信息安全技术 应用软件系统安全等级保护通用测试指南
发布时间: 2010-02-01 丨 阅读次数: 40559
ICS35.020
L 09
中华人民共和国公共安全行业标准
GB 17859-1999
信息安全技术
应用软件系统安全等级保护通用测试指南
Information security technology-
Common test guide of security classification protection for
application software system
2007-08-13 发布 __________________________________ 2007-10-01 实施
中华人民共和国公安部 发布
前 言
（略）
引 言
本标准对应用软件系统安全等级保护的测试提供指导，对应用软件系统所采用的安全技术是否达到其相应安全保护等级的要求进行测试。
本标准第4章，应用软件系统安全技术测试环境和条件要求，是对应用软件系统安全技术测试的环境的要求和应用软件系统安全技术测试所应具备条件的要求。
本标准第5章，应用软件系统安全技术测试各安全等级共同要求，是对应用软件系统的每一安全等级都适用的安全技术测试要求的描述。
本标准第6章，应用软件系统基础安全技术测试，是对GA/T 711-2007第４章所描述的应用软件系统的基础安全技术的测试。
本标准第7章，应用软件系统安全技术分等级测试，以GA/T 711-2007第5章关于应用软件系统安全技术分等级要求为基础，对每一个安全等级的应用软件系统的安全技术的测试要求的描述，包括：安全技术测试的环境和条件要求，基础安全技术测试要求，安全功能技术测试要求，以及应用软件系统安全子系统的自身保护、设计和实现及安全管理的测试要求。其中，“加粗宋体”表示在较高等级中比较低一级增加或增强的内容。
信息安全技术 应用软件系统安全等级保护通用测试指南
1 范围
本标准规定了按照GB 17859-1999的五个安全保护等级对应用软件系统的安全保护等级进行测试的要求。
本标准适用于按照GB 17859-1999的五个安全保护等级的要求所进行的应用软件系统安全技术的测试。对于按照GB 17859-1999的五个安全保护等级对应用软件系统进行的安全设计和管理也可参照使用。
2 规范性引用文件
下列文件中的有关条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
GB 17859-1999 计算机信息系统安全保护等级划分准则 GA/T 711-2007 信息安全技术 应用软件系统安全等级保护通用技术指南
3 术语、定义和缩略语
GA/T 711-2007中确立的术语、定义和缩略语适用于本标准。
4 应用软件系统安全技术测试环境和条件要求
4.1 测试环境
应用软件系统安全技术测试环境应满足以下要求：
a) 支持应用软件系统运行的信息系统的其它各层的软、硬件（如物理层、网络层、操作系统层、数据库管理系统层等）均应具有不低于该应用软件系统的安全保护等级的安全性；
b) 按照关联/互补的原则，应用软件系统的安全要求可以在应用软件系统中实现，也可以在支持其运行的低层环境中实现；
c) 对应用软件系统的测试应在其实际运行环境或与实际运行环境相同的模拟环境进行；
d) 应用软件系统中涉及密码的部分，应提供具有相应安全强度/等级的密码设施支持。
4.2 测试条件
被测应用软件系统应满足以下条件：
a) 设计者应先进行自测试，并提供相应的测试文档和测试结果；
b) 按照设计者所提供的测试文档所进行的测试，应能够再现设计者所做的自测试过程；
c) 测试者可以根据应用软件系统所应达到的安全要求，进行新的测试；
d) 涉及密码强度/等级的测试，应由国家密码主管部门按照相应的规定进行；
e) 测试者根据对测试结果的分析，应能够对被测应用软件系统是否达到所需要的安全保护等级作出评价。
5 应用软件系统安全技术测试各安全等级共同要求
SSOASS的开发者应提供包含每一个被测列项测试结果的自测试文档。自测试文档应说明被测列项是否达到GA/T 711-2007中相应条款的安全技术
要求，并说明所采用的测试方法。
SSOASS的测试者应检查自测试文档，根据文档的描述，对SSOASS的各个被测列项测试结果进行符合性测试，并根据需要进行独立性测试，给出
其安全性是否达到GA/T 711-2007中相应条款的安全技术要求的结论。
6 应用软件系统基础安全技术测试
6.1 风险分析和安全需求测试
应按第5章的要求，对风险分析和安全需求进行测试。通过审查风险分析和安全需求的相关文档，确认其风险分析和安全需求是否达到GA/T
711-2007中4.1的要求。
6.2 应用软件系统安全方案测试
应按第5章的要求，对应用软件系统安全方案进行测试。通过审查方案设计文档，确认应用软件系统安全方案是否达到GA/T 711-2007中4.２的
要求。
6.3 应用软件系统环境安全测试
应按第5章的要求，对应用软件系统环境安全进行测试。通过对应用软件系统运行环境的安全状况的实际考察和对说明环境安全的相关文档的
审查，确认应用软件系统的环境安全是否达到GA/T 711-2007中4.3的要求。
6.4 应用软件系统业务连续性测试
