測評方案測評流程根據《GBT28448-信息安全技術信息系統安全等級保護測評規定》，我們以《信息安全技術信息系統安全等級保護測評過程指南》（GBT28449-）為測評輸入，采用對應的（涉及：訪談、檢查、測試）測評辦法，按攝影應的測評規程對測評對象（涉及：制度文檔、各類設備、安全配備、有關人員）進行對應力度（涉及：廣度、深度）的單元測評、整體測評，對測評發現的風險項進行分析評定，提出合理化整治建議，最后得到對應的信息系統等級測評報告。信息系統等級測評工作共分為四項活動，即測評準備活動、方案編制活動、現場測評活動、成果分析與報告編制活動，基本工作流程圖以下：圖表SEQFigure\*ARABIC1等級測評工作流程圖測評力度測評力度信息系統安全保護等級二級系統三級系統訪談廣度測評對象在種類和數量上抽樣，種類和數量都較多測評對象在數量上抽樣，在種類上基本覆蓋深度充足較全方面檢查廣度測評對象在種類和數量上抽樣，種類和數量都較多測評對象在數量上抽樣，在種類上基本覆蓋深度充足較全方面測試廣度測評對象在種類和數量、范疇上抽樣，種類和數量都較多，范疇大測評對象在數量和范疇上抽樣，在種類上基本覆蓋深度功效測試/性能測試功效測試/性能測試，滲入測試測評對象我們普通的測評對象涉及：整體對象，如機房、辦公環境、網絡等，也涉及具體對象，如網關設備、網絡設備、服務器設備、工作站、操作系統、數據庫和應用系統等。但本次測評為云環境下的測評，由于機房和網絡環境的安全責任不歸屬該單位，故本次測評對象為：主機、應用系統和安全管理制度三個層面有關的對象。在具體測評對象選擇工作過程中，遵照下列原則：完整性原則，選擇的設備、方法等應能滿足對應等級的測評力度規定；重要性原則，應抽查重要的服務器、數據庫和網絡設備等；安全性原則，應抽核對外暴露的網絡邊界；共享性原則，應抽查共享設備和數據交換平臺/設備；代表性原則，抽查應盡量覆蓋系統多個設備類型、操作系統類型、數據庫系統類型和應用系統的類型。測評根據信息安全測評與其它測評同樣，是根據有關的需求、設計、原則和規范，看待測對象進行測試、評定（評價），因此有必要梳理出測評對象、以及采用的原則規范。測評使用的重要指標根據以下：系統定級使用的重要指標根據有：《計算機信息系統安全保護等級劃分準則》（GB17859-1999）《信息安全技術信息系統安全等級保護定級指南》（GB/T22240-）等級保護測評使用的重要指標根據有：《信息安全技術信息系統安全等級保護基本規定》（GB/T22239-）《信息安全技術信息系統安全等級保護測評規定》（GBT28448-）《信息安全技術信息系統安全等級保護測評過程指南》（GBT28449-）《信息安全技術信息安全風險評定規范》（GB/T20984-）現狀測評使用的重要指標根據有：制度檢查：以GB/T22239《等級保護基本規定》、ISO27000/ISO17799、ITIL的有關規定作為補充檢查規定，檢查與否含有對應的制度、統計。漏洞掃描檢查：使用工具自帶的庫和基線。整體網絡架構分析：以基于安全域的劃分成果進行分析，重要參考《信息系統等級保護安全設計技術規定》（GB/T25070-）。滲入測試：沒有原則的定義。通過模擬惡意黑客的攻擊的辦法，來評定信息系統安全防御按照預期計劃正常運行。系統信息安全加固、安全建設整治建議的重要根據有：《信息安全技術信息系統安全等級保護實施指南》（GB/T25058-）Gartner公司信息安全體系架構OSA（開放安全架構）安全架構SABSA公司安全架構《信息安全風險評定規范》（GB/T20984-）《信息技術安全性評定準則》（GB/T18336.1-）有關根據尚有：公安部、國家保密局、國際密碼管理局、國務院信息化工作辦公室聯合轉發的《有關信息安全等級保護工作的實施意見》（公通字[]66）、公安部、國家保密局、國家密碼管理局、國務院信息化工作辦公室制訂的《信息安全等級保護管理方法》（公通字[]43號）、《政府網絡信息系統安全檢測方法》（國辦發[]28號）、《信息安全技術網絡信息系統安全檢測與等保測評規定》、《信息安全技術網絡信息系統安全檢測與等保測評過程指南》、《信息安全技術信息系統通用安全技術規定》（GB/T20271-）、《信息安全技術網絡基礎安全技術規定》（GB/T20270-）、《信息安全技術操作系統安全技術規定》（GB/T20272-）、《信息安全技術數據庫管理系統安全技術規定》（GB/T20273-）、《信息安全技術服務器技術規定》（GB/T21028-）、《信息安全技術信息系統安全管理規定》（GB/T20269-）、《信息安全技術信息系統安全工程管理規定》（GB/T20282-）、《中華人民共和國計算機信息系統安全保護條例》（國務院147號令）、《國家信息化領導小組有關加強信息安全保障工作的意見》（中辦發[]27號）、《信息系統安全保障評定框架》（GB/T20274—）、《信息安全管理實用規則》（GB/T19716—）。測評辦法訪談根據測評技術方案（訪談問題）列表對有關人員進行訪談，獲取與安全管理有關的評定證據用于判斷特定的安全管理方法與否符合國家有關原則以及委托方的實際需求。檢查在物理測評中，測評人員采用文檔查閱與分析和現場觀察等檢查操作來獲取測評證據，用于判斷目的系統在機房安全方面采用的特定安全技術方法與否符合國家有關原則以及委托方的實際需求。在主機安全測評、網絡安全測評、應用安全測評和數據安全及備份恢復等方面的測評活動中，測評人員綜合采用文檔查閱與分析、安全配備核查和網絡監聽與分析等檢查操作來獲取測評證據，用于判斷目的系統在主機、網絡和應用層面采用的特定安全技術方法與否符合國家有關原則以及委托方的實際需求，對有關設備進行檢查的過程中，我方不直接操作設備，甲方安排有關配合人員根據我方的檢查規定對設備進行操作，并將成果反饋給我方。在安全管理測評中，測評人員重要采用文檔查閱與分析來獲取測評證據，用于判斷特定的安全管理方法與否符合國家、行業有關原則的規定以及委托方的實際需求。測試在網絡安全、主機安全和應用安全等方面的測評活動中，測評人員能夠采用手工驗證和工具測試等測試操作對特定安全技術方法的有效性進行測試，測試成果用于判斷目的系統在網絡、主機或應用層面采用的特定技術方法與否符合國家有關原則以及委托方的實際需求，并進一步應用于對目的系統進行安全性整體分析。測評指標由于國家對不同級別的信息系統有不同的安全保護能力規定，國標《信息安全技術信息系統安全等級保護基本規定》描述了不同級別信息系統應當實現的各類安全控制方法，信息系統的安全保護等級擬定之后，對被測系統進行測評的測評指標的提取和形成，是等級測評工作的基礎。