系统建设的管理等级保护测评作业指导书四级
等保四级建设方案
等保四级建设方案一、概述等保四级建设方案是指在信息系统安全等级保护评估中，对于涉及国家安全、社会稳定、经济秩序和公共利益等方面的重要信息系统，进行综合评估和安全等级划分，并制定相应的建设方案以提高系统的安全等级。
本文将从四个方面介绍等保四级建设方案，包括背景和意义、目标、基本要求以及具体实施步骤。
二、背景和意义随着互联网和信息技术的快速发展，信息系统的重要性日益突出，但同时也面临着越来越多的威胁和风险。
为保障国家关键信息基础设施的安全，加强信息系统的保护，等保四级建设方案应运而生。
该方案的实施可有效提升信息系统的安全等级，防止信息泄露、数据篡改和服务中断等风险，维护国家安全和社会稳定。
三、目标等保四级建设方案的目标是确保信息系统满足国家相关法律法规的要求，实现信息的机密性、完整性、可用性和不可抵赖性，提高系统的安全等级并保护国家关键信息基础设施的安全。
具体目标包括：1. 安全保密性：确保信息只在授权范围内被访问和使用，防止未经授权的信息披露。
2. 安全完整性：防止信息在传输、存储和处理过程中被非法篡改或意外损坏。
3. 安全可用性：确保信息系统能够在合理的时间范围内提供正常的服务，防止服务中断或拒绝服务攻击。
4. 安全不可抵赖性：防止信息发生抵赖行为，确保信息的可信度和可靠性。
四、基本要求为了实现等保四级建设方案的目标，需要满足以下基本要求：1. 安全保护制度：建立完善的安全保护制度，包括安全组织、责任分工、权限管理等方面的规定，确保安全工作的有效开展。
2. 安全风险评估：对信息系统进行全面的安全风险评估和安全等级划分，确定系统所处的等级。
3. 安全防护措施：根据系统的等级和安全风险评估结果，采取相应的安全防护措施，包括网络边界防护、主机安全、数据加密等。
4. 安全监测和应急响应：建立安全监测和应急响应机制，能够及时发现和应对安全事件和威胁，降低安全风险。
5. 安全培训和意识：定期组织安全培训和教育活动，提高人员的安全意识和技能，增强信息系统的整体安全能力。
等保四级测评要求
等保四级测评要求篇一等保四级测评要求等保四级测评要求到底有多重要？各位朋友，今天咱们来聊聊等保四级测评要求。
为啥要搞这个呢？还不是因为现在的网络环境那叫一个复杂，各种信息安全威胁层出不穷。
咱们的系统、数据就像放在大街上的宝贝，谁都想瞅两眼，甚至有人想顺走。
所以，为了保护咱们的“宝贝”，等保四级测评要求就应运而生啦！**工作规范要求**：- 安全管理制度：咱得有一套完善的安全管理制度，这可不是闹着玩的！制度得包括安全策略、安全组织、人员安全管理等方面。
比如，人员安全管理这一块，**每个员工入职前都得经过严格的安全培训，考试得分低于 80 分的能行吗？** 那肯定不行！- 安全运维：系统的日常运维得跟上，监控系统运行状态，发现异常及时处理。
**每天至少进行两次全面的系统检查，少一次能行？**当然不行！- 应急响应：万一出了事，得有应急预案，而且要定期演练。
**半年不演练一次，能应对突发情况吗？** 想都别想！**技术要求**：- 访问控制：访问权限得精细管理，不同级别的用户有不同的权限。
**要是随便一个人都能看到核心数据，那还得了？**- 入侵检测：得有有效的入侵检测系统，**一周都不产生一条检测报告，这系统能有用？**- 数据备份与恢复：数据备份要定期进行，恢复测试也不能少。
**备份的数据恢复不了，那备份有啥用？**这些要求可不是随便说说的，要是不遵守，那后果可严重啦！系统可能被攻击，数据可能丢失，到时候哭都来不及！所以，大家都得把这些要求放在心上，认真落实，这样咱们才能在网络的海洋里安全航行！篇二等保四级测评要求等保四级测评要求，你真的懂了吗？嘿，朋友们！今天咱们继续深扒等保四级测评要求。
你说为啥要有这玩意儿？简单啊，现在这网络世界就像个江湖，充满了各种“高手”和“陷阱”，咱们要是没点防身之术，那不得被坑惨了？先说说**人员要求**吧。
- 专业技能：负责等保的人员得有过硬的专业技能，熟悉网络安全知识、操作系统、数据库等等。
等保四级-安全管理-系统建设管理
是□〇检测工具是否是第三方的商业产品？
否□是□
4.检查软件开发协议是否规定知识产权归属、安全行为等内容：
否□是□
查看是否具有需求分析说明书、软件设计说明书、软件操作手册、软件源代码文档等开发文档和用户培训计划、程序员培训手册等后期技术支持文档？
否□是□
测试结果：□符合□部分符合□不符合
备注：
测试记录1-5项全部符合即视为符合
否□是□
2.系统划分文档是否明确描述信息系统划分的方法和理由?
