数目 控制点 要求（测评指标） 测评实施 符合程度 单元判定
1 物理位置选择 a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内：
1) 应具有机房或机房所在建筑物符合当地抗震要求的相关证明；
2) 机房外墙壁不应有对外的窗户。否则，应采用双层固定窗，并作密封、防水处理； 		1) 应核查所在建筑物是否具有建筑物抗震设防审批文档；应核查机房的设计、验收文档或相关证据，查看机房场地所在建筑的防震能力说明；
2) 应核查机房是否不存在雨水渗漏：（1） 应核查机房的设计、验收文档或相关证据，查看机房场地所在建筑的防风和防雨说明；（2） 应核查设计、验收文档是否与机房实际情况相符合；（3） 若机房外墙壁有对外的窗户，应核查是否采用了双层固定窗，并做了密封、防水处理；
3) 应核查机房门窗是否不存在因风导致的尘土严重；
4) 应核查屋顶、墙体、门窗和地面等是否没有破损开裂； 		符合 部分符合 不符合 若 1)～4)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求
b) 机房场地不应设在建筑物的顶层或地下室，否则应加强防水和防潮措施。 应核查机房是否位于所在建筑物的顶层或地下室且未采取防水和防潮措施 符合 部分符合 不符合 若以上测评实施结论为否，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 物理访问控制 机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员：
1） 人员进出记录应至少保存 6 个月；机房出入口应有视频监控，监控记录应至少保存 6 个月； 2） 有门禁系统的应当采用监控设备将机房人员进出情况传输到值班点，对外来人员出入机房进行控制、鉴别和记录； 3） 没有门禁系统的机房，应当安排专人控制、鉴别和记录人员的进出。 		1) 应核查是否安排专人值守或配置电子门禁系统：
（1） 应核查是否人员进出记录是否保存 6 个月以上；应核查机房出入口视频监控记录是否保存 6 个月以上；
（2） 配置电子门禁系统的应核查是否采用监控设备将机房人员进出情况传输到值班点，对外来人员出入机房进行控制、鉴别和记录；
（3） 未配置电子门禁系统的应核查是否安排专人控制、鉴别和记录人员的进出；
2) 应核查相关记录是否能够控制、鉴别和记录进入的人员；
（1） 应核查对外来人员出入机房是否有审批流程，记录带进带出的设备、进出时间、工作内容，记录应保存 6 个月以上；
（2） 应访谈物理安全负责人，了解是否有专人陪同来访人员； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
3 防盗窃和防破坏 a) 应将设备或主要部件进行固定，并设置明显的不易除去的标识：
1) 主要设备应当安装、固定在机柜内或机架上；
2) 主要设备、机柜、机架应有明显且不易除去的标识，如粘贴标签或铭牌、电子标签； 		1) 应核查机房内设备或主要部件是否固定；应核查主要设备是否安装、固定在机柜内或机架上；
2) 应核查机房内设备或主要部件上是否设置了明显且不易除去的标识；应核查主要设备、机柜、机架是否有明显且不易除去的标识； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求
b) 应将通信线缆铺设在隐蔽安全处；通信线缆可铺设在管道或线槽、线架中。 应核查机房内通信线缆是否铺设在隐蔽安全处，如桥架中等；应核查通信线缆是否铺设在管道或线槽、线架中； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
4 防雷击 应将各类机柜、设施和设备等通过接地系统安全接地。 应核查机房内机柜、设施和设备等是否进行接地处理； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
5 防火 a) 机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；机房的火灾自动消防系统应向当地公安消防部门备案； 1） 应核查机房内是否设置火灾自动消防系统；应核查机房的火灾自动报警系统向当地公安消防部门备案的相关材料；
2） 应核查火灾自动消防系统是否可以自动检测火情、自动报警并自动灭火； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。 应核查机房验收文档是否明确相关建筑材料的耐火等级； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6 防水和防潮 a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透； 应核查窗户、屋顶和墙壁是否采取了防雨水渗透的措施； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。 1） 应核查机房内是否采取了防止水蒸气结露的措施；
2） 应核查机房内是否采取了排泄地下积水，防止地下积水渗透的措施；
3） 若机房内安装有空调机和加湿器，应核查是否设置了挡水和排水设施；
4） 若机房位于湿度较高的地区，应核查机房是否有除湿装置并能够正常运行，是否有防水防潮处理记录； 		符合 部分符合 不符合 若 1)～4)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
7 防静电 应采用防静电地板或地面并采用必要的接地防静电措施。 1） 应核查机房内是否安装了防静电地板或地面；
2） 应核查机房内是否采用了接地防静电措施； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
8 温湿度控制 应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内：
1） 冷通道或机柜进风区域的温度应控制在 18℃-27℃；
2） 冷通道或机柜进风区域的相对湿度应控制在 40%-60%；
3） 当机构自主确定的机房温湿度要求超过上述范围时，应提供合理的论证方案。 		1） 应核查机房内是否配备了专用空调；
2） 应核查机房内温湿度是否在设备运行所允许的范围之内；冷通道或机柜进风区域的温度是否控制在 18℃-27℃，相对湿度是否控制在 40%-60%；
3） 应核查温湿度调节设施的运行记录；
4） 当机房温湿度要求超出测评指标的，是否可提供合理的论证方案； 		符合 部分符合 不符合 若 1)～4)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
9 电力供应 a) 应在机房供电线路上配置稳压器和过电压防护设备； 应核查供电线路上是否配置了稳压器和过电压防护设备； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求：
1) 应配备 UPS，在配有发电机等后备电源的情况下，UPS 供电能力能支持到后备电源开始供电；
2) 备用电力供应的实际供电能力应满足主要设备和环境控制设备在断电情况下正常运行至少 2 个小时。 		1) 应核查机房是否配备 UPS 等后备电源系统；若有租用发电机，应核查租用发电机的合同或相关证明材料；
2) 应核查 UPS 等后备电源系统是否满足设备在断电情况下的正常运行要求；
（1） 在配有发电机的情况下，应核查 UPS 供电能力是否能支持到发电机开始供电且发电机储油能够支持发电机持续供电行至少 2 个小时；（2） 在没有发电机的情况下，应核查 UPS 供电能力是否能够满足主要设备和环境控制设备在断电情况下正常运行至少 2 个小时； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
10 电磁防护 电源线和通信线缆应隔离铺设，避免互相干扰；电源线和通信线缆应铺设在不同的桥架或管道，避免互相干扰。 应核查机房内电源线缆和通信线缆是否隔离铺设；应核查是否铺设在不同的桥架或者管道内； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
1 网络架构 a) 应划分不同的网络区域，并按照方便管理和控制的原则为各网络区域分配地址； 1) 应核查是否依据重要性、部门等因素划分不同的网络区域；
