第一篇：计算机信息系统安全等级保护数据库安全技术要求
《信息安全技术 网络脆弱性扫描产品安全技术要求》
修订说明 工作简要过程 1.1 任务来源
近年来，随着黑客技术的不断发展以及网络非法入侵事件的激增，国内网络安全产品市场也呈现出良好的发展态势，各种品牌的防火墙产品、入侵检测产品等已经达到了相当可观的规模。最近几年，网络脆弱性扫描产品的出现，为网络安全产品厂商提供了一个展现自身技术水平的更高层次舞台，市场上，各种实现脆弱性扫描功能的产品层出不穷，发展迅速，标准《GB/T 20278-2006 信息安全技术 网络脆弱性扫描产品技术要求》已不能满足现在产品的发展需求，另一方面，为了更好地配合等级保护工作的开展，为系统等级保护在产品层面上的具体实施提供依据，需要对该标准进行合理的修订，通过对该标准的修订，将更加全面系统的阐述网络脆弱性扫描产品的安全技术要求，并对其进行合理的分级。本标准编写计划由中国国家标准化管理委员会2010年下达，计划号20101497-T-469，由公安部第三研究所负责制定，具体修订工作由公安部计算机信息系统安全产品质量监督检验中心承担。1.2 参考国内外标准情况
该标准修订过程中，主要参考了：
—GB 17859-1999 计算机信息系统安全保护等级划分准则 —GB/T 20271-2006 信息安全技术 信息系统安全通用技术要求 —GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求
—GB/T 18336.2-2008 信息技术 安全技术 信息技术安全性评估准则 第二部分：安全功能要求 —GB/T 18336.3-2008 信息技术 安全技术 信息技术安全性评估准则 第三部分：安全保证要求 —GA/T 404-2002 信息技术 网络安全漏洞扫描产品技术要求 —GB/T 20278-2006 信息安全技术 网络脆弱性扫描产品技术要求 —GB/T 20280-2006信息安全技术 网络脆弱性扫描产品测试评价方法 —MSTL_JGF_04-017 信息安全技术 主机安全漏洞扫描产品检验规范 1.3 主要工作过程
1）成立修订组
2010年11月在我中心成立了由顾建新具体负责的标准修订组，共由5人组成，包括俞优、顾建新、张笑笑、陆臻、顾健。
2）制定工作计划
修订组首先制定了修订工作计划，并确定了修订组人员例会及时沟通交流工作情况。3）确定修订内容
确定标准主要内容的论据 2.1 修订目标和原则 2.1.1 修订目标
本标准的修订目标是：对网络脆弱性扫描类产品提出产品功能要求、产品自身安全要求以及产品保证要求，使之适用于我国脆弱性扫描产品的研究、开发、测试、评估以及采购。2.1.2 修订原则
为了使我国网络脆弱性扫描产品的开发工作从一开始就与国家标准保持一致，本标准的编写参考了国家有关标准，主要有GA/T 698-2007、GB/T 17859-1999、GB/T 20271-2006、GB/T 22239-2008和GB/T 18336-2008第二、三部分。本标准又要符合我国的实际情况，遵从我国有关法律、法规的规定。具体原则与要求如下：
1）先进性
标准是先进经验的总结，同时也是技术的发展趋势。目前，我国网络脆弱性扫描类产品种类繁多，功能良莠不齐，要制定出先进的信息安全技术标准，必须参考国内外先进技术和标准，吸收其精华，制定出具有先进水平的标准。本标准的编写始终遵循这一原则。
2）实用性
标准必须是可用的，才有实际意义。因此本标准的编写是在对国内外标准的相关技术内容消化、吸收的基础上，结合我国的实际情况，制定出符合我国国情的、可操作性强的标准。
3）兼容性
本标准既要与国际接轨，更要与我国现有的政策、法规、标准、规范等相一致。修订组在对标准起草过程中始终遵循此原则，其内容符合我国已经发布的有关政策、法律和法规。2.2 对网络脆弱性扫描类产品的理解 2.2.1 网络脆弱性扫描产品
脆弱性扫描是一项重要的安全技术，它采用模拟攻击的形式对网络系统组成元素（服务器、工作站、路由器和防火墙等）可能存在的安全漏洞进行逐项检查，根据检查结果提供详细的脆弱性描述和修补方案，形成系统安全性分析报告，从而为网络管理员完善网络系统提供依据。通常，我们将完成脆弱性扫描的软件、硬件或软硬一体的组合称为脆弱性扫描产品。
脆弱性扫描产品的分类
根据工作模式，脆弱性扫描产品分为主机脆弱性扫描产品和网络脆弱性扫描产品。其中前者基于主机，通过在主机系统本地运行代理程序来检测系统脆弱性，例如针对操作系统和数据库的扫描产品。后者基于网络，通过请求/应答方式远程检测目标网络和主机系统的安全脆弱性。例如Satan 和ISS Internet Scanner等。针对检测对象的不同，脆弱性扫描产品还可分为网络扫描产品、操作系统扫描产品、WWW服务扫描产品、数据库扫描产品以及无线网络扫描产品。
这是最基本的TCP扫描。操作系统提供的connect（）系统调用，用来与每一个感兴趣的目标计算机的端口进行连接。如果端口处于侦听状态，那么connect（）就能成功。否则，这个端口是不能用的，即没有提供服务。
FIN+URG+PUSH扫描
向目标主机发送一个FIN、URG和PUSH 分组，根据RFC793，如果目标主机的相应端口是关闭的，那么应该返回一个RST标志。
NULL扫描
通过发送一个没有任何标志位的TCP包，根据RFC793，如果目标主机的相应端口是关闭的，它应该发送回一个RST数据包。
UDP ICMP端口不能到达扫描
在向一个未打开的UDP端口发送一个数据包时，许多主机会返回一个ICMP_PORT_UNREACH 错误。这样就能发现哪个端口是关闭的。UDP和ICMP错误都不保证能到达，因此这种扫描器必须能够重新传输丢失的数据包。这种扫描方法速度很慢，因为RFC对ICMP错误消息的产生速率做了规定。
安全漏洞特征定义
目前，脆弱性扫描产品多数采用基于特征的匹配技术，与基于误用检测技术的入侵检测系统相类似。扫描产品首先通过请求/应答，或通过执行攻击脚本，来搜集目标主机上的信息，然后在获取的信息中寻找漏洞特征库定义的安全漏洞，如果有，则认为安全漏洞存在。可以看到，安全漏洞能否发现很大程度上取决于漏洞特征的定义。
扫描器发现的安全漏洞应该符合国际标准，这是对扫描器的基本要求。但是由于扫描器的开发商大都自行定义标准，使得安全漏洞特征的定义不尽相同。
漏洞特征库通常是在分析网络系统安全漏洞、黑客攻击案例和网络系统安全配置的基础上形成的。对于网络安全漏洞，人们还需要分析其表现形式，检查它在某个连接请求情况下的应答信息；或者通过模式攻击的形式，查看模拟攻击过程中目标的应答信息，从应答信息中提取安全漏洞特征。漏洞特征的定义如同入侵检测系统中对攻击特征的定义，是开发漏洞扫描系统的主要工作，其准确直接关系到漏洞扫描系统性能的好坏。这些漏洞特征，有的存在于单个应答数据包中，有的存在于多个应答数据包中，还有的维持在一个网络连接之中。因此，漏洞特征定义的难度很大，需要反复验证和测试。目前，国内许多漏洞扫描产品直接基于国外的一些源代码进行开发。利用现成的漏洞特征库，使系统的性能基本能够与国外保持同步，省掉不少工作量，但核心内容并不能很好掌握。从长远发展来看，我国需要有自主研究安全漏洞特征库实力的扫描类产品开发商，以掌握漏洞扫描的核心技术。
技术趋势
从最初的专门为UNIX系统编写的具有简单功能的小程序发展到现在，脆弱性扫描系统已经成为能够运行在各种操作系统平台上、具有复杂功能的商业程序。脆弱性扫描产品的发展正呈现出以下趋势。
系统评估愈发重要
目前多数脆弱性扫描产品只能够简单地把各个扫描器测试项的执行结果（目标主机信息、安全漏洞信息和补救建议等）罗列出来提供给测试者，而不对信息进行任何分析处理。少数脆弱性扫描产品能够将扫描结果整理形成报表，依据一些关键词（如IP地址和风险等级等）对扫描结果进行归纳总结，但是仍然没有分析扫描结果，缺乏对网络安全状况的整体评估，也不会提出解决方案。
在系统评估方面，我国的国标已明确提出系统评估分析应包括目标的风险等级评估、同一目标多次扫描形式的趋势分析、多个目标扫描后结果的总体分析、关键脆弱性扫描信息的摘要和主机间的比较分析等等，而不能仅仅将扫描结果进行简单罗列。应该说，脆弱性扫描技术已经对扫描后的评估越来越重视。下一代的脆弱性扫描系统不但能够扫描安全漏洞，还能够智能化地协助管理人员评估网络的安全状况，并给出安全建议。为达这一目的，开发厂商需要在脆弱性扫描产品中集成安全评估专家系统。专家系统应能够从网络安全策略、风险评估、脆弱性评估、脆弱性修补、网络结构和安全体系等多个方面综合对网络系统进行安全评估。
插件技术和专用脚本语言
插件就是信息收集或模拟攻击的脚本，每个插件都封装着一个或者多个漏洞的测试手段。通常，脆弱性扫描产品是借助于主扫描程序通过用插件的方法来执行扫描，通过添加新的插件就可以使扫描产品增加新的功能，扫描更多的脆弱性。如果能够格式化插件的编写规范并予以公布，用户或者第三方就可以自己编写插件来扩展扫描器的功能。插件技术可使扫描产品的结构清晰，升级维护变的相对简单，并具有非常强的扩展性。目前，大多数扫描产品其实已采用了基于插件的技术，但各开发商自行规定接口规范，还没有达到严格的规范水平。
专用脚本语言是一种更高级的插件技术，用户使用专用脚本语言可以大大扩展扫描器的功能。这些脚本语言语法通常比较简单直观，十几行代码就可以定制一个安全漏洞的检测，为扫描器添加新的检测项目。专用脚本语言的使用，简化了编写新插件的编程工作，使扩展扫描产品功能的工作变的更加方便，能够更快跟上安全漏洞出现的速度。
网络拓扑扫描
网络拓扑扫描目前还被大多数扫描器所忽略。随着系统评估的愈发重要，网络拓扑结构正成为安全体系中的一个重要因素。拓扑扫描能够识别网络上的各种设备以及设备的连接关系，能够识别子网或
和增强级两个级别，且与“基本要求”和“通用要求”中的划分没有对应关系，不利于该类产品在系统等级保护推行中产品选择方面的有效对应。《GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求》的网络安全管理，从第一级就要求“定期进行网络系统漏洞扫描，对发现的网络系统安全漏洞进行及时的修补”，《GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求》中的信息系统安全性检测分析，从第二级开始要求“操作系统安全性检测分析、数据库管理系统安全性检测分析、网络系统安全性检测分析、应用系统安全性检测分析和硬件系统安全性检测分析的要求，运用有关工具，检测所选用和/或开发的操作系统、数据库管理系统、网络系统、应用系统、硬件系统的安全性，并通过对检测结果的分析，按系统审计保护级的要求，对存在的安全问题加以改进。”
本次在对原标准的修订过程中，对于产品本身的安全保护要求，主要参考了GB/T 17859-1999、GB/T 20271-2006、GB/T 18336-2008、GB/T 22239-2008等，以等级保护的思路编写制定了自身安全功能要求和保证要求。对于产品提供服务功能的安全保护能力方面，现阶段是以产品功能强弱以及配合等级保护安全、审计等要素进行分级的。通过对标准意见的不断收集以及修改，将产品提供的功能与等级保护安全要素产生更密切的联系，以便有能力参与到系统等级保护相关要素的保护措施中去。2.2.3 与原标准的区别
1)标准结构更加清晰规范，全文按照产品安全功能要求、自身安全功能要求和安全保证要求三部分进行整理修订，与其他信息安全产品标准的编写结构保持一致。
2）删除原标准中性能部分的要求，将原来有关扫描速度、稳定性和容错性，以及脆弱性发现能力等重新整理，作为功能部分予以要求，同时，考虑到原来对于误报率和漏报滤的模糊描述以及实际测试的操作性较差，删除了这两项内容的要求。
3）对于产品功能要求的逻辑结构进行重新整理，按照信息获取，端口扫描，脆弱性扫描，报告的先后顺序进行修订，使得产品的功能要求在描述上逐步递进，易于读者的理解，并且结合产品的功能强弱进行分级。
4)对于产品的自身安全功能要求和安全保证要求，充分参考了等级保护的要求，对其进行了重新分级，使得该标准在应用时更能有效指导产品的开发和检测，使得产品能更加有效的应用于系统的等级保护工作。
5）将标准名称修改为《信息安全技术 网络脆弱性扫描产品安全技术要求》，增加了“安全”二字，体现出这个标准的内容是规定了产品的安全要求，而非其它电器、尺寸、环境等标准要求。
6）将原标准中“网络脆弱性扫描”的定义修改为“通过网络对目标网络系统安全隐患进行远程探测的过程，它对网络系统进行安全脆弱性检测和分析，从而发现可能被入侵者利用的漏洞，并可以提出一定的防范和补救措施建议。”作为扫描类产品，在发现系统脆弱性的同时，还要求“能够采取一定的准，结合当前国内外网络脆弱性扫描产品的发展情况，系统地描述了产品的功能要求、自身安全要求和保证要求。这些技术是在对国内外现有技术及标准进行吸收、消化的基础上，考虑了我国国情制定的。
本次是对原有国标《GB/T 20278-2006 信息安全技术 网络脆弱性扫描产品技术要求》的修订，在修订过程中，重新整理了内容和结构，结合等级保护的要求重新进行了分级，在内容和结构上趋于完整化、可行化和系统化。4 贯彻标准的要求和实施建议
本标准是对网络脆弱性扫描产品安全技术要求的详细描述，为生产、测试和评估信息过滤产品提供指导性意见。建议将本标准作为国家标准在全国推荐实施。
《信息安全技术 网络脆弱性扫描产品安全技术要求》修订组
2012年9月
第二篇：西安市信息系统安全等级保护
西安市信息系统安全等级保护
责
任
书
西安市公安局网安支队印制
信息系统安全等级保护
责 任 书
甲方: 西安市公安局网安支队
乙方:
为加强我市信息系统安全等级保护工作，保证信息系统安全，建设平安西安、和谐西安，依据《关于开展全国重要信息系统安全等级保护定级工作的通知》（公信安[2007]861号）文件精神和《信息安全等级保护管理办法》相关规定，制定本责任书。
一、双方职责及义务
（一）网安支队
按照相关法律法规赋予的职能，认真履行以下职责及义务：
1、负责西安市非涉密、非密码信息系统的安全等级保护工作；
2、负责对信息系统信息安全等级保护工作进行监督、检查、指导。审核等级保护单位填写的《信息系统安全等级保护备案表》，并对各单位提出定级建议；
3、负责对通过审核的信息系统进行备案管理。建立档案，进行备案统计，并按照国家有关规定逐级上报；
