标准编号:	GB/T 28448-2019
中文名称:	信息安全技术 网络安全等级保护测评要求
英文名称:	Information security technology—Evaluation requirement for classified protection of cybersecurity
行业分类:	GB    国家标准
ICS分类:	35.040 35.040    字符集和信息编码 35.040
发布机构:	国家市场监督管理总局、中国国家标准化管理委员会
发布日期:	2019-05-10
实施日期:	2019-12-1
标准状态:	现行
替代旧标准:	GB/T 28448-2012 信息安全技术 信息系统安全等级保护测评要求
翻译语言:	英文
文件格式:	PDF
中文字符数:	267000 字
翻译价格(元):	7500.00 元
交付时间:	付款后 1 个工作日

Information security technology -

Evaluation requirement for classified protection of cybersecurity



1 Scope



This standard specifies both the general requirements and special requirements for security testing and evaluation of targets of classified security.



This standard is applicable to security testing and evaluation for the security status of targets of classified security performed by and provides guideline to the security testing and evaluation service institutions, operation and use units of target of classified security and competent departments, and may also be used as a reference for cybersecurity competent departments when carrying out supervision and inspection of classified protection of cybersecurity.



Note: The targets of classified security of Level 5 are very important supervision and management targets and special management mode and security testing and evaluation requirements are proposed for them, which are not described herein.



2 Normative references



The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies.



GB 17859-1999 Classified criteria for security protection of computer information system

GB/T 22239-2019 Information security technology - Baseline for classified protection of cybersecurity

GB/T 25069 Information security technology - Glossary

GB/T 25070-2019 Information security technology - Technical requirements of security design for information system classified protection

GB/T 28449-2018 Information security technology - Testing and evaluation process guide for classified protection of cybersecurity

GB/T 31167-2014 Information security technology - Security guide of cloud computing services

GB/T 31168-2014 Information security technology - Security capability requirements of cloud computing services

GB/T 32919-2016 Information security technology - Application guide to industrial control system security control



3 Terms and definitions



For the purposes of this document, the terms and definitions given in GB 17859-1999, GB/T 25069, GB/T 22239-2019, GB/T 25070-2019, GB/T 31167-2014, GB/T 31168-2014 and GB/T 32919-2016 and the following apply. For easy reference, some terms and definitions given in GB/T 31167-2014 and GB/T 31168-2014 are listed below.



3.1



interview

process by which the testing and evaluation personnel guide the personnel related to the target of classified security to communicate purposefully (pertinently) to help the testing and evaluation personnel understand, clarify or obtain evidence



3.2



examine

process by which the testing and evaluation personnel understand, clarify or obtain evidence by observing, checking and analyzing the targets of testing and evaluation, such as system documents, and various devices and related security configurations



3.3



test

process by which the testing and evaluation personnel use predetermined methods/tools to make the targets of testing and evaluation (various devices or security configurations) produce specific results, and compare the operational results with the expected results



3.4



evaluate

process of comprehensively evaluating and predicting the possible threats and possible consequences of the targets of testing and evaluation



3.5



target of testing and evaluation

target of different testing and evaluation methods in testing and evaluation for classified cybersecurity protection, mainly involving related supporting system documents, devices, facilities, personnel, etc.



 

3.6



testing and evaluation for classified cybersecurity protection

activity of testing and evaluation agencies testing and evaluating the status of classified protection of cybersecurity not involving state secrets in accordance with the provisions of the national classified protection system of cybersecurity and according to the relevant management specifications and technical standards



3.7



cloud service provider

provider of cloud computing service



Note: The cloud service provider manages, operates and supports the computing infrastructure and software of cloud computing, and delivers the cloud computing resources through the Internet.