2) 应核查相关网络设备配置信息，验证划分的网络区域是否与划分原则一致； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 重要网络区域不应部署在边界处，重要网络区域与其他网络区域之间应采取可靠的技术隔离手段。 1) 应核查网络拓扑图是否与实际网络运行环境一致；
2) 应核查重要网络区域是否未部署在网络边界处；
3) 应核查重要网络区域与其他网络区域之间是否采取可靠的技术隔离手段，如网闸、防火墙和设备访问控制列表(ACL)等； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
2 通信传输 应采用校验技术保证通信过程中数据的完整性 应核查是否在数据传输过程中使用校验技术来保护其完整性； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
3 可信验证 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 1) 应核查是否基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证；
2) 应核查当检测到通信设备的可信性受到破坏后是否进行报警；
3) 应核查验证结果是否以审计记录的形式送至安全管理中心； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
1 边界防护 跨越边界的访问和数据流应通过边界设备提供的受控接口进行通信。 1) 应核查在网络边界处是否部署访问控制设备；
2) 应核查设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略；
3) 应采用其他技术手段(如非法无线网络设备定位、核查设备配置信息等)核查是否不存在其他未受控端口进行跨越边界的网络通信； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
2 访问控制 a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控
接口拒绝所有通信；访问控制策略控制粒度应为端口级； 		1) 应核查在网络边界或区域之间是否部署访问控制设备并启用访问控制策略，控制粒度是否为端口级；
2) 应核查设备的最后一条访问控制策略是否为禁止所有网络通信； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化； 1) 应核查是否不存在多余或无效的访问控制策略；
2) 应核查不同的访问控制策略之间的逻辑关系及前后排列顺序是否合理；
3) 应核查访问控制策略评审和优化的活动记录 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进 应核查设备的访问控制策略中是否设定了源地址、目的地址、源端口、目的端口和协议等相关配置参数；应测试验证访问控制策略中设定的相关配置参数是否有效； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
d) 应能根据会话状态信息为进出数据流提供明确的允许/拒绝访问的能力；仅允许在采取安全可控措施下通过互联网对信息系统进行远程维护和管理，包括但不限于远程终端硬件信息绑定、双因素认证、终端运行环境安全检查等。 1) 应核查是否采用会话认证等机制为进出数据流提供明确的允许/拒绝访问的能力；
2) 应核查通过互联网对信息系统进行远程维护和管理时是否采取安全可控措施，包括但不限于远程终端硬件信息绑定、双因素认证、终端运行环境安全检查等； 		符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
3 入侵防范 应在关键网络节点处监视网络攻击行为。 1) 应核查是否能够检测到以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP 碎片攻击和网络蠕虫攻击等；
2) 应核查相关系统或设备的规则库版本是否已经更新到最新版本；
3) 应核查相关系统或设备配置信息或安全策略是否能够覆盖网络所有关键节点； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
4 恶意代码防范 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新。 1) 应核查在关键网络节点处是否部署防恶意代码产品等技术措施；
2) 应核查防恶意代码产品运行是否正常，恶意代码库是否已经更新到最新； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
5 安全审计 a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要
安全事件进行审计； 		1) 应核查是否部署了综合安全审计系统或类似功能的系统平台；
2) 应核查安全审计范围是否覆盖到每个用户；
3) 应核查是否对重要的用户行为和重要安全事件进行了审计； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 应核查审计记录信息是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；审计记录的留存时间应至少为 6 个月。 1) 应核查是否采取了技术措施对审计记录进行保护；
2) 应核查是否采取技术措施对审计记录进行定期备份，并核查其备份策略；应核查审计记录的留存时间是否至少为 6 个月； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
6 可信验证 可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 1) 应核查是否基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证；
2) 应核查当检测到边界设备的可信性受到破坏后是否进行报警；
3) 应核查验证结果是否以审计记录的形式送至安全管理中心； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
1 身份鉴别 a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并
定期更换：
1) 所有用户口令应符合以下条件：数字、大小写字母、符号混排，无规律的方式；
2) 管理员口令的长度应至少为 12 位，普通用户口令的长度应至少为 8 位；
3) 管理员口令每季度至少更换 1 次，更新的口令至少 5 次内不能重复；平台业务操作账户口
令应每 6 个月至少更换 1 次，更新的口令应至少 5 次内不能重复；
4) 如果设备管理员口令长度不支持 12 位或其他复杂度要求，口令应使用所支持的最长长度
并适当缩短更换周期；或使用动态口令卡等一次性口令认证方式；
5) 应为网络设备、安全设备、操作系统、数据库的不同用户分配不同的用户名；
6) 系统自动生成的口令，系统应强制用户首次登录时修改初始口令；
7) 系统自动生成的口令，应具有随机性； 		1) 应核查用户在登录时是否采用了身份鉴别措施；
2) 应核查用户列表确认用户身份标识是否具有唯一性；应核查是否为网络设备、安全设备、操作系统、数据库的不同用户分配不同的用户名；
3) 应核查用户配置信息或测试验证是否不存在空口令用户；
4) 应核查用户鉴别信息是否具有复杂度要求并定期更换；
（1） 核查所有用户口令是否符合以下条件：数字、大小写字母、符号混排，无规律的方式；
（2） 核查管理员口令的长度是否至少为 12 位，普通用户口令的长度是否至少为 8 位；
（3） 核查管理员口令是否每季度至少更换 1 次，更新的口令是否至少 5 次内不能重复；平台业务操作账户口令是否每 6 个月至少更换 1 次，更新的口令是否至少 5 次内不能重复；
（4） 若设备管理员口令长度不支持 12 位或其他复杂度要求，核查口令是否使用所支持的最长长度并适当缩短更换周期；或使用动态口令卡等一次性口令认证方式，当仅使用动态口令卡等一次性口令认证方式时，是否限制一次性口令有效时间、有效次数等；
（5） 对于系统自动生成的口令，核查口令随机性和复杂度，核查系统是否强制用户首次登录时修改初始口令； 		符合 部分符合 不符合 若 1)～4)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施； 1) 应核查是否配置并启用了登录失败处理功能；
