信息安全技術(shù)-信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南送審稿-

word.word.信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南送審稿引言依據(jù)《中華人民共和國計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》（國務(wù)院147號(hào)令）、《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見》（中辦發(fā)[2003]27號(hào)）、《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》（公通字[2004]66號(hào)）和《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)），制定本標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)是信息安全等級(jí)保護(hù)相關(guān)系列標(biāo)準(zhǔn)之一。與本標(biāo)準(zhǔn)相關(guān)的系列標(biāo)準(zhǔn)包括：——22240-2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南；——22239-2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求；――信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南；——信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求。信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)過程指南1范圍本標(biāo)準(zhǔn)規(guī)定了信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)（以下簡稱等級(jí)測(cè)評(píng)）工作的測(cè)評(píng)過程，既適用于測(cè)評(píng)機(jī)構(gòu)、信息系統(tǒng)的主管部門及運(yùn)營使用單位對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行的安全測(cè)試評(píng)價(jià)，也適用于信息系統(tǒng)的運(yùn)營使用單位在信息系統(tǒng)定級(jí)工作完成之后，對(duì)信息系統(tǒng)的安全保護(hù)現(xiàn)狀進(jìn)行的測(cè)試評(píng)價(jià)，獲取信息系統(tǒng)的全面保護(hù)需求。2規(guī)范性引用文件下列文件中的條款通過在本標(biāo)準(zhǔn)中的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵(lì)根據(jù)本標(biāo)準(zhǔn)達(dá)成協(xié)議的各方研究是否使用這些文件的最新版本。凡是不注明日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。5271.8信息技術(shù)詞匯第8部分：安全17859-1999計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則22240-2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南22239-2008信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)基本要求信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)實(shí)施指南信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)）3術(shù)語和定義5271.8、17859-1999、和確立的以及下列的術(shù)語和定義適用于本標(biāo)準(zhǔn)。3.1優(yōu)勢(shì)證據(jù)對(duì)單一測(cè)評(píng)項(xiàng)實(shí)施等級(jí)測(cè)評(píng)過程中獲得的多個(gè)測(cè)評(píng)結(jié)果之間存在矛盾，且都沒有足夠的證據(jù)否定與之矛盾的測(cè)評(píng)結(jié)果的，則測(cè)評(píng)結(jié)果的證明力明顯大于其他測(cè)評(píng)結(jié)果的證明力的那個(gè)（些）測(cè)評(píng)結(jié)果即為優(yōu)勢(shì)證據(jù)。4等級(jí)測(cè)評(píng)概述4.1等級(jí)測(cè)評(píng)的作用依據(jù)《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)），信息系統(tǒng)運(yùn)營、使用單位在進(jìn)行信息系統(tǒng)備案后，都應(yīng)當(dāng)選擇測(cè)評(píng)機(jī)構(gòu)進(jìn)行等級(jí)測(cè)評(píng)。等級(jí)測(cè)評(píng)是測(cè)評(píng)機(jī)構(gòu)依據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》等管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，檢測(cè)評(píng)估信息系統(tǒng)安全等級(jí)保護(hù)狀況是否達(dá)到相應(yīng)等級(jí)基本要求的過程，是落實(shí)信息安全等級(jí)保護(hù)制度的重要環(huán)節(jié)。在信息系統(tǒng)建設(shè)、整改時(shí)，信息系統(tǒng)運(yùn)營、使用單位通過等級(jí)測(cè)評(píng)進(jìn)行現(xiàn)狀分析，確定系統(tǒng)的安全保護(hù)現(xiàn)狀和存在的安全問題，并在此基礎(chǔ)上確定系統(tǒng)的整改安全需求。在信息系統(tǒng)運(yùn)維過程中，信息系統(tǒng)運(yùn)營、使用單位定期委托測(cè)評(píng)機(jī)構(gòu)開展等級(jí)測(cè)評(píng)，對(duì)信息系統(tǒng)安全等級(jí)保護(hù)狀況進(jìn)行安全測(cè)試，對(duì)信息安全管控能力進(jìn)行考察和評(píng)價(jià)，從而判定信息系統(tǒng)是否具備22239-2008中相應(yīng)等級(jí)安全保護(hù)能力。而且，等級(jí)測(cè)評(píng)報(bào)告是信息系統(tǒng)開展整改加固的重要指導(dǎo)性文件，也是信息系統(tǒng)備案的重要附件材料。等級(jí)測(cè)評(píng)結(jié)論為信息系統(tǒng)未達(dá)到相應(yīng)等級(jí)的基本安全保護(hù)能力的，運(yùn)營、使用單位應(yīng)當(dāng)根據(jù)等級(jí)測(cè)評(píng)報(bào)告，制定方案進(jìn)行整改，盡快達(dá)到相應(yīng)等級(jí)的安全保護(hù)能力。4.2等級(jí)測(cè)評(píng)執(zhí)行主體可以為三級(jí)及以上等級(jí)信息系統(tǒng)實(shí)施等級(jí)測(cè)評(píng)的等級(jí)測(cè)評(píng)執(zhí)行主體應(yīng)具備如下條件：在中華人民共和國境內(nèi)注冊(cè)成立（港澳臺(tái)地區(qū)除外）；由中國公民投資、中國法人投資或者國家投資的企事業(yè)單位（港澳臺(tái)地區(qū)除外）；從事相關(guān)檢測(cè)評(píng)估工作兩年以上，無違法記錄；工作人員僅限于中國公民；法人及主要業(yè)務(wù)、技術(shù)人員無犯罪記錄；使用的技術(shù)裝備、設(shè)施應(yīng)當(dāng)符合《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)）對(duì)信息安全產(chǎn)品的要求；具有完備的保密管理、項(xiàng)目管理、質(zhì)量管理、人員管理和培訓(xùn)教育等安全管理制度；對(duì)國家安全、社會(huì)秩序、公共利益不構(gòu)成威脅。（摘自《信息安全等級(jí)保護(hù)管理辦法》（公通字[2007]43號(hào)））等級(jí)測(cè)評(píng)執(zhí)行主體應(yīng)履行如下義務(wù)：遵守國家有關(guān)法律法規(guī)和技術(shù)標(biāo)準(zhǔn)，提供安全、客觀、公正的檢測(cè)評(píng)估服務(wù)，保證測(cè)評(píng)的質(zhì)量和效果；保守在測(cè)評(píng)活動(dòng)中知悉的國家秘密、商業(yè)秘密和個(gè)人隱私，防范測(cè)評(píng)風(fēng)險(xiǎn)；對(duì)測(cè)評(píng)人員進(jìn)行安全保密教育，與其簽訂安全保密責(zé)任書，規(guī)定應(yīng)當(dāng)履行的安全保密義務(wù)和承擔(dān)的法律責(zé)任，并負(fù)責(zé)檢查落實(shí)。4.3等級(jí)測(cè)評(píng)風(fēng)險(xiǎn)等級(jí)測(cè)評(píng)實(shí)施過程中，被測(cè)系統(tǒng)可能面臨以下風(fēng)險(xiǎn)。4.3.1驗(yàn)證測(cè)試影響系統(tǒng)正常運(yùn)行在現(xiàn)場(chǎng)測(cè)評(píng)時(shí)，需要對(duì)設(shè)備和系統(tǒng)進(jìn)行一定的驗(yàn)證測(cè)試工作，部分測(cè)試內(nèi)容需要上機(jī)查看一些信息，這就可能對(duì)系統(tǒng)的運(yùn)行造成一定的影響，甚至存在誤操作的可能。4.3.2工具測(cè)試影響系統(tǒng)正常運(yùn)行在現(xiàn)場(chǎng)測(cè)評(píng)時(shí)，會(huì)使用一些技術(shù)測(cè)試工具進(jìn)行漏洞掃描測(cè)試、性能測(cè)試甚至抗?jié)B透能力測(cè)試。測(cè)試可能會(huì)對(duì)系統(tǒng)的負(fù)載造成一定的影響，漏洞掃描測(cè)試和滲透測(cè)試可能對(duì)服務(wù)器和網(wǎng)絡(luò)通訊造成一定影響甚至傷害。4.3.3敏感信息泄漏泄漏被測(cè)系統(tǒng)狀態(tài)信息，如網(wǎng)絡(luò)拓?fù)?、地址、業(yè)務(wù)流程、安全機(jī)制、安全隱患和有關(guān)文檔信息。4.4等級(jí)測(cè)評(píng)過程本標(biāo)準(zhǔn)中的測(cè)評(píng)工作過程及任務(wù)基于受委托測(cè)評(píng)機(jī)構(gòu)對(duì)信息系統(tǒng)的初次等級(jí)測(cè)評(píng)給出。運(yùn)營、使用單位的自查或受委托測(cè)評(píng)機(jī)構(gòu)對(duì)已經(jīng)實(shí)施過一次（或以上）等級(jí)測(cè)評(píng)的被測(cè)系統(tǒng)的等級(jí)測(cè)評(píng)，測(cè)評(píng)機(jī)構(gòu)和測(cè)評(píng)人員可以根據(jù)實(shí)際情況調(diào)整部分工作任務(wù)，具體原則見附錄A。等級(jí)測(cè)評(píng)過程分為四個(gè)基本測(cè)評(píng)活動(dòng)：測(cè)評(píng)準(zhǔn)備活動(dòng)、方案編制活動(dòng)、現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)、分析及報(bào)告編制活動(dòng)。而測(cè)評(píng)雙方之間的溝通與洽談應(yīng)貫穿整個(gè)等級(jí)測(cè)評(píng)過程。4.4.1測(cè)評(píng)準(zhǔn)備活動(dòng)本活動(dòng)是開展等級(jí)測(cè)評(píng)工作的前提和基礎(chǔ)，是整個(gè)等級(jí)測(cè)評(píng)過程有效性的保證。測(cè)評(píng)準(zhǔn)備工作是否充分直接關(guān)系到后續(xù)工作能否順利開展。本活動(dòng)的主要任務(wù)是掌握被測(cè)系統(tǒng)的詳細(xì)情況，準(zhǔn)備測(cè)試工具，為編制測(cè)評(píng)方案做好準(zhǔn)備。4.4.2方案編制活動(dòng)本活動(dòng)是開展等級(jí)測(cè)評(píng)工作的關(guān)鍵活動(dòng)，為現(xiàn)場(chǎng)測(cè)評(píng)提供最基本的文檔和指導(dǎo)方案。本活動(dòng)的主要任務(wù)是確定與被測(cè)信息系統(tǒng)相適應(yīng)的測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)及測(cè)評(píng)內(nèi)容等，并根據(jù)需要重用或開發(fā)測(cè)評(píng)指導(dǎo)書測(cè)評(píng)指導(dǎo)書，形成測(cè)評(píng)方案。4.4.3現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)本活動(dòng)是開展等級(jí)測(cè)評(píng)工作的核心活動(dòng)。本活動(dòng)的主要任務(wù)是按照測(cè)評(píng)方案的總體要求，嚴(yán)格執(zhí)行測(cè)評(píng)指導(dǎo)書測(cè)評(píng)指導(dǎo)書，分步實(shí)施所有測(cè)評(píng)項(xiàng)目，包括單元測(cè)評(píng)和整體測(cè)評(píng)兩個(gè)方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。4.4.4分析與報(bào)告編制活動(dòng)本活動(dòng)是給出等級(jí)測(cè)評(píng)工作結(jié)果的活動(dòng)，是總結(jié)被測(cè)系統(tǒng)整體安全保護(hù)能力的綜合評(píng)價(jià)活動(dòng)。本活動(dòng)的主要任務(wù)是根據(jù)現(xiàn)場(chǎng)測(cè)評(píng)結(jié)果和的有關(guān)要求，通過單項(xiàng)測(cè)評(píng)結(jié)果判定、單元測(cè)評(píng)結(jié)果判定、整體測(cè)評(píng)和風(fēng)險(xiǎn)分析等方法，找出整個(gè)系統(tǒng)的安全保護(hù)現(xiàn)狀與相應(yīng)等級(jí)的保護(hù)要求之間的差距，并分析這些差距導(dǎo)致被測(cè)系統(tǒng)面臨的風(fēng)險(xiǎn)，從而給出等級(jí)測(cè)評(píng)結(jié)論，形成測(cè)評(píng)報(bào)告文本。5測(cè)評(píng)準(zhǔn)備活動(dòng)5.1測(cè)評(píng)準(zhǔn)備活動(dòng)的工作流程測(cè)評(píng)準(zhǔn)備活動(dòng)的目標(biāo)是順利啟動(dòng)測(cè)評(píng)項(xiàng)目，準(zhǔn)備測(cè)評(píng)所需的相關(guān)資料，為順利編制測(cè)評(píng)方案打下良好的基礎(chǔ)。測(cè)評(píng)準(zhǔn)備活動(dòng)包括項(xiàng)目啟動(dòng)、信息收集和分析、工具和表單準(zhǔn)備三項(xiàng)主要任務(wù)。這三項(xiàng)任務(wù)的基本工作流程見圖1：圖1測(cè)評(píng)準(zhǔn)備活動(dòng)的基本工件流程5.2測(cè)評(píng)準(zhǔn)備活動(dòng)的主要任務(wù)5.2.1項(xiàng)目啟動(dòng)在項(xiàng)目啟動(dòng)任務(wù)中，測(cè)評(píng)機(jī)構(gòu)組建等級(jí)測(cè)評(píng)項(xiàng)目組，獲取測(cè)評(píng)委托單位及被測(cè)系統(tǒng)的基本情況，從基本資料、人員、計(jì)劃安排等方面為整個(gè)等級(jí)測(cè)評(píng)項(xiàng)目的實(shí)施做基本準(zhǔn)備。輸入：委托測(cè)評(píng)協(xié)議書。任務(wù)描述：a）根據(jù)測(cè)評(píng)雙方簽訂的委托測(cè)評(píng)協(xié)議書和系統(tǒng)規(guī)模，測(cè)評(píng)機(jī)構(gòu)組建測(cè)評(píng)項(xiàng)目組，從人員方面做好準(zhǔn)備，并編制項(xiàng)目計(jì)劃書。項(xiàng)目計(jì)劃書應(yīng)包含項(xiàng)目概述、工作依據(jù)、技術(shù)思路、工作內(nèi)容和項(xiàng)目組織等。