测评指导书(二级)

1、XXXXXXXXXXXX 公司公司 XXXXXXXXXXXX 等级测评项目等级测评项目 测评指导书测评指导书 XXXXXXXXXXXX 信息安全测评技术中心信息安全测评技术中心 2009 年年 10 月月 DocumentDocument ControlControl 文档名称 文档类型 文档编号 密 级 日期版本编写者描述审核人员 目录 第第 1 章章安全管理测评指导书安全管理测评指导书 .5 1.1安全管理机构测评.5 1.2安全管理制度测评.8 1.3人员安全管理测评.10 1.4系统建设管理测评.12 1.5系统运维管理测评.17 第第 2 章章物理安全测评指导书物理安全测评指导书 .

2、26 2.1物理安全测评.26 第第 3 章章网络安全测评指导书网络安全测评指导书 .34 3.1网络全局安全测评.34 3.2路由器安全测评.36 3.2.1思科路由器安全测评.36 3.3交换机安全测评.40 3.3.1华为交换机安全测评.40 3.3.2思科交换机安全测评.43 3.4防火墙安全测评.46 3.4.1PIX防火墙安全测评.46 3.4.2天融信防火墙安全测评.48 3.4.3华为防火墙安全测评.51 3.5远程拨号服务器安全测评.53 3.6入侵检测/防御系统安全测评 .54 第第 4 章章操作系统安全测评指导书操作系统安全测评指导书.57 4.1WINDOWS操作系统安

3、全测评 .57 4.2TRU64 操作系统安全测评.61 4.3LINUX操作系统安全测评.69 4.4SOLARIS操作系统安全测评.74 4.5AIX操作系统安全测评.78 第第 5 章章应用系统安全测评指导书应用系统安全测评指导书.82 5.1应用系统安全测评.82 5.2IIS 应用安全测评.87 5.3APACHE应用安全测评.89 第第 6 章章数据库安全测评指导书数据库安全测评指导书.93 6.1SQL SERVER数据库安全测评.93 6.2ORACLE数据库安全测评.98 6.3SYBASE数据库安全测评.103 第第 1 1 章章 安全管理测评指导书安全管理测评指导书 1.

4、11.1 安全管理机构测评安全管理机构测评 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a)设定管理部，定义各个方面的 负责人岗位和职责 访谈访谈 安全主管，管理机构，部门和各负责人职责； 检查检查 核查各岗位职责范围和技能要求； b)定义各个岗位和职责(系统、网 络、安全管理） 访谈访谈 安全主管，岗位分工及相关职责； 1 岗位设置岗位设置 (G2) c)制定文件明确分工 检查检查 安全管理委员会职责文件。 制度类文档要求制度类文档要求 部门设置、岗 位设置及工作职 责定义方面的管 理制度 证据类文档要求证据类文档要求 机构安全管理 人员岗位名单 2 人员配备人员配

5、备 (G2) a) 配备系统、网络、安全管理员 访谈访谈 安全主管， 岗位人员配备情况； 检查检查 安全管理人员名单； 人员配备要求文档； 制度类文档要求制度类文档要求 安全保障人事 管理制度 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 b) 安全管理员是专职的 检查检查 安全管理人员名单； 人员配备要求文档。 a) 对关键活动授权审批部门及批 准人 访谈访谈 安全主管，关键活动的审批部门，批准人是否得到授权，更新审批项目，审查周期； 检查检查 授权管理文件包括事项列表（审批、事项、程序），更新审批项目，审查周期； 3 授权和审授权和审 批批(G2) b)列表说明须审

6、批的事项、部门 和可批准人 访谈访谈 关键活动的批准人，审批范围,审查程序； 审批文档、签字和盖章。 制度类文档要求制度类文档要求 授权和审批流 程 记录类文档要求记录类文档要求 各项审批和批 准执行记录（来 访人员进入机房 审批、介质/设备 外带审批、系统 外联审批等） （外联接入、服 务访问、配置变 更、采购、外来 人员访问和管理） 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a）内部沟通，定期召开会议 访谈访谈 安全主管，与外单位和其他部门合作内容，沟通、合作方式有哪些； 安全主管，部门间协调会议,安全管理机构内部会议，信息安全领导小组例会； 安全管理人员，与外

