测评项目管理制度Word文档下载推荐.doc

测评项目管理制度Word文档下载推荐.doc

《测评项目管理制度Word文档下载推荐.doc》由会员分享，可在线阅读，更多相关《测评项目管理制度Word文档下载推荐.doc（23页珍藏版）》请在冰豆网上搜索。

4.2测评准备活动的主要任务

4.2.1项目启动

在项目启动任务中，测评机构组建等级测评项目组，获取测评委托单位及被测系统的基本情况，从基本资料、人员、计划安排等方面为整个等级测评项目的实施做基本准备。

输入：

委托测评协议书。

任务描述：

a）根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评项目组，从人员方面做好准备，并编制项目计划书。

项目计划书应包含项目概述、工作依据、技术思路、工作内容和项目组织等。

b）测评机构要求测评委托单位提供基本资料，包括：

被测系统总体描述文件，详细描述文件，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次等级测评报告（如果有），测评委托单位的信息化建设状况与发展以及联络方式等。

输出/产品：

项目计划书。

4.2.2信息收集和分析

测评机构通过查阅被测系统已有资料或使用调查表格的方式，了解整个系统的构成和保护情况，为编写测评方案和开展现场测评工作奠定基础。

调查表格，被测系统总体描述文件，详细描述文件，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次等级测评报告（如果有）。

a）测评机构收集等级测评需要的各种资料，包括测评委托单位的各种方针文件、规章制度及相关过程管理记录、被测系统总体描述文件、详细描述文件、安全保护等级定级报告、安全需求分析报告、安全总体方案、安全现状评价报告、安全详细设计方案、用户指南、运行步骤、网络图表、配置管理文档等。

