信息系统安全等保三级认证

信息安全等级保护，是对信息和信息载体按照重要性等级分级别进行保护的一种工作，在中国、美国等很多国家都存在的一种信息安全领域的工作。在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统安全等级保护。

安全等级保护三级测评 

测评经验：此条测评项主要是检查客户有没有设立安全管理部门来具体负责信息安全工作，一般来说，政府单位会设立信息中心负责，并且会设置信息中心主任（一般就默认为安全主管），而在测评过程中发现，企业在这方面做的工作就不够，很多企业就只是有个兼职的部门来做这个事，而且没有相应的安全主管或安全负责人。我们在对这项进行测评的时候，要询问并记录安全管理责任部门、责任人、安全主管的具体名称，并要查看具体的岗位职责文件（有可能在任命文件中会提到）。

b：应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责。

测评经验 ：这条就比较容易测评了，就访谈客户看看有没有设立安全管理员、网络管理员、系统管理员、数据库管理员、机房管理员等职位，并且应提供专门的任职职责文件。一般来说，既然标准都着重提出安全、系统、网络这三个管理员，所以我们也要着重看。值得注意的是，一是安全管理员必须是专职的，不能由任何其他管理员兼任；二是系统管理员和数据库管理员不能为同一自然人，这两点要特别注意。但在很多真实环境中，客户方往往都没有专门设立相应的管理员，特别是安全管理员，并且根本不会出什么文件来明确各管理员的职责，本人遇到过的一个单位，整个安全部门就两个人，这种情况就是需要整改了。

c：应成立指导和管理信息安全工作的委员会或领导小组，其Zui高领导由单位主管领导委任或授权。

测评经验 ：在这一条测评项中，我们要询问客户方是否成立了信息安全委员会或者领导小组，不能客户说成立了就成立了，我们应该要查看领导小组成立的正式文件，要查看这个文件中的组长和组员，要求文件中应有每个人的联系方式以及工作职责。值得注意的是：领导小组的组长应由企业一把手担任，虽然标准中没说必须，但在我国国情下（自行脑补国家信息安全领导小组组长），都应该由一把手来担任。

可以分享个真实的案例，我们当地的一家高校门户网站被入侵，首页发布了一些影响较大的言论，造成了一些影响，这种情况下，一把手当时是首当其冲的，所以我们测评过程中都是要求客户要由一把手来负责安全工作。

d：应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。

测评经验：这一条中，我们要检查部门、岗位职责文件，查看部门职责是否覆盖物理、网络、系统安全等各个方面。岗位职责文件其实也可以查看招聘要求，招聘的时候一般就会说明此岗位的职责和需要的技能要求。一般我建议客户的整改方案是制作一份部门的职责的文件，里面全面描述部门职责、人员划分及职责的情况。