7、单位和其他部门人员主要沟通内容； 检查检查 部门间协调会议文件； b）职能部门召开会议协调安全工 作实施 检查检查 安全工作会议文件； 4 沟通和合沟通和合 作作（G2) c）加强公安，电信的合作与沟通 检查检查 外联单位说明文档； 记录类文档要求记录类文档要求 各类会议纪要 或记录（部门内、 部门间协调会、 领导小组） 证据类文档要求证据类文档要求 外联单位联系 列表 5 审核和检审核和检 查查 （G2) a）定期安全检查 访谈访谈 安全主管，检查周期，定期分析、评审异常行为； 安全员，安全检查包含内容、人员、程序策略和要求，通报形式、范围； 检查检查 安全检查内容、检查程序和检查结果等。

8、制度类文档要求制度类文档要求 安全审批和安 全检查方面的管 制制度 1.21.2 安全管理制度测评安全管理制度测评 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a)制定总体方针、政策性文件和 安全策略 访谈访谈 安全主管，制度体系是否有安全政策、安全策略； 检查检查 明确总体目标、范围、方针、原则、责任，安全策略； b）建立安全管理制度 检查检查 覆盖物理、网络、主机系统、数据、应用和管理等层面； 1 管理制度管理制度 （G2) c）建立操作规程 检查检查 重要管理操作的操作规程，如维护手册和操作规程； 制度类文档要求制度类文档要求 总体安全方针 信息安全工作 管理制

9、度 证据类文档要求证据类文档要求 总体安全策略 专家论证文档 a)信息安全职能部门，组织相关 人员制定 访谈访谈 安全主管，是否在信息安全领导小组或委员会负责下统一制定； b）统一的格式和版本 访谈访谈 安全主管，是否按照统一的格式标准或要求制定、论证和审定； 检查检查 管理文档说明制定和发布程序、格式要求及版本； c）论证和审定 检查检查 评审记录，评审意见； 2 制定和发制定和发 布布 （G2) d）签发后按照一定的程序以文件 形式发布 检查检查 管理层的签字或盖章,格式统一； 制度类文档要求制度类文档要求 安全管理制度 改收发规范 记录类文档要求记录类文档要求 安全管理制度 的收发登记记

10、录 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 3 评审与修评审与修 订订 （G2) a）对存在不足或需要改进的安全 管理制度进行修订 访谈访谈 安全主管，对安全管理制度的评审由何部门、何人负责； 管理人员，对安全管理制度的评审、修订程序，维护措施； 检查检查 列表注明评审周期； 评审记录，日期与评审周期是否一致，修订记录和版本。 制度类文档要求制度类文档要求 授权审批、审 批流程等方面的 管理制度 记录类文档要求记录类文档要求 各类评审和修 订记录 1.31.3 人员安全管理测评人员安全管理测评 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果

11、a）具备专业技术水平和安全管理 知识 访谈访谈 人事负责人，录用人员要求与其职责相对应； 检查检查 人事工作人员，人员录用要求管理文档； b）身份、背景、专业资格和资质 等进行审查 访谈访谈 审查身份、背景、专业资格和资质，签署保密协议，说明工作职责； 审查文档，记录审查内容和审查结果； c）技能进行考核 检查检查 考核内容和结果； d）说明其角色和职责 访谈访谈 人事负责人，录用人员要求与其职责相对应； 检查检查 人事工作人员，人员录用要求管理文档； 1 人员录用人员录用 （G2) e)签署保密协议 检查检查 保密范围、保密责任、违约责任、协议的有效期限和责任人签字； a）终止所有访问权限

12、访谈访谈 安全主管，及时终止离岗人员所有访问权限，取回物资； b）物资收回 核查核查 检查安全处理记； 2 人员离岗人员离岗 （G2) c）离岗须承诺调离后的保密义务 访谈访谈 人事工作人员，调离手续； 检查检查 保密承诺文档，有调离人员的签字； 制度类文档要求制度类文档要求 人员录用、离 岗、考核等方面 的管理制度 记录类文档要求记录类文档要求 人员考核、审 查、培训记录 （人员录用、人 员定期考核）、 离岗手续 证据类文档要求证据类文档要求 人员保密协议 关键岗位安全 协议 离岗人员保密 协议书 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a）技能及认知的考核 访

