信息系统安全等级保护等保测评安全管理测评课件

信息系统安全等级保护等保测评安全管理测评背景知识1测评依据和内容2测评方法和流程3安全管理现场测评实施4内容1、背景知识安全管理的定义“三分技术，七分管理”安全管理是指在信息系统中对需要人员来参与的活动采取必要的管理控制措施，对信息系统的生命周期全过程实施科学管理。技术和管理的区别安全技术主要通过在信息系统中合理部署软硬件并正确配置其安全功能实现。安全管理主要通过控制与信息系统相关各类人员的活动，采取文档化管理体系，从政策、制度、规范、流程以及记录等方面做出规定实现。技术和管理的联系两者之间既互相独立，又互相关联；确保信息系统安全不可分割的两个部分。1、背景知识安全管理结构是指明确领导机构和责任部门。设立或明确信息安全领导机构，明确主管领导，落实责任部门，建立岗位和人员管理制度，根据职责分工，分别设置安全管理机构和岗位，明确每个岗位的职责与任务，落实安全管理责任制1、背景知识序号安全关注点一级二级三级四级1岗位设置12442人员配备12333授权和审批12444沟通和合作12555审核和检查0144合计4920201、背景知识安全管理制度是指确定安全管理策略，制定安全管理制度。确定安全管理目标和安全策略，针对信息系统的各类管理活动，制定人员安全管理制度、系统建设管理制度、系统运维管理制度、定期检查制度等，规范安全管理人员或操作人员的操作规程等，形成安全管理体系1、背景知识序号安全关注点一级二级三级四级1管理制度13442制定和发布23563评审和修订0124合计3711141、背景知识人员安全管理是指加强人员的安全管理。规范人员录用、离岗过程，关键岗位签署保密协议，对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训，对关键岗位的人员进行全面、严格的安全审查和技能考核。对外部人员允许访问的区域、系统、设备、信息等进行控制1、背景知识序号安全关注点一级二级三级四级1人员录用23+4+42人员离岗233+3+3人员考核01344安全意识教育和培训23+445外部人员访问管理1123合计71116181、背景知识人员安全管理是指加强人员的安全管理。规范人员录用、离岗过程，关键岗位签署保密协议，对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训，对关键岗位的人员进行全面、严格的安全审查和技能考核。对外部人员允许访问的区域、系统、设备、信息等进行控制1、背景知识序号安全关注点一级二级三级四级1人员录用23+4+42人员离岗233+3+3人员考核01344安全意识教育和培训23+445外部人员访问管理1123合计71116181、背景知识系统建设管理是指加强系统建设过程的管理。制定系统建设相关的管理制度，明确系统定级备案、方案设计、产品采购使用、软件开发、工程实施、验收交付、等级测评、安全服务等内容的管理责任部门、具体管理内容和控制方法，并按照管理制度落实各项管理措施1、背景知识序号安全关注点一级二级三级四级1系统定级33442安全方案设计34553产品采购13454自行软件开发23565外包软件开发34446工程实施123+47测试验收234+48系统交付23559系统备案003310安全测评0044+11安全服务商选择2333合计202845481、背景知识系统运维管理是指加强系统运维过程的管理。