4、负责监督、检查各单位信息系统安全保护状况。依据《信息安全等级保护管理办法》规定组织运营、使用单位定期对信息系统安全等级状况开展等级测评及自查工作。对测评及自查后发现问题的单位，下发整改通知，督促其制定整改方案，整改存在问题。必要时，对整改情况组织检查；
5、负责督促从事信息系统安全等级测评的机构履行《信息安全等级保护管理办法》规定的义务；
6、负责对信息系统备案通过审核、符合等级保护要求的单位颁发信息系统安全等级保护备案证明。
7、负责定期对等保单位安全员组织信息系统安全等级保护相关知识培训。
（二）信息系统等级保护单位：
按照国家相关法律法规的规定，要认真履行以下职责及义务：
1、负责落实本单位及下属单位开展信息系统安全等级保护工作；
2、在公安机关的指导下，负责对本单位的信息系统自定等级，如实填写《信息系统安全等级保护备案表》和定级报告，到公安机关办理备案手续。建立本单位信息系统等级保护工作领导小组，并及时向公安机关部门报告领导小组人员
变更调整情况；
3、负责落实本单位的信息系统安全等级保护措施。建立健全信息系统安全保护制度及措施，及时修订信息系统安全应急方案，积极配合公安机关对本单位信息系统安全等级状况开展测评，对测评后存在的问题及时出台整改措施进行整改；
4、负责如实向公安机关提供开展等级保护工作所需要的所有文档材料。
二、双方负有的安全责任
（一）网安支队
1、指导各单位落实信息系统安全保护制度，检查各单位等级保护工作开展情况，做好信息系统安全等级保护备案工作。
2、审查等保评测机构资质，指导做好测评工作，努力减少系统漏洞。
3、查办信息系统案件。
4、依据《信息安全等级保护管理办法》，组织各单位、部门定期开展信息系统等级测评工作。
（二）信息系统安全等级保护单位
信息系统安全等级保护单位及相关人员，在公安机关指导下开展本单位信息系统安全保护工作。
1、要指定专人负责，制定并落实等保人防措施，不断完
善等等保技术手段，确保信息系统平稳、安全运行。
2、配合公安机关组织开展的信息系统测评工作，根据测评情况及时认真实施整改。
3、制定信息系统应急预案，保证系统不间断运行。
4、及时向公安机关报告本系统发生的问题，协助公安机关的查处工作。
5、做好本单位等保宣传教育工作，确保信息系统安全。
三、本责任书未尽事宜，严格按照法律法规的规定执行。
本责任书自签字盖章后两年内有效，一式两份，双方各执一份。
网安支队领导签字：
（单位盖章）（单位盖章）
年 月 日 年 月 日
信息系统安全等级保护
单位领导签字：
第三篇：信息安全技术 信息系统安全等级保护测评过程指南送审稿
信息安全技术 信息系统安全等级保护测评过程指南
送审稿
引 言
依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。本标准是信息安全等级保护相关系列标准之一。与本标准相关的系列标准包括：
——GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南； ——GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求； ——GB/T CCCC-CCCC 信息安全技术 信息系统安全等级保护实施指南； ——GB/T DDDD-DDDD 信息安全技术 信息系统安全等级保护测评要求。
信息安全技术
信息系统安全等级保护测评过程指南 范围
本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。2 规范性引用文件
下列文件中的条款通过在本标准中的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T 5271.8 信息技术 词汇 第8部分：安全 GB 17859-1999 计算机信息系统安全保护等级划分准则 GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南 GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 GB/T CCCC-CCCC 信息安全技术 信息系统安全等级保护实施指南 GB/T DDDD-DDDD 信息安全技术 信息系统安全等级保护测评要求 《信息安全等级保护管理办法》（公通字[2007]43号）3 术语和定义
GB/T 5271.8、GB 17859-1999、GB/T CCCC-CCCC和GB/T DDDD-DDDD确立的以及下列的术语和定义适用于本标准。3.1
优势证据 superior evidence 对单一测评项实施等级测评过程中获得的多个测评结果之间存在矛盾，且都没有足够的证据否定与之矛盾的测评结果的，则测评结果的证明力明显大于其他测评结果的证明力的那个（些）测评结果即为优势证据。4 等级测评概述 4.1 等级测评的作用
依据《信息安全等级保护管理办法》（公通字[2007]43号），信息系统运营、使用单位在进行信息系统备案后，都应当选择测评机构进行等级测评。等级测评是测评机构依据《信息系统安全等级保护测评要求》等管理规范和技术标准，检测评估信息系统安全等级保护状况是否达到相应等级基本要求的过程，是落实信息安全等级保护制度的重要环节。
在信息系统建设、整改时，信息系统运营、使用单位通过等级测评进行现状分析，确定系统的安全保护现状和存在的安全问题，并在此基础上确定系统的整改安全需求。
在信息系统运维过程中，信息系统运营、使用单位定期委托测评机构开展等级测评，对信息系统安全等级保护状况进行安全测试，对信息安全管控能力进行考察和评价，从而判定信息系统是否具备GB/T 22239-2008中相应等级安全保护能力。而且，等级测评报告是信息系统开展整改加固的重要指导性文件，也是信息系统备案的重要附件材料。等级测评结论为信息系统未达到相应等级的基本安全保护能力的，运营、使用单位应当根据等级测评报告，制定方案进行整改，尽快达到相应等级的安全保护能力。4.2 等级测评执行主体
可以为三级及以上等级信息系统实施等级测评的等级测评执行主体应具备如下条件：在中华人民共和国境内注册成立（港澳台地区除外）；由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；从事相关检测评估工作两年以上，无违法记录；
工作人员仅限于中国公民；法人及主要业务、技术人员无犯罪记录；使用的技术装备、设施应当符合《信息安全等级保护管理办法》（公通字[2007]43号）对信息安全产品的要求；具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；对国家安全、社会秩序、公共利益不构成威胁。（摘自《信息安全等级保护管理办法》（公通字[2007]43号））
等级测评执行主体应履行如下义务：遵守国家有关法律法规和技术标准，提供安全、客观、公正的检测评估服务，保证测评的质量和效果；保守在测评活动中知悉的国家秘密、商业秘密和个人隐私，防范测评风险；对测评人员进行安全保密教育，与其签订安全保密责任书，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。4.3 等级测评风险
等级测评实施过程中，被测系统可能面临以下风险。4.3.1 验证测试影响系统正常运行
在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。4.3.2 工具测试影响系统正常运行
在现场测评时，会使用一些技术测试工具进行漏洞扫描测试、性能测试甚至抗渗透能力测试。测试可能会对系统的负载造成一定的影响，漏洞扫描测试和渗透测试可能对服务器和网络通讯造成一定影响甚至伤害。4.3.3 敏感信息泄漏
泄漏被测系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息。4.4 等级测评过程
本标准中的测评工作过程及任务基于受委托测评机构对信息系统的初次等级测评给出。运营、使用单位的自查或受委托测评机构对已经实施过一次（或以上）等级测评的被测系统的等级测评，测评机构和测评人员可以根据实际情况调整部分工作任务，具体原则见附录A。
等级测评过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动。而测评双方之间的沟通与洽谈应贯穿整个等级测评过程。
4.4.1 测评准备活动
本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。测评准备工作是否充分直接关系到后续工作能否顺利开展。本活动的主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。4.4.2 方案编制活动
本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。4.4.3 现场测评活动 本活动是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要求，严格执行测评指导书测评指导书，分步实施所有测评项目，包括单元测评和整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。4.4.4 分析与报告编制活动
本活动是给出等级测评工作结果的活动，是总结被测系统整体安全保护能力的综合评价活动。本活动的主要任务是根据现场测评结果和GB/T DDDD-DDDD的有关要求，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。5 测评准备活动
5.1 测评准备活动的工作流程
测评准备活动的目标是顺利启动测评项目，准备测评所需的相关资料，为顺利编制测评方案打下良好的基础。
测评准备活动包括项目启动、信息收集和分析、工具和表单准备三项主要任务。这三项任务的基本工作流程见图1：
5.2 测评准备活动的主要任务 5.2.1 项目启动
在项目启动任务中，测评机构组建等级测评项目组，获取测评委托单位及被测系统的基本情况，从基本资料、人员、计划安排等方面为整个等级测评项目的实施做基本准备。输入：委托测评协议书。任务描述：
a)根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评项目组，从人员方面做好准备，并编制项目计划书。项目计划书应包含项目概述、工作依据、技术思路、工作内容和项目组织等。b)测评机构要求测评委托单位提供基本资料，包括：被测系统总体描述文件，详细描述文件，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次等级测评报告（如果有），测评委托单位的信息化建设状况与发展以及联络方式等。
输出/产品：项目计划书。5.2.2 信息收集和分析
测评机构通过查阅被测系统已有资料或使用调查表格的方式，了解整个系统的构成和保护情况，为编写测评方案和开展现场测评工作奠定基础。
输入：调查表格，被测系统总体描述文件，详细描述文件，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次等级测评报告（如果有）。任务描述：
a)测评机构收集等级测评需要的各种资料，包括测评委托单位的各种方针文件、规章制度及相关过程管理记录、被测系统总体描述文件、详细描述文件、安全保护等级定级报告、安全需求分析报告、安全总体方案、安全现状评价报告、安全详细设计方案、用户指南、运行步骤、网络图表、配置管理文档等。b)测评机构将调查表格提交给测评委托单位，督促被测系统相关人员准确填写调查表格。
c)测评机构收回填写完成的调查表格，并分析调查结果，了解和熟悉被测系统的实际情况。分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。这些信息可以重用自查或上次等级测评报告中的可信结果。
d)如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。
输出/产品：填好的调查表格。5.2.3 工具和表单准备
测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。
输入：各种与被测系统相关的技术资料。任务描述：
a)测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。
b)测评人员模拟被测系统搭建测评环境。
c)准备和打印表单，主要包括：现场测评授权书、文档交接单、会议记录表单、会议签到表单等。
输出/产品：选用的测评工具清单，打印的各类表单。5.3 测评准备活动的输出文档
测评准备活动的输出文档及其内容如表1所示：
5.4 测评准备活动中双方的职责 测评机构职责：
a)组建等级测评项目组。
b)指出测评委托单位应提供的基本资料。
c)准备被测系统基本情况调查表格，并提交给测评委托单位。d)向测评委托单位介绍安全测评工作流程和方法。
e)向测评委托单位说明测评工作可能带来的风险和规避方法。
f)了解测评委托单位的信息化建设状况与发展，以及被测系统的基本情况。g)初步分析系统的安全情况。h)准备测评工具和文档。
测评委托单位职责：
a)向测评机构介绍本单位的信息化建设状况与发展情况。b)准备测评机构需要的资料。
c)为测评人员的信息收集提供支持和协调。d)准确填写调查表格。e)根据被测系统的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议。f)制定应急预案。方案编制活动
6.1 方案编制活动的工作流程
方案编制活动的目标是整理测评准备活动中获取的信息系统相关资料，为现场测评活动提供最基本的文档和指导方案。
方案编制活动包括测评对象确定、测评指标确定、测试工具接入点确定、测评内容确定、测评指导书测评指导书开发及测评方案编制六项主要任务。这六项任务的基本工作流程见图 2：
6.2 方案编制活动的主要任务 6.2.1 测评对象确定
根据已经了解到的被测系统信息，分析整个被测系统及其涉及的业务应用系统，确定出本次测评的测评对象。输入：填好的调查表格。任务描述：
a)识别并描述被测系统的整体结构
根据调查表格获得的被测系统基本情况，识别出被测系统的整体结构并加以描述。描述内容应包括被测系统的标识（名称），物理环境，网络拓扑结构和外部边界连接情况等，并 给出网络拓扑图。
