b）应检查是否有资产清单，查看其内容是否覆盖资产责任部门、责任人、所处位置和重要程度等方面；
c）应检查是否有资产安全管理方面的制度，查看是否明确信息资产管理的责任部门、责任人，查看其内容是否覆盖资产使用、借用、维护等方面。
6.2.5.2.3 结果判定
如果6.2.5.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.3 介质管理
6.2.5.3.1 测评指标
见JR/T 0060-2010 6.2.5.3。
6.2.5.3.2 测评实施
本项要求包括：
a）应访谈资产管理员，询问介质的存放环境是否采取保护措施防止介质被盗、被毁等；
b）应访谈资产管理员，询问是否根据介质的目录清单对介质的使用现状进行定期检查；
c）应访谈资产管理员，询问是否将介质保管在一个特定环境里，有专人负责，并根据重要性对介质进行分类和标识；
d）应访谈资产管理员，询问对送出维修或销毁的介质在送出之前是否对介质内存储数据进行净化处理；
e）应检查介质使用管理记录，查看其是否记录介质归档和使用等情况；
f）应检查介质存储环境，查看是否对其进行了分类，并具有不同标识。
6.2.5.3.3 结果判定
如果6.2.5.3.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.4 设备管理
6.2.5.4.1 测评指标
见JR/T 0060-2010 6.2.5.4。
6.2.5.4.2 测评实施
本项要求包括：
a）应访谈系统运维负责人，询问是否有专门的部门或人员对各种设备、线路进行定期维护，由何部门/何人负责，维护周期多长；
检查配套设施、软硬件维护是否至少每季度进行一次。
b）应检查是否有设备安全管理制度，查看其内容是否对各种软硬件设备的选型、采购、发放和领用等环节进行规定；
c）应检查设备安全管理制度中是否有对终端计算机、便携机和网络设备等使用方式、操作原则、注意事项等方面的规定，是否有信息处理设备必须经过审批才能带离机房或办公地点的要求。
6.2.5.4.3 结果判定
如果6.2.5.4.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.5 网络安全管理
6.2.5.5.1 测评指标
见JR/T 0060-2010 6.2.5.5。
6.2.5.5.2 测评实施
本项要求包括：
a）应访谈系统运维负责人，询问是否指定专门的部门或人员负责网络管理，维护网络运行日志、监控记录，分析处理报警信息等；
b）应访谈网络管理员，询问是否定期对网络进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补；
1）询问是否持续跟踪网络设备的安全漏洞隐患的情况；
2）询问修补漏洞前是否进行了必要的测试评估。
c）应访谈网络管理员，询问是否根据厂家提供的软件升级版本对网络设备进行过升级，目前的版本号为多少，升级前是否对重要文件进行备份，采取什么方式备份；
d）应访谈网络管理员，网络的外联种类有哪些，是否都得到授权与批准，由何部门或何人批准，申请和批准的过程；
1）检查是否至少每季度进行一次漏洞扫描，并对漏洞风险持续跟踪，在经过充分的验证测试后，对必要的漏洞开展修补工作；
2）检查漏洞扫描和修补报告，查看扫描和修补工作是否在恰当的时间，对可能存在的风险进行充分评估和准备，制定回退方案，备份重要数据后进行的；
3）检查漏洞扫描和修补报告，查看完成扫描和修补工作后，是否进行了验证测试，以保证网络系统的正常运行。
e）应检查是否有网络安全管理制度，查看其是否覆盖网络安全配置、安全策略、升级与打补丁、授权访问、日志保存时间、口令更新周期等方面内容；
f）应检查是否有网络漏洞扫描报告，检查扫描时间间隔与扫描周期是否一致；
g）应检查是否具有网络设备配置文件的备份文件；
检查在设备配置变更前后，是否对网络设备的配置文件进行了备份。
h）应检查是否具有内部网络外联的授权批准书。
6.2.5.5.3 结果判定
如果6.2.5.5.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.6 系统安全管理
6.2.5.6.1 测评指标
见JR/T 0060-2010 6.2.5.6。
6.2.5.6.2 测评实施
