信息系统安全等级保护检查.docx

1、信息系统安全等级保护检查第14章 信息系统安全等级保护检查信息系统的检查工作时信息系统等级保护工作的重要组成部分之一。系统的检查涉及系统管理和技术的方方面面，是对信息系统安全保障措施能否切实保障系统安全的检查和确认。本章中将详细叙述检查重要性、分类和实施方式。14.1.1 概述信息系统检查是保障信息系统安全性的重要任务之一，通过对建立的信息系统进行安全性检查，能够发现系统的不足，并及时补救和改进。所以，各国为了解决信息系统的安全性问题，对系统的检查都提出了相应的要求，并且建立了相关的法律、法规、标准和规范等来保障安全检查的正常运行。14.1.2 检查的工作形势检查的工作形式，可以分为自检查、监

2、督检查和委托检查。（1） 自检查：指信息系统所有者或运营、使用单位发起的对本单位信息系统的安全状态进行的检查。若系统所有者的自检查有周期性，则不必每次都执行完整的检查流程，而只是自检查系统变化的部分和重要部位。（2） 监督检查：指信息系统的上级管理部门组织的，或由国家相关部门依法开展的检查。监督检查一般需要执行完整的检查流程，但特殊情况下，也可在自检查的基础上，只执行关键部门的检查。（3） 委托检查：受检单位或监督检查的组织部门不具备检查能力的，可委托经相关主管部门认可的机构来检查。14.1.3 检查的分类信息系统的安全性检查按照起因和组织形式可分为常规检查、专项检查、事件检查、安全检查和自查

3、五类；按照内容划分可分为管理类检查和技术类检查两类。本章将从内容划分进行描述。（1） 管理类检查：针对信息系统的管理过程施行的检查称为管理类检查，主要分为组织安全检查、人员安全检查、系统建设检查和系统运维检查等几个部分。（2） 技术类检查：针对支持和保障信息系统安全运行使用的技术和操作施行的检查称为技术类检查，主要包括物理安全检查、网络安全检查、主机安全检查和应用安全检查等几个部分。14.2 检查的目标和内容14.2.1 检查目标信息系统的检查，无论是自检还是监督检查，实质上都是一种持续性的风险评估和风险规避过程。美国联邦信息安全管理法案中明确要求了联邦各机构需要对每一个系统实施“定期的有效性

4、测试与评估”，考察信息安全的策略、流程和措施“。维持这样一个风险评估和风险规避过程，能够有效地将系统的安全风险控制在可接受的范围之内，这也就是信息系统安全性检查和目标。为了更清楚地说明检查的目标，这里给出信息系统安全等级保护检查目标的定义；通过对信息系统安全性检查，将信息系统的安全风险控制在可接受的范围，并且保障系统在相应的系统保护等级上达到相应的等级保护标准和规范。14.2.2 检查内容通过细化信息系统安全性检查目标，可以很容易地得到系统检查相应的检查内容，如表14-1所示。表14-1 系统检查内容项 目检 查 内 容管理类组织安全检查安全机构的组织情况人员安全检查系统管理人员行为等系统建设

5、检查系统建设的相关管理制度和人员行为系统运维检查运维管理制度和人员行为技术类物理安全检查物理环境安全，检查系统运行安全网络安全检查网络设施和网络环境安全主机安全检查主机设备和操作规程安全应用安全检查应用系统各方面安全系统检查内容14.3 检查的实施14.3.1 管理类检查1. 组织安全检查检查对象：信息安全组织机构相关文档和管理制度。检查条目和结果判定可参照组织安全管理检查表，如表14-2所示。表14-2 组织机构安全管理检查检 查 条 目结 果 判 定安全组织机构建立安全组织机构成立的相关文件齐全，架构完整，有专门的的信息安全领导小组进行安全工作安全组织机构运行信息安全机构定期开展信息安全工

6、作的部署和考核等工作，并有明确的记录安全管理制度制定和实施信息安全制度按照流程指定，并且制度实施情况良好2. 人员安全检查检查对象：人员管理的制度和记录。检查条目和结果判定可参照人员安全管理检查表，如表14-3所示。表14-3 人员安全管理检查表检 查 条 目结 果 判 定人员录用安全管理人员管理制度对录用人员技术和安全管理知识进行规定，关键岗位和重要岗位要签订安全协议书和安全保密协议离岗离职人员安全管理人员管理制度对离岗人员信息安全管理进行规定，人员离岗时应进行登记在职人员安全考核管理人员管理制度对在职人员审查进行规定，对考核结果进行记录并保存人员安全教育和培训人员管理制度对安全意识和技术进

