等级测评专项方案.doc

项目编号：xxxxxxxxxxxxx级别测评方案系统名称： XXXXXXXXXXX 被测单位：XXXXXXXXXXXX测评单位：xxxxxxxxxxxxxxxxx 目录1概述31.1项目简介31.2测评根据32被测系统描述42.1定级状况42.2网络构造42.3系统够成52.3.1业务应用软件52.3.2核心数据类别52.3.3主机/存储设备52.3.4网络互联设备62.3.5安全设备62.3.6终端设备62.3.7安全有关人员62.3.8安全管理文档72.4安全服务73测评对象与指标73.1测评指标73.2测评对象83.2.1机房93.2.2网络互联设备操作系统93.2.3主机（存储）操作系统93.2.4业务应用软件93.2.5数据库管理系统103.2.6安全设备操作系统104测评办法与工具104.1测评办法104.1.1.工具测试104.1.2.配备检查114.1.3.人员访谈114.1.4.文档审查114.1.5.实地查看124.2重要测评工具125测评内容与实行135.1物理安全测评145.1.1测评实行155.1.2配合需求155.2网络安全测评165.2.1测评指标165.2.2测评实行175.2.3配合需求175.3主机安全测评185.3.1测评指标185.3.2测评实行185.3.3配合需求195.4应用安全测评195.4.1测评指标195.4.2测评实行205.4.3配合需求205.5数据安全及备份恢复测评215.5.1测评指标215.5.2测评实行215.5.3配合需求215.6安全管理制度测评225.6.1测评指标225.6.2测评实行225.6.3配合需求235.7安全管理机构测评235.7.1测评指标235.7.2测评实行245.7.3配合需求245.8人员安全管理测评255.8.1测评指标255.8.2测评实行255.8.3配合需求265.9系统建设管理测评265.9.1测评指标265.9.2测评实行275.9.3配合需求285.10系统运维管理测评295.10.1测评指标295.10.2测评实行305.10.3配合需求315.11工具测试335.12整体测评341 概述1.1 项目简介为精确掌握信息系统安全保护能力现状，有效提高信息系统安全建设整体水平，XX单位委托XXXXX对其OA办公系统和Winmail 邮件系统实行信息安全级别测评，但愿通过测评工作发现系统既有安全防护办法薄弱环节，为下一步信息系统安全建设整治提供可靠根据，以有效提高信息系统安全运营能力。OA办公系统和Winmail 邮件系统由XXXX负责运营维护。OA办公系统重要实现公司各部门寻常业务工作规范化、电子化、原则化，增强档案部门文书档案、人事档案、科技档案、财务档案等档案可管理性，实现办公流程网上解决，以及信息在线查询、借阅，最后实现无纸办公。Winmail 邮件系统重要实现POP3服务、IMAP服务、Webmail服务、公用地址簿、IMAP 公共邮件夹、网络磁盘、网络行事历与记事本、邮件签核、邮件杀毒等服务。项目完毕后将出具级别测评报告，XX单位可根据级别测评报告，并结合单位实际状况，区别轻重缓急，通过安全整治不断提高信息系统整体安全保护水平。1.2 测评根据 信息安全技术 信息系统安全保护级别定级指南（GB/T 22240-） 信息安全技术 信息系统安全级别保护基本规定（GB/T 22239-） 信息安全技术 信息系统安全级别保护测评规定（GB/T 28448-） 信息安全技术 信息系统安全级别保护测评过程指南（GB/T 28449-） 信息安全技术 信息系统安全级别保护实行指南（GB/T 25058-） 信息安全技术 信息安全风险评估规范（GB/T 20984-） 信息安全级别保护测评与风险评估合同2 被测系统描述被测系统为承载XX单位OA办公系统和Winmail 邮件系统，是XX单位重要信息系统，其安全级别定为三级。