滲透測試招標技術(shù)規(guī)范doc-資料下載頁
2024-10-29 08:17本頁面
【導(dǎo)讀】企業(yè)網(wǎng)銀、門戶網(wǎng)站三個系統(tǒng)開展?jié)B透測試項目。系統(tǒng)發(fā)起的模擬黑客攻擊行為。理人員了解其系統(tǒng)所面臨的威脅。此次滲透測試包含內(nèi)部和外部兩種接入測試方式。統(tǒng)名稱/版本、應(yīng)用指紋、應(yīng)用入口、管理入口等）。評估攻擊者是否可以執(zhí)行計劃外的命令、訪問未被授權(quán)。的數(shù)據(jù)、接管主機管理控制權(quán)等。向至惡意網(wǎng)站等。點、認證信息是否暴露在url或cookie等）。篡改、會話劫持、會話重放等）。評估攻擊者是否可以破壞會話傳輸?shù)耐暾院蜋C密性。評估目標系統(tǒng)是否存在不安全的直接對象引用?？捎眯允欠褚妆还艉陀绊憽Ｗ鹘Y(jié)束后全部歸還。確保其工作人員不泄露接觸到的涉及到我行信息安全的相關(guān)信息。終止服務(wù)等方式進行處罰。法律責任的權(quán)利。否則產(chǎn)生的問題或法律糾紛應(yīng)有測評機構(gòu)承擔責任。
【正文】 滿足要求的認定為驗收通過。 （六） 公司資質(zhì) 要求 具有 國家信息安全風險評估 或 安全服務(wù) 資質(zhì) 、 CNCERT 網(wǎng)絡(luò)安全應(yīng)急服務(wù)支撐單位 資質(zhì)或 CNAS 檢查機構(gòu)認可證書 或國家 信息安全漏洞庫 CNNVD 技術(shù)支撐 單位 等級 證書 。 （ 七 ）其它要求 測評機構(gòu)自身應(yīng)具備本項目所需要的全部專業(yè)技能且須直接提供服務(wù)，不接受 分包和轉(zhuǎn) 包。 評 估方 應(yīng) 與我中心 簽 署保密 協(xié)議 ，充分確保 項 目內(nèi)容的機密性。 評 估方不可 轉(zhuǎn) 包或分包本 項 目 給 任何第三方，不可 轉(zhuǎn) 包或分包本項 目 給 分支機構(gòu)或下屬 單 位。 評 估方 實 施人 員應(yīng) 具有 銀 行 業(yè) 重要信息系 統(tǒng) 上 線風險評 估相關(guān)項 目 實 施 經(jīng)驗 。 評 估方在服 務(wù)實 施方案中必 須標 注 實 施人 員為現(xiàn)場 服 務(wù) 人 員還是后臺支持人 員 。 評 估方 應(yīng) 提供 項 目 經(jīng) 理和 項 目 組 成 員 的 簡歷 ， 包括個人基本信息、學(xué)歷 、工作 經(jīng)驗 、參與同 類 服 務(wù)項 目案例情況。 投標 人的 項 目 經(jīng) 理和 項 目 組 成 員 名 單應(yīng) 注明人 員 的 項 目參與方式（ 現(xiàn)場 或 遠 程）， 項 目 組 成 員 不少于 4 人，現(xiàn)場 人 員 （含 項 目 經(jīng) 理）不少于 2 人。 評 估 實 施人 員 不得將 評 估中有關(guān)我中心的信息泄露 給 第三方。 評 估方 應(yīng)說 明 進 行 滲透測試 的 詳細 工作流程和具體 實 施步 驟 。 評 估方 應(yīng)說 明 進 行 滲透測試 所依照的相關(guān) 評 估 標 準（包括 銀 行 規(guī)定、國內(nèi)外 標 準、相關(guān)法 規(guī) 等）、漏洞 庫 、 軟 件缺陷 庫 等。 評 估方 應(yīng)說 明 進 行 滲透測試 所采用的工具，如商 業(yè)評 估工具、開源 評 估工具、自開 發(fā) 工具 /腳本、源代碼 安全 測試 工具等。 評 估方 應(yīng)說 明 進 行 滲透測試 前，我 行 應(yīng)進 行的準 備 工作，包括網(wǎng)絡(luò) 接入 環(huán) 境準 備 、 辦 公 場 所準 備 、所 需材料準備 、所需信息準 備 、所需配合人 員 等。 評 估方 應(yīng)說 明 進 行 滲透測試 各 項 工作 時 ，可能 對 目 標 系 統(tǒng)產(chǎn) 生的影響，尤其是可能造成目 標 系 統(tǒng) 性能下降、數(shù)據(jù)完整性和機密性破壞的影響。 應(yīng) 制定相關(guān) 應(yīng) 急 計 劃。
法律信息相關(guān)推薦
鄂ICP備17016276號-1