jìn)行方案設(shè)計(jì)等方面的溝通。ISCCC-QOT-0462-B/1 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表審查員簽名： 日期： 中國(guó)信息安全認(rèn)證中心 第 2 頁(yè) 共 8 頁(yè)序號(hào) 要點(diǎn) 條款 需提供證明材料審核結(jié)果審核記錄符合不符合需觀察4.B2.1.1 a) 僅二級(jí) /一級(jí)要求： 準(zhǔn)確識(shí)別和綜合分析系統(tǒng)在保密性、完整性、可用性、可靠性等方面的安全需求，提出系統(tǒng)安全保障策略和建議。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的設(shè)計(jì)方案里，提出項(xiàng)目的可擴(kuò)充性、可管理性、高安全性、高性能等方面的要求。5.B2.1.1 b) 僅二級(jí)/一級(jí)要求：基于客戶需求和投入能力，開展需求分析，編制需求分析報(bào)告。查驗(yàn)項(xiàng)目案例中系統(tǒng)安全需求分析報(bào)告，驗(yàn)證內(nèi)容是否覆蓋審核條款要求。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的設(shè)計(jì)方案中包括了需求分析的內(nèi)容。6.B3.1.1 僅一級(jí)要求：協(xié)助客戶有效識(shí)別系統(tǒng)建設(shè)過(guò)程中的政策、法律和約束條件,有效規(guī)避商業(yè)風(fēng)險(xiǎn)和泄密事件。結(jié)合項(xiàng)目案例，查驗(yàn)安全集成項(xiàng)目風(fēng)險(xiǎn)控制要求。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目設(shè)計(jì)方案，方案中通過(guò)培訓(xùn)協(xié)助客戶認(rèn)識(shí)系統(tǒng)建設(shè)過(guò)程中的信息安全方面的相關(guān)知識(shí)培訓(xùn)，但對(duì)有效規(guī)避商業(yè)風(fēng)險(xiǎn)和泄密事件的內(nèi)容不完善。7.B1.1.2 a) 與客戶、供應(yīng)商簽訂服務(wù)協(xié)議，明確范圍、目標(biāo)、時(shí)間、內(nèi)容、金額、質(zhì)量和輸出等。驗(yàn)證項(xiàng)目合同管理辦法，抽查項(xiàng)目合同及保密協(xié)議。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的合同，明確了項(xiàng)目范圍、時(shí)間、內(nèi)容、金額、質(zhì)量和輸出。8.集成準(zhǔn)備-簽訂服務(wù)協(xié)議 B3.1.2 僅一級(jí)要求：建立安全集成服務(wù)級(jí)別管理程序，簽訂服務(wù)級(jí)別協(xié)議。結(jié)合案例抽查，驗(yàn)證服務(wù)級(jí)別管理程序、服務(wù)級(jí)別協(xié)議。 查閱了長(zhǎng)城基金 IT 運(yùn)維及遠(yuǎn)程監(jiān)視服務(wù)項(xiàng)目 ，簽訂了服務(wù)級(jí)別協(xié)議。9. 方案設(shè)計(jì)B1.2 a/b) 根據(jù)系統(tǒng)建設(shè)安全需求，編制安全集成技術(shù)方案。依據(jù)技術(shù)方案，編制安全集成實(shí)施方案，明確人員、進(jìn)抽查實(shí)際案例，驗(yàn)證項(xiàng)目方案設(shè)計(jì)階段控制程序文件的落實(shí)情況，包括明確工作內(nèi)容、流程、文檔模板，內(nèi)容查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的設(shè)計(jì)方案和實(shí)施方案，明確了人員、進(jìn)度、質(zhì)量、溝通、風(fēng)險(xiǎn)ISCCC-QOT-0462-B/1 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表審查員簽名： 日期： 中國(guó)信息安全認(rèn)證中心 第 3 頁(yè) 共 8 頁(yè)序號(hào) 要點(diǎn) 條款 需提供證明材料審核結(jié)果審核記錄符合不符合需觀察度、質(zhì)量、溝通、風(fēng)險(xiǎn)等方面要求。 應(yīng)覆蓋審核條款的要求。項(xiàng)目技術(shù)方案、實(shí)施方案。方面的要求。10.B2.2 a) 僅二級(jí)/一級(jí)要求：結(jié)合需求分析和客戶在保障系統(tǒng)安全方面的投入能力，提出系統(tǒng)建設(shè)安全設(shè)計(jì)說(shuō)明書，明確系統(tǒng)架構(gòu)、產(chǎn)品選型、產(chǎn)品功能、性能及配置等參數(shù)。