序号

系统名称

安全保护等级

*

分局卡口系统

第*级

*

分局门户网站

第*级

序号

工作单元名称

工作单元描述

*

物理位置选择

通过访谈、检查机房等信息系统物理场所在位置上是否具有防雷、防风和防雨等多方面的安全防范能力。

*

物理访问控制

通过访谈、检查主机房出入口、机房分区域情况等过程，测评信息系统在物理访问控制方面的安全防范能力。

*

防盗窃和防破坏

通过访谈、检查机房的主要设备、介质和防盗报警系统等过程，测评信息系统是否采取必要的措施预防设备、介质等丢失和被破坏。

*

防雷击

通过访谈、检查机房的设计/验收文档，测评信息系统是否采取相应的措施预防雷击。

*

防火

通过访谈、检查机房的设计/验收文档，检查机房防火设备等过程，测评信息系统是否采取必要的措施防止火灾的发生。

*

防水和防潮

通过访谈、检查机房的除潮设备等过程，测评信息系统是否采取必要措施来防止水灾和机房潮湿。

*

防静电

通过访谈、检查机房是否采取必要措施防止静电的产生。

*

温湿度控制

通过访谈、检查机房温、湿度情况，是否采取必要措施对机房内的温湿度进行控制。

*

电力供应

通过访谈、检查机房供电线路、设备等过程，是否具备提供*定的电力供应的能力。

**

电磁防护

通过访谈、检查是否具备*定的电磁防护能力。

序号

工作单元名称

工作单元描述

*

网络架构

通过访谈、检查、测试网络拓扑情况、抽查核心交换机、接入交换机和接入路由器等网络互联设备，测试系统访问路径和网络宽带分配情况等过程，测评分析网络架构与网段划分、隔离等情况的合理性和有效性，以及通信线路、关键设备硬件冗余，系统可用性保证情况。

*

通信传输

通过访谈、检查、测试通信传输过程的数据完整性和保密性保护情况。

*

可信验证

通过访谈、检查通信设备的系统引导、系统程序、重要配置参数和通信应用程序等进行可信验证及应用程序的关键执行环节进行动态可信验证的保护情况。

序号

工作单元名称

工作单元描述

*

边界防护

通过访谈、检查、测试边界完整性检查设备，测评分析跨域边界的访问控制和数据流通过边界设备的控制措施，非法内联、外联、无线准入控制的监测、阻断等能力。

*

访问控制

通过访谈、检查、测试网络访问控制设备策略部署，测试系统对外暴露安全漏洞情况等过程，测评分析对进出网络的数据流量控制以及基于应用协议和应用内容的访问控制能力。

*

入侵防范

通过访谈、检查、测试网络边界处、关键网络节点检测、防止或限制从内部和外部发起网络攻击行为的防护能力，以及网络行为分析、监测、报警能力，特别是新型网络攻击行为的分析，对攻击行为的检测是否涉及攻击源、攻击类型、攻击目标、攻击事件、入侵报警等方面的防范能力。

*

恶意代码和防垃圾邮件

通过访谈、检查、测试关键网络节点处对恶意代码、垃圾邮件进行检测、防护和清除、恶意代码防护机制的升级和更新维护等情况。

*

安全审计

通过访谈、检查网络边界、重要网络节点安全审计情况等，测评分析信息系统审计配置和审计记录保护，审计内容等情况。

*

可信验证

通过访谈、检查边界设备的系统引导、系统程序、重要配置参数和边界防护应用程序等进行可信验证及应用程序的关键执行环节进行动态可信验证的保护情况。

序号

工作单元名称

工作单元描述

*

身份鉴别

通过访谈、检查、测试对登录的用户进行身份标识和鉴别，是否具有不易被冒用的特点，口令应有复杂度要求并定期更换，以及远程管理安全、双因素鉴别等内容。

*

访问控制

通过访谈、检查、测试是否启用访问控制功能，依据安全策略控制用户对资源的访问；是否根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限等内容。

*

安全审计

通过访谈、检查安全审计范围及内容。

*

入侵防范

通过访谈、检查、测试是否能够检测到对重要节点进行入侵的行为，能够记录入侵的源**、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警，是否遵循最小化安全装原则、系统服务、默认共享和高危端口、终端接入限制、数据有效性检验、已知漏洞防护等内容。

*

恶意代码防范

通过访谈、检查、测试是否具有防恶意代码攻击的技术措施或主动免疫可信验证机制，能否及时识别入侵和病毒行为并将其有效阻断等内容。

*

可信验证

通过访谈、通过访谈安全员，检查计算设备的系统引导、系统程序、重要配置参数和应用程序等进行可信验证及应用程序的关键执行环节进行动态可信验证的保护情况。

*

数据完整性

通过访谈、检查、测试重要数据在传输和存储过程中的完整性保护情况，包括鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

*

数据保密性

通过访谈、检查、测试重要数据在传输和存储过程中的保密性保护情况，包括鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。

