2023信息安全技術(shù)存儲(chǔ)介質(zhì)數(shù)據(jù)恢復(fù)服務(wù)安全規(guī)范

信息安全技術(shù)存儲(chǔ)介質(zhì)數(shù)據(jù)恢復(fù)服務(wù)安全規(guī)范目 次前言 III范圍 4規(guī)范性引用文件 4術(shù)語(yǔ)和定義 4概述和原則 5概述 5原則 6安全管理要求 6機(jī)構(gòu) 6人員 6環(huán)境 7質(zhì)量控制 8安全審計(jì) 9過(guò)程安全要求 9概述 9介質(zhì)接收 9介質(zhì)檢測(cè) 10數(shù)據(jù)恢復(fù) 10數(shù)據(jù)交付 10數(shù)據(jù)銷毀 11安全管理評(píng)價(jià)方法 117.1機(jī)構(gòu) 117.2人員 127.3環(huán)境 13質(zhì)量控制 16安全審計(jì) 16過(guò)程安全評(píng)價(jià)方法 17介質(zhì)接收 17介質(zhì)檢測(cè) 18數(shù)據(jù)恢復(fù) 18數(shù)據(jù)交付 19數(shù)據(jù)銷毀 19附錄A（規(guī)范性）數(shù)據(jù)恢復(fù)服務(wù)軟、硬件工具基本配置要求 21附錄B（規(guī)范性）數(shù)據(jù)恢復(fù)服務(wù)安全等級(jí)劃分 22附錄C（資料性）數(shù)據(jù)恢復(fù)服務(wù)協(xié)議模板 23參考文獻(xiàn) 24IPAGEPAGE10PAGEPAGE11信息安全技術(shù)存儲(chǔ)介質(zhì)數(shù)據(jù)恢復(fù)服務(wù)安全規(guī)范范圍本文件適用于指導(dǎo)存儲(chǔ)介質(zhì)數(shù)據(jù)恢復(fù)服務(wù)機(jī)構(gòu)針對(duì)非涉及國(guó)家秘密的數(shù)據(jù)恢復(fù)服務(wù)的實(shí)施和管理、規(guī)范性引用文件（包括所有的修改單適用于本文件。GB50073潔凈廠房設(shè)計(jì)規(guī)范GB50174電子信息系統(tǒng)機(jī)房設(shè)計(jì)規(guī)范GB/T25069—2022信息安全技術(shù)術(shù)語(yǔ)術(shù)語(yǔ)和定義GB/T25069—2022界定的以及下列術(shù)語(yǔ)和定義適用于本文件。3.1電子數(shù)據(jù)electronicdata基于計(jì)算機(jī)應(yīng)用和通信等電子化技術(shù)手段形成的客觀資料，一般用以表示文字、圖形符號(hào)、多媒體等信息，包括以電子形式存儲(chǔ)、處理或傳輸?shù)撵o態(tài)數(shù)據(jù)和動(dòng)態(tài)數(shù)據(jù)。3.2存儲(chǔ)媒體storagemedia存儲(chǔ)介質(zhì)承載電子數(shù)據(jù)（3.1）的各類載體或設(shè)備，包括但不限于計(jì)算機(jī)硬盤(pán)、磁帶、軟盤(pán)、光盤(pán)、各種形式的存儲(chǔ)卡、存儲(chǔ)芯片等。[來(lái)源：GB/T25069—2022，3.94，有修改：添加同義術(shù)語(yǔ)中文“存儲(chǔ)介質(zhì)”]3.3數(shù)據(jù)恢復(fù)datarecovery通過(guò)專門(mén)的計(jì)算機(jī)軟硬件技術(shù)，再生成（復(fù)原）存儲(chǔ)介質(zhì)（3.2）內(nèi)已經(jīng)丟失或被破壞的電子數(shù)據(jù)（3.1）的過(guò)程。3.4數(shù)據(jù)恢復(fù)服務(wù)datarecoveryservice將無(wú)法正常讀取的數(shù)據(jù)從存儲(chǔ)介質(zhì)（3.2）中復(fù)原，使其能正常使用。3.5鏡像生成imaginggeneration通過(guò)逐比特復(fù)制，獲得與被復(fù)制數(shù)據(jù)完全一致的電子數(shù)據(jù)（3.1）的過(guò)程。3.6鏡像數(shù)據(jù)imagedata鏡像生成（3.5）的數(shù)據(jù)。3.7硬件故障physicaldamage由于存儲(chǔ)介質(zhì)（3.2）硬件損壞而造成數(shù)據(jù)無(wú)法訪問(wèn)的故障，一般是指電路故障、機(jī)械故障、固件故障等。3.8邏輯故障logicaldamage由于存儲(chǔ)介質(zhì)（3.2）中數(shù)據(jù)損壞而造成用戶數(shù)據(jù)無(wú)法訪問(wèn)的故障，一般是指操作系統(tǒng)故障、應(yīng)用程序故障、用戶誤操作、計(jì)算機(jī)病毒破壞等。3.9開(kāi)盤(pán)修復(fù)interiordiskrepairing打開(kāi)硬盤(pán)盤(pán)體或拆取存儲(chǔ)芯片，修復(fù)存儲(chǔ)介質(zhì)（3.2）硬件故障（3.7）的操作。