第三級信息系統的測評指標分布狀況以下：第三級信息系統測評指標測評指標技術/管理安全分類安全子類數量S3A3G3小計技術規定物理安全11810網絡安全1067主機安全3137應用安全5229數據安全2103管理規定安全管理制度0033安全管理機構0055人員安全管理0055系統建設管理001111系統運維管理001313合計73測評內容測評的內容重要涉及技術和管理兩個方面的內容，技術方面重要涉及主機安全、應用安全與數據安全等方面的內容；管理方面重要涉及安全管理制度、安全管理機構、人員安全管理、系統建設管理和系統運維管理共10個層面。主機安全測評方案和內容序號類別測評規定成果統計符合狀況1身份鑒別（S3）a)應對登錄操作系統和數據庫系統的顧客進行身份標記和鑒別；b)操作系統和數據庫系統管理顧客身份標記應含有不易被冒用的特點，口令應有復雜度規定并定時更換；c)應啟用登錄失敗解決功效，可采用結束會話、限制非法登錄次數和自動退出等方法；d)當對服務器進行遠程管理時，應采用必要方法，避免鑒別信息在網絡傳輸過程中被竊聽；e)應為操作系統和數據庫系統的不同顧客分派不同的顧客名，確保顧客名含有唯一性。f)應采用兩種或兩種以上組合的鑒別技術對管理顧客進行身份鑒別。2訪問控制（S3）a)應啟用訪問控制功效，根據安全方略控制顧客對資源的訪問；b)應根據管理顧客的角色分派權限，實現管理顧客的權限分離，僅授予管理顧客所需的最小權限；c)應實現操作系統和數據庫系統特權顧客的權限分離；d)應嚴格限制默認帳戶的訪問權限，重命名系統默認帳戶，修改這些帳戶的默認口令；e)應及時刪除多出的、過期的帳戶，避免共享帳戶的存在。f)應對重要信息資源設立敏感標記；g)應根據安全方略嚴格控制顧客對有敏感標記重要信息資源的操作；3安全審計（G3）a)審計范疇應覆蓋到服務器和重要客戶端上的每個操作系統顧客和數據庫顧客；b)審計內容應涉及重要顧客行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全有關事件；c)審計統計應涉及事件的日期、時間、類型、主體標記、客體標記和成果等；d)應能夠根據統計數據進行分析，并生成審計報表；e)應保護審計進程，避免受到未預期的中斷；f)應保護審計統計，避免受到未預期的刪除、修改或覆蓋等。4剩余信息保護（S3）a)應確保操作系統和數據庫系統顧客的鑒別信息所在的存儲空間，被釋放或再分派給其它顧客前得到完全去除，無論這些信息是寄存在硬盤上還是在內存中；b)應確保系統內的文獻、目錄和數據庫統計等資源所在的存儲空間，被釋放或重新分派給其它顧客前得到完全去除。5入侵防備（G3）a)應能夠檢測到對重要服務器進行入侵的行為，能夠統計入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時間，并在發生嚴重入侵事件時提供報警；b)應能夠對重要程序的完整性進行檢測，并在檢測到完整性受到破壞后含有恢復的方法；c)操作系統應遵照最小安裝的原則，僅安裝需要的組件和應用程序，并通過設立升級服務器等方式保持系統補丁及時得到更新。6惡意代碼防備（G3）a)應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；b)主機防惡意代碼產品應含有與網絡防惡意代碼產品不同的惡意代碼庫；c)應支持防惡意代碼的統一管理。7資源控制（A3）a)應通過設定終端接入方式、網絡地址范疇等條件限制終端登錄；b)應根據安全方略設立登錄終端的操作超時鎖定；c)應對重要服務器進行監視，涉及監視服務器的CPU、硬盤、內存、網絡等資源的使用狀況；d)應限制單個顧客對系統資源的最大或最小使用程度；e)應能夠對系統的服務水平減少到預先規定的最小值進行檢測和報警。序號類別測評規定成果統計符合狀況1身份鑒別（S2）a)應對登錄操作系統和數據庫系統的顧客進行身份標記和鑒別；b)操作系統和數據庫系統管理顧客身份標記應含有不易被冒用的特點，口令應有復雜度規定并定時更換；c)應啟用登錄失敗解決功效，可采用結束會話、限制非法登錄次數和自動退出等方法；d)當對服務器進行遠程管理時，應采用必要方法，避免鑒別信息在網絡傳輸過程中被竊聽；e)應為操作系統和數據庫系統的不同顧客分派不同的顧客名，確保顧客名含有唯一性。2訪問控制（S2）a)應啟用訪問控制功效，根據安全方略控制顧客對資源的訪問；b)應實現操作系統和數據庫系統特權顧客的權限分離；c)應限制默認帳戶的訪問權限，重命名系統默認帳戶，修改這些帳戶的默認口令；d)應及時刪除多出的、過期的帳戶，避免共享帳戶的存在。3安全審計（G2）a)審計范疇應覆蓋到服務器上的每個操作系統顧客和數據庫顧客；b)審計內容應涉及重要顧客行為、系統資源的異常使用和重要系統命令的使用等系統內重要的安全有關事件；c)審計統計應涉及事件的日期、時間、類型、主體標記、客體標記和成果等；d)應保護審計統計，避免受到未預期的刪除、修改或覆蓋等。4入侵防備（G2）操作系統應遵照最小安裝的原則，僅安裝需要的組件和應用程序，并通過設立升級服務器等方式保持系統補丁及時得到更新。5惡意代碼防備（G2）a)應安裝防惡意代碼軟件，并及時更新防惡意代碼軟件版本和惡意代碼庫；b)應支持防惡意代碼軟件的統一管理。6資源控制（A2）a)應通過設定終端接入方式、網絡地址范疇等條件限制終端登錄；b)應根據安全方略設立登錄終端的操作超時鎖定；c)應限制單個顧客對系統資源的最大或最小使用程度。配合需求配合項目需求闡明訪談訪談系統管理員查看材料提供有關備份統計文獻、審計統計等實地檢查查看運維系統、檢查設備配備、工具接入配合應用安全測評方案和內容序號類別測評規定成果統計符合狀況1身份鑒別（S3）a)應提供專用的登錄控制模塊對登錄顧客進行身份標記和鑒別；b)應對同一顧客采用兩種或兩種以上組合的鑒別技術實現顧客身份鑒別；c)應提供顧客身份標記唯一和鑒別信息復雜度檢查功效，確保應用系統中不存在重復顧客身份標記，身份鑒別信息不易被冒用；d)應提供登錄失敗解決功效，可采用結束會話、限制非法登錄次數和自動退出等方法；e)應啟用身份鑒別、顧客身份標記唯一性檢查、顧客身份鑒別信息復雜度檢查以及登錄失敗解決功效，并根據安全方略配備有關參數。2訪問控制（S3）a)應提供訪問控制功效，根據安全方略控制顧客對文獻、數據庫表等客體的訪問；b)訪問控制的覆蓋范疇應涉及與資源訪問有關的主體、客體及它們之間的操作；c)應由授權主體配備訪問控制方略，并嚴格限制默認帳戶的訪問權限；d)應授予不同帳戶為完畢各自承當任務所需的最小權限，并在它們之間形成互相制約的關系。