b）測(cè)評(píng)機(jī)構(gòu)要求測(cè)評(píng)委托單位提供基本資料，包括：被測(cè)系統(tǒng)總體描述文件，詳細(xì)描述文件，安全保護(hù)等級(jí)定級(jí)報(bào)告，系統(tǒng)驗(yàn)收?qǐng)?bào)告，安全需求分析報(bào)告，安全總體方案，自查或上次等級(jí)測(cè)評(píng)報(bào)告（如果有），測(cè)評(píng)委托單位的信息化建設(shè)狀況與發(fā)展以及聯(lián)絡(luò)方式等。輸出/產(chǎn)品：項(xiàng)目計(jì)劃書。5.2.2信息收集和分析測(cè)評(píng)機(jī)構(gòu)通過查閱被測(cè)系統(tǒng)已有資料或使用調(diào)查表格的方式，了解整個(gè)系統(tǒng)的構(gòu)成和保護(hù)情況，為編寫測(cè)評(píng)方案和開展現(xiàn)場(chǎng)測(cè)評(píng)工作奠定基礎(chǔ)。輸入：調(diào)查表格，被測(cè)系統(tǒng)總體描述文件，詳細(xì)描述文件，安全保護(hù)等級(jí)定級(jí)報(bào)告，系統(tǒng)驗(yàn)收?qǐng)?bào)告，安全需求分析報(bào)告，安全總體方案，自查或上次等級(jí)測(cè)評(píng)報(bào)告（如果有）。任務(wù)描述：a）測(cè)評(píng)機(jī)構(gòu)收集等級(jí)測(cè)評(píng)需要的各種資料，包括測(cè)評(píng)委托單位的各種方針文件、規(guī)章制度及相關(guān)過程管理記錄、被測(cè)系統(tǒng)總體描述文件、詳細(xì)描述文件、安全保護(hù)等級(jí)定級(jí)報(bào)告、安全需求分析報(bào)告、安全總體方案、安全現(xiàn)狀評(píng)價(jià)報(bào)告、安全詳細(xì)設(shè)計(jì)方案、用戶指南、運(yùn)行步驟、網(wǎng)絡(luò)圖表、配置管理文檔等。b）測(cè)評(píng)機(jī)構(gòu)將調(diào)查表格提交給測(cè)評(píng)委托單位，督促被測(cè)系統(tǒng)相關(guān)人員準(zhǔn)確填寫調(diào)查表格。c）測(cè)評(píng)機(jī)構(gòu)收回填寫完成的調(diào)查表格，并分析調(diào)查結(jié)果，了解和熟悉被測(cè)系統(tǒng)的實(shí)際情況。分析的內(nèi)容包括被測(cè)系統(tǒng)的基本信息、物理位置、行業(yè)特征、管理框架、管理策略、網(wǎng)絡(luò)及設(shè)備部署、軟硬件重要性及部署情況、范圍及邊界、業(yè)務(wù)種類及重要性、業(yè)務(wù)流程、業(yè)務(wù)數(shù)據(jù)及重要性、業(yè)務(wù)安全保護(hù)等級(jí)、用戶范圍、用戶類型、被測(cè)系統(tǒng)所處的運(yùn)行環(huán)境及面臨的威脅等。這些信息可以重用自查或上次等級(jí)測(cè)評(píng)報(bào)告中的可信結(jié)果。d）如果調(diào)查表格填寫不準(zhǔn)確或不完善或存在相互矛盾的地方較多，測(cè)評(píng)機(jī)構(gòu)應(yīng)安排現(xiàn)場(chǎng)調(diào)查，與被測(cè)系統(tǒng)相關(guān)人員進(jìn)行面對(duì)面的溝通和了解。輸出/產(chǎn)品：填好的調(diào)查表格。5.2.3工具和表單準(zhǔn)備測(cè)評(píng)項(xiàng)目組成員在進(jìn)行現(xiàn)場(chǎng)測(cè)評(píng)之前，應(yīng)熟悉與被測(cè)系統(tǒng)相關(guān)的各種組件、調(diào)試測(cè)評(píng)工具、準(zhǔn)備各種表單等。輸入：各種與被測(cè)系統(tǒng)相關(guān)的技術(shù)資料。任務(wù)描述：a）測(cè)評(píng)人員調(diào)試本次測(cè)評(píng)過程中將用到的測(cè)評(píng)工具，包括漏洞掃描工具、滲透性測(cè)試工具、性能測(cè)試工具和協(xié)議分析工具等。b）測(cè)評(píng)人員模擬被測(cè)系統(tǒng)搭建測(cè)評(píng)環(huán)境。c）準(zhǔn)備和打印表單，主要包括：現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書、文檔交接單、會(huì)議記錄表單、會(huì)議簽到表單等。輸出/產(chǎn)品：選用的測(cè)評(píng)工具清單，打印的各類表單。5.3測(cè)評(píng)準(zhǔn)備活動(dòng)的輸出文檔測(cè)評(píng)準(zhǔn)備活動(dòng)的輸出文檔及其內(nèi)容如表1所示：5.4測(cè)評(píng)準(zhǔn)備活動(dòng)中雙方的職責(zé)測(cè)評(píng)機(jī)構(gòu)職責(zé)：a）組建等級(jí)測(cè)評(píng)項(xiàng)目組。b）指出測(cè)評(píng)委托單位應(yīng)提供的基本資料。c）準(zhǔn)備被測(cè)系統(tǒng)基本情況調(diào)查表格，并提交給測(cè)評(píng)委托單位。d）向測(cè)評(píng)委托單位介紹安全測(cè)評(píng)工作流程和方法。e）向測(cè)評(píng)委托單位說明測(cè)評(píng)工作可能帶來的風(fēng)險(xiǎn)和規(guī)避方法。f）了解測(cè)評(píng)委托單位的信息化建設(shè)狀況與發(fā)展，以及被測(cè)系統(tǒng)的基本情況。g）初步分析系統(tǒng)的安全情況。h）準(zhǔn)備測(cè)評(píng)工具和文檔。測(cè)評(píng)委托單位職責(zé):a）向測(cè)評(píng)機(jī)構(gòu)介紹本單位的信息化建設(shè)狀況與發(fā)展情況。b）準(zhǔn)備測(cè)評(píng)機(jī)構(gòu)需要的資料。c）為測(cè)評(píng)人員的信息收集提供支持和協(xié)調(diào)。d）準(zhǔn)確填寫調(diào)查表格。e）根據(jù)被測(cè)系統(tǒng)的具體情況，如業(yè)務(wù)運(yùn)行高峰期、網(wǎng)絡(luò)布置情況等，為測(cè)評(píng)時(shí)間安排提供適宜的建議。f）制定應(yīng)急預(yù)案。6方案編制活動(dòng)6.1方案編制活動(dòng)的工作流程方案編制活動(dòng)的目標(biāo)是整理測(cè)評(píng)準(zhǔn)備活動(dòng)中獲取的信息系統(tǒng)相關(guān)資料，為現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)提供最基本的文檔和指導(dǎo)方案。方案編制活動(dòng)包括測(cè)評(píng)對(duì)象確定、測(cè)評(píng)指標(biāo)確定、測(cè)試工具接入點(diǎn)確定、測(cè)評(píng)內(nèi)容確定、測(cè)評(píng)指導(dǎo)書測(cè)評(píng)指導(dǎo)書開發(fā)及測(cè)評(píng)方案編制六項(xiàng)主要任務(wù)。這六項(xiàng)任務(wù)的基本工作流程見圖2：6.2方案編制活動(dòng)的主要任務(wù)6.2.1測(cè)評(píng)對(duì)象確定根據(jù)已經(jīng)了解到的被測(cè)系統(tǒng)信息，分析整個(gè)被測(cè)系統(tǒng)及其涉及的業(yè)務(wù)應(yīng)用系統(tǒng)，確定出本次測(cè)評(píng)的測(cè)評(píng)對(duì)象。輸入：填好的調(diào)查表格。任務(wù)描述：a）識(shí)別并描述被測(cè)系統(tǒng)的整體結(jié)構(gòu)根據(jù)調(diào)查表格獲得的被測(cè)系統(tǒng)基本情況，識(shí)別出被測(cè)系統(tǒng)的整體結(jié)構(gòu)并加以描述。描述內(nèi)容應(yīng)包括被測(cè)系統(tǒng)的標(biāo)識(shí)（名稱），物理環(huán)境，網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和外部邊界連接情況等，并給出網(wǎng)絡(luò)拓?fù)鋱D。b）識(shí)別并描述被測(cè)系統(tǒng)的邊界根據(jù)填好的調(diào)查表格，識(shí)別出被測(cè)系統(tǒng)邊界并加以描述。描述內(nèi)容應(yīng)包括被測(cè)系統(tǒng)與其他網(wǎng)絡(luò)進(jìn)行外部連接的邊界連接方式，如采用光纖、無線和專線等；描述各邊界主要設(shè)備，如防火墻、路由器或服務(wù)器等。如果在被測(cè)系統(tǒng)邊界連接處有共用設(shè)備，一般可以把該設(shè)備劃到等級(jí)較高的那個(gè)信息系統(tǒng)中。C）識(shí)別并描述被測(cè)系統(tǒng)的網(wǎng)絡(luò)區(qū)域一般信息系統(tǒng)都會(huì)根據(jù)業(yè)務(wù)類型及其重要程度將信息系統(tǒng)劃分為不同的區(qū)域。對(duì)于沒有進(jìn)行區(qū)域劃分的系統(tǒng)，應(yīng)首先根據(jù)被測(cè)系統(tǒng)實(shí)際情況進(jìn)行大致劃分并加以描述。描述內(nèi)容主要包括區(qū)域劃分、每個(gè)區(qū)域內(nèi)的主要業(yè)務(wù)應(yīng)用、業(yè)務(wù)流程、區(qū)域的邊界以及它們之間的連接情況等。d）識(shí)別并描述被測(cè)系統(tǒng)的重要節(jié)點(diǎn)描述系統(tǒng)節(jié)點(diǎn)時(shí)可以以區(qū)域?yàn)榫€索，具體描述各個(gè)區(qū)域內(nèi)包括的計(jì)算機(jī)硬件設(shè)備（包括服務(wù)器設(shè)備、客戶端設(shè)備、打印機(jī)及存儲(chǔ)器等外圍設(shè)備）、網(wǎng)絡(luò)硬件設(shè)備（包括交換機(jī)、路由器、各種適配器等）等，并說明各個(gè)節(jié)點(diǎn)之間的主要連接情況和節(jié)點(diǎn)上安裝的應(yīng)用系統(tǒng)軟件情況等。e）描述被測(cè)系統(tǒng)對(duì)上述描述內(nèi)容進(jìn)行整理，確定被測(cè)系統(tǒng)并加以描述。描述被測(cè)系統(tǒng)時(shí)，一般以被測(cè)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)為基礎(chǔ)，采用總分式的描述方法，先說明整體結(jié)構(gòu)，然后描述外部邊界連接情況和邊界主要設(shè)備，最后介紹被測(cè)系統(tǒng)的網(wǎng)絡(luò)區(qū)域組成、主要業(yè)務(wù)功能及相關(guān)的設(shè)備節(jié)點(diǎn)等。f）確定測(cè)評(píng)對(duì)象分析各個(gè)作為定級(jí)對(duì)象的信息系統(tǒng)，包括信息系統(tǒng)的重要程度及其相關(guān)設(shè)備、組件，在此基礎(chǔ)上，確定出各測(cè)評(píng)對(duì)象。g）描述測(cè)評(píng)對(duì)象描述測(cè)評(píng)對(duì)象時(shí)，一般針對(duì)每個(gè)定級(jí)對(duì)象分門別類加以描述，包括機(jī)房、業(yè)務(wù)應(yīng)用軟件、主機(jī)操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、網(wǎng)絡(luò)互聯(lián)設(shè)備及其操作系統(tǒng)、安全設(shè)備及其操作系統(tǒng)、訪談人員及其安全管理文檔等。在對(duì)每類測(cè)評(píng)對(duì)象進(jìn)行描述時(shí)則一般采用列表的方式，包括測(cè)評(píng)對(duì)象所屬區(qū)域、設(shè)備名稱、用途、設(shè)備信息等內(nèi)容。輸出/產(chǎn)品：測(cè)評(píng)方案的測(cè)評(píng)對(duì)象部分。6.2.2測(cè)評(píng)指標(biāo)確定根據(jù)已經(jīng)了解到的被測(cè)系統(tǒng)定級(jí)結(jié)果，確定出本次測(cè)評(píng)的測(cè)評(píng)指標(biāo)。輸入：填好的調(diào)查表格，22239-2008。任務(wù)描述：a）根據(jù)被測(cè)系統(tǒng)調(diào)查表格，得出被測(cè)系統(tǒng)的定級(jí)結(jié)果，包括業(yè)務(wù)信息安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)，從而得出被測(cè)系統(tǒng)應(yīng)采取的安全保護(hù)措施組合情況。b）從22239-2008中選擇相應(yīng)等級(jí)的安全要求作為測(cè)評(píng)指標(biāo)，包括對(duì)三類安全要求的選擇。舉例來說，假設(shè)某信息系統(tǒng)的定級(jí)結(jié)果為：安全保護(hù)等級(jí)為3級(jí)，業(yè)務(wù)信息安全保護(hù)等級(jí)為2級(jí)，系統(tǒng)服務(wù)安全保護(hù)等級(jí)為3級(jí)；則該系統(tǒng)的測(cè)評(píng)指標(biāo)將包括22239-2008“技術(shù)要求”中的3級(jí)通用安全保護(hù)類要求（G3）,2級(jí)業(yè)務(wù)信息安全類要求（S2），3級(jí)系統(tǒng)服務(wù)保證類要求（A3），以及第3級(jí)“管理要求”中的所有要求。c）對(duì)于由多個(gè)不同等級(jí)的信息系統(tǒng)組成的被測(cè)系統(tǒng)，應(yīng)分別確定各個(gè)定級(jí)對(duì)象的測(cè)評(píng)指標(biāo)。如果多個(gè)定級(jí)對(duì)象共用物理環(huán)境或管理體系，而且測(cè)評(píng)指標(biāo)不能分開，則不能分開的這些測(cè)評(píng)指標(biāo)應(yīng)采用就高原則。d）分別針對(duì)每個(gè)定級(jí)對(duì)象加以描述，包括系統(tǒng)的定級(jí)結(jié)果、指標(biāo)選擇兩部分。其中，指標(biāo)選擇可以列表的形式給出。例如，一個(gè)安全保護(hù)等級(jí)和系統(tǒng)服務(wù)安全保護(hù)等級(jí)均為三級(jí)、業(yè)務(wù)信息安全保護(hù)等級(jí)為2級(jí)的定級(jí)對(duì)象，測(cè)評(píng)指標(biāo)可以列出下表：

