阿里云客户等级保护测评说明-控制点责任说明(物理、网络、管理)
等保2.0测评详细指标及工控扩展指标
等保2.0测评详细指标（1-3级）PS：一级指标没有整理成表格，二三级整理成表格，看的会清晰一点。
一级测评要求指标一．技术安全大类1.安全的物理环境物理访问控制：机房出入口应安排专人值守或配置电子门禁系统，控制，鉴别和记录进入的人员。
防盗窃和破坏：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
防雷击：应将各类机柜，设施和设备等通过基地系统安全接地。
防火：机房应该设置灭火设备。
防水和防潮：应采取措施防止雨水通过机房窗户，屋顶和墙壁渗透。
温湿度控制：应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。
电力供应：应在机房供电线路上配置稳压器和过电压防护设备。
2.安全的通信网络通信传输：应采用检验技术保证通信过程中数据的完整性。
可信验证：可给予可信根对通信设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
3.安全的计算环境身份鉴别：1.应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份辨别信息具有复杂度要求并定期更换。
2.应具有登陆失败处理功能，应配置并启用结束会话，限制非法登录次数和挡登录连接超时自动退出等相关措施。
访问控制：1.应对登录的用户分配账户和权限2.应重命名或删除默认账户，修改默认账户的默认口令。
3.应及时删除或停用多余的，过期的账户，避免共享账户的存在。
入侵防范：1.应遵循最小安装的原则，仅安装需要的组件和应用程序。
2.应关闭不需要的系统服务，默认共享和高危端口。
恶意代码防范：应安装放恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
可信验证：可基于可信根对计算机设备的系统引导程序，系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
数据完整性：应采用检验技术保证重要数据在传输过程中的完整性。
数据备份恢复：应提供重要数据的本地数据备份与恢复功能。
4.安全的区域边界边界防护：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
阿里云内容安全API参考（检测服务）说明书
内容安全API参考（检测服务）··法律声明法律声明阿里云提醒您在阅读或使用本文档之前仔细阅读、充分理解本法律声明各条款的内容。
如果您阅读或使用本文档，您的阅读或使用行为将被视为对本声明全部内容的认可。
1. 您应当通过阿里云网站或阿里云提供的其他授权通道下载、获取本文档，且仅能用于自身的合法合规的业务活动。
本文档的内容视为阿里云的保密信息，您应当严格遵守保密义务；未经阿里云事先书面同意，您不得向任何第三方披露本手册内容或提供给任何第三方使用。
2. 未经阿里云事先书面许可，任何单位、公司或个人不得擅自摘抄、翻译、复制本文档内容的部分或全部，不得以任何方式或途径进行传播和宣传。
3. 由于产品版本升级、调整或其他原因，本文档内容有可能变更。
阿里云保留在没有任何通知或者提示下对本文档的内容进行修改的权利，并在阿里云授权通道中不时发布更新后的用户文档。
您应当实时关注用户文档的版本变更并通过阿里云授权渠道下载、获取最新版的用户文档。
4. 本文档仅作为用户使用阿里云产品及服务的参考性指引，阿里云以产品及服务的“现状”、“有缺陷”和“当前功能”的状态提供本文档。
阿里云在现有技术的基础上尽最大努力提供相应的介绍及操作指引，但阿里云在此明确声明对本文档内容的准确性、完整性、适用性、可靠性等不作任何明示或暗示的保证。
任何单位、公司或个人因为下载、使用或信赖本文档而发生任何差错或经济损失的，阿里云不承担任何法律责任。
在任何情况下，阿里云均不对任何间接性、后果性、惩戒性、偶然性、特殊性或刑罚性的损害，包括用户使用或信赖本文档而遭受的利润损失，承担责任（即使阿里云已被告知该等损失的可能性）。
5. 阿里云网站上所有内容，包括但不限于著作、产品、图片、档案、资讯、资料、网站架构、网站画面的安排、网页设计，均由阿里云和/或其关联公司依法拥有其知识产权，包括但不限于商标权、专利权、著作权、商业秘密等。
非经阿里云和/或其关联公司书面同意，任何人不得擅自使用、修改、复制、公开传播、改变、散布、发行或公开发表阿里云网站、产品程序或内容。
等级保护测评指导书
1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。
检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。
机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。
b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。
1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。
2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。
1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。
b)检查机房出入口等过程，测评信息系统在物访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是1）来访人员进入机房需经过申请、审批流程并记录； 2）进入机房有机房管理人员理访问控制方面的安全防范能力。
否限制和监控其活动范围。
检查：检查是否有来访人员进入机房的审批记录。
陪同并监控和限制其活动范围。
c)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
等级保护测评服务服务方案
等级保护测评服务服务方案等级保护测评服务服务方案一、服务背景和目标随着社会的不断进步和人们对个人发展的追求，等级保护测评服务成为了一种越来越受欢迎的服务方式。
等级保护测评服务通过对个人的能力、技能、知识和经验进行评估，为个人提供个人发展的方向和目标，帮助他们提升自己的职业能力和竞争力，实现自身价值的最大化。
本服务方案旨在提供一种全面、多层次的等级保护测评服务，帮助个人实现职业规划和个人发展目标。
