计算机机房安全等级测评内容.doc

《计算机机房安全等级测评内容.doc》由会员分享，可在线阅读，更多相关《计算机机房安全等级测评内容.doc（41页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、【精品文档】如有侵权，请联系网站删除，仅供学习与交流计算机机房安全等级测评内容.精品文档.计算机机房安全等级测评内容1、物理安全1.1结果记录根据该系统物理安全备测评对象的单项测评结果，可以判定得出物理安全层面测评指标的测评结论，具体如下表所示：类别测评内容结果记录符合情况物理位置的选择机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内1、珠海市金湾区高栏港经济区行政服务中心口岸大楼三楼 ；2、机房所在建筑为3楼，非高层和地下室，楼层共6层；3、机房具有七级防震、防风和防雨等能力。符合物理访问控制机房出入口应安排专人值守，控制、鉴别和记录进入的人员1、机房出入口有电子门禁系统，能够自动记

2、录进入人员身份信息；2、机房外为办公区域。符合需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围1、 对机房进出人员进行身份鉴定，来访人员由专人陪同，并限制活动范围。2、 机房内未部署视频监控系统。部分符合防盗窃和防破坏应将主要设备放置在机房内被测系统相关的网络设备、安全设备放置于此机房内。符合应将设备或主要部件进行固定，并设置明显的不易除去的标记1、网络设备、安全设备均固定放置在相应机柜；2、网络设备、安全设备没有黏贴相应标签；3、网络线缆没有黏贴相应的标签。部分符合应将通信线缆铺设在隐蔽处，可铺设在地下或管道中1、通信线缆铺设在地下或管道等隐蔽处中；2、通信线缆铺设整齐。符合

3、应对介质分类标识，存储在介质库或档案室中1、介质统一存放于保密局，由保密局统一处理；2、巡检记录等纸质介质由专人负责存储。符合主机房应安装必要的防盗报警设施机房未部署防盗报警设施，机房所在大楼每一出口有视频监控系统，大楼保安每四小时巡查一次。部分符合防雷击机房建筑应设置避雷装置1、 机房所在建筑设置地网，每2年检查一次；2、 机房所在楼层设有防雷器；3、 机房内有强电防雷设置。符合机房应设置交流电源地线机房已设置交流等电位铜排。符合防火机房应设置灭火设备和火灾自动报警系统。1、机房未设置消防自动报警系统；2、机房门口没有配置二氧化碳灭火器。不符合防水和防潮水管安装，不得穿过机房屋顶和活动地板下

4、机房内没有穿过屋顶和活动地板下的水管。符合应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透1、机房靠中间过道有窗户、所在3楼非在顶楼和地下层，可防止墙壁渗透；2、机房未发现有漏水、渗透和返潮的现象出现。符合应采取措施防止机房内水蒸气结露和地下积水的转移与渗透1、机房没有配置机房环境监控系统（监控防水和防潮）；不符合防静电关键设备应采用必要的接地防静电措施机房均采用防静电地板铺设。符合温湿度控制机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内1、机房范围部署1台普通空调,并设定了固定温度，不具备恒湿功能；2、机房缺少机房环境监控设备，无法对温湿度进行控制。不符合电力供

5、应应在机房供电线路上配置稳压器和过电压防护设备1、机房已配置1套APC 6KVA UPS设备；2、UPS对区域设备进行供电。符合应提供短期的备用电力供应，至少满足关键设备在断电情况下的正常运行要求1、机房已配置1套APC 6KVA UPS设备，可提供后备2个小时；符合电磁防护电源线和通信线缆应隔离铺设，避免互相干扰1、通信线缆和电源线缆分开隔离铺设；2、通信线缆和电源线缆铺设整齐；3、机房强电线缆铺设隐蔽。符合1.1.1 结果汇总物理安全测评结果汇总和统计表测评项符合部分符合不符合不适用物理位置的选择1000物理访问控制1100防盗窃和防破坏3200防雷击2000防火0010防水和防潮2010

