GB/T 37096-2018 信息安全技术 办公信息系统安全测试规范

　　ICS 35 . 040 L 80

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 37096—2018

　　信息安全技术

　　办公信息系统安全测试规范

　　Informationsecuritytechnology—Securitytestingspecificationfor

　　officeinformationsystems

　　2018-12-28 发布 2019-07-01 实施

　　国家市场监督管理总局中国国家标准化管理委员会

　　发

　　布

　　GB/T 37096—2018

　　GB/T 37096—2018

　　前 言

　　本标准按照 GB/T 1 . 1—2009 给出的规则起草。

　　请注意本文件的某些内容可能涉及专利。 本文件的发布机构不承担识别这些专利的责任。

　　本标准由全国信息安全标准化技术委员会(SAC/TC 260)提出并归口 。

　　本标准主要起草单位：中国电子技术标准化研究院、工业和信息化部软件与集成电路促进中心、深圳赛西信息技术有限公司、工业和信息化部电子第五研究所、北京赛西科技发展有限公司、西安电子科技大学、北京工业大学。

　　本标准主要起草人：姚相振、刘贤刚、范科峰、高林、杨建军、唐一鸿、毕思文、叶润国、许东阳、龚洁中、孙康健、刘龙庚、刘帅、王莉、李云婷、裴庆祺、杨震。

　　GB/T 37096—2018

　　引

　　言

　　本标准是与 GB/T 37095—2018 相配套的测试标准，用以指导测试人员对办公信息系统安全进行测试。

　　本标准按照 GB/T 37095—2018 关于办公信息系统安全基本技术要求，分别从物理环境、基础硬件产品、基础软件产品、网络设施和应用软件系统等 5 个方面规定了办公信息系统安全测试规范。

　　GB/T 37096—2018

　　信息安全技术

　　办公信息系统安全测试规范

　　1 范围

　　本标准规定了办公信息系统的物理环境测试、基础硬件产品测试、基础软件产品测试、网络设施测试以及应用软件系统测试的规范。

　　本标准适用于指导党政部门的办公信息系统建设，包括系统设计、产品采购、系统集成等，涉密办公信息系统的建设管理依据相关国家保密法规和标准要求实施。

　　2 规范性引用文件

　　下列文件对于本文件的应用是必不可少的。 凡是注 日期的引用文件，仅注 日期的版本适用于本文件 。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

　　GB/T 2887—2011 计算机场地通用规范

　　GB/T 18018 信息安全技术 路由器安全技术要求

　　GB 18030—2005 信息技术 中文编码字符集

　　GB/T 20272 信息安全技术 操作系统安全技术要求

　　GB/T 20273 信息安全技术 数据库管理系统安全技术要求

　　3 术语和定义

　　GB/T 25069—2010 和 GB/T 37095—2018 界定的术语和定义适用于本文件。

　　4 缩略语

　　下列缩略语适用于本文件。

　　BIOS：基本输入输出系统(Basic Input Output System)

　　GB/T 37096—2018

　　CA：认证授权(Certificate Authority)

　　CPU：中央处理器(Central Processing Unit)

　　IP：网际协议 (Internet Protocol)

　　PC：个人计算机(Personal Computer)

　　5 物理环境测试

　　5 . 1 测试内容

　　测试办公信息系统部署、运维的物理环境中机房的建设是否符合 GB/T 2887—2011 的要求、物理环境是否符合 GB/T 21052—2007 的要求。

　　5 . 2 测试方法

　　物理环境测试方法应按表 1 执行。

　　表 1 物理环境测试方法

　　6 基础硬件产品测试

　　6 . 1 服务器

　　6 . 1 . 1 测试内容

　　测试办公信息系统所采用的服务器硬件产品的硬件指标、BIOS基本功能。

　　6 . 1 . 2 测试方法

　　服务器测试方法应按表 2 执行。

　　表 2 服务器测试方法

　　GB/T 37096—2018

　　表 2(续)

