信息系统安全等级保护测评表单-三级技术类

本文由ｂｏｏｋｋｉｄ贡献 ｘｌｓ１。

信息系统安全等级保护基本要求 ａ）　应制定信息安全工作的总体方针和安全策略，　说明机构安全工作的总体目标、范围、原则和安全框　架等；　ｂ）　应对安全管理活动中的各类管理内容建立安全　管理制度；　ｃ）　应对要求管理人员或操作人员执行的日常管理　操作建立操作规程；　ｄ）　应形成由安全策略、管理制度、操作规程等构　成的全面的信息安全管理制度体系。

　ａ）　应指定或授权专门的部门或人员负责安全管理　制度的制定；　ｂ）　安全管理制度应具有统一的格式，并进行版本　控制；　ｃ）　应组织相关人员对制定的安全管理制度进行论　证和审定；　ｄ）　安全管理制度应通过正式、有效的方式发布；　ｅ）　安全管理制度应注明发布范围，并对收发文进　行登记。

　ａ）　信息安全领导小组应负责定期组织相关部门和　相关人员对安全管理制度体系的合理性和适用性进行　审定；　ｂ）　应定期或不定期对安全管理制度进行检查和审　定，对存在不足或需要改进的安全管理制度进行修订　。

　ａ）　应设立信息安全管理工作的职能部门，设立安　全主管、安全管理各个方面的负责人岗位，并定义各　负责人的职责；　ｂ）　应设立系统管理员、网络管理员、安全管理员　等岗位，并定义各个工作岗位的职责；　ｃ）　应成立指导和管理信息安全工作的委员会或领　导小组，其最高领导由单位主管领导委任或授权；　ｄ）　应制定文件明确安全管理机构各个部门和岗位　的职责、分工和技能要求。

　ａ）　应配备一定数量的系统管理员、网络管理员、　安全管理员等；　ｂ）　应配备专职安全管理员，不可兼任；　ｃ）　关键事务岗位应配备多人共同管理。

　ａ）　应根据各个部门和岗位的职责明确授权审批事　项、审批部门和批准人等；　ｂ）　应针对系统变更、重要操作、物理访问和系统　接入等事项建立审批程序，按照审批程序执行审批过　程，对重要活动建立逐级审批制度；　ｃ）　应定期审查审批事项，及时更新需授权和审批　的项目、审批部门和审批人等信息；　ｄ）　应记录审批过程并保存审批文档。

信息系统安全等级保护测评表单-三级技术类
控制敏感标记是否以默认方式生成或由安全员建立、维护和管理；
g) 应检查主要应用系统，查看是否依据安全策略严格控制用户对有敏感标
应用系统和数据
信息保护d) 应测试主要应用系统，用某用户登录系统并进行操作后，在该用户退出后用另一用户登录，试图操作（读取、修改或删除等）其他用户产生的文件、目录和数据库记录等资源，查看操作是否成功，验证系统提供的剩余
7.1.4应用安全所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；
施有哪些；
b) 应检查主要应用系统，查看是否限制单个帐户的多重并发会话；系统是
.4
c) 应检查设计/验收文档，查看其是否有关于释放或重新分配系统内文件
保密性业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；
e) 应检查主要主机操作系统、主要网络设备操作系统、主要数据库管理系统和主要应用系统，查看其管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输和存储保密性；
息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采.2。

信息安全等级保护三级测评内容标准和测评方法等级保护三级技术类测评控制点类别序号测评内容测评方法告。

结果记录符合情况Y N10.应对介质分类标识，存储在介质库或档案室中。

（G2）11.应利用光、电等技术设置机房防盗报警系统。

（G3）12.应对机房设置监控报警系统。

（G3）防雷击13.14.机房建筑应设置避雷装置。

（G2）应设置防雷保安器，防止感应雷。

（G3）访谈，检查。

物理安全负责人，机房维护人员，机房设施（避雷装置，交流电源地线）建筑防雷设计/验收文档。

—15.机房应设置交流电源地线。

（G2）防火16.机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火。

（G3）访谈，检查。

物理安全负责人，机房值守人员，机房设施，机房安全管理制度，机房防火设计/验收文档，火灾自动报警系统设计/验收文档。

17.机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。

（G3）18.机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

（G3）防水和防潮19.水管安装，不得穿过机房屋顶和活动地板下。

（G2）访谈，检查。

物理安全负责人，机房维护人员，机房设20.应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。

（G2）21.应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。

（G2）22.应安装对水敏感的检测仪表或兀件，对机房进>.z. .施等级保护三级技术类测评控制点类别序号测评内容测评方法结果记录符合情况Y N 行防水检测和报警。

（G3）防静电23.主要设备应采用必要的接地防静电措施。

（G2）访谈，检查。

物理安全负责人，机房维护人员，机房设施，防静电设计/验收文24.机房应采用防静电地板。

（G3）温湿度控制25.应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。

（G2）访谈，检查。

物理安全负责人，机房维护人员，机房设施，温湿度控制设计/验收文档，温湿度记录、运行记录和维护记录。

信息系统安全等级保护测评表单-三级技术类
d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围
内；检查主要设备或设备的主要部件的固定情况，查看其是否不易被移动
c) 应访谈资产管理员，介质是否进行了分类标识管理，介质是否存放在介象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、
渗透和返潮现象，则查看是否能够及时修复解决；
7.1.1物理安全
潮
护措施；b) 应检查机房设备外壳是否有安全接地；
电磁防护7.1.1.6。