制定系统运维相关的管理制度，明确环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等内容的管理责任部门、具体管理内容和控制方法，并按照管理制度落实各项管理措施1、背景知识序号安全关注点一级二级三级四级1环境管理34452资产管理12443介质管理246+6+4设备管理24555安全管理中心00336网络安全管理26897系统安全管理36788恶意代码防范13449密码管理011+110变更管理024511备份与恢复管理235612安全事件处置246813应急预案管理0256合计184162701、背景知识不同级别之间的区别管理活动控制点的增加每个控制点具体管理要求的增多管理活动的能力逐步加强借鉴能力成熟度模型（CMM）一级非正式执行二级计划和跟踪三级良好定义四级持续改进1、背景知识背景知识1测评依据和内容2测评方法和流程3安全管理现场测评实施4内容2、测评依据和内容测评依据信息系统安全等级保护基本要求GB/T22239-2008信息系统安全等级保护测评要求（报批稿）信息系统安全等级保护测评过程指南（报批稿）2、测评依据和内容标准中管理要求形成思路政策和制度机构和人员信息系统规划管理信息系统设计管理信息系统实施管理信息系统运维管理信息系统废弃管理信息系统整个生命周期检查和监督管理限制指导执行监督2、测评依据和内容标准中管理要求覆盖范围信息系统的生命周期系统规划(定级\规划等)系统设计(设计\开发\采购等)系统实施(安装\配置\测试等)系统运维系统废弃管理人员管理制度组织的使命\目标\战略\政策系统变更管理机构2、测评依据和内容测评内容-GB/T22239-2008某级系统物理安全技术要求管理要求等级保护要求网络安全主机安全应用安全数据安全安全管理机构安全管理制度人员安全管理系统建设管理系统运维管理2、测评依据和内容测评内容-GB/T22239-2008安全管理（37）安全管理制度（3）安全管理机构（5）人员安全管理（5）系统建设管理（11）系统运维管理（13）物理安全（10）2、测评依据和内容测评内容-GB/T22239-2008类1控制点1控制点2……要求项1………………要求项2要求项n要求项1要求项2要求项n2、测评依据和内容测评内容-GB/T22239-2008人员安全管理人员录用

a)应指定或授权专门的部门或人员负责人员录用；

b)……人员离岗人员考核安全意识教育和培训外部人员访问管理类控制点要求项背景知识1测评依据和内容2测评方法和流程3安全管理现场测评实施4内容3、评测方法和流程主要测评工具安全管理测评作业指导书物理安全测评作业指导书3、评测方法和流程测评方式访谈检查3、评测方法和流程访谈——测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据表明信息系统安全保护措施是否落实的一种方法。在访谈的范围上，应基本覆盖所有的安全相关人员类型，在数量上可以抽样。访谈内容访谈技巧访谈对象访谈作用测评方式-访谈3、评测方法和流程问题——开放式——非开放式如何管理和控制软件开发文档？是否成立信息安全领导小组？测评方式-访谈-访谈内容3、评测方法和流程基于作业指导书开展访谈对象的选择，覆盖适当的层次和职能访谈应在正常工作时间和工作地点说明访谈和做记录的原因访谈可从请对方描述其工作开始尽量避免提出有倾向性答案的问题感谢对方的配合测评方式-访谈-访谈技巧3、评测方法和流程安全主管系统建设负责人人事负责人系统运维负责人物理安全负责人系统管理员、网络管理员、安全管理员、机房值班人员、资产管理员等测评方式-访谈-访谈对象3、评测方法和流程安全主管主要针对一些机构信息安全方面的上层、顶层问题进行广泛式提问，包括机构安全管理制度体系的构成、部门的设置等；主要集中在：安全管理制度、安全管理机构。各方面负责人（物理安全、人事、系统建设、系统运维）主要针对机构信息安全各个具体方面的问题进行总体式提问主要集中在：人员安全管理、系统建设管理、系统运维管理、物理安全测评方式-访谈-访谈对象各类管理人员（系统安全管理员、网络安全管理员等）主要针对具体的信息安全问题进行针对式提问，深入了解系统在某一特定方面的具体安全措施如何落实。