表2測(cè)評(píng)扌旨標(biāo)38評(píng)抬標(biāo)技術(shù)/菅理繪面SSQ簸）A類卩級(jí)）G類<3級(jí)）小計(jì)'安全技術(shù)物理安全1.1,810網(wǎng)絡(luò)安二1067主機(jī)安全，2..136.應(yīng)用安全4-228數(shù)據(jù)安全，2.1..03-安全管理制度0033窘全管理機(jī)掏0,0.5.（人員安全管理0.0系統(tǒng)建設(shè)萱理0.0.1111.系統(tǒng)運(yùn)維管理001313..合il71｛類）6.2.3測(cè)試工具接入點(diǎn)確定在等級(jí)測(cè)評(píng)中，對(duì)二級(jí)和二級(jí)以上的信息系統(tǒng)應(yīng)進(jìn)行工具測(cè)試，工具測(cè)試可能用到漏洞掃描器、滲透測(cè)試工具集、協(xié)議分析儀等測(cè)試工具。輸入：填好的調(diào)查表格，。任務(wù)描述：a）確定需要進(jìn)行工具測(cè)試的測(cè)評(píng)對(duì)象。b）選擇測(cè)試路徑。一般來說，測(cè)試工具的接入采取從外到內(nèi)，從其他網(wǎng)絡(luò)到本地網(wǎng)段的逐步逐點(diǎn)接入，即:測(cè)試工具從被測(cè)系統(tǒng)邊界外接入、在被測(cè)系統(tǒng)內(nèi)部與測(cè)評(píng)對(duì)象不同網(wǎng)段及同一網(wǎng)段內(nèi)接入等幾種方式。C）根據(jù)測(cè)試路徑，確定測(cè)試工具的接入點(diǎn)。從被測(cè)系統(tǒng)邊界外接入時(shí)，測(cè)試工具一般接在系統(tǒng)邊界設(shè)備（通常為交換設(shè)備）上。在該點(diǎn)接入漏洞掃描器，掃描探測(cè)被測(cè)系統(tǒng)的主機(jī)、網(wǎng)絡(luò)設(shè)備對(duì)外暴露的安全漏洞情況。在該接入點(diǎn)接入?yún)f(xié)議分析儀，可以捕獲應(yīng)用程序的網(wǎng)絡(luò)數(shù)據(jù)包，查看其安全加密和完整性保護(hù)情況。在該接入點(diǎn)使用滲透測(cè)試工具集，試圖利用被測(cè)試系統(tǒng)的主機(jī)或網(wǎng)絡(luò)設(shè)備的安全漏洞，跨過系統(tǒng)邊界，侵入被測(cè)系統(tǒng)主機(jī)或網(wǎng)絡(luò)設(shè)備。從系統(tǒng)內(nèi)部與測(cè)評(píng)對(duì)象不同網(wǎng)段接入時(shí)，測(cè)試工具一般接在與被測(cè)對(duì)象不在同一網(wǎng)段的內(nèi)部核心交換設(shè)備上。在該點(diǎn)接入掃描器，可以直接掃描測(cè)試內(nèi)部各主機(jī)和網(wǎng)絡(luò)設(shè)備對(duì)本單位其他不同網(wǎng)絡(luò)所暴露的安全漏洞情況。在該接入點(diǎn)接入網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)工具，可以探測(cè)信息系統(tǒng)的網(wǎng)絡(luò)拓?fù)淝闆r。在系統(tǒng)內(nèi)部與測(cè)評(píng)對(duì)象同一網(wǎng)段內(nèi)接入時(shí)，測(cè)試工具一般接在與被測(cè)對(duì)象在同一網(wǎng)段的交換設(shè)備上。在該點(diǎn)接入掃描器，可以在本地直接測(cè)試各被測(cè)主機(jī)、網(wǎng)絡(luò)設(shè)備對(duì)本地網(wǎng)絡(luò)暴露的安全漏洞情況。一般來說，該點(diǎn)掃描探測(cè)出的漏洞數(shù)應(yīng)該是最多的，它說明主機(jī)、網(wǎng)絡(luò)設(shè)備在沒有網(wǎng)絡(luò)安全保護(hù)措施下的安全狀況。如果該接入點(diǎn)所在網(wǎng)段有大量用戶終端設(shè)備，則可以在該接入點(diǎn)接入非法外聯(lián)檢測(cè)設(shè)備，測(cè)試各終端設(shè)備是否出現(xiàn)過非法外聯(lián)情況。d）結(jié)合網(wǎng)絡(luò)拓?fù)鋱D，采用圖示的方式描述測(cè)試工具的接入點(diǎn)、測(cè)試目的、測(cè)試途徑和測(cè)試對(duì)象等相關(guān)內(nèi)容。輸出/產(chǎn)品：測(cè)評(píng)方案的測(cè)評(píng)內(nèi)容中關(guān)于測(cè)評(píng)工具接入點(diǎn)部分。6.2.4測(cè)評(píng)內(nèi)容確定本部分確定現(xiàn)場(chǎng)測(cè)評(píng)的具體實(shí)施內(nèi)容，即單元測(cè)評(píng)內(nèi)容。輸入：填好的調(diào)查表格，測(cè)評(píng)方案的測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)及測(cè)評(píng)工具接入點(diǎn)部分。任務(wù)描述：a）確定單元測(cè)評(píng)內(nèi)容依據(jù)，將前面已經(jīng)得到的測(cè)評(píng)指標(biāo)和測(cè)評(píng)對(duì)象結(jié)合起來，然后再將測(cè)評(píng)對(duì)象與具體的測(cè)評(píng)方法結(jié)合起來，這也是編制測(cè)評(píng)指導(dǎo)書測(cè)評(píng)指導(dǎo)書的第一步。具體做法就是把各層面上的測(cè)評(píng)指標(biāo)結(jié)合到具體測(cè)評(píng)對(duì)象上，并說明具體的測(cè)評(píng)方法，如此構(gòu)成一個(gè)個(gè)可以具體實(shí)施測(cè)評(píng)的單元。參照，結(jié)合已選定的測(cè)評(píng)指標(biāo)和測(cè)評(píng)對(duì)象，概要說明現(xiàn)場(chǎng)單元測(cè)評(píng)實(shí)施的工作內(nèi)容；涉及到工具測(cè)試部分，應(yīng)根據(jù)確定的測(cè)試工具接入點(diǎn)，編制相應(yīng)的測(cè)試內(nèi)容。在測(cè)評(píng)方案中，現(xiàn)場(chǎng)單元測(cè)評(píng)實(shí)施內(nèi)容通常以表格的形式給出，表格包括測(cè)評(píng)指標(biāo)、測(cè)評(píng)內(nèi)容描述等內(nèi)容?，F(xiàn)場(chǎng)測(cè)評(píng)實(shí)施內(nèi)容是項(xiàng)目組每個(gè)成員開發(fā)測(cè)評(píng)指導(dǎo)書測(cè)評(píng)指導(dǎo)書的基礎(chǔ)?，F(xiàn)場(chǎng)單元測(cè)評(píng)實(shí)施內(nèi)容表格描述的基本格式之一為：表3XXXX（如物理安全）單元測(cè)評(píng)實(shí)施內(nèi)容庫號(hào)測(cè)評(píng)指標(biāo)測(cè)評(píng)內(nèi)客描述1測(cè)即指標(biāo)?割評(píng)討紋?測(cè)帶方法、測(cè)即實(shí)施ftl述：'71測(cè)呼捋標(biāo)236.2.5測(cè)評(píng)指導(dǎo)書開發(fā)測(cè)評(píng)指導(dǎo)書是具體指導(dǎo)測(cè)評(píng)人員如何進(jìn)行測(cè)評(píng)活動(dòng)的文件，是現(xiàn)場(chǎng)測(cè)評(píng)的工具、方法和操作步驟等的詳細(xì)描述，是保證測(cè)評(píng)活動(dòng)可以重現(xiàn)的根本。因此，測(cè)評(píng)指導(dǎo)書應(yīng)當(dāng)盡可能詳盡、充分。輸入：測(cè)評(píng)方案的測(cè)試工具接入點(diǎn)、單元測(cè)評(píng)實(shí)施部分。任務(wù)描述：a）描述單個(gè)測(cè)評(píng)對(duì)象，包括測(cè)評(píng)對(duì)象的名稱、地址、用途、管理人員等信息。b）根據(jù)的單元測(cè)評(píng)實(shí)施確定測(cè)評(píng)活動(dòng)，包括測(cè)評(píng)項(xiàng)、測(cè)評(píng)方法、操作步驟和預(yù)期結(jié)果等四部分。測(cè)評(píng)項(xiàng)是指22239-2008中對(duì)該測(cè)評(píng)對(duì)象在該用例中的要求，在中對(duì)應(yīng)每個(gè)測(cè)評(píng)單元中的“測(cè)評(píng)指標(biāo)”的具體要求項(xiàng)。測(cè)評(píng)方法是指訪談、檢查和測(cè)試三種方法，具體到測(cè)評(píng)對(duì)象上可細(xì)化為文檔審查、配置檢查、工具測(cè)試和實(shí)地察看等多種方法，每個(gè)測(cè)評(píng)項(xiàng)可能對(duì)應(yīng)多個(gè)測(cè)評(píng)方法。操作步驟是指在現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)中應(yīng)執(zhí)行的命令或步驟，是按照中的每個(gè)“測(cè)評(píng)實(shí)施”項(xiàng)目開發(fā)的操作步驟，涉及到工具測(cè)試時(shí)，應(yīng)描述工具測(cè)試路徑及接入點(diǎn)等；預(yù)期結(jié)果是指按照操作步驟在正常的情況下應(yīng)得到的結(jié)果和獲取的證據(jù)。c）單元測(cè)評(píng)一般以表格形式設(shè)計(jì)和描述測(cè)評(píng)項(xiàng)、測(cè)評(píng)方法、操作步驟和預(yù)期結(jié)果等內(nèi)容。整體測(cè)評(píng)則一般以文字描述的方式表述，可以以測(cè)評(píng)用例的方式進(jìn)行組織。單元測(cè)評(píng)的測(cè)評(píng)指導(dǎo)書描述的基本格式為：表4XXX［測(cè)評(píng)對(duì)象’如核心交換機(jī)）單元測(cè)評(píng)抬導(dǎo)書序號(hào)測(cè)評(píng)描標(biāo)操作步驟預(yù)期結(jié)杲r測(cè)評(píng)摘標(biāo)11?2?1.3測(cè)評(píng)項(xiàng)"■■h?■■4€測(cè)評(píng)插標(biāo)2測(cè)評(píng)項(xiàng)小6……7……■■II■■.1輸出/產(chǎn)品：測(cè)評(píng)指導(dǎo)書，測(cè)評(píng)結(jié)果記錄表格。6.2.6測(cè)評(píng)方案編制測(cè)評(píng)方案是等級(jí)測(cè)評(píng)工作實(shí)施的基礎(chǔ)，指導(dǎo)等級(jí)測(cè)評(píng)工作的現(xiàn)場(chǎng)實(shí)施活動(dòng)。測(cè)評(píng)方案應(yīng)包括但不局限于以下內(nèi)容：項(xiàng)目概述、測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)、測(cè)評(píng)工具的接入點(diǎn)以及單元測(cè)評(píng)實(shí)施等。輸入：委托測(cè)評(píng)協(xié)議書，填好的調(diào)研表格，22239-2008中相應(yīng)等級(jí)的基本要求，測(cè)評(píng)方案的測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)、測(cè)試工具接入點(diǎn)、測(cè)評(píng)內(nèi)容部分。任務(wù)描述：a）根據(jù)委托測(cè)評(píng)協(xié)議書和填好的調(diào)研表格，提取項(xiàng)目來源、測(cè)評(píng)委托單位整體信息化建設(shè)情況及被測(cè)系統(tǒng)與單位其他系統(tǒng)之間的連接情況等。b）根據(jù)等級(jí)保護(hù)過程中的等級(jí)測(cè)評(píng)實(shí)施要求，將測(cè)評(píng)活動(dòng)所依據(jù)的標(biāo)準(zhǔn)羅列出來。c）依據(jù)委托測(cè)評(píng)協(xié)議書和被測(cè)系統(tǒng)情況，估算現(xiàn)場(chǎng)測(cè)評(píng)工作量。工作量可以根據(jù)配置檢查的節(jié)點(diǎn)數(shù)量和工具測(cè)試的接入點(diǎn)及測(cè)試內(nèi)容等情況進(jìn)行估算。d）根據(jù)測(cè)評(píng)項(xiàng)目組成員安排，編制工作安排情況。e）根據(jù)以往測(cè)評(píng)經(jīng)驗(yàn)以及被測(cè)系統(tǒng)規(guī)模，編制具體測(cè)評(píng)計(jì)劃，包括現(xiàn)場(chǎng)工作人員的分工和時(shí)間安排。在進(jìn)行時(shí)間計(jì)劃安排時(shí)，應(yīng)盡量避開被測(cè)系統(tǒng)的業(yè)務(wù)高峰期，避免給被測(cè)系統(tǒng)帶來影響。同時(shí)，在測(cè)評(píng)計(jì)劃中應(yīng)將具體測(cè)評(píng)所需條件以及測(cè)評(píng)需要的配合人員也一并給出，便于測(cè)評(píng)實(shí)施之前雙方溝通協(xié)調(diào)、合理安排。f）匯總上述內(nèi)容及方案編制活動(dòng)的其他任務(wù)獲取的內(nèi)容形成測(cè)評(píng)方案文稿。g）評(píng)審和提交測(cè)評(píng)方案。測(cè)評(píng)方案初稿應(yīng)通過測(cè)評(píng)項(xiàng)目組全體成員評(píng)審，修改完成后形成提交稿。然后，測(cè)評(píng)機(jī)構(gòu)將測(cè)評(píng)方案提交給測(cè)評(píng)委托單位簽字認(rèn)可。輸出/產(chǎn)品：經(jīng)過評(píng)審和確認(rèn)的測(cè)評(píng)方案文本。6.3方案編制活動(dòng)的輸出文檔方案編制活動(dòng)的輸出文檔及其內(nèi)容如表5所示:表$方案編制活動(dòng)的輸出文檔及其內(nèi)容輸出文檔測(cè)評(píng)方塞的測(cè)評(píng)對(duì)聖部甘被測(cè)系統(tǒng)的整體結(jié)構(gòu)、邊界、悶紹區(qū)域r堂要節(jié)點(diǎn)、測(cè)評(píng)對(duì)象等測(cè)評(píng)描際牌定測(cè)評(píng)方塞的酣評(píng)指標(biāo)部分.械測(cè)親統(tǒng)宦級(jí)結(jié)果、測(cè)評(píng)指標(biāo)測(cè)試工具接人點(diǎn)悔定測(cè)評(píng)芳案的鵠試工具接入點(diǎn)部分測(cè)試工具接人點(diǎn)段測(cè)試方法測(cè)評(píng)內(nèi)容確定測(cè)評(píng)方案的單元測(cè)評(píng)實(shí)施部分單元測(cè)評(píng)實(shí)施內(nèi)穿測(cè)評(píng)指導(dǎo)書開發(fā)測(cè)評(píng)描導(dǎo)書孑測(cè)評(píng)時(shí)軽即測(cè)評(píng)內(nèi)容境方注測(cè)訐方案編制測(cè)評(píng)方案文木項(xiàng)LI概逑、測(cè)評(píng)對(duì)嫁、測(cè)評(píng)指標(biāo)?測(cè)試匚具接人點(diǎn)、單元測(cè)評(píng)或施旳6.4方案編制活動(dòng)中雙方的職責(zé)測(cè)評(píng)機(jī)構(gòu)職責(zé)：a）詳細(xì)分析被測(cè)系統(tǒng)的整體結(jié)構(gòu)、邊界、網(wǎng)絡(luò)區(qū)域、重要節(jié)點(diǎn)b）初步判斷被測(cè)系統(tǒng)的安全薄弱點(diǎn)。c）分析確定測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)和測(cè)試工具接入點(diǎn)，確定測(cè)評(píng)內(nèi)容及方法。d）編制測(cè)評(píng)方案文本，并對(duì)其內(nèi)部評(píng)審，并提交被測(cè)機(jī)構(gòu)簽字確認(rèn)。測(cè)評(píng)委托單位職責(zé)：a）對(duì)測(cè)評(píng)方案進(jìn)行認(rèn)可，并簽字確認(rèn)。7現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)7.1現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)的工作流程現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)通過與測(cè)評(píng)委托單位進(jìn)行溝通和協(xié)調(diào)，為現(xiàn)場(chǎng)測(cè)評(píng)的順利開展打下良好基礎(chǔ)，然后依據(jù)測(cè)評(píng)方案實(shí)施現(xiàn)場(chǎng)測(cè)評(píng)工作，將測(cè)評(píng)方案和測(cè)評(píng)工具等具體落實(shí)到現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)中?，F(xiàn)場(chǎng)測(cè)評(píng)工作應(yīng)取得分析與報(bào)告編制活動(dòng)所需的、足夠的證據(jù)和資料?，F(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)包括現(xiàn)場(chǎng)測(cè)評(píng)準(zhǔn)備、現(xiàn)場(chǎng)測(cè)評(píng)和結(jié)果記錄、結(jié)果確認(rèn)和資料歸還三項(xiàng)主要任務(wù)。這三項(xiàng)任務(wù)的基本工作流程見圖3:圖3現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)的基本工件流程7.2現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)的主要任務(wù)7.2.1現(xiàn)場(chǎng)測(cè)評(píng)準(zhǔn)備本任務(wù)啟動(dòng)現(xiàn)場(chǎng)測(cè)評(píng)，是保證測(cè)評(píng)機(jī)構(gòu)能夠順利實(shí)施測(cè)評(píng)的前提。輸入：現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書，測(cè)評(píng)方案。任務(wù)描述：a）測(cè)評(píng)委托單位簽署現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書。b）召開測(cè)評(píng)現(xiàn)場(chǎng)首次會(huì)，測(cè)評(píng)機(jī)構(gòu)介紹測(cè)評(píng)工作，交流測(cè)評(píng)信息，進(jìn)一步明確測(cè)評(píng)計(jì)劃和方案中的內(nèi)容，說明測(cè)評(píng)過程中具體的實(shí)施工作內(nèi)容，測(cè)評(píng)時(shí)間安排等，以便于后面的測(cè)評(píng)工作開展。