OA办公系统当前覆盖单位各部门，系统重要是实现各部门寻常业务工作规范化、电子化、原则化，提供电子化管理文书档案、人事档案、科技档案、财务档案等功能。当前系统重要涉及主服务器、互换机、路由器和防火墙等设备，具备了信息系统基本要素，系统边界用防火墙区别，边界设备是防火墙。Winmail邮件系统当前覆盖单位各部门，系统重要是实现POP3服务、IMAP服务、Webmail服务、公用地址簿、IMAP 公共邮件夹、网络磁盘、网络行事历与记事本、邮件签核、邮件杀毒等服务。当前系统重要涉及主服务器、互换机、路由器和防火墙等设备，具备了信息系统基本要素，系统边界用防火墙区别，边界设备是防火墙。XX单位负责Winmail邮件系统运营维护。XX单位负责OA办公系统和Winmail 邮件系统运营维护。2.1 定级状况XX单位为该信息系统定级责任单位。该信息系统于XXXX年X月上线。通过对该信息系统业务信息安全级别和系统服务安全级别综合判断，最后拟定信息系统安全保护级别为三级（S3A3G3）。2.2 网络构造 信息系统拓扑构造示意图: 2.3 系统够成2.3.1 业务应用软件序号软件名称重要功能重要限度1OA办公系统网络办公重要2Winmail邮件系统邮件系统重要2.3.2 核心数据类别序号数据类别所属业务应用重要限度1OA办公系统OA办公系统重要2Winmail邮件系统Winmail邮件系统重要2.3.3 主机/存储设备序号设备名称操作系统/数据库管理系统业务应用软件1应用服务器Win R2OA办公系统、Winmail邮件系统2应用服务器MS SQL Server R2OA办公系统、Winmail邮件系统2.3.4 网络互联设备序号设备名称用途重要限度1TP-LINK TL-ER5110G网络互联普通2Quidway S 3500互换机接入层数据互换普通2.3.5 安全设备序号设备名称用途重要限度1防火墙 天融信TOPGate300边界访问控制重要2.3.6 终端设备 序号设备名称操作系统用途重要限度1管理终端Win7业务管理 业务维护普通2业务终端Win7业务普通2.3.7 安全有关人员序号姓名岗位/角色联系方式1XXX系统管理员2XXX网络管理员3XXX业务操作员2.3.8安全管理文档序号文档名称重要内容1安全管理类制度信息系统有关安全岗位制度有关文献记录2安全管理机构累制度信息管理机构及运营工作、职责范畴制度3人员管理类制度信息系统有关人员录取、培训、离职等制度文献4系统建设类制度系统建设定级、设计、软件外包、软件自主开发、工程实行、测实验收、代码安全性等各过程规范制度5系统运维类制度系统运维期间中所涉及物理主机、网络安全、恶意代码检测、备份存储介质、物理机房等各涉及岗位有关制度2.4 安全服务序号安全服务名称安全服务商1设备售后/技术支持XXXXXXX2软件售后/技术支持XXXXXXX3 测评对象与指标3.1 测评指标对于三级系统，如业务信息安全级别为S3，系统服务安全级别为A3，则该系统测评指标应涉及GB/T 22239-信息系统安全保护级别基本规定中“技术规定”某些3级通用指标类（G3），3级业务信息安全指标类（S3），3级系统服务安全指标类（A3），以及第3级“管理规定”某些中所有指标类，级别保护测评指标状况详细如下表所示：测评指标（三级）技术/管理安全分类安全子类数量S类A类G类小计技术物理安全11810网络安全1067主机安全3136应用安全5229数据安全及备份恢复2103管理安全管理制度0033安全管理机构0055人员安全管理0055系统建设管理001111系统运维管理001313共计：723.2 测评对象依照信息安全级别保护规定、参照业界权威安全风险评估原则与模型，同步结合本XX近年安全风险评估经验与实践，从信息系统核心资产出发，以威胁和弱点为导向，对比信息安全级别保护详细规定，全面对信息系统进行全面评估。