13、谈访谈 安全主管，专人负责定期考核； b）安全审查 访谈访谈 人事工作人员,考核情况，考核周期、考核内容、审查情况和内容如如操作行为、社会关系、 社交活动； 3 人员考核人员考核 （G2) c）违背安全策略和规定的人员进 行惩戒 访谈访谈 人事工作人员,惩戒措施； a）安全意识教育 访谈访谈 安全主管，以何形式制定安全教育和培训计划，效果如何； b）告知责任和惩戒措施 访谈访谈 安全员，系统管理员，网络管理员，数据库管理员，各岗位人员对安全知识、责任和惩戒措 施等的理解程度； c）制定安全教育和培训计划 检查检查 安全教育、培训计划和不同岗位培训计划，明确目的、方式、对象、内容、时间和地点，内

14、 容包含信息安全基础知识、岗位操作规程； 4 安全意识安全意识 教育和培教育和培 训训（G2) d)记录并归档保存 检查检查 记录包括人员、内容、结果的描述，记录与培训计划一致。 制度类文档要求制度类文档要求 人员安全教育 和培训方面的管 理制度 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a）应在访问前与机构签署安全责 任合同书或保密协议 访谈访谈 安全主管，管理措施，访问前签署安全责任合同书或保密协议； 检查检查 全责任合同书或保密协议有保密范围、保密责任、违约责任、协议的有效期限和责任人的签 字； 5 第三人员第三人员 访问管理访问管理 （G2) b）重要区域的

15、访问负责人的批准， 专人陪同或监督，并记录备案 访谈访谈 安全管理人员，访问重要区域采取措施，有负责人批准，专人陪同记录并备案管理； 检查检查 书面申请，批准人允许访问的签字； 制度类文档要求制度类文档要求 外部人员访问 控制方面的管理 制度 记录类文档要求记录类文档要求 各项审批和批 准执行记录（来 访人员进入机房 审批、介质/设备 外带审批、系统 外联审批等） 1.41.4 系统建设管理测评系统建设管理测评 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a)明确系统划分方法 访谈访谈 划分系统方法，确定等级方法参照定级指南的指导，定级结果得到批准； 检查检查 给出等

16、保 SxAyGz 值，定级结果有批准盖章； b)确定信安全等级 访谈访谈 系统划分方法和理由； 1 系统定级系统定级 (G2) c 书面确定系统属性 检查检查 明确系统属性:使命、业务、网络、硬件、软件、数据、边界、人员； 证据类文档要求证据类文档要求 信息系统定级 报告或定级建议 书 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 d)定级结果经过批准 访谈访谈 划分系统方法，确定等级方法参照定级指南的指导，定级结果得到批准； 检查检查 给出等保 SxAyGz 值，定级结果有批准盖章； 专家对定级结果的论证意见。 a)依据等保和风险分析选择和调 整安全措施 访谈访谈 系

17、统建设负责人，根据系统的安全级别选择基本安全措施，依据风险分析的结果补充和调整 安全措施，做过哪些调整； b) 书面描述对系统的安全保护要 求和策略、措施等内容，形成系 统的安全方案 访谈访谈 安全主管，授权专人负责制定总体安全方案； 检查检查 系统安全方案，要求、策略和措施； c) 考虑安全保障体系的总体安全 策略、安全技术框架、安全管理 策略、总体建设规划和详细设计 方案，并形成配套文件 访谈访谈 系统建设负责人，根据信息系统等级划分情况，统一考虑安全保障体系的总体安全策略、安 全技术框架、安全管理策略、总体建设规划和详细设计方案等； d)安全保障体系的配套文件经过 专家论证和审定 访谈访

