教育数字化知识图谱

公安机关信息安全等级保护  检查工作规范  （试行）  第一条 为规范公安机关公共信息网络安全监察部门开展信息安全等级保护检查工作，根据《信息安全等级保护管理办法》（以下简称《管理办法》），制定本规范。  第二条 公安机关信息安全等级保护检查工作是指公安机关依据有关规定，会同主管部门对非涉密重要信息系统运营使用单位等级保护工作开展和落实情况进行检查，督促、检查其建设安全设施、落实安全措施、建立并落实安全管理制度、落实安全责任、落实责任部门和人员。  第三条 信息安全等级保护检查工作由市（地）级以上公安机关公共信息网络安全监察部门负责实施。每年对第三级信息系统的运营使用单位信息安全等级保护工作检查一次，每半年对第四级信息系统的运营使用单位信息安全等级保护工作检查一次。  第四条 公安机关开展检查工作，应当按照“严格依法， 热情服务”的原则，遵守检查纪律，规范检查程序，主动、热情地为运营使用单位提供服务和指导。  第五条 信息安全等级保护检查工作采取询问情况，查阅、核对材料，调看记录、资料，现场查验等方式进行。  第六条 检查的主要内容：  （一） 等级保护工作组织开展、实施情况。安全责任落实情况，信息系统安全岗位和安全管理人员设置情况；  （二） 按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况；  （三） 信息系统定级备案情况，信息系统变化及定级备案变动情况；  （四） 信息安全设施建设情况和信息安全整改情况；  （五） 信息安全管理制度建设和落实情况；  （六） 信息安全保护技术措施建设和落实情况；  （七） 选择使用信息安全产品情况；  （八） 聘请测评机构按规范要求开展技术测评工作情  况，根据测评结果开展整改情况；  （九） 自行定期开展自查情况；  （十） 开展信息安全知识和技能培训情况。  第七条 检查项目：  （一）等级保护工作部署和组织实施情况  1．下发开展信息安全等级保护工作的文件，出台有关工作意见或方案，组织开展信息安全等级保护工作情况。  2．建立或明确安全管理机构，落实信息安全责任，落实安全管理岗位和人员。  3．依据国家信息安全法律法规、标准规范等要求制定具体信息安全工作规划或实施方案。  4．制定本行业、本部门信息安全等级保护行业标准规范并组织实施。  （二）信息系统安全等级保护定级备案情况  1．了解未定级、备案信息系统情况以及第一级信息系统有关情况，对定级不准的提出调整建议。  2．现场查看备案的信息系统，核对备案材料，备案单位提交的备案材料与实际情况相符合情况。  3．补充提交《信息系统安全等级保护备案登记表》表四中有关备案材料。  4．信息系统所承载的业务、服务范围、安全需求等发生变化情况，以及信息系统安全保护等级变更情况。  5．新建信息系统在规划、设计阶段确定安全保护等级并备案情况。    （三）信息安全设施建设情况和信息安全整改情况  1．部署和组织开展信息安全建设整改工作。  2．制定信息安全建设规划、信息系统安全建设整改方案。  3．按照国家标准或行业标准建设安全设施，落实安全措施。  （四）信息安全管理制度建立和落实情况  1．建立基本安全管理制度，包括机房安全管理、网络安全管理、系统运行维护管理、系统安全风险管理、资产和设备管理、数据及信息安全管理、用户管理、备份与恢复、密码管理等制度。  2．建立安全责任制，系统管理员、网络管理员、安全管理员、安全审计员是否与本单位签订信息安全责任书。  3．建立安全审计管理制度、岗位和人员管理制度。  4．建立技术测评管理制度，信息安全产品采购、使用管理制度。  5．建立安全事件报告和处置管理制度，制定信息系统安全应急处置预案，定期组织开展应急处置演练。  6．建立教育培训制度，定期开展信息安全知识和技能培训。    （五）信息安全产品选择和使用情况  1．按照《管理办法》要求的条件选择使用信息安全产品。  2．要求产品研制、生产单位提供相关材料。包括营业执照，产品的版权或专利证书，提供的声明、证明材料，计算机信息系统安全专用产品销售许可证等。  3．采用国外信息安全产品的，经主管部门批准，并请有关单位对产品进行专门技术检测。    （六）聘请测评机构开展技术测评工作情况  1．按照《管理办法》的要求部署开展技术测评工作对第三级信息系统每年开展一次技术测评，对第四级信息系统每半年开展一次技术测评。  2．按照《管理办法》规定的条件选择技术测评机构。  3．要求技术测评机构提供相关材料。包括营业执照、声明、证明及资质材料等。  4．与测评机构签订保密协议。  5．要求测评机构制定技术检测方案。  6．对技术检测过程进行监督，采取了哪些监督措施。  7．出具技术检测报告，检测报告是否规范、完整，检查结果是否客观、公正。  8．根据技术检测结果，对不符合安全标准要求的，进一步进行安全整改。    （七）定期自查情况  1．定期对信息系统安全状况、安全保护制度及安全技  术措施的落实情况进行自查。第三级信息系统是否每年进行一次自查，第四级信息系统是否每半年进行一次自查。  2．经自查，信息系统安全状况未达到安全保护等级要求的，运营、使用单位进一步进行安全建设整改。  第八条 各级公安机关按照“谁受理备案，谁负责检查”的原则开展检查工作。具体要求是：对跨省或者全国联网运行、跨市或者全省联网运行等跨地域的信息系统，由部、省、市级公安机关分别对所受理备案的信息系统进行检查。对辖区内独自运行的信息系统，由受理备案的公安机关独自进行检查。  第九条 对跨省或者全国联网运行的信息系统进行检查时，需要会同其主管部门。因故无法会同的，公安机关可以自行开展检查。  第十条 公安机关开展检查前，应当提前通知被检查单位，并发送《信息安全等级保护监督检查通知书》。  第十一条 检查时，检查民警不得少于两人，并应当向被检查单位负责人或其他有关人员出示工作证件。  第十二条 检查中应当填写《信息系统安全等级保护监督检查记录》 以下简称《监督检查记录》）。检查完毕后， 监督检查记录》应当交被检查单位主管人员阅后签字；对记录有异议或者拒绝签名的，监督、检查人员应当注明情况。 监督检查记录》应当存档备查。  第十三条 检查时，发现不符合信息安全等级保护有关管理规范和技术标准要求，具有下列情形之一的，应当通知其运营使用单位限期整改，并发送《信息系统安全等级保护限期整改通知书》（以下简称《整改通知》）。逾期不改正的，给予警告，并向其上级主管部门通报：  （一） 未按照《管理办法》开展信息系统定级工作的；  （二） 信息系统安全保护等级定级不准确的；  （三） 未按《管理办法》规定备案的；  （四）备案材料与备案单位、备案系统不符合的；  （五）未按要求及时提交《信息系统安全等级保护备案登记表》表四的有关内容的；  （六）系统发生变化，安全保护等级未及时进行调整并重新备案的；  （七）未按《管理办法》规定落实安全管理制度、技术措施的；  （八）未按《管理办法》规定开展安全建设整改和安全技术测评的；  （九）未按《管理办法》规定选择使用信息安全产品和测评机构的；  （十）未定期开展自查的；  （十一）违反《管理办法》其他规定的。  第十四条 检查发现需要限期整改的，应当出具《整改通知》，自检查完毕之日起10个工作日内送达被检查单位。  第十五条 信息系统运营使用单位整改完成后，应当将整改情况报公安机关，公安机关应当对整改情况进行检查。  第十六条 公安机关实施信息安全等级保护监督检查的法律文书和记录，应当统一存档备查。  第十七条 受理备案的公安机关应该配备必要的警力，专门负责信息安全等级保护监督、检查和指导。从事检查工作的民警应当经过省级以上公安机关组织的信息安全等级保护监督检查岗位培训。  第十八条 公安机关对检查工作中涉及的国家秘密、工作秘密、商业秘密和个人隐私等应当予以保密。  第十九条 公安机关进行安全检查时不得收取任何费用。  第二十条 本规范所称“以上”包含本数（级）。  第二十一条 本规范自发布之日起实施。 阅读全文 >

信息安全等级保护管理办法  （公通字[2007]43号）  第一章 总则      第一条 为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。      第二条 国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。      第三条 公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。      第四条 信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。      第五条 信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。  第二章 等级划分与保护      第六条 国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。      第七条 信息系统的安全保护等级分为以下五级：      第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。      第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。      第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。       第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。      第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。      第八条 信息系统运营、使用单位依据本办法和相关技术标准对信息系统进行保护，国家有关信息安全监管部门对其信息安全等级保护工作进行监督管理。      第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。      第二级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。      第三级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行监督、检查。      第四级信息系统运营、使用单位应当依据国家有关管理规范、技术标准和业务专门需求进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行强制监督、检查。      第五级信息系统运营、使用单位应当依据国家管理规范、技术标准和业务特殊安全需求进行保护。国家指定专门部门对该级信息系统信息安全等级保护工作进行专门监督、检查。  第三章 等级保护的实施与管理      第九条 信息系统运营、使用单位应当按照《信息系统安全等级保护实施指南》具体实施等级保护工作。      第十条 信息系统运营、使用单位应当依据本办法和《信息系统安全等级保护定级指南》确定信息系统的安全保护等级。有主管部门的，应当经主管部门审核批准。      跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。      对拟确定为第四级以上信息系统的，运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。      第十一条 信息系统的安全保护等级确定后，运营、使用单位应当按照国家信息安全等级保护管理规范和技术标准，使用符合国家有关规定，满足信息系统安全保护等级需求的信息技术产品，开展信息系统安全建设或者改建工作。      第十二条 在信息系统建设过程中，运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护基本要求》等技术标准，参照《信息安全技术 信息系统通用安全技术要求》（GB/T20271-2006）、《信息安全技术 网络基础安全技术要求》（GB/T20270-2006）、《信息安全技术操作系统安全技术要求》（GB/T20272-2006）、《信息安全技术 数据库管理系统安全技术要求》（GB/T20273-2006）、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》（GA/T671 -2006）等技术标准同步建设符合该等级要求的信息安全设施。      第十三条 运营、使用单位应当参照《信息安全技术信息系统安全管理要求》（GB/T20269-2006）、《信息安全技术 信息系统安全工程管理要求》（GB/T20282-2006）、《信息系统安全等级保护基本要求》等管理规范，制定并落实符合本系统安全保护等级要求的安全管理制度。      第十四条 信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。      信息系统运营、使用单位及其主管部门应当定期对信息系统安全状况、安全保护制度及措施的落实情况进行自查。第三级信息系统应当每年至少进行一次自查，第四级信息系统应当每半年至少进行一次自查，第五级信息系统应当依据特殊安全需求进行自查。      经测评或者自查，信息系统安全状况未达到安全保护等级要求的，运营、使用单位应当制定方案进行整改。      第十五条 已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。      新建第二级以上信息系统，应当在投入运行后30日内，由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。      隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设区的市级以上公安机关备案。      第十六条 办理信息系统安全保护等级备案手续时，应当填写《信息系统安全等级保护备案表》，第三级以上信息系统应当同时提供以下材料：  （一）系统拓扑结构及说明；  （二）系统安全组织机构和管理制度；  （三）系统安全保护设施设计实施方案或者改建实施方案；   （四）系统使用的信息安全产品清单及其认证、销售许可证明；   （五）测评后符合系统安全保护等级的技术检测评估报告；  （六）信息系统安全保护等级专家评审意见；  （七）主管部门审核批准信息系统安全保护等级的意见。      第十七条 信息系统备案后，公安机关应当对信息系统的备案情况进行审核，对符合等级保护要求的，应当在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明；发现不符合本办法及有关标准的，应当在收到备案材料之日起的10个工作日内通知备案单位予以纠正；发现定级不准的，应当在收到备案材料之日起的10个工作日内通知备案单位重新审核确定。      运营、使用单位或者主管部门重新确定信息系统等级后，应当按照本办法向公安机关重新备案。      第十八条 受理备案的公安机关应当对第三级、第四级信息系统的运营、使用单位的信息安全等级保护工作情况进行检查。对第三级信息系统每年至少检查一次，对第四级信息系统每半年至少检查一次。对跨省或者全国统一联网运行的信息系统的检查，应当会同其主管部门进行。      对第五级信息系统，应当由国家指定的专门部门进行检查。      公安机关、国家指定的专门部门应当对下列事项进行检查：  （一）信息系统安全需求是否发生变化，原定保护等级是否准确；  （二）运营、使用单位安全管理制度、措施的落实情况；  （三）运营、使用单位及其主管部门对信息系统安全状况的检查情况；  （四）系统安全等级测评是否符合要求；  （五）信息安全产品使用是否符合要求；   （六）信息系统安全整改情况；  （七）备案材料与运营、使用单位、信息系统的符合情况；  （八）其他应当进行监督检查的事项。      第十九条 信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，如实向公安机关、国家指定的专门部门提供下列有关信息安全保护的信息资料及数据文件：  （一）信息系统备案事项变更情况；  （二）安全组织、人员的变动情况；  （三）信息安全管理制度、措施变更情况；  （四）信息系统运行状况记录；  （五）运营、使用单位及主管部门定期对信息系统安全状况的检查记录；  （六）对信息系统开展等级测评的技术测评报告；   （七）信息安全产品使用的变更情况；  （八）信息安全事件应急预案，信息安全事件应急处置结果报告；   （九）信息系统安全建设、整改结果报告。      第二十条 公安机关检查发现信息系统安全保护状况不符合信息安全等级保护有关管理规范和技术标准的，应当向运营、使用单位发出整改通知。运营、使用单位应当根据整改通知要求，按照管理规范和技术标准进行整改。整改完成后，应当将整改报告向公安机关备案。必要时，公安机关可以对整改情况组织检查。      第二十一条 第三级以上信息系统应当选择使用符合以下条件的信息安全产品：  （一）产品研制、生产单位是由中国公民、法人投资或者国家投资或者控股的，在中华人民共和国境内具有独立的法人资格；  （二）产品的核心技术、关键部件具有我国自主知识产权；  （三）产品研制、生产单位及其主要业务、技术人员无犯罪记录；   （四）产品研制、生产单位声明没有故意留有或者设置漏洞、后门、木马等程序和功能；  （五）对国家安全、社会秩序、公共利益不构成危害；  （六）对已列入信息安全产品认证目录的，应当取得国家信息安全产品认证机构颁发的认证证书。      第二十二条 第三级以上信息系统应当选择符合下列条件的等级保护测评机构进行测评：  （一）在中华人民共和国境内注册成立（港澳台地区除外）；  （二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；  （三）从事相关检测评估工作两年以上，无违法记录；  （四）工作人员仅限于中国公民；  （五）法人及主要业务、技术人员无犯罪记录；  （六）使用的技术装备、设施应当符合本办法对信息安全产品的要求；   （七）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；  （八）对国家安全、社会秩序、公共利益不构成威胁。      第二十三条 从事信息系统安全等级测评的机构，应当履行下列义务：  （一）遵守国家有关法律法规和技术标准，提供安全、客观、公正的检测评估服务，保证测评的质量和效果；  （二）保守在测评活动中知悉的国家秘密、商业秘密和个人隐私，防范测评风险；  （三）对测评人员进行安全保密教育，与其签订安全保密责任书，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。  第四章 涉及国家秘密信息系统的分级保护管理      第二十四条 涉密信息系统应当依据国家信息安全等级保护的基本要求，按照国家保密工作部门有关涉密信息系统分级保护的管理规定和技术标准，结合系统实际情况进行保护。  非涉密信息系统不得处理国家秘密信息。      第二十五条 涉密信息系统按照所处理信息的最高密级，由低到高分为秘密、机密、绝密三个等级。      涉密信息系统建设使用单位应当在信息规范定密的基础上，依据涉密信息系统分级保护管理办法和国家保密标准BMB17-2006《涉及国家秘密的计算机信息系统分级保护技术要求》确定系统等级。对于包含多个安全域的涉密信息系统，各安全域可以分别确定保护等级。      保密工作部门和机构应当监督指导涉密信息系统建设使用单位准确、合理地进行系统定级。      第二十六条 涉密信息系统建设使用单位应当将涉密信息系统定级和建设使用情况，及时上报业务主管部门的保密工作机构和负责系统审批的保密工作部门备案，并接受保密部门的监督、检查、指导。      第二十七条 涉密信息系统建设使用单位应当选择具有涉密集成资质的单位承担或者参与涉密信息系统的设计与实施。      涉密信息系统建设使用单位应当依据涉密信息系统分级保护管理规范和技术标准，按照秘密、机密、绝密三级的不同要求，结合系统实际进行方案设计，实施分级保护，其保护水平总体上不低于国家信息安全等级保护第三级、第四级、第五级的水平。      第二十八条 涉密信息系统使用的信息安全保密产品原则上应当选用国产品，并应当通过国家保密局授权的检测机构依据有关国家保密标准进行的检测，通过检测的产品由国家保密局审核发布目录。      第二十九条 涉密信息系统建设使用单位在系统工程实施结束后，应当向保密工作部门提出申请，由国家保密局授权的系统测评机构依据国家保密标准BMB22-2007《涉及国家秘密的计算机信息系统分级保护测评指南》，对涉密信息系统进行安全保密测评。      涉密信息系统建设使用单位在系统投入使用前，应当按照《涉及国家秘密的信息系统审批管理规定》，向设区的市级以上保密工作部门申请进行系统审批，涉密信息系统通过审批后方可投入使用。已投入使用的涉密信息系统，其建设使用单位在按照分级保护要求完成系统整改后，应当向保密工作部门备案。      第三十条 涉密信息系统建设使用单位在申请系统审批或者备案时，应当提交以下材料：  （一）系统设计、实施方案及审查论证意见；  （二）系统承建单位资质证明材料；  （三）系统建设和工程监理情况报告；  （四）系统安全保密检测评估报告；  （五）系统安全保密组织机构和管理制度情况；  （六）其他有关材料。      第三十一条 涉密信息系统发生涉密等级、连接范围、环境设施、主要应用、安全保密管理责任单位变更时，其建设使用单位应当及时向负责审批的保密工作部门报告。保密工作部门应当根据实际情况，决定是否对其重新进行测评和审批。      第三十二条 涉密信息系统建设使用单位应当依据国家保密标准BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》，加强涉密信息系统运行中的保密管理，定期进行风险评估，消除泄密隐患和漏洞。      第三十三条 国家和地方各级保密工作部门依法对各地区、各部门涉密信息系统分级保护工作实施监督管理，并做好以下工作：  （一）指导、监督和检查分级保护工作的开展；  （二）指导涉密信息系统建设使用单位规范信息定密，合理确定系统保护等级；  （三）参与涉密信息系统分级保护方案论证，指导建设使用单位做好保密设施的同步规划设计；  （四）依法对涉密信息系统集成资质单位进行监督管理；  （五）严格进行系统测评和审批工作，监督检查涉密信息系统建设使用单位分级保护管理制度和技术措施的落实情况；  （六）加强涉密信息系统运行中的保密监督检查。对秘密级、机密级信息系统每两年至少进行一次保密检查或者系统测评，对绝密级信息系统每年至少进行一次保密检查或者系统测评；  （七）了解掌握各级各类涉密信息系统的管理使用情况，及时发现和查处各种违规违法行为和泄密事件。  第五章 信息安全等级保护的密码管理      第三十四条 国家密码管理部门对信息安全等级保护的密码实行分类分级管理。根据被保护对象在国家安全、社会稳定、经济建设中的作用和重要程度，被保护对象的安全防护要求和涉密程度，被保护对象被破坏后的危害程度以及密码使用部门的性质等，确定密码的等级保护准则。      信息系统运营、使用单位采用密码进行等级保护的，应当遵照《信息安全等级保护密码管理办法》、《信息安全等级保护商用密码技术要求》等密码管理规定和相关标准。      第三十五条 信息系统安全等级保护中密码的配备、使用和管理等，应当严格执行国家密码管理的有关规定。      第三十六条 信息系统运营、使用单位应当充分运用密码技术对信息系统进行保护。采用密码对涉及国家秘密的信息和信息系统进行保护的，应报经国家密码管理局审批，密码的设计、实施、使用、运行维护和日常管理等，应当按照国家密码管理有关规定和相关标 执行；采用密码对不涉及国家秘密的信息和信息系统进行保护的，须遵守《商用密码管理条例》和密码分类分级保护有关规定与相关标准，其密码的配备使用情况应当向国家密码管理机构备案。      第三十七条  运用密码技术对信息系统进行系统等级保护建设和整改的，必须采用经国家密码管理部门批准使用或者准于销售的密码产品进行安全保护，不得采用国外引进或者擅自研制的密码产品；未经批准不得采用含有加密功能的进口信息技术产品。      第三十八条  信息系统中的密码及密码设备的测评工作由国家密码管理局认可的测评机构承担，其他任何部门、单位和个人不得对密码进行评测和监控。      第三十九条 各级密码管理部门可以定期或者不定期对信息系统等级保护工作中密码配备、使用和管理的情况进行检查和测评，对重要涉密信息系统的密码配备、使用和管理情况每两年至少进行一次检查和测评。在监督检查过程中，发现存在安全隐患或者违反密码管理相关规定或者未达到密码相关标准要求的，应当按照国家密码管理的相关规定进行处置。   第六章 法律责任      第四十条 第三级以上信息系统运营、使用单位违反本办法规定，有下列行为之一的，由公安机关、国家保密工作部门和国家密码工作管理部门按照职责分工责令其限期改正；逾期不改正的，给予警告，并向其上级主管部门通报情况，建议对其直接负责的主管人员和其他直接责任人员予以处理，并及时反馈处理结果：   （一）未按本办法规定备案、审批的；  （二）未按本办法规定落实安全管理制度、措施的；  （三）未按本办法规定开展系统安全状况检查的；  （四）未按本办法规定开展系统安全技术测评的；  （五）接到整改通知后，拒不整改的；  （六）未按本办法规定选择使用信息安全产品和测评机构的；  （七）未按本办法规定如实提供有关文件和证明材料的；  （八）违反保密管理规定的；  （九）违反密码管理规定的；  （十）违反本办法其他规定的。      违反前款规定，造成严重损害的，由相关部门依照有关法律、法规予以处理。      第四十一条 信息安全监管部门及其工作人员在履行监督管理职责中，玩忽职守、滥用职权、徇私舞弊的，依法给予行政处分；构成犯罪的，依法追究刑事责任。  第七章 附则      第四十二条 已运行信息系统的运营、使用单位自本办法施行之日起180日内确定信息系统的安全保护等级；新建信息系统在设计、规划阶段确定安全保护等级。      第四十三条 本办法所称“以上”包含本数（级）。      第四十四条 本办法自发布之日起施行，《信息安全等级保护管理办法（试行）》（公通字[2006]7号）同时废止。 阅读全文 >

信息安全技术信息系统安全等级保护基本要求     引 言     依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。   本标准是信息安全等级保护相关系列标准之一。   与本标准相关的系列标准包括：   ——GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南；   ——GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求；   ——GB/T AAAA-AAAA 信息安全技术 信息系统安全等级保护实施指南。   一般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指  导测评人员从信息安全等级保护的角度对信息系统进行测试评估。单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。整体测评根据安全控制点间、层面间和区域  间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。 本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。   如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。 在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。  信息系统安全等级保护测评要求    1 范围  本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测  评要求。本标准略去对第五级信息系统进行单元测评的具体内容要求。   本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使  用。  2 规范性引用文件  下列文件中的条款通过本标准的引用而成为本标准的条款。注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否  可使用这些文件的最新版本。不注日期的引用文件，其最新版本适用于本标准。   GB/T 5271.8 信息技术 词汇 第8部分：安全   GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求  3 术语和定义  GB/T 5271.8和GB/T 22239-2008所确立的以及下列术语和定义适用于本标准。  3.1 测评力度 testing and evaluation intensity   测评工作实际投入力量的表征，可以由测评广度和深度来描述。  4 总则  4.1 测评原则  a) 客观性和公正性原则   测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。  b) 经济性和可重用性原则   基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果，都应基于这些结果还能适用于目前的系统，能反映  目前系统的安全状态。  c) 可重复性和可再现性原则    无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的重复执行都应该得到同样的测评结果。可再现性体现在不同测评者执行相同测评的结果的一致性。可重复性体现在同一测评  者重复执行相同测评的结果的一致性。  d) 符合性原则   测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。  4.2 测评内容  信息系统安全等级测评主要包括单元测评和整体测评两部分。  单元测评是等级测评工作的基本活动，每个单元测评包括测评指标、测评实施和结果判定三部分。  其中，测评指标来源于GB/T 22239-2008中的第五级目录中的各要求项（详见4.5节说明），测评实施描述测评过程中使用的具体测评方法、涉及的测评对象和具体测评取证过程的要求，结果判定描述测评    人员执行测评实施并产生各种测评数据后，如何依据这些测评数据来判定被测系统是否满足测评指标要求的原则和方法。   整体测评是在单元测评的基础上，通过进一步分析信息系统的整体安全性，对信息系统实施的综合安全测评。整体测评主要包括安全控制点间、层面间和区域间相互作用的安全测评以及系统结构的安全  测评等。整体测评需要与信息系统的实际情况相结合，因此全面地给出整体测评要求的全部内容、具体实施过程和明确的结果判定方法是非常困难的，测评人员应根据被测系统的实际情况，结合本标准的要求，实施整体测评。   测评方法指测评人员在测评实施过程中所使用的方法，主要包括访谈、检查和测试三种测评方法。其中，访谈是指测评人员通过引导信息系统相关人员进行有目的的（有针对性的）交流以帮助测评人员  理解、分析或取得证据的过程，检查是指测评人员通过对测评对象（如管理制度、操作记录、安全配置等）进行观察、查验、分析以帮助测评人员理解、分析或取得证据的过程，测试是测评人员使用预定的方法/工具使测评对象产生特定的行为，通过查看和分析结果以帮助测评人员获取证据的过程。   测评对象指测评实施的对象，即测评过程中涉及到的信息系统的相关人员、制度文档、各类设备及其安全配置等。  4.3 测评力度  测评力度是在测评过程中实施测评工作的力度，反映测评的广度和深度，体现为测评工作的实际投入程度。测评广度越大，测评实施的范围越大，测评实施包含的测评对象就越多；测评深度越深，越需要在细节上展开，测评就越严格，因此就越需要更多的投入。投入越多，测评力度就越强，测评就越有保证。测评的广度和深度落实到访谈、检查和测试三种不同的测评方法上，能体现出测评实施过程中谈、检查和测试的投入程度的不同。   信息安全等级保护要求不同安全保护等级的信息系统应具有不同的安全保护能力，满足相应等级的保护要求。为了检验不同安全保护等级的信息系统是否具有相应等级的安全保护能力，是否满足相应等级的保护要求，需要实施与其安全保护等级相适应的测评，付出相应的工作投入，达到应有的测评力度。  第一级到第四级信息系统的测评力度反映在访谈、检查和测试等三种基本测评方法的测评广度和深度上，落实在不同单元测评中具体的测评实施上。不同安全保护等级的信息系统在总体上所对应的测评力度在附录A中描述。  4.4 结果重用  在信息系统中，有些安全控制可以不依赖于其所在的地点便可测评，即在其部署到运行环境之前便可以接受安全测评。一些商用安全产品的测评就属于这种安全测评。如果一个信息系统部署和安装在多个地点，且系统具有一组共同的软件、硬件、固件等组成部分，对这些安全控制的测评可以集中在一个集成测试环境中实施，如果没有这种环境，则可以在其中一个预定的运行地点实施，在其他运行地点的安全测评便可重用此测评结果。   在信息系统所有安全控制中，有一些安全控制与它所处于的运行环境紧密相关（如与人员或物理有关的某些安全控制），对其测评必须在分发到相应运行环境中才能进行。如果多个信息系统处在地域临近的封闭场地内，系统所属的机构在同一个领导层管理之下，对这些安全控制在多个信息系统中进行重复测评，可能是对有效资源的一种浪费。因此，可以在一个选定的信息系统中进行测评，其他相关信息系统可以直接重用这些测评结果。  4.5 使用方法  本标准第5章到第8章分别描述了第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统所有单元测评的内容，在章节上分别对应国标GB/T 22239-2008的第5章到第8章。在国标GB/T   22239-2008第5章到第8章中，各章的二级目录都分为安全技术和安全管理两部分，三级目录从安全层面（如物理安全、网络安全、主机安全等）进行划分和描述，四级目录按照安全控制点进行划分和描  述（如主机安全层面下分为身份鉴别、访问控制、安全审计等），第五级目录是每一个安全控制点下面包括的具体安全要求项（以下简称“要求项”，这些要求项在本标准中被称为“测评指标”）。本标准中  针对每一个安全控制点的测评就构成一个单元测评，单元测评中的每一个具体测评实施要求项（以下简称“测评要求项”）是与安全控制点下面所包括的要求项（测评指标）相对应的。在对每一要求项进行  测评时，可能用到访谈、检查和测试三种测试方法，也可能用到其中一种或两种，为了描述简洁，在测评要求项中，没有针对每一个要求项分别进行描述，而是对具有相同测评方法的多个要求项进行了合  并描述，但测评实施的内容完全覆盖了GB/T 22239-2008中所有要求项的测评要求,使用时，应当从单元测评的测评实施中抽取出对于GB/T 22239-2008中每一个要求项的测评要求，并按照这些测评要求  开发测评指导书，以规范和指导安全等级测评活动。 测评过程中，测评人员应注意对测评记录和证据的采集、处理、存储和销毁，保护其在测评期间免遭破坏、更改或遗失，并保守秘密。   测评的最终输出是测评报告，测评报告应结合第11章的要求给出等级测评结论。  5 第一级信息系统单元测评  5.1 安全技术测评  5.1.1 物理安全  5.1.1.1 物理访问控制  5.1.1.1.1 测评指标  见GB/T 22239-20085.1.1.1。  5.1.1.1.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，了解部署了哪些控制人员进出机房的保护措施；   b) 应检查是否有专人负责机房的出入控制且有进入机房人员的登记记录。    5.1.1.1.3 结果判定  如果5.1.1.1.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.1.2 防盗窃和防破坏  5.1.1.2.1 测评指标  见GB/T 22239-20085.1.1.2。  5.1.1.2.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，了解采取了哪些防止设备、介质等丢失的保护措施；   b) 应检查关键设备是否放置在机房内或其它不易被盗窃和被破坏的可控范围内；   c) 应检查关键设备或设备的主要部件的固定情况，查看其是否不易被移动或被搬走，是否设置明显的不易除去的标记。    5.1.1.2.3 结果判定  如果5.1.1.2.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.1.3 防雷击  5.1.1.3.1 测评指标  见GB/T 22239-20085.1.1.3。  5.1.1.3.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测；      b) 应检查机房建筑是否有避雷装置。    5.1.1.3.3 结果判定  如果5.1.1.3.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.1.4 防火  5.1.1.4.1 测评指标  见GB/T 22239-20085.1.1.4。  5.1.1.4.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否设置了灭火设备，是否制定了有关机房消防的管理制度和消防预案，是否进行了消防培训；   b) 应检查机房是否设置了灭火设备，灭火设备摆放位置是否合理，其有效期是否合格。    5.1.1.4.3 结果判定  如果5.1.1.4.2 a)和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.1.5 防水和防潮  5.1.1.5.1 测评指标  见GB/T 22239-20085.1.1.5。  5.1.1.5.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否部署了防水防潮措施，是否没有出现过漏水和返潮事件；如果机房内有上/下水管安装，则查看是否采取必要的保护措施；   b) 应检查穿过主机房墙壁或楼板的管道是否采取必要的防渗防漏等防水保护措施；   c) 应检查机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、渗透和返潮现象是否能够及时修复解决。    5.1.1.5.3 结果判定  如果5.1.1.5.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.1.6 温湿度控制  5.1.1.6.1 测评指标  见GB/T 22239-20085.1.1.6。  5.1.1.6.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否配备了空调等温湿度控制设施，保证温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求；   b) 应检查空调设备是否能够正常运行，检查机房温湿度是否满足计算站场地的技术条件要求。    5.1.1.6.3 结果判定  如果5.1.1.6.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.1.7 电力供应  5.1.1.7.1 测评指标  见GB/T 22239-20085.1.1.7。  5.1.1.7.2 测评实施  本项要求包括：    a) 应访谈物理安全负责人，询问计算机系统供电线路上是否设置了稳压器和过电压防护设备；   b) 应检查机房，查看计算机系统供电线路上是否设置了稳压器和过电压防护设备，这些设备是否正常运行。    5.1.1.7.3 结果判定  如果5.1.1.7.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.2 网络安全  5.1.2.1 结构安全  5.1.2.1.1 测评指标  见GB/T 22239-20085.1.2.1。  5.1.2.1.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问关键网络设备的业务处理能力是否满足基本业务需求；   b) 应访谈网络管理员，询问接入网络及核心网络的带宽是否满足基本业务需要；   c) 应检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致。    5.1.2.1.3 结果判定  本项要求包括：  a) 如果5.1.2.1.2 c）中缺少网络拓扑结构图，则为否定；   b) 如果5.1.2.1.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    5.1.2.2 访问控制  5.1.2.2.1 测评指标  见GB/T 22239-20085.1.2.2。  5.1.2.2.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络访问控制的措施有哪些；询问网络访问控制设备具备哪些访问控制功能；  b) 应检查边界网络设备，查看是否有正确的访问控制列表，以通过源地址、目的地址、源端口、目的端口、协议等进行网络数据流控制，其控制粒度是否至少为用户组。    5.1.2.2.3 结果判定  如果5.1.2.2.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.2.3 网络设备防护  5.1.2.3.1 测评指标  见GB/T 22239-20085.1.2.3。  5.1.2.3.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问关键网络设备的防护措施有哪些；询问关键网络设备的登录和验证方式做过何种配置；询问远程管理的设备是否采取措施防止鉴别信息泄漏；   b) 应检查边界和关键网络设备，查看是否配置了对登录用户进行身份鉴别的功能；  c) 应检查边界和关键网络设备，查看是否配置了鉴别失败处理功能；   d) 应检查边界和关键网络设备，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能。    5.1.2.3.3 结果判定    如果5.1.2.3.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.3 主机安全  5.1.3.1 身份鉴别  5.1.3.1.1 测评指标  见GB/T 22239-20085.1.3.1。  5.1.3.1.2 测评实施  本项要求包括：  a) 应访谈系统管理员和数据库管理员，询问操作系统和数据库管理系统的身份标识与鉴别机制采取何种措施实现；   b) 应检查关键服务器操作系统和关键数据库管理系统，查看是否提供了身份鉴别措施。    5.1.3.1.3 结果判定  如果5.1.3.1.2 b)为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.3.2 访问控制  5.1.3.2.1 测评指标  见GB/T 22239-20085.1.3.2。  5.1.3.2.2 测评实施  本项要求包括：  a) 应检查关键服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用或删除；   b) 应检查关键服务器操作系统和关键数据库管理系统，查看匿名/默认帐户的访问权限是否已被禁用或者限制，是否删除了系统中多余的、过期的以及共享的帐户；   c) 应检查关键服务器操作系统和关键数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制。    5.1.3.2.3 结果判定  如果5.1.3.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.3.3 入侵防范  5.1.3.3.1 测评指标  见GB/T 22239-20085.1.3.3。  5.1.3.3.2 测评实施  本项要求包括：  a) 应访谈系统管理员，询问操作系统中所安装的系统组件和应用程序是否都是必须的，询问操作系统补丁更新的方式和周期；   b) 应检查关键服务器操作系统和关键数据库管理系统的补丁是否得到了及时更新。    5.1.3.3.3 结果判定  如果5.1.3.3.2 b)肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.3.4 恶意代码防范  5.1.3.4.1 测评指标  见GB/T 22239-20085.1.3.4。    5.1.3.4.2 测评实施  本项要求包括：  a) 应访谈系统安全管理员，询问主机系统是否采取恶意代码实时检测与查杀措施，恶意代码实时检测与查杀措施的部署覆盖范围如何；   b) 应检查关键服务器，查看是否安装了实时检测与查杀恶意代码的软件产品并进行及时更新。    5.1.3.4.3 结果判定  如果5.1.3.4.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.4 应用安全  5.1.4.1 身份鉴别  5.1.4.1.1 测评指标  见GB/T 22239-20085.1.4.1。  5.1.4.1.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否有专用的登录控制模块对登录的用户进行身份标识和鉴别，具体采取的鉴别措施是什么；   b) 应访谈应用系统管理员，询问应用系统是否具有登录失败处理功能；   c) 应访谈应用系统管理员，询问应用系统是否采取措施防止鉴别信息传输过程中被窃听，具体措施是什么；   d) 应检查关键应用系统，查看其是否提供身份标识和鉴别功能；   e) 应检查关键应用系统，查看其提供的登录失败处理功能，是否根据安全策略配置了相关参数。    5.1.4.1.3 结果判定  如果5.1.4.1.2 d）和e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.4.2 访问控制  5.1.4.2.1 测评指标  见GB/T 22239-20085.1.4.2。  