检查审计记录是否至少保存6个月。
d）应检查服务器操作系统、重要终端操作系统和数据库管理系统的安全审计策略，查看是否为授权用户提供浏览和分析审计记录的功能，是否可以根据需要自动生成不同格式的审计报表；
e）应检查服务器操作系统、重要终端操作系统和数据库管理系统的安全审计策略，查看是否实现了集中审计功能，通过集中审计平台将服务器操作系统、重要终端操作系统和数据库管理系统的审计记录进行集中存储、管理、查看和统计分析；
f）应测试服务器操作系统、重要终端操作系统和数据库管理系统，可通过非审计员的其他帐户试图中断审计进程，验证审计进程是否受到保护。
8.1.3.5.3 结果判定
如果8.1.3.5.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.3.6 剩余信息保护
8.1.3.6.1 测评指标
见JR/T 0060-2010 8.1.3.6。
8.1.3.6.2 测评实施
应检查操作系统和数据库管理系统技术开发手册或产品检测报告，查看是否明确用户的鉴别信息存储空间被释放或再分配给其他用户前的处理方法和过程；是否明确文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前的处理方法和过程。
8.1.3.6.3 结果判定
如果8.1.3.6.2为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.3.7 入侵防范
8.1.3.7.1 测评指标
见JR/T 0060-2010 8.1.3.7。
8.1.3.7.2 测评实施
本项要求包括：
a） 应检查入侵防范系统的入侵防范策略，查看是否能够记录对服务器攻击的源IP、攻击类型、攻击目标、攻击时间等，在发生严重入侵事件时是否提供报警（如声音、短信和EMAIL等）；
应当同时检查入侵防范系统的特征库是否保持最新状态。
b） 应检查服务器是否提供对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施的功能；
c） 应检查服务器操作系统中所安装的系统组件和应用程序是否都是必须的；
d） 应检查是否设置了专门的升级服务器实现对服务器操作系统补丁的升级，是否具有操作系统补丁更新策略；
e） 应检查服务器操作系统和数据库管理系统的补丁是否得到了及时更新；
检查是否持续跟踪厂商提供的系统升级更新情况，对关键性补丁是否进行充分的评估测试，并记录了相关评估情况和升级过程。
f） 应渗透测试服务器操作系统和数据库管理系统，查看入侵防范系统是否及时正确记录了本次攻击行为，并自动报警。
8.1.3.7.3 结果判定
如果8.1.3.7.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.3.8 恶意代码防范
8.1.3.8.1 测评指标
见JR/T 0060-2010 8.1.3.8。
8.1.3.8.2 测评实施
本项要求包括：
a）应检查服务器的恶意代码防范策略，查看是否安装了实时检测与查杀恶意代码的软件产品，并且及时更新了软件版本和恶意代码库；
应检查关键服务器的恶意代码防范策略，对支持安装防恶意代码软件的主机操作系统，查看是否安装了实时检测与查杀恶意代码的软件产品，并且及时更新了软件版本和恶意代码库。
b）应检查主机防恶意代码软件或硬件，查看其厂家名称、产品版本号和恶意代码库名称等，查看其是否与网络防恶意代码软件有不同的恶意代码库；
1）可对不同安全域区别对待，检查恶意代码库是否根据实际情况保持最新状态；
2）对不支持恶意代码检测系统的主机操作系统，应当检查是否采取了等效的恶意代码防范措施。
c）应检查主机防恶意代码软件是否实现了统一管理。
8.1.3.8.3 结果判定
如果8.1.3.8.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.3.9 资源控制
8.1.3.9.1 测评指标
见JR/T 0060-2010 8.1.3.9。
8.1.3.9.2 测评实施
本项要求包括：
a） 应检查服务器操作系统和数据库管理系统的资源访问策略，查看是否设定了终端接入方式、网络地址范围等条件限制终端登录；
b） 应检查访问服务器的终端是否都设置了操作超时锁定的配置；
c） 应检查服务器操作系统的资源访问策略，查看是否对CPU、硬盘、内存和网络等资源的使用情况进行监控；
