医疗行业等级保护测评解读23939.pptx

《医疗行业等级保护测评解读23939.pptx》由会员分享，可在线阅读，更多相关《医疗行业等级保护测评解读23939.pptx（49页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 深圳市信息安全测评中心深圳市信息安全测评中心医疗行业等级保护测评解读深圳市信息安全测评中心 邱建中2009年7月30日1 深圳市信息安全测评中心深圳市信息安全测评中心 医疗行业等级保护测评解读l等级测评概述等级测评概述l等级测评的内容等级测评的内容l等级测评的流程和方法等级测评的流程和方法l医疗行业信息安全现状和测评重点医疗行业信息安全现状和测评重点l关于测评机构关于测评机构2 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述政策背景政策背景一、政策背景一、政策背景国家全面推行信息安全等级保护制度国家全面推行信息安全等级保护制度20072007年年6 6月月，公公安安部部、国国家家保

2、保密密局局、国国家家密密码码管管理理局局、国国务务院院信信息息化化工工作作办办公公室室联联合合发发布布信信息息安安全全等等级级保保护护管管理理办办法法（公公通通字字200720074343号号），在在全全社社会会范范围围推推行行“信信息息安安全全等等级级保保护护”政策。政策。等等级级保保护护工工作作是是信信息息安安全全工工作作的的基基本本制制度度，是是维维护护国国家家信信息息安安全的根本全的根本保障，是国家意志的体现。保障，是国家意志的体现。根根据据信信息息安安全全等等级级保保护护管管理理办办法法规规定定，信信息息系系统统运运营营、使使用用单单位位在在进进行行信信息息系系统统备备案案后后，都都

3、应应当当选选择择测测评评机机构构进进行行等等级级测评。测评。深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述什么是等级测评什么是等级测评二、什么是等级测评？二、什么是等级测评？等级测评是等级测评是测评机构测评机构依据依据国家信息安全等级保国家信息安全等级保护制度护制度规定规定，受有关单位，受有关单位委托委托，按照，按照有关有关管理规范管理规范和技术标准和技术标准，对，对信息系统安全等级保护状况信息系统安全等级保护状况进行检进行检测评估的活动。测评估的活动。深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述为何要开展等级测评为何要开展等级测评三、为什么要开展等级测评工作？三、为什么

4、要开展等级测评工作？1 1、等级测评是保证等级保护国家政策得到切实落实的重要保证、等级测评是保证等级保护国家政策得到切实落实的重要保证 推行等级保护的目的是：促进运营和使用单位改造加固信息系统，确保信息系统达到相应等级的安全基本要求，取得相应等级的基本安全保护能力。系统是否满足相应等级的基本要求成为问题的关键；等级测评是依据信息系统安全等级保护测评要求等技术标准，确定信息系统安全保护能力是否达到相应等级基本要求的过程，是落实信息安全等级保护制度的关键步骤。如果不开展等级测评，等级保护这项国家政策将无法落地。2 2、等级测评对等级保护其他环节和等级保护整体工作成效具有决定性影响、等级测评对等级保

5、护其他环节和等级保护整体工作成效具有决定性影响 等级保护包含：定级、备案、测评、建设整改、监督检查5个环节，每个环节环环相扣；等级测评结果是建设整改、监督检查的关键依据。等级测评对系统经过等级保护之后最终能够达到什么样的安全防护能力具有决定性影响，对等级保护工作的实际成效具有决定性影响。5 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述为何要开展等级测评为何要开展等级测评三、为什么要开展等级测评工作？三、为什么要开展等级测评工作？3 3、等级测评独特的技术裁决性质，决定了等级测评工作不可替代性、等级测评独特的技术裁决性质，决定了等级测评工作不可替代性 等级测评依据的是国家技术标准，落

6、实的是国家信息安全政策，等级测评的结果是国家信息安全监管部门依法行使监督、检查管理的技术依据，具有明显的技术权威评判性质。因此，作为一项政策性很强的技术专业化活动，等级测评必须保证强烈的独立性、客观性和公正性，等级测评必须严格区别于任何商业化的测试、评估活动，不能为商业性测评所取代。6 深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述政策解读政策解读四、等级测评相关政策要求解读四、等级测评相关政策要求解读信息安全等级保护管理办法信息安全等级保护管理办法规定：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据信息系统安全等级保护测评要求等技术标准，