2) 应核查是否配置并启用了限制非法登录功能，非法登录达到一定次数后采取特定动作，如账户锁定等；
3) 应核查是否配置并启用了登录连接超时及自动退出功能； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。 应核查是否采用加密等安全方式对系统进行远程管理，防止鉴别信息在网络传输过程中被窃听； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 访问控制 a) 应对登录的用户分配账户和权限； 1) 应核查是否为用户分配了账户和权限及相关设置情况；
2) 应核查是否已禁用或限制匿名、默认账户的访问权限 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应重命名或删除默认账户，修改默认账户的默认口令；无法重命名的特殊默认账户，应增加限制默认账户访问地址、访问时间等补偿性控制措施； 1) 应核查是否已经重命名默认账户或默认账户已被删除；无法重命名的特殊默认账户，应核查是否增加限制默认账户访问地址、访问时间等补偿性控制措施；
2) 应核查是否已修改默认账户的默认口令 		符合 不符合 若 1)或 2)测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单
元指标要求。
c) 应及时删除或停用多余的、过期的账户，避免共享账户的存在； 1) 应核查是否不存在多余或过期账户，管理员用户与账户之间是否一一对应；
2) 应测试验证多余的、过期的账户是否被删除或停用； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
d) 应授予管理用户所需的最小权限，实现管理用户的权限分离。 1) 应核查是否进行角色划分；
2) 应核查管理用户的权限是否已进行分离；
3) 应核查管理用户权限是否为其工作任务所需的最小权限； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
3 安全审计 a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计：
1) 若审计功能开启影响系统运行安全和效率，应采用第三方安全审计产品实现审计要求；
2) 用户行为至少包括用户登录、用户退出、超时锁定、用户冻结和解冻、增删用户、权限变更、口令修改或重置等操作； 		1) 应核查是否开启了安全审计功能；如审计功能开启影响系统运行安全和效率，核查是否采用第三方安全审计产品实现审计要求；
2) 应核查安全审计范围是否覆盖到每个用户；
3) 应核查是否对重要的用户行为和重要安全事件进行审计；应核查用户行为的类型是否覆盖用户登录、用户退出、超时锁定、用户冻结和解冻、增删用户、权限变更、口令修改或重置等操作； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 应核查审计记录信息是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等；审计记录的留存时间应至少为 6 个月。 1) 应核查是否采取了保护措施对审计记录进行保护；
2) 应核查是否采取技术措施对审计记录进行定期备份，并核查其备份策略；应核查审计记录的留存时间是否至少为 6 个月； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
4 入侵防范 a) 应遵循最小安装，仅安装需要的组件和应用程序； 1) 应核查是否遵循最小安装；
2) 应核查是否未安装非必要的组件和应用程序； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应关闭不需要的系统服务、默认共享和高危端口； 1) 应核查是否关闭了非必要的系统服务和默认共享；
2) 应核查是否不存在非必要的高危端口； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 应通过设定终端接入方式或网络地址范围对通过网络进行管理的管理终端进行限制； 应核查配置文件或参数是否对终端接入范围进行限制； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
d) 应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合系统设定要求； 1) 应核查系统设计文档的内容是否包括数据有效性检验功能的内容或模块；
2) 应测试验证是否对人机接口或通信接口输入的内容进行有效性检验； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
e) 应能发现可能存在的已知漏洞，并在经过充分测试评估后，及时修补漏洞。 1) 应通过漏洞扫描、渗透测试等方式核查是否不存在高风险漏洞；
2) 应核查是否在经过充分测试评估后及时修补漏洞； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
5 恶意代码防范 应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
所有主机应安装防恶意代码软件，不支持的主机操作系统应采取有效措施进行防护，如设置进程白名单、安装HIDS等措施。 		1) 应核查是否安装了防恶意代码软件或相应功能的软件；不支持安装防恶意代码软件的主机操作系统核查是否采取其他有效措施进行防护，如设置进程白名单、安装 HIDS 等措施；
2) 应核查是否定期进行升级和更新防恶意代码库； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
6 可信验证 可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 1) 应核查是否基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证；
2) 应核查当检测到计算设备的可信性受到破坏后是否进行报警；
3) 应核查验证结果是否以审计记录的形式送至安全管理中心； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
7 数据完整性 应采用校验技术保证重要数据在传输过程中的完整性 应核查系统设计文档，重要管理数据、重要业务数据在传输过程中是否采用了校验技术或密码技术保证完整性； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
8 数据备份恢复 a) 应提供重要数据的本地数据备份与恢复功能； 1) 应核查是否按照备份策略进行本地备份；
2) 应核查备份策略设置是否合理、配置是否正确；
3) 应核查备份结果是否与备份策略一致；
4) 应核查近期恢复测试记录是否能够进行正常的数据恢复； 		符合 部分符合 不符合 若 1)～4)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应提供异地数据备份功能，利用通信网络将重要数据定时批量传送至备用场地。 应核查是否提供异地数据备份功能，并通过通信网络将重要配置数据、重要业务数据定时批量传送至备份场地； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
9 剩余信息保护 鉴别信息所在的存储空间被释放或重新分配前应得到完全清除。 应核查相关配置信息或系统设计文档，用户的鉴别信息所在的存储空间被释放或重新分配前是否得到完全清除； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
10 个人信息保护 a) 应仅采集和保存业务必需的用户个人信息； 1) 应核查采集的用户个人信息是否是业务应用必需的；
2) 应核查是否制定了有关用户个人信息保护的管理制度和流程； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 不应未授权访问和非法使用用户个人信息。 1) 应核查是否采用技术措施限制对用户个人信息的访问和使用；
2) 应核查是否制定了有关用户个人信息保护的管理制度和流程； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