d） 应检查服务器操作系统和数据库管理系统的资源访问策略，查看是否设置了单个用户或应用对系统资源的最大或最小使用限度；
e） 应检查服务器操作系统和数据库管理系统的资源访问策略，查看是否在服务水平降低到预先规定的阈值时，能检测和报警。
8.1.3.9.3 结果判定
如果8.1.3.9.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4 应用安全
8.1.4.1 身份鉴别
8.1.4.1.1 测评指标
见JR/T 0060-2010 8.1.4.1。
8.1.4.1.2 测评实施
本项要求包括：
a）应检查应用系统，查看是否提供身份标识和鉴别功能；
b）应检查应用系统，查看是否采用了两种或两种以上组合的身份鉴别技术来进行身份鉴别，并且至少有一种是不可伪造的；
1）检查当管理用户通过受控本地控制台管理应用系统时，是否采用了一种或一种以上身份鉴别技术；
2）检查当管理用户以远程方式登录应用系统，是否采用了两种或两种以上组合的鉴别技术进行身份鉴别；
3）检查面向互联网服务的系统是否向用户提供两种或两种以上组合的鉴别技术供用户选择。
c）应检查应用系统，查看是否采用了措施保证身份标识具有唯一性，是否对登录用户的口令最小长度、复杂度和更换周期等进行了要求和限制，保证身份鉴别信息不易被冒用；
d）应检查应用系统，查看是否提供登录失败处理功能，是否根据安全策略设置了登录失败次数等参数；
e）应测试应用系统，可通过试图以合法和非法用户分别登录系统，验证身份标识和鉴别功能是否有效；
f）应测试应用系统，可通过多次输入错误的密码，验证登录失败处理功能是否有效；
g）应渗透测试应用系统，如多次猜测用户口令，验证应用系统身份标识和鉴别功能是否不存在明显的弱点。
应当从互联网向被测试对象进行渗透测试。
8.1.4.1.3 结果判定
如果8.1.4.1.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.2 安全标记
8.1.4.2.1 测评指标
见JR/T 0060-2010 8.1.4.2。
8.1.4.2.2 测评实施
本项要求包括：
a）应检查设计、验收文档或源代码，查看文档中是否有应用系统采用敏感标记的说明；
b）应检查应用系统，查看是否能对所有主体和客体设置敏感标记，这些敏感标记是否构成多级安全模型的属性库，主体和客体的敏感标记是否以默认方式生成或由安全员建立、维护和管理；
c）应测试应用系统，对主体和客体设置敏感标记，以授权用户和非授权用户身份访问客体，验证是否只有授权用户可以访问客体，而非授权用户不能访问客体。
8.1.4.2.3 结果判定
如果8.1.4.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.3 访问控制
8.1.4.3.1 测评指标
见JR/T 0060-2010 8.1.4.3。
8.1.4.3.2 测评实施
本项要求包括：
a）应检查应用系统，查看是否依据安全策略控制用户对文件、数据库表等客体的访问；
b）应检查应用系统，查看其访问控制的覆盖范围是否包括与信息安全直接相关的主体、客体及它们之间的操作；
c）应检查应用系统，查看其是否有由授权用户设置其它用户访问系统功能和用户数据的权限的功能；
d）应检查应用系统的用户列表，查看其是否不存在默认帐户，如果有是否禁止了默认帐户的访问；
e）应检查应用系统的用户角色或权限的分配情况，查看是否仅授予不同帐户为完成各自承担任务所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约，如系统管理员不能进行审计操作、审计员不能进行系统管理操作等；
f）应检查应用系统，查看其是否具有通过比较安全标签来确定是授予还是拒绝主体对客体的访问的功能；
g）应测试应用系统，可通过以不同权限的用户登录系统，查看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效；
h）应测试应用系统，可通过以默认用户登录系统并进行一些操作，查看系统是否禁止了默认帐户的访问；
i）应渗透测试应用系统，进行试图绕过访问控制的操作，验证应用系统的访问控制功能是否不存在明显的弱点。
8.1.4.3.3 结果判定
如果8.1.4.3.2 a）-i）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.4 可信路径
