第五章 技术参数要求（招标内容）

基于信息安全的需要，按照信息安全等级保护要求，对宁夏回族自治区水利厅信息系统进行信息安全等级保护测评评估。

1. 宁夏水利网系统（三级）
2. 宁夏水资源监控管理系统（三级）
3. 国家防汛抗旱指挥系统二期工程宁夏子系统（三级）
4. 宁夏水利电子政务公共应用平台系统（二级）
5. 计划管理系统（暂定二级）
6. 基层党支部app（一级） 一、等保保护测评内容要求

测评包括但不限于以下内容：

（一 ）安全技术测评 ：包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个方面的安全测评；

（二 ）安全管理测评 ：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全测评。

1. 物理安全

根据信息系统机房和现场安全测评记录，针对机房和现场在“物理位置选择”、“物理访问控制”、“防盗窃和防破坏”、“防雷击”、“防火”、“防水和防

潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等物理安全方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

2. 网络安全

根据信息系统网络安全测评记录，针对网络方面在“结构安全”、“访问控 制”、“安全审计”、“边界完整性检查”、“入侵防范”、“恶意代码防范”、

“网络设备防护”等网络安全方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

3. 主机安全

主机安全现场测评包括对信息系统服务器的测评，测评内容包括“身份鉴别”、

“访问控制”、“安全审计”、“剩余信息保护”、“入侵防护”、“恶意代码防护”、“资源控制”。

4. 应用安全

应用安全现场测评包括对信息系统的测评，测评内容包括“身份鉴别”、“访问控制”、“安全审计”、“剩余信息保护”、“通信完整性”、“通信保密性”、 “抗抵赖”、“软件容错”、“资源控制”方面。

5. 数据安全及备份恢复

信息系统数据安全及备份恢复现场测评包括“数据完整性”、“数据保密性”、“备份和恢复”几个方面的测评。

6. 安全管理制度

根据现场安全测评记录，针对信息系统在安全管理制度方面的“管理制度”、 “制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。

7. 安全管理机构

根据现场安全测评记录，针对信息系统在安全管理机构方面的“岗位设置”、 “人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等测评指标， 判断出与其相对应的各测评项的测评结果。

8. 人员安全管理

根据现场安全测评记录，针对信息系统在人员安全管理方面的“人员录用”、 “人员离岗”、“人员考核”、“安全意识教育和培训”以及“外部人员访问管理” 等测评指标，判断出与其相对应的各测评项的测评结果。

9. 系统建设管理

根据现场安全测评记录，针对信息系统在系统建设管理方面的“系统定级”、 “安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“系统备案”、“等级测评”以及 “安全服务商选择”等测评指标，判断出与其相对应的各测评项的测评结果。

10. 系统运维管理

根据现场安全测评记录，针对信息系统在系统运维管理方面的“环境管理”、“资产管理”、“介质管理”、“设备管理”、 “监控管理和安全管理中心”、“网络安全管理”、“系统安全管理”、“恶意代码防范管理”、“密码管理”、

“变更管理”、“备份与恢复管理”、“安全事件处置”以及“应急预案管理”等测评指标，判断出与其相对应的各测评项的测评结果。

二、信息安全等级保护测评主要依据要求

主要依据如下标准实施测评：

《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》

《GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南》

《GB/T 20269-2006 信息安全技术信息系统安全管理要求》

《GB/T 20270-2006 信息安全技术网络基础安全技术要求》

《GB/T 20271-2006 信息安全技术信息系统通用安全技术要求》

《GB/T 20272-2006 信息安全技术操作系统安全技术要求》

《GB/T 20273-2006 信息安全技术数据库管理系统安全技术要求》三、等保安全测评项目实施方式

（一）测评方式

由测评服务提供方技术人员和信息系统安全人员组成专门的测评小组到宁夏回族自治区水利厅信息系统所在地进行现场安全测评，并根据测评的内容和结果出具相应的测评报告，确认宁夏回族自治区水利厅信息系统是否通过此次测评达到3/2 级等级要求。

（ 二 ）时间要求

等级测试时间不得超过宁夏水利厅根据业务进展情况与测评单位共同协商后确定的测评时段及时长。原则上等级测评工作要求在工作正式开始后的 45 个工作日内完成，包括测评现场实施和报告撰写时间。

（ 三 ）交付内容

等级测评工作项目结束后测试服务提供方须向宁夏回族自治区水利厅交付内容包括 ：

《宁夏回族自治区水利厅宁夏水利网系统信息安全等级保护测评报告》；

《宁夏回族自治区水利厅宁夏水资源监控管理系统信息安全等级保护测评报告》；

《宁夏回族自治区水利厅国家防汛抗旱指挥系统二期工程宁夏子系统信息安全等级保护测评报告》；

《宁夏回族自治区水利厅宁夏水利电子政务公共应用平台系统信息安全等级保护测评报告》；

《宁夏回族自治区水利厅计划管理系统信息安全等级保护测评报告》；

《宁夏回族自治区水利厅信息系统等级保护安全加固整改建议》。四、其他

等保测评服务提供方须遵守宁夏回族自治区水利厅信息安全相关规定，并在测评前与宁夏回族自治区水利厅签订信息保密协议。