应按第5章的要求，对应用软件系统业务连续性设计进行测试。通过检查相关文档，确认应用软件系统的业务连续性设计是否达到GA/T 711-
2007中4.4的要求。
6.5 应用软件系统及相关信息系统安全等级划分测试
应按第5章的要求，对应用软件系统及相关信息系统安全等级的划分进行测试。通过审查相关文档，确认其是否满足GA/T 711-2007中4.５的要
求。
7 应用软件系统安全技术分等级测试
7.1 第一级 用户自主保护级
7.1.1 安全技术测试环境和条件要求
第一级安全应用软件系统的安全技术测试，应从下列方面达到应用软件系统安全技术测试的环境和条件要求：
a) 按4.1的要求，构建应用软件系统安全技术测试环境；
b) 按4.2的要求，提供应用软件系统安全技术测试条件。
7.1.2 基础安全技术测试
对第一级安全的应用软件系统，应从下列方面进行基础安全技术的测试：
a) 按6.1的要求，对风险分析和安全需求进行测试，确认其是否达到GA/T 711-2007中5.1.1 a)的要求；
b) 按6.2的要求，对应用软件系统安全方案进行测试，确认其是否达到GA/T 711-2007中5.1.1 b)的要求；
c) 按6.3的要求，对应用软件系统环境安全进行测试，确认其是否达到GA/T 711-2007中5.1.1 c)的要求；
d) 按6.4的要求，对应用软件系统业务连续性设计进行测试，确认其是否达到GA/T 711-2007中5.1.1 d)的要求；
e) 按6.5的要求，对应用软件系统及相应信息系统安全等级的划分进行测试，确认其是否达到GA/T 711-2007中5.1.1 e)的要求。
7.1.3 安全功能测试
7.1.3.1 备份与故障恢复测试
应按第5章的要求，对SSOASS的备份与故障恢复进行测试。通过对设计文档的审查和对备份
与故障恢复功能的实际测试，确认备份与故障恢复功能是否达到GA/T 711-2007中5.1.2.1的要求。
7.1.3.2 用户身份鉴别测试
应按第5章的要求，对SSOASS的用户身份鉴别进行测试，通过对设计文档的审查和对用户身份鉴别功能的实际测试，确认用户身份鉴别功能是否
达到GA/T 711-2007中5.1.2.2的要求。
7.1.3.3 自主访问控制测试
应按第5章的要求，对SSOASS的自主访问控制进行测试。通过对设计文档的审查和对自主访问控制功能的实际测试，确认自主访问控制功能是否
达到GA/T 711-2007中5.1.2.3的要求。
7.1.3.4 用户数据完整性保护测试
应按第5章的要求，对SSOASS的用户数据完整性保护进行测试。通过对设计文档的审查和对用户数据完整性保护功能的实际测试，确认用户数据
完整性保护功能是否达到GA/T 711-2007中5.1.2.4的要求。
7.1.3.5 用户数据保密性保护测试
本级的应用软件系统不要求对用户数据保密性进行测试。
7.1.4 SSOASS自身保护测试
7.1.4.1 SSF物理安全保护测试
应按第5章的要求，对SSF物理安全保护进行测试。通过对设计文档的审查和对SSF物理安全保护的实际测试，确认SSF物理安全保护是否达到
GA/T 711-2007中5.1.3.1的要求。
7.1.4.2 SSF运行安全保护测试
应按第5章的要求，对SSF运行安全保护进行测试。通过对设计文档的审查和对SSF运行安全保护的实际测试，确认SSF运行安全保护是否达到
GA/T 711-2007中5.1.3.2的要求。
7.1.4.3 SSF数据安全保护测试
应按第5章的要求，对SSF数据安全保护进行测试。通过对设计文档的审查和对SSF数据安全保护的实际测试，确认SSF数据安全保护是否达到
GA/T 711-2007中5.1.3.3的要求。
7.1.4.4 SSOASS资源利用测试
应按第5章的要求，对SSOASS资源利用进行测试。通过对设计文档的审查和对SSOASS资源利用的实际测试，确认SSOASS资源利用是否达到GA/T
711-2007中5.1.3.4的要求。
7.1.4.5 SSOASS访问控制测试
应按第5章的要求，对SSOASS访问控制进行测试。通过对设计文档的审查和对SSOASS访问控制的实际测试，确认SSOASS访问控制是否达到GA/T
711-2007中5.1.3.5的要求。
7.1.5 SSOASS设计和实现测试
7.1.5.1 配置管理测试
应按第5章的要求，对SSOASS配置管理进行测试。通过对设计文档的审查和对SSOASS配置管理的实际测试，确认SSOASS配置管理是否达到GA/T
711-2007中5.1.4.1的要求。
7.1.5.2 分发和操作测试
应按第5章的要求，对SSOASS分发与操作进行测试。通过审查相关文档，确认SSOASS分发与操作是否达到GA/T 711-2007中5.1.4.2的要求。
7.1.5.3 开发测试
应按第5章的要求，对SSOASS开发进行测试。通过审查有关文档，确认SSOASS开发是否符合GA/T 711-2007中5.1.4.3的要求。
7.1.5.4 文档测试
应按第5章的要求，对SSOASS文档进行测试。通过对文档内容的审查，确认SSOASS文档是否达到GA/T 711-2007中5.1.4.4的要求。
7.1.5.5 生存周期支持测试