5.1.4.2.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否提供访问控制措施，以及具体措施和访问控制策略有哪些；  b) 应检查关键应用系统，查看系统是否提供访问控制功能控制用户组/用户对系统功能和用户数据的访问；   c) 应检查关键应用系统，查看其是否具有由授权用户设置其它用户访问系统功能和用户数据的权限的功能，是否限制默认用户的访问权限；   d) 应测试关键应用系统，可通过以不同权限的用户登录系统，查看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效。    5.1.4.2.3 结果判定  如果5.1.4.2.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.4.3 通信完整性  5.1.4.3.1 测评指标  见GB/T 22239-20085.1.4.3。  5.1.4.3.2 测评实施    本项要求包括：  a) 应访谈安全管理员，询问应用系统是否具有在数据传输过程中保护其完整性的措施，具体措施是什么；  b) 应检查设计或验收文档，查看其是否有关于保护通信完整性的说明。    5.1.4.3.3 结果判定  如果5.1.4.3.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.4.4 软件容错  5.1.4.4.1 测评指标  见GB/T 22239-20085.1.4.4。  5.1.4.4.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否具有保证软件容错能力的措施，具体措施有哪些；   b) 应检查关键应用系统，查看应用系统是否具有对人机接口输入或通信接口输入的数据进行有效性检验的功能；   c) 应测试关键应用系统，可通过对人机接口输入的不同长度或格式的数据，查看系统的反应，验证系统人机接口有效性检验功能是否正确。    5.1.4.4.3 结果判定  如果5.1.4.4.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.5 数据安全及备份恢复  5.1.5.1 数据完整性  5.1.5.1.1 测评指标  见GB/T 22239-20085.1.5.1。  5.1.5.1.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问关键应用系统用户数据在传输过程中是否有完整性保证措施，具体措施有哪些；   b) 应检查关键应用系统，查看其是否配备检测重要用户数据在传输过程中完整性受到破坏的功能。    5.1.5.1.3 结果判定  如果5.1.5.1.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.1.5.2 备份和恢复  5.1.5.2.1 测评指标  见GB/T 22239-20085.1.5.2。  5.1.5.2.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问是否对网络设备中的配置文件进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；   b) 应访谈系统管理员，询问是否对操作系统中的重要信息进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；   c) 应访谈数据库管理员，询问是否对数据库管理系统中的关键数据进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；   d) 应访谈安全管理员，询问是否对应用系统中的应用程序进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；   e) 应检查关键主机操作系统、关键网络设备、关键数据库管理系统和关键应用系统，查看其是否提供备份和恢复功能，备份和恢复功能的配置是否正确，并且查看实际备份结果是否与备份策略一致。    5.1.5.2.3 结果判定  如果5.1.5.2.2 e）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2 安全管理测评  5.2.1 安全管理制度  5.2.1.1 管理制度  5.2.1.1.1 测评指标   见GB/T 22239-20085.2.1.1。  5.2.1.1.2 测评实施  本项要求包括：  a) 应检查各项安全管理制度，查看是否覆盖物理、网络、主机系统、数据、应用、建设和管理等层面。    5.2.1.1.3 结果判定  如果5.2.1.1.2 a）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.1.2 制定和发布  5.2.1.2.1 测评指标  见GB/T 22239-20085.2.1.2。  5.2.1.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专人负责制定安全管理制度；   b) 应访谈安全管理制度制、修订人员，询问安全管理制度的发布方式，是否能够发布到相关人员手中。    5.2.1.2.3 结果判定  如果5.2.1.2.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.2 安全管理机构  5.2.2.1 岗位设置  5.2.2.1.1 测评指标  见GB/T 22239-20085.2.2.1。  5.2.2.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问信息系统设置了哪些工作岗位，各个岗位的职责分工是否明确；   b) 应检查岗位职责分工文档，查看其定义的岗位职责中是否包括系统管理员、网络管理员、安全管理员等重要岗位的职责。    5.2.2.1.3 结果判定  如果5.2.2.1.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    5.2.2.2 人员配备  5.2.2.2.1 测评指标  见GB/T 22239-20085.2.2.2。  5.2.2.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问各个安全管理岗位的人员配备情况；   b) 应检查安全管理各岗位人员信息表，查看其是否明确机房管理员、系统管理员、网络管理员和安全管理员等重要岗位人员的信息。    5.2.2.2.3 结果判定  如果5.2.2.2.2 a)和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.2.3 授权和审批  5.2.2.3.1 测评指标  见GB/T 22239-20085.2.2.3。  5.2.2.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问其是否需要对信息系统中的关键活动进行审批，审批部门是何部门，批准人是何人，他们的审批活动是否得到授权；   b) 应访谈安全主管，询问其对关键活动的审批范围。    5.2.2.3.3 结果判定  如果5.2.2.3.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.2.4 沟通和合作  5.2.2.4.1 测评指标  见GB/T 22239-20085.2.2.4。  5.2.2.4.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否经常与公安机关、电信公司和兄弟单位联系，联系和合作方式有哪些；   b) 应检查外联单位说明文档，查看外联单位是否包含公安机关、电信公司及兄弟单位，是否说明外联单位的联系人和联系方式等内容。    5.2.2.4.3 结果判定  如果5.2.2.4.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.3 人员安全管理  5.2.3.1 人员录用  5.2.3.1.1 测评指标  见GB/T 22239-20085.2.3.1。  5.2.3.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责人员的录用工作，由何部门/何人负责；   b) 应访谈人事管理相关人员，询问在人员录用时对人员条件有哪些要求，是否对被录用人的身份和专业资格进行审查；      c) 应检查人员录用要求管理文档，查看是否说明录用人员应具备的条件（如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等）；   d) 应检查是否具有人员录用时对录用人身份、专业资格等进行审查的相关文档或记录，查看是否记录审查内容和审查结果等。    5.2.3.1.3 结果判定  如果5.2.3.1.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.3.2 人员离岗  5.2.3.2.1 测评指标  见GB/T 22239-20085.2.3.2。  5.2.3.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章以及机构提供的软硬件设备等；   b) 应检查是否具有对离岗人员的安全处理记录（如交还身份证件、设备等的登记记录）。    5.2.3.2.3 结果判定  如果5.2.3.2.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.3.3 安全意识教育和培训  5.2.3.3.1 测评指标  见GB/T 22239-20085.2.3.3。  5.2.3.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否对各个岗位人员进行安全教育和岗位技能培训，告知相关的安全知识、安全责任和惩戒措施，具体的培训方式有哪些；   b) 应访谈安全管理员，考查其对工作相关的信息安全基础知识、安全责任和惩戒措施等的理解程度。    5.2.3.3.3 结果判定  如果5.2.3.3.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.3.4 外部人员访问管理  5.2.3.4.1 测评指标  见GB/T 22239-20085.2.3.4。  5.2.3.4.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问对外部人员访问重要区域（如访问机房、重要服务器或设备区等）采取了哪些安全措施，是否经有关部门或负责人批准才能访问；   b) 应检查外部人员访问管理文档，查看是否有对外部人员访问机房等重要区域应经过相关部门或负责人批准的内容。    5.2.3.4.3 结果判定  如果5.2.3.4.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    5.2.4 系统建设管理  5.2.4.1 系统定级  5.2.4.1.1 测评指标  见GB/T 22239-20085.2.4.1。  5.2.4.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问确定信息系统安全保护等级的方法是否参照定级指南的指导，定级过程是否有书面描述；定级结果是否获得了相关部门的批准；   b) 应检查系统定级文档，查看文档是否明确信息系统的边界和信息系统的安全保护等级，是否说明定级的方法和理由，查看定级结果是否有相关部门的批准盖章。  5.2.4.1.3 结果判定  本项要求包括：  a)5.2.4.1.2 a）没有上级主管部门的，如果有本单位信息安全主管领导的批准，则该项为肯定；   b) 如果5.2.4.1.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    5.2.4.2 安全方案设计  5.2.4.2.1 测评指标  见GB/T 22239-20085.2.4.2。  5.2.4.2.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否根据系统的安全级别选择基本安全措施，是否依据风险分析的结果补充和调整安全措施，具体做过哪些调整；   b) 应检查系统的安全方案，查看方案是否描述系统的安全保护要求，是否详细描述了系统的安全策略，是否详细描述了系统采取的安全措施等内容；   c) 应检查系统的详细设计方案，查看详细设计方案是否对应安全方案进行细化，是否有安全建设方案和安全产品采购方案。    5.2.4.2.3 结果判定  如5.2.4.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.4.3 产品采购和使用  5.2.4.3.1 测评指标  见GB/T 22239-20085.2.4.3。  5.2.4.3.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问信息安全产品的采购情况，是否有产品采购清单指导产品采购，采购过程如何控制；   b) 应访谈系统建设负责人，询问系统使用的有关信息安全产品是否符合国家的有关规定。    5.2.4.3.3 结果判定  如果5.2.4.3.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.4.4 自行软件开发  5.2.4.4.1 测评指标  见GB/T 22239-20085.2.4.4。    5.2.4.4.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否进行自主开发软件，自主开发软件是否在独立的模拟环境中编写、调试和完成；   b) 应访谈系统建设负责人，询问软件设计相关文档是否由专人负责保管，负责人是何人；   c) 应检查是否具有软件设计相关文档。    5.2.4.4.3 结果判定  如果5.2.4.4.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.4.5 外包软件开发  5.2.4.5.1 测评指标  见GB/T 22239-20085.2.4.5。  5.2.4.5.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问软件交付前是否依据开发要求的技术指标对软件功能和性能等进行验收测试，软件安装之前是否检测软件中的恶意代码；   b) 应检查是否具有需求分析说明书、软件设计说明书、软件操作手册等软件开发文档和使用指南。    5.2.4.5.3 结果判定  如果5.2.4.5.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.4.6 工程实施  5.2.4.6.1 测评指标  见GB/T 22239-20085.2.4.6。  5.2.4.6.2 测评实施  应访谈系统建设负责人，询问是否指定专门部门或人员对工程实施过程进行进度和质量控制，由何部门/何人负责。  5.2.4.6.3 结果判定  如果5.2.4.6.2 为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.4.7 测试验收  5.2.4.7.1 测评指标  见GB/T 22239-20085.2.4.7。  5.2.4.7.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问在信息系统建设完成后是否对其进行安全性测试验收；   b) 应检查工程测试验收方案，查看其是否明确说明参与测试的部门、人员、测试验收内容、现场操作过程等内容；   c) 应检查测试验收记录是否详细记录了测试时间、人员、现场操作过程和测试验收结果等方面内容；   d) 应检查是否具有系统测试验收报告。    5.2.4.7.3 结果判定  如果5.2.4.7.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    5.2.4.8 系统交付  5.2.4.8.1 测评指标  见GB/T 22239-20085.2.4.8。  5.2.4.8.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问系统交接工作是否根据交付清单对所交接的设备、文档、软件等进行清点；   b) 应访谈系统建设负责人，询问目前的信息系统是否由内部人员独立运行维护，如果是，系统正式运行前是否对运行维护人员进行过培训，针对哪些方面进行过培训；   c) 应检查是否具有系统交付清单说明系统交付的各类设备、软件、文档等；   d) 应检查是否具有系统建设文档、指导用户进行系统运维的文档、系统培训手册等。    5.2.4.8.3 结果判定  如果5.2.4.8.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.4.9 安全服务商选择  5.2.4.9.1 测评指标  见GB/T 22239-20085.2.4.9。  5.2.4.9.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问信息系统选择的安全服务商有哪些，是否符合国家有关规定；   b) 应检查是否具有与安全服务商签订的安全责任合同书或保密协议等文档，查看其内容是否包含保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等。    5.2.4.9.3 结果判定  如果5.2.4.9.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.5 系统运维管理  5.2.5.1 环境管理  5.2.5.1.1 测评指标  见GB/T 22239-20085.2.5.1。  5.2.5.1.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否有专门的部门或人员对机房基础设施进行定期维护，由何部门/何人负责，维护周期多长；   b) 应访谈系统运维负责人，询问对机房的出入、服务器开机/关机如何进行管理；   c) 应检查机房安全管理制度，查看其内容是否覆盖机房物理访问、物品带进/带出机房和机房环境安全等方面。    5.2.5.1.3 结果判定  如果5.2.5.1.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.5.2 资产管理  5.2.5.2.1 测评指标  见GB/T 22239-20085.2.5.2。  5.2.5.2.2 测评实施  应检查资产清单，查看其内容是否覆盖资产责任部门、责任人、所处位置和重要程度等方面；    5.2.5.2.3 结果判定  如果5.2.5.2.2 为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.5.3 介质管理  5.2.5.3.1 测评指标  见GB/T 22239-20085.2.5.3。  5.2.5.3.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问介质的存放环境是否采取保护措施防止介质被盗、被毁、介质内存储信息被未授权修改以及非法泄漏等；   b) 应访谈资产管理员，询问是否根据介质的目录清单对介质的使用现状进行定期检查；   c) 应检查介质管理记录，查看其是否记录介质归档和查询等情况。    5.2.5.3.3 结果判定  本项要求包括：  a) 如果5.2.5.3.2 a）中在防火、防水、防盗等方面均有措施，则为肯定；   b) 如果5.2.5.3.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    5.2.5.4 设备管理  5.2.5.4.1 测评指标  见GB/T 22239-20085.2.5.4。  5.2.5.4.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问是否有专门的部门或人员对各种设备、线路进行定期维护，对各类测试工具进行有效性检查，由何部门/何人负责，维护周期多长；   b) 应访谈资产管理员，询问是否对设备选用的各个环节（选型、采购、发放和领用等）进行审批控制；   c) 应检查设备安全管理制度，查看其内容是否明确对各种软硬件设备的选型、采购、发放和领用等环节进行申报和审批。    5.2.5.4.3 结果判定  如果5.2.5.4.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.5.5 网络安全管理  5.2.5.5.1 测评指标  见GB/T 22239-20085.2.5.5。  5.2.5.5.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否指定人员负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作；   b) 应访谈安全管理员，询问是否定期对网络设备进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；   c) 应检查网络漏洞扫描报告，检查扫描时间间隔与扫描周期是否一致。    5.2.5.5.3 结果判定  如果5.2.5.5.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    5.2.5.6 系统安全管理  5.2.5.6.1 测评指标  见GB/T 22239-20085.2.5.6。  5.2.5.6.2 测评实施  本项要求包括：  a) 应访谈系统管理员，询问是否根据业务需求和系统安全分析制定系统的访问控制策略，控制分配信息系统、文件及服务的访问权限；是否及时安装最新安全补丁程序和进行漏洞修补，在安装系统补丁前  是否对重要文件进行备份；   b) 应访谈安全管理员，询问是否定期对系统进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；   c) 应检查系统漏洞扫描报告，检查扫描时间间隔与扫描周期是否一致。    5.2.5.6.3 结果判定  如果5.2.5.6.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.5.7 恶意代码防范管理  5.2.5.7.1 测评指标  见GB/T 22239-20085.2.5.7。  5.2.5.7.2 测评实施  应访谈系统运维负责人，询问是否对员工进行基本恶意代码防范意识的教育，是否告知应及时升级软件版本，使用外来设备、网络上接收文件和外来计算机或存储设备接入网络系统之前应进行病毒检查  等。  5.2.5.7.3 结果判定  如果5.2.5.7.2 为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.5.8 备份与恢复管理  5.2.5.8.1 测评指标  见GB/T 22239-20085.2.5.8。  5.2.5.8.2 测评实施  本项要求包括：  a) 应访谈系统管理员和数据库管理员，询问是否识别出需要定期备份的业务信息、系统数据和软件系统，主要有哪些；   b) 应检查备份管理文档，查看其是否明确备份方式、备份频度、存储介质和保存期等方面内容。    5.2.5.8.3 结果判定  如果5.2.5.8.2 a）和b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  5.2.5.9 安全事件处置  5.2.5.9.1 测评指标  见GB/T 22239-20085.2.5.9。  5.2.5.9.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否告知用户在发现安全弱点和可疑事件时应及时报告；   b) 应检查安全事件报告和处置管理制度，查看其是否明确安全事件的现场处理、事件报告和后期恢复的管理职责。      5.2.5.9.3 结果判定  如果5.2.5.9.2 a）和b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6 第二级信息系统单元测评  6.1 安全技术测评  6.1.1 物理安全  6.1.1.1 物理位置的选择  6.1.1.1.1 测评指标  见GB/T 22239-20086.1.1.1。  6.1.1.1.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问现有机房和放置终端计算机设备的办公场地的环境条件是否能够满足信息系统业务需求和安全管理需求，是否具有基本的防震、防风和防雨等能力；   b) 应检查机房和办公场地是否在具有防震、防风和防雨等能力的建筑内。    6.1.1.1.3 结果判定  如果6.1.1.1.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.2 物理访问控制  6.1.1.2.1 测评指标  见GB/T 22239-20086.1.1.2。  6.1.1.2.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，了解部署了哪些控制人员进出机房的保护措施；   b) 应检查机房安全管理制度，查看是否有关于机房出入方面的规定；   c) 应检查机房出入口是否有专人值守，是否有值守记录及人员进入机房的登记记录；检查机房是否不存在专人值守之外的其他出入口；   d) 应检查是否有来访人员进入机房的审批记录，查看审批记录是否包括来访人员的访问范围。    6.1.1.2.3 结果判定  如果6.1.1.2.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.3 防盗窃和防破环  6.1.1.3.1 测评指标  见GB/T 22239-20086.1.1.3。  6.1.1.3.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，了解采取了哪些防止设备、介质等丢失的保护措施；   b) 应访谈机房维护人员，询问关键设备放置位置是否做到安全可控，设备或主要部件是否进行了固定和标记，通信线缆是否铺设在隐蔽处；是否对机房安装的防盗报警设施并定期进行维护检查；   c) 应访谈资产管理员，介质是否进行了分类标识管理，介质是否存放在介质库或档案室内进行管理；   d) 应检查关键设备是否放置在机房内或其它不易被盗窃和破坏的可控范围内；检查关键设备或设备的主要部件的固定情况，查看其是否不易被移动或被搬走，是否设置明显的不易除去的标记；   e) 应检查通信线缆铺设是否在隐蔽处；   f) 应检查机房防盗报警设施是否正常运行，并查看是否有运行和报警记录；   g) 应检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或档案室内。    6.1.1.3.3 结果判定  如果6.1.1.3.2 d）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.4 防雷击  6.1.1.4.1 测评指标  见GB/T 22239-20086.1.1.4。  6.1.1.4.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问为防止雷击事件导致重要设备被破坏采取了哪些防护措施，机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测；询问机房计算机供电系统是否有交流  电源地线；   b) 应检查机房建筑是否有避雷装置，是否有交流地线；    6.1.1.4.3 结果判定  如果6.1.1.4.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.5 防火  6.1.1.5.1 测评指标  见GB/T 22239-20086.1.1.5。  6.1.1.5.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否设置了灭火设备，是否设置了火灾自动报警系统，是否有人负责维护该系统的运行，是否制定了有关机房消防的管理制度和消防预案，是否进行了消防培训；   b) 应访谈机房维护人员，询问是否对火灾自动报警系统定期进行检查和维护；   c) 应检查机房是否设置了灭火设备，灭火设备摆放位置是否合理，其有效期是否合格；应检查机房火灾自动报警系统是否正常工作，查看是否有运行记录、报警记录、定期检查和维修记录。    6.1.1.5.3 结果判定  如果6.1.1.5.2 a)-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.6 防水和防潮  6.1.1.6.1 测评指标  见GB/T 22239-20086.1.1.6。  6.1.1.6.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否部署了防水防潮措施；如果机房内有上/下水管安装，是否避免穿过屋顶和活动地板下，穿过墙壁和楼板的水管是否采取了可靠的保护措施；在湿度较高的地区或  季节是否有人负责机房防水防潮事宜，配备除湿装置；   b) 应访谈机房维护人员，询问机房是否没有出现过漏水和返潮事件；如果机房内有上/下水管安装，是否经常检查其漏水情况；在湿度较高地区或季节是否有人负责机房防水防潮事宜，使用除湿装置除湿  ；如果出现机房水蒸气结露和地下积水的转移与渗透现象是否及时采取防范措施；   c) 应检查穿过主机房墙壁或楼板的管道是否配置套管，管道与套管之间是否采取可靠的密封措施；   d) 应检查机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、渗透和返潮现象，则查看是否能够及时修复解决；   e) 对湿度较高的地区，应检查机房是否有湿度记录，是否有除湿装置并能够正常运行，是否有防止出现机房地下积水的转移与渗透的措施，是否有防水防潮处理记录。    6.1.1.6.3 结果判定  如果6.1.1.6.2 c）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.7 防静电  6.1.1.7.1 测评指标  见GB/T 22239-20086.1.1.7。  6.1.1.7.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问关键设备是否采取用必要的防静电措施，机房是否不存在静电问题或因静电引发的安全事件；   b) 应检查关键设备是否有安全接地，查看机房是否不存在明显的静电现象。    6.1.1.7.3 结果判定  如果6.1.1.7.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.8 温湿度控制  6.1.1.8.1 测评指标  见GB/T 22239-20086.1.1.8。  6.1.1.8.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否配备了温湿度自动调节设施，保证温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求，是否有人负责此项工作，是否定期检  查和维护机房的温湿度自动调节设施，询问是否没有出现过温湿度影响系统运行的事件；   b) 应检查温湿度自动调节设施是否能够正常运行，查看是否有温湿度记录、运行记录和维护记录；查看机房温湿度是否满足计算站场地的技术条件要求。    6.1.1.8.3 结果判定  如果6.1.1.8.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.9 电力供应  6.1.1.9.1 测评指标  见GB/T 22239-20086.1.1.9。  6.1.1.9.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问计算机系统供电线路上是否设置了稳压器和过电压防护设备；是否设置了短期备用电源设备，供电时间是否满足系统关键设备最低电力供应需求；   b) 应检查机房，查看计算机系统供电线路上的稳压器、过电压防护设备和短期备用电源设备是否正常运行；      c) 应检查是否有稳压器、过电压防护设备以及短期备用电源设备等的检查和维护记录。    6.1.1.9.3 结果判定  如果6.1.1.9.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.1.10 电磁防护  6.1.1.10.1 测评指标  见GB/T 22239-20086.1.1.10。  6.1.1.10.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问电源线和通信线缆是否隔离铺设，是否没有出现过因电磁干扰等问题引发的故障；   b) 应检查机房布线，查看是否做到电源线和通信线缆隔离。    6.1.1.10.3 结果判定  如果6.1.1.10.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.2 网络安全  6.1.2.1 结构安全  6.1.2.1.1 测评指标  见GB/T 22239-20086.1.2.1。  6.1.2.1.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问关键网络设备的性能以及目前业务高峰流量情况；   b) 应访谈网络管理员，询问网段划分情况以及划分原则；询问重要的网段有哪些；   c) 应访谈网络管理员，询问网络中带宽控制情况以及带宽分配的原则；   d) 应检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致；   e) 应检查网络设计或验收文档，查看是否有关键网络设备业务处理能力、接入网络及核心网络的带宽满足业务高峰期需要的设计或说明；   f) 应检查网络设计或验收文档，查看是否有根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网和网段分配地址段的设计或描  述。    6.1.2.1.3 结果判定  本项要求包括：  a) 如果6.1.2.1.2 d）-f）缺少相应文档资料，则为否定；   b) 如果6.1.2.1.2 d）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。       6.1.2.2 访问控制  6.1.2.2.1 测评指标  见GB/T 22239-20086.1.2.2。  6.1.2.2.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络访问控制措施有哪些；询问访问控制策略的设计原则是什么；询问网络访问控制设备具备哪些访问控制功能；询问是否允许拨号访问网络；   b) 应检查边界网络设备，查看其是否根据会话状态信息对数据流进行控制，控制粒度是否为网段级；   c) 应检查边界网络设备，查看其是否限制具有拨号访问权限的用户数量；   d) 应测试边界网络设备，可通过试图访问未授权的资源，验证访问控制措施是否能对未授权的  访问行为进行控制，控制粒度是否至少为单个用户。    6.1.2.2.3 结果判定  如果6.1.2.2.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.2.3 安全审计  6.1.2.3.1 测评指标  见GB/T 22239-20086.1.2.3。  6.1.2.3.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问边界和关键网络设备是否开启审计功能，审计内容包括哪些项；询问审计记录的主要内容有哪些；   b) 应检查边界和关键网络设备，查看其审计策略是否包括网络设备运行状况、网络流量、用户行为等；   c) 应检查边界和关键网络设备，查看其事件审计记录是否包括：事件的日期和时间、用户、事件类型、事件成功情况及其他与审计相关的信息。    6.1.2.3.3 结果判定  如果6.1.2.4.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.2.4 边界完整性检查  6.1.2.4.1 测评指标  见GB/T 22239-20086.1.2.4。  6.1.2.4.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问是否对内部用户私自连接到外部网络的行为；   b) 应检查边界完整性检查设备，查看是否正确设置了对网络内部用户私自连接到外部网络的行为进行有效监控的配置；   c) 应测试边界完整性检查设备，验证其是否能够有效发现“非法外联”的行为。    6.1.2.4.3 结果判定  如果6.1.2.5.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.2.5 入侵防范  6.1.2.5.1 测评指标  见GB/T 22239-20086.1.2.5。  6.1.2.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络入侵防范措施有哪些；询问是否有专门设备对网络入侵进行防范；   b) 应检查网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等；   c) 应检查网络入侵防范设备，查看其规则库是否为最新；   d) 应测试网络入侵防范设备，验证其检测策略是否有效。    6.1.2.5.3 结果判定  如果6.1.2.6.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.2.6 网络设备防护  6.1.2.6.1 测评指标  见GB/T 22239-20086.1.2.6。  6.1.2.6.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问边界和关键网络设备的防护措施有哪些；询问边界和关键网络设备的登录和验证方式做过何种配置；询问远程管理的设备是否采取措施防止鉴别信息被窃听；   b) 应访谈网络管理员，询问网络设备的口令策略是什么；   c) 应检查边界和关键网络设备，查看是否配置了对登录用户进行身份鉴别的功能，口令设置是否有复杂度和定期修改要求；   d) 应检查边界和关键网络设备，查看是否配置了鉴别失败处理功能；   e) 应检查边界和关键网络设备，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能；   f) 应检查边界和关键网络设备，查看是否对网络设备管理员登录地址进行限制；   g) 应对边界和关键网络设备进行渗透测试，通过使用各种渗透测试技术对网络设备进行渗透测试，验证网络设备防护能力是否符合要求。    6.1.2.6.3 结果判定  如果6.1.2.6.2 c）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.3 主机安全  6.1.3.1 身份鉴别  6.1.3.1.1 测评指标  见GB/T 22239-20086.1.3.1。  6.1.3.1.2 测评实施  本项要求包括：  a) 应访谈系统管理员和数据库管理员，询问操作系统和数据库管理系统的身份标识与鉴别机制采取何种措施实现；   b) 应访谈系统管理员和数据库管理员， 询问对操作系统和数据库管理系统是否采用了远程管理，如果采用了远程管理，查看是否采用了防止鉴别信息在网络传输过程中被窃听的措施；   c) 应检查关键服务器操作系统和关键数据库管理系统帐户列表，查看管理员用户名分配是否唯一；   d) 应检查关键服务器操作系统和关键数据库管理系统，查看是否提供了身份鉴别措施，其身份鉴别信息是否具有不易被冒用的特点，如对用户登录口令的最小长度、复杂度和更换周期进行要求和限制；   e) 应检查关键服务器操作系统和关键数据库管理系统，查看是否已配置了鉴别失败处理功能，设置了非法登录次数的限制值；查看是否设置登录连接超时处理功能，如自动退出。    6.1.3.1.3 结果判定  如果6.1.3.1.2 b）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.3.2 访问控制  6.1.3.2.1 测评指标  见GB/T 22239-20086.1.3.2。    6.1.3.2.2 测评实施  本项要求包括：  a) 应检查关键服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用或删除；   b) 应检查关键数据库服务器的数据库管理员与操作系统管理员是否由不同管理员担任；   c) 应检查关键服务器操作系统和关键数据库管理系统，查看匿名/默认用户的访问权限是否已被禁用或者严格限制，是否删除了系统中多余的、过期的以及共享的帐户；   d) 应检查关键服务器操作系统和关键数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制。    6.1.3.2.3 结果判定  如果6.1.3.2.2 a）-d)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.3.3 安全审计  6.1.3.3.1 测评指标  见GB/T 22239-20086.1.3.3。  6.1.3.3.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问主机系统的安全审计策略是否包括系统内重要用户行为、系统资源的异常和重要系统命令的使用等重要的安全相关事件；   b) 应检查关键服务器操作系统和关键数据库管理系统，查看安全审计配置是否符合安全审计策略的要求；   c) 应检查关键服务器操作系统和关键数据库管理系统，查看审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、事件的结果等内容；   d) 应检查关键服务器操作系统和关键数据库管理系统，查看是否对审计记录实施了保护措施，使其避免受到未预期的删除、修改或覆盖等；    6.1.3.3.3 结果判定  如果6.1.3.3.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.3.4 入侵防范  6.1.3.4.1 测评指标  见GB/T 22239-20086.1.3.4。  6.1.3.4.2 测评实施  本项要求包括：  a) 应访谈系统管理员，询问操作系统中所安装的系统组件和应用程序是否都是必须的，询问操作系统补丁更新的方式和周期；   b) 应检查关键服务器操作系统中所安装的系统组件和应用程序是否都是必须的；   c) 应检查是否设置了专门的升级服务器实现对关键服务器操作系统补丁的升级；   d) 应检查关键服务器操作系统和关键数据库管理系统的补丁是否得到了及时安装。    6.1.3.4.3 结果判定  如果6.1.3.4.2 b)-d)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.3.5 恶意代码防范  6.1.3.5.1 测评指标  见GB/T 22239-20086.1.3.5。    6.1.3.5.2 测评实施  本项要求包括：  a) 应访谈系统安全管理员，询问主机系统是否采取恶意代码实时检测与查杀措施，恶意代码实时检测与查杀措施的部署覆盖范围如何；   b) 应检查关键服务器，查看是否安装了实时检测与查杀恶意代码的软件产品并进行及时更新；   c) 应检查防恶意代码产品是否实现了统一管理。    6.1.3.5.3 结果判定  如果6.1.3.5.2 b）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.3.6 资源控制  6.1.3.6.1 测评指标  见GB/T 22239-20086.1.3.6。  6.1.3.6.2 测评实施  本项要求包括：  a) 应检查关键服务器操作系统，查看是否设定终端接入方式、网络地址范围等条件限制终端登录；   b) 应检查关键服务器操作系统，查看是否设置了单个用户对系统资源的最大或最小使用限度；   c) 应检查能够访问关键服务器的终端是否设置了操作超时锁定的配置。    6.1.3.6.3 结果判定  如果6.1.3.6.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.4 应用安全  6.1.4.1 身份鉴别  6.1.4.1.1 测评指标  见GB/T 22239-20086.1.4.1。  6.1.4.1.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否提供专用的登录控制模块对登录的用户进行身份标识和鉴别，具体措施有哪些；系统采取何种措施防止身份鉴别信息被冒用；   b) 应访谈应用系统管理员，询问应用系统是否具有登录失败处理功能；   c) 应访谈应用系统管理员，询问应用系统对用户标识是否具有唯一性；   d) 应检查设计或验收文档，查看其是否有系统采用了保证唯一标识的措施的描述；   e) 应检查关键应用系统，查看其是否提供身份标识和鉴别功能；查看其身份鉴别信息是否具有不易被冒用的特点；其鉴别信息复杂度检查功能是否能保证系统中不存在弱口令等；   f) 应检查关键应用系统，查看其提供的登录失败处理功能，是否根据安全策略配置了相关参数；   g) 应测试关键应用系统，可通过试图以合法和非法用户分别登录系统，查看是否成功，验证其身份标识和鉴别功能是否有效；   h) 应测试关键应用系统，验证其登录失败处理功能是否有效。    