网络安全等级保护测评完整方案、等保项目实施细则

随着信息化技术的发展，重庆市乡村振兴局信息系统逐步完善，成为了全市扶贫工作的重要支撑。随着网络安全形势愈演愈烈，对信息系统安全防范能力和信息安全抗风险能力的要求越来越高。如何保证重庆市乡村振兴局的信息系统正常运行和信息安全已成为迫切需要关注的问题。

面对当前信息系统安全面临的复杂、严峻形势，基础信息网络和重要信息系统一旦出现大的信息安全问题，不仅仅影响本单位、本行业，而是直接威胁社会稳定、经济发展甚至国家安全。因此，扶贫信息系统有必要进一步完善和加强信息安全保障体系。信息安全建设重在安全保障体系的建设，它是一个循序渐进、不断完善的过程，较好的方式是信息安全建设与系统建设同步规划、同步设计。同时，结合等级保护标准，逐步完善和加强安全保障体系建设，与信息安全行业的领先者强强联合，引入专业的安全服务、先进的安全管理理念，有效控制和降低信息系统的安全风险。

同时，按照《中华人民共和国计算机信息系统安全保护条例》（国务院 147 号令）、《信息安全等级保护管理办法》（公通字[2007]43 号）等法规的要求，还应当进行信息系统等级保护测评。即依据国家法律、法规和技术标准对被测系统进行技术和管理两个方面进行，全面测试、检查和评估，真实反映系统的安全保护能力，寻找问题和差距，为信息系统建设整改提供建议和依据。

因此，本项目包含信息系统等级保护测评和测评后整改与信息安全服务两方面的内容，可以同时进行。

1 网络安全等级评测服务内容

XXX 市乡村振兴局 XXX 防止返贫大数据监测平台三级信息系统应开展网络安全等级保护测评：

序号	系统名称	测评备案等级
1	XXX 防止返贫大数据监测平台	三级

2 网络安全等级评测项目依据

• 中华人民共和国计算机系统安全保护条例》（国务院 147 号令）
• 《信息安全等级保护备案实施细则》
• GB/T 22240-2019 《网络安全保护等级定级指南》；
• GB/T 22239-2019 《网络安全等级保护基本要求》；
• GB/T 17859-1999 《计算机系统安全保护等级划分准则》；
• GB/T 25058-2019 《网络安全等级保护实施指南》；
• GB/T 28448-2019 《网络安全等级保护测评要求》
• GB/T 28449-2019 《网络安全等级保护测评过程指南》
• GB/T 25070-2019 《网络安全等级保护安全设计技术要求》
• GB/T 20271-2006 《信息安全技术系统通用安全技术要求》；
• GB/T 20270-2006 《信息安全技术网络基础安全技术要求》；
• GB/T 21052-2007 《信息安全技术系统物理安全技术要求》；
• GB/T 20274 《信息安全技术系统安全保障评估框架》；
• GB/T 20282-2006 《信息安全技术系统安全工程管理要求》；
• GB/T 20269-2006 《信息安全技术系统安全管理要求》；
• GB/T 20984-2007 《信息安全技术信息安全风险评估规范》

3 网络安全等级保护测评目标

等级保护的目标是：贯彻落实国家信息安全工作部署，保障网络安全可靠稳定运行，完善系统技术防护措施和安全管理制度，建立完整的信息安全防护体系，符合相应等级保护要求并通过监管机构的检查。本项目需要实现以下目标：

（1）全面梳理信息安全现状，分析排查信息安全隐患

对系统进行全面梳理，掌握信息安全现状；开展等级保护差距分析和信息安全风险评估工作，针对所发现的安全隐患，指导、监督相关单位进行整改，为等级测评工作奠定基础；对新建系统提供全生命周期的信息安全风险管理服务。确保信息安全建设工作满足国家、监管部门有关政策要求，系统达到相应安全等级的防护水平。

（2）完善“积极防御、综合防范”的信息安全保障体系，提升信息安全保障水平

基于信息安全现状，综合考虑信息安全需求变化因素，对此进行信息安全保障体系总体规划，为后续的信息安全建设提供技术路线，并监督检查安全规划的落实情况，逐步提升的信息安全保障水平。