e)應含有對重要信息資源設立敏感標記的功效；f)應根據安全方略嚴格控制顧客對有敏感標記重要信息資源的操作；3安全審計（G3）a)應提供覆蓋到每個顧客的安全審計功效，對應用系統重要安全事件進行審計；b)應確保無法單獨中斷審計進程，無法刪除、修改或覆蓋審計統計；c)審計統計的內容最少應涉及事件的日期、時間、發起者信息、類型、描述和成果等；d)應提供對審計統計數據進行統計、查詢、分析及生成審計報表的功效。4剩余信息保護（S3）a)應確保顧客鑒別信息所在的存儲空間被釋放或再分派給其它顧客前得到完全去除，無論這些信息是寄存在硬盤上還是在內存中；b)應確保系統內的文獻、目錄和數據庫統計等資源所在的存儲空間被釋放或重新分派給其它顧客前得到完全去除。5通信完整性（S3）應采用密碼技術確保通信過程中數據的完整性。6通信保密性（S3）a)在通信雙方建立連接之前，應用系統應運用密碼技術進行會話初始化驗證；b)應對通信過程中的整個報文或會話過程進行加密。7抗抵賴（G3）a)應含有在請求的狀況下為數據原發者或接受者提供數據原發證據的功效；b)應含有在請求的狀況下為數據原發者或接受者提供數據接受證據的功效。8軟件容錯（A3）a)應提供數據有效性檢查功效，確保通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定規定；b)應提供自動保護功效，當故障發生時自動保護目前全部狀態，確保系統能夠進行恢復。9資源控制（A3）a)當應用系統的通信雙方中的一方在一段時間內未作任何響應，另一方應能夠自動結束會話；b)應能夠對系統的最大并發會話連接數進行限制；c)應能夠對單個帳戶的多重并發會話進行限制；d)應能夠對一種時間段內可能的并發會話連接數進行限制；e)應能夠對一種訪問帳戶或一種請求進程占用的資源分派最大限額和最小限額；f)應能夠對系統服務水平減少到預先規定的最小值進行檢測和報警；g)應提供服務優先級設定功效，并在安裝后根據安全方略設定訪問帳戶或請求進程的優先級，根據優先級分派系統資源。序號類別測評規定成果統計符合狀況1身份鑒別（S2）a)應提供專用的登錄控制模塊對登錄顧客進行身份標記和鑒別；b)應提供顧客身份標記唯一和鑒別信息復雜度檢查功效，確保應用系統中不存在重復顧客身份標記，身份鑒別信息不易被冒用；c)應提供登錄失敗解決功效，可采用結束會話、限制非法登錄次數和自動退出等方法；d)應啟用身份鑒別、顧客身份標記唯一性檢查、顧客身份鑒別信息復雜度檢查以及登錄失敗解決功效，并根據安全方略配備有關參數。2訪問控制（S2）a)應提供訪問控制功效，根據安全方略控制顧客對文獻、數據庫表等客體的訪問；b)訪問控制的覆蓋范疇應涉及與資源訪問有關的主體、客體及它們之間的操作；c)應由授權主體配備訪問控制方略，并嚴格限制默認帳戶的訪問權限；d)應授予不同帳戶為完畢各自承當任務所需的最小權限，并在它們之間形成互相制約的關系。3安全審計（G2）a)應提供覆蓋到每個顧客的安全審計功效，對應用系統重要安全事件進行審計；b)應確保無法刪除、修改或覆蓋審計統計；c)審計統計的內容最少應涉及事件日期、時間、發起者信息、類型、描述和成果等。4通信完整性（S2）應采用校驗碼技術確保通信過程中數據的完整性。5通信保密性（S2）a)在通信雙方建立連接之前，應用系統應運用密碼技術進行會話初始化驗證；b)應對通信過程中的敏感信息字段進行加密。6軟件容錯（A2）a)應提供數據有效性檢查功效，確保通過人機接口輸入或通過通信接口輸入的數據格式或長度符合系統設定規定；b)在故障發生時，應用系統應能夠繼續提供一部分功效，確保能夠實施必要的方法。7資源控制（A2）a)當應用系統的通信雙方中的一方在一段時間內未作任何響應，另一方應能夠自動結束會話；b)應能夠對應用系統的最大并發會話連接數進行限制；c)應能夠對單個帳戶的多重并發會話進行限制。配合需求配合項目需求闡明訪談訪談網站管理員查看材料查看有關審計統計等實地檢查查看運維系統、檢查設備配備、工具接入配合數據安全及備份恢復測評方案和內容序號類別測評規定成果統計符合狀況1數據完整性（S3）a)應能夠檢測到系統管理數據、鑒別信息和重要業務數據在傳輸過程中完整性受到破壞，并在檢測到完整性錯誤時采用必要的恢復方法；b)應能夠檢測到系統管理數據、鑒別信息和重要業務數據在存儲過程中完整性受到破壞，并在檢測到完整性錯誤時采用必要的恢復方法。2數據保密性（S3）a)應采用加密或其它有效方法實現系統管理數據、鑒別信息和重要業務數據傳輸保密性；b)應采用加密或其它保護方法實現系統管理數據、鑒別信息和重要業務數據存儲保密性。3備份和恢復（A3）a)應提供本地數據備份與恢復功效，完全數據備份最少每天一次，備份介質場外寄存；b)應提供異地數據備份功效，運用通信網絡將核心數據定時批量傳送至備用場地；c)應采用冗余技術設計網絡拓撲構造，避免核心節點存在單點故障；d)應提供重要網絡設備、通信線路和數據解決系統的硬件冗余，確保系統的高可用性。序號類別測評規定成果統計符合狀況1數據完整性（S2）應能夠檢測到鑒別信息和重要業務數據在傳輸過程中完整性受到破壞。2數據保密性（S2）應采用加密或其它保護方法實現鑒別信息的存儲保密性。3備份和恢復（A2）a)應能夠對重要信息進行備份和恢復；b)應提供核心網絡設備、通信線路和數據解決系統的硬件冗余，確保系統的可用性。配合需求配合項目需求闡明訪談訪談系統管理員查看材料提供有關備份、恢復統計等實地檢查查看備份系統、檢查設備配備、工具接入配合安全管理制度測評方案和內容序號類別測評規定成果統計符合狀況1管理制度（G3）a)應制訂信息安全工作的總體方針和安全方略，闡明機構安全工作的總體目的、范疇、原則和安全框架等；b)應對安全管理活動中的各類管理內容建立安全管理制度；c)應對規定管理人員或操作人員執行的日常管理操作建立操作規程；d)應形成由安全方略、管理制度、操作規程等構成的全方面的信息安全管理制度體系。2制訂和公布（G3）a)應指定或授權專門的部門或人員負責安全管理制度的制訂；b)安全管理制度應含有統一的格式，并進行版本控制；c)應組織有關人員對制訂的安全管理制度進行論證和審定；d)安全管理制度應通過正式、有效的方式公布；e)安全管理制度應注明公布范疇，并對收發文進行登記。3評審和修訂（G3）a)信息安全領導小組應負責定時組織有關部門和有關人員對安全管理制度體系的合理性和合用性進行審定；b)應定時或不定時對安全管理制度進行檢查和審定，對存在局限性或需要改善的安全管理制度進行修訂。序號類別測評規定成果統計符合狀況1管理制度（G2）a)應制訂信息安全工作的總體方針和安全方略，闡明機構安全工作的總體目的、范疇、原則和安全框架等；b)應對安全管理活動中重要的管理內容建立安全管理制度；c)應對安全管理人員或操作人員執行的重要管理操作建立操作規程。