应按第5章的要求，对SSOASS生存周期支持进行测试。通过相关文档的审查，确认SSOASS生存周期支持是否达到GA/T 711-2007中5.1.4.5的要求
。
7.1.5.6 测试测试
应按第5章的要求，对SSOASS测试进行测试。通过对有关文档的审查，确认SSOASS测试是否达到GA/T 711-2007中5.1.4.6的要求。
7.1.6 SSOASS安全管理测试
应按第5章的要求，对SSOASS安全管理进行测试。通过对有关文档的审查，确认SSOASS安全管理是否达到GA/T 711-2007中5.1.5的要求。
7.2 第二级 系统审计保护级
7.2.1 安全技术测试环境和条件要求
第二级安全应用软件系统的安全技术测试，应从下列方面达到应用软件系统安全技术测试的环境和条件要求：
a) 按4.1的要求，构建应用软件系统安全技术测试环境；
b) 按4.2的要求，提供应用软件系统安全技术测试条件。
7.2.2 基础安全技术测试
对第二级安全的应用软件系统，应从下列方面进行基础安全技术的测试：
a) 按6.1的要求，对风险分析和安全需求进行测试，确认其是否达到GA/T 711-2007中5.2.1 a)的要求；
b) 按6.2的要求，对应用软件系统安全方案进行测试，确认其是否达到GA/T 711-2007中5.2.1 b)的要求；
c) 按6.3的要求，对应用软件系统环境安全进行测试，确认其是否达到GA/T 711-2007中5.2.1 c)的要求；
d) 按6.4的要求，对应用软件系统业务连续性设计进行测试，确认其是否达到GA/T 711-2007中5.2.1 d)的要求；
e) 按6.5的要求，对应用软件系统及相应信息系统安全等级的划分进行测试，确认其是否达到GA/T 711-2007中5.2.1 e)的要求。
7.2.3 安全功能技术测试
7.2.3.1 安全性检测分析测试
应按第5章的要求，对SSOASS的安全性检测分析进行测试。通过对设计文档的审查和对安全性检测分析的实际测试，确认安全性检测分析功能是
否达到GA/T 711-2007中5.2.2.1的要求。
7.2.3.2 安全审计测试
应按第5章的要求，对SSOASS的安全审计进行测试。通过对设计文档的审查和对安全审计功能的实际测试，确认安全审计功能是否达到GA/T 11
-2007中5.2.2.2的要求。
7.2.3.3 备份与故障恢复测试
应按第5章的要求，对SSOASS的备份与故障恢复进行测试。通过对设计文档的审查和对备份与故障恢复功能的实际测试，确认备份与故障恢复功
能是否达到GA/T 711-2007中5.2.2.3的要求。
7.2.3.4 用户身份鉴别测试
应按第5章的要求，对SSOASS的用户身份鉴别进行测试。通过对设计文档的审查和对用户身份鉴别功能的实际测试，确认用户身份鉴别功能是否
达到GA/T 711-2007中5.2.2.4的要求。
7.2.3.5 自主访问控制测试
应按第5章的要求，对SSOASS的自主访问控制进行测试。通过对设计文档的审查和对自主访问控制功能的实际测试，确认自主访问控制功能是否
达到GA/T 711-2007中5.2.2.5的要求。
7.2.3.6 用户数据完整性保护测试
应按第5章的要求，对SSOASS的用户数据完整性保护进行测试。通过对设计文档的审查和对用户用户数据完整性保护功能的实际测试，确认用户
数据完整性保护功能是否达到GA/T 711-2007中5.2.2.6的要求。
7.2.3.7 用户数据保密性保护测试
应按第5章的要求，对SSOASS的用户数据保密性保护进行测试。通过对设计文档的审查和对用户数据保密性保护功能的实际测试，确认用户数据
保密性保护功能是否达到GA/T 711-2007中5.2.2.7的要求。
7.2.4 SSOASS自身保护测试
7.2.4.1 SSF物理安全保护测试
应按第5章的要求，对SSF物理安全保护进行测试。通过对设计文档的审查和对SSF物理安全保护的实际测试，确认SSF物理安全保护是否达到
GA/T 711-2007中5.2.3.1的要求。
7.2.4.2 SSF运行安全保护测试
应按第5章的要求，对SSF运行安全保护进行测试。通过对设计文档的审查和对SSF运行安全保护的实际测试，确认SSF运行安全保护是否达到
GA/T 711-2007中5.2.3.2的要求。
7.2.4.3 SSF数据安全保护测试
应按第5章的要求，对SSF数据安全保护的进行测试。通过对设计文档的审查和对SSF数据安全保护的实际测试，确认SSF数据安全保护是否达到
GA/T 711-2007中5.2.3.3的要求。
7.2.4.4 SSOASS资源利用测试
应按第5章的要求，对SSOASS资源利用进行测试。通过对设计文档的审查和对SSOASS资源利用的实际测试，确认SSOASS资源利用是否达到GA/T
711-2007中5.2.3.4的要求。
7.2.4.5 SSOASS访问控制测试
应按第5章的要求，对SSOASS访问控制进行测试。通过对设计文档的审查和对SSOASS访问控制的实际测试，确认SSOASS访问控制是否达到GA/T
711-2007中5.2.3.5的要求。
7.2.5 SSOASS设计和实现测试
7.2.5.1 配置管理测试
