就业训练中心核心业务信息系统安全等级保护差距评估服务采购需求手册.doc

《就业训练中心核心业务信息系统安全等级保护差距评估服务采购需求手册.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、附件：广州市就业训练中心核心业务信息系统安全等级保护差距评估服务采购需求目录第一章前言91.1项目背景91.2项目目标91.3等级保护差距评估依据9第二章差距评估基本内容10第三章差距评估的目标123.1第二级系统测评安全目标123.1.1技术目标123.1.2管理目标143.2第三级系统测评安全目标163.2.1技术目标163.2.2管理目标20第四章现状概述234.1系统定级234.2管理模式234.3系统列表234.4系统规模244.4.1服务器情况244.4.2网络设备情况244.5用户范围和

2、用户类型24第五章差距评估服务内容255.1差距评估方法255.1.1使用的工具255.1.2漏洞扫描255.1.3人工审计265.1.4安全测试275.1.5人员访谈285.2测评流程295.2.1测评准备阶段295.2.2现场测评阶段295.2.3测评分析阶段295.3测评内容305.3.1安全控制测评305.3.2系统整体测评335.3.3综合测评分析335.4项目工期335.5投标人资质要求34第39页5.6项目预算345.7评估服务项目输出成果34第39页前言项目背景根据广州市公安局的要求，

3、广州市就业训练中心已定级备案的2个信息系统需要进行等级保护差距评估，并且生成评估报告和安全整改方案，为下一步整改工作作好准备。项目目标1、完成等级保护差距评估，确定当前已定级的信息系统与相应保护等级要求之间的差距，并且根据差距作出整改方案。2、相关结果文档，要能够通过用户组织的专家验收，能够满足公安局的相关要求。3、协助用户下一步完成整改工作，最后通过安全测评。等级保护差距评估依据开展差距评估活动所依据的标准和文件：Ø《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）Ø2

4、004年9月四部委局联合签发的《关于信息安全等级保护工作的实施意见》Ø《信息安全等级保护管理办法》（公通字[2007]43号）Ø第39页《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》（发改高技[2008]2071号）Ø《广东省深化信息安全等级保护工作方案》(粤公通字[2009]45号)ØGB/T22239-2008信息安全技术信息系统安全等级保护基本要求ØGB/Txxxxx-2008信息系统安全等级保护测评过程指南ØGB/Txxxxx-2006信息系统安全通用技术要求ØGB/Txxxx

5、x-2006等级保护系列安全产品技术要求ØGB/Txxxxx-2006操作系统安全技术要求ØGB/Txxxxx-2006数据库管理系统安全技术要求ØGB/T19716-2005信息安全管理实用规则ØIATF3.1信息保障技术框架Ø被测信息系统安全等级保护定级报告差距评估基本内容对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系

6、统整体安全测评的基础。第39页对安全控制测评的描述，使用测评单元方式组织。测评单元分为安全技术测评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。具体见下图：差距评估的目标第39页第二级系统测评安全目标技术目标O2-1.应具有抵抗一般强度地震、台风等自然灾难造成破坏的能力O2-2.应具有防止雷击事件导致重要设备被破坏的能

7、力O2-3.应具有防水和防潮的能力O2-4.应具有灭火的能力O2-5.应具有检测火灾和报警的能力O2-6.应具有温湿度自动检测和控制的能力O2-7.应具有防止电压波动的能力O2-8.应具有对抗短时间断电的能力O2-9.应具有防止静电导致重要设备被破坏的能力O2-10.具有基本的抗电磁干扰能力O2-11.应具有对传输和存储数据进行完整性检测的能力O2-12.应具有对硬件故障产品进行替换的能力O2-13.应具有系统软件、应用软件容错的能力O2-14.应具有软件故障分析的能力O2-15.应具有合理使用和控制

8、系统资源的能力O2-16.应具有记录用户操作行为的能力第39页O2-17.应具有对用户的误操作行为进行检测和报警的能力O2-18.应具有控制机房进出的能力O2-19.应具有防止设备、介质等丢失的能力O2-20.应具有控制机房内人员活动的能力O2-21.应具有控制接触重要设备、介质的能力O2-22.应具有对传输和存储中的信息进行保密性保护的能力O2-23.应具有对通信线路进行物理保护的能力O2-24.应具有限制网络、操作系统和应用系统资源使用的能力O2-2