7、定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。信息安全等级保护测评机构能力规范（征求意见稿）信息安全等级保护测评机构能力规范（征求意见稿）规定：测评机构应当按照有关规定和统一标准提供“客观、公正、安全”的测评服务，按照统一的测评报告模板出具测评报告。测评机构不得从事下列活动：a)承担信息系统安全建设整改工作；b)将等级测评任务分包、外包；c)从事信息安全产品开发、营销和信息系统集成活动；d)限定被测评单位购买、使用其指定的信息安全产品；e)未经许可占有、使用有关测

8、评信息、资料及数据文件;f)其他可能影响测评客观、公正的活动。深圳市信息安全测评中心深圳市信息安全测评中心等级测评概述政策解读政策解读政策解读：政策解读：1.1.测评依据：测评依据：信息系信息系统安全等安全等级保保护测评要求要求等技等技术标准准2.2.测评性质：符合性测评，符标测试测评性质：符合性测评，符标测试3.3.测评对象：已经定级的信息系统测评对象：已经定级的信息系统4.4.测评频率：测评频率：三三级系系统，每年至少一次；四，每年至少一次；四级系系统，每半年至少一次，每半年至少一次5.5.测评管理要求：强制性周期开展测评管理要求：强制性周期开展6.6.测评技术要求：等级化进行测评技术要求

9、：等级化进行-不同级别的系统测评要求不同不同级别的系统测评要求不同7.7.测评发起单位：主管部门，运维、使用单位，国家信息安全监管部门测评发起单位：主管部门，运维、使用单位，国家信息安全监管部门8.8.测评报告利用：测评报告整改加固指导性文件，也是系统备案附件测评报告利用：测评报告整改加固指导性文件，也是系统备案附件9.9.测评机构要求：测评机构要求：公安机关同意备案或授权且不从事系统安全整改建设公安机关同意备案或授权且不从事系统安全整改建设产品开发与营销等影响产品开发与营销等影响“客观、公正、安全客观、公正、安全”的工作。的工作。8 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容

10、十个方面十个方面业务安全业务安全物理安全物理安全技术要求技术要求管理要求管理要求基本要求基本要求网络安全网络安全主机安全主机安全应用安全应用安全数据安全数据安全安全管理机构安全管理机构安全管理制度安全管理制度人员安全管理人员安全管理系统建设管理系统建设管理系统运维管理系统运维管理 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容物理位置选择物理位置选择物理安全物理安全(三级三级)物理访问控制物理访问控制防盗窃和防破坏防盗窃和防破坏防雷击防雷击防火防火防水和防潮防水和防潮温湿度控制温湿度控制电力供应电力供应电磁防护电磁防护防静电防静电物理层面构成组件包括信息系统工作的设施环境以及构成信

11、息系物理层面构成组件包括信息系统工作的设施环境以及构成信息系统的硬件设备和介质等统的硬件设备和介质等 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容结构安全和网段划分结构安全和网段划分网络安全网络安全(三级三级)网络访问控制网络访问控制网络安全审计网络安全审计边界完整性检查边界完整性检查网络入侵检测网络入侵检测恶意代码防护恶意代码防护网络设备防护网络设备防护网络层面构成组件负责支撑信息系统进行网络互联，为信息系统各网络层面构成组件负责支撑信息系统进行网络互联，为信息系统各个构成组件进行安全通信传输，一般包括计算机、网络设备、连接线路个构成组件进行安全通信传输，一般包括计算机、网络设

12、备、连接线路以及它们构成的网络拓扑等。以及它们构成的网络拓扑等。两个不同信息系统需要交换信息，而进行网络互联（内部互联）；两个不同信息系统需要交换信息，而进行网络互联（内部互联）；为了与其他单位为了与其他单位/网络交换信息，与他们的网络互联（外部互联），这网络交换信息，与他们的网络互联（外部互联），这些网络连接边界是网络安全测评的重点之一。些网络连接边界是网络安全测评的重点之一。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容身份鉴别身份鉴别主机系统安全主机系统安全(三级三级)访问控制访问控制安全审计安全审计剩余信息保护剩余信息保护入侵防范入侵防范恶意代码防范恶意代码防范资源控制资源

13、控制主主机机系系统统构构成成组组件件有有服服务务器器、终终端端/工工作作站站等等计计算算机机设设备备，包包括括他他们们的的操操作作系系统统、数数据据库库系系统统及及其其相相关关环环境境等等。主主机机系系统统直直接接为为信信息息系系统统的的信信息息采采集集、加加工工、存存储储、传传输输、检检索索等等提提供供运运行行环环境境，包包括括为为信信息息系系统统用用户户提提供供人人机机交交互互的的环环境境。通通常常采采取取身身份份鉴鉴别别、访访问问控控制制、安安全全审审计计、系系统统资资源源控制等安全功能，以保证系统的安全。控制等安全功能，以保证系统的安全。深圳市信息安全测评中心深圳市信息安全测评中心等级

