软件等保测评服务方案.pdfVIP

人人好公，则天下太平；人人营私，则天下大乱。——刘鹗

软件等保测评服务方案

人人好公，则天下太平；人人营私，则天下大乱。——刘鹗

1.服务内容

依据相关标准要求，对信息化系统进行测评，并出具《测评报告》。

服务内容包括信息安全风险评估服务、信息安全漏洞检测服务、源代

码安全检测服务、信息系统渗透测试服务、移动应用安全检测服务、

新系统上线安全评估。

1.1.信息安全风险评估服务

信息系统的安全风险，是指由于系统存在的脆弱性，人为或自然

的威胁导致安全事件发生所造成的影响。

信息安全风险评估，则是指依据有关信息安全技术标准，对信息

系统及由其处理、传输和存储的信息的必威体育官网网址性、完整性和可用性等安

全属性进行科学评价的过程，它要评估信息系统的脆弱性、信息系统

面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根

据安全事件发生的可能性和负面影响的程度来识别信息系统的安全

风险。

信息安全风险评估是信息安全保障体系建立过程中的重要的评价

方法和决策机制。没有准确及时的风险评估，将使得各个机构无法对

其信息安全的状况做出准确的判断。

信息安全风险评估是加强信息安全保障体系建设和管理的关键环

节。通过开展信息安全风险评估工作，可以发现信息安全存在的主要

问题和矛盾，找到解决诸多关键问题的办法。

人人好公，则天下太平；人人营私，则天下大乱。——刘鹗

1.2.信息安全漏洞检测服务

提供信息系统中点、线、面各个层次的安全漏洞检测服务，点即

信息系统中的各个组成部分，如Windows、Linux等操作系统，交换

机、路由器、防火墙等网络设备，以及运行在各操作系统上的数据库

系统、Web、Mail、DNS等应用服务；线是网络的整体拓补结构、安

全产品的部署中否合理、安全、高效；面则是对整个信息系统的维护、

运营和管理。

服务内容包括应用安全漏洞检测、网络安全漏洞检测、操作系统

漏洞安全检测、数据库安全漏洞检测、技术防护体系评估、管理防护

体系评估。

1.3.源代码安全检测服务

源代码安全检测是依据CVE公共漏洞字典表、OWASPWeb漏洞，

以及设备、软件厂商公布的漏洞库，结合专业源代码扫描工具对各种

程序语言编写的源代码进行安全审计。

源代码安全检测能够为客户提供包括安全编码规范咨询、源代码

安全现状测评、定位源代码中存在的安全漏洞、分析漏洞风险、给出

修改建议等一系列服务。

1.4.信息系统渗透测试服务

渗透测试是指渗透测试人员从客户网络的内部或外部使用必威体育精装版的

入侵攻击技术及自身发现的网络安全问题，寻找突破点，尝试获得用

户网络的非授权访问和控制，对用户信息系统的安全性进行压力测试，

人人好公，则天下太平；人人营私，则天下大乱。——刘鹗

测试完成后，提供相应的报告。

该报告可客观反应客户信息系统当前处于何种安全风险等级，入

侵的过程和细节，存在何种隐患等。

渗透测试服务内容包括应用系统安全渗透、网络安全渗透、操作

系统安全渗透、数据库安全渗透、终端安全渗透。

1.5.移动应用安全检测服务

移动应用安全漏洞发现与风险评估系统是结合多项移动应用安全

的标准及规范，针对移动APP自身的脆弱性提供深度漏洞检测的工具，

检测范围涵盖APP客户端、通信链路和服务器端，并实现了对安卓、

IOS、微信公众号、H5等不同平台的覆盖。