6.1.4.1.3 结果判定  本项要求包括：  a) 如果6.1.4.1.2 d）中相关文档有系统采用了保证用户唯一性标识的措施的描述，则为肯定；   b) 如果6.1.4.1.2 d）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    6.1.4.2 访问控制  6.1.4.2.1 测评指标  见GB/T 22239-20086.1.4.2。  6.1.4.2.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否提供访问控制措施，以及具体措施和访问控制策略有哪些，访问控制的粒度如何；   b) 应检查关键应用系统，查看系统是否提供访问控制机制；是否依据安全策略控制用户对客体的访问；   c) 应检查关键应用系统，查看其访问控制的覆盖范围是否包括与信息安全直接相关的主体、客y及它们之间的操作；访问控制的粒度是否达到主体为用户级，客体为文件、数据库表级；   d) 应检查关键应用系统，查看其是否有由授权用户设置其它用户访问系统功能和用户数据的权限的功能，是否限制默认用户的访问权限；   e) 应检查关键应用系统，查看系统是否授予不同帐户为完成各自承担任务所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；   f) 应测试关键应用系统，可通过以不同权限的用户登录系统，查看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效；   g) 应测试关键应用系统，可通过以默认用户登录系统，并进行一些合法和非法操作，验证系统是否严格限制了默认帐户的访问权限。    6.1.4.2.3 结果判定  如果6.1.4.2.2 b）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.4.3 安全审计  6.1.4.3.1 测评指标  见GB/T 22239-20086.1.4.3。  6.1.4.3.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问应用系统是否有安全审计功能；对事件进行审计的选择要求和策略是什么；对审计日志的处理方式有哪些；   b) 应检查关键应用系统，查看其当前审计范围是否覆盖到每个用户；   c) 应检查关键应用系统，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令  的使用等；   d) 应检查关键应用系统，查看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容；   e) 应测试重要应用系统，在应用系统上试图产生一些重要的安全相关事件（如用户登录、修改用户权限等），查看应用系统是否对其进行了审计，验证应用系统安全审计的覆盖情况是否覆  盖到每个用户；如果进行了审计则查看审计记录内容是否包含事件的日期、时间、发起者信息、类型、描述和结果等；   f) 应测试重要应用系统，试图非授权删除、修改或覆盖审计记录，验证安全审计的保护情况是否无法非授权删除、修改或覆盖审计记录。    6.1.4.3.3 结果判定  如果6.1.4.3.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    6.1.4.4 通信完整性  6.1.4.4.1 测评指标  见GB/T 22239-20086.1.4.4。  6.1.4.4.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统是否具有在数据传输过程中保护其完整性的措施，具体措施是什么；  b) 应检查设计或验收文档，查看其是否有关于保护通信完整性的说明，如果有则查看文档中描述的保护措施是否与依据验证码判断对方数据包的有效性的措施相一致；   c) 应测试关键应用系统，可通过获取通信双方的数据包，查看其是否有验证码。    6.1.4.4.3 结果判定  如果6.1.4.4.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.4.5 通信保密性  6.1.4.5.1 测评指标  见GB/T 22239-20086.1.4.5。  6.1.4.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统数据在通信过程中是否采取保密措施，具体措施有哪些，  关键应用系统的通信是否都采取了上述措施；   b) 应测试关键应用系统，通过查看通信双方数据包的内容，查看系统是否能在通信双方建立连接之前，利用密码技术进行会话初始化验证；系统在通信过程中，对敏感信息字段进行加密的功能是否有效。    6.1.4.5.3 结果判定  如果6.1.4.5.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.4.6 软件容错  6.1.4.6.1 测评指标  见GB/T 22239-20086.1.4.6。  6.1.4.6.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否具有保证软件容错能力的措施，具体措施有哪些；   b) 应检查关键应用系统，查看应用系统是否对人机接口输入或通信接口输入的数据进行有效性检验；   c) 应测试关键应用系统，可通过对人机接口输入的不同长度或格式的数据，查看系统的反应，验证系统人机接口有效性检验功能是否正确；   d) 应测试关键应用系统，验证其在故障发生时是否继续提供一部分功能，确保能够实施必要的措施。    6.1.4.6.3 结果判定  如果6.1.4.6.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.4.7 资源控制  6.1.4.7.1 测评指标  见GB/T 22239-20086.1.4.7。    6.1.4.7.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否有资源控制的措施，具体措施有哪些；   b) 应检查关键应用系统，查看系统是否有最大并发会话连接数的限制；   c) 应检查关键应用系统，查看系统是否对单个帐户的多重并发会话进行限制；   d) 应测试重要应用系统，当应用系统的通信双方中的一方在一段时间内未作任何响应，查看另一方是否能够自动结束会话。    6.1.4.7.3 结果判定  如果6.1.4.7.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.5 数据安全及备份恢复  6.1.5.1 数据完整性  6.1.5.1.1 测评指标  见GB/T 22239-20086.1.5.1。  6.1.5.1.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统的鉴别信息和重要业务数据在传输过程中是否有完整性保证措施，具体措施有哪些；   b) 应检查关键主机操作系统、关键网络设备操作系统、关键数据库管理系统和关键应用系统，查看其是否配备检测鉴别信息和重要业务数据在传输过程中完整性受到破坏的功能。    6.1.5.1.3 结果判定  如果6.1.5.1.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.5.2 数据保密性  6.1.5.2.1 测评指标  见GB/T 22239-20086.1.5.2。  6.1.5.2.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问关键网络设备的鉴别信息否采用加密或其他有效措施实现存储保密性；   b) 应访谈系统管理员，询问关键主机操作系统的鉴别信息否采用加密或其他有效措施实现存储保密性；   c) 应访谈数据库管理员，询问关键数据库管理系统的鉴别信息否采用加密或其他有效措施实现存储保密性；   d) 应访谈安全管理员，询问关键应用系统的鉴别信息否采用加密或其他有效措施实现存储保密性；   e) 应检查关键主机操作系统、关键网络设备操作系统、关键数据库管理系统和关键应用系统，查看其鉴别信息否采用加密或其他有效措施实现存储保密性。    6.1.5.2.3 结果判定  如果6.1.5.2.2 e）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.1.5.3 备份和恢复  6.1.5.3.1 测评指标  见GB/T 22239-20086.1.5.3。    6.1.5.3.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问是否对网络设备中的配置文件进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；是否提供关键网络设备、通信线路的硬件冗余；   b) 应访谈系统管理员，询问是否对操作系统中的重要信息进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；是否提供关键服务器的硬件冗余；   c) 应访谈数据库管理员，询问是否对数据库管理系统中的关键数据进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；   d) 应访谈安全管理员，询问是否对应用系统中的应用程序进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；   e) 应检查关键主机操作系统、关键网络设备、关键数据库管理系统和关键应用系统，查看其是否提供备份和恢复功能，其配置是否正确，并且查看其备份结果是否与备份策略一致；   f) 应检查关键网络设备、通信线路和服务器是否提供硬件冗余。    6.1.5.3.3 结果判定  如果6.1.5.3.2 e）和f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2 安全管理测评  6.2.1 安全管理制度  6.2.1.1 管理制度  6.2.1.1.1 测评指标  见GB/T 22239-20086.2.1.1。  6.2.1.1.2 测评实施  本项要求包括：  a) 应检查信息安全工作的总体方针和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、原则和安全框架等；   b) 应检查各项安全管理制度，查看是否覆盖物理、网络、主机系统、数据、应用、建设和管理等层面的重要管理内容；   c) 应检查是否具有重要管理操作的操作规程（如系统维护手册和用户操作规程等）。    6.2.1.1.3 结果判定  如果6.2.1.1.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.1.2 制定和发布  6.2.1.2.1 测评指标  见GB/T 22239-20086.2.1.2。  6.2.1.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责制定安全管理制度；   b) 应访谈安全管理制度制、修订人员，询问安全管理制度的制定程序和发布方式，是否对制定的安全管理制度进行论证和审定，论证和评审方式如何；   c) 应检查管理制度评审记录，查看是否有相关人员的评审意见。    6.2.1.2.3 结果判定  如果6.2.1.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    6.2.1.3 评审和修订  6.2.1.3.1 测评指标  见GB/T 22239-20086.2.1.3。  6.2.1.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否定期对安全管理制度进行评审，评审周期多长，发现存在不足或需要改进的是否进行修订；   b) 应检查安全管理制度评审记录，查看记录的日期间隔与评审周期是否一致；如果对制度做过修订，检查是否有修订版本的安全管理制度。    6.2.1.3.3 结果判定  如果6.2.1.3.2 a）和 b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.2 安全管理机构  6.2.2.1 岗位设置  6.2.2.1.1 测评指标  见GB/T 22239-20086.2.2.1。  6.2.2.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问设置了哪些工作岗位，各个岗位的职责分工是否明确；询问是否设立安全管理各个方面的负责人；   b) 应访谈安全主管、安全管理某方面的负责人，询问其岗位职责包括哪些内容；   c) 应检查岗位职责文档，查看文档是否明确设置安全主管、安全管理各个方面的负责人、机房管理员、系统管理员、网络管理员和安全管理员等各个岗位，各个岗位的职责范围是否清晰、明确。    6.2.2.1.3 结果判定  如果6.2.2.1.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.2.2 人员配备  6.2.2.2.1 测评指标  见GB/T 22239-20086.2.2.2。  6.2.2.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问各个安全管理岗位人员的配备情况，包括数量、专职还是兼职等；   b) 应检查安全管理各岗位人员信息表，查看其是否明确机房管理员、系统管理员、数据库管理员、网络管理员、安全管理员等重要岗位人员的信息，确认安全管理员是否没有兼任网络管理员、系统管理员  、数据库管理员等岗位。    6.2.2.2.3 结果判定  如果6.2.2.2.2a)和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.2.3 授权和审批  6.2.2.3.1 测评指标  见GB/T 22239-20086.2.2.3。  6.2.2.3.2 测评实施  本项要求包括：    a) 应访谈安全主管，询问其是否对信息系统中的关键活动进行审批，审批部门是何部门，批准人是何人，他们的审批活动是否得到授权；   b) 应访谈安全主管，询问其对关键活动的审批范围包括哪些，审批程序如何；   c) 应检查审批管理制度文档，查看文档中是否明确对系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批的审批部门和批准人，是否明确审批程序；   d) 应检查经审批的文档，查看审批程序与文件要求是否一致，是否有批准人的签字和审批部门的盖章。    6.2.2.3.3 结果判定  如果6.2.2.3.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.2.4 沟通和合作  6.2.2.4.1 测评指标  见GB/T 22239-20086.2.2.4。  6.2.2.4.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否经常与公安机关、电信公司和兄弟单位联系，联系和合作方式有哪些，与组织机构内其他部门之间通过哪些方式进行交流和沟通，信息安全职能部门内部各类管理人员之间通  过哪些方式进行交流和沟通；   b) 应检查部门间和部门内部沟通和合作的相关文档，查看是否包括工作内容、参加人员等的描述；   c) 应检查是否有组织机构内部人员联系表；   d) 应检查外联单位说明文档，查看外联单位是否包含公安机关、电信公司及兄弟单位等。    6.2.2.4.3 结果判定  如果6.2.2.4.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.2.5 审核和检查  6.2.2.5.1 测评指标  见GB/T 22239-20086.2.2.5。  6.2.2.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问是否定期检查系统日常运行、系统漏洞和数据备份等情况，检查周期多长；   b) 应检查安全管理员定期实施安全检查的文档或记录，查看记录的时间间隔与检查周期是否一致，检查内容是否包括系统日常运行、系统漏洞和数据备份等情况。    6.2.2.5.3 结果判定  如果6.2.2.5.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.3 人员安全管理  6.2.3.1 人员录用  6.2.3.1.1 测评指标  见GB/T 22239-20086.2.3.1。  6.2.3.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责人员的录用工作，由何部门/何人负责；   b) 应访谈人事管理相关人员，询问在人员录用时对人员条件有哪些要求，是否对被录用人的身份、背景和专业资格进行审查，对技术人员的技术技能进行考核，录用后是否与从事关键岗位的人员签署保密  协议；   c) 应检查人员录用要求管理文档，查看是否说明录用人员应具备的条件（如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等）；   d) 应检查是否具有人员录用时对录用人身份、背景和专业资格等进行审查的相关文档或记录，查看是否记录审查内容和审查结果等；   e) 应检查人, 员录用时的技能考核文档或记录，查看是否记录考核内容和考核结果等；   f) 应检查保密协议，查看是否有保密范围、保密责任、违约责任、协议的有效期限和责任人签字等内容。    6.2.3.1.3 结果判定  如果6.2.3.1.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.3.2 人员离岗  6.2.3.2.1 测评指标  见GB/T 22239-20086.2.3.2。  6.2.3.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问对即将离岗人员有哪些控制方法，是否及时终止离岗人员的所有访问权限，是否取回各种身份证件、钥匙、徽章以及机构提供的软硬件设备等；   b) 应访谈人事管理相关人员，询问调离手续包括哪些；   c) 应检查是否具有对离岗人员的安全处理记录（如交还身份证件、设备等的登记记录）；   d) 应检查是否具有按照离职程序办理调离手续的记录。    6.2.3.2.3 结果判定  如果6.2.3.2.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.3.3 人员考核  6.2.3.3.1 测评指标  见GB/T 22239-20086.2.3.3。  6.2.3.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有人负责定期对各个岗位人员进行安全技能及安全知识的考核，考核周期多长；   b) 应检查考核文档，查看考核人员是否包括各个岗位的人员，考核日期与考核周期是否一致。    6.2.3.3.3 结果判定  如果6.2.3.3.2 a)和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.3.4 安全意识教育和培训  6.2.3.4.1 测评指标  见GB/T 22239-20086.2.3.4。  6.2.3.4.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否制定培训计划并按计划对各个岗位人员进行安全教育和培训，具体的培训方式有哪些；是否对违反安全策略和规定的人员进行惩戒，如何惩戒；   b) 应访谈安全管理员、系统管理员和网络管理员，考查其对工作相关的信息安全基础知识、安全责任和惩戒措施等的理解程度；   c) 应检查安全教育和培训计划文档，查看计划是否明确了培训方式、培训对象、培训内容、培训时间和地点等，培训内容是否包含信息安全基础知识、岗位操作规程等；   d) 应检查是否具有安全教育和培训记录，查看记录是否有培训人员、培训内容、培训结果等的描述；    6.2.3.4.3 结果判定  如果6.2.3.4.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.3.5 外部人员访问管理  6.2.3.5.1 测评指标  见GB/T 22239-20086.2.3.5。  6.2.3.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问对外部人员访问重要区域（如访问机房、重要服务器或设备区等）采取了哪些安全措施，是否经有关部门或负责人批准才能访问，是否由专人全程陪同或监督，  是否进行记录并备案管理；   b) 应检查外部人员访问管理文档，查看是否有对外部人员访问机房等重要区域应经过相关部门或负责人批准的内容；   c) 应检查外部人员访问重要区域傅羌羌锹迹榭词欠窦锹剂送獠咳嗽狈梦手匾虻慕胧奔洹⒗肟奔洹⒎梦是蚣芭阃说刃畔ⅰ?/span>   6.2.3.5.3 结果判定  如果6.2.3.5.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.4 系统建设管理  6.2.4.1 系统定级  6.2.4.1.1 测评指标  见GB/T 22239-20086.2.4.1。  6.2.4.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问确定信息系统安全保护等级的方法是否参照定级指南的指导，定级过程是否有书面描述，定级结果是否获得了相关部门的批准；   b) 应检查系统定级文档，查看文档是否明确信息系统的边界和信息系统的安全保护等级，是否说明定级的方法和理由，查看定级结果是否有相关部门的批准盖章。    6.2.4.1.3 结果判定  本项要求包括：  a)6.2.4.1.2 a）没有上级主管部门的，如果有本单位信息安全主管领导的批准，则该项为肯定；   b) 如果6.2.4.1.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    6.2.4.2 安全方案设计  6.2.4.2.1 测评指标  见GB/T 22239-20086.2.4.2。  6.2.4.2.2 测评实施  本项要求包括：    a) 应访谈系统建设负责人，询问是否根据系统的安全级别选择基本安全措施，是否依据风险分析的结果补充和调整安全措施，具体做过哪些调整；   b) 应访谈系统建设负责人，询问安全设计方案是否经过论证和审定，是否经过审批；   c) 应检查系统的安全方案，查看方案是否描述系统的安全保护要求，是否详细描述了系统的安全策略，是否详细描述了系统采取的安全措施等内容；   d) 应检查系统的详细设计方案，查看详细设计方案是否对应安全方案进行细化，是否有安全建设方案和安全产品采购方案，查看方案是否有经过安全主管领导或管理部门的批准盖章；   e) 应检查专家论证文档，查看是否有相关部门和有关安全技术专家对安全设计方案的评审意见。    6.2.4.2.3 结果判?/span> 如果6.2.4.2.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.4.3 产品采购和使用  6.2.4.3.1 测评指标  见GB/T 22239-20086.2.4.3。  6.2.4.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门负责产品的采购，由何部门负责；   b) 应访谈系统建设负责人，询问信息安全产品的采购情况，是否有产品采购清单指导产品采购，采购过程如何控制；   c) 应访谈系统建设负责人，询问系统是否采用了密码产品，密码产品的采购和使用是否符合国家密码主管部门的要求；   d) 应检查系统使用的有关信息安全产品是否符合国家的有关规定；   e) 应检查密码产品的使用情况是否符合密码产品使用、管理的相关规定。    6.2.4.3.3 结果判定  如果6.2.4.3.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.4.4 自行软件开发  6.2.4.4.1 测评指标  见GB/T 22239-20086.2.4.4。  6.2.4.4.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否进行自主开发软件，自主开发软件是否在独立的模拟环境中编写、调试和完成；   b) 应访谈系统建设负责人，询问软件设计相关文档和使用指南是否由专人负责保管，负责人是何人；   c) 应检查软件开发管理制度，查看文件是否明确软件设计、开发、测试、验收过程的控制方法和人员行为准则，是否明确哪些开发活动应经过授权、审批，是否明确软件开发相关文档的管理等；   d) 应检查是否具有软件设计的相关文档（应用软件设计程序文件、源代码文档等）、软件使用指南或操作手册和维护手册等。    6.2.4.4.3 结果判定  如果6.2.4.4.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    6.2.4.5 外包软件开发  6.2.4.5.1 测评指标  见GB/T 22239-20086.2.4.5。  6.2.4.5.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问软件交付前是否依据开发要求的技术指标对软件功能和性能等进行验收测试，软件安装之前是否检测软件中的恶意代码，是否要求开发单位提供源代码，是否根据源代码对  软件中可能存在的后门进行审查；   b) 应检查是否具有需求分析说明书、软件设计说明书、软件操作手册、软件源代码文档等软件开发文档和使用指南；   c) 应检查软件源代码审查记录，查看是否包括对可能存在后门的审查结果。    6.2.4.5.3 结果判定  如果6.2.4.5.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.4.6 工程实施  6.2.4.6.1 测评指标  见GB/T 22239-20086.2.4.6。  6.2.4.6.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否有专门部门或人员负责工程实施管理工作，由何部门/何人负责，是否按照工程实施方案的要求对工程实施过程进行进度和质量控制；   b) 应检查工程实施方案，查看其是否包括工程时间限制、进度控制和质量控制等方面内容。    6.2.4.6.3 结果判定  如果6.2.4.6.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.4.7 测试验收  6.2.4.7.1 测评指标  见GB/T 22239-20086.2.4.7。  6.2.4.7.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问在信息系统建设完成后是否对其进行安全性测试验收，是否根据设计方案或合同要求组织相关部门和人员对系统测试验收报告进行审定；   b) 应检查工程测试验收方案，查看其是否明确说明参与测试的部门、人员、测试验收的内容、现场操作过程等内容；   c) 应检查测试验收记录是否详细记录了测试时间、人员、现场操作过程和测试验收结果等方面内容；   d) 应检查是否具有系统测试验收报告，是否有对测试验收报告的审定文档，查看文档是否有相关人员的审定意见。    6.2.4.7.3 结果判定  如果6.2.4.7.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.4.8 系统交付  6.2.4.8.1 测评指标  见GB/T 22239-20086.2.4.8。    6.2.4.8.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问系统交接工作是否根据交付清单对所交接的设备、文档、软件等进行清点；   b) 应访谈系统建设负责人，询问目前的信息系统是否由内部人员独立运行维护，如果是，系统正式运行前是否对运行维护人员进行过培训，针对哪些方面进行过培训；   c) 应检查是否具有系统交付清单说明系统交付的各类设备、软件、文档等；   d) 应检查是否具有系统建设文档、指导用户进行系统运维的文档、系统培训手册等；   e) 应检查培训记录，查看是否包括培训内容、培训时间和参与人员等。    6.2.4.8.3 结果判定  如果6.2.4.8.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.4.9 安全服务商选择  6.2.4.9.1 测评指标  见GB/T 22239-20086.2.4.9。  6.2.4.9.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问信息系统选择的安全服务商有哪些，是否符合国家有关规定；   b) 应检查是否具有与安全服务商签订的安全责任合同书或保密协议等文档，查看其内容是否包含保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等；   c) 应检查是否具有与安全服务商签订的服务合同，查看是否包括服务内容、服务期限、双方签字或盖章等。    6.2.4.9.3 结果判定  如果6.2.4.9.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5 系统运维管理  6.2.5.1 环境管理  6.2.5.1.1 测评指标  见GB/T 22239-20086.2.5.1。  6.2.5.1.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否有专门的部门或人员对机房基础设施进行定期维护，由何部门或何人负责，维护周期多长，是否有机房管理员负责机房出入等环境安全管理工作；   b) 应访谈安全主管，询问为保证办公环境的保密性采取了哪些控制措施，在哪个区域接待来访人员，工作人员调离时是否收回办公室钥匙等；   c) 应检查机房安全管理制度，查看其内容是否覆盖机房物理访问、物品带进和带出机房和机房环境安全等方面；   d) 应检查是否具有机房基础设施维护记录。    6.2.5.1.3 结果判定  如果6.2.5.1.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.2 资产管理  6.2.5.2.1 测评指标  见GB/T 22239-20086.2.5.2。    6.2.5.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有资产管理的责任人员或部门，由何部门/何人负责；   b) 应检查资产清单，查看其内容是否覆盖资产责任部门、责任人、所处位置和重要程度等方面；   c) 应检查资产安全管理制度，查看是否明确信息资产管理的责任部门、责任人，查看其内容是否覆盖资产使用、借用、维护等方面；    6.2.5.2.3 结果判定  如果6.2.5.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.3 介质管理  6.2.5.3.1 测评指标  见GB/T 22239-20086.2.5.3。  6.2.5.3.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问介质的存放环境是否采取保护措施防止介质被盗、被毁、介质内存储信息被未授权修改以及非法泄漏等，是否有专人管理；   b) 应访谈资产管理员，询问是否根据介质的目录清单对介质的使用现状进行定期检查，是否对介质进行分类和标识管理；   c) 应访谈资产管理员，询问对送出维修或销毁的介质在送出之前是否对介质内存储数据进行净化处理；   d) 应检查介质管理记录，查看其是否记录介质的归档、查询和借用等情况；   e) 应检查介质，查看是否对其进行了分类，并具有不同标识。    6.2.5.3.3 结果判定  本项要求包括：  a) 如果6.2.5.3.2 a）中在防火、防水、防盗等方面均有措施并有介质管理员，则该项为肯定；   b) 如果6.2.5.3.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    6.2.5.4 设备管理  6.2.5.4.1 测评指标  见GB/T 22239-20086.2.5.4。  6.2.5.4.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问是否有专门的部门或人员对各种设备、线路进行定期维护，对各类测试工具进行有效性检查，由何部门/何人负责，维护周期多长；   b) 应访谈资产管理员，询问是否对设备选用的各个环节（选型、采购、发放和领用及信息处理设备带离机构等）进行审批控制；   c) 应访谈安全审计员，询问对关键设备（包括备份和冗余设备）的操作是否建立日志，日志文件如何管理，是否定期检查管理情况；   d) 应检查设备安全管理制度，查看其内容是否明确对各种软硬件设备的选型、采购、发放和领用以及带离机构等环节进行申报和审批；   e) 应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面；   f) 应检查关键设备（包括备份和冗余设备）的操作规程，查看其内容是否覆盖服务器如何启动、停止、加电、断电等操作。     6.2.5.4.3 结果判定  如果6.2.5.4.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.5 网络安全管理  6.2.5.5.1 测评指标  见GB/T 22239-20086.2.5.5。  6.2.5.5.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否指定人员负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作，网络的外联种类有哪些，是否都得到授权与批准，由何部门或何人批准；   b) 应访谈网络管理员，询问是否根据厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件进行备份，采取什么方式备份；   c) 应访谈安全管理员，询问是否定期对网络设备进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；   d) 应检查网络漏洞扫描报告，查看其内容是否包含网络存在的漏洞、严重级别和结果处理等方面，检查扫描时间间隔与扫描周期是否一致；   e) 应检查网络安全管理制度，查看其是否覆盖网络安全配置、安全策略、升级与打补丁、授权访问、日志保存时间、口令更新周期等方面内容；   f) 应检查是否具有内部网络外联的授权批准书；   g) 应检查是否具有网络设备配置文件的备份文件；   h) 应检查是否具有网络审计日志，检查日志是否在规定的保存时间范围内。    6.2.5.5.3 结果判定  如果6.2.5.5.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.6 系统安全管理  6.2.5.6.1 测评指标  见GB/T 22239-20086.2.5.6。  6.2.5.6.2 测评实施  本项要求包括：  a) 应访谈系统管理员，询问是否根据业务需求和系统安全分析制定系统的访问控制策略，控制分配信息系统、文件及服务的访问权限；   b) 应访谈系统管理员，询问是否定期对系统安装安全补丁程序，在安装系统补丁前是否对重要文件进行备份，采取什么方式进行，是否先在测试环境中测试通过再安装；   c) 应访谈安全管理员，询问是否定期对系统进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；   d) 应检查系统安全管理制度，查看其内容是否覆盖系统安全策略、安全配置、日志管理和日常操作流程等方面；   e) 应检查是否有详细操作日志（包括重要的日常操作、运行维护记录、参数的设置和修改等内容）；   f) 应检查是否有定期对运行日志和审计结果进行分析的记录；   g) 应检查系统漏洞扫描报告，查看其内容是否包含系统存在的漏洞、严重级别和结果处理等方面，检查扫描时间间隔与扫描周期是否一致。    6.2.5.6.3 结果判定  如果6.2.5.6.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.7 恶意代码防范管理  6.2.5.7.1 测评指标  见GB/T 22239-20086.2.5.7。  6.2.5.7.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否对员工进行基本恶意代码防范意识的教育，是否告知应及时升级软件版本，使用外来设备、网络上接收文件和外来计算机或存储设备接入网络系统之前进  行病毒检查等；   b) 应访谈系统运维负责人，询问是否指定专人对恶意代码进行检测，发现病毒后是否及时处理；   c) 应检查恶意代码防范管理文档，查看其内容是否覆盖防恶意代码软件的授权使用、恶意代码库升级、定期汇报等方面；   d) 应检查是否具有恶意代码检测记录。    6.2.5.7.3 结果判定  如果6.2.5.7.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.8 密码管理  6.2.5.8.1 测评指标  见GB/T 22239-20086.2.5.8。  6.2.5.8.2 测评实施  应访谈安全管理员，询问密码技术和产品的使用是否遵照国家密码管理规定。  6.2.5.8.3 结果判定  如果6.2.5.8.2 为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.9 变更管理  6.2.5.9.1 测评指标  见GB/T 22239-20086.2.5.9。  6.2.5.9.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否制定变更方案指导系统执行变更；   b) 应访谈系统运维负责人，询问重要系统变更前是否得到有关领导的批准，由何人批准，对发生的变更情况是否通知了所有相关人员，以何种方式通知；   c) 应检查系统变更方案，查看其是否覆盖变更类型、变更原因、变更过程、变更前评估等方面内容；   d) 应检查重要系统的变更申请书，查看其是否有主管<导的批准签字。    6.2.5.9.3 结果判定  如果6.2.5.9.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.10 备份与恢复管理  6.2.5.10.1 测评指标  见GB/T 22239-20086.2.5.10。  6.2.5.10.2 测评实施  本项要求包括：  a) 应访谈系统管理员、数据库管理员和网络管理员，询问是否识别出需要定期备份的业务信息、系统数据及软件系统，主要有哪些；   b) 应检查备份管理文档，查看其是否明确备份方式、备份频度、存储介质和保存期等方面内容；   c) 应检查数据备份和恢复策略文档，查看其内容是否覆盖备份数据的存放场所、文件命名规则、介质替换频率、数据离站传输方法等方面。    6.2.5.10.3 结果判定  如果6.2.5.10.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.11 安全事件处置  6.2.5.11.1 测评指标  见GB/T 22239-20086.2.5.11。  6.2.5.11.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否告知用户在发现安全弱点和可疑事件时应及时报告；   b) 应访谈系统运维负责人，询问是否根据本系统已发生的和需要防止发生的安全事件对系统的影响程度划分不同等级，划分为几级，划分方法是否参照了国家相关管理部门的技术资料，主要参照哪些；   c) 应检查安全事件报告和处置管理制度，查看其是否明确本系统已发生的和需要防止发生的安全事件类型，是否明确安全事件的现场处理、事件报告和后期恢复的管理职责；   d) 应检查安全事件定级文档，查看其是否明确安全事件的定义、安全事件等级划分的原则、等级描述等方面内容；   e) 应检查安全事件记录分析文档，查看其是否记录引发安全事件的原因，是否记录事件处理过程，是否采取措施避免其再次发生。    6.2.5.11.3 结果判定  如果6.2.5.11.2 a）-e）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  6.2.5.12 应<预案管理  6.2.5.12.1 测评指标  见GB/T 22239-20086.2.5.12。  6.2.5.12.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否制定不同事件的应急预案，是否对系统相关人员进行应急预案培训，多长时间举办一次；   b) 应检查应急预案框架，查看其内容是否覆盖启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等方面；   c) 应检查是否具有根据应急预案框架制定的不同事件的应急预案；   d) 应检查是否具有应急预案培训记录。    6.2.5.12.3 结果判定  如果6.2.5.12.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7 第三级信息系统单元测评  7.1 安全技术测评  7.1.1 物理安全  7.1.1.1 物理位置的选择  7.1.1.1.1 测评指标    见GB/T 22239-20087.1.1.1。  7.1.1.1.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问现有机房和放置终端计算机设备的办公场地的环境条件是否能够满足信息系统业务需求和安全管理需求，是否具有基本的防震、防风和防雨等能力；询问机房场地是否符合  选址要求；   b) 应访谈机房维护人员，询问是否存在因机房和办公场地环境条件引发的安全事件或安全隐患；如果某些环境条件不能满足，是否及时采取了补救措施；   c) 应检查机房和办公场地是否在具有防震、防风和防雨等能力的建筑内；   d) 应检查机房场地是否不在建筑物的高层或地下室，以及用水设备的下层或隔壁。    7.1.1.1.3 结果判定  如果7.1.1.1.2 c）和d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.1.2 物理访问控制  7.1.1.2.1 测评指标  见GB/T 22239-20087.1.1.2。  7.1.1.2.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，了解部署了哪些控制人员进出机房的保护措施；   b) 应访谈物理安全负责人，如果业务或安全管理需要，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求；   c) 应访谈机房值守人员，询问是否认真执行有关机房出入的管理规定，是否对进入机房的人员记录在案；   d) 应检查机房安全管理制度，查看是否有关于机房出入方面的规定；   e) 应检查机房出入口是否有专人值守，是否有值守记录以及进出机房的人员登记记录；检查机房是否不存在值守人员控制之外的其他出入口；   f) 应检查是否有来访人员进入机房的审批记录，查看审批记录是否包括来访人员的访问范围；   g) 应检查机房区域划分是否合理，是否在机房重要区域前设置交付或安装等过渡区域；是否在不同机房间和同一机房不同区域间设置了有效的物理隔离装置；   h) 应检查重要区域配置的电子门禁系统是否有验收文档或产品安全认证资质；   i) 应检查电子门禁系统是否正常工作（不考虑断电后的工作情况）；查看是否有电子门禁系统运行和维护记录；查看监控进入机房重要区域的电子门禁系统记录，是否能够鉴别和记录进入人员的身份。    7.1.1.2.3 结果判定  本项要求包括：  a) 如果有机房安全管理制度，指定了专人在机房出入口值守，对进入的人员登记在案并进行身份鉴别，对来访人员须经批准、限制和监控其活动范围，重要区域配置了电子门禁系统进行管理，  则7.1.1.2.2 d）为肯定；   b) 如果7.1.1.2.2 d）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.1.1.3 防盗窃和防破坏  7.1.1.3.1 测评指标  见GB/T 22239-20087.1.1.3。    7.1.1.3.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，采取了哪些防止设备、介质等丢失的保护措施；   b) 应访谈机房维护人员，询问主要设备放置位置是否做到安全可控，设备或主要部件是否进行了固定和标记，通信线缆是否铺设在隐蔽处；是否对机房安装的防盗报警系统和监控报警系统定期进行维护检  查；   c) 应访谈资产管理员，介质是否进行了分类标识管理，介质是否存放在介质库或档案室内进行管理；   d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围内；检查主要设备或设备的主要部件的固定情况，查看其是否不易被移动或被搬走，是否设置明显的不易除去的标记；   e) 应检查通信线缆铺设是否在隐蔽处；   f) 应检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或档案室中，并且进行分类存放（满足磁介质、纸介质等的存放要求）；   g) 应检查机房防盗报警设施是否正常运行，并查看是否有运行和报警记录；应检查机房的摄像、传感等监控报警系统是否正常运行，并查看是否有运行记录、监控记录和报警记录；   h) 应检查是否有机房防盗报警设施和监控报警设施的安全资质材料、安装测试和验收报告。    