网站信息化管理平台-评审检查表概要设计2
网络信息系统安全检查表
网络信息系统安全检查表网络信息系统安全检查表一、引言网络信息系统安全检查是一种保障网络安全的重要措施，通过对网络信息系统的各项安全要素进行全面的检查，确保系统的安全运行。
本文档旨在提供一个详细的网络信息系统安全检查表范本，以供参考使用。
附件：无二、网络基础设施安全检查1·网络拓扑结构检查●检查网络拓扑结构是否合理，是否存在漏洞和弱点。
●检查网络设备（路由器、交换机、防火墙等）的配置是否符合安全标准。
●检查网络设备是否存在未授权访问的风险。
2·网络访问控制检查●检查网络访问控制策略的设计是否合理，并进行必要的调整。
●检查所有网络入口的身份验证机制是否可靠。
●检查网络访问控制设备（防火墙、入侵检测系统等）是否正常运行。
3·网络安全设备检查●检查防火墙、入侵检测系统、反软件等网络安全设备的配置是否正确，并及时更新。
●检查网络安全设备是否能够实时监控和检测可能的安全威胁。
●检查网络安全设备的日志记录功能是否正常，并进行必要的审计。
4·网络隔离检查●检查网络内外的隔离措施是否有效，并及时修补可能的漏洞。
●检查网络内不同安全等级的区域是否得到适当的隔离。
●检查网络内各个子网的隔离措施是否完善。
5·网络数据备份与恢复检查●检查网络数据备份策略是否合理，并进行必要的调整。
●检查网络数据备份的频率和完整性，并验证其可恢复性。
●检查网络数据恢复程序的有效性和可靠性。
三、应用系统安全检查1·应用软件安全检查●检查核心应用软件的安全漏洞，并及时更新和修复。
●检查应用软件的权限控制机制是否合理，并对权限进行适当管理。
●检查应用软件是否存在安全风险和漏洞，进行必要的修补。
2·数据库安全检查●检查数据库的访问权限是否得到适当控制，并及时修复潜在的安全风险。
●检查数据库是否存在没有加密的敏感数据，并采取必要的加密措施。
●检查数据库备份和恢复程序的有效性和可靠性。
网站信息系统安全检查表
网站信息系统安全检查表一、物理环境安全1、机房环境机房是否具备防火、防水、防潮、防雷、防静电等设施？温度和湿度是否控制在设备正常运行的范围内？机房是否有门禁系统，限制未经授权的人员进入？2、设备设施服务器、网络设备等硬件是否放置在稳固的机柜中，防止物理损坏？电源供应是否稳定，是否有备用电源（如 UPS）以应对突发停电？二、网络安全1、网络架构网络拓扑结构是否合理，是否存在单点故障？不同区域（如内网、外网、DMZ 区）之间的访问控制策略是否得当？2、防火墙防火墙规则是否配置正确，是否能够有效阻止非法访问和攻击？防火墙是否定期进行策略更新和漏洞修复？3、入侵检测/防御系统（IDS/IPS）IDS/IPS 是否正常运行，能够及时发现和阻止入侵行为？其告警信息是否得到及时处理和分析？4、 VPN如果使用 VPN 进行远程访问，VPN 连接是否安全可靠，加密强度是否足够？用户认证和授权机制是否严格？三、系统安全1、操作系统服务器操作系统是否及时更新补丁，修复已知漏洞？系统账号和密码管理是否严格，是否存在弱密码？系统服务是否仅开启必要的服务，关闭不必要的服务？2、数据库系统数据库是否进行定期备份，备份数据是否可恢复？数据库访问权限是否合理设置，防止数据泄露？数据库是否采取加密措施，保护敏感数据？四、应用安全1、网站程序网站代码是否经过安全审计，是否存在 SQL 注入、跨站脚本（XSS）等漏洞？