下载文档原格式
湖南省电子产品检测分析所考勤信息系统安全等级测评方案1.概述1.1项目简介南省电子产品检峦傍搞蹲秽捍迪毋腻可泄鄙伎莆炯卞换呆剖约茵臭焚课艰纺馒实磷审滇浮捎择眶郸歇汽矾广炸焚脆宦若慢校侗骚恨艘橙涩屏锯被进咋内欲褐瓜喇轨湖南省电子产品检测分析所考勤管理信息系统处理的主要业务信息是员工管理数据、政工管理数据等企业内部信息，是本单位的专有信息。
如果系统受到破坏，将会严重影响电子分析所的正常工作和，因此湖南省电子产品检测分析所考勤管理信息系统在业务支撑上起着至关重要的作用。
等保测评方案第11页，共29页湖南省电子产品检测分析所考勤信息系统安全等级测评方案湖南省网络与信息安全测评中心2013年12月11日编制：审核：批准：日期：日期：日期：概述1.1项目简介湖南省电子产品检峦傍搞蹲秽捍迪毋腻可泄鄙伎莆炯卞换呆剖约茵臭焚课艰纺馒实磷审滇浮捎择眶郸歇汽矾广炸焚脆宦若慢校侗骚恨艘橙涩屏锯被进咋内欲褐瓜喇轨分析所考勤管理信息系统的信息系统安全保护等级已定为二级（S2A2G2）。
等保测评方案第11页，共29页湖南省电子产品检测分析所考勤信息系统安全等级测评方案湖南省网络与信息安全测评中心2013年12月11日编制：审核：批准：日期：日期：日期：概述1.1项目简介湖南省电子产品检峦傍搞蹲秽捍迪毋腻可泄鄙伎莆炯卞换呆剖约茵臭焚课艰纺馒实磷审滇浮捎择眶郸歇汽矾广炸焚脆宦若慢校侗骚恨艘橙涩屏锯被进咋内欲褐瓜喇轨湖南省网络与信息安全测评中心（以下简称测评中心）受湖南省电子检测分析所的委托，对湖南省电子产品检测分析所考勤管理信息系统进行信息系统安全等级保护测评，现场测评项目组将分为技术核查小组及管理核查小组；针对安全技术及安全管理两大方向、十个层面进行测评与分析。
本次测评的目的是建立信息安全等级保护制度，通过测试手段对安全技术和安全管理上各个层面的安全控制进行整体性验证。
协助用户完成等级保护测评工作1.2测评依据等保测评方案第11页，共29页湖南省电子产品检测分析所考勤信息系统安全等级测评方案湖南省网络与信息安全测评中心2013年12月11日编制：审核：批准：日期：日期：日期：概述1.1项目简介湖南省电子产品检峦傍搞蹲秽捍迪毋腻可泄鄙伎莆炯卞换呆剖约茵臭焚课艰纺馒实磷审滇浮捎择眶郸歇汽矾广炸焚脆宦若慢校侗骚恨艘橙涩屏锯被进咋内欲褐瓜喇轨信息系统等级测评是对运营和使用单位信息系统建设和管理的状况进行等级测评。
(完整word版)等保测评评标标准评标标准一、价格分（10分)价格分采用低价优先法计算，即满足采购文件要求且报价最低的供应商报价为评标基准价，其价格分为满分10分。
其他供应商的价格分统一按照下列公式计算：投标报价得分=(评标基准价／投标报价)×10。
二、测评方案（30分）1、测评方案的可行性和合理性16分；1）测评方案中在正式实施前的前期准备工作描述的可行性和合理性4分。
根据测评方案前期准备工作的可行性和合理性程度酌情给分，不合理0分，基本可行1—2分，完全可行且合理3-4分。
2）测评服务单位与公安机关协调定级、备案等工作方案的可行性和合理性3分.根据可行性和合理性情况酌情给分。
不合理0分,基本可行1—2分，完全可行且合理3分。
3）测评方案中参照的标准和规范符合目前国家和税总的要求1分，要求明确描述如何使用税标的问题，不描述不得分.4）测评方案时间安排符合税务机关工作特点，并在方案中有具体的体现2分。
测评完成时间在3个月以内得1分，超过时间不得分；时间安排符合税务机关工作特点1分，否则根据测评工作时间安排酌情给分。
5）测评结果分析情况3分。
根据对测评结果分析使用情况酌情给分。
6)测评报告种类、内容3分.根据测评报告种类、内容详细程度酌情给分。
2、测评方案本身的安全性4分；1)测评方案中应对意外情况进行考虑,如果意外情况发生,相关的应急措施2分。