14、测评的内容身份鉴别身份鉴别应用安全应用安全(三级三级)访问控制访问控制通信完整性通信完整性通信保密性通信保密性安全审计安全审计剩余信息保护剩余信息保护抗抵赖抗抵赖软件容错软件容错资源控制资源控制应用系统体系结构模型可以根据用户与数据之间所具有的层次来应用系统体系结构模型可以根据用户与数据之间所具有的层次来划分，即：单层应用体系结构模型、两层应用体系结构模型、多层划分，即：单层应用体系结构模型、两层应用体系结构模型、多层（可以是三层或三层以上）应用体系结构模型。（可以是三层或三层以上）应用体系结构模型。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容数据完整性数据完整性数据安全数据安全

15、(三级三级)数据保密性数据保密性安全备份安全备份数据层面构成组件主要包括信息系统安全功能数据和用户数据，这些数据层面构成组件主要包括信息系统安全功能数据和用户数据，这些数据可能处于传输和处理过程中，也可能处于存储状态。对于传输和处理数据可能处于传输和处理过程中，也可能处于存储状态。对于传输和处理过程中的数据，一般有机密性和完整性的安全要求，而对于存储中的数据，过程中的数据，一般有机密性和完整性的安全要求，而对于存储中的数据，还需要有备份恢复的安全要求还需要有备份恢复的安全要求。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容岗位设置岗位设置安全管理机构安全管理机构(三级三级)人员配备

16、人员配备授权和审批授权和审批沟通与合作沟通与合作审核和检查审核和检查安全管理机构包括安全管理的岗位设置、人员配备、授权和审批、安全管理机构包括安全管理的岗位设置、人员配备、授权和审批、沟通和合作等方面内容，严格的安全管理应该由相对独立的职能部门和沟通和合作等方面内容，严格的安全管理应该由相对独立的职能部门和岗位来完成。岗位来完成。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容管理制度管理制度安全管理制度安全管理制度(三级三级)制订和发布制订和发布评审和修订评审和修订安全管理制度一般是文档化的，被正式制定、评审、发布和安全管理制度一般是文档化的，被正式制定、评审、发布和修订，内容包括

17、策略、制度、规程、表格和记录等，构成一个塔修订，内容包括策略、制度、规程、表格和记录等，构成一个塔式结构的文档体系。式结构的文档体系。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容人员录用人员录用人员安全管理人员安全管理(三级三级)人员离岗人员离岗人员考核人员考核安全意识教育和培训安全意识教育和培训外部人员访问管理外部人员访问管理包括信息系统用户、安全管理人员和第三方人员的管理，覆盖包括信息系统用户、安全管理人员和第三方人员的管理，覆盖人员录用、人员离岗、人员考核、安全意识教育和培训、第三方人人员录用、人员离岗、人员考核、安全意识教育和培训、第三方人员管理等方面内容。员管理等方面内

18、容。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容系统定级系统定级系统建设管理系统建设管理(三级三级)安全方案设计安全方案设计产品采购和使用产品采购和使用自行软件开发自行软件开发外包软件开发外包软件开发工程实施工程实施测试验收测试验收系统交付系统交付安全服务商选择安全服务商选择系统备案系统备案包括系统定级、安全风险分析、安全方案设计、产品采购、自行软包括系统定级、安全风险分析、安全方案设计、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、安全测评、件开发、外包软件开发、工程实施、测试验收、系统交付、安全测评、系统备案等信息系统安全等级建设的各个方面系统备案等信息

19、系统安全等级建设的各个方面。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容环境管理环境管理系统运维管理系统运维管理(三级三级)资产管理资产管理设备管理设备管理介质管理介质管理运行管理和监控管理运行管理和监控管理网络安全管理网络安全管理系统安全管理系统安全管理恶意代码防范管理恶意代码防范管理变更管理变更管理密码管理密码管理备份和恢复管理备份和恢复管理安全事件处置安全事件处置应急预案管理应急预案管理系系统统运运维维管管理理包包括括运运行行环环境境管管理理、资资产产管管理理、介介质质管管理理、设设备备使使用用管管理理、运运行行监监控控管管理理、恶恶意意代代码码防防护护管管理理、网网络络安

