信息系统安全等级保护测评准则.

合集下载

信息系统安全等级保护测评准则

信息系统安全等级保护测评准则目录1 范围12 规范性引用文件13 术语和定义14 总则24.1 测评原则24.2 测评内容24.2.1基本内容24.2.2工作单元34.2.3测评强度44.3 结果重用44.4 使用方法45 第一级安全控制测评55.1安全技术测评55.1.1物理安全55.1.2网络安全75.1.3 主机系统安全95.1.4 应用安全115.1.5 数据安全135.2 安全管理测评155.2.1 安全管理机构155.2.2 安全管理制度175.2.3 人员安全管理175.2.4 系统建设管理195.2.5 系统运维管理236 第二级安全控制测评276.1 安全技术测评276.1.1 物理安全276.1.2 网络安全336.1.3 主机系统安全376.1.4 应用安全426.1.5 数据安全476.2 安全管理测评506.2.1 安全管理机构506.2.2 安全管理制度526.2.3 人员安全管理546.2.4 系统建设管理566.2.5 系统运维管理617 第三级安全控制测评697.1 安全技术测评697.1.1 物理安全697.1.2 网络安全767.1.3 主机系统安全827.1.4 应用安全907.1.5 数据安全977.2 安全管理测评997.2.1 安全管理机构997.2.2 安全管理制度1047.2.3 人员安全管理1067.2.4 系统建设管理1097.2.5 系统运维管理1158 第四级安全控制测评1268.1 安全技术测评1268.1.1 物理安全1268.1.2 网络安全1348.1.3 主机系统安全1408.1.4 应用安全1498.1.5 数据安全1578.2 安全管理测评1608.2.1 安全管理机构1608.2.2 安全管理制度1648.2.3 人员安全管理1668.2.4 系统建设管理1698.2.5 系统运维管理1769 第五级安全控制测评18810 系统整体测评18810.1 安全控制间安全测评18810.2 层面间安全测评18910.3 区域间安全测评18910.4 系统结构安全测评190附录A（资料性附录）测评强度190A.1测评方式的测评强度描述190A.2信息系统测评强度191附录B（资料性附录）关于系统整体测评的进一步说明196 B.1区域和层面196B.1.1区域196B.1.2层面197B.2信息系统测评的组成说明199B.3系统整体测评举例说明200B.3.1被测系统和环境概述200B.3.1安全控制间安全测评举例201B.3.2层面间安全测评举例201B.3.3区域间安全测评举例202B.3.4系统结构安全测评举例202信息系统安全等级保护测评准则1范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括第一级、第二级、第三级和第四级信息系统安全控制测评要求和系统整体测评要求。

信息系统安全等级保护测评服务内容及要求

信息系统安全等级保护测评服务内容及要求一、供应商资格：1.供应商应具备《政府采购法》第二十二条规定的条件；1）具有独立承担民事责任的能力；2）具有良好的商业信誉和健全的财务会计制度；3）具有履行合同所必需的设备和专业技术能力；4）有依法缴纳税收和社会保障资金的良好记录；5）参加政府采购活动前三年内，在经营活动中没有重大违法记录；6）法律、行政法规规定的其他条件。

2.投标人要求为国内独立的事业法人的独立企业法人，并且股权结构中不能有任何外资成份。

3.具有网络安全等级保护测评机构推荐证书。

4.具有中国合格评定国家认可委员会颁发的CNAS证书。

5.具有广东省电子政务服务能力等级证书。

6.具有中国通信行业协会颁发的通信网络安全服务能力评定证书（应急响应一级）7.具有中鉴认证有限责任公司颁发的质量管理体系认证证书（ISO9001）。

8.中国通信行业协会颁发的通信网络安全服务能力评定证书（风险评估二级）。

9.本项目不接受联合体投标。

二、项目服务内容及要求1.采购项目需求一览表：序号服务类型被测评系统级别1 等级保护测评服务存量房网上签约系统二级2 等级保护测评服务金融部门网上受理系统（签约银行登录）二级3 等级保护测评服务商品房明码标价备案系统二级4 等级保护测评服务珠海不动产微信服务号系统二级2.基本要求:2.1 项目背景为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理办法》的精神，响应国家的要求，珠海市不动产登记中心于2018年全面启动本单位的信息安全等级保护工作。

按照同时根据珠海市不动产登记中心的信息系统安全等级保护工作安排，现需开展信息系统安全等级保护测评等工作，并邀请具备国家或省公安厅颁发等级保护测评资质的公司对珠海市不动产登记中心的信息系统提供等级保护测评服务。