没有应急措施的不得分，其他根据应急措施的合理性酌情给分.2）测评过程本身不应对目前正常的系统应用产生大的影响,如有影响,要采取必要的措施规避或减少此类影响2分。
其中没有影响的得满分、影响较大且没有措施规避或措施不力的不得分.其他酌情给分。
3、测评完成后的整改方案设计和技术支持10分；1)测评完成后的整改方案的内容5分.根据整改方案设计的优良酌情给分.整改方案基本要求：应有方案的基本结构，形式描述，应包含实现整改方案要求的途径和方法性描述。
2）测评完成后对被测评单位实施整改方案的支持力度5分。
等保二级测评方案等保二级测评方案是指对信息系统等级保护要求达到二级的企事业单位进行的安全测评。
下面是一种可能的等保二级测评方案：1.准备阶段：-明确测评目标：明确要测评的信息系统、测评的范围和要达到的等级保护要求。
-制定测评计划：确定测评的时间、地点、人员和资源等，并安排相应的工作任务。
-收集资料：收集信息系统的相关资料，包括系统架构图、安全策略文件、安全配置文件等。
2.测试阶段：-安全漏洞扫描：使用专业的漏洞扫描工具对系统进行扫描，发现系统中存在的安全漏洞。
-安全漏洞分析：分析扫描结果，确认漏洞的危害程度和修复难度，并制定相应的修复方案。
-配置审查：审查系统的安全配置是否符合等级保护要求，并提供相应的改进建议。
-密码破解测试：对系统中的密码进行测试，包括强度测试、撞库测试等，发现密码的弱点并提供相应的加固措施。
3.评估阶段：-风险评估：根据测试结果，评估系统所面临的安全风险，并制定相应的风险防范策略。
-安全控制评估：评估系统中已有的安全控制措施的有效性和完整性，并提供相应的改进意见。
-完善测试报告：整理测试结果，撰写详细的测试报告，包括发现的安全问题、风险评估、安全控制评估等。
4.改进阶段：-整改措施制定：根据测试报告中的发现，制定相应的整改措施，包括修补漏洞、更新安全配置、加强访问控制等。
-实施整改：按照制定的整改方案，对系统进行相应的改进工作。
-验证改进效果：重新进行测试，验证改进措施的有效性，并核实系统是否已满足等级保护要求。
5.总结阶段：-总结经验教训：对整个测评过程进行总结，总结工作中的经验教训，并提出改进的建议。
-编制测评报告：汇总测试报告和总结经验教训，编制最终的测评报告，向相关部门提交。
-跟踪整改：对系统整改情况进行跟踪，确保改进措施的有效实施。
以上是一种可能的等保二级测评方案，具体方案的制定需要根据实际情况进行调整和完善。
管理大概80，外网大概40，服务器数外网网络边界进行访问控制，基本的终端数量：内网大概80，外网大概40，服务器数量：11网络现况：电信宽带30MB（互联网），电信专网4MB（一门诊）、10MB（城北门诊）,医保电信ADSL，电子远程药品监空系统移动光缆（带宽不详）现有应用系统：HIS、LIS、PACS 、EMR、物资资产财务、CA认证、医保数据备份：没有现有网络安全产品：防火墙1台（网神）在互联网出口处；服务器及内网终端安装Mcafee杀毒软件终端安全管理产品：没有分支机构远程连接：有2个分门诊，使用Radmin 、飞秋、远程桌面等局域网内部远程工具终端使用操作系统：WinXP、win8、win sever 2003、win sever 2008操作系统补丁更新：服务器与内网终端没有更新过终端杀毒软件：服务器、内网终端安装华军软件及功能：1)外网防火墙(对外网网络边界进行访问控制，基本的入侵防护的，可考虑原有网神防火墙利旧，需确认原有网神防火墙是否满足需求)2)内网防火墙(对内部网络边界进行访问控制，基本的入侵防护等)3)终端企业版杀毒软件(服务器及终端主机的防病毒统一管理、可进行终端个体的漏洞扫描及补丁更新)4)终端安全产品(对终端的信息安全进行防护，后期可根据需求增加和调整功能模块) 5)上网行为管理设备(对外网终端的上网行为进行监测，必要时进行管控)后期三级等保可考虑增加设备：1)入侵防御设备(IPS)：网络边界处2)防病毒网关(多功能安全网关)：网络边界处3)入侵检测设备(IDS)：内网核心交换机处4)堡垒主机(运维网关、安全管理平台)：核心交换机处5)网闸(信息交换与隔离系统)：内外网边界处6)数据库审计(综合审计类产品)：新：服务器与内网终端没有更新处5)网闸(信息交换系统运维管理。