测评对象种类重要考虑如下几种方面：1整体网络拓扑构造；2机房环境、配套设施；3网络设备：涉及路由器、核心互换机、汇聚层互换机等； 4安全设备：涉及防火墙、IDS/IPS、防病毒网关等； 5主机系统（涉及操作系统和数据库系统）； 6业务应用系统；7重要管理终端（针对三级以上系统）；8安全管理员、网络管理员、系统管理员、业务管理员； 9涉及到系统安全所有管理制度和记录。依照信息系统测评强度规定，在执行详细核查办法时，在广度上要做到从测评范畴中抽取充分测评对象种类和数量；在执行详细检测办法，在深度上要做到对功能等各方面测试。3.2.1 机房序号机房名称物理位置1计算机管理中心钜星科技楼八楼3.2.2 网络互联设备操作系统序号软件名称重要功能1路由器网络互连3.2.3 主机（存储）操作系统序号设备名称操作系统/数据库管理系统1联想systemX 3650 M5Windows server R22联想扬天S4150-00Windows7 SP13.2.4 业务应用软件序号软件名称操作系统/数据库管理系统1OA办公自动化我资讯/我邮件/工作任务/工作流程/我日程/我公文/沟通与分享/我工具2Winmail邮件系统发件人/收件人/主题/开始时间/完毕时间/状态/成果信息/发件人摘要/收件人摘要/邮件大小/IP地址3.2.5 数据库管理系统序号数据库名称数据库管理系统1SQL数据库MS SQL Server R23.2.6 安全设备操作系统序号操作系统名称设备名称1TOS_3.3.010.042.1 K天融信 TOP Gate 3004 测评办法与工具4.1 测评办法在级别保护测评过程目中，将采用如下测评办法：1.2.3.4.4.1.1. 工具测试运用技术工具（漏洞扫描工具、渗入测试工具、压力测试工具等）对系统进行测试，涉及基于网络探测和基于主机审计漏洞扫描、渗入测试等。测评办法工具测试简要描述运用技术工具，从网络不同接入点对网络内主机、服务器、数据库、网络设备、安全设备等进行脆弱性检查和分析达到目的发掘系统安全漏洞工作条件1-2人工作环境，电源和网络接入环境，甲方人员、网络、系统配合工作成果工具测试成果记录4.1.2. 配备检查运用上机验证方式检查主机、服务器、数据库、网络设备、安全设备、应用系统配备与否对的，与否与文档、有关设备和部件保持一致，对文档审核内容进行核算（涉及日记审计等），测评其实行对的性和有效性，检查配备完整性，测试网络连接规则一致性，从而测试系统与否达到可用性和可靠性规定。测评办法配备检查简要描述通过登陆系统控制台方式，人工核查和分析主机、服务器、数据库、网络设备、安全设备、应用系统安全配备状况达到目的发现配备安全隐患工作条件1-2人工作环境，甲方人员、网络、系统配合工作成果配备检查成果记录4.1.3. 人员访谈与被测系统关于人员（个人/群体）进行交流、讨论等活动，获取有关证据，理解关于信息。在访谈范畴上，不同级别信息系统在测评时有不同规定，普通应基本覆盖所有安全有关人员类型，在数量上可以抽样。测评办法人员访谈简要描述通过交流、讨论方式，对技术和管理方面进行脆弱性检查和分析达到目的发掘技术和管理方面存在安全问题工作条件1-2人工作环境，甲方人员配合工作成果人员访谈成果记录4.1.4. 文档审查检查制度、方略、操作规程、制度执行状况记录等文档（涉及安全方针文献、安全管理制度、安全管理执行过程文档、系统设计方案、网络设备技术资料、系统和产品实际配备阐明、系统各种运营记录文档、机房建设有关资料、机房出入记录等过程记录文档）完整性，以及这些文献之间内部一致性。测评办法文档审查简要描述通过文档审核与分析，检查制度、方略、操作规程、制度执行状况记录完整性和内部一致性达到目的发掘技术和管理方面存在安全问题工作条件1-2人工作环境，甲方人员、各类文档资料配合工作成果文档审查成果记录4.1.5. 