b)识别并描述被测系统的边界
根据填好的调查表格，识别出被测系统边界并加以描述。描述内容应包括被测系统与其他网络进行外部连接的边界连接方式，如采用光纤、无线和专线等；描述各边界主要设备，如防火墙、路由器或服务器等。如果在被测系统边界连接处有共用设备，一般可以把该设备划到等级较高的那个信息系统中。c)识别并描述被测系统的网络区域
一般信息系统都会根据业务类型及其重要程度将信息系统划分为不同的区域。对于没有进行区域划分的系统，应首先根据被测系统实际情况进行大致划分并加以描述。描述内容主要包括区域划分、每个区域内的主要业务应用、业务流程、区域的边界以及它们之间的连接情况等。d)识别并描述被测系统的重要节点
描述系统节点时可以以区域为线索，具体描述各个区域内包括的计算机硬件设备（包括服务器设备、客户端设备、打印机及存储器等外围设备）、网络硬件设备（包括交换机、路由器、各种适配器等）等，并说明各个节点之间的主要连接情况和节点上安装的应用系统软件情况等。e)描述被测系统
对上述描述内容进行整理，确定被测系统并加以描述。描述被测系统时，一般以被测系统的网络拓扑结构为基础，采用总分式的描述方法，先说明整体结构，然后描述外部边界连接情况和边界主要设备，最后介绍被测系统的网络区域组成、主要业务功能及相关的设备节点等。f)确定测评对象
分析各个作为定级对象的信息系统，包括信息系统的重要程度及其相关设备、组件，在此基础上，确定出各测评对象。g)描述测评对象
描述测评对象时，一般针对每个定级对象分门别类加以描述，包括机房、业务应用软件、主机操作系统、数据库管理系统、网络互联设备及其操作系统、安全设备及其操作系统、访谈人员及其安全管理文档等。在对每类测评对象进行描述时则一般采用列表的方式，包括测评对象所属区域、设备名称、用途、设备信息等内容。
输出/产品：测评方案的测评对象部分。6.2.2 测评指标确定
根据已经了解到的被测系统定级结果，确定出本次测评的测评指标。输入：填好的调查表格，GB/T 22239-2008。任务描述：
a)根据被测系统调查表格，得出被测系统的定级结果，包括业务信息安全保护等级和系统服务安全保护等级，从而得出被测系统应采取的安全保护措施ASG组合情况。
b)从GB/T 22239-2008中选择相应等级的安全要求作为测评指标，包括对ASG三类安全要求的选择。举例来说，假设某信息系统的定级结果为：安全保护等级为3级，业务信息安全保护等级为2级，系统服务安全保护等级为3级；则该系统的测评指标将包括GB/T 22239-2008“技术要求”中的3级通用安全保护类要求（G3），2级业务信息安全类要求（S2），3级系统服务保证类要求（A3），以及第3级“管理要求”中的所有要求。
c)对于由多个不同等级的信息系统组成的被测系统，应分别确定各个定级对象的测评指标。如果多个定级对象共用物理环境或管理体系，而且测评指标不能分开，则不能分开的这些测评指标应采用就高原则。d)分别针对每个定级对象加以描述，包括系统的定级结果、指标选择两部分。其中，指标选择可以列表的形式给出。例如，一个安全保护等级和系统服务安全保护等级均为三级、业务信息安全保护等级为2级的定级对象，测评指标可以列出下表：
6.2.3 测试工具接入点确定
在等级测评中，对二级和二级以上的信息系统应进行工具测试，工具测试可能用到漏洞扫描器、渗透测试工具集、协议分析仪等测试工具。
输入：填好的调查表格，GB/T DDDD-DDDD。任务描述：
a)确定需要进行工具测试的测评对象。
b)选择测试路径。一般来说，测试工具的接入采取从外到内，从其他网络到本地网段的逐步逐点接入，即：测试工具从被测系统边界外接入、在被测系统内部与测评对象不同网段及同一网段内接入等几种方式。c)根据测试路径，确定测试工具的接入点。
从被测系统边界外接入时，测试工具一般接在系统边界设备（通常为交换设备）上。在该点接入漏洞扫描器，扫描探测被测系统的主机、网络设备对外暴露的安全漏洞情况。在该接入点接入协议分析仪，可以捕获应用程序的网络数据包，查看其安全加密和完整性保护情况。在该接入点使用渗透测试工具集，试图利用被测试系统的主机或网络设备的安全漏洞，跨过系统边界，侵入被测系统主机或网络设备。
从系统内部与测评对象不同网段接入时，测试工具一般接在与被测对象不在同一网段的内部核心交换设备上。在该点接入扫描器，可以直接扫描测试内部各主机和网络设备对本单位其他不同网络所暴露的安全漏洞情况。在该接入点接入网络拓扑发现工具，可以探测信息系统的网络拓扑情况。在系统内部与测评对象同一网段内接入时，测试工具一般接在与被测对象在同一网段的交换设备上。在该点接入扫描器，可以在本地直接测试各被测主机、网络设备对本地网络暴露的安全漏洞情况。一般来说，该点扫描探测出的漏洞数应该是最多的，它说明主机、网络设备在没有网络安全保护措施下的安全状况。如果该接入点所在网段有大量用户终端设备，则可以在该接入点接入非法外联检测设备，测试各终端设备是否出现过非法外联情况。
d)结合网络拓扑图，采用图示的方式描述测试工具的接入点、测试目的、测试途径和测试对象等相关内容。
输出/产品：测评方案的测评内容中关于测评工具接入点部分。6.2.4 测评内容确定
本部分确定现场测评的具体实施内容，即单元测评内容。
输入：填好的调查表格，测评方案的测评对象、测评指标及测评工具接入点部分。任务描述： a)确定单元测评内容
依据GB/T DDDD-DDDD，将前面已经得到的测评指标和测评对象结合起来，然后再将测评对象与具体的测评方法结合起来，这也是编制测评指导书测评指导书的第一步。
具体做法就是把各层面上的测评指标结合到具体测评对象上，并说明具体的测评方法，如此构成一个个可以具体实施测评的单元。参照GB/T DDDD-DDDD，结合已选定的测评指标和测评对象，概要说明现场单元测评实施的工作内容；涉及到工具测试部分，应根据确定的测试工具接入点，编制相应的测试内容。在测评方案中，现场单元测评实施内容通常以表格的形式给出，表格包括测评指标、测评内容描述等内容。现场测评实施内容是项目组每个成员开发测评指导书测评指导书的基础。现场单元测评实施内容表格描述的基本格式之一为：
6.2.5 测评指导书开发 测评指导书是具体指导测评人员如何进行测评活动的文件，是现场测评的工具、方法和操作步骤等的详细描述，是保证测评活动可以重现的根本。因此，测评指导书应当尽可能详尽、充分。输入：测评方案的测试工具接入点、单元测评实施部分。任务描述：
a)描述单个测评对象，包括测评对象的名称、IP地址、用途、管理人员等信息。b)根据GB/T DDDD-DDDD的单元测评实施确定测评活动，包括测评项、测评方法、操作步骤和预期结果等四部分。
测评项是指GB/T 22239-2008中对该测评对象在该用例中的要求，在GB/T DDDD-DDDD中对应每个测评单元中的“测评指标”的具体要求项。测评方法是指访谈、检查和测试三种方法，具体到测评对象上可细化为文档审查、配置检查、工具测试和实地察看等多种方法，每个测评项可能对应多个测评方法。操作步骤是指在现场测评活动中应执行的命令或步骤，是按照GB/TDDDD-DDDD中的每个“测评实施”项目开发的操作步骤，涉及到工具测试时，应描述工具测试路径及接入点等；预期结果是指按照操作步骤在正常的情况下应得到的结果和获取的证据。
c)单元测评一般以表格形式设计和描述测评项、测评方法、操作步骤和预期结果等内容。整体测评则一般以文字描述的方式表述，可以以测评用例的方式进行组织。
单元测评的测评指导书描述的基本格式为：
输出/产品：测评指导书，测评结果记录表格。6.2.6 测评方案编制
测评方案是等级测评工作实施的基础，指导等级测评工作的现场实施活动。测评方案应包括但不局限于以下内容：项目概述、测评对象、测评指标、测评工具的接入点以及单元测 评实施等。
输入：委托测评协议书，填好的调研表格，GB/T 22239-2008中相应等级的基本要求，测评方案的测评对象、测评指标、测试工具接入点、测评内容部分。任务描述：
a)根据委托测评协议书和填好的调研表格，提取项目来源、测评委托单位整体信息化建设情况及被测系统与单位其他系统之间的连接情况等。
b)根据等级保护过程中的等级测评实施要求，将测评活动所依据的标准罗列出来。
c)依据委托测评协议书和被测系统情况，估算现场测评工作量。工作量可以根据配置检查的节点数量和工具测试的接入点及测试内容等情况进行估算。d)根据测评项目组成员安排，编制工作安排情况。
e)根据以往测评经验以及被测系统规模，编制具体测评计划，包括现场工作人员的分工和时间安排。在进行时间计划安排时，应尽量避开被测系统的业务高峰期，避免给被测系统带来影响。同时，在测评计划中应将具体测评所需条件以及测评需要的配合人员也一并给出，便于测评实施之前双方沟通协调、合理安排。f)汇总上述内容及方案编制活动的其他任务获取的内容形成测评方案文稿。
g)评审和提交测评方案。测评方案初稿应通过测评项目组全体成员评审，修改完成后形成提交稿。然后，测评机构将测评方案提交给测评委托单位签字认可。
输出/产品：经过评审和确认的测评方案文本。6.3 方案编制活动的输出文档
方案编制活动的输出文档及其内容如表5所示：
6.4 方案编制活动中双方的职责 测评机构职责：
a)详细分析被测系统的整体结构、边界、网络区域、重要节点等。b)初步判断被测系统的安全薄弱点。
c)分析确定测评对象、测评指标和测试工具接入点，确定测评内容及方法。d)编制测评方案文本，并对其内部评审，并提交被测机构签字确认。
测评委托单位职责：
a)对测评方案进行认可，并签字确认。现场测评活动
7.1 现场测评活动的工作流程
现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。
现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还三项主要任务。这三项任务的基本工作流程见图3：
7.2 现场测评活动的主要任务 7.2.1 现场测评准备
本任务启动现场测评，是保证测评机构能够顺利实施测评的前提。输入：现场测评授权书，测评方案。任务描述：
a)测评委托单位签署现场测评授权书。
b)召开测评现场首次会，测评机构介绍测评工作，交流测评信息，进一步明确测评计划和方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排等，以便于后面的测评工作开展。
c)测评双方确认现场测评需要的各种资源，包括测评委托单位的配合人员和需要提供的测评条件等，确认被测系统已备份过系统及数据。
d)测评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新。
输出/产品：会议记录，更新后的测评计划和测评程序，确认的测评授权书等。7.2.2 现场测评和结果记录
现场测评一般包括访谈、文档审查、配置检查、工具测试和实地察看五个方面。7.2.2.1 访谈
输入：测评指导书，技术安全和管理安全测评的测评结果记录表格。任务描述：
a)测评人员与被测系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。在访谈范围上，不同等级信息系统在测评时有不同的要求，一般应基本覆盖所有的安全相关人员类型，在数量上可以抽样。具体可参照GB/T DDDD-DDDD中的各级要求。
输出/产品：技术安全和管理安全测评的测评结果记录或录音。7.2.2.2 文档审查
输入：安全方针文件，安全管理制度，安全管理的执行过程文档，系统设计方案，网络设备的技术资料，系统和产品的实际配置说明，系统的各种运行记录文档，机房建设相关资料，机房出入记录等过程记录文档，测评指导书，管理安全测评的测评结果记录表格。任务描述：
a)检查GB/T 22239-2008中规定的必须具有的制度、策略、操作规程等文档是否齐备。
b)检查是否有完整的制度执行情况记录，如机房出入登记记录、电子记录、高等级系统的关键设备的使用登记记录等。
c)对上述文档进行审核与分析，检查他们的完整性和这些文件之间的内部一致性。
下面列出对不同等级信息系统在测评实施时的不同强度要求。一级：满足GB/T 22239-2008中的一级要求。
二级：满足GB/T 22239-2008中的二级要求，并且所有文档之间应保持一致性，要求有执行过程记录的，过程记录文档的记录内容应与相应的管理制度和文档保持一致，与实际情况保持一致。
三级：满足GB/T 22239-2008中的三级要求，所有文档应具备且完整，并且所有文档之间应保持一致性，要求有执行过程记录的，过程记录文档的记录内容应与相应的管理制度和文档保持一致，与实际情况保持一致，安全管理过程应与系统设计方案保持一致且能够有效管理系统。
四级：满足GB/T 22239-2008中的四级要求，所有文档应具备且完整，并且所有文档之间应保持一致性，要求有执行过程记录的，过程记录文档的记录内容应与相应的管理制度和文档保持一致，与实际情况保持一致，安全管理过程应与系统设计方案保持一致且能够有效管理系统。输出/产品：管理安全测评的测评结果记录。7.2.2.3 配置检查
输入：测评指导书，技术安全测评的网络、主机、应用测评结果记录表格。任务描述：
a)根据测评结果记录表格内容，利用上机验证的方式检查应用系统、主机系统、数据库系统以及网络设备的配置是否正确，是否与文档、相关设备和部件保持一致，对文档审核的内容进行核实（包括日志审计等）。b)如果系统在输入无效命令时不能完成其功能，将要对其进行错误测试。c)针对网络连接，应对连接规则进行验证。
下面列出对不同等级信息系统在测评实施时的不同强度要求。一级：满足GB/T 22239-2008中的一级要求。
二级：满足GB/T 22239-2008中的二级要求，测评其实施的正确性和有效性，检查配置的完整性，测试网络连接规则的一致性。
三级：满足GB/T 22239-2008中的三级要求，测评其实施的正确性和有效性，检查配置的完整性，测试网络连接规则的一致性，测试系统是否达到可用性和可靠性的要求。
四级：满足GB/T 22239-2008中的四级要求，测评其实施的正确性和有效性，检查配置的完整性，测试网络连接规则的一致性，测试系统是否达到可用性和可靠性的要求。输出/产品：技术安全测评的网络、主机、应用测评结果记录。7.2.2.4 工具测试
输入：测评指导书，技术安全测评的网络、主机、应用测评结果记录表格。任务描述：