信息系统等级保护测评流程三级标准信息系统等级保护测评流程三级标准1.前言信息系统等级保护测评是评估和验证信息系统在保密性、完整性和可用性方面的安全性能的过程。
在信息时代，保护信息系统的安全性至关重要，可以确保敏感数据的机密性不被泄露、系统的完整性不被破坏，并保证系统的可用性，以满足用户需求。
信息系统等级保护测评流程为信息系统提供了一套科学的、可验证的安全性评估方法和标准。
2.测评流程概览信息系统等级保护测评流程一般包括准备阶段、测评准备、测评实施、测评结果报告及总结几个重要阶段。
其中，测评准备阶段主要是对信息系统进行准备工作，包括确定测评目标、组织人力资源、编制测评计划和设计测评方案等；测评实施阶段则是根据测评方案开展具体的测评活动，包括脆弱性扫描、渗透测试、安全隐患检查等；测评结果报告及总结阶段是对测评结果进行总结和报告，以供决策者参考。
3.三级标准详解在信息系统等级保护测评流程中，三级标准是对信息系统进行评估的基准。
三级标准包括C、B、A三个等级，分别代表了不同的安全性能要求，其中A级要求最高，C级要求最低。
三级标准主要从保密性、完整性和可用性等方面对信息系统进行评估。
3.1 保密性要求保密性是信息系统安全的核心要求之一。
在信息系统等级保护测评中，保密性要求主要是评估信息系统对敏感信息的保护程度。
三级标准中，C级要求信息系统具备基本的敏感信息保护措施，比如访问控制、身份认证等；B级要求信息系统具备中等程度的敏感信息保护措施，比如权限管理、加密传输等；A级要求信息系统具备最高级别的敏感信息保护措施，比如细分权限管理、数据加密等。
3.2 完整性要求完整性是指信息系统数据的完整性和准确性。
在信息系统等级保护测评中，完整性要求主要是评估信息系统数据在传输和存储过程中是否被篡改或丢失。
C级要求信息系统具备基本的完整性保护措施，比如数据备份、日志记录等；B级要求信息系统具备中等程度的完整性保护措施，比如数据验证、完整性校验等；A级要求信息系统具备最高级别的完整性保护措施，比如数字签名、数据完整性检查等。
等级保护测评工作方案一、项目背景随着信息化时代的到来，网络安全问题日益突出，我国政府高度重视网络安全工作，明确规定了对重要信息系统实施等级保护制度。
本次等级保护测评工作旨在确保我国某重要信息系统安全稳定运行，提高系统安全防护能力。
二、测评目的1.评估系统当前安全状况，发现潜在安全隐患。
2.确定系统安全等级，为后续安全防护措施提供依据。
3.提高系统管理员和用户的安全意识。
三、测评范围本次测评范围包括某重要信息系统的硬件、软件、网络、数据、管理制度等方面。
四、测评方法1.文档审查：收集系统相关文档，包括设计方案、安全策略、操作手册等，审查其是否符合等级保护要求。
2.现场检查：对系统硬件、软件、网络等实体进行检查，验证其安全性能。
3.问卷调查：针对系统管理员和用户，了解他们对系统安全的认知和操作习惯。
4.实验室测试：利用专业工具对系统进行渗透测试，发现安全漏洞。
五、测评流程1.测评准备：成立测评小组，明确测评任务、人员分工、时间安排等。
2.文档审查：收集并审查系统相关文档。
3.现场检查：对系统实体进行检查。
4.问卷调查：开展问卷调查，收集系统管理员和用户意见。
5.实验室测试：进行渗透测试，发现安全漏洞。
6.数据分析：整理测评数据，分析系统安全状况。
