系统运维管理安全测评指导书

系统运维管理安全测评指导书序号测评指标测评项检查方法预期结果1环境管理a)访谈物理安全负责人，检查机房安全管理制度，机房进出登记表访谈： 1）运维负责人，何部门何人负责机房定期维护、周期； 2）运维负责人，何部门何人负责机房管理。

检查：机房维护记录。

1）指定专门部门或专门人员负责机房定期维护； 2）指定专门部门或专门人员负责机房管理； 3）具备机房维护记录。

b)访谈物理安全负责人，检查机房安全管理制度，机房进出登记表访谈：运维负责人，何部门何人负责机房安全管理。

指定专门部门或专门人员负责机房管理。

c)访谈物理安全负责人，检查机房安全管理制度，机房进出登记表检查：机房安全管理制度，覆盖机房物理访问、物品带进和带出机房、机房环境安全。

具备机房安全管理制度，覆盖机房物理访问、物品带进和带出机房、机房环境安全。

d)访谈物理安全负责人，检查机房安全管理制度，机房进出登记表访谈：安全主管，保证办公环境的保密性采取了的控制措施。

检查：办公环境管理文档，包括员工日常工作规范。

制定了办公环境管理文档，内容包括规范办公环境人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等。

2资产管理a)访谈安全主管，资产管理员，检查资产清单，资产安全管理制度。

访谈：安全主管，何部门何人负责资产管理。

检查：资产清单，覆盖资产责任部门、责任人、所处位置和重要程度。

1）指定专门的部门或人员负责资产管理；2）具备资产清单，资产清单的内容覆盖资产责任部门、责任人、所处位置和重要程度等。

b)访谈安全检查：资产安全管理建立了资产安全管理主管，资产管理员，检查资产清单，资产安全管理制度。

制度，资产管理的责任部门、责任人，内容覆盖资产使用、传输、存储、维护。

制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。

c)访谈安全主管，资产管理员，检查资产清单，资产安全管理制度。

访谈： 1）资产管理员，是否依据资产的重要程度对资产进行分类和标识管理； 2）资产管理员，不同测评指标的资产是否采取不同的管理措施。

1）依据资产的重要程度对资产进行分类和标识管理； 2）针对不同主要程度的资产采取不同的管理措施。

d)访谈安全主管，资产管理员，检查资产清单，资产安全管理制度。

检查：信息分类文档，信息分类标识的原则和方法。

具备信息分类文档，说明分类与标识的原则和方法（如根据信息的重要程度、敏感程度或用途不同进行分类）。

3介质管理a)访谈资产管理员，检查介质管理记录，包括各类介质。

访谈：安全主管，何部门何人负责介质管理。

检查：介质管理制度，内容否覆盖介质的存放环境、使用、维护和销毁等方面。

1）指定或授权专门的部门负责介质管理；2）具备介质管理制度，内容包括介质的存放环境、使用、维护和销毁等方面。

b)访谈资产管理员，检查介质管理记录，包括各类介质。

访谈：资产管理员，询问介质的存放环境是否有保护措施，防止其被盗、被毁、被未授权修改以及信息的非法泄漏，是否有专人管理。

介质的存放环境具备保护措施，防止其被盗、被毁、被未授权修改以及信息的非法泄漏，指定专人进行管理。

c)访谈资产管理员，检查介质管理记录，包括各类介质。

访谈： 1）介质管理员，询问对介质带出工作环境（如送出维修或销毁）和重要介质中的数据和软件是否进行保密性处理； 2）询问对介质的物理传输过程是否要求选择可靠传1）对介质带出工作环境和重要介质中的数据和软件进行保密性处理； 2）对介质的物理传输过程进行控制，选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制。