实地查看通过实地观测人员行为、技术设施和物理环境状况判断人员安全意识、业务操作、管理程序和系统物理环境等方面安全状况，测评其与否达到了相应级别安全规定。测评办法实地查看简要描述通过现场查看人员行为、技术设施和物理环境状况，检查人员安全意识、业务操作、管理程序和系统物理环境等方面安全状况。达到目的发掘技术和管理方面存在安全问题工作条件1-2人工作环境，甲方人员配合工作成果实地查当作果记录4.2 重要测评工具咱们在级别保护测评过程中使用测评工具严格遵循可控性原则，即所有使用测评工具将事先提交给甲方检查确认，保证在双方承认范畴之内，并且测评过程中采用技术手段保证已通过可靠实际应用。在本项目中，将采用如下测评工具：工具类别工具名称工具简介漏洞扫描工具绿盟极光远程安全评估系统XXXX出品商业漏洞扫描系统5 测评内容与实行 本项目重要分为两步开展实行。第一步，对XXXXXXXXXXXXXXXXXXX两个信息系统进行定级和备案工作。第二步，对XXXXXXXXXXXXXXXXXXX已经定级备案系统进行十个安全层面级别保护安全测评（物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理）。其中安全测评分为差距测评和验收测评。差距测评重要针对XXXXXXXXXXXXXXX已定级备案系统执行国标安全测评，差距测评交付差距测评报告以及差距测评整治方案；差距整治完毕后协助完毕系统配备方面整治。最后进行验收测评，验收测评将按照国标和国家公安承认测评规定、测评过程、测评报告，协助对XXXXXXXXXXXXXXXXXXX已定级备案系统执行系统安全验收测评，验收测评交付具备国家承认验收测评报告。信息系统安全级别保护测评涉及两个方面内容：一是安全控制测评，重要测评信息安全级别保护规定基本安全控制在信息系统中实行配备状况；二是系统整体测评，重要测评分析信息系统整体安全性。其中，安全控制测评是信息系统整体安全测评基本。安全控制测评使用测评单元方式组织，分为安全技术测评和安全管理测评两大类。安全技术测评涉及：物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面上安全控制测评；安全管理测评涉及：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理五个方面安全控制测评。详细见下图：5.1 物理安全测评物理安全测评将通过访谈和检查方式评测信息系统物理安全保障状况。重要涉及对象为机房。在内容上，物理安全层面测评实行过程涉及 10 个安全子类，详细如下表：序号安全子类测评指标描述1物理位置选取通过访谈物理安全负责人，检查机房，测评机房物理场合在位置上与否具备防震、防风和防雨等多方面安全防范能力。2物理访问控制通过访谈物理安全负责人，检查机房出入口等过程，测评信息系统在物理访问控制方面安全防范能力。3防盗窃和防破坏通过访谈物理安全负责人，检查机房内重要设备、介质和防盗报警设施等过程，测评信息系统与否采用必要办法防止设备、介质等丢失和被破坏。4防雷击通过访谈物理安全负责人，检查机房设计/验收文档，测评信息系统与否采用相应办法防止雷击。5防火通过访谈物理安全负责人，检查机房防火方面安全管理制度，检查机房防火设备等过程，测评信息系统与否采用必要办法防止火灾发生。6防水和防潮通过访谈物理安全负责人，检查机房及其除潮设备等过程，测评信息系统与否采用必要办法来防止水灾和机房潮湿。7防静电通过访谈物理安全负责人，检查机房等过程，测评信息系统与否采用必要办法防止静电产生。8温湿度控制通过访谈物理安全负责人，检查机房温湿度自动调节系统，测评信息系统与否采用必要办法对机房内温湿度进行控制。9电力供应通过访谈物理安全负责人，检查机房供电线路、设备等过程，测评与否具备为信息系统提供一定电力供应能力。