docs/user_guide/用户使用手册.md · 中科信息安全共性技术国家工程研究中心有限公司/pes-community

### 产品简介
随着相关法律法规的发布如密码法、信息系统密码应用基本要求等，商用密码应用安全性评估工作将逐步推动。当前密评体系中密评机构、密评专业人员都比较稀少。面对系统中安全设备、密码应用产品、云服务等复杂环境，需要密评人员具备丰富的且多方面的安全知识和测评经验。并且当前密评工作技术方法、流程规划、文档模板都未达到标准性、统一性、规范性，更多的依赖密评人员的工作经验和技术水平。导致测评工作对人员、人员技术经验依赖性很强。同时密评工作当前多为手工测评与记录，导致测评工作周期长、效率低等问题。
密码应用安全性评估检验检测系统以下简称“系统”，该系统严格参考相关标准，并按测评流程从测评准备阶段、方案编制阶段、现场测评阶段、分析与报告编制阶段对测评进行标准化、流程化管理。
本产品适用于第三方测评机构开展商用密码应用安全性评估工作，支撑等保二级、三级、四级信息系统密评工作。

### 运行环境
| 类型     | 说明        | 描述                    |
|--------|-----------|-----------------------|
| 运行系统   | Windows系统 | 支持Win桌面操作系统，64位的Win10及以上    |
| 硬件环境   | CPU、内存    | CPUi5以上，4核以上。内存8G以上。  |
| 依赖环境   | JDK环境     | 需要终端已安装JDK环境，且版本17及以上 |

### 功能使用说明
#### 启动/登录
启动过程中，未进行产品激活的用户需在联网状态下下对产品进行激活。激活码获取方式：https://sass.zknercis.cn
登录方式：用户名口令登录 用户名：admin  口令：123456
#### 整体功能
##### 界面布局 
    界面包括顶端操作区，左侧项目菜单区，右侧系统操作区。

1、顶端操作区：支持最小化、最大化、关闭界面。并且可以查看当前联网状态，系统设置菜单栏（包括修改密码、切换账号、许可证、配置页面等功能）。

2、左侧项目菜单区：主要是项目信息的操作及展示，包括【搜索项目】【添加项目】等。右击支持查看该项目关联的【编辑项目】【测评单位】【被测单位】【删除项目】。

3、右侧系统操作区：右侧主要为系统信息展示包括【添加系统】【系统名称】【安全级别】【状态】【测评结果】和【系统测评】。右击支持【编辑系统】【删除系统】。

##### 项目管理
    界面布局分为项目列表区和系统列表区；主要支持对项目信息及系统信息进行CRUD操作。

**【注意】1、创建项目时若亢被测单位信息，可选择手动创建，在创建项目信息页右侧填写被测单位信息。
2、目前支持对等保二级、三级、四级系统进行密码测评工作。创建系统时请正确选择系统级别，一旦选择无法修改系统级别。**

##### 证据管理
    证据管理主要支持基于各层面，对密评工作中所有收集到的证据进行CRUD操作功能。

上传证据：支持导入、粘贴、拖拽多种上传方式。

证据重命名：选中一张图片，双击可修改名称。

删除证据：鼠标放到图片上，右上角出现删除图标，点击删除，提示用户是否删除后点击确即可。

##### 系统测评
点击【系统列表】中的系统测评图标后，单独弹出系统测评界面。每个系统都可进行测评工作，测评依据测评流程包括：【测评准备】【方案编制】【现场测评】【分析与报告编制】4个流程。

1、【测评准备】：主要配合测评人员采集系统信息，包括：业务情况信息、网络拓扑图、密码应用情况、系统资产采集、测评方法及工具等。此模块信息主要对应报告中的被测系统基本信息表以及报告1,2章节数据。此模块用户可确定对象测评范围。

2、【方案编制】：主要确定指标范围、对象测评内容、确定对象测评方式，指标等信息。并输出方案编制。

3、【现场测评】：主要基于对象进行测评工作，记录结果信息和结论，形成记录表。

4、【分析与报告编制】：基于现场测评记录进行单元分析，结果弥补，风险分析等操作。此过程中所有得分都自动计算。

##### 测评准备阶段

测评准备主要辅助测评人员采集系统信息包括：测评依据、测评过程信息、承载业务情况、网络拓扑图及描述、密码应用情况、系统资产、测评方法及工具、密码服务、安全威胁，前次测评情况。