a)根据测评指导书，利用技术工具对系统进行测试，包括基于网络探测和基于主机审计的漏洞扫描、渗透性测试、性能测试、入侵检测和协议分析等。b)备份测试结果。
下面列出对不同等级信息系统在测评实施时的不同强度要求。
一级：满足GB/T 22239-2008中的一级要求。
二级：满足GB/T 22239-2008中的二级要求，针对主机、服务器、关键网络设备、安全设备等设备进行漏洞扫描等。
三级：满足GB/T 22239-2008中的三级要求，针对主机、服务器、网络设备、安全设备等设备进行漏洞扫描，针对应用系统完整性和保密性要求进行协议分析，渗透测试应包括基于一般脆弱性的内部和外部渗透攻击。
四级：满足GB/T 22239-2008中的四级要求，针对主机、服务器、网络设备、安全设备等设备进行漏洞扫描，针对应用系统完整性和保密性要求进行协议分析，渗透测试应包括基于一般脆弱性的内部和外部渗透攻击。
输出/产品：技术安全测评的网络、主机、应用测评结果记录，工具测试完成后的电子输出记录，备份的测试结果文件。7.2.2.5 实地察看
输入：测评指导书，技术安全测评的物理安全和管理安全测评结果记录表格。任务描述：
a)根据被测系统的实际情况，测评人员到系统运行现场通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况，测评其是否达到了相应等级的安全要求。
下面列出对不同等级信息系统在测评实施时的不同强度要求。一级：满足GB/T 22239-2008中的一级要求。二级：满足GB/T 22239-2008中的二级要求。
三级：满足GB/T 22239-2008中的三级要求，判断实地观察到的情况与制度和文档中说明的情况是否一致，检查相关设备、设施的有效性和位置的正确性，与系统设计方案的一致性。
四级：满足GB/T 22239-2008中的四级要求，判断实地观察到的情况与制度和文档中说明的情况是否一致，检查相关设备、设施的有效性和位置的正确性，与系统设计方案的一致性。输出/产品：技术安全测评的物理安全和管理安全测评结果记录。7.2.3 结果确认和资料归还
输入：测评结果记录，工具测试完成后的电子输出记录。任务描述：
a)测评人员在现场测评完成之后，应首先汇总现场测评的测评记录，对漏掉和需要进一步验证的内容实施补充测评。
b)召开测评现场结束会，测评双方对测评过程中发现的问题进行现场确认。
c)测评机构归还测评过程中借阅的所有文档资料，并由测评委托单位文档资料提供者签字确认。
输出/产品：现场测评中发现的问题汇总，证据和证据源记录，测评委托单位的书面认可文件。
7.3 现场测评活动的输出文档
现场测评活动的输出文档及其内容如表6所示：
7.4 现场测评活动中双方的职责 测评机构职责：
a)利用访谈、文档审查、配置检查、工具测试和实地察看的方法测评被测系统的保护措施情况，并获取相关证据。
测评委托单位职责：
a)测评前备份系统和数据，并确认被测设备状态完好。b)协调被测系统内部相关人员的关系，配合测评工作的开展。c)签署现场测评授权书。
d)相关人员回答测评人员的问询，对某些需要验证的内容上机进行操作。
e)相关人员确认测试前协助测评人员实施工具测试并提供有效建议，降低安全测评对系统运行的影响。f)相关人员协助测评人员完成业务相关内容的问询、验证和测试。g)相关人员对测评结果进行确认。h)相关人员确认测试后被测设备状态完好。分析与报告编制活动
8.1 分析与报告编制活动的工作流程
在现场测评工作结束后，测评机构应对现场测评获得的测评结果（或称测评证据）进行汇总分析，形成等级测评结论，并编制测评报告。
测评人员在初步判定单元测评结果后，还需进行整体测评，经过整体测评后，有的单元测评结果可能会有所变化，需进一步修订单元测评结果，而后进行风险分析和评价，形成等级测评结论。分析与报告编制活动包括单项测评结果判定、单元测评结果判定、整体测评、风险分析、等级测评结论形成及测评报告编制六项主要任务。这六项任务的基本工作流程见图4：
8.2 分析与报告编制活动的主要任务 8.2.1 单项测评结果判定
本任务主要是针对测评指标中的单个测评项，结合具体测评对象，客观、准确地分析测评证据，形成初步单项测评结果，单项测评结果是形成等级测评结论的基础。输入：技术安全和管理安全的单项测评结果记录，测评指导书。任务描述：
a)针对每个测评项，分析该测评项所对抗的威胁在被测系统中是否存在，如果不存在，则该测评项应标为不适用项。
b)分析单个测评项是否有多方面的要求内容，针对每一方面的要求内容，从一个或多个测评证据中选择出“优势证据”，并将“优势证据”与要求内容的预期测评结果相比较。
c)如果测评证据表明所有要求内容与预期测评结果一致，则判定该测评项的单项测评结果为符合；如果测评证据表明所有要求内容与预期测评结果不一致，判定该测评项的单项测评结果为不符合；否则判定该测评项的单项测评结果为部分符合。
根据“优势证据”的定义，具体从测评方式上来看，针对物理安全测评，实地察看证据相比文档审查证据为优势证据，文档审查证据相比访谈证据为优势证据；针对技术安全的其他方面测评，工具测试证据相比配置检查证据为优势证据，配置检查证据相比访谈证据为优势证据；针对管理安全测评，优势证据不确定，需根据实际情况分析确定优势证据。
输出/产品：测评报告的单元测评的结果记录部分。8.2.2 单元测评结果判定
本任务主要是将单项测评结果进行汇总，分别统计不同测评对象的单项测评结果，从而判定单元测评结果，并以表格的形式逐一列出。
输入：测评报告的单元测评的结果记录部分。任务描述：
a)按层面分别汇总不同测评对象对应测评指标的单项测评结果情况，包括测评多少项，符合要求的多少项等内容，一般以表格形式列出。
汇总统计分析的基本表格形式可以如下：
注：“.”表示“符合”，“.”表示部分符合，“×”表示“不符合”，“N/A”表示“不适用”。
上表中的符号即为测评对象对应的单元测评结果。测评对象在某个测评指标的单元测评结果判别原则如下：
1． 测评指标包含的所有适用测评项的单项测评结果均为符合，则该测评对象对应该测评指标的单元测评结果为符合；
2． 测评指标包含的所有适用测评项的单项测评结果均为不符合，则该测评对象对应该测评指标的单元测评结果为不符合；
3． 测评指标包含的所有测评项均为不适用项，则该测评对象对应该测评指标的单元测评结果为不适用； 4． 测评指标包含的所有适用测评项的单项测评结果不全为符合或不符合，则该测评对象对应该测评指标的单元测评结果为部分符合。
输出/产品：测评报告的单元测评的结果汇总部分。
8.2.3 整体测评
针对单项测评结果的不符合项，采取逐条判定的方法，从安全控制间、层面间和区域间出发考虑，给出整体测评的具体结果，并对系统结构进行整体安全测评。输入：测评报告的单元测评的结果汇总部分。任务描述：
a)针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他测评项能否和它发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足，以及该测评项的不足是否会影响与其有关联关系的其他测评项的测评结果。b)针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他层面的测评对象能否和它发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足，以及该测评项的不足是否会影响与其有关联关系的其他测评项的测评结果。
c)针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他区域的测评对象能否和它发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足，以及该测评项的不足是否会影响与其有关联关系的其他测评项的测评结果。
d)从安全角度分析被测系统整体结构的安全性，从系统角度分析被测系统整体安全防范的合理性。e)汇总上述分析结论，形成表格。
表格基本形式如下：
输出/产品：测评报告的整体测评部分。8.2.4 风险分析
测评人员依据等级保护的相关规范和标准，采用风险分析的方法分析等级测评结果中存在的安全问题可能对被测系统安全造成的影响。
输入：填好的调查表格，测评报告的单元测评的结果汇总及整体测评部分。任务描述：
a)结合单元测评的结果汇总和整体测评结果，将物理安全、网络安全、主机安全、应用安全等层面中各个测评对象的测评结果再次汇总分析，统计符合情况。一般可以表格的形式描述。
表格的基本形式可以如下：
b)判断测评结果汇总中部分符合项或不符合项所产生的安全问题被威胁利用的可能性，可能性的取值范围为高、中和低。
c)判断测评结果汇总中部分符合项或不符合项所产生的安全问题被威胁利用后，对被测系统的业务信息安全和系统服务安全造成的影响程度，影响程度取值范围为高、中和低。
d)综合b）和c）的结果，对被测系统面临的安全风险进行赋值，风险值的取值范围为高、中和低。e)结合被测系统的安全保护等级对风险分析结果进行评价，即对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。
输出：测评报告的测评结果汇总及风险分析和评价部分。8.2.5 等级测评结论形成
测评人员在测评结果汇总的基础上，找出系统保护现状与等级保护基本要求之间的差距，并形成等级测评结论。
输入：测评报告的测评结果汇总部分。任务描述：
a)根据表9测评结果汇总表格，如果部分符合和不符合项的统计结果不全为0，则该信息系统未达到相应等级的基本安全保护能力；如果部分符合和不符合项的统计结果全为0，则该信息系统达到了相应等级的基本安全保护能力。
输出/产品：测评报告的等级测评结论部分。8.2.6 测评报告编制
测评报告应包括但不局限于以下内容：概述、被测系统描述、测评对象说明、测评指标说明、测评内容和方法说明、单元测评、整体测评、测评结果汇总、风险分析和评价、等级测评结论、整改建议等。其中，概述部分描述被测系统的总体情况、本次测评的主要测评目的和依据；被测系统描述、测评对象、测评指标、测评内容和方法等部分内容编制时可以参考测评方案相关部分内容，有改动的地方应根据实际测评情况进行修改。
输入：测评方案，单元测评的结果记录和结果汇总部分，整体测评部分，风险分析和评价部分、等级测评结论部分。任务描述：
a)测评人员整理前面几项任务的输出/产品，编制测评报告相应部分。一个测评委托单位应形成一份测评报告，如果一个测评委托单位内有多个被测系统，报告中应分别描述每一个被测系统的等级测评情况。b)针对被测系统存在的安全隐患，从系统安全角度提出相应的改进建议，编制测评报告的安全建设整改建议部分。
c)列表给出现场测评的文档清单和单项测评记录，以及对各个测评项的单项测评结果判定情况，编制测评报告的单元测评的结果记录和问题分析部分。
d)测评报告编制完成后，测评机构应根据测评协议书、测评委托单位提交的相关文档、测评原始记录和其他辅助信息，对测评报告进行评审。
e)评审通过后，由项目负责人签字确认并提交给测评委托单位。
输出/产品：经过评审和确认的被测系统等级测评报告。8.3 分析与报告编制活动的输出文档
分析与报告编制活动的输出文档及其内容如表10所示：
8.4 分析与报告编制活动中双方的职责 测评机构职责：
a)分析并判定单项测评结果和整体测评结果。b)分析评价被测系统存在的风险情况。c)根据测评结果形成等级测评结论。
d)编制等级测评报告，说明系统存在的安全隐患和缺陷，并给出改进建议。e)评审等级测评报告，并将评审过的等级测评报告按照分发范围进行分发。f)将生成的过程文档归档保存，并将测评过程中生成的电子文档清除。
测评委托单位职责： a)签收测评报告。
附录A（资料性附录）等级测评工作流程
受委托测评机构实施的等级测评工作活动及流程与运营、使用单位的自查活动及流程会有所差异，初次等级测评和再次等级测评的工作活动及流程也不完全相同，而且针对不同等级信息系统实施的等级测评工作活动及流程也不相同。
受委托测评机构对信息系统的初次等级测评可以分为四项活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。具体如图5所示：
上图是对受委托测评机构对信息系统实施初次等级测评的基本工作流程。如果被测系统已经实施过一次（或多次）等级测评，上图中的四个活动保持不变，但是具体任务内容会有所变化。测评机构和测评人员可以根据上一次等级测评中存在的问题和被测系统的实际情况调整部分工作任务内容。例如，信息收集和分析任务中，可以只收集那些自上次等级测评后有所变更的信息，其他信息可以重用上次等级测评结果；测评对象尽量选择上次等级测评中未测过或存在问题的作为测评对象；测评内容也应关注上次等级测评中发现的问题。不同等级信息系统的等级测评的基本工作活动与图5中信息系统的等级测评活动应完全一致，即：测评准备、方案编制、现场测评、分析与报告编制四项活动。由于图5给出的是较为全面的工作流程和任务，因此，较低等级信息系统的等级测评的各个活动的具体工作任务应在图5基础上删除或简化部分内容。如针对二级信息系统的等级测评，测评人员在分析与报告编制活动中可以不进行单项测评结果汇总分析，仅进行简单的汇总等。相反，较高等级信息系统的等级测评的工作任务则可以在此基础上增加或细化部分内容。如针对四级信息系统的等级测评，在测评对象确定任务中，不但需要确定出测评对象，还需给出选择这些测评对象的过程及理由等；整体测评需设计具体的整体测评实例等。
附录B
（资料性附录）测评对象确定方法 B.1 测评对象确定原则和方法
测评对象是等级测评的直接工作对象，也是在被测系统中实现特定测评指标所对应的安全功能的具体系统组件，因此，选择测评对象是编制测评方案的必要步骤，也是整个测评工作的重要环节。恰当选择测评对象的种类和数量是整个等级测评工作能够获取足够证据、了解到被测系统的真实安全保护状况的重要保证。
测评对象的确定一般采用抽查的方法，即：抽查信息系统中具有代表性的组件作为测评对象。并且，在测评对象确定任务中应兼顾工作投入与结果产出两者的平衡关系。在确定测评对象时，需遵循以下原则：
1． 恰当性，选择的设备、软件系统等应能满足相应等级的测评强度要求； 2． 重要性，应抽查对被测系统来说重要的服务器、数据库和网络设备等； 3． 安全性，应抽查对外暴露的网络边界；
