信息系统安全等级保护测评表单-三级技术类

等级保护测评表单(三级应用系统_安全管理)

本文由ｂｏｏｋｋｉｄ贡献ｘｌｓ１。

信息系统安全等级保护基本要求ａ）　应制定信息安全工作的总体方针和安全策略，　说明机构安全工作的总体目标、范围、原则和安全框　架等；　ｂ）　应对安全管理活动中的各类管理内容建立安全　管理制度；　ｃ）　应对要求管理人员或操作人员执行的日常管理　操作建立操作规程；　ｄ）　应形成由安全策略、管理制度、操作规程等构　成的全面的信息安全管理制度体系。

　ａ）　应指定或授权专门的部门或人员负责安全管理　制度的制定；　ｂ）　安全管理制度应具有统一的格式，并进行版本　控制；　ｃ）　应组织相关人员对制定的安全管理制度进行论　证和审定；　ｄ）　安全管理制度应通过正式、有效的方式发布；　ｅ）　安全管理制度应注明发布范围，并对收发文进　行登记。

　ａ）　信息安全领导小组应负责定期组织相关部门和　相关人员对安全管理制度体系的合理性和适用性进行　审定；　ｂ）　应定期或不定期对安全管理制度进行检查和审　定，对存在不足或需要改进的安全管理制度进行修订　。

　ａ）　应设立信息安全管理工作的职能部门，设立安　全主管、安全管理各个方面的负责人岗位，并定义各　负责人的职责；　ｂ）　应设立系统管理员、网络管理员、安全管理员　等岗位，并定义各个工作岗位的职责；　ｃ）　应成立指导和管理信息安全工作的委员会或领　导小组，其最高领导由单位主管领导委任或授权；　ｄ）　应制定文件明确安全管理机构各个部门和岗位　的职责、分工和技能要求。

　ａ）　应配备一定数量的系统管理员、网络管理员、　安全管理员等；　ｂ）　应配备专职安全管理员，不可兼任；　ｃ）　关键事务岗位应配备多人共同管理。

　ａ）　应根据各个部门和岗位的职责明确授权审批事　项、审批部门和批准人等；　ｂ）　应针对系统变更、重要操作、物理访问和系统　接入等事项建立审批程序，按照审批程序执行审批过　程，对重要活动建立逐级审批制度；　ｃ）　应定期审查审批事项，及时更新需授权和审批　的项目、审批部门和审批人等信息；　ｄ）　应记录审批过程并保存审批文档。

信息系统安全等级保护测评表单三级技术类

信息系统安全等级保护测评表单-三级技术类
控制敏感标记是否以默认方式生成或由安全员建立、维护和管理；
g) 应检查主要应用系统，查看是否依据安全策略严格控制用户对有敏感标
应用系统和数据
信息保护d) 应测试主要应用系统，用某用户登录系统并进行操作后，在该用户退出后用另一用户登录，试图操作（读取、修改或删除等）其他用户产生的文件、目录和数据库记录等资源，查看操作是否成功，验证系统提供的剩余
7.1.4应用安全所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；
施有哪些；
b) 应检查主要应用系统，查看是否限制单个帐户的多重并发会话；系统是
.4
c) 应检查设计/验收文档，查看其是否有关于释放或重新分配系统内文件
保密性业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；
e) 应检查主要主机操作系统、主要网络设备操作系统、主要数据库管理系统和主要应用系统，查看其管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输和存储保密性；
息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采.2。

信息系统等级保护主机测评要求说明(三级)

测评时间：
测评说明
现场测评确认:
1、应访谈系统管理员，询问是否采取入侵防范措施，入侵防范内容是否包括主机运行监视、特定进程监控、入侵行为检测和完整性检测等方面内容； 1、应检查是否设置了专门的升级服务器实现对主要服务器操作系统补丁的升级； 2、应检查主要服务器操作系统和主要数据库管理系统的补丁是否得到了及时安装。
7
资源控制 c) 应对重要服务器进行监视、包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况； d) 应限制单个用户对系统资源的最大或最小使用限度； e) 应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。 1、应检查是否对重要服务器进行监视、包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；
1
身份鉴别
d) 当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听； e) 应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性； f) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。
1、应访谈系统管理员和数据库管理员，询问对操作系统和数据库管理系统是否采用了远程管理，如采用了远程管理，查看是否采用了防止鉴别信息在网络传输过程中被窃听的措施； 1、应检查主要服务器操作系统和主要数据库管理系统帐户列表，查看管理员用户名分配是否唯一； 1、应检查主要服务器操作系统和主要数据库管理系统，查看身份鉴别是否采用两个及两个以上身份鉴别技术的组合来进行身份鉴别。
主机安全（三级）测评表测评对象：
序号指标名称测评项
测评人：
测评时间：
测评说明

