滲透測(cè)試招標(biāo)技術(shù)規(guī)范doc-免費(fèi)閱讀
【正文】 評(píng) 估方 應(yīng)說 明 進(jìn) 行 滲透測(cè)試 前，我 行 應(yīng)進(jìn) 行的準(zhǔn) 備 工作，包括網(wǎng)絡(luò) 接入 環(huán) 境準(zhǔn) 備 、 辦 公 場(chǎng) 所準(zhǔn) 備 、所 需材料準(zhǔn)備 、所需信息準(zhǔn) 備 、所需配合人 員 等。 評(píng) 估方 實(shí) 施人 員應(yīng) 具有 銀 行 業(yè) 重要信息系 統(tǒng) 上 線風(fēng)險(xiǎn)評(píng) 估相關(guān)項(xiàng) 目 實(shí) 施 經(jīng)驗(yàn) 。 完整性：完整記錄和反映 我行信息 系統(tǒng)實(shí)際情況。 (四 )知識(shí)產(chǎn)權(quán) 測(cè)評(píng)機(jī)構(gòu)應(yīng)使用擁有合法授權(quán)的軟件和工具開展測(cè) 評(píng)工作，否則產(chǎn)生的問題或法律糾紛應(yīng)有測(cè)評(píng)機(jī)構(gòu)承擔(dān)責(zé)任。 測(cè)評(píng)機(jī)構(gòu) 應(yīng) 與其工作人員簽訂保密協(xié)議，并采取有效的內(nèi)控措施確保其工作人員不泄露接觸到的涉及 到 我行信息安全的相關(guān)信息。 如 信息收集、 溢出 攻擊、 口令 猜測(cè)、 WEB 漏洞 挖掘 、 業(yè)務(wù)安全測(cè)試等。 評(píng) 估目 標(biāo) 系 統(tǒng) 的可用性是否易被攻 擊 和影響。 評(píng) 估目 標(biāo) 系 統(tǒng) 是否限制 URL 訪問權(quán) 限。 評(píng) 估攻 擊 者是否可以破壞會(huì) 話傳輸 的完整性和機(jī)密性。評(píng) 估目 標(biāo) 系 統(tǒng) 的 認(rèn)證 密碼 的安全 強(qiáng) 度是否足 夠 。 此次滲透 測(cè)試包含 內(nèi)部和外部?jī)煞N 接入測(cè)試方式。乙方須在投標(biāo)材料 中明確 。 評(píng) 估系 統(tǒng) 身份 認(rèn)證 方式是否存在安全漏洞。 評(píng) 估目 標(biāo) 系 統(tǒng) 是否存在不安全的直接 對(duì) 象引用。（如某敏感 url 網(wǎng)頁 可不經(jīng) 身份 認(rèn)證 直接 訪問 、管理后臺(tái) 頁 面可以未 經(jīng) 授 權(quán) 直接 訪問 等） 評(píng) 估目 標(biāo) 系 統(tǒng) 重定向或 轉(zhuǎn)發(fā)鏈 接是否 經(jīng)過驗(yàn)證 ， 評(píng) 估是否可以重定向客 戶 端受害用 戶 到 釣魚軟 件或 惡 意網(wǎng)站，或者使用 轉(zhuǎn)發(fā) 去 訪問 未授 權(quán) 的 頁 面。 評(píng) 估目 標(biāo) 系 統(tǒng) 的 頁 面是否已 經(jīng) 或可以被攻 擊 者 篡 改。 乙方需要 在投標(biāo)材料中 ，明確 滲透測(cè)試過程中的風(fēng)險(xiǎn)控制 措施 。 如果服務(wù)提供商違反 上述要求 ， 達(dá)州 市 商業(yè)銀行 有權(quán)通過罰款、終止服務(wù)等方式進(jìn)行處罰 。 測(cè)評(píng) 項(xiàng)目成果的知識(shí)產(chǎn)權(quán)歸 達(dá)州 市 商業(yè)銀行 所有。 有效性：測(cè)評(píng)成果應(yīng)最大限度的識(shí)別和反映我行相關(guān)系統(tǒng)的風(fēng)險(xiǎn)狀況，便于開展整改，有效防范信息安全風(fēng)險(xiǎn)。 評(píng) 估方在服 務(wù)實(shí) 施方案中必 須標(biāo) 注 實(shí) 施人 員為現(xiàn)場(chǎng) 服 務(wù) 人 員還是后臺(tái)支持人 員 。 評(píng) 估方 應(yīng)說 明 進(jìn) 行 滲透測(cè)試 各 項(xiàng) 工作 時(shí) ，
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1