6、防静电1000温湿度控制0010电力供应2000电磁防护10001.1.2 问题分析根据现场测评记录结果和上表的统计，信息系统在物理安全方面采取的安全保护措施和存在的主要问题如下：1、物理访问控制：机房内未部署视频监控系统。2、防盗窃和防破坏：网络设备、安全设备、通信线缆均没有黏贴相应的且不易除去的标签；机房内未部署防盗报警系统。3、防火：机房内未部署消防自动报警系统和灭火器。4、温湿度控制：更换普通空调，采用精密空调，同时部署机房环境监控系统。1.2网络安全1.2.1结果记录根据该系统网络安全备测评对象的单项测评结果，可以判定得出网络安全层面测评指标的测评结论，具体如下表所示：1.2.1.1

7、网络全局类别测评内容结果记录符合情况结构安全应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要1、 汇聚交换机资源使用率：CPU 1%，内存10%11%；符合应保证接入网络和核心网络的带宽满足业务高峰期需要1、与电子政务外网的出口为100M带宽，满足业务高峰的需求。符合应绘制与当前运行情况相符的网络拓扑结构图当前网络拓扑与实际情况相符。符合应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段未按照业务功能以及部门办公划分多个vlan。 不符合访问控制应在网络边界部署访问控制设备，启用访问控制功能各网络

8、出口没有部署防火墙作为访问控制设备，无法启用其访问控制策略。不符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级没有访问控制设备无法明确的源 IP 地址和目的IP地址。不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户没有拨号上网用户。不适用应限制具有拨号访问权限的用户数量没有拨号上网用户。不适用边界完整性检查应能够对内部网络中出现的内部用户未通过准许私自联到外部网络的行为进行检查没有部署安全审计系统。不符合入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP

9、碎片攻击和网络蠕虫攻击等核心区域没有部署入侵检测系统和WAF防火墙，无法监视网络入侵行为和WEB服务的入侵行为。不符合1.2.1.2汇聚交换机类别测评内容结果记录符合情况访问控制应在网络边界部署访问控制设备，启用访问控制功能各网络出口没有部署防火墙作为访问控制设备，无法启用其访问控制策略。不符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级没有访问控制设备无法明确的源 IP 地址和目的IP地址。不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户没有拨号上网用户。不适用应限制具有拨号访问权限的用户数量没有拨号上网用户

10、。不适用安全审计应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录1、 已开启设备自带日志审计功能；2、 未对用户的行为进行审计。部分符合审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息审计记录包含设备审计相关信息。符合网络设备防护应对登录网络设备的用户进行身份鉴别网络设备采用用户名+密码的方式进行登录。符合应对网络设备的管理员登录地址进行限制未限制网络设备的管理员登录地址。不符合网络设备用户的标识应唯一网络设备管理员只有一位，网络设备用户的标识唯一。符合身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换设备现有用户口令由字母组成

11、，不符合复杂度要求，未定期更换。不符合应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施1、未配置登录失败处理策略；不符合当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听网络设备不允许远程管理，采用本地Console管理。符合1.2.2结果汇总网络全局安全测评结果汇总和统计表测评项符合部分符合不符合不适用结构安全3010访问控制0022边界完整性检查0010入侵防范0010汇聚交换机安全测评结果汇总和统计表测评项符合部分符合不符合不适用访问控制0022安全审计1100网络设备防护30301.2.3问题分析根据现场测评记录结果和

12、上表的统计，信息系统在网络安全方面采取的安全保护措施和存在的主要问题如下：1、结构安全：未按照业务功能以及部门办公划分多个vlan，需要部署防火墙、WAF防火墙、入侵检测设备和安全审计系统。2、网络设备防护：汇聚交换机均未限制管理员的登录地址；汇聚交换机现有用户口令由字母组成，不符合复杂度要求，未定期更换；交换机虽开启的日志审计功能，但未对用户的行为进行审计。日常执行远程管理时，汇集交换机未配置登录失败处理策略，未能有效阻止非法登陆。1.3主机安全1.3.1结果记录根据该系统主机安全测评对象的单项测评结果，可以判定得出主机安全层面测评指标的测评结论，具体如下表所示：1.3.1.1信息系统服务器

