2.4.6 测评内容

本次安全测评是对XX系统是否符合国家信息系统安全等级保护相关技术标准要求的一次评判活动。

GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》中，对信息系统的安全等级保护从技术和管理方面提出了基本要求，本次对XX系统的安全测评选择了技术和管理方面的整体测评。

1.单元测评

（1）安全技术测评

a）物理安全

物理安全测评将通过访谈和检查相结合的方式评测信息系统的物理安全保障情况。主要涉及对象为机房。

在内容上，物理安全层面的测评实施过程涉及10个工作单元，具体如表2.14所示。

b）网络安全

网络安全测评将通过访谈、检查和测试的方式评测信息系统的网络安全保障情况。主要涉及机房的网络设备、网络安全设备以及网络拓扑结构三大类对象。在内容上，网络安全层面的测评过程涉及7个工作单元，具体如表2.15所示。

c）主机安全

主机安全测评将通过访谈、检查的方式评测信息系统的主机安全保障情况。在内容上，主机安全层面测评实施过程涉及7个工作单元，具体如表2.16所示。

d）应用安全

应用安全测评将通过访谈、检查和测试的方式评测信息系统的应用安全保障情况，为信息系统整体安全性进行综合评价做准备。

在内容上，应用安全层面的测评实施过程涉及9个工作单元，具体如表2.17所示。

e）数据安全及备份恢复

数据安全及备份恢复测评将通过访谈、检查相结合的方式评测信息系统的数据安全保障情况。本次测评重点检查系统的数据在采集、传输、处理和存储过程中的安全。

在内容上，数据安全及备份恢复层面的测评实施过程涉及3个工作单元，具体如表2.18所示。

（2）安全管理测评

a）安全管理制度

安全管理制度测评将通过访谈和检查的形式评测安全管理制度的制订、发布、评审和修订等情况。主要涉及安全主管人员、安全管理人员、各类其他人员、各类管理制度、各类操作规程文件等对象。

在内容上，安全管理制度测评实施过程涉及3个工作单元，具体如表2.19所示。

b）安全管理机构

安全管理机构测评将通过访谈和检查的形式评测安全管理机构的组成情况和机构工作组织情况。主要涉及安全主管人员、安全管理人员、相关的文件资料和工作记录等对象。

在内容上，安全管理机构测评实施过程涉及5个工作单元，具体如表2.20所示。

c）人员安全管理

人员安全管理测评将通过访谈和检查的形式评测机构人员安全控制方面的情况。主要涉及安全主管人员、人事管理人员、相关管理制度、相关工作记录等对象。

在内容上，人员安全管理测评实施过程涉及5个工作单元，具体如表2.21所示。

d）系统建设管理

系统建设管理测评将通过访谈和检查的形式评测系统建设管理过程中的安全控制情况。主要涉及安全主管人员、系统建设负责人、各类管理制度、操作规程文件、执行过程记录等对象。

在内容上，系统建设管理测评实施过程涉及11个工作单元，具体如表2.22所示。

e）系统运维管理

系统运维管理测评将通过访谈和检查的形式评测系统运维管理过程中的安全控制情况。主要涉及安全主管人员、安全管理人员、各类运维人员、各类管理制度、操作规程文件、执行过程记录等对象。

在内容上，系统运维管理测评实施过程涉及13个工作单元，具体如表2.23所示。

2.整体测评

（1）安全控制间安全测评

安全控制间的安全测评主要考虑同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用。安全功能上的增强和补充可以使两个不同强度、不同等级的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱可能会使一个安全控制的引入影响另一个安全控制的功能发挥或者给其带来新的脆弱性，使其在特定环境中不能达到该等级信息系统的安全要求。

（2）层面间安全测评

层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。安全功能上的增强和补充可以使两个不同层面上的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个层面上的安全控制影响另一个层面安全控制的功能发挥或者给其带来新的脆弱性。

（3）区域间安全测评

区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互联互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。安全功能上的增强和补充可以使两个不同区域上的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个区域上的安全功能影响另一个区域安全功能的发挥或者给其带来新的脆弱性。

（4）系统结构安全测评

系统结构安全测评主要考虑信息系统整体结构的安全性和整体安全防范的合理性。测评分析信息系统整体结构的安全性，主要是指从信息安全的角度，分析信息系统的物理布局、网络结构和业务逻辑等在整体结构上是否合理、简单、安全有效。测评信息系统整体安全防范的合理性，主要是指从系统的角度，分析研究信息系统安全防范在整体上是否遵循纵深防御的思路，明晰系统边界，确定重点保护对象，在适当的位置部署恰当的安全技术和安全管理措施等。