信息安全等级保护三级测评内容标准和测评方法表单

信息安全等级保护三级测评内容标准和测评方法等级保护三级技术类测评控制点类别序号测评内容测评方法告。

结果记录符合情况Y N10.应对介质分类标识，存储在介质库或档案室中。

（G2）11.应利用光、电等技术设置机房防盗报警系统。

（G3）12.应对机房设置监控报警系统。

（G3）防雷击13.14.机房建筑应设置避雷装置。

（G2）应设置防雷保安器，防止感应雷。

（G3）访谈，检查。

物理安全负责人，机房维护人员，机房设施（避雷装置，交流电源地线）建筑防雷设计/验收文档。

—15.机房应设置交流电源地线。

（G2）防火16.机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火。

（G3）访谈，检查。

物理安全负责人，机房值守人员，机房设施，机房安全管理制度，机房防火设计/验收文档，火灾自动报警系统设计/验收文档。

17.机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。

（G3）18.机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

（G3）防水和防潮19.水管安装，不得穿过机房屋顶和活动地板下。

（G2）访谈，检查。

物理安全负责人，机房维护人员，机房设20.应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。

（G2）21.应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。

（G2）22.应安装对水敏感的检测仪表或兀件，对机房进>.z. .施等级保护三级技术类测评控制点类别序号测评内容测评方法结果记录符合情况Y N 行防水检测和报警。

（G3）防静电23.主要设备应采用必要的接地防静电措施。

（G2）访谈，检查。

物理安全负责人，机房维护人员，机房设施，防静电设计/验收文24.机房应采用防静电地板。

（G3）温湿度控制25.应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。

（G2）访谈，检查。

物理安全负责人，机房维护人员，机房设施，温湿度控制设计/验收文档，温湿度记录、运行记录和维护记录。

等保2.0基本要求-3级检查表

备份与恢复管理
安全事件处置
应急预案管理
外包运维管理
网络安全等级保护（等保V2.0）-基本要求
测评指标
a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内； b) 机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。 a）机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。 a) 应将机房设备或主要部件进行固定，并设置明显的不易除去的标记； b) 应将通信线缆铺设在隐蔽处，可铺设在地下或管道中； c) 应设置机房防盗报警系统或设置有专人值守的视频监控系统。 a) 应将各类机柜、设施和设备等通过接地系统安全接地； b) 应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等。 a) 应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火； b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料； c) 应对机房划分区域进行管理，区域和区域之间设置隔离防火措施。 a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； b) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透； c) 应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。 a) 应安装防静电地板并采用必要的接地防静电措施； b) 应采用措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等。 a）机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。 a) 应在机房供电线路上配置稳压器和过电压防护设备； b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求； c) 应设置冗余或并行的电力电缆线路为计算机系统供电。 a) 电源线和通信线缆应隔离铺设，避免互相干扰； b) 应对关键设备实施电磁屏蔽。 a) 应保证网络设备的业务处理能力满足业务高峰期需要； b) 应保证网络各个部分的带宽满足业务高峰期需要； c) 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址； d) 应避免将重要网络区域部署在网络边界处且没有边界防护措施； e) 应提供通信线路、关键网络设备的硬件冗余，保证系统的可用性。 a) 应采用校验码技术或加解密技术保证通信过程中数据的完整性； b) 应采用加解密技术保证通信过程中敏感信息字段或整个报文的保密性。 a) 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将 a）应保证跨越边界的访问和数据流通过边界防护设备提供的受控接地进行通信 b）应能够对非授权设备私自联到内部网络的行为进行限制或检查； c）应能够对内部用户非授权联到外部网络的行为进行限制或检查； d）应限制无线网络的使用，确保无线网络通过受控的边界防护设备接入内部往来； a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信； b) 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化； c) 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出； d) 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级； a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为； b) 应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为； c) 应采取技术措施对网络行为进分析，实现对网络攻击特别是新型网络攻击的分析； d) 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时 a) 应在关键网络节点处对恶意代码进行检测和清除，并维恶意代码护防机制的升级和更新； b) 应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新。 a）应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计； b）审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； c）应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；

(网络安全法)信息系统安全等级保护测评表单-三级技术类

信息系统安全等级保护测评表单-三级技术类
d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围
内；检查主要设备或设备的主要部件的固定情况，查看其是否不易被移动
c) 应访谈资产管理员，介质是否进行了分类标识管理，介质是否存放在介象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、
渗透和返潮现象，则查看是否能够及时修复解决；
7.1.1物理安全
潮
护措施；b) 应检查机房设备外壳是否有安全接地；
电磁防护7.1.1.6。