本项要求包括：
a） 应访谈系统运维负责人，询问是否指定专门的部门或人员负责系统管理，如根据业务需求和系统安全分析制定系统的访问控制策略，控制分配文件及服务的访问权限；
b） 应访谈系统管理员，询问系统日常管理的主要内容，是否有操作规程指导日常管理工作，包括重要的日常操作、参数的设置和修改等；
c） 应访谈系统管理员，询问是否定期对系统进行漏洞扫描，扫描周期多长，发现漏洞是否及时修补，在安装系统补丁前是否对重要文件进行备份，是否先在测试环境中测试通过再安装；
1）检查是否至少每季度进行一次漏洞扫描，并对漏洞风险持续跟踪，在经过充分的验证测试后，对必要的漏洞开展修补工作；
2）检查漏洞扫描和修补报告，查看扫描和修补工作是否在恰当的时间，对可能存在的风险进行充分评估和准备，制定回退方案，备份重要数据后进行的；
3）检查漏洞扫描和修补报告，查看完成扫描和修补工作后，是否进行了验证测试，以保证网络系统的正常运行。
d） 应检查是否有系统安全管理制度，查看其内容是否覆盖系统安全策略、安全配置、日志管理和日常操作流程等方面；
e） 应检查是否有系统漏洞扫描报告，检查扫描时间间隔与扫描周期是否一致；
f） 应检查是否有详细日常运行维护操作日志。
检查是否至少每月对运行日志和审计数据进行分析。
6.2.5.6.3 结果判定
如果6.2.5.6.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.7 恶意代码防范管理
6.2.5.7.1 测评指标
见JR/T 0060-2010 6.2.5.7。
6.2.5.7.2 测评实施
本项要求包括：
a） 应访谈系统运维负责人，询问是否对员工进行基本恶意代码防范意识的教育，是否告知应及时升级软件版本，使用外来设备、网络上接收文件和外来计算机或存储设备接入网络系统之前进行病毒检查等；
b） 应访谈系统运维负责人，询问是否指定专人对恶意代码进行检测，发现病毒后是否及时处理；
c） 应检查是否有恶意代码防范方面的管理制度，查看其内容是否覆盖防恶意代码软件的授权使用、恶意代码库升级、定期汇报等方面。
6.2.5.7.3 结果判定
如果6.2.5.7.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.8 密码管理
6.2.5.8.1 测评指标
见JR/T 0060-2010 6.2.5.8。
6.2.5.8.2 测评实施
应访谈系统运维负责人，询问系统中是否使用密码技术和产品，密码技术和产品的使用是否遵照国家密码管理规定。
6.2.5.8.3 结果判定
如果6.2.5.8.2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.9 变更管理
6.2.5.9.1 测评指标
见JR/T 0060-2010 6.2.5.9。
6.2.5.9.2 测评实施
本项要求包括：
a） 应访谈系统运维负责人，询问是否针对系统的重大变更制定变更方案指导系统变更工作的开展；
b） 应访谈系统运维负责人，询问重要系统变更前是否得到有关领导的批准，由何人批准，对发生的变更情况是否通知了所有相关人员，以何种方式通知；
c） 应检查系统变更方案，查看其是否覆盖变更类型、变更原因、变更过程、变更前评估等方面内容；
d） 应检查重要系统的变更申请书，查看其是否有主管领导的批准签字。
6.2.5.9.3 结果判定
如果6.2.5.9.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.10 备份与恢复管理
6.2.5.10.1 测评指标
见JR/T 0060-2010 6.2.5.10。
6.2.5.10.2 测评实施
本项要求包括：
a） 应访谈系统运维负责人，询问是否识别出需要定期备份的业务信息、系统数据和软件系统，主要有哪些；
b） 应检查备份管理文档，查看其是否明确了备份方式、备份频度、存储介质和保存期等方面内容；
c） 应检查数据备份和恢复策略文档，查看其内容是否覆盖备份数据的存放场所、文件命名规则、介质替换频率、数据离站传输方法等方面。
6.2.5.10.3 结果判定
如果6.2.5.10.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.11 安全事件处置