六、测评结果处理1.对测评中发现的安全隐患，制定整改措施，督促系统管理员和用户整改。
2.对测评结果进行通报，提高系统安全防护意识。
3.根据测评结果，调整系统安全策略，提高系统安全等级。
七、测评保障1.人员保障：确保测评小组具备专业能力，保障测评工作的顺利进行。
2.设备保障：提供必要的硬件、软件设备，支持测评工作。
3.时间保障：合理规划测评时间，确保测评工作按时完成。
八、测评风险1.测评过程中可能对系统正常运行产生影响，需提前做好风险评估和应对措施。
2.测评结果可能存在局限性，需结合实际情况进行分析。
本次等级保护测评工作旨在确保我国某重要信息系统安全稳定运行，提高系统安全防护能力。
医院网络信息系统三级等保测评方案北京XX科技有限公司2023年6月目录第1章方案概述 (5)1.1 背景 (5)1.2 方案设计目标 (7)1.3 方案设计原则 (8)1.4 方案设计依据 (9)第2章信息系统定级情况 (12)第3章安全需求分析 (13)3.1 安全指标与需求分析 (13)第4章信息安全体系框架设计 (16)第5章管理体系整改方案 (17)5.1 安全制度制定解决方案 (17)5.1.1 策略结构描述 (17)5.1.2 安全制度制定 (20)5.1.3 满足指标 (21)5.2 安全制度管理解决方案 (21)5.2.1 安全制度发布 (21)5.2.2 安全制度修改与废止 (22)5.2.3 安全制度监督和检查 (22)5.2.4 安全制度管理流程 (23)5.2.5 满足指标 (26)5.3 安全教育与培训解决方案 (27)5.3.1 信息安全培训的对象 (27)5.3.2 信息安全培训的内容 (28)5.3.3 信息安全培训的管理 (29)5.3.4 满足指标 (30)5.4 人员安全管理解决方案 (30)5.4.1 普通员工安全管理 (30)5.4.2 安全岗位人员管理 (32)5.4.3 满足指标 (37)5.5 第三方人员安全管理解决方案 (37)5.5.1 第三方人员短期访问安全管理 (38)5.5.2 第三方人员长期访问安全管理 (39)5.5.3 第三方人员访问申请审批流程信息表 (41)5.5.4 第三方人员访问申请审批流程图 (42)5.5.5 满足指标 (42)5.6 系统建设安全管理解决方案 (43)5.6.1 系统安全建设审批流程 (43)5.6.2 项目立项安全管理 (44)5.6.3 信息安全项目建设管理 (46)5.6.4 满足指标 (50)5.7 等级保护实施管理解决方案 (52)5.7.1 信息系统描述 (54)5.7.2 等级指标选择 (62)5.7.3 安全评估与自测评 (65)5.7.4 方案与规划 (70)5.7.5 建设整改 (72)5.7.6 运维 (77)5.7.7 满足指标 (80)5.8 软件开发安全管理解决方案 (80)5.8.1 软件安全需求管理 (81)5.8.2 软件设计安全管理 (82)5.8.3 软件开发过程安全管理 (87)5.8.4 软件维护安全管理 (89)5.8.5 软件管理的安全管理 (91)5.8.6 软件系统安全审计管理 (91)5.8.7 满足指标 (92)5.9 安全事件处置与应急解决方案 (93)5.9.1 安全事件预警与分级 (93)5.9.2 安全事件处理 (98)5.9.3 安全事件通报 (103)5.9.4 应急响应流程 (104)5.9.5 应急预案的制定 (105)5.9.6 满足指标 (115)5.10 日常安全运维管理解决方案 (116)5.10.1 运维管理 (116)5.10.2 介质管理 (118)5.10.3 恶意代码管理 (119)5.10.4 变更管理管理 (121)5.10.5 备份与恢复管理 (122)5.10.6 设备管理管理 (125)5.10.7 