上传功能是否存在文件上传漏洞？验证码机制是否有效，防止暴力破解？2、中间件如 Web 服务器（Apache、Nginx 等）、应用服务器（Tomcat、JBoss 等）是否配置正确，是否存在安全漏洞？3、内容管理系统（CMS）如果使用 CMS 搭建网站，CMS 是否及时更新版本，修复安全漏洞？CMS 插件和模板是否来自官方或可信来源？五、数据安全1、数据备份数据备份策略是否制定并执行，包括全量备份和增量备份？备份数据是否存储在异地，以防止本地灾难？2、数据加密敏感数据（如用户密码、信用卡信息等）在传输和存储过程中是否加密？加密算法是否足够强度，密钥管理是否安全？3、数据销毁当不再需要的数据被删除时，是否采取安全的数据销毁方法，防止数据恢复？六、用户认证与授权1、用户注册与登录用户注册流程是否验证邮箱或手机号，防止恶意注册？登录是否采取双因素认证（如密码＋短信验证码）？2、权限管理用户权限是否根据其职责进行最小化授权？权限变更是否经过审批流程？七、安全管理制度1、安全策略是否制定了完善的网站信息系统安全策略，包括访问控制、数据保护、应急响应等？2、人员管理员工是否接受过安全培训，了解基本的安全知识和操作规范？离职员工的账号是否及时删除或禁用？3、应急响应是否制定了应急响应预案，包括数据恢复、系统恢复等措施？定期进行应急演练，检验预案的有效性？八、日志与审计1、系统日志服务器、网络设备、应用系统等是否开启日志功能，记录重要操作和事件？日志是否定期进行备份和分析？2、审计功能对关键操作（如数据修改、用户权限变更等）是否进行审计，审计记录是否完整？通过以上网站信息系统安全检查表，可以全面、系统地评估网站的安全性。
软件评审检查表
在体系结构设计中，是否清晰描述了数据流、控制流与接口？ 在体系结构设计中，是否清晰描述了数据流、控制流与接口？ 在设计说明书中是否描述了所有的假设、约束、决定与依赖？ 在设计说明书中是否描述了所有的假设、 约束、 决定与依赖？ 是否定义了目标？ 是否定义了目标？ 在合适时，是否有设计是多样的、一致的？ 在合适时，是否有设计是多样的、一致的？ 功能性 对每个子模块是否都做了简要描述并概略描述了采用的算法？ 对每个子模块是否都做了简要描述并概略描述了采用的算法？ 选择的设计或算法是否满足需求？ 选择的设计或算法是否满足需求？ 接口 所有接口的描述是否与需求文档一致？ 所有接口的描述是否与需求文档一致？ 在软件各个功能模块之间的数据流是否得到了明确描述？ 在软件各个功能模块之间的数据流是否得到了明确描述？ 是否对所有的元件之间的接口都进行了定义？ 是否对所有的元件之间的接口都进行了定义？ 是否接口的定义正确、 合理？ 是否接口的定义正确、 合理？ 是否所有的外部接口定义可以追索到需求？ 是否所有的外部接口定义可以追索到需求？ 细节 KLOC，FPA） 是 否 每 个 子 模 块 的 规 模 都 得 到 估 计 （ KLOC ， FPA ） 并 且是 合理 1 的？ 是否考虑了所有可能的状态和用例？ 2 是否考虑了所有可能的状态和用例？ 是否描述足够详细以至于可以开始详细设计阶段？ 3 是否描述足够详细以至于可以开始详细设计阶段？ 九 可维护性 设计是否高内聚、低耦合的？ 1 设计是否高内聚、低耦合的？ 2 设计是模块化的吗？ 设计是模块化的吗？ 设计是否采用了继承，是否描述了选择的工具？ 3 设计是否采用了继承，是否描述了选择的工具？
