ISCCC-QOT-0462-B/1 信息系統安全集成服務資質認證現場審核表審查員簽名： 日期： 中國信息安全認證中心 第 1 頁 共 8 頁信息系統安全集成服務資質認證現場審核表組織名稱 深圳市脈山龍信息技術股份有限公司 申請類別/級別 安全集成/一級審核時間 2015.9.8-9.9 受審核部門/人員 集成服務部/李青、丁杰，綜合管理中心 /李婷審核結果序號 要點 條款 需提供證明材料 符合不符合需觀察審核記錄1.B1.1.1 a) 調研客戶背景信息，采集系統建設需求和建設目標，明確功能、性能及安全性要求。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的設計方案里，調研了用戶背景信息、總體設計目標、明確了功能、性能及安全性的要求。2. B1.1.1 b) 基于系統建設需求，提出產品選型方案和建設預算。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的設計方案及投標書里，基于系統建設需求，提出了入侵防御系統、郵件安全網關和服務器選型等內容，并有項目投標報價。3.集成準備-需求調研與分析B1.1.1 c) 結合系統建設和安全需求，與客戶、設計、開發等充分溝通，達成共識并形成記錄。抽查項目案例，驗證準備階段控制程序文件的落實情況，包括明確工作內容、流程、方法、文檔模板，內容至少包括需求調研、分析、審核，產品選型，財務預算。提供投標文件、項目文檔等證明。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目,公司通過郵件形式與客戶進行方案設計等方面的溝通。ISCCC-QOT-0462-B/1 信息系統安全集成服務資質認證現場審核表審查員簽名： 日期： 中國信息安全認證中心 第 2 頁 共 8 頁序號 要點 條款 需提供證明材料審核結果審核記錄符合不符合需觀察4.B2.1.1 a) 僅二級 /一級要求： 準確識別和綜合分析系統在保密性、完整性、可用性、可靠性等方面的安全需求，提出系統安全保障策略和建議。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的設計方案里，提出項目的可擴充性、可管理性、高安全性、高性能等方面的要求。5.B2.1.1 b) 僅二級/一級要求：基于客戶需求和投入能力，開展需求分析，編制需求分析報告。查驗項目案例中系統安全需求分析報告，驗證內容是否覆蓋審核條款要求。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的設計方案中包括了需求分析的內容。6.B3.1.1 僅一級要求：協助客戶有效識別系統建設過程中的政策、法律和約束條件,有效規避商業風險和泄密事件。結合項目案例，查驗安全集成項目風險控制要求。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目設計方案，方案中通過培訓協助客戶認識系統建設過程中的信息安全方面的相關知識培訓，但對有效規避商業風險和泄密事件的內容不完善。7.B1.1.2 a) 與客戶、供應商簽訂服務協議，明確范圍、目標、時間、內容、金額、質量和輸出等。驗證項目合同管理辦法，抽查項目合同及保密協議。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的合同，明確了項目范圍、時間、內容、金額、質量和輸出。8.集成準備-簽訂服務協議 B3.1.2 僅一級要求：建立安全集成服務級別管理程序，簽訂服務級別協議。結合案例抽查，驗證服務級別管理程序、服務級別協議。 查閱了長城基金 IT 運維及遠程監視服務項目 ，簽訂了服務級別協議。9. 方案設計B1.2 a/b) 根據系統建設安全需求，編制安全集成技術方案。依據技術方案，編制安全集成實施方案，明確人員、進抽查實際案例，驗證項目方案設計階段控制程序文件的落實情況，包括明確工作內容、流程、文檔模板，內容查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的設計方案和實施方案，明確了人員、進度、質量、溝通、風險ISCCC-QOT-0462-B/1 信息系統安全集成服務資質認證現場審核表審查員簽名： 日期： 中國信息安全認證中心 第 3 頁 共 8 頁序號 要點 條款 需提供證明材料審核結果審核記錄符合不符合需觀察度、質量、溝通、風險等方面要求。 應覆蓋審核條款的要求。項目技術方案、實施方案。方面的要求。