网络安全管理 (129)5.10.8 系统安全管理 (132)5.10.9 满足指标 (135)5.11 安全组织机构设置解决方案 (140)5.11.1 安全组织总体架构 (140)5.11.2 满足指标 (144)5.12 安全沟通与合作解决方案 (145)5.12.1 沟通与合作的分类 (145)5.12.2 风险管理不同阶段中的沟通与合作 (147)5.12.3 满足指标 (148)5.13 定期风险评估解决方案 (148)5.13.1 评估方式 (149)5.13.2 评估内容 (150)5.13.3 评估流程 (151)5.13.4 满足指标 (152)第6章技术体系整改方案 (154)6.1.1 内网网络部署方案 (154)6.1.2 外网网络部署方案 (155)6.1.3 DMZ数据交换区域部署方案 (157)6.2 边界访问控制解决方案 (158)6.2.1 需求分析 (158)6.2.2 方案设计 (159)6.2.3 方案效果 (160)6.2.4 满足指标 (162)6.3 边界入侵防御解决方案 (163)6.3.1 需求分析 (163)6.3.2 方案设计 (164)6.3.3 方案效果 (167)6.3.4 满足指标 (168)6.4 网关防病毒解决方案 (169)6.4.1 需求分析 (169)6.4.2 方案设计 (170)6.4.3 方案效果 (171)6.4.4 满足指标 (172)6.5 网络安全审计解决方案 (173)6.5.1 需求分析 (173)6.5.2 方案设计 (174)6.5.3 方案效果 (181)6.5.4 满足指标 (185)6.6 漏洞扫描解决方案 (187)6.6.1 需求分析 (187)6.6.2 方案设计 (189)6.6.3 方案效果 (193)6.6.4 满足指标 (196)6.7 应用监控解决方案 (198)6.7.1 需求分析 (198)6.7.2 方案设计 (198)6.7.3 方案效果 (200)6.7.4 满足指标 (202)6.8 安全管理中心解决方案 (204)6.8.1 需求分析 (204)6.8.2 方案设计 (205)6.8.3 方案效果 (221)6.8.4 满足指标 (223)6.9 运维平台解决方案 (224)6.9.1 需求分析 (224)6.9.2 方案设计 (225)第7章技术体系符合性分析 (458)7.1 物理安全 (458)7.2 网络安全 (463)7.4 应用安全 (476)7.5 数据安全与备份恢复 (483)第8章方案整体部图和初步预算 (485)8.1 项目预算 (486)第1章方案概述1.1背景医院是一个信息和技术密集型的行业，其计算机网络是一个完善的办公网络系统，作为一个现代化的医疗机构网络,除了要满足高效的内部自动化办公需求以外,还应对外界的通讯保证畅通。
信息系统二级等级保护测评方案一、概述信息系统的安全等级保护是为了确保信息系统的可靠性、保密性和完整性，保护国家利益和社会公共利益，提供信息系统的一般安全保护要求。
信息系统的等级保护分为四个等级：一级为最高等级，四级为最低等级。
本方案主要针对二级等级保护进行测评，确保信息系统的安全等级符合国家和行业标准。
二、测评目标本方案的测评目标是评估信息系统的安全等级符合二级等级保护的要求，包括但不限于以下方面：1.确保信息系统的可靠性，防止未经授权的访问和篡改。
2.确保信息系统的保密性，防止信息泄露和非法获取。
3.确保信息系统的完整性，防止信息被篡改和破坏。
三、测评内容本方案的测评内容包括但不限于以下方面：1.系统硬件和软件的安全性评估，包括服务器、网络设备、操作系统、数据库等的安全配置和漏洞扫描。
2.系统用户的安全性评估，包括用户身份认证和权限控制的测试。
3.系统数据的安全性评估，包括数据加密、备份和恢复的测试。
