【正文】 象的種類和數(shù)量都較多，重點抽查重要的設(shè)備、設(shè)施、人員和文檔等。在本級信息系統(tǒng)測評時，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備以及服務(wù)器應(yīng)至少抽查兩臺作為測評對象。可以抽查的測評對象種類主要考慮以下幾個方面：1． 主機房（包括其環(huán)境、設(shè)備和設(shè)施等）和部分輔機房，應(yīng)將放置了服務(wù)于信息系統(tǒng)的局部（包括整體）或?qū)π畔⑾到y(tǒng)的局部（包括整體）安全性起重要作用的設(shè)備、設(shè)施的輔機房選取作為測評對象； 2． 存儲被測系統(tǒng)重要數(shù)據(jù)的介質(zhì)的存放環(huán)境； 3． 辦公場地；4． 整個系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；5． 安全設(shè)備，包括防火墻、入侵檢測設(shè)備和防病毒網(wǎng)關(guān)等；6． 邊界網(wǎng)絡(luò)設(shè)備（可能會包含安全設(shè)備），包括路由器、防火墻、認(rèn)證網(wǎng)關(guān)和邊界接入設(shè)備（如樓層交換機）等；7． 對整個信息系統(tǒng)或其局部的安全性起作用的網(wǎng)絡(luò)互聯(lián)設(shè)備，如核心交換機、匯聚層交換機、路由器等； 8． 承載被測系統(tǒng)主要業(yè)務(wù)或數(shù)據(jù)的服務(wù)器（包括其操作系統(tǒng)和數(shù)據(jù)庫）； 9． 管理終端和主要業(yè)務(wù)應(yīng)用系統(tǒng)終端；10． 能夠完成被測系統(tǒng)不同業(yè)務(wù)使命的業(yè)務(wù)應(yīng)用系統(tǒng)； 11． 業(yè)務(wù)備份系統(tǒng)；12． 信息安全主管人員、各方面的負(fù)責(zé)人員、具體負(fù)責(zé)安全管理的當(dāng)事人、業(yè)務(wù)負(fù)責(zé)人； 13． 涉及到信息系統(tǒng)安全的所有管理制度和記錄。 第四級信息系統(tǒng)第四級信息系統(tǒng)的等級測評，測評對象種類上完全覆蓋、數(shù)量進行抽樣，重點抽查不同 種類的設(shè)備、設(shè)施、人員和文檔等。在本級信息系統(tǒng)測評時，信息系統(tǒng)中配置相同的安全設(shè)備、邊界網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)互聯(lián)設(shè)備、服務(wù)器、終端以及備份設(shè)備，每類應(yīng)至少抽查三臺作為測評對象。相關(guān)技術(shù)標(biāo)準(zhǔn)主要包括GB/T 222392008和GB/T DDDDDDDD，其中等級測評目標(biāo)和內(nèi)容應(yīng)依據(jù)GB/T 222392008，對具體測評項的測評實施方法則依據(jù)GB/T DDDDDDDD。 恰當(dāng)選取，保證強度恰當(dāng)選取是指對具體測評對象的選擇要恰當(dāng)，既要避免重要的對象、可能存在安全隱患的對象沒有被選擇，也要避免過多選擇，使得工作量增大。 規(guī)范行為，規(guī)避風(fēng)險測評機構(gòu)實施等級測評的過程應(yīng)規(guī)范，包括：制定內(nèi)部保密制度；制定過程控制制度； 規(guī)定相關(guān)文檔評審流程；指定專人負(fù)責(zé)保管等級測評的歸檔文件等。規(guī)避風(fēng)險，是指要充分估計測評可能給被測系統(tǒng)帶來的影響，向被測系統(tǒng)運營/使用單位揭示風(fēng)險，要求其提前采取預(yù)防措施進行規(guī)避。附錄D（資料性附錄）測評方案與報告編制示例某公司（簡稱“AAA”）用電信息系統(tǒng)承載著該公司的電力營銷業(yè)務(wù)，由數(shù)據(jù)存儲、業(yè)務(wù)處理、接入、對外服務(wù)和外聯(lián)等五個功能區(qū)域組成，是一個安全等級為三級的信息系統(tǒng)。 