2制訂和公布（G2）a)應指定或授權專門的部門或人員負責安全管理制度的制訂；b)應組織有關人員對制訂的安全管理制度進行論證和審定；c)應將安全管理制度以某種方式公布到有關人員手中。3評審和修訂（G2）應定時對安全管理制度進行評審，對存在局限性或需要改善的安全管理制度進行修訂。配合需求配合項目需求闡明訪談訪談安全主管查看材料提供有關安全管理制度、統計安全管理機構測評方案和內容序號類別測評規定成果統計符合狀況1崗位設立（G3）a)應設立信息安全管理工作的職能部門，設立安全主管、安全管理各個方面的負責人崗位，并定義各負責人的職責；b)應設立系統管理員、網絡管理員、安全管理員等崗位，并定義各個工作崗位的職責；c)應成立指導和管理信息安全工作的委員會或領導小組，其最高領導由單位主管領導委任或授權；d)應制訂文獻明確安全管理機構各個部門和崗位的職責、分工和技能規定。2人員配備（G3）a)應配備一定數量的系統管理員、網絡管理員、安全管理員等；b)應配備專職安全管理員，不可兼任；c)核心事務崗位應配備多人共同管理。3授權和審批（G3）a)應根據各個部門和崗位的職責明確授權審批事項、審批部門和同意人等；b)應針對系統變更、重要操作、物理訪問和系統接入等事項建立審批程序，按照審批程序執行審批過程，對重要活動建立逐級審批制度；c)應定時審查審批事項，及時更新需授權和審批的項目、審批部門和審批人等信息；d)應統計審批過程并保存審批文檔。5溝通和合作（G3）a)應加強各類管理人員之間、組織內部機構之間以及信息安全職能部門內部的合作與溝通，定時或不定時召開協調會議，共同協作解決信息安全問題；b)應加強與兄弟單位、公安機關、電信公司的合作與溝通；c)應加強與供應商、業界專家、專業的安全公司、安全組織的合作與溝通；d)應建立外聯單位聯系列表，涉及外聯單位名稱、合作內容、聯系人和聯系方式等信息；e)應聘任信息安全專家作為常年的安全顧問，指導信息安全建設，參加安全規劃和安全評審等。5審核和檢查（G3）a)安全管理員應負責定時進行安全檢查，檢查內容涉及系統日常運行、系統漏洞和數據備份等狀況；b)應由內部人員或上級單位定時進行全方面安全檢查，檢查內容涉及現有安全技術方法的有效性、安全配備與安全方略的一致性、安全管理制度的執行狀況等；c)應制訂安全檢查表格實施安全檢查，匯總安全檢查數據，形成安全檢查報告，并對安全檢查成果進行通報；d)應制訂安全審核和安全檢查制度規范安全審核和安全檢查工作，定時按照程序進行安全審核和安全檢查活動。序號類別測評規定成果統計符合狀況1崗位設立（G2）a)應設立安全主管、安全管理各個方面的負責人崗位，并定義各負責人的職責；b)應設立系統管理員、網絡管理員、安全管理員等崗位，并定義各個工作崗位的職責。2人員配備（G2）a)應配備一定數量的系統管理員、網絡管理員、安全管理員等；b)安全管理員不能兼任網絡管理員、系統管理員、數據庫管理員等。3授權和審批（G2）a)應根據各個部門和崗位的職責明確授權審批部門及同意人，對系統投入運行、網絡系統接入和重要資源的訪問等核心活動進行審批；b)應針對核心活動建立審批流程，并由同意人簽字確認。4溝通和合作（G2）a)應加強各類管理人員之間、組織內部機構之間以及信息安全職能部門內部的合作與溝通；b)應加強與兄弟單位、公安機關、電信公司的合作與溝通。5審核和檢查（G2）安全管理員應負責定時進行安全檢查，檢查內容涉及系統日常運行、系統漏洞和數據備份等狀況。配合需求配合項目需求闡明訪談訪談安全主管查看材料提供有關審批文獻、統計等人員安全管理測評方案和內容序號類別測評規定成果統計符合狀況1人員錄用（G3）a)應指定或授權專門的部門或人員負責人員錄用；b)應嚴格規范人員錄用過程，對被錄用人的身份、背景、專業資格和資質等進行審查，對其所含有的技術技能進行考核；c)應訂立保密合同；d)應從內部人員中選拔從事核心崗位的人員，并訂立崗位安全合同。2人員離崗（G3）a)應嚴格規范人員離崗過程，及時終止離崗員工的全部訪問權限；b)應取回多個身份證件、鑰匙、徽章等以及機構提供的軟硬件設備；c)應辦理嚴格的調離手續，核心崗位人員離崗須承諾調離后的保密義務后方可離開。3人員考核（G3）a)應定時對各個崗位的人員進行安全技能及安全認知的考核；b)應對核心崗位的人員進行全方面、嚴格的安全審查和技能考核；c)應對考核成果進行統計并保存。4安全意識教育和培訓（G3）a)應對各類人員進行安全意識教育、崗位技能培訓和有關安全技術培訓；b)應對安全責任和懲戒方法進行書面規定并告知有關人員，對違反違反安全方略和規定的人員進行懲戒；c)應對定時安全教育和培訓進行書面規定，針對不同崗位制訂不同的培訓計劃，對信息安全基礎知識、崗位操作規程等進行培訓；d)應對安全教育和培訓的狀況和成果進行統計并歸檔保存。5外部人員訪問管理（G3）a)應確保在外部人員訪問受控區域前先提出書面申請，同意后由專人全程陪伴或監督，并登記備案；b)對外部人員允許訪問的區域、系統、設備、信息等內容應進行書面的規定，并按照規定執行。序號類別測評規定成果統計符合狀況1人員錄用（G2）a)應指定或授權專門的部門或人員負責人員錄用；b)應規范人員錄用過程，對被錄用人員的身份、背景和專業資格等進行審查，對其所含有的技術技能進行考核；c)應與從事核心崗位的人員訂立保密合同。2人員離崗（G2）a)應規范人員離崗過程，及時終止離崗員工的全部訪問權限；b)應取回多個身份證件、鑰匙、徽章等以及機構提供的軟硬件設備；c)應辦理嚴格的調離手續。3人員考核（G2）應定時對各個崗位的人員進行安全技能及安全認知的考核。4安全意識教育和培訓（G2）a)應對各類人員進行安全意識教育、崗位技能培訓和有關安全技術培訓；b)應告知人員有關的安全責任和懲戒方法，并對違反違反安全方略和規定的人員進行懲戒；c)應制訂安全教育和培訓計劃，對信息安全基礎知識、崗位操作規程等進行培訓。5外部人員訪問管理（G2）應確保在外部人員訪問受控區域前得到授權或審批，同意后由專人全程陪伴或監督，并登記備案。配合需求配合項目需求闡明訪談訪談安全主管、人事負負責人查看材料提供有關人員資料、離崗調離手續、外部人員訪問統計等系統建設管理測評方案和內容序號類別測評規定成果統計符合狀況1系統定級（G3）a)應明確信息系統的邊界和安全保護等級；b)應以書面的形式闡明擬定信息系統為某個安全保護等級的辦法和理由；c)應組織有關部門和有關安全技術專家對信息系統定級成果的合理性和對的性進行論證和審定；d)應確保信息系統的定級成果通過有關部門的同意。