信息系统等级保护测评问题汇总.pdf
版权申诉
41 浏览量
2022-06-13
10:54:48
上传
评论
收藏 128KB PDF 举报
上海市信息安全测评认证中心
X 区信息系统
等级保护测评主要问题汇总（管理部分）
核查结果：
涉及对象
安全管理制度
管理制度
管理制度
安全管理制度缺少版本控制信息。
信息中心未组织论证评审安全管理制
度，缺少论证评审记录。
信息中心未定期组织梳理修订安全管
理制度。2013 年委托上海 X 信息技术
有限公司梳理修订安全管理制度，目前
该工作尚未完成。
未定期审查审批事项，及时更新需授权
和审批的项目、审批部门和审批人等信
息。
未定义关键岗位，未与关键岗位员工签
订岗位安全协议。目前从事系统运维工
作的人员中包括了信息中心员工及外
包服务商工程师，内部员工及外包服务
人员均未签署岗位安全协议。
未针对全体员工组织安全认知和安全
技能的考核，也未对关键岗位组织全
面、严格的安全审查和技能考核
低
低
安全管理制度应具有统一的格式，
并进行版本控制。
应组织相关人员对制定的安全管
理制度进行论证和审定。
应定期或不定期对安全管理制度
进行检查和审定，对存在不足或需
要改进的安全管理制度进行修订。
问题描述
风险
值
标准要求
评审和修订 低
安全管理机构
授权和审批
人员安全管理
低
应定期审查审批事项，及时更新需
授权和审批的项目、审批部门和审
批人等信息。
人员录用 低
应从内部人员中选拔从事关键岗
位的人员，并签署岗位安全协议。
人员考核 低
应定期对各个岗位的人员进行安
全技能及安全认知的考核。
应对关键岗位的人员进行全面、严
格的安全审查和技能考核；
系统建设管理
该信息系统使用了部分国外的安全产
品，不完全符合《信息安全等级保护管
理办法》（公通字[2007]43 号）中关于
第三级以上信息系统信息安全产品选
择的相关规定。
软件开发单位未提供了软件源代码，信
息中心未审查源代码中是否存在恶意
代码或后门。
产品采购和使
用
低
应确保安全产品采购和使用符合
国家的有关规定
外包软件开发
系统运维管理
介质管理
低
应要求开发单位提供软件源代码，
并审查软件中可能存在的后门。
硬盘损坏后，厂家直接更换带走，信息
中心未处理硬盘中的信息数据。
中
应对存储介质的使用过程、送出维
修以及销毁等进行严格的管理，对
带出工作环境的存储介质进行内
1 / 2
资源评论