6.2.5.11.1 测评指标
见JR/T 0060-2010 6.2.5.11。
6.2.5.11.2 测评实施
本项要求包括：
a） 应访谈系统运维负责人，询问是否告知用户在发现安全弱点和可疑事件时应及时报告；
b） 应检查是否有安全事件报告和处置管理制度，查看其是否明确安全事件的级别，明确不同级别安全事件的报告和处置方式等内容；
c） 应检查安全事件处理记录，查看其是否记录引发安全事件的原因，是否记录事件处理过程，是否与管理规定的处理要求一致等。
6.2.5.11.3 结果判定
如果6.2.5.11.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
6.2.5.12 应急预案管理
6.2.5.12.1 测评指标
见JR/T 0060-2010 6.2.5.12。
6.2.5.12.2 测评实施
本项要求包括：
a） 应访谈系统运维负责人，询问是否制定不同事件的应急预案，是否对系统相关人员进行应急预案培训，多长时间举办一次；
b） 应检查应急预案框架，查看其内容是否覆盖启动应急预案的条件、应急处理流程、系统恢复流程、事后教育和培训等方面；
c） 应检查是否具有根据应急预案框架制定的不同事件的应急预案；
6.2.5.12.3 结果判定
如果6.2.5.12.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7 第三级信息系统单元测评
7.1 安全技术测评
7.1.1 物理安全
7.1.1.1 物理位置的选择
7.1.1.1.1 测评指标
见JR/T 0060-2010 7.1.1.1。
7.1.1.1.2 测评实施
本项要求包括：
a）应访谈物理安全负责人，询问机房和办公场地所在建筑物是否具有防震、防风和防雨等能力；
b）应检查是否有机房和办公场地所在建筑物抗震设防审批文档；
检查机房和办公场地的设计、验收文档或相关证据，查看机房和办公场地所在建筑的防震能力说明。
c）应检查机房和办公场地所在建筑物是否具有防风和防雨等能力；
1）检查机房和办公场地的设计、验收文档或相关证据，查看机房和办公场地所在建筑的防风和防雨说明；
2）检查设计、验收文档是否与机房和办公场地实际情况相符合；
3）如果机房外墙壁有对外的窗户，检查是否采用了双层固定窗，并做了密封、防水处理。
d）应检查机房场地是否不在用水区域的垂直下方；
e）如果机房场地位于建筑物的高层或地下室或用水设备的隔壁，应检查机房是否采取了防水和防潮措施。
如果机房位于建筑物的顶层、地下室或用水设备的隔壁或下层，应检查是否有相应的防水和防潮措施，防水和防潮措施是否有验收合格的记录。
7.1.1.1.3 结果判定
如果7.1.1.1.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.2 物理访问控制
7.1.1.2.1 测评指标
见JR/T 0060-2010 7.1.1.2。
7.1.1.2.2 测评实施
本项要求包括：
a）应检查机房出入口是否有专人值守负责控制并鉴别进入机房的人员，是否有值守记录；
检查是否由专人负责管理机房出入，人员进出监控记录是否保存3个月以上。
b）应检查机房是否不存在专人值守之外的其他开放出入口；
c）应检查是否有来访人员进入机房的登记记录；
d）应检查是否有来访人员进入机房的申请、审批记录，查看申请、审批记录是否包括来访人员的访问范围；
检查对外来人员出入机房是否有审批流程，记录带进带出的设备、进出时间、工作内容，记录应保存3个月以上。
e）应检查来访人员进入机房时是否对其行为进行限制和监控；
应访谈物理安全负责人，了解是否有专人陪同来访人员。
f）应检查机房是否合理划分区域，是否在机房重要区域前设置交付或安装等过渡区域；是否在不同机房间和同一机房不同区域间设置了有效的物理隔离装置；
g）应检查重要区域是否配置了电子门禁系统，查看电子门禁系统是否有验收文档或产品安全认证资质；
h）应检查部署在机房重要区域的电子门禁系统是否正常工作（不考虑断电后的工作情况）；检查电子门禁系统记录，查看是否能够鉴别和记录进入人员的身份；检查是否有电子门禁系统运行、定期检查和维护记录。
7.1.1.2.3 结果判定
本项要求包括：
