为规范重庆 XX 中学系统建设和工程项目测试验收准则,特制订本管理制度。本制度适用于系统建设或信息工程类项目的测试和验收管理。信息系统建设和其他信息系统工程类项目的测试和验收主要由网络安全办公室负责,必要的时候可协调相关科室使用人员参与测试和验收。


第一章 目的

第一条 为规范重庆 XX 中学系统建设和工程项目测试验收准则,特制订本管理制度。

第二章 范围

第二条 本制度适用于重庆 XX 中学系统建设或信息工程类项目的测试和验收管理。

第三章 职责

第三条 信息系统建设和其他信息系统工程类项目的测试和验收主要由网络安全办公室负责,必要的时候可协调相关科室使用人员参与测试和验收。

第四章 管理细则

第四条 程验收的内容包括全面检验工程项目所实现的安全功能,设备部署、安全配置等是否满足设计要求,工程 施工质量是否达到预期指标,工程档案资料是否齐全等方面。在通过安全测评或测试的基础上,组织相应信息安全专家进 行工程验收。大型项目可参照《GB/T 20282—2006 信息系统安全工程管理要求》。一般项目可按照以下三步骤进行项目测试验收工作。

第五条 安全测评阶段应制定投产与验收测试大纲,在项目实施完成后,由网络安全办公室和项目承接单位共同组织进行测试。

第六条 对于第三级以上的应用系统整改建设,由网络安全办公室委托第三方测试单位对系统进行安全性测试,并独立不受干扰地出具安全性测试报告。

第七条 在测试大纲中应至少包括以下安全性测试和评估要求:

  1. 配置管理:系统开发单位应使用配置管理系统,并提供配置管理文档;
  2. 安装、生成和启动程序:应制定安装、生成和启动程序,并保证最终产生了安全的配置;
  3. 安全功能测试:对系统的安全功能进行测试,以保证其符合详细设计并对详细设计进行检查,保证其符合概要设计以及总体安全方案;
  4. 系统管理员指南:应提供如何安全地管理系统和如何高效地利用系统安全功能的优点和保护功能等详细准确的 信息;
  5. 系统用户指南:必须包含两方面的内容:首先,它必须解释那些用户可见的安全功能的用途以及如何使用它们, 这样用户可以持续有效地保护他们的信息;其次,它必须解释在维护系统的安全时用户所能起的作用;
  6. 安全功能强度评估:功能强度分析应说明以概率或排列机制(如,口令字或哈希函数)实现的系统安全功能。例如,对口令机制的功能强度分析可以通过说明口令空间是否有足够大来指出口令字功能是否满足强度要求;
  7. 脆弱性分析:应分析所采取的安全对策的完备性(安全对策是否可以满足所有的安全需求)以及安全对策之间的依赖关系。通常可以使用穿透性测试来评估上述内容,以判断它们在实际应用中是否会被利用来削弱系统的安全。
  8. 测试完成后,项目测试小组应提交《测试报告》,其中应包括安全性测试和评估的结果。不能通过安全性测试评估的,由测试小组提出修改意见,项目开发承担单位应作进一步修改。

第八条 测试通过后,由项目应用单位组织进入试运行阶段,应有一系列的安全措施来维护系统安全,它包括处理系统在现场运行时的安全问题和采取措施保证系统的安全 水平在系统运行期间不会下降。具体工作如下:

  1. 监测系统的安全性能,包括事故报告;
  2. 进行用户安全培训,并对培训进行总结;
  3. 监视与安全有关的部件的拆除处理;
  4. 监测新发现的对系统安全的攻击、系统所受威胁的变化以及其它与安全风险有关的因素;
  5. 监测安全部件的备份支持,支持与系统安全有关的维护培训;
  6. 评估大大小小的系统改动对安全造成的影响;
  7. 监测系统物理和功能配置,包括运行过程,因为一些不太显眼的改变可能影响系统的安全风险。
  8. 在《试运行情况报告》中应对上述工作做总结性描述。

第九条 系统安全试运行过后,网络安全办公室可以组织由项目开发承担单位和相关部门人员参加的项目验收组 对项目进行验收。验收应增加以下安全内容:

  1. 项目是否已达到项目任务书中制定的总体安全目标 和安全指标,实现全部安全功能;
  2. 采用技术是否符合国家、行业有关安全技术标准及规范;
  3. 是否实现验收测评的安全技术指标;
  4. 项目建设过程中的各种文档资料是否规范、齐全;
  5. 在验收报告中也应在以下条目中反映对系统安全性验收的情况:
    1. 项目设计总体安全目标及主要内容;
    2. 项目采用的关键安全技术;
    3. 验收专家组中的安全专家出具安全验收评价意见;

第十条 验收人员行为准则

  1. 验收监测或调查单位及其主要负责人应当对建设项 目竣工环境保护验收监测报告或验收调查报告结论负责;
  2. 建立严格的质量审核制度和质量保证体系,严格按照国家有关法律法规规章、技术规范和技术要求,开展验收监测或调查工作和编制验收监测或验收调查报告,并接受环境保护行政主管部门的日常监督检查;
  3. 验收监测报告或验收调查报告应当如实反映建设项 目环境影响评价文件的落实情况及其效果;
  4. 禁止泄露建设项目技术秘密和业务秘密;
  5. 在验收监测或调查过程中不得隐瞒真实情况、提供虚假材料、编造数据或者实施其他弄虚作假行为;
  6. 验收监测或调查收费应当严格执行国家和地方有关 规定;
  7. 不得在验收监测或调查工作中为个人谋取私利;
  8. 不得进行其他妨碍验收监测或调查工作廉洁、独立、 客观。

