安全可靠测评工作指南(V4.0)

安全可靠测评工作指南(V4.0)一、总则1.1编制目的与适用范围本指南面向承担安全可靠测评工作的测评机构项目组、送测企业技术对接人以及委托方（采购单位）评审人员，解决三类实际问题：测评项目如何组织与排期、测试项如何执行与判定、测评结论如何形成与追溯。读完本指南，测评工程师应能独立完成从项目受理到报告交付的全流程操作；企业应能明确送测前需完成的准备工作清单；评审专家应能依据本指南核查测评证据链的完整性。本指南适用于以下测评对象：•基础硬件类：CPU、GPU、存储设备、整机服务器、台式机、笔记本•基础软件类：操作系统、数据库、中间件•应用软件类：办公套件、行业应用系统•其他：密码设备、安全设备等经测评机构受理确认的产品1.2编制依据本指南依据以下文件编制（执行时应以最新有效版本为准）：•《中华人民共和国网络安全法》•《中华人民共和国数据安全法》•《信息安全技术网络安全等级保护基本要求》（GB/T22239）•《信息安全技术信息系统安全审计产品技术要求和测试评价方法》（GB/T20945）•测评主管部门发布的安全可靠测评相关公告与测评工作要求•送测产品对应的标准符合性文件与产品技术白皮书1.3术语定义术语定义测评对象接受安全可靠测评的单个产品版本，含安装介质、文档与配套组件测评项测评活动中可独立验证的最小测试单元，具有唯一编号与判定准则测评证据支撑测评结论的原始记录，含测试日志、截图、配置快照、样品封存单单项判定结论单个测评项的判定结果，分为符合、部分符合、不符合、不适用综合结论整个产品的测评结论，分为通过、有条件通过、不通过二、组织机构与职责测评工作实行“项目负责人负责制+独立复核制”，核心约束是测试执行人与复核人不得为同一人，防止自测自判。2.1岗位设置与职责矩阵岗位人员配置核心职责关键交付物交付时限项目负责人1名，具备3年以上测评经验制定方案、协调资源、签发报告测评方案、测评报告方案在受理后5个工作日内测评工程师每项目2名及以上执行测试、记录证据测评原始记录、问题单每测试日结束前提交当日记录复核人1名，未参与本项测试执行核查证据链、复核判定复核意见单收到材料后3个工作日内技术专家按需聘请（CPU/OS/DB方向各1名）处理争议判定、技术仲裁技术仲裁意见争议提出后5个工作日内质量监督员1名，独立于项目组抽查过程合规性监督记录每项目不少于2次抽查2.2争议判定处理机制当测评工程师与送测企业对某测评项判定存在分歧时，按以下路径处理：1.项目负责人组织双方在3个工作日内进行技术澄清，澄清材料归档；2.澄清未果的，提交技术专家出具书面仲裁意见；3.涉及判定准则本身解释歧义的，由测评机构技术委员会在10个工作日内出具统一解释，该解释对该机构后续同类项目生效并纳入指南修订建议。三、测评流程测评全流程分为六个阶段，总周期一般为30~60个工作日（视产品复杂度与整改轮次而定），各阶段入口条件不满足的不得进入下一阶段。3.1项目受理（第1~5个工作日）入口条件核查清单——企业提交的材料缺一不可：•安全可靠测评申请表（加盖公章）•产品基本信息表：产品名称、版本号、发布日期、许可证信息•自我声明材料：供应链信息、知识产权归属说明、开源组件清单•产品安装介质1套及配套文档（安装手册、管理员手册、用户手册）•与标准符合性相关的自测报告或第三方检测报告（如有）受理审核要点：版本一致性是首要核查项——申请表中的版本号必须与安装介质、产品文档、启动界面显示版本三者完全一致，任何一处不一致的当场退回补正，补正期不计入测评周期。