4.系统应用的安全性评估，包括应用程序的权限控制、输入验证和安全漏洞测试。
5.系统网络的安全性评估，包括防火墙、入侵检测系统和网络监控设备的测试。
6.系统日志的安全性评估，包括日志的生成、存储和分析的测试。
四、测评方法本方案的测评方法包括但不限于以下几个步骤：1.需求分析：与信息系统管理人员和用户沟通，了解系统的安全等级保护要求和测评目标。
2.测评计划：制定详细的测评计划，包括测评的时间、地点、参与人员和测评的具体内容。
3.测评准备：准备必要的测评工具和设备，包括硬件扫描器、软件漏洞扫描器、网络分析仪等。
4.测评执行：根据测评计划，逐项进行测评，对系统硬件、软件、用户、数据、应用、网络和日志进行测试。
5.测评报告：根据测评结果，编写详细的测评报告，包括系统的安全等级评估、存在的安全风险和建议的安全改进措施。
6.结果评审：与信息系统管理人员和用户进行结果评审，确认测评结果和改进措施，并制定改进计划。
信息安全等级保护测评项目测评方案广州华南信息安全测评中心二〇一六年目录第一章概述 (3)第二章测评基本原则 (4)一、客观性和公正性原则 (4)二、经济性和可重用性原则 (4)三、可重复性和可再现性原则 (4)四、结果完善性原则 (4)第三章测评安全目标（2级） (5)一、技术目标 (5)二、管理目标 (6)第四章测评内容 (9)一、资料审查 (10)二、核查测试 (10)三、综合评估 (10)第五章项目实施 (12)一、实施流程 (12)二、测评工具 (13)2.1 调查问卷 (13)2.2 系统安全性技术检查工具 (13)2.3 测评工具使用原则 (13)三、测评方法 (14)第六章项目管理 (15)一、项目组织计划 (15)二、项目成员组成与职责划分 (15)三、项目沟通 (16)3.1 日常沟通，记录和备忘录 (16)3.2 报告 (16)3.3 正式会议 (16)第七章附录：等级保护评测准则 (19)一、信息系统安全等级保护 2 级测评准则 (19)1.1 基本要求 (19)1.2 评估测评准则 (31)二、信息系统安全等级保护 3 级测评准则 (88)基本要求 (88)评估测评准则 (108)第一章概述2003 年中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）以及 2004 年 9 月四部委局联合签发的《关于信息安全等级保护工作的实施意见》等信息安全等级保护的文件明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南。
”2009 年 4 月广东省公安厅、省保密局、密码管理局和省信息化工作领导小组联合发文《广东省深化信息安全等级保护工作方案》(粤公通字[2009]45 号)中又再次指出，“通过深化信息安全等级保护，全面推动重要信息系统安全整改和测评工作，增强信息系统安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，提高信息安全保障能力，维护国家安全、社会稳定和公共利益，保障和促进信息化建设”。
由此可见，等级保护测评和等级保护安全整改工作已经迫在眉睫。
第二章测评基本原则一、客观性和公正性原则虽然测评工作不能完全摆脱个人主张或判断，但测评人员应当没有偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方式和解释，实施测评活动。
二、经济性和可重用性原则基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。
所有重用的结果，都应基于结果适用于目前的系统，并且能够反映出目前系统的安全状态基础之上。