2.2项目目标2.2.1等级保护测评服务。

根据《GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南》等标准，及各个信息系统保护等级需求，协助采购人对现有的信息系统进行等级保护备案，编写信息系统定级备案表和信息系统定级报告，并协助向公安局提交定级备案材料，取得信息系统定级备案证明。

信息系统等级保护测评指标(二级与三级)

信息系统等级保护测评指标(二级与三级)1. 信息系统等级保护测评指标等级保护的测评技术指标至少覆盖各系统等保二级、等级保三级的全部指标1.1.等级保护二级测评基本指标防雷击（G2）机房建筑应设置避雷装置机房应设置交流电源地线防火（G2）机房应设置灭火设备和火灾自动报警系统。

防水和防潮（G2）水管安装，不得穿过机房屋顶和活动地板下应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透应采取措施防止机房内水蒸气结露和地下积水的转移与渗透防静电（G2）关键设备应采用必要的接地防静电措施温湿度机房应设置温、湿度自动调节护（S2）设，避免互相干扰网络安全结构安全（G2）应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要应保证接入网络和核心网络的带宽满足业务高峰期需要应绘制与当前运行情况相符的网络拓扑结构图应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址对受控系统进行资源访问，控制粒度为单个用户应限制具有拨号访问权限的用户数量安全审计（G2）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息边界完整性检应能够对内部网络中出现的内部用户未通过准许私自联到外网络设备防护（G2）应对网络设备的管理员登录地址进行限制网络设备用户的标识应唯一身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听次数和自动退出等措施当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性访问控制（S2）应启用访问控制功能，依据安全策略控制用户对资源的访问应实现操作系统和数据库系统特权用户的权限分离应限制默认帐户的访问权限，重命名系统默认帐户，修改这要系统命令的使用等系统内重要的安全相关事件审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等应保护审计记录，避免受到未预期的删除、修改或覆盖等入侵防范（G2）操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新应安装防恶意代码软件，并及的操作超时锁定应限制单个用户对系统资源的最大或最小使用限度应用安全身份鉴别（S2）应提供专用的登录控制模块对登录用户进行身份标识和鉴别应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系安全审应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计应保证无法删除、修改或覆盖通信保密性（S2）用系统应利用密码技术进行会话初始化验证应对通信过程中的敏感信息字段进行加密软件容错（A2）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施当应用系统的通信双方中的一方在一段时间内未作任何响数据安全及备份恢复（S2）受到破坏数据保密性（S2）应采用加密或其他保护措施实现鉴别信息的存储保密性备份和恢复（A2）应能够对重要信息进行备份和恢复应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性安全管理制应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等管理制度进行论证和审定应将安全管理制度以某种方式发布到相关人员手中评审和修订（G2）应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订安全管理岗位设置（G2）应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责应配备一定数量的系统管理入和重要资源的访问等关键活动进行审批应针对关键活动建立审批流程，并由批准人签字确认沟通和合作（G2）应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通应加强与兄弟单位、xx单位机关、电信公司的合作与沟通审核和检查（G2）安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况人员离岗（G2）应规范人员离岗过程，及时终止离岗员工的所有访问权限应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备应办理严格的调离手续人员考核（G2）应定期对各个岗位的人员进行安全技能及安全认知的考核安全意识教育和培训应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训应告知人员相关的安全责任和惩戒措施，并对违反违背安全系统建设管理系统定级（G2）应明确信息系统的边界和安全保护等级应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由应确保信息系统的定级结果经过相关部门的批准安全方案设计应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案产品采购和使用（G2）应确保安全产品采购和使用符合国家的有关规定应确保密码产品采购和使用符合国家密码主管部门的要求应指定或授权专门的部门负责产品的采购自行软件开发（G2）应确保开发环境与实际运行环境物理分开应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则应确保提供软件设计的相关文档和使用指南，并由专人负责后门工程实施（G2）应指定或授权专门的部门或人员负责工程实施过程的管理应制定详细的工程实施方案，控制工程实施过程测试验收（G2）应对系统进行安全性测试验收在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告应组织相关部门和相关人员对系统测试验收报告进行审定，维护的文档安全服务商选择（G2）应确保安全服务商的选择符合国家的有关规定应与选定的安全服务商签订与安全相关的协议，明确约定相关责任应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同系统应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理应配备机房安全管理人员，对应立即交还该办公室钥匙和不在办公区接待来访人员等资产管理（G2）应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理应对介质归档和查询等过程进设备管理（G2）应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补应对网络设备的配置文件进行定期备份测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作应定期对运行日志和审计数据统之前也应进行病毒检查应指定专人对网络和主机进行恶意代码检测并保存检测记录应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定密码管理（G2）应使用符合国家密码管理规定的密码技术和产品变更管理（G2）应确认系统中要发生的重要变更，并制定相应的变更方案系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法安全事件处置（G2）应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责应根据国家相关管理部门对计1.2.等级保护三级测评基本指标b) 需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；c) 应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；d) 重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。