10.B2.2 a) 僅二級/一級要求：結合需求分析和客戶在保障系統安全方面的投入能力，提出系統建設安全設計說明書，明確系統架構、產品選型、產品功能、性能及配置等參數。驗證項目方案設計階段控制程序文件，內容應覆蓋審核條款要求。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的投標書里明確了系統架構、產品選型、產品功能、性能及配置等參數。11.B2.2 b) 僅二級 /一級要求： 組織客戶及相關技術專家對技術方案和實施方案進行論證，確認是否滿足系統功能、性能和安全性要求。驗證項目管理審核程序，包括明確工作內容、過程、方法、文檔模板，內容應覆蓋審核條款要求。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的項目方案探討會會議紀要，與客戶和客戶方的技術專家確認了項目方案的方案、性能和安全方面的要求。12. B2.2 c) 僅二級/一級要求：對項目組及第三方配合人員進行業務和技能培訓。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的工程項目培訓記錄，對項目組成員進行了業務和技能培訓。13. B2.2 d) 僅二級 /一級要求： 依據技術方案具體指標要求，制定系統測試計劃。驗證項目方案設計階段控制程序文件，內容應覆蓋審核條款要求。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目 ，根據技術方案制定了測試計劃。14.B3.2 a) 僅一級要求：結合項目需要，編制安全集成項目施工手冊和作業指導書。驗證項目方案設計階段控制程序文件，內容應覆蓋審核條款的要求。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目 ，根據控制程序文件制定了項目實施方案。ISCCC-QOT-0462-B/1 信息系統安全集成服務資質認證現場審核表審查員簽名： 日期： 中國信息安全認證中心 第 4 頁 共 8 頁序號 要點 條款 需提供證明材料審核結果審核記錄符合不符合需觀察15.B3.2 b) 僅一級要求： 新建系統，建設實施過程應重點關注信息系統的功能、性能和安全性等要求。系統改造，還應考慮改造前技術測試驗證及在實施失敗后的回退措施。技術測試驗證需要考慮新舊系統兼容問題，包括網絡兼容、系統兼容、應用兼容等。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的測試報告中對項目中用到的網絡、防火墻、服務器存儲和負載均衡等設備都進行了兼容性測試。16. 方案設計B3.2 c) 僅一級要求：基于安全集成項目需求和進度計劃，編制信息安全產品和工具定制開發計劃。驗證項目方案設計階段控制程序文件，內容應覆蓋審核條款的要求。組織自主開發的信息安全產品、平臺和工具清單。查閱了長城基金 IT 運維及遠程監視服務項目中運用了公司自主開發的脈山龍數據中心遠程智能運維平臺。17.B1.3.1 b) 項目實施人員按時提交施工記錄和工程日志，及時向項目經理匯報項目進度。驗證項目建設實施階段控制程序文件，包括工作內容、過程、方法、文檔模板，內容應覆蓋審核條款的要求。項目施工記錄。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目 ，公司的工程師通過會議及郵件方式匯報項目進度。18.建設實施-實施集成 B2.3.1 a/b) 僅二級 /一級要求： 產品、設備安裝調試過程中，應完整妥善記錄相關信息，并提交完工報告。驗證項目建設實施階段控制程序，覆蓋審核條款要求。查驗安裝調試記錄、項目完工報告。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目中的安裝調試記錄表，記錄了項目設備的調試時間、人員等內容。但記錄人員無簽字確認。19. 建設實施-監督管理 B2.3.2 僅二級/一級要求：建立客戶滿意度調查機制，并對調查結果進行分析。 驗證項目建設實施階段控制程序文件，覆蓋審核條款的要求。滿意度調查記 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目及數據收集與分析ISCCC-QOT-0462-B/1 信息系統安全集成服務資質認證現場審核表審查員簽名： 日期： 中國信息安全認證中心 第 5 頁 共 8 頁序號 要點 條款 需提供證明材料審核結果審核記錄符合不符合需觀察錄。 