3.2方案编制（受理后5个工作日内）项目负责人依据产品类型选取测评项集合，编制测评方案。方案必须包含：1.测评对象与版本号、测评项清单（附编号索引）2.测试环境拓扑图与软硬件清单3.各测评项的测试方法、判定准则、预期证据形式4.进度计划（精确到每个测试日的任务包）5.风险预案：样品损坏、环境故障、关键人员缺位时的应对措施方案经复核人会签、技术负责人批准后下发，方案变更必须走变更单流程，记录变更原因、影响范围、批准人，禁止口头变更。3.3环境搭建与样品核验（方案批准后2个工作日内）•样品核验：检查介质封装完整性，填写《样品接收封存单》，拍照留档，样品由测评机构专人保管；•环境搭建：按方案拓扑搭建测试环境，环境搭建完成后先运行基准验证用例（确认环境本身无干扰），基准通过后方可开始正式测试；•环境快照：正式测试前对环境做完整快照备份，后续每轮测试前恢复快照，保证各测评项在一致基线上运行。3.4现场测试（核心阶段）测评项按四大类组织实施，执行人须边测边记，当日记录当日归档：3.4.1供应链安全核验•核查关键部件来源声明与实物标识的一致性（如CPU型号、固件版本）；•核查开源组件清单与产品实际加载的组件版本是否一致，重点核对许可证类型与合规性声明；•判定准则：声明信息与实物、运行时信息三方一致的判符合；存在无法溯源的关键部件判不符合。3.4.2安全功能测试覆盖身份鉴别、访问控制、安全审计、数据完整性保护、剩余信息保护等模块。执行要求示例（以安全审计为例）：•生成审计记录不少于3类事件（登录成功、登录失败、权限变更），逐条核验记录要素（时间、主体、客体、结果）完整性；•验证审计记录存储保护：尝试以普通用户身份删除或篡改审计日志，预期结果为操作被拒绝且触发告警；若日志可被篡改，判不符合——机理在于：审计数据可篡改意味着攻击者可在入侵后清除痕迹，审计功能形同虚设；•每项测试保留操作命令全文、系统响应截图（含系统时间戳）与配置文件快照。3.4.3漏洞扫描与渗透测试•扫描工具库版本须记录在案，扫描范围覆盖管理端口、默认服务、开放接口；•高危漏洞（可远程利用、可获取权限级）发现1个即判不符合，进入整改流程；•渗透测试须提前与送测企业书面约定测试范围与回退措施，测试结束后4小时内提供临时风险清单，企业须在清单送达后立即评估是否需要对已交付用户发布风险通告。3.4.4可靠性与稳定性测试•连续运行测试：产品在典型负载下连续运行不少于7×24小时，记录故障次数、平均恢复时间；•异常恢复测试：模拟断电、进程强杀、磁盘满三类异常，验证产品恢复后的数据一致性与服务可用性；断电恢复测试中若出现数据丢失且无任何告警或日志记录，判不符合；•压力测试：按产品标称性能的120%加载2小时，观测是否有崩溃、死锁、内存泄漏（内存占用增长超过30%且持续上升趋势视为泄漏）。3.5判定与复核单项判定四级口径，严禁“部分符合”作为避重就轻的兜底选项：判定使用条件符合全部验证点通过，证据完整部分符合非关键验证点存在偏差，且有可行的补偿措施不符合关键验证点失败，或存在高危漏洞，或证据缺失无法证实不适用该测评项在产品形态上客观不存在（须书面说明理由并经复核人确认）复核人按不低于20%的比例抽查原始记录，重点抽查：判定为“符合”但证据单薄的项、判定为“部分符合”的项、全部“不符合”项。抽查发现证据链断裂的，退回测试执行人3个工作日内补充，补充的证据必须标注补充时间与原因，禁止倒签日期。