3.10數(shù)據(jù)銷毀datadestruction使用數(shù)據(jù)覆蓋、介質(zhì)消磁、硬件破壞等技術(shù)手段，清除存儲(chǔ)介質(zhì)（3.2）上部分或全部數(shù)據(jù)的操作。3.11寫(xiě)保護(hù)writeprotect保證存儲(chǔ)介質(zhì)（3.2）中電子數(shù)據(jù)（3.1）無(wú)法被修改的防護(hù)措施。3.12遠(yuǎn)程數(shù)據(jù)恢復(fù)remotedatarecovery通過(guò)網(wǎng)絡(luò)實(shí)現(xiàn)的數(shù)據(jù)恢復(fù)服務(wù)（3.4）方式。概述和原則概述原則實(shí)施存儲(chǔ)介質(zhì)數(shù)據(jù)恢復(fù)服務(wù)遵循如下基本原則：合規(guī)原則：符合涉及數(shù)據(jù)恢復(fù)的法律法規(guī)和標(biāo)準(zhǔn)；可用性原則：恢復(fù)的數(shù)據(jù)可被授權(quán)用戶正確訪問(wèn)和使用；保密性原則：服務(wù)過(guò)程中用戶的個(gè)人信息及存儲(chǔ)介質(zhì)中的數(shù)據(jù)不被非授權(quán)個(gè)人、實(shí)體處理；完整性原則：數(shù)據(jù)恢復(fù)過(guò)程中確保用戶送修存儲(chǔ)介質(zhì)中的數(shù)據(jù)不被更改；合作原則：數(shù)據(jù)恢復(fù)服務(wù)提供方和需求方通力合作，共同保障數(shù)據(jù)恢復(fù)服務(wù)安全。安全管理要求機(jī)構(gòu)基本要求機(jī)構(gòu)安全管理基本要求如下：應(yīng)具備合法經(jīng)營(yíng)資格；法定代表人、主要負(fù)責(zé)人、實(shí)際控制人應(yīng)無(wú)犯罪行為記錄且未被列入失信人員名單；應(yīng)具備與開(kāi)展數(shù)據(jù)恢復(fù)業(yè)務(wù)相匹配的專業(yè)技術(shù)團(tuán)隊(duì)；應(yīng)具備保護(hù)用戶數(shù)據(jù)安全、防止數(shù)據(jù)泄露的防護(hù)措施。增強(qiáng)要求機(jī)構(gòu)安全管理增強(qiáng)要求如下：應(yīng)是在中華人民共和國(guó)境內(nèi)依法成立一年以上的法人；應(yīng)設(shè)立數(shù)據(jù)安全管理機(jī)構(gòu)，協(xié)調(diào)配置必要的人力、物力、資金等資源保障用戶數(shù)據(jù)安全；（包括管理層人員基本要求人員安全管理基本要求如下：應(yīng)對(duì)擬任職人員進(jìn)行犯罪記錄調(diào)查和信用調(diào)查；應(yīng)對(duì)擬任職人員進(jìn)行任職審查，確認(rèn)任職資格；應(yīng)與從業(yè)機(jī)構(gòu)簽署勞動(dòng)合同，無(wú)歷史違規(guī)行為或事件的聲明、相關(guān)離職要求等文件和聲明；應(yīng)具有良好的計(jì)算機(jī)應(yīng)用知識(shí)，熟悉計(jì)算機(jī)系統(tǒng)結(jié)構(gòu)、數(shù)據(jù)存儲(chǔ)原理等專業(yè)知識(shí)；應(yīng)熟悉數(shù)據(jù)安全基本知識(shí)，如數(shù)據(jù)安全基本概念、數(shù)據(jù)安全技術(shù)、數(shù)據(jù)安全保障等；增強(qiáng)要求從業(yè)人員安全管理增強(qiáng)要求如下：（包含短期工作人員或第三方合作人員臨時(shí)人員不應(yīng)參與重要數(shù)據(jù)級(jí)別以上的數(shù)據(jù)恢復(fù)業(yè)務(wù)服務(wù)。環(huán)境服務(wù)場(chǎng)所基本要求服務(wù)場(chǎng)所安全管理基本要求如下：應(yīng)具有與服務(wù)基本相匹配的獨(dú)立的、面積適宜的、配備相關(guān)設(shè)備和消防設(shè)施的服務(wù)場(chǎng)所；應(yīng)根據(jù)不同的功能劃分相互獨(dú)立的用戶接待區(qū)、數(shù)據(jù)恢復(fù)工作區(qū)和管理辦公區(qū)；GB50174C機(jī)房應(yīng)安裝密碼門(mén)禁系統(tǒng)，只允許數(shù)據(jù)恢復(fù)工作人員進(jìn)入，其他人員進(jìn)入應(yīng)經(jīng)過(guò)審批；3增強(qiáng)要求服務(wù)場(chǎng)所安全管理增強(qiáng)要求如下：應(yīng)安裝雙向刷卡和密碼門(mén)禁/生物識(shí)別系統(tǒng)，只允許被授權(quán)數(shù)據(jù)恢復(fù)工作人員進(jìn)入，其他人員進(jìn)入應(yīng)經(jīng)過(guò)審批；設(shè)施設(shè)備基本要求設(shè)施設(shè