（3）持续优化信息安全管理机制，提升信息安全管理水平

梳理和完善信息安全管理制度，监督和检查相关制度的落实情况，持续提升的信息安全管理水平，使安全管理和服务更加规范、有效、有序。

（4）提升信息安全应急响应能力，及时有效地对突发安全事件

建立统一、规范的信息安全应急响应体系，制定总体应急预案和各系统应急方案，针对突发安全事件提供 7×24 小时应急响应服务，并定期组织应急演练，以提升应急响应能力，快速解决各种突发事件。

4 网络安全等级保护测评内容

4.1 系统定级备案

对系统的现状进行调研、资产统计、系统识别，辅助完成系统定级，帮助准备相关备案资料，针对系统定级召开专家评审会，修改备案资料，并对定级结果进行审核和批准，保证定级结果的准确性。对定级过程中产生的文档进行整理，形成系统定级结果报告，完成系统定级备案工作。

4.2 等保测评内容

等级测评工作包括技术上的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等层面和管理上的安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等十个方面的内容，为顺利完成本次项目，服务提供方应具有完善的项目和质量管理体系，按照计划推动项目工作，并确保项目过程规范以及项目过程文档完整。并使用安全分析工具（至少包含专业的主机、网络、应用系统安全析工具），在与深入沟通的基础上，综合采用访问控制、入侵防御、恶意代码法防范、安全审计、防病毒、传输加密、集中数据备份等多种技术和措施，保证业务应用的可用性、完整性和保密性保护的基础上，实现综合集中的安全管理，并充分考虑各种技术的组合和功能的互补性，合理利用措施，从外到内形成一个纵深的安全防御体系报告，保障系统整体的安全保护能力。

（1）安全物理环境

物理安全测评将通过访谈、文档审查和实地察看的方式测评系统的物理安全保障情况。主要涉及对象为信息中心机房。在内容上，安全物理环境层面测评包含不限于如表 1 所示实施过程涉及 10 个测评单元：

序号	测评指标	网络安全测评内容描述
1	物理位置选择	机房场地应选择在具有防震、防风和防雨等能力的建筑内
		机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施
2	物理访问控制	机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员
3	防盗窃和防破坏	应将设备或主要部件进行固定，并设置明显的不易除去的标识
		应将通信线缆铺设在隐蔽安全处
		应设置机房防盗报警系统或设置有专人值守的视频监控系统
4	防雷击	应将各类机柜、设施和设备等通过接地系统安全接地
		应采取措施防止感应雷，例如设置防雷保安器或过压保护装置等
5	防火	应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透
		应采取措施防止机房内水蒸气结露和地下积水的转移与渗透
		应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警
6	防水和防潮	应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透
		应采取措施防止机房内水蒸气结露和地下积水的转移与渗透
		应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警
7	防静电	应采用防静电地板或地面并采用必要的接地防静电措施
		应采取措施防止静电的产生，例如采用静电消除器、佩戴防静电手环等
8	温湿度控制	应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的 范围之内
9	电力供应	应在机房供电线路上配置稳压器和过电压防护设备
		应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求
		应设置冗余或并行的电力电缆线路为计算机系统供电
10	电磁防护	电源线和通信线缆应隔离铺设，避免互相干扰
		应对关键设备实施电磁屏蔽

（2）安全通信网络

安全通信涉及的测评对象包括：系统网络结构，通信传输完整性，可信验证的检测和防范。

网络安全测评所对应生成的检查记录表包括：系统网络结构安全核查记录、通信传输完整性安全核查记录、可信验证安全核查记录。 在内容上，安全通信网络层面测评包含不限于如表 2 实施过程涉及 3 个测评单元。

序号	测评指标	网络安全测评内容描述
1	网络架构	应保证网络设备的业务处理能力满足业务高峰期需要
		应保证网络各个部分的带宽满足业务高峰期需要
		应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址
		应避免将重要网络区域部署在边界处，重要网络区域与其他网络区域之间应 采取可靠的技术隔离手段
		应提供通信线路、关键网络设备和关键计算设备的硬件冗余，保证系统的可用性。
2	通信传输	应采用校验技术或密码技术保证通信过程中数据的完整性
		应采用密码技术保证通信过程中数据的保密性
3	可信验证	可基千可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用 程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测 到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

