1、ICS 35. 020 L 80 GB 中华人民* ./、不日国国家标准G/T 28448-2012 信息安全技术信息系统安全等级保护测评要求Information security technology一Testing and evaluation requirement for classified protection of information system 2012-06-29发布中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会2012-10-01实施发布中华人民共和国国家标准信息安全技术信息系统安全等级保护测评要求GB/T 28448-2012 头中国标准出版社出版
2、发行北京市朝阳区和平里西街甲2号(100013)北京市西城区三里河北街16号(100045)网址总编室:(010)64275323发行中心:(010)51780235读者服务部:(010)68523946中国标准出版社秦皇岛印刷厂印刷各地新华书店经销快开本880X 1230 1/16 印张8.5 字数257千字2012年10月第一版2012年10月第一次印刷9咛书号:155066. 1-45598 定价100.00元如有印装差错由本社发行中心调换版权专有侵权必究举报电话:(010)68510107GB/T 28448-2012 目次前言.皿引言.N I 范围-2 规范性引用文件.3 术语和定义
3、4 概述14.1 测评框架4. 2 等级测评内容24. 3 测评力度4.4 使用方法5 第一级信息系统单元测评45.1 安全技术测评45. 1. 1 物理安全45. 1. 2 网络安全5. 1. 3 主机安全.5. 1. 4 应用安全5. 1. 5 数据安全及备份恢复105. 2 安全管理测评四5.2.1 安全管理制度105.2.2 安全管理机构5.2.3 人员安全管理125.2.4 系统建设管理. . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 5.2.5 系统运维管理176 第二级信息系统单元测评206.1 安全技术测评20
4、6. 1. 1 物理安全206. 1. 2 网络安全246. 1. 3 主机安全6. 1. 4 应用安全6. 1. 5 数据安全及备份恢复.6. 2 安全管理测评.6.2.1 安全管理制度336.2.2 安全管理机构346.2.3 人员安全管理6.2.4 系统建设管理386.2.5 系统运维管理. . . . . . . . . . . . . . . . . . . . . . . . . . . 42 GB/T 28448-2012 7 第三级信息系统单元测评u7.1 安全技术测评u7. 1. 1 物理安全477. 1. 2 网络安全7. 1. 3 主机安全557. 1. 4 应用安全四7
5、. 1. 5 数据安全及备份恢复637.2 安全管理测评647.2. 1 安全管理制度647.2.2 安全管理机构7.2.3 人员安全管理687.2.4 系统建设管理7.2.5 系统运维管理8 第四级信息系统单元测评m8. 1 安全技术测评m8. 1. 1 物理安全838. 1. 2 网络安全8. 1. 3 主机安全8. 1. 4 应用安全958. 1. 5 数据安全及备份恢复1008. 2 安全管理测评1028.2.1 安全管理制度1028.2.2 安全管理机构1048. 2. 3 人员安全管理1068.2.4 系统建设管理1098.2.5 系统运维管理1149 第五级信息系统单元测评121
6、10 信息系统整体测评12110. 1 概述12110. 2 安全控制点间测评.10. 3 层面间测评10.4 区域间测评1221 等级测评结论12211. 1 各层面的测评结论12211. 2 风险分析和评价12211. 3 测评结论123附录A(资料性附录)测评力度124附录B(资料性附录)关于整体测评的进一步说明 126 参考文献. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130 H GB/T 28448-2012 目。昌本标准按照GB/T1. 1-2009给出的规则起草。本标准由全国信息
7、安全标准化技术委员会提出并归口CSAC/TC260)。本标准起草单位:公安部信息安全等级保护评估中心。本标准主要起草人:朱建平、马力、黄洪、毕马宁、任卫红、谢朝海、李升、袁静、曲洁、刘静、尚旭光、张振峰、李明、陈雪秀。因GB/T 28448-2012 引依据中华人民共和国计算机信息系统安全保护条例)(国务院147号令)、国家信息化领导小组关于加强信息安全保障工作的意见识中办发2003J27号)、关于信息安全等级保护工作的实施意见)(公通宇2004J66号)和信息安全等级保护管理办法)(公通字2007J43号)等有关文件要求，制定本标准。本标准是信息安全等级保护相关系列标准之一。与本标准相关的系
