哈尔滨等保测评知识分享（五）

61.你是安全管理员，单位建设三级平台，根据云拓展有哪些需要注意的事项 （云拓展）

（1）网络安全防护：等保三级平台需要具备高级别的网络安全防护措施，包括防火墙、入侵检测和防御、数据加密、访问控制等，以防止恶意攻击、数据泄露和篡改。

（2）数据备份与恢复：平台需要制定完善的数据备份和恢复方案，确保数据在遭受攻击或意外丢失后能够及时恢复。

（3）访问控制与管理：平台需要对用户访问进行严格控制，采用多因素身份验证和授权机制，确保只有授权用户能够访问敏感资源和功能。

（4）安全审计与监控：平台需要建立安全审计机制，对用户行为、访问记录、异常操作等进行实时监控和分析，及时发现和处理安全问题。

（5）应急响应与预案：平台需要制定详细的安全应急响应预案，包括紧急情况下的处置流程、报告机制、恢复计划等，确保在发生安全事件时能够迅速响应和处理。

（6）合规性与法规符合性：平台需要遵守国家和行业相关的法律法规和标准要求，如《网络安全法》、等级保护制度等，确保合规性运营。

（7）安全培训与意识：定期对员工进行安全培训，提高员工安全意识和技能，增强员工对安全问题的敏感性和防范能力。

（8）第三方服务与合作：对于涉及重要数据和业务的核心系统，建议选择具有较高信誉度和资质的第三方服务商进行合作，共同建设和管理云计算平台。

（9）风险评估与持续监控：定期对云计算平台进行风险评估，识别潜在的安全威胁和漏洞，及时采取措施进行修复和防范。同时，需要建立持续监控机制，实时监测平台的安全状态和性能指标。

（10）用户隐私保护：对于涉及用户个人信息的云计算平台，需要特别关注用户隐私保护，采取适当的加密和脱敏措施，确保用户数据的安全性和保密性。

（11）权限管理：严格管理云计算平台的权限，确保权限的分配和使用符合最小权限原则，避免出现权限滥用和误操作的情况。

（12）虚拟化安全：在云计算平台上，虚拟化技术是广泛应用的技术手段。为了确保虚拟化环境的安全性，需要采取虚拟化访问控制、虚拟机隔离、虚拟网络安全性等方面的措施。

（13）安全管理责任与制度：建立健全的云计算平台安全管理责任制度和规范，明确各级部门和人员在安全管理中的职责和任务，确保安全工作的有效实施。

（14）信息安全技术措施：采取必要的信息安全技术措施，如数据加密、数据备份与恢复、安全审计等，保障云计算平台的信息安全。

（15）安全测试与漏洞修补：定期进行安全测试和漏洞扫描，发现潜在的安全隐患和漏洞，及时采取修补措施，确保平台的安全性和稳定性。

（16）合作伙伴安全：在合作伙伴参与的情况下，如外包运维、第三方服务提供商等，要确保合作伙伴具备相应的安全能力和资质，并建立有效的合作关系。

（17）安全预算与投资：合理规划云计算平台的安全预算，确保在安全建设、运营和维护方面有足够的投入。同时，根据实际情况进行适当的安全投资，以提高平台的安全水平和保障能力。

（18）安全合规性评估：定期对云计算平台进行安全合规性评估，确保平台符合国家和行业相关的法规和标准要求。对于不符合要求的地方，及时进行整改和提升。

（19）安全事件响应计划：制定详细的安全事件响应计划，明确在发生安全事件时的应急响应流程、责任人员和处置措施。同时，建立有效的安全事件报告机制，及时向上级部门报告重要事件。

