设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14002] 2019-04-18_等保到底是个啥：系统建设管理部分 ...
返回列表 发新帖
查看: 1|回复: 0

[14002] 2019-04-18_等保到底是个啥：系统建设管理部分

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-04-18_等保到底是个啥：系统建设管理部分 等 保 到 底 是 个 啥 ： 系 统 建 设 管 理 部 分 l y w h i z   F r e e B u f   2 0 1 9 - 0 4 - 1 8 序 序 本 篇 为 管 理 要 求 中 系 统 建 设 管 理 的 部 分 ， 文 中 内 容 都 是 个 人 观 点 ， 如 有 不 对 的 地 方 欢 迎 纠 正 。 文 章 以 等 保 三 级 本 篇 为 管 理 要 求 中 系 统 建 设 管 理 的 部 分 ， 文 中 内 容 都 是 个 人 观 点 ， 如 有 不 对 的 地 方 欢 迎 纠 正 。 文 章 以 等 保 三 级 系 统 为 基 础 ， 从 合 规 角 度 解 读 要 求 。 本 部 分 为 人 员 安 全 和 安 全 管 理 机 构 部 分 。 系 统 为 基 础 ， 从 合 规 角 度 解 读 要 求 。 本 部 分 为 人 员 安 全 和 安 全 管 理 机 构 部 分 。 往 期 内 容 可 点 击 阅 读 原 文 回 顾 。 往 期 内 容 可 点 击 阅 读 原 文 回 顾 。 正 文 正 文 不 多 说 了 ， 直 接 进 入 正 题 。 最 后 两 个 部 分 ， 内 容 比 较 多 ， 分 别 进 行 解 读 。 |   7 . 2 . 4   系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 1 系 统 定 级 （ 系 统 定 级 （ G 3 ） ） a )   应 明 确 信 息 系 统 的 边 界 和 安 全 保 护 等 级 ； 应 明 确 信 息 系 统 的 边 界 和 安 全 保 护 等 级 ； b )   应 以 书 面 的 形 式 说 明 确 定 信 息 系 统 为 某 个 安 全 保 护 等 级 的 方 法 和 理 由 ； 应 以 书 面 的 形 式 说 明 确 定 信 息 系 统 为 某 个 安 全 保 护 等 级 的 方 法 和 理 由 ； c )   应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 信 息 系 统 定 级 结 果 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 ； 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 信 息 系 统 定 级 结 果 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 ； d )   应 确 保 信 息 系 统 的 定 级 结 果 经 过 相 关 部 门 的 批 准 。 应 确 保 信 息 系 统 的 定 级 结 果 经 过 相 关 部 门 的 批 准 。   | 系 统 定 级 在 以 前 并 非 强 制 ， 一 般 都 是 政 府 部 门 、 事 业 单 位 会 被 要 求 必 须 定 级 。 但 是 2 0 1 7 年 6 月 《 网 安 法 》 出 台 后 ， 要 求 所 有 系 统 原 则 上 都 必 须 定 级 备 案 ， 这 样 一 来 ， 政 府 、 国 企 、 事 业 、 大 中 型 私 企 都 要 定 级 ， 只 有 部 分 很 小 的 系 统 ， 对 社 会 影 响 可 以 忽 略 不 计 的 那 种 可 以 不 去 做 ， 不 过 如 果 后 期 业 务 发 展 ， 要 与 大 公 司 或 政 府 合 作 ， 那 还 是 要 备 案 ， 所 以 基 本 就 是 说 只 要 你 有 运 行 的 系 统 就 要 定 级 备 案 。 对 于 如 何 定 级 可 以 参 考 G B / T - 2 2 2 4 0 - 2 0 0 8 ， 里 边 写 的 比 较 详 细 ， 在 后 边 备 案 和 测 评 章 节 会 简 单 解 释 一 下 ， 因 为 内 容 比 较 多 ， 五 个 级 别 ， 各 级 别 的 定 义 ， 三 个 客 体 ， 影 响 程 度 ， 定 级 矩 阵 ， 标 准 里 都 有 提 到 。