測評方案編制示例 針對AAA用電信息系統(tǒng)的實際情況，下面從被測系統(tǒng)描述、測評對象、測評指標(biāo)、測評工具和接入點、測評內(nèi)容以及配套的測評指導(dǎo)書等方面說明測評方案的編制方法。被測系統(tǒng)由數(shù)據(jù)存儲、業(yè)務(wù)處理、接入、對外服務(wù)和外聯(lián)等五個功能區(qū)域組成，對內(nèi)有業(yè)務(wù)擴充管理、電量計量管理、電費結(jié)算、收費、統(tǒng)計分析等業(yè)務(wù)功能模塊；對外有可以為Internet網(wǎng)、大客戶單位、撥號用戶等提供電費數(shù)據(jù)查詢、交納、業(yè)務(wù)擴充、投訴等服務(wù)的功能模塊。與被測系統(tǒng)相連的外部連接有Internet、外聯(lián)單位（包括DDN單位和PSTN用戶）和控制網(wǎng)三處。整個網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖如圖6所示。a)物理方面主要是測評屏蔽機房和主機房。c)主機方面主要測評的主機服務(wù)器（包括數(shù)據(jù)庫服務(wù)器）如表12所示。e)安全管理，主要測評對象為與信息安全管理有關(guān)的策略、制度、操作規(guī)程、運行記錄、管理人員、技術(shù)人員和相關(guān)設(shè)備設(shè)施等。本次測評的測評指標(biāo)情況具體如表14所示。因此，對其進行測評，應(yīng)涉及到漏洞掃描工具、滲透測評工具集等多種測試工具。a)在接入點JA接入掃描器，模擬Internet用戶，探測對外服務(wù)功能區(qū)上各服務(wù)器對Internet暴露的安全漏洞情況。b)在接入點JB接入掃描器，模擬外聯(lián)單位，探測對外服務(wù)功能區(qū)上各服務(wù)器對外聯(lián)單位暴露的安全漏洞情況。c)在接入點JC接入掃描器，直接測試對外服務(wù)功能區(qū)上各服務(wù)器對網(wǎng)絡(luò)暴露的安全漏洞情況。并根據(jù)漏洞掃描的結(jié)果接入滲透測試工具集，試圖利用業(yè)務(wù)處理功能區(qū)上各服務(wù)器的安全漏洞入侵服務(wù)器。a)物理安全物理安全測評將通過訪談、文檔審查和實地察看的方式測評信息系統(tǒng)的物理安全保障情況。在內(nèi)容上，物理安全層面測評實施過程涉及10個測評單元，具體如表15所示：b)網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全測評將通過訪談、配置檢查和工具測試的方式測評信息系統(tǒng)的網(wǎng)絡(luò)安全保障情況。在內(nèi)容上，網(wǎng)絡(luò)安全層面測評實施過程涉及7個測評單元，具體如表16所示：c)主機系統(tǒng)安全主機系統(tǒng)安全測評將通過訪談、配置檢查和工具測試的方式測評信息系統(tǒng)的主機安全保障情況。在內(nèi)容上，主機系統(tǒng)安全層面測評實施過程涉及7個測評單元，具體如表17所示。在內(nèi)容上，應(yīng)用安全層面測評實施過程涉及9個測評單元，具體如表18所示。在內(nèi)容上，數(shù)據(jù)安全層面測評實施過程涉及3個測評單元，具體如表19所示。其中，安全管理制度測評實施過程涉及3個測評單元，安全管理機構(gòu)測評實施過程涉及5個測評單元，人員安全管理測評實施過程涉及5個測評單元，系統(tǒng)建設(shè)管理測評實施過程涉及11個測評單元，系統(tǒng)運維管理測評實施過程涉及13個測評單元等。安全管理制度方面的測評對象主要為安全主管人員、安全管理人員等，具體如表20所示。a)物理安全按照方案的要求，物理安全應(yīng)測評物理位置選擇（G3）、物理訪問控制（G3）、防盜竊和防破壞（G3）、防雷擊（G3）、防水和防潮（G3）、防靜電（G3）、溫濕度控制（G3）、電力供應(yīng)（A2）和電磁防護（S3）等。