13、（IP:192.168.70.252）类别测评内容结果记录符合情况身份鉴别应对登录操作系统和数据库系统的用户进行身份标识和鉴别登录操作系统采用用户名+密码方式认证。符合操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换1、 操作系统：系统未启用密码复杂度配置策略，密码最短使用长度期限为42天，密码最长使用期限为0天，现有操作系统登录用户名为administrator，密码由数字+字母组成，长度8位以上，一季度更换一次；部分符合应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施操作系统未设置登录失败处理策略。不符合当对服务器进行远程管理

14、时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听系统采用远程桌面登录，可防止鉴别信息在网络传输过程中被窃听。符合应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作系统有Administrator账号和TOONE管理用户。符合访问控制应启用访问控制功能，依据安全策略控制用户对资源的访问系统合理控制访问权限，限制普通用户组对重要文件的访问。符合应实现操作系统和数据库系统特权用户的权限分离操作系统和数据库系统特权用户的权限分离。符合应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令1、 操作系统采用默认用户administrator,未重命名。2、

15、系统已禁止GUEST用户。部分符合应及时删除多余的、过期的帐户、避免共享帐户的存在1、 不存在多余、过期的账号；2、 已避免共享账户的存在。符合安全审计审计范围应覆盖到服务器上的每个操作系统用户和数据库用户系统上已开启日志记录功能，操作系统未配置对账户登录事件进行审核。部分符合审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件系统未配置审核策略，无法对相关事件进行审核。不符合审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等系统未配置审核策略不符合应保护审计记录，避免受到未预期的删除、修改或覆盖等1、日志仅管理员权限方可删除；2、系统日志

16、未定期导出保存；3、没有部署第三方日志服务器保存日志信息，避免受到未预期的删除、修改或覆盖等。部分符合入侵防范操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新1、系统遵循最小安装，但未及时更新系统补丁；部分符合恶意代码防范应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库操作系统已部署MCAFEE杀毒软件（企业版）。符合应支持防恶意代码软件的统一管理操作系统已部署MCAFEE杀毒软件（企业版）。符合资源控制应通过设定终端接入方式、网络地址范围等条件限制终端登录服务器通过远程桌面的方式进行远程管理，但未限制终端登录地址。部分

17、符合应根据安全策略设置登录终端的操作超时锁定已设置登录终端的操作超时锁定为10分钟。符合应限制单个用户对系统资源的最大或最小使用限度系统用户数量少，目前cpu使用1%，内存使用25%，满足用户对系统资源的需求。符合1.3.1.2数据库服务器（IP:192.168.70.102）类别测评内容结果记录符合情况身份鉴别应对登录操作系统和数据库系统的用户进行身份标识和鉴别登录操作系统和数据库系统采用用户名+密码方式认证。符合操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换1、 操作系统：系统未启用密码复杂度配置策略，密码最短使用长度期限为42天，密码最长使用期限

18、为0天，现有操作系统登录用户名为administrator，密码由数字+字母组成，长度8位以上，一季度更换一次；2、 数据库系统：未启用密码复杂度配置策略，未设定定期更换及密码长度要求，现已重命名默认登录用户名，口令为4位字母，不符合密码复杂度要求。部分符合应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施操作系统及数据库管理系统未设置登录失败处理策略。不符合当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听系统采用远程桌面登录，可防止鉴别信息在网络传输过程中被窃听。符合应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作

19、系统只有一个Administrator账号，数据库系统只有一个超级管理员账号。符合访问控制应启用访问控制功能，依据安全策略控制用户对资源的访问系统合理控制访问权限，限制普通用户组对重要文件的访问。符合应实现操作系统和数据库系统特权用户的权限分离操作系统和数据库系统特权用户的权限分离。符合应限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令1、 操作系统采用默认用户administrator,未重命名。2、系统已禁止GUEST用户。部分符合应及时删除多余的、过期的帐户、避免共享帐户的存在1、 不存在多余、过期的账号；2、 已避免共享账户的存在。符合安全审计审计范围应覆盖到服务器上