a )   说 得 是 边 界 的 界 定 ， 定 级 以 系 统 为 单 位 ， 要 明 确 边 界 ， 不 能 无 限 延 伸 ， 一 般 来 说 按 照 老 的 标 准 ， 从 边 界 防 火 墙 到 核 心 ， 再 到 系 统 所 在 的 服 务 器 区 间 ， 以 及 下 边 可 以 访 问 该 系 统 的 P C 或 移 动 端 ， 这 一 整 套 网 络 都 属 于 该 系 统 ， 那 么 边 界 就 是 从 防 火 墙 到 用 户 终 端 这 么 一 个 圈 ； b )   一 般 定 级 都 会 先 提 交 系 统 相 关 的 详 细 资 料 ， 之 后 会 填 下 定 级 报 告 ； 国 家 提 倡 自 主 定 级 ， 就 是 企 业 自 己 组 织 专 家 组 或 聘 请 第 三 方 专 家 来 为 系 统 定 级 ， 主 要 依 据 还 是 系 统 对 社 会 影 响 的 程 度 ， 系 统 的 量 级 （ 参 考 G B / T - 2 2 2 4 0 ） ， 一 般 来 说 大 多 系 统 会 定 为 二 级 ， 一 部 分 为 三 级 ， 四 级 系 统 一 般 会 有 国 家 级 机 构 来 定 ， 五 级 系 统 就 不 是 我 们 操 心 的 了 。 各 省 级 测 评 机 构 最 多 有 权 测 评 三 级 系 统 。 c )   这 块 其 实 感 觉 有 些 多 余 ， 一 般 来 说 自 定 级 和 专 家 评 审 之 后 ， 会 把 定 级 结 果 送 交 到 公 安 ， 如 果 合 理 会 走 后 续 流 程 ， 如 果 不 合 适 会 通 知 重 新 定 级 ； 所 以 这 个 正 确 性 与 否 其 实 让 公 安 来 把 控 就 好 了 ， 不 过 一 般 来 说 大 多 不 会 定 错 级 ， 除 非 有 些 企 业 为 了 投 机 故 意 低 报 级 别 。 d )   去 公 安 申 报 ， 先 申 请 备 案 ， 按 正 常 流 程 走 就 可 以 ， 这 是 外 部 流 程 。 企 业 内 部 要 对 系 统 定 级 ， 要 先 向 上 级 申 请 ， 提 出 某 系 统 要 进 行 定 级 备 案 ， 经 高 层 审 批 通 过 后 ， 开 始 执 行 外 部 流 程 。 注 意 不 要 只 考 虑 外 部 流 程 ， 忘 了 内 部 审 批 流 程 。 |   7 . 2 . 4   系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 2 安 全 方 案 设 计 （ 安 全 方 案 设 计 （ G 3 ） ） a ) 应 根 据 系 统 的 安 全 保 护 等 级 选 择 基 本 安 全 措 施 ， 并 依 据 风 险 分 析 的 结 果 补 充 和 调 整 安 全 措 施 ； 应 根 据 系 统 的 安 全 保 护 等 级 选 择 基 本 安 全 措 施 ， 并 依 据 风 险 分 析 的 结 果 补 充 和 调 整 安 全 措 施 ； b ) 应 指 定 和 授 权 专 门 的 部 门 对 信 息 系 统 的 安 全 建 设 进 行 总 体 规 划 ， 制 定 近 期 和 远 期 的 安 全 建 设 工 作 计 划 ； 应 指 定 和 授 权 专 门 的 部 门 对 信 息 系 统 的 安 全 建 设 进 行 总 体 规 划 ， 制 定 近 期 和 远 期 的 安 全 建 设 工 作 计 划 ； c ) 应 根 据 信 息 系 统 的 等 级 划 分 情 况 ， 统 一 考 虑 安 全 保 障 体 系 的 总 体 安 全 策 略 、 安 全 技 术 框 架 、 安 全 管 理 策 略 、 应 根 据 信 息 系 统 的 等 级 划 分 情 况 ， 统 一 考 虑 安 全 保 障 体 系 的 总 体 安 全 策 略 、 安 全 技 术 框 架 、 安 全 管 理 策 略 、 总 体 建 设 规 划 和 详 细 设 计 方 案 ， 并 形 成 配 套 文 件 ； 总 体 建 设 规 划 和 详 细 设 计 方 案 ， 并 形 成 配 套 文 件 ； d ) 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 总 体 安 全 策 略 、 安 全 技 术 框 架 、 安 全 管 理 策 略 、 总 体 建 设 规 划 、 详 细 应 组 织 相 关 部 门 和 有 关 安 全 技 术 专 家 对 总 体 安 全 策 略 、 安 全 技 术 框 架 、 安 全 管 理 策 略 、 总 体 建 设 规 划 、 详 细 设 计 方 案 等 