2安全方案設計（G3）a)應根據系統的安全保護等級選擇基本安全方法，并根據風險分析的成果補充和調節安全方法；b)應指定和授權專門的部門對信息系統的安全建設進行總體規劃，制訂近期和遠期的安全建設工作計劃；c)應根據信息系統的等級劃分狀況，統一考慮安全保障體系的總體安全方略、安全技術框架、安全管理方略、總體建設規劃和具體設計方案，并形成配套文獻；d)應組織有關部門和有關安全技術專家對總體安全方略、安全技術框架、安全管理方略、總體建設規劃、具體設計方案等有關配套文獻的合理性和對的性進行論證和審定，并且通過同意后，才干正式實施；e)應根據等級測評、安全評定的成果定時調節和修訂總體安全方略、安全技術框架、安全管理方略、總體建設規劃、具體設計方案等有關配套文獻。3產品采購和使用（G3）a)應確保安全產品采購和使用符合國家的有關規定；b)應確保密碼產品采購和使用符合國家密碼主管部門的規定；c)應指定或授權專門的部門負責產品的采購；d)應預先對產品進行選型測試，擬定產品的候選范疇，并定時審定和更新候選產品名單。4自行軟件開發（G3）a)應確保開發環境與實際運行環境物理分開，開發人員和測試人員分離，測試數據和測試成果受到控制；b)應制訂軟件開發管理制度，明確闡明開發過程的控制辦法和人員行為準則；c)應制訂代碼編寫安全規范，規定開發人員參考規范編寫代碼；d)應確保提供軟件設計的有關文檔和使用指南，并由專人負責保管；e)應確保對程序資源庫的修改、更新、公布進行授權和同意。5外包軟件開發（G3）a)應根據開發需求檢測軟件質量；b)應在軟件安裝之前檢測軟件包中可能存在的惡意代碼；c)應規定開發單位提供軟件設計的有關文檔和使用指南；d)應規定開發單位提供軟件源代碼，并審查軟件中可能存在的后門。6工程實施（G3）a)應指定或授權專門的部門或人員負責工程實施過程的管理；b)應制訂具體的工程實施方案控制實施過程，并規定工程實施單位能正式地執行安全工程過程；c)應制訂工程實施方面的管理制度，明確闡明實施過程的控制辦法和人員行為準則。7測實驗收（G3）a)應委托公正的第三方測試單位對系統進行安全性測試，并出具安全性測試報告；b)在測實驗收前應根據設計方案或合同規定等制訂測實驗收方案，在測實驗收過程中應具體統計測實驗收成果，并形成測實驗收報告；c)應對系統測實驗收的控制辦法和人員行為準則進行書面規定；d)應指定或授權專門的部門負責系統測實驗收的管理，并按照管理規定的規定完畢系統測實驗收工作；e)應組織有關部門和有關人員對系統測實驗收報告進行審定，并簽字確認。8系統交付（G3）a)應制訂具體的系統交付清單，并根據交付清單對所交接的設備、軟件和文檔等進行清點b)應對負責系統運行維護的技術人員進行對應的技能培訓；c)應確保提供系統建設過程中的文檔和指導顧客進行系統運行維護的文檔；d)應對系統交付的控制辦法和人員行為準則進行書面規定；e)應指定或授權專門的部門負責系統交付的管理工作，并按照管理規定的規定完畢系統交付工作。9系統備案（G3）a)應指定專門的部門或人員負責管理系統定級的有關材料，并控制這些材料的使用；b)應將系統等級及有關材料報系統主管部門備案；c)應將系統等級及其它規定的備案材料報對應公安機關備案。10等級測評（G3）a)在系統運行過程中，應最少每年對系統進行一次等級測評，發現不符合對應等級保護原則規定的及時整治；b)應在系統發生變更時及時對系統進行等級測評，發現級別發生變化的及時調節級別并進行安全改造，發現不符合對應等級保護原則規定的及時整治；c)應選擇含有國家有關技術資質和安全資質的測評單位進行等級測評；d)應指定或授權專門的部門或人員負責等級測評的管理。11安全服務商選擇（G3）a)應確保安全服務商的選擇符合國家的有關規定；b)應與選定的安全服務商訂立與安全有關的合同，明確商定有關責任；c)應確保選定的安全服務商提供技術培訓和服務承諾，必要的與其訂立服務合同。序號類別測評規定成果統計符合狀況1系統定級（G2）a)應明確信息系統的邊界和安全保護等級；b)應以書面的形式闡明信息系統擬定為某個安全保護等級的辦法和理由；c)應確保信息系統的定級成果通過有關部門的同意。2安全方案設計（G2）a)應根據系統的安全保護等級選擇基本安全方法，根據風險分析的成果補充和調節安全方法；b)應以書面形式描述對系統的安全保護規定、方略和方法等內容，形成系統的安全方案；c)應對安全方案進行細化，形成能指導安全系統建設、安全產品采購和使用的具體設計方案；d)應組織有關部門和有關安全技術專家對安全設計方案的合理性和對的性進行論證和審定，并且通過同意后，才干正式實施。3產品采購和使用（G2）a)應確保安全產品采購和使用符合國家的有關規定；b)應確保密碼產品采購和使用符合國家密碼主管部門的規定；c)應指定或授權專門的部門負責產品的采購。4自行軟件開發（G2）a)應確保開發環境與實際運行環境物理分開；b)應制訂軟件開發管理制度，明確闡明開發過程的控制辦法和人員行為準則；c)應確保提供軟件設計的有關文檔和使用指南，并由專人負責保管。5外包軟件開發（G2）a)應根據開發規定檢測軟件質量；b)應確保提供軟件設計的有關文檔和使用指南；c)應在軟件安裝之前檢測軟件包中可能存在的惡意代碼；d)應規定開發單位提供軟件源代碼，并審查軟件中可能存在的后門。6工程實施（G2）a)應指定或授權專門的部門或人員負責工程實施過程的管理；b)應制訂具體的工程實施方案，控制工程實施過程。7測實驗收（G2）a)應對系統進行安全性測實驗收；b)在測實驗收前應根據設計方案或合同規定等制訂測實驗收方案，在測實驗收過程中應具體統計測實驗收成果，并形成測實驗收報告；c)應組織有關部門和有關人員對系統測實驗收報告進行審定，并簽字確認。8系統交付（G2）a)應制訂系統交付清單，并根據交付清單對所交接的設備、軟件和文檔等進行清點；b)應對負責系統運行維護的技術人員進行對應的技能培訓；c)應確保提供系統建設過程中的文檔和指導顧客進行系統運行維護的文檔。9安全服務商選擇（G2）a)應確保安全服務商的選擇符合國家的有關規定；b)應與選定的安全服務商訂立與安全有關的合同，明確商定有關責任；c)應確保選定的安全服務商提供技術支持和服務承諾，必要的與其訂立服務合同。配合需求配合項目需求闡明訪談訪談安全主管、系統建設負責人查看材料提供安全方案有關文本、開發有關制度、操作使用指南、驗收報告、服務商有關合同系統運維管理測評方案和內容序號類別測評規定成果統計符合狀況1環境管理（G3）a)應指定專門的部門或人員定時對機房供配電、空調、溫濕度控制等設施進行維護管理；b)應指定部門負責機房安全，并配備機房安全管理人員，對機房的出入、服務器的開機或關機等工作進行管理；c)應建立機房安全管理制度，對有關機房物理訪問，物品帶進、帶出機房和機房環境安全等方面的管理作出規定；d)應加強對辦公環境的保密性管理，規范辦公環境人員行為，涉及工作人員調離辦公室應立刻交還該辦公室鑰匙、不在辦公區接待來訪人員、工作人員離開座位應確保終端計算機退出登錄狀態和桌面上沒有包含敏感信息的紙檔文獻等。