20、的每个操作系统用户和数据库用户操作系统上的开启日志记录功能，但未配置审核策略，同时数据库系统未开启审核功能。不符合审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件系统未配置审核策略。不符合审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等系统未配置审核策略。不符合应保护审计记录，避免受到未预期的删除、修改或覆盖等1、日志仅管理员权限方可删除；2、系统日志未定期导出保存；3、没有部署第三方日志服务器保存日志信息，避免受到未预期的删除、修改或覆盖等。部分符合入侵防范操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务

21、器等方式保持系统补丁及时得到更新1、系统遵循最小安装，但未及时更新系统补丁；部分符合恶意代码防范应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库操作系统已部署MCAFEE杀毒软件（企业版）。符合应支持防恶意代码软件的统一管理操作系统已部署MCAFEE杀毒软件（企业版）。符合资源控制应通过设定终端接入方式、网络地址范围等条件限制终端登录服务器远程桌面的登录方式，但是未限制终端登录地址。部分符合应根据安全策略设置登录终端的操作超时锁定已设置登录终端的操作超时锁定为15分钟。符合应限制单个用户对系统资源的最大或最小使用限度系统用户数量少，满足用户对系统资源的需求。符合1.3.2结果汇总

22、信息系统服务器安全测评结果汇总和统计表测评项符合部分符合不符合不适用身份鉴别3110访问控制3100安全审计0220入侵防范0100恶意代码防范2000资源控制2100数据库服务器安全测评结果汇总和统计表测评项符合部分符合不符合不适用身份鉴别3110访问控制3100安全审计0130入侵防范0100恶意代码防范2000资源控制21001.3.3问题分析根据现场测评记录结果和上表的统计，信息系统在主机安全方面采取的安全保护措施和存在的主要问题具体如下：1、 身份鉴别：未启用密码复杂度检查功能，未启用定期更换密码功能；未启用登录失败处理功能。 2、 安全审计：服务器仅开启了默认的审核策略（用户登录信

23、息），日志信息没有定期保存，易受到未预期的删除、修改或覆盖等。同时数据库缺少第三方审计系统保证无法保证数据不受篡改。3、 资源控制：未限制可远程管理服务器的终端登录地址。1.4应用安全1.1.1结果记录根据该系统应用安全备测评对象的单项测评结果，可以判定得出应用安全层面测评指标的测评结论，具体如下表所示：类别测评内容结果记录符合情况身份鉴别应提供专用的登录控制模块对登录用户进行身份标识和鉴别1、系统为B/S架构管理，通过珠海市网上办事大厅统一认证平台对登录用户进行身份标识和鉴别；2、身份鉴别通过账户名+密码的登录方式。符合应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复

24、用户身份标识，身份鉴别信息不易被冒用1、经检查系统用户身份标识唯一，不存在重复用户身份标识。符合应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施1、系统未提供登录失败处理功能和限制登录超时时间。不符合应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数1、身份鉴别通过账户名+密码的登录方式，用户身份标识唯一；2、系统未提供鉴别信息复杂度控制功能。通过珠海市网上办事大厅统一认证平台标识唯一性；3、未提供登录失败处理功能。部分符合访问控制应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问1、系统

25、提供访问控制功能；2、依据不同类的用户操作需求分配不同的访问权限，新建用户需先指定组织机构，无默认用户。符合访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作1、应用系统的访问控制依据不同类用户的操作需求，控制其可以访问的功能模块；2、角色权限限制了账号可查看和操作的模块内容。符合应由授权主体配置访问控制策略，并严格限制默认账户的访问权限1、授权超级管理员配置访问控制策略；2、不存在默认账户。符合应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系应用系统管理模块用户各自承担任务所需的最小权限，并形成相互制约的关系，实现最小化权限配置。符合安全审计应提

