***.****企业综合服务平台等保测评合同****.***

序号	安全子类	测评指标描述
*	物理位置的选择	测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
*	物理访问控制	测评信息系统在物理访问控制方面的安全保护能力。
*	防盗窃和防破坏	测评信息系统是否采取了必要的安全措施预防设备、介质等丢失和被破坏。
*	防雷击	测评信息系统是否采取相应的措施预防雷击。
*	防火	测评信息系统是否采取必要的措施防止火灾的发生。
*	防水和防潮	测评信息系统是否采取必要措施来防止水灾和机房潮湿。
*	防静电	测评信息系统是否采取必要措施防止静电的产生。
*	温湿度控制	测评信息系统是否采取必要措施对机房内的温湿度进行控制。
*	电力供应	测评是否具备为信息系统提供*定电力供应的能力。
**	电磁防护	测评信息系统是否具备*定的电磁防护能力。

序号	安全子类	测评指标描述
*	结构安全	测评分析网络架构与网段划分、隔离等情况的合理性和有效性。
号	安全子类	测评指标描述
*	访问控制	测试系统对外暴露漏洞情况等，测评分析信息系统对网络区域边界相关的网络隔离与访问控制能力。
*	安全审计	测评分析信息系统审计配置和审计记录保护情况。
*	边界完整性检查	测评分析信息系统私自联到外部网络的行为。
*	入侵防范	测评分析信息系统对攻击行为的识别和处理情况。
*	网络设备防护	测评网络设备自身的安全防范能力。

序号	安全子类	测评指标描述
*	身份鉴别	测评服务器的身份标识与鉴别和用户登录的配置情况。
*	自主访问控制	测评服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。
*	安全审计	测评服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。
*	入侵防范	测评服务器在运行过程中的入侵防范措施，如关闭不需要的端口和服务、最小化安装、部署入侵防范产品等。
*	恶意代码防范	测评服务器的恶意代码防范情况。
*	资源控制	测评服务器对单个用户的登录方式、网络地址范围、会话数量等的限制情况。

序号	安全子类	测评指标描述
*	身份鉴别	测评信息系统的身份标识与鉴别功能设置和使用配置情况；测评信息系统对用户登录各种情况的处理，如登录失败处理、登录连接超时等。
*	访问控制	测评信息系统的访问控制功能设置情况，如访问控制的策略、访问控制粒度、权限设置情况等。
*	安全审计	测评信息系统的安全审计配置情况，如覆盖范围、记录的项目和内容等；检查信息系统安全审计进程和记录的保护情况。
*	通信完整性	测评信息系统客户端和服务器端之间的通信完整性保护情况。
*	通信保密性	测评信息系统客户端和服务器端之间的通信保密性保护情况。
*	软件容错	测评信息系统的软件容错能力，如输入输出格式检查、自我状态监控、自我保护、回退等能力。
*	资源控制	测评信息系统的资源控制情况，如会话限定、用户登录限制、最大并发连接以及服务优先级设置等。

序号	安全子类	测评指标描述
*	数据完整性	测评操作系统、数据库管理系统的管理数据、鉴别信息和用户数据在传输和保存过程中的完整性保护情况。
*	数据保密性	测评操作系统和数据库管理系统的管理数据、鉴别信息和用户数据在传输和保存过程中的保密性保护情况。
*	数据备份和恢复	测评信息系统的安全备份情况，如重要信息的备份、硬件和线路的几余等。

序号	安全子类	测评指标描述
*	管理制度	测评信息系统管理制度在内容覆盖上是否全面、完善。
*	制定与发布	测评信息系统管理制度的制定和发布过程是否遵循*定的流程。
*	评审和修订	测评信息系统管理制度定期评审和修订情况。

序号	安全子类	测评指标描述
*	岗位设置	测评信息系统安全主管部门设置情况以及各岗位设置和岗位职责情况。
*	人员配备	测评信息系统各个岗位人员配备情况。
*	授权和审批	测评信息系统对关键活动的授权和审批情况。
*	沟通和合作	测评信息系统内部部门间、与外部单位间的沟通与合作情况。
*	审核和检查	测评信息系统安全工作的审核和检查情况。

序号	安全子类	测评指标描述
*	人员录用	测评信息系统录用人员时是否对人员提出要求以及是否对其进行各种审查和考核。
*	人员离岗	测评信息系统人员离岗时是否按照*定的手续办理。
*	人员考核	测评是否对人员进行日常的业务考核和工作审查。
*	安全意识教育和培训	测评是否对人员进行安全方面的教育和培训。
*	外部人员访问管理	测评对第*方人员访问（物理、逻辑）系统是否采取必要控制措施。