)備安全管理基本要求如下：1應(yīng)建立設(shè)備維護(hù)和管理清單；應(yīng)做到所有設(shè)備專機(jī)專用，定機(jī)定責(zé)，不應(yīng)安裝使用與數(shù)據(jù)恢復(fù)無(wú)關(guān)的應(yīng)用程序；未經(jīng)批準(zhǔn)，不應(yīng)改變現(xiàn)有設(shè)備的配置；存儲(chǔ)介質(zhì)管理應(yīng)遵循易取易存原則，集中存放、分類管理（包括用戶盤(pán)、工作盤(pán)、備件盤(pán)）；應(yīng)建立專用的存儲(chǔ)介質(zhì)庫(kù)，并指定存儲(chǔ)介質(zhì)管理員負(fù)責(zé)對(duì)存儲(chǔ)介質(zhì)庫(kù)的維護(hù)和管理工作；應(yīng)嚴(yán)格執(zhí)行存儲(chǔ)介質(zhì)出入庫(kù)管理制度，未經(jīng)批準(zhǔn)，不應(yīng)將存儲(chǔ)介質(zhì)帶出機(jī)房；增強(qiáng)要求設(shè)施設(shè)備安全管理增強(qiáng)要求如下：應(yīng)做到所有設(shè)備專機(jī)專用，定人定崗定機(jī)定責(zé)，不應(yīng)安裝使用與數(shù)據(jù)恢復(fù)無(wú)關(guān)的應(yīng)用程序；未經(jīng)審批許可不應(yīng)提供遠(yuǎn)程數(shù)據(jù)恢復(fù)服務(wù)；（證實(shí)方法中增加不應(yīng)加入外來(lái)移動(dòng)存儲(chǔ)介質(zhì)）；設(shè)立安全管理員對(duì)存儲(chǔ)介質(zhì)的管理過(guò)程進(jìn)行監(jiān)督；應(yīng)選擇合格合規(guī)的設(shè)施設(shè)備供應(yīng)商，確保設(shè)備使用的安全性、可用性和可追溯性。質(zhì)量控制基本要求質(zhì)量控制安全管理基本要求如下：應(yīng)確認(rèn)質(zhì)量控制人，制定業(yè)務(wù)執(zhí)行流程手冊(cè)；應(yīng)制定并實(shí)行質(zhì)量抽查要求和實(shí)施流程文檔；增強(qiáng)要求質(zhì)量控制安全管理增強(qiáng)要求如下：4安全審計(jì)增強(qiáng)要求安全審計(jì)安全管理增強(qiáng)要求如下：應(yīng)對(duì)數(shù)據(jù)恢復(fù)服務(wù)管理和過(guò)程實(shí)施內(nèi)部或外部審計(jì)；過(guò)程安全要求概述存儲(chǔ)介質(zhì)數(shù)據(jù)恢復(fù)的實(shí)施過(guò)程應(yīng)至少包括介質(zhì)接收、介質(zhì)檢測(cè)、數(shù)據(jù)恢復(fù)、數(shù)據(jù)交付、數(shù)據(jù)銷毀5個(gè)環(huán)節(jié)，其主要工作內(nèi)容應(yīng)至少包括：介質(zhì)接收：接收存儲(chǔ)介質(zhì)并記錄存儲(chǔ)介質(zhì)情況；介質(zhì)檢測(cè)：判斷存儲(chǔ)介質(zhì)故障類型，制定數(shù)據(jù)恢復(fù)方案；數(shù)據(jù)恢復(fù)：排除存儲(chǔ)介質(zhì)故障，提取可用數(shù)據(jù)；數(shù)據(jù)交付：將數(shù)據(jù)恢復(fù)結(jié)果交付給用戶；數(shù)據(jù)銷毀：銷毀數(shù)據(jù)恢復(fù)結(jié)果和數(shù)據(jù)恢復(fù)操作過(guò)程中產(chǎn)生的所有相關(guān)數(shù)據(jù)信息；上述各環(huán)節(jié)責(zé)任人對(duì)操作及結(jié)果進(jìn)行記錄并簽字。介質(zhì)接收基本要求介質(zhì)接收環(huán)節(jié)的安全實(shí)施基本要求如下：應(yīng)檢查送修存儲(chǔ)介質(zhì)，記錄其基本情況，包括類型、品牌、型號(hào)、序列號(hào)及外觀特征；應(yīng)指導(dǎo)用戶描述需要恢復(fù)的數(shù)據(jù)特征，并記錄上述信息；應(yīng)告知用戶數(shù)據(jù)恢復(fù)實(shí)施的相關(guān)風(fēng)險(xiǎn)及后果、用戶及數(shù)據(jù)恢復(fù)服務(wù)機(jī)構(gòu)的職責(zé)；介質(zhì)檢測(cè)基本要求介質(zhì)檢測(cè)環(huán)節(jié)安全實(shí)施基本要求如下：數(shù)據(jù)恢復(fù)基本要求數(shù)據(jù)恢復(fù)環(huán)節(jié)安全實(shí)施基本要求如下：恢復(fù)出的可用數(shù)據(jù)應(yīng)保存在專用數(shù)據(jù)存儲(chǔ)設(shè)備中，不應(yīng)覆蓋鏡像數(shù)據(jù)或用戶的原始數(shù)據(jù)。