10电磁防护通过访谈物理安全负责人，检查重要设备等过程，测评信息系统与否具备一定电磁防护能力。5.1.1 测评实行访谈物理安全负责人、机房维护人员和机房值守人员，询问机房与否有防盗报警系统、避雷装置、自动消防系统和温湿度自动调节设施等有关机房安全办法，检查机房位置、有关制度、记录文档、系统（或设备）运营状况等。5.1.2 配合需求配合项目需求阐明物理位置选取相应房屋建筑资料。物理访问控制机房出入登记记录、审批记录、电子门禁记录等。防盗窃和防破坏防盗报警运营维护状况及有关记录。防雷击建筑物防雷技术检测报告。防火防火系统检查和维护记录、机房验收文档。防水和防潮建筑施工图、建筑验收文档。防静电展示防静电接地办法。温湿度控制机房温湿度变化记录和温湿度调节设备维护记录。电力供应供电线路稳压器、供电线路 UPS、备用电源设备和过电压防护设备维护和维修记录。电磁防护1物理安全负责人简介设备外壳接地实行状况；2物理安全负责人简介线路铺设中将电源线和通信线路隔离实行状况；3物理安全负责人简介重要设备和磁介质实行电磁屏蔽状况。5.2 网络安全测评网络安全测评将通过访谈、检查和测试方式评测信息系统网络安全保障状况。重要涉及对象机房网络设备、网络安全设备以及网络拓扑构造等三大类对象。在内容上，网络安全层面测评过程涉及 7 个工作单元。5.2.1 测评指标序号安全子类测评指标描述1构造安全通过访谈网络管理员，检查网络拓扑状况、核查核心互换机、路由器，测评分析网络架构与网段划分、隔离等状况合理性和有效性。2访问控制通过访谈安全员，检查防火墙等网络访问控制设备，测试系统对外暴露安全漏洞状况等，测评分析信息系统对网络区域边界有关网络隔离与访问控制能力。3安全审计通过访谈审计员，检查核心互换机、路由器等网络互联设备安全审计状况等，测评分析信息系统审计配备和审计记录保护状况。4边界完整性检查通过访谈安全员，检查边界完整性检查设备,接入边界完整性检查设备进行测试等过程，测评分析信息系统擅自联到外部网络行为。5入侵防范通过访谈安全员，测评分析信息系统对袭击行为辨认和解决状况。6恶意代码防范通过访谈安全员，检查网络防恶意代码产品等过程，测评分析信息系统网络边界和核心网段对病毒等恶意代码防护状况。7网络设备防护通过访谈网络管理员，检查互换机、路由器等网络互联设备以及防火墙等网络安全设备，查看它们安全配备状况，涉及身份鉴别、登录失败解决、限制非法登录和登录连接超时等，考察网络设备自身安全防范状况。5.2.2 测评实行网络层面测评实行重要分为三某些，第一某些为网络全测评，重要通过访谈网络管理员，针对构造安全、边界完整性、入侵防范、恶意代码防范四个控制点，理解构造安全、业务高峰期设备解决能力和链路带宽运营状况、非法内外联，以及网络边界入侵防范办法，恶意代码防范状况等内容。第二某些为网络设备防护测评，重要通过对网络管理员进行访谈、由管理员进行操作查看安全配备，针对访问控制、安全审计、网络设备防护三个控制点，理解网络设备上重要访问控制方略、设备日记记录状况、口令复杂度、双因子身份鉴别、管理员权限分离等内容。第三某些为工具测试，针对网络设备、服务器系统漏洞进行扫描，以及对网络设备访问控制方略进行验证等。5.2.3 配合需求配合项目需求阐明构造安全网络拓扑构造图、不同子网或网段设计或描述、带宽配备方略。边界完整性检查系统管理员简介采用手段以防止非授权接入和非法外联行为。入侵防范网络管理员或者安全管理员简介防网络袭击办法。恶意代码防范网络管理员或者安全管理员简介防恶意代码办法。访问控制针对重要服务器访问控制方略。安全审计访谈网络管理员以及需要网络管理员上机操作。网络设备防护网络管理员上机操作。5.3 主机安全测评主机系统安全测评将通过访谈、检查和测试方式评测信息系统主机和服务器（操作系统、数据库管理系统）安全保障状况。在内容上，主机系统安全层面测评实行过程涉及7 个安全子类。