等保2.0管理測(cè)評(píng)文檔清單(三級(jí))

等保2.0管理測(cè)評(píng)列表,,,,

序號(hào),類別,文檔名稱,文檔說明,備注

Ⅰ安全策略和管理制度,,,,

1,安全策略,信息安全工作的總體方針和安全策略,信息安全工作的總體方針和安全策略，說明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架,

2,管理制度,各項(xiàng)安全管理制度,覆蓋物理、網(wǎng)絡(luò)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用、建設(shè)和管理等層面的各類管理內(nèi)容,

3,,日常管理操作的操作規(guī)程,如系統(tǒng)維護(hù)手冊(cè)和用戶操作規(guī)程等,

4,制定和發(fā)布,制度制定和發(fā)布要求管理文檔,說明安全管理制度的制定和發(fā)布程序、格式要求及版本編號(hào)等相關(guān)內(nèi)容,

5,,管理制度評(píng)審記錄,需有相關(guān)人員的評(píng)審意見,

6,,安全管理制度的收發(fā)登記記錄,收發(fā)通過正式的方式，如正式發(fā)文、領(lǐng)導(dǎo)簽署和單位蓋章；需有發(fā)布范圍要求,

7,評(píng)審和修訂,安全管理制度的審定/論證記錄,記錄的日期間隔與評(píng)審周期需一致，應(yīng)有相關(guān)人員的評(píng)審意見,

Ⅱ安全管理機(jī)構(gòu)和人員,,,,

1,崗位設(shè)置,部門、崗位職責(zé)文件,設(shè)置安全主管、安全管理各個(gè)方面的負(fù)責(zé)人；機(jī)房管理員、系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等各個(gè)崗位的職責(zé)范圍；安全管理機(jī)構(gòu)的職責(zé)，機(jī)構(gòu)內(nèi)各部門的職責(zé)和分工，各個(gè)崗位人員應(yīng)具有的技能要求；明確各部門、各崗位的職責(zé)和授權(quán)范圍；明確設(shè)備維護(hù)管理的責(zé)任部門,

2,,信息安全管理委員會(huì)委任授權(quán)書,需具有被測(cè)單位主管領(lǐng)導(dǎo)的授權(quán)簽字,

3,,信息安全管理委員會(huì)職責(zé)文件,明確委員會(huì)職責(zé)和其最高領(lǐng)導(dǎo)崗位的職責(zé),

4,,安全管理工作記錄,安全管理各部門和信息安全管理委員會(huì)或領(lǐng)導(dǎo)小組日常管理工作執(zhí)行情況的文件或工作記錄,

5,人員配備,人員配備文檔,明確系統(tǒng)管理員、網(wǎng)絡(luò)管理員和安全管理員各崗位人員配備情況；明確應(yīng)配備專職的安全管理員,

6,授權(quán)和審批,審批管理制度文檔,明確定期審查、更新審批的項(xiàng)目、審批部門、批準(zhǔn)人和審查周期等；明確對(duì)系統(tǒng)變更、重要操作、物理訪問和系統(tǒng)接入等事項(xiàng)的審批流程,

7,,關(guān)鍵活動(dòng)的審批過程記錄,需具有各級(jí)批準(zhǔn)人的簽字和審批部門的蓋章；記錄的審批程序與文件要求需一致,

8,溝通和合作,組織內(nèi)部機(jī)構(gòu)之間以及信息安全職能部門內(nèi)部的安全工作會(huì)議文件或會(huì)議記錄,會(huì)議內(nèi)容、會(huì)議時(shí)間、參加人員和會(huì)議結(jié)果等的描述,

9,,與公安機(jī)關(guān)、各類供應(yīng)商、業(yè)界專家及安全組織會(huì)議文件或會(huì)議記錄,會(huì)議內(nèi)容、會(huì)議時(shí)間、參加人員、會(huì)議結(jié)果等的描述,

11,,外聯(lián)單位聯(lián)系列表,外聯(lián)單位名稱、合作內(nèi)容、聯(lián)系人和聯(lián)系方式等信息,

12,審核和檢查,日常安全檢查記錄,關(guān)于系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等情況；檢查內(nèi)容、檢查人員、檢查數(shù)據(jù)匯總表、檢查結(jié)果等的描述,

13,,全面安全檢查記錄,包括現(xiàn)有安全技術(shù)措施的有效性、安全配置與安全策略的一致性、安全管理制度的執(zhí)行情況等,

14,,安全檢查時(shí)的安全檢查表、安全檢查記錄和結(jié)果通告記錄,具有安全檢查表格、安全檢查記錄、安全檢查報(bào)告、安全檢查結(jié)果通報(bào)記錄,