　　6.2 桌面 PC

　　6 . 2 . 1 测试内容

　　测试办公信息系统所采用的桌面 PC硬件产品的硬件指标、BIOS基本功能以及厂商所提供的技术资料的完整性。

　　6 . 2 . 2 测试方法

　　桌面 PC测试方法应按表 3 执行。

　　表 3 桌面 PC测试方法

　　7 基础软件产品测试

　　7 . 1 操作系统

　　7 . 1 . 1 测试内容

　　测试办公信息系统所采用的操作系统的功能、认证机制、安全性以及厂商所提供的技术资料的完整性。

　　GB/T 37096—2018

　　7 . 1 . 2 测试方法

　　操作系统测试方法应按表 4 执行。

　　表 4 操作系统测试方法

　　GB/T 37096—2018

　　表 4(续)

　　7 . 2 数据库管理系统

　　7 . 2 . 1 测试内容

　　测试办公信息系统所采用的数据库管理系统的功能、安全性以及厂商所提供的技术资料的完整性。

　　7 . 2 . 2 测试方法

　　数据库管理系统测试方法应按表 5 执行。

　　表 5 数据库管理系统测试方法

　　GB/T 37096—2018

　　表 5(续)

　　7 . 3 应用服务器中间件

　　7 . 3 . 1 测试内容

　　测试办公信息系统所采用的应用服务器中间件的功能、安全性以及厂商所提供的技术资料的完整性。

　　7 . 3 . 2 测试方法

　　应用服务器中间件测试方法应按表 6 执行。

　　表 6 应用服务器中间件测试方法

　　GB/T 37096—2018

　　表 6(续)

　　7 . 4 办公软件

　　7 . 4 . 1 测试内容

　　测试办公信息系统所采用的办公软件的功能、安全性以及厂商所提供的技术资料的完整性。

　　GB/T 37096—2018

　　7 . 4 . 2 测试方法

　　办公软件测试方法应按表 7 执行。

　　表 7 办公软件测试方法

　　8 网络设施测试

　　8 . 1 网络设备

　　8 . 1 . 1 测试内容

　　测试办公信息系统所采用的交换机、路由器等网络设备的功能以及安全性。

　　8 . 1 . 2 测试方法

　　网络设备测试方法应按表 8 执行。

　　表 8 网络设备测试方法

　　GB/T 37096—2018

　　8 . 2 安全设备

　　8 . 2 . 1 测试内容

　　测试办公信息系统所采用的防火墙和入侵检测系统等安全设备的功能以及安全性。

　　8 . 2 . 2 测试方法

　　安全设备测试方法应按表 9 执行。

　　表 9 安全设备测试方法

　　9 应用软件系统测试

　　9 . 1 功能性

　　9 . 1 . 1 测试内容

　　测试应用软件系统的功能，包括公文管理、归档管理、公告、通知、会议管理、个人工作区、个人信息管理、在线人员列表、管理员用户等。

　　9 . 1 . 2 测试方法

　　应用软件系统功能性测试方法应按表 10 执行。

　　表 10 应用软件系统功能性测试方法

　　GB/T 37096—2018

　　表 10(续)

　　9 . 2 安全性

　　9 . 2 . 1 测试内容

　　测试应用软件系统的安全性。

　　9 . 2 . 2 测试方法

　　应用软件系统安全性测试方法应按表 11 执行。

　　表 1 1 应用软件系统安全性测试方法

　　GB/T 37096—2018

　　9 . 3 可靠性

　　9 . 3 . 1 测试内容

　　测试应用软件系统的可靠性，包括成熟度、容错性、易恢复性等。

　　9 . 3 . 2 测试方法

　　应用软件系统可靠性测试方法应按表 12 执行。

　　表 12 应用软件系统可靠性测试方法

　　9 . 4 易用性

　　9 . 4 . 1 测试内容

　　测试应用软件系统的易用性，包括易理解性、易操作性、易学习性等。

　　9 . 4 . 2 测试方法

　　应用软件系统易用性测试方法应按表 13 执行。

　　表 13 应用软件系统易用性测试方法

　　GB/T 37096—2018

　　表 13(续)