如果7.1.1.2.2 a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合本单元测评指标要求。
7.1.1.3 防盗窃和防破坏
7.1.1.3.1 测评指标
见JR/T 0060-2010 7.1.1.3。
7.1.1.3.2 测评实施
本项要求包括：
a）应检查主要设备等是否放置在机房内；
b）应检查主要设备等或设备的主要部件是否固定；
检查主要设备是否安装、固定在机柜内或机架上。
c）应检查主要设备等或设备的主要部件上是否设置明显的不易除去的标记；
d）应检查通信线缆铺设是否暗敷或在不易被发现的地方；
检查通信线缆是否铺设在管道或线槽、线架中。
e）应检查机房是否安装防盗报警设施，防盗报警设施是否正常运行，并查看是否有防盗报警设施的运行记录、定期检查和维护记录；
f）应检查介质是否有分类标识，是否分类存放在介质库或档案室内；
g）应检查机房是否安装摄像、传感等监控报警系统，监控报警系统是否正常运行，并查看是否有监控报警系统的监控记录、定期检查和维护记录；
h）应检查是否有机房防盗报警设施和监控报警设施的安全资质材料、安装测试和验收报告。
7.1.1.3.3 结果判定
如果7.1.1.3.2a）-h）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.4 防雷击
7.1.1.4.1 测评指标
见JR/T 0060-2010 7.1.1.4。
7.1.1.4.2 测评实施
本项要求包括：
a）应访谈物理安全负责人，询问机房所在建筑物是否设置了避雷装置，是否通过验收或国家有关部门的技术检测；
b）应访谈物理安全负责人，询问机房是否设置有交流电源地线；
c）应检查机房所在建筑物的防雷验收文档中是否有设置避雷装置的说明；
d）应检查机房防雷验收文档中是否有设置交流电源地线的说明；
e）应检查机房是否安装防止感应雷的防雷装置，防雷装置是否通过了具有防雷检测资质的检测部门的测试。
7.1.1.4.3 结果判定
如果7.1.1.4.2a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.5 防火
7.1.1.5.1 测评指标
见JR/T 0060-2010 7.1.1.5。
7.1.1.5.2 测评实施
本项要求包括：
a）应检查机房是否设置了自动检测火情、自动报警、自动灭火的自动消防系统，自动消防系统是否是经消防检测部门检测合格的产品，其有效期是否合格；应检查自动消防系统是否处于正常运行状态，查看是否有运行记录、定期检查和维护记录；
应检查机房的火灾自动消防系统向当地公安消防部门备案的相关材料。
b）应检查机房设计或验收文档，查看是否说明机房及相关的工作房间和辅助房采用具有耐火等级的建筑材料；
c）应检查机房重要区域与其他区域之间是否采取隔离防火措施。
7.1.1.5.3 结果判定
如果7.1.1.5.2a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.6 防水和防潮
7.1.1.6.1 测评指标
见JR/T 0060-2010 7.1.1.6。
7.1.1.6.2 测评实施
本项要求包括：
a）应检查机房屋顶或活动地板下是否未安装水管；
b）应检查穿过机房墙壁或楼板的给水排水管道是否采取防渗漏和防结露等防水保护措施；
1）检查与机房设备无关的水管是否穿过机房屋顶和活动地板下；
2）检查机房屋顶和活动地板下铺有水管的，是否采取了有效的防水措施。
c）应检查机房的窗户、屋顶和墙壁等是否未出现过漏水、渗透和返潮现象，机房的窗户、屋顶和墙壁是否进行过防水防渗处理；
d）如果机房内安装有空调机和加湿器，应检查是否设置了挡水和排水设施；
e）如果机房位于湿度较高的地区，应检查机房是否有除湿装置并能够正常运行，是否有防水防潮处理记录和除湿装置运行记录、定期检查和维护记录；
f）应检查是否设置对水敏感的检测仪表或元件，对机房进行防水检测和报警，查看该仪表或元件是否正常运行，是否有运行记录、定期检查和维护记录。
7.1.1.6.3 结果判定
如果7.1.1.6.2a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.7 防静电
7.1.1.7.1 测评指标