[GB/T 31167-2014, Definition 3.3]



3.8



cloud service customer

participant entering into business relationship with the cloud service provider to use the cloud computing service



[GB/T 31168-2014, Definition 3.4]



3.9



hypervisor

intermediate software layer operated between the basic physical server and the operating system, which may allow sharing of hardware by multiple operating systems and applications



3.10



host machine

physical server that operates the hypervisor



4 Abbreviations



For the purposes of this document, the following abbreviations apply.



AP: Wireless Access Point



APT: Advanced Persistent Threat



DDoS: Distributed Denial of Service



SSID: Service Set Identifier



WEP: Wired Equivalent Privacy



WiFi: Wireless Fidelity



WPS: Wi-Fi Protected Setup



5 General about testing and evaluation for classified cybersecurity protection



5.1 Testing and evaluation method for classified cybersecurity protection



The basic method for implementing the testing and evaluation for classified cybersecurity protection is to obtain the required evidence data and give a judgment on whether a specific level of security protection ability is achieved in allusion of certain target of testing and evaluation, adopting relevant testing and evaluation means and following certain testing and evaluation procedures. See GB/T 28449-2018 for the detailed process and method of testing and evaluation for classified cybersecurity protection.



In this standard, the testing and evaluation for each requirement item constitutes a single testing and evaluation, and all the specific testing and evaluation contents for a certain requirement item constitute the testing and evaluation implementation. Each specific testing and evaluation implementation requirement item (hereinafter referred to as "testing and evaluation requirement item") in a single testing and evaluation corresponds to the requirement item (testing and evaluation index) included in the security control point. Interview, examine, and test or one or two of them may be used for testing and evaluating each requirement item. The content of implementation of testing and evaluation completely covers the testing and evaluation requirements of all requirement items in GB/T 22239-2019 and GB/T 25070-2019. When using, the single testing and evaluation requirements for each requirement item in GB/T 22239-2019 shall be extracted from the implementation of single testing and evaluation, and testing and evaluation guideline shall be developed according to these testing and evaluation requirements to regulate and guide the testing and evaluation activities for classified cybersecurity protection.



 

According to the research results, the business process and data flow of the target of classified security shall be analyzed and the testing and evaluation scope determined. Combined with the security level of the target of classified security, comprehensively analyze the functions and characteristics of each device and component in the system, determine the technical-level targets of testing and evaluation from the importance, security, sharing, comprehensiveness, and appropriateness of the components of the target of classified security, and define the personnel and management documents related thereto as the manage-level targets of testing and evaluation. The target of testing and evaluation may be described according to categories, including machine room, business application software, host operating system, database management systems, network interconnection device, security device, interviewers, and security management documents.



Testing and evaluation for classified cybersecurity protection involve testing and evaluation intensity, including testing and evaluation extent (coverage) and testing and evaluation depth (strength). For the implementation of testing and evaluation with high security protection level, the target of testing and evaluation with wider coverage and stronger testing and evaluation means shall be selected, and the testing and evaluation evidence with higher credibility may be obtained. See Annex A for the specific description of testing and evaluation intensity.



The testing and evaluation requirement at each level includes 5 parts, namely general requirements for security testing and evaluation, special requirements for security testing and evaluation of cloud computing, special requirements for security testing and evaluation of mobile interconnection, special requirements for security testing and evaluation of internet of things and special requirements for security testing and evaluation of industrial control system. See Annex B for security evaluation methods which may be referred by big data.



5.2 Single testing and evaluation and overall testing and evaluation



Testing and evaluation for classified cybersecurity protection includes single testing and evaluation and overall testing and evaluation.



Single testing and evaluation is the testing and evaluation in allusion to each security requirement item, which supports the repeatability and reproducibility of the testing and evaluation results. In this standard, the single testing and evaluation consists of testing and evaluation index, target of testing and evaluation, implementation of testing and evaluation and unit judgment results. For convenience of use, each testing and evaluation unit is numbered, and the specific description is shown in Annex C.



 

Overall testing and evaluation is to adjust the overall security protection ability of the target of classified security based on the single testing and evaluation. The overall security protection ability shall be judged from two perspectives of view, namely longitudinal-depth protection and measure complementarity.