8、列标准包括:一-GB/T22239-2008 信息安全技术信息系统安全等级保护基本要求;一一-GB/T22240-2008 信息安全技术信息系统安全等级保护定级指南;一-GB/T28449-2012 信息安全技术信息系统安全等级保护测评过程指南。信息安全技术信息系统安全等级保护测评过程指南就有关信息系统安全等级保护测评工作的组织、实施和过程控制方面提供指导。本标准对信息系统进行安全等级保护测试评估的技术活动提出要求，为评价信息系统是否符合GB/T22239-2008提供了获取证据的途径和方法，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。本标准中的信息系统指计算机信息系统。在
9、本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。N GB/T 28448一2012信息安全技术信息系统安全等级保护测评要求1 范围本标准规定了对实现的信息系统是否符合GB/T22239-2008所进行的测试评估活动的要求.包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行测试评估的要求。本标准略去对第五级信息系统进行测评的要求。本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。2 规范性引用
10、文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T 527 1. 8信息技术词汇第8部分:安全GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求3 术语和定义GB/T 527 1. 8和GB/T22239-2008界定的以及下列术语和定义适用于本文件。3. 1 访谈interview 访谈是指测评人员通过引导信息系统相关人员进行有目的的(有针对性的)交流以帮助测评人员理解、橙清或取得证据的过程。3.2 检查examination 检查是指测评人员通过对测评
11、对象(如制度文档、各类设备、安全配置等)进行观察、查验、分析以帮助测评人员理解、澄清或取得证据的过程。3.3 测试testing 测试是指测评人员使用预定的方法/工具使测评对象(各类设备或安全配置)产生特定的结果，将运行结果与预期的结果进行比对的过程。4 概述4. 1 测评框架信息系统安全等级保护测评(以下简称等级测评)的概念性框架由三部分构成:测评输入、测评过程GS/T 28448-2012 和测评输出。测评输入包括GB/T22239-2008第四级目录(即安全控制点的唯一标识符)和采用该安全控制的信息系统的安全保护等级(含业务信息安全保护等级和系统服务保护等级)。过程组件为一组与输入组件中
12、所标识的安全控制相关的特定测评对象和测评方法，输出组件包括一组由测评人员使用的用于确定安全控制有效性的程序化陈述。图1给出了框架。GB/T 22239-2008第四级自录测评对象制度文档各类设备安全配置相关人员1, , 测苦F规程(步骤)访谈规程(步骤)检查规程(步骤)这些方法试图获取证据。上述三种测评方法(访谈、检查和测评)的测评结果都用以对安全控制的有效性进行评估。上述的评估方法都由一组相关属性来规范测评方法的测评力度。这些属性是广度(覆盖面)和深度。对于每一种测评方法都标识(定义)了唯一属性，深度特性适用于访谈和检查，而覆盖面特性则适用于全部三种测评方法。具体的描述参见附录A。4.2 等
13、级测评内窑等级测评的实施过程由单元测评和整体测评两部分构成。针对基本要求各安全控制点的测评称为单元测评。单元测评是等级测评工作的基本活动，支持测评结果的可重复性和可再现性。每个单元测评包括测评指标、测评实施和结果判定三部分。其中，测评GB/T 28448-2012 指标来摞于GB/T222392008第四级目录下的各要求项，测评实施描述对测评活动输入、测评对象、测评步骤和方法的要求，结果判定描述测评人员执行测评实施并产生各种测评输出数据后，如何依据这些测评输出数据来判定被测系统是否满足测评指标要求的原则和方法。单项测评满足概念性框架的三部分内容:测评输入、测评过程和测评输出。整体测评是在单元测
