– Code of practice for information security management 》（GB/T 19716-2005 信息技术 信息安
全管理实用规则 ）
? DB31/T 272-2002《计算机信息系统安全测 评通用技术规范》
8
2、测评内容
2.1 物理安全 2.2 网络安全 2.3 主机安全 2.4 应用安全 2.5 数据安全 2.6 管理体系
? 网络设备防护： 对路由器、交换机、代理服务器 等网络设备及防火墙、 VPN、入侵检测等安全设 备的安全配置及安全管理 。
11
2.3 主机安全
主机安全测评包括身份鉴别 、访问控制 、安全审计 、入 侵防范、病毒防范、系统资源控制等的安全测评 。
主要对象包括对
? 操作系统
? 数据库 ? 中间件及通用软件（如 Websphere 、FTP Server 、E-Mail
3
? 系统安全测评旨在为以前没有安全保障或 安全保障体系不完善的系统（网络）提供改 进服务，从而降低系统的安全风险。
? 测评程序能确保系统的安全风险降低到国 家标准规定和公众可接受的水平，达到测评 要求的信息系统只是达到了国家规定的管理 及控制安全风险的能力，并不表明该系统完 全消除了安全风险。
4
上海市信息安全测评认证中心
一周
一周
27
主要案例
? 公共管理类
上海市党委系统网（上海市公务网） 上海市政府“中国上海”门户网站 上海市医疗保险费用结算系统
? 公共服务类
上海证交所固定收益平台 中国证券登记结算公司证券登记结算系统 上海银行网上银行系统 上海市文化广播影视集团影视/ 广播系统 上海电力股份有限公司DCS系统 大众燃气客户服务统 宝钢股份（一钢、梅钢、五钢）生产系统
19
测评工具
20
测评方法一览表
序号 测评内容
1
物理安全
测评方式
人员访谈 文档核查 配置核查 案例验证 漏洞 扫描 渗透测试 综合评估
√
√
√
2
网络安全
√
√
√
√
√
√
3
系统安全
√
√
√
√
√
√
4
应用安全
√
√
√
√
√
√
5
数据安全
√
√
√
√
√
6
安全管理制度 √
√
√
7
安全管理机构 √
√
√
8
人员安全管理 √
√
√
9
系统建设管理 √
? 测评中心：
– 组织首次会议，明确项目实施计划，协调配合资源； – 现场测试和评估； – 整理现场测试记录。 – 组织末次会议，交流确认测评发现的主要安全问题及风险。
? 申请单位提供以下配合：
– 提供相对固定的工作场所 – 提供技术测试网络接入 – 提供相关人员配合（管理者、系统员、安全员、集成方） – 准备安全管理文档
10
2.2 网络安全
网络安全测评包括 网络结构、访问控制、安全审计、 边界完整性、入侵防范、网络设备防护等 的安全 测评 。
? 网络结构:
?系统与外部网络的隔离与交换：分析内部网络与外部 之间访问控制设备和逻辑隔离设备的配置情况
? 系统内部网络结构的安全：内部核心交换机和防火墙 的访问控制的配置。
? 此外，上海测评中心还获得了中国信息安全产品 测评认证中心对安全产品的测评认证授权、国家 密码管理局在华东地区商密产品质量检测的授权 资质。
6
（三） 测评依据
政策法规依据：
? 《国家信息化领导小组关于加强信息安全保障工
作的意见》（中办发 [2003]27
号文）
－－“要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱 环节、防护措施等进行分析评估，综合考虑网络与信息系统的重要性、涉密程度 和面临的信息安全风险等因素，进行相应等级的安全建设和管理。”
√
√
10 系统运维管理 √
√
√
21
4 、工作流程
系统测评协议
4.1 申请受理阶段
4.2 测评准备阶段 系统测评 方案、计划
4.3 测评实施阶段
4.4 报告审定阶段 末次会议，确 认测评结果
申请受理阶段 测评准备阶段 测评实施阶段
系统技术文档
系统现场调 研分析
首次会议，确 认方案、计划
报告审定阶段
系统安全 测评报告
?网络安全分析主要通过工具发现目前的网络架构， 通过实时监控发现可疑信息流，通过截包解码分析 测试验证系统对数据传输是否进行保密。工具可对 网络结构、数据保密性、信息流安全进行专业的测 试；
?包括Fluke Optiview、WildPacketanche 、Agilent2300D协议分析仪 ；
28
谢谢！
29
25
4.4 报告审定阶段
? 测评中心：