（3）安全区域边界

安全区域边界测评对象包括接入边界防护情况，访问控制情况，入侵防范情况，恶意代码防范情况，安全审计情况，可信验证情况。在内容上，安全区域边界层面测评包含不限于如表 3 实施过程涉及 6 个测评单元。

序号	测评指标	网络安全等级保护测评内容描述
1	边界防护	应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信
		应能够对非授权设备私自联到内部网络的行为进行检查或限制
		应能够对内部用户非授权联到外部网络的行为进行检查或限制
		应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络
2	访问控制	应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信
		应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化
		应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出
		应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力
		应对进出网络的数据流实现基于应用协议和应用内容的访问控制
3	入侵防范	应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为
		应在关键网络节点处检测、防止或限制从内部发起的网络攻击行为
		应采取技术措施对网络行为进行分析，实现对网络攻击特别是新型网络攻击行为的分析
		当检测到攻击行为时，记录攻击源 IP、攻击类型、攻击目标、攻击时间，在发生 严重入侵事件时应提供报警
4	恶意代码和垃圾邮件防范	应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新
		应在关键网络节点处对垃圾邮件进行检测和防护，并维护垃圾邮件防护机制的升级和更新
5	安全审计	应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计
		审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息
		应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等
		应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析
6	可信验证	可基千可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

（4）安全计算环境

安全计算环境是针对身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护的情况进行检查。在内容上，安全计算环境层面测评包含不限于如表 4 实施过程涉及 11 个测评单元。

序号	测评指标	网络安全等级保护测评内容描述
1	身份鉴别	应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换
		应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施
		当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听
		应采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术对用户进行身份鉴别，且其中一种鉴别技术至少应使用密码技术来实现
2	访问控制	应对登录的用户分配账户和权限
		应重命名或删除默认账户，修改默认账户的默认口令
		应及时删除或停用多余的、过期的账户，避免共享账户的存在
		应授予管理用户所需的最小权限，实现管理用户的权限分离
		应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则
		访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级
		应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问
3	安全审计	应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计
		审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息
		应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等
		应对审计进程进行保护，防止未经授权的中断
4	入侵防范	应遵循最小安装的原则，仅安装需要的组件和应用程序
		应关闭不需要的系统服务、默认共享和高危端口
		应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制
		应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求
		应能发现可能存在的已知浦洞，并在经过充分测试评估后，及时修补漏洞
		应能够检测到对重要节点进行入侵的行为，并在发生严重入侵事件时提供报警
5	恶意代码防范	应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断
6	可信验证	可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心
7	数据完整性	应采用校验技术或密码技术保证重要数据在传输过程中的完整性，包括但不限千鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等
		应采用校验技术或密码技术保证重要数据在存储过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
8	数据保密性	应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等
		应采用密码技术保证重要数据在存储过程中的保密性，包括但不限千鉴别数据、重要业务数据和重要个人信息等
9	数据备份恢复	应提供重要数据的本地数据备份与恢复功能
		应提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地
		应提供重要数据处理系统的热冗余，保证系统的高可用性
10	剩余信息保护	应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除
		应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除
11	个人信息保护	应仅采集和保存业务必需的用户个人信息
		应禁止未授权访问和非法使用用户个人信息

（5）安全管理中心

安全管理中心员是检测是否进行进行身份鉴别，是否只允许其通过特定的命令或操作界面进行系统管理操作，是否对这些操作进行审计。测评对象为：系统管理、审计管理、安全管理、集中管控。在内容上，安全管理中心层面测评包含不限于如表 5 实施过程涉及 4 个测评单元。