7.1.1.3.3 结果判定  如果7.1.1.3.2 d）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.1.4 防雷击  7.1.1.4.1 测评指标  见GB/T 22239-20087.1.1.4。  7.1.1.4.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问为防止雷击事件采取了哪些防护措施，机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测；询问机房计算机系统接地是否设置了专用地线；是否在电  源和信号线上安装避雷装置；   b) 应检查机房建筑是否有避雷装置，是否有交流地线；   c) 应检查机房是否安装防雷保安器等装置。    7.1.1.4.3 结果判定  如果7.1.1.4.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.1.5 防火  7.1.1.5.1 测评指标  见GB/T 22239-20087.1.1.5。  7.1.1.5.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否设置了灭火设备，是否设置了自动检测火情、自动报警、自动灭火的自动消防系统，是否有专人负责维护该系统的运行，是否制定了有关机房消防的管理制度和消  防预案，是否进行了消防培训；   b) 应访谈物理安全负责人，询问机房及相关的工作房间和辅助房是否采用具有耐火等级的建筑材料；   c) 应访谈机房维护人员，询问是否对火灾自动消防系统定期进行检查和维护；   d) 应检查机房是否设置了自动检测火情、自动报警、自动灭火的自动消防系统，自动消防系统  摆放位置是否合理，其有效期是否合格；应检查自动消防系统是否正常工作，查看是否有运行记录、报警记录、定期检查和维修记录；   e) 应检查机房及相关的工作房间和辅助房是否采用具有耐火等级的建筑材料；   f) 应检查机房是否采取区域隔离防火措施，将重要设备与其他设备隔离开。    7.1.1.5.3 结果判定  如果7.1.1.5.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.1.6 防水和防潮  7.1.1.6.1 测评指标  见GB/T 22239-20087.1.1.6。  7.1.1.6.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否部署了防水防潮措施；如果机房内有上下水管安装，是否避免穿过屋顶和活动地板下，穿过墙壁和楼板的水管是否采取了的保护措施；在湿度较高地区或季节是否  有人负责机房防水防潮事宜，配备除湿装置；   b) 应访谈机房维护人员，询问机房是否没有出现过漏水和返潮事件；如果机房内有上下水管安装，是否经常检查其漏水情况；如果出现机房水蒸气结露和地下积水的转移与渗透现象是否及时采取防范措施  ；   c) 应检查穿过主机房墙壁或楼板的管道是否采取必要的防渗防漏等防水保护措施；   d) 应检查机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、渗透和返潮现象，则查看是否能够及时修复解决；   e) 对湿度较高的地区，应检查机房是否有湿度记录，是否有除湿装置并能够正常运行，是否有防止出现机房地下积水的转移与渗透的措施，是否有防水防潮处理记录和除湿装置运行记录；   f) 应检查是否设置对水敏感的检测仪表或元件，对机房进行防水检测和报警，查看该仪表或元件是否正常运行，是否有运行记录，是否有人负责其运行管理工作。    7.1.1.6.3 结果判定  如果7.1.1.6.2 c）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.1.7 防静电  7.1.1.7.1 测评指标  见GB/T 22239-20087.1.1.7。  7.1.1.7.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房主要设备是否采取必要的防静电措施，是否不存在静电问题或因静电引发的安全事件；在静电较强地区的机房是否采取了有效的防静电措施，存在静电时是否及时采取  消除静电的措施；   b) 应检查主要设备是否有安全接地，查看机房是否不存在明显的静电现象；   c) 应检查机房是否采用了防静电地板；   d) 应检查机房是否采用了防静电工作台、静电消除剂或静电消除器等防静电措施。    7.1.1.7.3 结果判定  如果7.1.1.7.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.1.1.8 温湿度控制  7.1.1.8.1 测评指标  见GB/T 22239-20087.1.1.8。  7.1.1.8.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否配备了温湿度自动调节设施，保证温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求，是否有人负责此项工作，是否定期检  查和维护机房的温湿度自动调节设施，询问是否没有出现过温湿度影响系统运行的事件；   b) 应检查温湿度自动调节设施是否能够正常运行，查看是否有温湿度记录、运行记录和维护记录；查看机房温湿度是否满足计算站场地的技术条件要求。    7.1.1.8.3 结果判定  如果7.1.1.8.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.1.9 电力供应  7.1.1.9.1 测评指标  见GB/T 22239-20087.1.1.9。  7.1.1.9.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问计算机系统供电线路上是否设置了稳压器和过电压防护设备；是否设置了短期备用电源设备，供电时间是否满足系统最低电力供应需求；是否安装了冗余或并行的电力电缆  线路；是否建立备用供电系统；   b) 应检查机房，查看计算机系统供电线路上的稳压器、过电压防护设备和短期备用电源设备是否正常运行，查看供电电压是否正常；   c) 应检查是否有稳压器、过电压防护设备、短期备用电源设备以及备用供电系统等电源设备的检查和维护记录，冗余或并行的电力电缆线路切换记录，备用供电系统运行记录；以及上述计算机系统供电的  运行记录，是否能够符合系统正常运行的要求；   d) 应测试安装的冗余或并行的电力电缆线路，是否能够进行双路供电切换；   e) 应测试备用供电系统是否能够在规定时间内正常启动和正常供电。    7.1.1.9.3 结果判定  如果7.1.1.9.2 b）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.1.10 电磁防护  7.1.1.10.1 测评指标  见GB/T 22239-20087.1.1.10。  7.1.1.10.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问是否有防止外界电磁干扰和设备寄生耦合干扰的措施（包括设备外壳有良好的接地，电源线和通信线缆隔离等）；是否对处理秘密级信息的设备和磁介质采取了防止电磁泄  漏的措施；   b) 应检查机房设备外壳是否有安全接地；   c) 应检查机房布线，查看是否做到电源线和通信线缆隔离；   d) 应检查关键设备和磁介质是否存放在具有电磁屏蔽功能的容器中。    7.1.1.10.3 结果判定    如果7.1.1.10.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.2 网络安全  7.1.2.1 结构安全  7.1.2.1.1 测评指标  见GB/T 22239-20087.1.2.1。  7.1.2.1.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问主要网络设备的性能以及目前业务高峰流量情况；   b) 应访谈网络管理员，询问网段划分情况以及划分的原则；询问重要网段有哪些，其具体的部署位置，与其他网段的隔离措施有哪些；   c) 应访谈网络管理员，询问网络中带宽控制情况以及带宽分配的原则；   d) 应访谈网络管理员，询问网络设备的路由控制策略有哪些，这些策略设计的目的是什么；   e) 应检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致；   f) 应检查网络设计或验收文档，查看是否有主要网络设备业务处理能力、接入网络及核心网络的带宽满足业务高峰期的需要以及不存在带宽瓶颈等方面的设计或描述；   g) 应检查网络设计或验收文档，查看是否有根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网和网段分配地址段的设计或描  述；   h) 应检查边界和主要网络设备，查看是否配置路由控制策略以建立安全的访问路径；   i) 应检查边界和主要网络设备，查看重要网段是否采取了技术隔离手段与其他网段隔离；   j) 应检查边界和主要网络设备，查看是否配置对带宽进行控制的策略，这些策略是否能够保证在网络发生拥堵的时候优先保护重要业务。    7.1.2.1.3 结果判定  本项要求包括：  a) 如果7.1.2.1.2 e）-g）缺少相应文档资料，则为否定；   b) 如果7.1.2.1.2 e）-j）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.1.2.2 访问控制  7.1.2.2.1 测评指标  见GB/T 22239-20087.1.2.2。  7.1.2.2.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络访问控制措施有哪些；询问访问控制策略的设计原则是什么；询问是否允许拨号访问网络；   b) 应检查边界网络设备，查看其是否根据会话状态信息对数据流进行控制，控制粒度是否为端口级；   c) 应检查边界网络设备，查看其是否对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；   d) 应检查边界网络设备，查看是否有会话处于非活跃的时间或会话结束后自动终止网络连接的配置；查看是否设置网络最大流量数及网络连接数；   e) 应检查边界和主要网络设备，查看重要网段是否采取了网络地址与数据链路地址绑定的措施；   f) 应检查边界网络设备，查看重要网段是否采取一定的技术手段防止地址欺骗；   g) 应检查边界网络设备查看其是否限制具有拨号访问权限的用户数量；   h) 应测试边界网络设备，可通过试图访问未授权的资源，验证访问控制措施对未授权的访问行为的控制是否有效，控制粒度是否为单个用户；   i) 应对网络访问控制措施进行渗透测试，可通过采用多种渗透测试技术，验证网络访问控制措施是否不存在明显的弱点。    7.1.2.2.3 结果判定  如果7.1.2.2.2 b）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.2.3 安全审计  7.1.2.3.1 测评指标  见GB/T 22239-20087.1.2.3。  7.1.2.3.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问边界和主要网络设备是否开启安全审计功能，审计内容包括哪些项；询问审计内容是什么；对审计记录的处理方式有哪些；   b) 应检查边界和主要网络设备，查看审计策略是否包含网络系统中的网络设备运行状况、网络流量、用户行为等；   c) 应检查边界和主要网络设备，查看事件审计记录是否包括：事件的日期和时间、用户、事件类型、事件成功情况，及其他与审计相关的信息；   d) 应检查边界和主要网络设备，查看是否为授权用户浏览和分析审计数据提供专门的审计工具，并能根据需要生成审计报表；   e) 应测试边界和主要网络设备，可通过以某个非审计用户登录系统，试图删除、修改或覆盖审计记录，验证安全审计的保护情况与要求是否一致。    7.1.2.3.3 结果判定  如果7.1.2.3.2 b）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.2.4 边界完整性检查  7.1.2.4.1 测评指标  见GB/T 22239-20087.1.2.4。  7.1.2.4.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问是否对内部用户私自连接到外部网络的行为以及非授权设备私自接入到内部网络的行为进行监控；   b) 应检查边界完整性检查设备，查看是否设置了对非法连接到内网和非法连接到外网的行为进行监控并有效的阻断的配置；   c) 应测试边界完整性检查设备，测试是否能够确定出非法外联设备的位置，并对其进行有效阻断；   d) 应测试边界完整性检查设备，测试是否能够对非授权设备私自接入内部网络的行为进行检查，并准确定出位置，对其进行有效阻断。    7.1.2.4.3 结果判定  如果7.1.2.4.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.2.5 入侵防范  7.1.2.5.1 测评指标  见GB/T 22239-20087.1.2.5。  7.1.2.5.2 测评实施    本项要求包括：  a) 应访谈安全管理员，询问网络入侵防范措施有哪些，是否有专门设备对网络入侵进行防范；询问网络入侵防范规则库的升级方式；   b) 应检查网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等；   c) 应检查网络入侵防范设备，查看入侵事件记录中是否包括入侵的源IP、攻击的类型、攻击的目的、攻击的时间等；   d) 应检查网络入侵防范设备，查看其规则库是否为最新；   e) 应测试网络入侵防范设备，验证其检测策略是否有效；   f) 应测试网络入侵防范设备，验证其报警策略是否有效。    7.1.2.5.3 结果判定  如果7.1.2.5.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.2.6 恶意代码防范  7.1.2.6.1 测评指标  见GB/T 22239-20087.1.2.6。  7.1.2.6.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络恶意代码防范措施是什么；询问恶意代码库的更新策略；   b) 应检查网络设计或验收文档，查看其是否有在网络边界处对恶意代码采取相关措施的描述，防恶意代码产品是否有实时更新功能的描述；   c) 应检查在网络边界及核心业务网段处是否有相应的防恶意代码措施；   d) 应检查防恶意代码产品，查看其运行是否正常，恶意代码库是否为最新版本。    7.1.2.6.3 结果判定  本项要求包括：  a) 如果7.1.2.6.2 b）缺少相应文档资料，则为否定；   b) 如果7.1.2.6.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.1.2.7 网络设备防护  7.1.2.7.1 测评指标  见GB/T 22239-20087.1.2.7。  7.1.2.7.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问主要网络设备的防护措施有哪些；询问主要网络设备的登录和验证方式做过何种特定配置；询问远程管理的设备是否采取措施防止鉴别信息被泄漏；询问网络特权用户的权限如  何分配；   b) 应访谈网络管理员，询问网络设备的口令策略是什么；   c) 应检查边界和主要网络设备，查看是否配置了登录用户身份鉴别功能，口令设置是否有复杂度和定期修改要求；   d) 应检查边界和主要网络设备，查看是否对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；   e) 应检查边界和主要网络设备，查看是否配置了鉴别失败处理功能；   f) 应检查边界和主要网络设备，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能；   g) 应检查边界和主要网络设备，查看是否对边界和主要网络设备的管理员登录地址进行限制；查看是否设置网络登录连接超时，并自动退出；查看是否实现设备特权用户的权限分离；   h) 应对边界和主要网络设备进行渗透测试，通过使用各种渗透测试技术对网络设备进行渗透测试，验证网络设备防护能力是否符合要求。    7.1.2.7.3 结果判定  如果7.1.2.7.2 c）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.3 主机安全  7.1.3.1 身份鉴别  7.1.3.1.1 测评指标  见GB/T 22239-20087.1.3.1。  7.1.3.1.2 测评实施  本项要求包括：  a) 应访谈系统管理员和数据库管理员，询问操作系统和数据库管理系统的身份标识与鉴别机制采取何种措施实现；   b) 应访谈系统管理员和数据库管理员， 询问对操作系统和数据库管理系统是否采用了远程管理，如采用了远程管理，查看是否采用了防止鉴别信息在网络传输过程中被窃听的措施；   c) 应检查主要服务器操作系统和主要数据库管理系统帐户列表，查看管理员用户名分配是否唯一；   d) 应检查主要服务器操作系统和主要数据库管理系统，查看是否提供了身份鉴别措施，其身份鉴别信息是否具有不易被冒用的特点，如对用户登录口令的最小长度、复杂度和更换周期进行了要求和限制；   e) 应检查主要服务器操作系统和主要数据库管理系统，查看身份鉴别是否采用两个及两个以上身份鉴别技术的组合来进行身份鉴别；   f) 应检查主要服务器操作系统和主要数据库管理系统，查看是否已配置了鉴别失败处理功能，并设置了非法登录次数的限制值；查看是否设置网络登录连接超时，并自动退出；   g) 应渗透测试主要服务器操作系统，可通过使用口令破解工具等，对服务器操作系统进行用户口令强度检测，查看是否能够破解用户口令，破解口令后是否能够登录进入系统；   h) 应渗透测试主要服务器操作系统，测试是否存在绕过认证方式进行系统登录的方法。    7.1.3.1.3 结果判定  如果7.1.3.1.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.3.2 访问控制  7.1.3.2.1 测评指标  见GB/T 22239-20087.1.3.2。  7.1.3.2.2 测评实施  本项要求包括：  a) 应检查主要服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用或删除；   b) 应检查主要服务器操作系统和主要数据库管理系统，查看匿名/默认用户的访问权限是否已被禁用或者严格限制，是否删除了系统中多余的、过期的以及共享的帐户；   c) 应检查主要服务器操作系统和主要数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制；   d) 应检查主要数据库服务器的数据库管理员与操作系统管理员是否由不同管理员担任；      e) 应检查主要服务器操作系统和主要数据库管理系统，查看特权用户的权限是否进行分离，如可分为系统管理员、安全管理员、安全审计员等；查看是否采用最小授权原则；   f) 应检查主要服务器操作系统和主要数据库管理系统，查看是否对重要信息资源设置敏感标记；是否依据安全策略严格控制用户对有敏感标记重要信息资源的操作。    7.1.3.2.3 结果判定  如果7.1.3.2.2 a) -f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.3.3 安全审计  7.1.3.3.1 测评指标  见GB/T 22239-20087.1.3.3。  7.1.3.3.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问主机系统的安全审计策略是否包括系统内重要用户行为、系统资源的异常和重要系统命令的使用等重要的安全相关事件；   b) 应检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统，查看安全审计配置是否符合安全审计策略的要求；   c) 应检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统，查看审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、事件的结果等内容  ；   d) 应检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统，查看是否对审计记录实施了保护措施，使其避免受到未预期的删除、修改或覆盖等；   e) 应检查主要服务器和重要终端操作系统，查看是否为授权用户提供浏览和分析审计记录的功能，是否可以根据需要自动生成不同格式的审计报表；   f) 应测试主要服务器操作系统、重要终端操作系统和主要数据库管理系统，可通过非审计员的其他帐户试图中断审计进程，验证审计进程是否受到保护。    7.1.3.3.3 结果判定  如果7.1.3.3.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.3.4 剩余信息保护  7.1.3.4.1 测评指标  见GB/T 22239-20087.1.3.4。  7.1.3.4.2 测评实施  本项要求包括：  a) 应检查主要操作系统和主要数据库管理系统维护操作手册，查看是否明确用户的鉴别信息存储空间被释放或再分配给其他用户前的处理方法和过程；是否明确文件、目录和数据库记录等资源所在的存储  空间被释放或重新分配给其他用户前的处理方法和过程。    7.1.3.4.3 结果判定  如果7.1.3.4.2 a）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.3.5 入侵防范  7.1.3.5.1 测评指标  见GB/T 22239-20087.1.3.5。  7.1.3.5.2 测评实施  本项要求包括：    a) 应访谈系统管理员，询问是否采取入侵防范措施，入侵防范内容是否包括主机运行监视、特定进程监控、入侵行为检测和完整性检测等方面内容；   b) 应检查入侵防范系统，查看是否能够记录攻击者的源IP、攻击类型、攻击目标、攻击时间等，在发生严重入侵事件时是否提供报警（如声音、短信和EMAIL等）；   c) 应检查重要服务器是否提供对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施的功能；   d) 应检查主要服务器操作系统中所安装的系统组件和应用程序是否都是必须的；   e) 应检查是否设置了专门的升级服务器实现对主要服务器操作系统补丁的升级；   f) 应检查主要服务器操作系统和主要数据库管理系统的补丁是否得到了及时安装。    7.1.3.5.3 结果判定  如果7.1.3.5.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.3.6 恶意代码防范  7.1.3.6.1 测评指标  见GB/T 22239-20087.1.3.6。  7.1.3.6.2 测评实施  本项要求包括：  a) 应访谈系统安全管理员，询问主机系统是否采取恶意代码实时检测与查杀措施，恶意代码实时检测与查杀措施的部署覆盖范围如何；   b) 应检查主要服务器，查看是否安装了实时检测与查杀恶意代码的软件产品并进行及时更新；   c) 应检查防恶意代码产品是否实现了统一管理；   d) 应检查网络防恶意代码产品，查看其厂家名称、产品版本号和恶意代码库名称等，查看其是否与主机防恶意代码产品有不同的恶意代码库。    7.1.3.6.3 结果判定  如果7.1.3.6.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.3.7 资源控制  7.1.3.7.1 测评指标  见GB/T 22239-20087.1.3.7。  7.1.3.7.2 测评实施  本项要求包括：  a) 应检查主要服务器操作系统，查看是否设定了终端接入方式、网络地址范围等条件限制终端登录；   b) 应检查主要服务器操作系统，查看是否设置了单个用户对t统资源的最大或最小使用限度；   c) 应检查主要服务器操作系统，查看是否在服务水平降低到预先规定的最小值时，能检测和报警；   d) 应检查主要服务器操作系统，查看是否对CPU、硬盘、内存和网络等资源的使用情况进行监控；   e) 应检查访问主要服务器的终端是否都设置了操作超时锁定的配置。    7.1.3.7.3 结果判定  如果7.1.3.7.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.4 应用安全  7.1.4.1 身份鉴别  7.1.4.1.1 测评指标    见GB/T 22239-20087.1.4.1。  7.1.4.1.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否采取身份标识和鉴别措施，具体措施有哪些；系统采取何种措施防止身份鉴别信息被冒用；   b) 应访谈应用系统管理员，询问应用系统是否具有登录失败处理功能；   c) 应检查设计或验收文档，查看其是否有系统采用了保证唯一标识的措施的描述；   d) 应检查操作规程和操作记录，查看其是否有添加、删除用户和修改用户权限的操作规程、操作记录和审批记录；   e) 应检查主要应用系统，查看其是否采用了两个及两个以上身份鉴别技术的组合来进行身份鉴别；   f) 应检查主要应用系统，查看其是否提供身份标识和鉴别功能；查看其身份鉴别信息是否具有不易被冒用的特点；其鉴别信息复杂度检查功能是否能保证系统中不存在弱口令等；   g) 应检查主要应用系统，查看其提供的登录失败处理功能，是否根据安全策略配置了相关参数；   h) 应测试主要应用系统，可通过试图以合法和非法用户分别登录系统，查看是否成功，验证其身份标识和鉴别功能是否有效；   i) 应测试主要应用系统，验证其登录失败处理功能是否有效；   j) 应渗透测试主要应用系统，验证应用系统身份标识和鉴别功能是否不存在明显的弱点。    7.1.4.1.3 结果判定  本项要求包括：  a) 如果7.1.4.1.2 c）中相关文档有系统采用了保证用户唯一性标识的措施的描述，则为肯定；   b) 如果7.1.4.1.2 d）缺少相应文档资料，则为否定；   c) 如果7.1.4.1.2 c）-j）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.1.4.2 访问控制  7.1.4.2.1 测评指标  见GB/T 22239-20087.1.4.2。  7.1.4.2.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否提供访问控制措施，以及具体措施和访问控制策略有哪些，访问控制的粒度如何；   b) 应检查主要应用系统，查看系统是否提供访问控制机制；是否依据安全策略控制用户对客体的访问；   c) 应检查主要应用系统，查看其访问控制的覆盖范围是否包括与信息安全直接相关的主体、客体及它们之间的操作；访问控制的粒度是否达到主体为用户级，客体为文件、数据库表级；   d) 应检查主要应用系统，查看其是否有由授权用户设置其它用户访问系统功能和用户数据的权限的功能，是否限制默认用户的访问权限；   e) 应检查主要应用系统，查看系统是否授予不同帐户为完成各自承担任务所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；   f) 应检查主要应用系统，查看是否能对重要信息资源设置敏感标记，这些敏感标记是否以默认方式生成或由安全员建立、维护和管理；   g) 应检查主要应用系统，查看是否依据安全策略严格控制用户对有敏感标记重要信息资源的操作；   h) 应测试主要应用系统，可通过以不同权限的用户登录系统，查看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效；   i) 应测试主要应用系统，可通过以默认用户登录系统，并进行一些合法和非法操作，验证系统是否严格限制了默认帐户的访问权限；   j) 应渗透测试主要应用系统，进行试图绕过访问控制的操作，验证应用系统的访问控制功能是否不存在明显的弱点。  7.1.4.2.3 结果判定  如果7.1.4.2.2 b）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.4.3 安全审计  7.1.4.3.1 测评指标  见GB/T 22239-20087.1.4.3。  7.1.4.3.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问应用系统是否有安全审计功能，对事件进行审计的策略是什么，对审计日志的保护措施有哪些；   b) 应检查主要应用系统，查看其当前审计范围是否覆盖到每个用户；   c) 应检查主要应用系统，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等；   d) 应检查主要应用系统，查看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容；   e) 应检查主要应用系统，查看其是否为授权用户浏览和分析审计数据提供专门的审计分析功能，并能根据需要生成审计报表；   f) 应测试主要应用系统，在应用系统上试图产生一些重要的安全相关事件（如用户登录、修改用户权限等），查看应用系统是否对其进行了审计，验证应用系统安全审计的覆盖情况是否覆盖到每个用户；  如果进行了审计则查看审计记录内容是否包含事件的日期、时间、发起者信息、类型、描述和结果等；   g) 应测试主要应用系统，试图非授权删除、修改或覆盖审计记录，验证安全审计的保护情况是否无法非授权删除、修改或覆盖审计记录。    7.1.4.3.3 结果判定  如果7.1.4.3.2 b）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.4.4 剩余信息保护  7.1.4.4.1 测评指标  见GB/T 22239-20087.1.4.4。  7.1.4.4.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问系统是否采取措施保证对存储介质中的残余信息进行删除（无论这些信息是存放在硬盘上还是在内存中），具体措施有哪些；   b) 应检查设计或验收文档，查看其是否有关于系统在释放或再分配鉴别信息所在存储空间给其他用户前如何将其进行完全清除（无论这些信息是存放在硬盘上还是在内存中）的描述；   c) 应检查设计或验收文档，查看其是否有关于释放或重新分配系统内文件、目录和数据库记录等资源所在存储空间给其他用户前进行完全清除的描述；   d) 应测试主要应用系统，用某用户登录系统并进行操作后，在该用户退出后用另一用户登录，试图操作（读取、修改或删除等）其他用户产生的文件、目录和数据库记录等资源，查看操作是否成功，验证  系统提供的剩余信息保护功能是否正确（确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除）。    7.1.4.4.3 结果判定  本项要求包括：  a) 如果7.1.4.4.2 b）和c）缺少相应文档资料，则为否定；   b) 如果7.1.4.4.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.1.4.5 通信完整性  7.1.4.5.1 测评指标  见GB/T 22239-20087.1.4.5。  7.1.4.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统是否具有在数据传输过程中保护其完整性的措施，具体措施是什么；  b) 应检查设计或验收文档，查看其是否有关于保护通信完整性的说明，如果有则查看其是否有用密码技术来保证通信过程中数据的完整性的描述；   c) 应测试主要应用系统，可通过获取通信双方的数据包，查看通信报文是否含有加密的验证码。    7.1.4.5.3 结果判定  如果7.1.4.5.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.4.6 通信保密性  7.1.4.6.1 测评指标  见GB/T 22239-20087.1.4.6。  7.1.4.6.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统数据在通信过程中是否采取保密措施，具体措施有哪些；   b) 应测试主要应用系统，通过查看通信双方数据包的内容，查看系统是否能在通信双方建立连接之前，利用密码技术进行会话初始化验证；查看系统在通信过程中，对整个报文或会话过程进行加密的功能  是否有效。    7.1.4.6.3 结果判定  如果7.1.4.6.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.4.7 抗抵赖  7.1.4.7.1 测评指标  见GB/T 22239-20087.1.4.7。  7.1.4.7.2 测评实施  本项要求包括：  a) 应访谈安全员，询问系统是否具有抗抵赖的措施，具体措施有哪些；   b) 应测试主要应用系统，通过双方进行通信，查看系统是否提供在请求的情况下为数据原发者和接收者提供数据原发证据的功能；是否提供在请求的情况下为数据原发者和接收者提供数据接收证据的功能  。      7.1.4.7.3 结果判定  如果7.1.4.7.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.4.8 软件容错  7.1.4.8.1 测评指标  见GB/T 22239-20087.1.4.8。  7.1.4.8.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否具有保证软件容错能力的措施，具体措施有哪些；   b) 应检查主要应用系统，查看应用系统是否对人机接口输入或通信接口输入的数据进行有效性检验；   c) 应测试主要应用系统，可通过对人机接口输入的不同长度或格式的数据，查看系统的反应，验证系统人机接口有效性检验功能是否正确；   d) 应测试主要应用系统，验证其是否提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。    7.1.4.8.3 结果判定  如果7.1.4.8.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.4.9 资源控制  7.1.4.9.1 测评指标  见GB/T 22239-20087.1.4.9。  7.1.4.9.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否有资源控制的措施，具体措施有哪些；   b) 应检查主要应用系统，查看是否限制单个帐户的多重并发会话；系统是否有最大并发会话连接数的限制，是否对一个时间段内可能的并发会话连接数进行限制；是否能根据安全策略设定主体的服务优先  级，根据优先级分配系统资源；   c) 应检查主要应用系统，查看是否对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；   d) 应检查主要应用系统，查看是否有服务水平最小值的设定，当系统的服务水平降低到预先设定的最小值时，系统报警；   e) 应测试主要应用系统，可通过对系统进行超过规定的单个帐户的多重并发会话数进行连接，验证系统是否能够正确地限制单个帐户的多重并发会话数；   f) 应测试主要应用系统，可试图使服务水平降低到预先规定的最小值，验证系统是否能够正确检测并报警；   g) 应测试重要应用系统，当应用系统的通信双方中的一方在一段时间内未作任何响应，查看另一方是否能够自动结束会话。    7.1.4.9.3 结果判定  如果7.1.4.9.2 b）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.5 数据安全及备份恢复  7.1.5.1 数据完整性  7.1.5.1.1 测评指标  见GB/T 22239-20087.1.5.1。    7.1.5.1.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统数据在存储和传输过程中是否有完整性保证措施，具体措施有哪些；在检测到完整性错误时是否能恢复，恢复措施有哪些；   b) 应检查主要主机操作系统、主要网络设备操作系统、主要数据库管理系统和主要应用系统，查看其是否配备检测系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏的功能；是否配备  检测系统管理数据、鉴别信息和用户数据在存储过程中完整性受到破坏的功能；在检测到完整性错误时是否能采取必要的恢复措施。    7.1.5.1.3 结果判定  如果7.1.5.1.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.5.2 数据保密性  7.1.5.2.1 测评指标  见GB/T 22239-20087.1.5.2。  7.1.5.2.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问主要网络设备的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   b) 应访谈系统管理员，询问主要主机操作系统的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   c) 应访谈数据库管理员，询问主要数据库管理系统的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   d) 应访谈安全管理员，询问主要应用系统的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   e) 应检查主要主机操作系统、主要网络设备操作系统、主要数据库管理系统和主要应用系统，查看其管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输和存储保密性；   f) 应测试主要应用系统，通过用嗅探工具获取系统传输数据包，查看其是否采用了加密或其他有效措施实现传输保密性。    7.1.5.2.3 结果判定  如果7.1.5.2.2 e）和f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.1.5.3 备份和恢复  7.1.5.3.1 测评指标  见GB/T 22239-20087.1.5.3。  7.1.5.3.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问是否对网络设备中的配置文件进行备份，备份策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地数据备份功能；当其受到破坏时，恢复策略是什  么；是否提供主要网络设备、通信线路的硬件冗余；   b) 应访谈系统管理员，询问是否对操作系统中的重要信息进行备份，备份策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地数据备份功能；当其受到破坏时，恢复策略是什  么；是否提供主要服务器的硬件冗余；   c) 应访谈数据库管理员，询问是否对数据库管理系统中的主要数据进行备份，备份策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地数据备份功能；当其受到破坏时，恢复  策略是什么；   d) 应访谈安全管理员，询问是否对应用系统中的应用程序进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地数据备份功  能；   e) 应检查设计或验收文档，查看其是否有关于主要主机操作系统、网络设备操作系统、数据库管理系统和应用系统配置有本地和异地数据备份和恢复功能及策略的描述；   f) 应检查主要主机操作系统、主要网络设备、主要数据库管理系统和主要应用系统，查看其是否提供备份和恢复功能，其配置是否正确，并且查看其备份结果是否与备份策略一致；   g) 应检查主要网络设备、主要通信线路和主要数据处理系统是否采用硬件冗余、软件配置等技术手段提供系统的高可用性；   h) 应检查网络拓扑结构是否不存在关键节点的单点故障。    7.1.5.3.3 结果判定  本项要求包括：  a) 如果7.1.5.3.2 e）缺少相应文档资料，则为否定；   b) 如果7.1.5.3.2 e）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.2 安全管理测评  7.2.1 安全管理制度  7.2.1.1 管理制度  7.2.1.1.1 测评指标  见GB/T 22239-20087.2.1.1。  7.2.1.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问机构是否形成全面的信息安全管理制度体系，制度体系是否由总体方针、安全策略、管理制度、操作规程等构成；   b) 应检查信息安全工作的总体方针和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、原则和安全框架等；   c) 应检查各项安全管理制度，查看是否覆盖物理、网络、主机系统、数据、应用、建设和管理等层面的各类管理内容；   d) 应检查是否具有日常管理操作的操作规程（如系统维护手册和用户操作规程等）。    7.2.1.1.3 结果判定  如果7.2.1.1.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.1.2 制定和发布  7.2.1.2.1 测评指标  见GB/T 22239-20087.2.1.2。  7.2.1.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责制定安全管理制度；   b) 应访谈安全管理制度制、修订人员，询问安全管理制度的制定程序和发布方式，是否对制定的安全管理制度进行论证和审定，论证和评审方式如何，是否按照统一的格式标准或要求制定；   c) 应检查制度制定和发布要求管理文档，查看文档是否说明安全管理制度的制定和发布程序、格式要求及版本编号等相关内容；      d) 应检查管理制度评审记录，查看是否有相关人员的评审意见；   e) 应检查各项安全管理制度文档，查看文档是否是正式发布的文档，是否注明适用和发布范围，是否有版本标识，是否有管理层的签字或单位盖章；查看各项制度文档格式是否统一；   f) 应检查安全管理制度的收发登记记录，查看收发是否通过正式、有效的方式（如正式发文、领导签署和单位盖章等），是否有发布范围要求。    7.2.1.2.3 结果判定  如果7.2.1.2.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.1.3 评审和修订  7.2.1.3.1 测评指标  见GB/T 22239-20087.2.1.3。  7.2.1.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否由信息安全领导小组负责定期对安全管理制度体系的合理性和适用性进行审定，评审周期多长，是否定期或不定期对安全管理制度进行检查、审定，由何部门或何人负责；   b) 应访谈安全管理制度制、修订人员，询问对安全管理制度的安全检查及修订情况，评审、修订程序如何；   c) 应访谈安全管理制度制、修订人员，询问系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时是否对安全管理制度进行审定，对需要改进的制度是否进行修订；   d) 应检查是否具有安全管理制度体系的评审记录，查看记录的日期间隔与评审周期是否一致，是否记录了相关人员的评审意见；   e) 应检查是否具有安全管理制度的检查或评审记录；如果对制度做过修订，检查是否有修订版本的安全管理制度。    7.2.1.3.3 结果判定  如果7.2.1.3.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.2 安全管理机构  7.2.2.1 岗位设置  7.2.2.1.1 测评指标  见GB/T 22239-20087.2.2.1。  7.2.2.