20、安全全管管理理、系系统统安安全全管管理理、密密码码管管理理、变变更更管管理理、备备份份和和恢恢复复管管理理、安安全全事事件件处处置置和和应应急急计计划划管管理理等等方面内容。方面内容。深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容主要核心技术主要核心技术1身份鉴别和自主访问控制身份鉴别和自主访问控制2安全审计安全审计3完整性和保密性保护完整性和保密性保护4边界保护边界保护5资源控制资源控制6入侵防范和恶意代码防范入侵防范和恶意代码防范7安全管理平台设置安全管理平台设置8备份与恢复备份与恢复9强制访问控制强制访问控制10密码技术应用密码技术应用11环境与设施安全环境与设施安全20 深

21、圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容核心技术要求核心技术要求数据安全数据安全1.身份鉴别和自主访问控制2.安全审计3.完整性和保密性保护5.资源控制6.入侵防范和恶意代码防范8.备份与恢复9.强制访问控制10.密码技术应用11.环境与设施安全21核心技术要求分布状况：核心技术要求分布状况：安全管理中心安全管理中心1.身份鉴别和自主访问控制2.安全审计7.安全管理平台设置11.环境与设施安全广域网广域网1.身份鉴别和自主访问控制2.安全审计3.完整性和保密性保护4.边界保护11.环境与设施安全局域网局域网1.身份鉴别和自主访问控制2.安全审计3.完整性和保密性保护4.边界保护

22、5.资源控制6.入侵防范和恶意代码防范10.密码技术应用11.环境与设施安全 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的内容主要核心技术主要核心技术实现方式（参考）实现方式（参考）身份认证、防火墙访问控制流量与行为审计、数据库审计IPSec VPN、SSL VPN终端防外联、接入认证负载均衡、流量控制IPS、防病毒、终端桌面管理SIEM、安全事件智能分析联动IPSAN、CDP、WSAN操作系统文件访问控制产品选购符合国密办规定按照国标GB50173-93电子计算机机房设计规范 GB2887-89计算站场地技术条件、GB9361-88计算站场地安全要求建设22核心技术要求核心技术要求

23、1 身份鉴别和自主访问控制2 安全审计3 完整性和保密性保护4 边界保护5 资源控制6 入侵防范和恶意代码防范7 安全管理平台设置8 备份与恢复9 强制访问控制10 密码技术应用11 环境与设施安全 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的流程等级测评项目启动测评准备阶段编制测评方案工具和文档准备现场实施阶段分析测评结果报告编制阶段交流与洽谈形成等级测评结论编制测评报告结果确认和资料归还现场测评和结果记录方案确认和资源协调信息收集和分析 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-项目启动项目启动向被测单位介绍等级测评的意义和作用，测评工作的基本流程和工作方法。向被

24、测单位介绍等级测评的意义和作用，测评工作的基本流程和工作方法。了解被测单位的信息化建设状况与发展。包括被测系统的行业特征、主管机了解被测单位的信息化建设状况与发展。包括被测系统的行业特征、主管机构、业务范围、地理位置以及被测系统基本情况，获得被测系统的背景信息构、业务范围、地理位置以及被测系统基本情况，获得被测系统的背景信息和联络方式，填写和联络方式，填写系统基本情况调查表系统基本情况调查表。指出被测单位应提供的基本资料，包括：被测系统总体描述文件，被测系统指出被测单位应提供的基本资料，包括：被测系统总体描述文件，被测系统详细描述文件，被测系统安全保护等级定级报告，系统验收报告，安全需求详细描

25、述文件，被测系统安全保护等级定级报告，系统验收报告，安全需求分析报告，被测系统安全总体方案等。分析报告，被测系统安全总体方案等。根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评项目组，根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评项目组，从人员方面做好准备，并编制项目计划。从人员方面做好准备，并编制项目计划。24 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-信息收集与分析信息收集与分析被测单位积极配合测评机构，为测评机构提供其所需要的各种资料，包括被测被测单位积极配合测评机构，为测评机构提供其所需要的各种资料，包括被测单位的各种方针文件、规章制度及相关过

26、程管理记录、被测系统总体描述文件、单位的各种方针文件、规章制度及相关过程管理记录、被测系统总体描述文件、被测系统详细描述文件、被测系统安全保护等级定级报告、安全需求分析报告、被测系统详细描述文件、被测系统安全保护等级定级报告、安全需求分析报告、被测系统安全总体方案、安全现状评价报告、被测系统安全详细设计方案、用被测系统安全总体方案、安全现状评价报告、被测系统安全详细设计方案、用户指南、运行步骤、网络图表、配置管理文档等。户指南、运行步骤、网络图表、配置管理文档等。测评机构分析被测单位提供的系统相关文件和初步了解到的系统基本情况，将测评机构分析被测单位提供的系统相关文件和初步了解到的系统基本情况