程序，針對每個項目有滿意度調查表，并根據程序文件定期統計分析。20.B3.3.2 僅一級要求：定期對項目實施情況進行審核，采取適當措施，控制項目風險。驗證項目管理審核程序，覆蓋審核條款的要求，項目審核與質量控制文檔。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的項目風險管理文檔，對項目制定了相應的措施控制風險，但內容不夠細化。21. B1.4.1 a) 依據項目技術方案和測試計劃，對系統進行聯調和系統測試。驗證項目安全保障階段控制程序文件，包括明確工作內容、過程、方法、文檔模板，內容應覆蓋審核條款的要求。測試方案、計劃、記錄。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目依據項目方案和測試計劃對系統中所運用到的設備進行聯調和系統測試。22.B2.4.1 a) 僅二級 /一級要求 ：系統測試完成后，制定系統測試報告，并提交客戶。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的測試報告通過郵件形式提交給客戶。23.B2.4.1 b) 僅二級/一級要求：結合項目需要提出初驗申請，組織客戶及相關方對項目進行初驗，并提交初驗報告。驗證項目安全保障階段控制程序文件，內容應覆蓋審核條款的要求。測試報告、初驗申請與報告。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目組織客戶項目進行初驗并形成了初驗報告。24.安全保障-系統測試B3.4.1 僅一級要求：基于建設系統的安全要求，制定系統安全性測試方案，模擬攻擊場景，對系統安全性進行測試。驗證項目安全保障階段控制程序文件，內容應覆蓋審核條款的要求。系統安全性測試方案、測試記錄。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的安全性測試方案和記錄，對系統安全性的進行了測試。ISCCC-QOT-0462-B/1 信息系統安全集成服務資質認證現場審核表審查員簽名： 日期： 中國信息安全認證中心 第 6 頁 共 8 頁序號 要點 條款 需提供證明材料審核結果審核記錄符合不符合需觀察25.B1.4.2 a) 為測試系統運行的可靠性和穩定性，系統初驗后需進行試運行，并記錄系統運行狀況，試運行周期至少一個月。驗證項目安全保障階段控制程序文件，內容應覆蓋審核條款的要求。系統試運行記錄。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的試運行報告，記錄了系統運行狀況，試運行周期為 3 個月26.B2.4.2 僅二級/一級要求：試運行結束后，項目組制定系統試運行報告，并提交客戶。驗證項目安全保障階段控制程序文件，內容應覆蓋審核條款的要求。系統試運行報告。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的試運行報告，以郵件形式提交給客戶。27.B3.4.2 a) 僅一級要求 ：制定系統試運行計劃，建立應急響應服務保障團隊，及時應對突發事件。查閱了事件與服務請求管理流程 ，制定了突發事件的優先級、負責人、處理流程及響應時間等內容。28.B3.4.2 b) 僅一級要求：綜合分析系統運行狀態，建立系統運行策略和安全指南，并對相關產品和設備設施進行配置管理。查閱了配置管理流程策略和配置管理流程手冊 ，制定了系統運行策略和配置管理方案、系統試運行報告等內容，但配置管理流程制定的不夠完善。29.安全保障-系統試運行B3.4.2 c) 僅一級要求 ：提供三個月以上的試運行記錄和報告。驗證項目安全保障階段控制程序文件，內容應覆蓋審核條款的要求。應急預案、系統運行策略和安全指南、配置管理方案、系統試運行報告。查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的試運行報告和記錄，周期為 3 個月。30. 安全保障-驗收 B1.4.3 b) 根據合同約定，配合組織項目驗收，出具項目驗收報告。驗證項目安全保障階段控制程序文件，內容應覆蓋審核條款的要求。驗證項目終驗報告。 查閱了深圳文化產權交易所有公司數據中心硬件設備采購項目的項目驗收報告，ISCCC-QOT-0462-B/1 信息系統安全集成服務資質認證現場審核表審查員簽名： 日期： 中國信息安全認證中心 第 7 頁 共 8 頁序號 要點 條款 需提供證明材料審核結果審核記錄符合不符合需觀察31. 上一年度提出的觀察項跟蹤驗證情況（如有）32.