否□是□
3.系统定级文档:
〇是否给出信息系统的安全保护等级?
否□是□
〇是否明确描述确定信息系统为某个安全保护等级的方法和理由?
否□是□
〇是否给出安全等级保护措施组成SxAyGz值?(安全措施包括S(信息安全类)、A(服务保证类)、G(通用安全保护类)三类，xyz代表级别,即1-5级)
否□是□
4.检查产品采购管理制度，查看是否明确采购过程的控制方法（如采购前对产品做选型测试，对重要部位的产品委托专业测评单位进行专项测试，明确需要的产品性能指标，确定产品的候选范围，通过招投标方式确定采购产品等）和人员行为准则等方面？
否□是□
5.系统使用的有关信息安全产品（边界安全设备、重要服务器操作系统、数据库等）是否符合国家的有关规定？
否□是□
6.密码产品的使用情况是否符合密码产品使用、管理的相关规定(例如《商用密码管理条例》规定任何单位只能使用经过国家密码管理机构认可的商用密码产品，商用密码产品发生故障，必须有国家密码管理机构指定的单位维修，报废商用密码产品应向国家密码管理机构备案，《计算机信息系统保密工作暂行规定》规定涉密系统配置合格的保密专用设备，所采取的保密措施应与所处理信息的密级要求相一致等)？
等保四级建设方案
等保四级建设方案在信息化时代中，信息安全问题是一个非常重要的话题。
从政府、企业、个人角度来看，都需要保障信息的安全性。
为了便于管理和保护信息安全，国家出台了一系列措施，其中之一便是“等保”制度。
本文将对等保四级建设方案进行阐述。
一、等保制度的概述等保是等级保护的缩写，是一种信息安全保护标准。
等保制度分为五个等级，随着等级的升高，信息安全的要求也会随之增强。
等保制度适用于各类信息系统，覆盖了国家关键领域的信息系统、行业领域重要信息系统以及重点单位信息系统等。
二、等保四级的要求等保四级是等保制度中的一级，它的安全性要求非常高。
等保四级对信息系统的要求主要有以下几个方面：1. 安全域划分等保四级要求对信息系统进行安全域划分，将不同的网络和信息系统划分为不同的安全域，并且对各个安全域进行有序的连接和访问。
2. 资源隔离等保四级要求对各类资源进行隔离，包括网络资源、存储资源、计算资源等。
资源隔离的目的是防止恶意攻击和非授权访问。
3. 安全认证等保四级要求对信息系统和用户进行安全认证，确保信息系统和用户的身份可靠。
安全认证的方式包括口令认证、数字证书认证、指纹识别等。
4. 安全审计等保四级要求对信息系统的操作和管理进行安全审计。
安全审计可以发现并防范安全事件，对安全事件进行及时处理。
5. 安全备份等保四级要求对信息进行安全备份，确保信息能够及时、完整且可恢复。
安全备份可以最大程度地减少信息丢失的风险。
三、等保四级建设方案等保四级建设方案需要根据具体情况来制定，以下是建设方案中的一些常用方案：1. 安全域划分根据物理位置、业务需求等进行网络划分，将不同的业务环境划分为不同的安全域。
在安全域之间设置安全设备，如防火墙、入侵检测等，实现安全访问和传输。
2. 资源隔离实现资源隔离可以采用虚拟化技术。
通过虚拟化技术，将不同的资源进行分区，每个分区独立使用独立的资源，实现资源的隔离。
此外，资源隔离还需要进行访问控制和安全审计。
新版52-SGISLOP-SA92-10 系统建设管理等级保护测评作业指导书(四级)
控制编号：SGISL/OP-SA92-10信息安全等级保护测评作业指导书系统建设管理（三级）版号：第 2 版修改次数：第0 次生效日期：2010年01月06日中国电力科学研究院信息安全实验室修改页一、系统定级1．信息系统边界和安全保护等级2．信息系统定级方法和理由3．定级结果论证和审定4．定级结果经过相关部门批准二、安全方案设计1．选择基本安全措施及补充调整2．安全建设总体规划3．细化系统安全方案4．安全技术专家论证和审定5．安全方案调整和修订三、产品采购和使用1．安全产品采购和使用符合国家有关规定2．保密码产品采购和使用符合国家密码主管部门要求3．专门部门负责产品采购4．预先产品选型测试四、自行软件开发1．开发环境与实际运行环境物理分开，测试数据和测试结果受到控制2．软件开发管理制度3．代码编写安全规范4．软件设计相关文档和使用指南5．程序资源库修改、更新、发布进行授权和批准五、外包软件开发1．软件质量测试2．检测软件包恶意代码3．软件设计相关文档和使用指南4．软件源代码检查六、工程实施1．工程实施管理2．工程实施方案3．工程实施管理制度七、测试验收1．第三方安全性测试2．安全性测试验收报告3．书面规定测试验收的控制方法和人员行为准则4．系统测试验收授权及完成5．测试验收报告审定八、系统交付1．系统交付清单2．运行维护技术人员技能培训3．系统运行维护文档4．书面规定系统交付的控制方法和人员行为准则5．系统交付管理工作授权及完成九、系统备案1．系统定级材料管理2．系统主管部门备案3．备案材料报送相应公安机关备案十、等级测评1．每年一次等级测评及整改2．系统变更进行等级测评3．测评单位技术资质和安全资质4．授权专门部门或人员负责等级测评管理十一、安全服务商选择1．安全服务商选择合规2．安全服务商协议3．安全服务商服务合同。