8.1.4.4.1 测评指标
见JR/T 0060-2010 8.1.4.4。
8.1.4.4.2 测评实施
本项要求包括：
a）应检查设计或验收文档，查看文档中是否有在系统对用户进行身份鉴别和用户对系统进行访问时系统与用户之间能够建立一条安全的信息传输路径的描述；
b）应检查应用系统，可通过查看系统对用户进行身份鉴别和用户对系统进行访问的路径，分析在系统对用户进行身份鉴别和用户对系统进行访问时系统能否在系统与用户之间建立一条安全的信息传输路径。
8.1.4.4.3 结果判定
如果8.1.4.4.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.5 安全审计
8.1.4.5.1 测评指标
见JR/T 0060-2010 8.1.4.5。
8.1.4.5.2 测评实施
本项要求包括：
a）应检查关键应用系统，查看审计范围是否覆盖到每个用户，审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等；
b）应检查应用系统的审计记录，查看是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容；
检查审计记录是否至少保存6个月。
c）应检查应用系统，查看是否为授权用户浏览和分析审计数据提供专门的审计分析功能，并能根据需要生成审计报表；
d）应检查应用系统，查看是否有集中审计接口，并根据信息系统的统一安全策略实现集中审计；
e）应测试主要应用系统，在应用系统上试图产生一些重要的安全相关事件（如用户登录、修改用户权限等），查看应用系统是否对其进行了审计，验证应用系统安全审计的覆盖情况是否覆盖到每个用户；如果进行了审计则查看审计记录内容是否包含事件的日期、时间、发起者信息、类型、描述和结果等；
f）应测试应用系统，试图非授权终止审计进程或审计功能，非授权删除、修改或覆盖审计记录，查看安全审计进程和记录的保护情况。
进行中断审计进程的操作，检查审计进程是否作为应用系统整体进程中的一部分且不能单独中断。
8.1.4.5.3 结果判定
如果8.1.4.5.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.6 剩余信息保护
8.1.4.6.1 测评指标
见JR/T 0060-2010 8.1.4.6。
8.1.4.6.2 测评实施
本项要求包括：
a）应检查设计、验收文档或源代码，查看其是否有关于系统在释放或再分配鉴别信息所在存储空间给其他用户前如何将其进行完全清除（无论这些信息是存放在硬盘上还是在内存中）的描述；
b）应检查设计、验收文档或源代码，查看其是否有关于释放或重新分配系统内文件、目录和数据库记录等资源所在存储空间给其他用户前进行完全清除的描述；
c）应测试主要应用系统，用某用户登录系统并进行操作后，在该用户退出后用另一用户登录，试图操作（读取、修改或删除等）其他用户产生的文件、目录和数据库记录等资源，查看操作是否不成功，验证系统提供的剩余信息保护功能是否正确（确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除）。
8.1.4.6.3 结果判定
如果8.1.4.6.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.7 通信完整性
8.1.4.7.1 测评指标
见JR/T 0060-2010 8.1.4.7。
8.1.4.7.2 测评实施
本项要求包括：
a）应检查设计、验收文档或源代码，查看是否有关于保护通信完整性的说明，如果有则查看是否有根据校验码判断对方数据有效性，以及散列（Hash）密码计算报文校验码的描述；
b）应测试应用系统，可通过获取通信双方的数据包，查看通信报文是否含有的校验码。
当通过互联网、卫星网进行通信时，应通过截包分析，检查通信报文是否经过加密保护。
8.1.4.7.3 结果判定
如果8.1.4.7.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.8 通信保密性
8.1.4.8.1 测评指标
见JR/T 0060-2010 8.1.4.8。
8.1.4.8.2 测评实施
本项要求包括：