15,人員錄用,人員安全管理文檔,說明錄用人員應(yīng)具備的條件（如學(xué)歷、學(xué)位要求，技術(shù)人員應(yīng)具備的專業(yè)技術(shù)水平，管理人員應(yīng)具備的安全管理知識(shí)等）,

16,,人員錄用審查記錄,對(duì)錄用人身份、背景、專業(yè)資格和資質(zhì)等進(jìn)行審查的相關(guān)文檔或記錄；記錄審查內(nèi)容和審查結(jié)果,

17,,人員錄用時(shí)的技能考核文檔或記錄,記錄考核內(nèi)容和考核結(jié)果,

18,,保密協(xié)議,保密范圍、保密責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等內(nèi)容,

19,,崗位安全協(xié)議,崗位安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人簽字等內(nèi)容,

20,人員離崗,人員離崗的管理文檔,規(guī)定了人員調(diào)離手續(xù)和離崗要求,

21,,離崗人員的安全處理記錄,如交還身份證件、設(shè)備等的登記記錄,

22,,離崗人員保密承諾文檔,需具有離崗人員的簽字,

23,安全意識(shí)教育和培訓(xùn),信息安全教育及技能培訓(xùn)管理文檔,明確培訓(xùn)周期、培訓(xùn)方式、培訓(xùn)內(nèi)容和考核方式等相關(guān)內(nèi)容,

24,,安全責(zé)任和懲戒措施管理文檔,包含具體的安全責(zé)任和懲戒措施,

25,,安全教育和培訓(xùn)計(jì)劃文檔,具有不同崗位的培訓(xùn)計(jì)劃；培訓(xùn)方式、培訓(xùn)對(duì)象、培訓(xùn)內(nèi)容、培訓(xùn)時(shí)間和地點(diǎn)等；培訓(xùn)內(nèi)容包含信息安全基礎(chǔ)知識(shí)、崗位操作規(guī)程等,

26,,安全教育和培訓(xùn)記錄記錄,培訓(xùn)人員、培訓(xùn)內(nèi)容、培訓(xùn)結(jié)果等的描述,

27,,各崗位人員的技能考核記錄,記錄日期與考核周期需一致，具有針對(duì)各崗位人員的技能考核記錄,

28,外部人員訪問管理,外部人員訪問管理文檔,允許外部人員訪問的范圍、外部人員進(jìn)入的條件、外部人員進(jìn)入的訪問控制措施等；明確外部人員接入受控網(wǎng)絡(luò)前的申請(qǐng)審批流程；明確外部人員離開后及時(shí)清除其所有訪問權(quán)限,

29,,外部人員訪問重要區(qū)域的書面申請(qǐng)文檔,具有批準(zhǔn)人允許訪問的批準(zhǔn)簽字,

30,,外部人員訪問重要區(qū)域的登記記錄,外部人員訪問重要區(qū)域的進(jìn)入時(shí)間、離開時(shí)間、訪問區(qū)域、陪同人等,

31,,外部人員訪問系統(tǒng)的書面申請(qǐng)文檔,明確外部人員的訪問權(quán)限，具有允許訪問的批準(zhǔn)簽字等,

32,,外部人員訪問系統(tǒng)的登記記錄,記錄外部人員訪問的權(quán)限、時(shí)限、賬戶；記錄訪問權(quán)限清除時(shí)間,

33,,外部人員訪問保密協(xié)議,明確人員的保密義務(wù)(如不得進(jìn)行非授權(quán)操作，不得復(fù)制信息等）,

III安全建設(shè)管理,,,,

1,安全方案設(shè)計(jì),系統(tǒng)的安全建設(shè)工作計(jì)劃,系統(tǒng)的近期安全建設(shè)計(jì)劃和遠(yuǎn)期安全建設(shè)計(jì)劃,

2,,安全設(shè)計(jì)文檔,根據(jù)安全等級(jí)選擇安全措施，根據(jù)安全需求調(diào)整安全措施,

3,,總體規(guī)劃和安全設(shè)計(jì)方案等配套文件,設(shè)計(jì)方案中應(yīng)包括密碼相關(guān)內(nèi)容,

4,,專家論證文檔,相關(guān)部門和有關(guān)安全技術(shù)專家對(duì)總體安全策略、安全技術(shù)框架、安全管理策略、總體建設(shè)規(guī)劃、詳細(xì)設(shè)計(jì)方案等相關(guān)配套文件的論證意見,