是[1]否[ ]免[ ] 是[ ]否[1]免[ ] 是[1]否[ ]免[ ] 是[1]否[ ]免[ ] 是[ ]否[ ]免[ ] 是[ ]否[1]免[ ] 是[ ]否[ ]免[1] 是[ ]否[ ]免[ ] 是[ ]否[ ]免[1] 是[ ]否[1]免[ ] 是[ ]否[1]免[ ] 是[ ]否[1]免[ ] 是[ ]否[1]免[ ] 是[ ]否[ ]免[ ] 是[ ]否[1]免[ 是[ ]否[1]免[ 是[ ]否[1]免[ 是[ ]否[ ]免[ 是[ ]否[1]免[ 是[1]否[ ]免[ 是[ ]否[1]免[ ] ] ] ] ] ] ]
网站安全检查表
网站安全检查表1. 网站基本信息- 网站名称：- 网站地址：- 网站所有者：2. 网站访问控制- 是否使用强密码策略：- 是否启用登录失败锁定机制：- 是否有访问控制列表限制未授权访问：- 是否有访问控制策略保护敏感数据：3. 数据安全- 是否有数据库备份策略：- 是否有定期更新数据库软件和插件：- 是否有敏感数据加密机制：- 是否有数据完整性验证机制：4. 网站代码安全- 是否有防止代码注入攻击的措施：- 是否对用户输入进行有效性验证和过滤：- 是否对输入输出进行安全编码处理：- 是否有安全漏洞扫描和修复机制：- 是否有限制文件的上传和访问：5. 网站服务器安全- 是否有安全的服务器配置：- 是否有定期更新服务器操作系统和软件：- 是否有日志监控和分析机制：- 是否有防止恶意软件和病毒攻击的防护措施：6. 网站访问日志- 是否有对访问日志进行记录：- 是否有访问日志的保留策略：- 是否对访问日志进行分析和监测：7. 网站用户安全- 是否有用户身份认证机制：- 是否有密码重置策略：- 是否保护用户隐私信息：- 是否有良好的账户管理机制：- 是否有用户反馈和举报机制：8. 网站备份和恢复- 是否有网站内容和数据库的定期备份：- 是否有可靠的备份存储和恢复机制：- 是否验证备份数据的完整性：9. 网站安全培训和宣传- 是否对员工进行网站安全培训：- 是否有网站安全宣传的机制：- 是否有应急响应机制和流程：以上是网站安全检查表，您可以根据表格内容对您的网站进行安全检查和优化。
如果发现任何问题或安全漏洞，请及时采取措施加以修复和保护。
软件设计评审检查表
Y: 是 TBD:不确定 N: 不是 NA:不适用
检查项
Y/TBD/N/NA
完整性
该测试计划是否详细说明测试的大体方法和策略？
该测试计划是否详细说明所有测试活动的顺序？
该测试计划是否描述了将使用的软硬件系统环境?
该测试计划是否描述了测试活动中断和恢复的条件/情形？
该测试计划是否为所有测试定义了成功标准？
是否详细说明了参数的度量单位、取值范围、正确度和精度？
共享数据区域及其存取规定的映射是否一致？
可维护性
单元是否具有高内聚度和低耦合度（例如：对该单元的更改不会在该单元有任何无法预料的影响并对其它单元的影响很小）？
性能
是否该单元的所有约束例（如过程时间和规模）都被详细说明？
可靠性
初始化是否使用到缺省值，缺省值是否正确？
包括了数据流、控制流和接口的单元设计是否已清晰的说明？
完整性
是否已定义和初始化所有的变量、指针和常量？
是否已描述单元的全部功能？
是否已详细说明用来实现该单元的关键算法（例如：用自然语言或PDL）?