7、行培训和规定，并对安全教育和培训情况和结果进行记录并存档保存外部人员访问人员管理制度中具有针对外部人员访问重要区域的管理规定，且对外部人员访问历史进行记录并保存3. 系统建设检查检查对象：系统顶级管理中的制度、记录文档和相关的合同及文档等。检查条目和结果判定参照系统建设管理检查表，如表14-4所示。表14-4 系统建设管理检查表控制点检查条目结果判定系统定级定级文档文档明确边界和等级且说明定级方法和理由定级结果批准结果经过审批定级结果论证和审定正确性和合理性经过论证安全方案设计安全措施及其补充、调整根据定级结果调整措施，并记有记录安全设计方案文件统一考虑安全保障体系，形成配套文件安全设计方案的

8、论证方案正确性和合理性进行论证安全方案配套文件的维护（三级以上）配套文件定期维护安全总体规划（三级以上）设立专门部门或专人进行进行总体规划和设计安全建设计划（三级以上）设立专门部门或专人制定中、长期安全计划产品采购和使用安全产品凭证安全产品采购和使用需要符合国家相关部门规定产品采购控制制定专门部门或专人根据采购清单负责采购产品产品选型测试进行选型测试，根据测试结果选择产品自行软件开发开发环境和运行环境要分开开发环境和运行环境需要隔离开发人员和测试人员分离开发人员和测试人员需要分离软件开发管理制度和文档管理要有专门的软件设计文档，并由专人管理代码规范制定代码规范，要求按规范编码程序资源库建立资源

9、库，并保证其修改、更新和发布外部软件开发软件质量检测根据需求检测软件质量恶意代码检测制定代码规范，按要求规范编码软件设计文档、使用指南提供软件的设计文档软件后门检测提供源代码进行后门检测工程实施工程实施管理部门制定或授权专门的部门或人员进行工程实施管理工程实施控制指定详细方案控制工程实施工程实施管理制度建立管理制度，明确实施方法，说明人员准则测试验收安全性测试委托第三方进行安全性测试，并出具测试报告测试验收报告及其审定记录测试结果，形成报告并审定测试部门和制度建立管理制度，制定专门部门进行测试验收管理系统交付系统交付清单制定交付清单、根据清单清点设备运维人员培训组织人员进行培训，并进行记录系统

10、建设过程中和运维文档确保接收系统建设过程相关文档和运维指导文档系统交付管理部门和制度建立专门部门和制度管理交付、规范人员行为系统备案材料管理指定专门部门或人员进行备案材料整理备案须将材料交到主管部门或公安机关备案等级 测评等级测评周期至少每年一次，并进行整改测评单位选择应选择有测评资质的公司进行测评测评部门指定或授权专门部门进行测评安全服务商选择安全服务商选择规定选择符合国家相关规定的服务商安全服务协议签订服务协议，明确责任安全服务商合同必要时签订合同，保障技术支持和培训的实现4. 系统运维检查控制点检查条目判定结果环境基本环境指定专门人员进行环境管理，包括空调和配电等机房环境指定专门部门，并

11、制定机房管理制度办公室环境加强办公室保密性管理，规范人员行为资产资产清单具有资产清单资产管理制度建立资产管理制度，规范资产管理和使用行为资产分类和标记根据资产的重要程度进行分类和规范化管理介质介质管理制度实行专人化管理，制定介质存放环境介质异地存储根据数据备份需要，对某些介质进行异地存储介质数据加密介质中的重要数据要进行加密设备设备维护制度指定专人对设备进行维护设备管理制度建立申报、审批和专人负责的管理制度密码密码管理制度建立密码管理制度，使用符合国家标准的产品密码安全管理机制建立基于密码的安全机制管理制度变更变更方案制定确认变更并制定方案，根据方案实施变更变更管理制度建立变更管理制度，管理变

12、更审批等流程表更申报与审批变更前要进行变更申请，得到审批后才可以变更变更中止与恢复建立变更中止和恢复文件程序网络安全安全管理制度制度安全管理制度，规范人员行为更新和漏洞扫描定期进行漏洞扫描，并及时打补丁设备最小化服务配置实现设备最小化服务配置，对配置文件离线备份连接授权与设备进入控制所有与外联系统连接均进行审批、并记录违规行为检查定期检查违规行为系统安全安全管理制度制定安全管理制度，规范人员行为系统访问控制策略根据业务需求和安全分析确定访问控制策略漏洞扫描和补丁更新定期进行漏洞扫描，并及时更新补丁系统操作管理及时安装系统补丁，安装前应进行测试日志审计和日志记录应定期进行日志审计和日志记录恶意代