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否设立指导和管理信息安全工作的委员会或领导小组，其最高领导是否由单位主管领导委任或授权的人员担任；   b) 应访谈安全主管，询问是否设立专职的安全管理机构（即信息安全管理工作的职能部门）；机构内部门设置情况如何，是否明确各部门的职责分工；   c) 应访谈安全主管，询问信息系统设置了哪些工作岗位，各个岗位的职责分工是否明确；询问是否设立安全管理各个方面的负责人；   d) 应访谈安全主管、安全管理某方面的负责人、系统管理员、网络管理员和安全管理员，询问其岗位职责包括哪些内容；   e) 应检查部门、岗位职责文件，查看文件是否明确安全管理机构的职责，是否明确机构内各部门的职责和分工，部门职责是否涵盖物理、网络和系统安全等各个方面；查看文件是否明确设置安全主管、安  全管理各个方面的负责人、机房管理员、系统管理员、网络管理员、安全管理员等各个岗位，各个岗位的职责范围是否清晰、明确；查看文件是否明确各个岗位人员应具有的技能要求；   f) 应检查信息安全管理委员会或领导小组最高领导是否具有委任授权书，查看授权书中是否有本单位主管领导的授权签字；   g) 应检查信息安全管理委员会职责文件，查看是否明确委员会职责和其最高领导岗位的职责；   h) 应检查安全管理各部门和信息安全管理委员会或领导小组是否具有日常管理工作执行情况的文件或工作记录。    7.2.2.1.3 结果判定  如果7.2.2.1.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.2.2 人员配备  7.2.2.2.1 测评指标  见GB/T 22239-20087.2.2.2。  7.2.2.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问各个安全管理岗位人员的配备情况，包括数量、专职还是兼职等，对关键事务的管理人员配备情况如何；   b) 应检查人员配备要求管理文档，查看是否明确应配备哪些安全管理人员，是否包括机房管理员、系统管理员、数据库管理员、网络管理员、安全管理员等重要岗位人员并明确应配备专职的安全管理员；  查看是否明确对哪些关键事务的管理人员应配备2人或2人以上共同管理，是否明确对配备人员的具体要求；   c) 应检查安全管理各岗位人员信息表，查看其是否明确机房管理员、系统管理员、数据库管理员、网络管理员、安全管理员等重要岗位人员的信息，确认安全管理员是否是专职人员。    7.2.2.2.3 结果判定  如果7.2.2.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.2.3 授权和审批  7.2.2.3.1 测评指标  见GB/T 22239-20087.2.2.3。  7.2.2.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问其是否规定对信息系统中的重要活动进行审批，审批部门是何部门，批准人是何人，他们的审批活动是否得到授权；询问是否定期审查、更新审批项目，审查周期多长；   b) 应访谈安全主管，询问其对重要活动的审批范围包括哪些，审批程序如何；   c) 应检查审批管理制度文档，查看文档中是否明确审批事项、需逐级审批的事项、审批部门、批准人及审批程序等，是否明确对系统变更、重要操作、物理访问和系统接入等事项的审批流程；是否明确需  定期审查、更新审批的项目、审批部门、批准人和审查周期等；   d) 应检查经逐级审批的文档，查看是否具有各级批准人的签字和审批部门的盖章；   e) 应检查关键活动的审批过程记录，查看记录的审批程序与文件要求是否一致。    7.2.2.3.3 结果判定  如果7.2.2.3.2 a）-e）均为肯定，则该测评指标符合要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.2.2.4 沟通和合作  7.2.2.4.1 测评指标  见GB/T 22239-20087.2.2.4。  7.2.2.4.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否建立与外单位（公安机关、电信公司、兄弟单位、供应商、业界专家、专业的安全公司、安全组织等）的沟通、合作机制，与外单位和其他部门有哪些合作内容，沟通、合作  方式有哪些；与组织机构内其它部门之间及内部各部门管理人员之间是否建立沟通、合作机制，是否定期或不定期召开协调会议；   b) 应访谈安全主管，询问是否召开过部门间协调会议，组织其它部门人员共同协助处理信息系统安全有关问题，安全管理机构内部是否召开过安全工作会议以部署安全工作的实施；信息安全领导小组或者  安全管理委员会是否定期召开例会；   c) 应访谈安全主管，询问是否聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等；   d) 应检查组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，查看是否有会议内容、会议时间、参加人员和会议结果等的描述；   e) 应检查信息安全领导小组或者安全管理委员会定期例会会议文件或会议记录，查看是否有会议内容、会议时间、参加人员、会议结果等的描述；   f) 应检查是否有组织机构内部人员联系表；   g) 应检查外联单位联系列表，查看外联单位是否包含公安机关、电信公司、兄弟单位、供应商、业界专家、专业的安全公司和安全组织等，是否说明外联单位的名称、合作内容、联系人和  联系方式等内容；   h) 应检查是否具有安全顾问名单或者聘请安全顾问的证明文件，查看是否有安全顾问指导信息安全建设、参与安全规划和安全评审的相关文档或记录。    7.2.2.4.3 结果判定  如果7.2.2.4.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.2.5 审核和检查  7.2.2.5.1 测评指标  见GB/T 22239-20087.2.2.5。  7.2.2.5.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否组织人员定期对信息系统进行全面安全检查，检查周期多长，检查内容有哪些；   b) 应访谈安全管理员，询问是否定期检查系统日常运行、系统漏洞和数据备份等情况，检查周期多长；询问系统全面安全检查情况，检查周期多长，检查人员有哪些，检查程序如何，是否对检查结果进行  通报，通报形式、范围如何；   c) 应检查安全检查管理制度文档，查看文档是否规定定期进行全面安全检查，是否规定检查内容、检查程序和检查周期等，检查内容是否包括现有安全技术措施的有效性、安全配置与安全策略的一致性、  安全管理制度的执行情况等；   d) 应检查全面安全检查报告，查看报告日期间隔与检查周期是否一致，报告中是否有检查内容、检查人员、检查数据汇总表、检查结果等的描述，检查内容是否包括现有安全技术措施的有效性、安全配置  与安全策略的一致性、安全管理制度的执行情况等；   e) 应检查安全管理员定期实施安全检查的报告，查看报告日期间隔与检查周期是否一致，检查内容是否包括系统日常运行、系统漏洞和数据备份等情况；   f) 应检查是否具有执行安全检查时的安全检查表、安全检查记录和结果通告记录，查看安全检查记录中记录的检查程序与文件要求是否一致。    7.2.2.5.3 结果判定  如果7.2.2.5.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.3 人员安全管理  7.2.3.1 人员录用  7.2.3.1.1 测评指标  见GB/T 22239-20087.2.3.1。  7.2.3.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责人员的录用工作，由何部门/何人负责；   b) 应访谈人事管理相关人员，询问在人员录用时对人员条件有哪些要求，是否对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，是否与被录用人员都签署保密协议；   c) 应访谈人事管理相关人员，询问对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议；   d) 应检查人员录用要求管理文档，查看是否说明录用人员应具备的条件（如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等）；   e) 应检查是否具有人员录用时对录用人身份、背景、专业资格和资质等进行审查的相关文档或记录，查看是否记录审查内容和审查结果等；   f) 应检查人员录用时的技能考核文档或记录，查看是否记录考核内容和考核结果等；   g) 应检查保密协议，查看是否有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容；   h) 应检查岗位安全协议，查看是否有岗位安全责任、违约责任、协议的有效期限和责任人签字等内容。    7.2.3.1.3 结果判定  如果7.2.3.1.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.3.2 人员离岗  7.2.3.2.1 测评指标  见GB/T 22239-20087.2.3.2。  7.2.3.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问对即将离岗人员有哪些控制方法，是否及时终止离岗人员的所有访问权限，是否取回各种身份证件、钥匙、徽章以及机构提供的软硬件设备等；   b) 应访谈人事管理相关人员，询问调离手续包括哪些，是否要求关键岗位人员调离时须承诺相关保密义务后方可离开；   c) 应检查人员离岗的管理文档，查看是否规定了人员调离手续和离岗要求等；   d) 应检查是否具有对离岗人员的安全处理记录（如交还身份证件、设备等的登记记录）；   e) 应检查是否具有按照离职程序办理调离手续的记录；   f) 应检查保密承诺文档，查看是否有调离人员的签字。      7.2.3.2.3 结果判定  如果7.2.3.2.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.3.3 人员考核  7.2.3.3.1 测评指标  见GB/T 22239-20087.2.3.3。  7.2.3.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有人负责定期对各个岗位人员进行安全技能及安全知识的考核；   b) 应访谈人事管理相关人员员，询问对各个岗位人员的考核情况，考核周期多长，考核内容有哪些；询问对人员的安全审查情况，审查人员是否包含所有岗位人员，审查内容有哪些；对关键岗位人员的审  查和考核是否有特殊要求；   c) 应检查考核文档和记录，查看考核人员是否包括各个岗位的人员，考核内容是否包含安全知识、安全技能等，是否有对关键岗位人员特殊的考核内容；查看记录日期与考核周期是否一致；   d) 应检查人员安全审查记录，查看记录的审查人员是否包括各个岗位的人员，是否有对关键岗位人员特殊的安全审查内容。    7.2.3.3.3 结果判定  如果7.2.3.3.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.3.4 安全意识教育和培训  7.2.3.4.1 测评指标  见GB/T 22239-20087.2.3.4。  7.2.3.4.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否制定培训计划并按计划对各个岗位人员进行安全教育和培训，具体的培训方式有哪些；是否对违反安全策略和规定的人员进行惩戒，如何惩戒；   b) 应访谈安全管理员、系统管理员、网络管理员和数据库管理员，考查其对工作相关的信息安全基础知识、安全责任和惩戒措施等的理解程度；   c) 应检查安全责任和惩戒措施管理文档，查看是否包含具体的安全责任和惩戒措施；   d) 应检查信息安全教育及技能培训和考核管理文档，查看是否明确培训周期、培训方式、培训内容和考核方式等相关内容；   e) 应检查安全教育和培训计划文档，查看是否具有不同岗位的培训计划；查看计划是否明确了培训方式、培训对象、培训内容、培训时间和地点等，培训内容是否包含信息安全基础知识、岗位操作规程等  ；   f) 应检查是否具有安全教育和培训记录，查看记录是否有培训人员、培训内容、培训结果等的描述；    7.2.3.4.3 结果判定  如果7.2.3.4.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.3.5 外部人员访问管理  7.2.3.5.1 测评指标  见GB/T 22239-20087.2.3.5。    7.2.3.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问对外部人员访问重要区域（如访问机房、重要服务器或设备区等）采取了哪些安全措施，是否经有关部门或负责人书面批准，是否由专人全程陪同或监督，是否进行记录并备案  管理；   b) 应检查外部人员访问管理文档，查看是否明确允许外部人员访问的范围（区域、系统、设备、信息等内容），外部人员进入的条件（对哪些重要区域的访问须提出书面申请批准后方可进入），外部人员  进入的访问控制措施（由专人全程陪同或监督等）和外部人员离开的条件等；   c) 应检查外部人员访问重要区域的批准文档，查看是否有外部人员访问重要区域的书面申请，是否有批准人允许访问的批准签字等；   d) 应检查外部人员访问重要区域的登记记录，查看是否记录了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等。    7.2.3.5.3 结果判定  如果7.2.3.5.2 a）-d）均为肯定，则该测评指标符合要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4 系统建设管理  7.2.4.1 系统定级  7.2.4.1.1 测评指标  见GB/T 22239-20087.2.4.1。  7.2.4.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问确定信息系统安全保护等级的方法是否参照定级指南的指导，定级过程是否有书面描述；是否组织相关部门和有关安全技术专家对定级结果进行论证和审定，定级  结果是否获得了相关部门的批准；   b) 应检查系统定级文档，查看文档是否明确信息系统的边界和信息系统的安全保护等级，查看是否说明定级的方法和理由，查看定级结果是否有相关部门的批准盖章；   c) 应检查专家论证文档，查看是否有专家对定级结果的论证意见。    7.2.4.1.3 结果判定  本项要求包括：   a) 如果7.2.4.1.2 a）单位没有上级主管部门，但定级结果有本单位信息安全主管领导的批准，则为肯定；   b) 如果7.2.4.1.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    7.2.4.2 安全方案设计  7.2.4.2.1 测评指标  见GB/T 22239-20087.2.4.2。  7.2.4.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否授权专门的部门对信息系统的安全建设进行总体规划，由何部门负责；   b) 应访谈系统建设负责人，询问是否根据系统的安全级别选择基本安全措施，是否依据风险分析的结果补充和调整安全措施，具体做过哪些调整；   c) 应访谈系统建设负责人，询问是否根据信息系统的等级划分情况统一考虑总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案等，是否经过论证和审定，是否经过审批，是否根  据等级测评、安全评估的结果定期调整和修订，维护周期多长；   d) 应检查系统的安全建设工作计划，查看文件是否明确了系统的近期安全建设计划和远期安全建设计划；   e) 应检查系统总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等配套文件，查看各个文件是否有机构管理层的批准；   f) 应检查专家论证文档，查看是否有相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的论证意见；   g) 应检查是否具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本，查看维护记录日期间隔与维护周期是否一致。    7.2.4.2.3 结果判定  如果7.2.4.2.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.3 产品采购和使用  7.2.4.3.1 测评指标  见GB/T 22239-20087.2.4.3。  7.2.4.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门负责产品的采购，由何部门负责；   b) 应访谈系统建设负责人，询问信息安全产品的采购情况，采购产品前是否预先对产品进行选型测试确定产品的候选范围，是否有产品采购清单指导产品采购，采购过程如何控制，是否定期审定和更新候  选产品名单，审定周期多长；   c) 应访谈系统建设负责人，询问系统是否采用了密码产品，密码产品的采购和使用是否符合国家密码主管部门的要求；   d) 应检查产品采购管理文档，查看内容是否明确需要的产品性能指标，确定产品的候选范围，通过招投标等方式确定采购产品及人员行为准则等方面；   e) 应检查系统使用的有关信息安全产品是否符合国家的有关规定；   f) 应检查密码产品的使用情况是否符合密码产品使用、管理的相关规定；   g) 应检查是否具有产品选型测试结果记录、候选产品名单审定记录或更新的候选产品名单。    7.2.4.3.3 结果判定  如果7.2.4.3.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.4 自行软件开发  7.2.4.4.1 测评指标  见GB/T 22239-20087.2.4.4。  7.2.4.4.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否进行自主开发软件，是否对程序资源库的修改、更新、发布进行授权和批准，授权部门是何部门，批准人是何人，是否要求开发人员不能做测试人员（即二者分离），  自主开发软件是否在独立的模拟环境中编写、调试和完成；   b) 应访谈系统建设负责人，询问软件设计相关文档和使用指南是否由专人负责保管，负责人是何人，如何控制使用，测试数据和测试结果是否受到控制；   c) 应访谈软件开发人员，询问其是否参照代码编写安全规范进行软件开发，开发之后是否交给测试人员测试软件；   d) 应检查软件开发管理制度，查看文件是否明确软件设计、开发、测试、验收过程的控制方法和人员行为准则，是否明确哪些开发活动应经过授权、审批，是否明确软件开发相关文档的管理等；   e) 应检查代码编写安全规范，查看规范中是否明确代码编写规则；   f) 应检查是否具有软件设计的相关文档（应用软件设计程序文件、源代码文档等）、软件使用指南或操作手册和维护手册等；   g) 应检查对程序资源库的修改、更新、发布进行授权和审批的文档或记录，查看是否有批准人的签字；   h) 应检查是否具有软件开发相关文档（软件设计和开发程序文件、测试数据、测试结果、维护手册等）的使用控制记录。    7.2.4.4.3 结果判定  如果7.2.4.4.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.5 外包软件开发  7.2.4.5.1 测评指标  见GB/T 22239-20087.2.4.5。  7.2.4.5.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问软件交付前是否依据开发要求的技术指标对软件功能和性能等进行验收测试，软件安装之前是否检测软件中的恶意代码，检测工具是否是第三方的商业产品；是否要求开发  单位提供源代码，是否根据源代码对软件中可能存在的后门进行审查；   b) 应检查是否具有需求分析说明书、软件设计说明书、软件操作手册、软件源代码文档等软件开发文档和使用指南；   c) 应检查软件源代码审查记录，查看是否包括对可能存在后门的审查结果。    7.2.4.5.3 结果判定  如果7.2.4.5.4 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.6 工程实施  7.2.4.6.1 测评指标  见GB/T 22239-20087.2.4.6。  7.2.4.6.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否有专门部门或人员负责工程实施管理工作，由何部门/何人负责，是否按照工程实施方案的要求对工程实施过程进行进度和质量控制，是否要求工程实施单位提供其能  够安全实施系统建设的资质证明和能力保证；   b) 应检查工程实施方案，查看其是否包括工程时间限制、进度控制和质量控制等方面内容；   c) 应检查是否具有按照实施方案形成的阶段性工程报告等文档；   d) 应检查工程实施管理制度，查看其是否包括工程实施过程的控制方法、实施参与人员的行为准则等方面内容。    7.2.4.6.3 结果判定  如果7.2.4.6.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.7 测试验收  7.2.4.7.1 测评指标    见GB/T 22239-20087.2.4.7。  7.2.4.7.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否有专门的部门负责测试验收工作，由何部门负责；是否委托第三方测试机构对信息系统进行独立的安全性测试；   b) 应访谈系统建设负责人，询问是否根据设计方案或合同要求组织相关部门和人员对系统测试验收报告进行审定；   c) 应检查工程测试验收方案，查看其是否明确说明参与测试的部门、人员、测试验收的内容、现场操作过程等内容；   d) 应检查测试验收记录是否详细记录了测试时间、人员、现场操作过程和测试验收结果等方面内容；   e) 应检查是否具有系统安全性测试报告，查看报告是否给出测试通过的结论（如果报告中提出了存在的问题，则检查是否有针对这些问题的改进报告），是否有第三方测试机构的签字或盖章；   f) 应检查是否具有系统测试验收报告，是否有对测试验收报告的审定文档，查看文档是否有相关人员的审定意见；   g) 应检查测试验收管理文档是否包括系统测试验收的过程控制方法、参与人员的行为规范等内容。    7.2.4.7.3 结果判定  如果7.2.4.7.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.8 系统交付  7.2.4.8.1 测评指标  见GB/T 22239-20087.2.4.8。  7.2.4.8.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否有专门的部门负责系统交接工作，系统交接时是否根据交付清单对所交接的设备、文档、软件等进行清点；   b) 应访谈系统建设负责人，询问目前的信息系统是否由内部人员独立运行维护，如果是，系统正式运行前是否对运行维护人员进行过培训，针对哪些方面进行过培训；   c) 应检查是否具有系统交付清单分类详细列项系统交付的各类设备、软件、文档等；   d) 应检查是否具有系统建设文档、指导用户进行系统运维的文档、系统培训手册等；   e) 应检查系统交付管理文档，查看其是否包括交付过程的控制方法和对交付参与人员的行为限制等方面内容；  f) 应检查培训记录，查看是否包括培训内容、培训时间和参与人员等。    7.2.4.8.3 结果判定  如果7.2.4.8.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.9 系统备案  7.2.4.9.1 测评指标  见GB/T 22239-20087.2.4.9。  7.2.4.9.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责管理系统定级的相关文档，由何部门/何人负责；   b) 应访谈文档管理员，询问对系统定级相关备案文档采取哪些控制措施；   c) 应检查是否具有将系统等级相关材料报主管部门备案的记录或备案文档；   d) 应检查是否具有将系统等级相关备案材料报相应公安机关备案的记录或证明；   e) 应检查是否具有系统定级相关材料的使用控制记录。    7.2.4.9.3 结果判定  如果7.2.4.9.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.4.10 安全服务商选择  7.2.4.10.1 测评指标  见GB/T 22239-20087.2.4.11。  7.2.4.10.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问信息系统选择的安全服务商有哪些，是否符合国家有关规定；   b) 应检查是否具有与安全服务商签订的安全责任合同书或保密协议等文档，查看其内容是否包含保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等；   c) 应检查是否具有与安全服务商签订的服务合同，查看是否包括服务内容、服务期限、双方签字或盖章等。    7.2.4.10.3 结果判定  如果7.2.4.10.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5 系统运维管理  7.2.5.1 环境管理  7.2.5.1.1 测评指标  见GB/T 22239-20087.2.5.1。  7.2.5.1.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否有专门的部门或人员对机房基础设施进行定期维护，由何部门或何人负责，维护周期多长，是否有专门的部门和人员负责机房环境安全管理工作；   b) 应访谈安全主管，询问为保证办公环境的保密性采取了哪些控制措施；   c) 应检查机房安全管理制度，查看其内容是否覆盖机房物理访问、物品带进和带出机房、机房环境安全等方面；   d) 应检查办公环境管理文档，查看其是否包括工作人员离开座位时退出登陆状态、桌面没有敏感信息文件、人员调离办公室时立即收回钥匙、不在办公区接待来访人员等方面内容；   e) 应检查机房基础设施维护记录，查看是否记录维护日期、维护人、维护设备、故障原因、维护结果等方面内容。    7.2.5.1.3 结果判定  如果7.2.5.1.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.2 资产管理  7.2.5.2.1 测评指标  见GB/T 22239-20087.2.5.2。  7.2.5.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有资产管理的责任人员或部门，由何部门/何人负责；   b) 应访谈资产管理员，询问是否依据资产的重要程度对资产进行分类和标识管理，不同类别的资产是否采取不同的管理措施；   c) 应检查资产清单，查看其内容是否覆盖资产责任部门、责任人、所处位置和重要程度等方面；   d) 应检查资产安全管理制度，查看其是否明确信息资产管理的责任部门、责任人，查看其内容是否覆盖资产使用、传输、存储、维护等方面；   e) 应检查信息分类文档，查看其内容是否明确了信息分类标识的原则和方法。    7.2.5.2.3 结果判定  如果7.2.5.2.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.3 介质管理  7.2.5.3.1 测评指标  见GB/T 22239-20087.2.5.3。  7.2.5.3.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问介质的存放环境是否采取保护措施防止介质被盗、被毁、介质内存储信息被未授权修改以及非法泄漏等，是否有专人管理；   b) 应访谈资产管理员，询问是否根据介质的目录清单对介质的使用现状进行定期检查，是否定期对其完整性（数据是否损坏或丢失）和可用性（介质是否受到物理破坏）进行检查，是否根据所承载数据和  软件的重要性对介质进行分类和标识管理；   c) 应访谈资产管理员，询, 问对介质带出工作环境和重要介质中的数据和软件是否进行保密性处理；对保密性较高的介质销毁前是否有领导批准，对送出维修或销毁的介质在送出之前是否对介质内存储数据  进行净化处理；询问对介质的物理传输过程是否要求选择可靠传输人员、严格介质的打包、选择安全的物理传输途径、双方在场交付等环节的控制；   d) 应访谈资产管理员，询问是否对某些重要介质实行异地存储，异地存储环境是否与本地环境相同；   e) 应检查介质管理记录，查看其是否记录介质的存储、归档、查询和借用等情况；   f) 应检查介质管理制度，查看其内容是否覆盖介质的存放环境、使用、维护和销毁等方面；   g) 应检查介质，查看是否对其进行了分类，并具有不同标识。    7.2.5.3.3 结果判定  如果7.2.5.3.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.4 设备管理  7.2.5.4.1 测评指标  见GB/T 22239-20087.2.5.4。  7.2.5.4.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问是否有专门的部门或人员对各种设备、线路进行定期维护，对各类测试工具进行有效性检查，由何部门/何人负责，维护周期多长；   b) 应访谈资产管理员，询问是否对设备选用的各个环节（选型、采购、发放和领用、涉外维修和服务及信息处理设备带离机构等）进行审批控制；   c) 应访谈安全审计员，询问对主要设备（包括备份和冗余设备）的操作是否建立日志，日志文件如何管理，是否定期检查管理情况；   d) 应检查设备安全管理制度，查看其内容是否明确对各种软硬件设备的选型、采购、发放和领用以及带离机构等环节进行申报和审批；   e) 应检查配套设施、软硬件维护方面的管理制度，查看其是否对配套设施、软硬件维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制管理等；   f) 应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面；   g) 应检查主要设备（包括备份和冗余设备）的操作规程，查看其内容是否覆盖服务器如何启动、停止、加电、断电等操作；   h) 应检查是否具有设备的选型、采购、发放和领用以及带离机构等的申报材料和审批报告；   i) 应检查是否具有设备维护记录和主要设备的操作日志。    7.2.5.4.3 结果判定  如果7.2.5.4.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.5 监控管理和安全管理中心  7.2.5.5.1 测评指标  见GB/T 22239-20087.2.5.5。  7.2.5.5.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否建立安全管理中心，对通信线路、主机、网络设备和应用软件的运行状况，对设备状态、恶意代码、网络流量、补丁升级、安全审计等安全相关事项进行集中管理，是  否形成监测记录文档，是否组织人员对监测记录进行整理并保管；   b) 应访谈系统运维负责人，询问其是否组织人员定期对监测记录进行分析、评审，是否发现可疑行为并对其采取必要的措施，是否形成分析报告；   c) 应检查是否具有安全管理中心，安全管理中心是否对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理；   d) 应检查监控记录，查看是否记录监控对象、监控内容、监控的异常现象处理等方面；   e) 应检查监测分析报告，查看是否包括监测的异常现象、处理措施等。    7.2.5.5.3 结果判定  如果7.2.5.5.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.6 网络安全管理  7.2.5.6.1 测评指标  见GB/T 22239-20087.2.5.6。  7.2.5.6.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否指定专人负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作；网络的外联种类有哪些，是否都得到授权与批准，由何部门或何人批准；   b) 应访谈网络管理员，询问是否根据厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件（帐户数据、设备配置文件等）进行备份，采取什么方式；   c) 应访谈网络管理员，询问是否实现网络设备的最小服务配置，对配置文件是否进行定期离线备份，采取什么方式；是否定期检查拨号上网等违反网络安全策略的行为；   d) 应访谈安全管理员，询问是否定期对网络设备进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；   e) 应检查网络漏洞扫描报告，查看其内容是否包含网络存在的漏洞、严重级别和结果处理等方面，检查扫描时间间隔与扫描周期是否一致；   f) 应检查网络安全管理制度，查看其是否覆盖网络安全配置、安全策略、升级与打补丁、最小服务、授权访问、日志保存时间、口令更新周期、文件备份等方面内容，查看安全策略是否包括允许或者拒绝  便携式和移动式设备的网络接入；   g) 应检查是否具有内部网络外联的授权批准书；   h) 应检查是否具有网络设备配置文件的离线备份文件；   i) 应检查是否具有网络审计日志，检查日志是否在规定的保存时间范围内。    7.2.5.6.3 结果判定  如果7.2.5.6.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.7 系统安全管理  7.2.5.7.1 测评指标  见GB/T 22239-20087.2.5.7。  7.2.5.7.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否指定专人对系统进行管理，对系统管理员用户是否进行分类，明确各个角色的权限、责任和风险，权限设定是否遵循最小授权原则；   b) 应访谈系统管理员，询问是否根据业务需求和系统安全分析制定系统的访问控制策略，控制分配信息系统、文件及服务的访问权限；   c) 应访谈系统管理员，询问是否定期对系统安装安全补丁程序，在安装系统补丁前是否对重要文件进行备份，采取什么方式进行，是否先在测试环境中测试通过再安装；   d) 应访谈安全管理员，询问是否定期对系统进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；   e) 应检查系统安全管理制度，查看其内容是否覆盖系统安全策略、安全配置、日志管理、日常操作流程等具体内容；   f) 应检查是否有详细操作日志（包括重要的日常操作、运行维护记录、参数的设置和修改等内容）；   g) 应检查是否有定期对运行日志和审计结果进行分析的分析报告，查看报告是否能够记录帐户的连续多次登录失败、非工作时间的登录、访问受限系统或文件的失败尝试、系统错误等非正常事件；   h) 应检查系统漏洞扫描报告，查看其内容是否包含系统存在的漏洞、严重级别和结果处理等方面，检查扫描时间间隔与扫描周期是否一致。    7.2.5.7.3 结果判定  如果7.2.5.7.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.8 恶意代码防范管理  7.2.5.8.1 测评指标  见GB/T 22239-20087.2.5.8。  7.2.5.8.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否对员工进行基本恶意代码防范意识教育，是否告知应及时升级软件版本，使用外来设备、网络上接收文件和外来计算机或存储设备接入网络系统之前应进行病毒检查等  ；   b) 应访谈系统运维负责人，询问是否指定专人对恶意代码进行检测，发现病毒后是否及时处理；   c) 应访谈安全管理员，询问是否定期检查恶意代码库的升级情况，对截获的危险病毒或恶意代码是否及时进行分析处理，并形成书面的报表和总结汇报；   d) 应检查恶意代码防范管理文档，查看其内容是否覆盖防恶意代码软件的授权使用、恶意代码库升级、定期汇报等方面；   e) 应检查是否具有恶意代码检测记录、恶意代码库升级记录和分析报告，查看升级记录是否记录升级时间、升级版本等内容；查看分析报告是否描述恶意代码的特征、修补措施等内容。    7.2.5.8.3 结果判定  如果7.2.5.8.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.9 密码管理  7.2.5.9.1 测评指标  见GB/T 22239-20087.2.5.9。  7.2.5.9.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问密码技术和产品的使用是否遵照国家密码管理规定；   b) 应检查是否具有密码使用管理制度。    7.2.5.9.3 结果判定  如果7.2.5.9.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.10 变更管理  7.2.5.10.1 测评指标  见GB/T 22239-20087.2.5.10。  7.2.5.10.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否制定变更方案指导系统执行变更，目前系统发生过哪些变更，变更方案是否经过评审，变更过程是否文档化；   b) 应访谈系统运维负责人，询问重要系统变更前是否根据申报和审批程序得到有关领导的批准，由何人批准，对发生的变更情况是否通知了所有相关人员，以何种方式通知；   c) 应访谈系统运维负责人，询问变更失败后的恢复程序、工作方法和人员职责是否文档化，恢复过程是否经过演练；   d) 应检查系统变更方案，查看其是否覆盖变更类型、变更原因、变更过程、变更前评估等方面内容；   e) 应检查重要系统的变更申请书，查看其是否有主管领导的批准签字；   f) 应检查变更管理制度，查看其是否覆盖变更前审批、变更过程记录、变更后通报等方面内容；   g) 应检查变更控制的申报、审批程序，查看其是否规定需要申报的变更类型、申报流程、审批部门、批准人等方面内容；   h) 应检查变更失败恢复程序，查看其是否规定变更失败后的恢复流程；   i) 应检查是否具有变更方案评审记录和变更过程记录文档。    7.2.5.10.3 结果判定  如果7.2.5.10.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.11 备份与恢复管理  7.2.5.11.1 测评指标  见GB/T 22239-20087.2.5.11。  7.2.5.11.2 测评实施  本项要求包括：  a) 应访谈系统管理员、数据库管理员和网络管理员，询问是否识别出需要定期备份的业务信息、系统数据及软件系统，主要有哪些；   b) 应访谈系统管理员、数据库管理员和网络管理员，询问是否定期执行恢复程序，周期多长，系统是否按照恢复程序完成恢复，如有问题，是否针对问题改进恢复程序或调整其他因素；   c) 应检查备份和恢复管理制度，查看其是否明确备份方式、备份频度、存储介质和保存期等方面内容；   d) 应检查数据备份和恢复策略文档，查看其内容是否覆盖数据的存放场所、文件命名规则、介质替换频率、数据离站传输方法等方面；   e) 应检查备份和恢复记录，查看其是否包含备份内容、备份操作、备份介质存放等内容，记录内容与备份和恢复策略是否一致。    7.2.5.11.3 结果判定  如果7.2.5.11.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.12 安全事件处置  7.2.5.12.1 测评指标  见GB/T 22239-20087.2.5.12。  7.2.5.12.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否告知用户在发现安全弱点和可疑事件时应及时报告，不同安全事件是否采取不同的处理和报告程序；   b) 应访谈系统运维负责人，询问是否根据本系统已发生的和需要防止发生的安全事件对系统的影响程度划分不同等级，划分为几级，划分方法是否参照了国家相关管理部门的技术资料，主要参照哪些；   c) 应检查安全事件报告和处置管理制度，查看其是否明确本系统已发生的和需要防止发生的安全事件类型，是否明确安全事件的现场处理、事件报告和后期恢复的管理职责；   d) 应检查安全事件定级文档，查看其是否明确安全事件的定义、安全事件等级划分原则、等级描述等方面内容；   e) 应检查安全事件记录分析文档，查看其是否记录引发安全事件的原因，是否记录事件处理过程，不同安全事件是否采取不同措施避免其再次发生；   f) 应检查安全事件报告和处理程序文档，查看其是否根据不同安全事件制定不同的处理和报告程序，及响应和处置的范围、程度、处理方法，是否明确具体报告方式、报告内容、报告人等方面内容。    7.2.5.12.3 结果判定  如果7.2.5.12.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  7.2.5.13 应急预案管理  7.2.5.13.1 测评指标  见GB/T 22239-20087.2.5.13。  7.2.5.13.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否制定不同事件的应急预案，是否对系统相关人员进行应急预案培训，多长时间举办一次，是否定期对应急预案进行演练，演练周期多长，是否对应急预案定期进行审查  ；   b) 应访谈系统运维负责人，询问是否具有应急预案小组，是否具备应急设备并能正常工作，应急预案执行所需资金是否做过预算并能够落实；   c) 应检查应急预案框架，查看其内容是否覆盖启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等方面；   d) 应检查是否具有根据应急预案框架制定的不同事件的应急预案；   e) 应检查是否具有定期审查应急预案的管理规定，查看是否明确应急预案中需要定期审查和根据实际情况更新的内容；   f) 应检查是否具有应急预案培训记录、演练记录和审查记录。    7.2.5.13.3 结果判定  如果7.2.5.13.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8 第四级信息系统单元测评  8.1 安全技术测评  8.1.1 物理安全  8.1.1.1 物理位置的选择  8.1.1.1.1 测评指标  见GB/T 22239-20088.1.1.1。  8.1.1.1.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问现有机房和办公场地（放置终端计算机设备）的环境条件是否能够满足信息系统业务需求和安全管理需求，是否具有基本的防震、防风和防雨等能力；询问机房场地是否符  合选址要求，机房与办公场地是否尽量安排在一起或物理位置较近的地方；   b) 应访谈机房维护人员，询问是否存在因机房和办公场地环境条件引发的安全事件或安全隐患；如果某些环境条件不能满足，是否及时采取了补救措施；   c) 应检查机房和办公场地的设计或验收文档，是否有机房和办公场地所在建筑能够具有防震、防风和防雨等能力的说明；是否有机房场地的选址说明；是否与机房和办公场地实际情况相符合；   d) 应检查机房和办公场地是否在具有防震、防风和防雨等能力的建筑内；   e) 应检查机房场地是否不在建筑物的高层或地下室，以及用水设备的下层或隔壁。    8.1.1.1.3 结果判定  如果8.1.1.1.2 c）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.1.2 物理访问控制  8.1.1.2.1 测评指标  见GB/T 22239-20088.1.1.2。  8.1.1.2.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，了解部署了哪些控制人员进出机房的保护措施；   b) 应访谈物理安全负责人，如果业务或安全管理需要，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求；是否严格控制来访人员进入或一般不允许来访人员进入；   c) 应访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的来访人员记录在案；  d) 应检查机房安全管理制度，查看是否有关于机房出入方面的规定；   e) 应检查机房出入口是否有专人值守，是否有值守记录以及进出机房的来访人员登记记录；检查机房是否不存在电子门禁系统控制之外的其他出入口；   f) 应检查是否有来访人员进入机房的审批记录，进出机房的有关记录是否保存足够的时间；   g) 应检查机房区域划分是否合理，是否在机房重要区域前设置交付或安装等过渡区域；是否在不同机房间和同一机房不同区域间设置了有效的物理隔离装置；   h) 应检查机房和重要区域配置的电子门禁系统是否有验收文档或产品安全认证资质；   i) 应检查每道电子门禁系统是否都能正常工作；查看是否有每道电子门禁系统的运行和维护记录；查看监控进入机房的电子门禁系统记录，是否能够鉴别和记录进入人员的身份。    