26、供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计系统未提供审计功能；不符合应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录系统未提供审计功能；不符合审计记录的内容至少应包括事件日期、时间、发起者信息、类型、描述和结果等系统未提供审计功能；不符合通信完整性应采用校验码技术保证通信过程中数据的完整性无校验码技术不符合通信保密性在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证无会话初始化验证不符合应对通信过程中的敏感信息字段进行加密无加密通讯不符合软件容错应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求1、系统设计

27、有保证软件容错能力的措施；2、系统对输入的数据进行长度控制，使其符合业务要求；符合在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施1、在故障发生时，应用系统能够继续提供一部分功能，确保能够实施必要的措施；2、无业务关联模块基本分离，某个子模块出现故障不影响其他模块的正常工作。符合资源控制当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话服务端对会话超时有时间限制符合应能够对应用系统的最大并发会话连接数进行限制可以限制应用系统的最大并发会话连接数，目前未开启限制。部分符合应能够对单个账户的多重并发会话进行限制可以对单个账户的多重并发会话进行限制，

28、但目前未开启限制。部分符合1.1.1结果汇总针对不同测评指标子类对应用安全的单项测评结果进行汇总和统计。测评项符合部分符合不符合不适用身份鉴别2110访问控制4000安全审计0030通信完整性0010通信保密性0020软件容错2000资源控制12001.1.1问题分析根据现场测评记录结果和上表的统计，信息系统在应用安全方面采取的安全保护措施和存在的主要问题具体如下：1、身份鉴别：应用系统未限制登录超时时间。 2、安全审计：应用系统需具有安全审计功能，审计记录包括事件日期、时间、发起者信息、类型、描述和结果等3、数据完整性：应用系统通信过程中应采用校验码技术保证通信过程中数据的完整性。4、通信保

29、密性：利用密码技术进行会话初始化验证、应用系统通信过程需采用密文传输方式。5、资源控制：应用系统应启用对会话超时进行限制；应启用限制应用系统的最大并发会话连接数；应启用对单个账户的多重并发会话进行限制。1.4数据安全及备份恢复根据该系统应用安全备测评对象的单项测评结果，可以判定得出数据安全及备份恢复层面测评指标的测评结论，具体如下表所示：1.1.1结果记录类别测评内容结果记录符合情况数据完整性应能够检测到鉴别信息和重要业务数据在传输过程中完整性受到破坏1、网络设备不允许远程管理，采用本地Console管理。2、应用系统采用市局的PKI认证技术，确保传输数据的完整性。符合数据保密性应采用加密或其

30、他保护措施实现鉴别信息的存储保密性1、应用系统未采用加密技术；2、网络设备不允许远程管理；3、主机采用远程桌面的连接方式；4、数据备份的存储采用加密技术实现保存；5、网络、主机配置的备份未采用加密技术实现保存。部分符合备份和恢复应能够对重要信息进行备份和恢复1、 采用移动介质，每周对数据库进行一次全量备份；2、 能对重要信息进行恢复。符合应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性关键网络设备、通信线路和服务器设备没有提供硬件冗余。不符合1.1.1结果汇总针对不同测评指标子类对数据安全及备份恢复的单项测评结果进行汇总和统计。测评项符合部分符合不符合不适用数据完整性10

31、00数据保密性0100备份和恢复10101.1.1问题分析根据现场测评记录结果和上表的统计，信息系统在应用安全方面采取的安全保护措施和存在的主要问题具体如下： 1、 数据保密性：应用系统未采用加密技术，网络、主机配置的备份未采用加密技术实现保存。2、 备份和恢复：关键网络设备、通信线路和服务器设备没有提供硬件冗余。1.4安全管理制度1.1.1结果记录类别测评内容结果记录符合情况管理制度应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等统筹发展局机房管理制度和操作规范明确信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架。符

32、合应对安全管理活动中重要的管理内容建立安全管理制度已对安全管理活动中重要的管理内容建立安全管理制度。符合应对安全管理人员或操作人员执行的重要管理操作建立操作规程已制定日常管理操作的操作规程，但不够完善。部分符合制定和发布应指定或授权专门的部门或人员负责安全管理制度的制定由行政服务中心负责具体的制度制定。符合应组织相关人员对制定的安全管理制度进行论证和审定由行政服务中心组织相关的人员对制定的安全管理制度进行论证和审定。符合应将安全管理制度以某种方式发布到相关人员手中安全管理制度以电子版或纸质方式发布。符合评审和修订应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订行政服务中