应按第5章的要求，对SSOASS的配置管理进行测试。通过对设计文档的审查和对SSOASS配置管理的实际测试，确认SSOASS配置管理是否达到GA/T
711-2007中5.2.4.1的要求。
7.2.5.2 分发和操作测试
应按第5章的要求，对SSOASS的分发与操作进行测试。通过审查相关文档，确认SSOASS分发与操作是否达到GA/T 711-2007中5.2.4.2的要求。
7.2.5.3 开发测试
应按第5章的要求，对SSOASS的开发进行测试。通过检查有关文档和对开发过程的实际考察，确认SSOASS开发是否达到GA/T 711-2007中5.2.4.3
的要求。
7.2.5.4 文档测试
应按第5章的要求，对SSOASS的文档进行测试。通过对文档内容的审查，确认SSOASS文档其是否达到GA/T 711-2007中5.2.4.4的要求。
7.2.5.5 生存周期支持测试
应按第5章的要求，对SSOASS的生存周期支持进行测试。通过对相关文档的审查，确认SSOASS生存周期支持是否达到GA/T 711-2007中5.2.4.5的
要求。
7.2.5.6 测试的测试
应按第5章的要求，对SSOASS的测试进行测试。通过对有关文档的审查和对SSOASS测试的实际考察，确认SSOASS测试是否达到GA/T 711-2007中
5.2.4.6的要求。
7.2.5.7 脆弱性评定测试
应按第5章的要求，对SSOASS的脆弱性评定进行测试。通过对设计文档的审查和对SSOASS脆弱性评定的实际测试，确认SSOASS脆弱性评定是否达
到GA/T 711-2007中5.2.4.7的要求。
7.2.6 SSOASS安全管理测试
应按第5章的要求，对SSOASS安全管理进行测试。通过对设计文档的审查，确认SSOASS安全管理是否达到GA/T 711-2007中5.2.5的要求。
7.3 第三级 安全标记保护级
7.3.1 安全技术测试环境和条件要求
第三级安全应用软件系统的安全技术测试，应从下列方面达到应用软件系统安全技术测试的环境和条件要求：
a) 按4.1的要求，构建应用软件系统安全技术测试环境；
b) 按4.2的要求，提供应用软件系统安全技术测试条件。
7.3.2 基础安全技术测试
对第三级安全的应用软件系统，应从下列方面进行基础安全技术的测试：
a) 按6.1的要求，对风险分析和安全需求进行测试，确认其是否达到GA/T 711-2007中5.3.1 a)的要求；
b) 按6.2的要求，对应用软件系统安全方案进行测试，确认其是否达到GA/T 711-2007中5.3.1 b)的要求；
c) 按6.3的要求，对应用软件系统环境安全进行测试，确认其是否达到GA/T 711-2007中5.3.1 c)的要求；
d) 按6.4的要求，对应用软件系统业务连续性设计进行测试，确认其是否达到GA/T 711-2007中5.3.1 d)的要求；
e) 按6.5的要求，对应用软件系统及相应信息系统安全等级的划分进行测试，确认其是否达到GA/T 711-2007中5.3.1 e)的要求。
7.3.3 安全功能技术测试
7.3.3.1 安全性检测分析测试
应按第5章的要求，对SSOASS的安全性检测分析进行测试。通过对设计文档的审查，对安全性检测分析所采用的安全技术和机制的考察及对其安
全功能的实际测试，确认安全性检测分析功能是否达到GA/T 711-2007中5.3.2.1的要求。
7.3.3.2 安全审计测试
应按第5章的要求，对SSOASS的安全审计进行测试。通过对设计文档的审查，对安全审计所采用的安全技术和机制的考察及对其功能的实际测试
，确认安全审计功能是否达到GA/T 711-2007中5.3.2.2的要求。
7.3.3.3 备份与故障恢复测试
应按第5章的要求，对SSOASS的备份与故障恢复进行测试。通过对设计文档的审查，对备份与故障恢复所采用的安全技术和机制的考察及对其功
能的实际测试，确认备份与故障恢复功能是否达到GA/T 711-2007中5.3.2.3的要求。
7.3.3.4 用户身份鉴别测试
应按第5章的要求，对SSOASS的用户身份鉴别进行测试。通过对设计文档的审查，对用户身份鉴别所采用的安全技术和机制的考察及对其功能的
实际测试，确认用户身份鉴别功能是否达到GA/T 711-2007中5.3.2.4的要求。
7.3.3.5 抗抵赖测试
应按第5章的要求，对SSOASS的抗抵赖进行测试。通过对设计文档的审查，对抗抵赖所采用的安全技术和机制的考察及对其功能的实际测试，确认抗抵赖功能是否达到GA/T 711-2007中5.3.2.5的要求。
7.3.3.6 自主访问控制测试
应按第5章的要求，对SSOASS的自主访问控制进行测试。通过对设计文档的审查，对自主访问控制所采用的安全技术和机制的考察及对其功能的实际测试，确认自主访问控制功能是否达到GA/T 711-2007中5.3.2.6的要求。
7.3.3.7 标记测试
应按第5章的要求，对SSOASS的标记进行测试。通过对自测试文档的审查，对标记所采用的安全技术和机制的考察及对其功能的实际测试，确认标记功能是否达到GA/T 711-2007中5.3.2.7的要求。
7.3.3.8 强制访问控制测试
