等级测评方案

项目编号：xxxxxxxxxxxxx

等级测评方案

系统名称： XXXXXXXXXXX 被测单位：XXXXXXXXXXXX 测评单位：xxxxxxxxxxxxxxxxx

目录

1

概述 . .......................................................................................................................................... 3 1.1 项目简介 . ...................................................................................................................... 3 1.2 测评依据 . ...................................................................................................................... 3 被测系统描述 . .......................................................................................................................... 4 2.1 定级情况 . ...................................................................................................................... 4 2.2 网络结构 . ...................................................................................................................... 4 2.3 系统够成 . ...................................................................................................................... 5

2.3.1 业务应用软件 . .................................................................................................. 5 2.3.2 关键数据类别 . .................................................................................................. 5 2.3.3 主机/存储设备 . ................................................................................................. 5 2.3.4 网络互联设备 . .................................................................................................. 6 2.3.5 安全设备 . .......................................................................................................... 6 2.3.6 终端设备 . .......................................................................................................... 6 2.3.7 安全相关人员 . .................................................................................................. 6 2.3.8安全管理文档 . ......................................................................................................... 7 2.4 安全服务 . ...................................................................................................................... 7 测评对象与指标 . ...................................................................................................................... 7 3.1 测评指标 . ...................................................................................................................... 7 3.2 测评对象 . ...................................................................................................................... 8

3.2.1 机房 . .................................................................................................................. 9 3.2.2 网络互联设备操作系统 . .................................................................................. 9 3.2.3 主机（存储）操作系统 . .................................................................................. 9 3.2.4 业务应用软件 . .................................................................................................. 9 3.2.5 数据库管理系统 . ............................................................................................ 10 3.2.6 安全设备操作系统 . ........................................................................................ 10 测评方法与工具 . .................................................................................................................... 10 4.1 测评方法 . .................................................................................................................... 10 4.1.1. 工具测试 . ................................................................................................................ 10 4.1.2. 配置检查 . ................................................................................................................ 11

4.1.3. 人员访谈 . ........................................................................................................ 11 4.1.4. 文档审查 . ........................................................................................................ 11 4.1.5. 实地查看 . ........................................................................................................ 12 4.2 主要测评工具 . ............................................................................................................ 12 测评内容与实施 . .................................................................................................................... 13 5.1 物理安全测评 . ............................................................................................................ 14

5.1.1 测评实施 . ........................................................................................................ 15 5.1.2 配合需求 . ........................................................................................................ 15 5.2 网络安全测评 . ............................................................................................................ 16

5.2.1 测评指标 . ........................................................................................................ 16 5.2.2 测评实施 . ........................................................................................................ 17 5.2.3 配合需求 . ........................................................................................................ 17 5.3 主机安全测评 . ............................................................................................................ 18

2

3

4

5

5.3.1 测评指标 . ........................................................................................................ 18 5.3.2 测评实施 . ........................................................................................................ 18 5.3.3 配合需求 . ........................................................................................................ 19 5.4 应用安全测评 . ............................................................................................................ 19

5.4.1 测评指标 . ........................................................................................................ 19 5.4.2 测评实施 . ........................................................................................................ 20 5.4.3 配合需求 . ........................................................................................................ 20 5.5 数据安全及备份恢复测评 . ........................................................................................ 21

5.5.1 测评指标 . ........................................................................................................ 21 5.5.2 测评实施 . ........................................................................................................ 21 5.5.3 配合需求 . ........................................................................................................ 21 5.6 安全管理制度测评 . .................................................................................................... 22

5.6.1 测评指标 . ........................................................................................................ 22 5.6.2 测评实施 . ........................................................................................................ 22 5.6.3 配合需求 . ........................................................................................................ 23 5.7 安全管理机构测评 . .................................................................................................... 23

5.7.1 测评指标 . ........................................................................................................ 23 5.7.2 测评实施 . ........................................................................................................ 24 5.7.3 配合需求 . ........................................................................................................ 24 5.8 人员安全管理测评 . .................................................................................................... 24

5.8.1 测评指标 . ........................................................................................................ 24 5.8.2 测评实施 . ........................................................................................................ 25 5.8.3 配合需求 . ........................................................................................................ 25 5.9 系统建设管理测评 . .................................................................................................... 26

5.9.1 测评指标 . ........................................................................................................ 26 5.9.2 测评实施 . ........................................................................................................ 27 5.9.3 配合需求 . ........................................................................................................ 28 5.10 系统运维管理测评 . ................................................................................................ 29

