Time: 2020-07-08  中国网安

等级保护三级云平台测评-等保培训

  分析基于等级保护2.0的基本要求三级和云平台拓展要求三级得出等级保护三级云平台的测评内容以及等保实施的注意事项。

  等级保护2.0的基本要求三级

  物理和环境安全

  物理和环境安全的测评项有:物理位置的选择,物理访问控制,防盗窃和防破坏,防雷击,防火,防水和防潮,防静电,温湿度控制和电磁防护。

  物理位置的选择的测评内容有:

  a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内。

  b)机房场地应避免设在建筑物的顶层或地下室,否则应加强防水和防潮措施。

  实施测评响应:

  1.建筑大楼墙壁不存在雨水渗漏;不存在因风导致的严重尘土;屋顶、墙体、门窗和地面等不存在破损开裂

  2.机房不设在顶层或地下室

  物理访问控制的测评内容有:

  a)机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员。

  实施测评响应:

  1.机房配置电子门禁系统,并且可通过管理后台查看人员进出访问记录,并填写机房出入登记记录表

  防盗窃和防破坏的测评内容有:

  a)应将设备或主要部件进行固定,并设置明显的不易除去的标记。 b)应将通信线缆铺设在隐蔽处,可铺设在地下或管道中。

  c)应设置机房防盗报警系统或设置有专人值守的视频监控系统。

  实施测评响应:

  1.机房设备安装在机柜进行固定,所有设备和线缆粘贴明显的不易除去的标签,标签内容完整准确

  2.机房内通信线缆铺设在静电地板下线槽或桥架中,强弱电隔离铺设,铺设整齐。

  3.机房内配置红外防盗报警系统或专人值守的视频监控系统,并保证系统正常运行、有一定时间视频监控存储记录、定期维检

  防雷击的测评内容有:

  a) 应将各类机柜、设施和设备等通过接地系统安全接地

  b)应采取措施防止感应雷,例如设置防雷保安器或过压保护装置等。

  实施测评响应:

  1.机房内机柜、设施和设备等进行接地线处理

  2.采取措施防止感应雷,例如设置防雷保安器或过压保护装置等,防雷装置应通过验收或国家有关部门的技术检测

  防火的测评内容有:

  a)机房应设置火灾自动消防系统,自动检测火情、自动报警,并自动灭火。 b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。

  c)应对机房划分区域进行管理,区域和区域之间设置隔离防火措施。

  防水和防潮的测评内容有:

  a)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。

  b)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。

  c)应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警

  实施测评响应:

  1.机房不存在漏水、渗透情况

  2.部署精密空调,运行正常,定期巡检,保存记录

  3.安装对水敏感的检测装置,运行正常,定期巡检,保存记录

  防静电的测评内容有:

  a)应安装防静电地板并采用必要的接地防静电措施。

  b)应采用措施防止静电的产生,例如采用静电消除器、佩戴防静电手环等。

  实施测评响应:

  1.机房内安装防静电地板并铺设接地防静电措施。

  2.采用静电消除器、佩戴防静电手环等措施防止静电的产生。

  温湿度控制的测评内容有:

  a)机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。

  实施测评响应:

  机房部署精密空调,并有专人定期维检,保证系统正常运行。

  电力供应的测评内容有:

  a)应在机房供电线路上设置稳压器和过电压防护设备。b)应提供短期的备用电力供应,至少满足主要设备在断电情况下的正常运行要求。

  c)应设置冗余或并行的电力电缆线路为计算机系统供电。

  实施测评响应:

  机房部署精密空调,并有专人定期维检,保证系统正常运行。

  供电线路上应配置UPS电源等稳压器和过电压防护设备,并有专人定期维检,保证系统正常运行,UPS等后备电源系统应满足设备在断电情况下的正常运行要求,并且为计算机系统供电的线路提供双路供电。

  电磁防护的测评内容有:

  a)电源线和通信线缆应隔离铺设,避免互相干扰

  b)应对关键设备实施电磁屏蔽。

  实施测评响应:

  机房内电源线缆和通信线缆应隔离线槽铺设,对关键设备放在电磁屏蔽机柜装置。注意:对关键设备放在电磁屏蔽机柜装置,较难实现。

  网络和通信安全

  网络和通信安全的测评项有:网络架构,通信传输,边界防护,访问控制,入侵防范,恶意代码防范,安全审计和集中管控。

  网络架构的测评内容有:

  a)应保证主要网络设备的业务处理能力具备冗余空间,满足业务高峰期需要;

  b)应保证网络各个部分的带宽满足业务高峰期需要;

  c)应划分不同的网络区域,并按照方便管理和控制的原则为各网络区域分配地址;

  d)应避免将重要网络区域部署在网络边界处且没有边界防护措施;

  e)应提供通信线路、关键网络设备的硬件冗余,保证系统的可用性。

  实施测评内容:

  1.业务高峰时期一段时间内主要网络设备的CPU使用率和内存使用率满足高峰期需要,网络设备从未出现过宕机情况。

  2.核查综合网管系统各通信链路带宽是否满足高峰时段的业务流量。

  3.核查相关网络设备配置信息,按照方便管理和控制的原则为各网络区域分配地址、划分VLAN。

  4.重要网络区域与其他网络区域之间采取可靠的技术隔离手段,如网闸、防火墙和设备访问控制列表(ACL)等。

  5.提供主要网络设备、安全设备的硬件冗余和通信线路冗余。

  通信传输的测评内容有:

  a)应采用校验码技术或加解密技术保证通信过程中数据的完整性;

  b) 应采用加解密技术保证通信过程中敏感信息字段或整个报文的保密性。

  实施测评内容

  1.采用校验码技术、加解密设备或组件保证通信过程中数据的完整性和保密性。

  边界防护

  a)应保证跨越边界的访问和数据流通过边界防护设备提供的受控接口进行通信;

  b)应能够对非授权设备私自联到内部网络的行为进行检查;

  c)应能够对内部用户非授权联到外部网络的行为进行限制或检查;

  d)应限制无线网络的使用,确保无线网络通过受控的边界防护设备接入内部网络。

  实施测评内容:

  1.部署网闸、防火墙、路由器或交换机等提供访问控制功能的设备,设备配置指定服务端口进行跨越边界的网络通信的访问安全策略

  2.采用端口绑定,身份验证等技术措施防止非授权设备接入内部网络并进行有效阻断,并关闭闲置网络端口

  3.采用技术措施防止内部用户非法外联行为并进行阻断告警

  4.无线网络的部署方式应单独组网后再连接到有线网络,使用无线控制器AC管理AP,授权后方可接入内部有线网络

  访问控制的测评内容:

  a)应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信;

  b)应删除多余或无效的访问控制规则,优化访问控制列表,并保证访问控制规则数量最小化;

  c)应对源地址、目的地址、源端口、目的端口和协议等进行检查,以允许/拒绝数据包进出;

  d)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力,控制粒度为端口级;

  e)应在关键网络节点处对进出网络的信息内容进行过滤,实现对内容的访问控制。

  实施测评响应:

  1.在网络边界或区域之间部署访问控制设备,并启用访问控制策略,最后一条ACL设置为禁止所有网络通信。

  2.检查访问控制设备配置,删除多余或无效的ACL,保障不同ACL之间的逻辑关系及前后排列顺序合理,最优化。

  3.设备访问控制策略中应该细化到对源地址、目的地址、源端口、目的端口和协议等相关配置参数的设定控制,控制粒度为端口级。

  4.在关键网络节点处部署应用层防火墙,启用访问控制策略实现对内容的访问控制

  入侵防范的测评内容:

  a)应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为;

  b)应在关键网络节点处检测和限制从内部发起的网络攻击行为;

  c)应采取技术措施对网络行为进行分析,实现对网络攻击特别是未知的新型网络攻击的检测和分析;

  d)当检测到攻击行为时,记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供报警。

  实施测评响应:

  部署入侵防御系统、入侵检测系统、抗APT攻击、抗DDoS攻击或网络回溯等系统覆盖网络所有关键节点,能检测、防止或限制各种网络攻击行为,对网络行为进行分析,实现对网络攻击特别是未知的新型网络攻击的检测和分析,并记录攻击源IP、攻击类型、攻击目的、攻击时间,在发生严重入侵事件时应提供实时报警,并保证系统规则库版本已经更新到最新版本

  恶意代码防范的测评内容有:

  a)应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新;

  b)应在关键网络节点处对垃圾邮件进行检测和防护,并维护垃圾邮件防护机制的升级和更新。

  实施测评响应:

  1.部署防病毒网关和UTM等提供防恶意代码功能的设备或系统,保证防恶意代码产品运行正常,恶意代码库已经更新到最新版本

  2.部署防垃圾邮件设备或系统,保证产品运行正常,防垃圾邮件规则库已经更新到最新版本

  注意:需部署设备,可能较难实现

  安全审计的测评内容有:

  a)应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;

  b) 审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;

  c) 应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等。

  d) 审计记录产生时的时间应由系统范围内唯一确定的时钟产生,以确保审计分析的正确性;

  e) 应能对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。

  实施测评响应:

  1.路由器、交换机和防火墙等安全设备应开启日志审计功能,部署综合安全审计系统,审计范围覆盖到每个用户,对重要的用户行为和重要安全事件进行审计记录

  2.审计记录应包括:事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息

  3.对综合安全审计系统、路由器、交换机和防火墙等设备的审计记录进行保护,定期做日志备份

  4.在系统范围内统一使用了唯一确定的时钟源,以确保审计分析的正确性

  5.部署上网行为管理系统或综合安全审计系统对远程访问的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析

  集中管控的测评内容有:

  a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控;

  b) 应能够建立一条安全的信息传输路径,对网络中的安全设备或安全组件进行管理;

  c) 应对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测;

  d) 应对分散在各个设备上的审计数据进行收集汇总和集中分析;

  e) 应对安全策略、恶意代码、补丁升级等安全相关事项进行集中管理;

  f) 应能对网络中发生的各类安全事件进行识别、报警和分析

  实施测评响应:

  1.在网络拓扑上划分单独的管理VLAN安全管理区域用于部署安全管理系统,进行管理

  2.部署具备运行状态监测功能的综合管理系统或设备,对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测,依据设定的阀值实时报警

  3. 部署综合安全审计系统、数据库审计系统等提供集中审计功能的系统,统一收集和存储各设备日志,并根据需要进行集中审计分析,生成审计报告。

  4.部署集中管理平台对对安全策略(如防火墙访问控制策略、入侵保护系统防护策略、WAF安全防护策略等)进行集中管理;对操作系统防恶意代码系统及网络恶意代码防护设备的集中管理,实现防恶意代码病毒规则库的升级进行集中管理;对各个设备的补丁升级进行集中管理

  5.部署安全态势感知管理平台对各类安全事件进行分析并通过声光等方式实时报警,安全事件的监测范围覆盖到网络所有关键路径。

  注意:需要工具配合,可能较难实现

  设备和计算安全

  设备和计算安全的测评项有:身份鉴别,访问控制,安全审计,入侵防范,恶意代码防范,资源控制,访问控制,

  身份鉴别的测评内容有:

  a) 应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换;

  b) 应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;

  c) 当进行远程管理时,应采取必要措施,防止鉴别信息在网络传输过程中被窃听;

  d) 应采用两种或两种以上组合的鉴别技术对用户进行身份鉴别。

  实施测评响应:

  1、用户密码设置不少于8位,至少两种组合方式,密码使用周期不大于180天

  2、设置登录失败处理策略,建议5次登录失败锁定15分钟

  3、远程管理是采用加密协议,同时禁用telnet、rlogin等服务

  4、采用两种或两种以上组合的鉴别技术对用户进行身份鉴别

  访问控制的测评内容有:

  a) 应对登录的用户分配账号和权限;

  b) 应重命名默认账号或修改默认口令;

  c) 应及时删除或停用多余的、过期的账号,避免共享账号的存在;

  d) 应授予管理用户所需的最小权限,实现管理用户的权限分离;

  e) 应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;

  f) 访问控制的粒度应达到主体为用户级或进程级,客体为文件、数据库表级;

  g) 应对敏感信息资源设置安全标记,并控制主体对有安全标记信息资源的访问。

  实施测评响应:

  1、每个管理员根据所需的权限分配账号,账号名唯一,避免帐号共享

  2、修改或禁用系统中的默认帐号,禁用或删除多余的、过期的账号

  3、管理员帐号权限最小化,权限分离的(三权分立),

  4、配置访问控制策略,粒度达到主体为用户级或进程级,客体为文件、数据库表级

  5、对敏感资源设置安全标记,并设置访问控制策略

  注意:第4点较难实现,第5点较难实现,需工具配合

  安全审计的测评内容有:

  a) 应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;

  b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;

  c) 应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;

  d) 应对审计进程进行保护,防止未经授权的中断;

  e) 审计记录产生时的时间应由系统范围内唯一确定的时钟产生,以确保审计分析的正确性 。

  实施测评响应:

  1、配置合理的审计策略,审计内容完整

  2、对审计记录和审计进程进行保护

  3、审计记录保存不少于6个月,并定期备份

  4、系统时钟准确

  入侵防范的测评内容有:

  a) 应遵循最小安装的原则,仅安装需要的组件和应用程序。

  b) 应关闭不需要的系统服务、默认共享和高危端口;

  c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制;

  d) 应能发现可能存在的漏洞,并在经过充分测试评估后,及时修补漏洞;

  e) 应能够检测到对重要节点进行入侵的行为,并在发生严重入侵事件时提供报警。

  实施测评响应:

  1、遵循最小安装的原则,卸载非必须的组建和程序,关闭非必须的系统服务、默认共享和端口

  2、限定管理终端的接入方式和地址

  3、定期进行漏洞扫描,并及时修补漏洞

  4、部署入侵检测设备,及时发现并处理入侵行为

  恶意代码防范的测评内容有:

  a)应采用免受恶意代码攻击的技术措施或采用可信计算技术建立从系统到应用的信任链,实现系统运行过程中重要程序或文件完整性检测,并在检测到破坏后进行恢复。

  实施测评响应:

  1、部署防恶意代码工具

  2、对重要程序或文件进行完整性检测,检测到破坏后及时恢复

  注意:较难实现

  资源控制的测评内容有:

  a) 应限制单个用户或进程对系统资源的最大使用限度;

  b) 应提供重要节点设备的硬件冗余,保证系统的可用性;

  c) 应对重要节点进行监视,包括监视CPU、硬盘、内存等资源的使用情况;

  d) 应能够对重要节点的服务水平降低到预先规定的最小值进行检测和报警。

  实施测评响应:

  1、配置单个用户或进程的资源限额

  2、设备冗余

  3、对系统资源进行监控,检测和报警

  身份鉴别的测评内容有:

  a) 应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,鉴别信息具有复杂度要求并定期更换;

  b) 应提供并启用登录失败处理功能,多次登录失败后应采取必要的保护措施;

  c) 应强制用户首次登录时修改初始口令;

  d) 用户身份鉴别信息丢失或失效时,应采用鉴别信息重置或其他技术措施保证系统安全;

  e) 应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别。

  实施测评响应:

  1、用户密码设置不少于8位,至少两种组合方式,密码使用周期不大于180天

  2、设置登录失败处理策略,建议5次登录失败锁定15分钟

  3、强制用户首次登录时修改初始口令

  4、用户忘记密码时需管理重置密码

  5、采用两种或两种以上组合的鉴别技术对用户进行身份鉴别

  访问控制的测评内容有:

  a) 应提供访问控制功能,对登录的用户分配账号和权限;

  b) 应重命名默认账号或修改这些账号的默认口令;

  c) 应及时删除或停用多余的、过期的账号,避免共享账号的存在;

  d) 应授予不同帐户为完成各自承担任务所需的最小权限,并在它们之间形成相互制约的关系。

  e) 应由授权主体配置访问控制策略,访问控制策略规定主体对客体的访问规则;

  f) 访问控制的粒度应达到主体为用户级,客体为文件、数据库表级、记录或字段级;

  g) 应对敏感信息资源设置安全标记,并控制主体对有安全标记信息资源的访问。

  实施测评响应:

  1、每个管理员根据所需的权限分配账号,账号名唯一,避免帐号共享

  2、修改或禁用系统中的默认帐号,禁用或删除多余的、过期的账号

  3、管理员帐号权限最小化,权限分离的(三权分立),

  4、配置访问控制策略,粒度达到主体为用户级或进程级,客体为文件、数据库表级

  5、对敏感资源设置安全标记,并设置访问控制策略

  应用和数据安全

  应用和数据安全的数据项有:安全审计,软件容错,资源控制,数据完整性,数据保密性,数据备份恢复,剩余信息保护和个人信息保护

  安全审计的测评内容有:

  a) 应提供安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计;

  b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息;

  c) 应对审计记录进行保护,定期备份,避免受到未预期的删除、修改或覆盖等;

  d) 应对审计进程进行保护,防止未经授权的中断;

  e) 审计记录产生时的时间应由系统范围内唯一确定的时钟产生,以确保审计分析的正确性。

  实施测评响应:

  1、配置合理的审计策略,审计内容完整

  2、对审计记录和审计进程进行保护

  3、审计记录保存不少于6个月,并定期备份

  4、系统时钟准确

  软件容错的测评内容有:

  a) 应提供数据有效性检验功能,保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求;

  b) 在故障发生时,应能够继续提供一部分功能,确保能够实施必要的措施;

  c) 应提供自动保护功能,当故障发生时自动保护当前所有状态,保证系统能够进行恢复。

  实施测评响应:

  1、对输入的数据进行控制,严格过滤输入的数据

  2、系统模块化设计,单个模块崩溃不导致整个系统崩溃,提供自动保护功能

  资源控制的测评内容有:

  a) 当应用系统的通信双方中的一方在一段时间内未作任何响应,另一方应能够自动结束会话;

  b) 应能够对系统的最大并发会话连接数进行限制;

  c) 应能够对单个帐户的多重并发会话进行限制;

  d) 应能够对并发进程的每个进程占用的资源分配最大限额。

  实施测评响应:

  1、设置会话超时,建议不大于30分钟

  2、限制最大并发会话连接数

  3、单个用户同一时间只能在一个IP登录

  4、对每个进程进行资源配额

  数据完整性的测评内容有:

  a) 应采用校验码技术或加解密技术保证重要数据在传输过程中的完整性;

  b) 应采用校验码技术或加解密技术保证重要数据在存储过程中的完整性。

  实施测评响应:

  1、数据传输过程采用加密技术,如:ssh、https

  2、数据存储过程采用加密技术或校验技术

  数据保密性的测评内容有:

  a) 应采用加解密技术保证重要数据在传输过程中的保密性;

  b) 应采用加解密技术保证重要数据在存储过程中的保密性。

  实施测评响应:

  1、数据传输过程采用加密技术,如:ssh、https

  2、数据加密存储

  数据备份恢复的测评内容有:

  a) 应提供重要数据的本地数据备份与恢复功能;

  b) 应提供异地实时备份功能,利用通信网络将重要数据实时备份至备份场地;

  c) 应提供重要数据处理系统的热冗余,保证系统的高可用性。

  实施测评响应:

  1、数据定期备份和恢复

  2、实现异地实时备份

  3、系统热冗余

  注意:第2点较难实现

  剩余信息保护的测评内容有:

  a) 应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除;

  b) 应保证存有敏感数据的存储空间被释放或重新分配前得到完全清除。

  实施测评响应:

  存储空间再利用时,先完全清楚数据

  个人信息保护的测评内容有:

  a) 应仅采集和保存业务必需的用户个人信息;

  b) 应禁止未授权访问和使用用户个人信息。

  实施测评响应:

  仅收集所需的用户个人信息,并严格保护

  安全策略和管理制度

  安全策略和管理制度的测评项有:安全策略,管理制度,制定和发布,评审和修订

  安全策略的测评内容有:

  a)应制定信息安全工作的总体方针和安全策略,说明机构安全工作的总体目标、范围、原则和安全框架等。

  实施测评响应:

  《信息安全管理手册》:规定信息系统安全管理的方针、目标和策略,明确应采取的相应控制措施,并对整套文档进行解释说明。

  管理制度的测评内容有:

  a)应对安全管理活动中的各类管理内容建立安全管理制度。

  b)应对安全管理人员或操作人员执行的日常管理操作建立操作规程。

  c)应形成由安全政策、管理制度、操作规程等构成的全面的信息安全管理制度体系。

  实施测评响应:

  《信息安全管理手册》*

  注意:单位的制度体系是否由安全政策、安全策略、管理制度、操作规程等构成,是否定期对安全管理制度体系进行评审,评审周期多长;

  是否具有重要管理操作的操作规程,如系统维护手册和用户操作规程等;

  是否有信息安全工作的总体方针、政策性文件和安全策略文件,查看文件是否明确机构安全工作的总体目标、范围、方针、原则、责任等,是否明确信息系统的安全策略;

  是否有安全管理制度清单,查看是否覆盖物理、网络、主机系统、数据、应用、管理等层面;

  注:1、安全管理方面以文档化的制度或记录为响应;2、带*号的为表格中重复出现的文档名称。

  制定和发布的测评内容有:

  a)应指定或授权专门的部门或人员负责安全管理制度的制定

  b) 安全管理制度应通过正式、有效的方式发布,并进行版本控制。

  实施测评响应:

  1、《信息安全管理手册》*

  2、保存发布记录和版本记录

  注意:

  指定专门的组织机构负责管理制度的制订、发布和贯彻落实。定期对制度进行评审和修订,确保安全管理制度的适用性。

  评审和修订的测评内容有:

  a)应定期对安全管理制度的合理性和适用性进行论证和审定,对存在不足或需要改进的安全管理制度进行修订。

  实施测评响应:

  1、《信息安全管理手册》*

  2、保存评审和修订记录

  安全管理机构和人员

  安全管理机构和人员的测评项有岗位设置,人员配备,授权和审批,沟通和合作,人员考核,安全意识教育和培训,外部人员访问管理

  岗位设置的测评内容有:

  a)应成立指导和管理信息安全工作的委员会或领导小组,其最高领导由单位主管领导委任或授权。

  b)应设立信息安全管理工作的职能部门,设立安全主管、安全管理各个方面的负责人岗位,并定义各负责人的职责。

  c)应设立系统管理员、网络管理员、安全管理员等岗位,并定义各个工作岗位的职责。

  实施测评响应:

  《信息安全组织机构及职责》:明确安全管理机构及各成员职责,规定机房管理员、系统管理员、网络管理员、数据库管理员和安全管理员的岗位职责,并对单位对内对外的沟通等方面作出要求。

  《信息安全责任书》:建立安全责任制,系统管理员,网络管理员,安全管理员,安全审计员与单位签订信息安全责任书

  注意:

  加强和完善安全机构的建设,设立指导和管理信息安全工作的信息安全领导小组,设立安全主管、安全管理各个方面的负责人,明确定义各个工作岗位的职责。建立各种安全管理活动的审批程序,明确对内对外的沟通协作方式,建立对各项安全管理活动的监督审核机制。

  主要涉及两方面,对内部人员的安全管理和对外部人员的安全管理。具体包括人员录用、人员离岗、人员考核、安全意识教育和培训和外部人员访问管理等方面。

  安全主管自查,是否设立指导和管理信息安全工作的委员会或领导小组,其最高领导是否由单位主管领导委任或授权的人员担任;

  明确设置安全主管、安全管理各个方面的负责人、机房管理员、系统管理员、网络管理员、安全员等各个岗位,各个岗位的职责范围是否清晰、明确;

  明确各个岗位人员应具有的技能要求;

  人员配备的测评内容有:

  a)应配备一定数量的系统管理员、网络管理员、安全管理员等。

  b)应配备专职安全管理员,不可兼任。

  实施测评响应:

  1、《信息安全组织机构及职责》*

  2、安全管理员不兼任其他管理员

  授权和审批的测评内容有:

  a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。

  b)应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序,按照审批程序执行审批过程,对重要活动建立逐级审批制度。

  c)应定期审查审批事项,及时更新需授权和审批的项目、审批部门和审批人等信息。

  实施测评响应:

  1、建立逐级审批制度

  2、保存审批记录

  沟通和合作的测评内容有:

  a)应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通,定期或不定期召开协调会议,共同协作处理信息安全问题。

  b) 应加强与兄弟单位、公安机关、各类供应商、业界专家及安全组织的合作与沟通;

  c)应建立外联单位联系列表,包括外联单位名称、合作内容、联系人和联系方式等信息。

  实施测评响应:

  1、《信息安全组织机构及职责》*

  2、保存沟通记录

  3、建立外联单位联系列表

  注意:

  信息安全管理委员会职责文件,是否明确描述委员会的职责和其最高领导岗位的职责;

  安全管理各部门和信息安全管理委员会或领导小组是否具有日常管理工作执行情况的文件或工作记录(如会议记录/纪要和信息安全工作决策文档等)。

  审核和检查的测评内容有:

  a) 应定期进行常规安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况;

  b) 应定期进行全面安全检查,检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等;

  c) 应制定安全检查表格实施安全检查,汇总安全检查数据,形成安全检查报告,并对安全检查结果进行通报。

  实施测评响应:

  1、建立安全巡检制度并落实

  2、保存检查记录和报告

  人员录用的测评内容有:

  a)应指定或授权专门的部门或人员负责人员录用。

  b) 对被录用人员的身份、背景、专业资格和资质等进行审查, 对其所具有的技术技能进行考核;

  c) 应与被录用人员签署保密协议,与关键岗位人员签署岗位责任协议。

  实施测评响应:

  《人员资源管理办法》:如无单独的人力资源信息安全管理制度,应在人力制度中加入相关内容

  注意:

  人员录用要求管理文档,查看是否说明录用人员应具备的条件,如学历、学位要求,技术人员应具备的专业技术水平,管理人员应具备的安全管理知识等;

  是否具有人员录用时对录用人身份、背景、专业资格和资质等进行审查的相关文档或记录,查看是否记录审查内容和审查结果等;

  人员离岗的测评内容有:

  a) 应及时终止离岗员工的所有访问权限,取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备;

  b) 应办理严格的调离手续,并承诺调离后的保密义务后方可离开。

  实施测评响应:

  《人员资源管理办法》*

  注意:

  检查保密协议,查看是否有保密范围、保密责任、违约责任、协议的有效期限和责任人的签字等内容;

  检查岗位安全协议,查看是否有岗位安全责任、违约责任、协议的有效期限和责任人签字等内容;