13、码法防护防病毒知识培训定期进行防病毒培训，提高防毒意识恶意代码检测和分析指定专人进行恶意代码检测，并保留记录恶意代码防范管理制度建立管理制度，规定软件的使用和代码库升级安全事件处理安全弱点和可疑事件报告报告所有可疑事件，并且不尝试验证弱点管理制度制度安全事件报告和处理管理制度事件等级划分根据相关部门的划分方法和威胁性划分事件安全事件响应、处理程序建立事件报告的划分方法和威胁划分事件应急预案管理应急预案的的制定、培训和演练制定应急预案、并定期进行演练应急预案资源保障确保应急预案资源充足应急预案定期审查和更新定期审定和更新应急预案备份恢复备份制度和备份策略建立相关制度、建立备份和恢复程序，定期进行

14、测试监控和管理中心各类监控记录对通信线路、主机和网络等进行监控，并保留记录14.3.2 技术类检查1. 物理安全检查检查对象：机房环境安全、设备安全、系统安全保障措施实施情况和检测验收报告。检查条目：1) 物理环境安全（1） 检查机房安全环境，包括机房布线、防静电和防盗防毁措施的实施情况；（2） 检查机房防水、防火和温湿度调节等保障措施和设备是否完全符合标准，以及其运行维护情况；（3） 检查机房管理制度和相关的记录文件；（4） 检查机房的门禁机监控系统运行情况和相关记录文件；（5） 检查屏幕和办公桌面。2) 设备物理安全（1） 检查物理设备的防电磁干扰和泄露措施；（2） 检查物理设备的维护情况

15、和相关记录文档。3) 介质物理安全（1） 检查物理介质存放、管理措施和相关文档记录文件；（2） 检查物理介质信息消除措施的实施情况和相关记录；（3） 检查介质信息加密措施实施情况。检查条目和结果判定可参照物理安全检查表，如表14-6所示。检查条目条目编号检查实施结果判定环境物理安全（1）查看机房环境，查看机房设施和装置的运行和维护情况机房无安全隐患，各类设施正常运行，并且有日常维护记录，则该项为肯定（2）查看机房各类安全设施及其运行维护情况各类设施符合标准，运行维护正常，且有维护记录，则该项为肯定（3）查看机房制度文件和执行情况有完善的机房管理制度，并实施正常，则该项为肯定（4）查看机房门禁和

16、监控系统的运行情况及相关记录机房门禁和监控系统运行正常，且有相关记录，则该项为肯定（5）产科屏幕保护和办公室电脑桌面办公室人员离席时应启动屏保，则该项为肯定设备物理安全（1）检查防电磁干扰和泄露设施运行情况设施运行正常且有维护记录，则该项为肯定（2）检查各类物理设备运行维护情况设施运行正常且有维护记录，则该项为肯定介质物理安全（1）检查介质存放环境和管理，维护情况，以及相关记录文件介质存放环境安全，管理维护正常，并有相关维护记录，则该项为正常（2）检查物理介质信息清除制度和措施及其实施情况，并审查相关记录文件有介质清除的相关管理制度，且已实施执行，并有相关记录文件，则该项为正确（3）检查介质中

17、的信息加密情况介质中的信息均以加密，则该项为肯定2. 网络安全措施检查对象：网络拓扑、安全策略、设备和网络安全的各类保障措施。如访问控制等的实施情况以及相关的记录和审计文件等。检查条目：1) 结构安全（1） 网络拓扑结构图与当前网络系统结构的符合性；（2） 网络结构设计和区域划分的合理性；（3） 重要区域和网段、业务、职能部门的隔离性；（4） 重要业务系统的带宽优先级；（5） 路由控制；（6） 网络冗余性配置。2) 访问控制（1） 检查身份认证系统运行情况和相关记录文件；（2） 检查访问控制措施实施情况以及相关的监控和记录文件。3) 安全审计（1） 检查审计数据保护措施实施情况；（2） 检查审

18、计数据的审查记录文件；（3） 检查审计工具使用情况。4) 边界检测带宽控制、非授权连接行为检查和阻断。5) 入侵防范（1） 检查入侵检测技术实施情况以及相关监控和记录文件；（2） 检查攻击情况和相关额攻击记录。6) 恶意代码防护（1） 恶意代码检测、清除措施实施情况和记录；（2） 恶意代码库升级情况。7) 网络设备防护（1） 用户身份鉴别；（2） 网络管理员登录地址限制；（3） 网络设备用户标识唯一性；（4） 登录失败处理功能；（5） 权限分离；检查条目和结果判定参见网络安全检查表，如表14-7所示。表14-7 网络安全检查表检查条目条目编码检 查 实 施结 果 判 定结构安全（1）对照网络拓