见JR/T 0060-2010 7.1.1.7。
7.1.1.7.2 测评实施
本项要求包括：
a）应检查主要设备是否有安全接地构造或其他静电泄放措施；
b）应检查机房是否采用了防静电地板或敷设防静电地面。
7.1.1.7.3 结果判定
如果7.1.1.7.2a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.8 温湿度控制
7.1.1.8.1 测评指标
见JR/T 0060-2010 7.1.1.8。
7.1.1.8.2 测评实施
本项要求包括：
a）应检查机房内是否配备了温湿度自动调节设施，温湿度自动调节设施是否能够正常运行，机房温度、相对湿度是否满足电子信息设备的使用要求；
检查机房开机时温度是否控制在JR/T 0060-2010的相关要求之内。
b）应检查是否有机房的温湿度记录，是否有温湿度自动调节设施的运行记录、定期检查和维护记录。
7.1.1.8.3 结果判定
如果7.1.1.8.2a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.9 电力供应
7.1.1.9.1 测评指标
见JR/T 0060-2010 7.1.1.9。
7.1.1.9.2 测评实施
本项要求包括：
a）应访谈物理安全负责人，询问是否采用冗余或并行的电力电缆线路为计算机系统供电；
1）检查机房是否采用了双路市电；
2）检查双路市电线路切换记录或供电部门相关协议，查看双路市电是否能够自动切换。
b）应检查机房的计算机系统供电线路上是否设置了稳压器和过电压防护设备，这些设备是否正常运行，查看供电电压是否正常；
c）应检查机房计算机系统是否配备了短期备用电源设备，短期备用电源设备是否正常运行；
检查是否配备了UPS，查看UPS实际供电能力是否能够满足主要设备在断电情况下正常运行2个小时以上。
d）应检查是否为机房计算机系统建立了备用供电系统，备用供电系统的基本容量是否能够满足主要设备的正常运行；
1）检查是否配备或租用了发电机，如果是租用发电机，应检查租用发电机的合同或相关证明材料；
2）检查发电机储油是否能够确保发电机持续供电，并采取了有效措施确保发电机用油的及时补充。
e）应检查是否有稳压器、过电压防护设备、短期备用电源设备以及备用供电系统等设备的检查和维护记录，备用供电系统运行记录、定期检查和维护记录。
7.1.1.9.3 结果判定
如果7.1.1.9.2a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.1.10 电磁防护
7.1.1.10.1 测评指标
见JR/T 0060-2010 7.1.1.10。
7.1.1.10.2 测评实施
本项要求包括：
a）应检查机房设备外壳是否有安全接地；
b）应检查机房布线，查看是否做到电源线和通信线缆隔离；
检查电源线和通信线缆是否铺设在不同的桥架或者管道内。
c）应检查磁介质和处理秘密级信息的设备是否存放在具有电磁屏蔽功能的容器中。
7.1.1.10.3 结果判定
如果7.1.1.10.2a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.2 网络安全
7.1.2.1 结构安全
7.1.2.1.1 测评指标
见JR/T 0060-2010 7.1.2.1。
7.1.2.1.2 测评实施
本项要求包括：
a）应检查网络设计或验收文档，查看是否有满足主要网络设备业务处理能力需要的设计或描述；
b）应检查网络设计或验收文档，查看是否有满足接入网络及核心网络的带宽业务高峰期的需要以及不存在带宽瓶颈等方面的设计或描述；
检查网络监控日志，查看主要网络设备近一年的CPU负载的峰值是否小于30%。
c）应检查边界和主要网络设备的路由控制策略，查看是否建立安全的访问路径；
d）应检查网络拓扑结构图，查看其与当前运行的实际网络系统是否一致；
检查网络拓扑结构图是否完整，是否有相应的网络配置表，包含设备IP地址等主要信息，与当前运行情况相符，并及时更新。
e）应检查网络设计或验收文档，查看是否有根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网和网段分配地址段的设计或描述；
f）应检查边界和主要网络设备，查看重要网段是否采取了技术隔离手段与其他网段隔离；