實(shí)施遠(yuǎn)程數(shù)據(jù)恢復(fù)時(shí)，應(yīng)采取保證系統(tǒng)安全及數(shù)據(jù)安全傳輸?shù)拇胧粦?yīng)對(duì)原始數(shù)據(jù)進(jìn)行保護(hù)，不應(yīng)更改和刪除原始存儲(chǔ)介質(zhì)上的數(shù)據(jù)。數(shù)據(jù)交付基本要求數(shù)據(jù)交付環(huán)節(jié)安全實(shí)施基本要求如下：應(yīng)提供數(shù)據(jù)恢復(fù)交付清單，并有核實(shí)記錄；數(shù)據(jù)恢復(fù)結(jié)果宜以用戶可用的形式交付，雙方另有約定的從其約定；數(shù)據(jù)交付時(shí)，應(yīng)完整歸還用戶送修的存儲(chǔ)介質(zhì)；如需遠(yuǎn)程交付，應(yīng)進(jìn)行數(shù)據(jù)加密。數(shù)據(jù)銷毀基本要求數(shù)據(jù)銷毀環(huán)節(jié)安全實(shí)施基本要求如下：應(yīng)在銷毀審批后以不可逆方式銷毀數(shù)據(jù)及其副本內(nèi)容。增強(qiáng)要求數(shù)據(jù)銷毀環(huán)節(jié)安全實(shí)施增強(qiáng)要求如下：重要數(shù)據(jù)級(jí)別以上的數(shù)據(jù)，應(yīng)在銷毀審批后實(shí)施現(xiàn)場(chǎng)銷毀；安全管理評(píng)價(jià)方法機(jī)構(gòu)基本要求評(píng)價(jià)方法機(jī)構(gòu)安全管理基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看該機(jī)構(gòu)組織機(jī)構(gòu)代碼證和成立證明文件等；查看無(wú)犯罪行為記錄和無(wú)失信行為記錄名單；查看從事數(shù)據(jù)恢復(fù)服務(wù)的人員資質(zhì)，相關(guān)工作記錄，流程文檔，人員值班記錄等；預(yù)期結(jié)果具備合法經(jīng)營(yíng)資格；該機(jī)構(gòu)法定代表人、主要負(fù)責(zé)人、實(shí)際控制人無(wú)犯罪行為記錄且未被列入失信人員名單；配備與從事服務(wù)類別相適應(yīng)的技術(shù)團(tuán)隊(duì)；具備保護(hù)用戶數(shù)據(jù)安全、防止數(shù)據(jù)泄露的防護(hù)措施。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。增強(qiáng)要求評(píng)價(jià)方法機(jī)構(gòu)安全管理增強(qiáng)要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看該機(jī)構(gòu)組織機(jī)構(gòu)代碼證和成立證明文件等；查看數(shù)據(jù)安全管理規(guī)則制度文件和工作記錄文件，檢查安全管理人員是否參與業(yè)務(wù)決策，檢查是否定期檢查，是否及時(shí)改進(jìn)。預(yù)期結(jié)果具備合法經(jīng)營(yíng)資格，在中華人民共和國(guó)境內(nèi)依法成立一年以上；設(shè)立了數(shù)據(jù)安全管理機(jī)構(gòu)，并實(shí)際開(kāi)展了數(shù)據(jù)安全管理工作；具備數(shù)據(jù)安全應(yīng)急處置和報(bào)告制度，發(fā)生數(shù)據(jù)安全事件時(shí)及時(shí)上報(bào)并啟動(dòng)應(yīng)急響應(yīng)機(jī)制，詳細(xì)記錄應(yīng)急處理記錄，定期開(kāi)展應(yīng)急演練并記錄演練情況；開(kāi)展了數(shù)據(jù)安全各項(xiàng)管理制度執(zhí)行情況的內(nèi)部監(jiān)督檢查、評(píng)審和改進(jìn)，并詳細(xì)記錄。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。人員基本要求評(píng)價(jià)方法人員安全管理基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看人員檔案和相關(guān)證明文件等；查看人員檔案和資格證明，調(diào)查人員從業(yè)經(jīng)歷、項(xiàng)目經(jīng)歷等；（包括數(shù)據(jù)安全查看人員勞動(dòng)合同等文件；（對(duì)應(yīng)要求中條款d、e、f、g）。預(yù)期結(jié)果人員無(wú)犯罪記錄、無(wú)不良信用記錄；任職人員具備與從事業(yè)務(wù)相匹配的資格和能力；具備人員管理制度，權(quán)責(zé)分明，定職定崗，并定期進(jìn)行盡職考核，進(jìn)行獎(jiǎng)懲，記錄完整；簽訂了勞動(dòng)合同等文件；具備匹配的知識(shí)能力結(jié)構(gòu)和安全意識(shí)（對(duì)應(yīng)要求中條款d、e、f、g）。