二、服务内容和流程1.需求分析：与客户进行沟通，了解他们的需求和期望，确定测评的具体目标和要求。
2.测评工具选择：根据客户的需求，选择合适的测评工具，如能力测评、技能测评、知识测评等，确保测评结果的准确性和可靠性。
3.测评实施：根据测评工具的要求，对客户进行测评，收集相关数据和信息，评估客户的能力、技能、知识和经验水平。
4.数据分析：对收集到的数据进行分析和整理，将客户的测评结果转化为客观的评估报告，呈现客户的优势和不足之处。
5.结果反馈：将测评结果反馈给客户，让他们了解自己的能力强项和发展潜力，提供相应的职业规划和发展建议。
6.个性化咨询：根据客户的测评结果和特点，为他们提供个性化的职业咨询和发展建议，帮助他们制定职业发展计划和目标。
7.定期跟踪：与客户保持定期联系和跟踪，了解他们的发展情况和需求变化，为他们提供持续的职业咨询和支持。
三、服务特色和竞争优势1.多维度测评：本服务方案采用多种测评工具，包括能力、技能、知识等多个方面的评估，从多个维度全面评估客户的职业能力和潜力。
2.个性化咨询：根据客户的测评结果和特点，为他们提供个性化的咨询和建议，帮助他们制定个人职业发展计划和目标，实现个人发展的最大化。
3.专业团队：本服务方案由一支专业的团队提供服务，拥有丰富的测评经验和专业知识，能够为客户提供准确、可靠的测评结果和咨询建议。
4.持续支持：本服务方案提供定期跟踪和支持，与客户保持联系，了解他们的发展情况和需求变化，为他们提供持续的职业咨询和支持，帮助他们实现个人职业发展目标。
阿里云等保三级基本要求
阿里云等保三级基本要求"等保" 是中国政府对信息系统安全的等级保护制度，分为三个级别：等保一级、等保二级、等保三级。
阿里云等保三级基本要求主要涵盖了以下几个方面：1. 基础设施安全•网络架构：采用防火墙、入侵检测系统（IDS）、虚拟专用云（VPC）等技术构建安全的网络架构。
•数据中心：使用符合等保三级要求的安全、可靠的数据中心，确保基础设施的物理安全性。
2. 身份认证和访问控制•身份验证：实施强身份认证机制，包括多因素认证，确保用户身份的安全。
•访问控制：建立精确的访问控制策略，确保只有授权用户能够访问敏感信息和系统功能。
3. 数据安全•加密：对敏感数据进行加密存储和传输，确保数据在存储和传输过程中的机密性。
•备份与恢复：定期备份关键数据，并建立完善的数据恢复机制，防范数据丢失或遭受攻击后的损失。
4. 系统审计与监控•安全审计：实施系统操作的审计，记录关键系统活动，以便追溯和分析潜在的安全问题。
•实时监控：部署实时监控系统，及时检测和应对潜在的安全威胁。
5. 安全运维管理•漏洞管理：及时修复系统和应用程序中的漏洞，保持系统处于最新的安全状态。
•应急响应：制定完善的应急响应计划，对可能的安全事件做出迅速而有效的反应。
6. 合规性管理•合规审查：定期进行安全合规性审查，确保符合相关法规和标准的要求。
•报告和记录：定期生成安全报告，记录安全事件和管理活动，为合规性审查提供支持。
7. 培训与意识•培训计划：开展定期的安全培训，提高员工的信息安全意识和技能。
•安全文化建设：建立积极的安全文化，使员工将安全作为工作中的重要因素。
阿里云等保三级基本要求的具体细节可能根据政策的变化而有所更新，因此建议用户定期查阅阿里云等保三级文档和政策，以保持最新的合规性。
等级保护测评指导书
1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。
检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。
机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。
b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。
1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。
2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。
1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。
b)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是否限制和监控其活动范围。
检查：检查是否有来访人员进入机房的审批记录。
1）来访人员进入机房需经过申请、审批流程并记录；2）进入机房有机房管理人员陪同并监控和限制其活动范围。
c)检查机房出入口等过程，测评信息系统在物理访问控访谈：访谈物理安全负责人，是否对机房进行了划分区域管理，是否对各个区域都有专门的管理要求；检1）对机房进行了划分区域管理； 2）对各个区域都有专门的管理要求。
等保2.0(3级)安全计算环境评测项与详细评测步骤
和应用程序；
动终端、移动终端管理系统、 应用程序。
移动终端管理客户端、感知节
点设备、网关节点设备、控制
16
设备等；
b)应关闭不需要的系统
服务、默认共享和高危 同上
17
端口；
1、应核查是否关闭了非必要的系统服 务和默认共享； 2、应核查是否不存在非必要的高危端 口。
c)应通过设定终端接入
方式或网络地址范围对 通过网络进行管理的管
15
断。
应测试验证通过非审计管理员的其他账 户来中断审计进程，验证审计进程是否 受到保护。
终端和服务器等设备中的操作
系统（包括宿主机和虚拟机操 作系统）、网络设备（包括虚
a)应遵循最小安装的原 拟机网络设备）、安全设备 1、应核查是否遵循最小安装原则；
则，仅安装需要的组件 （包括虚拟机安全设备）、移 2、应核查是否未安装非必要的组件和
拟机网络设备）、安全设备 （包括虚拟机安全设备）、移 动终端、移动终端管理系统、 移动终端管理客户端、感知节 点设备、网关节点设备、控制
1、应核查是否为用户分配了账户和权 限及相关设置情况； 2、应核查是否已禁用或限制匿名、默 认账户的访问权限
设备、业务应用系统、数据库
管理系统、中间件和系统管理
5
软件及系统设计文档等；
1
求并定期更换；
软件及系统设计文档等；
1、应核查是否配置并启用了登录失败
b)应具有登录失败处理
处理功能；
身份鉴 功能，应配置并启用结 别 束会话、限制非法登录 次数和当登录 连接超时自动退出等相
2、应核查是否配置并启用了限制非法 登录功能，非法登录达到一定次数后采 取特定动作，如账号锁定等； 3、应核查是否配置并启用了登录连续
分级保护测评内容