5,產(chǎn)品采購(gòu)和使用,產(chǎn)品采購(gòu)管理文檔,產(chǎn)品性能指標(biāo)，確定產(chǎn)品的候選范圍，通過招投標(biāo)等方式確定采購(gòu)產(chǎn)品及人員行為準(zhǔn)則等方面,

6,,候選產(chǎn)品名單,產(chǎn)品選型測(cè)試結(jié)果記錄、候選產(chǎn)品名單審定記錄或更新的候選產(chǎn)品名單,

7,,產(chǎn)品采購(gòu)清單,指導(dǎo)產(chǎn)品采購(gòu)的清單,

8,自行軟件開發(fā),軟件開發(fā)管理制度,說明軟件設(shè)計(jì)、開發(fā)、測(cè)試、驗(yàn)收過程的控制方法和人員行為準(zhǔn)則；明確哪些開發(fā)活動(dòng)應(yīng)經(jīng)過授權(quán)和審批,

9,,代碼編寫安全規(guī)范,明確代碼的編寫規(guī)則,

10,,軟件設(shè)計(jì)的相關(guān)文檔、軟件使用指南或操作手冊(cè)和維護(hù)手冊(cè),應(yīng)用軟件設(shè)計(jì)程序文件、源代碼文檔,

11,,軟件安全測(cè)試報(bào)告,明確軟件存在的安全問題及可能存在的惡意代碼；,

12,,程序資源庫的修改、更新、發(fā)布進(jìn)行授權(quán)和審批的文檔或記錄,需具有批準(zhǔn)人的簽字,

13,外包軟件開發(fā),外包軟件協(xié)議,軟件質(zhì)量檢測(cè)的規(guī)定,

14,,外包軟件相關(guān)文檔,需求分析說明書、軟件設(shè)計(jì)說明書、軟件操作手冊(cè)、軟件源代碼文檔等軟件開發(fā)文檔和使用指南,

15,,軟件安全性檢查報(bào)告或證明,確保軟件不存在后門、隱蔽信道或惡意代碼的證明材料,

16,工程實(shí)施,工程實(shí)施方案,工程時(shí)間限制、進(jìn)度控制和質(zhì)量控制等方面內(nèi)容,

17,,階段性工程報(bào)告,按照實(shí)施方案形成的階段性工程報(bào)告等文檔,

18,,工程監(jiān)理報(bào)告（如果安全建設(shè)為第三方實(shí)施時(shí)則需要提供）,明確了工程進(jìn)展、時(shí)間計(jì)劃、控制措施等方面內(nèi)容,

19,,工程實(shí)施管理制度,工程實(shí)施過程的控制方法、實(shí)施參與人員的行為準(zhǔn)則等方面內(nèi)容,

20,測(cè)試驗(yàn)收,工程測(cè)試驗(yàn)收方案,說明參與測(cè)試的部門、人員、測(cè)試驗(yàn)收的內(nèi)容、現(xiàn)場(chǎng)操作過程等內(nèi)容,

21,,測(cè)試驗(yàn)收?qǐng)?bào)告,測(cè)試通過的結(jié)論（如果報(bào)告中提出了存在的問題，則檢查是否有針對(duì)這些問題的改進(jìn)報(bào)告）；第三方測(cè)試機(jī)構(gòu)的簽字或蓋章,

22,,測(cè)試驗(yàn)收?qǐng)?bào)告審定文檔,需具有相關(guān)人員的審定意見和簽字確認(rèn),

23,,安全測(cè)試報(bào)告,具有上線前的安全測(cè)試報(bào)告，報(bào)告應(yīng)包含密碼應(yīng)用安全性測(cè)試相關(guān)內(nèi)容,

24,系統(tǒng)交付,系統(tǒng)交付清單分類,詳細(xì)列項(xiàng)系統(tǒng)交付的各類設(shè)備、軟件、文檔等,

25,,技術(shù)人員技能培訓(xùn)（系統(tǒng)上線前）的記錄,培訓(xùn)內(nèi)容、培訓(xùn)時(shí)間和參與人員等,

26,,系統(tǒng)建設(shè)文檔,指導(dǎo)用戶進(jìn)行系統(tǒng)運(yùn)維的文檔、系統(tǒng)培訓(xùn)手冊(cè)等,

27,,系統(tǒng)交付管理文檔,交付過程的控制方法和對(duì)交付參與人員的行為限制等方面內(nèi)容,

28,服務(wù)供應(yīng)商管理,與服務(wù)供應(yīng)商簽訂的服務(wù)合同或安全責(zé)任書,明確了后期的技術(shù)支持和服務(wù)承諾等內(nèi)容；保密范圍、安全責(zé)任、違約責(zé)任、協(xié)議的有效期限和責(zé)任人的簽字等；,