如：對于溫濕度控制（G3），在GB/T 222392008中的描述為“機房應(yīng)設(shè)置溫、濕度自動調(diào)節(jié)設(shè)施，使機房溫、濕度的變化在設(shè)備運行所允許的范圍之內(nèi)。按照上述思路，對于“溫濕度控制（G3）”可以開發(fā)出如下的測評指導(dǎo)書。【測評實施過程】1． 應(yīng)訪談物理安全負(fù)責(zé)人，詢問機房是否配備了溫、濕度自動調(diào)節(jié)設(shè)施，保證溫濕度能夠滿足計算機設(shè)備運行的要求，是否在機房管理制度中規(guī)定了溫濕度控制的要求，是否有人負(fù)責(zé)此項工作；2． 應(yīng)訪談機房維護人員，詢問是否定期檢查和維護機房的溫濕度自動調(diào)節(jié)設(shè)施，詢問是否出現(xiàn)過溫濕度影響系統(tǒng)運行的事件；3． 應(yīng)檢查機房是否有溫濕度控制設(shè)計/驗收文檔，是否能夠滿足系統(tǒng)運行需要，是否與當(dāng)前實際情況相符合；4． 應(yīng)檢查溫、濕度自動調(diào)節(jié)設(shè)施是否能夠正常運行，查看溫濕度記錄、運行記錄和維護記錄；查看機房溫、濕度是否滿足GB 288789《計算站場地技術(shù)條件》的要求。b)網(wǎng)絡(luò)安全按照測評方案的要求，核心交換機SJ6509應(yīng)測評網(wǎng)絡(luò)訪問控制（G3）、網(wǎng)絡(luò)安全審計（G3）、網(wǎng)絡(luò)設(shè)備防護（G3）等部分的內(nèi)容。如：對于網(wǎng)絡(luò)設(shè)備防護（G3），在GB/T 222392008中的描述之一為“應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制”，按照該項要求找到對應(yīng)測評實施（方法），然后開發(fā)出對應(yīng)的操作步驟和預(yù)期結(jié)果即可?！緶y評項】應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進行限制?！静僮鞑襟E】1． 執(zhí)行命令：show ip permit，查看IP地址限定情況；2． 在業(yè)務(wù)處理功能區(qū)中，（限制的IP地址）試圖登錄SJ6509的管理界面，查看是否成功。c)主機安全按照方案的要求，DB2（數(shù)據(jù)庫為Sybase）應(yīng)測評身份鑒別（S3）、自主訪問控制（S3）、強制訪問控制（S3）、安全審計（G3）、資源控制（A2）、數(shù)據(jù)備份與恢復(fù)（A2）、數(shù)據(jù)完整性（S3）、數(shù)據(jù)保密性（S3）等部分的內(nèi)容。如：對于身份鑒別（S3），在測評項中的描述之一為“應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進行身份鑒別”，按照該項要求找到對應(yīng)測評實施方法，然后開發(fā)對應(yīng)操作步驟和預(yù)期結(jié)果?！緶y評項】應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對管理用戶進行身份鑒別?！静僮鞑襟E】1． 在DB2主機上執(zhí)行命令：select * from syslogins，查看是否有用戶存在空口令；2． 詢問數(shù)據(jù)庫管理員，除使用口令鑒別外是否采用其他的鑒別方式，如果有，則檢查其是否有效。d)應(yīng)用安全和數(shù)據(jù)安全按照方案的要求，業(yè)務(wù)應(yīng)用程序（用戶自主開發(fā)）應(yīng)測評身份鑒別（S3）、訪問控制（S3）、安全審計（G3）、剩余信息保護（G3）、通信完整性（S3）、通信, 保密性（S3）、抗抵賴（S3）、軟件容錯（A3）、資源控制（A3）、數(shù)據(jù)備份與恢復(fù)（A3）、數(shù)據(jù)完整性（S3）、數(shù)據(jù)保密性（S3）等部分的內(nèi)容。如：對于通信保密性（S3），在測評項中的描述之一為“應(yīng)對通信過程中的整個報文或會話過程進行加密。