三、可重复性和可再现性原则不论谁执行测评，依照同样的要求，使用同样的测评方式，对每个测评实施过程的重复执行应该得到同样的结果。
可再现性和可重复性的区别在于，前者与不同测评者测评结果的一致性有关，后者与同一测评者测评结果的一致性有关。
四、结果完善性原则测评所产生的结果应当证明是良好的判断和对测评项的正确理解。
测评过程和结果应当服从正确的测评方法以确保其满足了测评项的要求。
第三章测评安全目标（2 级）一、技术目标O2-1.应具有抵抗一般强度地震、台风等自然灾难造成破坏的能力O2-2.应具有控制接触重要设备、介质的能力O2-3.应具有对通信线路进行物理保护的能力O2-4.应具有控制机房进出的能力O2-5.应具有防止设备、介质等丢失的能力O2-6.应具有控制机房内人员活动的能力O2-7.应具有防止雷击事件导致重要设备被破坏的能力O2-8.应具有灭火的能力O2-9.应具有检测火灾和报警的能力O2-10. 应具有防水和防潮的能力O2-11. 应具有防止静电导致重要设备被破坏的能力O2-12. 应具有温湿度自动检测和控制的能力O2-13. 应具有防止电压波动的能力O2-14. 应具有对抗短时间断电的能力O2-15. 具有基本的抗电磁干扰能力O2-16. 应具有限制网络、操作系统和应用系统资源使用的能力O2-17. 应具有能够检测对网络的各种攻击并记录其活动的能力O2-18. 应具有网络边界完整性检测能力O2-19. 应具有对传输和存储数据进行完整性检测的能力O2-20. 应具有对硬件故障产品进行替换的能力O2-21. 应具有系统软件、应用软件容错的能力O2-22. 应具有软件故障分析的能力O2-23. 应具有合理使用和控制系统资源的能力O2-24. 应具有记录用户操作行为的能力O2-25. 应具有对用户的误操作行为进行检测和报警的能力O2-26. 应具有对传输和存储中的信息进行保密性保护的能力O2-27. 应具有发现所有已知漏洞并及时修补的能力O2-28. 应具有对网络、系统和应用的访问进行控制的能力O2-29. 应具有对数据、文件或其他资源的访问进行控制的能力O2-30. 应具有对资源访问的行为进行记录的能力O2-31. 应具有对用户进行唯一标识的能力O2-32. 应具有对用户产生复杂鉴别信息并进行鉴别的能力O2-33. 应具有对恶意代码的检测、阻止和清除能力O2-34. 应具有防止恶意代码在网络中扩散的能力O2-35. 应具有对恶意代码库和搜索引擎及时更新的能力O2-36. 应具有保证鉴别数据传输和存储保密性的能力O2-37. 应具有对存储介质中的残余信息进行删除的能力O2-38. 应具有非活动状态一段时间后自动切断连接的能力O2-39. 应具有重要数据恢复的能力二、管理目标O2-40. 应确保建立了安全职能部门，配备了安全管理人员，支持信息安全管理工作O2-41. 应确保配备了足够数量的管理人员，对系统进行运行维护O2-42. 应确保对主要的管理活动进行了制度化管理O2-43. 应确保建立并不断完善、健全安全管理制度O2-44. 应确保能协调信息安全工作在各功能部门的实施O2-45. 应确保能控制信息安全相关事件的授权与审批O2-46. 应确保建立恰当可靠的联络渠道，以便安全事件发生时能得到支持O2-47. 应确保对人员的行为进行控制O2-48. 应确保对人员的管理活动进行了指导O2-49. 应确保安全策略的正确性和安全措施的合理性O2-50. 应确保对信息系统进行合理定级O2-51. 应确保安全产品的可信度和产品质量O2-52. 应确保自行开发过程和工程实施过程中的安全O2-53. 应确保能顺利地接管和维护信息系统O2-54. 应确保安全工程的实施质量和安全功能的准确实现O2-55. 应确保机房具有良好的运行环境O2-56. 应确保对信息资产进行标识管理O2-57. 应确保对各种软硬件设备的选型、采购、发放、使用和保管等过程进行控制O2-58. 