27、，将需要补充了解的内容编制成调查表并发放给被测系统运行维护人员。需要补充了解的内容编制成调查表并发放给被测系统运行维护人员。测评机构收回填写完成的调查表单，并分析调查结果，以进一步了解和熟悉被测评机构收回填写完成的调查表单，并分析调查结果，以进一步了解和熟悉被测系统的实际情况。分析的内容包括被测系统的基本信息、管理框架、被测系测系统的实际情况。分析的内容包括被测系统的基本信息、管理框架、被测系统的网络及设备部署、业务种类和特性、业务系统处理的信息资产、用户范围统的网络及设备部署、业务种类和特性、业务系统处理的信息资产、用户范围和用户类型等。和用户类型等。25 深圳市信息安全测评中心深圳市信息安

28、全测评中心测评准备阶段-系统系统调查表调查表内容全面内容全面顺序合理顺序合理保留逻辑关联保留逻辑关联内容至少包括被测系统的行业特征、主管机构、业务范围、地理位置、背内容至少包括被测系统的行业特征、主管机构、业务范围、地理位置、背景信息、联络方式、组织管理结构、管理策略、部门设置和部门在业务运景信息、联络方式、组织管理结构、管理策略、部门设置和部门在业务运行中的作用、岗位职责、物理环境、网络拓扑结构、硬件设备部署情况、行中的作用、岗位职责、物理环境、网络拓扑结构、硬件设备部署情况、范围及边界、业务种类及特性、业务流程、业务安全保护等级等。范围及边界、业务种类及特性、业务流程、业务安全保护等级等。

29、26 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-编制测评方案编制测评方案根据被测系统基本情况描述被测系统，包括被测系统基本信息、管理框架、根据被测系统基本情况描述被测系统，包括被测系统基本信息、管理框架、被测系统的网络及设备部署、业务种类和特性、业务信息安全等级、系统被测系统的网络及设备部署、业务种类和特性、业务信息安全等级、系统服务安全等级、业务流程相关设备、部件和数据、管理模式、用户范围和服务安全等级、业务流程相关设备、部件和数据、管理模式、用户范围和用户类型等。用户类型等。根据被测系统规模确定人员分工和测评计划。对于一般规模且业务种类较根据被测系统规模确定人员分工和测评计

30、划。对于一般规模且业务种类较少的被测系统，分组负责主机、网络、应用安全测评和工具测试。测评计少的被测系统，分组负责主机、网络、应用安全测评和工具测试。测评计划可以列表的形式给出，包括总体时间安排、分项测评时间安排等。划可以列表的形式给出，包括总体时间安排、分项测评时间安排等。选择适当的测评对象、方式和工具。选择适当的测评对象、方式和工具。确定测评指标。确定测评指标。确定现场测评实施内容，包括单项测评和系统整体测评。确定现场测评实施内容，包括单项测评和系统整体测评。汇总上述汇总上述6个步骤的各类文档和资料形成测评方案文稿。个步骤的各类文档和资料形成测评方案文稿。评审和提交测评方案。测评方案初稿应

31、通过测评项目组全体成员评审，修评审和提交测评方案。测评方案初稿应通过测评项目组全体成员评审，修改完成后形成提交稿。然后，测评机构将测评方案提交给被测单位。被测改完成后形成提交稿。然后，测评机构将测评方案提交给被测单位。被测单位应对该测评方案签字认可。单位应对该测评方案签字认可。27 深圳市信息安全测评中心深圳市信息安全测评中心测评准备阶段-工具和文档准备工具和文档准备测评人员熟悉被测系统相关的操作系统、数据库及业务流程等。测评人员熟悉被测系统相关的操作系统、数据库及业务流程等。测评人员调试、熟悉本次测评过程中将用到的测评工具，包括作业测评人员调试、熟悉本次测评过程中将用到的测评工具，包括作业指

32、导书、漏洞扫描工具、渗透性测试工具、性能测试工具和协议分指导书、漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。析工具等。准备和打印文档，主要包括：测评方案、现场测评授权书、作业指准备和打印文档，主要包括：测评方案、现场测评授权书、作业指导书、测评结果记录表格（含测评人员入场和离场确认）、文档接导书、测评结果记录表格（含测评人员入场和离场确认）、文档接收收/归还确认单等。归还确认单等。28 深圳市信息安全测评中心深圳市信息安全测评中心现场测评阶段-方案确认与资源协调方案确认与资源协调召开测评现场首次会，测评机构介绍测评工作，交流测评信息，进一步明召开测评现场首次会，测评机构介绍测评