6 Level 1 testing and evaluation requirements



6.1 General requirements for security testing and evaluation



6.1.1 Physical environment security



6.1.1.1 Physical access control



6.1.1.1.1 Testing and evaluation unit (L1-PES1-01)



The requirements for this testing and evaluation unit are as follows:



a) Testing and evaluation index: special personnel shall be designated or electronic access control system shall be arranged at the entrance and exit of the machine room to control, identify and record the personnel entering the room.



b) Target of testing and evaluation: electronic access control system and duty record of machine room.



c) Implementation of testing and evaluation: it shall be examined whether special personnel are designated or electronic access control system is arranged.



d) Unit judgment: if the answer to the above implementation content is affirmative, the index requirements for this testing and evaluation unit are met; otherwise, not met.

Foreword i
Introduction ii
1 Scope
2 Normative references
3 Terms and definitions
4 Abbreviations
5 General about testing and evaluation for classified cybersecurity protection
5.1 Testing and evaluation method for classified cybersecurity protection
5.2 Single testing and evaluation and overall testing and evaluation
6 Level 1 testing and evaluation requirements
6.1 General requirements for security testing and evaluation
6.2 Special requirements for security testing and evaluation of cloud computing
6.3 Special requirements for security testing and evaluation of mobile interconnection
6.4 Special requirements for security testing and evaluation of internet of things
6.5 Special requirements for security testing and evaluation of industrial control system
7 Level 2 testing and evaluation requirements
7.1 General requirements for security testing and evaluation
7.2 Special requirements for security testing and evaluation of cloud computing
7.3 Special requirements for security testing and evaluation of mobile interconnection
7.4 Special requirements for security testing and evaluation of internet of things
7.5 Special requirements for security testing and evaluation of industrial control system
8 Level 3 testing and evaluation requirements
8.1 General requirements for security testing and evaluation
8.2 Special requirements for security testing and evaluation of cloud computing
8.3 Special requirements for security testing and evaluation of mobile interconnection
8.4 Special requirements for security testing and evaluation of internet of things
8.5 Special requirements for security testing and evaluation of industrial control system
9 Level 4 testing and evaluation requirements
9.1 General requirements for security testing and evaluation
9.2 Special requirements for security testing and evaluation of cloud computing
9.3 Special requirements for security testing and evaluation of mobile interconnection
9.4 Special requirements for security testing and evaluation of internet of things
9.5 Special requirements for security testing and evaluation of industrial control system
10 Level 5 testing and evaluation requirements
11 Overall testing and evaluation
11.1 General
11.2 Testing and evaluation of security control points
11.3 Testing and evaluation of inter-security control points
11.4 Testing and evaluation of inter-areas
12 Conclusion of testing and evaluation
12.1 Risk analysis and evaluation
12.2 Conclusion of testing and evaluation for classified cybersecurity protection
Annex A (Informative) Testing and evaluation intensity
Annex B (Informative) Security evaluation methods which may be referred by big data
Annex C (Normative) Numbering description of testing and evaluation unit
Bibliography