14、评的基础上，通过进一步分析信息系统安全保护功能的整体相关性，对信息系统实施的综合安全测评。整体测评主要包括安全控制点间、层面间和区域间相互作用的安全测评。整体测评需要与信息系统的实际情况相结合，因此全面地给出整体测评要求的全部输入，测评实施的具体对象、步骤和方法以及明确的结果判定方法是非常困难的，测评人员应根据被测系统的实际情况，结合本标准的要求，实施整体测评。4.3 测评力度评时，可能用到访谈、检查和测试三种测试方法，也可能用到其中一种或两种，为了描述简洁，在测评要求项中，没有针对每一个要求项分别进行描述，而是对具有相同测评方法的多个要求项进行了合并描述，但测评实施的内容完全覆盖了GB/T2
15、22392008中所有要求项的测评要求，使用时，应当从单元测评的测评实施中抽取出对于GB/T222392008中每一个要求项的测评要求，并按照这些测评要求开发测评指导书，以规范和指导安全等级测评活动。测评过程中，测评人员应注意对测评记录和证据的采集、处理、存储和销毁，保护其在测评期间免遭破坏、更改或遗失，并保守秘密。测评的最终输出是测评报告，测评报告应结合第11章的要求给出等级测评结论。3 GB/T 28448-2012 5 第一级信息系统单元测评5.1 安全技术测评5. 1. 1 物理安全5. 1. 1. 1 物理访问控制5.1. 1.1. 1 测评指标见GB/T22239-2008中5.1
16、.1. 10 5. 1. 1. 1. 2 测评实施本项要求包括:a) 应检查机房出人口是否有专人负责控制人员出入;b) 应检查是否有来访人员进入机房的登记记录。5. 1.1. 1.3 结果判定如果5.1.1.1.2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 1.2 防盗窃和防破坏5. 1. 1. 2. 1 测评指标见GB/T222392008中5.1.1.205. 1. 1. 2. 2 测评实施本项要求包括:a) 应检查关键设备是否放置在机房内;b) 应检查关键设备或主要部件是否固定;c) 应检查关键设备或主要部件上是否
17、设置明显的不易除去的标记。5. 1. 1. 2. 3 结果判定如果5.1. 1. 2. 2中a)c)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 1.3 防雷击5. 1. 1. 3. 1 测评指标见GB/T22239-2008中5.1.1.3。5. 1. 1. 3. 2 测评实施4 本项要求包括:a) 应访谈物理安全负责人，询问机房所在建筑物是否设置了避雷装置，是否通过验收或国家有关部门的技术检测;GB/T 28448-2012 b) 应检查机房所在建筑物的防雷验收文档是否有设置避雷装置的说明。5. 1. 1. 3. 3 结果判定如果
18、5.1. 1. 3. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 1. 4 防火5. 1. 1. 4. 1 测评指标见GB/T22239-2008中5.1. 1. 4。5. 1. 1. 4. 2 测评实施应检查机房是否设置了灭火设备，灭火设备是否是经消防检测部门检测合格的产品.其有效期是否合格。5. 1. 1. 4. 3 结果判定如果5.1. 1. 4. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 1.5 防水和防潮5. 1. 1. 5. 1 测评指标见GB
19、/T22239-2008中5.1. 1. 5。5. 1. 1.5.2 测评实施本项要求包括:a) 应检查穿过机房墙壁或楼板的给水排水管道是否采取防渗漏和防结露等保护措施;b) 应检查机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象，机房的窗户、屋顶和墙壁是否进行过防水防渗处理。5. 1. 1. 5. 3 结果判定如果5.1. 1. 5. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 1. 6 温湿度控制5. 1. 1. 6. 1 测评指标见GB/T22239-2008中5.1.1.6。5. 1. 1. 6. 2
20、测评实施应检查机房内是否有温温度控制设施，温温度控制设施是否正常运行，机房温度、相对湿度是否满足电子信息设备的使用要求。5. 1. 1. 6. 3 结果判定如果5.1. 1. 6. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合GB/T 28448一2012本单元测评指标要求。5. 1. 1. 7 电力供应5. 1. 1. 7. 1 测评指标见GB/T22239一2008中5.1.1.7。5. 1. 1. 7. 2 测评实施应检查机房的计算机系统供电线路上是否设置了稳压器和过电压防护设备，这些设备是否正常垣行。5. 1. 1. 7. 3 结果判定a) 如果5.1.