2資產管理（G3）a)應編制并保存與信息系統有關的資產清單，涉及資產責任部門、重要程度和所處位置等內容；b)應建立資產安全管理制度，規定信息系統資產管理的負責人員或責任部門，并規范資產管理和使用的行為；c)應根據資產的重要程度對資產進行標記管理，根據資產的價值選擇對應的管理方法；d)應對信息分類與標記辦法作出規定，并對信息的使用、傳輸和存儲等進行規范化管理。3介質管理（G3）a)應建立介質安全管理制度，對介質的寄存環境、使用、維護和銷毀等方面作出規定；b)應確保介質寄存在安全的環境中，并實施存儲環境專人管理；c)應對介質在物理傳輸過程中的人員選擇、打包、交付等狀況進行控制，對介質歸檔和查詢等進行登記統計，并根據存檔介質的目錄清單定時盤點；d)應對存儲介質的使用過程、送出維修以及銷毀等進行嚴格的管理，對帶出工作環境的存儲介質進行內容加密和監控管理，對送出維修或銷毀的介質應首先去除介質中的敏感數據，對保密性較高的存儲介質未經同意不得自行銷毀；e)應根據數據備份的需要對某些介質實施異地存儲，存儲地的環境規定和管理辦法應與本地相似；f)應對重要介質中的數據和軟件采用加密存儲，并根據所承載數據和軟件的重要程度對介質進行分類和標記管理。4設備管理（G3）a)應建立設備安全管理制度，對設備的申報、審批、使用、維護等方面作出規定；b)應對信息系統有關的多個設備（涉及備份和冗余設備）、線路等指定專門的部門或人員定時進行維護管理；c)應建立基于申報、審批和專人負責的設備安全管理制度，對信息系統的多個軟硬件設備的選型、采購、發放和領用等過程進行規范化管理；d)應對終端計算機、工作站、便攜機、系統和網絡等設備的操作和使用進行規范化管理，按操作規程實現重要設備（涉及備份和冗余設備）的啟動/停止、加電/斷電等操作；e)應確保信息解決設備必須通過審批才干帶離機房或辦公地點。5監控管理和安全管理中心（G3）a)應規定安全審計的內容、安全審計的頻率、審計日志的保存時間等；b)應對通信線路、主機、網絡設備和應用軟件的運行狀況、網絡流量、顧客行為等進行監測和報警，形成統計并妥善保存；c)應組織有關人員定時對監測和報警統計進行分析、評審，發現可疑行為，形成分析報告，并采用必要的應對方法；d)應建立安全管理中心，對設備狀態、惡意代碼、補丁升級、安全審計等安全有關事項進行集中管理。6網絡安全管理（G3）a)應指定專人對網絡進行管理，負責運行日志、網絡監控統計的日常維護和報警信息分析和解決工作；b)應建立網絡安全管理制度，對網絡安全配備、日志保存時間、安全方略、升級與打補丁、口令更新周期等方面作出規定；c)應根據廠家提供的軟件升級版本對網絡設備進行更新，并在更新前對現有的重要文獻進行備份；d)應定時對網絡系統進行漏洞掃描，對發現的網絡系統安全漏洞進行及時的修補；e)應實現設備的最小服務配備，并對配備文獻進行定時離線備份；f)應確保全部與外部系統的連接均得到授權和同意；g)應根據安全方略允許或者回絕便攜式和移動式設備的網絡接入；h)應定時檢查違反規定撥號上網或其它違反網絡安全方略的行為。7系統安全管理（G3）a)應建立系統安全管理制度，對系統安全方略、安全配備、日志管理和日常操作流程等方面作出具體規定；b)應根據業務需求和系統安全分析擬定系統的訪問控制方略；c)應定時進行漏洞掃描，對發現的系統安全漏洞及時進行修補；d)應安裝系統的最新補丁程序，在安裝系統補丁前，首先在測試環境中測試通過，并對重要文獻進行備份后，方可實施系統補丁程序的安裝；e)應指定專人對系統進行管理，劃分系統管理員角色，明確各個角色的權限、責任和風險，權限設定應當遵照最小授權原則；f)應根據操作手冊對系統進行維護，具體統計操作日志，涉及重要的日常操作、運行維護統計、參數的設立和修改等內容，嚴禁進行未經授權的操作；g)應定時對運行日志和審計數據進行分析，方便及時發現異常行為。8惡意代碼防備管理（G3）a)應對防惡意代碼軟件的授權使用、惡意代碼庫升級、定時報告等作出明確規定；b)應提高全部顧客的防病毒意識，及時告知防病毒軟件版本，在讀取移動存儲設備上的數據以及網絡上接受文獻或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網絡系統之前也應進行病毒檢查；c)應指定專人對網絡和主機進行惡意代碼檢測并保存檢測統計；d)應定時檢查信息系統內多個產品的惡意代碼庫的升級狀況并進行統計，對主機防病毒產品、防病毒網關和郵件防病毒網關上截獲的危險病毒或惡意代碼進行及時分析解決，并形成書面的報表和總結報告。9密碼管理（G3）應建立密碼使用管理制度，使用符合國家密碼管理規定的密碼技術和產品。10變更管理（G3）a)應建立變更管理制度，對變更的申報、審批、變更失敗后的恢復等內容作出規定；b)應確認系統中要發生的變更，并制訂變更方案；c)應建立變更管理制度，系統發生變更前，向主管領導申請，變更和變更方案通過評審、審批后方可實施變更，并在實施后將變更狀況向有關人員通告；d)應建立變更控制的申報和審批文獻化程序，對變更影響進行分析并文檔化，統計變更實施過程，并妥善保存全部文檔和統計；e)應建立中斷變更并從失敗變更中恢復的文獻化程序，明確過程控制辦法和人員職責，必要時對恢復過程進行演習。11備份與恢復管理（G3）a)應建立備份與恢復管理有關的安全管理制度，對備份信息的備份方式、備份頻度、存儲介質和保存期等進行規范；b)應識別需要定時備份的重要業務信息、系統數據及軟件系統等；c)應根據數據的重要性和數據對系統運行的影響，制訂數據的備份方略和恢復方略，備份方略須指明備份數據的放置場合、文獻命名規則、介質替代頻率和將數據離站運輸的辦法；d)應建立控制數據備份和恢復過程的程序，對備份過程進行統計，全部文獻和統計應妥善保存；e)應定時執行恢復程序，檢查和測試備份介質的有效性，確保能夠在恢復程序規定的時間內完畢備份的恢復。12安全事件處置（G3）a)應報告所發現的安全弱點和可疑事件，但任何狀況下顧客均不應嘗實驗證弱點；b)應制訂安全事件報告和處置管理制度，明確安全事件的類型，規定安全事件的現場解決、事件報告和后期恢復的管理職責；c)應根據國家有關管理部門對計算機安全事件等級劃分辦法和安全事件對本系統產生的影響，對本系統計算機安全事件進行等級劃分；d)應制訂安全事件報告和響應解決程序，擬定事件的報告流程，響應和處置的范疇、程度，以及解決辦法等；e)應在安全事件報告和響應解決過程中，分析和鑒定事件產生的因素，收集證據，統計解決過程，總結經驗教訓，制訂避免再次發生的補救方法，過程形成的全部文獻和統計均應妥善保存；f)對造成系統中斷和造成信息泄密的安全事件應采用不同的解決程序和報告程序。