18、谈 系统建设负责人，安全技术专家对总体安全策略、安全技术框架、安全管理策略等相关配套 文件进行论证和审定，并经过管理部门的批准； 检查检查 核查相关论证意见； 2 安全方案安全方案 设计设计(G2) e)安全保障体系的配套文件经批 准后，才能正式实施 检查检查 各方案管理层的批准； 证据类文档要求证据类文档要求 近期和远期安 全建设工作计划、 总体建设规划书 详细设计方案 前一次测评报 告 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a）采购符合国家规定 访谈访谈 系统建设负责人，密码产品的使用是否符合国家密码主管部门的要求； 检查检查 安全产品（边界安全设备、重要服

19、务器操作系统、数据库等）是否符合国家的规定； b）密码产品符合国密要求 检查检查 商用密码产品和保密专用产品采购符合商用密码管理条例和计算机信息系统保密工作 暂行规定； 3 产品采购产品采购 (G2) c）专人负责采购 访谈访谈 安全主管， 何部门何人负责产品采购。 制度类文档要求制度类文档要求 产品选型、采 购方面的管理制 度 记录类文档要求记录类文档要求 产品的选型测 试结果记录 证据类文档要求证据类文档要求 候选产品名单 a）开发与运行，与测试环境要独 立 访谈访谈 系统建设负责人，程序的修改、更新、发布进行授权和批准，控制措施，开发人员不能做测 试人员（即二者分离），独立的模拟环境中编

20、写、调试和完成； 检查检查 开发环境与运行环境物理分开； e)提供文档指南 检查检查 软件设计的相关文档（应用软件设计程序文件、源代码文档等）和软件使用指南或操作手 册和维护手册等； 4 自行软件自行软件 开发开发(G2) b)文档由专人保管，控制使用 检查检查 开发相关文档（软件设计和开发程序文件、测试数据、测试结果、维护手册等）的使用控制 记录。 5 外包软件外包软件 开发开发(G2) a）签订协议，明确知识产权的归 属和安全方面的要求 访谈访谈 外包前书面文档形式规范软件开发单位的责任、安全行为、开发环境要求、软件质量、开发 后的服务承诺； 检查检查 软件开发协议,知识产权归属、安全行为

21、等内容； 制度类文档要求制度类文档要求 软件外包开发 或自我开发方面 的管理制度 证据类文档要求证据类文档要求 软件开发协议 与安全服务商 或外包开发商签 订的服务合同和 安全协议 软件开发设计 和用户指南等相 关文档（目录体 系框架或交换原 形系统）、软件 测试报告 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 b）检测软件质量 检查检查 软件开发协议,知识产权归属、安全行为等内容； c）安装之前检测软件包中可能存 在的恶意代码 访谈访谈 交付前进行软件功能和性能验收检测，验收检测是否是由开发商和委托方共同参与，检测软 件中的恶意代码，检测工具是否是第三方的商业产品；

22、 d）提供软件设计的相关文档和使 用指南 检查检查 应检查是否具有需求分析说明书、软件设计说明书和软件操作手册等开发文档以及用户培训 计划、程序员培训手册等后期技术支持文档。 a)签订安全协议 访谈访谈 系统建设负责人，以书面形式（如工程安全建设协议）约束工程实施方的工程实施行为； 检查检查 覆盖工程实施方的责任、任务要求和质量要求等方面内容，约束工程实施行为； b）专人负责 访谈访谈 系统建设负责人，指定专人负责进度和质量控制，行为规范制度化，资质证明和能力保证； 6 工程实施工程实施 (G2) c）制定施工方案 检查检查 覆盖工程时间限制、进度控制和质量控制等方面内容，工程实施过程是否按照

23、实施方案形成 各种文档，如阶段性工程报告； 制度类文档要求制度类文档要求 工程实施过程 管理方面的管理 制度 证据类文档要求证据类文档要求 工程实施方案 a）安全性测试验收 访谈访谈 系统正式运行前，根据设计方案或合同要求对信息系统进行独立的安全性测试； b）制定测试验收报告 访谈访谈 对测试过程（包括测试前、测试中和测试后）进行文档化要求和制度化要求； 应检查是否具有系统验收报告；7 测试验收测试验收 (G2) c）测试验收报告审定，双方签字 检查检查 应检查验收测试管理制度是否对系统验收测试的过程控制、参与人员的行为等进行规定。 制度类文档要求制度类文档要求 测试、验收方 面的管理制度 记