被测系统基本信息：支持录入被测系统基本信息。

测评依据：支持测评依据的录入。分为依据标准和规范、参考标准和规范两部分。可以对报告的规范部分进行CRUD操作。

测评过程信息：支持定义密评工作四个阶段的时间范围，分工、项目组成员，指定项目经理。

承载业务情况：支持采集系统整体情况说明。支持添加多张图片。但需要用标识符{图片名称}定位添加位置。

网络拓扑图及描述：支持采集网络拓扑图总描述、各个区详细描述以及支持上传网络拓扑图。网络拓扑图当前只支持上传1张，无需使用标识符定位。

密码应用情况：支持采集技术层面的密码应用情况。不支持上传图片。

系统资产：支持测评人员采集系统资产，并确定具体对象是否测评。资产包括物理环境、物理安防设施、密码产品、服务器/存储设备、网络及安全设备、数据库管理系统、应用、重要数据、信道等。并支持表格录入、excel表格复制粘贴、以及右击系统资产导入excel表格三种录入方式。

**【注意】右击系统资产导入excel表格的录入方式需先导出excel系统资产模板，按照模板要求录入信息。**

密码服务：支持密码服务相关信息录入

安全威胁：预置固定的安全威胁信息且不支持CRUD。可在表格末尾添加自定义安全威胁。

前次测评情况：支持采集被测系统当前测评次数。若非首次测评，则需采集前次测评时间和结果信息。

测评方法及工具：支持确定测评工具、测评检查点范围。测评工具检查点仅支持添加一张图片，无需使用标识符定位。

##### 方案编制阶段

方案编制阶段主要辅助用户针对测评系统确定：确定指标范围，确定特殊指标，确定指标适用范围，确定指标对象关系，确定对象测评方式以及测评配合需求。

确定基本指标及不适用指标：支持根据系统级别配置基本指标，并支持设置指标适用行，若某基本指标为不适用，需要填写不适用说明。

确定特殊指标：支持对升级指标、引用指标、自定义指标进行CRUD功能。

确定测评对象的测评指标：测评准阶段-系统资产中已选取测评对象并根据层面默认关联测评指标。该功能支持调整对象关联的测评指标，以及选取测评方式与说明。

测评配合需求：支持对各个层面指标填写具体的配合项目和需求说明，系统已预置默认配合需求，支持修改。

##### 现场测评阶段
    现场测评主要对指标以及对象进行记录表填写工作。下面对如何使用工具填写记录表并自动计算得分。

填写现场测评记录：支持录入测评对象的现场测评结果记录并关联证据。支持D、A、K或统一录入两种录入模式。可在配置页面进行修改。

量化评估：支持对测评对象进行D、A、K三个维度进行量化评估打分，打分后自动计算测评对象得分，并实时更新总体得分情况。

##### 分析与报告编制阶段
    分析与报告编制主要对现场记录表进行单元测评，整体测评、风险分析以及总体评价。

单元测评：支持针对测评单元进行结果分析。测评单元得分根据量化评估自动计算。

整体测评：支持对可被弥补的测评对象进行弥补操作，弥补后的总体、层面、单元以及对象得分自动计算。

风险分析：支持针对可能有风险的测评单元进行风险分析并提出改进建议。

总体评价：支持对各层面进行总体评价，并支持对单元测评、整体测评以及风险分析部分的预览。

##### 密评证明记录
    根据密评报告2023版模板，新增密评证据记录模块。主要包含以下内容：密评委托证明、密评活动证明、密评活动质量文件、密评人员资格证明、系统定级匹配证明。

密评委托证明:支持密评委托证明材料的CRUD操作。

密评活动证明:支持密评活动证明材料的CRUD操作。

密评活动质量文件: 支持密评活动质量材料的CRUD操作。

密评人员资格证明:支持密评人员资格证明材料的CRUD操作。

系统定级匹配证明:支持系统定级匹配证明的CRUD操作。

中科信息安全共性技术国家工程研究中心有限公司/pes-community

简介

发行版 (2)

贡献者

语言

近期动态

中科信息安全共性技术国家工程研究中心有限公司/pes-community .gitee-modal { width: 500px !important; }

简介

发行版 (2)

贡献者

语言

近期动态

搜索帮助

中科信息安全共性技术国家工程研究中心有限公司/pes-community