5.3.1 测评指标序号安全子类测评指标描述1身份鉴别检查服务器身份标记与鉴别和顾客登录配备状况。2访问控制检查服务器访问控制设立状况，涉及安全方略覆盖、控制粒度以及权限设立状况等。3安全审计检查服务器安全审计配备状况，如覆盖范畴、记录项目和内容等；检查安全审计进程和记录保护状况。4剩余信息保护检查服务器鉴别信息存储空间，被释放或再分派给其她顾客前得到完全清除。5入侵防范检查服务器在运营过程中入侵防范办法，如关闭不需要端口和服务、最小化安装、布置入侵防范产品等。6恶意代码防范检查服务器恶意代码防范状况。7资源控制检查服务器资源使用状况。5.3.2 测评实行主机层面测评实行重要通过访谈和查看，理解服务器安全防护办法和有关安全配备，涉及到控制点有：身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范和资源控制等。5.3.3 配合需求配合项目需求阐明身份鉴别系统管理员、数据库管理员配合主机测评师上机操作。访问控制系统管理员、数据库管理员配合主机测评师上机操作。安全审计系统管理员、数据库管理员配合主机测评师上机操作。剩余信息保护系统管理员、数据库管理员配合主机测评师上机操作。入侵防范系统管理员、数据库管理员配合主机测评师上机操作。恶意代码防范系统管理员、数据库管理员配合主机测评师上机操作。资源控制系统管理员、数据库管理员配合主机测评师上机操作。5.4 应用安全测评5.4.1 测评指标应用安全测评将通过访谈、检查和测试方式评测信息系统应用安全保障状况。在内容上，应用安全层面测评实行过程涉及 9 个工作单元，详细如下表：序号安全子类测评指标描述1身份鉴别检查应用系统身份标记与鉴别功能设立和使用配备状况；检查应用系统对顾客登录各种状况解决，如登录失败解决、登录连接超时等。2访问控制检查应用系统访问控制功能设立状况，如访问控制方略、访问控制粒度、权限设立状况等。3安全审计1、检查应用系统安全审计配备状况，如覆盖范畴、记录项目和内容等；2、检查应用系统安全审计进程和记录保护状况。4剩余信息保护检查应用系统剩余信息保护状况，如将顾客鉴别信息以及文献、目录和数据库记录等资源所在存储空间再分派时解决状况。5通信完整性检查应用系统客户端和服务器端之间通信完整性保护状况。6通信保密性检查应用系统客户端和服务器端之间通信完整性保护状况。7抗抵赖检查应用系统对原发方和接受方抗抵赖实现状况。8软件容错检查应用系统软件容错能力，如输入输出格式检查、自我状态监控、自我保护、回退等能力。9资源控制检查应用系统资源控制状况，如会话限定、顾客登录限制、最大并发连接以及服务优先级设立等。5.4.2 测评实行应用层面测评实行重要通过访谈和查看，理解应用系统安全防护办法和有关安全配备，涉及到控制点有：身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等。5.4.3 配合需求配合项目需求阐明身份鉴别系统管理员、数据库管理员配合主机测评师上机操作。访问控制系统管理员、数据库管理员配合主机测评师上机操作。安全审计系统管理员、数据库管理员配合主机测评师上机操作。剩余信息保护系统管理员、数据库管理员配合主机测评师上机操作。通信完整性系统管理员、数据库管理员配合主机测评师上机操作。通信保密性系统管理员、数据库管理员配合主机测评师上机操作。抗抵赖系统管理员、数据库管理员配合主机测评师上机操作。软件容错系统管理员、数据库管理员配合主机测评师上机操作。资源控制系统管理员、数据库管理员配合主机测评师上机操作。5.5 数据安全及备份恢复测评5.5.1 测评指标在内容上，数据安全层面测评实行过程涉及 3 个工作单元，详细如下表：序号安全子类测评指标描述1数据完整性检查操作系统、数据库管理系统管理数据、鉴别信息和顾客数据在传播和保存过程中完整性保护状况。2数据保密性检查操作系统和数据库管理系统管理数据、鉴别信息和顾客数据在传播和保存过程中保密性保护状况。