信息安全技术
网络安全等级保护测评要求
1 范围
本标准规定了不同级别的等级保护对象的安全测评通用要求和安全测评扩展要求。
本标准适用于安全测评服务机构、等级保护对象的运营使用单位及主管部门对等级保护对象的安全状况进行安全测评并提供指南，也适用于网络安全职能部门进行网络安全等级保护监督检查时参考使用。
注：第五级等级保护对象是非常重要的监督管理对象，对其有特殊的管理模式和安全测评要求，所以不在本标准中进行描述。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB 17859—1999 计算机信息系统 安全保护等级划分准则
GB/T 22239—2019信息安全技术 网络安全等级保护基本要求
GB/T 25069 信息安全技术 术语
GB/T 25070—2019信息安全技术 网络安全等级保护安全设计技术要求
GB/T 28449—2018信息安全技术 网络安全等级保护测评过程指南
GB/T 31167—2014信息安全技术 云计算服务安全指南
GB/T 31168—2014信息安全技术 云计算服务安全能力要求
GB/T 32919—2016 信息安全技术 工业控制系统安全控制应用指南
3术语和定义
GB 17859—1999、GB/T 25069、GB/T 22239—2019、GB/T 25070—2019、GB/T 31167—2014、GB/T 31168—2014和GB/T 32919—2016界定的以及下列术语和定义适用于本文件。为了便于使用，以下重复列出了GB/T 31167—2014和GB/T 31168—2014中的一些术语和定义。
3.1
访谈 interview
测评人员通过引导等级保护对象相关人员进行有目的的(有针对性的)交流以帮助测评人员理解、澄清或取得证据的过程。
3.2
核查 examine
测评人员通过对测评对象(如制度文档、各类设备及相关安全配置等)进行观察、查验和分析，以帮助测评人员理解、澄清或取得证据的过程。
3.3
测试test
测评人员使用预定的方法/工具使测评对象(各类设备或安全配置)产生特定的结果，将运行结果与预期的结果进行比对的过程。
3.4
评估 evaluate
对测评对象可能存在的威胁及其可能产生的后果进行综合评价和预测的过程。
3.5
测评对象target or testing and evaluation
等级测评过程中不同测评方法作用的对象，主要涉及相关配套制度文档、设备设施及人员等。
3.6
等级测评testing and evaluation for classified cybersecurity protection
测评机构依据国家网络安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密的网络安全等级保护状况进行检测评估的活动。
3.7
云服务商 cloud service provider
云计算服务的供应方。
注：云服务商管理、运营、支撑云计算的计算基础设施及软件，通过网络交付云计算的资源。
[GB/T 31167—2014，定义3.3]
3.8
云服务客户cloud service customer
为使用云计算服务同云服务商建立业务关系的参与方。
[GB/T 31168—2014，定义3.4]
3.9
虚拟机监视器hypervisor
运行在基础物理服务器和操作系统之间的中间软件层，可允许多个操作系统和应用共享硬件。
3.10
宿主机host machine
运行虚拟机监视器的物理服务器。
4 缩略语
下列缩略语适用于本文件。
AP：无线访问接入点(Wireless Access Point)
APT：高级持续性威胁(Advanced Persistent Threat)
DDoS：分布式拒绝服务(Distributed Denial of Service)
SSID：服务集标识(Service Set Identifier)
WEP：有线等效加密(Wired Equivalent Privacy)
WiFi：无线保真(Wireless Fidelity)
WPS：WiFi保护设置(Wi-Fi Protected Setup)
5等级测评概述
5.1等级测评方法
等级测评实施的基本方法是针对特定的测评对象，采用相关的测评手段，遵从一定的测评规程，获取需要的证据数据，给出是否达到特定级别安全保护能力的评判。等级测评实施的详细流程和方法见GB/T 28449—2018。
本标准中针对每一个要求项的测评就构成一个单项测评，针对某个要求项的所有具体测评内容构成测评实施。单项测评中的每一个具体测评实施要求项(以下简称“测评要求项”)是与安全控制点下面所包括的要求项(测评指标)相对应的。在对每一要求项进行测评时，可能用到访谈、核查和测试三种测评方法，也可能用到其中一种或两种。测评实施的内容完全覆盖了GB/T 22239—2019及GB/T 25070—2019中所有要求项的测评要求，使用时应当从单项测评的测评实施中抽取出对于GB/T 22239—2019中每一个要求项的测评要求，并按照这些测评要求开发测评指导书，以规范和指导等级测评活动。
根据调研结果，分析等级保护对象的业务流程和数据流，确定测评工作的范围。结合等级保护对象的安全级别，综合分析系统中各个设备和组件的功能和特性，从等级保护对象构成组件的重要性、安全性、共享性、全面性和恰当性等几方面属性确定技术层面的测评对象，并将与其相关的人员及管理文档确定为管理层面的测评对象。测评对象可以根据类别加以描述，包括机房、业务应用软件、主机操作系统、数据库管理系统、网络互联设备、安全设备、访谈人员及安全管理文档等。