相 关 配 套 文 件 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 ， 并 且 经 过 批 准 后 ， 才 能 正 式 实 施 ； 设 计 方 案 等 相 关 配 套 文 件 的 合 理 性 和 正 确 性 进 行 论 证 和 审 定 ， 并 且 经 过 批 准 后 ， 才 能 正 式 实 施 ； e ) 应 根 据 等 级 测 评 、 安 全 评 估 的 结 果 定 期 调 整 和 修 订 总 体 安 全 策 略 、 安 全 技 术 框 架 、 安 全 管 理 策 略 、 总 体 建 设 应 根 据 等 级 测 评 、 安 全 评 估 的 结 果 定 期 调 整 和 修 订 总 体 安 全 策 略 、 安 全 技 术 框 架 、 安 全 管 理 策 略 、 总 体 建 设 规 划 、 详 细 设 计 方 案 规 划 、 详 细 设 计 方 案   等 相 关 配 套 文 件 。 等 相 关 配 套 文 件 。   | a )   本 项 在 1 . 0 本 中 解 释 起 来 有 点 麻 烦 ， 不 过 按 照 最 近 的 “ 三 同 步 ” 解 释 ， 大 家 都 明 白 了 ， 在 系 统 设 计 初 期 就 要 考 虑 安 全 性 的 问 题 ， 如 果 还 不 太 了 解 ， 可 以 参 考 S D L 中 安 全 设 计 阶 段 ， 一 个 是 对 软 件 ， 一 个 是 对 系 统 ， 目 的 相 同 。 b )   类 似 于 要 启 动 项 目 就 要 建 立 一 个 项 目 组 团 队 ， 系 统 定 级 备 案 也 是 一 样 ， 不 是 一 个 人 就 能 搞 定 的 事 （ 包 括 系 统 设 计 和 建 设 ） ， 然 后 要 有 项 目 计 划 ， 这 点 不 难 理 解 。 c )   这 里 说 的 是 提 前 规 划 的 情 况 ， 目 前 大 多 数 还 是 先 有 系 统 后 做 定 级 ， 这 种 三 同 步 的 规 划 没 多 少 企 业 会 真 正 落 实 ， 规 划 周 期 长 ， 设 计 复 杂 ， 而 且 当 年 没 有 强 制 性 要 求 ， 没 人 关 心 定 级 的 事 ； 本 项 要 看 的 就 是 系 统 当 初 设 计 时 的 设 计 文 档 ， 各 阶 段 的 记 录 和 报 告 ， 类 似 于 S D L C 。 d )   本 项 是 c 的 后 续 流 程 ， 按 照 正 常 流 程 ， 设 计 方 案 要 内 部 评 审 ， 通 过 后 才 可 正 式 实 施 ， 不 过 做 到 这 么 细 的 国 内 公 司 还 是 少 数 ， 而 且 中 间 的 记 录 文 档 也 不 全 ， 检 查 的 时 候 很 多 东 西 都 是 临 时 伪 造 ， 补 充 出 来 的 ， 其 实 这 部 分 主 要 强 调 的 还 是 流 程 管 理 的 东 西 ， 检 查 时 能 拿 出 系 统 设 计 方 案 内 部 评 审 报 告 和 记 录 就 O K . e )   按 照 要 求 二 级 系 统 2 年 一 次 复 测 ， 三 级 系 统 1 年 一 次 复 测 ， 这 期 间 系 统 多 少 会 有 功 能 上 的 变 更 （ 如 果 有 大 变 化 就 要 重 新 定 级 ） ， 这 样 一 来 ， 系 统 相 关 的 文 档 肯 定 会 有 变 化 ， 本 项 检 查 的 就 是 不 同 版 本 变 化 中 的 过 程 文 档 和 记 录 。 |   7 . 2 . 4   系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 3 产 品 采 购 和 使 用 （ 产 品 采 购 和 使 用 （ G 3 ） ） a ) 应 确 保 安 全 产 品 采 购 和 使 用 符 合 国 家 的 有 关 规 定 ； 应 确 保 安 全 产 品 采 购 和 使 用 符 合 国 家 的 有 关 规 定 ； b ) 应 确 保 密 码 产 品 采 购 和 使 用 符 合 国 家 密 码 主 管 部 门 的 要 求 ； 应 确 保 密 码 产 品 采 购 和 使 用 符 合 国 家 密 码 主 管 部 门 的 要 求 ； c ) 应 指 定 或 授 权 专 门 的 部 门 负 责 产 品 的 采 购 ； 应 指 定 或 授 权 专 门 的 部 门 负 责 产 品 的 采 购 ； d ) 应 预 先 对 产 品 进 行 选 型 测 试 ， 确 定 产 品 的 候 选 范 围 ， 并 定 期 审 定 和 更 新 候 选 产 品 名 单 。 应 预 先 对 产 品 进 行 选 型 测 试 ， 确 定 产 品 的 候 选 范 围 ， 并 定 期 审 定 和 更 新 候 选 产 品 名 单 。   |