是否已列出该单元的调用？
依从性
该文档是否遵循了该项目已文档化的标准？
是否采用了所要求的方法和工具来进行单元设计？
该测试计划是否充分地描述了被测试的功能？
该测试计划是否明确地描述了不被测试的功能？
该测试计划是否充分地描述了测试基线？
对于阶段交付，该测试计划是否有在每一阶段建立测试基线给下一阶段使用？
该测试计划是否定义了足够和正确的衰退测试？
依从性
该测试计划是否依从了与开发有关的所有说明书、标准和文档？
一致性
是否已定义了测试顺序来匹配更高级别的文档所指定的集成顺序？
信息安全管理体系审核检查表
信息安全管理体系审核检查表信息安全管理体系审核是确保组织的信息资产得以有效保护的一项重要活动。
通过对信息安全管理体系的审核，可以识别和纠正潜在的安全风险，并提供持续改进和适应变化的机会。
本文档旨在提供一个信息安全管理体系审核的检查表，帮助组织进行全面的审核。
1. 组织概况1.1 组织基本信息•组织名称：•组织类型：•组织规模：•组织所属行业：1.2 信息安全管理体系概述•是否存在信息安全管理体系？•信息安全管理体系的目标和范围是否明确定义？•是否存在信息安全政策和相关文件？2. 组织领导与承诺2.1 信息安全领导层参与•是否存在信息安全领导层？•领导层是否参与信息安全的决策和规划？2.2 信息安全政策制定与传达•是否制定了适当的信息安全政策？•信息安全政策是否被传达给所有员工？•员工是否理解和遵守信息安全政策？2.3 资源分配和承诺•是否为信息安全分配了足够的资源？•是否存在信息安全团队或专职人员？3. 组织风险管理3.1 风险评估和风险处理•是否进行了合理的风险评估？•是否制定了风险处理计划并得到执行？•是否定期复审和更新风险处理计划？3.2 信息资产分类和管理•是否对信息资产进行了分类和管理？•是否为重要的信息资产制定了合适的保护措施？3.3 供应商和合作伙伴管理•是否对供应商和合作伙伴进行了风险评估和管理？•是否与供应商和合作伙伴签订了信息安全协议？4. 信息安全控制措施4.1 访问控制•是否有有效的身份认证和授权机制？•是否有访问控制策略和控制规程？4.2 通信和网络安全•是否保护了网络和通信的安全？•是否使用了加密技术来保护敏感信息？4.3 数据保护和备份•是否有合适的数据保护和备份策略？•是否进行了数据加密和敏感信息的脱敏处理？4.4 安全事件管理和应急响应•是否有安全事件管理和应急响应机制？•是否有制定和测试过的应急响应计划？5. 组织绩效评估和持续改进5.1 内部审核和复审•是否进行了内部审核和复审？•是否及时纠正了发现的问题和不符合项？5.2 外部审核和认证•是否通过外部审核和认证？•是否取得了相关的信息安全管理体系认证证书？5.3 持续改进和创新•是否进行了持续改进和创新？•是否有制定和追踪改进计划？6. 其他6.1 法律和法规合规•是否合规相关的法律和法规要求？•是否建立了合规框架和流程？6.2 教育和培训•是否为员工提供了信息安全教育和培训？•员工对信息安全有足够的意识和知识吗？此检查表可以用于信息安全管理体系的定期审核，通过对每一项问题的回答和评估，组织可以全面了解自身的信息安全状况，并采取相应的措施进行改进和提升。
信息化考评表
核查项目的物资计划，并核查物资计划流程记录，如数据不全，则扣2分。
2
信息化管理考评评分表
续表
考评项目
考评子项目
考评内容
标准分
实得分
进度管理（10分）
核查项目的月度横道图或网络图（细度至少到分部分项且仅时间刻度至少到周），以上任何一项不满足要求，则扣除“进度管理”8分。
4
核查项目的实际进度与计划进度对比情况（仅核查时间与工作内容关系的进度），如无对比，则扣4分；
4
安全管理（14分）
在系统中核查项目的危险源识别、重大危险源和专家论证方案申报记录，如数据不全，则扣2分
2
在系统中核查项目的安全检查记录（检查记录频次最低为月度），安全员向公司上报项目安全生产状况周报表、月报表记录，如数据不全或与该项目进度情况不符，则扣12分。
4
核查项目对应的安全检查记录的安全整改功能和记录，如数据不全，则扣8分。
信息化管理考评评分表
考评项目
考评子项目
考评内容
标准分
实得分
信息化管理（100分）
招投标管理（8分）
1、核查项目的投标文件电子版（经济标文件、技术标文件，电子版可不在系统中，但一定能展示出来内容），如缺少任意一项，则不满足本项要求；
2、核查项目的总承包合同信息、业主信息，至少包括：业主名称、通讯地址、联系人、联系电话，如缺少任意一项或以上4项数据不全，则不满足本项要求；