第十一条 因为各工程项目的交付系统不同,该管理制度不附带过程记录文档。但项目测试验收阶段,必须由信息中心按照本管理制度规范,要求工程项目承建商出具以下三类过程报告:

  1. 系统测试记录
  2. 系统测试报告
  3. 系统验收报告

相关文章

  • 大数据信息系统中的系统审计、日志审计和数据库审计

    大数据信息系统中的系统审计、日志审计和数据库审计

    在服务器端部署轻量级蜜罐系统 ShellLog,攻击者一旦入侵服务器将会获得 console 和正常使用的 shell,该 console 基于攻击防御安全实践进行深度定制,一方面实现对攻击者渗透系统后主机操作系统后的 shell 操作全记录,记录攻击者或恶意使用用户登录服务器后的各项操作并形成分类日志,实时发送至蜜罐系统日志服务器。 管理后台能够对日志服务器的收集的日志进行分析和规则匹配,能够对高危操作命令、关联恶意操作命令,提权操作进行告警,还能够自定义安全规则,安全人员登录管理后台对告警 …

  • 设备入网安全检查办法,入网检查清单

    设备入网安全检查办法,入网检查清单

    为减少新入网用户的计算机可能带来的风险, 全面保办公室计算机网络的安全,特对办公室新入网用户的计算机做安全检查。 第二章 范围 第二条 新入网用户包括 第三章 管理细则 第三条 对新入网用户的计算机检查的主要项目包括: 第四条 检查系统关键补丁 关键补丁检查主要检测系统是否开启了“自动更新补丁” 选项,如果目标系统未及时安装补丁,可能随时导致系统漏洞被恶意程序利用,最终导致恶意程序在局域网内传播,干扰正常用户。 第五条 检查恶意插件与木马 使用 XXXX 对系统进行完整的恶意插件与流行木马检查。…

  • 双网隔离方案简单介绍(办公电脑双网隔离卡)

    双网隔离方案简单介绍(办公电脑双网隔离卡)

    在本方案中介绍使用的双网隔离卡只需增加一块硬盘,即可将一台普通计算机分成两台虚拟计算机,分别连接内部网或外部网,实现安全环境和不安全环境的绝对隔离,以保证内部机密信息的安全。同时通过桌面切换软件,在保存工作现场的同时快速的在内外网之间切换,既保障了内外网的物理隔离,又保证了用户工作的流畅性。 1 双网隔离系统总体方案 2 双网隔离系统实现目标 3 双网隔离系统实施要点 在本方案中介绍使用的双网隔离卡只需增加一块硬盘,即可将一台普通计算机分成两台虚拟计算机,分别连接内部网或外部网,实现安全环境和不…

  • 信息工程中保证工程质量的技术措施

    信息工程中保证工程质量的技术措施

    施工质量管理是施工组织设计重要的一环。本项目工程建设要上一个新台阶,必须大力加强质量意识的建设。质量不断改进和提高,是我公司经营管理工作中一个永恒的主题,也是工程项目建设永远不老的课题。 1 保证工程质量的技术措施 加强技术管理,严格执行各种施工安装规范标准和操作规程,加强工程通病的预控工作,抓紧实现一次合格制度,坚持分项、分部的工程安装质量评定工作,及时填写各项工程验收报表、记录,在施工中加强资料收集和管理工作及时总结经验。 强化全体施工人员的质量意识,配备有经验的工程技术人员和技师工长,坚持…

  • 信息安全领导机构组成与职责

    信息安全领导机构组成与职责

    本系列文章来自于此前的真实项目案例,是一个学校安全系统建设中部分服务的内容,是给该单位的一套《安全制度汇编》,本篇文章信息安全领导机构组成与职责,适用于一般单位的信息安全机构建立。原文档见附件。 第一章 目的 第一条 为更好的实现对重庆 XX 中学信息系统的安全管理,促进各项制度、措施的落实,经领导研究决定成立以信息安全领导小组为管理机构、信息安全工作小组为执行机构的组织架构,负责重庆 XX 中学信息安全建设及防护。 第二章 范围 第二条 本标准针对重庆 XX 中学信息安全组织建设相关事务,规定…

  • 数据中心的主机安全建设,系统加固策略

    数据中心的主机安全建设,系统加固策略

    数据中心的主机包括物理服务器和虚拟化云主机,所有主机都面临入侵和攻击的风险。主机安全主要包括两个方面: 在主机上部署病毒/木马查杀软件,包括 Linux 和 Windows 系统,降低病毒/木马入侵主机和蔓延的风险。 对主机进行加固,降低主机遭受攻击和入侵的风险。 对于数据中心的服务器和云主机,无论系统或应用本身安全与否,都可能存在漏洞,安全管理员应负责定期(例如 1 月/次)对包括物理服务器和云主机等进行安全加固。 系统加固策略包括: 1、使用 GRUB 的 password 参数对 GRUB…

- 联 系 我 们 -

+86 186-2315-0440

在线咨询:点击这里给我发消息

电子邮箱:i@zzptech.com

工作时间:7*24h,全年无休

关注微信