19、扑图检查当前网络结构当前网络图符合拓扑图，则该项为正（2）分析网络拓扑图是否满足业务系统的实际需求，查看网络性能测试报告网络结构符合当前业务需求（3）重要网段的隔离情况和隔离措施实施情况重要网段远离边界，并且有隔离措施进行隔离，措施实施正常，则该项为正（4）查看路由控制策略，检查边界和主要网络设备，查看是否配置路由控制策略以建立安全访问控制路径有相应的路由控制策略，并且建立了安全访问路径，则该项为正（5）是否按照业务的重要性来分配带宽优先级，在网络发生拥塞时，优先保护重要业务正常运行有相关优先级分配措施，则该项为正（6）查看主要网络设备的业务处理能力是否具备冗余空间，满足业务高分期要求具备冗余

20、空间，能够满足业务高峰期需求访问控制（1）查看身份认证系统运行情况和相关记录文件身份认证系统运行正常，且有相关记录，则该项为肯定（2）查看各类访问控制措施运行和维护情况以及相关记录访问控制措施运行、维护正常，且有相关维护记录，则该项为肯定安全审计（1）查看审计数据保护措施实施情况有相应的保护措施，则该项为肯定（2）查看审计数据的审查记录文件具有审计记录文件，则（3）查看审计工具的使用情况设计工具运行、维护正常，则该项为正边界检测查看网络边界带宽控制策略的实施情况，以及非授权设备阻断和实施情况网络边界实施访问控制策略、带宽策略、非法外联阻断，则该项为肯定入侵防范（1）查看边界入侵检测措施实施情况

21、及记录边界入侵检测措施运行、维护正常，且有相关记录（2）查看IDS防御攻击情况和记录文件有相关的报警和记录文件，则该项为肯定恶意代码防范（1）查看网络边界处恶意代码检测和清除情况有相关的恶意代码检测设施，且运行正常，并有相关记录，则该项为肯定（2）查看网络恶意代码库的升级情况和记录代码库定级升级，且有记录，则该项为肯定网络设备防护（1）查看网络设备的用户身份鉴别措施身份鉴别措施运行正常，则该项为正（2）检查是否设置了管理员地址限制了管理员的IP地址（3）检查网络设备用户标识设备标识唯一，则该项为正（4）检查身份鉴别机制的不可冒用性和用户口令复杂度有相关措施，且运行正常，则该项为正（5）是否具有

22、登录失败处理功能，是否可采取结束会话，限制非法登录次数和网络登录超时自动退出等措施有相关措施，且运行正常，则该项为正（6）查看鉴别信息传输过程中的保护情况有必要措施防止鉴别信息在网络传输过程中被窃听，则该项为正（7）查看设备特权用户的权限分离措施管理员账号权限合理，则该项为正3. 主机安全检查检查对象：主机安全中各类保护措施的实施情况，以及相关记录、日志和审计文件。检查条目：1) 身份鉴别机制（1） 检查操作系统和数据库系统管理员用户的身份标识和鉴别；（2） 检查操作系统和数据库系统管理员用户标识唯一性和不可冒用性和口令的复杂性；（3） 检查用户登录失败的处理机制；（4） 检查服务器远程管理功

23、能及其保护措施；（5） 检查管理员身份鉴别组合技术及其实施情况。2) 访问控制机制（1） 检查访问控制机制的实施、审计情况和相关审计记录；（2） 检查管理员用户权限分配情况是否符合最小权限管理；（3） 检查操作系统和数据库管理系统管理员权限分离情况；（4） 检查其他默认账号的权限分配和管理情况；（5） 检查敏感资源标记情况，以及对敏感资源进行控制。3) 安全审计（1） 检查审计范围覆盖情况；（2） 检查审计内容覆盖情况；（3） 检查审计安全记录内容；（4） 检查审计报表生成和自动生成情况；（5） 检查审计进度保护情况；（6） 检查审计记录保护情况。4) 剩余信息保护（1） 检查操作系统和数据库