*

数据备份恢复

通过访谈、检查、测试重要数据本地备份与恢复功能，异地实时备份功能，以及重要数据处理系统的热冗余和高可用性保证等。

**

剩余信息保护

通过访谈、检查、测试边界信息在存储空间被释放或重新分配前是否有效清除，存有敏感数据的存储空间被释放或重新分配前是否有效清除等。

**

个人信息保护

通过访谈、检查、测试是否仅采集和保存业务必须的用户个人信息，对用户个人信息的访问和使用等。

序号

工作单元名称

工作单元描述

*

系统管理

通过访谈、检查、测试对系统管理员身份鉴别、命令或操作管理、操作审计，以及是否通过系统管理对系统资源和运行进行配置、控制和管理等。

*

审计管理

通过访谈、检查、测试对审计管理员身份鉴别、命令或操作管理、操作审计，以及是否通过审计管理员对审计策略、审计记录进行分析、处理等。

*

安全管理

通过访谈、检查、测试对安全管理员身份鉴别、命令或操作管理、操作审计，以及是否通过安全管理员对安全策略、参数进行配置等。

*

集中管控

通过访谈、检查、测试是否具有特定的管理区域，对分布在网络中的安全设备或安全组件进行集中管控，对网络链路、安全设备、网络设备和服务的运行进行集中监测，对分散在各设备上的审计数据进行收集汇总和集中分析，并确保记录留存符合法律法规要求，对安全策略、恶意代码、升级补丁等安全相关事项进行集中管理，对网络中发生的各类安全事件进行识别、报警和分析等。

序号

工作单元名称

工作单元描述

*

安全策略

通过访谈、检查网络安全工作的总体方针及安全策略是否全面、完善。

*

管理制度

通过访谈、检查管理制度的制定和发布过程是否遵循*定的流程。

*

制度和发布

通过访谈、检查管理制度定期评审和修订情况。

*

评审和修订

通过访谈、检查管理制度在内容覆盖上是否全面、完善。

序号

工作单元名称

工作单元描述

*

岗位设置

通过访谈、检查安全主管部门设置情况以及各岗位设置和岗位职责情况。

*

人员配备

通过访谈、检查各个岗位人员配备情况。

*

授权和审批

通过访谈、检查对关键活动的授权和审批情况。

*

沟通和合作

通过访谈、检查内部部门间、与外部单位间的沟通与合作情况。

*

审核和检查

通过访谈、检查安全工作的审核和检查情况。

序号

工作单元名称

工作单元描述

*

人员录用

通过访谈、检查录用人员时是否对人员提出要求以及是否对其进行各种审查和考核。

*

人员离岗

通过访谈、检查人员离岗时是否按照*定的手续办理。

*

安全意识教育和培训

通过访谈、检查是否对人员进行安全方面的教育和培训。

*

外部人员访问管理

通过访谈、检查对第*方人员访问（物理、逻辑）系统是否采取必要控制措施。

序号

工作单元名称

工作单元描述

*

定级和备案

通过访谈、检查是否按照*定要求确定系统的安全等级。

*

安全方案设计

通过访谈、检查整体的安全规划设计是否按照*定流程进行。

*

产品采购和使用

通过访谈、检查是否按照*定的要求进行系统的产品采购。

*

自行软件开发

通过访谈、检查自行开发的软件是否采取必要的措施保证开发过程的安全性。

*

外包软件开发

通过访谈、检查外包开发的软件是否采取必要的措施保证开发过程的安全性和日后的维护工作能够正常开展。

*

工程实施

通过访谈、检查建设的实施过程是否采取必要的措施使其在机构可控的范围内进行。

*

测试验收

通过访谈、检查系统运行前是否对其进行测试验收工作。

*

系统交付

通过访谈、检查是否采取必要的措施对系统交付过程进行有效控制。

*

等级测评

通过访谈、检查等级测评、整改情况。

**

服务商选择

通过访谈、检查是否选择符合国家有关规定的安全服务单位进行相关的安全服务工作。

序号

工作单元名称

工作单元描述

*

环境管理

通过访谈、检查是否采取必要的措施对机房的出入控制以及办公环境的人员行为等方面进行安全管理。

*

资产管理

通过访谈、检查是否采取必要的措施对系统的资产进行分类标识管理。

*

介质管理

通过访谈、检查是否采取必要的措施对介质存放环境、使用、维护和销毁等方面进行管理。

*

设备维护管理

通过访谈、检查是否采取必要的措施确保设备在使用、维护和销毁等过程安全。

*

漏洞和风险管理

通过访谈、检查安全漏洞和隐患识别、处理情况，以及是否定期开展安全测评以及安全问题的应对措施。

*

网络和系统安全管理

通过访谈、检查是否采取必要的措施对系统的安全配置、系统账户、漏洞扫描和审计日志等方面进行有效的管理。是否采取必要的措施对网络的安全配置、网络用户权限和审计日志等方面进行有效的管理，确保网络安全运行。

*

恶意代码防范管理

通过访谈、检查是否采取必要的措施对恶意代码进行有效管理，确保系统具有恶意代码防范能力。

*

配置管理

通过访谈、检查基本配置信息管理情况

*

密码管理

通过访谈、检查是否能够确保信息系统中密码算法和密钥的使用符合国家密码管理规定。

**

变更管理

通过访谈、检查是否采取必要的措施对系统发生的变更进行有效管理。

**

备份与恢复管理

通过访谈、检查是否采取必要的措施对重要业务信息，系统数据和系统软件进行备份，并确保必要时能够对这些数据有效地恢复。

**

安全事件处置

通过访谈、检查是否采取必要的措施对安全事件进行等级划分和对安全事件的报告、处理过程进行有效的管理。

**

应急预案管理

通过访谈、检查是否针对不同安全事件制定相应的应急预案，是否对应急预案展开培训、演练和审查等。

**

外包运维管理

通过访谈、检查外包运维服务商选择是否符合国家要求，外包运维保密、服务内容管理等。

注入

失效的身份认证

敏感信息泄露

***外部实体（***）

失效的访问控制

安全配置错误

跨站脚本（***）

不安全的反序列化

使用含有已知漏洞的组件

不足的日志记录和监控