24、录类文档要求记录类文档要求 系统验收测试 记录、报告 证据类文档要求证据类文档要求 系统验收测试 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 方案 a）明确交接手续 访谈访谈 交接手续，交接清单是否满足合同的有关要求； 检查检查 系统交付清单具有系统建设文档、指导用户进行系统运维的文档以及系统培训手册； b）技能培训 访谈访谈 运行维护，培训，技术支持服务，维护的文档； 服务承诺书、培训记录； c）提供运维文档 检查检查 系统交付清单具有系统建设文档、指导用户进行系统运维的文档以及系统培训手册； 8 系统交付系统交付 (G2) d）服务承诺书，确保对系统运行 维护的支

25、持 访谈访谈 服务承诺书、培训记录。 证据类文档要求证据类文档要求 与安全服务商 或外包开发商签 订的服务合同和 安全协议 系统交付清单 9 安全服务安全服务 商选择商选择 (G2) a)符合国家规定 访谈访谈 信息系统进行安全规划、设计、实施、维护、测评等服务的安全服务单位是否符合国家有关 规定。 证据类文档要求证据类文档要求 与安全服务商 或外包开发商签 订的服务合同和 安全协议 备资质条件 1.51.5 系统运维管理测评系统运维管理测评 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a）对机房设施定期维护管理 访谈访谈 物理安全负责人，机房基本设施（如空调、供配电

26、设备等）进行定期维护，由何部门/何人 负责，维护周期； 检查检查 设施维护记录； b）指定部门负责机房安全 访谈访谈 物理安全负责人，指定人员负责机房安全管理工作，对机房的出入管理是否要求进行制度化 和文档化； c）建立机房安全管理制度 检查检查 覆盖机房物理访问、物品带进、带出机房和机房环境安全等方面； d）对机房来访人员进行登记和备 案管理，限制来访人员的活动范 围 检查 进出登记表； 1 环境管理环境管理 (G2)(G2) d）办公环境的保密性管理 访谈访谈 工作人员，保证办公环境的保密性要求事项； 检查检查 办公环境管理文档对工作人员离开座位的保密行为（如清理桌面文件和屏幕锁定等）、人

27、员 调离办公室后的行为行规定。 制度类文档要求制度类文档要求 机房安全管理 方面的管理制度 办公环境安全 管理方面的管理 制度 记录类文档要求记录类文档要求 机房日常巡检 记录 机房出入登记 记录（包括第三 方人员） 机房记录设备 维护记录 证据类文档要求证据类文档要求 机房安全设计 和验收方面的文 档 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 a）资产管理制度 访谈访谈 安全主管，指定资产管理的责任人员或部门，由何部门/何人负责； 物理安全负责人，资产管理要求文档化； 覆盖资产使用、借用、维护等方面； b）编制资产清单 检查检查 覆盖资产责任人、所属级别、所处位置

28、和所属部门等方面；2 资产管理资产管理 (G2)(G2) c）资产标识 访谈访谈 资产管理员，对资产进行赋值和标识管理，不同类别的资产是否采取不同的管理措施； 检查检查 资产清单中的设备有相应标识； 制度类文档要求制度类文档要求 资产、设备、 介质安全管理方 面的管理制度 证据类文档要求证据类文档要求 资产清单 a）介质存放环境安全 访谈访谈 资产管理员，介质的存放环境的保护措施，防止其被盗、被毁、被未授权修改以及信息的非 法泄漏，专人管理； 检查检查 应检查介质管理制度，查看其内容是否覆盖介质的存放环境、使用、维护和销毁等方面； 3 介质管理介质管理 (G2)(G2) b）介质归档和查询记录

29、，定期盘 点 访谈访谈 资产管理员，对介质的使用管理要求文档化，是否根据介质的目录清单对介质的使用现状进 行定期检查，是否对介质进行分类和标识管理； 检查检查 介质管理记录，记录介质的存储、归档和借用等情况； 制度类文档要求制度类文档要求 信息分类、标 识、发布、使用 方面的管理制度 记录类文档要求记录类文档要求 介质归档、查 询等的登记记录 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 c）介质使用、维修、销毁管理 访谈访谈 资产管理员， 进行保密性处理；对保密性较高的介质销毁前是否有领导批准，否对数据进 行净化处理；询问对介质的物理传输过程是否要求选择可靠传输人员、