信息系统安全等级保护测评表单-三级技术类应用系统和数据
控制敏感标记是否以默认方式生成或由安全员建立、维护和管理；
信息保护d) 应测试主要应用系统，用某用户登录系统并进行操作后，在该用户退出后用另一用户登录，试图操作（读取、修改或删除等）其他用户产生的文件、目录和数据库记录等资源，查看操作是否成功，验证系统提供的剩余
7.1.4应用安全所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；
施有哪些；
b) 应检查主要应用系统，查看是否限制单个帐户的多重并发会话；系统是.4
c) 应检查设计/验收文档，查看其是否有关于释放或重新分配系统内文件
保密性业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；
e) 应检查主要主机操作系统、主要网络设备操作系统、主要数据库管理系统和主要应用系统，查看其管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输和存储保密性；
息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采.2。

信息系统安全等级保护测评表单-三级技术类
d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围
内；检查主要设备或设备的主要部件的固定情况，查看其是否不易被移动
c) 应访谈资产管理员，介质是否进行了分类标识管理，介质是否存放在介象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、
渗透和返潮现象，则查看是否能够及时修复解决；
7.1.1物理安全
潮
护措施；b) 应检查机房设备外壳是否有安全接地；
电磁防护7.1.1.6。

信息系统安全等级保护二级评测内容
等级保护自上而下分别为：类、控制点和项。

其中，类表示《信息系统安全等级保护基本要求》在整体上大的分类，其中技术部分分为：物理安全、网络安全、主机安全、应用安全和数据安全及备份恢复等5大类，管理部分分为：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等5大类，一共分为10大类。

控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制点。

而项则是控制点下的具体要求项，如
“机房出入应安排专人负责，控制、鉴别和记录进入的人员。

”
根据等级保护第二级的基本要求，在物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复、安全管理等几方面目前的安全现状进行分析检测。

物理安全
信息系统安全等级保护基本要求-物理安全
网络安全
对象包括：网络结构、交换机、防火墙。

指标及检测内容:
主机系统安全
对象包括：服务器、数据库管理系统。

指标及检测内容
信息系统安全等级保护基本要求-主机安全
应用安全
数据安全及备份恢复
安全管理制度
系统建设管理
信息系统安全等级保护基本要求-系统建设管理
系统运维管理
d ）应记录并保存所有报告的安全弱点和可疑事件，分析事件原 因，监督事
态发展，采取措施避免安全事件发生。

a ） 应在统一的应急预案框架下制定不同事件的应急预案，应急 预案框架应包括启动应急预案的条件、应
急处理流程、系统恢 复流程、事后教育和培训等内容； b ） 应对系统相关的人员进行应急预案培训，应急预案的培训应 至少每年举办一次；
2.5.12 应
急预案管理
（G2）。

信息系统平安等级保护二级评测容
等级保护自上而下分别为：类、控制点和项。

其中，类表示?信息系统平安等级保护根本要求?在整体上大的分类，其术局部分为：物理平安、网络平安、主机平安、应用平安和数据平安及备份恢复等5大类，管理局部分为：平安管理制度、平安管理机构、人员平安管理、系统建立管理和系统运维管理等5大类，一共分为10大类。

控制点表示每个大类下的关键控制点，如物理平安大类中的“物理控制〞作为一个控制点。

而项那么是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。

〞
根据等级保护第二级的根本要求，在物理平安、网络平安、主机系统平安、应用平安、数据平安及备份恢复、平安管理等几方面目前的平安现状进展分析检测。

物理平安
对象主要为中心机房、重要设备存放物理位置等。

指标及检测容：
网络平安
主机系统平安
对象包括：效劳器、数据库管理系统。

指标及检测容：
应用平安
对象：网络运行的信息系统。

指标及检测容：
数据平安及备份恢复
平安管理制度
系统建立管理
系统运维管理。

信息系统安全等级保护二级评测内容
等级保护自上而下分别为：类、控制点和项.其中,类表示《信息系统安全等级保护基本要求》在整体上大的分类,其中技术部分分为：物理安全、网络安全、主机安全、应用安全和数据安全与备份恢复等5大类,管理部分分为：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等5大类,一共分为 10大类.控制点表示每个大类下的关键控制点,如物理安全大类中的"物理访问控制"作为一个控制点.而项则是控制点下的具体要求项,如"机房出入应安排专人负责,控制、鉴别和记录进入的人员."
根据等级保护第二级的基本要求,在物理安全、网络安全、主机系统安全、应用安全、数据安全与备份恢复、安全管理等几方面目前的安全现状进行分析检测.
物理安全
网络安全
主机系统安全
应用安全
数据安全与备份恢复
安全管理制度
系统建设管理
系统运维管理。