c）測(cè)評(píng)雙方確認(rèn)現(xiàn)場(chǎng)測(cè)評(píng)需要的各種資源，包括測(cè)評(píng)委托單位的配合人員和需要提供的測(cè)評(píng)條件等，確認(rèn)被測(cè)系統(tǒng)已備份過系統(tǒng)及數(shù)據(jù)。d）測(cè)評(píng)人員根據(jù)會(huì)議溝通結(jié)果，對(duì)測(cè)評(píng)結(jié)果記錄表單和測(cè)評(píng)程序進(jìn)行必要的更新。輸出/產(chǎn)品：會(huì)議記錄，更新后的測(cè)評(píng)計(jì)劃和測(cè)評(píng)程序，確認(rèn)的測(cè)評(píng)授權(quán)書等。7.2.2現(xiàn)場(chǎng)測(cè)評(píng)和結(jié)果記錄現(xiàn)場(chǎng)測(cè)評(píng)一般包括訪談、文檔審查、配置檢查、工具測(cè)試和實(shí)地察看五個(gè)方面。7.2.2.1訪談?shì)斎耄簻y(cè)評(píng)指導(dǎo)書，技術(shù)安全和管理安全測(cè)評(píng)的測(cè)評(píng)結(jié)果記錄表格。任務(wù)描述：a）測(cè)評(píng)人員與被測(cè)系統(tǒng)有關(guān)人員（個(gè)人/群體）進(jìn)行交流、討論等活動(dòng)，獲取相關(guān)證據(jù)，了解有關(guān)信息。在訪談范圍上，不同等級(jí)信息系統(tǒng)在測(cè)評(píng)時(shí)有不同的要求，一般應(yīng)基本覆蓋所有的安全相關(guān)人員類型，在數(shù)量上可以抽樣。具體可參照中的各級(jí)要求。輸出/產(chǎn)品：技術(shù)安全和管理安全測(cè)評(píng)的測(cè)評(píng)結(jié)果記錄或錄音。7.2.2.2文檔審查輸入：安全方針文件，安全管理制度，安全管理的執(zhí)行過程文檔，系統(tǒng)設(shè)計(jì)方案，網(wǎng)絡(luò)設(shè)備的技術(shù)資料，系統(tǒng)和產(chǎn)品的實(shí)際配置說明，系統(tǒng)的各種運(yùn)行記錄文檔，機(jī)房建設(shè)相關(guān)資料，機(jī)房出入記錄等過程記錄文檔，測(cè)評(píng)指導(dǎo)書，管理安全測(cè)評(píng)的測(cè)評(píng)結(jié)果記錄表格。任務(wù)描述：a）檢查22239-2008中規(guī)定的必須具有的制度、策略、操作規(guī)程等文檔是否齊備。b）檢查是否有完整的制度執(zhí)行情況記錄，如機(jī)房出入登記記錄、電子記錄、高等級(jí)系統(tǒng)的關(guān)鍵設(shè)備的使用登記記錄等。c）對(duì)上述文檔進(jìn)行審核與分析，檢查他們的完整性和這些文件之間的內(nèi)部一致性。下面列出對(duì)不同等級(jí)信息系統(tǒng)在測(cè)評(píng)實(shí)施時(shí)的不同強(qiáng)度要求。一級(jí)：滿足22239-2008中的一級(jí)要求。二級(jí)：滿足22239-2008中的二級(jí)要求，并且所有文檔之間應(yīng)保持一致性，要求有執(zhí)行過程記錄的，過程記錄文檔的記錄內(nèi)容應(yīng)與相應(yīng)的管理制度和文檔保持一致，與實(shí)際情況保持一致。三級(jí)：滿足22239-2008中的三級(jí)要求，所有文檔應(yīng)具備且完整，并且所有文檔之間應(yīng)保持一致性，要求有執(zhí)行過程記錄的，過程記錄文檔的記錄內(nèi)容應(yīng)與相應(yīng)的管理制度和文檔保持一致，與實(shí)際情況保持一致，安全管理過程應(yīng)與系統(tǒng)設(shè)計(jì)方案保持一致且能夠有效管理系統(tǒng)。四級(jí)：滿足22239-2008中的四級(jí)要求，所有文檔應(yīng)具備且完整，并且所有文檔之間應(yīng)保持一致性，要求有執(zhí)行過程記錄的，過程記錄文檔的記錄內(nèi)容應(yīng)與相應(yīng)的管理制度和文檔保持一致，與實(shí)際情況保持一致，安全管理過程應(yīng)與系統(tǒng)設(shè)計(jì)方案保持一致且能夠有效管理系統(tǒng)。輸出/產(chǎn)品：管理安全測(cè)評(píng)的測(cè)評(píng)結(jié)果記錄。7.2.2.3配置檢查輸入：測(cè)評(píng)指導(dǎo)書，技術(shù)安全測(cè)評(píng)的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測(cè)評(píng)結(jié)果記錄表格。任務(wù)描述：a）根據(jù)測(cè)評(píng)結(jié)果記錄表格內(nèi)容，利用上機(jī)驗(yàn)證的方式檢查應(yīng)用系統(tǒng)、主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及網(wǎng)絡(luò)設(shè)備的配置是否正確，是否與文檔、相關(guān)設(shè)備和部件保持一致，對(duì)文檔審核的內(nèi)容進(jìn)行核實(shí)（包括日志審計(jì)等）。b）如果系統(tǒng)在輸入無效命令時(shí)不能完成其功能，將要對(duì)其進(jìn)行錯(cuò)誤測(cè)試。c）針對(duì)網(wǎng)絡(luò)連接，應(yīng)對(duì)連接規(guī)則進(jìn)行驗(yàn)證。下面列出對(duì)不同等級(jí)信息系統(tǒng)在測(cè)評(píng)實(shí)施時(shí)的不同強(qiáng)度要求。一級(jí)：滿足22239-2008中的一級(jí)要求。二級(jí)：滿足22239-2008中的二級(jí)要求，測(cè)評(píng)其實(shí)施的正確性和有效性，檢查配置的完整性，測(cè)試網(wǎng)絡(luò)連接規(guī)則的一致性。三級(jí)：滿足22239-2008中的三級(jí)要求，測(cè)評(píng)其實(shí)施的正確性和有效性，檢查配置的完整性，測(cè)試網(wǎng)絡(luò)連接規(guī)則的一致性，測(cè)試系統(tǒng)是否達(dá)到可用性和可靠性的要求。四級(jí)：滿足22239-2008中的四級(jí)要求，測(cè)評(píng)其實(shí)施的正確性和有效性，檢查配置的完整性，測(cè)試網(wǎng)絡(luò)連接規(guī)則的一致性，測(cè)試系統(tǒng)是否達(dá)到可用性和可靠性的要求。輸出/產(chǎn)品：技術(shù)安全測(cè)評(píng)的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測(cè)評(píng)結(jié)果記錄。7.2.2.4工具測(cè)試輸入：測(cè)評(píng)指導(dǎo)書，技術(shù)安全測(cè)評(píng)的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測(cè)評(píng)結(jié)果記錄表格。任務(wù)描述：a）根據(jù)測(cè)評(píng)指導(dǎo)書，利用技術(shù)工具對(duì)系統(tǒng)進(jìn)行測(cè)試，包括基于網(wǎng)絡(luò)探測(cè)和基于主機(jī)審計(jì)的漏洞掃描、滲透性測(cè)試、性能測(cè)試、入侵檢測(cè)和協(xié)議分析等。b）備份測(cè)試結(jié)果。下面列出對(duì)不同等級(jí)信息系統(tǒng)在測(cè)評(píng)實(shí)施時(shí)的不同強(qiáng)度要求。一級(jí)：滿足22239-2008中的一級(jí)要求。二級(jí)：滿足22239-2008中的二級(jí)要求，針對(duì)主機(jī)、服務(wù)器、關(guān)鍵網(wǎng)絡(luò)設(shè)備、安全設(shè)備等設(shè)備進(jìn)行漏洞掃描等。三級(jí)：滿足22239-2008中的三級(jí)要求，針對(duì)主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等設(shè)備進(jìn)行漏洞掃描，針對(duì)應(yīng)用系統(tǒng)完整性和保密性要求進(jìn)行協(xié)議分析，滲透測(cè)試應(yīng)包括基于一般脆弱性的內(nèi)部和外部滲透攻擊。四級(jí)：滿足22239-2008中的四級(jí)要求，針對(duì)主機(jī)、服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備等設(shè)備進(jìn)行漏洞掃描，針對(duì)應(yīng)用系統(tǒng)完整性和保密性要求進(jìn)行協(xié)議分析，滲透測(cè)試應(yīng)包括基于一般脆弱性的內(nèi)部和外部滲透攻擊。輸出/產(chǎn)品：技術(shù)安全測(cè)評(píng)的網(wǎng)絡(luò)、主機(jī)、應(yīng)用測(cè)評(píng)結(jié)果記錄，工具測(cè)試完成后的電子輸出記錄，備份的測(cè)試結(jié)果文件。7.2.2.5實(shí)地察看輸入：測(cè)評(píng)指導(dǎo)書，技術(shù)安全測(cè)評(píng)的物理安全和管理安全測(cè)評(píng)結(jié)果記錄表格。任務(wù)描述：a）根據(jù)被測(cè)系統(tǒng)的實(shí)際情況，測(cè)評(píng)人員到系統(tǒng)運(yùn)行現(xiàn)場(chǎng)通過實(shí)地的觀察人員行為、技術(shù)設(shè)施和物理環(huán)境狀況判斷人員的安全意識(shí)、業(yè)務(wù)操作、管理程序和系統(tǒng)物理環(huán)境等方面的安全情況，測(cè)評(píng)其是否達(dá)到了相應(yīng)等級(jí)的安全要求。下面列出對(duì)不同等級(jí)信息系統(tǒng)在測(cè)評(píng)實(shí)施時(shí)的不同強(qiáng)度要求。一級(jí)：滿足22239-2008中的一級(jí)要求。二級(jí)：滿足22239-2008中的二級(jí)要求。三級(jí)：滿足22239-2008中的三級(jí)要求，判斷實(shí)地觀察到的情況與制度和文檔中說明的情況是否一致，檢查相關(guān)設(shè)備、設(shè)施的有效性和位置的正確性，與系統(tǒng)設(shè)計(jì)方案的一致性。四級(jí)：滿足22239-2008中的四級(jí)要求，判斷實(shí)地觀察到的情況與制度和文檔中說明的情況是否一致，檢查相關(guān)設(shè)備、設(shè)施的有效性和位置的正確性，與系統(tǒng)設(shè)計(jì)方案的一致性。輸出/產(chǎn)品：技術(shù)安全測(cè)評(píng)的物理安全和管理安全測(cè)評(píng)結(jié)果記錄。7.2.3結(jié)果確認(rèn)和資料歸還輸入：測(cè)評(píng)結(jié)果記錄，工具測(cè)試完成后的電子輸出記錄。任務(wù)描述：a）測(cè)評(píng)人員在現(xiàn)場(chǎng)測(cè)評(píng)完成之后，應(yīng)首先匯總現(xiàn)場(chǎng)測(cè)評(píng)的測(cè)評(píng)記錄，對(duì)漏掉和需要進(jìn)一步驗(yàn)證的內(nèi)容實(shí)施補(bǔ)充測(cè)評(píng)。b）召開測(cè)評(píng)現(xiàn)場(chǎng)結(jié)束會(huì)，測(cè)評(píng)雙方對(duì)測(cè)評(píng)過程中發(fā)現(xiàn)的問題進(jìn)行現(xiàn)場(chǎng)確認(rèn)。c）測(cè)評(píng)機(jī)構(gòu)歸還測(cè)評(píng)過程中借閱的所有文檔資料，并由測(cè)評(píng)委托單位文檔資料提供者簽字確認(rèn)。輸出/產(chǎn)品：現(xiàn)場(chǎng)測(cè)評(píng)中發(fā)現(xiàn)的問題匯總，證據(jù)和證據(jù)源記錄，測(cè)評(píng)委托單位的書面認(rèn)可文件。7.3現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)的輸出文檔現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)的輸出文檔及其內(nèi)容如表6所示：

表右現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)的輸岀文檔及其內(nèi)容伍務(wù)輸岀文櫛文檔內(nèi)容現(xiàn)場(chǎng)料即能備會(huì)議記錄、確認(rèn)的測(cè)評(píng)投枚書、亀新后的測(cè)評(píng)計(jì)劃剎測(cè)評(píng)程序匸作計(jì)卿內(nèi)容安排■汝方人員的協(xié)調(diào)?測(cè)井委托恫建應(yīng)提洪的配合技術(shù)安全和管理安全測(cè)評(píng)的測(cè)評(píng)結(jié)杲記衆(zhòng)或錄矗訪城記錄文檔審耄管理安全測(cè)評(píng)的測(cè)砰結(jié)果記錄管理制度和倩理執(zhí)行過程文檔的記錄師置檢査技術(shù)安全測(cè)評(píng)的網(wǎng)絡(luò)、主機(jī)、賊州測(cè)評(píng)結(jié)果記錄楡査內(nèi)容的記孟工具濾試氈術(shù)安全測(cè)評(píng)的悶絡(luò)、主機(jī)、應(yīng)用測(cè)評(píng)結(jié)果記錄?工具測(cè)試完成后曲電干輸出記錄?備鶴的測(cè)試結(jié)果文漏洞掃描、港透性測(cè)試r性能測(cè)試、入凰檢測(cè)和轉(zhuǎn)諛廿析等內(nèi)容前技術(shù)測(cè)試結(jié)果實(shí)地察看技術(shù)安仝測(cè)評(píng)的韌理安仝和管理安全測(cè)評(píng)第累記錄楡查內(nèi)容的記錄測(cè)評(píng)堵果確認(rèn)現(xiàn)場(chǎng)核査中發(fā)現(xiàn)的問趣匯応、證據(jù)和込搖浪記錄t蠹評(píng)委托單也的書面認(rèn)可文忡測(cè)評(píng)活動(dòng)申發(fā)現(xiàn)的問題、甸題的證冊(cè)和if攜源、每頃檢査活動(dòng)審測(cè)怦婆托取位配含人員的書面認(rèn)可7.4現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)中雙方的職責(zé)測(cè)評(píng)機(jī)構(gòu)職責(zé)：a）利用訪談、文檔審查、配置檢查、工具測(cè)試和實(shí)地察看的方法測(cè)評(píng)被測(cè)系統(tǒng)的保護(hù)措施情況，并獲取相關(guān)證據(jù)。測(cè)評(píng)委托單位職責(zé)：a）測(cè)評(píng)前備份系統(tǒng)和數(shù)據(jù)，并確認(rèn)被測(cè)設(shè)備狀態(tài)完好。b）協(xié)調(diào)被測(cè)系統(tǒng)內(nèi)部相關(guān)人員的關(guān)系，配合測(cè)評(píng)工作的開展。c）簽署現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書。d）相關(guān)人員回答測(cè)評(píng)人員的問詢，對(duì)某些需要驗(yàn)證的內(nèi)容上機(jī)進(jìn)行操作。e）相關(guān)人員確認(rèn)測(cè)試前協(xié)助測(cè)評(píng)人員實(shí)施工具測(cè)試并提供有效建議，降低安全測(cè)評(píng)對(duì)系統(tǒng)運(yùn)行的影響。f）相關(guān)人員協(xié)助測(cè)評(píng)人員完成業(yè)務(wù)相關(guān)內(nèi)容的問詢、驗(yàn)證和測(cè)試。g）相關(guān)人員對(duì)測(cè)評(píng)結(jié)果進(jìn)行確認(rèn)。h）相關(guān)人員確認(rèn)測(cè)試后被測(cè)設(shè)備狀態(tài)完好。8分析與報(bào)告編制活動(dòng)8.1分析與報(bào)告編制活動(dòng)的工作流程在現(xiàn)場(chǎng)測(cè)評(píng)工作結(jié)束后，測(cè)評(píng)機(jī)構(gòu)應(yīng)對(duì)現(xiàn)場(chǎng)測(cè)評(píng)獲得的測(cè)評(píng)結(jié)果（或稱測(cè)評(píng)證據(jù)）進(jìn)行匯總分析，形成等級(jí)測(cè)評(píng)結(jié)論，并編制測(cè)評(píng)報(bào)告。測(cè)評(píng)人員在初步判定單元測(cè)評(píng)結(jié)果后，還需進(jìn)行整體測(cè)評(píng)，經(jīng)過整體測(cè)評(píng)后，有的單元測(cè)評(píng)結(jié)果可能會(huì)有所變化，需進(jìn)一步修訂單元測(cè)評(píng)結(jié)果，而后進(jìn)行風(fēng)險(xiǎn)分析和評(píng)價(jià)，形成等級(jí)測(cè)評(píng)結(jié)論。