2
检查项目（或企业）的设备维护、维修、保养、检定功能和记录，如数据不全，则扣2分。
2
其他增减分情 况
3、以上任何一项不满足要求，则扣2分。
2
核查项目的基本信息，至少包括：项目名称、合同开工时间、合同竣工时间、实际开工时间、工程基本情况、业主名称、设计单位、监理单位，如缺少任意一项或以上8项数据不全，则扣2分。
网 站 验 收 单
网站验收单网站验收单项目名称：使用单位：开发单位：域名：1、使用域名，能否通过连接Internet网络的计算机正常浏览网站？□能□不能2、网站内容栏目是否完整？□完整□不完整3、网站内容以下部分是否有误：文字□没有□有链接□没有□有图片□没有□有动画/视频□没有□有4、所开发的系统产品能否正常使用：(未涉及到有的系统功能模块，请留空，不做选择)论坛系统能否正常使用：□能□不能留言反馈系统能否正常使用：□能□不能新闻发布系统能否正常使用：□能□不能产品展示系统能否正常使用：□能□不能软件下载系统能否正常使用：□能□不能在线联系系统能否正常使用：□能□不能在线招聘系统能否正常使用：□能□不能图片管理系统能否正常使用：□能□不能网上调查系统能否正常使用：□能□不能邮件列表系统能否正常使用：□能□不能网站访问统计系统能否正常使用：□能□不能会员注册管理系统能否正常使用：□能□不能视频/动画展示系统能否正常使用：□能□不能其他能否正常使用：□能□不能5、安全检测验收ASP、PHP、JSP编程。
MSSQL数据库二、安全建设的技术要求门户网站和部门网站的基本运行环境、信息发布系统和通用应用系统的安全建设应当符合下列技术要求：（一）机房建设门户网站和部门网站应当安排专用机房（自建或者托管）, 安置关键设备及电源系统。
机房建设的技术要求可参照《电子计算机场地通用规范》（GB/T 2887-2000）和《计算机场地安全要求》（GB/T 9361-1988）（二）网络安全发布系统门户网站和部门网站应当建设网络安全发布系统, 以防止网络黑客对页面的非法篡改, 并使网站具备应急恢复的能力。
网络安全发布系统占用系统资源百分比的均值不得超过5%, 峰值不得超过15%。
（三）电子公告服务内容过滤系统门户网站和部门网站应当建设电子公告服务内容过滤系统, 对电子公告服务活动进行实时监管, 重点加强对电子公告板和聊天室的内容过滤, 对黄色、反动、暴力等不良信息及其发布者及时进行处理, 以维护网站的内容健康。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
概要设计检查表
项目名称：网站信息化管理平台
文档名称：网站信息化管理平台概要设计说明书.doc
#检查项
清晰性清晰性
1是否清晰地描述了数据流程、控制流程和接口？
2文档结构是否清晰、组织是否合理？
3文档结构是否便于维护和修改？
4设计是否易于理解？
5各模块之间的关系是否描述的清楚？
完整性
、正确
性清晰性
1是否定义了目标？
2是否记录了与本设计文档相关的假设、约束、决议、依赖？
3设计在进度、预算和技术上是否可行？
4逻辑上是否正确、完整？
5是否对子模块的抽象算法进行了说明？
6所选的设计或算法是否满足模块的需求？
7是否有一些必要的数据结构没有定义？或定义了一些不必要的数据结构？
8是否对数据元素进行了充分的描述？说明了有效的数据范围？
9是否对共享和存储数据的管理和使用进行了明确的描述？
10此设计是否能为详细设计提供充分的基础？
11是否对性能参数进行了说明（如，实施约束、内存大小、速度要求等）
12是否识别并分析了关键执行路径？
一致性
1在整个设计中，是否对数据元素、程序、功能的命名保持一致？
2设计是否反应了真实的运行环境，包括软件和硬件？
3对模块的说明是否与软件需求文档中的功能要求相一致？
4是否所有的设计元素都可追踪回需求？
接口
1是否对接口的功能特征进行了描述？
2接口是否便于问题的解决？
3是否所有的接口间相互一致，并和其他模块及需求相一致？
4是否所有接口都提供了要求的类型、数量和质量信息？
5是否对接口的数量和复杂度进行了权衡，使接口的数量少并且复杂程度可以接受？
6操作接口的设计是否考虑了用户？
可维护性、可靠性
1设计是模块化的吗？
2模块具有高内聚度第偶合度吗？
3设计中是否提供了对错误的检测和恢复？
4是否考虑了异常情况？
5错误条件描述的是否完整、准确？
6设计是否满足系统完整性要求？
7是否符合相关的法律法规。