本 节 内 容 没 什 么 可 细 讲 的 ， 都 是 按 照 相 关 标 准 采 购 设 备 和 产 品 ， 采 购 部 门 基 本 会 按 照 这 些 要 求 来 选 择 供 应 商 。 这 里 额 外 会 要 求 一 点 ： 政 府 、 国 企 、 央 企 和 国 资 背 景 企 业 的 关 键 系 统 不 能 使 用 国 外 网 络 产 品 （ C i s o 、 J u n i p e r 这 类 ） ， 私 营 企 业 没 有 这 方 面 的 要 求 。 如 果 有 可 能 ， 尽 量 采 购 国 产 产 品 和 软 件 。 |   7 . 2 . 4   系 统 建 设 管 理 系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 4 自 行 软 件 开 发 （ 自 行 软 件 开 发 （ G 3 ） ） a )   应 确 保 开 发 环 境 与 实 际 运 行 环 境 物 理 分 开 ， 开 发 人 员 和 测 试 人 员 分 离 ， 测 试 数 据 和 测 试 结 果 受 到 控 应 确 保 开 发 环 境 与 实 际 运 行 环 境 物 理 分 开 ， 开 发 人 员 和 测 试 人 员 分 离 ， 测 试 数 据 和 测 试 结 果 受 到 控 制 ； 制 ； * b )   * * 应 制 定 软 件 开 发 管 理 制 度 ， 明 确 说 明 开 发 过 程 的 控 制 方 法 和 人 员 行 为 准 则 ； 应 制 定 软 件 开 发 管 理 制 度 ， 明 确 说 明 开 发 过 程 的 控 制 方 法 和 人 员 行 为 准 则 ； c )   应 制 定 代 码 编 写 安 全 规 范 ， 要 求 开 发 人 员 参 照 规 范 编 写 代 码 ； 应 制 定 代 码 编 写 安 全 规 范 ， 要 求 开 发 人 员 参 照 规 范 编 写 代 码 ； d )   应 确 保 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南 ， 并 由 专 人 负 责 保 管 ； 应 确 保 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南 ， 并 由 专 人 负 责 保 管 ； e )   应 确 保 对 程 序 资 源 库 的 修 改 、 更 新 、 发 布 进 行 授 权 和 批 准 。 应 确 保 对 程 序 资 源 库 的 修 改 、 更 新 、 发 布 进 行 授 权 和 批 准 。   | 有 自 己 开 发 团 队 的 情 况 下 ： a )   一 般 来 说 ， 测 试 环 境 基 本 都 是 封 闭 的 ， 和 外 网 、 生 产 网 、 办 公 网 这 些 都 没 有 通 信 ， 这 单 还 比 较 容 易 做 到 ； 开 发 人 员 和 测 试 人 员 分 离 ， 一 般 可 能 做 不 到 ， 毕 竟 经 常 要 在 一 起 讨 论 ， 所 以 实 际 检 查 中 ， 更 多 的 是 关 注 测 试 环 境 的 隔 离 情 况 。 b )   检 查 中 会 查 看 开 发 人 员 的 行 为 规 范 和 操 作 规 范 ， 开 发 部 门 管 理 制 度 等 一 系 列 文 档 ； c )   编 码 规 范 估 计 每 家 公 司 都 会 有 ， 但 不 是 有 就 可 以 ， 要 看 你 有 没 有 去 按 照 规 范 去 做 ， 一 般 就 是 日 常 的 编 码 规 范 和 编 码 安 全 培 训 ， 以 及 在 行 为 准 则 中 如 何 规 定 的 。 d )   本 点 要 求 是 系 统 要 有 开 发 各 阶 段 的 文 档 ， 以 及 系 统 的 使 用 手 册 / 指 南 ， 往 往 都 是 各 阶 段 文 档 齐 备 ， 但 是 缺 少 使 用 指 南 （ 文 档 和 指 南 都 是 便 于 交 接 工 作 ， 由 于 人 员 变 动 ， 时 间 久 了 很 多 东 西 根 本 不 从 查 起 ， 如 果 没 做 好 文 档 和 流 程 管 理 ， 就 会 造 成 新 人 接 手 系 统 一 问 三 不 知 的 情 况 ） 。 由 专 人 负 责 保 管 这 项 不 是 重 点 ， 因 为 临 时 安 排 一 个 人 来 应 付 检 查 ， 也 没 法 查 出 来 。 