24、系统用户鉴别信息所在的存储空间（内存和硬盘空间）移为他用时剩余信息和痕迹清除情况；（2） 检查系统文件、目录和数据库等资源文件存储空间，被释放或移为他用时剩余信息清理情况。5) 入侵防范（1） 检查主机入侵检测软件运行情况和入侵检测记录；（2） 检查重要程序完整性检查和恢复措施；（3） 检查操作系统安全是否符合最小安装原则，以及系统补丁的升级和更新情况。6) 恶意代码防护（1） 检查恶意代码软件的安装、运行和更新情况；（2） 检查主机恶意代码库和网络恶意代码库分离情况；（3） 检查恶意代码库的统一管理和升级。7) 资源控制（1） 检查终端登录限制情况；（2） 检查安全策略中终端登录超时情况；（

25、3） 检查单个用户系统资源使用情况；8) 备份恢复（1） 检查关键网络设备、通信线路、关键设备的硬件冗余情况，保障系统的高可用性； 检查条目和结果判定操作主机安全检查法，如表14-8所示。检查条目条目符号检 查 实 施结 果 判 定身份鉴别机制（1）检查数据库和操作系统管理员身份标识和鉴别情况管理员身份均已标识，有身份鉴别机制，且进行了数据库管理员和操作系统管理员的分离，则该项为肯定（2）检查管理员身份的不可冒用性，以及口令复杂度身份不可冒用，口令较为复杂，且定期更换，则该项为肯定（3）是否有登录失败处理，是否采取结束会话、限制非法登录次数和自动退出等措施有相关措施、且运行正常，则该项为肯定（

26、4）查看鉴别信息传输过程中保护情况有必要措施防止鉴别信息在网传输过程中被窃听，则该项为正（5）检查身份鉴别技术使用情况采用两种以上的身份鉴别技术对管理员进行识别，则该项为肯定访问控制（1）检查访问控制的实施情况和审计情况访问控制和审计正常实施，则该项为肯定（2）检查权限分配分离情况分配最小权限原则，则该项为肯定（3）检查系统管理员和操作系统管理员分离情况如对两类管理员进行了权限分离，则该项为正（4）查看默认账号的权限分配和删除对其权限采取限制措施，并在不需要时，及时删除用户，则该项为肯定（5）检查敏感信息标记情况以对敏感资源进行了标记，并控制用户对其操作，则该项为肯定安全审计（1）查看审计范围

27、审计覆盖服务器和客户端的每个用户，则该项为肯定（2）检查审计内容覆盖情况审计内容覆盖服务器和每个客户端（3）查看审计内容覆盖情况审计覆盖重要用户行为、系统资源异常使用情况，则该项为肯定（4）查看审计分析报告记录内容全面，则该项为肯定（5）查看审计进程保护措施有审计保护措施，则该项为肯定（6）产科审计记录保护措施有审计记录保护措施，则该项为肯定剩余信息保护（1）检查鉴别信息存放空间剩余信息清理能够清除信息，则该项为肯定（2）检查数据存放空间信息清理能够完全清除信息，则该项为肯定入侵检查（1）检查入侵检测主机软件运行情况软件正常运行且有记录，则该项为肯定（2）检查重要程序完整性检测和措施有完整性保

28、护措施，则该项为肯定（3）检查系统安全和补丁升级情况产品严格统一管理恶意代码防护（1）检查恶意代码软件的安装、运行和更新情况软件安装正常且升级，则该项为正（2）检查终端登录超时处理情况恶意代码统一管理（3）主机代码库和网络代码库分离情况两库分离，则该项为正备份恢复检查重要网络设备、重要安全设备、重要服务器、重要链路的备份冗余情况有硬件冗余等措施来保障系统的高可用性，则该项为正4. 应用安全检查1) 脆弱性检查检查对象：重要业务系统和网站等重要应用系统。检查条目：业务系统和网站等重要应用系统中、高风险安全漏洞情况。2) 应用措施防护检查对象：业务系统和重要网站等应用系统。检查条目：（1） 防篡改与恢复功能；（2） WEB应用层防护功能。3) 门户网站监测检查对象：门户网站系统。检查条目：（1） 系统可用性监测；（2） 信息破坏事件监测；（3） 有害程序事件监测；（4） 信息内容安全监测。 检查条目和结果判定如表14-9所示。检查条目条目编号检 查 实 施结 果 判 定脆弱性扫描（1）是否采用漏洞扫描工具对应用系统进行扫描业务系统和网站应用防护措施（1）是否具备防篡改与恢复功能具备防篡改和恢复功能，则该项为正（2）是否具备WEB应用层防护功能具备WEB应用层防护功能能，则该项为肯定门户网站监测（1）是否定期对页面响应时间等性能指标进行监测定期对页面响应时间进行监测（2）