a）应检查应用系统，查看其是否基于硬件化的设备，产生密钥，进行加解密运算；
b）应检查相关证明材料（证书），查看主要应用系统采用的密码算法是否符合国家有关部门的要求；
c）应测试应用系统，通过获取通信双方数据包并查看数据包的内容，查看系统是否能在通信双方建立连接之前，利用密码技术进行会话初始化验证；在通信过程中，是否对整个报文或会话过程进行加密。
对通过互联网、卫星网进行通信的系统，检查是否对整个报文或会话过程进行加密。
8.1.4.8.3 结果判定
本项要求包括：
a）如果8.1.4.8.2 b）缺少相关文档材料，则为否定；
b）如果8.1.4.8.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.9 抗抵赖
8.1.4.9.1 测评指标
见JR/T 0060-2010 8.1.4.9。
8.1.4.9.2 测评实施
本项要求包括：
a）如果业务应用有明确的抗抵赖需求，则应检查应用系统是否提供在请求的情况下为数据原发者和接收者提供数据原发证据的功能；是否提供在请求的情况下为数据原发者和接收者提供数据接收证据的功能；
b）如果业务应用有明确的抗抵赖需求，则应测试应用系统，通过双方进行通信，查看系统是否提供在请求的情况下为数据原发者和接收者提供数据原发证据的功能；系统是否提供在请求的情况下为数据原发者和接收者提供数据接收证据的功能。
1）检查应用系统的操作与管理记录，查看是否包括操作时间、操作人员及操作类型、操作内容等信息；
2）检查交易系统日志记录，查看是否包括业务流水号、账户名、IP地址、交易指令等用户交易行为数据。
8.1.4.9.3 结果判定
如果8.1.4.9.2 a）和b）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.10 软件容错
8.1.4.10.1 测评指标
见JR/T 0060-2010 8.1.4.10。
8.1.4.10.2 测评实施
本项要求包括：
a）应检查设计或验收文档，查看应用系统有对人机接口输入或通信接口输入的数据进行有效性检验功能的说明；
b）应测试应用系统，查看应用系统是否能明确拒绝不符合格式要求数据；
c）应测试应用系统，验证是否提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复；
d）应测试应用系统，验证是否具有自动恢复能力，当故障发生时，是否能立即启动新的进程，恢复原来的工作状态。
8.1.4.10.3 结果判定
如果8.1.4.10.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.4.11 资源控制
8.1.4.11.1 测评指标
见JR/T 0060-2010 8.1.4.11。
8.1.4.11.2 测评实施
本项要求包括：
a）应检查应用系统的配置参数，查看是否提供对最大并发会话连接数进行限制；
b）应检查应用系统，查看是否对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；
c）应检查应用系统，查看是否有服务水平最小值的设定，当系统的服务水平降低到预先设定的最小值时，系统报警，并合理自动调整资源分配；
d）应检查应用系统，查看是否能根据安全策略设定主体的服务优先级，根据优先级分配系统资源；
e）应测试应用系统，当应用系统的通信双方中的一方在一段时间内未作任何响应，查看另一方是否能够自动结束会话；
f）应测试应用系统，可通过对系统进行超过规定的单个帐户的多重并发会话数进行连接，验证系统是否能够正确地限制单个帐户的多重并发会话数；
g）应测试应用系统，可试图使服务水平降低到预先规定的最小值，验证系统是否能够正确检测并报警。
8.1.4.11.3 结果判定
如果8.1.4.11.2 a）-g）肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.5 数据安全及备份恢复
8.1.5.1 数据完整性
8.1.5.1.1 测评指标
见JR/T 0060-2010 8.1.5.1。
8.1.5.1.2 测评实施
本项要求包括：
a）如果网络设备、主机操作系统和数据库管理系统能够进行远程管理，则应查看其能否检测系统管理数据（如配置文件）、鉴别信息在传输过程中完整性受到了破坏，并在检测到完整性错误时采取必要的恢复措施；