13應急預案管理（G3）a)應在統一的應急預案框架下制訂不同事件的應急預案，應急預案框架應涉及啟動應急預案的條件、應急解決流程、系統恢復流程、事后教育和培訓等內容；b)應從人力、設備、技術和財務等方面確保應急預案的執行有足夠的資源保障；c)應對系統有關的人員進行應急預案培訓，應急預案的培訓應最少每年舉辦一次；d)應定時對應急預案進行演習，根據不同的應急恢復內容，擬定演習的周期；e)應規定應急預案需要定時審查和根據實際狀況更新的內容，并按照執行。序號類別測評規定成果統計符合狀況1環境管理（G2）a)應指定專門的部門或人員定時對機房供配電、空調、溫濕度控制等設施進行維護管理；b)應配備機房安全管理人員，對機房的出入、服務器的開機或關機等工作進行管理；c)應建立機房安全管理制度，對有關機房物理訪問，物品帶進、帶出機房和機房環境安全等方面的管理作出規定；d)應加強對辦公環境的保密性管理，涉及工作人員調離辦公室應立刻交還該辦公室鑰匙和不在辦公區接待來訪人員等。2資產管理（G2）a)應編制與信息系統有關的資產清單，涉及資產責任部門、重要程度和所處位置等內容；b)應建立資產安全管理制度，規定信息系統資產管理的負責人員或責任部門，并規范資產管理和使用的行為。3介質管理（G2）a)應確保介質寄存在安全的環境中，對各類介質進行控制和保護，并實施存儲環境專人管理；b)應對介質歸檔和查詢等過程進行統計，并根據存檔介質的目錄清單定時盤點；c)應對需要送出維修或銷毀的介質，首先去除其中的敏感數據，避免信息的非法泄漏；d)應根據所承載數據和軟件的重要程度對介質進行分類和標記管理。4設備管理（G2）a)應對信息系統有關的多個設備（涉及備份和冗余設備）、線路等指定專門的部門或人員定時進行維護管理；b)應建立基于申報、審批和專人負責的設備安全管理制度，對信息系統的多個軟硬件設備的選型、采購、發放和領用等過程進行規范化管理；c)應對終端計算機、工作站、便攜機、系統和網絡等設備的操作和使用進行規范化管理，按操作規程實現核心設備（涉及備份和冗余設備）的啟動/停止、加電/斷電等操作；d)應確保信息解決設備必須通過審批才干帶離機房或辦公地點。5網絡安全管理（G2）a)應指定人員對網絡進行管理，負責運行日志、網絡監控統計的日常維護和報警信息分析和解決工作；b)應建立網絡安全管理制度，對網絡安全配備、日志保存時間、安全方略、升級與打補丁、口令更新周期等方面作出規定；c)應根據廠家提供的軟件升級版本對網絡設備進行更新，并在更新前對現有的重要文獻進行備份；d)應定時對網絡系統進行漏洞掃描，對發現的網絡系統安全漏洞進行及時的修補；e)應對網絡設備的配備文獻進行定時備份；f)應確保全部與外部系統的連接均得到授權和同意。6系統安全管理（G2）a)應根據業務需求和系統安全分析擬定系統的訪問控制方略；b)應定時進行漏洞掃描，對發現的系統安全漏洞及時進行修補；c)應安裝系統的最新補丁程序，在安裝系統補丁前，應首先在測試環境中測試通過，并對重要文獻進行備份后，方可實施系統補丁程序的安裝；d)應建立系統安全管理制度，對系統安全方略、安全配備、日志管理和日常操作流程等方面作出規定；e)應根據操作手冊對系統進行維護，具體統計操作日志，涉及重要的日常操作、運行維護統計、參數的設立和修改等內容，嚴禁進行未經授權的操作；f)應定時對運行日志和審計數據進行分析，方便及時發現異常行為。7惡意代碼防備管理（G2）a)應提高全部顧客的防病毒意識，告知及時升級防病毒軟件，在讀取移動存儲設備上的數據以及網絡上接受文獻或郵件之前，先進行病毒檢查，對外來計算機或存儲設備接入網絡系統之前也應進行病毒檢查；b)應指定專人對網絡和主機進行惡意代碼檢測并保存檢測統計；c)應對防惡意代碼軟件的授權使用、惡意代碼庫升級、定時報告等作出明確規定。8密碼管理（G2）應使用符合國家密碼管理規定的密碼技術和產品。9變更管理（G2）a)應確認系統中要發生的重要變更，并制訂對應的變更方案；b)系統發生重要變更前，應向主管領導申請，審批后方可實施變更，并在實施后向有關人員通告。10備份與恢復管理（G2）a)應識別需要定時備份的重要業務信息、系統數據及軟件系統等；b)應規定備份信息的備份方式、備份頻度、存儲介質、保存期等；c)應根據數據的重要性及其對系統運行的影響，制訂數據的備份方略和恢復方略，備份方略指明備份數據的放置場合、文獻命名規則、介質替代頻率和數據離站運輸辦法。11安全事件處置（G2）a)應報告所發現的安全弱點和可疑事件，但任何狀況下顧客均不應嘗實驗證弱點；b)應制訂安全事件報告和處置管理制度，明確安全事件類型，規定安全事件的現場解決、事件報告和后期恢復的管理職責；c)應根據國家有關管理部門對計算機安全事件等級劃分辦法和安全事件對本系統產生的影響，對本系統計算機安全事件進行等級劃分；d)應統計并保存全部報告的安全弱點和可疑事件，分析事件因素，監督事態發展，采用方法避免安全事件發生。12應急預案管理（G2）a)應在統一的應急預案框架下制訂不同事件的應急預案，應急預案框架應涉及啟動應急預案的條件、應急解決流程、系統恢復流程、事后教育和培訓等內容；b)應對系統有關的人員進行應急預案培訓，應急預案的培訓應最少每年舉辦一次。配合需求配合項目需求闡明訪談訪問安全主管、資產管理員查看材料提供設備管理制度、系統安全有關管理制度有關統計、備份和恢復有關統計等整體測評本部分將對單項測評成果中的不符合項，從安全控制點間、層面間和區域間等方面對單元測評的成果進行驗證、分析和整體評價。項目進度進度計劃和輸出階段工作內容時間計劃階段輸出系統調查準備調查表1人/天2天等級保護測評資產調查表收集調查成果1人/天調查材料分析整頓項目準備起草項目計劃2人/天2天安全等級保護項目計劃書評審論證項目計劃分解評審論證測評準備準備實施手冊5人/天5天測評指導書信息系統安全等保保護測評方案系統定級報告準備測評統計表制訂測評方案系統定級報告撰寫現場測評準備委托書等現場文檔1人/天8天現場測評授權委托書、現場測評統計、測試計劃、測試報告現場測評7人/天統計測評成果報告起草材料核查整頓3人/天10天三系統的信息系統安全等級保護測評報告撰寫測評報告7人/天完畢備案將備案所需資料提交公安1人/天1天三系統的信息系統安全等級保護測評年度備案證明信息安全培訓準備培訓資料，進行信息安全專項培訓根據業主時間安排在項目完畢后進行1天培訓統計項目管理方案項目風險控制風險是一種不擬定的事件或條件，一旦發生，會對最少一種項目目的造成影響，如范疇、進度、成本和質量。項目風險控制是指項目組通過風險識別、風險分析、風險控制和風險監控等活動有效的將可能影響項目成功完畢的風險控制在可接受的水平范疇內，協助實施團體提高項目成功率的過程。