国标委：2017年关键信息基础设施安全检查评估指南（征求意见稿）（19页）.pdf

1、GB/T ICS 35.040 L80 中华人民共和国国家标准中华人民共和国国家标准 GB/T信息安全技术 关键信息基础设施安全检查评估指南 Information security technology Guide to Security Inspection and Evaluation of Critical Information Infrastructure 征求意见稿 2017-7-01 -发布-实施中 华 人 民 共 和 国 国 家 质 量 监 督 检 验 检 疫 总 局中 华 人 民 共 和 国 国 家 质 量 监 督 检 验 检 疫 总 局 中国国家标准化管理委员会中国国家标

2、准化管理委员会 发发布布 GB/T 目 次 目 次.II前言.I引言.II信息安全技术 关键信息基础设施安全检查评估指南.11 范围.12 规范性引用文件.13 术语和定义.13.1 关键信息基础设施 critical information infrastructure.13.2 检查评估 inspection assessment.13.3 关键属性 Critical Attributes.23.4 渗透测试 penetration testing.24 缩略语.25 关键信息基础设施检查评估.25.1 合规检查.25.2 技术检测.25.3 分析评估.36 检查评估流程.36.1 工作准

3、备.36.1.1 工作启动.36.1.2 工作调研.36.1.3 方案制定.36.2 工作实施.36.2.1 实施准备.36.2.2 实施执行.46.2.3 现场确认.46.2.4 风险控制.46.3 工作总结.46.3.1 风险研判.46.3.2 报告编制.46.3.3 结果反馈.47 合规检查.47.1 合规检查要求.47.2 合规检查内容.47.2.1 关键信息基础设施认定情况.47.2.2 政策文件要求落实情况.57.2.3 安全标准执行情况.57.2.4 信息安全等级保护落实情况.57.2.5 个人信息和重要数据保护情况.57.2.6 安全管理机构设置和人员安全管理情况.5GB/T

4、7.2.7 安全管理保障体系落实情况.67.2.8 备份与恢复情况.67.2.9 应急响应与处置情况.67.3 合规检查输出.78 技术检测.78.1 主动检测要求.78.1.1 工具要求.78.1.2 检测过程要求.78.2 主动检测内容.78.2.1 信息收集.78.2.2 漏洞扫描.78.2.3 漏洞验证.78.2.4 业务安全测试.88.2.5 社会工程学测试.88.2.6 无线安全测试.88.2.7 内网安全测试.88.2.8 安全域测试.88.2.9 入侵痕迹检测.88.2.10 安全意识测试.88.2.11 安全整改情况验证.88.3 被动检测要求.88.3.1 监测设备安全要求

5、.98.3.2 监测数据安全要求.98.3.3 监测能力要求.98.3.4 监测工作要求.98.4 被动检测内容.98.4.1 信息刺探行为监测.98.4.2 漏洞利用攻击监测.98.4.3 间谍软件监测.98.4.4 病毒蠕虫攻击监测.98.4.5 木马后门攻击监测.98.4.6 恶意邮件攻击.98.4.7 Web 应用攻击和漏洞监测.98.4.8 恶意域名监测.108.4.9 异常流量监测.108.4.10 敏感信息泄露监测.108.5 技术检测输出.109 分析评估.109.1.1 关键属性分析.109.1.2 风险分析.1010 检查评估结果输出.1010.1 检查对象基本情况描述.1

6、110.2 检查评估结果说明.11附录 A（资料性附录）.1GB/T 参考文献.1 GB/T I前言 本标准按照GB/T 1.1-2009给出的规则起草。本标准由全国信息安全标准化技术委员会提出并归口。本标准主要起草单位：中国互联网络信息中心、国家信息技术安全研究中心、中国信息安全测评中心、工业和信息化部电子科学技术情报研究所、国家计算机网络应急技术处理协调中心。本标准主要起草人：GB/T II引言 关键信息基础设施（Critical Information Infrastructure）是指支撑国家关键基础设施的信息系统，包括公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重