33、工作，交流测评信息，进一步明确测评计划和方案中的内容，说明测评过程中具体的实施工作内容，测评确测评计划和方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排等，以便于后面的测评工作开展。时间安排等，以便于后面的测评工作开展。测评双方对测评方案进行最终审定。测评双方对测评方案进行最终审定。测评双方确认现场测评需要的各种资源，包括被测单位的配合人员和需要测评双方确认现场测评需要的各种资源，包括被测单位的配合人员和需要提供的测评条件等。提供的测评条件等。被测单位签署现场授权委托书。被测单位签署现场授权委托书。测评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的测评人员根据会议沟通

34、结果，对测评结果记录表单和测评程序进行必要的更新。更新。29 深圳市信息安全测评中心深圳市信息安全测评中心现场测评阶段-现场测评结果记录现场测评结果记录制定应急预案制定应急预案系统详细调研系统详细调研系统安全技术测评系统安全技术测评系统安全管理测评系统安全管理测评结果记录结果记录测评原始记录是出具测评报告的依据，是最重要的测评证据记录。为测评原始记录是出具测评报告的依据，是最重要的测评证据记录。为保证能够重复检验活动的全部过程，原始记录应包含足够的信息；所有的保证能够重复检验活动的全部过程，原始记录应包含足够的信息；所有的测评原始记录应按照规定的格式填写，不得漏记、补记、追记。测评原始记录应按

35、照规定的格式填写，不得漏记、补记、追记。严格执行测评方案和作业指导书，根据严格执行测评方案和作业指导书，根据“现场测评和结果记录现场测评和结果记录”的的要求进行认真测评和记录测评结果，确保结果记录的真实性、完整性和有要求进行认真测评和记录测评结果，确保结果记录的真实性、完整性和有效性。效性。30 深圳市信息安全测评中心深圳市信息安全测评中心现场测评阶段-结果确认和资料归还结果确认和资料归还测评人员在现场测评完成之后，应首先汇总现场测评的测评人员在现场测评完成之后，应首先汇总现场测评的测评记录，对漏掉和需要进一步验证的内容实施补充测测评记录，对漏掉和需要进一步验证的内容实施补充测评。评。测评双方

36、对测评过程中发现的问题进行现场确认。测评双方对测评过程中发现的问题进行现场确认。测评机构归还测评过程中借阅的所有文档资料，并由被测评机构归还测评过程中借阅的所有文档资料，并由被测单位文档资料提供者签字确认。测单位文档资料提供者签字确认。31 深圳市信息安全测评中心深圳市信息安全测评中心报告编制阶段-分析测评结果分析测评结果根据测评结果的符合性判定情况，对现场测评的单个测评对象的单个测评根据测评结果的符合性判定情况，对现场测评的单个测评对象的单个测评项的测评结果是否符合要求进行判断，即单项判定，形成单项判定结论，项的测评结果是否符合要求进行判断，即单项判定，形成单项判定结论，判定结论分为两种情况

37、：符合和不符合。判定结论分为两种情况：符合和不符合。根据单项判定结论将单项测评的数据按照层面进行汇总分析，以表格的形根据单项判定结论将单项测评的数据按照层面进行汇总分析，以表格的形式，分别统计物理安全、网络安全、主机系统安全、应用安全、管理安全式，分别统计物理安全、网络安全、主机系统安全、应用安全、管理安全等各层面的不同安全控制的不同测评对象的单项测评结论，并对符合项和等各层面的不同安全控制的不同测评对象的单项测评结论，并对符合项和不符合项进行统计。不符合项进行统计。根据单项判定结论和数据汇总统计分析情况进行系统整体测评分析，分析根据单项判定结论和数据汇总统计分析情况进行系统整体测评分析，分析

38、单项判定结果为不符合的测评项是否影响系统的整体安全保护能力，分析单项判定结果为不符合的测评项是否影响系统的整体安全保护能力，分析系统的整体结构是否合理。系统的整体结构是否合理。32 深圳市信息安全测评中心深圳市信息安全测评中心报告编制阶段-形成测评结论形成测评结论在数据汇总分析的基础上，结合系统整体测评结果及被在数据汇总分析的基础上，结合系统整体测评结果及被测系统的实际情况等，分析测评结论为不符合的测评项测系统的实际情况等，分析测评结论为不符合的测评项是否影响系统安全目标实现，是否影响系统安全保护能是否影响系统安全目标实现，是否影响系统安全保护能力。力。根据系统安全保护现状与等级保护基本要求之