3安全备份和恢复检查信息系统安全备份状况，如重要信息备份、硬件和线路冗余等。5.5.2 测评实行数据安全及备份恢复测评将通过访谈和检查方式评测信息系统数据安全保障状况。本次测评重点检查系统数据在采集、传播、解决和存储过程中安全。5.5.3 配合需求配合项目需求阐明数据完整性应用测评师综合网络、主机和应用三个层面测评状况进行分析。数据保密性应用测评师综合网络、主机和应用三个层面测评状况进行分析。安全备份和恢复应用测评师综合网络、主机和应用三个层面测评状况进行分析。5.6 安全管理制度测评5.6.1 测评指标安全管理制度测评将通过访谈和检查形式评测安全管理制度制定、发布、评审和修订等状况。重要涉及安全主管人员、安全管理人员、各类其他人员、各类管理制度、各类操作规程文献等对象。序号安全子类测评指标描述1管理制度通过访谈安全主管，检查关于管理制度文档和重要操作规程等过程，测评信息系统管理制度在内容覆盖上与否全面、完善。2制定与发布通过访谈安全主管，检查关于制度制定规定文档等过程，测评信息系统管理制度制定和发布过程与否遵循一定流程。3评审和修订通过访谈安全主管，检查管理制度评审记录等过程，测评信息系统管理制度定期评审和修订状况。5.6.2 测评实行访谈安全主管，理解机构安全管理制度体系构成、安全管理制度制定和发布流程、对制定安全管理制度进行论证和审定状况和对安全管理制度文献体系和安全管理制度定期进行评审修订状况。收集并查看信息安全管理文档，查看制度文档格式与否统一、与否具备编号、查看内容与否覆盖了信息安全工作总体目的、方针和方略和信息系统生命周期中重要管理活动，与否有对重要服务器、网络设备、安全设备操作操作规程。检查安全管理制度收发登记记录与否符合规定收发程序和发布范畴控制等规定，与否有安全管理制度制定评审记录和定期修订记录。5.6.3 配合需求配合项目需求阐明管理制度1. 配合访谈进行安全管理制度体系状况理解；2. 提供信息安全总体方针政策文献、与信息安全有关管理制度和操作规程；3. 提供安全管理制度认证和评审记录。制定与发布1. 配合访谈进行制度制定与发布状况理解；2. 提供安全管理制度收发文记录。评审和修订1. 配合访谈进行安全管理制度体系、制度制定与发布、评审和修订有关内容理解；2. 提供安全管理制度定期评审修订记录。5.7 安全管理机构测评5.7.1 测评指标序号安全子类测评指标描述1岗位设立通过访谈安全主管，检查部门/岗位职责文献，测评信息系统安全主管部门设立状况以及各岗位设立和岗位职责状况。2人员配备通过访谈安全主管，检查人员名单等文档，测评信息系统各个岗位人员配备状况。3授权和审批通过访谈安全主管，检查有关文档，测评信息系统对核心活动授权和审批状况。4沟通和合伙通过访谈安全主管，检查有关文档，测评信息系统内部部门间、与外部单位间沟通与合伙状况。5审核和检查通过访谈安全主管，检查记录文档等过程，测评信息系统安全工作审核和检查状况。5.7.2 测评实行查看部门、岗位职责等有关文献与否明拟定义了机构及各岗位人员职责范畴，岗位人员名单中核心岗位与否配备了多人共同管理。查看检查授权与审批制度文档，查看文档与否明确各审批事项审批部门、批准人及审批流程等，检查相应审批记录与否按照审批程序执行审批过程对重要活动进行逐级审批。检查与否有信息安全管理委员会或领导小组执行寻常管理工作文献或工作记录、与否有外联单位列表、与否有信息安全专家聘任文献。5.7.3 配合需求配合项目需求阐明岗位设立1. 配合访谈进行机构岗位设立状况理解；2. 提供组织构造图、岗位职责文献。人员配备1. 配合访谈进行机构人员配备状况理解。授权和审批1. 配合访谈进行机构授权和审批状况理解；2. 提供授权和审批文档和记录。沟通和合伙1. 配合访谈进行机构内部和外部沟通合伙状况理解；2. 提供外联单位列表、各类会议纪要或记录（部门内、部门间协调会、领导小组）。