息系统安全保护等级划分准则

GB17859-1999计算机信息系统安全保护等级划分准则中华人民共和国国家标准计算机信息系统安全保护等级划分准则GB 17859-1999Classified criteria for security1 范围本标准规定了计算机系统安全保护能力的五个等级，即：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。

本标准适用计算机信息系统安全保护技术能力等级的划分。

计算机信息系统安全保护能力随着安全保护等级的增高，逐渐增强。

2 引用标准下列标准所包含的条文，通过在本标准中引用而构成本标准的条文。

本标准出版时，所示版本均为有效。

所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

GB/T 5271 数据处理词汇3 定义除本章定义外，其他未列出的定义见GB/T 5271。

3.1 计算机信息系统computer information system计算机信息系统是由计算机及其相关的和配套的设备、设施（含网络）构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。

3.2 计算机信息系统可信计算基trusted computing base of computer information system计算机系统内保护装置的总体，包括硬件、固件、软件和负责执行安全策略的组合体。

它建立了一个基本的保护环境并提供一个可信计算系统所要求的附加用户服务。

3.3 客体object信息的载体。

3.4 主体subject引起信息在客体之间流动的人、进程或设备等。

3.5 敏感标记sensitivity label表示客体安全级别并描述客体数据敏感性的一组信息，可信计算基中把敏感标记作为强制访问控制决策的依据。

3.6 安全策略security policy有关管理、保护和发布敏感信息的法律、规定和实施细则。

3.7 信道channel系统内的信息传输路径。

信息系统安全等级保护测评要求

信息系统安全等级保护测评要求9月27日，交通运输部发布实施《交通运输部国家税务总局关于做好网络平台货物运输运营管理暂行办法>的通知》(交通法规)〔2019〕12)相关要求确定网络货运平台公司应满足信息系统安全等级保护的需要，建议取得三级以上信息系统安全等级保护备案证书及相关材料。