等级保护测评实施指导书
等级保护测评实施指导书1.测评准备阶段1.1项目启动1）项目经理负责与被测单位进行沟通。
向被测单位了解被测信息系统基本情况，包括测评范围、系统需要达到的等级、具体测评内容的调整情况，以及其他有关信息系统的情况，明确测评需求和测评范围；项目经理介绍测评工作流程及实施测评工作，并告知被测单位提前做好准备工作。
与被测单位就具体的测评合同和保密协议内容进行洽商。
协助客户主管与被测单位签署测评合同和保密协议。
2）双方签署测评合同和保密协议后，被测单位提交相关材料和附件，项目经理负责对提交的文档进行完整性审查，审核文档是否满足实施测评工作的要求。
如果文档不够详细完备，则与被测单位沟通，要求被测单位进一步完善文档材料。
1.2信息收集和分析1）项目经理协助客户填写（LD-CS-29《信息系统基本情况调查表》）。
2）项目经理收回填写完成的调查表格，各测评项目小组分析调查结果，了解和熟悉被测系统的实际情况。
分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。
这些信息可以重用自查或上次等级测评报告中的可信结果。
3）如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。
1.3工具和表单准备测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。
1）测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。
2）测评人员模拟被测系统搭建测评环境。
3）准备和打印表单，主要包括：测评流程单（LD-CS-18《测评流程单》）、文档交接单（LD-CS-19《接收/归还样品清单》）、会议记录表单（LD-GL-09《会议记录》）、会议签到表单（LD-GL-10《会议签到表》）等。
等级保护2.0四级通用要求测评方法
安全物理环境物理位置选择测评单元（L4-PES1-01）该测评单元包括以下要求：a）测评指标：机房场地应选择在具有防震、防风和防雨等能力的建筑内。
b）测评对象：记录类文档和机房。
c）测评实施包括以下内容：1）应核查所在建筑物是否具有建筑物抗震设防审批文档；2）应核查是否不存在雨水渗漏；3）应核查门窗是否不存在因风导致的尘土严重；4）应核查屋顶、墙体、门窗和地面等是否不存在破损开裂。
d）单元判定：如果1）~4）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
测评单元（L4-PES1-02）该测评单元包括以下要求：a）测评指标：机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。
b）测评对象：机房。
测评实施：应核查机房是否不位于所在建筑物的顶层或地下室，如果否，则核查机房是否采取了防水和防潮措施。
d）单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
物理访问控制测评单元（L4-PES1-03）该测评单元包括以下要求：a）测评指标：机房出入口应配置电子门禁系统、控制、鉴别和记录进入的人员。
b）测评对象：机房电子门禁系统。
c）测评实施包括以下内容：1）应核查出人口是否配置电子门禁系统；2）应核查电子门禁系统是否可以鉴别、记录进入的人员信息。
d）单元判定：如果1）和2）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
测评单元（L4-PES1-04）该测评单元包括以下要求：a）测评指标：重要区域应配置第二道电子门禁系统，控制、鉴别和记录进入的人员。
b）测评对象：机房电子门禁系统。