序号	测评指标	等保项目测评内容描述
1	系统管理	应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计
		应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等
2	审计管理	应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计
		应通过审计管理员对审计记录应进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等
3	安全管理	应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计
		应通过安全管理员对系统中的安全策略进行配置，包括安全参数的设置，主体、客体进行统一安全标记，对主体进行授权，配置可信验证策略等
4	集中管控	应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控
		应能够建立一条安全的信息传输路径，对网络中的安全设备或安全组件进行管理
		应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测
		应对分散在各个设备上的审计数据进行收集汇总和集中分析，并保证审计记录的留存时间符合法律法规要求
		应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理
		应能对网络中发生的各类安全事件进行识别、报警和分析

（6）安全管理制度

安全管理制度的测评将采用访谈、检查文档的方式测评该信息系统的管理制度方面的安全保障情况。安全管理制度的测评对象为：安全策略、管理制度 、制定和发布、评审和修订文档记录等。在内容上，安全管理中心层面测评包含不限于如表 6 实施过程涉及 4 个测评单元。

序号	测评指标	网络安全管理制度测评内容描述
1	安全策略	应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等
2	管理制度	应对安全管理活动中的各类管理内容建立安全管理制度
		应对管理人员或操作人员执行的日常管理操作建立操作规程
		应形成由安全策略、管理制度、操作规程、记录表单等构成的全面的安全管理制度体系
3	制定和发布	应指定或授权专门的部门或人员负责安全管理制度的制定
		安全管理制度应通过正式、有效的方式发布，并进行版本控制
4	评审和修订	应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订

（7）安全管理机构

安全管理机构的测评将采用访谈、检查文档的方式测评该信息系统在安全管理机构方面的安全保障情况。安全管理机构的测评对象为：岗位设置、人员配备、授权和审批、沟通和合作 、审核和检查。在内容上，安全管理中心层面测评包含不限于如表 7 实施过程涉及 5 个测评单元。

序号	测评指标	安全管理机构测评内容描述
1	岗位设置	应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权
		应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责
		应设立系统管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责
2	人员配备	应配备一定数鼠的系统管理员、审计管理员和安全管理员等
		应配备专职安全管理员，不可兼任
3	授权和审批	应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等
		应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度
		应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息
4	沟通和合作	应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处理网络安全问题
		应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通
		应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息
5	审核和检查	应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况
		应定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等
		应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报

（8）安全管理人员

安全管理人员的测评将采用访谈、检查文档的方式测评该信息系统在人员安全管理方面的安全保障情况。人员安全管理的测评对象为：人员录用、人员离岗、安全意识教育和培训、外部人员访问管理 。在内容上，安全管理中心层面测评包含不限于如表 8 实施过程涉及 4 个测评单元。

序号	测评指标	安全管理人员测评内容描述
1	人员录用	应指定或授权专门的部门或人员负责人员录用
		应对被录用人员的身份、安全背景、专业资格或资质等进行审查，对其所具有的技术技能进行考核
		应与被录用人员签署保密协议，与关键岗位人员签署岗位责任协议
2	人员离岗	应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备
		应办理严格的调离手续，并承诺调离后的保密义务后方可离开
3	安全意识教育和培训	应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施
		应针对不同岗位制定不同的培训计划，对安全基础知识、岗位操作规程等进行培训
		应定期对不同岗位的人员进行技能考核
4	外部人员访问管理	应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪同，并登记备案
		应在外部人员接入受控网络访问系统前先提出书面申请，批准后由专人开设账户、分配权限，并登记备案
		外部人员离场后应及时清除其所有的访问权限
		获得系统访问授权的外部人员应签署保密协议，不得进行非授权操作，不得复制和泄露任何敏感信息

（9）安全建设管理

安全建设管理的测评将采用访谈、检查文档的方式测评该信息系统在系统建设管理方面的安全保障情况。系统建设管理的测评对象为：定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、 测试验收、系统交付、等级测评、服务供应商选择。