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。增強(qiáng)要求評(píng)價(jià)方法人員安全管理增強(qiáng)要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法（查看臨時(shí)人員職責(zé)文檔，業(yè)務(wù)操作記錄等，是否未參與重要數(shù)據(jù)恢復(fù)；預(yù)期結(jié)果（臨時(shí)人員未參與重要數(shù)據(jù)級(jí)別以上的恢復(fù)服務(wù)；結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。環(huán)境服務(wù)場(chǎng)所·基本要求評(píng)價(jià)方法服務(wù)場(chǎng)所安全管理基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看服務(wù)場(chǎng)所面積，設(shè)備和消防措施等；查看制度和資料文檔，訪談從業(yè)人員，是否劃分了不同的功能區(qū)；查看機(jī)房配置、訪談相關(guān)人員，是否滿足六級(jí)潔凈等級(jí)的潔凈環(huán)境；預(yù)期結(jié)果具有和從事業(yè)務(wù)相匹配的、獨(dú)立的、面積適宜的、配備相關(guān)設(shè)備和消防設(shè)施的服務(wù)場(chǎng)所；根據(jù)不同的功能劃分了相互獨(dú)立的用戶接待區(qū)、數(shù)據(jù)恢復(fù)工作區(qū)和管理辦公區(qū)；50174建設(shè)；安裝密碼門(mén)禁系統(tǒng)，除數(shù)據(jù)恢復(fù)人員，進(jìn)入都有審批記錄；安裝錄像監(jiān)控系統(tǒng)，監(jiān)控范圍覆蓋整個(gè)機(jī)房，且錄像記錄保存3個(gè)月以上；機(jī)房?jī)?nèi)的資料、數(shù)據(jù)、配置參數(shù)等信息歸檔保存，訪問(wèn)均有審批記錄。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。增強(qiáng)要求評(píng)價(jià)方法服務(wù)場(chǎng)所安全管理增強(qiáng)要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法/生物識(shí)別系統(tǒng)，人員是否按要求進(jìn)入；預(yù)期結(jié)果安裝雙向刷卡和密碼門(mén)禁/生物識(shí)別系統(tǒng)，除數(shù)據(jù)恢復(fù)人員，進(jìn)入都有審批記錄；機(jī)房?jī)?nèi)的資料、數(shù)據(jù)、配置參數(shù)等信息分類歸檔保存，訪問(wèn)均執(zhí)行審批記錄；設(shè)立處理重要數(shù)據(jù)級(jí)別以上的安全區(qū)域，具備機(jī)房安全區(qū)域管理制度，訪問(wèn)登記制度。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。設(shè)施設(shè)備基本要求評(píng)價(jià)方法設(shè)施設(shè)備安全管理基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法1查看設(shè)備維護(hù)和管理清單；查看設(shè)備使用文件等，檢查設(shè)備是否分類，專機(jī)專用，查看系統(tǒng)應(yīng)用程序；查看是否有專門(mén)用于遠(yuǎn)程數(shù)據(jù)恢復(fù)的計(jì)算機(jī)，是否除用于遠(yuǎn)程數(shù)據(jù)恢復(fù)的計(jì)算機(jī)外，其他設(shè)備是否未連接互聯(lián)網(wǎng)；核驗(yàn)通過(guò)網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)文件是否經(jīng)過(guò)加密；查看設(shè)備配置變更記錄，是否完整并有審批記錄；（查看存儲(chǔ)介質(zhì)庫(kù)，是否專用，訪談存儲(chǔ)介質(zhì)管理員，是否指定存儲(chǔ)介質(zhì)管理員負(fù)責(zé)對(duì)存儲(chǔ)介質(zhì)庫(kù)的維護(hù)和管理工作；查看存儲(chǔ)介質(zhì)出入庫(kù)管理制度，檢查是否嚴(yán)格執(zhí)行存儲(chǔ)介質(zhì)出入庫(kù)管理制度，審批記錄是否完整；查看存儲(chǔ)介質(zhì)檔案，是否包括：存儲(chǔ)介質(zhì)逐一編號(hào)，詳細(xì)記錄其品牌、型號(hào)、容量、序列號(hào)及性能等信息；查看用戶存儲(chǔ)介質(zhì)是否粘貼唯一性標(biāo)簽，同一工作單的用戶存儲(chǔ)介質(zhì)是否集中放置一處，并在專門(mén)防磁、防靜電的存儲(chǔ)環(huán)境中保存。