39、间的差距，根据系统安全保护现状与等级保护基本要求之间的差距，分析系统存在的问题，给出系统等级测评结论，并提出分析系统存在的问题，给出系统等级测评结论，并提出改进建议。改进建议。33 深圳市信息安全测评中心深圳市信息安全测评中心报告编制阶段-报告编制报告编制本阶段是一个自下而上的逐步汇总、形成等级测评结论本阶段是一个自下而上的逐步汇总、形成等级测评结论的过程，首先根据现场测评结果和的过程，首先根据现场测评结果和测评要求测评要求，对测评结，对测评结果进行分析，得出单项测评结果判定。果进行分析，得出单项测评结果判定。系统整体测评分析：综合分析被测系统各个层面的安全系统整体测评分析：综合分析被测系统各

40、个层面的安全控制状况及系统的整体安全保护能力是否达到其相应等级的控制状况及系统的整体安全保护能力是否达到其相应等级的保护要求，并给出最终结论；保护要求，并给出最终结论；根据上述分析过程和最终结论，并指出系统中存在的主根据上述分析过程和最终结论，并指出系统中存在的主要问题和整改建议。要问题和整改建议。34 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法人员访谈人员访谈现场检查现场检查测试验证测试验证 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法-人员访谈人员访谈访谈对象主要是：信息安全主管，信息安全管理员，访谈对象主要是：信息安全主管，信息安全管理员，信息系统的网络安全

41、员，设备安全管理员和用户信息系统的网络安全员，设备安全管理员和用户访谈工具主要是：管理核查表访谈工具主要是：管理核查表访谈适用的情况有：了解和明确管理方面的问题；访谈适用的情况有：了解和明确管理方面的问题；了解信息系统的全局性（包括局部）的非细节性技了解信息系统的全局性（包括局部）的非细节性技术安排问题，一般不涉及到具体的实现细节措施术安排问题，一般不涉及到具体的实现细节措施访谈获得的证据，一般不作为系统测评判定的主要访谈获得的证据，一般不作为系统测评判定的主要依据，只作为参考的依据。但是对低级别的系统，依据，只作为参考的依据。但是对低级别的系统，有些访谈结果是可以作为测评的依据有些访谈结果是

42、可以作为测评的依据 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法-现场检查现场检查现场检查主要有核查、审查、评审、观察、对照和现场检查主要有核查、审查、评审、观察、对照和分析等分析等检查对象包括：文档、记录、机制、设备等检查对象包括：文档、记录、机制、设备等检查工具主要是：管理和技术核查表检查工具主要是：管理和技术核查表检查人员不直接操作设备，主要在被测人员操作下检查人员不直接操作设备，主要在被测人员操作下查看结果和记录查看结果和记录比如：要求打印防火墙的策略，提交检查比如：要求打印防火墙的策略，提交检查 深圳市信息安全测评中心深圳市信息安全测评中心等级测评的方法-测试验证测试验

43、证测试验证须由测试人员自己动手，操作工具设备开测试验证须由测试人员自己动手，操作工具设备开展工作展工作测试验证主要分有：功能、性能测试、攻击测试、测试验证主要分有：功能、性能测试、攻击测试、渗透测试等类型渗透测试等类型测评对象主要包括：安全机制，设备等测评对象主要包括：安全机制，设备等测试借助的设备主要有：扫描检测工具，网络协议测试借助的设备主要有：扫描检测工具，网络协议分析仪，攻击工具，渗透工具集等分析仪，攻击工具，渗透工具集等对技术要求来讲，测试的目的是验证信息系统当前对技术要求来讲，测试的目的是验证信息系统当前安全机制运行的有效性和安全强度等安全机制运行的有效性和安全强度等 深圳市信息安

44、全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点医疗机构信息化建设特点：医疗机构信息化建设特点：1、系统承载业务具有高度的相似性、系统承载业务具有高度的相似性2、同类系统的安全需求特性和强度趋同、同类系统的安全需求特性和强度趋同3、网络结构类似、网络结构类似4、系统建设互相借鉴，应用系统类型较少，很多单位使用同一厂商、系统建设互相借鉴，应用系统类型较少，很多单位使用同一厂商开发的相同应用系统开发的相同应用系统5、技术力量，尤其是安全技术力量缺乏，对相关技术要求和标准不、技术力量，尤其是安全技术力量缺乏，对相关技术要求和标准不熟悉熟悉6、存在的问题和困难具有相

