【正文】 存儲介質(zhì).. . . ..學(xué)習(xí)參考序號 操作系統(tǒng)名稱 設(shè)備名稱2 IOS_路由器_VPN_1 路由器_VPN_13 IOS_路由器_VPN_2 路由器_VPN_2… … …　安全設(shè)備操作系統(tǒng)序號 操作系統(tǒng)名稱 設(shè)備名稱1 JOS_防火墻_WEB_1 防火墻_WEB_1… … …　業(yè)務(wù)應(yīng)用軟件序號 軟件名稱 主要功能… … …　主機(jī)（存儲）操作系統(tǒng)序號 設(shè)備名稱 操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)… … …　數(shù)據(jù)庫管理系統(tǒng)序號 設(shè)備名稱 操作系統(tǒng)/數(shù)據(jù)庫管理系統(tǒng)… … ….. . . ..學(xué)習(xí)參考　訪談人員序號 姓名 崗位/職責(zé)… … …　安全管理文檔序號 文檔名稱 主要內(nèi)容… … …2　測評方法　現(xiàn)場測評方法描述本次等級測評工作中采用的測評方法。測評對象包括網(wǎng)絡(luò)互聯(lián)與安全設(shè)備操作系統(tǒng)、業(yè)務(wù)應(yīng)用軟件、主機(jī)操作系統(tǒng)、存儲設(shè)備操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、安全相關(guān)人員、機(jī)房、介質(zhì)以及管理文檔。2惡意代碼防范主要核查：是否有完整的防病毒體系以及代碼庫的升級情況。7訪問控制主要核查：訪問控制功能、協(xié)議深層檢測、網(wǎng)絡(luò)連接超時、流量限制和并發(fā)連接數(shù)限制等等。43 測評項數(shù)量隨信息系統(tǒng)的安全保護(hù)等級不同而變化.. . . ..學(xué)習(xí)參考分類 子類 基本要求 測評項數(shù) 3防靜電 測評機(jī)房防靜電所采取的措施。4防盜竊和防破壞測評機(jī)房內(nèi)設(shè)備和通信線纜的安全性以及監(jiān)控報警系統(tǒng)建設(shè)情況。以列表形式給出被測信息系統(tǒng)的威脅列表，并基于歷史統(tǒng)計或者行業(yè)判斷進(jìn)行威脅賦值，具體內(nèi)容可參考《風(fēng)險評估規(guī)范》 。序號 設(shè)備名稱 用 途 重要程度1 路由器_內(nèi)部_1 內(nèi)部邊界路由 重要2 路由器_VPN_1 遠(yuǎn)程管理維護(hù) 重要3 路由器_VPN_2 遠(yuǎn)程管理維護(hù) 重要4 防火墻_WEB_1 Web 區(qū)之間訪問控制 重要… … … …　安全相關(guān)人員以列表形式給出與被測信息系統(tǒng)安全相關(guān)的人員，描述項目包括姓名、崗位/角色和聯(lián)系方式?！I(yè)務(wù)應(yīng)用軟件以列表的形式給出被測信息系統(tǒng)中的業(yè)務(wù)應(yīng)用軟件（包括含中間件等應(yīng)用平臺軟件） ，描述項目包括軟件名稱、主要功能簡介和重要程度。2　測評依據(jù)開展測評活動所依據(jù)的合同、標(biāo)準(zhǔn)和文件： 　《信息安全等級保護(hù)管理辦法》 （公通字[2022]43 號）　《關(guān)于加強(qiáng)國家電子政務(wù)工程建設(shè)項目信息安全風(fēng)險評估工作的通知》 （發(fā)改高技[2022]2071 號） 1　GB/T 222392022 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求　GB/T 209842022 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范　《信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)測評要求》 （國標(biāo)報批稿）　被測信息系統(tǒng)安全等級保護(hù)定級報告　等級測評任務(wù)書/測評合同等1　測評過程描述本次等級測評的工作流程（可參考《信息系統(tǒng)安全等級保護(hù)測評過程指南》） ，具體內(nèi)容包括但不限于：　測評工作流程圖　各階段完成的關(guān)鍵任務(wù)　工作的時間節(jié)點1 針對“國家電子政務(wù)工程建設(shè)項目”有效.. . . ..學(xué)習(xí)參考1　報告分發(fā)范圍依據(jù)項目需求，明確應(yīng)交付等級測評報告的數(shù)量與分發(fā)范圍（如本報告一式三份，一份提交測評委托單位、一份提交受理備案的公安機(jī)關(guān)、一份由測評單位留存）。在任何情況下，若需引用本報告中的結(jié)果或數(shù)據(jù)都應(yīng)保持其本來的意義，不得擅自進(jìn)行增加、修改、偽造或掩蓋事實。四、系統(tǒng)安全建設(shè)、整改建議針對系統(tǒng)存在的主要問題提出安全建設(shè)、整改建議，是對第七章內(nèi)容的提煉和簡要描述。.. . . ..學(xué)習(xí)參考 信息系統(tǒng)安全等級測評報告模板項目名稱： 委托單位： 測評單位： 年 月 日.. . . ..學(xué)習(xí)參考報告摘要一、測評工作概述概要描述被測信息系統(tǒng)的基本情況（可參考信息系統(tǒng)安全等級保護(hù)備案表） ，包括但不限于：系統(tǒng)的運營使用單位、投入運行時間、承載的業(yè)務(wù)情況、系統(tǒng)服務(wù)情況以及定級情況。