3、评测方法和流程在安全管理测评中：作用一：了解相关管理方面的情况，作为下一步测评工作的基础；作用二：访谈结果作为判断与其他几种测评方式所得到证据是否一致；作用三：作为相关管理方面实现要求与否的直接证据；测评方式-访谈-访谈作用3、评测方法和流程作用三例：要求“应根据系统的安全级别选择基本安全措施，依据风险分析的结果补充和调整安全措施；”测评实施：应访谈系统建设负责人，询问系统选择基本安全措施的依据，是否依据安全保护等级选择，是否依据风险分析的结果补充和调整安全措施，做过哪些调整。测评方式-访谈-访谈作用3、评测方法和流程检查——不同于行政执法意义上的监督检查，是指测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明信息系统安全保护措施是否有效的一种方法。测评方式-检查3、评测方法和流程文档查看现场察看测评方式-检查-检查方式3、评测方法和流程各类文件制度文档操作规程执行记录物理环境基础设施等测评方式-检查-检查对象3、评测方法和流程“一对一”：通过访谈获得肯定答案，通过检查验证访谈结果。“多对一”：访谈内容总体性，多个检查操作验证。“一对无”：直接访谈或检查，单一结果。层层递进、共同体现、综合分析、把握核心。测评方式-检查-检查与访谈关系3、评测方法和流程测评工作前期准备-现场检查文档列表制度类文档机房安全管理制度网路安全管理制度介质安全管理制度人员离岗管理文档……记录和证据类文档进出机房的登记记录存储介质归档、查询记录安全事件处置过程记录应急预案演练记录人员保密协议消防检测报告……3、评测方法和流程测评工作前期准备-现场检查文档列表文档类别文档要求文档名称备注制度类机房安全管理制度人员离岗要求管理文档………………记录和证据类文档机房出入登记记录安全事件处置过程记录………………3、评测方法和流程测评工作前期准备-现场配合人员名单几点说明根据角色分工，明确其熟知的安全控制点，确定访谈配合人员以配合人员为主，根据对其访谈内容的多少，估算大约占用对方的时间，以便其明确具体时间安排主要角色配合人员访谈/配合事项时间安排备注物理安全负责人机房物理位置选择、防雷、防火、综合布线、防水和防潮、温湿度控制防尘电力供应、防静电、电磁防护安全主管安全管理制度体系、制度制修订、岗位设置和人员配备、沟通和合作、授权和审批、审核和检查…….…………………………3、评测方法和流程测评工作前期准备-文档交接单根据各单位内部管理程序自行设计明确的基本信息包括：交接文档名称文档密级归还日期、接收日期提交接收人签名、归还接收人签名等等3、评测方法和流程采用一定的“测评方式”通过执行一些活动，了解“测评对象”对要求项/测评项的实现情况，从而构成了测评实施方法《信息系统安全等级保护测评要求》的管理部分测评项测评方式测评对象测评实施安全管理要求项检查和访谈人员、文档测评方式+对象+活动/操作现场测评工具准备-安全管理测评作业指导书开发3、评测方法和流程（示例）安全管理机构现场测评工具准备-安全管理测评作业指导书开发序号测评指标测评项测评方法备注1岗位设置应设置安全主管、安全管理各方面的负责人岗位，定义各负责人职责；访谈相关负责人询问是否设置安全主管，及安全管理各方面负责人岗位，具体岗位有哪些？检查岗位职责文件，查看是否明确安全主管及安全管理各方面负责人的岗位，是否明确具体职责。测评项2测评项32测评指标2测评项13、评测方法和流程作业指导书开发基本步骤第一步：从《基本要求》中选择“控制点”（测评指标）和“要求项”（测评项）；第二步:从《测评要求》中选择“测评方法”；第三步:结合信息系统实际情况调整“测评方法”；第四步:形成最终作业指导书。