等级保护测评指导书----管理部分

1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。

访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。

检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。

机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。

b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。

检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。

1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。

2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。

访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。

1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。

b)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。

访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是否限制和监控其活动范围。

检查：检查是否有来访人员进入机房的审批记录。

1）来访人员进入机房需经过申请、审批流程并记录；2）进入机房有机房管理人员陪同并监控和限制其活动范围。

c)检查机房出入口等过程，测评信息系统在物理访问控访谈：访谈物理安全负责人，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求；检1）对机房进行了划分区域管理； 2）对各个区域都有专门的管理要求。

2.1版第0次修订金融行业管理制度安全等级保护测评实施指导书（三级）序号控制点测评项操作步骤判断标准1122管理制度a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等，并编制形成信息安全方针制度文件。

a)应检查总体方针、政策性文件和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、方针、原则、责任等符合：有信息安全工作的整体策略性文件，包括安全工作的总体目标、范围、原则和安全框架。

b)应对安全管理活动中的各类管理内容建立安全管理制度应检查安全管理制度清单，查看是否覆盖文件控制、安全检查、人力资源及培训、设备管理、软件开发/外包开发项目管理，机房安全管理，信息分类及管理、网络安全管理、系统安全管理、恶意代码管理、变更控制、备份及介质管理、事件管理、应急预案等符合：从制度名称或制度章节标题看已覆盖文件控制，安全检查，人力资源及培训，设备管理，软件开发/外包开发项目管理，机房安全管理，信息分类及管理，网络安全管理，系统安全管理，恶意代码管理，变更控制，备份及介质管理、事件管理、应急预案等方面c)应对要求管理人员或操作人员执行的日常管理操作建立操作规程应检查是否具有日常管理操作的操作规程（如系统维护手册和用户操作规程等）符合：至少有开关机操作手册，系统运维手册d)应形成由安全策略、管a)应访谈安全主管，询问是否制定信息安全工作的总体方针和安全策略，符合：安全策略，管理制度，操作规程2.1版第0次修订理制度、操作规程等构成的全面的信息安全管理制度体系制定安全管理制度，具有操作规程，形成信息安全管理制度体系之间存在连贯性制定和发布a)由金融机构总部科技部门负责制定适用全机构范围的你去管理制度，各分支机构的科技部门负责制定适用辖内的安全管理制度。

应访谈安全主管，询问是否有专门的部门或人员负责制定安全管理制度；负责人是何人符合：有制定部门或人员牵头负责b)安全管理制度应具有统一的格式，并进行版本控制1、应检查制度文件是否具有统一的格式，是否标识了版本编号2、应检查文件控制程序或者专门管理制度发文的管理制度，查看文档是否明确安全管理制度的制定，格式要求及版本编号等相关内容符合：若制度文件使用内部发文的格式编制判为符合。

等级保护测评实施指导书1.测评准备阶段1.1项目启动1）项目经理负责与被测单位进行沟通。

向被测单位了解被测信息系统基本情况，包括测评范围、系统需要达到的等级、具体测评内容的调整情况，以及其他有关信息系统的情况，明确测评需求和测评范围；项目经理介绍测评工作流程及实施测评工作，并告知被测单位提前做好准备工作。

与被测单位就具体的测评合同和保密协议内容进行洽商。

协助客户主管与被测单位签署测评合同和保密协议。

2）双方签署测评合同和保密协议后，被测单位提交相关材料和附件，项目经理负责对提交的文档进行完整性审查，审核文档是否满足实施测评工作的要求。

如果文档不够详细完备，则与被测单位沟通，要求被测单位进一步完善文档材料。

1.2信息收集和分析1）项目经理协助客户填写（LD-CS-29《信息系统基本情况调查表》）。

2）项目经理收回填写完成的调查表格，各测评项目小组分析调查结果，了解和熟悉被测系统的实际情况。

分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。

这些信息可以重用自查或上次等级测评报告中的可信结果。

3）如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。

1.3工具和表单准备测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。

1）测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。

2）测评人员模拟被测系统搭建测评环境。

3）准备和打印表单，主要包括：测评流程单（LD-CS-18《测评流程单》）、文档交接单（LD-CS-19《接收/归还样品清单》）、会议记录表单（LD-GL-09《会议记录》）、会议签到表单（LD-GL-10《会议签到表》）等。

1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。

访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。

检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。

机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。

b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。

检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。

1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。

2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。

访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。

1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。

b)检查机房出入口等过程，测评信息系统在物访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是1）来访人员进入机房需经过申请、审批流程并记录； 2）进入机房有机房管理人员理访问控制方面的安全防范能力。

否限制和监控其活动范围。

检查：检查是否有来访人员进入机房的审批记录。

陪同并监控和限制其活动范围。

c)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。