4． 共享性，应抽查共享设备和数据交换平台/设备；
5． 代表性，抽查应尽量覆盖系统各种设备类型、操作系统类型、数据库系统类型和应用系统类型。
B.2 具体确定方法说明 B.2.1 第一级信息系统
第一级信息系统的等级测评，测评对象的种类和数量比较少，重点抽查关键的设备、设施、人员和文档等。可以抽查的测评对象种类主要考虑以下几个方面：
1． 主机房（包括其环境、设备和设施等），如果某一辅机房中放置了服务于整个信息系统或对信息系统的安全性起决定作用的设备、设施，那么也应该作为测评对象； 2． 整个系统的网络拓扑结构；
3． 安全设备，包括防火墙、入侵检测设备、防病毒网关等；
4． 边界网络设备（可能会包含安全设备），包括路由器、防火墙和认证网关等； 5． 对整个信息系统的安全性起决定作用的网络互联设备，如核心交换机、路由器等； 6． 承载最能够代表被测系统使命的业务或数据的核心服务器（包括其操作系统和数据库）； 7． 最能够代表被测系统使命的重要业务应用系统； 8． 信息安全主管人员；
9． 涉及到信息系统安全的主要管理制度和记录，包括进出机房的登记记录、信息系统相关设计验收文档等。
在本级信息系统测评时，信息系统中配置相同的安全设备、边界网络设备、网络互联设备以及服务器应至少抽查一台作为测评对象。B.2.2 第二级信息系统
第二级信息系统的等级测评，测评对象的种类和数量都较多，重点抽查重要的设备、设施、人员和文档等。可以抽查的测评对象种类主要考虑以下几个方面：
1． 主机房（包括其环境、设备和设施等），如果某一辅机房中放置了服务于整个信息系统或对信息系统的安全性起决定作用的设备、设施，那么也应该作为测评对象； 2． 存储被测系统重要数据的介质的存放环境； 3． 整个系统的网络拓扑结构；
4． 安全设备，包括防火墙、入侵检测设备、防病毒网关等；
5． 边界网络设备（可能会包含安全设备），包括路由器、防火墙和认证网关等；
6． 对整个信息系统或其局部的安全性起决定作用的网络互联设备，如核心交换机、汇聚层交换机、核心路由器等；
7． 承载被测系统核心或重要业务、数据的服务器（包括其操作系统和数据库）； 8． 重要管理终端；
9． 能够代表被测系统主要使命的业务应用系统； 10． 信息安全主管人员、各方面的负责人员； 11． 涉及到信息系统安全的所有管理制度和记录。
在本级信息系统测评时，信息系统中配置相同的安全设备、边界网络设备、网络互联设备以及服务器应至少抽查两台作为测评对象。B.2.3 第三级信息系统
第三级信息系统的等级测评，测评对象种类上基本覆盖、数量进行抽样，重点抽查主要的设备、设施、人员和文档等。可以抽查的测评对象种类主要考虑以下几个方面：
1． 主机房（包括其环境、设备和设施等）和部分辅机房，应将放置了服务于信息系统的局部（包括整体）或对信息系统的局部（包括整体）安全性起重要作用的设备、设施的辅机房选取作为测评对象； 2． 存储被测系统重要数据的介质的存放环境； 3． 办公场地；
4． 整个系统的网络拓扑结构；
5． 安全设备，包括防火墙、入侵检测设备和防病毒网关等；
6． 边界网络设备（可能会包含安全设备），包括路由器、防火墙、认证网关和边界接入设备（如楼层交换机）等；
7． 对整个信息系统或其局部的安全性起作用的网络互联设备，如核心交换机、汇聚层交换机、路由器等； 8． 承载被测系统主要业务或数据的服务器（包括其操作系统和数据库）； 9． 管理终端和主要业务应用系统终端；
10． 能够完成被测系统不同业务使命的业务应用系统； 11． 业务备份系统；
12． 信息安全主管人员、各方面的负责人员、具体负责安全管理的当事人、业务负责人； 13． 涉及到信息系统安全的所有管理制度和记录。
在本级信息系统测评时，信息系统中配置相同的安全设备、边界网络设备、网络互联设备、服务器、终端以及备份设备，每类应至少抽查两台作为测评对象。B.2.4 第四级信息系统
第四级信息系统的等级测评，测评对象种类上完全覆盖、数量进行抽样，重点抽查不同 种类的设备、设施、人员和文档等。可以抽查的测评对象种类主要考虑以下几个方面：
1． 主机房和全部辅机房（包括其环境、设备和设施等）； 2． 介质的存放环境； 3． 办公场地；
4． 整个系统的网络拓扑结构；
5． 安全设备，包括防火墙、入侵检测设备和防病毒网关等；
6． 边界网络设备（可能会包含安全设备），包括路由器、防火墙、认证网关和边界接入设备（如楼层交换机）等；
7． 主要网络互联设备，包括核心和汇聚层交换机； 8． 主要服务器（包括其操作系统和数据库）； 9． 管理终端和主要业务应用系统终端； 10． 全部应用系统； 11． 业务备份系统；
12． 信息安全主管人员、各方面的负责人员、具体负责安全管理的当事人、业务负责人； 13． 涉及到信息系统安全的所有管理制度和记录。
在本级信息系统测评时，信息系统中配置相同的安全设备、边界网络设备、网络互联设备、服务器、终端以及备份设备，每类应至少抽查三台作为测评对象。附录C
（资料性附录）等级测评工作要求 C.1 依据标准，遵循原则
等级测评实施应依据等级保护的相关技术标准进行。相关技术标准主要包括GB/T 22239-2008和GB/T DDDD-DDDD，其中等级测评目标和内容应依据GB/T 22239-2008，对具体测评项的测评实施方法则依据GB/T DDDD-DDDD。
在等级测评实施活动中，应遵循GB/T DDDD-DDDD中规定的测评原则，保证测评工作公正、科学、合理和完善。
C.2 恰当选取，保证强度
恰当选取是指对具体测评对象的选择要恰当，既要避免重要的对象、可能存在安全隐患的对象没有被选择，也要避免过多选择，使得工作量增大。
保证强度是指对被测系统应实施与其等级相适应的测评强度。C.3 规范行为，规避风险
测评机构实施等级测评的过程应规范，包括：制定内部保密制度；制定过程控制制度； 规定相关文档评审流程；指定专人负责保管等级测评的归档文件等。
测评人员的行为应规范，包括：测评人员进入现场佩戴工作牌；使用测评专用的电脑和工具；严格按照测评指导书使用规范的测评技术进行测评；准确记录测评证据；不擅自评价 测评结果；不将测评结果复制给非测评人员等。
规避风险，是指要充分估计测评可能给被测系统带来的影响，向被测系统运营/使用单位揭示风险，要求其提前采取预防措施进行规避。同时，测评机构也应采取与测评委托单位签署委托测评协议、保密协议、现场测评授权书、要求测评委托单位进行系统备份、规范测评活动、及时与测评委托单位沟通等措施规避风险，尽量避免给被测系统和单位带来影响。附录D
（资料性附录）
测评方案与报告编制示例
某公司（简称“AAA”）用电信息系统承载着该公司的电力营销业务，由数据存储、业务处理、接入、对外服务和外联等五个功能区域组成，是一个安全等级为三级的信息系统。
现场测评时间为X年X月X日至X年X月X日，现场测评小组分为管理组（2人）和技术组（4人）两组，分别完成安全管理和安全技术方面的测评。D.1 测评方案编制示例 针对AAA用电信息系统的实际情况，下面从被测系统描述、测评对象、测评指标、测评工具和接入点、测评内容以及配套的测评指导书等方面说明测评方案的编制方法。D.1.1 被测系统描述
被测系统为承载着AAA公司电力营销业务，是AAA公司的重要信息系统，其安全等级定为三级（S3A2G3）。
被测系统由数据存储、业务处理、接入、对外服务和外联等五个功能区域组成，对内有业务扩充管理、电量计量管理、电费结算、收费、统计分析等业务功能模块；对外有可以为Internet网、大客户单位、拨号用户等提供电费数据查询、交纳、业务扩充、投诉等服务的功能模块。数据存储功能区位于屏蔽机房，其它功能区域位于中心机房。
与被测系统相连的外部连接有Internet、外联单位（包括DDN单位和PSTN用户）和控制网三处。在Internet、外联单位的边界连接处设置了防火墙；与控制网连接是通过交换机SJ6506以共用服务器方式进行的。整个网络拓扑结构示意图如图6所示。D.1.2 测评对象
根据用电信息系统的实际情况，分别确定物理安全、网络安全、主机安全、应用安全等各层面的测评对象。
a)物理方面主要是测评屏蔽机房和主机房。
b)网络方面主要测评的设备有：路由器、交换机、防火墙、IDS、外联检测、防病毒等，如表11所示。
c)主机方面主要测评的主机服务器（包括数据库服务器）如表12所示。
d)应用方面主要测评的应用系统如表13所示。
e)安全管理，主要测评对象为与信息安全管理有关的策略、制度、操作规程、运行记录、管理人员、技术人员和相关设备设施等。
D.1.3 测评指标
被测系统的定级结果为：安全保护等级为3级，业务信息安全等级为S3，系统服务安全等级为A2；则该系统的测评指标应包括GB/T 22239-2008“技术要求”中的3级通用指标类（G3），3级业务信息安全指标类（S3），2级系统服务安全指标类（A2），以及第3级“管理要求”中的所有指标类。本次测评的测评指标情况具体如表14所示。
D.1.4 测评工具和接入点
本次测评的信息系统为3级信息系统，根据3级信息系统的测评强度要求，在测试的广度上，应基本覆盖不同类型的机制，在数量、范围上可以抽样；在测试的深度上，应执行功能测试和渗透测试，功能测试可能涉及机制的功能规范、高级设计和操作规程等文档，渗透测试可能涉及机制的所有可用文档，并试图智取进入信息系统等。因此，对其进行测评，应涉及到漏洞扫描工具、渗透测评工具集等多种测试工具。针对被测系统的网络边界和测评设备、主机和业务应用系统的情况，需要在被测系统及其互联网络中设置6个测试工具接入点――接入点JA到JF，如图7所示，“接入点”标注表示进行工具测试时，需要从该接入点接入，对应的箭头路线表示工具测试数据的主要流向示意。
a)在接入点JA接入扫描器，模拟Internet用户，探测对外服务功能区上各服务器对Internet暴露的安全漏洞情况。并根据漏洞扫描的结果接入渗透测试工具集，试图利用服务器的安全漏洞入侵服务器。b)在接入点JB接入扫描器，模拟外联单位，探测对外服务功能区上各服务器对外联单位暴露的安全漏洞情况。并根据漏洞扫描的结果接入渗透测试工具集，试图利用服务器的安全漏洞入侵服务器。
c)在接入点JC接入扫描器，直接测试对外服务功能区上各服务器对网络暴露的安全漏洞情况。同时，试图穿过防火墙，探测业务处理功能区上各服务器对外暴露的安全漏洞情况。并根据漏洞扫描的结果接入渗透测试工具集，试图利用业务处理功能区上各服务器的安全漏洞入侵服务器。d)……
D.1.5 测评内容
本次测评的单项测评从技术上的物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面和管理上的安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面分别进行。a)物理安全
物理安全测评将通过访谈、文档审查和实地察看的方式测评信息系统的物理安全保障情况。主要涉及对象为屏蔽机房和主机房。
在内容上，物理安全层面测评实施过程涉及10个测评单元，具体如表15所示：
b)网络安全
网络安全测评将通过访谈、配置检查和工具测试的方式测评信息系统的网络安全保障情况。主要涉及对象为网络互联设备、网络安全设备和网络拓扑结构等三大类对象。
在内容上，网络安全层面测评实施过程涉及7个测评单元，具体如表16所示：
c)主机系统安全
主机系统安全测评将通过访谈、配置检查和工具测试的方式测评信息系统的主机安全保障情况。本次重点测评的操作系统包括各网站服务器、应用服务器和数据库服务器等的操作系统，数据库管理系统为数据库服务器Sybase。
在内容上，主机系统安全层面测评实施过程涉及7个测评单元，具体如表17所示。
d)应用安全
应用安全测评将通过访谈、配置检查和工具测试的方式测评信息系统的应用安全保障情况，主要涉及对象为用电信息系统、对外服务网站系统和远程客户服务系统。
在内容上，应用安全层面测评实施过程涉及9个测评单元，具体如表18所示。
e)数据安全
数据安全测评将通过访谈、配置检查的方式测评信息系统的数据安全保障情况，主要涉及对象为信息系统的管理数据及业务数据等。
在内容上，数据安全层面测评实施过程涉及3个测评单元，具体如表19所示。
f)安全管理部分
安全管理部分为全局性问题，涉及安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等五个方面。其中，安全管理制度测评实施过程涉及3个测评单元，安全管理机构测评实施过程涉及5个测评单元，人员安全管理测评实施过程涉及5个测评单元，系统建设管理测评实施过程涉及11个测评单元，系统运维管理测评实施过程涉及13个测评单元等。由于管理部分的测评内容在描述时差异不大，这里以安全管理制度部分为例说明。
安全管理制度方面的测评对象主要为安全主管人员、安全管理人员等，具体如表20所示。
D.1.6 测评指导书
下面从被测系统的物理安全、网络安全、主机安全、应用安全等技术部分和安全管理部分分别举例说明测评指导书的格式和开发方法。a)物理安全
按照方案的要求，物理安全应测评物理位置选择（G3）、物理访问控制（G3）、防盗窃和防破坏（G3）、防雷击（G3）、防水和防潮（G3）、防静电（G3）、温湿度控制（G3）、电力供应（A2）和电磁防护（S3）等。在GB/T 22239-2008中找到对应等级项目的要求，然后在GB/T DDDD-DDDD中找到相应的测评方法。如：对于温湿度控制（G3），在GB/T 22239-2008中的描述为“机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。”，按照该要求在GB/T DDDD-DDDD的第三级中找到对应测评方法，然后按照该方法开发出对应的预期结果。按照上述思路，对于“温湿度控制（G3）”可以开发出如下的测评指导书。【测评项】
机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。【测评实施过程】
1． 应访谈物理安全负责人，询问机房是否配备了温、湿度自动调节设施，保证温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求，是否有人负责此项工作；
2． 应访谈机房维护人员，询问是否定期检查和维护机房的温湿度自动调节设施，询问是否出现过温湿度影响系统运行的事件；
