信息系统等级测评文档准备指引.doc

|信息系统等级测评文档准备指南电力行业等级保护测评中心华电卓识实验室2009 年 9 月 |目录一、文档提交要求 .3二、准备文档时需注意的问题 .3附件一 信息系统基本情况调查表 .5表 1-1. 单位基本情况 .7表 1-2. 参与人员名单 .8表 1-3. 物理环境情况 .9表 1-4. 信息系统基本情况 .10表 1-5. 信息系统承载业务（服务）情况 .11表 1-6. 信息系统网络结构（环境）情况 .12表 1-7. 外联线路及设备端口（网络边界）情况调查 .13表 1-8. 网络设备情况 .14表 1-9. 安全设备情况 .15表 1-10. 服务器设备情况 .16表 1-11. 终端设备情况 .17表 1-12. 系统软件情况 .18表 1-13. 应用系统软件情况 .19表 1-14. 业务数据情况 .20表 1-15. 数据备份情况 .21表 1-16. 应用系统软件处理流程（多表） .22表 1-17. 业务数据流程（多表） .23表 1-18. 安全威胁情况 .24附件二 信息系统安全技术方案 .26附件三 信息安全管理制度 .27表 3-1. 安全管理机构类文档 .27表 3-2. 安全管理制度类文档 .28表 3-3. 人员安全管理类文档 .29表 3-4. 系统建设管理类文档 .30表 3-5. 系统运维管理类文档 .32|一、文档提交要求当委托机构正式委托电力行业等级保护测评中心华电卓识实验室对其信息系统实施等级测评时，为了使测评人员在现场测评前期就能够对被评估系统有清晰而全面地了解，委托机构应根据申请的测评类型准备文档。委托测评类型主要包括： 等级符合性检验 风险评估 渗透测试 方案咨询需准备的测评文档主要包括： 信息系统基本情况调查表 信息系统安全技术方案 信息安全管理制度 其他委托单位在准备测评文档时，应根据所申请的测评业务类型准备相应的文档。二者对应关系如下：文档类型委托测评类型信息系统基本情况调查表（附件一）信息系统安全技术方案（附件二）信息安全管理制度（附件三）其他等级符合性检验 风险评估 渗透测试 测试 IP 范围方案咨询 相关方案二、准备文档时需注意的问题 保证提交文档内容真实、全面、详细、准确| 文档材料，纸版和电子版文档均可 提交文档时做好详细的文档交接记录|第 5 页 共 33 页附件一 信息系统基本情况调查表1、请提供信息系统的最新网络结构图（拓扑图）网络结构图要求： 应该标识出网络设备、服务器设备和主要终端设备及其名称 应该标识出服务器设备的 IP 地址 应该标识网络区域划分等情况 应该标识网络与外部的连接等情况 应该能够对照网络结构图说明所有业务流程和系统组成如果一张图无法表示，可以将核心部分和接入部分分别划出，或以多张图表示。2、请根据信息系统的网络结构图填写各类调查表格。|第 6 页 共 33 页调查表清单表 1-1. 单位基本情况表 1-2. 参与人员名单表 1-3. 物理环境情况表 1-4. 信息系统基本情况表 1-5. 信息系统承载业务（服务）情况表 1-6. 信息系统网络结构（环境）情况表 1-7. 外联线路及设备端口（网络边界）情况调查表 1-8. 网络设备情况表 1-9. 安全设备情况表 1-10. 服务器设备情况表 1-11. 终端设备情况表 1-12. 系统软件情况表 1-13. 应用系统软件情况表 1-14. 业务数据情况表 1-15. 数据备份情况表 1-16. 应用系统软件处理流程（多表）表 1-17. 业务数据流程（多表）表 1-18. 安全威胁情况|第 7 页 共 33 页表 1-1. 单位基本情况填表人： 日期：单位全称 简称单位情况简介单位所属类型 党政机关 国家重要行业、重要领域或重要企事业单位 一般企事业单位 其他类型单位地址邮政编码负责人姓名 电话 传真 电子邮件地址联系人 电话 传真 电子邮件地址上级主管部门注：情况简介一栏，请填写与被测评系统有关的机构的内容。|第 8 页 共 33 页表 1-2. 参与人员名单填表人： 日期：序号 人员名称 所属部门 职务/职称 负责范围 联系方法12345678910111213|第 9 页 共 33 页表 1-3. 物理环境情况填表人： 日期：序号 物理环境名称 物理位置 涉及信息系统1234567注：物理环境包括主机房、辅机房、办公环境等。|第 10 页 共 33 页表 1-4. 信息系统基本情况填表人： 日期：序号 信息系统名称 安全保护等级 业务信息安全保护等级 系统服务安全保护等级 承载业务应用123456789