现场测评工具准备-安全管理测评作业指导书开发3、评测方法和流程物理安全所有的测试指标机房1机房2访谈检查现场查看测评对象测评方式现场测评工具准备-物理安全测评作业指导书开发3、评测方法和流程具体开发方法和步骤可以参考“安全管理测评作业指导书开发”现场测评工具准备-物理安全测评作业指导书开发3、评测方法和流程基本活动检查是否存在有关的规定、制度或规程文档；检查文档的描述细节是否涉及相关的内容；检查是否存在有关执行过程的记录文件或说明文件（证据）；检查文件的记录内容是否与规定、制度或规程的要求一致；访谈相关人员，要求其对描述不理解或记录不理解内容的解释或说明；访谈相关人员，要求其对管理过程或执行过程解释和说明。测评流程-安全管理测评流程3、评测方法和流程测评流程第一步，根据现场配合人员名单，进一步明确协调人员、访谈人员及时间第二步，根据检查文档列表，获得制度、记录、规程等各类文档，并填写文档交接单第三步，审阅各类文档，并在现场测评作业指导书的相关项中进行结果记录第四步，针对不确定项访谈相关人员或获得额外证据并记录第五步，整理作业指导书的结果记录，并确认签字第六步归还所有文档并在文档交接单中签字测评流程-安全管理测评流程3、评测方法和流程基本活动实地察看场地条件、环境条件是否符合要求；实地察看设备、设施是否工作正常；实地察看是否存在有关设备、设施、标签、标识等；检查设备、设施的检测报告或维护日志、检查机房设计验收文档；访谈相关人员，要求对不理解之处进行解释或说明；访谈相关人员，要求对管理过程或执行过程补充解释和说明测评流程-物理安全测评流程3、评测方法和流程测评流程第一步，实地察看场地条件、环境条件；第二步，实地察看设备、设施运行状态；第三步，实地察看存在的有关设备、设施、标签、标识等；第四步，检查检测报告或维护日志、检查机房设计验收文档；（可在进机房前完成）第五步，针对不确定项访谈相关人员；第六步，整理作业指导书，整理结果记录并确认签字测评流程-物理安全测评流程背景知识1测评依据和内容2测评方法和流程3安全管理现场测评实施4内容4、安全管理现场测评实施测评内容及要点说明安全管理制度（3）安全管理机构（5）人员安全管理（5）系统建设管理（11）系统运维管理（13）4、安全管理现场测评实施测评内容及要点说明-安全管理制度安全管理制度（三级）管理制度制订和发布评审和修改4、安全管理现场测评实施落实要点总体方针政策文件、各类管理制度、各种操作规程三类文档三类文档之间的连贯性，管理制度的覆盖面管理制度文件的格式、版本、修订记录、各种评审记录以及发放登记记录制定和修订方面的文字具体要求，修订计划，修订流程安全管理制度制、修订的责任人，具体制定、发布流程落实难点：安全方针、管理制度、操作规程三层文件形成管理制度文件体系管理制度定期的评审、修订、完善测评内容及要点说明-安全管理制度4、安全管理现场测评实施安全管理机构（三级）授权和审批沟通与合作审核和检查人员配备岗位设置测评内容及要点说明-安全管理机构4、安全管理现场测评实施落实要点查看岗位职责文件了解：安全管理组织构成情况，信息安全领导小组-信息安全管理工作的职能部门-具体岗位，具体职责分工情况；机构人员及岗位人员名单，了解各管理员岗位人员配备情况（如安全管理员、系统管理员、网络管理员、文档管理员）；对关键岗位的定义；根据岗位人员配备名单了解安全管理员是否是专职人员，其他岗位人员配备情况关键岗位是否配备两人或两人以上审批事项、审批部门、批准人及审批程序等（制度），审批过程实际执行记录，了解授权和审批情况各类会议纪要、外协单位联系档案，了解部门内外沟通和合作情况安全检查周期、内容、程序等（制度），各类安全检查表格、以往安全检查记录或总结了解对信息系统的安全检查情况测评内容及要点说明-安全管理机构4、安全管理现场测评实施落实难点安全领导小组或安全管理委员会专职安全管理员关键岗位配备多人聘请信息安全专家作为常年的安全顾问关键活动