e )   还 是 流 程 的 事 ， 版 本 变 更 ， 功 能 上 线 ， 系 统 发 布 都 要 有 过 程 记 录 。 |   7 . 2 . 4   系 统 建 设 管 理 系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 5 外 包 软 件 开 发 （ 外 包 软 件 开 发 （ G 3 ） ） a ) 应 根 据 开 发 需 求 检 测 软 件 质 量 ； 应 根 据 开 发 需 求 检 测 软 件 质 量 ； b ) 应 在 软 件 安 装 之 前 检 测 软 件 包 中 可 能 存 在 的 恶 意 代 码 ； 应 在 软 件 安 装 之 前 检 测 软 件 包 中 可 能 存 在 的 恶 意 代 码 ； c ) 应 要 求 开 发 单 位 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南 ； 应 要 求 开 发 单 位 提 供 软 件 设 计 的 相 关 文 档 和 使 用 指 南 ； d ) 应 要 求 开 发 单 位 提 供 软 件 源 代 码 ， 并 审 查 软 件 中 可 能 存 在 的 后 门 。 应 要 求 开 发 单 位 提 供 软 件 源 代 码 ， 并 审 查 软 件 中 可 能 存 在 的 后 门 。   | 外 包 第 三 方 开 发 团 队 的 情 况 ： a )   系 统 的 功 能 测 试 ， 压 力 测 试 等 ， 要 保 留 测 试 报 告 以 备 检 查 ； b )   系 统 安 全 测 试 ， 白 盒 、 黑 盒 、 交 互 式 等 的 测 试 ， 要 有 系 统 上 线 前 的 安 全 测 试 报 告 ， 并 且 对 发 现 的 漏 洞 已 进 行 整 改 （ 一 般 是 针 对 中 高 危 级 别 的 漏 洞 ） ； c )   很 多 企 业 外 包 开 发 ， 系 统 功 能 O K 就 可 以 了 ， 需 求 文 档 、 设 计 文 档 、 设 计 方 案 、 测 试 文 档 全 都 没 有 ， 检 查 的 时 候 ， 外 包 商 又 说 之 前 的 员 工 离 职 了 ， 现 在 这 个 系 统 的 具 体 信 息 我 们 也 不 太 清 楚 ， 这 种 局 面 就 很 闹 心 了 ； 所 以 说 ， 对 外 包 商 要 求 严 一 点 ， 以 后 给 自 己 找 的 麻 烦 就 会 少 一 点 。 d )   和 b 有 点 重 复 ， 类 似 于 代 码 审 计 工 作 ， 一 般 中 小 企 业 不 太 会 花 钱 去 做 这 块 ， 大 多 找 个 开 源 工 具 扫 一 下 ， 挑 几 个 高 危 的 修 修 了 事 。 大 型 企 业 这 块 做 的 比 较 好 （ 接 触 过 的 几 家 ） ， 各 种 安 全 测 试 、 代 码 审 计 、 渗 透 测 试 ， 能 做 的 都 会 做 ， 虽 然 不 强 制 要 求 中 小 企 业 也 这 么 去 搞 ， 但 是 希 望 在 能 力 范 围 能 尽 力 去 做 好 安 全 工 作 ， 不 要 为 了 应 付 检 查 做 一 下 表 面 工 作 。
|   7 . 2 . 4   系 统 建 设 管 理 系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 6 工 程 实 施 （ 工 程 实 施 （ G 3 ） ） a ) 应 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 工 程 实 施 过 程 的 管 理 ； 应 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 工 程 实 施 过 程 的 管 理 ； b ) 应 制 定 详 细 的 工 程 实 施 方 案 控 制 实 施 过 程 ， 应 制 定 详 细 的 工 程 实 施 方 案 控 制 实 施 过 程 ，   并 要 求 工 程 实 施 单 位 能 正 式 地 执 行 安 全 工 程 过 程 ； 并 要 求 工 程 实 施 单 位 能 正 式 地 执 行 安 全 工 程 过 程 ； c )   应 制 定 工 程 实 施 方 面 的 管 理 制 度 ， 明 确 说 明 实 施 过 程 的 控 制 方 法 和 人 员 行 为 准 则 。 应 制 定 工 程 实 施 方 面 的 管 理 制 度 ， 明 确 说 明 实 施 过 程 的 控 制 方 法 和 人 员 行 为 准 则 。   | 无 论 自 研 还 是 外 包 ， 肯 定 都 会 指 定 一 个 项 目 经 理 ， 一 般 来 说 会 是 甲 方 的 人 ， 也 可 能 叫 负 责 人 ， 乙 方 的 叫 项 目 经 理 ， 主 要 就 是 负 责 把 控 项 目 进 度 和 质 量 。 实 施 部 分 要 有 详 细 的 实 施 方 案 ， 进 度 计 划 表 ， 启 动 会 记 录 ， 里 程 碑 记 录 ， 变 更 记 录 ， 延 期 记 录 （ 如 果 有 的 情 况 ） 。 甲 方 对 于 项 目 实 施 会 有 一 些 管 理 制 度 ， 保 密 协 议 之 类 的 ， 检 查 的 时 候 不 会 非 常 细 ， 但 是 会 看 各 阶 段 的 文 档 记 录 ， 以 证 明 项 目 是 按 照 计 划 和 流 程 稳 步 推 进 的 。 |   7 . 2 . 4   系 统 建 设 管 理 系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 7 测 试 验 收 （ 测 试 验 收 （ G 3 ） ） a ) 应 委 托 公 正 的 第 三 方 测 试 单 位 对 系 统 进 行 安 全 性 测 试 ， 并 出 具 安 全 性 测 试 报 告 ； 应 委 托 公 正 的 第 三 方 测 试 单 位 对 系 统 进 行 安 全 性 测 试 ， 并 出 具 安 全 性 测 试 报 告 ； b ) 在 测 试 验 收 前 应 根 据 设 计 方 案 或 合 同 要 求 等 制 订 测 试 验 收 方 案 ， 在 测 试 验 收 过 程 中 应 详 细 记 录 测 试 验 收 结 在 测 试 验 收 前 应 根 据 设 计 方 案 或 合 同 要 求 等 制 订 测 试 验 收 方 案 ， 在 测 试 验 收 过 程 中 应 详 细 记 录 测 试 验 收 结 果 ， 并 形 成 测 试 验 收 报 告 ； 果 ， 并 形 成 测 试 验 收 报 告 ； c ) 应 对 系 统 测 试 验 收 的 控 制 方 法 和 人 员 行 为 准 则 进 行 书 面 规 定 ； 应 对 系 统 测 试 验 收 的 控 制 方 法 和 人 员 行 为 准 则 进 行 书 面 规 定 ； d ) 应 指 定 或 授 权 专 门 的 部 门 负 责 系 统 测 试 验 收 的 管 理 ， 并 按 照 管 理 规 定 的 要 求 完 成 系 统 测 试 验 收 工 作 ； 应 指 定 或 授 权 专 门 的 部 门 负 责 系 统 测 试 验 收 的 管 理 ， 并 按 照 管 理 规 定 的 要 求 完 成 系 统 测 试 验 收 工 作 ； e ) 应 组 织 相 关 部 门 和 相 关 人 员 对 系 统 测 试 验 收 报 告 进 行 审 定 ， 并 签 字 确 认 。 应 组 织 相 关 部 门 和 相 关 人 员 对 系 统 测 试 验 收 报 告 进 行 审 定 ， 并 签 字 确 认 。   | a )   一 般 开 发 团 队 不 会 负 责 安 全 问 题 ， 所 以 会 由 安 全 团 队 来 做 测 试 ， 大 多 是 以 第 三 方 就 是 乙 方 来 做 安 全 测 试 （ 代 码 审 计 、 黑 盒 、 渗 透 、 基 线 等 等 ） ； 如 果 有 自 己 的 安 全 团 队 也 可 以 内 部 来 搞 ， 但 是 不 能 水 ， 要 认 真 测 试 。 检 查 时 会 看 测 试 报 告 ， 包 括 代 码 审 计 报 告 、 渗 透 测 试 报 告 、 漏 扫 报 告 等 。 b )   这 点 要 求 的 就 是 两 个 文 档 ， 一 个 是 验 收 方 案 （ 甲 方 会 明 确 怎 样 才 算 合 格 ） ； 另 一 个 就 是 验 收 报 告 ， 里 边 约 定 验 收 结 果 ， 并 由 甲 乙 方 盖 章 签 字 。 c )   说 实 话 这 条 我 也 没 详 细 查 过 ， 一 般 都 是 略 过 去 ， 所 以 无 法 解 释 ， 有 了 解 的 可 以 留 言 补 充 一 下 ； d )   这 点 很 好 理 解 ， 制 定 专 人 或 部 门 来 管 理 验 收 工 作 ， 临 时 指 定 等 项 目 结 束 再 解 聘 也 是 可 以 的 ， 不 过 要 有 文 档 能 证 明 此 项 工 作 ； e )   一 般 都 会 在 项 目 验 收 （ 报 告 会 ） 同 时 进 行 ， 高 层 领 导 、 技 术 专 家 也 会 出 席 ， 同 意 后 才 会 盖 章 签 字 ， 可 以 在 项 目 验 收 会 的 签 到 表 中 体 现 。 |   7 . 