分级保护测评内容一、基础设施安全1.物理安全：包括物理访问控制、物理安全审计、防盗窃和防破坏等。
2.网络安全：包括网络和通信安全、网络设备安全、网络服务安全等。
3.主机安全：包括主机设备安全、主机操作系统安全、应用软件安全等。
4.身份和访问管理：包括用户身份认证、访问控制、会话管理、审计跟踪等。
二、数据安全1.数据传输安全：包括数据加密、数据传输安全协议等。
2.数据存储安全：包括数据加密存储、数据备份和恢复等。
3.数据处理安全：包括数据加密处理、数据脱敏处理等。
4.数据安全审计：包括数据安全事件监控、审计跟踪等。
三、用户隐私保护1.用户隐私保护政策：包括隐私保护政策制定和发布、用户隐私保护意识培训等。
2.用户数据采集：包括用户数据采集范围、采集方式、存储和使用等。
3.用户数据保护：包括数据加密、数据脱敏、数据备份和恢复等。
4.用户隐私保护审计：包括隐私保护事件监控、审计跟踪等。
四、应急响应能力1.应急预案制定：包括应急预案制定和发布、应急预案培训和演练等。
2.应急响应组织：包括应急响应小组设立、应急响应流程制定等。
3.应急技术能力：包括应急处置工具、应急技术研究和储备等。
4.应急响应效果评估：包括应急响应效果评估和总结、应急预案修订等。
五、法律法规合规性1.相关法律法规遵循情况：包括个人信息保护法、网络安全法等相关法律法规的遵循情况。
2.合规性审核和管理：包括合规性审核流程制定、合规性审核结果记录等。
3.合规性培训和宣传：包括合规性培训计划制定和实施、合规性宣传等。
4.合规性监督和检查：包括合规性监督机制设立、合规性检查开展等。
5.六、系统运维管理6.系统运维流程制定：包括系统运维流程设计、系统运维流程实施等。
2. 系统运维人员管理：包括系统运维人员招聘、系统运维人员培训和考核等。
3.系统运维安全管理：包括系统运维访问控制、系统运维漏洞管理等。
4. 系统运维审计跟踪：包括系统运维活动监控、系统运维审计跟踪等。
等级保护测评服务方案
等级保护测评服务方案方案概述：等级保护测评服务是一种为个人或组织提供安全评估和风险管理的服务。
通过对信息系统的评估和测试，可以帮助客户发现潜在的安全漏洞和风险，并提供针对性的改进建议。
本方案将详细介绍等级保护测评服务的流程、方法和收益，并提供具体的操作方案。
一、服务流程：1. 前期准备：与客户确定评估范围和目标，确定测评方式和时间。
2. 信息收集：对目标系统进行调研和信息收集，包括系统架构、配置情况、漏洞信息等。
3. 风险评估：根据信息收集结果，对系统的安全风险进行评估，分析系统的脆弱点和可能的攻击路径。
4. 漏洞扫描：使用现有的漏洞扫描工具对系统进行扫描，发现可能存在的漏洞。
5. 安全测试：根据评估目标和范围，进行安全测试，包括黑盒测试、白盒测试等。
6. 报告编写：整理评估和测试结果，撰写详细的测评报告，包括发现的漏洞和建议的改进措施。
7. 反馈和改进：与客户分享测评结果，提供风险治理和改进建议，共同制定安全改进计划。
二、服务方法：1. 基础测评：对系统进行基本的安全扫描和测试，主要检测常见的安全漏洞，如弱口令、未授权访问、SQL注入等。
2. 高级测评：除了基本的扫描和测试外，还进行更深入的安全测试，如手工渗透测试、社会工程学测试等，以发现更隐蔽的漏洞。
3. 应用测评：针对具体的应用系统进行测试，检测应用程序中可能存在的安全风险，如文件上传漏洞、跨站脚本攻击等。
4. 数据保护测评：对客户的数据存储和传输进行评估，检测数据加密、访问控制等措施的有效性。
5. 网络安全测评：对网络设备和拓扑进行评估，发现网络架构和配置中可能存在的风险。
三、收益和优势：1. 发现潜在的安全威胁和漏洞，减少安全事故的风险。
2. 提供针对性的改进建议和解决方案，帮助客户改进安全防护措施。
3. 增强客户对系统安全的了解和掌控，提升整体的安全意识和能力。
4. 提供全面的安全评估，包括系统、应用、网络和数据等多个方面。
5. 依据国内外安全标准和最佳实践进行评估，保证评估结果的可信度和权威性。
云计算安全等级保护测评要求
云计算安全等级保护测评要求在当今数字化时代，云计算作为一种创新的计算模式，为企业和个人带来了高效、灵活和便捷的服务。
然而，伴随着云计算的广泛应用，其安全问题也日益凸显。
为了保障云计算环境中的信息安全，确保业务的稳定运行，云计算安全等级保护测评成为了至关重要的环节。
云计算安全等级保护测评，简单来说，就是依据相关标准和规范，对云计算系统的安全性进行评估和检测，以确定其是否达到了一定的安全等级要求。
这一测评工作不仅有助于发现潜在的安全风险和漏洞，还能为云计算服务提供商和用户提供改进和优化安全措施的依据。
首先，我们来了解一下云计算的特点以及其给安全带来的挑战。
云计算具有虚拟化、资源共享、弹性扩展等特点。
虚拟化技术使得多个虚拟机可以在同一物理服务器上运行，增加了资源利用率，但也导致了安全边界模糊，难以明确界定和防护。
资源共享则可能导致数据泄露和非法访问的风险增加，因为多个用户的数据可能存储在相同的物理设备上。
弹性扩展在带来便利的同时，也对安全策略的动态调整和部署提出了更高的要求。
在进行云计算安全等级保护测评时，需要关注多个方面的要求。
物理和环境安全方面，云计算数据中心的选址、机房建设、防火防盗等措施必须符合标准。
要确保机房具备稳定的电力供应、良好的温湿度控制以及完善的消防设施。
同时，对于云计算服务提供商的数据中心访问，需要进行严格的身份认证和授权管理，防止未经授权的人员进入。
网络和通信安全也是重点之一。
云计算系统中的网络架构要合理规划，划分不同的安全区域，设置访问控制策略。
网络设备要进行安全配置，防止网络攻击和非法访问。
对于数据在网络中的传输，要采用加密技术保障其机密性和完整性。
此外，还需要关注网络流量监控和异常检测，及时发现潜在的安全威胁。
设备和计算安全不容忽视。
云计算中的服务器、存储设备等硬件设施要进行安全管理，包括定期的漏洞扫描和补丁更新。
对于虚拟机的管理，要确保虚拟机之间的隔离，防止资源滥用和数据交叉感染。
信息安全等级保护测评技术规格书
信息安全等级保护测评技术规格书一、项目概述:随着网络安全法的正式施行, 网络安全等级保护工作上升为一项基本国策。
与此同时, 跟随网络安全法配套的各项规章条例以及标准规范也逐一落实, 2018年6月27日, 公安部发布《网络安全等级保护条例（征求意见稿）》（以下简称“《保护条例》”）。
作为《网络安全法》的重要配套法规, 《保护条例》对网络安全等级保护的适用范围、各监管部门的职责、网络运营者的安全保护义务以及网络安全等级保护建设提出了更加具体、操作性也更强的要求。