預(yù)期結(jié)果按照表1配備實(shí)施數(shù)據(jù)恢復(fù)服務(wù)需要的軟、硬件工具；具備設(shè)備維護(hù)和管理清單；所有設(shè)備專機(jī)專用，定機(jī)定責(zé)，沒(méi)有安裝使用與數(shù)據(jù)恢復(fù)無(wú)關(guān)的應(yīng)用程序；設(shè)備配置變更均有記錄；（具備專用的存儲(chǔ)介質(zhì)庫(kù)，并指定存儲(chǔ)介質(zhì)管理員負(fù)責(zé)對(duì)存儲(chǔ)介質(zhì)庫(kù)的維護(hù)和管理工作；嚴(yán)格執(zhí)行存儲(chǔ)介質(zhì)出入庫(kù)管理制度，未經(jīng)批準(zhǔn)，未將存儲(chǔ)介質(zhì)帶出機(jī)房；結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。增強(qiáng)要求評(píng)價(jià)方法設(shè)施設(shè)備安全管理增強(qiáng)要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：證實(shí)方法查看設(shè)備使用文件等，檢查設(shè)備是否分類，專機(jī)專用，定人定崗定機(jī)定責(zé)，查看系統(tǒng)應(yīng)用程序；查看記錄文件，訪問(wèn)相關(guān)人員，查看是否未經(jīng)許可提供遠(yuǎn)程數(shù)據(jù)恢復(fù)服務(wù)；查看設(shè)備配置變更記錄，針對(duì)軟硬件配置的重大變更，是否包括方案文件，論證記錄，批準(zhǔn)記錄，實(shí)施人員是否是具備資格的技術(shù)人員進(jìn)行更改；查看設(shè)備使用記錄清單，是否專用設(shè)備只由經(jīng)授權(quán)人員進(jìn)行操作；查看存儲(chǔ)介質(zhì)庫(kù)，是否專用，訪談存儲(chǔ)介質(zhì)管理員，是否指定存儲(chǔ)介質(zhì)管理員負(fù)責(zé)對(duì)存儲(chǔ)查看設(shè)備配置變更記錄等文件，檢查是否定期檢測(cè)設(shè)備運(yùn)轉(zhuǎn)情況，進(jìn)行必要的升級(jí)維護(hù)，并詳細(xì)記錄檢查周期和問(wèn)題改進(jìn)；訪談安全管理員，查看相關(guān)記錄文件，是否對(duì)存儲(chǔ)介質(zhì)的管理過(guò)程進(jìn)行監(jiān)督；查看存儲(chǔ)介質(zhì)訪問(wèn)和生命周期管理機(jī)制，訪談相關(guān)人員，是否記錄使用情況以及相關(guān)責(zé)任查看設(shè)施設(shè)備供應(yīng)商協(xié)議和供應(yīng)商資質(zhì)。預(yù)期結(jié)果所有設(shè)備專機(jī)專用，定人定崗定機(jī)定責(zé)，沒(méi)有安裝使用與數(shù)據(jù)恢復(fù)無(wú)關(guān)的應(yīng)用程序；不提供遠(yuǎn)程數(shù)據(jù)恢復(fù)服務(wù)；對(duì)軟硬件配置的重大變更，具備方案文件，論證文件，批準(zhǔn)記錄等，由具備資格的技術(shù)人員進(jìn)行更改；具備設(shè)備使用記錄清單，專用設(shè)備只能由經(jīng)授權(quán)人員進(jìn)行操作；具備專用的存儲(chǔ)介質(zhì)庫(kù)，并指定存儲(chǔ)介質(zhì)管理員負(fù)責(zé)對(duì)存儲(chǔ)介質(zhì)庫(kù)的維護(hù)和管理工作，具備出入庫(kù)登記制度，并定期盤(pán)點(diǎn)；定期檢測(cè)設(shè)備運(yùn)轉(zhuǎn)情況，進(jìn)行必要的升級(jí)維護(hù)，并詳細(xì)記錄檢查周期和問(wèn)題改進(jìn)；已設(shè)立安全管理員對(duì)存儲(chǔ)介質(zhì)的管理過(guò)程進(jìn)行監(jiān)督；具備存儲(chǔ)介質(zhì)訪問(wèn)和生命周期管理機(jī)制，記錄使用情況以及相關(guān)責(zé)任人，定期盤(pán)點(diǎn)，如果含有數(shù)據(jù)的存儲(chǔ)介質(zhì)報(bào)廢不再使用，及時(shí)進(jìn)行信息徹底刪除或物理銷毀；設(shè)施設(shè)備供應(yīng)商合格合規(guī)，并有詳細(xì)采購(gòu)文檔記錄確保可追溯性。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。