驗(yàn)證項(xiàng)目方案設(shè)計(jì)階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款要求。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的投標(biāo)書里明確了系統(tǒng)架構(gòu)、產(chǎn)品選型、產(chǎn)品功能、性能及配置等參數(shù)。11.B2.2 b) 僅二級(jí) /一級(jí)要求： 組織客戶及相關(guān)技術(shù)專家對(duì)技術(shù)方案和實(shí)施方案進(jìn)行論證，確認(rèn)是否滿足系統(tǒng)功能、性能和安全性要求。驗(yàn)證項(xiàng)目管理審核程序，包括明確工作內(nèi)容、過(guò)程、方法、文檔模板，內(nèi)容應(yīng)覆蓋審核條款要求。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的項(xiàng)目方案探討會(huì)會(huì)議紀(jì)要，與客戶和客戶方的技術(shù)專家確認(rèn)了項(xiàng)目方案的方案、性能和安全方面的要求。12. B2.2 c) 僅二級(jí)/一級(jí)要求：對(duì)項(xiàng)目組及第三方配合人員進(jìn)行業(yè)務(wù)和技能培訓(xùn)。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的工程項(xiàng)目培訓(xùn)記錄，對(duì)項(xiàng)目組成員進(jìn)行了業(yè)務(wù)和技能培訓(xùn)。13. B2.2 d) 僅二級(jí) /一級(jí)要求： 依據(jù)技術(shù)方案具體指標(biāo)要求，制定系統(tǒng)測(cè)試計(jì)劃。驗(yàn)證項(xiàng)目方案設(shè)計(jì)階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款要求。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目 ，根據(jù)技術(shù)方案制定了測(cè)試計(jì)劃。14.B3.2 a) 僅一級(jí)要求：結(jié)合項(xiàng)目需要，編制安全集成項(xiàng)目施工手冊(cè)和作業(yè)指導(dǎo)書。驗(yàn)證項(xiàng)目方案設(shè)計(jì)階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目 ，根據(jù)控制程序文件制定了項(xiàng)目實(shí)施方案。ISCCC-QOT-0462-B/1 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表審查員簽名： 日期： 中國(guó)信息安全認(rèn)證中心 第 4 頁(yè) 共 8 頁(yè)序號(hào) 要點(diǎn) 條款 需提供證明材料審核結(jié)果審核記錄符合不符合需觀察15.B3.2 b) 僅一級(jí)要求： 新建系統(tǒng)，建設(shè)實(shí)施過(guò)程應(yīng)重點(diǎn)關(guān)注信息系統(tǒng)的功能、性能和安全性等要求。系統(tǒng)改造，還應(yīng)考慮改造前技術(shù)測(cè)試驗(yàn)證及在實(shí)施失敗后的回退措施。技術(shù)測(cè)試驗(yàn)證需要考慮新舊系統(tǒng)兼容問(wèn)題，包括網(wǎng)絡(luò)兼容、系統(tǒng)兼容、應(yīng)用兼容等。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的測(cè)試報(bào)告中對(duì)項(xiàng)目中用到的網(wǎng)絡(luò)、防火墻、服務(wù)器存儲(chǔ)和負(fù)載均衡等設(shè)備都進(jìn)行了兼容性測(cè)試。16. 方案設(shè)計(jì)B3.2 c) 僅一級(jí)要求：基于安全集成項(xiàng)目需求和進(jìn)度計(jì)劃，編制信息安全產(chǎn)品和工具定制開發(fā)計(jì)劃。驗(yàn)證項(xiàng)目方案設(shè)計(jì)階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。組織自主開發(fā)的信息安全產(chǎn)品、平臺(tái)和工具清單。查閱了長(zhǎng)城基金 IT 運(yùn)維及遠(yuǎn)程監(jiān)視服務(wù)項(xiàng)目中運(yùn)用了公司自主開發(fā)的脈山龍數(shù)據(jù)中心遠(yuǎn)程智能運(yùn)維平臺(tái)。17.B1.3.1 b) 項(xiàng)目實(shí)施人員按時(shí)提交施工記錄和工程日志，及時(shí)向項(xiàng)目經(jīng)理匯報(bào)項(xiàng)目進(jìn)度。驗(yàn)證項(xiàng)目建設(shè)實(shí)施階段控制程序文件，包括工作內(nèi)容、過(guò)程、方法、文檔模板，內(nèi)容應(yīng)覆蓋審核條款的要求。