在内容上，安全管理中心层面测评包含不限于如表 9 实施过程涉及 10 个测评单元。

序号	测评指标	网络安全测评内容描述
1	定级和备案	应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由
		应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定
		应保证定级结果经过相关部门的批准
		应将备案材料报主管部门和相应公安机关备案
2	安全方案设计	应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施
		应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计，设计内容应包含密码技术相关内容，并形成配套文件
		应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过批准后才能正式实施
3	产品采购和使用	应确保网络安全产品采购和使用符合国家的有关规定
		应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求
		应预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单
4	自行软件开发	应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制
		应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则
		应制定代码编写安全规范，要求开发人员参照规范编写代码
		应具备软件设计的相关文档和使用指南，并对文档使用进行控制
		应保证在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测
		应对程序资源库的修改、更新、发布进行授权和批准，并严格进行版本控制
		应保证开发人员为专职人员，开发人员的开发活动受到控制、监视和审查
5	外包软件开发	应在软件交付前检测其中可能存在的恶意代码
		应保证开发单位提供软件设计文档和使用指南
		应保证开发单位提供软件源代码，并审查软件中可能存在的后门和隐蔽信道
6	工程实施	应指定或授权专门的部门或人员负责工程实施过程的管理
		应制定安全工程实施方案控制工程实施过程
		应通过第三方工程监理控制项目的实施过程
7	测试验收	应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告
		应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容
8	系统交付	应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点
		应对负责运行维护的技术人员进行相应的技能培训
		应提供建设过程文档和运行维护文档
9	等级测评	应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改
		应在发生重大变更或级别发生变化时进行等级测评
		应确保测评机构的选择符合国家有关规定
10	服务供应商选择	应确保服务供应商的选择符合国家的有关规定
		应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务
		应定期监督、评审和审核服务供应商提供的服务，并对其变更服务内容加以控制

（10）安全运维管理

安全运维管理的测评将采用访谈、检查文档的方式测评该信息系统在系统运维管理方面的安全保障情况。

测评对象为：环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理 、外包运维管理。

在内容上，安全管理中心层面测评包含不限于如表 10 实施过程涉及 14 个测评单元。

序号	测评指标	安全运维管理测评内容描述
1	环境管理	应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理
		应建立机房安全管理制度，对有关物理访问、物品带进出和环境安全等方面的管理作出规定
		应不在重要区域接待来访人员，不随意放置含有敏感信息的纸档文件和移动介质等
2	资产管理	应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容
		应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施
		应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理
3	介质管理	应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点
		应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录
4	设备维护管理	应对各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理
		应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等
		信息处理设备应经过审批才能带离机房或办公地点，含有存储介质的设备带出工作环境时其中重要数据应加密
		含有存储介质的设备在报废或重用前，应进行完全清除或被安全覆盖，保证该设备上的敏感数据和授权软件无法被恢复重用
5	漏洞和风险管理	应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补
		应定期开展安全测评，形成安全测评报告，采取措施应对发现的安全问题
6	网络和系统安全管理	应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限
		应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制
		应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定
		应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等
		应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容
		应指定专门的部门或人员对日志、监测和报警数据等进行分析、统计，及时发现可疑行为
		应严格控制变更性运维，经过审批后才可改变连接、安装系统组件或调整配置参数，操作过程中应保留不可更改的审计日志，操作结束后应同步更新配置信息库
		应严格控制运维工具的使用，经过审批后才可接入进行操作，操作过程中应保留不可更改的审计日志，操作结束后应删除工具中的敏感数据
		应严格控制远程运维的开通，经过审批后才可开通远程运维接口或通道，操作过程中应保留不可更改的审计日志，操作结束后立即关闭接口或通道
		应保证所有与外部的连接均得到授权和批准，应定期检查违反规定无线上网及其他违反网络安全策略的行为
7	恶意代码防范管理	应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等
		应定期验证防范恶意代码攻击的技术措施的有效性
8	配置管理	应记录和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等
		应将基本配置信息改变纳入变更范畴，实施对配置信息改变的控制，并及时更新基本配置信息库
9	密码管理	应遵循密码相关国家标准和行业标准
		应使用国家密码管理主管部门认证核准的密码技术和产品
10	变更管理	应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施
		应建立变更的申报和审批控制程序，依据程序控制所有的变更，记录变更实施过程
		应建立中止变更并从失败变更中恢复的程序，明确过程控制方法和人员职责，必要时对恢复过程进行演练
11	备份与恢复管理	应识别需要定期备份的重要业务信息、系统数据及软件系统等
		应规定备份信息的备份方式、备份频度、存储介质、保存期等
		应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等
12	安全事件处置	应及时向安全管理部门报告所发现的安全弱点和可疑事件
		应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等
		应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训
		对造成系统中断和造成信息泄漏的重大安全事件应采用不同的处理程序和报告程序
13	应急预案管理	应规定统一的应急预案框架，包括启动预案的条件、应急组织构成、应急资源保障、事后教育和培训等内容
		应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容
		应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练
		应定期对原有的应急预案重新评估，修订完善
14	外包运维管理	应确保外包运维服务商的选择符合国家的有关规定
		应与选定的外包运维服务商签订相关的协议，明确约定外包运维的范围、工作内容
		应保证选择的外包运维服务商在技术和管理方面均应具有按照等级保护要求开展安全运维工作的能力，并将能力要求在签订的协议中明确
		应在与外包运维服务商签订的协议中明确所有相关的安全要求，如可能涉及对敏感信息的访问、处理、存储要求，对 IT 基础设施中断服务的应急保障要求等