应按第5章的要求，对SSOASS的强制访问控制进行测试。通过对设计文档的审查，对强制访问控制所采用的安全技术和机制的考察及对其功能的实际测试，确认强制访问控制功能是否达到GA/T 711-2007中5.3.2.8的要求。
7.3.3.9 用户数据完整性保护测试
应按第5章的要求，对SSOASS的用户数据完整性保护进行测试。通过对设计文档的审查，对用户数据完整性保护所采用的安全技术和机制的考察及对其功能的实际测试，确认用户数据完整性保护功能是否达到GA/T 711-2007中5.3.2.9的要求。
7.3.3.10 用户数据保密性保护测试
应按第5章的要求，对SSOASS的用户数据保密性保护进行测试。通过对设计文档的审查，对用户数据保密性保护所采用的安全技术和机制的考察及对其功能的实际测试，确认用户数据保密性保护功能是否达到GA/T 711-2007中5.3.2.10的要求。
7.3.4 SSOASS自身保护测试
7.3.4.1 SSF物理安全保护测试
应按第5章的要求，对SSOASS的SSF物理安全保护进行测试。通过对设计文档的审查和对SSF物理安全保护所采用的安全技术的考察和实际测试，确认SSF物理安全保护是否达到GA/T 711-2007中5.3.3.1的要求。
7.3.4.2 SSF运行安全保护测试
应按第5章的要求，对SSOASS的SSF运行安全保护进行测试。通过对设计文档的审查和对SSF运行安全保护所采用的安全技术的考察和实际测试，确认SSF运行安全保护是否达到GA/T 711-2007中5.3.3.2的要求。
7.3.4.3 SSF数据安全保护测试
应按第5章的要求，对SSOASS的SSF数据安全保护进行测试。通过对设计文档的审查和对SSF数据安全保护所采用的安全技术的考察和实际测试，确认SSF数据安全保护是否达到GA/T 711-2007中5.3.3.3的要求。
7.3.4.4 SSOASS资源利用测试
应按第5章的要求，对SSOASS资源利用进行测试。通过对设计文档的审查和对SSOASS资源利用所采用的安全技术的考察和实际测试，确认SSOASS资源利用是否达到GA/T 711-2007中5.3.3.4的要求。
7.3.4.5 SSOASS访问控制测试
应按第5章的要求，对SSOASS访问控制进行测试。通过对设计文档的审查和对SSOASS访问控制所采用的安全技术的考察和实际测试，确认SSOASS访问控制是否达到GA/T 711-2007中5.3.3.5的要求。
7.3.5 SSOASS设计和实现测试
7.3.5.1 配置管理测试
应按第5章的要求，对SSOASS配置管理进行测试。通过对设计文档的审查和对SSOASS配置管理所采用的安全技术的考察和实际测试，确认SSOASS配置管理是否达到GA/T 711-2007中5.3.4.1的要求。
7.3.5.2 分发和操作测试
应按第5章的要求，对SSOASS分发与操作进行测试。通过审查相关文档，确认SSOASS分发和操作是否达到GA/T 711-2007中5.3.4.2的要求。
7.3.5.3 开发测试
应按第5章的要求，对SSOASS开发进行测试。通过检查有关文档和对开发过程的实际考察，确认SSOASS开发是否达到GA/T 711-2007中5.3.4.3的要求。
7.3.5.4 文档测试
应按第5章的要求，对SSOASS文档进行测试。通过对文档内容的审查，确认SSOASS文档是否达到GA/T 711-2007中5.3.4.4的要求。
7.3.5.5 生存周期支持测试
应按第5章的要求，对SSOASS生存周期支持进行测试。通过对设计文档的审查和对SSOASS生存周期支持所采用的安全技术的考察和实际测试，确认SSOASS生存周期支持是否达到GA/T 711-2007中5.3.4.5的要求。
7.3.5.6 测试的测试
应按第5章的要求，对SSOASS测试进行测试。通过对有关文档的审查和对SSOASS测试的实际考察，确认SSOASS测试是否达到GA/T 711-2007中5.3.4.6的要求。
7.3.5.7 脆弱性评定测试
应按第5章的要求，对SSOASS脆弱性评定进行测试。通过对设计文档的审查和对SSOASS脆弱性评定所采用的安全技术的考察和实际测试，确认SSOASS脆弱性评定是否达到GA/T 711-2007中5.3.4.7的要求。
7.3.6 SSOASS安全管理测试
应按第5章的要求，对SSOASS安全管理进行测试。通过对设计文档的审查和对SSOASS安全管理所采用的安全管理措施的考察和实际测试，确认SSOASS安全管理是否达到GA/T 711-2007中5.3.5的要求。
7.4 第四级 结构化保护级
7.4.1 安全技术测试环境和条件要求
第四级安全应用软件系统的安全技术测试，应从下列方面达到应用软件系统安全技术测试的环境和条件要求：
a) 按4.1的要求，构建应用软件系统安全技术测试环境；
b) 按4.2的要求，提供应用软件系统安全技术测试条件。
7.4.2 基础安全技术测试
对第四级安全的应用软件系统，应从下列方面进行基础安全技术的测试：
a) 按6.1的要求，对风险分析和安全需求进行测试，确认其是否达到GA/T 711-2007中5.4.1 a)的要求；
b) 按6.2的要求，对应用软件系统安全方案进行测试，确认其是否达到GA/T 711-2007中5.4.1 b)的要求；