分析與報(bào)告編制活動(dòng)包括單項(xiàng)測(cè)評(píng)結(jié)果判定、單元測(cè)評(píng)結(jié)果判定、整體測(cè)評(píng)、風(fēng)險(xiǎn)分析、等級(jí)測(cè)評(píng)結(jié)論形成及測(cè)評(píng)報(bào)告編制六項(xiàng)主要任務(wù)。這六項(xiàng)任務(wù)的基本工作流程見圖4：圖4分析與報(bào)告編制活動(dòng)前基本工件流程8.2分析與報(bào)告編制活動(dòng)的主要任務(wù)8.2.1單項(xiàng)測(cè)評(píng)結(jié)果判定本任務(wù)主要是針對(duì)測(cè)評(píng)指標(biāo)中的單個(gè)測(cè)評(píng)項(xiàng)，結(jié)合具體測(cè)評(píng)對(duì)象，客觀、準(zhǔn)確地分析測(cè)評(píng)證據(jù)，形成初步單項(xiàng)測(cè)評(píng)結(jié)果，單項(xiàng)測(cè)評(píng)結(jié)果是形成等級(jí)測(cè)評(píng)結(jié)論的基礎(chǔ)。輸入:技術(shù)安全和管理安全的單項(xiàng)測(cè)評(píng)結(jié)果記錄，測(cè)評(píng)指導(dǎo)書。任務(wù)描述：a）針對(duì)每個(gè)測(cè)評(píng)項(xiàng)，分析該測(cè)評(píng)項(xiàng)所對(duì)抗的威脅在被測(cè)系統(tǒng)中是否存在，如果不存在，則該測(cè)評(píng)項(xiàng)應(yīng)標(biāo)為不適用項(xiàng)。b）分析單個(gè)測(cè)評(píng)項(xiàng)是否有多方面的要求內(nèi)容，針對(duì)每一方面的要求內(nèi)容，從一個(gè)或多個(gè)測(cè)評(píng)證據(jù)中選擇出“優(yōu)勢(shì)證據(jù)”，并將“優(yōu)勢(shì)證據(jù)”與要求內(nèi)容的預(yù)期測(cè)評(píng)結(jié)果相比較。c）如果測(cè)評(píng)證據(jù)表明所有要求內(nèi)容與預(yù)期測(cè)評(píng)結(jié)果一致，則判定該測(cè)評(píng)項(xiàng)的單項(xiàng)測(cè)評(píng)結(jié)果為符合；如果測(cè)評(píng)證據(jù)表明所有要求內(nèi)容與預(yù)期測(cè)評(píng)結(jié)果不一致，判定該測(cè)評(píng)項(xiàng)的單項(xiàng)測(cè)評(píng)結(jié)果為不符合；否則判定該測(cè)評(píng)項(xiàng)的單項(xiàng)測(cè)評(píng)結(jié)果為部分符合。根據(jù)“優(yōu)勢(shì)證據(jù)”的定義，具體從測(cè)評(píng)方式上來看，針對(duì)物理安全測(cè)評(píng)，實(shí)地察看證據(jù)相比文檔審查證據(jù)為優(yōu)勢(shì)證據(jù)，文檔審查證據(jù)相比訪談證據(jù)為優(yōu)勢(shì)證據(jù)；針對(duì)技術(shù)安全的其他方面測(cè)評(píng)，工具測(cè)試證據(jù)相比配置檢查證據(jù)為優(yōu)勢(shì)證據(jù)，配置檢查證據(jù)相比訪談證據(jù)為優(yōu)勢(shì)證據(jù)；針對(duì)管理安全測(cè)評(píng)，優(yōu)勢(shì)證據(jù)不確定，需根據(jù)實(shí)際情況分析確定優(yōu)勢(shì)證據(jù)。輸出/產(chǎn)品：測(cè)評(píng)報(bào)告的單元測(cè)評(píng)的結(jié)果記錄部分。8.2.2單元測(cè)評(píng)結(jié)果判定本任務(wù)主要是將單項(xiàng)測(cè)評(píng)結(jié)果進(jìn)行匯總，分別統(tǒng)計(jì)不同測(cè)評(píng)對(duì)象的單項(xiàng)測(cè)評(píng)結(jié)果，從而判定單元測(cè)評(píng)結(jié)果，并以表格的形式逐一列出。輸入：測(cè)評(píng)報(bào)告的單元測(cè)評(píng)的結(jié)果記錄部分。任務(wù)描述：a）按層面分別匯總不同測(cè)評(píng)對(duì)象對(duì)應(yīng)測(cè)評(píng)指標(biāo)的單項(xiàng)測(cè)評(píng)結(jié)果情況，包括測(cè)評(píng)多少項(xiàng)，符合要求的多少項(xiàng)等內(nèi)容，一般以表格形式列出。匯總統(tǒng)計(jì)分析的基本表格形式可以如下：注：“.”表示“符合”，“.”表示部分符合，“X”表示“不符合”，“”表示“不適用”。表7XX安全單元測(cè)評(píng)結(jié)果匯總表序號(hào)測(cè)評(píng)對(duì)級(jí)劇評(píng)抬標(biāo)測(cè)評(píng)指捉1測(cè)評(píng)指掠2測(cè)評(píng)指掠31討氟1J（或X或心或際）符會(huì)項(xiàng)數(shù)f在對(duì)象1上時(shí)評(píng)的確評(píng)揺標(biāo)1包會(huì)的測(cè)評(píng)項(xiàng)總敎對(duì)象23對(duì)象3小計(jì)符合項(xiàng)議/在上述對(duì)型上測(cè)評(píng)的測(cè)評(píng)搦標(biāo)1包含的測(cè)評(píng)項(xiàng)總數(shù)注w表示“符舍二占表示部升符合?r”表示r喑合：““科表示"不適用上表中的符號(hào)即為測(cè)評(píng)對(duì)象對(duì)應(yīng)的單元測(cè)評(píng)結(jié)果。測(cè)評(píng)對(duì)象在某個(gè)測(cè)評(píng)指標(biāo)的單元測(cè)評(píng)結(jié)果判別原則如下：測(cè)評(píng)指標(biāo)包含的所有適用測(cè)評(píng)項(xiàng)的單項(xiàng)測(cè)評(píng)結(jié)果均為符合，則該測(cè)評(píng)對(duì)象對(duì)應(yīng)該測(cè)評(píng)指標(biāo)的單元測(cè)評(píng)結(jié)果為符合；測(cè)評(píng)指標(biāo)包含的所有適用測(cè)評(píng)項(xiàng)的單項(xiàng)測(cè)評(píng)結(jié)果均為不符合，則該測(cè)評(píng)對(duì)象對(duì)應(yīng)該測(cè)評(píng)指標(biāo)的單元測(cè)評(píng)結(jié)果為不符合；測(cè)評(píng)指標(biāo)包含的所有測(cè)評(píng)項(xiàng)均為不適用項(xiàng)，則該測(cè)評(píng)對(duì)象對(duì)應(yīng)該測(cè)評(píng)指標(biāo)的單元測(cè)評(píng)結(jié)果為不適用；測(cè)評(píng)指標(biāo)包含的所有適用測(cè)評(píng)項(xiàng)的單項(xiàng)測(cè)評(píng)結(jié)果不全為符合或不符合，則該測(cè)評(píng)對(duì)象對(duì)應(yīng)該測(cè)評(píng)指標(biāo)的單元測(cè)評(píng)結(jié)果為部分符合。輸出/產(chǎn)品：測(cè)評(píng)報(bào)告的單元測(cè)評(píng)的結(jié)果匯總部分。8.2.3整體測(cè)評(píng)針對(duì)單項(xiàng)測(cè)評(píng)結(jié)果的不符合項(xiàng)，采取逐條判定的方法，從安全控制間、層面間和區(qū)域間出發(fā)考慮，給出整體測(cè)評(píng)的具體結(jié)果，并對(duì)系統(tǒng)結(jié)構(gòu)進(jìn)行整體安全測(cè)評(píng)。輸入：測(cè)評(píng)報(bào)告的單元測(cè)評(píng)的結(jié)果匯總部分。任務(wù)描述：a）針對(duì)測(cè)評(píng)對(duì)象“部分符合”及“不符合”要求的單個(gè)測(cè)評(píng)項(xiàng)，分析與該測(cè)評(píng)項(xiàng)相關(guān)的其他測(cè)評(píng)項(xiàng)能否和它發(fā)生關(guān)聯(lián)關(guān)系，發(fā)生什么樣的關(guān)聯(lián)關(guān)系，這些關(guān)聯(lián)關(guān)系產(chǎn)生的作用是否可以“彌補(bǔ)”該測(cè)評(píng)項(xiàng)的不足，以及該測(cè)評(píng)項(xiàng)的不足是否會(huì)影響與其有關(guān)聯(lián)關(guān)系的其他測(cè)評(píng)項(xiàng)的測(cè)評(píng)結(jié)果。b）針對(duì)測(cè)評(píng)對(duì)象“部分符合”及“不符合”要求的單個(gè)測(cè)評(píng)項(xiàng)，分析與該測(cè)評(píng)項(xiàng)相關(guān)的其他層面的測(cè)評(píng)對(duì)象能否和它發(fā)生關(guān)聯(lián)關(guān)系，發(fā)生什么樣的關(guān)聯(lián)關(guān)系，這些關(guān)聯(lián)關(guān)系產(chǎn)生的作用是否可以“彌補(bǔ)”該測(cè)評(píng)項(xiàng)的不足，以及該測(cè)評(píng)項(xiàng)的不足是否會(huì)影響與其有關(guān)聯(lián)關(guān)系的其他測(cè)評(píng)項(xiàng)的測(cè)評(píng)結(jié)果。c）針對(duì)測(cè)評(píng)對(duì)象“部分符合”及“不符合”要求的單個(gè)測(cè)評(píng)項(xiàng)，分析與該測(cè)評(píng)項(xiàng)相關(guān)的其他區(qū)域的測(cè)評(píng)對(duì)象能否和它發(fā)生關(guān)聯(lián)關(guān)系，發(fā)生什么樣的關(guān)聯(lián)關(guān)系，這些關(guān)聯(lián)關(guān)系產(chǎn)生的作用是否可以“彌補(bǔ)”該測(cè)評(píng)項(xiàng)的不足，以及該測(cè)評(píng)項(xiàng)的不足是否會(huì)影響與其有關(guān)聯(lián)關(guān)系的其他測(cè)評(píng)項(xiàng)的測(cè)評(píng)結(jié)果。d）從安全角度分析被測(cè)系統(tǒng)整體結(jié)構(gòu)的安全性，從系統(tǒng)角度分析被測(cè)系統(tǒng)整體安全防范的合理性。e）匯總上述分析結(jié)論，形成表格。表格基本形式如下:表gxx■整體測(cè)評(píng)踣果輸出/產(chǎn)品：測(cè)評(píng)報(bào)告的整體測(cè)評(píng)部分。8.2.4風(fēng)險(xiǎn)分析測(cè)評(píng)人員依據(jù)等級(jí)保護(hù)的相關(guān)規(guī)范和標(biāo)準(zhǔn)，采用風(fēng)險(xiǎn)分析的方法分析等級(jí)測(cè)評(píng)結(jié)果中存在的安全問題可能對(duì)被測(cè)系統(tǒng)安全造成的影響。輸入：填好的調(diào)查表格，測(cè)評(píng)報(bào)告的單元測(cè)評(píng)的結(jié)果匯總及整體測(cè)評(píng)部分。任務(wù)描述：a）結(jié)合單元測(cè)評(píng)的結(jié)果匯總和整體測(cè)評(píng)結(jié)果，將物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全等層面中各個(gè)測(cè)評(píng)對(duì)象的測(cè)評(píng)結(jié)果再次匯總分析，統(tǒng)計(jì)符合情況。一般可以表格的形式描述。表格的基本形式可以如下：XX系統(tǒng)測(cè)評(píng)結(jié)果匯總序號(hào)層面（類〕測(cè)評(píng)指標(biāo)符合情況1.期鰭安全軸評(píng)指標(biāo)1符合卻分符合……b）判斷測(cè)評(píng)結(jié)果匯總中部分符合項(xiàng)或不符合項(xiàng)所產(chǎn)生的安全問題被威脅利用的可能性，可能性的取值范圍為高、中和低。C）判斷測(cè)評(píng)結(jié)果匯總中部分符合項(xiàng)或不符合項(xiàng)所產(chǎn)生的安全問題被威脅利用后，對(duì)被測(cè)系統(tǒng)的業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全造成的影響程度，影響程度取值范圍為高、中和低。d）綜合b）和C）的結(jié)果，對(duì)被測(cè)系統(tǒng)面臨的安全風(fēng)險(xiǎn)進(jìn)行賦值，風(fēng)險(xiǎn)值的取值范圍為咼、中和低。e）結(jié)合被測(cè)系統(tǒng)的安全保護(hù)等級(jí)對(duì)風(fēng)險(xiǎn)分析結(jié)果進(jìn)行評(píng)價(jià)，即對(duì)國家安全、社會(huì)秩序、公共利益以及公民、法人和其他組織的合法權(quán)益造成的風(fēng)險(xiǎn)。輸出：測(cè)評(píng)報(bào)告的測(cè)評(píng)結(jié)果匯總及風(fēng)險(xiǎn)分析和評(píng)價(jià)部分。8.2.5等級(jí)測(cè)評(píng)結(jié)論形成測(cè)評(píng)人員在測(cè)評(píng)結(jié)果匯總的基礎(chǔ)上，找出系統(tǒng)保護(hù)現(xiàn)狀與等級(jí)保護(hù)基本要求之間的差距，并形成等級(jí)測(cè)評(píng)結(jié)論。輸入：測(cè)評(píng)報(bào)告的測(cè)評(píng)結(jié)果匯總部分。任務(wù)描述：a）根據(jù)表9測(cè)評(píng)結(jié)果匯總表格，如果部分符合和不符合項(xiàng)的統(tǒng)計(jì)結(jié)果不全為0,則該信息系統(tǒng)未達(dá)到相應(yīng)等級(jí)的基本安全保護(hù)能力；如果部分符合和不符合項(xiàng)的統(tǒng)計(jì)結(jié)果全為0,則該信息系統(tǒng)達(dá)到了相應(yīng)等級(jí)的基本安全保護(hù)能力。輸出/產(chǎn)品：測(cè)評(píng)報(bào)告的等級(jí)測(cè)評(píng)結(jié)論部分。8.2.6測(cè)評(píng)報(bào)告編制測(cè)評(píng)報(bào)告應(yīng)包括但不局限于以下內(nèi)容：概述、被測(cè)系統(tǒng)描述、測(cè)評(píng)對(duì)象說明、測(cè)評(píng)指標(biāo)說明、測(cè)評(píng)內(nèi)容和方法說明、單元測(cè)評(píng)、整體測(cè)評(píng)、測(cè)評(píng)結(jié)果匯總、風(fēng)險(xiǎn)分析和評(píng)價(jià)、等級(jí)測(cè)評(píng)結(jié)論、整改建議等。其中，概述部分描述被測(cè)系統(tǒng)的總體情況、本次測(cè)評(píng)的主要測(cè)評(píng)目的和依據(jù)；被測(cè)系統(tǒng)描述、測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)、測(cè)評(píng)內(nèi)容和方法等部分內(nèi)容編制時(shí)可以參考測(cè)評(píng)方案相關(guān)部分內(nèi)容，有改動(dòng)的地方應(yīng)根據(jù)實(shí)際測(cè)評(píng)情況進(jìn)行修改。輸入：測(cè)評(píng)方案，單元測(cè)評(píng)的結(jié)果記錄和結(jié)果匯總部分，整體測(cè)評(píng)部分，風(fēng)險(xiǎn)分析和評(píng)價(jià)部分、等級(jí)測(cè)評(píng)結(jié)論部分。任務(wù)描述：a）測(cè)評(píng)人員整理前面幾項(xiàng)任務(wù)的輸出/產(chǎn)品，編制測(cè)評(píng)報(bào)告相應(yīng)部分。一個(gè)測(cè)評(píng)委托單位應(yīng)形成一份測(cè)評(píng)報(bào)告，如果一個(gè)測(cè)評(píng)委托單位內(nèi)有多個(gè)被測(cè)系統(tǒng)，報(bào)告中應(yīng)分別描述每一個(gè)被測(cè)系統(tǒng)的等級(jí)測(cè)評(píng)情況。b）針對(duì)被測(cè)系統(tǒng)存在的安全隱患，從系統(tǒng)安全角度提出相應(yīng)的改進(jìn)建議，編制測(cè)評(píng)報(bào)告的安全建設(shè)整改建議部分。C）列表給出現(xiàn)場(chǎng)測(cè)評(píng)的文檔清單和單項(xiàng)測(cè)評(píng)記錄，以及對(duì)各個(gè)測(cè)評(píng)項(xiàng)的單項(xiàng)測(cè)評(píng)結(jié)果判定情況，編制測(cè)評(píng)報(bào)告的單元測(cè)評(píng)的結(jié)果記錄和問題分析部分。d）測(cè)評(píng)報(bào)告編制完成后，測(cè)評(píng)機(jī)構(gòu)應(yīng)根據(jù)測(cè)評(píng)協(xié)議書、測(cè)評(píng)委托單位提交的相關(guān)文檔、測(cè)評(píng)原始記錄和其他輔助信息，對(duì)測(cè)評(píng)報(bào)告進(jìn)行評(píng)審。e）評(píng)審?fù)ㄟ^后，由項(xiàng)目負(fù)責(zé)人簽字確認(rèn)并提交給測(cè)評(píng)委托單位。輸出/產(chǎn)品：經(jīng)過評(píng)審和確認(rèn)的被測(cè)系統(tǒng)等級(jí)測(cè)評(píng)報(bào)告。8.3分析與報(bào)告編制活動(dòng)的輸出文檔分析與報(bào)告編制活動(dòng)的輸出文檔及其內(nèi)容如表10所示：

