-
1 信息系统安全测评...
-
2 系统整体测评&...
1.信息系统安全测评发展历程
2.信息系统安全测评方法
测评技术报告：
测评工作完成后应当出具包括访谈、检查和测试在内的整体测评技术报告。
3.安全控制测评
3.1安全技术测评
①物理安全测评 ：物理安全又分为设备安全和环境安全。
设备安全技术主要是指保障构成信息网络的各种设备、网络线路、供电连接、各种媒体数据本身及其存储介质等安全的技术，主要包括设备的防盗、防电磁泄露、防电磁干扰等，是对可用性的要求。
环境安全技术主要指保障信息网络所处环境安全的技术，主要技术规范是对场地和机房的约束，强调对于地震、水灾、火灾等自然灾害的预防措施，包括场地安全、防火、防水、防静电、防雷击、电磁防护、线路安全等。
②网络安全测评
③主机系统安全测评
④应用安全测评
应用系统的安全形势比较严峻：
一是开发商和用户对应用安全重视程度普遍不够
二是应用系统存在的漏洞数量庞大。美国 NIST 的研究表明，超过 90%的安全漏洞来自应用系统，远远超出网络、操作系统和浏览器的漏洞数量。与此同时，针对应用系统的攻击手段越来越多，应用系统面临的威胁与日俱增。
应用安全测评具有以下特点：
Ⅰ安全功能和配置检查并重。一般来说，应用系统不同于数据库、操作系统等成熟产品，因此在测评时，除了需要检查安全配置外，还需要对相关安全功能的正确性进行验证。
Ⅱ不确定因素较多。应用系统测评包括应用平台（如 IIS 等）的测评，且与网络、主机乃至数据等其他层面关联较大，各应用系统的业务和数据流程各不相同，需要根据具体的业务和数据特点来确定范围，而且应用系统的很多安全隐患存在于代码级，此类安全漏洞很难发现。
应用安全测评的内容分为 9 个控制点，具体为：身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、恶意代码防范、抗抵赖、软件容错、资源控制。
⑤数据安全测评
3.2 安全技术测评
在信息安全领域，人们常说“三分技术，七分管理”。
安全管理制度测评主要包括管理制度、制定和发布、评审和修订等。
安全管理机构测评主要包括岗位设置、人员配备、授权和审批、沟通和合作等、
人员安全管理测评主要包括人员录用、人员离岗、人员考核、安全意识教育和培训、外部人员访问管理等。
系统建设管理测评主要包括系统定级、安全方案设计、产品采购、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统备案、安全服务商选择等。
系统运维管理测评主要包括环境管理、资产管理、介质管理、设备管理、监控管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份和恢复管理、安全事件处置、应急预案管理等。
