《信息系统安全等级测评方案_模板.pdf》由会员分享，可在线阅读，更多相关《信息系统安全等级测评方案_模板.pdf（12页珍藏版）》请在三一文库上搜索。
1、项目编号：（XXXX-XX ） 信息系统安全等级测评方案 系统名称： 被测单位： 测评单位： 目录 1 概述 . 4 1.1 项目简介 . 4 1.2 测评依据 . 4 2 被测系统描述. 4 2.1 定级情况 . 4 2.2 网络结构 . 4 2.3 系统够成 . 4 2.3.1 业务应用软件. 4 2.3.2 关键数据类别. 5 2.3.3 主机 /存储设备 5 2.3.4 网络互联设备. 5 2.3.5 安全设备 . 5 2.3.6 安全相关人员. 6 2.3.7 安全管理文档. 6 3 测评对象与指标. 6 3.1 测评指标 . 6 3.2 测评对象 . 7 3.2.1 机房 . 7
2、3.2.2 业务应用软件. 7 3.2.3 主机（存储）操作系统. 7 3.2.4 数据库管理系统. 8 3.2.5 网络互联设备操作系统. 8 3.2.6 安全设备操作系统. 8 4 测评方法与工具. 8 4.1 测评方法 . 8 4.2 主要测评工具. 9 5 测评内容与实施. 9 5.1 物理安全测评. 9 5.1.1 测评内容 . 9 5.1.2 测评实施 . 9 5.1.3 配合需求 . 9 5.2 网络安全测评. 11 5.2.1 测评指标 . 11 5.2.2 测评实施 . 11 5.2.3 配合需求 . 11 5.3 主机安全测评. 11 5.3.1 测评指标 . 11 5.3
3、.2 测评实施 . 11 5.3.3 配合需求 . 11 5.4 应用安全测评. 11 5.4.1 测评指标 . 11 5.4.2 测评实施 . 11 5.4.3 配合需求 . 11 5.5 数据安全及备份恢复测评. 11 5.6 安全管理制度测评. 11 5.6.1 测评指标 . 11 5.6.2 测评实施 . 11 5.6.3 配合需求 . 12 5.7 安全管理机构测评. 12 5.8 人员安全管理测评. 12 5.9 系统建设管理测评. 12 5.10 系统运维管理测评. 12 5.11 工具测试 . 12 5.12 整体测评 . 12 1 概述 1.1 项目简介 描述项目背景及意义、
4、委托方、目标系统的范围以及测评输出产品。 1.2 测评依据 2 被测系统描述 参照备案信息简要描述信息系统。 2.1 定级情况 描述信息系统承载的业务、处理的主要业务信息、涉及的相关业务应用、提供的服务功 能、服务范围、服务对象以及安全保护等级等情况。 2.2 网络结构 给出被测信息系统的拓扑结构示意图，并基于示意图说明被测信息系统的网络结构基本 情况，包括功能/安全区域划分、隔离与防护情况、关键网络和主机设备的部署情况和功能 简介、与其他信息系统的互联情况和边界设备以及本地备份和灾备中心的情况。 2.3 系统够成 2.3.1 业务应用软件 以列表的形式给出被测信息系统中的业务应用软件（包括含
5、中间件等应用平台软件）， 描述项目包括软件名称、主要功能简介。 序号软件名称主要功能重要程度 2.3.2 关键数据类别 以列表形式描述具有相近业务属性和安全需求的数据集合。 序号数据类别所属业务应用重要程度 2.3.3 主机 /存储设备 以列表形式给出被测信息系统中的主机设备，描述主机设备的项目包括设备名称、操作 系统、数据库管理系统以及承载的业务应用软件。 序号设备名称操作系统 /数据库管理系统业务应用软件 2.3.4 网络互联设备 以列表形式给出被测信息系统中的网络互联设备。 序号设备名称用途重要程度 2.3.5 安全设备 以列表形式给出被信息系统中的安全设备。 序号设备名称用途重要程度
6、2.3.6 安全相关人员 以列表形式给出与被测信息系统安全相关的人员情况。相关人员包括 （但不限于） 安全 主管、系统建设负责人、系统运维负责人、网络（安全）管理员、主机（安全）管理员、数 据库（安全）管理员、应用（安全）管理员、机房管理人员、资产管理员、业务操作员、安 全审计人员等。 序号姓名岗位 /角色联系方式 2.3.7 安全管理文档 以列表形式给出与信息系统安全相关的文档，包括管理类文档、 记录类文档和其它文档。 序号文档名称主要内容 3 测评对象与指标 3.1 测评指标 依据信息系统确定的业务信息安全等级保护等级和系统服务安全保护等级，选择基本 要求中对应级别的安全要求作为等级测评的
7、测评指标。 测评指标 技术 /管理 2 安全分类3 安全子类数量 S类A 类G 类小计 合计 3.2 测评对象 描述测评对象选择结果 3.2.1 机房 序号机房名称物理位置 3.2.2 业务应用软件 序号软件名称主要功能 3.2.3 主机（存储）操作系统 序号设备名称操作系统 /数据库管理系统 2 技术 /管理对应基本要求中的技术安全和管理安全。 3 层面对应基本要求中的物理安全、网络安全、 主机安全、 应用安全、 数据安全与备份恢复、 安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等10 个安全 要求类别。 3.2.4 数据库管理系统 序号设备名称操作系统 /数据库管理
8、系统 3.2.5 网络互联设备操作系统 序号操作系统名称设备名称 3.2.6 安全设备操作系统 序号操作系统名称设备名称 4 测评方法与工具 4.1 测评方法 描述等级测评工作中采用的访谈、检查、测试和风险分析等方法。 4.2 主要测评工具 描述等级测评工作中采用的漏洞扫描、渗透测试等用到的工具。 5 测评内容与实施 等级测评的现场实施过程由单元测试和整体测评两部分构成。 对应基本要求 各安全控制点的测评称为单元测试，具体可分为物理安全、网络安全、 主机安全、 应用安全、 数据安全及备份恢复、安全管理制度、 安全管理机构、 人员安全管理、 系统建设管理和系统运维管理等10 各测评任务。 整体测
9、评是在单元测评的基础上，通过进一步的分析信息系统安全保护功能的整体相关 性，对信息系统实施的综合安全测评。 5.1 物理安全测评 5.1.1 测评内容 以表格形式给出物理安全的测评内容。 序号安全子类测评指标描述 1 物理位置的选择 5.1.2 测评实施 针对物理安全测评内容所采取的测评实施方法及过程。 5.1.3 配合需求 以列表形式描述物理安全测评的配合需求 配合项目需求说明 5.2 网络安全测评 5.2.1 测评指标 5.2.2 测评实施 5.2.3 配合需求 5.3 主机安全测评 5.3.1 测评指标 5.3.2 测评实施 5.3.3 配合需求 5.4 应用安全测评 5.4.1 测评指标 5.4.2 测评实施 5.4.3 配合需求 5.5 数据安全及备份恢复测评 5.6 安全管理制度测评 5.6.1 测评指标 5.6.2 测评实施 5.6.3 配合需求 5.7 安全管理机构测评 5.8 人员安全管理测评 5.9 系统建设管理测评 5.10系统运维管理测评 5.11工具测试 描述工具测试的目的、测评实施、接入点、配合需求等内容。 5.12整体测评 描述整体测评采取的方法