1.安全技术脆弱性核查
安全技术脆弱性核查包括，检查组织和信息系统自身在技术方面存在的脆弱性，以及核查所采取的安全措施有效程度。
(1)物理环境安全
物理环境安全脆弱性是指机房和办公建筑物及其配套设施、设备、线路以及用电在安全方面存在的脆弱性，包括：建筑物、设备或线路遭到破坏或出现故障、遭到非法访问，设备被盗窃，出现信息泄露，出现用电中断等。
核查物理环境所采取的安全措施及其有效性，包括:机房选址、建筑物的物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等。
物理环境安全技术脆弱性核查的方法包括:现场查看、询问物理环境现状，验证安全措施的有效性。
(2) 网络安全
网络安全脆弱性是指网络通信设备及网络安全设备、网络通信线路、网络通信服务在安全方面存在的脆弱性，包捂z 非法使用网络资源、非法访问或控制网络通信设备及网络安全设备、非法占用网络通信信道、网络通信服务带宽和质量不能保证、网络线路泄密、传播非法信息等。
核查网络安全所采取的安全措施及其有效性，包括:网络拓扑图、vlan划分、网络访问控制、网络设备防护、安全审计、边界完整性检查、入侵防范、恶意代码防范等。
网络安全脆弱性核查应该进行结构分析、功能分析、安全功能分析和性能分析:可采取自盒测试、黑盒测试、灰盒测试等方法。
网络安全脆弱性核查方法包括:查看网络拓扑图、网络安全设备的安全策略、配置等相关文挡，询问相关人员、查看网络设备的硬件配置情况、手工或自动查看或检测网络设备的软件安装和配置'情况、查看和验证身份鉴别、访问控制、安全审计等安全功能、检查分析网络和安全设备日志记录、利用工具探测网络拓扑结构、扫描网络安全设备存在的漏洞、探测网络非法接入或外联情况、测试网络流量、网络设备负荷承载能力以及网络带宽、手工或自动查看和检测安全措施的使用情况并验证其有效性等。
(3)主机系统安全
主机系统安全脆弱性是指主机硬件设备、操作系统、数据库系统以及其他相关软件在安全方面存在的脆弱性，包括:非法访问或控制操作系统、数据库系统以及其他相关软件系统、非法占用网络或系统资源等。
核查主机系统所采取的安全措施及其有效性，包括:身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等。
主机系统安全脆弱性核查应该进行结构、功能、安全功能和性能分析:可采取自盒测试、黑盒测试、灰盒测试等方法。
主机系统安全脆弱性核查方法包括:手工或自动查看或检测主机硬件设备的配置'情况以及软件系统的安装配置情况，查看软件系统的自启动和运行情况，查看和验证身份鉴别、访问控制、安全审计等安全功能，查看并分析主机系统 .行产生的历史数据(如鉴别信息、上网痕迹) ，检查并分析软件系统日志记录，利用工具扫描主机系统存在的漏洞，测试主机系统的性能，手工或自动查看或检测安全措施的使用情况并验证其有效性等。
(4) 应用系统安全
应用系统安全脆弱性是指应用系统在安全方面存在的脆弱性，包括:非法访问或控制业务应用系统，非法占用业务应用系统资源等。
核查应用系统所采取的安全措施及其有效性，包括:身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等。
应用系统安全脆弱性核查应进行结构、功能、安全功能和性能分析:可采取白盒测试、黑盒测试、灰盒测试等方法。
应用系统安全脆弱性核查方法包括:可查阅应用系统的需求、设计、测试、运行报告等相关文档，检查应用系统在架构设计方面的安全性(包括应用系统各功能模块的容错保障、各功能模块在交互过程中的安全机制、以及多个应用系统之间数据交互接口的安全机制等) ，审查应用系统源代码，手工或自动查看或捡测应用系统的安装配置情况，查看和验证身份鉴别、访问控制、安全审计等安全功能，查看并分析主机系统运行产生的历史数据(如用户登录、操作记录) ，检查并分析应该系统日志记录，利用扫描工具检测应用系统存在的漏洞，测试应用系统的性能，手工或自动查看或检测安全措施的使用情况并验证其有效性等。
(5) 数据安全
数据安全脆弱性是指数据存储和传播在安全方面存在的脆弱性，包括:数据泄露、数据篡改和破坏、数据不可用等。
核查数据安全所采取的安全措施及其有效性，包括:数据完整性保护措施、数据保密性保护措施、备份和恢复等。
数据安全核查的方法包括:通信协议分析、数据破解、数据完整性校验等。