5.10.1 测评指标 . ........................................................................................................ 29 5.10.2 测评实施 . ........................................................................................................ 30 5.10.3 配合需求 . ........................................................................................................ 31 5.11 工具测试 . ................................................................................................................ 33 5.12 整体测评 . ................................................................................................................ 34

1 概述

1.1 项目简介

为准确掌握信息系统的安全保护能力现状，有效提升信息系统安全建设的整体水平，XX 单位委托XXXXX 对其OA 办公系统和Winmail 邮件系统实施信息安全等级测评，希望通过测评工作发现系统现有安全防护措施的薄弱环节，为下一步的信息系统安全建设整改提供可靠依据，以有效提高信息系统的安全运行能力。

OA 办公系统和Winmail 邮件系统由XXXX 负责运行维护。OA 办公系统主要实现企业各部门日常业务工作的规范化、电子化、标准化，增强档案部门文书档案、人事档案、科技档案、 财务档案等档案的可管理性，实现办公流程的网上处理，以及信息的在线查询、借阅，最终实现" 无纸" 办公。Winmail 邮件系统主要实现POP3服务、IMAP 服务、Webmail 服务、公用地址簿、IMAP 公共邮件夹、网络磁盘、网络行事历与记事本、邮件签核、邮件杀毒等服务。

项目完成后将出具等级测评报告，XX 单位可依据等级测评报告，并结合单位的实际情况，区分轻重缓急，通过安全整改不断提高信息系统的整体安全保护水平。

1.2 测评依据

《信息安全技术 信息系统安全保护等级定级指南》（GB/T 22240-2008） 《信息安全技术 信息系统安全等级保护基本要求》（GB/T 22239-2008） 《信息安全技术 信息系统安全等级保护测评要求》（GB/T 28448-2012） 《信息安全技术 信息系统安全等级保护测评过程指南》（GB/T 28449-2012） 《信息安全技术 信息系统安全等级保护实施指南》（GB/T 25058-2010） 《信息安全技术 信息安全风险评估规范》（GB/T 20984-2007） 《信息安全等级保护测评与风险评估合同》

2 被测系统描述

被测系统为承载XX 单位OA 办公系统和Winmail 邮件系统，是XX 单位的重要信息系统，其安全等级定为三级。

OA 办公系统目前覆盖单位各部门，系统主要是实现各部门日常业务工作的规范化、电子化、标准化，提供电子化管理文书档案、人事档案、科技档案、 财务档案等功能。目前系统主要包括主服务器、交换机、路由器和防火墙等设备，具备了信息系统的基本要素，系统的边界用防火墙区分，边界设备是防火墙。

Winmail 邮件系统目前覆盖单位各部门，系统主要是实现POP3服务、IMAP 服务、Webmail 服务、公用地址簿、IMAP 公共邮件夹、网络磁盘、网络行事历与记事本、邮件签核、邮件杀毒等服务。目前系统主要包括主服务器、交换机、路由器和防火墙等设备，具备了信息系统的基本要素，系统的边界用防火墙区分，边界设备是防火墙。XX 单位负责Winmail 邮件系统的运行维护。

XX 单位负责OA 办公系统和Winmail 邮件系统的运行维护。

2.1 定级情况

XX 单位为该信息系统的定级责任单位。该信息系统于XXXX 年X 月上线。经过对该信息系统的业务信息安全等级和系统服务安全等级的综合判断，最终确定信息系统安全保护等级为三级（S3A3G3）。

2.2 网络结构

信息系统的拓扑结构示意图:

2.3 系统够成

2.3.1 业务应用软件

2.3.2 关键数据类别

2.3.3 主机/存储设备

2.3.4 网络互联设备

2.3.5 安全设备

2.3.6 终端设备

2.3.7 安全相关人员

2.3.8安全管理文档

2.4 安全服务

3 测评对象与指标

3.1 测评指标

对于三级系统，如业务信息安全等级为S3，系统服务安全等级为A3，则该系统的测评指标应包括GB/T 22239-2008《信息系统安全保护等级基本要求》中“技术要求”部分的3级通用指标类（G3），3级业务信息安全指标类（S3），3级系统服务安全指标类（A3），以及第3级“管理要求”部分中的所有指标类，等级保护测评指标情况具体如下表所示：

3.2 测评对象

依照信息安全等级保护的要求、参考业界权威的安全风险评估标准与模型，同时结合本XX 多年的安全风险评估经验与实践，从信息系统的核心资产出发，以威胁和弱点为导向，对比信息安全等级保护的具体要求，全方面对信息系统进行全面评估。

