滲透測試招標技術(shù)規(guī)范doc-預覽頁
【正文】 儲 等）。 評 估攻 擊 者是否可以破壞會 話傳輸 的完整性和機密性。 評 估目 標 系 統(tǒng) 的安全配置安全性。 評 估目 標 系 統(tǒng) 是否限制 URL 訪問權(quán) 限。（如目 標 系 統(tǒng)需要 經(jīng)過 3 步驟 完成某 項 工作使命，攻 擊 者 繞過 2 步驟 ，直接 進 行 3 步驟 。 評 估目 標 系 統(tǒng) 的可用性是否易被攻 擊 和影響。 評 估攻 擊 者是否可以 獲 取目 標 系 統(tǒng) 的后臺管理路徑，甚至后臺管理 權(quán) 限。 如 信息收集、 溢出 攻擊、 口令 猜測、 WEB 漏洞 挖掘 、 業(yè)務安全測試等。 二、對測評機構(gòu) 及其服務的 要求 （一）測評應遵循的規(guī)范和標準 《 JR/T 00682020 網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》 （銀發(fā)〔 2020〕121 號） ； 《商業(yè)銀行信息科技風險管理指引》 （ 銀監(jiān)發(fā)〔 2020〕 19 號 ）； 《銀行業(yè)應用 安全 可控信息技術(shù)推進 指南（ 20202020年 度 ）》 （ 銀監(jiān)辦發(fā) 〔 2020〕 317 號 ）等。 測評機構(gòu) 應 與其工作人員簽訂保密協(xié)議，并采取有效的內(nèi)控措施確保其工作人員不泄露接觸到的涉及 到 我行信息安全的相關(guān)信息。 測評機構(gòu)在實施 測評 過程中必須 確保 測評對象 系統(tǒng) 的安全，包括業(yè)務信息安全、系統(tǒng)服務安全和物理環(huán)境安全 等 。 (四 )知識產(chǎn)權(quán) 測評機構(gòu)應使用擁有合法授權(quán)的軟件和工具開展測 評工作，否則產(chǎn)生的問題或法律糾紛應有測評機構(gòu)承擔責任。 規(guī)范性： 測評 應嚴格遵照國家、行業(yè)有關(guān)規(guī)范與標準。 完整性：完整記錄和反映 我行信息 系統(tǒng)實際情況。 （六） 公司資質(zhì) 要求 具有 國家信息安全風險評估 或 安全服務 資質(zhì) 、 CNCERT 網(wǎng)絡安全應急服務支撐單位 資質(zhì)或 CNAS 檢查機構(gòu)認可證書 或國家 信息安全漏洞庫 CNNVD 技術(shù)支撐 單位 等級 證書 。 評 估方 實 施人 員應 具有 銀 行 業(yè) 重要信息系 統(tǒng) 上 線風險評 估相關(guān)項 目 實 施 經(jīng)驗 。 評 估 實 施人 員 不得將 評 估中有關(guān)我中心的信息泄露 給 第三方。 評 估方 應說 明 進 行 滲透測試 前，我 行 應進 行的準 備 工作，包括網(wǎng)絡 接入 環(huán) 境準 備 、 辦 公 場 所準 備 、所 需材料準備 、所需信息準 備 、所需配合人 員
法律信息相關(guān)推薦
鄂ICP備17016276號-1