信息系统安全等级保护测评表单-三级技术类

信息系统安全等级保护测评表单-三级技术类应用系统和数据
控制敏感标记是否以默认方式生成或由安全员建立、维护和管理；
信息保护d) 应测试主要应用系统，用某用户登录系统并进行操作后，在该用户退出后用另一用户登录，试图操作（读取、修改或删除等）其他用户产生的文件、目录和数据库记录等资源，查看操作是否成功，验证系统提供的剩余
7.1.4应用安全所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；
施有哪些；
b) 应检查主要应用系统，查看是否限制单个帐户的多重并发会话；系统是.4
c) 应检查设计/验收文档，查看其是否有关于释放或重新分配系统内文件
保密性业务数据是否采用加密或其他有效措施实现传输保密性，是否采用加密或其他有效措施实现存储保密性；
e) 应检查主要主机操作系统、主要网络设备操作系统、主要数据库管理系统和主要应用系统，查看其管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输和存储保密性；
息和重要业务数据是否采用加密或其他有效措施实现传输保密性，是否采.2。

网络安全法信息系统安全等级保护测评表单三级技术类

信息系统安全等级保护测评表单-三级技术类
d) 应检查主要设备是否放置在机房内或其它不易被盗窃和破坏的可控范围
内；检查主要设备或设备的主要部件的固定情况，查看其是否不易被移动
c) 应访谈资产管理员，介质是否进行了分类标识管理，介质是否存放在介象，机房及其环境是否不存在明显的漏水和返潮的威胁；如果出现漏水、
渗透和返潮现象，则查看是否能够及时修复解决；
7.1.1物理安全
潮
护措施；b) 应检查机房设备外壳是否有安全接地；
电磁防护7.1.1.6。

2015年信息安全等级保护网络安全检查表-三级

#DIV/0!
#DIV/0!
0.5
#DIV/0!
#DIV/0!
1
#DIV/0! #DIV/0!
#DIV/0!
0.5
#DIV/0!
#DIV/0!
0.5
#DIV/0!
#DIV/0!
0.5
#DIV/0!
#DIV/0!
0.5
#DIV/0!
#DIV/0!
1
#DIV/0!
#DIV/0!
1
#DIV/0! #DIV/0!
入侵防范
a) 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、查看在网络边界处是否部署了包含木马后门攻击、拒绝服务攻击、入侵防范功能的设备。登录相应设缓冲区溢出攻击、注入式攻击、备，查看是否启用了检测功能。 IP碎片攻击和网络蠕虫攻击等。
入侵防范
b)当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。
#DIV/0!
#DIV/0!
#DIV/0!
#DIV/0!
1
#DIV/0!
#DIV/0!
0.5
#DIV/0! #DIV/0!
#DIV/0!
1
#DIV/0!
#DIV/0!
0.5
#DIV/0!
#DIV/0!
1
#DIV/0! #DIV/0!
#DIV/0!1#DIV/!#DIV/0!1
#DIV/0!
#DIV/0!
检查
询问采用何种技术手段或管理措施对“非法接入”进行检查，对于技术手段，在网络管理员配合下验证其有效性。询问采用了何种技术手段或管理措施对“非法外联”行为进行检查，对于技术手段，在网络管理员配合下验证其有效性

信息系统安全等级保护三级评测内容

信息系统安全等级保护二级评测内容
等级保护自上而下分别为：类、控制点和项。

其中，类表示《信息系统安全等级保护基本要求》在整体上大的分类，其中技术部分分为：物理安全、网络安全、主机安全、应用安全和数据安全及备份恢复等5大类，管理部分分为：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等5大类，一共分为10大类。

控制点表示每个大类下的关键控制点，如物理安全大类中的“物理访问控制”作为一个控制点。

而项则是控制点下的具体要求项，如
“机房出入应安排专人负责，控制、鉴别和记录进入的人员。

”
根据等级保护第二级的基本要求，在物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复、安全管理等几方面目前的安全现状进行分析检测。

物理安全
信息系统安全等级保护基本要求-物理安全
网络安全
对象包括：网络结构、交换机、防火墙。

指标及检测内容:
主机系统安全
对象包括：服务器、数据库管理系统。

指标及检测内容
信息系统安全等级保护基本要求-主机安全
应用安全
数据安全及备份恢复
安全管理制度
系统建设管理
信息系统安全等级保护基本要求-系统建设管理
系统运维管理
d ）应记录并保存所有报告的安全弱点和可疑事件，分析事件原因，监督事
态发展，采取措施避免安全事件发生。

a ）应在统一的应急预案框架下制定不同事件的应急预案，应急预案框架应包括启动应急预案的条件、应
急处理流程、系统恢复流程、事后教育和培训等内容； b ）应对系统相关的人员进行应急预案培训，应急预案的培训应至少每年举办一次；
2.5.12 应
急预案管理
（G2）。