c）测评实施包括以下内容：1）应核查重要区域出人口是否配置第二道电子门禁系统；2）应核查电子门禁系统是否可以鉴别、记录进入的人员信息。
d）单元判定：如果1）和2）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
等保四级-安全技术-主机系统安全
5.测试主要服务器操作系统和主要数据库管理系统，依据系统文档描述的强制访问控制模型，以授权用户和非授权用户身份访问客体，验证是否只有授权用户可以访问客体，而非授权用户不能访问客体：
否 □是 □
6.渗透测试主要服务器操作系统和主要数据库管理系统，可通过非法终止强制访问模块，非法修改强制访问相关规则，使用假冒身份等方式，测试强制访问控制是否安全、可靠：
d)如果16中没有常见的绕过认证方式进行系统登录的方法，则该项为肯定；
e)5-13均为肯定，则信息系统符合本单元测评项要求
测试类别
等级测评（四级）
测试对象
安全技术
测 试 类
主机系统安全
测 试 项
自主访问控制
测试要求：
1.应依据安全策略控制用户对客体的访问；
2.自主访问控制的覆盖范围应包括与信息安全直接相关的主体、客体及它们之间的操作；
否□是□
9.测试主要服务器操作系统和主要数据库管理系统，可通过错误的用户名和口令试图登录系统，验证鉴别失败处理功能是否有效：
否□是□
10.测试主要服务器操作系统和主要数据库管理系统，当进入系统时，是否先需要进行标识（如建立账号），而没有进行标识的用户不能进入系统：
否□是□
11.测试主要服务器操作系统和主要数据库管理系统，添加一个新用户，其用户标识为系统原用户的标识（如用户名或UID），查看是否不会成功：
否 □是 □
9.查看主要服务器操作系统，查看匿名/默认用户是否已被禁用
否 □是 □
10.测试主要服务器操作系统和主要数据库管理系统，依据系统访问控制的安全策略，试图以未授权用户身份/角色访问客体，验证是否不能进行访问
否 □是 □
测试结果：□符合□部分符合□不符合
等保四级建设方案
等保四级建设方案随着信息化时代的到来，网络安全问题日益突出。
为了保障国家的信息安全和经济发展的安全，中国国家信息化安全评估中心制定了等保四级建设方案。
等保四级建设方案的背景近年来，随着互联网技术的迅猛发展，网络犯罪、黑客攻击等安全问题频繁发生。
这些问题不仅危害个人的信息安全，还对国家的安全和经济发展造成严重的威胁。
为了应对这些安全问题，中国国家信息化安全评估中心不断完善信息化安全体系，推出了等保四级建设方案。
等保四级建设方案的意义等保四级建设方案是一项全面系统的信息化安全管理体系，能够提高各类信息系统的安全性，包括政府，国防，金融等部门的信息系统安全性。
等保四级建设方案的实施，有利于保障国家信息安全，加强基础设施信息安全管理，并且多样化的措施使得信息安全得到更全面深度的保护。
等保四级建设方案的内容等保四级建设方案包括七个方面的内容：1. 安全管理工作该方面包括安全责任，安全策略，安全管理制度以及安全评估和监察等内容。
2. 网络安全设备和技术该方面包括网络设备，密码设备，安全软件和安全服务等内容。
3. 网络安全检测该方面包括安全检测和审计等内容。
4. 应急响应和管理该方面包括漏洞和应急响应预案，以及应急响应组织和运作等内容。
5. 安全教育和培训该方面包括安全教育，安全培训和安全意识提升等内容。
6. 安全保密管理该方面包括信息安全保密，安全审查和秘密管理等内容。
7. 安全服务该方面包括安全咨询和安全评估等内容。
等保四级建设方案的实施与效果等保四级建设方案的实施，对提高信息化安全体系有着重要的推动作用。
通过采取各种有力措施，确保不同领域的信息安全，消除各种安全漏洞和风险，从而提高整体的信息安全防护能力。
实施等保四级建设方案，不仅能够有效应对信息安全问题，保障国家的信息安全和经济发展的安全，还能够带动企业和个人对信息安全的重视，营造更加安全的信息环境。
结论等保四级建设方案是信息化安全体系的重要组成部分，对提高信息安全水平有着至关重要的作用。
等保四级-安全管理-系统运维管理
4.应规定信息分类与标识的原则和方法，并对信息的使用、存储和传输作出规定。
5.应根据信息分类与标识的原则和方法，在信息的存储、传输等过程中对信息进行标识
测试记录：
1.访谈安全主管，询问是否指定资产管理的责任人员或部门？
7.应在安全管理机构统一安全策略下对服务器进行系统配置和服务设定，并实施配置管理。
测试记录：