c) 按6.3的要求，对应用软件系统环境安全进行测试，确认其是否达到GA/T 711-2007中5.4.1 c)的要求；
d) 按6.4的要求，对应用软件系统业务连续性设计进行测试，确认其是否达到GA/T 711-2007中5.4.1 d)的要求；
e) 按6.5的要求，对应用软件系统及相应信息系统安全等级的划分进行测试，确认其是否达到GA/T 711-2007中5.4.1 e)的要求。
7.4.3 安全功能技术测试
7.4.3.1 安全性检测分析测试
应按第5章的要求，对SSOASS的安全性检测分析进行测试。通过对设计文档的审查，对安全性检测分析所采用的安全技术和机制的考察及对其安全功能的实际测试，确认安全性检测分析功能是否达到GA/T 711-2007中5.4.2.1的要求。
7.4.3.2 安全审计测试
应按第5章的要求，对SSOASS的安全审计进行测试。通过对设计文档的审查，对安全审计所采用的安全技术和机制的考察及对其功能的实际测试，确认安全审计功能是否达到GA/T 711-2007中5.4.2.2的要求。
7.4.3.3 备份与故障恢复测试
应按第5章的要求，对SSOASS备份与故障恢复进行测试。通过对设计文档的审查，对备份与故障恢复所采用的安全技术和机制的考察及对其功能的实际测试，确认备份与故障恢复功能是否达到GA/T 711-2007中5.4.2.3的要求。
7.4.3.4 用户身份鉴别测试
应按第5章的要求，对SSOASS的用户身份鉴别进行测试。通过对设计文档的审查，对用户身份鉴别所采用的安全技术和机制的考察及对其功能的实际测试，确认用户身份鉴别功能是否达到GA/T 711-2007 5.4.2.4的要求。
7.4.3.5 抗抵赖测试
应按第5章的要求，对SSOASS的抗抵赖进行测试。通过对设计文档的审查，对抗抵赖所采用的安全技术和机制的考察及对其功能的实际测试，确认抗抵赖功能是否达到GA/T 711-2007中5.4.2.5的要求。
7.4.3.6 自主访问控制测试
应按第5章的要求，对SSOASS的自主访问控制进行测试。通过对设计文档的审查，对自主访问控制所采用的安全技术和机制的考察及对其功能的实际测试，确认自主访问控制功能是否达到GA/T 711-2007中5.4.2.6的要求。
7.4.3.7 标记测试
应按第5章的要求，对SSOASS的标记进行测试。通过对设计文档的审查，对标记所采用的安全技术和机制的考察及对其功能的实际测试，确认标记功能是否达到GA/T 711-2007中5.4.2.7的要求。
7.4.3.8 强制访问控制测试
应按第5章的要求，对SSOASS的强制访问控制进行测试。通过对设计文档的审查，对强制访问控制所采用的安全技术和机制的考察及对其功能的实际测试，确认强制访问控制功能是否达到GA/T 711-2007中5.4.2.8的要求。
7.4.3.9 用户数据完整性保护测试
应按第5章的要求，对SSOASS的用户数据完整性保护进行测试。通过对设计文档的审查，对用户数据完整性保护所采用的安全技术和机制的考察及对其功能的实际测试，确认用户数据完整性保护功能是否达到GA/T 711-2007中5.4.2.9的要求。
7.4.3.10 用户数据保密性保护测试
应按第5章的要求，对SSOASS的用户数据保密性保护进行测试。通过对设计文档的审查，对用户数据保密性保护所采用的安全技术和机制的考察及对其功能的实际测试，确认用户数据保密性保护功能是否达到GA/T 711-2007中5.4.2.10的要求。
7.4.3.11 可信路径
应按第5章的要求，对SSOASS的可信路径进行测试。通过对设计文档的审查，对可信路径所采用的安全技术和机制的考察及对其功能的实际测试，确认可信路径功能是否达到GA/T 711-2007中5.4.2.11的要求。
7.4.4 SSOASS自身保护测试
7.4.4.1 SSF物理安全保护测试
应按第5章的要求，对SSOASS的SSF物理安全保护进行测试。通过对设计文档的检查和对SSF物理安全保护所采用的安全技术的考察和实际测试，确认SSF物理安全保护是否达到GA/T 711-2007中5.4.3.1的要求。
7.4.4.2 SSF运行安全保护测试
应按第5章的要求，对SSOASS的SSF运行安全保护进行测试。通过对设计文档的审查和对SSF运行安全保护所采用的安全技术的考察和实际测试，确认SSF运行安全保护是否达到GA/T 711-2007中5.4.3.2的要求。
7.4.4.3 SSF数据安全保护测试
应按第5章的要求，对SSOASS的SSF数据安全保护进行测试。通过对设计文档的审查和对SSF数据安全保护所采用的安全技术的考察和实际测试，确认SSF数据安全保护是否达到GA/T 711-2007中5.4.3.3的要求。
7.4.4.4 SSOASS资源利用测试
应按第5章的要求，对SSOASS资源利用进行测试。通过对设计文档的审查和对SSOASS资源利用所采用的安全技术的考察和实际测试，确认SSOASS资源利用是否达到GA/T 711-2007中5.4.3.4的要求。
7.4.4.5 SSOASS访问控制测试