33、心不定期对安全管理制度进行检查和审定，并对存在不足或需要改进的安全管理制度进行修订。符合4.4.1 结果汇总针对不同测评指标子类对安全管理制度的单项测评结果进行汇总和统计。测评项符合部分符合不符合不适用管理制度2100制定和发布3000评审和修订10004.4.2 问题分析根据现场测评记录结果和上表的统计，在安全管理制度方面采取的安全保护措施和存在的主要问题具体如下：1、管理制度：目前建立的日常管理操作的操作规程不够全面。4.5 安全管理机构4.5.1 结果记录类别测评内容结果记录符合情况岗位设置应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责统筹发展局机房管理制度和操作规范

34、明确规定设立专门的信息安全管理机构，设立岗位匹配的安全管理员及安全主管职责。符合应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责1、行政服务中心有设立了安全管理员、网络管理员、机房管理员、主机系统管理员和数据库管理等岗位；符合人员配备应配备一定数量的系统管理员、网络管理员、安全管理员等配备安全管理员、网络管理员、机房管理员、主机系统管理员和数据库管理员等岗位，为不同业务系统分配不同应用管理员。 符合安全管理员不能兼任网络管理员、系统管理员、数据库管理员等安全管理员与网络管理员、系统管理员等不是同一人员。符合授权和审批应根据各个部门和岗位的职责明确授权审批部门及批准人，对

35、系统投入运行、网络系统接入和重要资源的访问等关键活动进行审批系统投入运行、网络系统接入和重要资源的访问等关键活动由信息中心主任负责审批，有审批记录。符合应针对关键活动建立审批流程，并由批准人签字确认关键活动都有审批流程，由信息中心主任批准，但缺少纸质文件。部分符合沟通和合作应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通由信息中心组织会议每周进行交流和沟通。符合应加强与兄弟单位、公安机关、电信公司的合作与沟通加强与兄弟单位、公安机关、电信公司的合作沟通。符合审核和检查安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况安全管理员每周进

36、行检查，检查内容包括系统日常运行、数据备份情况，及时检查系统漏洞并升级。符合4.5.2 结果汇总 针对不同测评指标子类对安全管理机构的单项测评结果进行汇总和统计。测评项符合部分符合不符合不适用岗位设置2000人员配备2000授权和审批1100沟通和合作2000审核和检查10004.5.3 问题分析根据现场测评记录结果和上表的统计，在安全管理机构采取的安全保护措施和存在的主要问题具体如下：1、授权和审批：关键活动建立审批流程，同时需要有相关文件记录。4.6 人员安全管理4.6.1 结果记录类别测评内容结果记录符合情况人员录用应指定或授权专门的部门或人员负责人员录用人事处负责人员录用，需经过考核后

37、才能录用。符合应规范人员录用过程，对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核对被录用人员的身份、背景和专业资格等进行审查，对其所具有的技术技能进行考核。符合应与从事关键岗位的人员签署保密协议1、内部人员均签署保密协议；2、与外单位、外单工作人员单独签署保密协议。符合人员离岗应规范人员离岗过程，及时终止离岗员工的所有访问权限有规范人员离岗过程，及时终止离岗员工的所有访问权限。符合应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备规定人员离岗时需取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备，人员离岗的手续均有记录。符合应办理严格的调离手续人员离岗时办

38、理严格的调离手续。符合人员考核应定期对各个岗位的人员进行安全技能及安全认知的考核有不定期对各岗位的人员进行安全技能及安全认知的考核，大概每季度一次。符合安全意识教育和培训应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训相关部门未组织安全知识培训。不符合应告知人员相关的安全责任和惩戒措施，并对违反违背安全策略和规定的人员进行惩戒未明确相关人员的安全责任和惩戒措施内容。不符合应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训相关部门未组织安全知识培训。不符合外部人员访问管理应确保在外部人员访问受控区域前得到授权或审批，批准后由专人全程陪同或监督，并登记备案1、外部人员