29,,安全服務(wù)報(bào)告,具有安全服務(wù)商定期提交的安全服務(wù)報(bào)告，對(duì)其所提供的安全服務(wù)的進(jìn)行匯報(bào)（如月報(bào)、季度報(bào)等）,

30,,服務(wù)審核報(bào)告,定期審核評(píng)價(jià)安全服務(wù)供應(yīng)商所提供的服務(wù),

31,,安全服務(wù)商評(píng)價(jià)審核管理制度,針對(duì)服務(wù)商的評(píng)價(jià)指標(biāo)和考核內(nèi)容等,

Ⅳ系統(tǒng)運(yùn)維管理,,,,

1,環(huán)境管理,機(jī)房基礎(chǔ)設(shè)施維護(hù)記錄,記錄維護(hù)日期、維護(hù)人、維護(hù)設(shè)備、故障原因、維護(hù)結(jié)果等方面內(nèi)容,

2,,機(jī)房出入登記記錄,記錄來訪人員、來訪時(shí)間、離開時(shí)間、攜帶物品等信息,

3,,機(jī)房安全管理制度,覆蓋機(jī)房物理訪問、物品帶進(jìn)/帶出機(jī)房、機(jī)房環(huán)境安全等方面，明確來訪人員的接待區(qū)域,

4,資產(chǎn)管理,資產(chǎn)清單,覆蓋資產(chǎn)范圍（含設(shè)備設(shè)施、軟件、文檔等）、資產(chǎn)責(zé)任部門、重要程度和所處位置等內(nèi)容,

5,,資產(chǎn)管理制度,明確資產(chǎn)的標(biāo)識(shí)方法以及不同資產(chǎn)的管理措施要求；信息資產(chǎn)管理的責(zé)任部門、責(zé)任人，覆蓋資產(chǎn)使用、傳輸、存儲(chǔ)、維護(hù)等方面,

6,,信息分類文檔,明確信息分類標(biāo)識(shí)的原則和方法（如根據(jù)信息的重要程度、敏感程度或用途不同進(jìn)行分類）,

7,介質(zhì)管理,介質(zhì)管理記錄,記錄介質(zhì)的存儲(chǔ)、歸檔、查詢和使用等情況,

8,設(shè)備維護(hù)管理,系統(tǒng)相關(guān)設(shè)備的維護(hù)記錄,包括備份和冗余設(shè)備,

9,,設(shè)備維護(hù)管理制度,明確維護(hù)人員的責(zé)任、維修和服務(wù)的審批、維修過程的監(jiān)督控制管理等,

10,,設(shè)備帶離機(jī)房或辦公地點(diǎn)的審批記錄,設(shè)備帶離機(jī)房或辦公地點(diǎn)的申報(bào)材料或?qū)徟涗?

11,漏洞和風(fēng)險(xiǎn)管理,漏洞掃描報(bào)告,描述存在的漏洞、嚴(yán)重級(jí)別、原因分析和改進(jìn)意見等方面,

12,,安全測(cè)評(píng)報(bào)告,具有安全整改應(yīng)對(duì)措施文檔,

13,網(wǎng)絡(luò)和系統(tǒng)安全管理,網(wǎng)絡(luò)和系統(tǒng)安全管理文檔,明確要求對(duì)網(wǎng)絡(luò)和系統(tǒng)管理員用戶進(jìn)行分類，并定義各個(gè)角色的責(zé)任和權(quán)限（比如：劃分不同的管理角色，系統(tǒng)管理權(quán)限與安全審計(jì)權(quán)限分離等）,

14,,賬戶的審批記錄或流程,對(duì)申請(qǐng)賬戶、建立賬戶、刪除賬戶等進(jìn)行控制,

15,,網(wǎng)絡(luò)和系統(tǒng)安全管理制度,覆蓋網(wǎng)絡(luò)和系統(tǒng)的安全策略，賬戶管理（用戶責(zé)任、義務(wù)、風(fēng)險(xiǎn)、權(quán)限審批、權(quán)限分配、賬戶注銷等），配置文件的生成、備份，變更審批、符合性檢查等，授權(quán)訪問，最小服務(wù)，升級(jí)與打補(bǔ)丁，審計(jì)日志，登錄設(shè)備和系統(tǒng)的口令更新周期等方面,