测评对象种类主要考虑以下几个方面： 1．整体网络拓扑结构； 2．机房环境、配套设施；

3．网络设备：包括路由器、核心交换机、汇聚层交换机等； 4．安全设备：包括防火墙、IDS/IPS、防病毒网关等； 5．主机系统（包括操作系统和数据库系统）； 6．业务应用系统；

7．重要管理终端（针对三级以上系统）；

8．安全管理员、网络管理员、系统管理员、业务管理员；

9．涉及到系统安全的所有管理制度和记录。

根据信息系统的测评强度要求，在执行具体的核查方法时，在广度上要做到从测评范围中抽取充分的测评对象种类和数量；在执行具体的检测方法，在深度上要做到对功能等各方面的测试。

3.2.1 机房

3.2.2 网络互联设备操作系统

3.2.3 主机（存储）操作系统

3.2.4 业务应用软件

3.2.5 数据库管理系统

3.2.6 安全设备操作系统

4 测评方法与工具

4.1 测评方法

在等级保护测评过程目中，将采用以下测评方法：

4.1.1. 工具测试

利用技术工具（漏洞扫描工具、渗透测试工具、压力测试工具等）对系统进行测试，包括基于网络探测和基于主机审计的漏洞扫描、渗透测试等。

4.1.2. 配置检查

利用上机验证的方式检查主机、服务器、数据库、网络设备、安全设备、应用系统的配置是否正确，是否与文档、相关设备和部件保持一致，对文档审核的内容进行核实（包括日志审计等），测评其实施的正确性和有效性，检查配置的完整性，测试网络连接规则的一致性，从而测试系统是否达到可用性和可靠性的要求。

4.1.3. 人员访谈

与被测系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。在访谈范围上，不同等级信息系统在测评时有不同的要求，

一般应基本覆盖所有的安全相关人员类型，在数量上可以抽样。

4.1.4. 文档审查

检查制度、策略、操作规程、制度执行情况记录等文档（包括安全方针文件、安全管理制度、安全管理的执行过程文档、系统设计方案、网络设备的技术资料、系统和产品的实际配置说明、系统的各种运行记录文档、机房建设相关资料、机房出入记录等过程记录文档）的完整性，以及这些文件之间的内部一致性。

4.1.5. 实地查看

通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况，测评其是否达到了相应等级的安全要求。

4.2 主要测评工具

我们在等级保护测评过程中使用的测评工具严格遵循可控性原则，即所有使用的测评工具将事先提交给甲方检查确认，确保在双方认可的范围之内，而且测评过程中采用的技术手段确保已经过可靠的实际应用。

在本项目中，将采用以下测评工具：

5 测评内容与实施

本项目主要分为两步开展实施。第一步，对XXXXXXXXXXXXXXXXXXX 两个信息系统进行定级和备案工作。第二步，对XXXXXXXXXXXXXXXXXXX 已经定级备案的系统进行十个安全层面的等级保护安全测评（物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理）。

其中安全测评分为差距测评和验收测评。差距测评主要针对XXXXXXXXXXXXXXX 已定级备案系统执行国家标准的安全测评，差距测评交付差距测评报告以及差距测评整改方案；差距整改完毕后协助完成系统配置方面的整改。最后进行验收测评，验收测评将按照国家标准和国家公安承认的测评要求、测评过程、测评报告，协助对XXXXXXXXXXXXXXXXXXX 已定级备案的系统执行系统安全验收测评，验收测评交付具有国家承认的验收测评报告。

信息系统安全等级保护测评包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。

安全控制测评使用测评单元方式组织，分为安全技术测评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理五个方面的安全控制测评。具体见下图：

5.1 物理安全测评

物理安全测评将通过访谈和检查的方式评测信息系统的物理安全保障情况。主要涉及对象为机房。

在内容上，物理安全层面测评实施过程涉及 10 个安全子类，具体如下表：

5.1.1 测评实施

访谈物理安全负责人、机房维护人员和机房值守人员，询问机房是否有防盗报警系统、 避雷装置、自动消防系统和温湿度自动调节设施等相关机房安全措施，检查机房位置、相关 制度、记录文档、系统（或设备）的运行情况等。

5.1.2 配合需求

5.2 网络安全测评

网络安全测评将通过访谈、检查和测试的方式评测信息系统的网络安全保障情况。主要涉及对象机房的网络设备、网络安全设备以及网络拓扑结构等三大类对象。在内容上，网络安全层面测评过程涉及 7 个工作单元。