3.6整改与报告签发•对“不符合”与“部分符合”项，向企业出具《问题整改通知单》，明确问题、依据、整改建议与整改期限（一般15个工作日，最长不超过30个工作日）；•企业提交整改报告与新版介质后，仅对整改涉及的测评项做回归测试，回归测试记录独立归档；•综合结论判定：全部测评项符合或经整改回归后符合，判“通过”；剩余问题均有补偿措施且不涉及高危漏洞，判“有条件通过”（须列明条件清单）；存在高危漏洞或关键测评项不符合且无法整改的，判“不通过”；•测评报告经测评工程师编制、复核人复核、项目负责人审核、技术负责人批准四级签发，报告与全部原始记录一同归档，保存期不少于6年。四、风险分析与控制测评活动自身的风险集中在三个方面，每类风险按演化路径给出阻断点：4.1样品与介质风险演化路径：样品保管不当→介质损坏或版本混淆→测试结果无法对应送测版本→结论失效甚至误判通过。阻断措施：•样品接收即封存编号，双人双锁保管，领用登记；•严禁在生产环境或接入互联网的环境安装测试样品（防止未测评版本流出或样品被污染），测试须在隔离网络环境中进行；若确需联网下载补丁，使用受控的内部镜像源；•测试结束后样品与全部副本在监督下销毁或退回，销毁记录归档。4.2判定公正性风险演化路径：企业施压或利益关联→判定标准执行放松→不符合项被降级→带缺陷产品获得通过结论→下游用户承担安全风险。阻断措施：•测试执行人与复核人强制分离，复核人独立向质量监督员汇报；•利益冲突申报：项目启动时全体成员签署利益冲突声明，与送测企业存在近三年雇佣、股权或顾问关系的必须回避；•质量监督员每项目至少2次现场抽查，抽查记录直接报技术负责人。4.3进度与数据风险演化路径：测试环境故障或数据丢失→原始记录缺失→复核无法追溯→报告证据链不完整→测评结论经不起第三方审查。阻断措施：•环境快照每日备份一次，测试数据双介质存储（本地+独立存储设备）；•建立测试日志台账，台账断档超过1个测试日的，项目负责人须书面说明原因并报质量监督员备案。五、测评纪律与保密要求•测评人员必须对测评中获知的产品技术细节、源代码级信息、漏洞详情承担保密义务，保密期限不因项目结束而终止，漏洞信息公开须遵守国家关于漏洞披露的相关规定，严禁在报告签发前向任何第三方透露漏洞细节（漏洞信息若提前外泄，产品用户在无补丁状态下暴露于可利用风险中）；•涉及漏洞的技术沟通优先通过受控的加密渠道进行；不具备条件的，当面沟通并做好记录；严禁通过普通即时通讯工具传输漏洞利用细节；•测评人员不得接受送测企业任何形式的馈赠、宴请与报销，违反者调离测评岗位并按机构制度处理，涉嫌违法的移交有关机关；•企业提供的技术资料仅用于本项目测评，项目结束后按约定归还或销毁。六、持续改进测评机构按PDCA循环管理本指南的执行质量：•计划：每年年初对上年度测评数据进行统计分析，识别高频不符合项与争议项；•执行：将分析结论转化为测评项细化规则与工程师培训内容（每名测评工程师年度培训不少于16学时并考核）；•检查：质量监督员每季度抽取已签发报告不少于3份做后评估，核查证据链完整性与判定一致性；•改进：后评估发现的共性问题纳入指南修订，指南每12个月评审修订一次，重大标准变化时即时修订，修订历史记录在版本变更页。附件一：测评原始记录表（样表）测评项编号测评项名称测试方法操作步骤预期结果实际结果单项判定证据编号执行人/日期XXX-AUD-001审计记录完整性功能验证以普通用户执行日志删除命令操作被拒绝并告警附件二：样品接收封存单（样表）项目内容样品编号产品名称/版本介质数量与形式封装完整性检查结果接收人/日期送测方代表/日期保管位置附件三：测评问题整改通知单（样表）项目内