表10分析與報(bào)告編制活動(dòng)的輸岀文檔及其內(nèi)容任務(wù)輸出文檔”丈檔內(nèi)容“卑項(xiàng)測(cè)評(píng)誓果判定等級(jí)測(cè)評(píng)報(bào)告的甲元?jiǎng)h評(píng)的第果記錄部分分析披蹲泵統(tǒng)的安全現(xiàn)狀碼個(gè)層面的基耶!安全狀呪）勻標(biāo)準(zhǔn)中相應(yīng)等級(jí)的基木要求的符合情況.蛤出P項(xiàng)測(cè)評(píng)結(jié)果.錠項(xiàng)蹲評(píng)結(jié)果匯總分?jǐn)氐燃?jí)測(cè)評(píng)報(bào)告的輻元窿評(píng)的結(jié)果匯總部分7E總統(tǒng)汁單項(xiàng)測(cè)評(píng)結(jié)果r給出針前毎個(gè)對(duì)線的□元測(cè)評(píng)結(jié)果A整體稱絆尊級(jí)測(cè)評(píng)報(bào)青的整體稱i平部分井析號(hào)厲乘統(tǒng)整體安全狀況應(yīng)魁鴉項(xiàng)測(cè)評(píng)結(jié)果的幡訂情況口鞏臉分折等級(jí)測(cè)評(píng)報(bào)告的鳳臉井析和訝價(jià)部分甘析菠測(cè)系統(tǒng)存在的鳳險(xiǎn)情況a等級(jí)潯絆結(jié)館形觀黑級(jí)測(cè)評(píng)報(bào)告的等級(jí)療評(píng)結(jié)倫部分對(duì)測(cè)怦第果址廳分析，形成等級(jí)測(cè)泮第論.割譜報(bào)告編制等級(jí)測(cè)評(píng)報(bào)告很頊測(cè)評(píng)記錄和結(jié)果，單項(xiàng)測(cè)讒結(jié)果匸總T整體測(cè)評(píng)過穆及結(jié)果，鳳險(xiǎn)分折過穆儀堵果?等級(jí)挺怦箱論，安全建設(shè)螫改建議等「8.4分析與報(bào)告編制活動(dòng)中雙方的職責(zé)測(cè)評(píng)機(jī)構(gòu)職責(zé)：a）分析并判定單項(xiàng)測(cè)評(píng)結(jié)果和整體測(cè)評(píng)結(jié)果。b）分析評(píng)價(jià)被測(cè)系統(tǒng)存在的風(fēng)險(xiǎn)情況。c）根據(jù)測(cè)評(píng)結(jié)果形成等級(jí)測(cè)評(píng)結(jié)論。d）編制等級(jí)測(cè)評(píng)報(bào)告，說明系統(tǒng)存在的安全隱患和缺陷，并給出改進(jìn)建議。e）評(píng)審等級(jí)測(cè)評(píng)報(bào)告，并將評(píng)審過的等級(jí)測(cè)評(píng)報(bào)告按照分發(fā)范圍進(jìn)行分發(fā)。f）將生成的過程文檔歸檔保存，并將測(cè)評(píng)過程中生成的電子文檔清除。測(cè)評(píng)委托單位職責(zé)：a）簽收測(cè)評(píng)報(bào)告。附錄A（資料性附錄）等級(jí)測(cè)評(píng)工作流程受委托測(cè)評(píng)機(jī)構(gòu)實(shí)施的等級(jí)測(cè)評(píng)工作活動(dòng)及流程與運(yùn)營、使用單位的自查活動(dòng)及流程會(huì)有所差異，初次等級(jí)測(cè)評(píng)和再次等級(jí)測(cè)評(píng)的工作活動(dòng)及流程也不完全相同，而且針對(duì)不同等級(jí)信息系統(tǒng)實(shí)施的等級(jí)測(cè)評(píng)工作活動(dòng)及流程也不相同。受委托測(cè)評(píng)機(jī)構(gòu)對(duì)信息系統(tǒng)的初次等級(jí)測(cè)評(píng)可以分為四項(xiàng)活動(dòng)：測(cè)評(píng)準(zhǔn)備活動(dòng)、方案編制活動(dòng)、現(xiàn)場(chǎng)測(cè)評(píng)活動(dòng)、分析與報(bào)告編制活動(dòng)。具體如圖5所示：栄1耳產(chǎn)1|臺(tái)up上圖是對(duì)受委托測(cè)評(píng)機(jī)構(gòu)對(duì)信息系統(tǒng)實(shí)施初次等級(jí)測(cè)評(píng)的基本工作流程。如果被測(cè)系統(tǒng)已經(jīng)實(shí)施過一次（或多次）等級(jí)測(cè)評(píng)，上圖中的四個(gè)活動(dòng)保持不變，但是具體任務(wù)內(nèi)容會(huì)有所變化。測(cè)評(píng)機(jī)構(gòu)和測(cè)評(píng)人員可以根據(jù)上一次等級(jí)測(cè)評(píng)中存在的問題和被測(cè)系統(tǒng)的實(shí)際情況調(diào)整部分工作任務(wù)內(nèi)容。例如，信息收集和分析任務(wù)中，可以只收集那些自上次等級(jí)測(cè)評(píng)后有所變更的信息，其他信息可以重用上次等級(jí)測(cè)評(píng)結(jié)果；測(cè)評(píng)對(duì)象盡量選擇上次等級(jí)測(cè)評(píng)中未測(cè)過或存在問題的作為測(cè)評(píng)對(duì)象；測(cè)評(píng)內(nèi)容也應(yīng)關(guān)注上次等級(jí)測(cè)評(píng)中發(fā)現(xiàn)的問題。不同等級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)的基本工作活動(dòng)與圖5中信息系統(tǒng)的等級(jí)測(cè)評(píng)活動(dòng)應(yīng)完全一致，即：測(cè)評(píng)準(zhǔn)備、方案編制、現(xiàn)場(chǎng)測(cè)評(píng)、分析與報(bào)告編制四項(xiàng)活動(dòng)。由于圖5給出的是較為全面的工作流程和任務(wù)，因此，較低等級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)的各個(gè)活動(dòng)的具體工作任務(wù)應(yīng)在圖5基礎(chǔ)上刪除或簡化部分內(nèi)容。如針對(duì)二級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)，測(cè)評(píng)人員在分析與報(bào)告編制活動(dòng)中可以不進(jìn)行單項(xiàng)測(cè)評(píng)結(jié)果匯總分析，僅進(jìn)行簡單的匯總等。相反，較高等級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)的工作任務(wù)則可以在此基礎(chǔ)上增加或細(xì)化部分內(nèi)容。如針對(duì)四級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)，在測(cè)評(píng)對(duì)象確定任務(wù)中，不但需要確定出測(cè)評(píng)對(duì)象，還需給出選擇這些測(cè)評(píng)對(duì)象的過程及理由等；整體測(cè)評(píng)需設(shè)計(jì)具體的整體測(cè)評(píng)實(shí)例等。附錄B（資料性附錄）測(cè)評(píng)對(duì)象確定方法B.1測(cè)評(píng)對(duì)象確定原則和方法測(cè)評(píng)對(duì)象是等級(jí)測(cè)評(píng)的直接工作對(duì)象，也是在被測(cè)系統(tǒng)中實(shí)現(xiàn)特定測(cè)評(píng)指標(biāo)所對(duì)應(yīng)的安全功能的具體系統(tǒng)組件，因此，選擇測(cè)評(píng)對(duì)象是編制測(cè)評(píng)方案的必要步驟，也是整個(gè)測(cè)評(píng)工作的重要環(huán)節(jié)。恰當(dāng)選擇測(cè)評(píng)對(duì)象的種類和數(shù)量是整個(gè)等級(jí)測(cè)評(píng)工作能夠獲取足夠證據(jù)、了解到被測(cè)系統(tǒng)的真實(shí)安全保護(hù)狀況的重要保證。測(cè)評(píng)對(duì)象的確定一般采用抽查的方法，即：抽查信息系統(tǒng)中具有代表性的組件作為測(cè)評(píng)對(duì)象。并且，在測(cè)評(píng)對(duì)象確定任務(wù)中應(yīng)兼顧工作投入與結(jié)果產(chǎn)出兩者的平衡關(guān)系。在確定測(cè)評(píng)對(duì)象時(shí)，需遵循以下原則：恰當(dāng)性，選擇的設(shè)備、軟件系統(tǒng)等應(yīng)能滿足相應(yīng)等級(jí)的測(cè)評(píng)強(qiáng)度要求；重要性，應(yīng)抽查對(duì)被測(cè)系統(tǒng)來說重要的服務(wù)器、數(shù)據(jù)庫和網(wǎng)絡(luò)設(shè)備等；3?安全性，應(yīng)抽查對(duì)外暴露的網(wǎng)絡(luò)邊界；共享性，應(yīng)抽查共享設(shè)備和數(shù)據(jù)交換平臺(tái)/設(shè)備；代表性，抽查應(yīng)盡量覆蓋系統(tǒng)各種設(shè)備類型、操作系統(tǒng)類型、數(shù)據(jù)庫系統(tǒng)類型和應(yīng)用系統(tǒng)類型。B.2具體確定方法說明B.2.1第一級(jí)信息系統(tǒng)第一級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)，測(cè)評(píng)對(duì)象的種類和數(shù)量比較少，重點(diǎn)抽查關(guān)鍵的設(shè)備、設(shè)施、人員和文檔等?？梢猿椴榈臏y(cè)評(píng)對(duì)象種類主要考慮以下幾個(gè)方面：主機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等），如果某一輔機(jī)房中放置了服務(wù)于整個(gè)信息系統(tǒng)或?qū)π畔⑾到y(tǒng)的安全性起決定作用的設(shè)備、設(shè)施，那么也應(yīng)該作為測(cè)評(píng)對(duì)象；整個(gè)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；安全設(shè)備，包括防火墻、入侵檢測(cè)設(shè)備、防病毒網(wǎng)關(guān)等；邊界網(wǎng)絡(luò)設(shè)備（可能會(huì)包含安全設(shè)備），包括路由器、防火墻和認(rèn)證網(wǎng)關(guān)等；對(duì)整個(gè)信息系統(tǒng)的安全性起決定作用的網(wǎng)絡(luò)互聯(lián)設(shè)備，如核心交換機(jī)、路由器等；承載最能夠代表被測(cè)系統(tǒng)使命的業(yè)務(wù)或數(shù)據(jù)的核心服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）；最能夠代表被測(cè)系統(tǒng)使命的重要業(yè)務(wù)應(yīng)用系統(tǒng)；信息安全主管人員；涉及到信息系統(tǒng)安全的主要管理制度和記錄，包括進(jìn)出機(jī)房的登記記錄、信息系統(tǒng)相關(guān)設(shè)計(jì)驗(yàn)收文檔等。在本級(jí)信息系統(tǒng)測(cè)評(píng)時(shí)，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備以及服務(wù)器應(yīng)至少抽查一臺(tái)作為測(cè)評(píng)對(duì)象。2.2第二級(jí)信息系統(tǒng)第二級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)，測(cè)評(píng)對(duì)象的種類和數(shù)量都較多，重點(diǎn)抽查重要的設(shè)備、設(shè)施、人員和文檔等。可以抽查的測(cè)評(píng)對(duì)象種類主要考慮以下幾個(gè)方面：主機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等），如果某一輔機(jī)房中放置了服務(wù)于整個(gè)信息系統(tǒng)或?qū)π畔⑾到y(tǒng)的安全性起決定作用的設(shè)備、設(shè)施，那么也應(yīng)該作為測(cè)評(píng)對(duì)象；存儲(chǔ)被測(cè)系統(tǒng)重要數(shù)據(jù)的介質(zhì)的存放環(huán)境；整個(gè)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；安全設(shè)備，包括防火墻、入侵檢測(cè)設(shè)備、防病毒網(wǎng)關(guān)等；邊界網(wǎng)絡(luò)設(shè)備（可能會(huì)包含安全設(shè)備），包括路由器、防火墻和認(rèn)證網(wǎng)關(guān)等；對(duì)整個(gè)信息系統(tǒng)或其局部的安全性起決定作用的網(wǎng)絡(luò)互聯(lián)設(shè)備，如核心交換機(jī)、匯聚層交換機(jī)、核心路由器等；承載被測(cè)系統(tǒng)核心或重要業(yè)務(wù)、數(shù)據(jù)的服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）；重要管理終端；能夠代表被測(cè)系統(tǒng)主要使命的業(yè)務(wù)應(yīng)用系統(tǒng)；10?信息安全主管人員、各方面的負(fù)責(zé)人員；11?涉及到信息系統(tǒng)安全的所有管理制度和記錄。在本級(jí)信息系統(tǒng)測(cè)評(píng)時(shí)，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備以及服務(wù)器應(yīng)至少抽查兩臺(tái)作為測(cè)評(píng)對(duì)象。2.3第三級(jí)信息系統(tǒng)第三級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)，測(cè)評(píng)對(duì)象種類上基本覆蓋、數(shù)量進(jìn)行抽樣，重點(diǎn)抽查主要的設(shè)備、設(shè)施、人員和文檔等?？梢猿椴榈臏y(cè)評(píng)對(duì)象種類主要考慮以下幾個(gè)方面：1?主機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等）和部分輔機(jī)房，應(yīng)將放置了服務(wù)于信息系統(tǒng)的局部（包括整體）或?qū)π畔⑾到y(tǒng)的局部（包括整體）安全性起重要作用的設(shè)備、設(shè)施的輔機(jī)房選取作為測(cè)評(píng)對(duì)象；2?存儲(chǔ)被測(cè)系統(tǒng)重要數(shù)據(jù)的介質(zhì)的存放環(huán)境；辦公場(chǎng)地；整個(gè)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu);安全設(shè)備，包括防火墻、入侵檢測(cè)設(shè)備和防病毒網(wǎng)關(guān)等；邊界網(wǎng)絡(luò)設(shè)備（可能會(huì)包含安全設(shè)備），包括路由器、防火墻、認(rèn)證網(wǎng)關(guān)和邊界接入設(shè)備（如樓層交換機(jī)）等；對(duì)整個(gè)信息系統(tǒng)或其局部的安全性起作用的網(wǎng)絡(luò)互聯(lián)設(shè)備，如核心交換機(jī)、匯聚層交換機(jī)、路由器等；承載被測(cè)系統(tǒng)主要業(yè)務(wù)或數(shù)據(jù)的服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）；管理終端和主要業(yè)務(wù)應(yīng)用系統(tǒng)終端；10?