5.2.1 测评指标

5.2.2 测评实施

网络层面测评实施主要分为三部分，第一部分为网络全测评，主要通过访谈网络管理员，针对结构安全、边界完整性、入侵防范、恶意代码防范四个控制点，了解结构安全、业务高峰期设备处理能力和链路带宽运行情况、非法内外联，以及网络边界的入侵防范措施，恶意代码防范情况等内容。第二部分为网络设备防护测评，主要通过对网络管理员进行访谈、由管理员进行操作查看安全配置，针对访问控制、安全审计、网络设备防护三个控制点，了解网络设备上主要的访问控制策略、设备日志记录情况、口令复杂度、双因子身份鉴别、管理员权限分离等内容。第三部分为工具测试，针对网络设备、服务器的系统漏洞进行扫描，以及对网络设备的访问控制策略进行验证等。

5.2.3 配合需求

5.3 主机安全测评

主机系统安全测评将通过访谈、检查和测试的方式评测信息系统的主机和服务器（操作系统、数据库管理系统）安全保障情况。在内容上，主机系统安全层面测评实施过程涉及7 个安全子类。

5.3.1 测评指标

5.3.2 测评实施

主机层面测评实施主要通过访谈和查看，了解服务器的安全防护措施和相关安全配置，涉及到的控制点有：身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范和资源控制等。

5.3.3 配合需求

5.4 应用安全测评

5.4.1 测评指标

应用安全测评将通过访谈、检查和测试的方式评测信息系统的应用安全保障情况。在内容上，应用安全层面测评实施过程涉及 9 个工作单元，具体如下表：

5.4.2 测评实施

应用层面测评实施主要通过访谈和查看，了解应用系统的安全防护措施和相关安全配置，涉及到的控制点有：身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等。

5.4.3 配合需求

5.5 数据安全及备份恢复测评

5.5.1 测评指标

在内容上，数据安全层面测评实施过程涉及 3 个工作单元，具体如下表：

5.5.2 测评实施

数据安全及备份恢复测评将通过访谈和检查的方式评测信息系统的数据安全保障情况。本次测评重点检查系统的数据在采集、传输、处理和存储过程中的安全。

5.5.3 配合需求

5.6 安全管理制度测评

5.6.1 测评指标

安全管理制度测评将通过访谈和检查的形式评测安全管理制度的制定、发布、评审和修订等情况。主要涉及安全主管人员、安全管理人员、各类其它人员、各类管理制度、各类操作规程文件等对象。

5.6.2 测评实施

访谈安全主管，了解机构安全管理制度体系的构成、安全管理制度制定和发布的流程、对制定的安全管理制度进行论证和审定的情况和对安全管理制度文件体系和安全管理制度定期进行评审修订的情况。

收集并查看信息安全管理文档，查看制度文档的格式是否统一、是否具有编号、查看内容是否覆盖了信息安全工作的总体目标、方针和策略和信息系统生命周期中的重要管理活动，是否有对重要服务器、网络设备、安全设备操作的操作规程。检查安全管理制度的收发登记记录是否符合规定的收发程序和发布范围控制等要求，是否有安全管理制度制定的评审记录和定期修订的记录。

5.6.3 配合需求

5.7 安全管理机构测评

5.7.1 测评指标

5.7.2 测评实施

查看部门、岗位职责等相关文件是否明确定义了机构及各岗位人员的职责范围，岗位人员名单中关键岗位是否配备了多人共同管理。查看检查授权与审批制度文档，查看文档是否明确各审批事项的审批部门、批准人及审批流程等，检查相应审批记录是否按照审批程序执行审批过程对重要活动进行逐级审批。检查是否有信息安全管理委员会或领导小组执行日常管理工作的文件或工作记录、是否有外联单位列表、是否有信息安全专家的聘用文件。

5.7.3 配合需求

5.8 人员安全管理测评

5.8.1 测评指标

5.8.2 测评实施

访谈安全主管或人事负责人，了解人员录用流程、关键岗位工作人员的选拔流程、人员离岗流程、信息安全培训考核情况和外来人员访问控制措施，包括人员录用时是否对被录用人的身份、背景、专业资格和资质进行审查，是否签署了保密协议，离岗时是否终止离岗人员的所有访问权限、收回离岗人员的设备和物品和离岗审查、承诺保密责任等情况，安全教育和培训计划制定实施情况、对各个岗位人员进行安全技能及安全知识考核的情况和对关键岗位人员进行安全审查、安全技能及安全知识的考核情况。了解对外部人员的访问管理措施。

检查是否有录用人员技术技能的考核记录、保密协议、关键岗位人员的岗位安全协议书、离岗手续记录、安全意识教育和培训计划和记录、考核记录和外部人员访问的申请审批和登记备案的记录。