8.1.1.2.3 结果判定  本项要求包括：  a) 如果8.1.1.2.2 a）访谈回答内容包括：指定了专人在机房出入口值守，对进入的来访人员登记在案并进行身份鉴别，对来访人员须经批准、限制和监控其活动范围，机房配置了电子门禁系统，重要区域  配置了第二道电子门禁系统，则为肯定；   b) 如果8.1.1.2.2 d）检查结果包括：制定了机房出入的管理制度，指定了专人在机房出入口值守，对进入的来访人员登记在案并进行身份鉴别，对来访人员须经批准、限制和监控其活动范围，两道电子门  禁系统的管理，则为肯定；   c) 如果8.1.1.2.2 a）、d）- i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.1.3 防盗窃和防破坏  8.1.1.3.1 测评指标  见GB/T 22239-20088.1.1.3。  8.1.1.3.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，采取了哪些防止设备、介质等丢失的保护措施；   b) 应访谈机房维护人员，询问主要设备放置位置是否做到安全可控，设备或主要部件是否进行了固定和标记，通信线缆是否铺设在隐蔽处；是否对机房安装的防盗报警系统和监控报警系统定期进行维护检  查；   c) 应访谈资产管理员，介质是否进行了分类标识管理，介质是否存放在介质库或档案室内进行管理；   d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围内；检查主要设备或设备的主要部件的固定情况，查看其是否不易被移动或被搬走，是否设置明显的不易除去的标记；是否有设备  物理位置图，是否经常检查设备物理位置的变化；   e) 应检查通信线缆铺设是否在隐蔽处；   f) 应检查介质的管理情况，查看介质是否有正确的分类标识，是否存放在介质库或档案室中；   g) 应检查机房防盗报警设施是否正常运行，并查看是否有运行和报警记录；应检查机房的摄像、传感等监控报警系统是否正常运行，并查看是否有运行记录、监控记录和报警记录；   h) 应检查是否有通信线路布线文档、介质清单和使用记录，是否有机房防盗报警设施和监控报警设施的安全资质材料、安装测试和验收报告；   i) 应检查通信线缆铺设情况，查看通信线缆铺设实际情况是否与相关文档的条文相一致。    8.1.1.3.3 结果判定  如果8.1.1.3.2 d）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.1.4 防雷击  8.1.1.4.1 测评指标  见GB/T 22239-20088.1.1.4。    8.1.1.4.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问为防止雷击事件导致重要设备被破坏采取了哪些防护措施，机房建筑是否设置了避雷装置，是否通过验收或国家有关部门的技术检测；询问机房计算机系统接地是否设置了  专用地线，是否在电源和信号线上安装避雷装置；   b) 应访谈机房维护人员，询问机房建筑避雷装置是否有人定期进行检查和维护；询问机房交流工作接地、安全保护接地和防雷接地等是否符合机房设计相关国家标准的要求；   c) 应检查机房是否有建筑防雷设计或验收文档，查看是否有地线连接要求的描述，与实际情况是否一致；   d) 应检查机房是否在电源和信号线上安装避雷装置；   e) 应测试机房安全保护地、防雷保护地、交流工作地的接地电阻，是否达到接地电阻的相关国家标准要求。    8.1.1.4.3 结果判定  如果8.1.1.4.2 c）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.1.5 防火  8.1.1.5.1 测评指标  见GB/T 22239-20088.1.1.5。  8.1.1.5.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房是否设置了灭火设备，是否设置了自动检测火情、自动报警、自动灭火的自动消防系统，是否有专人负责维护该系统的运行，是否制定了有关机房消防的管理制度和消  防预案，是否进行了消防培训；   b) 应访谈物理安全负责人，询问机房及相关的工作房间和辅助房是否采用具有耐火等级的建筑材料；   c) 应访谈机房维护人员，询问是否对火灾自动消防系统定期进行检查和维护；   d) 应访谈机房值守人员，询问对机房出现的消防安全隐患是否能够及时报告并得到排除；是否参加过机房灭火设备的使用培训，是否能够正确使用灭火设备和自动消防系统；是否能够做到随时注意防止和  消灭火灾隐患；   e) 应检查机房是否设置了自动检测火情、自动报警、自动灭火的自动消防系统，自动消防系统摆放位置是否合理，其有效期是否合格；应检查自动消防系统是否正常工作，查看是否有运行记录、报警记录  、定期检查和维修记录；   f) 应检查是否有机房消防方面的管理制度文档；检查是否有机房防火设计或验收文档；检查是否有机房自动消防系统的设计或验收文档，文档是否与现有消防配置状况一致；检查是否有机房及相关房间的  建筑材料、区域隔离防火措施的验收文档或消防检查验收文档；   g) 应检查机房及相关的工作房间和辅助房是否采用具有耐火等级的建筑材料；   h) 应检查机房是否采取区域隔离防火措施，将重要设备与其他设备隔离开。    8.1.1.5.3 结果判定  如果8.1.1.5.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.1.6 防水和防潮  8.1.1.6.1 测评指标  见GB/T 22239-20088.1.1.6。  8.1.1.6.2 测评实施    本项要求包括：  a) 应访谈物理安全负责人，询问机房是否部署了防水防潮措施；如果机房内有上/下水管安装，是否避免穿过屋顶和活动地板下，穿过墙壁和楼板的水管是否采取了保护措施；在湿度较高地区或季节是否  有人负责机房防水防潮事宜，配备除湿装置；   b) 应访谈机房维护人员，询问机房是否没有出现过漏水和返潮事件；如果机房内有上/下水管安装，是否经常检查其漏水情况；如果出现机房水蒸气结露和地下积水的转移与渗透现象是否及时采取防范措  施；   c) 应检查机房是否有建筑防水和防潮设计或验收文档，文档是否与机房防水防潮的实际情况相一致；   d) 应检查穿过主机房墙壁或楼板的管道是否采取必要的防渗防漏等防水保护措施；   e) 应检查机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、渗透和返潮现象，则查看是否能够及时修复解决；   f) 对湿度较高的地区，应检查机房是否有湿度记录，是否有除湿装置并能够正常运行，是否有防  止出现机房地下积水的转移与渗透的措施，是否有防水防潮处理记录和除湿装置运行记录；   g) 应检查是否设置对水敏感的检测仪表或元件，对机房进行防水检测和报警，查看该仪表或元件是否正常运行，是否有运行记录，是否有人负责其运行管理工作。    8.1.1.6.3 结果判定  如果8.1.1.6.2 c）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.1.7 防静电  8.1.1.7.1 测评指标  见GB/T 22239-20088.1.1.7。  8.1.1.7.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问机房主要设备是否采取必要的接地防静电措施，是否不存在静电问题或因静电引发的安全事件；在静电较强地区的机房是否采取了有效的防静电措施，存在静电时是否及时  采取消除静电的措施；   b) 应检查机房是否有防静电设计或验收文档，查看其描述内容与实际情况是否一致；   c) 应检查主要设备是否有安全接地，查看机房是否不存在明显的静电现象；   d) 应检查机房是否采用了防静电地板；   e) 应检查机房是否采用了防静电工作台、静电消除剂或静电消除器等防静电措施；应查看是否有使用静电消除剂或静电消除器等的除湿操作记录。    8.1.1.7.3 结果判定  本项要求包括：  a)8.1.1.7.2 e）有效的防静电措施，可以包括如防静电工作台、静电消除剂和静电消除器等措施的部分或全部；   b) 如果8.1.1.7.2 b）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.1.8 温湿度控制  8.1.1.8.1 测评指标  见GB/T 22239-20088.1.1.8。  8.1.1.8.2 测评实施  本项要求包括：    a) 应访谈物理安全负责人，询问机房是否配备了温湿度自动调节设施，保证温湿度能够满足计算机设备运行的要求，是否在机房管理制度中规定了温湿度控制的要求，是否有人负责此项工作，是否定期检  查和维护机房的温湿度自动调节设施；询问是否没有出现过温湿度影响系统运行的事件；   b) 应检查机房是否有温湿度控制设计或验收文档，是否能够满足系统运行需要，是否与当前实际情况相符；   c) 应检查温湿度自动调节设施是否能够正常运行，查看是否有温湿度记录、运行记录和维护记录；查看机房温湿度是否满足计算站场地的技术条件要求。    8.1.1.8.3 结果判定  如果8.1.1.8.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.1.9 电力供应  8.1.1.9.1 测评指标  见GB/T 22239-20088.1.1.9。  8.1.1.9.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问计算机系统供电线路上是否设置了稳压器和过电压防护设备；是否设置了短期备用电源设备，供电时间是否满足系统最低电力供应需求；是否安装了冗余或并  行的电力电缆线路；是否建立备用供电系统；   b) 应访谈机房维护人员，询问冗余或并行的电力电缆线路在双路供电切换时是否能够对计算机系统正常供电；备用供电系统是否能够在规定时间内正常启动和正常供电；   c) 应检查机房是否有电力供应安全设计或验收文档，查看文档中是否标明配备稳压器、过电压防护设备、备用电源设备、冗余或并行的电力电缆线路以及备用供电系统等要求；查看与机房电力供应实际情  况是否一致；   d) 应检查机房，查看计算机系统供电线路上的稳压器、过电压防护设备和短期备用电源设备是否正常运行，查看供电电压是否正常；  e) 应检查是否有稳压器、过电压防护设备、短期备用电源设备以及备用供电系统等设备的检查和维护记录，冗余或并行的电力电缆线路切换记录，备用供电系统运行记录；以及上述计算机系统供电的运行  记录，是否能够符合系统正常运行的要求；   f) 应测试安装的冗余或并行的电力电缆线路，是否能够进行双路供电切换；   g) 应测试备用供电系统是否能够在规定时间内正常启动和正常供电。    8.1.1.9.3 结果判定  如果8.1.1.9.2 c）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.1.10 电磁防护  8.1.1.10.1 测评指标  见GB/T 22239-20088.1.1.10。  8.1.1.10.2 测评实施  本项要求包括：  a) 应访谈物理安全负责人，询问是否有防止外界电磁干扰和设备寄生耦合干扰的措施；是否对处理秘密级信息的设备和磁介质采取了防止电磁泄漏的措施；是否在必要时对机房采用了电子屏蔽或安装屏蔽  机房；   b) 应访谈机房维护人员，询问是否对设备外壳做了良好的接地；是否做到电源线和通信线缆隔离；是否出现过因电磁防护问题引发的故障；处理秘密级信息的设备是否为低辐射设备；重要设备和磁介质是  否存放在具有电磁屏蔽功能的容器中；   c) 应检查机房是否有电子屏蔽或屏蔽机房设计或验收文档；是否有电子屏蔽或屏蔽机房的管理制度文档；   d) 应检查机房设备外壳是否有安全接地；   e) 应检查机房布线，查看是否做到电源线和通信线缆隔离；   f) 应检查关键设备和磁介质是否存放在具有电磁屏蔽功能的容器中；   g) 对采用了电子屏蔽的机房，应检查在机房有设备运行时是否开启了电子屏蔽装置；检查进入机房的电源线和非光纤通信线是否经过滤波器，光纤通信线是否经过波导管，机房门是否及时关闭；   h) 对屏蔽机房，应检查是否有定期测试电磁泄漏的报告；   i) 对屏蔽机房，应测试机房的电磁泄漏状况。    8.1.1.10.3 结果判定  如果8.1.1.10.2 c）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.2 网络安全  8.1.2.1 结构安全  8.1.2.1.1 测评指标  见GB/T 22239-20088.1.2.1。  8.1.2.1.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问网络设备的性能以及目前业务高峰流量情况；   b) 应访谈网络管理员，询问网段划分情况以及划分原则；询问重要网段有哪些，其具体的部署位置，与其他网段的隔离措施有哪些；   c) 应访谈网络管理员，询问网络的带宽情况；询问网络中带宽控制情况以及带宽分配的原则；   d) 应访谈网络管理员，询问网络设备的路由控制策略有哪些，这些策略设计的目的是什么；   e) 应检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致；   f) 应检查网络设计或验收文档，查看是否有网络设备业务处理能力、接入网络及核心网络的带宽满足业务高峰期的需要以及不存在带宽瓶颈等方面的设计或描述；   g) 应检查网络设计或验收文档，查看是否有根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网和网段分配地址段的设计或描  述；   h) 应检查边界和网络设备，查看是否配置路由控制策略以建立安全的访问路径；   i) 应检查边界和网络设备，查看重要网段是否采取了技术隔离手段与其他网段隔离；   j) 应检查边界和网络设备，查看是否有对带宽进行控制的策略，这些策略是否能够保证在网络发生拥堵的时候优先保护重要业务。    8.1.2.1.3 结果判定  本项要求包括：  a) 如果8.1.2.1.2 e）-g）缺少相应文档资料，则为否定；   b) 如果8.1.2.1.2 e）-j）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.2.2 访问控制  8.1.2.2.1 测评指标  见GB/T 22239-20088.1.2.2。    8.1.2.2.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络访问控制措施有哪些；询问访问控制策略的设计原则是什么；询问访问控制策略是否做过调整，以及调整后和调整前的情况如何；询问是否不允许远程拨号访问网络；   b) 应检查网络设计或验收文档，查看其是否有根据数据的敏感标记允许或拒绝数据通过，不提供拨号访问网络功能的描述；   c) 应检查边界网络设备，查看是否有相应的访问控制措施来实现禁止数据带通用协议通过；   d) 应检查边界网络设备，查看是否能有根据数据的敏感标记允许或拒绝数据通过的功能；   e) 应检查边界网络设备，查看是否禁用远程拨号访问功能；   f) 应测试边界网络设备，可通过发送带通用协议的数据，测试访问控制措施是否有效阻断这种连接。    8.1.2.2.3 结果判定  如果8.1.2.2.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.2.3 安全审计  8.1.2.3.1 测评指标  见GB/T 22239-20088.1.2.3。  8.1.2.3.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问对边界和网络设备是否实现集中安全审计，审计内容包括哪些项；询问审计内容是什么，对审计记录的处理方式有哪些；   b) 应检查边界和网络设备，查看审计策略是否对网络设备运行状况、网络流量、用户行为等进行全面的监测、记录；   c) 应检查边界和网络设备，查看审计记录是否包括：事件的日期和时间、用户、事件类型、事件成功情况及其他与审计相关的信息；   d) 应检查边界和网络设备，查看其是否为授权用户浏览和分析审计数据提供专门的审计工具，并能根据需要生成审计报表；   e) 应检查边界和网络设备，查看其审计跟踪设置是否定义了审计跟踪极限的阈值，当存储空间被耗尽时，是否能够采取必要的保护措施，例如，报警并导出、丢弃未记录的审计信息、暂停审计或覆盖以前  的审计记录等；   f) 应检查边界和主要网络设备，查看时钟是否保持一致；   g) 应测试边界和网络设备，可通过以某个非审计用户登录系统，试图删除、修改或覆盖审计记录，验证安全审计的保护情况与要求是否一致。    8.1.2.3.3 结果判定  如果8.1.2.3.2 b）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.2.4 边界完整性检查  8.1.2.4.1 测评指标  见GB/T 22239-20088.1.2.4。  8.1.2.4.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问是否对内部e户私自连接到外部网络的行为以及非授权设备私自接入到内部网络的行为进行监控；   b) 应检查边界完整性检查设备，查看是否设置了对非法连接到内网和非法连接到外网的行为进行监控并有效的阻断的配置；   c) 应测试边界完整性检查设备，测试是否能够确定出非法外联设备的位置，并对其进行有效阻断；   d) 应测试边界完整性检查设备，测试是否能够对非授权设备私自接入内部网络的行为进行检查，并准确定出位置，对其进行有效阻断。    8.1.2.4.3 结果判定  如果8.1.2.4.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.2.5 入侵防范  8.1.2.5.1 测评指标  见GB/T 22239-20088.1.2.5。  8.1.2.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络入侵防范措施有哪些；询问是否有专门设备对网络入侵进行防范；询问网络入侵防范规则库的升级方式；   b) 应检查网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等；   c) 应检查网络入侵防范设备，查看入侵事件记录中是否包括入侵的源IP、攻击的类型、攻击的目的、攻击的时间等；查看是否设置了安全警告方式；查看是否设置了在发生严重入侵事件时自动采取相应动  作的配置；   d) 应检查网络入侵防范设备，查看其规则库是否为最新；   e) 应测试网络入侵防范设备，验证其检测策略是否有效；   f) 应测试网络入侵防范设备，验证其报警策略是否有效。    8.1.2.5.3 结果判定  如果8.1.2.5.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.2.6 恶意代码防范  8.1.2.6.1 测评指标  见GB/T 22239-20088.1.2.6。  8.1.2.6.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问网络恶意代码防范措施是什么；询问恶意代码库的更新策略；   b) 应检查网络设计或验收文档，查看其是否有在网络边界及核心业务网段处对恶意代码采取相关措施的描述，防恶意代码产品是否有实时更新功能的描述；   c) 应检查在网络边界及核心业务网段处是否有相应的防恶意代码措施；   d) 应检查防恶意代码产品，查看其运行是否正常，恶意代码库是否为最新版本。    8.1.2.6.3 结果判定  本项要求包括：  a) 如果8.1.2.6.2 b）缺少相应文档资料，则为否定；   b) 如果8.1.2.6.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.2.7 网络设备防护  8.1.2.7.1 测评指标  见GB/T 22239-20088.1.2.7。    8.1.2.7.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问网络设备的防护措施有哪些，询问网络设备的登录和验证方式做过何种特定配置；询问网络特权用户的权限如何分配；   b) 应访谈网络管理员，询问网络设备的口令策略是什么；   c) 应检查边界和主要网络设备，查看是否配置了登录用户身份鉴别功能，口令设置是否有复杂度和定期修改要求；   d) 应检查边界和主要网络设备，查看是否对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别且其中一种是不可伪造的；   e) 应检查边界和网络设备，查看是否配置了鉴别失败处理功能；   f) 应检查边界和网络设备，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能；   g) 应检查边界和网络设备，查看是否对网络设备的管理员登录地址进行限制；查看是否设置网络登录连接超时，并自动退出；查看是否实现设备特权用户的权限分离；   h) 应对边界和网络设备进行渗透测试，通过使用各种渗透测试技术对网络设备进行渗透测试，验证网络设备防护能力是否符合要求。    8.1.2.7.3 结果判定  如果8.1.2.7.2 c）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3 主机安全  8.1.3.1 身份鉴别  8.1.3.1.1 测评指标  见GB/T 22239-20088.1.3.1。  8.1.3.1.2 测评实施  本项要求包括：  a) 应访谈系统管理员和数据库管理员，询问操作系统和数据库管理系统的身份标识与鉴别机制采取何种措施实现；   b) 应访谈系统管理员和数据库管理员，询问对操作系统和数据库管理系统是否采用了远程管理，如采用了远程管理，查看是否采用了防止鉴别信息在网络传输过程中被窃听的措施；   c) 应检查服务器操作系统和数据库管理系统帐户列表，查看管理员用户名分配是否唯一；   d) 应检查服务器操作系统和数据库管理系统，查看是否提供了身份鉴别措施，身份鉴别信息是否具有不易被冒用的特点，如对用户登录口令的最小长度、复杂度和更换周期进行了要求和限制；   e) 应检查服务器操作系统和数据库管理系统，查看身份鉴别是否采用两个以上身份鉴别技术的组合来进行身份鉴别，并且有一种是不可伪造的；   f) 应检查服务器操作系统和数据库管理系统，查看是否配置了鉴别失败处理功能，并设置了非法登录次数的限制值；查看是否配置网络登录连接超时自动退出的功能；   g) 应测试服务器操作系统和数据库管理系统，通过正常登录，查看是否有登录警示信息，并且在警示信息中是否有未授权访问可能导致的后果的描述。   h) 应渗透测试服务器操作系统，可通过使用口令破解工具等，对服务器操作系统进行用户口令强度检测，查看是否能够破解用户口令，破解口令后是否能够登录进入系统；   i) 应渗透测试服务器操作系统，测试是否存在绕过认证方式进行系统登录的方法。    8.1.3.1.3 结果判定  如果8.1.3.1.2 c）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.3.2 安全标记  8.1.3.2.1 测评指标  见GB/T 22239-20088.1.3.2。  8.1.3.2.2 测评实施  本项要求包括：  a) 应检查服务器操作系统和数据库管理系统，查看是否能对所有主体和客体设置敏感标记，这些敏感标记是否构成多级安全模型的属性库，主体和客体的敏感标记是否以默认方式生成或由安全员建立、维  护和管理；   b) 应测试服务器操作系统和数据库管理系统，对主体和客体设置敏感标记，以授权用户和非授权用户身份访问客体，验证是否只有授权用户可以访问客体，而非授权用户不能访问客体。    8.1.3.2.3 结果判定  如果8.1.3.2.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3.3 访问控制  8.1.3.3.1 测评指标  见GB/T 22239-20088.1.3.3。  8.1.3.3.2 测评实施  本项要求包括：  a) 应检查服务器操作系统的安全策略，查看是否对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用或删除；   b) 应检查主要服务器操作系统和主要数据库管理系统，查看匿名/默认用户的访问权限是否已被禁用或者严格限制，是否删除了系统中多余的、过期的和共享的帐户；   c) 应检查主要服务器操作系统和主要数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制；   d) 应检查数据库服务器的数据库管理员与操作系统管理员是否由不同管理员担任。   e) 应检查服务器操作系统和数据库管理系统，查看特权用户的权限是否进行分离，如可分为系统管理员、安全管理员、安全审计员等；查看是否采用最小授权原则；   f) 应检查主要服务器操作系统和主要数据库管理系统，查看是否依据安全策略和所有主体和客体设置的敏感标记控制主体对客体的访问；访问控制的粒度是否达到主体为用户级或进程级，客体为文件、数  据库表、记录和字段级。    8.1.3.3.3 结果判定  如果8.1.3.3.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3.4 可信路径  8.1.3.4.1 测评指标  见GB/T 22239-20088.1.3.4。  8.1.3.4.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问在什么情况下起用可信路径进行初始登录；目前系统提供了哪些方式的可信路径；   b) 应检查服务器操作系统文档，查看系统提供了哪些可信路径功能；   c) 应检查服务器操作系统，查看文档声称的可信路径功能是否有效；   d) 应检查数据库管理系统文档，查看系统提供了哪些可信路径功能；   e) 应检查数据库管理系统，查看文档声称的可信路径功能是否有效。    8.1.3.4.3 结果判定   如果8.1.3.4.2 b）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3.5 安全审计  8.1.3.5.1 测评指标  见GB/T 22239-20088.1.3.5。  8.1.3.5.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问主机系统的安全审计策略是否包括系统内重要用户行为、系统资源的异常和重要系统命令的使用等重要的安全相关事件；   b) 应检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统，查看安全审计配置是否符合安全审计策略的要求；   c) 应检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统，查看审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、事件的结果等内容  ；   d) 应检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统，查看是否对审计记录实施了保护措施，使其避免受到未预期的删除、修改或覆盖等。   e) 应检查主要服务器和重要终端操作系统，查看是否为授权用户提供浏览和分析审计记录的功能，是否可以根据需要自动生成不同格式的审计报表；   f) 应检查服务器操作系统、重要终端操作系统和数据库管理系统，查看是否实现了集中审计功能，通过集中审计平台将服务器操作系统、重要终端操作系统和数据库管理系统的审计记录进行集中存储、管  理、查看和统计分析；   g) 应测试主要服务器操作系统、重要终端操作系统和主要数据库管理系统，可试图通过非审计员的其他帐户来中断审计进程，验证审计进程是否受到保护。    8.1.3.5.3 结果判定  如果8.1.3.5.2 b）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3.6 剩余信息保护  8.1.3.6.1 测评指标  见GB/T 22239-20088.1.3.6。  8.1.3.6.2 测评实施  本项要求包括：  a) 应检查操作系统和数据库管理系统维护操作手册，查看是否明确用户的鉴别信息存储空间被释放或再分配给其他用户前的处理方法和过程；是否明确文件、目录和数据库记录等资源所在的存储空间被释  放或重新分配给其他用户前的处理方法和过程。    8.1.3.6.3 结果判定  如果8.1.3.6.2 a）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3.7 入侵防范  8.1.3.7.1 测评指标  见GB/T 22239-20088.1.3.7。  8.1.3.7.2 测评实施  本项要求包括：  a) 应访谈系统管理员，询问是否采取入侵防范措施，入侵防范内容是否包括主机运行监视、特定进程监控、入侵行为检测和完整性检测等方面内容；   b) 应检查入侵防范系统，查看是否能够记录攻击者的源IP、攻击类型、攻击目标、攻击时间等，在发生严重入侵事件时是否提供报警（如声音、短信和EMAIL等）；   c) 应检查重要服务器是否提供对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施的功能；   d) 应检查主要服务器操作系统中所安装的系统组件和应用程序是否都是必须的；   e) 应检查是否设置了专门的升级服务器实现对主要服务器操作系统补丁的升级；   f) 应检查主要服务器操作系统和主要数据库管理系统的补丁是否得到了及时安装。    8.1.3.7.3 结果判定  如果8.1.3.7.2 b）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3.8 恶意代码防范  8.1.3.8.1 测评指标  见GB/T 22239-20088.1.3.8。  8.1.3.8.2 测评实施  本项要求包括：  a) 应访谈系统安全管理员，询问主机系统是否采取恶意代码实时检测与查杀措施，恶意代码实时检测与查杀措施的部署覆盖范围如何；   b) 应检查主要服务器，查看是否安装了实时检测与查杀恶意代码的软件产品并进行及时更新；   c) 应检查防恶意代码产品是否实现了统一管理；   d) 应检查网络防恶意代码产品，查看其厂家名称、产品版本号和恶意代码库名称等，查看其是否与主机防恶意代码产品有不同的恶意代码库。    8.1.3.8.3 结果判定  如果8.1.3.8.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.3.9 资源控制  8.1.3.9.1 测评指标  见GB/T 22239-20088.1.3.9。  8.1.3.9.2 测评实施  本项要求包括：  a) 应检查服务器操作系统，查看是否设定了终端接入方式、网络地址范围等条件限制终端登录；   b) 应检查服务器操作系统，查看是否设置了单个用户对系统资源的最大或最小使用限度；   c) 应检查服务器操作系统，查看是否在服务水平降低到预先规定的最小值时，能检测和报警；   d) 应检查主要服务器操作系统，查看是否对CPU、硬盘、内存和网络等资源的使用情况进行监控；   e) 应检查能够访问服务器的终端是否设置了操作超时锁定的配置。    8.1.3.9.3 结果判定  如果8.1.3.9.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4 应用安全  8.1.4.1 身份鉴别  8.1.4.1.1 测评指标  见GB/T 22239-20088.1.4.1。  8.1.4.1.2 测评实施  本项要求包括：    a) 应访谈应用系统管理员，询问应用系统是否提供专用的登录控制模块对用户进行身份标识和鉴别，具体措施有哪些；系统采取何种措施防止身份鉴别信息被冒用；   b) 应访谈应用系统管理员，询问应用系统是否具有登录失败处理功能；   c) 应检查设计或验收文档，查看其是否有系统采用了保证唯一标识的措施的描述；   d) 应检查操作规程和操作记录，查看其是否有添加、删除用户和修改用户权限的操作规程、操作记录和审批记录；   e) 应检查应用系统，查看其是否采用了两个及两个以上身份鉴别技术的组合来进行身份鉴别，并且保证至少有一种是不可伪造的；   f) 应检查应用系统，查看其是否提供身份标识和鉴别功能；查看其身份鉴别信息是否具有不易被冒用的特点；查看其鉴别信息复杂度检查功能是否能够保证系统中不存在弱口令等；   g) 应检查应用系统，查看其提供的登录失败处理功能，是否根据安全策略配置了相关参数；   h) 应测试应用系统，可通过试图以合法和非法用户分别登录系统，查看登录是否成功，验证其身份标识和鉴别功能是否有效；   i) 应测试应用系统，验证其登录失败处理功能是否有效；   j) 应渗透测试应用系统，验证应用系统身份标识和鉴别功能是否不存在明显的弱点。    8.1.4.1.3 结果判定  本项要求包括：  a) 如果8.1.4.1.2 c）中相关文档有系统采用了保证用户唯一性标识的措施的描述，则为肯定；   b) 如果8.1.4.1.2 d）缺少相应文档资料，则为否定；   c) 如果8.1.4.1.2 c）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.4.2 安全标记  8.1.4.2.1 测评指标  见GB/T 22239-20088.1.4.2。  8.1.4.2.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否提供所有主体和客体设置敏感标记的功能；   b) 应检查设计或验收文档，查看文档中是否有应用系统敏感标记的说明；   c) 应检查应用系统，查看是否能对所有主体和客体设置敏感标记，这些敏感标记是否构成多级安全模型的属性库，主体和客体的敏感标记是否以默认方式生成或由安全员建立、维护和管理；   d) 应测试应用系统，对主体和客体设置敏感标记，以授权用户和非授权用户身份访问客体，验证是否只有授权用户可以访问客体，而非授权用户不能访问客体。    8.1.4.2.3 结果判定  如果8.1.4.2.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4.3 访问控制  8.1.4.3.1 测评指标  见GB/T 22239-20088.1.4.3。  8.1.4.3.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否提供访问控制措施，以及具体措施和访问控制策略有哪些，访问控制的粒度如何；   b) 应检查应用系统，查看系统是否提供访问控制机制；是否依据安全策略控制用户对客体的访问；   c) 应检查应用系统，查看其访问控制的覆盖范围是否包括与信息安全直接相关的主体、客体及它们之间的操作；访问控制的粒度是否达到主体为用户级，客体为文件、数据库表级；   d) 应检查应用系统，查看其是否有由授权用户设置其它用户访问系统功能和用户数据的权限的功能；   e) 应检查应用系统，查看系统是否授予不同帐户为完成各自承担任务所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；   f) 应检查应用系统，查看其是否不存在默认帐户，如果有是否禁止了默认帐户的访问；   g) 应检查应用系统，查看其是否具有通过比较安全标签来确定是授予还是拒绝主体对客体的访问的功能；   h) 应测试应用系统，可通过以不同权限的用户登录系统，查看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效；   i) 应测试应用系统，可通过以默认用户登录系统并进行一些操作，查看系统是否禁止了默认帐户的访问；   j) 应渗透测试应用系统，进行试图绕过访问控制的操作，验证应用系统的访问控制功能是否不存在明显的弱点。    8.1.4.3.3 结果判定  如果8.1.4.3.2 b）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4.4 可信路径  8.1.4.4.1 测评指标  见GB/T 22239-20088.1.4.4。  8.1.4.4.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问在系统对用户进行身份鉴别和用户对系统进行访问时能否在系统与用户之间建立一条安全的信息传输路径；   b) 应检查设计或验收文档，查看文档中是否有在系统对用户进行身份鉴别和用户对系统进行访问时系统与用户之间应能够建立一条安全的信息传输路径的说明；   c) 应测试应用系统，可通过获取并查看系统对用户进行身份鉴别和用户对系统进行访问的通信数据包，验证在系统对用户进行身份鉴别和用户对系统进行访问时系统能否在系统与用户之间建立一条安全的  信息传输路径。    8.1.4.4.3 结果判定  如果8.1.4.4.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4.5 安全审计  8.1.4.5.1 测评指标  见GB/T 22239-20088.1.4.5。  8.1.4.5.2 测评实施  本项要求包括：  a) 应访谈安全审计员，询问应用系统是否设置安全审计功能，对事件进行审计的选择要求和策略是什么，对审计日志的保护措施有哪些；   b) 应检查应用系统，查看其当前审计范围是否覆盖到每个用户；   c) 应检查应用系统，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等；   d) 应检查应用系统，查看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容；   e) 应检查应用系统，查看其是否为授权用户浏览和分析审计数据提供专门的审计分析功能，并能根据需要生成审计报表；   f) 应检查应用系统，查看其安全审计是否有集中审计接口，并根据信息系统的统一安全策略实现集中审计；   g) 应测试主要应用系统，，在应用系统上试图产生一些重要的安全相关事件（如用户登录、修改用户权限等），查看应用系统是否对其进行了审计，验证应用系统安全审计的覆盖情况是否覆盖到每个用户  ；如果进行了审计则查看审计记录内容是否包含事件的日期、时间、发起者信息、类型、描述和结果等；  h) 应测试应用系统，试图非授权删除、修改或覆盖审计记录，验证安全审计的保护情况是否无法非授权删除、修改或覆盖审计记录。    8.1.4.5.3 结果判定  如果8.1.4.5.2 b）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4.6 剩余信息保护  8.1.4.6.1 测评指标  见GB/T 22239-20088.1.4.6。  8.1.4.6.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问系统是否采取措施保证对存储介质中的残余信息进行删除（无论这些信息是存放在硬盘上还是在内存中），具体措施有哪些；   b) 应检查设计或验收文档，查看其是否有关于系统在释放或再分配鉴别信息所在存储空间给其他用户前如何将其进行完全清除（无论这些信息是存放在硬盘上还是在内存中）的描述；   c) 应检查设计或验收文档，查看其是否有关于释放或重新分配系统内文件、目录和数据库记录等资源所在存储空间给其他用户前如何进行完全清除的描述；   d) 应测试主要应用系统，用某用户登录系统并进行操作后，在该用户退出后用另一用户登录，试图操作（读取、修改或删除等）其他用户产生的文件、目录和数据库记录等资源，查看操作是否不成功，验  证系统提供的剩余信息保护功能是否正确（确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除）。    8.1.4.6.3 结果判定  本项要求包括：  a) 如果8.1.4.6.2 b）和c）缺少相应文档资料，则为否定；   b) 如果8.1.4.6.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.4.7 通信完整性  8.1.4.7.1 测评指标  见GB/T 22239-20088.1.4.7。  8.1.4.7.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统是否具有在数据传输过程中保护其完整性的措施，具体措施是什么；  b) 应检查设计或验收文档，查看其是否有关于保护通信完整性的说明，如果有则查看其是否有用密码技术来保证通信过程中数据的完整性的描述；      c) 应测试应用系统，可通过获取通信双方的数据包，查看通信报文是否含有加密的验证码。    8.1.4.7.3 结果判定  如果8.1.4.7.2 b）和c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4.8 通信保密性  8.1.4.8.1 测评指标  见GB/T 22239-20088.1.4.8。  8.1.4.8.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统数据在通信过程中是否采取保密措施，具体措施有哪些；   b) 应检查应用系统，查看其是否基于硬件化的设备，产生密钥，进行加解密运算；   c) 应检查相关证明材料（证书），查看主要应用系统采用的密码算法是否符合国家有关部门的要求；   d) 应测试应用系统，通过查看通信双方数据包的内容，查看系统是否能在通信双方建立连接之前，利用密码技术进行会话初始化验证；在通信过程中，是否对整个报文或会话过程进行加密。    8.1.4.8.3 结果判定  本项要求包括：  a) 如果8.1.4.8.2 c）缺少相关文档材料，则为否定；   b) 如果8.1.4.8.2 b）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.1.4.9 抗抵赖  8.1.4.9.1 测评指标  见GB/T 22239-20088.1.4.9。  8.1.4.9.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问系统是否具有抗抵赖的措施，具体措施有哪些；   b) 应测试应用系统，通过双方进行通信，查看系统是否提供在请求的情况下为数据原发者和接收者提供数据原发证据的功能；系统是否提供在请求的情况下为数据原发者和接收者提供数据接收证据的功能  。    8.1.4.9.3 结果判定  如果8.1.4.9.2 b）为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4.10 软件容错  8.1.4.10.1 测评指标  见GB/T 22239-20088.1.4.10。  8.1.4.10.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否具有保证软件容错能力的措施，具体措施有哪些；   b) 应检查应用系统，查看应用系统是否对人机接口输入或通信接口输入的数据进行有效性检验；   c) 应测试应用系统，可通过对人机接口输入的不同长度或格式的数据，查看系统的反应，验证系统人机接口有效性检验功能是否正确；   d) 应测试应用系统，验证其是否提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复；   e) 应测试应用系统，验证其是否具有自动恢复能力，当故障发生时，是否能立即启动新的进程，恢复原来的工作状态。    8.1.4.10.3 结果判定  如果8.1.4.10.2 b）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.4.11 资源控制  8.1.4.11.1 测评指标  见GB/T 22239-20088.1.4.11。  8.1.4.11.2 测评实施  本项要求包括：  a) 应访谈应用系统管理员，询问应用系统是否有资源控制的措施，具体措施有哪些；   b) 应检查应用系统，查看是否限制单个帐户的多重并发会话；系统是否有最大并发会话连接数的限制，是否对一个时间段内可能的并发会话连接数进行限制；是否能根据安全策略设定主体的服务优先级，  根据优先级分配系统资源，保证优先级低的主体处理能力不会影响到优先级高的主体的处理能力；   c) 应检查应用系统，查看是否对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；   d) 应检查应用系统，查看是否有服务水平最小值的设定，当系统的服务水平降低到预先设定的最小值时，系统报警，并合理自动调整资源分配，是否对全部资源采用优先服务机制；   e) 应测试应用系统，可通过对系统进行超过规定的单个帐户的多重并发会话数进行连接，验证系统是否能够正确地限制单个帐户的多重并发会话数；   f) 应测试应用系统，试图使服务水平降低到预先规定的最小值，验证系统是否能够正确检测并报警；   g) 应测试重要应用系统，当应用系统的通信双方中的一方在一段时间内未作任何响应，查看另一方是否能够自动结束会话。    8.1.4.11.3 结果判定  如果8.1.4.11.2 b）-g）肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.5 数据安全及备份恢复  8.1.5.1 数据完整性  8.1.5.1.1 测评指标  见GB/T 22239-20088.1.5.1。  8.1.5.1.