質(zhì)量控制基本要求評(píng)價(jià)方法質(zhì)量控制安全管理基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看質(zhì)量控制目標(biāo)等相關(guān)文件和記錄，檢查用戶滿意度，訪談各級(jí)人員是否知悉；查看業(yè)務(wù)執(zhí)行流程手冊(cè)，訪談質(zhì)量控制人；查看質(zhì)量抽查要求和實(shí)施流程文檔等相關(guān)文件；預(yù)期結(jié)果用戶滿意度不低于80%，各級(jí)人員均知悉；具備業(yè)務(wù)執(zhí)行流程手冊(cè)并在項(xiàng)目中應(yīng)用；具備質(zhì)量抽查要求和實(shí)施流程文檔，并在項(xiàng)目中應(yīng)用；具備便捷的數(shù)據(jù)安全投訴舉報(bào)機(jī)制，并及時(shí)受理、處置、記錄。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。增強(qiáng)要求評(píng)價(jià)方法質(zhì)量控制安全管理增強(qiáng)要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看質(zhì)量控制目標(biāo)等相關(guān)文件和記錄，檢查用戶滿意度，訪談各級(jí)人員是否知悉；預(yù)期結(jié)果用戶滿意度不低于90%，各級(jí)人員均知悉；具備質(zhì)量抽查制度，包括質(zhì)量抽查要求和實(shí)施流程文檔，并對(duì)用戶進(jìn)行回訪，嚴(yán)格執(zhí)行，對(duì)數(shù)據(jù)恢復(fù)進(jìn)度和恢復(fù)結(jié)果以及服務(wù)承諾多維度進(jìn)行抽查，抽查結(jié)果應(yīng)詳細(xì)記錄；結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。安全審計(jì)增強(qiáng)要求評(píng)價(jià)方法安全審計(jì)安全管理增強(qiáng)要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看歷史審計(jì)報(bào)告和訪談審計(jì)負(fù)責(zé)人，是否對(duì)數(shù)據(jù)恢復(fù)服務(wù)管理和過(guò)程實(shí)施審計(jì)；；預(yù)期結(jié)果定期對(duì)數(shù)據(jù)恢復(fù)服務(wù)管理和過(guò)程實(shí)施內(nèi)部/外部審計(jì)；審計(jì)報(bào)告包括數(shù)據(jù)安全組織管理審計(jì)、制度與規(guī)范管理審計(jì)，人員與意識(shí)培訓(xùn)管理審計(jì)，數(shù)據(jù)恢復(fù)服務(wù)場(chǎng)所審計(jì)，數(shù)據(jù)恢復(fù)服務(wù)生存周期和過(guò)程審計(jì)等；結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。過(guò)程安全評(píng)價(jià)方法介質(zhì)接收基本要求評(píng)價(jià)方法介質(zhì)接收安全實(shí)施基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看數(shù)據(jù)恢復(fù)工作單等記錄檔案文件，檢查是否記錄送修存儲(chǔ)介質(zhì)的故障現(xiàn)象；預(yù)期結(jié)果詳細(xì)記錄送修存儲(chǔ)介質(zhì)的故障現(xiàn)象；詳細(xì)記錄需要恢復(fù)的數(shù)據(jù)特征，包括要恢復(fù)的數(shù)據(jù)目錄和文件名及文件類型；結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。介質(zhì)檢測(cè)基本要求評(píng)價(jià)方法介質(zhì)檢測(cè)安全實(shí)施基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法預(yù)期結(jié)果結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。數(shù)據(jù)恢復(fù)基本要求評(píng)價(jià)方法數(shù)據(jù)恢復(fù)環(huán)節(jié)安全實(shí)施基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看遠(yuǎn)程恢復(fù)數(shù)據(jù)記錄文件，包括系統(tǒng)安全的檢測(cè)，數(shù)據(jù)傳輸是否加密等；查看數(shù)據(jù)恢復(fù)過(guò)程記錄文件，訪談技術(shù)人員，確認(rèn)原始數(shù)據(jù)和數(shù)據(jù)恢復(fù)實(shí)施方式。