3． 应检查机房是否有温湿度控制设计/验收文档，是否能够满足系统运行需要，是否与当前实际情况相符合；
4． 应检查温、湿度自动调节设施是否能够正常运行，查看温湿度记录、运行记录和维护记录；查看机房温、湿度是否满足GB 2887-89《计算站场地技术条件》的要求。
【预期结果】
1． 执行步骤1)，机房配备了温、湿度自动调节设施，在机房管理制度中规定了温湿度控制的要求，有人负责此项工作；
2． 执行步骤2)，定期检查和维护机房的温湿度自动调节设施，没有出现过温湿度影响系统运行的事件； 3． 执行步骤3)，有温湿度控制设计/验收文档，能够满足系统运行需要，与当前实际情况相符合； 4． 温、湿度自动调节设施能够正常运行，机房温、湿度满足GB 2887-89《计算站场地技术条件》的要求。b)网络安全
按照测评方案的要求，核心交换机SJ6509应测评网络访问控制（G3）、网络安全审计（G3）、网络设备防护（G3）等部分的内容。在GB/T 22239-2008中找到对应等级项目的要求，然后在GB/T DDDD-DDDD中找到相应的测评方法。如：对于网络设备防护（G3），在GB/T 22239-2008中的描述之一为“应对网络设备的管理员登录地址进行限制”，按照该项要求找到对应测评实施（方法），然后开发出对应的操作步骤和预期结果即可。按照上述思路，对于“网络设备防护（G3）” 的一个测评项可以开发如下的测评指导书。【测评项】
应对网络设备的管理员登录地址进行限制。【测评实施过程】
1． 应检查边界和主要网络设备上的安全设置，查看是否对边界和主要网络设备的管理员登录地址进行限制；
2． 应测试边界和主要网络设备的安全设置，对网络设备的管理员登录地址进行限制（如使用任意地址登录，观察网络设备的动作等）等功能是否有效。
【操作步骤】
1． 执行命令：show ip permit，查看IP地址限定情况；
2． 在业务处理功能区中，用主机192.168.1.3（限制的IP地址）试图登录SJ6509的管理界面，查看是否成功。
【预期结果】
1． 执行步骤1)，系统对管理IP地址进行了限定；
2． 执行步骤2)，192.168.1.3登录SJ6509的管理界面失败。c)主机安全
按照方案的要求，DB2（数据库为Sybase）应测评身份鉴别（S3）、自主访问控制（S3）、强制访问控制（S3）、安全审计（G3）、资源控制（A2）、数据备份与恢复（A2）、数据完整性（S3）、数据保密性（S3）等部分的内容。在GB/T 22239-2008中找到对应等级项目的要求，然后在GB/T DDDD-DDDD中找到相应的测评方法。如：对于身份鉴别（S3），在测评项中的描述之一为“应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别”，按照该项要求找到对应测评实施方法，然后开发对应操作步骤和预期结果。按照上述思路，对于“身份鉴别（S3）”的一个测评项可以开发如下的测评指导书。【测评项】
应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。【测评实施过程】
应检查主要数据库管理系统，查看对管理用户的身份鉴别是否采用两个及两个以上鉴别技术的组合来进行身份鉴别（如采用用户名/口令、挑战应答、动态口令、物理设备、生物识别技术和数字证书方式的身份鉴别技术中的任意两个组合）。【操作步骤】
1． 在DB2主机上执行命令：select * from syslogins，查看是否有用户存在空口令；
2． 询问数据库管理员，除使用口令鉴别外是否采用其他的鉴别方式，如果有，则检查其是否有效。
【预期结果】
1． 执行步骤1)，数据库没有空口令用户，从而说明数据库管理系统采用口令鉴别方式； 2． 执行步骤2)，数据库管理系统还采取有其他的鉴别方式，并且有效。d)应用安全和数据安全
按照方案的要求，业务应用程序（用户自主开发）应测评身份鉴别（S3）、访问控制（S3）、安全审计（G3）、剩余信息保护（G3）、通信完整性（S3）、通信, 保密性（S3）、抗抵赖（S3）、软件容错（A3）、资源控制（A3）、数据备份与恢复（A3）、数据完整性（S3）、数据保密性（S3）等部分的内容。在GB/T 22239-2008中找到对应等级项目的要求，然后在GB/T DDDD-DDDD中找到相应的测评方法。如：对于通信保密性（S3），在测评项中的描述之一为“应对通信过程中的整个报文或会话过程进行加密。”，按照该项要求找到对应测评实施方法，然后开发出对应操作步骤和预期结果。按照上述思路，对于“通信保密性（S3）”的一个测评项可以开发如下的测试用例。【测评项】
应对通信过程中的整个报文或会话过程进行加密。【测评实施过程】
1． 应访谈安全管理员，询问业务系统数据在通信过程中是否采取保密措施，具体措施有哪些； 2． 应测试主要应用系统，通过查看通信双方数据包的内容，查看系统在通信过程中，对整个报文或会话过程进行加密的功能是否有效。
【操作步骤】
1． 应访谈安全管理员，询问业务系统数据在通信过程中是否采取保密措施，具体措施有哪些； 2． 应采用协议分析工具测试应用系统，通过查看通信双方数据包的内容，查看系统在通信过程中，是否对整个报文或会话过程进行加密，加密功能是否有效。
【预期结果】
1． 执行步骤1)，业务系统采用了保密措施，且能具体说明保密措施；
2． 执行步骤2)，协议分析工具看到的数据包进行了加密，且加密方法符合国家规定，时有效的。e)管理安全
管理安全部分在测评时可以按照GB/T DDDD-DDDD中介绍的测评实施过程在现场直接实施使用。对于系统运维管理中的密码管理“应建立密码使用管理制度，使用符合国家密码管理规定的密码技术和产品”的要求可以编制如下的测评指导书。【测评项】
应建立密码使用管理制度，使用符, 合国家密码管理规定的密码技术和产品。【测评实施过程】
1． 应访谈安全员，询问密码技术和产品的使用是否遵照国家密码管理规定； 2． 应检查是否具有密码使用管理制度。
【预期结果】 1． 执行步骤1)，密码技术和产品的使用遵照国家密码管理规定； 2． 执, 行步骤2)，有密码使用管理制度。
D.2 测评报告编制示例
等级测评报告一般包括：概述、被测系统描述、测评对象说明、测评指标说明、测评内容和方法说明、单元测评的结果记录及结果汇总、整体测评、测评结果汇总、风险分析和评价、等级测评结论、整改建议等内容。下面主要举例说明整体测评和整改建议这两部分内容。D.2.1 整体测评 a)物理层面
1． 由于屏蔽机房位于主机房内部，其唯一出口也在主机房内，因此，对其物理层面的安全要求中的物理访问控制、防盗窃和防破坏的测评项可以通过关联互补关系得到 补充。2． ……
综合以上测评分析过程，可以得到如表21物理层面的整体测评结果（安全控制间、层面间和区域间）：
b)网络层面
1． 外联功能区拨号路由器DW3600上基本没有直接采取较好的拨号访问控制措施，只是对用户进行了固定IP地址分配。但是，由于在防火墙DW208FW上，严格限定了拨号接入IP地址的用户的访问范围，从而可以弥补这部分功能。2． 外联功能区的6台路由器DW3600在网络设备防护的用户身份认证方面，存在口令不强、未限制管理员登录地址等方面问题，但是，由于这些设备都没有开放网络管理（TELNET/HTTP等），全部采取通过本地串口方式来管理，而其又是存放在主机房中，因此，其网络设备防护安全控制可以通过物理的相关措施（物理访问控制、防盗窃和防破坏等）得到增强。
3． 对外服务功能区的网络安全审计功能没有采取单独的设备来完成，其网络流量、用户行为等的监测、记录功能是通过网络入侵防范安全控制的IDS来协助完成的。
4． 网络安全审计设备IDS具有对部分病毒、蠕虫攻击的检测识别能力，可以部分弥补恶意代码防范功能，因为，防病毒网关只对邮件数据进行病毒过滤。5． …….综合以上测评分析过程，可以得到如表22的测评结果：
c)系统结构测评分析
在信息系统整体结构的安全性方面，从被测系统的网络拓扑结构示意图来看，该网络系统虽然有多处相对独立的出口，但是这些出口除到控制网外的连线都集中到防火墙DW208FW，因此，从在网络结构上，不存在出口过多的问题；对外服务功能区上防病毒服务器a（拓扑图上未标出）使用双网卡方式工作，一边连接内部网络，一边连接对外服务功能区，通过防火墙DW208FW上网升级，这在安全上是不可取的，外部用户一旦控制防病毒服务器a，则可通过双网卡直接进入信息系统的内部网络功能区域，对信息系统的安全构成严重威胁。
从被测系统的网络拓扑结构示意图来看，内部网络划分了多个功能区域，这些功能区域之间采取了网络访问控制措施，即使是内网用户也只能访问到应用处理功能区上的服务器主机，而不能直接访问数据存储功能区的数据库服务器。这种保护方法符合纵深防御的要求，重点突出，能较好地解决一些安全问题。D.2.2 整改建议
a)安全建议（网络安全部分）1． 主要问题
.没有绘制与实际网络相一致的网络拓扑结构图。有一份与实际网络相一致的网络拓扑结构图对网络管理相当重要，可以方便工作人员掌握网络的整体情况，便于网络故障的排除，便于网络安全设备的策略配置等；
.没有对重要网段采取网络层地址与数据链路层地址绑定措施。进行MAC地址和IP地址的绑定，有助于防止地址欺骗。
2． 立即整改
需要立即整改的安全建议如下：
.应根据当前运行的网络拓扑情况，绘制与实际网络相一致的网络拓扑结构图，以便于工作人员掌握网络结构的整体情况；
3． 持续改进
需要持续改进的建议如下：
.对重要网段采取网络层地址与数据链路层地址绑定措施，防止地址欺骗；.购置并在适当网段部署防病毒网关。
b)安全管理方面 1． 主要问题
.与安全管理制度相配套的总体信息安全策略还没有正式制定，且有部分管理制度没有制定，如工程实施安全管理制度等。总体性安全策略文件是整个机构开展信息安全工作的纲领，对机构近期和远期的安全规划起着重要的指导作用。
没有方针性文件的指引和统一规划，机构的信息安全工作则会有工作方向不明确的问题；
.对信息安全关键岗位的人员管理缺乏更细粒度的要求。没有明确对这些岗位的人员是否有区别于其他岗位的更严格的录用要求、日常信用审查等管理要求。
关键岗位所从事的工作是信息安全工作的重中之重，加强对这些岗位人员的管理，对做好信息安全工作起到了关键的作用。
2． 改进建议
.进一步完善安全管理文件体系，尽快制定信息安全总体政策、方针文件，并进一步补充、完善、细化各类管理制度，如工程安全实施管理制度、系统交付管理制度等，从而形成高层策略文件、各类管理制度、具体操作规程和各类操作记录等四层塔式管理文件体系；
.加强对关键岗位人员（如系统管理员、网络管理员、安全管理员）的管理，定期对其进行信用审查，并要求其签署岗位安全协议，使其承诺在岗位上的具体安全责任、工作职责以及保密义务,从而保证对关键岗位进行关键管理。
第四篇：内蒙古自治区计算机信息系统安全保护办法
内蒙古自治区计算机信息系统安全保护办法
第一章 总 则
第一条 为保护计算机信息系统安全，根据《中华人民共和国计算机信息系统安全保护条例》及有关法律法规，结合自治区实际，制定本办法。
第二条 本办法适用于自治区行政区域内计算机信息系统的安全保护。
第三条 旗县级以上人民政府公安机关主管本行政区域内计算机信息系统的安全保护工作。国家安全机关、保密工作部门、密码管理部门和其他有关部门在各自职责范围内做好计算机信息系统的安全保护工作。
第四条 计算机信息系统的安全保护，应当保障计算机及其相关的和配套的设备、设施、网络的安全，运行环境的安全，保障信息的安全，保障计算机功能的正常发挥，以维护计算机信息系统的安全运行。
第二章 安全等级保护
第五条 计算机信息系统实行安全等级保护制度。安全保护等级根据计算机信息系统在国家安全、经济建设、社会生活中的重要程度，计算机信息系统受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织合法权益的危害程度等因素确定，分为五级。
（一）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益的，为第一级；
（二）计算机信息系统受到破坏后，可能对公民、法人和其他组织的合法权益造成严重损害，或者可能对社会秩序和公共利益造成损害，但不损害国家安全的，为第二级；
（三）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成严重损害，或者可能对国家安全造成损害的，为第三级；
（四）计算机信息系统受到破坏后，可能对社会秩序和公共利益造成特别严重损害，或者可能对国家安全造成严重损害的，为第四级；
（五）计算机信息系统受到破坏后，可能对国家安全造成特别严重损害的，为第五级。
第六条 计算机信息系统运营、使用单位应当遵守下列规定：
（一）对计算机信息系统安全保护等级准确定级，并按照等级保护管理规范和技术标准实施保护；
（二）新建计算机信息系统的，应当在规划、设计阶段确定安全保护等级，同步建设符合该安全保护等级要求的信息系统安全保护设施，落实安全保护措施；
（三）计算机信息系统的结构、处理流程、服务内容等发生重大变化，或者公安机关要求重新确定等级的，应当重新定级；
（四）按照计算机信息系统安全保护等级要求，使用符合国家及自治区规定并取得国家计算机信息系统安全专用产品销售许可证的信息安全产品；
（五）定期对本单位计算机信息系统的安全状况、保护制度和措施进行自查和整改；
（六）建立安全保护组织，确定安全管理责任人，指定专职人员负责本单位计算机信息系统的安
全管理。
第七条 第二级以上计算机信息系统运营、使用单位，应当自确定安全保护等级之日起30日内，到所在地盟行政公署、设区的市人民政府公安机关或者其指定的受理机构备案；属于自治区统一联网、跨盟市或者中央驻自治区、自治区直属单位的计算机信息系统，应当到自治区人民政府公安机关或者其指定的受理机构备案。
第八条 公安机关应当在收到备案材料之日起10个工作日内对报送备案的材料进行审查，对符合等级保护要求的，出具备案证明。对定级不准确或者保护措施不符合技术规范的，应当书面通知报送单位予以纠正。
第九条 计算机信息系统涉及国家安全、社会公共利益、重大经济建设等信息的，其运营、使用单位或者主管部门应当选择符合法定条件的安全等级测评机构，依据国家规定的技术标准，对计算机信息系统安全等级状况进行测评。
第二级以上计算机信息系统建设完成后，经测评合格方可投入使用。
