这份清单怎么用
这是测评进场前的自查表，作用是把自己能发现的问题先消化掉。它不该被当成一次性任务：把清单固化成模板，每次变更后或每季度过一遍，能显著减少测评现场被现场发现问题的概率。使用时按「条款 → 现状 → 证据位置」三列记录，证据位置要能让人五分钟内翻出来。
高频自查清单
高频自查清单
□ 全量资产清点：主机、数据库、网络与安全设备、应用、云资源
□ 口令策略启用（含网络设备/数据库/应用后台）且无弱口令
□ 默认账号已清理，账号台账与离职回收记录齐全
□ 远程管理全部加密（SSH/HTTPS/VPN），管理端口来源受限
□ 登录失败锁定与会话超时已启用
□ 日志集中留存不少于 180 天，可检索可导出
□ 审计记录权限收紧，操作员不可删除
□ 本地与异地备份有效，恢复演练记录在案
□ 漏洞扫描与修复闭环记录完整
□ 入侵防范与恶意代码防范覆盖关键节点，规则库已更新
□ 边界访问控制规则精简有效，高危端口已收敛
□ 制度、培训、演练、外包协议等管理记录齐全按安全类分组核对
| 安全类 | 高频问题 | 证据形式 |
|---|---|---|
| 安全计算环境 | 弱口令、审计不全、备份无演练 | 配置截图、日志截图、演练报告 |
| 安全区域边界 | 规则冗余、临时放行未回收 | 策略导出、变更单 |
| 安全通信网络 | 分区不清、管理流量与业务混跑 | 拓扑图、VLAN 规划 |
| 安全管理中心 | 三权分立形式化、无集中分析 | 账号权限表、告警处置记录 |
| 安全管理类 | 制度有但无执行记录 | 培训签到、考核、巡检表 |
自查执行建议
- 分组分工：技术项由运维自查，管理项由安全与人事协作，避免互相等待
- 先易后难：口令、默认账号、远程加密这类改动小收益大的项优先处理
- 建问题台账：每条问题记录责任人、期限与状态，测评前逐条关闭
- 证据归位：所有材料统一目录存放，按安全类编号，便于现场调阅
基本信息
| 适用场景 | 等级测评进场前、重大变更后、年度自查 |
|---|---|
| 覆盖范围 | 十个安全类与四类扩展要求的高频项 |
| 建议频次 | 每年至少一次，变更后追加 |
| 配套文档 | 条款清单、问题台账、证据索引 |
典型使用场景
- 首次测评：提前识别差距，避免现场大面积不符合
- 年度复测：对比上期问题清单确认整改是否真的闭环
- 系统迁移或上云：重新核对边界、账号与日志链路
- 多系统批量自查：统一模板下发，集中汇总问题台账
自查最容易漏的是「记录类」证据：制度有、配置有，但拿不出培训签到、巡检表、变更单与处置工单，测评时同样扣分。
自查发现的问题不建台账、不排期，测评时同样问题会再现；自查的价值在于提前关闭问题，而不是提前知道问题。
现场核查常见追问
- 这条要求对应的制度在第几页、什么时间发布、有没有修订记录
- 这个配置是谁在什么时候改的，有没有变更单
- 这条记录能现场检索出来吗，能不能按时间段导出
- 相关人员能不能说清自己的职责与操作流程