本項目實施過程中重點控制下列五類風險：項目質量管理風險項目進度管理風險項目協作與溝通風險項目信息保密風險測評活動本身引入的風險項目質量風險控制為避免項目實施過程中，由于項目涉及人員比較多，因人員的工作態度、技術能力水平等因素可能造成工作產品存在缺點，不能滿足委托方的需求。另外，為避免不受控制的項目變更，涉及目的變更、范疇變更、人員變更、環境變更等等對項目質量的構成威脅。項目組將通過評審的方式和變更控制的方式確保項目質量。工作產品評審在項目實施中將由項目組資深專家并邀請委托方有關人員構成技術評審組對項目階段工作產品和最后交付的項目提交成果進行技術評審，嚴把質量關，確保有關工作產品在技術上的科學性、合理性和完備性，符合委托方的規定。具體內容參見“項目質量控制”章節。項目變更管理在項目執行過程中，將圍繞實施方案的維護為核心，對實施方案及其衍生文檔進行正規的變更控制管理。變更發生時，應立刻通報項目負責人和委托方并提交項目變更報告，項目組同時采用糾正方法。在雙方獲得一致意見后方可變更基準計劃，變更過程應做好變更統計。項目進度風險控制為避免項目實施過程中，由于資源安排等問題，項目進展狀況落后于進度計劃，難以確保項目按期完畢，項目組將對項目過程實施進度控制。1) 定時收集項目完畢狀況的數據，并將實際完畢狀況數據與計劃進度進行比較，一旦發現實際進程晚于計劃進程，項目負責人應立刻采用糾正方法；2) 分析項目變更的因素，評定項目變更對進度計劃的影響，對于變更引發的進度變化必須得到項目雙方確認后，方可更新基準計劃；3） 為應對各類突發事件或其它不可控外部因素對進度的影響，在項目組原有組員基礎上預備了足夠的后備人員，可快速投入項目工作。項目協作與溝通風險控制為避免項目實施過程中，項目組內部人員以及項目組與委托方關聯部門人員由于交流和溝通存在問題，造成人員關系沖突、工作目的偏差、并最后影響項目的有效實施，我公司將在項目期間加強溝通管理。1) 舉辦多個項目會議，重要形式涉及每七天/月例會、階段報告會、專項報告會、階段評審會議、問題討論會等，做好會議統計，及時整頓會議意見和建議并抄送有關人員。會議統計內容最少涉及：項目階段；會議議題；會議地點；會議時間；參加人員；會議內容；會議決策/結論；抄送范疇。2) 以周報和月報的形式定時提交項目進度報告（書面或郵件），報告項目進程，及時收集反饋信息；進度報告內容最少涉及：項目階段；報告時間；項目經理；本周/月完畢任務；進度與預定計劃的符合狀況；偏差影響、因素及應對方法（如有）；下周任務安排；與預定計劃的偏差闡明；需要特別注意的事項；備注：抄送范疇。3) 采用多個溝通方式，如建立項目構組員及協調聯系人通訊表，主動保持與委托方的關系。通訊表內容最少涉及：姓名；項目有關職責；單位及部門；辦公地址；辦公電話；移動電話；即時通訊帳號（MSN，QQ）；主電子郵箱；備用電子郵箱。項目信息保密風險控制本項目實施過程中會涉及委托方網絡拓撲構造、整體安全方略、安全設備布署和配備以及可能存在的安全缺點等敏感信息，如果人員保密意識不強，保密方法不到位等，可能會造成委托方的敏感信息被無意擴散或故意泄露，將對委托方帶來不良影響，甚至造成嚴重損失。項目實施中將采用有效方法加強信息保密風險控制。人員保密管理項目組全體人員應恪守國家有關法律、法規以及上級單位和我公司的各項安全保密制度與規定；全體人員在項目實施過程中，加強保密意識，明確保密責任，嚴格貫徹各項安全保密方法；保密監督管理崗位負責人負責整個項目期間的保密和安全管理工作，監督管控方法的貫徹，消除可能的安全隱患，確保項目的順利完畢。設備保密管理我公司特配備專用設備和工具，并設定專門的領用手續。項目參加人員上崗工作前辦理設備領用，工作結束后及時辦理償還手續；測評設備和工具必須進行標記，非項目人員不得在項目期間使用帶有標記的設備和工具；項目構組員所用設備和工具必須設立強密碼，保密管理崗位負責人每七天做定時驗證；臨時存儲設備（U盤）由負責人專門保管，項目期間不得外借，每次數據拷貝后，必須做好格式化。文檔保密管理保密管理范疇：委托方的敏感文獻、資料和信息，評定中獲取的數據信息；項目過程中產生的工作產品和統計。對文獻資料設專柜統一編號，并設專人保管；嚴格辦理文獻資料和信息的借閱手續，閱覽后及時償還；保密文獻資料和信息應在委托方的監督下閱覽，閱覽后及時償還；文獻資料和信息的復印、打印，需辦理審批手續，并嚴格做好統計；不復制、運用以及向任何單位和個人透露委托方的文獻資料和信息，以及評定中獲取的數據信息；測評活動本身引入的風險控制為了避免工作實施過程中引入新的安全風險，我公司將在風險揭示、工具驗證、持續性考慮等方面進行風險規避。風險揭示項目組將在測評方案或授權書中對安全風險進行闡明，協助委托方明確評定工作可能對目的系統造成的不良影響，從而能夠及時、有針對性的做好數據備份、應急方案等準備工作。工具驗證為減少測評工具對目的系統的不良影響，我公司對選用的測試工具在仿真環境中進行安全性測試和驗證，確認其不會引入新的安全風險。持續性考慮漏洞掃描和滲入測試可能減少目的系統的性能，甚至破壞系統的持續性。因此，上述評定活動選擇在目的系統服務壓力較輕的時間段實施，從而將潛在的不良影響減少到最低。驗收安排驗收條件提供的安全等級保護測評服務符合雙方共同承認的規定。驗收時間項目全部完畢后進行項目驗收。驗收方式服務提供商須在驗收前一種月初步提交測評報告，甲方可根據合同、工作需求書和有關規定進行審查，經雙方確認后作為驗收根據；驗收合格，雙方訂立驗收報告。與項目有關的全部技術資料，在最后驗收前必須由服務提供商完整移交給甲方。測評服務驗收報告測評服務項目名稱：測評服務合同編號：測評服務公司名稱：測評服務人員名單：1.服務成果移交(附清單)移交形式接受人軟件產品、程序代碼軟件開發及管理文檔有關技術資料其它有關文獻2.服務質量考核1234不滿意普通滿意非常滿意服務人員技術能力服務人員業務知識能力服務人員工作成果和質量服務公司售后服務質量服務公司履約能力及體現驗收結論：甲方考核小組組長簽名：甲方考核小構組員簽字：甲方考核評價部門領導簽字：甲方考核評價部門公章：乙方代表簽字：乙方簽章：技術服務保密合同我方將在服務過程中和甲方訂立保密合同，保密合同模板提供以下：甲方：授權代表人：住所：郵編：聯系電話：乙方：住所：郵編：聯系電話：鑒于乙方作為技術服務人員參加甲方外協服務項目，經雙方協商一致，就乙方承當的保密及權利擔保義務達成下列合同。第一條保密信息1.合同所指的保密信息是指乙方通過任何方式接觸或知悉的甲方有關信息（但第二條規定的非保密信息除外），以及雖屬于第三方但甲方承當保密義務的技術秘密和其它保密信息。2.該等保密