测试业务终端与业务服务器之间的访问路径，验证业务终端与业务服务器之间的访问路径是否安全。
g）应检查边界和主要网络设备，查看是否配置对带宽进行控制的策略，这些策略是否能够保证在网络发生拥堵的时候优先保护重要业务。
检查带宽分配原则及相应的带宽控制策略是否是根据所有业务重要性、优先级制定的。
7.1.2.1.3 结果判定
如果7.1.2.1.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.2.2 访问控制
7.1.2.2.1 测评指标
见JR/T 0060-2010 7.1.2.2。
7.1.2.2.2 测评实施
本项要求包括：
a）应检查边界网络设备的访问控制策略，查看其是否根据会话状态信息对数据流进行控制，控制粒度是否为端口级；
b）应检查边界网络设备的访问控制策略，查看其是否对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；
应检查是否对通过互联网传输的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等通用性协议命令级控制。
c）应检查边界网络设备，查看是否有会话处于非活跃的时间或会话结束后自动终止网络连接的配置，查看是否设置网络最大流量数及网络连接数；
d）应检查边界和主要网络设备地址绑定配置，查看重要网段是否采取了地址绑定的措施；
e）应测试边界网络设备，可通过试图访问未授权的资源，验证访问控制措施对未授权的访问行为的控制是否有效，控制粒度是否为单个用户；
f）应检查边界网络设备的拨号用户列表，查看其是否对具有拨号访问权限的用户数量进行限制；
1）检查是否禁止了通过互联网对重要信息系统进行远程维护和管理；
2）测试是否存在拨号接入网络的方式；如果存在拨号接入，检查边界网络设备（如路由器，防火墙，认证网关），查看是否正确的配置了拨号访问控制列表（对系统资源实现允许或拒绝访问）。
g）应对网络访问控制措施进行渗透测试，可通过采用多种渗透测试技术，验证网络访问控制措施不存在明显弱点。
应当从互联网和电话系统向被测对象进行渗透测试。
7.1.2.2.3 结果判定
如果7.1.2.2.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.2.3 安全审计
7.1.2.3.1 测评指标
见JR/T 0060-2010 7.1.2.3。
7.1.2.3.2 测评实施
本项要求包括：
a） 应检查边界和主要网络设备的安全审计策略，查看是否包含网络系统中的网络设备运行状况、网络流量、用户行为等；
b） 应检查边界和主要网络设备的安全审计记录，查看是否包括：事件的日期和时间、用户、事件类型、事件成功情况，及其他与审计相关的信息；
c） 应检查边界和主要网络设备，查看是否为授权用户浏览和分析审计数据提供专门的审计工具，并能根据需要生成审计报表；
d） 应测试边界和主要网络设备，可通过以某个非审计用户登录系统，试图删除、修改或覆盖审计记录，验证安全审计的保护情况与要求是否一致。
7.1.2.3.3 结果判定
如果7.1.2.3.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.2.4 边界完整性检查
7.1.2.4.1 测评指标
见JR/T 0060-2010 7.1.2.4。
7.1.2.4.2 测评实施
本项要求包括：
a） 应检查边界完整性检查设备的非法外联和非授权接入策略，查看是否设置了对非法连接到内网和非法连接到外网的行为进行监控并有效的阻断的配置；
b） 应测试边界完整性检查设备，测试是否能够确定出非法外联设备的位置，并对其进行有效阻断；
c） 应测试边界完整性检查设备，测试是否能够对非授权设备私自接入内部网络的行为进行检查，并准确定出位置，对其进行有效阻断。
7.1.2.4.3 结果判定
如果7.1.2.4.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.2.5 入侵防范
7.1.2.5.1 测评指标
见JR/T 0060-2010 7.1.2.5。
7.1.2.5.2 测评实施
本项要求包括：
