信息安全等级保护第三级测评指导书v1-系统建设管理.docxVIP

系统建设管理G3A3G3

PAGE45

序号

控制点

测评指标

测评结论

1

系统定级

a)应明确信息系统的边界和安全保护等级；

测评方法

检查系统定级说明文档，查看文档是否明确信息系统边界和安全保护等级。

符合描述

暂时为空

存在问题

缺少《信息安全等级保护定级报告》。

危害分析

可能导致信息系统的保护措施不足或过度。

整改建议

应明确信息系统边界和安全保护等级。

序号

控制点

测评指标

测评结论

2

系统定级

b)应以书面的形式说明确定信息系统为某个安全保护等级的方法和理由；

测评方法

检查系统定级文档，查看文档是否明确信息系统的安全保护等级确定的方法和理由。

符合描述

暂时为空

存在问题

缺少《信息安全等级保护定级报告》。

危害分析

可能导致信息系统的保护措施不足或过度。

整改建议

应说明确定信息系统为某个安全保护等级的方法和理由。

序号

控制点

测评指标

测评结论

3

系统定级

c)应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定；

测评方法

访谈安全主管，询问是否组织相关部门和有关安全技术专家对定级结果进行论证和审定；检查定级结果论证文档。

符合描述

暂时为空

存在问题

未对信息系统定级结果的合理性和正确性进行论证和审定。

危害分析

可能导致信息系统的保护措施不足或过度。

整改建议

1．应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定；

2．应具备定级结果论证文档。

序号

控制点

测评指标

测评结论

4

系统定级

d)应确保信息系统的定级结果经过相关部门的批准。

测评方法

检查系统定级文档，查看定级结果是否具有相关部门的批准盖章。

符合描述

暂时为空

存在问题

1．信息系统的定级结果未经过相关部门的批准；

2．未取得备案编号。

危害分析

管理不到位。

整改建议

1．信息系统的定级结果经过相关部门的批准；

2．定级结果应具有相关部门的批准盖章；

3．应具有备案编号

序号

控制点

测评指标

测评结论

5

安全方案设计

a)应根据系统的安全保护等级选择基本安全措施，并依据风险分析的结果补充和调整安全措施；

测评方法

访谈系统建设负责人，询问系统选择基本安全措施的依据，是否依据安全保护等级选择，是否依据风险分析的结果补充和调整安全措施，做过哪些调整。

符合描述

暂时为空

存在问题

1．未对信息系统进行风险分析；

2．未根据风险分析的结果对安全措施进行补充和调整。

危害分析

可能导致信息系统的保护措施不足或过度。

整改建议

1．应对信息系统进行风险分析；应具有风险分析资料；

2．应根据风险分析的结果对安全措施进行补充和调整，保留相关文档。

序号

控制点

测评指标

测评结论

6

安全方案设计

b)应指定和授权专门的部门对信息系统的安全建设进行总体规划，制定近期和远期的安全建设工作计划；

测评方法

访谈安全主管，询问是否授权专门的部门对信息系统的安全建设进行总体规划，由何部门/何人负责；检查系统的安全建设工作计划。

符合描述

暂时为空

存在问题

1．未对信息系统的安全建设进行整体规划；

2．未制定近期和远期的安全建设工作计划。

危害分析

可能导致信息系统的保护措施不足或过度。

整改建议

1．应对信息系统的安全建设进行整体规划，具备规划书、安全建设方案等资料；

2．应制定近期和远期的安全建设工作计划，具备安全建设工作计划。

序号

控制点

测评指标

测评结论

7

安全方案设计

c)应根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件；

测评方法

访谈系统建设负责人，询问是否根据信息系统的等级划分情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案等。

符合描述

暂时为空

存在问题

1．缺少总体安全策略、安全技术框架、安全管理策略文档；

2．缺少安全建设的详细设计方案；或详细设计方案中没有安全建设方面的内容。

3．尚未统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划、详细设计方案（金标三级、金标四级中还包括安全性需求分析），未形成配套文件。

危害分析

可能导致信息系统的保护措施不足或过度。

整改建议

1．应制定总体安全策略、安全技术框架，明确安全管理策略；应具备相关文档；

2．应具备安全建设详细设计方案，或详细设计