項(xiàng)目施工記錄。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目 ，公司的工程師通過(guò)會(huì)議及郵件方式匯報(bào)項(xiàng)目進(jìn)度。18.建設(shè)實(shí)施-實(shí)施集成 B2.3.1 a/b) 僅二級(jí) /一級(jí)要求： 產(chǎn)品、設(shè)備安裝調(diào)試過(guò)程中，應(yīng)完整妥善記錄相關(guān)信息，并提交完工報(bào)告。驗(yàn)證項(xiàng)目建設(shè)實(shí)施階段控制程序，覆蓋審核條款要求。查驗(yàn)安裝調(diào)試記錄、項(xiàng)目完工報(bào)告。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目中的安裝調(diào)試記錄表，記錄了項(xiàng)目設(shè)備的調(diào)試時(shí)間、人員等內(nèi)容。但記錄人員無(wú)簽字確認(rèn)。19. 建設(shè)實(shí)施-監(jiān)督管理 B2.3.2 僅二級(jí)/一級(jí)要求：建立客戶滿意度調(diào)查機(jī)制，并對(duì)調(diào)查結(jié)果進(jìn)行分析。 驗(yàn)證項(xiàng)目建設(shè)實(shí)施階段控制程序文件，覆蓋審核條款的要求。滿意度調(diào)查記 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目及數(shù)據(jù)收集與分析ISCCC-QOT-0462-B/1 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表審查員簽名： 日期： 中國(guó)信息安全認(rèn)證中心 第 5 頁(yè) 共 8 頁(yè)序號(hào) 要點(diǎn) 條款 需提供證明材料審核結(jié)果審核記錄符合不符合需觀察錄。 程序，針對(duì)每個(gè)項(xiàng)目有滿意度調(diào)查表，并根據(jù)程序文件定期統(tǒng)計(jì)分析。20.B3.3.2 僅一級(jí)要求：定期對(duì)項(xiàng)目實(shí)施情況進(jìn)行審核，采取適當(dāng)措施，控制項(xiàng)目風(fēng)險(xiǎn)。驗(yàn)證項(xiàng)目管理審核程序，覆蓋審核條款的要求，項(xiàng)目審核與質(zhì)量控制文檔。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的項(xiàng)目風(fēng)險(xiǎn)管理文檔，對(duì)項(xiàng)目制定了相應(yīng)的措施控制風(fēng)險(xiǎn)，但內(nèi)容不夠細(xì)化。21. B1.4.1 a) 依據(jù)項(xiàng)目技術(shù)方案和測(cè)試計(jì)劃，對(duì)系統(tǒng)進(jìn)行聯(lián)調(diào)和系統(tǒng)測(cè)試。驗(yàn)證項(xiàng)目安全保障階段控制程序文件，包括明確工作內(nèi)容、過(guò)程、方法、文檔模板，內(nèi)容應(yīng)覆蓋審核條款的要求。測(cè)試方案、計(jì)劃、記錄。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目依據(jù)項(xiàng)目方案和測(cè)試計(jì)劃對(duì)系統(tǒng)中所運(yùn)用到的設(shè)備進(jìn)行聯(lián)調(diào)和系統(tǒng)測(cè)試。22.B2.4.1 a) 僅二級(jí) /一級(jí)要求 ：系統(tǒng)測(cè)試完成后，制定系統(tǒng)測(cè)試報(bào)告，并提交客戶。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的測(cè)試報(bào)告通過(guò)郵件形式提交給客戶。23.B2.4.1 b) 僅二級(jí)/一級(jí)要求：結(jié)合項(xiàng)目需要提出初驗(yàn)申請(qǐng)，組織客戶及相關(guān)方對(duì)項(xiàng)目進(jìn)行初驗(yàn)，并提交初驗(yàn)報(bào)告。驗(yàn)證項(xiàng)目安全保障階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。測(cè)試報(bào)告、初驗(yàn)申請(qǐng)與報(bào)告。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目組織客戶項(xiàng)目進(jìn)行初驗(yàn)并形成了初驗(yàn)報(bào)告。24.安全保障-系統(tǒng)測(cè)試B3.4.1 僅一級(jí)要求：基于建設(shè)系統(tǒng)的安全要求，制定系統(tǒng)安全性測(cè)試方案，模擬攻擊場(chǎng)景，對(duì)系統(tǒng)安全性進(jìn)行測(cè)試。