21、2. 1.淤议中缺当过现络拓扑结构图，则为否定;宅。信息系统符生本单元;即茸指标要求，否则，信息系统不标要求。子/5. 1. 2. 2 访问控制5. 1. 2. 2. 1 测评指标见GB/T22239-2008中5.1. 2. 2。5. 1. 2. 2. 2 测评实施6 本项要求包括:a) 应访谈网络管理员，询问网络访问控制的措施有哪些;询问网络访问控制设备具备哪些访问控制功能;b) 应检查边界网络设备，查看是否有正确的访问控制列表，以通过源地址、目的地址、源端口、目的端口、协议等进行网络数据流控制，其控制粒度是否至少为用户组。GBjT 28448一20125. 1. 2. 2. 3 结果判定
22、如果5.1. 2. 2. 2b)为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 2. 3 网络设备防护5. 1. 2. 3. 1 测评指标见GBjT22239-2008中5.1.2.305. 1.2.3.2 测评实施录用户进行身份鉴别的、，/-hu c) 5. 1. 3. 1 5. 1. 3. 1. 1 5. 1. 3. 1. 2 8中5.1.3.10 应检查关键服务器操措施。，查看是否提供了身份鉴别5. 1. 3. 1. 3 结果判定如果5.1. 3. 1. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单
23、元测评指标要求。5. 1. 3. 2 访问控制5. 1. 3. 2. 1 测评指标见GB/T22239-2008中5.1. 3. 2。5. 1. 3. 2. 2 测评实施本项要求包括:7 GB/T 28448-2012 的应检查关键服务器操作系统的访问控制策略，查看是否对重要文件的访问权限进行了限制，对系统不需要的服务、共享路径等进行了禁用或删除;b) 应检查关键服务器操作系统和关键数据库管理系统的访问控制策略，查看是否已禁用或者限制匿名/默认账户的访问权限，是否重命名系统默认账户、修改这些账户的默认口令;c) 应检查关键服务器操作系统和关键数据库管理系统的访问控制策略，是否删除了系统中多余的
24、、过期的以及共享的账户;d) 应检查关键服务器操作系统和关键数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制。5. 1. 3. 2. 3 结果判定如果5.1. 3. 2. 2中a)d)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 3. 3 入侵防范5. 1. 3. 3. 1 测评指标见GB/T22239-2008中5.1. 3. 30 5. 1.3.3.2 测评实施本项要求包括:a) 应访谈系统管理员，询问关键服务器操作系统和关键数据库管理系统中所安装的系统组件和应用程序是否都是必须的;b) 应检查关键服务器操作
25、系统和关键数据库管理系统的补丁是否得到了及时更新。5. 1. 3. 3. 3 结果判定如果5.1. 3. 3. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 3. 4 恶意代码防范5. 1. 3. 4. 1 测评指标见GB/T22239-2008中5.1. 3. 40 5. 1. 3. 4. 2 测评实施应检查关键服务器的恶意代码防范策略，查看是否安装了实时检测与查杀恶意代码的软件产品，并且及时更新了软件版本和恶意代码库。5. 1. 3. 4. 3 结果判定如果5.1.3. 4. 2为肯定，则信息系统符合本单元测评指标要
26、求，否则，信息系统不符合或部分符合本单元测评指标要求。5.1.4 应用安全5. 1.4. 1 身份鉴别5. 1. 4. 1. 1 测评指标见GB/T22239-2008中5.1. 4. 10 8 GB/T 28448-2012 5. 1. 4. 1. 2 测评实施本项要求包括:a) 应检查关键应用系统，查看是否提供身份标识和鉴别功能;b) 应检查关键应用系统，查看是否提供登录失败处理功能，是否根据安全策略设置了登录失败次数等参数。5. 1. 4. 1. 3 结果判定如果5.1. 4. 1. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要
27、求。5.1.4.2 访问控制5. 1. 4. 2. 1 测评指标见GB/T22239-2008中5.1.4.205.1.4.2.2 测评实施本项要求包括:a) 应检查关键应用系统，查看系统是否提供访问控制功能控制用户组或用户对系统功能和用户数据的访问;b) 应检查关键应用系统，查看是否限制了默认账户的访问权限，是否修改了这些账户的默认口令;c) 应检查关键应用系统，查看是否删除多余的、过期的账户。5. 1. 4. 2. 3 结果判定如果5.1. 4. 2. 2中a)c)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.1.4.3 通信完整性5.