39、访问受控区域需经过授权或审批；2、外部人员访问受控区域需要专人全程陪同或监督。符合4.6.2 结果汇总针对不同测评指标子类对人员安全管理的单项测评结果进行汇总和统计。测评项符合部分符合不符合不适用人员录用3000人员离岗3000人员考核1000安全意识教育和培训1030外部人员访问管理10004.6.3 问题分析根据现场测评记录结果和上表的统计，信息系统在人员安全管理方面采取的安全保护措施和存在的问题具体如下:1、安全意识教育和培训：未定期对相关人员进行安全知识培训，同时未明确告知相关人员的安全责任和惩戒措施内容。4.7 系统建设管理4.7.1 结果记录类别测评内容结果记录符合情况系统定级应明

40、确信息系统的边界和安全保护等级行政服务中心已明确了信息系统的边界和安全保护等级。符合应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由1、已完成定级报告的编制；2、已完成定级备案表的编制。符合应确保信息系统的定级结果经过相关部门的批准1、定级报告及备案表已通过局领导批准；2、信息系统的定级结果未递交市网监批准。部分符合安全方案设计应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施。1、根据市局下发通知及相关规定，对系统保护等级进行补充及调整。2、信息系统属已建系统，尚未根据系统的安全保护等级制定安全方案。不适用应以书面形式描述对系统的安全保护要求、策略和措

41、施等内容，形成系统的安全方案1、根据市局下发通知及相关规定，对系统保护等级进行补充及调整。2、根据市局下发通知及相关规定，以书面形式描述对系统的安全保护要求、策略和措施等内容。3、信息系统属已建系统，尚未根据系统的安全保护等级制定安全方案。不适用应对安全方案进行细化，形成能指导安全系统建设、安全产品采购和使用的详细设计方案1、信息系统属已建系统，尚未根据系统的安全保护等级制定安全方案。不适用应组织相关部门和有关安全技术专家对安全设计方案的合理性和正确性进行论证和审定，并且经过批准后，才能正式实施1、 遵循市局下发通知及相关规定，由行政服务中心负责实施。2、 信息系统属已建系统，尚未根据系统的安

42、全保护等级制定安全方案。不适用产品采购和使用应确保安全产品采购和使用符合国家的有关规定按照政府采购和市局采购流程对进行安全产品进行选型、采购。符合应确保密码产品采购和使用符合国家密码主管部门的要求所使用的密码产品的采购和使用都符合国家密码主管部门的要求。符合应指定或授权专门的部门负责产品的采购1、由行政服务中心负责产品的采购；2、通过招标、多方询价等方式进行采购。符合自行软件开发应确保开发环境与实际运行环境物理分开系统由第三方单位开发，开发环境与实际运行环境物理分开。符合应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则有相关制度说明开发过程的控制方法和人员行为准则。符合应确保提

43、供软件设计的相关文档和使用指南，并由专人负责保管有提供软件设计的相关文档和使用指南，并有专人负责保管。符合外包软件开发应根据开发要求检测软件质量交付的系统有进行多种测试来检测其软件质量。符合应确保提供软件设计的相关文档和使用指南系统开发商有提供相关文档和使用手册。符合应在软件安装之前检测软件包中可能存在的恶意代码在软件安装之前有进行多种检测，包括代码检查，攻击测试等检测是否存在恶意代码。符合应要求开发单位提供软件源代码，并审查软件中可能存在的后门1、第三方公司未提供源代码；2、软件源代码未审查软件中可能存在的后门。不符合工程实施应指定或授权专门的部门或人员负责工程实施过程的管理由行政服务中心负责项目实施过程的管理，集成商负责具体的项目工作。符合应制定详细的工程实施方案，控制工程实施过程编制工程实施方案。符合测试验收应对系统进行安全性测试验收系统在正式运行之前