驗(yàn)證項(xiàng)目安全保障階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。系統(tǒng)安全性測(cè)試方案、測(cè)試記錄。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的安全性測(cè)試方案和記錄，對(duì)系統(tǒng)安全性的進(jìn)行了測(cè)試。ISCCC-QOT-0462-B/1 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表審查員簽名： 日期： 中國(guó)信息安全認(rèn)證中心 第 6 頁(yè) 共 8 頁(yè)序號(hào) 要點(diǎn) 條款 需提供證明材料審核結(jié)果審核記錄符合不符合需觀察25.B1.4.2 a) 為測(cè)試系統(tǒng)運(yùn)行的可靠性和穩(wěn)定性，系統(tǒng)初驗(yàn)后需進(jìn)行試運(yùn)行，并記錄系統(tǒng)運(yùn)行狀況，試運(yùn)行周期至少一個(gè)月。驗(yàn)證項(xiàng)目安全保障階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。系統(tǒng)試運(yùn)行記錄。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的試運(yùn)行報(bào)告，記錄了系統(tǒng)運(yùn)行狀況，試運(yùn)行周期為 3 個(gè)月26.B2.4.2 僅二級(jí)/一級(jí)要求：試運(yùn)行結(jié)束后，項(xiàng)目組制定系統(tǒng)試運(yùn)行報(bào)告，并提交客戶。驗(yàn)證項(xiàng)目安全保障階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。系統(tǒng)試運(yùn)行報(bào)告。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的試運(yùn)行報(bào)告，以郵件形式提交給客戶。27.B3.4.2 a) 僅一級(jí)要求 ：制定系統(tǒng)試運(yùn)行計(jì)劃，建立應(yīng)急響應(yīng)服務(wù)保障團(tuán)隊(duì)，及時(shí)應(yīng)對(duì)突發(fā)事件。查閱了事件與服務(wù)請(qǐng)求管理流程 ，制定了突發(fā)事件的優(yōu)先級(jí)、負(fù)責(zé)人、處理流程及響應(yīng)時(shí)間等內(nèi)容。28.B3.4.2 b) 僅一級(jí)要求：綜合分析系統(tǒng)運(yùn)行狀態(tài)，建立系統(tǒng)運(yùn)行策略和安全指南，并對(duì)相關(guān)產(chǎn)品和設(shè)備設(shè)施進(jìn)行配置管理。查閱了配置管理流程策略和配置管理流程手冊(cè) ，制定了系統(tǒng)運(yùn)行策略和配置管理方案、系統(tǒng)試運(yùn)行報(bào)告等內(nèi)容，但配置管理流程制定的不夠完善。29.安全保障-系統(tǒng)試運(yùn)行B3.4.2 c) 僅一級(jí)要求 ：提供三個(gè)月以上的試運(yùn)行記錄和報(bào)告。驗(yàn)證項(xiàng)目安全保障階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。應(yīng)急預(yù)案、系統(tǒng)運(yùn)行策略和安全指南、配置管理方案、系統(tǒng)試運(yùn)行報(bào)告。查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的試運(yùn)行報(bào)告和記錄，周期為 3 個(gè)月。30. 安全保障-驗(yàn)收 B1.4.3 b) 根據(jù)合同約定，配合組織項(xiàng)目驗(yàn)收，出具項(xiàng)目驗(yàn)收?qǐng)?bào)告。驗(yàn)證項(xiàng)目安全保障階段控制程序文件，內(nèi)容應(yīng)覆蓋審核條款的要求。驗(yàn)證項(xiàng)目終驗(yàn)報(bào)告。 查閱了深圳文化產(chǎn)權(quán)交易所有公司數(shù)據(jù)中心硬件設(shè)備采購(gòu)項(xiàng)目的項(xiàng)目驗(yàn)收?qǐng)?bào)告，ISCCC-QOT-0462-B/1 信息系統(tǒng)安全集成服務(wù)資質(zhì)認(rèn)證現(xiàn)場(chǎng)審核表審查員簽名： 日期： 中國(guó)信息安全認(rèn)證中心 第 7 頁(yè) 共 8 頁(yè)序號(hào) 要點(diǎn) 條款 需提供證明材料審核結(jié)果審核記錄符合不符合需觀察31. 上一年度提出的觀察項(xiàng)跟蹤驗(yàn)證情況（如有）32.