等级测评活动中涉及测评力度，包括测评广度(覆盖面)和测评深度(强弱度)。安全保护等级较高的测评实施应选择覆盖面更广的测评对象和更强的测评手段，可以获得可信度更高的测评证据，测评力度的具体描述参见附录A。
每个级别测评要求都包括安全测评通用要求、云计算安全测评扩展要求、移动互联安全测评扩展要求、物联网安全测评扩展要求和工业控制系统安全测评扩展要求5个部分。大数据可参考安全评估方法参见附录B。
5.2单项测评和整体测评
等级测评包括单项测评和整体测评。
单项测评是针对各安全要求项的测评，支持测评结果的可重复性和可再现性。本标准中单项测评由测评指标、测评对象、测评实施和单元判定结果构成。为方便使用针对每个测评单元进行编号，具体描述见附录C。
整体测评是在单项测评基础上，对等级保护对象整体安全保护能力的判断。整体安全保护能力从纵深防护和措施互补两个角度评判。
6第一级测评要求
6.1 安全测评通用要求
6.1.1 安全物理环境
6.1.1.1 物理访问控制
6.1.1.1.1 测评单元(L1-PES1-01)
该测评单元包括以下要求：
a)测评指标：机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。
b)测评对象：机房电子门禁系统和值守记录。
c)测评实施：应核查是否安排专人值守或配置电子门禁系统。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.1.2防盗窃和防破坏
6.1.1.2.1 测评单元(L1-PES1-02)
该测评单元包括以下要求：
a)测评指标：应将设备或主要部件进行固定，并设置明显的不易除去的标识。
b)测评对象：机房设备或主要部件。
c)测评实施包括以下内容：
1)应核查机房内设备或主要部件是否固定；
2)应核查机房内设备或主要部件上是否设置了明显且不易除去的标识。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.1.3 防雷击
6.1.1.3.1 测评单元(L1-PES1-03)
该测评单元包括以下要求：
a)测评指标：应将各类机柜、设施和设备等通过接地系统安全接地。
b)测评对象：机房。
c)测评实施：应核查机房内机柜、设施和设备等是否进行接地处理。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.1.4 防火
6.1.1.4.1 测评单元(L1-PES1-04)
该测评单元包括以下要求：
a)测评指标：机房应设置灭火设备。
b)测评对象：机房灭火设备。
c)测评实施：应核查机房内是否配备灭火设备。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.1.5防水和防潮
6.1.1.5.1 测评单元(L1-PES1-05)
该测评单元包括以下要求：
a)测评指标：应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透。
b)测评对象：机房。
c)测评实施：应核查窗户、屋顶和墙壁是否采取了防雨水渗透的措施。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.1.6温湿度控制
6.1.1.6.1 测评单元(L1-PES1-06)
该测评单元包括以下要求：
a)测评指标：应设置必要的温湿度调节设施，使机房温湿度的变化在设备运行所允许的范围之内。
b)测评对象：机房温湿度控制设施。
c)测评实施包括以下内容：
1)应核查机房内是否配备了温湿度调节设施；
2)应核查温湿度是否在设备运行所允许的范围之内。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.1.7 电力供应
6.1.1.7.1 测评单元(L1-PES1-07)
该测评单元包括以下要求：
a)测评指标：应在机房供电线路上配置稳压器和过电压防护设备。
b)测评对象：机房供电设施。
c)测评实施：应核查供电线路上是否配置了稳压器和过电压防护设备。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.2安全通信网络
6.1.2.1 通信传输
6.1.2.1.1测评单元(L1-CNS1-01)
该测评单元包括以下要求：
a)测评指标：应采用校验技术保证通信过程中数据的完整性。
b)测评对象：提供校验技术功能的设备或组件。
c)测评实施：应核查是否在数据传输过程中使用校验技术来保护其完整性。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.2.2可信验证
6.1.2.2.1 测评单元(L1-CNS1-02)
该测评单元包括以下要求：
a)测评指标：可基于可信根对通信设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
b)测评对象：提供可信验证的设备或组件。
c)测评实施包括以下内容：
1)应核查是否基于可信根对通信设备的系统引导程序、系统程序等进行可信验证；