30、严格介质的打包（如 采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制； 资产管理员，重要介质实行异地存储，异地存储环境是否与本地环境相同； d）对介质进行分类和标识管理， 专人管理 检查检查 应检查介质，查看是否对其进行了分类，并具有不同标识； a）专人维护 访谈访谈 资产管理员，设备指定专人或专门部门进行定期维护，周期； b）建立设备管理制度 访谈访谈 系统管理员，软硬件维护进行制度化管理； 检查检查 应检查设备审批、发放管理文档，查看其内容是否对设备选型、采购和发放等环节的申报和 审批作出规定；查看是否具有设备的选型、采购、发放等过程的申报材料和审批报告； c）设备的操作

31、和使用进行规范化 管理 访谈访谈 资产管理员，设备选用的各个环节（选型、采购、发放等）进行审批控制，对设备带离机构 进行审批控制，设备的操作和使用是否要求规范化管理； 检查检查 应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操 作原则、注意事项等方面； 4 设备管理设备管理 (G2)(G2) d）带离设备进行控制 检查检查 应检查设备使用管理文档，查看其内容是否覆盖终端计算机、便携机和网络设备等使用、操 作原则、注意事项等方面； 制度类文档要求制度类文档要求 配套设备、软 硬件维护方面的 管理制度 记录类文档要求记录类文档要求 主机系统、网 络、安全设备等 的操

32、作日志和维 护记录 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 e）监控检查管理 访谈访谈 审计员，服务器的操作日志，日志文件管理，期检查管理； 检查检查 应检查服务器操作规程，查看其内容是否覆盖服务器如何启动、停止、加电、断电等操作。 5 监控管理监控管理 (G2)(G2) a）信息系统监控和报警 访谈访谈 系统运维负责人，查看主要服务器的各项资源指标，如 CPU、内存、进程和磁盘等使用情况。 制度类文档要求制度类文档要求 系统监控、风 险评估、漏洞扫 描方面的管理制 度采集操作 手册 维护管理规范 维护汇总 证据类文档要求证据类文档要求 主要设备漏洞 扫描报告 系

33、统异常行为 审计分析报告 a）专人管理 访谈访谈 安全主管，指定专人负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理 工作； b）更新，备份 访谈访谈 应访谈网络管理员，厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少， 升级前是否对重要文件（帐户数据、配置数据等）进行备份，采取什么方式进行备份；网络 设备进行过漏洞扫描，对扫描出的漏洞是否及时修补； 6 网络安全网络安全 管理管理(G2)(G2) c）进行网络系统漏洞扫描，及时 修补 访谈访谈 应访谈网络管理员，厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少， 升级前是否对重要文件（帐户数据、配置数

34、据等）进行备份，采取什么方式进行备份；网络 制度类文档要求制度类文档要求 网络监测与事 件汇报制度 记录类文档要求记录类文档要求 对主机、网络 设备和应用软件 等的监控记录和 分析报告 序号序号测评指标测评指标测评项测评项检测方法检测方法预期结果预期结果 设备进行过漏洞扫描，对扫描出的漏洞是否及时修补； 检查检查 漏洞扫描报告，覆盖网络存在的漏洞、严重级别、原因分析和改进意见等方面； d）与外部系统的连接均应得到授 权和批准 访谈访谈 安全员，外联种类有哪些（互联网、合作伙伴企业网、上级部门网络等），得到授权与批准， 由何部门/何人批准；定期检查违规联网的行为； 检查检查 应检查是否具有内部网络外联的授权批准书； e）建立网络安全管理制度 访谈访谈 安全员，网络安全的管理工作（包括网络安全配置、网络用户、日志等方面）制度化； 检查检查 应检查网络安全管理制度，查看其是否覆盖网络设备的安全策略、授权访问、最小服 务、升级与打补丁、维护记录、日志内容、日志保