b）应检查应用系统的设计、验收文档或源代码，查看是否有关于能检测系统管理数据、鉴别信息和重要业务数据传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施的描述；
c）应检查网络设备、操作系统和数据库管理系统，查看是否配备检测系统管理数据（如配置文件）和鉴别信息在存储过程中完整性受到破坏的功能，并在检测到完整性错误时是否能采取必要的恢复措施；
d）应检查应用系统，查看是否配备检测系统管理数据、鉴别信息和业务数据在存储过程中完整性受到破坏的功能，并在检测到完整性错误时是否能采取必要的恢复措施；
e）应检查网络设备、操作系统、数据库管理系统和应用系统中是否为重要通信提供专用通信协议或安全通信协议服务，避免来自基于通用通信协议的攻击破坏数据完整性。
8.1.5.1.3 结果判定
如果8.1.5.1.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.5.2 数据保密性
8.1.5.2.1 测评指标
见JR/T 0060-2010 8.1.5.2。
8.1.5.2.2 测评实施
本项要求包括：
a） 应检查网络设备、操作系统和数据库管理系统，查看其管理数据和鉴别信息是否采用加密或其他有效措施实现了传输和存储保密性；
b） 应检查应用系统，查看其管理数据、鉴别信息和重要业务数据是否采用加密或其他有效措施实现传输和存储保密性；
c） 应检查网络设备、操作系统、数据库管理系统和应用系统中是否为重要通信提供专用通信协议或安全通信协议服务，避免来自基于通用通信协议的攻击破坏数据保密性；
d） 应测试操作系统、网络设备操作系统、数据库管理系统和应用系统，可通过用嗅探工具获取系统传输数据包，查看是否为密文。
如果通过互联网、卫星网传递系统管理数据、鉴别信息和重要业务数据时，采用抓包分析工具进行抓包分析，验证其是否采取加密方式进行传输。
8.1.5.2.3 结果判定
如果8.1.5.2.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.1.5.3 备份和恢复
8.1.5.3.1 测评指标
见JR/T 0060-2010 8.1.5.3。
8.1.5.3.2 测评实施
本项要求包括：
a） 应检查是否对网络设备、主机操作系统、数据库管理系统和应用系统的重要信息进行了备份，备份方式（如是否为完全数据备份）、频率和介质存放方式是否达到相关标准的要求，是否定期对备份数据进行恢复测试；
b） 应检查是否建立了异地灾难备份中心，能否对业务应用进行实时无缝切换；
c） 应检查能否对网络设备、主机操作系统、数据库管理系统和应用系统的重要信息进行实时异地备份，实时将数据备份到灾难备份中心；
d） 应检查网络设备、主要主机操作系统、主要数据库管理系统和主要应用系统是否对重要信息进行了异地数据备份；
e） 应检查网络拓扑结构是否不存在关键节点的单点故障；
f） 应检查网络设备、通信线路和数据处理系统（如包含数据库管理系统在内的数据库服务器）是否提供硬件冗余；
g） 如果条件允许，应验证能否对业务应用进行实时无缝切换。
8.1.5.3.3 结果判定
如果8.1.5.3.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2 安全管理测评
8.2.1 安全管理制度
8.2.1.1 管理制度
8.2.1.1.1 测评指标
见JR/T 0060-2010 8.2.1.1。
8.2.1.1.2 测评实施
本项要求包括：
a）应访谈安全主管，询问机构是否形成全面的信息安全管理制度体系，制度体系是否由总体方针、安全策略、管理制度、操作规程等构成；
b）应检查信息安全工作的总体方针和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、原则和安全框架等；
c）应检查各项安全管理制度，查看是否覆盖物理、网络、主机系统、数据、应用、建设和运维等层面的管理内容；
d）应检查是否具有日常管理操作的操作规程（如系统维护手册和用户操作规程等）。
8.2.1.1.3 结果判定
如果8.2.1.1.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2.1.2 制定和发布
8.2.1.2.1 测评指标
见JR/T 0060-2010 8.2.1.2。