2)应核查当检测到通信设备的可信性受到破坏后是否进行报警。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.3安全区域边界
6.1.3.1边界防护
6.1，3.1.1 测评单元(L1-ABS1-01)
该测评单元包括以下要求：
a)测评指标：应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。
b)测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件。
c)测评实施包括以下内容：
1)应核查在网络边界处是否部署访问控制设备；
2)应核查设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略；
3)应采用其他技术手段(如非法无线网络设备定位、核查设备配置信息等)核查是否不存在其他未受控端口进行跨越边界的网络通信。
d)单元判定：如果1)～3)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.3.2访问控制
6.1.3.2.1 测评单元(L1-ABS1-02)
该测评单元包括以下要求：
a)测评指标：应在网络边界根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信。
b)测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件。
c)测评实施包括以下内容：
1)应核查在网络边界是否部署访问控制设备并启用访问控制策略；
2)应核查设备的最后一条访问控制策略是否为禁止所有网络通信。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.3.2.2 测评单元(L1-ABS1-03)
该测评单元包括以下要求：
a)测评指标：应删除多余或无效的访问控制规则，优化访问控制列表，并保证访问控制规则数量最小化。
b)测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件。
c)测评实施包括以下内容：
1)应核查是否不存在多余或无效的访问控制策略；
2)应核查不同的访问控制策略之间的逻辑关系及前后排列顺序是否合理。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.3.2.3 测评单元(L1-ABS1-04)
该测评单元包括以下要求：
a)测评指标：应对源地址、目的地址、源端口、目的端口和协议等进行检查，以允许/拒绝数据包进出。
b)测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件。
c)测评实施：应核查设备的访问控制策略中是否设定了源地址、目的地址、源端口、目的端口和协议等相关配置参数。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.3.3可信验证
6.1.3.3.1测评单元(L1-ABS1-05)
该测评单元包括以下要求：
a)测评指标：可基于可信根对边界设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
b)测评对象：提供可信验证的设备或组件。
c)测评实施包括以下内容：
1)应核查是否基于可信根对边界设备的系统引导程序、系统程序等进行可信验证；
2)应核查当检测到边界设备的可信性受到破坏后是否进行报警。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4安全计算环境
6.1.4.1身份鉴别
6.1.4.1.1 测评单元(L1-CES1-01)
该测评单元包括以下要求：
a)测评指标：应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)、网络设备(包括虚拟网络设备)、安全设备(包括虚拟安全设备)、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。
c)测评实施包括以下内容：
1)应核查用户在登录时是否采用了身份鉴别措施；
2)应核查用户列表确认用户身份标识是否具有唯一性；
3)应核查用户配置信息是否不存在空口令用户；
4)应核查用户鉴别信息是否具有复杂度要求并定期更换。
d)单元判定：如果1)和4)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.1.2 测评单元(L1-CES1-02)
该测评单元包括以下要求：
a)测评指标：应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)、网络设备(包括虚拟网络设备)、安全设备(包括虚拟安全设备)、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。
c)测评实施包括以下内容：
1)应核查是否配置并启用了登录失败处理功能；
2)应核查是否配置并启用了限制非法登录功能，非法登录达到一定次数后采取特定动作。如账户锁定等；
3)应核查是否配置并启用了登录连接超时及自动退出功能。
d)单元判定：如果1)～3)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.2访问控制
6.1.4.2.1 测评单元(L1-CES1-03)