的双重审批制度定期的全面安全检查测评内容及要点说明-安全管理机构4、安全管理现场测评实施人员安全管理（三级）人员考核安全意识教育和培训外部人员访问管理人员离岗人员录用测评内容及要点说明-人员安全管理4、安全管理现场测评实施落实要点录用、离岗、考核、安全意识教育和培训方面的规定安全保密协议和关键岗位的安全协议离岗交接记录安全技术考核记录培训计划和培训记录外部人员访问方面的规定（制度）落实难点关键岗位人员的社会背景审查，关键岗位安全协议；安全技能和安全认知的考核；对外部人员允许访问的区域、系统、设备、信息等内容的详细书面规定。测评内容及要点说明-人员安全管理4、安全管理现场测评实施系统建设管理（三级）工程实施系统交付系统备案自行软件开发安全方案设计产品采购系统定级外包软件开发测试验收安全服务商选择等级测评测评内容及要点说明-系统建设管理4、安全管理现场测评实施落实要点信息系统定级报告未来几年的安全建设规划安全设计方案、工程实施方案软件开发、工程实施、测试验收、系统交付等方面规定产品采购的候选产品名单系统集成建设工程实施过程控制记录、各个阶段产品评审记录测试验收报告、安全性测试报告系统备案证书等级测评报告安全产品销售许可证复印件与安全服务商签订的保密协议或安全责任书测评内容及要点说明-系统建设管理4、安全管理现场测评实施落实难点对主要的活动均需要制度来指导和约束，规范化地执行各种活动，留有记录文件外包开发软件安装前的恶意代码检测和后门程序审查系统正式投入运行前独立第三方进行的安全性测试每年一次的等级测评测评内容及要点说明-系统建设管理4、安全管理现场测评实施系统运维管理（三级）系统安全管理变更管理备份与恢复管理监控管理和安全管理中心设备管理介质管理资产管理网络安全管理恶意代码防范管理密码管理安全事件处置环境管理应急预案管理测评内容及要点说明-系统运维管理4、安全管理现场测评实施环境管理机房安全管理制度机房基础设施定期维护记录、机房进出登记记录指定机房基础设施维护负责人办公环境的安全管理资产管理资产安全管理制度资产清单，资产重要程度标识对信息分类标识的原则和方法进行说明的文档测评内容及要点说明-系统运维管理4、安全管理现场测评实施介质管理介质安全管理制度介质本地、异地存储环境条件，分类和标识介质归档、查询的登记记录重要介质送出维修或销毁前的审批记录重要介质中数据或软件的加密存储的说明文档设备管理设备安全管理制度指定设备管理的责任人或责任部门重要网络设备或服务器的操作规程设备带离机房或办公环境的审批记测评内容及要点说明-系统运维管理4、安全管理现场测评实施监控管理和安全管理中心主机监控系统、网络监控系统、业务应用监控系统及相应责任人监控和报警记录的分析报告对设备状态、恶意代码、补丁升级、安全审计的集中管理网络安全管理网络安全管理制度及负责人员网络安全管理的日常工作，包括本地用户和远程用户的访问管理、网络接入管理、网络设备管理、漏洞扫描、网络状态监控等日常管理工作的记录、重要事项的审批记录测评内容及要点说明-系统运维管理4、安全管理现场测评实施系统安全管理系统（主机）安全管理制度及负责人员系统（主机）安全管理的日常工作，包括帐户管理、角色权限管理、补丁管理、漏洞扫描、日志或审计信息分析、日常维护等日常管理工作的记录、重要操作的审批文档恶意代码防范管理恶意代码防范管理制度及负责人员恶意代码防范的日常工作，包括恶意代码检测、病毒库更新、恶意代码信息分析、恶意代码防范意识教育等恶意代码的集中分析结果记录或报告日常管理工作的记录测评内容及要点说明-系统运维管理4、安全管理现场测评实施密码管理密码使用管理制度密码设备具有证书，密码算法符合国家相关规定变更管理变更管理制度变更方案变更的审批记录变更后相关管理制度和操作规程的变化失败变更的恢复文件化程序及恢复过程的演练记录测评内容及要点说明-系统