2 . 4   系 统 建 设 管 理 系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 8 系 统 交 付 （ 系 统 交 付 （ G 3 ） ） a ) 应 制 定 详 细 的 系 统 交 付 清 单 ， 并 根 据 交 付 清 单 对 所 交 接 的 设 备 、 软 件 和 文 档 等 进 行 清 点 ； 应 制 定 详 细 的 系 统 交 付 清 单 ， 并 根 据 交 付 清 单 对 所 交 接 的 设 备 、 软 件 和 文 档 等 进 行 清 点 ； b ) 应 对 负 责 系 统 运 行 维 护 的 技 术 人 员 进 行 相 应 的 技 能 培 训 ； 应 对 负 责 系 统 运 行 维 护 的 技 术 人 员 进 行 相 应 的 技 能 培 训 ； c ) 应 确 保 提 供 系 统 建 设 过 程 中 的 文 档 和 指 导 用 户 进 行 系 统 运 行 维 护 的 文 档 ； 应 确 保 提 供 系 统 建 设 过 程 中 的 文 档 和 指 导 用 户 进 行 系 统 运 行 维 护 的 文 档 ； d ) 应 对 系 统 交 付 的 控 制 方 法 和 人 员 行 为 准 则 进 行 书 面 规 定 ； 应 对 系 统 交 付 的 控 制 方 法 和 人 员 行 为 准 则 进 行 书 面 规 定 ； e ) 应 指 定 或 授 权 专 门 的 部 门 负 责 系 统 交 付 的 管 理 工 作 ， 并 按 照 管 理 规 定 的 要 求 完 成 系 统 交 付 工 作 。 应 指 定 或 授 权 专 门 的 部 门 负 责 系 统 交 付 的 管 理 工 作 ， 并 按 照 管 理 规 定 的 要 求 完 成 系 统 交 付 工 作 。   | 交 付 部 分 很 容 易 理 解 ， 不 需 要 详 细 解 释 了 吧 。 同 验 收 部 分 一 样 ， d 项 检 查 的 时 候 没 有 特 别 要 求 客 户 去 做 ， 所 以 这 块 还 是 不 太 了 解 。 其 他 部 分 类 似 的 。 |   7 . 2 . 4   系 统 建 设 管 理 系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 9 系 统 备 案 （ 系 统 备 案 （ G 3 ） ） a ) 应 指 定 专 门 的 部 门 或 人 员 负 责 管 理 系 统 定 级 的 相 关 材 料 ， 并 控 制 这 些 材 料 的 使 用 ； 应 指 定 专 门 的 部 门 或 人 员 负 责 管 理 系 统 定 级 的 相 关 材 料 ， 并 控 制 这 些 材 料 的 使 用 ；
b ) 应 将 系 统 等 级 及 相 关 材 料 报 系 统 主 管 部 门 备 案 ； 应 将 系 统 等 级 及 相 关 材 料 报 系 统 主 管 部 门 备 案 ； c ) 应 将 系 统 等 级 及 其 他 要 求 的 备 案 材 料 报 相 应 公 安 机 关 备 案 。 应 将 系 统 等 级 及 其 他 要 求 的 备 案 材 料 报 相 应 公 安 机 关 备 案 。 7 . 2 . 4 . 1 0 等 级 测 评 （ 等 级 测 评 （ G 3 ） ） a ) 在 系 统 运 行 过 程 中 ， 应 至 少 每 年 对 系 统 进 行 一 次 等 级 测 评 在 系 统 运 行 过 程 中 ， 应 至 少 每 年 对 系 统 进 行 一 次 等 级 测 评   ， 发 现 不 符 合 相 应 等 级 保 护 标 准 要 求 的 及 时 整 改 ； ， 发 现 不 符 合 相 应 等 级 保 护 标 准 要 求 的 及 时 整 改 ； b ) 应 在 系 统 发 生 变 更 时 及 时 对 系 统 进 行 等 级 测 评 ， 发 现 级 别 发 生 变 化 的 及 时 调 整 级 别 并 进 行 安 全 改 造 ， 发 现 不 应 在 系 统 发 生 变 更 时 及 时 对 系 统 进 行 等 级 测 评 ， 发 现 级 别 发 生 变 化 的 及 时 调 整 级 别 并 进 行 安 全 改 造 ， 发 现 不 符 合 相 应 等 级 保 护 标 准 要 求 的 及 时 整 改 ； 符 合 相 应 等 级 保 护 标 准 要 求 的 及 时 整 改 ； c ) 应 选 择 具 有 国 家 相 关 技 术 资 质 和 安 全 资 质 的 测 评 单 位 进 行 等 级 测 评 ； 应 选 择 具 有 国 家 相 关 技 术 资 质 和 安 全 资 质 的 测 评 单 位 进 行 等 级 测 评 ； d ) 应 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 应 指 定 或 授 权 专 门 的 部 门 或 人 员 负 责 等 级 测 评 的 管 理 。 