数据安全测评指导书

数据安全测评指导书

测评单位名称：云南信龙科技有限公司

被测单位名称：

年月日

V1.0

一、系统概述

本次需要进行测评的系统是(以下简称)。

己经完成建设和验收工作。为单位规范、高效和系统的管理提供了一个稳定的计算机和网络系

统平台，从而需要对该系统进行等级保护工作。

二、安全保护等级

通过自主定级为三级等级保护。本标准依据GB17859-1999的五个安全保护等级的划分，限据

数据安全在信息系统中的作用，规定了各个安全等级的数据安全所需要的基础安全技术的要求。

本标准合用于按等级化的要求进行仪数据安全的设计和实现，对按等级化要求进行的数据安全的测试和管理可

参照使用。

三、数据安全范围

数据安全的范困包括：数据完整性(S3)、数据保密性(S3)、数据备份和恢复(A3).

四、测评指标

1、数据完整性(S3)：

a）应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检

测到完整性错误时采取必要的恢受措施；

b）应能够检测到系统管理数据、鉴别信息和重要业务数据在存诸过程中完整性受到破坏，并在检

测到完整性错误时采取必要的恢旦措施。

2、数据保密性（S3）：

a）应采用加密或者其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；

b）应采用加密或者其他保护措施实现系统管理数据、鉴别信息即重要业务数据存储保密性。

3、数据备份和恢复（A3）：

a）应提供本地数据备份与恢复功能，彻底数据备份至少每天一次，备份介质场外存放；

b）应提供异地数据备份功能，利用通信网络将关键数据定时批量传送至备用场地：

c）应采用冗余技术设计网络拓扑结构，避免关键打点存在单点故障：

d）应提供主要网络设备、通信路线和数据处理系统的硬件冗余，保证系统的高N•用性。

五、控制点详细

谀时能栗取必要的恢更措施：

d）应检查上变应用系施，表看其是否配驾检测系统

完整性受到破蛛的功能；井在检测到完整性错误时我

取必要的恢及措施，

数据a）网络设备、掾作系统、数据底管理系@读，系统管理后、a）可访谈网络管理员，问询侑息系统中的网络设备a）如果测评实施0

统和陶用系统的鉴别信皂、敏出的系统管检查.网格管理员、的鉴别信息、班修的系况管理数据和微修的用户数据缺少相关材料.则

理数据和取喀的用户数据应采用加密或者测试,安全员、数据是否采用加玄或者其他有效措施实现传输保密性；是该项为否定；

保密否

殳用加密或者其他保护消魄实现存储保密性；

其他有效措族实现传输保密性；库管理员,主b）如果没有村关

性b）网络设备、操作系统.数据库管理系要应用系统，b）可访谈系统管理员,问询信息系统中的操作系统证明性材料（如证

统和应用系统的界别信息、放感的系统管设07验收文的签别信息、故感的系统管理数据和侬感的用户数据H、检验报告等），

理数据和较感的用户数据应采用加密或者格,相关证明是否采用加密或者其他引效措能实现传输保密性：是测评实施g）为否

否

其他保护措施实现存储保密性：性材料（如证采用加密或者其他保护击施实现存储保密性：定：

c）当使用便携式和揶移式设得时.应加书等八0可访谈数据库管理员，问询信息系统中的数据库c）测评实施f）-i）

费或者采用可挪移做存储敢感信息：管理系统的鉴别信息、敏感的系统管理数据和敏感的均为汽定，则信息

d）用于特定业务通信的通信信道应符用户数据是否采用加密或者其他有效措施实现传施系统符合本单元溅

合相关的国家规定，保玄性；是否采用加密或者其他保护措施实现存储评项要求.

保密性；

d）可访诙安全M,同旬信息系统中的应用系统的股

别信息、坡感的系统管理数据和敏感的用户数据是否

枭用加密或者其他有效梏逐实现传箍保密性；是否采

用加密或者其他保护措施实现存睹保密性：

e）可访谈安全员.同旬当使用便携式和摞格式设备

时,是否加密或者采用可施移破盘存储敏感信息：

f）应检直操作系统、月络设备、数据库管理系统、

关键应用系统的设i"收收文档,查看其是否有关于

器别信息、收感的系统管理数据和欹煨的用户数据采

用加格或者其他有效指检实现传输保密性描述,是否

有

采用腐函或者其他保护惜.施实现存储保密性

的描述：

g）应依ftHi关证明性可科（如证书或者其他相美材

料等3查看其是否有怦定业务通信的通信信道符

合相关的国家规定的说明；

h）应检查主要陶用系统.查看其鉴别信息、微感的

系统管理数据和瞰感的用户数据是否采用M葡或者

其他有效措族实现传输保密性描述.是否采用加梏

或者其他保护措施实现存储保密性：

i）应测试主要应用系统，通过用嗅探工具获取系统

传输数据包,查看其是否采用了加密或者其他有效措

施实现传输保密性.

数据a）应提供自动备份机制对旗要信息进谕第系统管理员.a）如果没有设计/

行本地和异地备份；，不网络管理员,a）可访谈网络管理员.问询信息系统中的网络设先收收文档.测评实

是否提供白动缶份机制对，n要信息批fj本地和异地

备份b）反提供恢复生要信息的功能：数据库留理葩d）白定期该项

备份功能；是否提供对芭要信息进行恢制的功能；是

c）应提供型要网络设备、通信路线和服员.探作系为否定；

否提供重要网络设备、辿信跖现和服务器的硬件冗

务器的硬件冗余；统，网络设b）测评实施d）

和恢余：

d）应提供重要业务系统的本地系统统备,数据库管-e）均为肯定，则信

b）可访谈系统管理员.问询信息系统中的操作系统

复热备份。理系统，主要史系统符合本期元

是否提供自动备份机制对也要信息进行本地和弁地

应m系统.设测评攻要求，

备份功能：是否提供对理要信息进行恢更的功能；

计/验收文

可访读数据库管理员，问询信息系统中的数据库

档,0

管理系统是否提供自动备份机制对重要信息进行本

地和异地的份功能；是否提供重要业务系统的本地系

统级热备份：是否提供对由要信息进行恢笑的功能；

系统，网络设备、数据库管理系统、应用系统呢置行