8.2.1.2.2 测评实施
本项要求包括：
a）应访谈安全主管，询问是否由专门的部门或人员负责制定安全管理制度；
b）应访谈安全主管，询问安全管理制度是否能够发布到相关人员手中，是否对制定的安全管理制度进行论证和审定，是否按照统一的格式标准或要求制定，对有密级的管理制度是否采取相应措施有效管理；
c）应检查制度制定和发布要求管理文档，查看文档是否说明安全管理制度的制定和发布程序、格式要求、版本编号和密级标注方法等相关内容；
d）应检查管理制度评审记录，查看是否有相关人员的评审意见；
e）应检查各项安全管理制度文档，查看文档是否是正式发布的文档，是否注明适用和发布范围，是否有版本标识，是否有密级标注，是否有管理层的签字或单位盖章；查看各项制度文档格式是否统一；
f）应检查安全管理制度的收发登记记录，查看是否通过正式、有效的方式收发（如正式发文、领导签署和单位盖章等），是否注明发布范围。
8.2.1.2.3 结果判定
如果8.2.1.2.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2.1.3 评审和修订
8.2.1.3.1 测评指标
见JR/T 0060-2010 8.2.1.3。
8.2.1.3.2 测评实施
本项要求包括：
a）应访谈安全主管，询问是否由信息安全领导小组负责定期对安全管理制度体系的合理性和适用性进行审定，是否有专门部门或人员负责制度的日常维护；
b）应访谈安全主管，询问评审和修订有密级的安全管理制度时对参加评审和修订的人员是否考虑到相应保密要求；
c）应检查是否具有需要定期修订的安全管理制度列表，查看列表是否注明修订周期；
d）应检查是否具有安全管理制度体系的评审记录，查看记录的日期间隔与评审周期是否一致，是否记录了相关人员的评审意见；
检查是否至少每年对安全管理制度体系进行评审，评审记录是否完整。
e）应检查是否具有安全管理制度的检查或评审记录，查看记录的日期间隔与评审周期是否一致；如果对制度做过修订，检查是否有修订版本的安全管理制度。
检查是否至少每年或在发生重大变更时，对安全管理制度进行检查，评审记录是否完整，对存在不足或需要改进的安全管理制度进行了修订。
8.2.1.3.3 结果判定
如果8.2.1.3.2 a）-e）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2.2 安全管理机构
8.2.2.1 岗位设置
8.2.2.1.1 测评指标
见JR/T 0060-2010 8.2.2.1。
8.2.2.1.2 测评实施
本项要求包括：
a）应访谈安全主管，询问是否设立指导和管理信息安全工作的委员会或领导小组，其最高领导是否由单位主管领导委任或授权的人员担任；
b）应访谈安全主管，询问是否设立专职的安全管理机构（即信息安全管理工作的职能部门），是否明确各部门的职责分工；
c）应访谈安全主管，询问信息系统是否设置了系统管理员、网络管理员和安全管理员等岗位，各个岗位的职责分工是否明确；是否设立安全管理各个方面的负责人；
d）应访谈安全主管、安全管理各个方面的负责人、系统管理员、网络管理员和安全管理员，询问其是否明确其岗位职责；
e）应检查部门、岗位职责文件，查看文件是否明确安全管理机构的职责，是否明确机构内各部门的职责和分工，部门职责是否涵盖物理、网络和系统安全等各个方面；查看文件是否明确设置安全主管、安全管理各个方面的负责人、系统管理员、网络管理员、安全管理员等各个岗位职责；查看文件是否明确各个岗位人员应具有的技能要求；
f）应检查是否具有信息安全管理委员会或领导小组成立的正式文件；
g）应检查信息安全管理委员会或领导小组职责文件，查看是否明确委员会或领导小组职责和其最高领导岗位的职责。
8.2.2.1.3 结果判定
如果8.2.2.1.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2.2.2 人员配备
8.2.2.2.1 测评指标
见JR/T 0060-2010 8.2.2.2。
8.2.2.2.2 测评实施
本项要求包括：
a）应访谈安全主管，询问各个安全管理岗位是否配备了一定数量的人员，对关键事务岗位是否配备多人；
b）应检查人员配备要求管理文档，查看是否明确应配备系统管理员、网络管理员、安全管理员等重要岗位人员并明确应配备专职的安全管理员；查看是否明确关键事务的管理人员应配备2人或2人以上共同管理；