序号	安全子类	测评指标描述
*	系统定级	测评是否按照*定要求确定系统的安全等级。
*	安全方案设计	测评系统整体的安全规划设计是否按照*定流程进行。
*	产品采购和使用	测评是否按照*定的要求进行系统的产品采购。
*	自行****	测评自行开发的软件是否采取必要的措施保证开发过程的安全性。
*	外包****	测评外包开发的软件是否采取必要的措施保证开发过程的安全性和日后的维护工作能够正常开展。
*	工程实施	测评系统建设的实施过程是否采取必要的措施使其在机构可控的范围内进行。
*	测试验收	测评系统运行前是否对其进行测试验收工作。
*	系统交付	测评是否采取必要的措施对系统交付过程进行有效控制。
*	安全服务商选择	测评是否选择符合国家有关规定的安全服务单位进行相关的安全服务工作。

序号	安全子类	测评指标描述
*	环境管理	测评是否采取必要的措施对机房的出入控制以及办公环境的人员行为等方面进行安全管理。
*	资产管理	测评是否采取必要的措施对系统的资产进行分类标识管理。
*	介质管理	测评是否采取必要的措施对介质存放环境、使用、维护和销毁等方面进行管理。
*	设备管理	测评是否采取必要的措施确保设备在使用、维护和销毁等过程安全。
*	系统安全管理	测评是否采取必要的措施对网络的安全配置、网络用户权限和审计日志等方面进行有效的管理，确保网络安全运行。
*	网络安全管理	测评是否采取必要的措施对系统的安全配置、系统账户、漏洞扫描和审计日志等方面进行有效的管理。
*	恶意代码防护管理	测评是否采取必要的措施对恶意代码进行有效管理，确保系统具有恶意代码防范能力。
*	密码管理	测评是否能够确保信息系统中密码算法和密钥的使用符合国家密码管理规定。
*	变更管理	测评是否采取必要的措施对系统发生的变更进行有效管理。
**	备份和恢复管理	测评是否采取必要的措施对重要业务信息，系统数据和系统软件进行备份，并确保必要时能够对这些数据有效地恢复。
**	安全事件处置	测评是否采取必要的措施对安全事件进行等级划分和对安全事件的报告、处理过程进行有效的管理。
**	应急预案管理	测评是否针对不同安全事件制定相应的应急预案，是否对应急预案展开培训、演练和审查等。

序号	分项名称	分项价格（元）
*	****市企业综合服务平台建设项目等保测评项目	*****.**
*	交通费	含
*	工本费	含
*	税费	含
总价（元）	总价（元）	*****.**

序号	安全子类	测评指标描述
*	物理位置的选择	测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
*	物理访问控制	测评信息系统在物理访问控制方面的安全保护能力。
*	防盗窃和防破坏	测评信息系统是否采取了必要的安全措施预防设备、介质等丢失和被破坏。
*	防雷击	测评信息系统是否采取相应的措施预防雷击。
*	防火	测评信息系统是否采取必要的措施防止火灾的发生。
*	防水和防潮	测评信息系统是否采取必要措施来防止水灾和机房潮湿。
*	防静电	测评信息系统是否采取必要措施防止静电的产生。
*	温湿度控制	测评信息系统是否采取必要措施对机房内的温湿度进行控制。
*	电力供应	测评是否具备为信息系统提供*定电力供应的能力。
**	电磁防护	测评信息系统是否具备*定的电磁防护能力。

序号	安全子类	测评指标描述
*	结构安全	测评分析网络架构与网段划分、隔离等情况的合理性和有效性。
号	安全子类	测评指标描述
*	访问控制	测试系统对外暴露漏洞情况等，测评分析信息系统对网络区域边界相关的网络隔离与访问控制能力。
*	安全审计	测评分析信息系统审计配置和审计记录保护情况。
*	边界完整性检查	测评分析信息系统私自联到外部网络的行为。
*	入侵防范	测评分析信息系统对攻击行为的识别和处理情况。
*	网络设备防护	测评网络设备自身的安全防范能力。

序号	安全子类	测评指标描述
*	身份鉴别	测评服务器的身份标识与鉴别和用户登录的配置情况。
*	自主访问控制	测评服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。
*	安全审计	测评服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计进程和记录的保护情况。
*	入侵防范	测评服务器在运行过程中的入侵防范措施，如关闭不需要的端口和服务、最小化安装、部署入侵防范产品等。
*	恶意代码防范	测评服务器的恶意代码防范情况。
*	资源控制	测评服务器对单个用户的登录方式、网络地址范围、会话数量等的限制情况。