（11）工具扫描

使用专业的安全分析工具（至少包含专业的主机网络安全分析、应用系统安全析工具）对待测系统进行安全分析。在与我方深入沟通的基础上，对系统进行渗透，对过程进行记录并最终形成工具扫描、渗透报告。具体包括使用漏洞扫描工具等对网络系统中的主机操作系统、数据库系统、主要网络设备进行扫描，检查相应设备存在的系统漏洞、弱口令、数据暴露等安全问题。测试所使用的工具应包含不限于以下几种类型的工作。

测试内容	网络安全等级保护测评工具扫描的作用
漏洞扫描	对主机、操作系统、数据库等设备进行扫描
渗透测试	使用网站爬虫、端口扫描、木马工具、口令嗅探、Cookie 注入、信息泄漏等工具对网站进行模拟攻击
Web 漏洞扫描	Web 应用和网页漏洞扫描，包括 Web 平台和中间件
协议分析	进行网络协议分析，检查系统中各种应用流量的情况

4.3 安全管理制度修订

协助建设或修订与系统安全管理相配套的、包括所有系统的建设、开发、运维、升级、改造和应急等各个阶段和环节所应当遵循的行为规范和操作规程，具体制度内容包括：

1. 应用范围明确：管理制度建立首先要明确制度的应用范围，如机房管理、帐户管理、远程访问管理、特殊权限管理、设备管理、变更管理等方面的内容。
2. 人员职责定义：管理制度的建立要明确相关岗位人员的责任和权利范围，并要征求相关人员的意见，要保证责任明确。
3. 行为规范规定：管理制度是通过制度化、规范化的流程和行为，来保证各项管理工作的一致性。

评估与完善：制度在发布、执行过程中，要每年度对其进行评估，根据实际环境和情况的变化，对制度进行修改和完善，必要时考虑管理制度的重新制定。

5 测评项目人员保障

供应商必须为本项目成立等级保护测评小组，测评人员均具有公安部认证的测评师证书，持证上岗。参与测评工作的持证测评人员至少 5 人构成（其中高级测评师和中级测评师各不少于 1 人）。（须提供测评小组名单并提供相应资质证明复印件）

为更好的向采购人提供服务，确保测评期间各类技术突发紧急事件得到及时有效的处置，针对本项目供应商在重庆本地须有常设机构或售后服务机构，提供在渝 10 人（测评师）及以上连续 3 个月以上的在渝社保缴纳证明。

采购人将全程对测评项目组人员进行考核，达不到采购人要求的将要求替换。如进行人员替换后仍无法达到采购人要求，采购人将有权终止合同。

6 项目成果报告要求

该项目的报告文档可能包括以下清单中的全部或部分文档，这将根据实际情况进行确定，其中某些文档可能合并输出。报告包括但不限于：XXX 防止返贫大数据监测平台《等级测评报告》（该交付物须盖有《CNAS 中国认可检验》专用章），其中包含：系统风险分析和整改建议等。