为此, 我公司提出了《信息系统信息安全测评项目》, 项目旨参照相关安全安全标准对我公司目前运行的信息系统开展安全测评, 确保其高效、稳定、安全地运行。
欢迎国内具有独立承担民事责任的企业, 具备相关资格（具备信息安全等级保护测评资质）条件的供应商参加。
二、项目实施范围:芜湖新兴铸管有限责任公司的信息安全等级保护测评服务项目, 等保测评级别按国家对我公司信息安全等级保护工作的相关法律和技术标准要求执行。
定级系统: （二级）①公司OA办公系统；②物流系统；③采购系统；④质量中心系统；⑤炼铁部-工业网络系统；⑥铸管部-工业网络系统；工作范围包括我公司的等保检测定级、公安系统备案、建设整改、测评报告等工作, 完成国家相关部门对我公司的信息安全要求。
项目实施内容:1.安全检查（1）信息安全现状问题检查, 包括信息安全管理、信息安全技术、信息安全运维等各方面问题分析；（2）信息安全存在的主要问题及风险, 包括信息安全管理、信息安全技术、信息安全运维等各方面存在的问题及期潜在风险；（3）信息安全问题改进建议, 包括信息安全管理、信息安全技术、信息安全运维等各方面整改建议、具体实施方案以及改进期望值。
2.信息安全等级保护检测根据国家对信息安全等级保护工作的相关法律和技术标准要求, 结合本项目的系统保护等级开展实施与之相应的检查工作, 具体检查内容应包括：对信息系统进行等级保护差距测评, 测评内容包括物理安全、网络安全、主机安全、应用安全、数据安全及备份、安全管理。
等保测评要求控制点和测试项
等保测评要求控制点和测试项1. 引言等保测评是指对信息系统的安全性进行评估和测试，以确保其符合等级保护要求。
等级保护是指根据信息系统所处的环境、重要性等因素，对其进行划分并给予相应的安全防护措施。
在进行等保测评时，需要明确控制点和测试项，以确保系统能够满足相应的安全要求。
本文将从等保测评的角度出发，详细介绍控制点和测试项，并为每个控制点列举相关的测试项目。
2. 控制点及测试项2.1 安全策略与规划控制点：•安全策略与规划是否明确•是否有相关政策、标准、规范和流程文件•是否有专门负责安全事务的部门或人员•是否有定期更新安全策略和规划的机制测试项：•安全策略与规划文档是否完整、合理•是否有相关政策、标准、规范和流程文件，并且是否得到有效执行•安全事务部门或人员是否具备相关技能和经验•安全策略和规划是否定期更新，并且是否与实际情况相符2.2 资产管理控制点：•是否对信息系统的资产进行了明确的分类和归档•是否有完整的资产清单和登记台账•是否有专门负责资产管理的部门或人员•是否有定期更新资产清单和登记台账的机制测试项：•资产是否按照重要性进行了分类和归档，并且是否得到有效保护•资产清单和登记台账是否完整、准确，是否能够及时反映系统中的变动•负责资产管理的部门或人员是否具备相关技能和经验•资产清单和登记台账是否定期更新，并且是否与实际情况相符2.3 访问控制控制点：•是否有明确的访问控制策略和权限管理机制•是否对用户进行身份认证、授权和审计•是否有访问控制日志记录并进行分析•是否对系统中的敏感数据进行加密保护测试项：•访问控制策略和权限管理机制是否合理、有效，能够防止非法访问•用户身份认证、授权和审计机制是否完善，并且能够及时发现和处置异常行为•访问控制日志记录是否完整、准确，是否能够及时发现安全事件•敏感数据是否得到了加密保护，并且加密算法是否安全2.4 通信管理控制点：•是否有明确的网络拓扑和通信策略•是否对网络进行了安全隔离和流量监控•是否有防火墙、入侵检测系统等安全设备•是否对通信进行了加密保护测试项：•网络拓扑和通信策略是否合理、有效，能够防止未授权的访问和数据泄露•网络安全隔离和流量监控机制是否得到有效执行，能够及时发现和处置异常行为•安全设备是否正常运行，并且能够有效防止网络攻击•通信是否得到了加密保护，并且加密算法是否安全2.5 安全运维控制点：•是否有明确的安全运维策略和操作规范•是否有专门负责安全运维的部门或人员•是否有定期进行系统漏洞扫描和补丁升级•是否对系统进行日志管理和事件响应测试项：•安全运维策略和操作规范是否合理、有效，能够确保系统的安全性•负责安全运维的部门或人员是否具备相关技能和经验•系统漏洞扫描和补丁升级是否得到有效执行，并且是否及时处理漏洞•日志管理和事件响应机制是否完善，能够及时发现和处置安全事件2.6 安全监测与预警控制点：•是否有明确的安全监测与预警策略•是否有监测设备和系统，并进行了有效配置•是否有预警机制，并对预警信息进行了及时处理•是否进行了安全事件的跟踪、分析和处置测试项：•安全监测与预警策略是否合理、有效，能够及时发现异常行为和安全事件•监测设备和系统是否正常运行，并且配置合理，能够准确识别异常行为•预警机制是否得到有效执行，对预警信息进行了及时处理•安全事件的跟踪、分析和处置机制是否完善，能够追溯并处置安全事件3. 总结本文详细介绍了等保测评要求中的控制点和测试项，从安全策略与规划、资产管理、访问控制、通信管理、安全运维以及安全监测与预警等方面对系统进行了全面的评估。
等级保护测评-安全测评通用要求
一．安全物理环境1 物理位置选择测评单元(L3-PES1-01)该测评单元包括以下要求：a) 测评指标：机房场地应选择在具有防震、防风和防雨等能力的建筑内。
b) 测评对象：记录类文档和机房。
c) 测评实施包括以下内容：1) 应核查所在建筑物是否具有建筑物抗震设防审批文档；2) 应核查机房是否不存在雨水渗漏；3) 应核查门窗是否不存在因风导致的尘土严重；4) 应核查屋顶、墙体、门窗和地面等是否不存在破损开裂。
d) 单元判定：如果1)~4)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
测评单元(L3-PES1-02)该测评单元包括以下要求：a) 测评指标：机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
b) 测评对象：机房。
c) 测评实施：应核查机房是否不位于所在建筑物的顶层或地下室，如果否，则核查机房是否采取了防水和防潮措施。
d) 单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 物理访问控制测评单元(L3-PES1-03)该测评单元包括以下要求：a) 测评指标：机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。
b) 测评对象：机房电子门禁系统。
c) 测评实施包括以下内容：1) 应核查出入口是否配置电子门禁系统；2) 应核查电子门禁系统是否可以鉴别、记录进入的人员信息。