按照上述思路，對于“通信保密性（S3）”的一個測評項可以開發(fā)如下的測試用例?！緶y評實施過程】1． 應(yīng)訪談安全管理員，詢問業(yè)務(wù)系統(tǒng)數(shù)據(jù)在通信過程中是否采取保密措施，具體措施有哪些； 2． 應(yīng)測試主要應(yīng)用系統(tǒng)，通過查看通信雙方數(shù)據(jù)包的內(nèi)容，查看系統(tǒng)在通信過程中，對整個報文或會話過程進行加密的功能是否有效?！绢A(yù)期結(jié)果】1． 執(zhí)行步驟1)，業(yè)務(wù)系統(tǒng)采用了保密措施，且能具體說明保密措施；2． 執(zhí)行步驟2)，協(xié)議分析工具看到的數(shù)據(jù)包進行了加密，且加密方法符合國家規(guī)定，時有效的。對于系統(tǒng)運維管理中的密碼管理“應(yīng)建立密碼使用管理制度，使用符合國家密碼管理規(guī)定的密碼技術(shù)和產(chǎn)品”的要求可以編制如下的測評指導(dǎo)書?！緶y評實施過程】1． 應(yīng)訪談安全員，詢問密碼技術(shù)和產(chǎn)品的使用是否遵照國家密碼管理規(guī)定； 2． 應(yīng)檢查是否具有密碼使用管理制度。 測評報告編制示例等級測評報告一般包括：概述、被測系統(tǒng)描述、測評對象說明、測評指標(biāo)說明、測評內(nèi)容和方法說明、單元測評的結(jié)果記錄及結(jié)果匯總、整體測評、測評結(jié)果匯總、風(fēng)險分析和評價、等級測評結(jié)論、整改建議等內(nèi)容。 整體測評 a)物理層面1． 由于屏蔽機房位于主機房內(nèi)部，其唯一出口也在主機房內(nèi)，因此，對其物理層面的安全要求中的物理訪問控制、防盜竊和防破壞的測評項可以通過關(guān)聯(lián)互補關(guān)系得到 補充。但是，由于在防火墻DW208FW上，嚴(yán)格限定了撥號接入IP地址的用戶的訪問范圍，從而可以彌補這部分功能。3． 對外服務(wù)功能區(qū)的網(wǎng)絡(luò)安全審計功能沒有采取單獨的設(shè)備來完成，其網(wǎng)絡(luò)流量、用戶行為等的監(jiān)測、記錄功能是通過網(wǎng)絡(luò)入侵防范安全控制的IDS來協(xié)助完成的。5． …….綜合以上測評分析過程，可以得到如表22的測評結(jié)果：c)系統(tǒng)結(jié)構(gòu)測評分析在信息系統(tǒng)整體結(jié)構(gòu)的安全性方面，從被測系統(tǒng)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)示意圖來看，該網(wǎng)絡(luò)系統(tǒng)雖然有多處相對獨立的出口，但是這些出口除到控制網(wǎng)外的連線都集中到防火墻DW208FW，因此，從在網(wǎng)絡(luò)結(jié)構(gòu)上，不存在出口過多的問題；對外服務(wù)功能區(qū)上防病毒服務(wù)器a（拓?fù)鋱D上未標(biāo)出）使用雙網(wǎng)卡方式工作，一邊連接內(nèi)部網(wǎng)絡(luò)，一邊連接對外服務(wù)功能區(qū)，通過防火墻DW208FW上網(wǎng)升級，這在安全上是不可取的，外部用戶一旦控制防病毒服務(wù)器a，則可通過雙網(wǎng)卡直接進入信息系統(tǒng)的內(nèi)部網(wǎng)絡(luò)功能區(qū)域，對信息系統(tǒng)的安全構(gòu)成嚴(yán)重威脅。這種保護方法符合縱深防御的要求，重點突出，能較好地解決一些安全問題。有一份與實際網(wǎng)絡(luò)相一致的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖對網(wǎng)絡(luò)管理相當(dāng)重要，可以方便工作人員掌握網(wǎng)絡(luò)的整體情況，便于網(wǎng)絡(luò)故障的排除，便于網(wǎng)絡(luò)安全設(shè)備的策略配置等；.沒有對重要網(wǎng)段采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施。