第十条 计算机信息系统确定为第二级保护等级的，应当每两年至少进行一次系统安全等级测评；确定为第三级的，应当每年至少进行一次系统安全等级测评；确定为第四级以上的，应当每半年至少进行一次系统安全等级测评。
第十一条 从事计算机信息系统安全等级测评工作的机构和人员应当遵守国家规定。申请成立安全等级测评机构的单位应当经自治区人民政府公安机关初审，并通过公安部信息安全等级保护评估中心的测评能力评估。
自治区人民政府公安机关应当加强对安全等级测评机构的监督、检查和指导。
第十二条 旗县级以上人民政府公安机关应当对计算机信息系统运营、使用单位的信息安全等级保护情况进行检查。对第三级计算机信息系统每年至少检查一次，对第四级计算机信息系统每半年至少检查一次。
对第五级计算机信息系统，应当由国家指定的专门部门进行检查。
第三章 安全管理
第十三条 公安机关应当为公众提供计算机信息系统安全保护指导，开展安全宣传教育。
第十四条 公安机关对计算机信息系统安全服务机构实行分级管理和推荐制度。
第十五条 计算机信息系统安全服务机构应当向盟市级以上公安机关备案。
计算机信息系统安全服务机构应当执行国家及自治区有关计算机信息系统安全标准，应当配备适应开展相应安全服务需要、掌握国家及自治区有关计算机信息系统安全标准的技术人员。
计算机信息系统安全服务机构及其工作人员不得泄露在开展安全服务过程中获悉的国家秘密、商业秘密以及计算机信息系统网络结构、配置等用户信息；不得非法占有、使用用户的信息资源；不得在计算机信息系统中设置隐蔽信道。
第十六条 发生重大突发事件，危及国家安全、公共安全、社会稳定及重要计算机信息系统安全的紧急情况时，盟市级以上公安机关可以按照有关法律、法规的规定，要求有关单位采取相应控制措施。计算机信息系统的运营、使用单位应当服从公安机关和国家指定部门的调度。
第十七条 基础电信运营企业和计算机信息系统的运营、使用单位应当接受公安机关的安全监督、检查、指导，并如实提供有关计算机信息系统安全保护的信息资料、互联网基础数据及其他数据文件。
第十八条 基础电信运营企业等提供互联网接入服务的单位应当执行下列规定：
（一）配合公安机关做好接入本网络联网单位和用户的备案工作，真实、准确、完整登记联网单位和用户的名称、性质、有效证件、互联网地址、装机地址、上网电话、联系人等公安机关要求备案的信息，报送同级公安机关，并及时报告本网络中联网单位和用户的变更情况；
（二）记录并留存接入本网络的联网单位和用户登录、退出互联网时间及主叫号码、账号、互联网地址等上网日志信息，留存时间不少于1年；
（三）落实相关安全保护技术措施，通过互联网地址和相关网络应用信息能够对应联网单位和用户信息；
（四）协助公安机关查处涉及互联网的违法犯罪行为，并采取人工值守、远程联网查询等方式提供24小时快速查询支持；
（五）协助公安机关对接入本网络的联网单位和用户进行安全宣传教育，落实安全保护措施；
（六）互联网络拓扑结构、通信协议等拟进行重大调整的，应当报自治区人民政府公安机关备案后实施。
第十九条 提供互联网接入服务的单位、提供服务器托管或租赁空间服务的单位、互联网信息服务提供者及其他有关电信业务经营者应当建立安全管理制度，采取异常流量和违法信息监测等安全保护技术措施，及时发现危害信息网络安全、网上传播违法信息等违法犯罪活动，保留有关原始记录，及时采取删除、停止传输等措施，并在24小时内向当地公安机关报告。
第二十条 联网单位和用户应当采取设置安全性较高的密码等安全保护措施，定期更改密码，保障所使用上网账号的安全。
基础电信运营企业可以采取动态密码认证等技术措施为联网单位和用户提供互联网接入服务。
第二十一条 联网单位和用户向其他单位、个人提供互联网上网服务或者与其他单位、个人共用上网线路、账号的，应当遵守国家有关规定，并到旗县级以上人民政府公安机关备案。
第二十二条 提供互联网上网服务的单位和通过局域网接入互联网用户终端在10台以上的联网单位应当安装、运行符合国家及自治区规定的安全管理系统。
第二十三条 宾馆、酒店、餐厅、机场、车站、阅览室等提供互联网上网服务的场所和通过无线方式接入互联网的地点管理者，应当采取用户登录认证安全技术措施，并对上网用户的身份证等有效证件进行核对、登记。
第二十四条 使用内部网络地址与互联网网络地址转换方式接入互联网的联网单位，应当记录并留存用户上网终端硬件地址等信息与内部网络地址和互联网网络地址的对应关系。留存时间不少于1年。
第二十五条 生产、销售或者提供具有计算机信息系统远程控制、密码猜解、漏洞检测、信息群发功能的产品和工具的，应当报自治区人民政府公安机关或者其指定的公安机关备案。
第四章 安全秩序
第二十六条 计算机信息系统的运营、使用单位应当建立并执行下列安全管理制度：
（一）计算机机房安全管理制度；
（二）安全责任制度；
（三）病毒、网络安全漏洞检测和系统升级制度；
（四）系统安全风险管理和应急处置制度；
（五）账号使用登记和操作权限管理制度；
（六）安全管理人员岗位工作职责；
（七）重要设备、介质管理制度；
（八）信息发布审查、登记、保存、清除和备份制度；
（九）信息群发服务管理制度；
（十）安全教育和培训制度；
（十一）案件、事件报告和协助查处制度；
（十二）其他与安全保护相关的管理制度。
第二十七条 计算机信息系统的运营、使用单位应当采取下列安全保护技术措施：
（一）系统重要部分的冗余或者备份措施；
（二）计算机病毒防治措施；
（三）网络攻击防范和追踪措施；
（四）安全审计和预警措施；
（五）系统运行和用户使用日志记录留存1年以上措施；
（六）记录用户账号、主叫电话号码和网络地址措施；
（七）身份登记和识别确认措施；
（八）垃圾信息、有害信息的防治、清理措施；
（九）信息群发限制措施；
（十）其他保护计算机信息系统安全的技术措施。
第二十八条 任何单位和个人不得利用计算机信息系统、移动通讯终端制作、传播、复制下列信息：
（一）危害国家统一、主权和领土完整的；
（二）泄露国家秘密，危害国家安全或者损害国家荣誉和利益的；
（三）煽动民族仇恨、民族歧视，破坏民族团结或者侵害民族风俗、习惯的；
（四）破坏国家宗教政策，宣扬邪教、封建迷信的；
（五）散布谣言，发布虚假信息，扰乱社会秩序，破坏社会稳定的；
（六）煽动聚众滋事，损害社会公共利益的；
（七）宣扬淫秽、色情、赌博、暴力、凶杀、恐怖的；
（八）教唆犯罪或者传授犯罪方法的；
（九）散布他人隐私，侮辱、诽谤、恐吓他人，侵害他人合法权益的；
（十）从事考试作弊相关活动的；
（十一）贩卖假币、假证件、假发票、假冒伪劣商品、枪支弹药、爆炸物、迷药、窃听器和其他
法律、法规禁止流通的物品的；
（十二）法律、法规禁止制作、传播、复制的其他信息。
第二十九条 任何单位和个人不得实施下列行为：
（一）未经允许，进入计算机信息系统或者非法占有、使用、窃取计算机信息系统资源；
（二）未经允许，对计算机信息系统功能进行删除、修改、增加或者干扰；
（三）未经允许，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；
（四）利用计算机信息系统窃取他人账号和密码，或者擅自向第三方公开他人账号和密码；
（五）非法截取、篡改、删除他人电子邮件或者其他数据资料；
（六）故意制作、传播计算机病毒、恶意软件等破坏性程序;
（七）利用计算机信息系统假冒他人名义制作、传播信息，或者以其他方式进行网络诈骗；
（八）建立或者管理主要用于传播、交流违法犯罪信息的网站、群组、论坛等；
（九）允许、放任他人在自己所有或者管理的网站、网页、群组上发布第二十八条所禁止的信息；
（十）为非法网站提供服务器托管、虚拟主机、网络存储空间等服务，或者通过投放广告等方式向其直接、间接提供资金；
（十一）明知是非法网站，向其提供互联网接入、通讯传输通道、代收费、费用结算等服务；
（十二）以牟利为目的，在互联网上散布、删除信息，侵犯他人合法权益；
（十三）提供侵入、非法控制计算机信息系统的方法、程序、工具；
（十四）法律、法规禁止的其他利用计算机信息系统实施的行为。
第五章 法律责任
第三十条 违反本办法第六条、第九条、第十条、第十七条、第十八条第一至四项、第十九条、第二十六条、第二十七条规定的，由公安机关责令限期改正，给予警告，有违法所得的，没收违法所得；在规定的限期内未改正的，对单位的主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以15000元以下的罚款，可以建议主管部门对相关单位的主要领导给予处分；情节严重的，并可以给予6个月以内停止联网、停机整顿的处罚。
第三十一条 违反本办法第十五条第三款规定的，由公安机关对单位的主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以5000元以上15000元以下的罚款；有违法所得的，除没收违法所得外，可以处以违法所得1至3倍的罚款，但是最高不得超过30000元。
第三十二条 违反本办法第二十条第一款规定的，由公安机关责令限期改正，给予警告；在规定的限期内未改正的，可以给予6个月以内停止联网、停机整顿的处罚。
第三十三条 违反本办法第二十二条、第二十三条、第二十四条规定的，由公安机关责令限期改正，给予警告，有违法所得的，没收违法所得；在规定的限期内未改正的，对单位的主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以15000元以下的罚款；情节严重的，并可以给予6个月以内停止联网、停机整顿的处罚。
第三十四条 违反本办法第二十八条、第二十九条规定的，由公安机关给予警告，对个人可以并处5000元以下的罚款，对单位可以并处15000元以下的罚款；有违法所得的，除没收违法所得
外，可以处以违法所得1至3倍的罚款，但是最高不得超过30000元；情节严重的，并可以给予6个月以内停止联网、停机整顿的处罚。
第三十五条 从事计算机信息系统安全等级测评工作的单位和人员有下列行为之一的，由公安机关对单位主管负责人员和其他直接责任人员处以5000元以下的罚款，对单位处以5000元以上15000元以下的罚款；有违法所得的，除没收违法所得外，可以处以违法所得1至3倍的罚款，但是最高不得超过30000元：
（一）未通过测评能力评估，从事测评活动的；
（二）影响被测评计算机信息系统正常运行，危害被测评计算机信息系统安全的；
（三）擅自向第三方泄露被测评计算机信息系统运营、使用单位秘密和其他信息的；
（四）故意隐瞒测评过程中发现的安全问题，或者在测评过程中弄虚作假，未如实出具测评报告的；
（五）擅自占有、使用测评相关资料及数据文件的；
（六）分包或者转包测评项目的；
（七）从事计算机信息系统安全专用产品的开发、销售及信息系统安全集成业务，或者限定被测评单位购买、使用其指定的信息安全专用产品的；
（八）其他可能影响测评结果客观、公正的行为，或者未按照国家规定开展测评工作的。
第三十六条 违反本办法规定，构成违反治安管理行为的，依照《中华人民共和国治安管理处罚法》的规定处罚；给国家、其他组织或者他人财产造成损失的，应当依法承担民事责任；构成犯罪的，依法追究刑事责任。
第三十七条 公安机关和其他有关部门及其工作人员有下列行为之一的，对直接负责的主管人员和其他直接责任人员依法给予行政处分；构成犯罪的，依法追究刑事责任。
（一）利用职权索取、收受贿赂，或者玩忽职守、滥用职权的；
（二）泄露计算机信息系统运营、使用单位或者个人的有关信息、资料及数据文件的；
（三）其他不履行法定职责的。
第六章 附 则
第三十八条 本办法所称的计算机信息系统，是指由计算机及其相关的和配套的设备、设施、网络构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。
本办法所称的信息安全等级测评，是指对计算机信息系统的安全状况进行测试、评价、判断。本办法所称的安全服务机构，是指从事计算机信息系统安全设计、建设、检测、维护、监理、咨询、培训等业务的单位。
本办法所称联网单位和用户包括通过计算机或者手机等通讯终端以有线、无线等方式接入互联网的单位和用户。
第三十九条 本办法自2012年2月1日起施行。
第五篇：信息安全等级保护
信息安全等级保护(二级)信息安全等级保护(二级)备注：其中黑色字体为信息安全等级保护第二级系统要求，蓝色字体为第三级系统等保要求。
一、物理安全
1、应具有机房和办公场地的设计/验收文档（机房场地的选址说明、地线连接要求的描述、建筑材料具有相应的耐火等级说明、接地防静电措施）
2、应具有有来访人员进入机房的申请、审批记录；来访人员进入机房的登记记录
3、应配置电子门禁系统(三级明确要求)；电子门禁系统有验收文档或产品安全认证资质，电子门禁系统运行和维护记录
4、主要设备或设备的主要部件上应设置明显的不易除去的标记
5、介质有分类标识；介质分类存放在介质库或档案室内，磁介质、纸介质等分类存放
6、应具有摄像、传感等监控报警系统；机房防盗报警设施的安全资质材料、安装测试和验收报告；机房防盗报警系统的运行记录、定期检查和维护记录；
7、应具有机房监控报警设施的安全资质材料、安装测试和验收报告；机房监控报警系统的运行记录、定期检查和维护记录
8、应具有机房建筑的避雷装置；通过验收或国家有关部门的技术检测；
9、应在电源和信号线上增加有资质的防雷保安器；具有防雷检测资质的检测部门对防雷装置的检测报告
10、应具有自动检测火情、自动报警、自动灭火的自动消防系统；自动消防系统的运行记录、检查和定期维护记录；消防产品有效期合格；自动消防系统是经消防检测部门检测合格的产品
11、应具有除湿装置；空调机和加湿器；温湿度定期检查和维护记录
12、应具有水敏感的检测仪表或元件；对机房进行防水检测和报警；防水检测装置的运行记录、定期检查和维护记录
13、应具有温湿度自动调节设施；温湿度自动调节设施的运行记录、定期检查和维护记录
14、应具有短期备用电力供应设备（如UPS）；短期备用电力供应设备的运行记录、定期检查和维护记录
15、应具有冗余或并行的电力电缆线路（如双路供电方式）
16、应具有备用供电系统（如备用发电机）；备用供电系统运行记录、定期检查和维护记录
二、安全管理制度
1、应具有对重要管理操作的操作规程，如系统维护手册和用户操作规程
2、应具有安全管理制度的制定程序：
3、应具有专门的部门或人员负责安全管理制度的制定（发布制度具有统一的格式，并进行版本控制）