d) 单元判定：如果1)和2) 均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
3 防盗窃和防破坏测评单元(L3-PES1-04)该测评单元包括以下要求：a) 测评指标：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
b) 测评对象：机房设备或主要部件。
c) 测评实施包括以下内容：1) 应核查机房内设备或主要部件是否固定；2) 应核查机房内设备或主要部件上是否设置了明显且不易除去的标识。
d) 单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
信息安全技术网络安全等级保护云计算测评指引
信息安全技术网络安全等级保护云计算测评指引信息安全技术网络安全等级保护云计算测评指引是为了对云计算环境下的信息安全性进行评估和保护而制定的指导方针。
云计算作为一种新兴的计算模式，提供了大规模的计算能力和数据存储服务，但同时也带来了新的安全挑战。
因此，为了保护用户的数据安全和隐私，有必要制定相应的测评指引。
一、测评目的该测评指引的目的是为了评估和保护云计算环境下的信息安全性，包括数据的机密性、完整性和可用性，以及计算资源的合规性和可信度。
通过对云计算环境的综合评估，可以建立安全保护措施和流程，为用户提供更可靠的云服务。
二、测评内容1.云计算基础设施的安全性评估：包括云计算平台的物理安全措施、网络安全措施、系统安全措施等方面的评估，以保证基础设施的安全性。
2.云计算服务的安全性评估：包括云计算服务提供商的安全管理措施、身份认证与访问控制、数据加密与隔离、数据备份与恢复等方面的评估，以保证云服务的安全性。
3.云计算数据的安全性评估：包括数据的保密性、数据的完整性、数据的可用性、数据的溯源能力等方面的评估，以保证用户数据的安全性。
4.云计算合规性评估：包括对云计算服务提供商的合规性管理、数据隐私保护、个人信息保护等方面的评估，以保证用户合规要求的满足。
三、测评方法1.基于风险管理的方法：根据云计算环境中的风险特征，进行风险评估和分级，将风险作为测评的出发点，制定相应的信息安全控制措施。
2.基于漏洞分析的方法：对云计算环境中可能存在的漏洞进行分析和评估，发现潜在的风险，并提出相应的修复方案和补丁。
3.基于威胁情报的方法：利用威胁情报分析和监测技术，对云计算环境中的威胁进行实时监测和预警，及时采取安全防护措施。
四、测评指标根据上述测评内容和方法，可以制定相应的测评指标，如物理安全指标、网络安全指标、系统安全指标、身份认证与访问控制指标、数据加密与隔离指标、数据备份与恢复指标、数据保密性指标、数据完整性指标等，以评估和保证云计算环境下的信息安全性。
等级保护测评技术方案级路线-概述说明以及解释
等级保护测评技术方案级路线-概述说明以及解释1.引言1.1 概述等级保护测评技术方案旨在评估系统或网络的安全等级，并提供相应的保护方案。
随着信息技术的迅速发展，网络安全问题愈发凸显，各种安全威胁不断涌现，因此急需一种有效的等级保护测评技术方案来应对这些挑战。
本文将介绍该技术方案的实施步骤，探讨其优势与局限性，以及展望未来发展方向，希望能为网络安全领域的发展提供一定的参考和借鉴。
1.2 文章结构文章结构部分包括了文章整体的框架和组织方式，主要用于说明文章的布局和内容安排。
本文的文章结构分为引言、正文和结论三个部分。
引言部分包括了概述、文章结构和目的三个部分，通过对研究主题进行简要介绍、阐述文章的框架和目的，引导读者对后续内容有所了解。
正文部分分为等级保护测评技术方案、技术方案的实施步骤和技术方案的优势与局限性三个部分，详细介绍了等级保护测评技术方案的设计理念、具体操作步骤以及技术方案在实际应用中的优势和局限性。
结论部分包括了总结、展望未来发展和结论三个部分，对本文的研究内容进行总结和概括，展望未来研究方向，最终得出结论。
通过以上的文章结构，读者可以清晰了解本文的内容安排和信息呈现方式，帮助读者更好地理解文章主题和研究成果。
1.3 目的目的部分的内容应该阐明本文章的写作目的，即介绍等级保护测评技术方案的目的和意义。
等级保护测评技术方案旨在评估系统或设备在数据保护方面的安全性等级，以确保其符合相关监管和标准要求。
通过本文的介绍和分析，读者可以了解到等级保护测评技术方案的重要性，以及如何通过该方案提升系统或设备的安全等级，并有效保护数据安全。
同时，本文还旨在探讨技术方案实施的步骤和优势与局限性，为读者提供深入了解和应用等级保护测评技术方案的指导和参考。
2.正文2.1 等级保护测评技术方案等级保护测评技术方案是指基于一定的标准和方法，对信息系统进行等级保护测评，评估系统的安全性和等级保护水平。
通过这一技术方案，可以全面了解信息系统的安全状况，找出存在的安全风险和问题，为系统的安全管理和加固提供指导和依据。
2级等级保护测评的详细文字描述
2级等级保护测评的详细文字描述引言等级保护测评是评估一个系统或软件的安全性和稳定性的一种方法。
本文将详细介绍2级等级保护测评，包括测评方法、关键步骤以及测评结果的解读。
1.测评方法2级等级保护测评采用了多种评估方法，以确保系统的安全性和可靠性得到全面检验。
主要方法包括：1.1系统分析对系统进行全面的分析，包括架构分析、数据流分析、边界分析等，以确定系统的关键组成部分和信息流动情况。
1.2安全需求分析根据等级保护的要求，对系统的安全需求进行深入分析和定义，确保系统在设计、开发和运行过程中能够满足安全需求。
1.3安全策略评估评估系统的安全策略，包括访问控制、身份认证、数据加密等，确保系统采用了适当的安全策略来保护敏感数据和关键操作。
1.4安全漏洞分析通过漏洞扫描和安全测试等手段，识别系统中可能存在的安全漏洞，并提出相应的修复建议，以增强系统的安全性。
2.关键步骤2级等级保护测评包括以下关键步骤：2.1前期准备在进行测评之前，需要对系统进行充分的准备工作。
包括确定测评的范围和目标、收集系统的相关文档和资料，以及与相关人员进行沟通和协调。
2.2测试环境搭建搭建适合进行等级保护测评的测试环境，包括硬件设备、软件工具和网络环境的准备。
确保测试环境与实际运行环境相似，以得到准确的测评结果。
2.3测试计划制定根据系统的特点和测评目标，制定详细的测试计划，包括测试方法、测试步骤、测试资源等。
确保测试计划能够全面、有效地评估系统的安全性和稳定性。
2.4测试执行和记录按照测试计划的要求进行测试执行，记录测试过程中的关键信息和测试结果。
包括系统的漏洞、测试的错误日志以及系统的行为等。