2． 立即整改需要立即整改的安全建議如下：.應(yīng)根據(jù)當(dāng)前運行的網(wǎng)絡(luò)拓?fù)淝闆r，繪制與實際網(wǎng)絡(luò)相一致的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖，以便于工作人員掌握網(wǎng)絡(luò)結(jié)構(gòu)的整體情況；3． 持續(xù)改進需要持續(xù)改進的建議如下：.對重要網(wǎng)段采取網(wǎng)絡(luò)層地址與數(shù)據(jù)鏈路層地址綁定措施，防止地址欺騙；.購置并在適當(dāng)網(wǎng)段部署防病毒網(wǎng)關(guān)?？傮w性安全策略文件是整個機構(gòu)開展信息安全工作的綱領(lǐng)，對機構(gòu)近期和遠(yuǎn)期的安全規(guī)劃起著重要的指導(dǎo)作用。沒有明確對這些崗位的人員是否有區(qū)別于其他崗位的更嚴(yán)格的錄用要求、日常信用審查等管理要求。2． 改進建議.進一步完善安全管理文件體系，盡快制定信息安全總體政策、方針文件，并進一步補充、完善、細(xì)化各類管理制度，如工程安全實施管理制度、系統(tǒng)交付管理制度等，從而形成高層策略文件、各類管理制度、具體操作規(guī)程和各類操作記錄等四層塔式管理文件體系；.加強對關(guān)鍵崗位人員（如系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員）的管理，定期對其進行信用審查，并要求其簽署崗位安全協(xié)議，使其承諾在崗位上的具體安全責(zé)任、工作職責(zé)以及保密義務(wù),從而保證對關(guān)鍵崗位進行關(guān)鍵管理。對信息系統(tǒng)的基礎(chǔ)資源和信息資源的價值大小、用戶訪問權(quán)限的大小、大系統(tǒng)中各子系統(tǒng)的重要程度進行區(qū)別對待就是級別的客觀要求。信息安全等級保護工作非常重要，為此從2003年開始國家發(fā)布了一系列政策文件，具體如下：2003年9月，中辦國辦頒發(fā)《關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號），這是我國第一個信息安全保障工作的綱領(lǐng)性文件，戰(zhàn)略目標(biāo)為經(jīng)過五年努力，基本形成國家信息安全保障體系，實行等級保護制度。2005年9月，國信辦文件，《關(guān)于轉(zhuǎn)發(fā)《電子政務(wù)信息安全等級保護實施指南》的通知》（國信辦[2004]25號）：基本原理、定級方法、安全規(guī)劃與設(shè)計、實施與運營、大型復(fù)雜電子政務(wù)系統(tǒng)等級保護過程。2006年1月，四部委會簽《關(guān)于印發(fā)《信息安全等級保護管理辦法的通知》（公通字[2006]7號）。由于等級保護是國家推動的旨在規(guī)范安全工作的基本工作制度，因此各級組織在這方面就存在如下需求：（1）政策要求－符合等級保護的要求。（2）實際需求－適應(yīng)客戶實際情況。對系統(tǒng)進行定級后，需要通過努力達(dá)到相應(yīng)等級的基本安全要求，在總體上分為技術(shù)要求和管理要求，技術(shù)上又分為物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全，在管理要求中又分為安全管理機構(gòu)、安全管理制度等5項，具體如下圖所示：由于等級保護制度還處于探討階段，目前來看，尚存在如下困難：“單個系統(tǒng)”出發(fā)，但實際工作是從組織整體出發(fā)，整體考慮所有系統(tǒng)，否則：a)各系統(tǒng)單獨保護，將沖突和割裂，形成信息孤島b)復(fù)雜大系統(tǒng)的分解和差異性安全要求描述很困難c)各系統(tǒng)安全單獨建設(shè)，將造成分散、重復(fù)和低水平，難以做到可持續(xù)運行、發(fā)展和完善，管理成本高《基本要求》規(guī)定針對上述問題，在下面幾小節(jié)分別給出了堅決辦