b）测评机构将调查表格提交给测评委托单位，督促被测系统相关人员准确填写调查表格。

c）测评机构收回填写完成的调查表格，并分析调查结果，了解和熟悉被测系统的实际情况。

分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。

这些信息可以重用自查或上次等级测评报告中的可信结果。

d）如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。

填好的调查表格。

4.2.3工具和表单准备

测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。

各种与被测系统相关的技术资料。

a）测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。

b）测评人员模拟被测系统搭建测评环境。

c）准备和打印表单，主要包括：

现场测评授权书、文档交接单、会议记录表单、会议

选用的测评工具清单，打印的各类表单。

4.3测评准备活动的输出文档

测评准备活动的输出文档及其内容如表1所示：

4.4测评准备活动中双方的职责

测评机构职责：

a）组建等级测评项目组。

b）指出测评委托单位应提供的基本资料。

c）准备被测系统基本情况调查表格，并提交给测评委托单位。

d）向测评委托单位介绍安全测评工作流程和方法。

e）向测评委托单位说明测评工作可能带来的风险和规避方法。

f）了解测评委托单位的信息化建设状况与发展，以及被测系统的基本情况。

g）初步分析系统的安全情况。

h）准备测评工具和文档。

测评委托单位职责：

a）向测评机构介绍本单位的信息化建设状况与发展情况。

b）准备测评机构需要的资料。

c）为测评人员的信息收集提供支持和协调。

d）准确填写调查表格。

e）根据被测系统的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议。

f）制定应急预案。

五、方案编制过程管理

5.1目的

方案编制过程是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。

本过程的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。

5.2方案编制过程的工作流程

方案编制活动包括测评对象确定、测评指标确定、测试工具接入点确定、测评内容确定、测评指导书测评指导书开发及测评方案编制六项主要任务。

这六项任务的基本工作流程见下图：

方案编制活动的基本工作流程

5.3方案编制过程需要完成的主要任务：

5.3.1确定测评对象：

根据已经了解到的被测系统信息，分析整个被测系统及其涉及的业务应用系统，确定出本次测评的测评对象。

主要包括：

a）根据调查表格获得的被测系统基本情况，识别并描述被测系统的整体结构。

b）根据填好的调查表格，识别并描述被测系统的边界。

c）识别并描述被测系统的网络区域。

d）识别并描述被测系统的重要节点。

e）对上述描述内容进行整理，描述被测系统。

f）确定测评对象。

g）描述测评对象。

本过程的输入/输出为：

输入：

输出/产品：

测评方案的测评对象部分。

5.3.2测评指标确定。

根据已经了解到的被测系统定级结果，确定出本次测评的测评指标。

本过程主要包括以下任务：

a）根据被测系统调查表格，得出被测系统的定级结果，包括业务信息安全保护等级和系统服务安全保护等级，从而得出被测系统应采取的安全保护措施ASG组合情况。

b）从GB/T22239-2008中选择相应等级的安全要求作为测评指标，包括对ASG三类安全要求的选择。

c）对于由多个不同等级的信息系统组成的被测系统，应分别确定各个定级对象的测评指标。

如果多个定级对象共用物理环境或管理体系，而且测评指标不能分开，则不

能分开的这些测评指标应采用就高原则。

d）分别针对每个定级对象加以描述，包括系统的定级结果、指标选择两部分。

其中，

指标选择可以列表的形式给出。

（如下所示）

测评指标

本过程的输入/输出为：

输入：

填好的调查表格，GB/T22239-2008。

输出/产品：

测评方案的测评指标部分。

5.3.3测试工具接入点确定

在等级测评中，对二级和二级以上的信息系统应进行工具测试，工具测试可能用到漏洞扫描器、渗透测试工具集、协议分析仪等测试工具。

本过程的工作任务为：

a）确定需要进行工具测试的测评对象。

b）选择测试路径。

一般来说，测试工具的接入采取从外到内，从其他网络到本地网段的逐步逐点接入。

c）根据测试路径，确定测试工具的接入点。

d）结合网络拓扑图，采用图示的方式描述测试工具的接入点、测试目的、测试途径和测试对象等相关内容。

测评方案的测评内容中关于测评工具接入点部分。

5.3.4测评内容确定。

本过程确定现场测评的具体实施内容，即单元测评内容。

本阶段的主要任务为：

确定单元测评内容。

在测评方案中，现场单元测评实施内容通常以表格的形式给出，表格包括测评指标、测评内容描述等内容。

现场单元测评实施内容表格描述的基本格式之一为下表：

表×

×

（如物理安全）单元测评实施内容

本过程的输入/输出为：

输入：

填好的调查表格，测评方案的测评对象、测评指标及测评工具接入点部分。

输出/产品：

测评方案的单元测评实施部分。

5.3.5测评指导书开发。

测评指导书是具体指导测评人员如何进行测评活动的文件，是现场测评的工具、方法和操作步骤等的详细描述，是保证测评活动可以重现的根本。

因此，测评指导书应当尽可能详尽、充分。

本过程的主要任务为：

a）描述单个测评对象，包括测评对象的名称、IP地址、用途、管理人员等信息。

b）根据单元测评实施要求确定测评活动，包括测评项、测评方法、操作步骤和预期结果等四部分。

c）单元测评一般以表格形式设计和描述测评项、测评方法、操作步骤和预期结果等内容。

整体测评则一般以文字描述的方式表述，可以以测评用例的方式进行组织。

单元测评的测评指导书描述的基本格式为：

表×

（测评对象，如核心交换机）单元测评指导书

测评方案的测试工具接入点、单元测评实施部分。

测评指导书，测评结果记录表格。

5.3.6测评方案编制

测评方案是等级测评工作实施的基础，指导等级测评工作的现场实施活动。

测评方案应包括但不局限于以下内容：

项目概述、测评对象、测评指标、测评工具的接入点以及单元测评实施等。

本过程的主要任务为：

a）根据委托测评协议书和填好的调研表格，提取项目来源、测评委托单位整体信息化建设情况及被测系统与单位其他系统之间的连接情况等。

b）根据等级保护过程中的等级测评实施要求，将测评活动所依据的标准罗列出来。

c）依据委托测评协议书和被测系统情况，估算现场测评工作量。

工作量可以根据配置检查的节点数量和工具测试的接入点及测试内容等情况进行估算。

d）根据测评项目组成员安排，编制工作安排情况。

e）根据以往测评经验以及被测系统规模，编制具体测评计划，包括现场工作人员的分工和时间安排。

在进行时间计划安排时，应尽量避开被测系统的业务高峰期，避免给被测系统带来影响。

同时，在测评计划中应将具体测评所需条件以及测评需要的配合人员也一并给出，便于测评实施之前双方沟通协调、合理安排。

f）汇总上述内容及方案编制活动的其他任务获取的内容形成测评方案文稿。

g）评审和提交测评方案。

测评方案初稿应通过测评项目组全体成员评审，修改完成后形成提交稿。

然后，测评机构将测评方案提交给测评委托单位签字认可。

本过程的输入输出为：

委托测评协议书，填好的调研表格，GB/T22239-2008中相应等级的基本要求，测评方案的测评对象、测评指标、测试工具接入点、测评内容部分。

经过评审和确认的测评方案文本。

5.4整个方案编制活动的输出文档：

方案编制活动的输出文档及其内容如下表所示：

方案编制活动的输出文档及其内容

5.5方案编制活动中双方的职责

a）详细分析被测系统的整体结构、边界、网络区域、重要节点等。

b）初步判断被测系统的安全薄弱点。

c）分析确定测评对象、测评指标和测试工具接入点，确定测评内容及方