2.5测试结果分析和报告对测试结果进行分析和总结，生成详细的测试报告。
报告中包括测试的目标、测试方法、测试结果以及对测试结果的解读和建议。
3.测评结果的解读根据2级等级保护测评的结果，可以对系统的安全性和稳定性进行评估和判断。
主要包括以下几个方面：3.1系统的安全性根据测评结果，评估系统的安全性能力，包括系统的访问控制、数据保护、身份认证等方面。
信息安全技术网络安全等级保护云计算测评指引
ICS xx.xxxL xx团体标准T/ISEAA XXX-2019信息安全技术网络安全等级保护云计算测评指引Information security technology—Testing and evaluation guideline of cloud computing forclassified production of cybersecurity（征求意见稿）20XX -XX-XX 发布20XX -XX-XX 实施中关村信息安全测评联盟发布目次前言 (II)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 概述 (2)5 云计算等级测评实施 (3)6 云计算等级测评问题分析 (7)7 云计算等级测评结论分析 (8)附录A 被测系统基本信息表（样例） (10)附录B 云计算平台服务（样例） (12)前言为配合国家网络安全等级保护制度2.0全面推进，更好的指导等级测评机构在云计算环境下开展等级测评工作，加强、规范云计算安全等级测评工作的独立性、客观性、合规性及有效性，依据网络安全等级保护2.0相关系列标准，制定网络安全等级保护云计算安全等级测评指引，本指引遵从下列标准规范：—— GB/T 22239—2019 信息安全技术网络安全等级保护基本要求；—— GB/T 28448—2019 信息安全技术网络安全等级保护测评要求；—— GB/T 28449—2018 信息安全技术网络安全等级保护测评过程指南。
本标准由中关村信息安全联盟提出并归口。
本标准起草单位：公安部第三研究所（公安部信息安全等级保护评估中心）、阿里云计算有限公司、深信服科技股份有限公司、电力行业信息安全等级保护测评中心、国家信息技术安全研究中心、国家网络与信息系统安全产品质量监督检验中心、中国金融电子化公司测评中心、交通运输信息安全中心有限公司、信息产业信息安全测评中心、公安部第一研究所、中国信息通信研究院、国家信息中心、教育部信息安全等级保护测评中心、国家计算机网络与信息安全管理中心、安徽省信息安全测评中心、广西网信信息安全等级保护测评有限公司、中国电信集团系统集成有限责任公司、成都市锐信安信息安全技术有限公司。
等保测评指导书
等保测评指导书1. 引言等级保护测评（DengBao CePing），简称等保测评，是指根据《信息安全等级保护管理办法》（以下简称《等保办法》）和《信息系统安全等级保护测评实施细则》（以下简称《测评细则》），通过对信息系统的技术、管理、运维等方面进行评估，划分信息系统安全等级并给出相应的保护要求的过程。
本文将介绍等保测评的基本概念、流程以及相关指导，以帮助组织和个人更好地理解和应用等保测评。
2. 等保测评概述2.1 什么是等保测评等保测评是根据《等保办法》与《测评细则》的要求，对信息系统进行评估，评定其安全等级，并对其安全保护要求进行划分的过程。
等保测评有助于组织和个人了解信息系统的安全状态以及满足不同等级保护的要求。
2.2 等保测评流程等保测评的流程通常包括以下几个步骤：2.2.1 准备工作在进行等保测评之前，需要仔细准备，包括制定测评计划、确定测评对象和范围、组建测评团队等。
2.2.2 系统调查对系统进行详细的调查，包括收集系统相关的资料和文档、了解系统的功能和架构等。
2.2.3 安全评估通过对系统的技术和管理层面进行评估，确定系统的安全等级。
2.2.4 功能测评对系统的功能进行测试和评估，确保系统满足相应的保护要求。
2.2.5 缺陷整改根据测评结果，对系统中存在的安全问题进行整改和修复，提升系统的等保水平。
2.2.6 测评报告编写根据测评结果，撰写测评报告，将系统的安全等级、保护要求以及整改情况进行详细说明。
2.3 等保测评的重要性等保测评的重要性主要体现在以下几个方面：•保障信息系统的安全性：通过等保测评，可以评估和测试系统的安全性，并制定相应的保护措施，保障信息系统的安全。
•合规要求：等保测评是企事业单位信息系统安全保护的基础，也是履行法律法规要求的重要手段。
•提升组织能力：等保测评不仅可以提升组织在信息安全方面的能力，还有助于组织了解自身的安全风险。
3. 等保测评指导进行等保测评时，需要遵循以下指导原则：3.1 确定测评等级根据系统的性质、功能和重要性等因素，确定适当的测评等级，并明确相应的保护要求。
等级保护三级技术类测评控制点全解
机房场地应避免设在建筑物的高层或地下室, 以及用水设备的下层或隔壁。（G3）
物理访问控制
3.
机房出入口应安排专人值守,控制、鉴别和记录进入的人员。（G2）
访谈, 检查。
物理安全负责人, 机房值守 人员, 机房, 机房安全管理制度, 值守记录, 进入机房的 登记记录, 来访人员进入机房的审批记录。
49.
审计记录应包括: 事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。（G2）
50.
应能够根据记录数据进行分析, 并生成审计报表。（G3）
51.
应对审计记录进行保护, 避免受到未预期的删除、修改或覆盖等。（G3）
边界完整性检查
52.
应能够对非授权设备私自联到内部网络的行为进行检查, 准确定出位置, 并对其进行有效阻断。（G3）
70.
应为操作系统和数据库系统的不同用户分配不同的用户名,确保用户名具有唯一性。（G2）
71.
应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。（G3）
访问控制
72.
应启用访问控制功能,依据安全策略控制用户对资源的访问。（G2）
访谈, 检查。
服务器操作系统、数据库, 服务器操作系统文档, 数据库管理系统文档。
20.
应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。（G2）
21.
应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。（G2）
22.
应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。（G3）
防静电
23.