1 系统管理 a) 应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对
这些操作进行审计； 		1) 应核查是否对系统管理员进行身份鉴别；
2) 应核查是否只允许系统管理员通过特定的命令或操作界面进行系统管理操作；
3) 应核查是否对系统管理的操作进行审计； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等。 应核查是否通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 审计管理 a) 应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对
这些操作进行审计； 		1) 应核查是否对审计管理员进行身份鉴别；
2) 应核查是否只允许审计管理员通过特定的命令或操作界面进行安全审计操作；
3) 应核查是否对审计管理员的操作进行审计； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等。 应核查是否通过审计管理员对审计记录进行分析，并根据分析结果进行处理，包括根据安全审计策略对审计记录进行存储、管理和查询等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
1 安全策略 应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。 应核查网络安全工作的总体方针和安全策略文件是否明确机构安全工作的总体目标、范围、原则和各类安全策略； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 管理制度 a) 应对安全管理活动中的主要管理内容建立安全管理制度； 应核查各项安全管理制度是否覆盖物理、网络、主机系统、数据、应用、建设和运维等管理内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应对管理人员或操作人员执行的日常管理操作建立操作规程。 应核查是否具有日常管理操作的操作规程，如系统维护手册和用户操作规程等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
3 制定和发布 a) 应指定或授权专门的部门或人员负责安全管理制度的制定； 应核查是否由专门的部门或人员负责制定安全管理制度； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 安全管理制度应通过正式、有效的方式发布，并进行版本控制。 1) 应核查制度制定和发布要求管理文档是否说明安全管理制度的制定和发布程序、格式要求及版本编号等相关内容；
2) 应核查安全管理制度的收发登记记录是否通过正式、有效的方式收发，如正式发文、领导签署和单位盖章等； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
4 评审和修订 应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。 1) 应访谈信息/网络安全主管是否定期对安全管理制度体系的合理性和适用性进行审定；
2) 应核查是否具有安全管理制度的审定或论证记录，若对制度做过修订，核查是否有修订版本的安全管理制度；应核查是否每年至少或在发生重大变更时对安全管理制度的合理性和适用性进行审定，评审记录是否完整，对存在不足或需要改进的安全管理制度进行了修订； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
1 岗位设置 a) 应设立网络安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定
义各负责人的职责； 		1) 应访谈信息网络安全主管是否设立网络安全管理工作的职能部门；
2) 应核查部门职责文档是否明确网络安全管理工作的职能部门和各负责人职责；
3) 应核查岗位职责文档是否有岗位划分情况和岗位职责； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应设立系统管理员、审计管理员和安全管理员等岗位，并定义部门及各个工作岗位的职责。 1) 应访谈信息/网络安全主管是否进行了安全管理岗位的划分；
2) 应核查岗位职责文档是否明确了各部门及各岗位职责； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
2 人员配备 应配备一定数量的系统管理员、审计管理员和安全管理员等。 1) 应访谈信息/网络安全主管是否配备了系统管理员、审计管理员和安全管理员；
2) 应核查人员配备文档是否有各岗位人员配备情况； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
3 授权和审批 a) 应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等，审批授权记录应留档备查； 1) 应核查部门职责文档是否明确各部门审批事项；应核查部门相关内部审批记录，查看授权和审批过程；
2) 应核查岗位职责文档是否明确各岗位审批事项；应核查岗位相关内部审批记录，查看授权和审批过程； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应针对系统变更、重要操作、物理访问和系统接入等事项执行审批过程。 应核查各类审批记录是否针对系统变更、重要操作、物理访问和系统接入等事项进行审批； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
4 沟通和合作 a) 应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会
议，共同协作处理网络安全问题； 		1) 应访谈信息/网络安全主管是否建立了各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通机制；
2) 应核查会议记录是否明确各类管理人员、组织内部机构和网络安全管理部门之间开展了合作与沟通； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应加强与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通； 1) 应访谈信息/网络安全主管是否建立了与网络安全职能部门、各类供应商、业界专家及安全组织的合作与沟通机制；
2) 应核查会议记录是否明确了与网络安全职能部门、各类供应商、业界专家及安全组织是否开展了合作与沟通； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。 应核查外联单位联系列表是否记录了外联单位名称、合作内容、联系人和联系方式等信息； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
5 审核和检查 应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况；常规安全检查应每季度至少开展一次。 1) 应访谈信息/网络安全主管是否定期进行了常规安全检查；应核查常规安全检查频率是否每季度至少开展一次；
2) 应核查常规安全核查记录是否包括了系统日常运行、系统漏洞和数据备份等情况； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
1 人员录用 a) 应指定或授权专门的部门或人员负责人员录用； 应访谈信息/网络安全主管是否由专门的部门或人员负责人员的录用工作； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应对被录用人员的身份、安全背景、专业资格或资质等进行审查。 1) 应核查人员安全管理文档是否说明录用人员应具备的条件(如学历、学位要求，技术人员应具备的专业技术水平，管理人员应具备的安全管理知识等)；
2) 应核查是否具有人员录用时对录用人身份、安全背景、专业资格或资质等进行审查的相关文档或记录，是否记录审查内容和审查结果等；
3) 应核查人员录用时的技能考核文档或记录是否记录考核内容和考核结果等； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