应按第5章的要求，对SSOASS访问控制进行测试。通过对设计文档的审查和对SSOASS访问控制所采用的安全技术的考察和实际测试，确认SSOASS访问控制是否达到GA/T 711-2007中5.4.3.5的要求。
7.4.5 SSOASS设计和实现测试
7.4.5.1 配置管理测试
应按第5章的要求，对SSOASS的配置管理进行测试。通过对设计文档的审查和对配置管理所采用的安全技术的考察和实际测试，确认SSOASS的配置管理是否达到GA/T 711-2007中5.4.4.1的要求。
7.4.5.2 分发和操作测试
应按第5章的要求，对SSOASS分发与操作进行测试。通过审查相关文档，确认SSOASS的分发和操作是否达到GA/T 711-2007中5.4.4.2的要求。
7.4.5.3 开发测试
应按第5章的要求，对SSOASS开发进行测试。通过检查有关文档和对开发过程的实际考察，确认SSOASS的开发是否达到GA/T 711-2007中5.4.4.3
的要求。
7.4.5.4 文档测试
应按第5章的要求，对SSOASS文档进行测试。通过对文档内容的审查，确认SSOASS的文档是否达到GA/T 711-2007中5.4.4.4的要求。
7.4.5.5 生存周期支持测试
应按第5章的要求，对SSOASS的生存周期支持进行测试。通过对设计文档的审查和对生存周期支持所采用的安全技术的考察和实际测试，确认SSOASS的生存周期支持是否达到GA/T 711-2007中5.4.4.5的要求。
7.4.5.6 测试的测试
应按第5章的要求，对SSOASS测试进行测试。通过对有关文档的审查和对SSOASS测试的实际考察，确认SSOASS测试是否达到GA/T 711-2007中5.4.4.6的要求。
7.4.5.7 脆弱性评定测试
应按第5章的要求，对SSOASS的脆弱性评定进行测试。通过对设计文档的审查和对脆弱性评定所采用的安全技术的考察和实际测试，确认SSOASS的脆弱性评定是否达到GA/T 711-2007中5.4.4.7的要求。
7.4.6 SSOASS安全管理测试
应按第5章的要求，对SSOASS的安全管理进行测试。通过对设计文档的审查和对SSOASS的安全管理所采用的安全管理措施的考察和实际测试，确认SSOASS的安全管理是否达到GA/T 711-2007中5.4.5的要求。
7.5 第五级 访问验证保护级
7.5.1 安全技术测试环境和条件要求
第五级安全应用软件系统的安全技术测试，应从下列方面达到应用软件系统安全技术测试的环境和条件要求：
a) 按4.1的要求，构建应用软件系统安全技术测试环境；
b) 按4.2的要求，提供应用软件系统安全技术测试条件。
7.5.2 基础安全技术测试
对第五级安全的应用软件系统，应从下列方面进行基础安全技术的测试：
a) 按6.1的要求，对风险分析和安全需求进行测试，确认其是否达到GA/T 711-2007中5.5.1 a)的要求；
b) 按6.2的要求，对应用软件系统安全方案进行测试，确认其是否达到GA/T 711-2007中5.5.1 b)的要求；
c) 按6.3的要求，对应用软件系统环境安全进行测试，确认其是否达到GA/T 711-2007中5.5.1 c)的要求；
d) 按6.4的要求，对应用软件系统业务连续性设计进行测试，确认其是否达到GA/T 711-2007中5.5.1 d)的要求；
e) 按6.5的要求，对应用软件系统及相应信息系统安全等级的划分进行测试，确认其是否达到GA/T 711-2007中5.5.1 e)的要求。
7.5.3 安全功能技术测试
7.5.3.1 安全性检测分析测试
应按第5章的要求，对SSOASS的安全性检测分析进行测试。通过对设计文档的审查，对安全性检测分析所采用的安全技术和机制的考察及对其安全功能的实际测试，确认安全性检测分析功能是否达到GA/T 711-2007中5.5.2.1的要求。
7.5.3.2 安全审计测试
应按第5章的要求，对SSOASS的安全审计进行测试。通过对设计文档的审查，对安全审计所采用的安全技术和机制的考察及对其功能的实际测试，确认安全审计功能是否达到GA/T 711-2007中5.5.2.2的要求。
7.5.3.3 备份与故障恢复测试
应按第5章的要求，对SSOASS的备份与故障恢复进行测试。通过对设计文档的审查，对备份与故障恢复所采用的安全技术和机制的考察及对其功能的实际测试，确认备份与故障恢复功能是否达到GA/T 711-2007中5.5.2.3的要求。
7.5.3.4 用户身份鉴别测试
应按第5章的要求，对SSOASS的用户身份鉴别进行测试。通过对设计文档的审查，对用户身份鉴别所采用的安全技术和机制的考察及对其功能的实际测试，确认用户身份鉴别功能是否达到GA/T 711-2007中5.5.2.4的要求。
7.5.3.5 抗抵赖测试
应按第5章的要求，对SSOASS的抗抵赖进行测试。通过对设计文档的审查，对抗抵赖所采用的安全技术和机制的考察及对其功能的实际测试，确认抗抵赖功能是否达到GA/T 711-2007中5.5.2.5的要求。
7.5.3.6 自主访问控制测试
应按第5章的要求，对SSOASS的自主访问控制进行测试。通过对设计文档的审查，对自主访问控制所采用的安全技术和机制的考察及对其功能的实际测试，确认自主访问控制功能是否达到GA/T 711-2007中5.5.2.6的要求。