a）应检查网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等；
检查入侵防范设备是否根据系统应用要求进行了规则配置。
b）应检查网络入侵防范设备的入侵时间记录，查看记录中是否包括入侵的源IP、攻击的类型、攻击的目的、攻击的时间等；
c）应检查网络入侵防范设备的规则库版本，查看其规则库是否及时更新；
d）应测试网络入侵防范设备，验证其检测策略是否有效；
e）应测试网络入侵防范设备，验证其报警策略是否有效。
7.1.2.5.3 结果判定
如果7.1.2.5.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.2.6 恶意代码防范
7.1.2.6.1 测评指标
见JR/T 0060-2010 7.1.2.6。
7.1.2.6.2 测评实施
本项要求包括：
a）应检查在网络边界及核心业务网段处是否有相应的防恶意代码措施；
1）如果部署了主机恶意代码检测系统，可选择安装部署网络边界恶意代码检测系统；
2）部署网络边界恶意代码防范产品，应检查部署后网络性能是否足够。
b）应检查防恶意代码产品，查看其运行是否正常，恶意代码库是否及时更新。
可对不同安全域区别对待，在确保系统安全运行的前提下，更新恶意代码库。
7.1.2.6.3 结果判定
如果7.1.2.6.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.2.7 网络设备防护
7.1.2.7.1 测评指标
见JR/T 0060-2010 7.1.2.7。
7.1.2.7.2 测评实施
本项要求包括：
a）应检查边界和主要网络设备的设备防护策略，查看是否配置了对登录用户进行身份鉴别的功能；
b）应检查边界和主要网络设备的设备防护策略，查看是否对网络设备的登录地址进行了限制；
c）应检查边界和主要网络设备的帐户列表，查看用户标识是否唯一；
检查是否已经删除默认用户或修改默认用户的口令，根据管理需要开设用户，不得使用缺省口令、空口令、弱口令。
d）应检查边界和主要网络设备，查看是否对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；
1）检查远程方式登录网络设备是否采用两种或两种以上组合的鉴别技术进行身份鉴别；
2）检查本地控制台管理网络设备是否采用一种或一种以上身份鉴别技术。
e）应检查边界和主要网络设备的设备防护策略，查看口令设置是否有复杂度和定期修改要求；
f）应检查边界和主要网络设备的设备防护策略，查看是否配置了鉴别失败处理功能，包括结束会话、限制非法登录次数、登录连接超时自动退出等；
g）应检查边界和主要网络设备的设备防护策略，查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能；
h）应检查边界和主要网络设备的管理设置，查看是否实现设备特权用户的权限分离；
i）应对边界和主要网络设备进行渗透测试，通过使用各种渗透测试技术对网络设备进行渗透测试，验证网络设备防护能力是否符合要求。
7.1.2.7.3 结果判定
a）如果使用数字证书、动态口令卡等机制实现身份认证，7.1.2.7.2e）为肯定。
b）如果7.1.2.7.2a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
7.1.3 主机安全
7.1.3.1 身份鉴别
7.1.3.1.1 测评指标
见JR/T 0060-2010 7.1.3.1。
7.1.3.1.2 测评实施
本项要求包括：
a）应检查主要服务器操作系统和主要数据库管理系统的身份鉴别策略，查看是否提供了身份鉴别措施；
b）应检查主要服务器操作系统和主要数据库管理系统的身份鉴别策略，查看其身份鉴别信息是否具有不易被冒用的特点，如对用户登录口令的最小长度、复杂度和更换周期进行要求和限制；
c）应检查主要服务器操作系统和主要数据库管理系统的身份鉴别策略，查看是否配置了登录失败处理功能、设置了非法登录次数的限制值；查看是否设置网络登录连接超时，并自动退出；
d）如果操作系统或数据库采用远程管理方式，查看是否具有防止鉴别信息在网络传输过程中被窃听的措施；
e）应检查主要服务器操作系统和主要数据库管理系统帐户列表，查看管理员用户名或UID分配是否唯一；