16,,重要設(shè)備（如操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用和組件）的配置和操作手冊(cè),明確操作步驟、維護(hù)記錄、參數(shù)配置等內(nèi)容,

17,,運(yùn)維操作日志,覆蓋網(wǎng)絡(luò)和系統(tǒng)的日常巡檢、運(yùn)行維護(hù)、參數(shù)的設(shè)置和修改等內(nèi)容,

18,,日志、監(jiān)測(cè)和報(bào)警數(shù)據(jù)分析報(bào)告,具有對(duì)日志、監(jiān)測(cè)和報(bào)警數(shù)據(jù)等進(jìn)行分析統(tǒng)計(jì)的報(bào)告,

19,,運(yùn)維審批記錄,具有變更運(yùn)維的審批記錄，如系統(tǒng)連接、安裝系統(tǒng)組件或調(diào)整配置參數(shù)等活動(dòng)；具有運(yùn)維工具接入系統(tǒng)的審批記錄；具有開通遠(yuǎn)程運(yùn)維的審批記錄,

20,,內(nèi)部網(wǎng)絡(luò)外聯(lián)的授權(quán)批準(zhǔn)書,內(nèi)網(wǎng)主機(jī)在安全策略允許之外通過modem、無線設(shè)備（如CDMA、GSM，WirelessLAN等）等途徑與外部網(wǎng)絡(luò)進(jìn)行連接時(shí)，需提供相關(guān)授權(quán)批準(zhǔn)證明,

21,惡意代碼防范管理,惡意代碼檢測(cè)記錄、惡意代碼庫升級(jí)記錄和分析處理報(bào)告,可提供殺毒軟件運(yùn)行日志；分析報(bào)告需描述惡意代碼的特征、修補(bǔ)措施等內(nèi)容,

22,,惡意代碼防范管理制度,明確防惡意代碼軟件的授權(quán)使用、惡意代碼庫升級(jí)、定期查殺等內(nèi)容,

23,密碼管理,檢測(cè)報(bào)告或密碼產(chǎn)品型號(hào)證書,獲得有效的國(guó)家密碼管理主管部門規(guī)定的檢測(cè)報(bào)告或密碼產(chǎn)品型號(hào)證書,

24,變更管理,變更方案,覆蓋變更類型、變更原因、變更過程、變更前評(píng)估等方面內(nèi)容,

25,,變更控制的申報(bào)、審批程序,規(guī)定需要申報(bào)的變更類型、申報(bào)流程、審批部門、批準(zhǔn)人等方面內(nèi)容,

26,,重要系統(tǒng)的變更申請(qǐng)書,需主管領(lǐng)導(dǎo)的批準(zhǔn)簽字,

27,,變更方案評(píng)審記錄和變更過程記錄文檔,此處可舉一個(gè)重要系統(tǒng)變更的案例,

28,,變更失敗恢復(fù)程序,規(guī)定變更失敗后的恢復(fù)流程,

29,備份與恢復(fù)管理,備份清單或列表,具有定期備份的重要業(yè)務(wù)信息、系統(tǒng)數(shù)據(jù)、軟件系統(tǒng)的列表或清單,

30,,備份和恢復(fù)管理制度,備份方式、備份頻度、存儲(chǔ)介質(zhì)和保存期等方面內(nèi)容,

31,,數(shù)據(jù)備份和恢復(fù)策略文檔,覆蓋數(shù)據(jù)的存放場(chǎng)所、文件命名規(guī)則、介質(zhì)替換頻率、數(shù)據(jù)離站傳輸方法等方面,

32,安全事件處置,安全事件報(bào)告和處置管理制度,系統(tǒng)已發(fā)生的和需要防止發(fā)生的安全事件類型，明確安全事件的現(xiàn)場(chǎng)處理、事件報(bào)告和后期恢復(fù)的管理職責(zé),

33,,安全事件報(bào)告和響應(yīng)處理程序,記錄引發(fā)安全事件的系統(tǒng)弱點(diǎn)、不同安全事件發(fā)生的原因、處置過程、經(jīng)驗(yàn)教訓(xùn)總結(jié)、補(bǔ)救措施等內(nèi)容；根據(jù)不同安全事件制定不同的處理和報(bào)告程序，明確具體報(bào)告方式、報(bào)告內(nèi)容、報(bào)告人等方面內(nèi)容,

34,應(yīng)急預(yù)案管理,應(yīng)急預(yù)案框架,覆蓋啟動(dòng)應(yīng)急預(yù)案的條件、應(yīng)急處理流程、