能夠完成被測(cè)系統(tǒng)不同業(yè)務(wù)使命的業(yè)務(wù)應(yīng)用系統(tǒng)；11?業(yè)務(wù)備份系統(tǒng)；信息安全主管人員、各方面的負(fù)責(zé)人員、具體負(fù)責(zé)安全管理的當(dāng)事人、業(yè)務(wù)負(fù)責(zé)人；涉及到信息系統(tǒng)安全的所有管理制度和記錄。在本級(jí)信息系統(tǒng)測(cè)評(píng)時(shí)，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備、服務(wù)器、終端以及備份設(shè)備，每類應(yīng)至少抽查兩臺(tái)作為測(cè)評(píng)對(duì)象。2.4第四級(jí)信息系統(tǒng)第四級(jí)信息系統(tǒng)的等級(jí)測(cè)評(píng)，測(cè)評(píng)對(duì)象種類上完全覆蓋、數(shù)量進(jìn)行抽樣，重點(diǎn)抽查不同種類的設(shè)備、設(shè)施、人員和文檔等?？梢猿椴榈臏y(cè)評(píng)對(duì)象種類主要考慮以下幾個(gè)方面：1.主機(jī)房和全部輔機(jī)房（包括其環(huán)境、設(shè)備和設(shè)施等）；2?介質(zhì)的存放環(huán)境；辦公場(chǎng)地；整個(gè)系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；安全設(shè)備，包括防火墻、入侵檢測(cè)設(shè)備和防病毒網(wǎng)關(guān)等；邊界網(wǎng)絡(luò)設(shè)備（可能會(huì)包含安全設(shè)備），包括路由器、防火墻、認(rèn)證網(wǎng)關(guān)和邊界接入設(shè)備（如樓層交換機(jī)）等；主要網(wǎng)絡(luò)互聯(lián)設(shè)備，包括核心和匯聚層交換機(jī)；主要服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）；管理終端和主要業(yè)務(wù)應(yīng)用系統(tǒng)終端；10?全部應(yīng)用系統(tǒng)；11?業(yè)務(wù)備份系統(tǒng)；信息安全主管人員、各方面的負(fù)責(zé)人員、具體負(fù)責(zé)安全管理的當(dāng)事人、業(yè)務(wù)負(fù)責(zé)人；涉及到信息系統(tǒng)安全的所有管理制度和記錄。在本級(jí)信息系統(tǒng)測(cè)評(píng)時(shí)，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備、服務(wù)器、終端以及備份設(shè)備，每類應(yīng)至少抽查三臺(tái)作為測(cè)評(píng)對(duì)象。附錄c（資料性附錄）等級(jí)測(cè)評(píng)工作要求1依據(jù)標(biāo)準(zhǔn)，遵循原則等級(jí)測(cè)評(píng)實(shí)施應(yīng)依據(jù)等級(jí)保護(hù)的相關(guān)技術(shù)標(biāo)準(zhǔn)進(jìn)行。相關(guān)技術(shù)標(biāo)準(zhǔn)主要包括22239-2008和，其中等級(jí)測(cè)評(píng)目標(biāo)和內(nèi)容應(yīng)依據(jù)22239-2008，對(duì)具體測(cè)評(píng)項(xiàng)的測(cè)評(píng)實(shí)施方法則依據(jù)。在等級(jí)測(cè)評(píng)實(shí)施活動(dòng)中，應(yīng)遵循中規(guī)定的測(cè)評(píng)原則，保證測(cè)評(píng)工作公正、科學(xué)、合理和完善。2恰當(dāng)選取，保證強(qiáng)度恰當(dāng)選取是指對(duì)具體測(cè)評(píng)對(duì)象的選擇要恰當(dāng)，既要避免重要的對(duì)象、可能存在安全隱患的對(duì)象沒有被選擇，也要避免過多選擇，使得工作量增大。保證強(qiáng)度是指對(duì)被測(cè)系統(tǒng)應(yīng)實(shí)施與其等級(jí)相適應(yīng)的測(cè)評(píng)強(qiáng)度。3規(guī)范行為，規(guī)避風(fēng)險(xiǎn)測(cè)評(píng)機(jī)構(gòu)實(shí)施等級(jí)測(cè)評(píng)的過程應(yīng)規(guī)范，包括：制定內(nèi)部保密制度；制定過程控制制度；規(guī)定相關(guān)文檔評(píng)審流程；指定專人負(fù)責(zé)保管等級(jí)測(cè)評(píng)的歸檔文件等。測(cè)評(píng)人員的行為應(yīng)規(guī)范，包括：測(cè)評(píng)人員進(jìn)入現(xiàn)場(chǎng)佩戴工作牌；使用測(cè)評(píng)專用的電腦和工具；嚴(yán)格按照測(cè)評(píng)指導(dǎo)書使用規(guī)范的測(cè)評(píng)技術(shù)進(jìn)行測(cè)評(píng)；準(zhǔn)確記錄測(cè)評(píng)證據(jù)；不擅自評(píng)價(jià)測(cè)評(píng)結(jié)果；不將測(cè)評(píng)結(jié)果復(fù)制給非測(cè)評(píng)人員等。規(guī)避風(fēng)險(xiǎn)，是指要充分估計(jì)測(cè)評(píng)可能給被測(cè)系統(tǒng)帶來的影響，向被測(cè)系統(tǒng)運(yùn)營/使用單位揭示風(fēng)險(xiǎn)，要求其提前采取預(yù)防措施進(jìn)行規(guī)避。同時(shí)，測(cè)評(píng)機(jī)構(gòu)也應(yīng)采取與測(cè)評(píng)委托單位簽署委托測(cè)評(píng)協(xié)議、保密協(xié)議、現(xiàn)場(chǎng)測(cè)評(píng)授權(quán)書、要求測(cè)評(píng)委托單位進(jìn)行系統(tǒng)備份、規(guī)范測(cè)評(píng)活動(dòng)、及時(shí)與測(cè)評(píng)委托單位溝通等措施規(guī)避風(fēng)險(xiǎn)，盡量避免給被測(cè)系統(tǒng)和單位帶來影響。附錄D（資料性附錄）測(cè)評(píng)方案與報(bào)告編制示例某公司（簡稱“”）用電信息系統(tǒng)承載著該公司的電力營銷業(yè)務(wù)，由數(shù)據(jù)存儲(chǔ)、業(yè)務(wù)處理、接入、對(duì)外服務(wù)和外聯(lián)等五個(gè)功能區(qū)域組成，是一個(gè)安全等級(jí)為三級(jí)的信息系統(tǒng)。現(xiàn)場(chǎng)測(cè)評(píng)時(shí)間為X年X月X日至X年X月X日，現(xiàn)場(chǎng)測(cè)評(píng)小組分為管理組（2人）和技術(shù)組（4人）兩組，分別完成安全管理和安全技術(shù)方面的測(cè)評(píng)。1測(cè)評(píng)方案編制示例針對(duì)用電信息系統(tǒng)的實(shí)際情況，下面從被測(cè)系統(tǒng)描述、測(cè)評(píng)對(duì)象、測(cè)評(píng)指標(biāo)、測(cè)評(píng)工具和接入點(diǎn)、測(cè)評(píng)內(nèi)容以及配套的測(cè)評(píng)指導(dǎo)書等方面說明測(cè)評(píng)方案的編制方法。1.1被測(cè)系統(tǒng)描述被測(cè)系統(tǒng)為承載著公司電力營銷業(yè)務(wù)，是公司的重要信息系統(tǒng)，其安全等級(jí)定為三級(jí)（S3A2G3）。l)i-qc11用I心MflUMl)i-qc11用I心MflUM閣聽械測(cè)系境網(wǎng)餡拓樸結(jié)構(gòu)示童團(tuán)—厲―HR2IDS1＞酹4|唄被測(cè)系統(tǒng)由數(shù)據(jù)存儲(chǔ)、業(yè)務(wù)處理、接入、對(duì)外服務(wù)和外聯(lián)等五個(gè)功能區(qū)域組成，對(duì)內(nèi)有業(yè)務(wù)擴(kuò)充管理、電量計(jì)量管理、電費(fèi)結(jié)算、收費(fèi)、統(tǒng)計(jì)分析等業(yè)務(wù)功能模塊；對(duì)外有可以為網(wǎng)、大客戶單位、撥號(hào)用戶等提供電費(fèi)數(shù)據(jù)查詢、交納、業(yè)務(wù)擴(kuò)充、投訴等服務(wù)的功能模塊。數(shù)據(jù)存儲(chǔ)功能區(qū)位于屏蔽機(jī)房，其它功能區(qū)域位于中心機(jī)房。與被測(cè)系統(tǒng)相連的外部連接有、外聯(lián)單位（包括單位和用戶）和控制網(wǎng)三處。在、外聯(lián)單位的邊界連接處設(shè)置了防火墻；與控制網(wǎng)連接是通過交換機(jī)6506以共用服務(wù)器方式進(jìn)行的。整個(gè)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖如圖6所示。1.2測(cè)評(píng)對(duì)象根據(jù)用電信息系統(tǒng)的實(shí)際情況，分別確定物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全等各層面的測(cè)評(píng)對(duì)象。a）物理方面主要是測(cè)評(píng)屏蔽機(jī)房和主機(jī)房。b）網(wǎng)絡(luò)方面主要測(cè)評(píng)的設(shè)備有：路由器、交換機(jī)、防火墻、、外聯(lián)檢測(cè)、防病毒等，如表11所示。

表H鳳終設(shè)備測(cè)評(píng)列蕓功靛匡設(shè)各常秫ffl遙私羋伶息1卄聯(lián)醫(yī)DW^OCfIiits^K；外都接入皤由曙1IiteizL^t1昱虧：CI5CO5JMIP:色：舟2DW300023.+iDDN>忙st；屢人同由器lEjDN-）型號(hào)：CISCOSdifflR：jDW360O5.6(PSTN)弘詠墳止諂市關(guān)（:PSlM-K^feA）型虧』CISCO5d?DIP:31咅斗鑼DW203DW□W20SFW苗火國i.乘蔬口計(jì)斶罷型號(hào)丄UeiScneenICSIP:192.mJ2-3j.C4色】令5DW400S貶克卜脛勢(shì)區(qū)交極機(jī)型號(hào)；ascoioosIP:&1二￡a入畏撿疊設(shè)畐顯號(hào)！啟聞星辰IF;遇：音7郵件祐疇母網(wǎng)扶型號(hào)：瑞呈IP:色】臺(tái)1矮A醫(yī)□W650C燮號(hào)；CI5C0酣?PIP:UK.168.100.24-25^4L1-J750-到LS3750再扎交擺機(jī)里虧！CISCO3750IP;&2ft10悴匿檢碼］.菲袪補(bǔ)聯(lián)監(jiān)測(cè)世基型號(hào)丿IP:ft]fr11浬區(qū)SJK09檢吧交換機(jī)型號(hào)]CISCO65WIP:192.1-5E.100.1-3*2412錯(cuò)區(qū)SJ6506樓入交換機(jī)愛號(hào)』CISCO&5Q6IP:152.^(53.1M.7-3j24ttl#主機(jī)方市主畫測(cè)汗腫土機(jī)服務(wù)餡〔祖站數(shù)據(jù)庫艦藥巻）虬我12斯牙C）主機(jī)方面主要測(cè)評(píng)的主機(jī)服務(wù)器（包括數(shù)據(jù)庫服務(wù)器）如表12所示。

裘仁實(shí)機(jī)測(cè)評(píng)列表〔示鎖“用逮151對(duì)井曲業(yè)掃還斡it理甦務(wù)IB.MPC取OS:WIN20C3IP.2S2時(shí)葉很再叵站型號(hào)三IBJiPC耶務(wù)曙05:WINIOTjIP.查1晝號(hào),IBVifJ匸服S■建OS:LinnsIP.L^.]d5.1.70色1弄斗DB1〈監(jiān)阿沖脈丹器13同電就堀牛儲(chǔ)帝喬站型號(hào)！IBM小型機(jī)05:AK3E:Sybas&IftIPllPIIBS.1.105応巧屈包HF些客戶詵程序型號(hào)：DELLPCOS:Win2000DhIP11DI.16￡.10-10&2ftd）應(yīng)用方面主要測(cè)評(píng)的應(yīng)用系統(tǒng)如表13所示。表怡應(yīng)用乗統(tǒng)測(cè)評(píng)列表（示例）用號(hào)說明1用電噸用厲軌丄要完咸的功炭也祂艸鳥廣充.電屢卄呈.電費(fèi)計(jì)算.食許-境計(jì)聲屮茅.閒貢到的叩唇舉忌辺払用□童珀枕舉祜訴斎思.弔電護(hù)舟總爭(zhēng)眷「J電力處司眾務(wù)什琴41關(guān)的信E“對(duì)針劭與網(wǎng)箱岳竦……，e）安全管理，主要測(cè)評(píng)對(duì)象為與信息安全管理有關(guān)的策略、制度、操作規(guī)程、運(yùn)行記錄、管理人員、技術(shù)人員和相關(guān)設(shè)備設(shè)施D.1.3測(cè)評(píng)指標(biāo)被測(cè)系統(tǒng)的定級(jí)結(jié)果為：安全保護(hù)等級(jí)為3級(jí)，業(yè)務(wù)信息安全等級(jí)為S3，系統(tǒng)服務(wù)安全等級(jí)為A2；則該系統(tǒng)的測(cè)評(píng)指標(biāo)應(yīng)包括22239-2008“技術(shù)要求”中的3級(jí)通用指標(biāo)類（G3），3級(jí)業(yè)務(wù)信息安全指標(biāo)類（S3），2級(jí)系統(tǒng)服務(wù)安全指標(biāo)類（A2），以及第3級(jí)“管理要求”中的所有指標(biāo)類。本次測(cè)評(píng)的測(cè)評(píng)指標(biāo)情況具體如表14所示。D.1.4測(cè)評(píng)工具和接入點(diǎn)本次測(cè)評(píng)的信息系統(tǒng)為3級(jí)信息系統(tǒng)，根據(jù)3級(jí)信息系統(tǒng)的測(cè)評(píng)強(qiáng)度要求，在測(cè)試的廣度上，應(yīng)基本覆蓋不同類型的機(jī)制，在數(shù)量、范圍上可以抽樣；在測(cè)試的深度上，應(yīng)執(zhí)行功能測(cè)試和滲透測(cè)試，功能測(cè)試可能涉及機(jī)制的功能規(guī)范、高級(jí)設(shè)計(jì)和操作規(guī)程等文檔，滲透測(cè)試可能涉及機(jī)制的所有可用文檔，并試圖智取進(jìn)入信息系統(tǒng)等。因此，對(duì)其進(jìn)行測(cè)評(píng)，應(yīng)涉及到漏洞掃描工具、滲透測(cè)評(píng)工具集等多種測(cè)試工具。針對(duì)被測(cè)系統(tǒng)的網(wǎng)絡(luò)邊界和測(cè)評(píng)設(shè)備、主機(jī)和業(yè)務(wù)應(yīng)用系統(tǒng)的情況，需要在被測(cè)系統(tǒng)及其互聯(lián)網(wǎng)絡(luò)中設(shè)置6個(gè)測(cè)試工具接入點(diǎn)一一接入點(diǎn)到，如圖7所示，“接入點(diǎn)”標(biāo)注表示進(jìn)行工具測(cè)試時(shí)，需要從該接入點(diǎn)接入，對(duì)應(yīng)的箭頭路線表示工具測(cè)試數(shù)據(jù)的主要流向示意。勸卜脈務(wù)區(qū)圖7工鳧接入示克圖血?jiǎng)?wù)處理區(qū)UVVKillll勸卜脈務(wù)區(qū)圖7工鳧接入示克圖血?jiǎng)?wù)處理區(qū)UVVKilllla）在接入點(diǎn)接入掃描器，模擬用戶，探測(cè)對(duì)外服務(wù)功能區(qū)上各服務(wù)器對(duì)暴露的安全漏洞情況。并根據(jù)漏洞掃描的結(jié)果接入滲透測(cè)試工具集，試圖利用服務(wù)器的安全漏洞入侵服務(wù)器。b）在接入點(diǎn)接入掃描器，模擬外聯(lián)單位，探測(cè)對(duì)外服務(wù)功能區(qū)上各服務(wù)器對(duì)外聯(lián)單位暴露的安全漏洞情況。并根據(jù)漏洞掃描的結(jié)果接入滲透測(cè)試工具集，試圖利用服務(wù)器的安全漏洞入侵服務(wù)方器。c）在接入點(diǎn)接入掃描器，直接測(cè)試對(duì)外服務(wù)功能區(qū)上各服務(wù)器對(duì)網(wǎng)絡(luò)暴露的安全漏洞情況。同時(shí)，試圖穿過防火墻，探測(cè)業(yè)務(wù)處理功能區(qū)上各服務(wù)器對(duì)外暴露的安全漏洞情況。并根據(jù)漏洞掃描的結(jié)果接入滲透測(cè)試工具集，試圖利用業(yè)務(wù)處理功能區(qū)上各服務(wù)器的安全漏洞入侵服務(wù)器。d）D.1.5測(cè)評(píng)內(nèi)容本次測(cè)評(píng)的單項(xiàng)測(cè)評(píng)從技術(shù)上的物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全五個(gè)層面和管理上的安全管理機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方面分別進(jìn)行。