1.是否对各类设施、设备指定专人或专门部门进行定期维护？
否□
是□〇由何部门/何人维护？
〇维护周期多长？
2.是否对设备选用的各个环节（如选型、采购、发放等）进行审批控制？
否□
是□〇是否对设备带离机构进行审批控制？
否□是□
是否具有介质销毁过程记录?
否□是□
7.是否对介质进行了分类?
否□
是□〇是否具有不同标识？
否□是□
8.检查介质本地存放地的实际环境条件是否是安全的：
否□是□
异地存放地的环境要求和管理要求是否与本地相同：
否□是□
是否有专人对存放地进行管理？
否□是□
测试结果：□符合□部分符合□不符合
备注：
测试记录1-8项全部符合即视为符合
测试记录：
1.介质的存放环境是否有保护措施，防止其被盗、被毁、被未授权修改以及信息的非法泄漏？
否□
是□〇是否有专人管理？
否□是□
2.是否对介质的使用管理要求制度化和文档化？
否□
是□〇是否根据介质的目录清单对介质的使用现状进行定期检查？
否□是□
〇是否定期对其完整性（数据是否损坏或丢失）和可用性（介质是否受到物理破坏）进行检查？
等保四级建设方案
等保四级建设方案信息安全是当今社会发展的重要组成部分，各行各业都需要保护自己的信息资产免受黑客和恶意攻击的威胁。
为了提高网络安全的保障水平，加强信息技术的防护能力，我国国家互联网信息办公室于2019年发布了《关于加强网络安全等级保护工作的意见》，提出了等保四级建设方案，以确保信息系统的安全性和可用性。
本文将重点介绍这一建设方案的主要内容和实施方式。
一、等保四级的定义和要求等保四级是指按照国家标准将信息系统安全性划分为四个等级，分别是一级、二级、三级和四级，其中四级要求最高。
等保四级建设的目标是建立全面、有序、有效的信息安全保障体系，确保关键信息系统的安全稳定运行。
根据国家标准，等保四级的要求主要包括以下几个方面：1. 风险评估和安全等级确定：对关键信息资产进行全面的风险评估，确定其所属的安全等级，并制定相应的安全措施。
2. 安全响应和事件管理：建立健全的安全事件报告和响应机制，及时监测和处理网络安全事件，减小安全事件对信息系统的影响。
3. 访问控制和身份认证：采取有效的措施，限制用户的权限，保护信息系统免受未经授权的访问，确保用户身份的真实性和合法性。
4. 数据保护和加密：对敏感数据进行加密处理，确保数据在传输和存储过程中的安全性，防止数据泄漏和篡改。
5. 漏洞管理和补丁更新：定期进行漏洞扫描和安全评估，及时修复系统中的漏洞，防止黑客利用漏洞进行攻击。
6. 网络安全监测和预警：建立网络安全监测系统，对网络流量进行实时监控和分析，及时发现和预警异常行为。
二、等保四级建设方案的实施方式为了落实等保四级的要求，组织实施相应的安全措施是非常必要的。
以下是等保四级建设方案的主要实施方式：1. 制定安全政策和规程：建立一套完善的信息安全管理制度，包括安全政策、安全规程、安全管理手册等，对信息系统安全管理进行规范。
2. 进行全面的风险评估：对关键信息资产进行全面的风险评估，确定其所属的安全等级，并制定相应的安全保护方案。
信息系统安全等级保护第四级检查-管理要求+技术要求
应选择两种或两种以上组合的鉴别技术来进行身份鉴别，身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；
应选择两种或两种以上组合的鉴别技术来进行身份鉴别，身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并措施防止鉴别信息在网络传输过程中被窃听。
安全审计
抗抵赖
身份鉴别
访问控制
通信完整性 通信保密性
数据安全及备份恢复
备份和恢复
第四级检查-管理要求+技术要求 检查项
系统管理+系
查网络安全管理体系是否由总体方针、安全策略、管理制度、操作规程等构成。
安全管理制度是否具有统一的格式进行版本控制，并通过正式、有效的方式发布。
检查是否定期对安全管理制度进行评审和修订。
用软件的运行状态、网络流量、用户行为、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理，并对监测和报警记录进行分析。
络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；是否定期对网络系统进行漏洞扫描
络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定；是否定期对网络系统进行漏洞扫描