2 人员离岗 应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。 应核查是否具有离岗人员终止其访问权限、交还身份证件、软硬件设备等的登记记录； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
3 安全意识教育和培训 应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施。 1) 应核查安全意识教育及岗位技能培训文档是否明确培训周期、培训方式、培训内容和考核方式等相关内容；
2) 应核查安全责任和惩戒措施管理文档或培训文档是否包含具体的安全责任和惩戒措施； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
4 外部人员访问管理 a) 应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪同，并登记备案； 1) 应核查外部人员访问管理文档是否明确允许外部人员访问的范围、外部人员进入的条件、外部人员进入的访问控制措施等；
2) 应核查外部人员访问重要区域的书面申请文档是否具有批准人允许访问的批准签字等；
3) 应核查外部人员访问重要区域的登记记录是否记录了外部人员访问重要区域的进入时间、离开时间、访问区域及陪同人等； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应在外部人员接入受控网络访问系统前先提出书面申请，批准后由专人开设账户、分配权限，并登记备案； 1) 应核查外部人员访问管理文档是否明确外部人员接入受控网络前的申请审批流程；
2) 应核查外部人员访问系统的书面申请文档是否明确外部人员的访问权限，是否具有允许访问的批准签字等；
3) 应核查外部人员访问系统的登记记录是否记录了外部人员访问的权限、时限、账户等； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 外部人员离场后应及时清除其所有的访问权限。 1) 应核查外部人员访问管理文档是否明确外部人员离开后及时清除其所有访问权限；
2) 应核查外部人员访问系统的登记记录是否记录了访问权限清除时间； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
1 定级和备案 a) 应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由； 应核查定级文档是否明确保护对象的安全保护等级，是否说明定级的方法和理由； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定； 应核查定级结果的论证评审会议记录是否有相关部门和有关安全技术专家对定级结果的论证意见； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 定级结果应经过相关部门的批准； 应核查定级结果部门审批文档是否有上级主管部门或本单位相关部门的审批意见； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
d) 应将备案材料报主管部门和公安机关备案。 应核查是否具有公安机关出具的备案证明文档； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
2 安全方案设计 a) 应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施； 应核查安全设计文档是否根据安全保护等级选择安全措施，是否根据安全需求调整安全措施； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应根据保护对象的安全保护等级进行安全方案设计； 应核查安全设计方案是否是根据安全保护等级进行设计规划； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 应组织相关部门和有关安全专家对安全方案的合理性和正确性进行论证和审定，经过批准后才能正式实施。 应核查安全方案的论证评审记录或文档是否有相关部门和有关安全技术专家的批准意见和论证意见； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
3 产品采购和使用 a) 网络安全产品采购和使用应符合国家主管部门的相关要求； 应核查有关网络安全产品是否符合国家主管部门的相关要求，如网络安全产品获得了销售许可等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 密码产品与服务的采购和使用应符合国家密码管理主管部门的要求。 1) 应访谈建设负责人是否采用了密码产品及其相关服务；
2) 应核查密码产品与服务的采购和使用是否符合国家密码管理主管部门的要求； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
4 自行软件开发 a) 应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制；开发测试环境如使用
未脱敏数据，应采取与实际运行环境等同的安全措施；开发测试环境使用的数据以及测试结果
不应导入到实际运行环境，影响生产运作；同一组件或子系统的开发人员和测试人员应分离； 		1) 应访谈建设负责人自主开发软件是否在独立的物理环境中完成编码和调试，与实际运行环境分开；（1） 应核查网络拓扑图和实际开发环境，查看开发环境和实际运行环境是否物理分开；（2） 开发测试环境如使用了未脱敏数据，应核查使用脱敏数据的安全措施是否与实际运行环境等同；（3） 应选取部分组件或子系统，对开发和测试人员分离情况进行核查；
2) 应核查测试数据和结果是否受控使用；应核查开发测试环境与实际运行环境之间的数据交换情况，不应出现测试数据或非正式结果导入到实际运行环境的情况； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测。 应核查是否具有软件安全测试报告和代码审计报告，明确软件存在的安全问题及可能存在的恶意代码； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
5 外包软件开发 a) 应在软件交付前检测其中可能存在的恶意代码； 应核查是否具有交付前的恶意代码检测报告； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 开发单位应提供软件设计文档和使用指南。 应核查是否具有软件开发的相关文档，如需求分析说明书、软件设计说明书等，是否具有软件操作手册或使用指南； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6 工程实施 a) 应指定或授权专门的部门或人员负责工程实施过程的管理； 应核查是否指定专门部门或人员对工程实施进行进度和质量控制； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应制定安全工程实施方案控制工程实施过程。 应核查安全工程实施方案是否包括工程时间限制、进度控制和质量控制等方面内容，是否按照工程实施方面的管理制度进行各类控制、产生阶段性文档等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
7 测试验收 a) 应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告； 1) 应核查工程测试验收方案是否明确说明参与测试的部门、人员、测试验收内容、现场操作过程等内容；
2) 应核查测试验收报告是否有相关部门和人员对测试验收报告进行审定的意见； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应进行上线前的安全性测试，并出具安全测试报告，安全测试报告应包含密码应用安全性测试相关内容。 应核查是否具有上线前的安全测试报告；应核查报告是否包含密码应用安全性测试相关内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