等保三级——网络安全检查技术检查评分表

2.无线网络采取地址过滤措施。
3.无线路由器未使用默认设置。以上满足则本项3分。
应具体记录无线设备情况，简要记录部分措施。
15
电子邮件系统安全防护情况
2
应加强电子邮件系统安全防护，采取反垃圾邮件等技术措
施。
L检查电子邮件系统建设方式。
2.检查电子邮件系统安全防护情况，采取反垃圾邮件等技术措施情况。
L无电子邮件系统安全防护，本项。分。
应具体记录岗位网络安全责任制度文件情况。
5
4
应与重点岗位的计算机使用和管理人员签订网络安全与保密协议。
1.检查重点岗位人员网络安全与保密协议签订情况。2.访谈部分重点岗位人员，抽查对网络安全责任的了解程度。
L未签署保密协议，本项。分。
2.有重要岗位人员任命文件，与全部重要岗位人员签署保密协议，本项4分。
等保三级——网络安全检查技术检查评分表
部
1得分
序号
检查项目
分值
检查指标
检查方法
评分准则
现场记录
得
分
1
网络安全责任制落实情况
4
应明确一名负责人,负责本部门网络安全管理工作,根据国家法律法规有关要求，结合实际组织制定网络安全管理制度,完善技术防护措施,协调处理重大网络安全事件。
1.查看部门分工等文件，检查网络安全负责人落实情况。
2.查看应急技术支援队伍合同及安全协议、参与应急技术演练及应急响应等工
L未每年开展网络安全应急演练，本项。分。
2.每年开展网络安全应急演练，但记录文件不全面，本项1分。
L内部未划分子网或网段，本项0分。
2.选取不同网段进行互访，若违反访问控制原则，本项3分。
3.内部划分子网且经测试现状与访问控制策略相同，本项4分。

信息系统安全等级保护三级评测内容

信息系统平安等级保护二级评测容
等级保护自上而下分别为：类、控制点和项。

其中，类表示?信息系统平安等级保护根本要求?在整体上大的分类，其术局部分为：物理平安、网络平安、主机平安、应用平安和数据平安及备份恢复等5大类，管理局部分为：平安管理制度、平安管理机构、人员平安管理、系统建立管理和系统运维管理等5大类，一共分为10大类。

控制点表示每个大类下的关键控制点，如物理平安大类中的“物理控制〞作为一个控制点。

而项那么是控制点下的具体要求项，如“机房出入应安排专人负责，控制、鉴别和记录进入的人员。

〞
根据等级保护第二级的根本要求，在物理平安、网络平安、主机系统平安、应用平安、数据平安及备份恢复、平安管理等几方面目前的平安现状进展分析检测。

物理平安
对象主要为中心机房、重要设备存放物理位置等。

指标及检测容：
网络平安
主机系统平安
对象包括：效劳器、数据库管理系统。

指标及检测容：
应用平安
对象：网络运行的信息系统。

指标及检测容：
数据平安及备份恢复
平安管理制度
系统建立管理
系统运维管理。

信息系统安全等级保护三级评测内容

信息系统安全等级保护二级评测内容
等级保护自上而下分别为：类、控制点和项.其中,类表示《信息系统安全等级保护基本要求》在整体上大的分类,其中技术部分分为：物理安全、网络安全、主机安全、应用安全和数据安全与备份恢复等5大类,管理部分分为：安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等5大类,一共分为 10大类.控制点表示每个大类下的关键控制点,如物理安全大类中的"物理访问控制"作为一个控制点.而项则是控制点下的具体要求项,如"机房出入应安排专人负责,控制、鉴别和记录进入的人员."
根据等级保护第二级的基本要求,在物理安全、网络安全、主机系统安全、应用安全、数据安全与备份恢复、安全管理等几方面目前的安全现状进行分析检测.
物理安全
网络安全
主机系统安全
应用安全
数据安全与备份恢复
安全管理制度
系统建设管理
系统运维管理。

信息系统安全等级保护测评表单-三级技术类

等级保护测评表单(三级应用系统_安全管理)

信息系统安全等级保护测评表单 三级技术类

信息系统等级保护主机测评要求说明(三级)

信息安全等级保护三级测评内容标准和测评方法表单

等保2.0基本要求-3级检查表

(网络安全法)信息系统安全等级保护测评表单-三级技术类

信息系统安全等级保护测评表单-三级技术类

网络安全法 信息系统安全等级保护测评表单 三级技术类

2015年信息安全等级保护网络安全检查表-三级

信息系统安全等级保护三级评测内容

等保三级——网络安全检查技术检查评分表

信息系统安全等级保护三级评测内容

信息系统安全等级保护三级评测内容

信息系统安全等级保护测评表单三级技术类

网络安全法信息系统安全等级保护测评表单三级技术类