5.8.3 配合需求

5.9 系统建设管理测评

5.9.1 测评指标

5.9.2 测评实施

访谈安全主管，了解信息系统的整个定级过程和信息系统的报批过程。了解安全方案的整个设计过程和安全建设总体规划情况、产品采购流程、保证系统自主开发软件和外包开发软件安全的相关情况。了解负责工程实施过程、测试验收、系统交付的管理人员或管理部门，对工程实施、测试验收、系统交付过程的进度和质量控制的方法和措施、测试验收方案的制定情况、对系统进行安全测试的机构、验收结果的审定情况，是否根据交付清单对所交接的设备、文档、软件等进行清点，系统建设实施方对运维技术人员进行了哪些培训。了解系统备案的情况和为其提供服务的信息系统安全服务商的有关情况。

收集并查看产品采购、软件开发、工程实施、测试验收和系统交付过程的管理制度，查看系统定级文档是否有信息系统划分的方法和理由、定级方法和理由的描述、专家对定级结果的论证意见和有相关部门或主管部门的批准意见。查看安全方案内容是否包括总体安全策略、安全技术框架、安全管理策略、详细设计内容等方面。检查是否有安全建设的工作计划书、代码编写规范、开发文档、软件设计文档、使用指南、软件测试验收文档、软件需求分析说明书、软件设计说明书、软件操作手册、工程实施方案、安全测试报告、测试验收方案、测试验收报告、系统交付清单、安全服务商的相关服务协议或合同。

5.9.3 配合需求

5.10 系统运维管理测评

5.10.1 测评指标

5.10.2 测评实施

访谈安全主管或相关安全负责人了解机房管理、资产管理、介质管理、设备管理、监控管理和安全管理中心、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份和恢复管理、安全事件处置和应急预案管理的有关情况。

收集并查看机房管理制度、资产管理制度、介质管理制度、基于申报审批和专人负责的设备安全管理制度、配套设施和软硬件维护方面的管理制度、网络安全管理制度、系统安全管理制度、恶意代码防范管理制度、密码管理制度、变更管理制度、备份与恢复相关管理制

30

度、安全事件报告和处置管理制度是否对相关事项进行了明确。查看监控系统了解设备运行、网络流量、应用程序的监控情况，安全管理中心集中管理情况。检查是否有不同事件应急预案，是否有介质归档、查询等的登记记录、信息处理设备带离机房或办公地点的审批记录、主机系统、网络、安全设备等的操作日志和维护记录、网络接入和外联授权审批记录、定期检查违反规定行为的记录、机房日常巡检记录、对主机、网络设备和应用软件等的监控记录和日志的分析报告、恶意代码检测、升级记录和分析报告、备份过程记录、变更方案评审记录和变更过程记录、安全事件处理过程记录、应急预案培训、演练、审查记录。

5.10.3 配合需求

31

32

5.11 工具测试

在等级测评中，对二级和二级以上的信息系统应进行工具测试，工具测试可能用到漏洞扫描器、渗透测试工具集、协议分析仪、网络拓扑生成工具、非法外联检测工具等测试工具。这些测试工具如何接入到被测系统中需要在编制测评方案时确定设计好。

确定测试工具接入点的具体步骤如下：

1. 确定工具测试的测评对象

漏洞扫描器和渗透测试工具集的测评对象一般包括操作系统、数据库系统、应用软件、网络设备系统软件和安全设备系统软件等。协议分析仪的测评对象一般为应用软件生成的业务数据和鉴别数据等。网络拓扑生成工具的测评对象为网络结构。非法外联检测工具的测评对象为主机设备。

2. 选择测试路径

测试路径一般包括三种情况：从被测系统外部测试被测系统；在被测系统内部，从与测评对象不同网段测试测评对象；在被测系统内部，与测评对象同一网段测试测评对象。这三种测试路径从外到内，从其他网段到本地网段逐步逐点深入。

3. 根据测试路径确定测试工具接入点

从被测系统外部测试被测系统时，测试工具一般接在系统边界设备交换机上。

在被测系统内部，从与测评对象不同网段测试测评对象时，测试工具一般接在与测评对象不在同一网段上的内部核心交换机上。

在被测系统内部，与测评对象同一网段测试测评对象时，测试工具一般接在能够访问到 测评对象的同一网段的交换机上。

33

工具测试拓扑图如下：

5.12 整体测评

系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关。在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，分析评估安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性。

34

综合测评总结将在安全控制测评和系统整体测评两个方面的内容基础上进行，由此而获得信息系统对应安全等级保护级别的符合性结论。

35