8 系统交付 a) 应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； 应核查交付清单是否说明交付的各类设备、软件、文档等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应对负责运行维护的技术人员进行相应的技能培训； 应核查系统交付技术培训记录是否包括培训内容、培训时间和参与人员等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 应提供建设过程文档和运行维护文档。 应核查交付文档是否包括建设过程文档和运行维护文档等，提交的文档是否符合管理规定的要求； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
9 等级测评 a) 应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改； 1) 应访谈运维负责人本次测评是否为首次，若非首次，是否根据以往测评结果进行相应的安全整改；
2) 应核查是否具有以往等级测评报告和安全整改方案； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应在发生重大变更或级别发生变化时进行等级测评； 1) 应核查是否有过重大变更或级别发生过变化及是否进行相应的等级测评；
2) 应核查是否具有相应情况下的等级测评报告； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 测评机构的选择应符合国家主管部门的相关要求。 应核查以往等级测评的测评单位是否具有等级测评机构资质； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
10 服务供应商选择 a) 服务供应商的选择应符合国家主管部门的相关要求； 应访谈建设负责人选择的安全服务商是否符合国家主管部门的相关要求； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务。 应核查与服务供应商签订的服务合同或安全责任书是否明确了后期的技术支持和服务承诺等内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
1 环境管理 a) 应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温
湿度控制、消防等设施进行维护管理：
1) 来访人员进入机房，应有审批流程，记录带进带出的设备、进出时间、工作内容，并有专
人陪同其在限定的范围内工作；
2) 应每季度对机房供配电、空调、UPS 等设施进行维护管理并保存相关维护记录；
3) 应每年对防盗报警、防雷、消防等装置进行检测维护并保存相关维护记录； 		1) 应访谈物理安全负责人是否指定部门和人员负责机房安全管理工作，对机房的出人进行管理、对基础设施（如空调、供配电设备、灭火设备等)进行定期维护；
2) 应核查部门或人员岗位职责文档是否明确机房安全的责任部门及人员；
3) 应核查机房的出人登记记录是否记录来访人员、来访时间、离开时间、携带物品等信息；
4) 应核查机房的基础设施的维护记录是否记录维护日期、维护人、维护设备、故障原因、维护结果等方面内容；（1） 核查维护记录，查验是否每季度对机房供配电、空调、UPS 等设备进行维护管理；（2） 核查维护记录，查验是否每年对防盗报警、防雷、消防等装置进行检测维护； 		符合 部分符合 不符合 若 1)～4)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应对机房的安全管理做出规定，包括物理访问、物品进出和环境安全等； 1) 应核查机房安全管理制度是否覆盖物理访问、物品进出和环境安全等方面内容；
2) 应核查物理访问、物品进出和环境安全等相关记录是否与制度相符； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 不应在重要区域接待来访人员，不随意放置含有敏感信息的纸档文件和移动介质等。 1) 应访谈安全管理员是否有相关规定明确接待来访人员区域；
2) 应核查办公桌面上等位置是否未随意放置了含有敏感信息的纸档文件和移动介质等； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
2 资产管理 应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。 应核查资产清单是否包括资产类别（含设备设施、软件、文档等）、资产责任部门、重要程度和所处位置等内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
3 介质管理 a) 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据
存档介质的目录清单定期盘点； 		1) 应访谈资产管理员介质存放环境是否安全，存放环境是否由专人管理；
2) 应核查介质管理记录是否记录介质归档、使用和定期盘点等情况； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，并对介质的归档和查询等进行登记记录。 1) 应访谈资产管理员介质在物理传输过程中的人员选择、打包、交付等情况是否进行控制；
2) 应核查是否对介质的归档和查询等进行登记记录； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
4 设备维护管理 a) 应对各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理，每
季度至少进行一次维护管理； 		1) 应访谈设备管理员是否对各类设备、线路指定专人或专门部门进行定期维护；应核查维护记录，查验是否每季度至少进行一次维护管理；
2) 应核查部门或人员岗位职责文档是否明确设备维护管理的责任部门； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应对配套设施、软硬件维护管理做出规定，包括明确维护人员的责任、维修和服务的审批、维修过程的监督控制等。 1) 应核查设备维护管理制度是否明确维护人员的责任、维修和服务的审批、维修过程的监督控制等方面内容；
2) 应核查是否留有维修和服务的审批、维修过程等记录，审批、记录内容是否与制度相符； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
5 漏洞和风险管理 应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影
响后进行修补：
1） 每季度至少进行一次漏洞扫描，对漏洞风险持续跟踪，在经过充分的验证测试后对必要的漏
洞开展修补工作；
2） 实施漏洞扫描或漏洞修补前，应对可能的风险进行评估和充分准备，并做好数据备份和回退
方案等；
3） 漏洞扫描或漏洞修补后应进行验证测试，以保证系统的正常运行。 		1) 应核查是否有识别安全漏洞和隐患的安全报告或记录（如漏洞扫描报告、渗透测试报告和安全通报等）；应核查安全报告或记录，查验是否每季度至少进行一次漏洞扫描，对漏洞风险持续跟踪，并在经过充分的验证测试后对必要的漏洞开展修补工作；
2) 应核查相关记录是否对发现的漏洞及时进行修补或评估可能的影响后进行修补；（1） 核查漏洞修补报告或记录，查验在实施漏洞扫描或漏洞修补前，是否对可能的风险进行评估和充分准备，如选择恰当时间，并做好数据备份和回退方案等；（2） 核查漏洞修补报告或记录，查验在漏洞扫描或漏洞修补后是否进行验证测试，以保证系统的正常运行； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
6 网络和系统安全管理 a) 应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限； 应核查网络和系统安全管理文档，是否划分了网络和系统管理员等不同角色，并定义各个角色的责任和权限； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应指定专门的部门或人员进行账户管理，对申请账户、建立账户、删除账户等进行控制； 1) 应访谈运维负责人是否指定专门的部门或人员进行账户管理；
2) 应核查相关审批记录或流程是否对申请账户、建立账户、删除账户等进行控制； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
c) 应建立网络和系统安全管理制度，对安全策略、账户管理、配置管理、日志管理、日常操作、升级与打补丁、口令更新周期等方面作出规定：