c）应检查安全管理各岗位人员信息表，查看其是否明确系统管理员、网络管理员和安全管理员等重要岗位人员的信息，安全管理员是否是专职人员。
8.2.2.2.3 结果判定
如果8.2.2.2.2 a）-c）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2.2.3 授权和审批
8.2.2.3.1 测评指标
见JR/T 0060-2010 8.2.2.3。
8.2.2.3.2 测评实施
本项要求包括：
a）应访谈安全主管，询问其是否规定对信息系统中的关键活动进行审批，审批活动是否得到授权；是否定期审查、更新审批项目；
应调阅相关内部审批记录，抽查部分授权和审批过程。
b）应检查审批管理制度文档，查看文档是否明确审批事项、需逐级审批的事项、审批部门、批准人等，是否明确系统变更、重要操作、物理访问和系统接入等事项的审批流程；是否明确需定期审查、更新审批的项目、审批部门、批准人和审查周期等；
检查审查工作是否至少每年开展一次。
c）应检查经逐级审批的文档，查看是否具有各级批准人的签字和审批部门的盖章；
d）应检查关键活动的审批过程记录，查看记录的审批程序与文件要求是否一致。
8.2.2.3.3 结果判定
如果8.2.2.3.2 a）-d）均为肯定，则该测评指标符合要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2.2.4 沟通和合作
8.2.2.4.1 测评指标
见JR/T 0060-2010 8.2.2.4。
8.2.2.4.2 测评实施
本项要求包括：
a）应访谈安全主管，询问是否与外单位（公安机关、电信公司、兄弟单位、供应商、业界专家、专业的安全公司、安全组织等）建立沟通、合作机制；是否与组织机构内其它部门之间及内部各部门管理人员之间建立沟通、合作机制，是否定期或不定期召开协调会议；
检查是否同时与供电部门、银行等单位和部门建立了沟通、合作机制。
b）应访谈安全主管，询问是否召开过部门间协调会议，组织其它部门人员共同协助处理信息系统安全有关问题，安全管理机构内部是否召开过安全工作会议以部署安全工作的实施；信息安全领导小组或者管理委员会是否定期召开例会；
c）应访谈安全主管，询问是否聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等；
d）应检查组织内部机构之间以及信息安全职能部门内部的安全工作会议文件或会议记录，查看是否有会议内容、会议时间、参加人员和会议结果等的描述；
e）应检查信息安全领导小组或者管理委员会定期例会会议文件或会议记录，查看是否有会议内容、会议时间、参加人员、会议结果等的描述；
f）应检查外联单位联系列表，查看外联单位是否包含公安机关、电信公司、兄弟单位、供应商、业界专家、专业的安全公司和安全组织等，是否说明外联单位的名称、合作内容、联系人和联系方式等内容；
g）应检查是否具有安全顾问名单或者聘请安全顾问的证明文件，查看是否有安全顾问指导信息安全建设、参与安全规划和安全评审的相关文档或记录。
8.2.2.4.3 结果判定
如果8.2.2.4.2 a）-g）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。
8.2.2.5 审核和检查
8.2.2.5.1 测评指标
见JR/T 0060-2010 8.2.2.5。
8.2.2.5.2 测评实施
本项要求包括：
a）应访谈安全主管，询问是否组织人员定期对信息系统安全技术措施和安全管理制度落实情况进行全面安全检查；
b）应访谈安全管理员，询问是否定期检查系统日常运行、系统漏洞和数据备份等情况，是否对检查结果进行通报；
c）应检查安全检查管理制度文档，查看文档是否规定定期进行全面安全检查，是否规定检查内容、检查程序和检查周期等，检查内容是否包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；
检查是否至少每年开展一次全面安全检查，并查验相关记录。
d）应检查全面安全检查报告，查看报告日期间隔与检查周期是否一致，报告中是否有检查内容、检查人员、检查数据汇总表、检查结果等的描述，检查内容是否包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等；
检查是否至少每年开展一次全面安全检查，并查验相关记录。