主要设备应采用必要的接地防静电措施。（G2）
访谈, 检查。
物理安全负责人, 机房维护人员, 机房设施, 防静电设计/验收文档。
等保测评服务理念
等保测评服务理念一、客户至上等保测评服务始终坚持客户至上的原则，为客户提供全方位、高质量的服务。
我们深知客户的信任和支持是企业发展的基石，因此始终将客户需求放在首位，积极倾听客户的声音，不断优化服务流程，提升客户满意度。
二、保密性等保测评服务高度重视保密工作，严格遵守国家法律法规和客户隐私要求。
我们采取严格的保密措施，确保客户信息的保密性、完整性和可用性，防止信息泄露、损坏或丢失。
同时，我们也要求员工树立保密意识，加强保密培训，确保客户信息的安全可靠。
三、完整性等保测评服务注重保障客户信息的完整性，确保客户数据在传输和存储过程中不被篡改或损坏。
我们采取相应的技术和管理措施，对客户信息进行严格监控和保护，防止未经授权的修改或破坏。
同时，我们也要求员工保持诚信守信，自觉维护客户信息的完整性。
四、可用性等保测评服务致力于保障客户信息的可用性，确保客户能够及时、准确地获取和使用所需的信息。
我们采取合理的备份和恢复措施，确保客户信息在意外情况下能够迅速恢复和使用。
同时，我们也积极关注客户需求的变化，不断优化服务方案，提高客户信息的可用性。
五、可持续性等保测评服务注重服务的可持续性发展，不断优化和完善服务体系，提升服务质量和竞争力。
我们注重人才培养和技术创新，加强内部管理和团队建设，确保服务的可持续性发展。
同时，我们也关注行业发展趋势和客户需求变化，积极调整和优化服务策略，保持服务的前瞻性和领先地位。
六、及时响应等保测评服务注重及时响应客户需求，建立快速响应机制，确保客户需求得到及时处理和解决。
我们提供24小时在线服务，随时解答客户的疑问和问题，同时积极与客户沟通交流，了解客户需求和反馈意见，不断提升服务质量和效率。
七、专业团队等保测评服务拥有一支专业化的服务团队，具备丰富的行业经验和专业技能。
我们注重团队建设和发展，不断加强员工的培训和教育，提升团队整体素质和服务水平。
同时，我们也鼓励团队成员不断学习和创新，提高个人专业能力和服务水平，为客户提供更优质的服务。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
物理安全
物理安全
d)应对介质分类标识，存储在介质库或 存储介质进行了分类标识管理； 档案室中。 介质存储地点： 存储仓库 ； 机房设置了视频监控报警系统，7*24 e)主机房应安装必要的防盗报警设施。 无死角监控，监控室 24 小时有专人值 守。 a)机房建筑应设置避雷装置。 b)机房应设置交流电源地线。
阿里云客户等级保护测评说明
阿里云测评情况/需要客户测评机构测 安全层面 安全控制点 内容 评的说明
阿里云测评得分/测评需要客户测评机 构开展
物理安全
物理位置的 选择
a)机房和办公场地应选择在具有防震、 防风和防雨等能力的建筑内。
机房所在大楼具有防震、防雨和防风能 阿里云该项测评得分 5 分。 力，并通过了机房专业验收，提供了 《机房验收报告》。
物理安全
防水和防潮
b)应采取措施防止雨水通过机房窗户、 机房设有漏水检测带，通过人工巡检和 阿里云该项测评得分 5 分。 屋顶和墙壁渗透。 远程监控结合的方式检测积水和渗透。
物理安全
防水和防潮
c)应采取措施防止机房内水蒸气结露和 机房设置了漏水传感器，通过艾默生监 阿里云该项测评得分 5 分。 地下积水的转移与渗透。 控ห้องสมุดไป่ตู้统可以进行防水检测和报警。
阿里云测评得分/测评需要客户测评机 构开展
阿里云提供了安全审计服务，应测评客 阿里云该项测评得分 5 分，但该项应测 VPC、安全组配置）开展了审计。 阿里云提供了访问控制服务，可以对客 阿里云该项测评得分 5 分，但该项应测
间、用户、事件类型、事件是否成功及 户是否采用，对云上的虚拟资源（包括 评客户的虚拟网络情况。
阿里云测评情况/需要客户测评机构测 安全层面 安全控制点 内容 评的说明 则配置等）的对应关系，不应测试的是 阿里云平台自身的物理网络拓扑。 阿里云平台的物理网络拓扑涉及到整个 云平台，出于信息安全保密原因，也不 便向所有客户规模披露。
阿里云测评得分/测评需要客户测评机 构开展
该项应测试的是阿里云客户是否根据业 阿里云该项测评得分 5 分，但该项应测 d)应根据各部门的工作职能、重要性和 务情况、系统情况、安全需求在云上虚 评客户的虚拟网络情况。 网络安全 结构安全 所涉及信息的重要程度等因素，划分不 拟网络合理的利用 VPC 的策略、安全组 同的子网或网段，并按照方便管理和控 策略，或自行采购的虚拟防火墙进行规 制的原则为各子网、网段分配地址段 则配置，实现虚拟网络里的区域划分和 区域之间的网络访问控制。 该项应测试阿里云客户是否采用了云盾 阿里云该项测评得分 5 分，但该项应测 a)应在网络边界处监视以下攻击行为： 或安全生态中的虚拟安全防护设备，并 评客户的虚拟网络情况。 网络安全 入侵防范 端口扫描、强力攻击、木马后门攻击、 配置相应的规则，进行网络入侵防范。 拒绝服务攻击、缓冲区溢出攻击、IP 碎片攻击和网络蠕虫攻击等 阿里云提供了基础的云盾 DDOS 防护 （免费版本有一定的阈值限制） ，应查
阿里云测评得分/测评需要客户测评机 构开展 阿里云该项测评得分 5 分，但该项应测 评客户的虚拟网络情况。
c)应按用户和系统之间的允许访问规 网络安全 访问控制 则，决定允许或拒绝用户对受控系统进 行资源访问，控制粒度为单个用户
阿里云该项测评得分 5 分，但该项应测 评客户的虚拟网络情况。
阿里云该项测评得分 5 分，但该项应测 评客户的虚拟网络情况。
机房设置了七氟丙烷自动消防系统，自 阿里云该项测评得分 5 分。 物理安全 防火 a)机房应设置灭火设备和火灾自动报警 动检测火情、自动报警，并自动灭火； 系统。 七氟丙烷有专门的钢瓶间存放，并且有 人工操作的二氧化碳气体灭火设施。 物理安全 防水和防潮 a)水管安装，不得穿过机房屋顶和活动 机房周围无水管安装， 地板下。 未在机房屋顶和活动地板安装水管。 阿里云该项测评得分 5 分。
物理安全
电磁防护
网络安全
结构安全