  人员考核的测评内容有:

  a) 定期对各个岗位的人员进行安全技能及安全认知的考核;

  b) 对关键岗位的人员进行全面、严格的安全审查和技能考核;

  c)应对考核结果进行记录并保存。

  实施测评响应:

  《人员资源管理办法》*

  注意:技能考核文档或记录,查看是否记录考核内容和考核结果等;

  安全意识教育和培训的测评内容有:

  a) 应对各类人员进行安全意识教育和岗位技能培训,并告知相关的安全责任和惩戒措施;

  b) 应针对不同岗位制定不同的培训计划,对信息安全基础知识、岗位操作规程等进行培训。

  实施测评响应:

  《信息安全培训管理办法》:要求定期开展培训,并对培训流程进行规范,对培训效果进行考核,确保人员的安全意识和技术水平得以有效提升。

  外部人员访问管理的测评内容有:

  a) 应确保在外部人员物理访问受控区域前先提出书面申请,批准后由专人全程陪同,并登记备案;

  b) 应确保在外部人员接入网络访问系统前先提出书面申请,批准后由专人开设账号、分配权限,并登记备案;

  c) 外部人员离场后应及时清除其所有的访问权限;

  d) 获得系统访问授权的外部人员应签署保密协议,不得进行非授权操作,不得复制和泄露任何敏感信息。

  实施测评响应:

  《人员资源管理办法》*

  安全建设管理

  安全建设管理的测评项有:系统定级,安全方案设计,产品采购和使用,自行软件开发,系统交付,等级测评和安全服务商选择。

  系统定级的测评内容有:

  a) 应以书面的形式说明保护对象的边界、安全保护等级及确定等级的方法和理由;

  b)应组织相关部门和有关安全技术专家对信息系统定级结果的合理性和正确性进行论证和审定。

  c)应确保定级结果经过相关部门的批准。

  d) 应将备案材料报主管部门和相应公安机关备案。

  实施测评响应:

  《信息系统安全建设管理办法》:以等级保护要求为依据,对信息系统建设的各阶段作出了相应规定,以提高信息系统的安全保障能力和水平,保障并促进信息化建设。

  注意:

  系统建设管理分别从工程实施建设前、建设过程以及建设完毕交付等三方面考虑,具体包括系统定级、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、等级测评和安全服务商选择等方面。

  应检查系统定级文档,查看文档是否给出信息系统的安全保护等级,是否明确描述确定信息系统为某个安全保护等级的方法和理由,是否给出安全等级保护措施组成SxAyGz值;查看定级结果是否有相关部门的批准盖章;

  应检查专家论证文档,查看是否有专家对定级结果的论证意见;

  安全方案设计的测评内容有:

  a)应根据系统的安全级别选择基本安全措施,并依据风险分析的结果补充和调整安全措施。

  b) 应根据保护对象的安全保护等级及与其他级别保护对象的关系进行安全整体规划和安全方案设计,并形成配套文件;

  c) 应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定,经过批准后才能正式实施。

  实施测评响应:

  1、《信息系统安全建设管理办法》*

  2、保存建设方案

  注意:

  为了建设符合安全等级保护要求的信息系统、系统建设管理主要关注的是信息系统生命周期中的前三个阶段(即设计、采购、实施)中各项安全管理活动,实现信息系统的安全管理贯穿系统的整个生命周期。

  作为安全主管,划分信息系统的方法和确定信息系统安全保护等级的方法是否参照定级指南的指导,是否对其进行明确描述;是否组织相关部门和有关安全技术专家对定级结果进行论证和审定,定级结果是否获得了相关部门(如上级主管部门)的批准;

  检查系统划分文档,查看文档是否明确描述信息系统划分的方法和理由;

  产品采购和使用的测评内容有:

  a)应确保安全产品的采购和使用符合国家的有关规定。

  b)应确保密码产品的采购和使用符合国家密码主管部门的要求。

  c)应预先对产品进行选型测试,确定产品的候选范围,并定期审定和更新候选产品名单。

  实施测评响应:

  《信息产品采购管理办法》

  注意:

  应检查系统属性说明文档,查看文档是否明确了系统使命、业务、网络、硬件、软件、数据、边界、人员等。

  自行软件开发的测评内容有:

  a)应确保开发环境与实际运行环境物理分开,测试数据和测试结果受到控制。

  b)应制定软件开发管理制度,明确说明开发过程的控制方法和人员行为准则。

  c)应制定代码编写安全规范,要求开发人员参照规范编写代码。

  d)应确保提供软件设计的相关文档和使用指南,并对文档使用进行控制;

  e) 应确保在软件开发过程中对安全性进行测试,在软件安装前对可能存在的恶意代码进行检测;

  f)应确保对程序资源库的修改、更新、发布进行授权和批准,并严格进行版本控制;

  g) 应确保开发人员为专职人员,开发人员的开发活动受到控制、监视和审查;

  e) 应确保在软件开发过程中对安全性进行测试,在软件安装前对可能存在的恶意代码进行检测;

  f)应确保对程序资源库的修改、更新、发布进行授权和批准,并严格进行版本控制;

  注意:

  1、《信息系统安全建设管理办法》*

  2、保存开发过程文档

  3、进行安全性测试,并保存记录

  系统交付的测评内容有:

  a)应制定交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点。

  b)应对负责系统运行维护的技术人员进行相应的技能培训。

  c)应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。

  实施测评响应:

  1、《信息系统安全建设管理办法》*

  2、应制定交付清单

  3、保存培训记录

  等级测评的测评内容有:

  a) 应定期进行等级测评,发现不符合相应等级保护标准要求的及时整改;

  b) 应在发生重大变更或级别发生变化时进行等级测评;

  c)应选择具有国家相关技术资质和安全资质的测评单位进行等级测评。

  实施测评响应:

  《信息系统安全建设管理办法》*

  安全服务商选择的测评内容有:

  a)应确保安全服务商的选择符合国家的有关规定。

  b) 应与选定的服务供应商签订相关协议,明确整个服务供应链各方需履行的信息安全相关义务;

  c) 应定期监视、评审和审核服务供应商提供的服务,并对其变更服务内容加以控制。

  实施测评响应:

  《信息系统安全建设管理办法》*

  安全运维管理

  安全运维管理的测评项有:环境管理,资产管理,介质管理,设备维护管理,漏洞和风险管理,网络和系统安全管理,恶意代码防范管理,配置管理,变更管理,备份和恢复,安全事件处置,应急预案管理和外包运维管理

  环境管理的测评内容有

  a) 应指定专门的部门或人员负责机房安全,对机房出入进行管理,定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理;

  b)应建立机房安全管理制度,对有关机房物理访问,物品带进、带出机房和机房环境安全等方面的管理作出规定。

  c) 应不在重要区域接待来访人员和桌面上没有包含敏感信息的纸档文件、移动介质等。

  实施测评响应:

  《机房安全管理指南》:对机房环境要求、人员与设备进出、工作人员管理、日常监控管理、系统上线及变更管理等做出明确规定。

  注意:系统运行涉及到很多管理方面,要保证系统始终处于相应安全保护等级的安全状态中。要监控系统发生的重大变化,以便修改对应的安全措施。

  资产管理的测评内容有:

  a)应编制并保存与信息系统相关的资产清单,包括资产责任部门、重要程度和所处位置等内容。

  b)应根据资产的重要程度对资产进行标识管理,根据资产的价值选择相应的管理措施。

  c)应对信息分类与标识方法作出规定,并对信息的使用、传输和存储等进行规范化管理。

  实施测评响应:

  《资产分类分级办法》:对资产进行分类和统一化标识,使信息系统的资产受到有效的保护。

  注意:

  是否已编制《信息资产清单》应访谈物理安全负责人,询问是否指定专人或部门对机房基本设施(如空调、供配电设备等)进行定期维护,由何部门/何人负责,维护周期多长;

  应访谈物理安全负责人,询问是否指定人员负责机房安全管理工作,对机房进出管理是否要求制度化和文档化;

  介质管理的测评内容有:

  a)应确保介质存放在安全的环境中,对各类介质进行控制和保护,并实行存储环境专人管理,并根据存档介质的目录清单定期盘点。

  b)应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制,对介质归档和查询等进行登记记录。

  实施测评响应:

  《介质管理办法》:为加强对介质的使用控制和物理上的保护,防止其承载的敏感信息遭泄漏、篡改、丢失或破坏,对介质的处置做出明确规定。

  注意:

  应访谈机房值守人员,询问对外来人员进出机房是否采用人工记录和电子记录双重控制;

  应访谈工作人员,询问对办公环境的保密性要求事项;

  设备维护管理的测评内容有:

  a)应对信息系统相关的各种设备(包括备份和冗余设备)、线路等指定专人或专门的部门定期进行维护管理。

  b)应建立配套设施、软硬件维护方面的管理制度,对其维护进行有效的管理,包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等。

  c) 应确保信息处理设备必须经过审批才能带离机房或办公地点,含有存储介质的设备带出工作环境时其中重要数据必须加密;

  d) 含有存储介质的设备在报废或重用前,应进行完全清除或被安全覆盖,确保该设备上的敏感数据和授权软件无法被恢复重用。

  实施测评响应:

  《应用系统运行维护管理》:对应用系统日常维护所涉及的巡检、配置管理、故障处置、系统优化、软件维护等工作进行相应规定,并明确考核措施。

  《IT设备安全管理细则》:规范终端的应用,对终端的使用和联网进行明确规定,以防止病毒、网络攻击及失泄密事件的发生。对设备的获取、接收、入账、维护、用途变更、报废处理等环节做出明确规定,防止因资产的丢失、损坏、失窃、使用不当而导致业务系统正常运行的中断。

  注意:

  检查机房安全管理制度,查看其内容是否覆盖机房物理访问、物品带进、带出机房、机房环境安全等方面;

  检查办公环境管理文档,查看其内容是否对工作人员离开座位后的保密行为(如清理桌面文件和屏幕锁定等)、人员调离办公室后的行为等方面进行规定;

  检查机房进出登记表,查看是否记录外来人员进出时间、人员姓名、访问原因等内容;查看是否具有电子门禁系统,电子记录文档是否有时间、人员等信息;

  检查机房基础设施维护记录,查看是否记录维护日期、维护人、维护设备、故障原因、维护结果等方面内容。

  漏洞和风险管理的测评内容有:

  a) 应采取必要的措施识别安全漏洞和隐患,对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补;

  b) 应定期开展安全测评,形成安全测评报告,采取措施应对发现的安全问题。

  实施测评响应:

  1、定期进行漏洞扫描和安全评估,及时修复漏洞和安全弱点,并保存过程文档

  网络和系统安全管理的测评内容有:

  a) 应划分不同的管理员角色进行网络和系统的运维管理,明确各个角色的责任和权限;

  b) 应指定专门的部门或人员进行账号管理,对申请账号、建立账号、删除账号等进行控制;

  c) 应建立网络和系统安全管理制度,对安全策略、账号管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定;

  d) 应制定重要设备的配置和操作手册,依据手册对设备进行安全配置和优化配置等;

  e) 应详细记录运维操作日志,包括日常巡检工作、运行维护记录、参数的设置和修改等内容;

  f) 应严格控制变更性运维,经过审批后才可改变连接、安装系统组件或调整配置参数,操作过程中应保留不可更改的审计日志,操作结束后应同步更新配置信息库;

  g) 应严格控制运维工具的使用,经过审批后才可接入进行操作,操作过程中应保留不可更改的

  审计日志,操作结束后应删除工具中的敏感数据;

  h) 应严格控制远程运维的开通,经过审批后才可开通远程运维接口或通道,操作过程中应保留不可更改的审计日志,操作结束后立即关闭接口或通道;

  i)应定期检查违反规定拨号上网或其他违反网络安全策略的行为。

  实施测评响应:

  《网站管理办法》:对网站建设、信息发布、网站监控与维护作出明确规定,确保网站的安全性与可靠性。

  《帐户/口令管理细则》:明确帐户的角色及权限管理,并对口令的设置、保管与更新进行了明确规定,以防止非授权访问。

  《重要设备配置管理指南》:对网络、安全设备配置的管理,以及配置变更所涉及的申请、审批和实施等事项作出明确规定。

  《安全巡检》:对网络与安全设备、服务器、应用系统和机房基础环境的巡检工作进行规范,以保证信息系统的安全运行,有效消除安全隐患。

  恶意代码防范管理的测评内容有:

  a) 应提高所有用户的防恶意代码意识,告知对外来计算机或存储设备接入系统前进行恶意代码检

  查等;

  b) 应对恶意代码防范要求做出规定,包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等;

  c) 应定期验证防范恶意代码攻击的技术措施的有效性。

  实施测评响应:

  《恶意代码防范管理办法》:对防病毒的控制措施和操作程序制定管理规范,以预防病毒与各种恶意软件的入侵,提高对病毒的防御能力,保障信息系统和日常工作的正常进行。

  配置管理的测评内容有:

  a) 应记录和保存基本配置信息,包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等;

  b) 应将基本配置信息改变纳入变更范畴,实施对配置信息改变的控制,并及时更新基本配置信

  息库。

  实施测评响应:

  《配置管理指南》

  密码管理的测评内容有:

  a)应使用符合国家密码管理规定的密码技术和产品。

  实施测评响应:

  《信息产品采购管理办法》*

  变更管理的测评内容有:

  a) 应明确变更需求,变更前根据变更需求制定变更方案,变更方案经过评审、审批后方可实施;

  b) 应建立变更的申报和审批控制程序,依据程序控制所有的变更,记录变更实施过程;

  c)应建立中止变更并从失败变更中恢复的文件化程序,明确过程控制方法和人员职责,必要时对恢复过程进行演练。

  实施测评响应:

  《变更管理办法》:明确需要执行申报审批手续的重要变更事项,如补丁更新、软件升级、设备更换等,并对变更的执行流程进行规定。

  《补丁管理指南》:对服务器操作系统、小型机操作系统、终端计算机操作系统、应用中间件和数据库软件的补丁更新要求和操作流程进行规范,确保系统防御病毒和网络攻击的能力。

  备份与恢复管理的测评内容有:

  a)应识别需要定期备份的重要业务信息、系统数据及软件系统等。

  b) 应规定备份信息的备份方式、备份频度、存储介质、保存期等;

  c)应根据数据的重要性和数据对系统运行的影响,制定数据的备份策略和恢复策略、备份程序和恢复程序等。

  实施测评响应:

  《备份与恢复指南》

  安全事件处置的测评内容有:

  a)应报告所发现的安全弱点和可疑事件。

  b)应制定安全事件报告和处置管理制度,明确不同安全事件的报告、处置和响应流程,规定安全事件的现场处理、事件报告和后期恢复的管理职责等;

  c) 应在安全事件报告和响应处理过程中,分析和鉴定事件产生的原因,收集证据,记录处理过程,总结经验教训;

  d) 对造成系统中断和造成信息泄漏的重大安全事件应采用不同的处理程序和报告程序。

  实施测评响应:

  《信息安全事件管理办法》

  应急预案管理的测评内容有:

  a) 应规定统一的应急预案框架,并在此框架下制定不同事件的应急预案,包括启动预案的条件、应急处理流程、系统恢复流程、事后教育和培训等内容;

  b)应从人力、设备、技术和财务等方面确保应急预案的执行有足够的资源保障。

  c) 应定期对系统相关的人员进行应急预案培训,并进行应急预案的演练;

  d) 应定期对原有的应急预案重新评估,修订完善。

  实施测评响应:

  1、《信息安全应急预案》:指定最常见的若干信息安全事件的应急预案

  2、保存应急演练记录

  外包运维管理的测评内容有:

  a) 应确保外包运维服务商的选择符合国家的有关规定;

  b) 应与选定的外包运维服务商签订相关的协议,明确约定外包运维的范围、工作内容;

  c) 应确保选择的外包运维服务商在技术和管理方面均具有按照等级保护要求开展安全运维工作的能力,并将能力要求在签订的协议中明确;

  d) 应在与外包运维服务商签订的协议中明确所有相关的安全要求。如可能涉及对敏感信息的访问、处理、存储要求,对IT基础设施中断服务的应急保障要求等。

  实施测评响应:

  《信息安全外包人员管理办法》:对外包服务人员的派遣、监督和考核作出明确规定,确保外保服务质量。

  云平台拓展要求

  物理和环境安全

  物理位置选择的测评内容有:

  应确保云计算基础设施位于中国境内。

  实施测评响应:

  选择云计算基础设施位于中国境内的云

  网络和通信安全

  网络架构选择的测评内容有:

  a) 应确保云计算平台不承载高于其安全保护等级的业务应用系统;

  b) 绘制与当前运行情况相符的虚拟化网络拓扑结构图,并能对虚拟化网络资源、网络拓扑进行实时更新和集中监控;

  c) 实现不同云租户虚拟网络之间的隔离;

  d) 保证虚拟机只能接收到目的地址包括自己地址的报文;

  e) 保证云计算平台管理流量与云租户业务流量分离

  f) 能识别、监控虚拟机之间、虚拟机与物理机之间的流量;

  g) 提供开放接口或开放性安全服务,允许云租户接入第三方安全产品或在云平台选择第三方安全服务;

  h) 根据云租户业务需求自主设置安全策略集,包括定义访问路径、选择安全组件、配置安全策略。

  实施测评响应:

  云平台的等级不能低于系统的等级

  注意:

  目前政务云的等级是二级,中心的重要信息系统需要定三级,存在差距

  访问控制的测评内容有:

  a) 能监测到云租户的网络攻击行为,并能记录攻击类型、攻击时间、攻击流量等;

  b) 应能检测到虚拟机与宿主机之间的异常流量,并进行告警;

  c) 向云租户提供互联网发布内容监测功能,便于云租户对其发布内容中的有害信息进行实时监测和告警。

  实施测评响应:

  对云租户不作要求

  安全审计的测评内容有:

  a) 对云服务商和云租户远程管理时执行特权命令进行审计,至少包括虚拟机删除、虚拟机重启;

  b) 根据云服务商和云租户的职责划分,收集各自控制部分的审计数据;

  c) 为安全审计数据的汇集提供接口,并可供第三方审计;

  d) 根据云服务方和云租户的职责划分,实现各自控制部分的集中审计。

  实施测评响应:

  1、收集和集中审计自己部分的审计数据

  设备和计算安全

  身份鉴别的测评内容有:

  a) 在网络策略控制器和设备(或代理)之间建立双向验证机制;

  b) 当进行远程管理时,终端和云计算平台边界设备之间应建立双向身份验证机制。

  实施测评响应:

  对云租户不作要求

  访问控制的测评内容有:

  a) 确保只有在云租户授权下,云服务商或第三方才具有云租户数据的管理权限;

  b) 提供云计算平台管理用户权限分离机制,为网络管理员、系统管理员建立不同账户并分配相应的权限

  实施测评响应:

  对云租户不作要求

  安全审计的测评内容有:

  a) 根据云服务方和云租户的职责划分,收集各自控制部分的审计数据并实现集中审计;

  b) 保证云服务方对云租户系统和数据的操作可被云租户审计;

  c) 为审计数据的汇集提供接口,并可供第三方审计。

  实施测评响应:

  1、收集和集中审计自己部分的审计数据

  入侵防范的测评内容有:

  a) 虚拟机之间的资源隔离失效,并进行告警;

  b)非授权新建虚拟机或者重新启用虚拟机,并进行告警。

  实施测评响应:

  对云租户不作要求

  恶意代码防范的测评内容有:

  应能够检测恶意代码感染及在虚拟机间蔓延的情况,并提出告警。

  实施测评响应:

  对云租户不作要求

  资源控制的测评内容有:

  a)屏蔽虚拟资源故障,某个虚拟机崩溃后不影响虚拟机监视器及其他虚拟机;

  b) 应对物理资源和虚拟资源按照策略做统一管理调度与分配;

  c) 保证虚拟机仅能使用为其分配的计算资源;

  d) 保证虚拟机仅能迁移至相同安全等级的资源池;

  e) 确保云租户的虚拟机使用独占的内存空间;

  f) 对虚拟机的网络接口的带宽进行设置,并进行监测。

  g) 为监控信息的汇集提供接口,并实现集中监控。

  实施测评响应:

  对云租户不作要求

  镜像和快照保护的测评内容有:

  a) 应提供虚拟机镜像、快照完整性校验功能,防止虚拟机镜像被恶意篡改;

  b) 应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问。

  c) 应针对重要业务系统提供加固的操作系统镜像

  实施测评响应:

  对云租户不作要求

  应用和数据安全

  安全审计的测评内容有:

  a) 根据云服务方和云租户的职责划分,收集各自控制部分的审计数据并实现集中审计;

  b) 保证云服务方对云租户系统和数据的操作可被云租户审计;

  c) 为审计数据的汇集提供接口,并可供第三方审计。

  实施测评响应:

  1、收集和集中审计自己部分的审计数据

  资源控制的测评内容有:

  a) 能够对应用系统的运行状况进行监测,并在发现异常时进行告警;

  b) 保证不同云租户的应用系统及开发平台之间的隔离。

  实施测评响应:

  对云租户不作要求

  接口安全的测评内容有:

  保证云计算服务对外接口的安全性。

  实施测评响应:

  对云租户不作要求

  数据完整性的测评内容有:

  确保虚拟机迁移过程中,重要数据的完整性,并在检测到完整性受到破坏时采取必要的恢复措施。

  实施测评响应:

  对云租户不作要求

  应用和数据安全

  数据保密性的测评内容:

  a) 确保云租户账户信息、鉴别信息、系统信息存储于中国境内;

  b) 确保运维过程产生的配置数据、日志信息等不出境;

  c) 确保虚拟机迁移过程中,重要数据的保密性,防止在迁移过程中的重要数据泄露;

  d) 支持云租户部署密钥管理解决方案,确保云租户自行实现数据的加解密过程;

  e) 对网络策略控制器和网络设备(或设备代理)之间网络通信进行加密。

  实施测评响应:

  对云租户不作要求

  数据备份恢复的测评内容:

  a) 云租户应在本地保存其业务数据的备份;

  b) 应提供查询云租户数据及备份存储位置的方式;

  c) 应保证不同云租户的审计数据隔离存放 ;

  d) 应为云租户将业务系统及数据迁移到其他云计算平台和本地系统提供技术手段,并协助完成迁移过程;

  实施测评响应:

  对云租户不作要求

  剩余信息保护的测评内容:

  a) 应保证虚拟机所使用的内存和存储空间回收时得到完全清除;

  实施测评响应:

  对云租户不作要求

  安全管理机构和人员

  授权的测评内容:

  应保证云服务方对云租户业务数据的访问或使用必须经过云租户的授权,授权必须保留相关记录。

  实施测评响应:

  对云租户不作要求

  人员录用的测评内容:

  应对运维人员进行背景审查,包括国籍、违法犯罪记录等。外籍人员和具有境外永久居留权的人员不得具有超级管理员权限。

  实施测评响应:

  对云租户不作要求

  安全建设管理

  安全方案设计的测评内容:

  云计算平台应提供开放接口或开放性安全服务,允许云租户接入第三方安全产品或在云平台选择第三方安全服务,支持异构方式对云租户的网络、主机、应用、数据层的安全措施进行实施。

  实施测评响应:

  对云租户不作要求

  安全方案设计的测评内容:

  云计算平台应提供开放接口或开放性安全服务,允许云租户接入第三方安全产品或在云平台选择第三方安全服务,支持异构方式对云租户的网络、主机、应用、数据层的安全措施进行实施。

  实施测评响应:

  对云租户不作要求

  测试验收的测评内容:

  应对云计算平台及云租户业务应用系统进行安全性测试验收。

  对云租户不作要求

  云服务商选择的测评内容:

  a) 确保云服务商的选择符合国家有关规定;

  b) 选择安全合规的云服务商,其所提供的云平台应具备与信息系统等级相应的安全保护能力;

  c) 满足服务水平协议(SLA)要求;

  d) 在服务水平协议(SLA)中规定云服务的各项服务内容和具体技术指标;

  e) 在服务水平协议(SLA)中规定云服务商的权限与责任,包括管理范围、职责划分、访问授权、隐私保护、行为准则、违约责任等;

  f) 在服务水平协议(SLA)中规定云计算所能提供的安全服务的内容,并提供安全声明;

  g) 在服务水平协议(SLA)中规定服务合约到期时,完整地返还云租户信息,并承诺相关信息均已在云计算平台上清除;

  h) 应与选定的云服务商签署保密协议,要求其不得泄露云租户数据和业务系统的相关重要信息;

  i) 应对可能接触到云租户数据的员工进行背景调查,并签署保密协议。

  j) 云服务商应接受云租户以外的第三方运行监管。

  实施测评响应:

  1、选择符合国家有关规定的云平台

  2、要求云平台满足服务水平协议(SLA)要求,在要求中做出相关规定

  3、跟云平台签订保密协议

  供应链管理的测评内容:

  a) 应确保供应商的选择符合国家有关规定;

  b) 应确保供应链安全事件信息或威胁信息能够及时传达到云租户;

  c) 应保证供应商的重要变更及时传达到云租户,并评估变更带来的安全风险,采取有关措施对风险进行控制。

  实施测评响应:

  对云租户不作要求

  云计算环境管理

  云计算平台的运维地点应位于中国境内,禁止从境外对境内云计算平台实施远程运维。

  实施测评响应:

  对云租户不作要求

  配置管理的测评内容:

  a) 应在信息安全策略发生变更时,评审和测试后更新安全策略,以确保其持续的适用性和有效性;

  b) 定期进行安全策略的备份,并在发生变更时及时备份安全策略。

  实施测评响应:

  对云租户不作要求

  监控和审计管理

  a) 确保信息系统的监控活动符合关于隐私保护的相关政策法规;

  b) 确保提供给云租户的审计数据的真实性和完整性;

  c) 制定相关策略,对安全措施有效性进行持续监控;

  d) 云服务方应将安全措施有效性的监控结果定期提供给相关云租户;

  e) 应委托第三方机构对运维过程中的数据安全行为进行审计。

  实施测评响应:

  对云租户不作要求

仅供学习参考,版权归原作者所有。


18933931888

工作时间:法定工作日,9:00~18:00

广州万方计算机科技有限公司 ©版权所有 2019-2020 粤ICP备08124637号

本站文章内容部分来源于网络转载,版权归作者所有。文章内容仅代表作者独立观点,不代表本站立场,转载目的在于传递更多信息。如有侵权,请联系删除。