– 项目组形成系统安全测评报告； – 审核小组审核测评报告的内容及结论； – 测评报告提交给申请单位。
? 申请单位：
– 领取安全测评报告； – 履行测评协议，结清相关测评费用。
26
测评准备 测评实施
首次会议
测评周期
末次会议
报告审定
一周
2018/11/21
一般一周至三周（视系统而定）
9
2.1 物理安全
物理安全的测评主要包括机房环境安全、硬件设施物 理安全等方面的内容 。
? 机房环境安全： 具体内容见 GB9361－1988《计算站场地安全 要求》、 GB50174 － 1993《电子计算机机房设计规范》、 GB2887－2000《计算站场地技术条件》。
? 硬件设施物理安全：包括设备防盗、防毁、介质存放、防电 磁信息辐射泄漏（TEMPEST）、防止线路截获、电磁兼容能 力（EMC）、抗电磁干扰（EMI）及电源保护、零部件的选 购和使用等。设备的EMI能力应符合GB9254－1998《信息技 术设备的无线电干扰极限值和测量方法》等要求。
关于信息系统的安全测评
上海市信息安全测评认证中心
1
目录
1、测评简介 2、测评内容 3、测评方法 4、工作流程
2
1、测评简介
（一）定义
系统安全测评是由具备检验技术能力和 政府授权资格的权威机构，规范，按依 据国家标准、行业标准、地方标准或相 关技术照严格程序对信息系统的安全保 障能力进行的科学公正的综合测试评估 活动。
（二）授权资质
? 经中国合格评定国家认可委员会 (CNAS）的实 验室认可（ L0754）和检查机构认可（ IB0039）， 上海测评中心具备对信息系统进行安全测评的 资质 。
? 经上海市信息化委员会授权，上海测评中心对 本市政务、金融、媒体、证券等关系国计民生 的公共信息系统开展安全测评。
5
? 经国家保密局涉密信息系统安全保密测评中心 和上海市国家保密局授权，上海测评中心可对本 市各类涉密系统实施安全保密测评。
18
测评工具
?渗透性测试工具
?渗透性测试主要模拟黑客的攻击行为，直观 地展现系统存在的安全隐患。测评中心通过 自编代码以及商业工具可以完成远程溢出、 权限提升、拒绝服务攻击、 SQL注入攻击、 口令猜测、中间人攻击等多种测试。主要工 具包括CANVAS、Metasploit 、Achilles 及其 它测试工具集 ；
? 上海市人民政府 第58号令 《上海市公共信息系统 安全测评管理办法》[2006]
－－“上海市信息安全测评认证中心作为本市专门从事信息安全测评认证机构， 具体负责本市公共信息系统安全测评工作 。 ”
7
技术标准依据：
? GB/T 18336-2001 《信息技术 安全技术 信息
技术安全性评估准则》（ CC） ? ISO/IEC 17799-2000 《Information technology
14
2.6安全管理的评估
? 系统安全管理是系统安全保障的基础。 信息安全问题归根到底是一个管理问题， 而往往表现为信息技术使用和信息化建 设中相当具体的管理问题。
? 安全管理包括安全管理制度、安全管理 机构、人员安全管理、系统运维管理、 系统建设管理等内容。
15
3、测评方法
16
测评工具
?网络安全分析工具 ：
22
4.1 申请受理阶段
? 申请单位：
?提交有关信息系统的技术文档； ?了解安全测评活动的要求；
? 测评中心：
?分析系统技术文档，明确测评对象和范围； ?成立测评项目组； ?制定测评方案与测试计划； ?核算测评费用；
? 双方签订测评协议
23
4.2 测评准备阶段
? 测评中心：
– 成立项目实施小组； – 现场调研、访谈：
Server、DNS Server、Web Server 等 ）
等内容的安全配置和脆弱性进行测评。
12
2.4 应用安全
?应用平台的安全测评包括身份鉴别、访 问控制、安全审计、软件容错、资源控 制等。
?不同类别应用系统的安全功能要求不尽 相同，测评内容视系统实际情况确定。
13
2.5 数据安全
数据安全的测评指系统内信息生成、处 理、传输和存储等环节在保密性、完整 性、可用性等系统保护的实现。 测评包括数据完整性、数据保密性、数 据可用性、抗抵赖等
17
测评工具
?漏洞扫描工具 ：
?漏洞扫描主要通过工具发现目前的网络设备、操作 系统、数据库、应用系统存在的安全漏洞。
?操作系统扫描工具：极光Aurora、天镜漏洞扫描系 统、Nessus等 ；
?数据库扫描工具：AppDetective、安信通数据库扫 描工具等 ；
?应用漏洞扫描分析工具：Fortify Security tester、NStalker等 ；