阿里云测评情况/需要客户测评机构测 安全层面 安全控制点 内容 评的说明 的，可以查看该项的测评得分，但因阿 里云实体交换机、路由器型号、配置信 息涉及到平台的供应链保密信息，以及 出于安全因素考虑（平台的硬件设备型 号、固件版本不应大规模想客户透露， 防止来自黑客的针对性 APT 攻击，这也 是确保平台的实体网络安全，从而确保 客户的系统安全） ，不便把完整的测评 结构披露。 该项应测评阿里云客户购买的 ECS 公 网络安全 结构安全 b)应保证接入网络和核心网络的带宽满 足业务高峰期需要 网带宽是否满足其业务高峰需求。 因阿里云为全国多 ISP BGP 接入的网 络，带宽上不会成为阿里云客户带宽瓶 颈。
物理安全
电力供应
足关键设备在断电情况下的正常运行要 临时供电。 求。 a)电源线和通信线缆应隔离铺设，避免 互相干扰。 电源线、通信线缆通过机柜顶部桥架隔 阿里云该项测评得分 5 分。 离铺设，并且电源线缆强弱电也是隔 离。 阿里云客户没有使用实体网络设备，在 阿里云该项测评得分 5 分，但该项应测 VPC 环境下，采用的是虚拟网络设备 （虚拟路由、虚拟交换机） ，阿里云的 虚拟网络设备采用的是分布式系统提 a)应保证关键网络设备的业务处理能力 供，根据阿里云业务需求（不是客户的 具备冗余空间，满足业务高峰期需要 业务需求，是阿里云平台总体业务的需 求）进行容量扩充，不会造成客户“网 络设备”的处理性能瓶颈。 该项在阿 里云平台自身的测评中，实体网络的物 理交换机和路由器的能力是经过测评 评客户的虚拟网络情况。
阿里云提供了云监控范围，应测评阿里 阿里云该项测评得分 5 分，但该项应测 值、告警是否配置得当。
况、网络流量、用户行为等进行日志记 云客户是否对网络流量进行了监控，阈 评客户的虚拟网络情况。
阿里云测评情况/需要客户测评机构测 安全层面 安全控制点 内容 评的说明 b)审计记录应包括:事件的日期和时 网络安全 安全审计 其他与审计相关的信息
物理安全
防静电
a)关键设备应采用必要的接地防静电措 机房安装了防静电地板，主要设备采用 阿里云该项测评得分 5 分。 施。 了必要的接地防静电措施。
a)机房应设置温、湿度自动调节设施， 机房部署了多台精密空调，能够实现自 阿里云该项测评得分 5 分。 物理安全 温湿度控制 使机房温、湿度的变化在设备运行所允 动调节温湿度，机房温度控制在 18-25 许的范围之内。 度之间，湿度保持在 60%-70%之间。
阿里云测评得分/测评需要客户测评机 构开展
阿里云该项测评得分 5 分，但该项应测 评客户的虚拟网络情况。
该项应测评的是阿里云客户是否根据云 阿里云该项测评得分 5 分，但该项应测 网络安全 结构安全 c)应绘制与当前运行情况相符的网络拓 上虚拟资源的情况，绘制逻辑的拓扑 扑结构图 图，以及该逻辑拓扑图与云上资源互联 关系、网络 ACL（VPC 配置、安全组规 评客户的虚拟网络情况。
网络安全
网络设备防 护
b)应对网络设备的管理员登录地址进行 限制
阿里云测评情况/需要客户测评机构测 安全层面 安全控制点 内容 评的说明
阿里云测评得分/测评需要客户测评机 构开展
应查看客户的访问控制服务的启用及配 阿里云该项测评得分 5 分，但该项应测 网络安全 网络设备防 护 c)网络设备用户的标识应唯一 置是否合理，子账号与客户负责对网络 评客户的虚拟网络情况。 安全策略（VPC、安全组）的人员是否 有唯一对应关系。 网络设备防 护 d)身份鉴别信息应具有不易被冒用的特 点，口令应有复杂度要求并定期更换 应测评客户如何管理云账号的，包括子 阿里云该项测评得分 5 分，但该项应测 账号，检查其密码策略及口令定期更换 评客户的虚拟网络情况。 情况。 阿里云的对云账号的登录失败处理进行 阿里云该项测评得分 5 分，但该项应测 了风控策略，包括 5 次尝试失败锁定， 评客户的虚拟网络情况。 以及严格的解锁流程，对高危操作还要 网络安全 网络设备防 护 e)应具有登录失败处理功能，可采取结 求二次验证（如短信验证码） 。且客户 束会话、限制非法登录次数和当网络登 可以根据需求配置是否采用动态口令 录连接超时自动退出等措施 TOKEN 进行二次验证。 阿里云控制台设置了登录超时的会话， 时间默认 30 分钟。
阿里云该项测评得分 5 分。
物理安全
物理安全 物理安全
防雷击 防雷击
机房建筑具有防雷措施，措施：大楼顶 阿里云该项测评得分 5 分。 部避雷圈 ； 机房配电设置了防浪涌模块。 阿里云该项测评得分 5 分。
阿里云测评情况/需要客户测评机构测 安全层面 安全控制点 内容 评的说明
阿里云测评得分/测评需要客户测评机 构开展
网络安全
网络设备防 护
a)应对登录网络设备的用户进行身份鉴 别
户登录的云资源的权限进行严格的主子 评客户的虚拟网络情况。 账号分权和身份鉴别（包括二次验 证） ，应测评客户是否采用，和合理配 置策略。 阿里云提供了访问控制服务，可以对客 阿里云该项测评得分 5 分，但该项应测 户登录的云资源的权限进行严格的主子 评客户的虚拟网络情况。 账号分权和身份鉴别（包括二次验 证） ，应测评客户是否采用，和合理配 置策略。 在公共云上，客户连接阿里云平台都是 通过互联网，因此此项与传统场景下的 网络运维有所区别。
物理安全
物理访问控 制
进入园区需要到保安部登记，然后在传 阿里云该项测评得分 5 分。 a)机房出入口应安排专人值守，控制、 达室登记并领取胸牌，然后进入机房有 两道电子门禁系统，用于控制、鉴别和 鉴别和记录进入的人员。 记录人员。 进入机房的来访人员有申请和审批流 程： 来访人员身份证号、姓名报给阿 阿里云该项测评得分 5 分。
阿里云测评情况/需要客户测评机构测 安全层面 安全控制点 内容 评的说明
阿里云测评得分/测评需要客户测评机 构开展
查看主要设备或设备的主要部件设备固 阿里云该项测评得分 5 分。 物理安全 防盗窃和防 破坏 b)应将设备或主要部件进行固定，并设 定情况： 通过螺丝固定在机柜上 ； 置明显的不易除去的标记。 具有明显的不易除去的标记； 标签类型：资产纸质标签； 防盗窃和防 破坏 防盗窃和防 破坏 防盗窃和防 破坏 c)应将通信线缆铺设在隐蔽处，可铺设 在地下或管道中。 电源线、通信线缆通过机柜顶部桥架隔 阿里云该项测评得分 5 分。 离铺设，并且电源线缆强弱电也是隔 离。 阿里云该项测评得分 5 分。