全的物理传输途径、双方在场交付等。

d)访谈资产管理员，检查介质管理记录，包括各类介质。

访谈：介质管理员，对保密性较高的介质销毁前是否有领导批准，对送出维修或销毁的介质是否对数据进行净化处理。

对保密性较高的介质销毁经过领导批准，对送出维修或销毁的介质对数据进行净化处理。

e)访谈资产管理员，检查介质管理记录，包括各类介质。

访谈：资产管理员，询问是否对某些重要介质实行异地存储，异地存储环境是否与本地环境相同。

针对重要介质实行异地存储，且异地存储环境与本地环境相同。

f)访谈资产管理员，检查介质管理记录，包括各类介质。

访谈：资产管理员，依据资产的重要程度对资产进行分类和标识管理，不同测评指标的资产是否采用不同的管理措施。

依据资产的重要程度对资产进行分类和标识管理，不同测评指标的资产采用不同的管理措施。

4设备管理a)访谈资产管理员，系统管理员，审计员，检查服务器操作规程，设备审批、发放管理文档，设备使用管理文档，服务器操作日志。

访谈：资产管理员，何部门何人对设备和线路进行定期维护，周期。

1）指定或授权专门的部门或人员负责设备和线路的维护； 2）定期对设备进行维护管理。

b)访谈资产管理员，系统管理员，审计员，检查服务器操作规程，设备审批、发访谈：资产管理员，询问是否对设备选用的各个环节进行审批控制。

对设备选用的各个环节（如选型、采购、发放等）进行审批控制，对设备带离机构进行审批控制，设备的操作和使用进行规范化管理。

放管理文档，设备使用管理文档，服务器操作日志。

c)访谈资产管理员，系统管理员，审计员，检查服务器操作规程，设备审批、发放管理文档，设备使用管理文档，服务器操作日志。

访谈：安全审计员，主要设备操作是否建立日志，日志文件如何管理，是否定期检查管理情况。

检查：维护管理制度，配套设施、软硬件维护进行有效的管理，明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制管理等。

针对软硬件维护方面指定了管理制度，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等。

d)访谈资产管理员，系统管理员，审计员，检查服务器操作规程，设备审批、发放管理文档，设备使用管理文档，服务器操作日志。

检查： 1）主要设备的操作规程，内容是否覆盖设备的启停、加断电操作； 2）是否具备设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面。

1）具备设备使用管理文档，查看其内容覆盖终端计算机、便携机和网络设备等使用、操作原则、注意事项等方面； 2）具备设备的操作规程，内容覆盖设备的启停、加断电操作。

e)访谈资产管理员，系统管理员，审计员，检查服务器操作规程，设备审批、发放管理文档，设备使用管理文档，服务器操作日志。

检查：检查申报材料和审批报告。

具备带离机房或者办公地点的审批单。

5监控管理a)访谈系统访谈：系统运维负责建立安全管理中心，对和安全管理中心运维负责人，检查监测记录文档，监测分析报告，安全管理中心。

人，是否建立安全管理中心，对网络流量、安全设备状况实时监控并保留记录。

网络流量、安全设备状况实时监控并保留记录。

b)访谈系统运维负责人，检查监测记录文档，监测分析报告，安全管理中心。

访谈：系统运维负责人，定期对监测记录进行分析、评审，是否发现可疑行为并对其采取必要的措施，是否形成分析报告。

检查：监测分析报告，查看是否包括监测的异常现象、处理措施等。

1）定级对检测记录进行分析，并形成分析报告； 2）具备监控分析报告。

c)访谈系统运维负责人，检查监测记录文档，监测分析报告，安全管理中心。

检查：安全管理中心是否对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。

建立了安全管理中心对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。

6网络安全管理a)访谈安全主管，安全管理员，网络管理员，检查网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。

访谈：安全主管，指定专人负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作。

检查：网络审计日志。

指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。

b)访谈安全主管，安全管理员，网络管理员，检查：网络安全管理制度，是否覆盖网络安全配置、安全策略、升级与打补丁、最小服编制了网络安全管理制度，内容覆盖了覆盖网络安全配置、安全策略、升级与打补丁、最检查网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。

务、授权访问、日志保存时间、口令更新周期、文件备份等方面内容。

小服务、授权访问、日志保存时间、口令更新周期、文件备份等方面内容。

c)访谈安全主管，安全管理员，网络管理员，检查网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。

访谈：网络管理员，网络设备是否进行过升级，升级前是否备份配置。

网络设备在咨询过厂商的情况下进行过升级，并且升级前进行过备份。

d)访谈安全主管，安全管理员，网络管理员，检查网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。

访谈：安全管理员，问是否定期对网络设备进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补。

检查：网络漏洞扫描报告，查看其内容是否包含网络存在的漏洞、严重级别和结果处理等方面。

1）定期对网络设备进行漏洞扫描，发现漏洞及时修补； 2）形成网络设备漏洞扫描报告，内容包含网络存在漏洞、严重级别和结果处理等方面。

e)访谈安全主管，安全管理员，网络管理员，访谈：网络管理员，否实现网络设备的最小服务配置，是否定期离线备份配置。

检查：1）对网络设备配置进行最小服务原则优化；2）定期离线备份配置文件。