28、1. 4. 3. 1 测评指标见GB/T22239-2008中5.1. 4. 3。5. 1. 4. 3. 2 测评实施应检查设计、验收文档或源代码，查看是否有关于保护通信完整性的描述。5. 1.4.3.3 结果判定如果5.1. 4. 3. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5. 1. 4. 4 软件睿错5. 1. 4. 4. 1 测评指标见GB/T22239-2008中5.1.4.409 GB/T 28448一20125. 1.4.4.2 测评实施本项要求包括:的应检查设计或验收文档，查看应用系统有对人机接口输入或通信接口输入的数据进
29、行有效性检验功能的说明;b) 应测试关键应用系统，查看应用系统是否能明确拒绝不符合格式要求数据。5. 1.4.4.3 结果判定和关键应用系统的重要信息5. 1.5.2.3 结果判定如果5.1. 5. 2. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2 安全管理测评5.2.1 安全管理制度5. 2. 1. 1 管理制度5. 2. 1. 1. 1 测评指标见GB/T22239一2008中5.2.1.1010 GB/T 28448-2012 5.2. 1. 1. 2 测评实施应检查各项安全管理制度，查看是否覆盖物理、网络、主机系统、数据、应用、
30、建设和运维等层面。5. 2. 1. 1. 3 结果判定如果5.2.1.1.2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2. 1. 2 制定和发布5.2. 1. 2. 1 测评指标见GB/T222392008 5.2. 1. 2. 2 测评实施a) 应访谈、统竟全负责人，询问是否由专人负责制定安全管理制度;b)应明系极全报文糊安甜酷愤若杏能够发布到相关机机5.2. 1. 2. 3 /时J刊LJ/ 如果民2.1. 2中a)相机均为肯定7贝tl;f百息i练缆、符号头本单苟测评指挥要瘁，否则，信息系统不符合或部分符合本单元测评指尹丰产/: f i
31、i -/ 飞一-i; 1 J j: / ;i i/21; /i i/7 5. 2. 2. 1. 1恻评掘标/ V / 008-甲-522丁;一一一一一一一一一本项要求包括:a) 应访谈系统安全贝w明确;、，h 5.2.2. 1. 3 结果判定如果5.2. 2. 1. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.2.2 人员配备5.2.2.2. 1 测评指标见GB/T222392008中5.2.2.2011 GB/T 28448一20125.2.2.2.2 测评实施本项要求包括:a) 应访谈系统安全负责人，询问各个安全管理岗
32、位是否配备了一定数量的人员;b) 应检查安全管理各岗位人员信息表，查看其是否明确相关岗位的人员信息。5.2.2.2.3 结果判定如果5.2. 2. 2. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.2.3 授权和审批5.2.2.3.1 测评指标见GB/T22239-2008中5.2.2.3。5.2.2.3.2 测评实施应访谈系统安全负责人，询问是否对信息系统中的关键活动进行审批，审批活动是否得到授权。5.2.2.3.3 结果判定如果5.2. 2. 3. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分
33、符合本单元测评指标要求。5.2.2.4 沟通和合作5.2.2.4. 1 测评指标见GB/T22239-2008中5.2.2.4。5.2.2.4.2 测评实施本项要求包括:a) 应访谈系统安全负责人，询问是否与公安机关、电信公司和兄弟单位建立联系;b) 应检查外联单位说明文挡，查看外联单位是否包含公安机关、电信公司及兄弟单位，是否说明外联单位的联系人和联系方式等内容。5.2.2.4.3 结果判定如果5.2. 2. 4. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.3 人员安全管理5.2.3.1 人员录用5. 2. 3. 1.
34、 1 测评指标见GB/T22239-2008中5.2.3.1。12 GB/T 28448-2012 5.2.3. 1. 2 测评实施本项要求包括:a) 应访谈人事负责人，询问是否由专门的部门或人员负责人员的录用工作;b) 应访谈人事负责人，询问在人员录用时是否对被录用人的身份和专业资格进行审查;c) 应检查人员录用管理文档，查看是否说明录用人员应具备的条件(如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等); d) 应检查是否具有人员录用时对录用人身份、专业资格等进行审查的相关文档或记录等。5.2.3. 1. 3 结果判定如果5.2. 3. 1. 2中a)d)均为
35、肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.3.2 人员离岗5.2.3.2.1 测评指标见GB/T22239-2008中5.2. 3. 20 5.2.3.2.2 测评实施本项要求包括:a) 应访谈系统安全负责人，询问是否及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章以及机构提供的软硬件设备等;b) 应检查是否具有离岗人员交还身份证件、设备等的登记记录。5.2.3.2.3 结果判定如果5.2.3.2.2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.3.3 安全意