提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；
应具有对重要信息资源设置敏感标记的功能。 应禁止默认帐户的访问。 应采用密码技术保证通信过程中数据的完整性。 应对通信过程中的整个报文或会话过程进行加密。 应基于硬件化的设备对重要通信过程进行加解密运算和密钥管理。
，备份介质场外存放；应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性。
格限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令；
等级保护测评指导书----管理部分
安全管理机构（G1、G2、
G3）
（G1、G2、G3）
维管理（G1、G2、G3）
系统运维管理（G1、G2、
G3）
复管理（G1、G2、G3）
（G2、G3）
人员安全管理（G1、G2、
G3）
（G1、G2、G3）
系统建设管理（G1、G2、G3）
开发（G1、G2（G1、G2、G3）
（G3）
洞情况等。
检查范围包括日常检查和机构定期检查。
安全检查的结果应进行汇总并
信息、各种客户端、服务器、网络设备、软件、存储介质以及各种相关设施等。
由于信息系统资产种类较多，必须对所有资产实施有效管理，例如，根据资产的重要程度对设备、设施和信息进行标识，并根据资产的价值选择。
机构需要及时对业务影响的程度，确定需要备份的数据、备份策略和备份方式，并
握本岗位工作所应当具备的基本安全知识和技能，应当定期对员工进行考核和安全审查，考核内容包括：安全技能、安全知识及岗位工作相关内容，并制定奖惩办法
级，是建设符合安全等级保护要求的信息系统、实施信息安全等级保护的基础
性和规范性，应制定软件开发方面的管理制度，规定开
相关管理制度和实施方案，制定或授权专门的部门或人员负责工程实施过程的管理，以保证实施过程的正式
有效性。
以后，需要根据协议有关要
径。
通过选择有资质的测评机构对系统进行定期的测评，有助于系统发现问题并进行及时整改。
28_SGISLOP_SA380AIX等级保护测评作业指导书[四级]
![28_SGISLOP_SA380AIX等级保护测评作业指导书[四级]](https://img.taocdn.com/s3/m/500aa5d69b89680203d825c0.png)
控制编号：SGISL/OP-SA38-10
信息安全等级保护测评作业指导书
AIX主机（三级）
版号：第 2 版
修改次数：第 0 次
生效日期：2010年01月06日
中国电力科学研究院信息安全实验室
修改页
一、身份鉴别
1.用户身份标识和鉴别
2.账号口令强度
3.登录失败处理策略
4.远程管理方式
5.账户分配及用户名唯一性
6.双因子身份鉴别
二、访问控制
1.检查文件访问控制策略
2.数据库系统特权用户权限分离
3.特权用户权限分离
4.默认账户访问权限
5.多余及过期账户
6.基于标记的访问控制
三、安全审计
1.开启日志审核功能
2.日志审计内容
3.审计进程保护
四、剩余信息保护（HPUX系统不适用）
五、入侵防范
1.入侵防范
五、恶意代码防范（AIX系统不适用）
六、资源控制
1.终端登录限制
2.终端操作超时锁定
3.单个用户系统资源使用限制。
等保四级-安全技术-数据安全
4.用于特定业务通信的通信信道应符合相关的国家规定。
5.网络设备、操作系统、数据库管理系统和应用系统应为重要通信提供专用协议或安全通信协议服务，避免来自基于通用协议的攻击，破坏数据保密性
测试记录：
1.访谈网络管理员，询问信息系统中的网络设备的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性：
□否□是
是否提供自动机制在灾难发生时实现自动业务切换和恢复的功能：
□否□是
3、访谈数据库管理员，询问信息系统中的数据库管理系统是否提供自动备份机制对重要信息进行本地和异地备份功能：
□否□是
是否提供重要业务系统的本地和异地系统级热备份：
□否□是
是否提供自动机制在灾难发生时实现自动业务切换和恢复的功能：
6、重要网络设备、通信线路和服务器是否提供硬件冗余：
□否□是
7、检查重要业务系统是否配备了本地系统级热备份的功能：
□否□是
是否配备自动机制在灾难发生时实现自动业务切换和恢复功能：
□否□是
8、测试重要业务系统，验证其本地系统级热备份功能是否有效，在灾难发生时自动业务切换和恢复功能是否有效