7.5.3.7 标记测试
应按第5章的要求，对SSOASS的标记进行测试。通过对设计文档的审查，对标记所采用的安全技术和机制的考察及对其功能的实际测试，确认标记功能是否达到GA/T 711-2007中5.5.2.7的要求。
7.5.3.8 强制访问控制测试
应按第5章的要求，对SSOASS的强制访问控制进行测试。通过对设计文档的审查，对强制访问控制所采用的安全技术和机制的考察及对其功能的实际测试，确认强制访问控制功能是否达到GA/T 711-2007中5.5.2.8的要求。
7.5.3.9 用户数据完整性保护测试
应按第5章的要求，对SSOASS的用户数据完整性保护进行测试。通过对设计文档的审查，对用户数据完整性保护所采用的安全技术和机制的考察及对其功能的实际测试，确认用户数据完整性保护功能是否达到GA/T 711-2007中5.5.2.9的要求。
7.5.3.10 用户数据保密性保护测试
应按第5章的要求，对SSOASS的用户数据保密性保护进行测试。通过对设计文档的审查，对用户数据保密性保护所采用的安全技术和机制的考察及对其功能的实际测试，确认用户数据保密性保护功能是否达到GA/T 711-2007中5.5.2.10的要求。
7.5.3.11 可信路径测试
应按第5章的要求，对SSOASS的可信路径进行测试。通过对设计文档的审查，对可信路径所采用的安全技术和机制的考察及对其功能的实际测试，确认可信路径功能是否达到GA/T 711-2007中5.5.2.11的要求。
7.5.4 SSOASS自身保护测试
7.5.4.1 SSF物理安全保护测试
应按第5章的要求，对SSOASS的SSF物理安全保护进行测试。通过对设计文档的审查和对SSF物理安全保护所采用的安全技术的考察和实际测试，确认SSF物理安全保护是否达到GA/T 711-2007中5.5.3.1的要求。
7.5.4.2 SSF运行安全保护测试
应按第5章的要求，对SSOASS的SSF运行安全保护进行测试。通过对设计文档的审查和对SSF运行安全保护所采用的安全技术的考察和实际测试，确认SSF运行安全保护是否达到GA/T 711-2007中5.5.3.2的要求。
7.5.4.3 SSF数据安全保护测试
应按第5章的要求，对SSOASS的SSF数据安全保护进行测试。通过对设计文档的审查和对SSF数据安全保护所采用的安全技术的考察和实际测试，确认SSF数据安全保护是否达到GA/T 711-2007中5.5.3.3的要求。
7.5.4.4 SSOASS资源利用测试
应按第5章的要求，对SSOASS资源利用进行测试。通过对设计文档的审查和对SSOASS资源利用所采用的安全技术的考察和实际测试，确认SSOASS资源利用是否达到GA/T 711-2007中5.5.3.4的要求。
7.5.4.5 SSOASS访问控制测试
应按第5章的要求，对SSOASS访问控制进行测试。通过对设计文档的审查和对SSOASS访问控制所采用的安全技术的考察和实际测试，确认SSOASS访问控制是否达到GA/T 711-2007中5.5.3.5的要求。
7.5.5 SSOASS设计和实现测试
7.5.5.1 配置管理测试
应按第5章的要求，对SSOASS的配置管理进行测试。通过对设计文档的审查和对配置管理所采用的安全技术的考察和实际测试，确认SSOASS的配置管理是否达到GA/T 711-2007中5.5.4.1的要求。
7.5.5.2 分发和操作测试
应按第5章的要求，对SSOASS分发与操作进行测试。通过审查相关文档，确认SSOASS分发和操作是否达到GA/T 711-2007中5.5.4.2的要求。
7.5.5.3 开发测试
应按第5章的要求，对SSOASS开发进行测试。通过检查有关文档和对开发过程的实际考察，确认SSOASS开发是否达到GA/T 711-2007中5.5.4.3的要求。
7.5.5.4 文档测试
应按第5章的要求，对SSOASS的文档进行测试。通过对文档内容的审查，确认SSOASS文档其是否达到GA/T 711-2007中5.5.4.4的要求。
7.5.5.5 生存周期支持测试
应按第5章的要求，对SSOASS的生存周期支持进行测试。通过对设计文档的审查和对生存周期支持所采用的安全技术的考察和实际测试，确认SSOASS的生存周期支持是否达到GA/T 711-2007中5.5.4.5的要求。
7.5.5.6 测试的测试
应按第5章的要求，对SSOASS测试进行测试。通过对有关文档的审查和对SSOASS测试的实际考察，确认SSOASS测试是否达到GA/T 711-2007中
5.5.4.6的要求。
7.5.5.7 脆弱性评定测试
应按第5章的要求，对SSOASS的脆弱性评定进行测试。通过对设计文档的审查和对脆弱性评定所采用的安全技术的考察和实际测试，确认SSOASS
的脆弱性评定是否达到GA/T 711-2007中5.5.4.7的要求。
7.5.6 SSOASS安全管理测试
应按第5章的要求，对SSOASS安全管理进行测试。通过对设计文档的审查和对SSOASS安全管理所采用的安全措施的考察和实际测试，确认SSOASS安全管理是否达到GA/T 711-2007中5.5.5的要求。