1) 网络和系统安全管理制度应对口令策略作出规定，包括口令长度、复杂度、更新周期、认
证方式等；
2) 应禁止将口令明文存储在办公终端、运维终端或服务器上，或通过邮件明文传输；
3) 因工作需要远程访问时，应对远程访问权限申请审批流程、可远程访问的资源以及操作审
计等方面内容进行规定； 		应核查网络和系统安全管理制度是否覆盖网络和系统的安全策略、账户管理（用户责任、义务、风险、权限审批、权限分配、账户注销等）、配置文件的生成及备份、变更审批、授权访问、最小服务、升级与打补丁、审计日志管理、登录设备和系统的口令更新周期等方面；网络和系统安全管理制度是否对口令策略作出规定，包括口令长度、复杂度、更新周期、认证方式等；是否禁止将口令明文存储在办公终端、运维终端或服务器上，或通过邮件明文传输应核查网络和系统安全管理制度是否覆盖远程工作访问时的管理要求，包括远程访问权限申请审批流程、可远程访问的资源（包括设备、系统、应用、数据等）、操作审计等方面内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
d) 应制定重要设备的配置和操作手册，依据手册对设备进行安全配置和优化配置等； 应核查重要设备或系统（如操作系统、数据库、网络设备、安全设备、应用和组件）的配置和操作手册是否明确操作步骤、参数配置等内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
e) 应详细记录运维操作日志，包括日常巡检工作、运行维护记录、参数的设置和修改等内容。 应核查运维操作日志是否覆盖网络和系统的日常巡检、运行维护、参数的设置和修改等内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
7 恶意代码防范管理 a) 应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查
等； 		1) 应访谈运维负责人是否采取培训和告知等方式提升员工的防恶意代码意识；
2) 应核查恶意代码防范管理制度是否明确对外来计算机或存储设备接人系统前进行恶意代码检查； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应对恶意代码防范要求做出规定，包括防恶意代码软件的授权使用、恶意代码库升级、恶意代码的定期查杀等； 应核查恶意代码防范管理制度是否包括防恶意代码软件的授权使用、恶意代码库升级、定期查杀等内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 应定期检查恶意代码库的升级情况，对截获的恶意代码进行及时分析处理。 1) 应访谈安全管理员是否定期对恶意代码库进行升级，且对升级情况进行记录，对各类防病毒产品上截获的恶意代码是否进行分析并汇总上报，是否出现过大规模的病毒事件，如何处理；
2) 应核查是否具有恶意代码检测记录、恶意代码库升级记录和分析报告； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
8 配置管理 应记录和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和补丁信息、各个设备或软件组件的配置参数等。 应访谈系统管理员是否对系统的基本配置信息进行记录和保存； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
9 密码管理 a) 应遵循密码相关国家标准和行业标准； 应访谈安全管理员密码管理过程中是否遵循密码相关的国家标准和行业标准要求； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应使用国家密码管理主管部门认证核准的密码技术和产品。 应核查相关产品是否获得有效的国家密码管理主管部门规定的检测报告或密码产品型号证书； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
10 变更管理 应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施。
变更方案应至少包括风险防控措施、影响分析、实施和验证步骤、失败恢复操作。 		1) 应核查变更方案是否包含变更类型、变更原因、变更过程、变更前评估等内容；应核查变更方案是否包含风险防控措施、影响分析、实施和验证步骤、失败恢复操作等内容；
2) 应核查是否具有变更方案评审记录和变更过程记录文档； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
11 备份与恢复管理 a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等； 1) 应访谈系统管理员有哪些需定期备份的业务信息、系统数据及软件系统；
2) 应核查是否具有定期备份的重要业务信息、系统数据、软件系统的列表或清单； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应规定备份信息的备份方式、备份频度、存储介质、保存期等； 应核查备份与恢复管理制度是否明确备份方式、频度、介质、保存期等内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 应根据数据的重要性和数据对系统运行的影响，制定数据的备份策略和恢复策略、备份程序和恢复程序等。 应核查备份和恢复的策略文档是否根据数据的重要程度制定相应备份恢复策略和程序等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
12 安全事件处置 a) 应及时向安全管理部门报告所发现的安全弱点和可疑事件； 1) 应访谈运维负责人是否告知用户在发现安全弱点和可疑事件时及时向安全管理部门报告；
2) 应核查在发现安全弱点和可疑事件后是否具备对应的报告或相关文档； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应制定安全事件报告和处置管理制度，明确不同安全事件的报告、处置和响应流程，规定安全事件的现场处理、事件报告和后期恢复的管理职责等； 应核查安全事件报告和处置管理制度是否明确了与安全事件有关的工作职责、不同安全事件的报告、处置和响应流程等； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
c) 应在安全事件报告和响应处理过程中，分析和鉴定事件产生的原因，收集证据，记录处理过程，总结经验教训。 应核查安全事件报告和响应处置记录是否记录引发安全事件的原因、证据、处置过程、经验教训、补救措施等内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
13 应急预案管理 a) 应制定重要事件的应急预案，包括应急处理流程、系统恢复流程等内容； 应核查制定重要事件的应急预案（如针对机房、系统、网络等各个方面）； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
b) 应定期对系统相关的人员进行应急预案培训，并进行应急预案的演练；应急预案的培训及演练应每年至少举办一次。 1) 应访谈运维负责人是否定期对相关人员进行应急预案培训和演练；
2) 应核查应急预案培训记录是否明确培训对象、培训内容、培训结果等；
3) 应核查应急预案演练记录是否记录演练时间、主要操作内容、演练结果等；应核查应急预案的培训及演练是否每年举办一次； 		符合 部分符合 不符合 若 1)～3)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
14 外包运维管理 a) 外包运维服务商的选择应符合国家主管部门的相关要求； 1) 应访谈运维负责人是否有外包运维服务情况；
2) 应访谈运维负责人外包运维服务单位是否符合国家主管部门的相关要求； 		符合 部分符合 不符合 若 1)和 2)测评实施结论均为是，则符合本测评单元指标要求；测评实施结论均为否，则不符合本测评单元指标要求；否则部分符合本测评单元指标要求。
b) 应与选定的外包运维服务商签订相关的协议，明确约定外包运维的范围、工作内容。 应核查外包运维服务协议是否明确约定外包运维的范围和工作内容； 符合 不符合 若以上测评实施结论为是，则符合本测评单元指标要求，否则不符合本测评单元指标要求。