36、识教育和培训5.2.3.3. 1 测评指标见GB/T22239一2008中5.2. 3. 30 5.2.3.3.2 测评实施应访谈系统安全负责人，询问是否对各个岗位人员进行安全教育和岗位技能培训，告知相关的安全知识、安全责任和惩戒措施。5.2.3.3.3 结果判定如果5.2. 3. 3. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.3.4 外部人员访问管理5.2.3.4. 1 测评指标见GB/T22239-2008中5.2. 3. 40 13 G/T 28448一20125.2.3.4.2 现评实施本项要求包括:a) 应访谈系统安全负责
37、人，询问外部人员访问重要区域(如访问机房、重要服务器或设备区等)是否需经有关部门或负责人批准;b) 应检查外部人员访问管理文档，查看是否具有规范外部人员访问机房等重要区域需经过相关部门或负责人批准的管理要求。5.2.3.4.3 结果判定如果5.2. 3. 4. 2中a)和b)均为肯h或部分符合本单元测评指标要主-5.2.4.2.2 测评实施本项要求包括:a) 应访谈系统建设负责人，询问是否依据风险分析的结果补充和调整过安全措施，具体做过哪些调整;b) 应检查系统的安全设计方案，查看方案是否描述系统的安全保护等级，是否描述系统的安全保护策略，是否根据系统的安全级别选择了安全措施;c) 应检查系统
38、的安全设计方案，查看是否详细描述安全措施的实现内容，是否有安全产品的功能、性能和部署等描述，是否有安全建设的费用和计划等。5.2.4.2.3 结果判定如5.2. 4. 2. 2中a)c)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或14 GB/T 28448-2012 部分符合本单元测评指标要求。5.2.4.3 产晶采购和使用5.2.4.3.1 测评指标见GB/T22239一2008中5.2.4.3。5.2.4.3.2 测评实施见GB/T22239一2008中5.2.4.505.2.4.5.2 测评实施本项要求包括:a) 应访谈系统建设负责人，询问软件交付前是否依据开发要求
39、的技术指标对软件功能和性能等进行验收测试，软件安装之前是否检测软件中的恶意代码;b) 应检查是否具有软件开发的相关文挡，如需求分析说明书、软件设计说明书等，是否具有软件操作手册或使用指南。5.2.4.5.3 结果判定如果5.2. 4. 5. 2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合GB/T 28448-2012 或部分符合本单元测评指标要求。5.2.4.6 工程实施5. 2. 4. 6. 1 j9!IJ评指标见GB/T22239-2008中5.2.4.6。5.2.4.6.2 测评实施应访谈系统建设负责人，询问是否指定专门部门或人员对工程实施过程进行进度和质
40、量控制，由何部门/何人负责。5.2.4.6.3 结果判定如果5.2. 4. 6. 2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.4.7 测试验收5.2.4. 7. 1 测评指标见GB/T22239-2008中5.2.4.7。5.2.4.7.2 测评实施本项要求包括:a) 应访谈系统建设负责人，询问在信息系统建设完成后是否对其进行安全性测试验收;b) 应检查是否具有工程测试验收方案，查看其是否明确说明参与测试的部门、人员、测试验收内容、现场操作过程等内容;c) 应检查是否具有系统测试验收报告。5.2.4.7.3 结果判定如果5.2.4.7.
41、2中a)c)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.4.8 系统交付5.2.4.8. 1 测评指标见GB/T22239-2008中5.2.4.8。5.2.4.8.2 测评实施本项要求包括:a) 应访谈系统建设负责人，询问系统交接工作是否根据交付清单对所交接的设备、文档、软件等进行清点;b) 应访谈系统建设负责人，询问系统正式运行前是否对运行维护人员进行过培训，针对哪些方面进行过培训11; c) 应检查是否具有系统交付清单，查看交付清单是否说明系统交付的各类设备、软件、文档等;d) 应检查系统交付提交的文档，查看是否有指导用户进行系统
42、运维的文档等。16 GB/T 28448-2012 5.2.4.8.3 结果判定如果5.2.4.8. 2中a)d)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.4.9 安全服务商选择 5.2.4.9. 1 测评指标见GB/T22239-2008中5.2.4.9。5.2.4.9.2 测评实施本项要求包括:a) 应访谈系统建设负责人，询问信息系统选择的安全服务商有哪些，是否符合国家有关规定;b) 应检查是否具有与安全服务商签订的安全责任合同书或保密协议等文档，查看其内容是否包含保密范围、安全责任、违约责任、协议的有效期限和责任人的签字等。5.
43、2.4.9.3 结果判定如果5.2.4.9.2中a)和b)均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。5.2.5 系统运维管理5.2.5.1 环境管理5. 2. 5. 1. 1 测评指标见GB/T22239一2008中5.2.5.1。5.2.5. 1. 2 现评实施本项要求包括:a) 应访谈系统运维负责人，询问是否有专门的部门或人员对机房供配电、空调、温湿度控制等设施进行定期维护，由何部门/何人负责，维护周期多长;b) 应访谈系统运维负责人，询问是否有专门的部门或人员对机房的出入、服务器开机/关机等日常工作进行管理，由何部门/何人负责;c) 应检查是否有机房安全管理制度，查看其内容是否覆盖机房物理访问、物品带进/带出机房和机房环境安全等方面。5.2.5. 1.3 结果判定如果5.2.5. 1. 2中a)c)均为肯定，则信息