4、应对制定的安全管理制度进行论证和审定，论证和审定方式如何（如召开评审会、函审、内部审核等），应具有管理制度评审记录
5、应具有安全管理制度的收发登记记录，收发应通过正式、有效的方式（如正式发文、领导签署和单位盖章等）----安全管理制度应注明发布范围，并对收发文进行登记。
6、信息安全领导小组定期对安全管理制度体系的合理性和适用性进行审定，审定周期多长。（安全管理制度体系的评审记录）
7、系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时应对安全管理制度进行检查，对需要改进的制度进行修订。（应具有安全管理制度修订记录）
三、安全管理机构
1、应设立信息安全管理工作的职能部门
2、应设立安全主管、安全管理各个方面的负责人
3、应设立机房管理员、系统管理员、网络管理员、安全管理员等重要岗位（分工明确，各司其职），数量情况（管理人员名单、岗位与人员对应关系表）
4、安全管理员应是专职人员
5、关键事物需要配备2人或2人以上共同管理，人员具体配备情况如何。
6、应设立指导和管理信息安全工作的委员会或领导小组（最高领导是否由单位主管领导委任或授权的人员担任）
7、应对重要信息系统活动进行审批（如系统变更、重要操作、物理访问和系统接入、重要管理制度的制定和发布、人员的配备和培训、产品的采购、外部人员的访问等），审批部门是何部门，审批人是何人。审批程序：
8、应与其它部门之间及内部各部门管理人员定期进行沟通（信息安全领导小组或者安全管理委员会应定期召开会议）
9、应组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，定期：
10、信息安全管理委员会或领导小组安全管理工作执行情况的文件或工作记录（如会议记录/纪要，信息安全工作决策文档等）
11、应与公安机关、电信公司和兄弟单位等的沟通合作（外联单位联系列表）
12、应与供应商、业界专家、专业的安全公司、安全组织等建立沟通、合作机制。
13、聘请信息安全专家作为常年的安全顾问（具有安全顾问名单或者聘请安全顾问的证明文件、具有安全顾问参与评审的文档或记录）
14、应组织人员定期对信息系统进行安全检查（查看检查内容是否包括系统日常运行、系统漏洞和数据备份等情况）
15、应定期进行全面安全检查（安全检查是否包含现行技术措施有效性和管理制度执行情况等方面、具有安全检查表格，安全检查报告，检查结果通告记录）
四、人员安全管理
1、何部门/何人负责安全管理和技术人员的录用工作（录用过程）
2、应对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，技能考核文档或记录
3、应与录用后的技术人员签署保密协议（协议中有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容）
4、应设定关键岗位，对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议。
5、应及时终止离岗人员的所有访问权限（离岗人员所有访问权限终止的记录）
6、应及时取回离岗人员的各种身份证件、钥匙、徽章等以及机构提供的软硬件设备等（交还身份证件和设备等的登记记录）
7、人员离岗应办理调离手续，是否要求关键岗位调离人员承诺相关保密义务后方可离开（具有按照离岗程序办理调离手续的记录，调离人员的签字）
8、对各个岗位人员应定期进行安全技能考核；具有安全技能考核记录，考核内容要求包含安全知识、安全技能等。
9、对关键岗位人员的安全审查和考核与一般岗位人员有何不同，审查内容是否包括操作行为和社会关系等。
10、应对各类人员（普通用户、运维人员、单位领导等）进行安全教育、岗位技能和安全技术培训。
11、应针对不同岗位制定不同的培训计划，并按照计划对各个岗位人员进行安全教育和培训（安全教育和培训的结果记录，记录应与培训计划一致）
12、外部人员进入条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员进入的访问控制（由专人全程陪同或监督等）
13、应具有外部人员访问重要区域的书面申请
14、应具有外部人员访问重要区域的登记记录（记录描述了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等）
五、系统建设管理
1、应明确信息系统的边界和安全保护等级（具有定级文档，明确信息系统安全保护等级）
2、应具有系统建设/整改方案
3、应授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责
4、应具有系统的安全建设工作计划（系统安全建设工作计划中明确了近期和远期的安全建设计划）
5、应组织相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套文件进行论证和审定（配套文件的论证评审记录或文档）
6、应对总体安全策略、安全技术框架、安全管理策略等相关配套文件应定期进行调整和修订
7、应具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本
8、应按照国家的相关规定进行采购和使用系统信息安全产品
9、安全产品的相关凭证，如销售许可等，应使用符合国家有关规定产品
10、应具有专门的部门负责产品的采购
11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单
12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）
13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册
14、对程序资源库的修改、更新、发布应进行授权和批准
15、应具有程序资源库的修改、更新、发布文档或记录
16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测
17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品
18、应具有软件设计的相关文档和使用指南
19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档
20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制
21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案
22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）
23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）
24、应具有测试验收报告
25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）
26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）
27、应具有系统交付时的技术培训记录
28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。
29、应指定部门负责系统交付工作
30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容
31、选定的安全服务商应提供一定的技术培训和服务
32、应与安全服务商签订的服务合同或安全责任合同书
11、采购产品前应预先对产品进行选型测试确定产品的候选范围，形成候选产品清单，是否定期审定和更新候选产品名单
12、应具有产品选型测试结果记录和候选产品名单及更新记录（产品选型测试结果文档）
13、应具有软件设计相关文档，专人保管软件设计的相关文档，应具有软件使用指南或操作手册
14、对程序资源库的修改、更新、发布应进行授权和批准
15、应具有程序资源库的修改、更新、发布文档或记录
16、软件交付前应依据开发协议的技术指标对软件功能和性能等进行验收检测
17、软件安装之前应检测软件中的恶意代码（该软件包的恶意代码检测报告），检测工具是否是第三方的商业产品
18、应具有软件设计的相关文档和使用指南
19、应具有需求分析说明书、软件设计说明书、软件操作手册等开发文档
20、应指定专门部门或人员按照工程实施方案的要求对工程实施过程进行进度和质量控制
21、应具有工程实施过程应按照实施方案形成各种文档，如阶段性工程进程汇报报告，工程实施方案
22、在信息系统正式运行前，应委托第三方测试机构根据设计方案或合同要求对信息系统进行独立的安全性测试（第三方测试机构出示的系统安全性测试验收报告）
23、应具有工程测试验收方案（测试验收方案与设计方案或合同要求内容一致）
24、应具有测试验收报告
25、应指定专门部门负责测试验收工作（具有对系统测试验收报告进行审定的意见）
26、根据交付清单对所交接的设备、文档、软件等进行清点（系统交付清单）
27、应具有系统交付时的技术培训记录
28、应具有系统建设文档（如系统建设方案）、指导用户进行系统运维的文档（如服务器操作规程书）以及系统培训手册等文档。
29、应指定部门负责系统交付工作
30、应具有与产品供应商、软件开发商、系统集成商、系统运维商和等级测评机构等相关安全服务商签订的协议（文档中有保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等内容
31、选定的安全服务商应提供一定的技术培训和服务
32、应与安全服务商签订的服务合同或安全责任合同书
六、系统运维管理
1、应指定专人或部门对机房的基本设施（如空调、供配电设备等）进行定期维护，由何部门/何人负责。
2、应具有机房基础设施的维护记录，空调、温湿度控制等机房设施定期维护保养的记录
3、应指定部门和人员负责机房安全管理工作
4、应对办公环境保密性进行管理（工作人员离开座位确保终端计算机退出登录状态、桌面上没有包含敏感信息的纸档文件）
5、应具有资产清单（覆盖资产责任人、所属级别、所处位置、所处部门等方面）
6、应指定资产管理的责任部门或人员
7、应依据资产的重要程度对资产进行标识
8、介质存放于何种环境中，应对存放环境实施专人管理（介质存放在安全的环境（防潮、防盗、防火、防磁，专用存储空间））
9、应具有介质使用管理记录，应记录介质归档和使用等情况（介质存放、使用管理记录）
10、对介质的物理传输过程应要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制
11、应对介质的使用情况进行登记管理，并定期盘点（介质归档和查询的记录、存档介质定期盘点的记录）
12、对送出维修或销毁的介质如何管理，销毁前应对数据进行净化处理。（对带出工作环境的存储介质是否进行内容加密并有领导批准。对保密性较高的介质销毁前是否有领导批准）（送修记录、带出记录、销毁记录）
13、应对某些重要介质实行异地存储，异地存储环境是否与本地环境相同（防潮、防盗、防火、防磁，专用存储空间）
14、介质上应具有分类的标识或标签
15、应对各类设施、设备指定专人或专门部门进行定期维护。
16、应具有设备操作手册
17、应对带离机房的信息处理设备经过审批流程，由何人审批（审批记录）
18、应监控主机、网络设备和应用系统的运行状况等
19、应有相关网络监控系统或技术措施能够对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警
20、应具有日常运维的监控日志记录和运维交接日志记录
21、应定期对监控记录进行分析、评审
22、应具有异常现象的现场处理记录和事后相关的分析报告
23、应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等相关事项进行集中管理
24、应指定专人负责维护网络安全管理工作
25、应对网络设备进行过升级，更新前应对现有的重要文件是否进行备份（网络设备运维维护工作记录）
26、应对网络进行过漏洞扫描，并对发现的漏洞进行及时修补。
27、对设备的安全配置应遵循最小服务原则，应对配置文件进行备份（具有网络设备配置数据的离线备份）
28、系统网络的外联种类（互联网、合作伙伴企业网、上级部门网络等）应都得到授权与批准，由何人/何部门批准。应定期检查违规联网的行为。
29、对便携式和移动式设备的网络接入应进行限制管理
30、应具有内部网络外联的授权批准书，应具有网络违规行为（如拨号上网等）的检查手段和工具。
31、在安装系统补丁程序前应经过测试，并对重要文件进行备份。
32、应有补丁测试记录和系统补丁安装操作记录
33、应对系统管理员用户进行分类（比如：划分不同的管理角色，系统管理权限与安全审计权限分离等）
34、审计员应定期对系统审计日志进行分析（有定期对系统运行日志和审计数据的分析报告）
35、应对员工进行基本恶意代码防范意识的教育，如告知应及时升级软件版本（对员工的恶意代码防范教育的相关培训文档）
36、应指定专人对恶意代码进行检测，并保存记录。
37、应具有对网络和主机进行恶意代码检测的记录
38、应对恶意代码库的升级情况进行记录（代码库的升级记录），对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报。是否出现过大规模的病毒事件，如何处理
39、应具有恶意代码检测记录、恶意代码库升级记录和分析报告 40、应具有变更方案评审记录和变更过程记录文档。
41、重要系统的变更申请书，应具有主管领导的批准
42、系统管理员、数据库管理员和网络管理员应识别需定期备份的业务信息、系统数据及软件系统（备份文件记录）
43、应定期执行恢复程序，检查和测试备份介质的有效性
44、应有系统运维过程中发现的安全弱点和可疑事件对应的报告或相关文档
45、应对安全事件记录分析文档
46、应具有不同事件的应急预案
47、应具有应急响应小组，应具备应急设备并能正常工作，应急预案执行所需资金应做过预算并能够落实。
48、应对系统相关人员进行应急预案培训（应急预案培训记录）
49、应定期对应急预案进行演练（应急预案演练记录）50、应对应急预案定期进行审查并更新
51、应具有更新的应急预案记录、应急预案审查记录。
点击咨询 