等保2.0 等保二级基本要求与测评控制点相关推荐

  1. 等保2.0.等保对象知多少

    文章目录 简介 等级保护对象 信息系统 通信网络设施 数据资源 定级对象的划分 小结 简介 在等保2.0的过程中,会有很多个对象,这些对象分别指的是什么?在测评过程中如何进行选择?本文将从等保定级的角 ...

  2. 你说的等保3.0，是不是等保三级测评

    不懂等级保护的朋友,也许很容易出现这样的错误.不少首次咨询等保测评服务的朋友,很容易这样说,你好,我想做等保3.0,您这里可以帮忙吗?一听这哥们这样说话,我就知道他是不清楚信息安全等级保护或者网络安全 ...

  3. 看各大安全厂商对等保2.0的应对措施及解决方案

    5月13日,网络安全等级保护技术2.0版本(简称等保2.0)正式公开发布,等保2.0覆盖工业控制系统.云计算.大数据.物联网等新技术新应用,为落实信息系统安全工作提供了方向和依据. 前面文章已经分析过 ...

  4. 等保2.0标准_信息安全技术标准与等保2.0

    1. 等保2.0 等保2.0相关的<信息安全技术网络安全等级保护基本要求>.<信息安全技术网络安全等级保护测评要求>.<信息安全技术网络安全等级保护安全设计技术要求> ...

  5. 云上安全工作乱如麻，等保2.0来一下

    "甘孜某集团OA和财务系统遭受勒索病毒攻击,罚50000元,责任人再罚5000元!" "宜宾某馆藏书目查询平台的页面被攻击篡改.罚80000元,责任人再罚10000元!& ...

  6. 电脑软件系统等保2.0 二级安全要求

    下载地址:(干货)GBT+22239-2019+信息安全技术+网络安全2.0等级保护基本要求1.xlsx 或添加文章底部微信公众号回复[2.0等保]获取更全面Excel版本 目录 1|11安全通用要求 ...

  7. 网络安全：等保2.0落地在即，触发五百亿新增市场

    报告数据来源:华创证券.东方财富.东吴证券 前 言: 据公安部十一局七处处长祝国邦:<网络安全等级保护技术>2.0版本将于5月13日发布.相比等保1.0只针对网络和信息系统,等保2.0把云 ...

  8. 等保2.0丨2021 必须了解的40个问题

    等保2.0丨2021 必须了解的40个问题 https://mp.weixin.qq.com/s/KZViNKGMp1ZPr4Ex5-6YUA IT的信创知识库 3月2日 为了让有过保需求的客户能够更 ...

  9. 等保2.0落地解读与实践分析

    针对等保2.0安全技术和安全管理二部分建设内容,等级保护2.0技术合规要求分析和实践.等级保护2.0安全管理合规要求分析,共计13章节,阅读本文理解有红色标识 1.等级保护2.0技术合规要求分析和实践 ...

  10. 等保2.0基本要求与等保1.0对比解读

    等级保护共分为五级具体介绍如下: https://blog.csdn.net/weixin_33860528/article/details/89573660 等级保护2.0发布后,市场上铺天盖地的出 ...

最新文章

  1. BPW-21光电二极管的特性测试
  2. 机器学习算法加强——SVM实践
  3. MySQL及其分支或衍生版
  4. easy excel根据行列excel_Excel函数如何根据地级市匹配所在省份计算快递费用
  5. 查看一个网站使用的开发技术
  6. L2TP 配置实例——Client-Initiated
  7. Kubectl merge kubeconfig.yml 文件
  8. 利用JS实现简单的注册界面验证小案例
  9. imagej得到灰度图数据_imageJ 使用教程之样本长度测量
  10. R语言入门——平均相对误差的计算
  11. 算法-斐波那契数列Fibonacci
  12. iOS开发APP瘦身之PDF图片资源加载框架
  13. Xilinx zynq zynqMP SD EMMC
  14. iOS rtmp 摄像头/录屏直播以及观看
  15. 人工智能时代，有哪些新的职业机会？
  16. 你见过程序员跳槽宝典吗，35岁后慎点
  17. python简单绘图（根据表格绘制曲线图）
  18. 联想电脑摄像头打不开解决方案看到最后！！！（相信xdm都找了好久的方法）
  19. 在gitcafe下用hexo建的新博客
  20. JAVA攻城狮学习路线

热门文章

  1. 计算机主机房的消防配置,机房的消防设计规范.docx
  2. SAP-MM MRP类型详解
  3. 全球免费数字图书馆TOP30
  4. pcshare远控软件编译过程
  5. AutoCAD2000~2010完整版下载地址
  6. 百度地图设置显示定位服务器,百度地图API示例之设置地图显示范围
  7. UE编辑器 添加注释选区的快捷键
  8. html怎么把音乐播放器放到中间,怎么把音乐播放器放到自己的博客首页面上去？...
  9. chm文件打开时提示乱码
  10. cmd命令提示符配置切换IP地址