a）物理安全物理安全測(cè)評(píng)將通過訪談、文檔審查和實(shí)地察看的方式測(cè)評(píng)信息系統(tǒng)的物理安全保障情況。主要涉及對(duì)象為屏蔽機(jī)房和主機(jī)房。在內(nèi)容上，物理安全層面測(cè)評(píng)實(shí)施過程涉及10個(gè)測(cè)評(píng)單元，具體如表15所示：表巧物理安全單元測(cè)評(píng)實(shí)施內(nèi)容（示例）序號(hào)測(cè)評(píng)描標(biāo)測(cè)評(píng)內(nèi)容描述1物理位置的選通過訪談朗理安全負(fù)責(zé)人.檢査屏慈機(jī)房利主機(jī)房等過程.測(cè)即屛敲機(jī)屆利主機(jī)房導(dǎo)忙息察統(tǒng)物理場(chǎng)商在忖置1:是篦具苜防理、防鳳利瞬雨等裳方面的安全防范能力。2物理訪問控制通過訪談物埋安全典責(zé)人.楡查屏蔽機(jī)屈利主機(jī)房出人口、機(jī)房分邑?zé)肭闆r等過程，測(cè)評(píng)信息系統(tǒng)在物理訪問控制汗面的安全防范能力..?…b）網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全測(cè)評(píng)將通過訪談、配置檢查和工具測(cè)試的方式測(cè)評(píng)信息系統(tǒng)的網(wǎng)絡(luò)安全保障情況。主要涉及對(duì)象為網(wǎng)絡(luò)互聯(lián)設(shè)備、網(wǎng)絡(luò)安全設(shè)備和網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)等三大類對(duì)象。在內(nèi)容上，網(wǎng)絡(luò)安全層面測(cè)評(píng)實(shí)施過程涉及7個(gè)測(cè)評(píng)單元，具體如表16所示：表16網(wǎng)絡(luò)安全單元測(cè)評(píng)實(shí)施內(nèi)容（示例）序號(hào)測(cè)評(píng)指標(biāo)1問塔結(jié)構(gòu)歡全與網(wǎng)段劃分通過讓慣刑絡(luò)管理員.檢査網(wǎng)皓站撲恬況、測(cè)評(píng)機(jī)心交換機(jī)DW厲09、接入路由器DW3GOO等陶緒互聯(lián)投備.洌試黍統(tǒng)訪問路輕和倒絡(luò)帶宣分配情況等J1程.測(cè)押分折網(wǎng)絡(luò)架掏與洌段劃分、隔離等情況的臺(tái)理性和有敷性.2倒給訪問輕制通過讓讖玄全員.檢查防火DV1708DW.捲扎蹌1中耦口訴光皿、機(jī)心交換機(jī)EWQ妙SJ6509等詁'問陀制設(shè)需測(cè)試系統(tǒng)對(duì)艸提宛安全漏涸情況等過程.測(cè)評(píng)分析館息系統(tǒng)對(duì)網(wǎng)第Lf域邊界相關(guān)刑風(fēng)絡(luò)隔離勺訪問桎制能九?…C）主機(jī)系統(tǒng)安全主機(jī)系統(tǒng)安全測(cè)評(píng)將通過訪談、配置檢查和工具測(cè)試的方式測(cè)評(píng)信息系統(tǒng)的主機(jī)安全保障情況。本次重點(diǎn)測(cè)評(píng)的操作系統(tǒng)包括各網(wǎng)站服務(wù)器、應(yīng)用服務(wù)器和數(shù)據(jù)庫服務(wù)器等的操作系統(tǒng)，數(shù)據(jù)庫管理系統(tǒng)為數(shù)據(jù)庫服務(wù)器。在內(nèi)容上，主機(jī)系統(tǒng)安全層面測(cè)評(píng)實(shí)施過程涉及7個(gè)測(cè)評(píng)單元，具體如表17所示。表口主機(jī)系統(tǒng)安全單丘測(cè)評(píng)實(shí)施內(nèi)客（示例〉序號(hào)測(cè)評(píng)描岳測(cè)評(píng)內(nèi)容描迷1身份鑒別村各主機(jī)服勢(shì)器和吳端設(shè)備相陰掾作慕統(tǒng)或數(shù)據(jù)庫的身倚雜別情撫JS行配置檢査，萌評(píng)分析菠測(cè)乘統(tǒng)主機(jī)的身份隱別能力.，需訪問按制撿查希主機(jī)服務(wù)器和終端設(shè)備相曲掾作系統(tǒng)或數(shù)據(jù)庫的訪問控制設(shè)置情睨，旬括安全策瑙賈蓋、控制拉歴以出祝限設(shè)置情況等.測(cè)評(píng)分折被熬慕統(tǒng)主機(jī)的訪問控制能力?！璬）應(yīng)用安全應(yīng)用安全測(cè)評(píng)將通過訪談、配置檢查和工具測(cè)試的方式測(cè)評(píng)信息系統(tǒng)的應(yīng)用安全保障情況，主要涉及對(duì)象為用電信息系統(tǒng)、對(duì)外服務(wù)網(wǎng)站系統(tǒng)和遠(yuǎn)程客戶服務(wù)系統(tǒng)。在內(nèi)容上，應(yīng)用安全層面測(cè)評(píng)實(shí)施過程涉及9個(gè)測(cè)評(píng)單元，具體如表18所示。表代應(yīng)用安全單元測(cè)評(píng)實(shí)施內(nèi)容（示例）序號(hào)確絆摘標(biāo)測(cè)評(píng)內(nèi)容描述i身■價(jià)鑒別檢査業(yè)務(wù)咸用系統(tǒng)的身份標(biāo)識(shí)與鑒別功能設(shè)置利性用配置悟況；檢:査業(yè)務(wù)兩用系統(tǒng)對(duì)用戶登錄各種情況的處理.如登錄失敗處理、登錄謹(jǐn)接超時(shí)等-檢査業(yè)務(wù)應(yīng)用系統(tǒng)的詁問悴制功能設(shè)盤情況.如詁問控制的策略-訪問據(jù)制粒腹、祝限設(shè)置情況等.……'e）數(shù)據(jù)安全數(shù)據(jù)安全測(cè)評(píng)將通過訪談、配置檢查的方式測(cè)評(píng)信息系統(tǒng)的數(shù)據(jù)安全保障情況，主要涉及對(duì)象為信息系統(tǒng)的管理數(shù)據(jù)及業(yè)務(wù)數(shù)據(jù)等。在內(nèi)容上，數(shù)據(jù)安全層面測(cè)評(píng)實(shí)施過程涉及3個(gè)測(cè)評(píng)單元，具體如表19所示。3f）安全管理部分安全管理部分為全局性問題，涉及安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方面。其中，安全管理制度測(cè)評(píng)實(shí)施過程涉及3個(gè)測(cè)評(píng)單元，安全管理機(jī)構(gòu)測(cè)評(píng)實(shí)施過程涉及5個(gè)測(cè)評(píng)單元，人員安全管理測(cè)評(píng)實(shí)施過程涉及5個(gè)測(cè)評(píng)單元，系統(tǒng)建設(shè)管理測(cè)評(píng)實(shí)施過程涉及11個(gè)測(cè)評(píng)單元，系統(tǒng)運(yùn)維管理測(cè)評(píng)實(shí)施過程涉及13個(gè)測(cè)評(píng)單元等。由于管理部分的測(cè)評(píng)內(nèi)容在描述時(shí)差異不大，這里以安全管理制度部分為例說明。安全管理制度方面的測(cè)評(píng)對(duì)象主要為安全主管人員、安全管理人員等，具體如表20所示。表20安全管理制離單元測(cè)評(píng)實(shí)施內(nèi)容（示例）序測(cè)評(píng)指標(biāo)測(cè)評(píng)內(nèi)容描述1管理制通過訪謹(jǐn)安全主管.檢蠱崔關(guān)管理制度體議文樣「等過程.測(cè)即管理制度體喬在內(nèi)度容覆蓋上是否全面、完善.2制宦與誦過訪謙安全主骨T桂査有關(guān)制度制定姿求文梧等迪程「測(cè)評(píng)管理制度的制定和發(fā)布發(fā)布過程是侶遵循一定的流穢n1通過訪謹(jǐn)安全主管.檢查管連制度閉審記錄等過程，噩猝管理制嗖左期評(píng)榊和儲(chǔ)罄訂訂情況.D.1.6測(cè)評(píng)指導(dǎo)書下面從被測(cè)系統(tǒng)的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全等技術(shù)部分和安全管理部分分別舉例說明測(cè)評(píng)指導(dǎo)書的格式和開發(fā)方法。a）物理安全按照方案的要求，物理安全應(yīng)測(cè)評(píng)物理位置選擇（G3）、物理訪問控制（G3）、防盜竊和防破壞（G3）、防雷擊（G3）、防水和防潮（G3）、防靜電（G3）、溫濕度控制（G3）、電力供應(yīng)（A2）和電磁防護(hù)（S3）等。在22239-2008中找到對(duì)應(yīng)等級(jí)項(xiàng)目的要求，然后在中找到相應(yīng)的測(cè)評(píng)方法。女如對(duì)于溫濕度控制（G3），在22239-2008中的描述為“機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，

使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)?！?，按照該要求在的第三級(jí)中找到對(duì)應(yīng)測(cè)評(píng)方法，然后按照該方法開發(fā)出對(duì)應(yīng)的預(yù)期結(jié)果。按照上述思路，對(duì)于“溫濕度控制（G3）”可以開發(fā)出如下的測(cè)評(píng)指導(dǎo)書?！緶y(cè)評(píng)項(xiàng)】機(jī)房應(yīng)設(shè)置溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，使機(jī)房溫、濕度的變化在設(shè)備運(yùn)行所允許的范圍之內(nèi)。【測(cè)評(píng)實(shí)施過程】應(yīng)訪談物理安全負(fù)責(zé)人，詢問機(jī)房是否配備了溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，保證溫濕度能夠滿足計(jì)算機(jī)設(shè)備運(yùn)行的要求，是否在機(jī)房管理制度中規(guī)定了溫濕度控制的要求，是否有人負(fù)責(zé)此項(xiàng)工作；應(yīng)訪談機(jī)房維護(hù)人員，詢問是否定期檢查和維護(hù)機(jī)房的溫濕度自動(dòng)調(diào)節(jié)設(shè)施，詢問是否出現(xiàn)過溫濕度影響系統(tǒng)運(yùn)行的事件；應(yīng)檢查機(jī)房是否有溫濕度控制設(shè)計(jì)/驗(yàn)收文檔，是否能夠滿足系統(tǒng)運(yùn)行需要，是否與當(dāng)前實(shí)際情況相符合；應(yīng)檢查溫、濕度自動(dòng)調(diào)節(jié)設(shè)施是否能夠正常運(yùn)行，查看溫濕度記錄、運(yùn)行記錄和維護(hù)記錄；查看機(jī)房溫、濕度是否滿足2887-89《計(jì)算站場(chǎng)地技術(shù)條件》的要求?！绢A(yù)期結(jié)果】執(zhí)行步驟1),機(jī)房配備了溫、濕度自動(dòng)調(diào)節(jié)設(shè)施，在機(jī)房管理制度中規(guī)定了溫濕度控制的要求，有人負(fù)責(zé)此項(xiàng)工作；執(zhí)行步驟2)，定期檢查和維護(hù)機(jī)房的溫濕度自動(dòng)調(diào)節(jié)設(shè)施，沒有出現(xiàn)過溫濕度影響系統(tǒng)運(yùn)行的事件；執(zhí)行步驟3),有溫濕度控制設(shè)計(jì)/驗(yàn)收文檔，能夠滿足系統(tǒng)運(yùn)行需要，與當(dāng)前實(shí)際情況相符合；溫、濕度自動(dòng)調(diào)節(jié)設(shè)施能夠正常運(yùn)行，機(jī)房溫、濕度滿足2887-89《計(jì)算站場(chǎng)地技術(shù)條件》的要求。網(wǎng)絡(luò)安全按照測(cè)評(píng)方案的要求，核心交換機(jī)6509應(yīng)測(cè)評(píng)網(wǎng)絡(luò)訪問控制(G3)、網(wǎng)絡(luò)安全審計(jì)(G3)、網(wǎng)絡(luò)設(shè)備防護(hù)(G3)等部分的內(nèi)容。在22239-2008中找到對(duì)應(yīng)等級(jí)項(xiàng)目的要求，然后在中找到相應(yīng)的測(cè)評(píng)方法。如:對(duì)于網(wǎng)絡(luò)設(shè)備防護(hù)(G3)，在22239-2008中的描述之一為“應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制”，按照該項(xiàng)要求找到對(duì)應(yīng)測(cè)評(píng)實(shí)施(方法)，然后開發(fā)出對(duì)應(yīng)的操作步驟和預(yù)期結(jié)果即可。按照上述思路，對(duì)于“網(wǎng)絡(luò)設(shè)備防護(hù)(G3)”的一個(gè)測(cè)評(píng)項(xiàng)可以開發(fā)如下的測(cè)評(píng)指導(dǎo)書。【測(cè)評(píng)項(xiàng)】應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制。【測(cè)評(píng)實(shí)施過程】應(yīng)檢查邊界和主要網(wǎng)絡(luò)設(shè)備上的安全設(shè)置，查看是否對(duì)邊界和主要網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；應(yīng)測(cè)試邊界和主要網(wǎng)絡(luò)設(shè)備的安全設(shè)置，對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制（如使用任意地址登錄，觀察網(wǎng)絡(luò)設(shè)備的動(dòng)作等）等功能是否有效。【操作步驟】執(zhí)行命令：，查看地址限定情況；在業(yè)務(wù)處理功能區(qū)中，用主機(jī)192.168.1.3（限制的地址）試圖登錄6509的管理界面，查看是否成功?！绢A(yù)期結(jié)果】執(zhí)行步驟1），系統(tǒng)對(duì)管理地址進(jìn)行了限定；執(zhí)行步驟2），192.168.1.3登錄6509的管理界面失敗。c）主機(jī)安全按照方案的要求，2（數(shù)據(jù)庫為）應(yīng)測(cè)評(píng)身份鑒別（S3）、自主訪問控制（S3）、強(qiáng)制訪問控制（S3）、安全審計(jì)（G3）、資源控制（A2）、數(shù)據(jù)備份與恢復(fù)（A2）、數(shù)據(jù)完整性（S3）、數(shù)據(jù)保密性（S3）等部分的內(nèi)容。在22239-2008中找到對(duì)應(yīng)等級(jí)項(xiàng)目的要求，然后在中找到相應(yīng)的測(cè)評(píng)方法。如：對(duì)于身份鑒別（S3），在測(cè)評(píng)項(xiàng)中的描述之一為“應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)行身份鑒別”，按照該項(xiàng)要求找到對(duì)應(yīng)測(cè)評(píng)實(shí)施方法，然后開發(fā)對(duì)應(yīng)操作步驟和預(yù)期結(jié)果。按照上述思路，對(duì)于“身份鑒別（S3）”的一個(gè)測(cè)評(píng)項(xiàng)可以開發(fā)如下的測(cè)評(píng)指導(dǎo)書?！緶y(cè)評(píng)項(xiàng)】應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)行身份鑒別?！緶y(cè)評(píng)實(shí)施過程】應(yīng)檢查主要數(shù)據(jù)庫管理系統(tǒng)，查看對(duì)管理用戶的身份鑒別是否采用兩個(gè)及兩個(gè)以上鑒別技術(shù)的組合來進(jìn)行身份鑒別（如采用用戶名/口令、挑戰(zhàn)應(yīng)答、動(dòng)態(tài)口令、物理設(shè)備、生物識(shí)別技術(shù)和數(shù)字證書方式的身份鑒別技術(shù)中的任意兩個(gè)組合）?！静僮鞑襟E】在2主機(jī)上執(zhí)行命令：*，查看是否有用戶存在空口令；詢問數(shù)據(jù)庫管理員，除使用口令鑒別外是否采用其他的鑒別方式，如果有，則檢查其是否有效?！绢A(yù)期結(jié)果】執(zhí)行步驟1),數(shù)據(jù)庫沒有空口令用戶，從而說明數(shù)據(jù)庫管理系統(tǒng)采用口令鑒別方式；執(zhí)行步驟2),數(shù)據(jù)庫管理系統(tǒng)還采取有其他的鑒別方式，并且有效。應(yīng)用安全和數(shù)據(jù)安全按照方案的要求，業(yè)務(wù)應(yīng)用程序(用戶自主開發(fā))應(yīng)測(cè)評(píng)身份