三、系統(tǒng)存在的主要問題依據(jù) 章節(jié)的分析結(jié)果，列出被測信息系統(tǒng)中存在的主要問題以及可能造成的后果（如，未部署 DDos 防御措施，易遭受 DDos 攻擊，導(dǎo)致系統(tǒng)無法提供正常服務(wù)） 。本報告結(jié)論的有效性建立在用戶提供材料的真實性基礎(chǔ)上。描述測評報告的用途（如，作為后續(xù)安全整改的依據(jù)） 。3　網(wǎng)絡(luò)結(jié)構(gòu)給出被測信息系統(tǒng)的拓?fù)浣Y(jié)構(gòu)示意圖，并基于示意圖說明被測信息系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)基本情況，包括但不限于：　功能/安全區(qū)域劃分、隔離與防護(hù)情況　關(guān)鍵網(wǎng)絡(luò)和主機(jī)設(shè)備的部署情況和功能簡介　與其他信息系統(tǒng)的互聯(lián)情況和邊界設(shè)備　本地備份和災(zāi)備中心的情況1　系統(tǒng)構(gòu)成以列表的形式分類描述信息系統(tǒng)的軟、硬件構(gòu)成情況。設(shè)備名稱應(yīng)確保在被測信息系統(tǒng)范圍內(nèi)的唯一性，建議采取類別用途/功能/型號編號（可選）的三段命名方式。序號 文檔名稱 主要內(nèi)容… … …1　安全環(huán)境描述被測信息系統(tǒng)的運行環(huán)境中與安全相關(guān)的部分：如數(shù)據(jù)中心位于運營服務(wù)商機(jī)房中、網(wǎng)絡(luò)存在互聯(lián)網(wǎng)連接、網(wǎng)絡(luò)中部署無線接入點以及支持遠(yuǎn)程撥號訪問用戶等。2物理訪問控制 測評進(jìn)出機(jī)房的審批控制手段以及機(jī)房出入口的安全控制情況。3物理安全防水和防潮測評機(jī)房內(nèi)水管設(shè)置情況、防止結(jié)露所采取的措施以及監(jiān)控報警系統(tǒng)建設(shè)情況。3結(jié)構(gòu)安全主要核查：主要網(wǎng)絡(luò)設(shè)備的處理能力、業(yè)務(wù)高峰期需求帶寬、路由控制、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖是否一致、子網(wǎng)劃分、技術(shù)隔離手段和帶寬分配策略。2入侵防范主要核查：部署 IDS 系統(tǒng)以及使用情況。附加指標(biāo)包括但不限于：　行業(yè)標(biāo)準(zhǔn)/規(guī)范的具體指標(biāo)　主管部門的規(guī)定的具體指標(biāo)　信息系統(tǒng)的運營、使用單位基于特定安全環(huán)境或者業(yè)務(wù)應(yīng)用提出的具體指標(biāo)分類 子類 附加要求 測評項數(shù)1　測評對象　測評對象選擇方法描述本次等級測評中采用的測評對象選擇方法和具體規(guī)則，通常采用抽查的方法，兼顧類別與數(shù)量。具體方法和規(guī)則可參考《信息系統(tǒng)安全等級保護(hù)測評過程指南》 ?！★L(fēng)險分析方法本項目依據(jù)安全事件可能性和安全事件后果對信息系統(tǒng)面臨的風(fēng)險進(jìn)行分析，分析過程包括：1）判斷信息系統(tǒng)安全保護(hù)能力缺失（等級測評結(jié)果中的部分符合項和不符合項）被威脅利用導(dǎo)致安全事件發(fā)生的可能性，可能性的取值范圍為高、中和低；2）判斷安全事件對信息系統(tǒng)業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全造成的影響程度，影響程度取值范圍為高、中和低；3）綜合 1）和 2）的結(jié)果對信息系統(tǒng)面臨的風(fēng)險進(jìn)行匯總和分等級，風(fēng)險等級的取值范圍為高、中和低；4）結(jié)合信息系統(tǒng)的安全保護(hù)等級對風(fēng)險分析結(jié)果進(jìn)行評價，即對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益造成的風(fēng)險?！卧獪y評結(jié)果針對網(wǎng)絡(luò)設(shè)備的不同測評指標(biāo)子類對單項測評結(jié)果進(jìn)行匯總和統(tǒng)計可得單元測評結(jié)果?！栴}分析匯總工具測試的結(jié)果，分析信息系統(tǒng)中存在的主要問題。通過對信息系統(tǒng)基本安全保護(hù)狀態(tài)的分析，給出等級測評結(jié)論（結(jié)論為達(dá)標(biāo)、基本達(dá)標(biāo)、不達(dá)標(biāo)） 。針對主要的安全問題提出系統(tǒng)安全建設(shè)、整改建議。1　主機(jī)安全2　應(yīng)用安全3　數(shù)據(jù)安全及備份恢復(fù)4　安全管理制度5　安全管理機(jī)構(gòu).. . . ..學(xué)習(xí)參考6　人員安全管理7　系統(tǒng)建設(shè)管理8　系統(tǒng)運維管理附：信息系統(tǒng)安全等級保護(hù)備案表 1. 若不給自己設(shè)限，則人生中就沒有限制你發(fā)揮的藩籬。有時候覺得自己像個神經(jīng)病。歲月是有情的，假如你奉獻(xiàn)給她的是一些色彩，它奉獻(xiàn)給你的也是