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问应用系统数据在存储和传输过程中是否有完整性保证措施，具体措施有哪些；在检测到完整性错误时是否能恢复，恢复措施有哪些；   b) 应访谈管理人员（系统管理员、网络管理员、安全管理员、数据库管理员），询问信息系统中的操作系统、网络设备、数据库管理系统和应用系统等是否为重要通信提供专用通信协议或安全通信协议服  务，避免来自基于通用通信协议的攻击，破坏数据的完整性；并询问具体的专用通信协议或安全通信协议服务是什么；   c) 应检查操作系统、网络设备、数据库管理系统和应用系统，查看其是否配备检测系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏的功能；是否配备检测系统管理数据、身份鉴别信息和  用户数据在存储过程中完整性受到破坏的功能；是否配备检测重要系统/模块完整性受到破坏的功能；在检测到完整性错误时能否采取必要的恢复措施；      d) 应检查操作系统、网络设备、数据库管理系统和应用系统中是否为专用通信协议或安全通信协议服务，避免来自基于通用通信协议的攻击破坏数据完整性。    8.1.5.1.3 结果判定  如果8.1.5.1.2 c）和d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.5.2 数据保密性  8.1.5.2.1 测评指标  见GB/T 22239-20088.1.5.2。  8.1.5.2.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问网络设备的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   b) 应访谈系统管理员，询问主机操作系统的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   c) 应访谈数据库管理员，询问数据库管理系统的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   d) 应访谈安全管理员，询问应用系统的管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；   e) 应检查主机操作系统、网络设备操作系统、数据库管理系统和应用系统，查看其管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输和存储保密性；   f) 应检查操作系统、网络设备、数据库管理系统和应用系统中是否为专用通信协议或安全通信协议服务，避免来自基于通用通信协议的攻击破坏数据保密性；   g) 应测试应用系统，通过用嗅探工具获取系统传输数据包，查看其是否采用了加密或其他有效措施实现传输保密性。    8.1.5.2.3 结果判定  如果8.1.5.2.2 e）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.1.5.3 备份和恢复  8.1.5.3.1 测评指标  见GB/T 22239-20088.1.5.3。  8.1.5.3.2 测评实施  本项要求包括：  a) 应访谈网络管理员，询问是否对网络设备中的配置文件进行备份，备份策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地实时数据备份功能；当其受到破坏时，恢复策略  是什么；是否提供主要网络设备、通信线路的硬件冗余；   b) 应访谈系统管理员，询问是否对操作系统中的重要信息进行备份，备份策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地实时数据备份功能；当其受到破坏时，恢复策略  是什么；是否提供主要服务器的硬件冗余；   c) 应访谈数据库管理员，询问是否对数据库管理系统中的主要数据进行备份，备份策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地实时数据备份功能；当其受到破坏时，  恢复策略是什么；   d) 应访谈安全管理员，询问是否对应用系统中的应用程序进行备份，备份策略是什么；当其受到破坏时，恢复策略是什么；完全数据备份是否每天一次，备份介质是否场外存放；是否提供异地实时数据备  份功能；   e) 应检查设计或验收文档，查看其是否有关于主要主机操作系统、网络设备操作系统、数据库管理系统和应用系统配置有本地和异地实时数据备份和恢复功能及策略的描述；   f) 应检查主要主机操作系统、主要网络设备、主要数据库管理系统和主要应用系统，查看其是否提供备份和恢复功能，其配置是否正确，并且查看其备份结果是否与备份策略一致；   g) 应检查主要网络设备、主要通信线路和主要数据处理系统是否采用硬件冗余、软件配置等技术手段提供系统的高可用性；   h) 应检查网络拓扑结构是否不存在关键节点的单点故障；   i) 应检查是否建立异地灾难备份中心，配备灾难恢复所需的通信线路、网络设备和数据处理设备，将备份数据实时备份至灾难备份中心，提供业务应用的实时切换；   j) 应测试业务应用系统，验证其异地切换功能是否有效。    8.1.5.3.3 结果判定  本项要求包括：  a) 如果8.1.5.3.2 e）缺少相应文档资料，则为否定；   b) 如果8.1.5.3.2 e）-j）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.2 安全管理测评  8.2.1 安全管理制度  8.2.1.1 管理制度  8.2.1.1.1 测评指标  见GB/T 22239-20088.2.1.1。  8.2.1.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问机构是否形成全面的信息安全管理制度体系，制度体系是否由总体方针、安全策略、管理制度、操作规程等构成；   b) 应检查信息安全工作的总体方针和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、原则和安全框架等；   c) 应检查各项安全管理制度，查看是否覆盖物理、网络、主机系统、数据、应用、建设和管理等层面的各类管理内容；   d) 应检查是否具有日常管理操作的操作规程（如系统维护手册和用户操作规程等）。    8.2.1.1.3 结果判定  如果8.2.1.1.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.1.2 制定和发布  8.2.1.2.1 测评标  见GB/T 22239-20088.2.1.2。  8.2.1.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责制定安全管理制度；   b) 应访谈安全管理制度制、修订人员，询问安全管理制度的制定程序和发布方式，是否对制定的安全管理制度进行论证和审定，论证和评审方式如何，是否按照统一的格式标准或要求制定，对有密级的管  理制度如何控制使用，是否采取相应措施有效管理；   c) 应检查制度制定和发布要求管理文档，查看文档是否说明安全管理制度的制定和发布程序、格式要求、版本编号和密级标注等相关内容；   d) 应检查管理制度评审记录，查看是否有相关人员的评审意见；   e) 应检查各项安全管理制度文档，查看文档是否是正式发布的文档，是否注明适用和发布范围，是否有版本标识，是否有密级标注，是否有管理层的签字或单位盖章；查看各项制度文档格式是否统一；   f) 应检查安全管理制度的收发登记记录，查看收发是否通过正式、有效的方式（如正式发文、领导签署和单位盖章等），是否有发布范围要求。    8.2.1.2.3 结果判定  如果8.2.1.2.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.1.3 评审和修订  8.2.1.3.1 测评指标  见GB/T 22239-20088.2.1.3。  8.2.1.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否由信息安全领导小组负责定期对安全管理制度体系的合理性和适用性进行审定，评审周期多长，是否有部门或人员负责制度的日常维护，定期或不定期对安全管理制度进行检  查、审定，由何部门或何人负责；   b) 应访谈安全管理制度制、修订人员，询问对安全管理制度的日常维护情况，安全检查及修订情况，评审、修订程序如何；   c) 应访谈安全管理制度制、修订人员，询问评审和修订有密级的安全管理制度时对参加评审和修订的人员是否考虑到相应保密要求；   d) 应访谈安全管理制度制、修订人员，询问系统发生重大安全事故、出现新的安全漏洞以及技术基础结构和组织结构等发生变更时是否对安全管理制度进行审定，对需要改进的制度是否进行修订；   e) 应检查是否具有需要定期修订的安全管理制度列表，查看列表是否注明修订周期；   f) 应检查是否具有所有安全管理制度对应相应负责人或者负责部门的清单；   g) 应检查是否具有安全管理制度体系的评审记录，查看记录的日期间隔与评审周期是否一致，是否记录了相关人员的评审意见；   h) 应检查是否具有安全管理制度的检查或评审记录；如果对制度做过修订，检查是否有修订版本的安全管理制度。  8.2.1.3.3 结果判定  如果8.2.1.3.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.2 安全管理机构  8.2.2.1 岗位设置  8.2.2.1.1 测评指标  见GB/T 22239-20088.2.2.1。  8.2.2.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否设立指导和管理信息安全工作的委员会或领导小组，其最高领导是否由单位主管领导委任或授权的人员担任；   b) 应访谈安全主管，询问是否设立专职的安全管理机构（即信息安全管理工作的职能部门）；机构内部门设置情况如何，是否明确各部门的职责分工；   c) 应访谈安全主管，询问信息系统设置了哪些工作岗位，各个岗位的职责分工是否明确；询问是否设立安全管理各个方面的负责人；   d) 应访谈安全主管、安全管理各个方面的负责人、系统管理员、网络管理员和安全管理员，询问其岗位职责包括哪些内容；   e) 应检查部门、岗位职责文件，查看文件是否明确安全管理机构的职责，是否明确机构内各部门的职责和分工，部门职责是否涵盖物理、网络和系统安全等各个方面；查看文件是否明确设置安全主管、安  全管理各个方面的负责人、机房管理员、系统管理员、网络管理员、安全管理员等各个岗位，各个岗位的职责范围是否清晰、明确；查看文件是否明确各个岗位人员应具有的技能要求；   f) 应检查信息安全管理委员会或领导小组最高领导是否具有委任授权书，查看授权书中是否有本单位主管领导的授权签字；   g) 应检查信息安全管理委员会职责文件，查看是否明确委员会职责和其最高领导岗位的职责；   h) 应检查安全管理各部门和信息安全管理委员会或领导小组是否具有日常管理工作执行情况的文件或工作记录。    8.2.2.1.3 结果判定  如果8.2.2.1.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.2.2 人员配备  8.2.2.2.1 测评指标  见GB/T 22239-20088.2.2.2。  8.2.2.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问各个安全管理岗位人员的配备情况<包括数量、专职还是兼职等，对关键事务的管理人员配备情况如何；   b) 应检查人员配备要求管理文档，查看是否明确应配备哪些安全管理人员，是否包括机房管理员、系统管理员、数据库管理员、网络管理员、安全管理员等重要岗位人员并明确应配备专职的安全管理员；  查看是否明确对哪些关键事务的管理人员应配备2人或2人以上共同管理，是否明确对配备人员的具体要求；   c) 应检查安全管理各岗位人员信息表，查看其是否明确机房管理员、系统管理员、数据库管理员、网络管理员和安全管理员等重要岗位人员的信息，确认安全管理员是否是专职人员。    8.2.2.2.3 结果判定  如果8.2.2.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.2.3 授权和审批  8.2.2.3.1 测评指标  见GB/T 22239-20088.2.2.3。  8.2.2.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问其是否规定对信息系统中的关键活动进行审批，审批部门是何部门，批准人是何人，他们的审批活动是否得到授权；询问是否定期审查、更新审批项目，审查周期多长；   b) 应访谈安全主管，询问其对关键活动的审批范围包括哪些，审批程序如何；   c) 应检查审批管理制度文档，查看文档中是否明确审批事项、需逐级审批的事项、审批部门、批准人及审批程序等，是否明确对系统变更、重要操作、物理访问和系统接入等事项的审批流程；是否明确需  定期审查、更新审批的项目、审批部门、批准人和审查周期等；   d) 应检查经逐级审批的文档，查看是否具有各级批准人的签字和审批部门的盖章；   e) 应检查关键活动的审批过程记录，查看记录的审批程序与文件要求是否一致。    8.2.2.3.3 结果判定  如果8.2.2.3.2 a）-e）均为肯定，则该测评指标符合要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.2.4 沟通和合作  8.2.2.4.1 测评指标  见GB/T 22239-20088.2.2.4。  8.2.2.4.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否建立与外单位（公安机关、电信公司、兄弟单位、供应商、业界专家、专业的安全公司、安全组织等）的沟通、合作机制，与外单位和其他部门有哪些合作内容，沟通、合作  方式有哪些；与组织机构内其它部门之间及内部各部门管理人员之间是否建立沟通、合作机制，是否定期或不定期召开协调会议；   b) 应访谈安全主管，询问是否召开过部门间协调会议，组织其它部门人员共同协助处理信息系统安全有关问题，安全管理机构内部是否召开过安全工作会议以部署安全工作的实施；信息安全领导小组或者  安全管理委员会是否定期召开例会；   c) 应访谈安全主管，询问是否聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等；   d) 应检查组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，查看是否有会议内容、会议时间、参加人员和会议结果等的描述；   e) 应检查信息安全领导小组或者安全管理委员会定期例会会议文件或会议记录，查看是否有会议内容、会议时间、参加人员、会议结果等的描述；   f) 应检查是否有组织机构内部人员联系表；   g) 应检查外联单位联系列表，查看外联单位是否包含公安机关、电信公司、兄弟单位、供应商、业界专家、专业的安全公司和安全组织等，是否说明外联单位的名称、合作内容、联系人和联  系方式等内容；   h) 应检查是否具有安全顾问名单或者聘请安全顾问的证明文件，查看是否有安全顾问指导信息安全建设、参与安全规划和安全评审的相关文档或记录。    8.2.2.4.3 结果判定  如果8.2.2.4.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.2.5 审核和检查  8.2.2.5.1 测评指标  见GB/T 22239-20088.2.2.5。  8.2.2.5.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否组织人员定期对信息系统进行全面安全检查，检查周期多长，检查内容有哪些   b) 应访谈安全管理员，询问是否定期检查系统日常运行、系统漏洞和数据备份等情况，检查周期多长；询问系统全面安全检查情况，检查周期多长，检查人员有哪些，检查程序如何，是否对检查结果进行  通报，通报形式、范围如何；   c) 应检查安全检查管理制度文档，查看文档是否规定定期进行全面安全检查，是否规定检查内容、检查程序和检查周期等，检查内容是否包括现有安全技术措施的有效性、安全配置与安全策略的一致性、  安全管理制度的执行情况等；   d) 应检查全面安全检查报告，查看报告日期间隔与检查周期是否一致，报告中是否有检查内容、检查人员、检查数据汇总表、检查结果等的描述，检查内容是否包括现有安全技术措施的有效性、安全配置  与安全策略的一致性、安全管理制度的执行情况等；   e) 应检查安全管理员定期实施安全检查的报告，查看报告日期间隔与检查周期是否一致，检查内容是否包括系统日常运行、系统漏洞和数据备份等情况；   f) 应检查是否具有执行安全检查时的安全检查表、安全检查记录和结果通告记录，查看安全检查记录中记录的检查程序与文件要求是否一致。    8.2.2.5.3 结果判定  如果8.2.2.5.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.3 人员安全管理  8.2.3.1 人员录用  8.2.3.1.1 测评指标  见GB/T 22239-20088.2.3.1。  8.2.3.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责人员的录用工作，由何部门/何人负责；   b) 应访谈人事管理相关人员，询问在人员录用时对人员条件有哪些要求，是否对被录用人的身份、背景、专业资格和资质进行审查，对技术人员的技术技能进行考核，是否与被录用人员都签署保密协议；   c) 应访谈人事管理相关人员，询问对从事关键岗位的人员是否从内部人员中选拔，是否要求其签署岗位安全协议；   d) 应检查人员录用要求管理文档，查看是否说明录用人员应具备的条件（如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等）；   e) 应检查是否具有人员录用时对录用人身份、背景、专业资格和资质等进行审查的相关文档或记录，查看是否记录审查内容和审查结果等；   f) 应检查人员录用时的技能考核文档或记录，查看是否记录考核内容和考核结果等；   g) 应检查保密协议，查看是否有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容；   h) 应检查岗位安全协议，查看是否有岗位安全责任、违约责任、协议的有效期限和责任人签字等内容。    8.2.3.1.3 结果判定  如果8.2.3.1.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.3.2 人员离岗  8.2.3.2.1 测评指标  见GB/T 22239-20088.2.3.2。  8.2.3.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问对即将离岗人员有哪些控制方法，是否及时终止离岗人员的所有访问权限，是否取回各种身份证件、钥匙、徽章以及机构提供的软硬件设备等；   b) 应访谈人事管理相关人员，询问调离手续包括哪些，是否要求所有人员调离时须承诺相关保密义务后方可离开，对于某些关键岗位人员调离是否采取更加严格的处理措施，如重新评估确定其调离后可能  存在的安全风险，保密承诺要求更加严格等；   c) 应检查人员离岗的管理制度文档，查看是否说明人员离岗要求、人员离岗控制程序、人员调离手续等相关内容；   d) 应检查是否具有对离岗人员的安全处理记录（如交还身份证件、设备等的登记记录）；   e) 应检查是否具有按照离职程序办理调离手续的记录，查看调离手续与文件规定是否一致；   f) 应检查保密承诺文档，查看是否有调离人员的签字。    8.2.3.2.3 结果判定  如果8.2.3.2.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.3.3 人员考核  8.2.3.3.1 测评指标  见GB/T 22239-20088.2.3.3。  8.2.3.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有人负责定期对各个岗位人员进行安全技能及安全知识的考核；   b) 应访谈人事管理相关人员员，询问对各个岗位人员的考核情况，考核周期多长，考核内容有哪些；询问对人员的安全审查情况，审查人员是否包含所有岗位人员，审查内容有哪些；对关键岗位人员的审  查和考核是否有特殊要求；   c) 应访谈人事管理相关人员员，询问是否对安全保密制度执行情况进行检查或考核，考核方式有哪些；   d) 应检查保密制度文档，查看是否包括保密内容、保密责任和义务等内容；   e) 应检查考核文档和记录，查看记录的考核人员是否包括各个岗位的人员，考核内容是否包含保密知识、安全知识、安全技能等，是否有对关键岗位人员特殊的考核内容；查看记录日期与考核周期是否一  致；   f) 应检查人员安全审查记录，查看记录的审查人员是否包括各个岗位的人员，是否有对关键岗位人员特殊的安全审查内容。    8.2.3.3.3 结果判定  如果8.2.3.3.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.3.4 安全意识教育和培训  8.2.3.4.1 测评指标  见GB/T 22239-20088.2.3.4。  8.2.3.4.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否制定培训计划并按计划对各个岗位人员进行安全教育和培训，具体的培训方式有哪些；是否对违反安全策略和规定的人员进行惩戒，如何惩戒；   b) 应访谈安全管理员、系统管理员、网络管理员和数据库管理员，考查其对工作相关的信息安全基础知识、安全责任和惩戒措施等的理解程度；   c) 应检查安全责任和惩戒措施管理文档，查看是否包含具体的安全责任和惩戒措施；   d) 应检查信息安全教育及技能培训和考核管理文档，查看是否明确培训周期、培训方式、培训内容和考核方式等相关内容；   e) 应检查安全教育和培训计划文档，查看是否具有不同岗位的培训计划；查看计划是否明确了培训方式、培训对象、培训内容、培训时间和地点等，培训内容是否包含信息安全基础知识、岗位操作规程等  ；   f) 应检查是否具有安全教育和培训记录，查看记录是否有培训人员、培训内容、培训结果等的描述；查看记录与培训计划是否一致。    8.2.3.4.3 结果判定  如果8.2.3.4.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.3.5 外部人员访问管理  8.2.3.5.1 测评指标  见GB/T 22239-20088.2.3.5。  8.2.3.5.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问对外部人员访问重要区域（如访问机房、重要服务器或设备区、保密文档存放区等）采取了哪些安全措施，是否经有关部门或负责人书面批准，是否由专人全程陪同或监督，是  否进行记录并备案管理；   b) 应检查外部人员访问管理文档，查看是否明确外部人员包括哪些人员，允许外部人员访问的范围（区域、系统、设备、信息等内容），外部人员进入的条件（对哪些重要区域的访问须提出书面申请批准  后方可进入，对哪些关键区域不允许外部人员访问等），外部人员进入的访问控制措施（由专人全程陪同或监督等）和外部人员离开的条件等；   c) 应检查外部人员访问重要区域的批准文档，查看是否有外部人员访问重要区域的书面申请，是否有批准人允许访问的批准签字等；   d) 应检查外部人员访问重要区域的登记记录，查看是否记录了外部人员访问重要区域的进入时间、离开时间、访问区域、访问设备或信息及陪同人等信息。  8.2.3.5.3 结果判定  如果8.2.3.5.2 a）-d）均为肯定，则该测评指标符合要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.4 系统建设管理  8.2.4.1 系统定级  8.2.4.1.1 测评指标  见GB/T 22239-20088.2.4.1。  8.2.4.1.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问确定信息系统安全保护等级的方法是否参照定级指南的指导，定级过程是否有书面描述；是否组织相关部门和有关安全技术专家对定级结果进行论证和审定，定级结果是否获得了  相关部门的批准；   b) 应检查系统定级文档，查看文档是否明确信息系统的边界和信息系统的安全保护等级，查看是否说明定级的方法和理由，查看定级结果是否有相关部门的批准盖章；   c) 应检查专家论证文档，查看是否有专家对定级结果的论证意见。    8.2.4.1.3 结果判定  本项要求包括：  a) 如果8.2.4.1.2 a）单位没有上级主管部门，但定级结果有本单位信息安全主管领导的批准，则该项为肯定；   b) 如果8.2.4.1.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.2.4.2 安全方案设计  8.2.4.2.1 测评指标    见GB/T 22239-20088.2.4.2。  8.2.4.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否授权专门的部门对信息系统的安全建设进行总体规划，由何部门负责；   b) 应访谈系统建设负责人，询问是否根据系统的安全级别选择基本安全措施，是否依据风险分析的结果补充和调整安全措施，具体做过哪些调整；   c) 应访谈系统建设负责人，询问是否根据信息系统的等级划分情况统一考虑总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案等，是否经过论证和审定，是否经过审批，是否根  据等级测评、安全评估的结果定期调整和修订，维护周期多长；   d) 应检查系统的安全建设工作计划，查看文件是否明确了系统的近期安全建设计划和远期安全建设计划；   e) 应检查系统总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等配套文件，查看各个文件是否有机构管理层的批准；   f) 应检查专家论证文档，查看是否有相关部门和有关安全技术专家对总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的论证意见；   g) 应检查是否具有总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案等相关配套文件的维护记录或修订版本，查看维护记录日期间隔与维护周期是否一致。    8.2.4.2.3 结果判定  如果8.2.4.2.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.4.3 产品采购和使用  8.2.4.3.1 测评指标  见GB/T 22239-20088.2.4.3。  8.2.4.3.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门负责产品的采购，由何部门负责；   b) 应访谈系统建设负责人，询问信息安全产品的采购情况，采购产品前是否预先对产品进行选型测试确定产品的候选范围，是否有产品采购清单指导产品采购，采购过程如何控制，是否定期审定和更新候  选产品名单，审定周期多长；   c) 应访谈系统建设负责人，询问系统是否采用了密码产品，密码产品的采购和使用是否符合国家密码主管部门的要求；   d) 应检查产品采购管理文档，查看内容是否明确对重要部位的产品委托专业测评单位进行专项测试，明确需要的产品性能指标，确定产品的候选范围，通过招投标等方式确定采购产品及人员的行为准则等  方面；   e) 应检查系统使用的有关信息安全产品是否符合国家的有关规定；   f) 应检查密码产品的使用情况是否符合密码产品使用、管理的相关规定；   g) 应检查是否具有产品选型测试结果记录（包括对重要部位的产品委托专业测评单位进行专项测试的结果记录）、候选产品名单审定记录或更新的候选产品名单。    8.2.4.3.3 结果判定  如果8.2.4.3.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.2.4.4 自行软件开发  8.2.4.4.1 测评指标  见GB/T 22239-20088.2.4.4。  8.2.4.4.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否进行自主开发软件，是否对程序资源库的修改、更新、发布进行授权和批准，授权部门是何部门，批准人是何人，是否要求开发人员不能做测试人员（即二者分离），  开发人员有哪些人，是否是专职人员，自主开发软件是否在独立的M拟环境中编写、调试和完成；   b) 应访谈系统建设负责人，询问对开发人员的开发活动采取哪些控制措施，是否有专人监控、审查，软件设计相关文档和使用指南是否由专人负责保管，负责人是何人，如何控制使用，测试数据和测试结  果是否受到控制；   c) 应访谈软件开发人员，询问其是否参照代码编写安全规范进行软件开发，开发之后是否交给测试人员测试软件；   d) 应检查软件开发管理制度，查看文件是否明确软件设计、开发、测试、验收过程的控制方法和人员行为准则，是否明确哪些开发活动应经过授权、审批，是否明确软件开发相关文档的管理等；   e) 应检查代码编写安全规范，查看规范中是否明确代码编写规则；   f) 应检查是否具有软件设计的相关文档（应用软件设计程序文件、源代码文档等）、软件使用指南或操作手册和维护手册等；   g) 应检查对程序资源库的修改、更新、发布进行授权和审批的文档或记录，查看是否有批准人的签字；   h) 应检查是否具有软件开发相关文档（软件设计和开发程序文件、测试数据、测试结果、维护手册等）的使用控制记录；   i) 应检查是否具有对开发人员的审查记录，查看审查记录是否记录审查结果等。    8.2.4.4.3 结果判定  如果8.2.4.4.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.4.5 外包软件开发  8.2.4.5.1 测评指标  见GB/T 22239-20088.2.4.5。  8.2.4.5.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问软件交付前是否依据开发要求的技术指标对软件功能和性能等进行验收测试，软件安装之前是否检测软件中的恶意代码，检测工具是否是第三方的商业产品；是否要求开发  单位提供源代码，是否根据源代码对软件中可能存在的后门和隐蔽信道进行审查；   b) 应检查是否具有需求分析说明书、软件设计说明书、软件操作手册、软件源代码文档等软件开发文档和使用指南；   c) 应检查软件源代码审查记录，查看是否包括对可能存在的后门和隐蔽信道的审查结果。    8.2.4.5.3 结果判定  如果8.2.4.5.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.2.4.6 工程实施  8.2.4.6.1 测评指标  见GB/T 22239-20088.2.4.6。  8.2.4.6.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否有专门的部门或人员负责工程实施管理工作，由何部门/何人负责，是否由第三方工程监理单位按照系统建设文档的要求对工程实施过程进行进度和质量控制，是否要  求工程实施单位提供其能够安全实施系统建设的资质证明和能力保证；   b) 应检查工程实施方案，查看其是否包括工程时间限制、进度控制和质量控制等方面内容；   c) 应检查是否具有按照实施方案形成的阶段性工程报告等文档；   d) 应检查是否具有第三方工程监理单位出具的工程监理报告；   e) 应检查工程实施管理制度，查看其是否包括实施过程的控制方法、实施参与人员的行为准则等方面内容。    8.2.4.6.3 结果判定  如果8.2.4.6.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.4.7 测试验收  8.2.4.7.1 测评指标  见GB/T 22239-20088.2.4.7。  8.2.4.7.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否有专门的部门负责测试验收工作，由何部门负责；是否委托第三方测试机构对信息系统进行独立的安全性测试；   b) 应访谈系统建设负责人，询问是否根据设计方案或合同要求组织相关部门和人员对系统测试验收报告进行审定；   c) 应检查工程测试验收方案，查看其是否明确说明参与测试的部门、人员、测试验收的内容、现场操作过程等内容；   d) 应检查测试验收记录是否详细记录了测试时间、人员、现场操作过程和测试验收结果等方面内容；   e) 应检查是否具有系统安全性测试报告，查看报告是否给出测试通过的结论（如果报告中提出了存在的问题，则检查是否有针对这些问题的改进报告），是否有第三方测试机构的签字或盖章；   f) 应检查是否具有系统测试验收报告，是否有对测试验收报告的审定文档，查看文档是否有相关人员的审定意见；   g) 应检查测试验收管理文档是否包括系统测试验收的过程控制方法、参与人员的行为规范等内容。    8.2.4.7.3 结果判定  如果8.2.4.7.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.4.8 系统交付  8.2.4.8.1 测评指标  见GB/T 22239-20088.2.4.8。  8.2.4.8.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问是否有专门的部门负责系统交接工作，系统交接时是否根据交付清单对所交接的设备、文档、软件等进行清点；   b) 应访谈系统建设负责人，询问目前的信息系统是否由内部人员独立运行维护，如果是，系统正式运行前是否对运行维护人员进行过培训，针对哪些方面进行过培训；   c) 应检查是否具有系统交付清单分类详细列项系统交付的各类设备、软件、文档等；   d) 应检查是否具有系统建设文档、指导用户进行系统运维的文档、系统培训手册等；   e) 应检查系统交付管理文档，查看其是否包括交付过程的控制方法和对交付参与人员的行为限制等方面内容；  f) 应检查培训记录，查看是否包括培训内容、培训时间和参与人员等。    8.2.4.8.3 结果判定  如果8.2.4.8.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.4.9 系统备案  8.2.4.9.1 测评指标  见GB/T 22239-20088.2.4.9。  8.2.4.9.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有专门的部门或人员负责管理系统定级的相关文档，由何部门/何人负责；   b) 应访谈文档管理员，询问对系统定级相关备案文档采取哪些控制措施；   c) 应检查是否具有将系统等级相关材料报主管部门备案的记录或备案文档；   d) 应检查是否具有将系统等级相关备案材料报相应公安机关备案的记录或证明；   e) 应检查是否具有系统定级相关材料的使用控制记录。    8.2.4.9.3 结果判定  如果8.2.4.9.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.4.10 安全服务商选择  8.2.4.10.1 测评指标  见GB/T 22239-20088.2.4.11。  8.2.4.10.2 测评实施  本项要求包括：  a) 应访谈系统建设负责人，询问信息系统选择的安全服务商有哪些，是否符合国家有关规定；   b) 应检查是否具有与安全服务商签订的安全责任合同书或保密协议等文档，查看文档内容是否包含保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等；   c) 应检查是否具有与安全服务商签订的服务合同，查看是否包括服务内容、服务期限、双方签字或盖章等。    8.2.4.10.3 结果判定  如果8.2.4.10.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5 系统运维管理  8.2.5.1 环境管理  8.2.5.1.1 测评指标  见GB/T 22239-20088.2.5.1。  8.2.5.1.2 测评实施  本项要求包括：    a) 应访谈系统运维负责人，询问是否有专门的部门或人员对机房基础设施进行定期维护，由何部门或何人负责，维护周期多长，是否有专门的部门和人员负责机房环境安全管理工作；   b) 应访谈系统运维负责人，询问办公环境是否和机房实行统一安全管理，出入办公环境和机房不同区域是否要经过相应级别的授权控制，机房是否有摄像监控系统；   c) 应访谈安全主管，询问为保证办公环境的保密性采取了哪些控制措施；   d) 应检查机房安全管理制度，查看其内容是否覆盖机房物理访问、物品带进和带出机房、机房环境安全等方面；   e) 应检查办公环境管理文档，查看其是否包括工作人员离开座位时退出登陆状态、桌面没有敏感信息文件、人员调离办公室时立即收回钥匙、不在办公区接待来访人员等方面内容；   f) 应检查机房基础设施维护记录，查看是否记录维护日期、维护人、维护设备、故障原因、维护结果等方面内容；   g) 应检查机房的摄像监控系统是否可以实时监控，是否有监控记录。    8.2.5.1.3 结果判定  如果8.2.5.1.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.2 资产管理  8.2.5.2.1 测评指标  见GB/T 22239-20088.2.5.2。  8.2.5.2.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否有资产管理的责任人员或部门，由何部门/何人负责；   b) 应访谈资产管理员，询问是否依据资产的重要程度对资产进行分类和标识管理，不同类别的资产是否采取不同的管理措施；   c) 应检查资产清单，查看其内容是否覆盖资产责任部门、责任人、所处位置和重要程度等方面；   d) 应检查资产安全管理制度，查看其是否明确信息资产管理的责任部门、责任人，查看其内容是否覆盖资产使用、传输、存储、维护等方面；   e) 应检查信息分类文档，查看其内容是否明确了信息分类标识的原则和方法。    8.2.5.2.3 结果判定  如果8.2.5.2.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.3 介质管理  8.2.5.3.1 测评指标  见GB/T 22239-20088.2.5.3。  8.2.5.3.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问介质的存放环境是否采取保护措施防止介质被盗、被毁、介质内存储信息被未授权修改以及非法泄漏等，是否有专人管理；   b) 应访谈资产管理员，询问是否根据介质的目录清单对介质的使用现状进行定期检查，是否对其完整性（数据是否损坏或丢失）和可用性（介质是否受到物理破坏）进行检查，是否根据所承载的数据和软  件的重要性对介质进行分类和标识管理；   c) 应访谈资产管理员，询问对介质带出工作环境和重要介质中的数据和软件是否进行保密性处理；询问对介质的物理传输过程是否要求选择可靠传输人员、严格介质的打包、选择安全的物理传输途径、双</, P>  方在场交付等环节的控制；   d) 应访谈资产管理员，询问对送出维修的介质在送出之前是否采用多次读写覆盖、清除敏感或秘密数据等保密处理措施，对保密性较高的介质销毁前是否有领导批准，是否采取双人监控，对无法执行删除  操作的受损介质是否要求销毁，销毁时是否送符合国家保密部门规定的部门销毁；   e) 应访谈资产管理员，询问是否对某些重要介质实行异地存储，异地存储环境是否与本地环境相同；   f) 应检查介质管理记录，查看其是否记录介质的存储、归档、查询和借用等情况；   g) 应检查介质管理制度，查看其内容是否覆盖介质的存放环境、使用、维护和销毁等方面；   h) 应检查介质，查看是否对其进行了分类，并具有不同标识；   i) 应检查介质异地存放地的环境要求和管理要求是否与本地相同；   j) 应检查保密性介质销毁过程记录，查看其是否有双人监控的签字确认，是否严格执行销毁过程。    8.2.5.3.3 结果判定  如果8.2.5.3.2 a）-j）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.4 设备管理  8.2.5.4.1 测评指标  见GB/T 22239-20088.2.5.4。  8.2.5.4.2 测评实施  本项要求包括：  a) 应访谈资产管理员，询问是否有专门的部门或人员对各种设备、线路进行定期维护，对各类测试工具进行有效性检查，由何部门/何人负责，维护周期多长；   b) 应访谈资产管理员，询问是否对设备选用的各个环节（选型、采购、发放和领用、涉外维修和服务及信息处理设备带离机构等）进行审批控制；   c) 应访谈安全审计员，询问对设备（包括备份和冗余设备）的操作是否建立日志，日志文件如何管理，是否定期检查管理情况；   d) 应检查设备安全管理制度，查看其内容是否明确对各种软硬件设备的选型、采购、发放和领用以及带离机构等环节进行申报和审批；   e) 应检查配套设施、软硬件维护方面的管理制度，查看其是否对配套设施、软硬件维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制管理等；   f) 应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面；   g) 应检查设备（包括备份和冗余设备）操作规程，查看其内容是否覆盖服务器如何启动、停止、加电、断电等操作；   h) 应检查是否具有设备的选型、采购、发放和领用以及带离机构等的申报材料和审批报告；   i) 应检查是否具有设备维护记录和主要设备的操作日志。    8.2.5.4.3 结果判定  如果8.2.5.4.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.5 监控管理和安全管理中心  8.2.5.5.1 测评指标  见GB/T 22239-20088.2.5.5。  8.2.5.5.2 测评实施  本项要求包括：    a) 应访谈系统运维负责人，询问是否建立安全管理中心，对通信线路、主机、网络设备和应用软件的运行状况，对设备状态、恶意代码、网络流量、补丁升级、安全审计等安全相关事项进行集中管理，是  否形成监测记录文档，是否组织人员对监测记录进行整理并保管；   b) 应访谈系统运维负责人，询问其是否组织人员定期对监测记录进行分析、评审，是否发现可疑行为并对其采取必要的措施，是否形成分析报告；   c) 应检查是否具有安全管理中心，安全管理中心是否对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理；   d) 应检查监控记录，查看是否记录监控对象、监控内容、监控的异常现象处理等方面；   e) 应检查监测分析报告，查看是否包括监测的异常现象、处理措施等。    8.2.5.5.3 结果判定  如果8.2.5.5.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.6 网络安全管理  8.2.5.6.1 测评指标  见GB/T 22239-20088.2.5.6。  8.2.5.6.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否指定专人负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作；网络的外联种类有哪些，是否都得到授权与批准，由何部门或何人批准；   b) 应访谈网络管理员，询问是否根据厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件（帐户数据、设备配置文件等）进行备份，采取什么方式；   c) 应访谈网络管理员，询问是否实现网络设备的最小服务配置和优化配置，对配置文件是否进行定期离线备份，采取什么方式；是否定期检查拨号上网等违反网络安全策略的行为；   d) 应访谈安全管理员，询问是否定期对网络设备进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；   e) 应访谈网络管理员，询问对网络管理用户的现场操作有何要求；   f) 应检查网络漏洞扫描报告，查看其内容是否包含网络存在的漏洞、严重级别和结果处理等方面，检查扫描时间间隔与扫描周期是否一致；   g) 应检查网络安全管理制度，查看其是否覆盖网络安全配置、安全策略、升级与打补丁、最小服务、优化配置、日志保存时间、口令更新周期、网络帐户（权限审批、权限分配、帐户注销等）、文件备份  等方面内容，查看安全策略是否禁止便携式和移动式设备的网络接入；   h) 应检查是否具有内部网络外联的授权批准书；   i) 应检查是否具有网络设备配置文件的离线备份文件；   j) 应检查是否具有网络审计日志，检查日志是否在规定的保存时间范围内。    8.2.5.6.3 结果判定  本项要求包括：  a) 如果8.2.5.6.2 e）访谈回答现场操作必须为两人以上，且经双重认可方能操作，操作过程有不可更改的审计日志，则为肯定；   b) 如果8.2.5.6.2 a）-j）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。    8.2.5.7 系统安全管理  8.2.5.7.1 测评指标  见GB/T 22239-20088.2.5.7。    