该测评单元包括以下要求：
a)测评指标：应对登录的用户分配账户和权限。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)、网络设备(包括虚拟网络设备)、安全设备(包括虚拟安全设备)、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。
c)测评实施包括以下内容：
1)应核查用户账户和权限设置情况；
2)应核查是否已禁用或限制匿名、默认账户的访问权限。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.2.2 测评单元(L1-CES1-04)
该测评单元包括以下要求：
a)测评指标：应重命名或删除默认账户，修改默认账户的默认口令。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)、网络设备(包括虚拟网络设备)、安全设备(包括虚拟安全设备)、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。
c)测评实施包括以下内容：
1)应核查是否已经重命名默认账户或默认账户已被删除；
2)应核查是否已修改默认账户的默认口令。
d)单元判定：如果1)或2)为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.2.3 测评单元(L1-CES1-05)
该测评单元包括以下要求：
a)测评指标：应及时删除或停用多余的、过期的账户，避免共享账户的存在。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)、网络设备(包括虚拟网络设备)、安全设备(包括虚拟安全设备)、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。
c)测评实施包括以下内容：
1)应核查是否不存在多余或过期账户，管理员用户与账户之间是否一一对应；
2)应核查多余的、过期的账户是否被删除或停用。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.3入侵防范
6.1.4.3.1 测评单元(L1-CES1-06)
该测评单元包括以下要求：
a)测评指标：应遵循最小安装的原则，仅安装需要的组件和应用程序。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)、网络设备(包括虚拟网络设备)、安全设备(包括虚拟安全设备)、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备和控制设备等。
c)测评实施包括以下内容：
1)应核查是否遵循最小安装原则；
2)应确认是否未安装非必要的组件和应用程序。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.3.2 测评单元(L1-CES1-07)
泼测评单元包括以下要求：
a)测评指标：应关闭不需要的系统服务、默认共享和高危端口。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)、网络设备(包括虚拟网络设备)、安全设备(包括虚拟安全设备)、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备和控制设备等。
c)测评实施包括以下内容：
1)应核查是否关闭了非必要的系统服务和默认共享；
2)应核查是否不存在非必要的高危端口。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.4恶意代码防范
6.1.4.4.1 测评单元(L1-CES1-08)
该测评单元包括以下要求：
a)测评指标：应安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库。
b)测评对象：终端和服务器等设备中的操作系统(包括宿主机和虚拟机操作系统)和移动终端等。
c)测评实施内容包括以下：
1)应核查是否安装了防恶意代码软件或相应功能的软件；
2)应核查是否定期进行升级和更新防恶意代码库。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.5可信验证
6.1.4.5.1 测评单元(L1-CES1-09)
该测评单元包括以下要求：
a)测评指标：可基于可信根对计算设备的系统引导程序、系统程序等进行可信验证，并在检测到其可信性受到破坏后进行报警。
b)测评对象：提供可信验证的设备或组件。
c)测评实施包括以下内容：
1)应核查是否基于可信根对计算设备的系统引导程序、系统程序等进行可信验证；
2)应核查当检测到计算设备的可信性受到破坏后是否进行报警。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.4.6数据完整性
6.1.4.6.1 测评单元(L1-CES1-10)
该测评单元包括以下要求：
a)测评指标：应采用校验技术保证重要数据在传输过程中的完整性。
b)测评对象：业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。