运维管理4、安全管理现场测评实施备份和恢复管理备份和恢复管理制度备份和恢复的策略文档及操作规程备份过程记录文档系统启动或切换的操作规程数据恢复或系统切换的操作记录备份介质的有效性检查记录测评内容及要点说明-系统运维管理4、安全管理现场测评实施安全事件处置管理安全事件报告和处置管理制度，包括安全事件定义、定级、报告流程、不同事件的响应和处置流程安全事件处置过程的记录应急预案管理应急预案总体框架各类主要事件的具体应急预案应急预案涉及人员、设备等的满足情况应急预案的培训记录、演练记录应急预案文档的更新维护测评内容及要点说明-系统运维管理4、安全管理现场测评实施落实难点办公环境的安全管理信息分类标识的原则和方法重要介质中数据或软件的加密存储安全审计的集中管理定期的网络和系统漏洞扫描对移动式、便携式设备接入网络的安全管理对违规联网行为的管理系统运行日志和审计数据的分析系统角色权限的划分和管理定期的主机和网络恶意代码检测、病毒库升级变更失败的文件化恢复程序，变更失败恢复演练变更后对相关制度和操作规程的修订数据恢复或系统切换的操作记录，备份介质的有效性检查信息安全事件的分类、分级处置流程具体信息安全事件的应急预案，应急预案培训和演练应急预案文档的维护和更新测评内容及要点说明-系统运维管理4、安全管理现场测评实施事项一：系统某一控制点或某条要求不适用该级别的基本要求（如外包软件开发、自行软件开发）例：人员考核第一条“应定期对各个岗位人员进行安全技能及安全认知的考核”，通过访谈获知委托测评方从未进行过安全技能及安全认知的考核，那么该控制点对考核结果记录要求的要求项可以为不适用吗？安全管理现场测评实施-测评注意事项一定不要滥用“不适用”如某条要求没有达到，由于下面一条要求与其有关联关系，那么这条要求不能说不适用，而是不符合。或者说，只能由不适用推导到不适用，而不能由不符合推导为不适用。4、安全管理现场测评实施事项二：当访谈结果与检查结果不一致时，应综合分析，不能片面的采信任何一方。安全管理现场测评实施-测评注意事项事项三：访谈以具体对象展开，而不以控制点或要求展开。事项四：访谈是获得证据不可或缺的手段，但往往访谈回答信息的客观性、准确性，依被访谈角色对相关内容了解程度、以及双方的有效沟通而定，因此需要测评人员正确引导和判断。事项五：在检查文档时发现不同文档针对同一方面内容要求不一致，应分析原因，结合其他测评方式所获证据来判断。事项六：所检查的文档应是机构目前已正式发布实施的有效文档。4、安全管理现场测评实施事项八：其他测评项获取的证据，也可能会成为某一测评项判定的依据。安全管理现场测评实施-测评注意事项事项七：制度文档的审阅一方面要检查制度文档的规范内容，另外应通过审阅记录文档检查制度文档的落实，若二者存在不一致，应进一步寻找证据，最终确认是制度未得到有效落实还是制度文档需要修订。事项九：当由于某种原因机构无法提供原有的所要求的证据时，其他证据效力等同时，可采纳。事项十：文档名称可能不同，需进一步确认文档具体内容。事项十一：在系统运维管理的测评中，一些测评要求涉及到技术方面的要求，二者之间存在不同的侧重点。4、安全管理现场测评实施实例一要求“应定期或不定期对安全管理制度进行检查和审定，对存在不足或需要改进的安全管理制度进行修订；”安全管理现场测评实施-测评实例实例二要求1“关键事务岗位应配备多人共同管理。”要求2“应从内部人员中选拔从事关键岗位的人员，并签署岗位安全协议。”实例三要求1“应确保安全产品的采购和使用符合国家的有关规定；”要求2“应确保密码产品的采购和使用符合国家密码主管部门的要求；”要求3“应确保安全服务商的选择符合国家的有关规定；”4、安全管理现场测评实施实例四要求“应定期审查审批事项，及时更新需授权和审批的项目、审批部门和审批人等信息；”安全管理现场测评实施-测评实例实