45、通性、存在的问题和困难具有相通性 深圳市信息安全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点物理环境物理环境未注意保留防盗窃、监控报警系统的运行维护检查记录缺乏各种设备的安全资质和验收报告网络安全网络安全未合理划分vlan网络边界未设置合理的访问控制措施未配备入侵防范和网络层恶意代码防范设备主机安全主机安全主机数据库的补丁未完全更新主机和数据库管理员权限未分离未关闭多余的服务，未配置合理的口令等措施40医疗行业容易出现的安全现象医疗行业容易出现的安全现象：深圳市信息安全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点应用安

46、全应用安全用户名和密码以明文形式传输未设置双因素认证方式无抗抵赖功能数据安全数据安全无完整性机制无保密性机制关键设备无冗余，未异地备份安全管理安全管理未建立体系化的安全管理，无详细运行记录41医疗行业容易出现的安全现象医疗行业容易出现的安全现象：深圳市信息安全测评中心深圳市信息安全测评中心医疗行业安全现状和测评重点医疗行业安全现状和测评重点重视局部安全，对总体安全认识不足，对重视局部安全，对总体安全认识不足，对IT规划、安全规划在信息安全中规划、安全规划在信息安全中的重要性认识不足；建设过程中，在物理环境、网络、主机、应用、数据的重要性认识不足；建设过程中，在物理环境、网络、主机、应用、数据及

47、管理各层面均采用了部分安全措施；但往往忽视及管理各层面均采用了部分安全措施；但往往忽视整体的安全规划整体的安全规划，在安，在安全运维中经常陷于全运维中经常陷于 “头痛医头，脚痛医脚头痛医头，脚痛医脚”疲于奔命的局面疲于奔命的局面；对安全运维、安全服务认识不足，自身技术条件不足情况下，安全运维长对安全运维、安全服务认识不足，自身技术条件不足情况下，安全运维长期缺位而不注意引入安全服务；期缺位而不注意引入安全服务；认为信息安全只是技术问题，对安全管理认识不足，未能运行有效的安全认为信息安全只是技术问题，对安全管理认识不足，未能运行有效的安全管理体系，造成制度不到位、责任不明确，出现问题难以查找原因

48、；管理体系，造成制度不到位、责任不明确，出现问题难以查找原因；认为信息安全即网络安全，对物理、主机、应用、数据安全认识不足，尤认为信息安全即网络安全，对物理、主机、应用、数据安全认识不足，尤其对应用安全认识不足；其对应用安全认识不足；重视安全产品的采购，忽视安全机制的建立；认为要达到等级保护要求，重视安全产品的采购，忽视安全机制的建立；认为要达到等级保护要求，把该买的设备买够就行，结果不但造成浪费，而且事与愿违。把该买的设备买够就行，结果不但造成浪费，而且事与愿违。42医疗行业容易出现安全认识方面的误区医疗行业容易出现安全认识方面的误区：深圳市信息安全测评中心深圳市信息安全测评中心关于测评机构

49、关于测评机构-对测评机构的要求对测评机构的要求一、目前的基本要求：一、目前的基本要求：达到省级公安网络监察部门备案条件并备案；二、公安部二、公安部2009年年7月开始安排测评机构试点，提出未来规月开始安排测评机构试点，提出未来规范测评机构的较高要求：范测评机构的较高要求：不得从事信息系统安全建设整改，产品开发、营销和信息系统集成等可能影响测评“客观、公正、安全客观、公正、安全”的经营经营活动；应依据相关质量体系质量体系标准建立、实施和保持适应等级测评工作开展的管理制度体系。具备满足等级测评工作需要的工具工具，如漏洞扫描器、协议分析仪、性能测试仪和渗透测试工具等。等级测评机构应具备文档化的测评方

50、法测评方法（如测评指导书）具有安全保管记录安全保管记录的能力，所有的测评记录应保存一定时间。43 深圳市信息安全测评中心深圳市信息安全测评中心关于测评机构关于测评机构深圳市信息安全测评中心深圳市信息安全测评中心单位性质和资质：单位性质和资质：深深圳圳市市信信息息安安全全测测评评中中心心(软软件件评评测测中中心心）是是深深圳圳市市政政府府批批准准成成立立的的事事业业单单位位，是是独独立立第第三三方方测测评评机机构构，是是非非经经营营性性单单位位。中中心心长长期期以以来来坚坚持持不不参参与与任任何何被被测测系系统统的的建建设设，以保证测评的客观性和公正性以保证测评的客观性和公正性 ；中中心心200