c)测评实施：应核查系统设计文档，重要管理数据、重要业务数据在传输过程中是否采用了校验技术或密码技术保证完整性。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.4.7数据备份恢复
6.1.4.7.1 测评单元(L1-CES1-11)
该测评单元包括以下要求：
a)测评指标：应提供重要数据的本地数据备份与恢复功能。
b)测评对象：配置数据和业务数据。
c)测评实施包括以下内容：
1)应核查是否按照备份策略进行本地备份；
2)应核查备份策略设置是否合理、配置是否正确；
3)应核查备份结果是否与备份策略一致；
4)应核查近期恢复测试记录，是否能够进行正常的数据恢复。
d)单元判定：如果1)～4)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.5安全管理制度
6.1.5.1管理制度
6.1.5.1.1测评单元(L1-PSS1-01)
该测评单元包括以下要求：
a)测评指标：应建立日常管理活动中常用的安全管理制度。
b)测评对象：安全管理制度类文档。
c)测评实施：应核查各项安全管理制度是否覆盖日常管理活动中的管理内容。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.6安全管理机构
6.1.6.1 岗位设置
6.1.6.1.1 测评单元(L1-ORS1-01)
该测评单元包括以下要求：
a)测评指标：应设立系统管理员等岗位，并定义各个工作岗位的职责。
b)测评对象：信息/网络安全主管和管理制度类文档。
c)测评实施包括以下内容：
1)应访谈信息/网络安全主管是否进行了系统管理员等岗位的划分；
2)应核查岗位职责文档是否明确了各岗位职责。
d)单元判定；如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.6.2人员配备
6.1.6.2.1 测评单元(L1-ORS1-02)
该测评单元包括以下要求：
a)测评指标：应配备一定数量的系统管理员。
b)测评对象：信息/网络安全主管和记录表单类文档。
c)测评实施包括以下内容：
1)应访谈信息/网络安全主管是否配备一定数量的系统管理员；
2)应核查人员配备文档是否有各岗位人员配备情况。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.6.3授权和审批
6.1.6.3.1 测评单元(L1-ORS1-03)
该测评单元包括以下要求：
a)测评指标：应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。
b)测评对象：管理制度类文档和记录表单类文档。
c)测评实施包括以下内容：
1)应核查部门职责文档是否明确各部门审批事项；
2)应核查岗位职责文档是否明确各岗位审批事项。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.7安全管理人员
6.1.7.1 人员录用
6.1.7.1.1 测评单元(L1-HRS1-01)
该测评单元包括以下要求：
a)测评指标：应指定或授权专门的部门或人员负责人员录用。
b)测评对象：信息/网络安全主管。
c)测评实施：应访谈信息/网络安全主管是否由专门的部门或人员负责人员的录用工作。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.7.2人员离岗
6.1.7.2.1 测评单元(L1-HRS1-02)
该测评单元包括以下要求：
a)测评指标：应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。
b)测评对象：记录表单类文档。
c)测评实施：应核查是否具有离岗人员终止其访问权限、交还身份证件、软硬件设备等的登记记录。
d)单元判定：如果以上测评实施内容为肯定，则符合本测评单元指标要求，否则不符合本测评单元指标要求。
6.1.7.3安全意识教育和培训
6.1.7.3.1 测评单元(L1-HRS1-03)
该测评单元包括以下要求：
a)测评指标：应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施。
b)测评对象：管理制度类文档。
c)测评实施包括以下内容：
1)应核查安全意识教育及岗位技能培训文档是否明确培训周期、培训方式、培训内容和考核方式等相关内容；
2)应核查安全责任和惩戒措施管理文档或培训文档是否包含具体的安全责任和惩戒措施。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。
6.1.7.4外部人员访问管理
6.1.7.4.1 测评单元(L1-HRS1-04)
该测评单元包括以下要求：
a)测评指标：应保证在外部人员访问受控区域前得到授权或审批。
b)测评对象：管理制度类文档和记录表单类文档。
c)测评实施包括以下内容：
1)应核查外部人员访问管理文档是否明确允许外部人员访问的范围(区域、系统、设备、信息等内容)，外部人员进入的条件(对哪些重要区域的访问须提出书面申请批准后方可进入)，外部人员进入的访问控制措施(由专人全程陪同或监督等)等；
2)应核查外部人员访问重要区域的书面申请文档是否具有批准人允许访问的批准签字等。
d)单元判定：如果1)和2)均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。