序号	安全子类	测评指标描述
*	身份鉴别	测评信息系统的身份标识与鉴别功能设置和使用配置情况；测评信息系统对用户登录各种情况的处理，如登录失败处理、登录连接超时等。
*	访问控制	测评信息系统的访问控制功能设置情况，如访问控制的策略、访问控制粒度、权限设置情况等。
*	安全审计	测评信息系统的安全审计配置情况，如覆盖范围、记录的项目和内容等；检查信息系统安全审计进程和记录的保护情况。
*	通信完整性	测评信息系统客户端和服务器端之间的通信完整性保护情况。
*	通信保密性	测评信息系统客户端和服务器端之间的通信保密性保护情况。
*	软件容错	测评信息系统的软件容错能力，如输入输出格式检查、自我状态监控、自我保护、回退等能力。
*	资源控制	测评信息系统的资源控制情况，如会话限定、用户登录限制、最大并发连接以及服务优先级设置等。

序号	安全子类	测评指标描述
*	数据完整性	测评操作系统、数据库管理系统的管理数据、鉴别信息和用户数据在传输和保存过程中的完整性保护情况。
*	数据保密性	测评操作系统和数据库管理系统的管理数据、鉴别信息和用户数据在传输和保存过程中的保密性保护情况。
*	数据备份和恢复	测评信息系统的安全备份情况，如重要信息的备份、硬件和线路的几余等。

序号	安全子类	测评指标描述
*	管理制度	测评信息系统管理制度在内容覆盖上是否全面、完善。
*	制定与发布	测评信息系统管理制度的制定和发布过程是否遵循*定的流程。
*	评审和修订	测评信息系统管理制度定期评审和修订情况。

序号	安全子类	测评指标描述
*	岗位设置	测评信息系统安全主管部门设置情况以及各岗位设置和岗位职责情况。
*	人员配备	测评信息系统各个岗位人员配备情况。
*	授权和审批	测评信息系统对关键活动的授权和审批情况。
*	沟通和合作	测评信息系统内部部门间、与外部单位间的沟通与合作情况。
*	审核和检查	测评信息系统安全工作的审核和检查情况。

序号	安全子类	测评指标描述
*	人员录用	测评信息系统录用人员时是否对人员提出要求以及是否对其进行各种审查和考核。
*	人员离岗	测评信息系统人员离岗时是否按照*定的手续办理。
*	人员考核	测评是否对人员进行日常的业务考核和工作审查。
*	安全意识教育和培训	测评是否对人员进行安全方面的教育和培训。
*	外部人员访问管理	测评对第*方人员访问（物理、逻辑）系统是否采取必要控制措施。

序号	安全子类	测评指标描述
*	系统定级	测评是否按照*定要求确定系统的安全等级。
*	安全方案设计	测评系统整体的安全规划设计是否按照*定流程进行。
*	产品采购和使用	测评是否按照*定的要求进行系统的产品采购。
*	自行****	测评自行开发的软件是否采取必要的措施保证开发过程的安全性。
*	外包****	测评外包开发的软件是否采取必要的措施保证开发过程的安全性和日后的维护工作能够正常开展。
*	工程实施	测评系统建设的实施过程是否采取必要的措施使其在机构可控的范围内进行。
*	测试验收	测评系统运行前是否对其进行测试验收工作。
*	系统交付	测评是否采取必要的措施对系统交付过程进行有效控制。
*	安全服务商选择	测评是否选择符合国家有关规定的安全服务单位进行相关的安全服务工作。

序号	安全子类	测评指标描述
*	环境管理	测评是否采取必要的措施对机房的出入控制以及办公环境的人员行为等方面进行安全管理。
*	资产管理	测评是否采取必要的措施对系统的资产进行分类标识管理。
*	介质管理	测评是否采取必要的措施对介质存放环境、使用、维护和销毁等方面进行管理。
*	设备管理	测评是否采取必要的措施确保设备在使用、维护和销毁等过程安全。
*	系统安全管理	测评是否采取必要的措施对网络的安全配置、网络用户权限和审计日志等方面进行有效的管理，确保网络安全运行。
*	网络安全管理	测评是否采取必要的措施对系统的安全配置、系统账户、漏洞扫描和审计日志等方面进行有效的管理。
*	恶意代码防护管理	测评是否采取必要的措施对恶意代码进行有效管理，确保系统具有恶意代码防范能力。
*	密码管理	测评是否能够确保信息系统中密码算法和密钥的使用符合国家密码管理规定。
*	变更管理	测评是否采取必要的措施对系统发生的变更进行有效管理。
**	备份和恢复管理	测评是否采取必要的措施对重要业务信息，系统数据和系统软件进行备份，并确保必要时能够对这些数据有效地恢复。
**	安全事件处置	测评是否采取必要的措施对安全事件进行等级划分和对安全事件的报告、处理过程进行有效的管理。
**	应急预案管理	测评是否针对不同安全事件制定相应的应急预案，是否对应急预案展开培训、演练和审查等。

序号	分项名称	分项价格（元）
*	****市企业综合服务平台建设项目等保测评项目	*****.**
*	交通费	含
*	工本费	含
*	税费	含
总价（元）	总价（元）	*****.**