安全建设管理山西省信息化和信息安全评测中心被测系统详细信息系统名称重要等级主要用途负责人评估人员评估日期签字确认IP地址安全建设管理山西省信息化和信息安全评测中心被测系统详细信息控制点测评项测评对象建设负责人7.1.9.1 定级和备案a) 应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由； 记录表单类文档b) 应组织相关部门和有关安全技术专家对定级结果的合理性和正确性进行论证和审定； 记录表单类文档c) 应保证定级结果经过相关部门的批准； 记录表单类文档d) 应将备案材料报主管部门和相应公安机关备案。记录表单类文档7.1.9.2 安全方案设计a) 应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施； 安全规划设计类文档b) 应根据保护对象的安全保护等级进行安全方案设计；安全规划设计类文档c) 应组织相关部门和有关安全专家对安全整体规划及其配套文件的合理性和正确性进行论证和审定，经过批准后才能正式实施。记录表单类文档7.1.9.3 产品采购和使用a) 应确保网络安全产品采购和使用符合国家的有关规定；记录表单类文档b) 应确保密码产品与服务的采购和使用符合国家密码管理主管部门的要求。建设负责人和记录表单类文档7.1.9.4 自行软件开发a) 应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制； b) 应保证在软件开发过程中对安全性进行测试，在软件安装前对可能存在的恶意代码进行检测。记录表单类文档7.1.9.5 外包软件开发a) 应在软件交付前检测其中可能存在的恶意代码； 记录表单类文档b) 应保证开发单位提供软件设计文档和使用指南。操作规程类文档和记录表单类文档7.1.9.6 工程实施a) 应指定或授权专门的部门或人员负责工程实施过程的管理； 记录表单类文档b) 应制定安全工程实施方案控制工程实施过程。记录表单类文档建设负责人层面得分7.1.9.7 测试验收a) 应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告； 记录表单类文档b) 应进行上线前的安全性测试，并出具安全测试报告。 记录表单类文档7.1.9.8 系统交付a) 应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点； 记录表单类文档b) 应对负责运行维护的技术人员进行相应的技能培训； 记录表单类文档c) 应提供建设过程文档和运行维护文档。 记录表单类文档7.1.9.9 等级测评a) 应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改； 运维负责人和记录表单类文档b) 应在发生重大变更或级别发生变化时进行等级测评； 运维负责人和记录表单类文档c) 应确保测评机构的选择符合国家有关规定。 等级测评报告和相关资质文件7.1.9.10 服务供应商选择a) 应确保服务供应商的选择符合国家的有关规定； b) 应与选定的服务供应商签订相关协议，明确整个服务供应链各方需履行的网络安全相关义务。 记录表单类文档测评方法及步骤应核查是否具有公安机关出具的备案证明文档。应核查是否具有交付前的恶意代码检查报告。应核查定级文档是否明确保护对象的安全保护等级，是否说明定级的方法和理由。应核查定级结果的论证评审会议记录是否有相关部门和相关安全技术专家对定级结果的论证意见。应核查定级结果部门审批文档是否有上级主管部门或本单位相关部门的审批意见。应核查安全设计文档是否根据安全保护等级选择安全措施，是否跟安全需求调整安全措施。应核查安全设计方案是否有根据安全保护等级进行设计规划。应核查配套文件的论证评审记录或文档是否有相关部门和相关安全技术专家对总体安全规划、安全设计方案等相关配套文件的批准意见和论证意见。应核查有关网络安全产品是否符合国家的相关规定，如网络安全产品获得了销售许可等。1、应访谈建设负责人是否采用了密码产品及相关服务；2、应核查密码产品与服务的采购和使用是否符合国家密码管理主管部门的要求。1、应访谈建设负责人自主开发软件是否在独立的物理环境中完成编写和调试，与实际运行环境分开；2、应核查测试数据和结果是否受控使用。应核查是否具有软件安全测试报告和代码审计报告，明确软件...