审核和检查1. 配合访谈进行机构审核和检查状况理解；2. 提供内部和外部安全检查记录。5.8 人员安全管理测评5.8.1 测评指标序号安全子类测评指标描述1人员录取通过访谈人事负责人，检查人员录取文档等过程，测评信息系统录取人员时与否对人员提出规定以及与否对其进行各种审查和考核。2人员离岗通过访谈人事负责人，检查人员离岗安全解决记录等过程，测评信息系统人员离岗时与否按照一定手续办理。3人员考核通过访谈安全主管，检查关于考核记录等过程，测评与否对人员进行寻常业务考核和工作审查。4安全意识教诲和培训通过访谈安全主管，检查培训筹划和执行记录等文档，测评与否对人员进行安全面教诲和培训。5外部人员访问管理通过访谈安全主管，检查关于文档等过程，测评对第三方人员访问（物理、逻辑）系统与否采用必要控制办法。5.8.2 测评实行访谈安全主管或人事负责人，理解人员录取流程、核心岗位工作人员选拔流程、人员离岗流程、信息安全培训考核状况和外来人员访问控制办法，涉及人员录取时与否对被录取人身份、背景、专业资格和资质进行审查，与否订立了保密合同，离岗时与否终结离岗人员所有访问权限、收回离岗人员设备和物品和离岗审查、承诺保密责任等状况，安全教诲和培训筹划制定实行状况、对各个岗位人员进行安全技能及安全知识考核状况和对核心岗位人员进行安全审查、安全技能及安全知识考核状况。理解对外部人员访问管理办法。检查与否有录取人员技术技能考核记录、保密合同、核心岗位人员岗位安全合同书、离岗手续记录、安全意识教诲和培训筹划和记录、考核记录和外部人员访问申请审批和登记备案记录。5.8.3 配合需求配合项目需求阐明人员录取1. 配合访谈进行人员录取流程状况理解；2. 提供录取人员技术技能考核记录、保密合同、核心岗位人员岗位安全合同书。人员离岗1. 配合访谈进行人员离岗流程状况理解；2. 提供离岗手续记录。人员考核1. 配合访谈进行人员信息安全考核状况理解；2. 提供安全认知和安全技能考核记录。安全意识教诲和培训1. 配合访谈进行人员信息安全和技能培训状况理解；2. 提供安全意识教诲培训筹划和记录外部人员访问管理1. 配合访谈进行外部人员访问控制状况理解；2. 提供外部人员访问申请审批和登记备案记录。5.9 系统建设管理测评5.9.1 测评指标序号安全子类测评指标描述1系统定级通过访谈安全主管，检查系统定级有关文档等过程，测评与否按照一定规定拟定系统安全级别。2安全方案设计通过访谈系统建设负责人，检查系统安全建设方案等文档，测评系统整体安全规划设计与否按照一定流程进行。3产品采购和使用通过访谈安全主管、系统建设负责人和安全产品等过程，测评与否按照一定规定进行系统产品采购。4自行软件开发通过访谈系统建设负责人，检查有关软件开发文档等，测评自行开发软件与否采用必要办法保证开发过程安全性。5外包软件开发通过访谈系统建设负责人，检查有关文档，测评外包开发软件与否采用必要办法保证开发过程安全性和日后维护工作可以正常开展。6工程实行通过访谈系统建设负责人，检查有关文档，测评系统建设实行过程与否采用必要办法使其在机构可控范畴内进行。7测实验收通过访谈系统建设负责人，检查测实验收等有关文档，测评系统运营前与否对其进行测实验收工作。8系统交付通过访谈系统运维负责人，检查系统交付清单等过程，测评与否采用必要办法对系统交付过程进行有效控制。9系统备案通过访谈系统运维负责人，询问与否报送材料，并检查上报材料与否完整。10级别测评通过访谈系统运维负责人，确认与否进行过级别测评，并检查整治状况。11安全服务商选取通过访谈系统运维负责人，测评与否选取符合国家关于规定安全服务单位进行有关安全服务工作。5.9.2 测评实行访谈安全主管，理解信息系统整个定级过程和信息系统报批过程。理解安全方案整个设计过程和安全建设总体规划状况、产品采购流程、保证系统自主开发软件和外包开发软