8.2.5.7.2 测评实施  本项要求包括：  a) 应访谈安全主管，询问是否指定专人对系统进行管理，对系统管理员用户是否进行分类，明确各个角色的权限、责任和风险，权限设定是否遵循最小授权原则；   b) 应访谈系统管理员，询问是否根据业务需求和系统安全分析制定系统的访问控制策略，控制分配信息系统、文件及服务的访问权限；   c) 应访谈系统管理员，询问是否定期对系统安装安全补丁程序，在安装系统补丁前是否对重要文件进行备份，采取什么方式进行，是否先在测试环境中测试通过再安装；   d) 应访谈系统管理员，询问是否对系统资源的使用进行预测，是否监视系统资源的使用情况，包括处理器、存储设备和输出设备等；   e) 应访谈安全管理员，询问是否定期对系统进行漏洞扫描，扫描周期多长，发现的漏洞是否及时修补；   f) 应检查系统安全管理制度，查看其内容是否覆盖系统安全策略、安全配置、日志管理、日常操作流程等具体内容；   g) 应检查是否有详细操作日志（包括重要的日常操作、运行维护记录、参数的设置和修改等内容）；   h) 应检查是否有定期对运行日志和审计结果进行分析的分析报告，查看报告是否能够记录帐户的连续多次登录失败、非工作时间的登录、访问受限系统或文件的失败尝试、系统错误等非正常事件；   i) 应检查系统漏洞扫描报告，查看其内容是否包含系统存在的漏洞、严重级别和结果处理等方面，检查扫描时间间隔与扫描周期是否一致。    8.2.5.7.3 结果判定  如果8.2.5.7.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.8 恶意代码防范管理  8.2.5.8.1 测评指标  见GB/T 22239-20088.2.5.8。  8.2.5.8.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否对员工进行基本恶意代码防范意识教育，是否告知应及时升级软件版本，使用外来设备、网络上接收文件和外来计算机或存储设备接入网络系统之前应进行病毒检查等  ；   b) 应访谈系统运维负责人，询问是否指定专人对恶意代码进行检测，发现病毒后是否及时处理；   c) 应访谈安全管理员，询问是否定期检查恶意代码库的升级情况，对截获的危险病毒或恶意代码是否及时进行分析处理，并形成书面的报表和总结汇报；   d) 应检查恶意代码防范管理文档，查看其内容是否覆盖防恶意代码软件的授权使用、恶意代码库升级、定期汇报等方面；   e) 应检查是否具有恶意代码检测记录、恶意代码库升级记录和分析报告，查看升级记录是否记录升级时间、升级版本等内容；查看分析报告是否描述恶意代码的特征、修补措施等内容。    8.2.5.8.3 结果判定  如果8.2.5.8.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.9 密码管理  8.2.5.9.1 测评指标  见GB/T 22239-20088.2.5.9。    8.2.5.9.2 测评实施  本项要求包括：  a) 应访谈安全管理员，询问密码技术和产品的使用是否遵照国家密码管理规定；   b) 应检查是否具有密码使用管理制度。    8.2.5.9.3 结果判定  如果8.2.5.9.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.10 变更管理  8.2.5.10.1 测评指标  见GB/T 22239-20088.2.5.10。  8.2.5.10.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否制定变更方案指导系统执行变更；目前系统发生过哪些变更，变更方案是否经过评审，变更过程是否文档化；   b) 应访谈系统运维负责人，询问重要系统变更前是否根据有关申报和审批程序得到有关领导的批准，由何人批准，对发生的变更情况是否通知了所有相关人员，以何种方式通知，是否按照申报和审批程序  定期对系统变更情况进行一致性检查；   c) 应访谈系统运维负责人，询问变更失败后的恢复程序、工作方法和职责是否文档化，恢复过程是否经过演练；   d) 应检查系统变更方案，查看其是否覆盖变更类型、变更原因、变更过程、变更前评估等方面内容；   e) 应检查重要系统的变更申请书，查看其是否有主管领导的批准签字；   f) 应检查变更管理制度，查看其是否覆盖变更前审批、变更过程记录、变更后通报等方面内容；   g) 应检查变更控制的申报、审批程序，查看其是否覆盖所有变更类型、申报流程、审批部门、批准人等方面内容；   h) 应检查变更失败恢复程序，查看其是否规定变更失败后的恢复流程；   i) 应检查是否具有变更方案评审记录和变更过程记录文档。    8.2.5.10.3 结果判定  如果8.2.5.10.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.11 备份与恢复管理  8.2.5.11.1 测评指标  见GB/T 22239-20088.2.5.11。  8.2.5.11.2 测评实施  本项要求包括：  a) 应访谈系统管理员、数据库管理员和网络管理员，询问是否识别出需要定期备份的业务信息、系统数据及软件系统，主要有哪些；对特殊备份数据的操作是否要求人员数量，过程是否记录备案；   b) 应访谈系统管理员、数据库管理员和网络管理员，询问是否定期执行恢复程序，周期多长，系统是否按照恢复程序完成恢复，如有问题，是否针对问题进行恢复程序的改进或调整其他因素；   c) 应访谈系统运维负责人，询问是否根据信息系统的备份技术要求制定相应的灾难恢复计划，是否对灾难恢复计划进行测试并根据测试结果进行修订，目前的灾难恢复计划文档为第几版；   d) 应检查备份和恢复管理制度，查看其是否明确备份方式、备份频度、存储介质和保存期等方面内容；   e) 应检查数据备份和恢复策略文档，查看其内容是否覆盖数据的存放场所、文件命名规则、介质替换频率、数据离站传输方法等方面；   f) 应检查备份和恢复记录，查看其是否包含备份内容、备份操作、备份介质存放等内容，记录内容与备份和恢复策略是否一致；检查是否具有保密数据的备份过程记录；   g) 应检查灾难恢复计划文档，查看其内容是否覆盖恢复计划执行条件和系统恢复流程等方面；   h) 应检查对灾难恢复计划的测试文档或记录，查看测试内容是否包括运行系统恢复、人员协调、备用系统性能测试、通信连接等方面，如果做过修订，查看是否有修订后的版本。    8.2.5.11.3 结果判定  如果8.2.5.11.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.12 安全事件处置  8.2.5.12.1 测评指标  见GB/T 22239-20088.2.5.12。  8.2.5.12.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否告知用户在发现安全弱点和可疑事件时应及时报告，对重大的失、泄密事件是否向公安、安全、保密、机要等国家部门汇报，不同安全事件是否采取不同的处理和报告  程序，处理涉密事件时是否要求两人或两人以上；   b) 应访谈系统运维负责人，询问是否根据本系统已发生的和需要防止发生的安全事件对系统的影响程度划分不同等级，划分为几级，划分方法是否参照了国家相关管理部门的技术资料，主要参照哪些；   c) 应检查安全事件报告和处置管理制度，查看其是否明确本系统已发生的和需要防止发生的安全事件类型，是否明确安全事件的现场处理、事件报告和后期恢复的管理职责；   d) 应检查安全事件定级文档，查看其是否明确安全事件的定义、安全事件等级划分的原则、等级描述等方面内容；   e) 应检查安全事件记录分析文档，查看其是否记录引发安全事件的原因，是否记录事件处理过程，不同安全事件是否采取不同措施避免其再次发生，涉密事件记录文档中是否至少包括两名工作  人员；   f) 应检查安全事件报告和处理程序文档，查看其是否根据不同安全事件制定不同的处理和报告程序，及响应和处置的范围、程度、处理方法，是否明确具体报告方式、报告内容、报告人等方面内容。    8.2.5.12.3 结果判定  如果8.2.5.12.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  8.2.5.13 应急预案管理  8.2.5.13.1 测评指标  见GB/T 22239-20088.2.5.13。  8.2.5.13.2 测评实施  本项要求包括：  a) 应访谈系统运维负责人，询问是否制定不同事件的应急预案，是否对系统相关人员进行应急预案培训，多长时间举办一次，是否定期对应急预案进行演练，演练周期多长，是否对应急预案定期进行审查  ，根据系统变更定期评估并修订预案，目前的预案文档为第几版；   b) 应访谈系统运维负责人，询问是否具有应急预案小组，是否具备应急设备并能正常工作，应急预案执行所需资金是否做过预算并能够落实；   c) 应检查应急预案框架，查看其内容是否覆盖启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等方面；   d) 应检查是否具有根据应急预案框架制定的不同事件的应急预案；   e) 应检查是否具有定期审查应急预案的管理规定，查看是否明确应急预案中需要定期审查和根据实际情况更新的内容；   f) 应检查是否具有应急预案培训记录、演练记录和审查记录，如果系统有大的变更，检查是否有针对应急预案的评估文档和修订版本。    8.2.5.13.3 结果判定  如果8.2.5.13.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。  9 第五级信息系统单元测评  （略）。  10 信息系统整体测评  10.1 概述  国标GB/T 22239-2008中的要求项，是为了对抗相应等级的威胁或具备相应等级的恢复能力而设计的，但由于安全措施的实现方式多种多样，安全技术也在不断发展，信息系统的运行使用单位所采用的  安全措施和技术并不一定和GB/T 22239-2008的要求项完全一致。因此，需要从信息系统整体上是否能够对抗相应等级威胁的角度，对单元测评中的不符合项和部分符合项进行综合分析，分析这些不符合  项或部分符合项是否会影响到信息系统整体安全保护能力的缺失。信息系统的整体测评，就是在单元测评的基础上，评价信息系统的整体安全保护能力有没有缺失，是否能够对抗相应等级的安全威胁。   信息系统整体测评应从安全控制点间、层面间和区域间等方面进行安全分析和测评，并最后从系统结构安全方面进行综合分析，对系统结构进行安全测评。 安全控制点间安全测评是指对同一区域同一层面  内的两个或者两个以上不同安全控制点间的关联进行测评分析，其目的是确定这些关联对信息系统整体安全保护能力的影响。 层面间安全测评是指对同一区域内的两个或者两个以上不同层面的关联进行测  评分析，其目的是确定这些关联对信息系统整体安全保护能力的影响。 区域间安全测评是指对两个或者两个以上不同物理或逻辑区域间的关联进行测评分析，其目的是确定这些关联对信息系统整体安全保  护能力的影响。   10.2 安全控制点间测评  在单元测评完成后，如果信息系统的某个安全控制点中的要求项存在不符合项或部分符合项，应进行安全控制点间测评，应分析在同一功能区域同一层面内，是否存在其他安全控制点对该安全控制点具  有补充作用（如物理访问控制和防盗窃、安全审计和抗抵赖等）。同时，分析是否存在其他的安全措施或技术与该要求项具有相似的安全功能。 根据测评分析结果，综合判断该安全控制点所对应的系统安  全保护能力是否缺失，如果经过综合分析单元测评中的不符合项或部分符合项不造成系统整体安全保护能力的缺失，则该安全控制点对应的单  元测评结论应调整为符合。  10.3 层面间测评  在单元测评完成后，如果信息系统的某个安全控制点中的要求项存在不符合项或部分符合项，应进行层面间安全测评，重点分析其他层面上功能相同或相似的安全控制点是否对本安全控制点存在补充作用  （如应用层加密与网络层加密、主机层与应用层上的身份鉴别等），以及技术与管理上各层面的关联关系t如主机安全与系统运维管理、应用安全与系统运维管理等）。  根据测评分析结果，综合判断该安全控制点所对应的系统安全保护能力是否缺失，如果经过综合分析单元测评中的不符合项或部分符合项不造成系统整体安全保护能力的缺失，则该安全控制点对应的单元  测评结论应调整为符合。  10.4 区域间测评  在单元测评完成后，如果信息系统的某个安全控制点中的要求项存在不符合项或部分符合项，应进行区域间安全测评，重点分析系统中访问控制路径（如不同功能区域间的数据流流向和控制方式），是  否存在区域间安全功能的相互补充。   根据测评分析结果，综合判断该安全控制点所对应的系统安全保护能力是否缺失，如果经过综合分析单元测评中的不符合项或部分符合项不造成系统整体安全保护能力的缺失，则该安全控制点对应的单元  测评结论应调整为符合。  10.5 系统结构安全测评  在完成安全控制点间、层面间和区域间安全测评后，应进行系统结构安全测评，系统结构安全测评应从信息系统整体结构的安全性和整体安全防范的合理性方面进行分析和测评。   在测评分析信息系统整体结构的安全性时，应掌握信息系统的物理布局、网络拓扑、业务逻辑（业务数据流）、系统实现和集成方式等各种情况，结合业务数据流分析物理布局与网络拓扑之间、网络拓扑  与业务逻辑之间、物理布局与业务逻辑之间、不同信息系统之间存在的各种关系，明确物理、网络和应用系统等不同位置上可能面临的威胁、可能暴露的脆弱性等，考虑信息系统的实际情况，综合判定信  息系统的整体布局是否清晰、合理、安全有效。   在测评分析信息系统整体安全防范的合理性时，应熟悉信息系统安全保护措施的具体实现方式和部署情况等，结合业务数据流分析不同区域和不同边界与安全保护措施的关系、重要业务和关键信息与安全  保护措施的关系等，参照纵深防御的要求，识别信息系统的安全防范是否突出重点、层层深入，综合判定信息系统的整体安全防范措施是否恰当合理、协调一致。  11 等级测评结论  11.1 各层面的测评结论  等级测评报告应给出信息系统在安全技术和安全管理各个层面的测评结论。   汇总单元测评结果，可以给出安全技术和安全管理上各个层面的等级测评结论。在安全技术五个层面的等级测评结论中，通常物理安全测评结论应重点给出信息系统在防范各种自然灾害和人为物理破坏  方面安全控制措施的落实情况；网络安全测评结论应重点给出信息系统在网络结构安全、网络访问控制和入侵检测、防范等方面安全控制措施的落实情况；主机安全测评结论应重点给出身份鉴别、安全审  计和恶意代码防范等方面安全控制措施的落实情况；应用安全测评结论应重点给出身份鉴别、访问控制和通信保密等方面的安全控制措施的落实情况；数据安全及备份恢复测评结论应重点给出数据保密性  和备份恢复功能安全控制措施的落实情况等。在安全管理五个方面的等级测评结论中，通常安全管理制度应重点给出管理制度体系的完备性和制修订的及时性等方面的测评结论；安全管理机构应重点给出  机构、岗位设置和人员配备等方面的测评结论；人员安全管理应重点给出人员录用、离岗和培训等方面的测评结论；系统建设管理可重点给出安全方案设计、产品采购、系统的测试验收和交付等方面的测  评结论；系统运维管理可重点给出系统监控管理、网络和系统安全管理、恶意代码防范管理、密码管理以及应急预案管理等方面的测评结论。当然，不同环境下，不同等级信息系统在不同层面上会有不同  的关注点，应反映到相应层面的等级测评结论中。  11.2 整体保护能力的测评结论  等级测评报告应给出信息系统整体保护能力的测评结论，确认信息系统达到相应等级保护要求的程度。  根据各层面的测评结论，结合整体测评的结果，给出信息系统整体安全保护能力的测评结论。整体安全保护能力的测评结论应包括安全技术和安全管理措施的有效性、安全强度的一致性以及整体安全防御  体系的完善程度等方面内容。        附录A  （资料性附录）   测评力度   本标准在第5章到第8章描述了第一级到第四级信息系统的单元测评的具体测评实施过程要求。为了便于理解、对比不同测评方法的测评力度以及不同级别信息系统单元测评的测评力度增强情况，分别编制  表A.1测评方法的测评力度描述和表A.2不同安全保护等级信息系统的测评力度要求表。  A.1 测评方法的测评力度描述  测评方法是测评人员依据测评内容选取的、实施特定测评操作的具体方法。本标准涉及访谈、检查和测试等三种基本测评方法。访谈、检查和测试等三种基本测评方法的测评力度可以通过其测评的深度  和广度来描述，如表A.1。        A.2 信息系统测评力度   为了进一步理解不同等级信息系统在测评力度上的不同，表A.2在表A.1的基础上，从测评对象数量和种类以及测评深度等方面详细分析了不同测评方法的测评力度在不同安全保护等级信息系统安全测评中的具体体现。       从表A.2可以看到，对不同等级的信息系统进行等级测评时，选择的测评对象的种类和数量是不同的，随着信息系统安全保护等级的增高，抽查的测评对象的种类和数量也随之增加。   对不同安全保护等级信息系统进行等级测评时，实际抽查测评对象的种类和数量，应当达到表A.2的要求，以满足相应等级的测评力度要求。在具体测评对象选择工作过程中，可参照遵循以下原则：   a) 完整性原则，选择的设备、措施等应能满足相应等级的测评力度要求；   b) 重要性原则，应抽查重要的服务器、数据库和网络设备等；   c) 安全性原则，应抽查对外暴露的网络边界；   d) 共享性原则，应抽查共享设备和数据交换平台/设备；   e) 代表性原则，抽查应尽量覆盖系统各种设备类型、操作系统类型、数据库系统类型和应用系统的类型。 阅读全文 >

第一章 总则 第一条 为规范我院校园网络所属学生宿舍楼局域网的管理和接入服务、信息服务，保障我院学生宿舍楼局域网（以下简称宿舍网）的系统安全、正常运行和健康发展，维护校园的正常教学、管理、工作、生活秩序，更好地为广大学生服务，根据《计算机信息网络国际互联网安全保护管理办法》、《中国教育和科研计算机网络管理办法（试行）》及《百色学院校园网络与信息安全管理办法》（百院字〔2008〕175号），特制定本办法。 第二条 宿舍网的所有管理者和使用者必须遵守本办法。 第三条 宿舍网由接入我院校园网络的局域网组成，是我院教学、科研和行政管理的基础设施之一。 第四条 学院针对我院校园网络及其用户所制定的所有规章制度同时适用于本网及本网的用户。 第二章 管理 第五条 学院成立百色学院学生宿舍楼局域网管理领导小组（以下简称领导小组），负责制定与宿舍网有关的规章制度，研究与协调宿舍网在建设、运行、使用和管理中出现的问题，处理与宿舍网相关的重大违规事件。 第六条 领导小组由学院分管领导，院长办公室、党委宣传部、学生工作处（部）、总务处、网络与教育技术中心（以下简称网教中心）、保卫办等部门负责人及各系（部）学工组负责人组成，齐抓共管。 第七条 院长办公室负责宿舍网管理的总体协调工作。党委宣传部负责宿舍网信息发布、信息安全监控及网上舆论正面引导工作。学生工作处（部）及各系（部）学工组负责宿舍网用户违纪事件的处理工作，加强学生的思想政治教育工作，加强对上网用户的管理。总务处负责宿舍网安装在各楼栋网络设备的供电保障工作。网教中心负责宿舍网的规划、建设、维护、维修与运行控制工作，同时协助党委宣传部做好信息安全的监控工作。保卫办负责宿舍网各类事件、案件的查处工作，以及安装在各楼栋网络设备的安全工作。 第八条 各学生宿舍楼内的网络线路、线槽、网络设备、机柜内跳线、信息插座等，统一由网教中心按照统一、美观、安全的原则进行安装，并负责日常维护、连接、设置。未经许可，任何人不得占用、更换、损毁；不得改变其物理的位置、形态、性能；不得改变其连接关系、运行状态、系统配置。 第九条 各学生宿舍楼设一个宿舍网管理小组（以下简称管理小组）。管理小组由含1名组长在内的2至3名本楼内住宿的义务网络管理员（以下简称网络管理员）组成，在网教中心指导下协助做好本楼内有关宿舍网管理、维护和咨询各项事宜。 第三章 用户管理 第十条 院内居住的在籍学生，凡接受本办法全部条款的，可以申请接入宿舍网并接入校园网。 第十一条 学院对使用宿舍网的学生实行账户管理和审批准入。申请入网的学生必须填写入网申请表，经所在系（部）同意后，到网络运营部门缴费开户，最后到网教中心办理IP地址开通手续，方能接入宿舍网成为校园网的合法用户。 第十二条 宿舍网管理实行实名制，一人一账号，用户负责本人账号、口令管理，并承担本人账号产生的经济及法律后果，不得转让他人或偷盗他人账户；学生毕业离校后其个人账号自动注销。 第十三条 学院对宿舍网的网络出口线路实行定时开放，开放的时间为每天6:00至24:00（星期六、星期日全天开放），寒、暑假期间按照学院的管理要求执行。 第十四条 同一宿舍内的在籍学生，享有完全平等的网络接入权。此权利不因进住的早晚、连网的先后而不同。 第十五条 学生宿舍上网，室内所需的计算机、网卡、网线和集线器等设备及费用由上网者本人自理。当用户因同一房间内的入网需求大于室内的现有接入能力而需要对现有接入能力进行扩充时，其所采用的扩充方案与设备，必须事先报网教中心批准备案。 第十六条 宿舍网的IP地址使用静态IP地址。各宿舍楼可用的静态IP地址由网教中心统一管理。 第十七条 用户可向网教中心申请变更或交还其所持有的静态IP地址。网教中心可根据实际情况调整或收回已分配的静态IP地址，但事先应与有关当事人协商并将最终决定书面通知有关人员。 第十八条 用户对系统和网教中心所分配的网络地址在分配的有效期内享有专用权。任何人未经网络系统或网教中心分配，不得使用百色学院校园计算机网络所拥有的IP地址。 第四章 安全管理 第十九条 宿舍网用户和服务提供人的通信自由、通信秘密以及人身权利受国家法律保护，任何单位或个人不得利用校园网予以侵害或剥夺。法律或有关管理办法另有规定的除外。 第二十条 宿舍网用户在上网过程中，必须遵守中国教育科研网和国家的有关法规和管理办法，遵守网络礼仪和道德规范，不得使用宿舍网或通过使用宿舍网从事危害公共安全、损害公众利益、侵害他人正当权益、窃取或泄露他人秘密以及有伤风化的活动，也不得通过宿舍网查阅、复制或在网上发布、传播含有上述内容的信息。 第二十一条 宿舍网的所有用户和网络管理员在所有与校园网相关的活动中必须接受国家安全机关、公安机关、保密机关、上级网络管理单位以及学院党委宣传部、学生工作处（部）、网教中心、学院保卫办、总务处等有关部门的管理人员依照有关法律、法规和管理规定进行的管理和监督。 第二十二条 宿舍网用户，未经领导小组许可，不得擅自提供BBS服务、WWW服务、DNS服务、代理服务、游戏私服等一切网络服务。 第五章 运行管理 第二十三条 服务提供人应该保证通过其服务所提供的公开信息符合国家制定的有关法规和管理办法，符合各级网络管理部门制定的有关管理办法和规章制度。 第二十四条 宿舍网用户在按规定连网后，有权了解校园网使用性能、用户端的配置参数与方法、系统当前的运行状态；有权就其在校园网的使用过程中所遇到的问题，向所在楼栋的网络管理员或直接向网教中心咨询；用户有权拒绝身份不明的人员行使网络管理员的职权；有权对校园网的运行、管理工作向网教中心提出意见和建议；在对网络管理员的工作不满意时，有权向管理部门投诉。 第二十五条 网络管理员可以根据需要对所管辖网络和信息服务进行安全性和可靠性检测。但此检测应经网教中心的同意，并通知检测所涉及的用户，而且不得侵害用户的正当权益。 第二十六条 网络管理员和用户在网络的使用中，对所发现或发生的违反有关法律、法规和规章制度的人或事应该予以制止或向有关部门反映，应该协助有关部门或管理人员对上述人或事进行调查。 第二十七条 网教中心可根据实际情况和需要采用新技术、调整网络结构和系统功能、变更系统参数和使用方法、排除系统隐患等，不必通知用户。如果上述工作影响到用户的使用性能和使用方法，网教中心则应预先通知相关用户和网络管理员。 第六章 责任与处罚 第二十八条 校园网各管理机构和网络管理员对系统运行过程中一切非人为过错和不可抗力所造成的后果不承担责任。 第二十九条 学生应当自觉爱护校园网络的设备和设施，不得从事下列行为： （一）私自拉接或改装光缆、线缆、端口； （二）盗窃或损毁光缆、线缆、端口等设施； （三）未经允许私自拆卸单位和他人的计算机及其配套设备； 第三十条 禁止利用计算机网络从事下列活动： （一）侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统； （二）访问黄色网站，浏览、上载、下载或转载黄色影像材料和淫秽信息，或者利用计算机看黄色影碟及玩带有色情内容的游戏； （三）在互联网上开设赌局，利用互联网进行赌博； （四）在网上进行非法的集会和聚会； （五）利用计算机网络发布、传播盗版软件、转载不实新闻报道，发布有损知识产权的音像制品和出版刊物； （六）法律、法规和行政规章禁止的其他行为。 第三十一条 学生使用计算机网络必须履行如下义务： （一）保证其系统配置参数和使用方法的正确有效，改正其中妨碍网络及网络服务系统正常运行或妨碍其他用户正常使用的内容； （二）保证其提供的信息的准确性和有效性，及时更新陈旧信息，删除失效信息； （三）对所提供的公开的信息、链接的其他网页以及上载的信息进行有效监督，使其符合有关法律、法规以及本规定的要求； （四）及时释放其所获取的各项共享资源； （五）接受国家公安机关、网络管理机构、学院有关职能部门依法依章进行的管理和监督； （六）发现危害计算机网络信息安全和计算机网络安全的人和事应及时制止，或向公安机关、网络管理机构和学院职能部门反映和报告，并为有关部门调查取证提供协助。 第三十二条 用户必须对其使用网络的行为所产生的后果承担法律责任。违反本管理办法对他人构成侵害的，必须补偿其给被侵害人所造成的直接和间接损失。 第三十三条 违反本管理办法情节严重的，网教中心可立即先行停止相应网络连接或信息服务，同时将相关情况告知学生工作处（部）。网络用户须写出包含详细情况的书面检查交到所在系，由学生所在系依照《百色学院学生违纪处分管理办法》规定的处理程序进行处理。 第三十四条 学生因过分迷恋网络而影响学习或宿舍人际关系者，学院有权对其进行批评教育或干预，并由学生所有系或者相关职能部门正式通报学生家长。 第三十五条 对于违反本规定第二十九条、第三十条的学生，学院视其情节分别作出如下处理： （一）情节较轻者，给予口头批评或通报批评； （二）情节较重者，给予勒令改正或取消连网资格30—60天； （三）情节严重者，给予相应的纪律处分； （四）构成犯罪者，由有关国家机关追究相应的法律责任； （五）造成经济损失者，须承担赔偿责任。 第七章 附则 第三十六条 本办法由领导小组委托网教中心负责解释。 第三十七条 本办法自公布之日起执行。 阅读全文 >

第一章 总 则 第一条 为了加强百色学院校园计算机网络(英文缩写：BSUNET，以下简称校园网络)的运行和管理，保证校园网络安全、可靠、稳定地运行，促进校园网络的健康发展，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《中华人民共和国计算机信息网络国际联网安全保护管理办法》、《中国教育和科研计算机网管理办法（试行）》和国家有关规定，特制定本管理办法。 第二条 校园网络是为全校教学、科研和管理建立的计算机信息网络，其目的是利用先进实用的计算机技术和网络通信技术，实现校内计算机互联、计算机局域网互联，并通过中国教育和科研计算机网（CERNET）和中国公用计算机互联网（CHINANET）与国际互联网络（INTERNET）互联，其服务对象主要是全院各单位和全体师生员工。 第三条 校园网络建设和管理由学院统筹规划建设、统一建设标准，实行分级管理制度，以保障网络的正常运行。 第二章 组织与管理机构 第四条 校园网络建设规划管理领导小组为校园网络最高决策机构，负责对校园网络的规划、建设和发展提出指导和咨询意见。 第五条 网络与教育技术中心(以下简称网教中心)为校园网络建设和技术管理的具体实施机构，负责全院的网络建设和日常运行、管理及发展。 第六条 所有联网的院内单位应确定一名部门领导分管网络安全工作，确定本单位的网络管理员，并上报网教中心备案。 网络管理员主要职责：负责管理网教中心分配的IP地址和网络设备，与网教中心协同配合，共同做好网络的安全运行、管理和维护工作。 第三章 主干网与接入子网 第七条 网教中心负责主干网的运行管理、设备管理和发展规划，保证主干网的畅通。子网接入单位(指建有本单位局域网，接入计算机台数较多的单位)应当服从网教中心在技术和相关业务上的管理。 第八条 子网接入单位职责： 1．在网教中心的统一规划和指导下，负责按有关技术要求和管理规定对子网进行建设、运行和管理； 2．负责本级网络用户的管理、教育、技术咨询和培训工作； 3．负责本级网络相应的网络安全和信息安全工作； 4．负责保存本级网络运行的有关记录，并接受网教中心的监督和检查。 第九条 各子网网络管理员具体负责子网内相应的网络安全和信息安全工作，保存网络运行的有关记录，并接受网教中心的监督和检查。 第四章 IP地址、用户申请与子网扩充  第十条 校园网络IP地址由网教中心负责统一管理和分配。 第十一条 各入网单位必须向网教中心申请分配合法的IP地址。入网单位和个人应严格使用由网教中心及本单位网络管理员分配的IP地址，严禁盗用他人IP地址或私自乱设IP地址。网教中心有权禁止乱设IP地址的计算机连入网络，以保证校园网络的正常运行。 第十二条 用户入网和办理电子邮件帐户，应向网教中心提出书面申请，办理有关手续。严禁用户私自拉线连机入网。 第十三条 需要建设子网的单位应向网教中心提交申请和子网规划等相关技术资料，经网教中心审核后报校园网络建设规划管理领导小组审批。未经批准，任何单位和个人不准私自扩充子网和与院外单位连网。 第五章 上网信息、信息站点和服务器管理 第十四条 上网信息管理实行谁上网谁负责、文责自负的原则。上网信息不准有违反国家法律、法规或侵犯他人知识产权的内容。 第十五条 上网信息实行审核登记制度和巡查制度，由学院党委办公室负责审批和管理。 第十六条 需要设立Web服务器、登录服务器、FTP服务器等公开站点的单位，必须由建设单位向网教中心提出申请，填写登记表格，报校园网络建设规划管理领导小组审批后方可设立，同时应指定专人负责管理。上述站点须接受网教中心的监督。 第十七条 除经学院批准开设的电子商务站点外，院内任何站点不准从事带有商业性质的服务。 第十八条 除网教中心外，院内其他单位和个人都不准在校园网络上设立电子公告服务的非经营性信息服务站点（以下简称BBS站）或与BBS类似的公开信息站点。一经发现，立即从网上隔离，并要追究有关人员的责任。 第六章 网络安全管理 第十九条 各用户必须自觉遵守国家有关保密法规： 1．不准利用国际互联网泄露国家秘密； 2．涉密文件、资料、数据严禁上网流传、处理、储存； 3．与涉密文件、资料、数据和涉密科研课题相关的微机严禁联网运行。 4．不准盗用学院名义进行任何网上的非法操作。 5．不准冒用他人名义、盗用他人帐号地址进行任何网上的非法操作。 第二十条 任何用户不准利用国际互联网制作、复制、查阅和传播下列信息： 1．煽动抗拒、破坏宪法和法律、行政法规实施； 2.煽动颠覆国家政权，推翻社会主义制度； 3.煽动分裂国家、破坏国家统一； 4.煽动民族仇恨、民族歧视，破坏民族团结； 5.捏造或者歪曲事实，散布谣言，扰乱社会秩序及学院秩序； 6.宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖、邪教，教唆犯罪； 7.公然侮辱他人或者捏造事实诽谤他人； 8.损害国家机关信誉及影响损害学院声誉的； 9.其他违反宪法和法律、行政法规的。 第二十一条 任何用户不准从事下列危害计算机信息网络安全的活动： 1.未经允许，进入计算机信息网络或者使用计算机信息网络资源； 2.未经允许，对计算机信息网络功能进行删除、修改或者增加的； 3.未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加的； 4.故意制作、传播计算机病毒等破坏性程序的； 5.其他危害计算机信息网络安全的。 第二十二条 用户的通信自由和通信秘密受法律保护。任何单位和个人不准违反法律规定，利用国际互联网侵犯用户的通讯自由和通讯秘密。 第二十三条 用户有义务向网教中心和有关部门报告校园网络上的有害信息和违法犯罪行为，接受并配合国家有关部门依法进行的监督检查。 第二十四条 网教中心和各子网接入单位应当履行下列安全保护职责： 1．负责本网络的安全保护管理工作，建立健全安全保护管理制度； 2.落实安全保护技术措施，保障本网络的运行安全和信息安全； 3.负责对本网络用户的安全教育和培训； 4.对委托发布信息的单位和个人进行登记，并对所提供的信息内容按照相关规定进行审核； 5.建立计算机信息网络电子公告系统的用户登记和信息管理制度； 6.发现有违法乱纪行为的，应当保留有关原始记录，并在二十四小时内向学校领导和县级以上公安机关网监部门报告； 7.按照国家有关规定，删除本网络中含有违法内容的地址、目录或者关闭服务器。 第二十五条 网教中心和各接入单位必须实行以下安全管理制度： 1.分级管理，分级负责，校园网络建设与管理成效与单位年终考核挂钩制度； 2.信息发布文责自负、审核、登记制度； 3.有害信息监视、保存、清除和备份制度； 4.违法案件报告和协助查处制度； 5.公用帐号使用登记和操作权限管理制度； 6.安全教育和培训制度； 7. BBS注册实名登记制度； 8.禁止涉密微机入网制度。 第二十六条 各子网接入单位和用户必须与学校签定《百色学院校园网络用户安全责任书》及填写《百色学院计算机网络用户申请登记表》并自觉遵守协议的管理规定。 第二十七条 对于不符合安全管理规定的站点，一经发现，即从网上隔离，并要追究有关人员的责任。 第二十八条 网教中心和各接入单位要定期对相应的网络用户进行有关的信息安全和网络安全教育，并根据国家有关规定对上网信息进行检查。发现问题应及时上报，并采取处理措施。 第二十九条 网教中心、接入单位和用户必须接受并配合国家和学院有关部门依法进行的监督检查。 第七章 网络运行经费 第三十条 学院在每年的财务预算中，列出专项建设经费作为校园网络建设维护经费，由校园网络建设规划管理领导小组统筹管理，合理调配使用，保证校园网络的正常运行。 第三十一条 校园网络运行经费收费办法由网教中心依照有关规定拟定，经校园网络建设规划管理领导小组讨论通过后执行。 第三十二条 所有接入单位和个人都应交纳网络运行管理费、通讯费等有关费用。 第三十三条 校园网络建设和运行经费的使用和管理接受校园网络建设规划管理领导小组的指导与监督。  第八章 网上宣传和思想政治工作 第三十四条 学院党委办公室、学生工作部门、网络管理机构和各系(部)应结合思想政治教育进网络的精神，建立和健全网上思想政治工作体系；应加强网上宣传和思想政治工作网上阵地的建设，积极开展生动形象的网上思想政治工作，探索加强网上思想政治工作的新思路、新办法、新措施。 第三十五条 网上宣传思想政治工作部门职责分工： 1.党委办公室，主要负责在网上宣传党的方针政策，把握网上宣传思想政治工作方向，探索开展网上思想政治工作的有效途径和模式，严把上网信息政治方向审核关； 2.学工处，主要负责把握网上学生宣传思想政治工作的方向，确定网上学生宣传思想政治工作重点，探索和建立适应时代特点的网上思想政治工作有效形式，组织学生工作队伍积极开展网上思想政治工作； 3.社科部，主要负责实现“两课”教学内容与网络通讯形式的有效结合，探索开展网上“两课”教学工作，构建网上“两课”教学阵地； 4.团委，主要负责监控BBS上的学生思想动态，负责组织校学生会通过多种形式开展网上思想疏导和解释说明工作，及时删除违反相关法规的信息； 5.网教中心，主要负责从硬件环境和技术条件上支持和协助开展网上宣传思想政治工作，监控网上信息，发现问题及时保存原始资料，删除有害信息，协同有关部门进行处理； 6.保卫科，主要负责从安全角度监控网上信息，发现问题及时配合公安机关对网上违法犯罪进行查处。 第三十六条 各子网接入单位、学生工作部门、学生工作管理人员和网络管理员应认真做好本单位上网人员的思想政治教育工作，加强监控，发现问题要加以引导，及时处理解决。 第九章 奖励与惩罚 第三十七条 学院每年评定校园网络建设和管理先进单位和个人，依照相关办法给予精神和物质奖励，并与部门年终考核挂钩。 第三十八条 对于盗用IP地址、盗用他人口令、入侵及破坏网络和计算机系统、违反网络用户行为规范的行为，网教中心将要求相关部门予以配合，并会同学校有关职能部门共同查处；处罚视情节轻重分为警告、停止个人帐户、停止单机上网、停止子网接入校园网络、交学院有关职能部门处理；触犯国家有关法律者，要报公安机关依法追究责任。 第三十九条 对于违反国家有关法规和本规定的入网单位和个人用户，网教中心将依照情节轻重对其采取如下惩罚措施：警告、停止个人帐户、停止有关单机入网、停止子网接入校园网络、报请学校按校纪处分、诉诸法律等。 第十章 附 则 第四十条 本办法适用于本院所有联网单位和个人，适用于全体使用校园网络的师生员工。 第四十一条 本办法由网教中心负责解释。 第四十二条 本办法自2006年9月1日起施行。 阅读全文 >

广西师范大学关于计算机信息系统国际联网保密管理的暂行规定 【师党〔2007〕20号】 阅读全文 >

为了切实做好我校校园网络突发事件的防范和应急处理工作，进一步提高我校预防和控制网络突发事件的能力和水平，减轻或消除突发事件的危害和影响，确保我校校园网络与信息安全，网络与教育技术中心结合我校工作实际，制定本预案。 一、网络与信息安全事件定义 1．根据网络与信息安全事件的发生原因、性质和机理，网络与信息安全事件主要分为以下三类：攻击类事件：指网络与信息系统因计算机病毒感染、非法入侵等造成校园网网站主页被恶意篡改、交互式栏目里发表不良信息；应用服务器（如办公系统、财务系统等）被非法入侵，应用服务器上的数据被非法拷贝、修改、删除；在网站上发布的内容违反国家的法律法规、侵犯知识版权并已造成严重后果等，由此导致的业务中断、系统宕机、网络瘫痪等情况。 2．故障类事件：指网络与信息系统因计算机软硬件故障、人为误操作等导致业务中断、系统死机、网络瘫痪等情况。 3．灾害类事件：指因洪水、火灾、雷击、地震、台风等外力因素导致网络与信息系统损毁，造成业务中断、系统死机、网络瘫痪等情况。 二、预防措施 1．对校园网络现有信息系统和今后新建设的信息系统，参照国家有关信息安全等级保护的要求，按照最终确定的保护等级采取相应的安全保障措施。 2．建设安全事件预警预报体系和校园网络安全工作值班制度，加强对党校校园网络和重点信息系统的监测、监控，加强安全管理，对可能引发网络与信息安全事件的有关信息，要认真收集、分析判断，发现有异常情况时，及时处理并逐级报告。 3．一旦发生网络与信息安全事件，立即启动应急预案，采取应急处置措施，判定事件危害程度，并立即将情况向有关领导报告，在处置过程中，应及时报告处置工作进展情况，直至处置工作结束。属于重大事件或存在非法犯罪行为的，还应向公安机关报告。 4．特殊时期，可根据学校的统一要求和部署，由网络与教育技术中心进行统一安排，组织专业技术人员对网络和信息数据采取加强保护措施，对网络进行不间断的监控。 三、处置程序 1．预案启动 在发生网络与信息安全事件后，网络与教育技术中心应尽最大可能收集事件相关信息，鉴别事件性质，确定事件来源，以确定事件范围和评估事件带来的影响和损害，确认为网络与信息安全事件后，对事件进行处置和上报。 2．应急处置 初步确定应急处置方式，根据事件引发原因分为灾害类、故障或攻击类两种情况，区别对待。 灾害类：根据实际情况，在保障人身安全的前提下，首先保障数据安全，然后是设备安全。具体方法包括：硬盘的拔出与保存，设备的断电与拆卸、搬迁等。 故障或攻击类：判断故障或攻击的来源与性质，断开影响安全与稳定的信息网络设备，断开信息系统与攻击来源的网络物理连接，跟踪并锁定攻击来源的IP或其它网络用户信息，修复被破坏的信息，恢复信息系统。网络与教育技术中心应对服务器重要信息定时做好备份，提高信息存储安全应急响应能力。并定期检查设备的运转情况，做好设备维护记录，保证设备高效稳定的运行。按照事件发生的性质分别采用以下方案： （1）病毒传播：要求所有接入校园网的计算机都要安装正版杀毒软件，并及时升级打系统补丁，确保能够清除病毒。一旦发现有病毒大面积传播应及时寻找并断开传播源，判断病毒的类型、性质、可能的危害范围。为避免产生更大的损失，保护健康的计算机，必要时可关闭相应的端口，甚至相应楼层的接入层交换机。 （2）外部入侵：判断入侵的来源，区分外网与内网，评价入侵可能或已经造成的危害。对入侵不成功、未造成损害的，且评价威胁很小的外网入侵，定位入侵的IP地址，及时关闭入侵的端口，限制入侵的IP地址的访问。对于已经造成危害的，应立即采用断开网络连接的方法，避免造成更大损失和带来恶劣影响。 （3）内部入侵：可通过上网安全认证系统查清入侵来源，如IP地址、MAC地址、使用人、所在办公室等信息，同时断开对应的交换机端口并及时通报相关单位主要负责人。 （4）网络故障：管理员对定期检查设备的运转情况，做好设备维护记录，保证设备高效稳定的运行。一旦主服务出现硬件设备故障，管理员将在第一时间启用备份服务器，保证网络的正常运行，并对原服务器进行及时的检修，在修复后将替换备份服务器继续运行，以保证网络的正常运行。必要时向计算机网络公司求助技术援助，并优先保证主要应用系统的运转。 （5）其它没有列出的不确定因素造成的事件，可根据总的安全原则，结合具体的情况，做出相应的处理。 3．应急处置后续处理 （1）在进行最初的应急处置以后，应及时采取行动，抑制安全事件影响的进一步扩大，限制潜在的损失与破坏，同时要确保应急处置措施对涉及的相关业务影响最小。在发生网络故障时，优先保证校党办及校办等要害部门的网络畅通。 （2）在事件被抑制之后，通过对有关事件或行为的分析结果，找出事件根源，明确相应的补救措施并彻底清除。 （3）在确保安全事件解决后，要及时清理系统、恢复数据、程序、服务，恢复工作应避免出现误操作导致的数据丢失。 4．记录和上报 网络与信息安全事件发生时，应及时向校领导汇报，并在事件处置工作中作好完整的过程记录，及时报告处置工作进展情况，保存各相关系统日志，直至处置工作结束。 5．结束响应 系统恢复运行后，网络与教育技术中心对事件造成的损失、事件处理流程和应急预案进行评估，对响应流程、预案提出修改意见，总结事件处理经验和教训，撰写事件处理报告，同时确定是否需要上报该事件及其处理过程，需要上报的应及时准备相关材料；根据情况需要上报公安部门的由办公室协调解决。 百色学院网络与教育技术中心 2007年9月20日 阅读全文 >

为顺利应对突发事件，妥善处置紧急情况，最大限度地减少意外事故带来的损失，保障网络与教育技术中心校园网络机房各种设备的安全，特制定处置突发事件应急预案。如遇紧急突发事件首先保持镇定，分清事件性质，立即做出反应，采取相应应急预案。 一、火灾事故应急预案 1．报警程序： (1)根据火势如需报警立即就近用电话或手机报告消防中心（电话119），报告内容为：“百色学院综合实验楼三楼310室网络与教育技术中心（中山二路21号）发生火灾，请迅速前来扑救”，待对方放下电话后再挂机。 (2)备好应急灯（或手电筒），查明原因，如是电源引起，应立即切断电源。 (3)向学校保卫处值班人员报告（值班电话：2848157），并派人等待引导消防车辆。 2．组织实施： (1)在消防车到来之前，先尽力使用现有消防设备将火势控制在最小。 (2)消防车到来之后，校内人员配合消防专业人员扑救或作好辅助工作。 (3)使用器具：灭火器、水桶、脸盆、铁锨，水浸的棉被等。 (4)迅速组织人员逃生，原则是“先救人，后救物”。 3．扑救方法： (1)扑救固体物品火灾，如木制品，棉织品等，可使用各类灭火器具。 (2)扑救液体物品火灾，如汽油、柴油、食用油等，只能使用灭火器、沙土、浸湿的棉被等，绝对不能用水扑救。 4．注意事项： (1)火灾事故首要的一条是保护人员安全，扑救要在确保人员不受伤害的前提下进行。 (2)发现火灾时应掌握的原则是边救火，边报警。 (3)人员在逃生时应掌握正确的逃离方法。 二、被盗案件应急预案 1．报警程序： (1)发现案件时应及时向学校保卫处值班室报警（值班电话2848157）。 (2)向网络与教育技术中心领导报告。 (3)根据案情报告分管领导和学校主要领导。 (4)经校领导同意后向公安机关报案。 2．处置措施：保护现场。 3．注意事项 (1)注意保护现场，以便为侦破案件提供条件。 (2)积极协助公安人员勘察现场，为侦破提供条件。 三、网上突发事件应急预案 当在校园网上发现学校信息泄密情况，擅自公布违法信息或有非法组织违法言论一律作为网上突发事件处理。 1．报警程序： (1)向学校保卫处值班室报告（值班电话：2848157）。 (2)向网络与教育技术中心领导报告。 (3)经领导同意后向百色市公安局网监支队报告。 2．处置措施：立刻查封违法者的IP地址。 3．注意事项 (1)遇事一定要冷静，果断采取措施。 (2)网络突发事件处理原则是：先查封违法者的IP地址，后报警，及时控制事态的发展。 百色学院网络与教育技术中心 2007年9月20日 阅读全文 >

百色学院校园网是中国教育科研网的一个组成部分，是我校教学、科研工作的基础设施之一。为保证我校计算机网络系统的安全运行，防止泄密和传输非法信息、不健康信息，特制定本规范。 1．校园网严格按照国家教育部、广西壮族自治区教育厅和公安部门的有关规定进行管理，在业务上接受中国教育和科研网络中心和广西教科主节点的指导，原则上只供学校的师生进行教学和科研使用，不提供商业性服务。 2．为保证网络安全，应加强应用人员的遵纪守法教育和信息安全教育，提高安全防范意识，使操作人员具有良好的工作作风和职业道德。 3．各入网部门应设立网络安全员，负责本部门网络的安全保护工作，制定安全防范责任制，校园网管理中心将定期进行检查，及时通报有关信息和网络安全管理经验。 4．校互联网提供公开服务的web站点。域名服务器、邮件服务器等均在中国教育科研网网络与教育技术中心进行了注册，网络与教育技术中心有专人负责web站的信息发布，一般应用人员只有浏览权。 5．校园网分为内部网和互联网两部分，需要接入Internet连接的用户应向校园网网管中心提出申请，获准后网管中心分配IP地址并提供相应入网软件，具有直接连接权限的用户要同校园网网管中心签订安全保证责任书，并自觉接受网络安全员的检查。 6．校园网网管中心负责网络设备的运行管理、负责网络资源、用户账户和安全性管理，系统管理员口令绝对保密，根据用户需求严格控制。合理分配用户权限。 7．网络用户应经常更新、妥善保管防杀病毒软件，确保防杀病毒软件本身无毒，向学生开放的教学实验室推荐使用无盘工作站，从根源上避免病毒的传播。 8．加强监督管理工作，将使用过程中的重要信息记录到审计文件中，便于掌握全面情况，发现可疑现象，及时追查安全事故责任。 9．各入网部门应积极配合公安部门的安全检查，自觉接受公安机关的监督。发现可疑情况应及时向有关部门反映。 百色学院网络与教育技术中心 2007年9月20日 阅读全文 >