等 级 测 评 的 管 理 。   | 备 案 和 测 评 这 两 部 分 放 在 一 起 来 说 ， 是 一 个 连 续 的 过 程 。 定 级 前 要 知 道 的 几 点 ， 等 级 保 护 制 度 主 要 监 管 方 式 公 安 部 ， 分 为 五 个 级 别 ， 涉 及 三 个 客 体 ， 即 ： a )   公 民 、 法 人 和 其 他 组 织 的 合 法 权 益 ； b )   社 会 秩 序 、 公 共 利 益 ； c )   国 家 安 全 。 对 客 体 的 危 害 程 度 分 为 三 个 级 别 ： a )   造 成 一 般 损 害 ； b )   造 成 严 重 损 害 ； c )   造 成 特 别 严 重 损 害 。 了 解 了 这 些 基 本 的 定 义 后 ， 就 好 解 释 了 。 定 级 依 据 的 矩 阵 如 下 ： 如 何 来 定 级 的 流 程 如 下 ：
定 级 备 案 其 实 是 一 起 的 ， 要 先 到 当 地 公 安 进 行 备 案 ， 然 后 会 让 你 提 交 一 堆 文 档 ， 包 括 ： 备 案 表 、 工 作 自 查 表 、 基 本 情 况 调 研 表 等 等 ； 此 后 要 先 自 定 级 ， 提 交 定 级 报 告 ； 再 之 后 聘 请 测 评 机 构 对 系 统 进 行 测 评 — 整 改 — 复 测 — 下 发 备 案 证 明 — 每 年 监 督 检 查 。 总 结 一 下 基 本 是 这 样 一 个 流 程 ： 如 果 定 级 备 案 后 ， 系 统 有 较 大 变 更 ， 比 如 新 增 一 个 模 块 ， 需 要 聘 请 专 业 机 构 进 行 重 新 定 级 ， 上 述 流 程 要 重 新 再 来 一 次 。 如 果 这 种 情 况 不 报 ， 被 年 检 查 出 来 ， 企 业 和 负 责 人 要 接 受 警 告 或 处 罚 。 （ 详 细 的 可 以 参 考 2 2 2 4 0 ） |   7 . 2 . 4   系 统 建 设 管 理 系 统 建 设 管 理   | |   - - -   | |   7 . 2 . 4 . 1 1 安 全 服 务 商 选 择 （ 安 全 服 务 商 选 择 （ G 3 ） ） a ) 应 确 保 安 全 服 务 商 的 选 择 符 合 国 家 的 有 关 规 定 ； 应 确 保 安 全 服 务 商 的 选 择 符 合 国 家 的 有 关 规 定 ； b ) 应 与 选 定 的 安 全 服 务 商 签 订 与 安 全 相 关 的 协 议 ， 明 确 约 定 相 关 责 任 ； 应 与 选 定 的 安 全 服 务 商 签 订 与 安 全 相 关 的 协 议 ， 明 确 约 定 相 关 责 任 ； c ) 应 确 保 选 定 的 安 全 服 务 商 提 供 技 术 培 训 和 服 务 承 诺 ， 必 要 的 与 其 签 订 服 务 合 同 。 应 确 保 选 定 的 安 全 服 务 商 提 供 技 术 培 训 和 服 务 承 诺 ， 必 要 的 与 其 签 订 服 务 合 同 。   | 属 于 第 三 方 管 理 制 度 范 畴 ， 这 里 说 的 比 较 简 单 ， 至 少 要 有 供 应 商 管 理 制 度 、 供 应 商 服 务 合 同 、 服 务 详 细 说 明 等 文 档 。 推 荐 看 一 下 I S O   2 7 0 0 2 中 1 5   供 应 商 关 系 部 分 的 细 节 （ 内 容 较 多 ， 不 进 行 扩 展 了 ） 。 以 上 为 管 理 要 求 在 系 统 建 设 管 理 部 分 的 要 求 。 内 容 比 较 多 的 一 部 分 ， 更 多 的 是 强 调 流 程 和 记 录 。 如 果 看 过 I S O 2 7 0 0 2 或 者 C 5 （ 今 年 开 始 叫 做 C O B I T 2 0 1 9 了 ） ， 那 么 理 解 起 来 就 很 容 易 了 。
* 本 文 原 创 作 者 ： 宇 宸 @ 默 安 科 技 合 规 研 究 小 组 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 22:33 , Processed in 0.406453 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表