預(yù)期結(jié)果具備數(shù)據(jù)恢復(fù)過(guò)程記錄文件，恢復(fù)出的可用數(shù)據(jù)保存在專用數(shù)據(jù)存儲(chǔ)設(shè)備中；具備遠(yuǎn)程恢復(fù)過(guò)程記錄文件，恢復(fù)實(shí)施前檢測(cè)系統(tǒng)環(huán)境，并在數(shù)據(jù)傳輸時(shí)加密傳輸；具備數(shù)據(jù)恢復(fù)過(guò)程記錄文件，存儲(chǔ)介質(zhì)可讀后，所有操作在鏡像完成。c）結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。數(shù)據(jù)交付基本要求評(píng)價(jià)方法數(shù)據(jù)交付環(huán)節(jié)安全實(shí)施基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看數(shù)據(jù)恢復(fù)記錄文件，檢查是否提供數(shù)據(jù)恢復(fù)交付清單，并有用戶核實(shí)記錄；查看數(shù)據(jù)恢復(fù)記錄文件，檢查數(shù)據(jù)交付的形式；查看數(shù)據(jù)恢復(fù)記錄文件，包括交付歸還用戶送修的存儲(chǔ)介質(zhì)；查看數(shù)據(jù)恢復(fù)記錄文件，訪談技術(shù)人員，遠(yuǎn)程交付的方式。預(yù)期結(jié)果具備數(shù)據(jù)恢復(fù)記錄文件，包括用戶委托要求和結(jié)果比對(duì)，用戶告知，恢復(fù)結(jié)果確認(rèn)；具備數(shù)據(jù)恢復(fù)記錄文件，包括提供數(shù)據(jù)恢復(fù)交付清單和用戶確認(rèn)；具備數(shù)據(jù)恢復(fù)記錄文件，包括數(shù)據(jù)交付的形式；具備數(shù)據(jù)恢復(fù)記錄文件，包括歸還用戶送修的存儲(chǔ)介質(zhì)和用戶確認(rèn)；具備數(shù)據(jù)恢復(fù)記錄文件，包括遠(yuǎn)程交付的數(shù)據(jù)加密記錄。c）結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。數(shù)據(jù)銷毀基本要求評(píng)價(jià)方法數(shù)據(jù)銷毀安全實(shí)施基本要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看數(shù)據(jù)銷毀記錄文件，包括銷毀數(shù)據(jù)的方式和內(nèi)容；查看銷毀審批記錄文件，以中立的視角觀察操作流程，銷毀數(shù)據(jù)的方式。預(yù)期結(jié)果具備銷毀審批制度，銷毀審批后以不可逆方式銷毀數(shù)據(jù)及其副本內(nèi)容。結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。增強(qiáng)要求評(píng)價(jià)方法數(shù)據(jù)銷毀安全實(shí)施增強(qiáng)要求評(píng)價(jià)方法、預(yù)期結(jié)果和結(jié)果判定如下：評(píng)價(jià)方法查看數(shù)據(jù)銷毀記錄文件，以中立的視角觀察操作流程，檢查重要數(shù)據(jù)是否有現(xiàn)場(chǎng)監(jiān)督；預(yù)期結(jié)果重要數(shù)據(jù)級(jí)別以上的數(shù)據(jù)恢復(fù)具備現(xiàn)場(chǎng)監(jiān)督銷毀；結(jié)果判定：實(shí)際評(píng)價(jià)結(jié)果與預(yù)期結(jié)果一致則判定符合，其他情況判定不符合。附錄A（規(guī)范性）數(shù)據(jù)恢復(fù)服務(wù)軟、硬件工具基本配置要求數(shù)據(jù)恢復(fù)服務(wù)軟、硬件工具基本配置要求如表A.1所示。表A.1數(shù)據(jù)恢復(fù)服務(wù)軟、硬件工具基本配置要求序號(hào)工具類別配置要求性質(zhì)1數(shù)據(jù)恢復(fù)工作專用計(jì)算機(jī)及配套設(shè)備配置基本的正版操作系統(tǒng)和正版軟件工作環(huán)境及必要的硬件配套設(shè)備。寫(xiě)保護(hù)設(shè)備必須有明確的寫(xiě)保護(hù)方向標(biāo)識(shí)。必備2數(shù)據(jù)鏡像工具具備鏡像功能的軟件或硬件工具，其中硬件工具須具備寫(xiě)保護(hù)功能和輸入輸出方向標(biāo)識(shí)。必備3數(shù)據(jù)銷毀工具具備數(shù)據(jù)銷毀功能的軟件或硬件工具。必備4軟件操作工具正版的軟件工具，包括文件系統(tǒng)恢復(fù)工具、文件重構(gòu)工具、文件修復(fù)工具、數(shù)據(jù)庫(kù)恢復(fù)工具、磁盤(pán)陣列重組工具、遠(yuǎn)程數(shù)據(jù)恢復(fù)工具、十六進(jìn)制編輯工具等。必備5備件應(yīng)建立應(yīng)具備可用于硬件故障恢復(fù)的，可替代存儲(chǔ)介質(zhì)故障部分的零部件等備品備件。硬件故障恢復(fù)必備6硬件操