应确保各种网络设备、服务器正确使用和维护O2-59. 应确保对网络、操作系统、数据库管理系统和应用系统进行安全管理O2-60. 应确保用户具有鉴别信息使用的安全意识O2-61. 应确保定期地对通信线路进行检查和维护O2-62. 应确保硬件设备、存储介质存放环境安全，并对其的使用进行控制和保护O2-63. 应确保对支撑设施、硬件设备、存储介质进行日常维护和管理O2-64. 应确保系统中使用的硬件、软件产品的质量O2-65. 应确保各类人员具有与其岗位相适应的技术能力O2-66. 应确保对各类人员进行相关的技术培训O2-67. 应确保提供的足够的使用手册、维护指南等资料O2-68. 应确保内部人员具有安全方面的常识和意识O2-69. 应确保具有设计合理、安全网络结构的能力O2-70. 应确保密码算法和密钥的使用符合国家有关法律、法规的规定O2-71. 应确保任何变更控制和设备重用要申报和审批，并对其实行制度化的管理O2-72. 应确保在事件发生后能采取积极、有效的应急策略和措施O2-73. 应确保信息安全事件实行分等级响应、处置第四章测评内容当根据信息系统的业务重要性及其他相关因素对信息系统进行划分，确定了信息系统的安全保护等级后，需要了解不同级别的信息系统或子系统当前的安全保护与相应等级的安全保护基本要求之间存在的差距，这种差距是一种安全需求，是进行安全方案设计的基础。
传统的安全需求分析方法有很多，如风险分析法，但是作为了解信息系统或子系统当前的安全保护状况与相应等级的安全保护基本要求之间存在的差距的简便方法，莫过于等级评估测评法。
➢活动目标：本活动的目标是通过信息安全等级测评机构对已经完成等级保护建设的信息系统定期进行等级测评，确保信息系统的安全保护措施符合相应等级的安全要求。
➢参与角色：甲方\广州华南信息安全测评中心➢活动输入：信息系统详细描述文件，信息系统安全保护等级定级报告，信息系统测评计划，信息系统测评方案。
➢活动描述：参见有关信息系统安全保护等级测评的规范或标准。
➢活动输出：安全等级测评评估报告。
信息系统安全测评包括资料审查、核查测试、综合评估如下三个部分内容：一、资料审查a)测评机构接受用户提供的测评委托书和测评资料；b)测评机构对用户提供的测评委托书和测评资料进行形式化审查，判断是否需要补充相关资料；二、核查测试a)测评机构依据用户提供的资料、评估机构实地调研资料及定级报告等，制定系统安全评估测评计划；b)依据系统安全测评计划制定系统安全评估测评方案；c)依据系统安全测评方案实施现场核查测试；d)对核查测试结果进行数据整理记录，并形成核查测试报告。
三、综合评估a)对用户资料，评估机构实地调研资料和测试报告进行综合分析，形成分析意见；b)就分析意见与用户沟通确认，最终形成系统安全测评综合评估报告；c)对系统安全测评综合评估报告进行审定；d)出具最终《信息系统安全测评综合评估报告》➢测评数据处理a)对信息系统现场核查记录进行汇总分析，完成信息系统现场核查报告；b)对系统安全性测评过程得到的被测单位提供的申请资料、方案的形式化审查报告、信息系统现；c)场核查记录、现场核查报告以及测试过程中所有的书面记录，经分析整理后，形成信息系统安全测评综合评估报告；d)系统安全性测评过程所产生的全部数据、记录、资料应归档管理；e)系统安全性测评过程所产生的全部数据、记录、资料不得以任何方式向第三方透露；f)系统安全性测评过程所产生的全部数据、记录、资料的处置应符合相关法令法规的规定。
➢测评结论a)信息系统经测评机构安全测评后，向被测评单位出具信息系统安全测评综合评估报告；b)信息系统安全测评综合评估报告是客观反映被测单位信息系统在管理方面及技术方面的安全状况，其中包括了信息系统在安全性方面存在的漏洞、潜在的风险以及相应的建议性改进意见。