（20）灾难恢复计划：制定完善的灾难恢复计划，包括备份机制、恢复流程、容灾措施等。确保在发生重大故障或灾难时，能够迅速恢复云计算平台的正常运行。

62.GB/25070 三级 云扩展项 内容。

63.云扩展（环境，云的拓扑图）

64.通信协议的转换和通信协议隔离的方式，如何开展测评工作？

（1）理清需求：首先需要理解需求，明确系统需要考虑的通信协议转换和隔离方案，明确要求测评的内容、标准和指标，以便在后续的测评工作中进行细化和明确。

（2）设计测试用例：根据需求设计测试用例，包括正常流程、异常情况和边界情况等，以覆盖尽可能多的测试场景和一个广泛的测试覆盖范围。         

（3）确认测试：建立一个符合系统基本技术的人工或仿真环境，并确定测评的测试数据、工具和支持设备等，以确保测试环境的可靠性和有效性。

（4）测试执行：在测试环境下进行测试，运用测试用例进行测试，并记录数据（例如，通信延迟，吞吐量，数据传输质量）。

（5）测试分析。

65.安全管理区域防护有哪些？

划分为第一级安全区域边界，第二级安全区域边界，第三级安全区域边界，第四级安全区域边界，第五级安全区域边界。

（1）区域边界包过滤可根据区域边界安全控制策略，通过检查数据包的源地址、目的地址、传输层协议和请求的服务等，确定是否允许该数据包通过该区域边界。

（2）区域边界恶意代码防范可在安全区域边界设置防恶意代码软件，并定期进行升级和更新，以防止恶意代码入侵。

66.三级系统对安全物理环境有哪些要求？

物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护

67.个人信息包括哪些，第三级软件测评需求，谈谈从技术和管理方向如何对个人信息进行保护。

（1）自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息。

（2）等级保护第三级软件测评需求包括以下几个方面：网络安全、应用安全和数据安全备份。

网络安全部分，需要制作符合当前运行条件的拓扑图，配置交换机、防火墙等设备符合规定，如Vlan划分和Vlan逻辑隔离、QOS流量控制方法等，配备网络审计设备、入侵检测或防御设备，交换机和防火墙的身份鉴别机制要满足等保要求。同时，网络链路、核心网络设备和安全设备需要提供冗余性设计。

应用安全部分，应用自身的功能应符合等保要求，例如身份鉴别机制、审计日志等。应用处应考虑部署网页防篡改设备。此外，应用系统产生的日志应保存至专用的日志服务器。

数据安全备份部分，应提供数据的本地备份机制，每天备份至本地，且场外存放。如系统中存在核心关键数据，应提供异地数据备份功能，通过网络等将数据传输至异地进行备份。

以上需求仅是等级保护第三级软件测评需求的一个基本框架，实际测评时可能需要根据具体情况进行适当调整。此外，在进行软件测评时，还需要遵循相关的安全标准和法规要求。

（3）技术和管理方向如何对个人信息进行保护

·技术方面：

1.1 加密保护：对个人信息进行加密处理，防止未经授权的访问和数据泄露。可以采用对称加密或非对称加密技术，确保数据的保密性和完整性。

1.2 访问控制：设置严格的访问控制策略，限制不同用户对个人信息的访问权限。只有经过授权的用户才能访问和操作个人信息。

1.3 防火墙：部署防火墙设备，防止未经授权的网络访问和攻击。防火墙可以过滤掉不合法的网络流量，保护个人信息不被外部威胁所获取。

1.4 数据备份：定期对个人信息进行备份，确保数据在遭受攻击或丢失时能够及时恢复。

1.5 安全审计：采用日志和审计机制，记录和监控对个人信息的访问和使用情况。及时发现并处理异常操作和安全事件。

·管理方面：

2.1 制定政策：制定个人信息保护的政策和规定，明确个人信息收集、存储、使用和保护等方面的要求和责任。

2.2 培训教育：对员工进行个人信息保护的培训和教育，提高员工的安全意识和防范能力。

2.3 权限管理：严格管理员工的操作权限，避免员工越权访问和使用个人信息。

2.4 审计审查：定期对个人信息保护情况进行审计和审查，评估安全措施的有效性，及时发现并整改安全隐患。

2.5 合作与第三方：与涉及个人信息的合作伙伴建立明确的保密协议和责任划分，确保个人信息在第三方处理过程中的安全。

通过以上技术和管理的措施，可以有效地保护个人信息在等级保护体系中的安全。同时，还需要定期进行安全风险评估和漏洞扫描，及时发现并修复安全漏洞，确保个人信息的安全保护效果达到最佳。

68.测评机构对定级对象的测评工作流程。

（1）测评准备活动：这是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。

（2）方案编制活动：这个活动包括制定等级测评计划和方案，明确测评对象、内容、方法、步骤等。

（3）现场测评活动：这个活动包括实施等级测评的具体工作，如进行信息收集和分析、确定测评对象、执行测评方案等。

（4）报告编制活动：这个活动包括整理和分析现场测评结果，形成等级测评报告，提出整改建议等。

69.图中存在哪些安全风险，根据移动扩展要求。

70.简述等级测评风险及相关规避措施。

（1）信息收集不全面：等级测评需要全面、准确地收集定级对象的信息。如果信息收集不全面，可能会导致测评结果不准确，无法反映定级对象的全貌。规避措施包括多渠道收集信息，如从官方网站、相关报告、现场调查等方式获取信息。

（2）测评方法不科学：等级测评需要采用科学的方法和技术，如果测评方法不科学，可能会导致测评结果偏差，无法反映定级对象的真实情况。规避措施包括根据实际情况选择合适的测评方法，如安全扫描、漏洞扫描、人工检查等，并结合定级对象的实际情况进行综合分析。

（3）人员素质不高：等级测评需要专业人员进行操作，如果人员素质不高或缺乏相关经验，可能会导致测评结果不准确或不合理。规避措施包括加强人员培训和技能提升，确保测评人员具备专业知识和技能，能够准确、客观地进行等级测评工作。

（4）安全漏洞未发现：等级测评的目的是发现定级对象的安全漏洞和隐患，如果未发现或发现不及时，可能会导致定级对象面临安全风险。规避措施包括采用多种技术手段进行安全扫描、漏洞扫描等，确保能够全面发现定级对象的安全漏洞和隐患。

（5）测评结果泄露：等级测评结果属于机密信息，如果泄露可能会对定级对象造成不良影响。规避措施包括加强信息安全保护，采取加密措施、安全认证等措施确保测评结果的安全性和保密性。