□否□是
测试结果：□符合□部分符合□不符合
□ 否 □ 是
是否采用加密或其他保护措施实现存储保密性：
□ 否 □ 是
4.谈安全员，询问信息系统中的应用系统的鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性：
□ 否 □ 是
是否采用加密或其他保护措施实现存储保密性：
□ 否 □ 是
5.访谈安全员，询问系统采用的密码算法和密钥是否符合国家密码管理规定
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
---------------------考试---------------------------学资学习网---------------------押题------------------------------格式WORD.可编辑
SGISL/OP-SA92-10 控制编号：
信息安全等级保护测评作业指导书系统建设管理（三级）
版号：第 2 版
第 0 次数：次修改2010年01 生效日期：月06日
中国电力科学研究院信息安全实验室
整理分享.技术资料
WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
修改页
整理分享.技术资料
WORD格式.可编辑
一、系统定级
2．信息系统定级方法和理由
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
关的论证和审定记录，判定结果为符合；如果未组织相关部门和有关
二、安全方案设计．选择基本安全措施及补充调整1整理分享.技术资料
WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
操作步骤询问是否指定和授权专门的部门对信息系统的安全建设进访谈管理员， 3．细化系统安全方案
整理分享.技术资料
WORD格式.可编辑
4．安全技术专家论证和审定
整理分享.技术资料
WORD格式.可编辑
备注
．安全方案调整和修订5
三、产品采购和使用整理分享.技术资料
WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
四、自行软件开发
1．开发环境与实际运行环境物理分开，测试数据和测试结果受到控制
整理分享.技术资料
WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
是否明确哪些开发活验收过程的控制方法和人员行为准则，发、测试、
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
：检查程序资源库的修改、更新、发布进行授权和批准。
测评分项1
整理分享.技术资料
WORD格式.可编辑
合；判定结果为如果软件交付使用前，未根据相关的要求测试软件的
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
适用版本任何版本
整理分享.技术资料
WORD格式.可编辑
备注
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
七、测试验收
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
备注
．运行维护技术人员技能培训2整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
5．系统交付管理工作授权及完成
整理分享.技术资料
WORD格式.可编辑
备注
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料
WORD格式.可编辑
2．系统变更进行等级测评
3．测评单位技术资质和安全资质整理分享.技术资料
WORD格式.可编辑
测评项编号ADT-JSGL-10对应要求应选择具有国家相关技术资质和安全资
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑
整理分享.技术资料WORD格式.可编辑。
同进步去，让我们共学习是一种非常好的习惯，坚持下建议。
也可以文档可编辑修改，直接打印。
阅读过后，希望您提出保贵的意见或阅读和WOR迎您阅您好，欢读我的文章，本
整理分享.技术资料。