很多平台公司都在想，我们现在租了阿里云的服务器。

阿里云的服务器是否达不到国家三级以上信息系统的安全等级保护？公司自建机房比阿里机房安全吗？阿里云服务已获得三级信息安全等级保护。

为什么要申请网络货运平台公司？平台企业在做无用的工作吗？增加企业运营成本？在这里，小编做一个简单的科普，回答各平台企业的疑惑。

一.三级安全等级保护是什么？信息安全等级保护分为以下五级：第一级，信息系统损坏后，会让公民.损害法人和其他组织的合法权益，但不损害国家安全.公共秩序和集体利益。

一级信息系统运行.用户应当按照国家有关管理规范和技术标准进行保护。

第二级，信息系统损坏后，会让公民.法人和其他组织的合法权益受到严重损害，或者损害公共秩序和集体利益，但不损害国家安全。

国家信息安全监督机构指导信息系统安全等级的保护。

第三级，信息系统损坏后，将严重损害公共秩序和集体利益，或损害国家安全。

国家信息安全监督机构监督信息系统安全等级保护.检查。

第四级，信息系统损坏后，会对公共秩序和集体利益造成严重损害，或者对国家安全造成严重损害。

国家信息安全监督机构对信息系统安全等级保护进行强制监督.检查。

第五级，信息系统损坏后，会对国家安全造成特别严重的损害。

国家信息安全监督机构对信息系统安全等级保护进行专项监督.检查。

二.三级保护的认证流程有哪些？认证流程是指具有等保评价资质的企业（经有关部门批准）对要进行等保评价的单位进行评级和评价。

评价后，提出整改意见，对被评价单位进行整改。

这是一个评价、整改、再评价、再整改的过程，最终达到并通过评价。

例如，等保三级需要每年评价一次。

关于信息等保测评的要求

关于信息等保测评的要求
信息等保测评的要求旨在确保机构、企业或组织在信息系统中的数据安全得到
保护和维护。

信息等保测评是一种评估和检查信息系统中存在的安全风险和威胁，并提供相应安全建议和措施的方法。

信息等保测评具有以下要求和内容：
1. 安全目标明确：信息等保测评需要明确评估的安全目标和范围，包括保密性、完整性、可用性等方面。

2. 测评等级划分：根据评估对象的重要性和系统风险，在信息等保测评中需对
不同等级的信息系统按照一定标准进行划分和评估。

3. 风险评估与漏洞分析：信息等保测评需要评估系统中存在的安全风险和漏洞，并对其进行分析和定级，以确定安全威胁的严重程度。

4. 安全措施建议：根据风险评估和漏洞分析的结果，信息等保测评需提供相应
的安全建议和措施，以减少或消除安全风险以及提高信息系统的安全性。

5. 法规和标准遵循：信息等保测评需要符合相关法规和标准的要求，如国家信
息安全等级保护制度、国家密码管理办法等，确保评估过程的合规性和准确性。

6. 评估报告输出：信息等保测评需要编写相应的评估报告，详细记录评估过程、结果和建议，并向评估对象提供评估结果和改进建议。

信息等保测评的要求和内容是保证信息系统安全的重要步骤。

通过全面评估和
分析信息系统的安全性，可以为组织提供有效的安全建议和措施，帮助其识别和解决潜在的安全隐患，保护敏感数据的机密性、完整性和可用性。

唯有遵循相应的要求和标准，才能确保评估结果的准确性和可信度，从而为信息系统提供更加可靠的安全保障。

信息安全保护等级测评标准

信息安全保护等级测评标准信息安全是当今社会中极为重要的一个议题，随着互联网的发展和普及，信息安全问题也日益受到重视。

在信息安全保护方面，不同的组织和机构都需要根据自身的特点和需求，采取相应的措施来确保信息的安全性。

而信息安全保护等级测评标准，则是评估和确认信息系统安全等级的重要工具之一。

首先，信息安全保护等级测评标准需要考虑的是信息系统的安全性能。

信息系统的安全性能包括信息系统的机密性、完整性、可用性等方面。

机密性是指信息系统中的信息不会被未经授权的个人或实体获取，完整性是指信息系统中的信息不会被未经授权的个人或实体篡改，可用性是指信息系统能够在需要时正常运行。

评估信息系统的安全性能，需要考虑到这些方面的综合情况，以确定信息系统的安全等级。

其次，信息安全保护等级测评标准还需要考虑信息系统的安全风险。

安全风险是指信息系统受到威胁和漏洞的可能性和影响程度。

评估信息系统的安全风险，需要考虑到信息系统所面临的各种威胁和漏洞，以确定信息系统的安全等级。

另外，信息安全保护等级测评标准还需要考虑信息系统的安全管理。

安全管理是指信息系统中的安全策略、安全控制、安全监控等方面。

评估信息系统的安全管理，需要考虑到信息系统中的安全策略是否合理、安全控制是否有效、安全监控是否到位，以确定信息系统的安全等级。

最后，信息安全保护等级测评标准还需要考虑信息系统的安全保障措施。

安全保障措施是指信息系统中的安全技术、安全设备、安全服务等方面。

评估信息系统的安全保障措施，需要考虑到信息系统中的安全技术是否先进、安全设备是否完备、安全服务是否可靠，以确定信息系统的安全等级。

综上所述，信息安全保护等级测评标准是评估和确认信息系统安全等级的重要工具，需要考虑信息系统的安全性能、安全风险、安全管理、安全保障措施等方面，以确定信息系统的安全等级。

只有通过科学、全面、客观的测评，才能更好地保护信息系统的安全，确保信息的安全性和可靠性。

信息安全等级保护等级测评实施细则doc信息安全等级测评

信息安全等级保护等级测评实施细则doc信息安全等级测评第一章总则第一条【目的】为加强信息安全等级测评机构建设与管理，规范等级测评活动，保障信息安全等级保护制度的贯彻落实，根据《信息安全等级保护管理办法》等有关规范制订本实施细则。

第二条【适用范围】本细则适用于等级测评机构、测评人员与测评活动的规范管理。

第三条【等级测评定义】等级测评是测评机构根据国家信息安全等级保护制度规定，受有关单位委托，按照有关管理规范与技术标准，对信息系统安全等级保护状况进行检测评估的活动。

第四条【测评机构定义】测评机构是经有关部门能力认可，经有关部门推荐，在一定范围内从事信息系统安全等级测评等工作的专业技术机构。

第五条【基本原则】测评机构应当按照有关规定与统一标准提供“客观、公正、安全”的测评服务，按照统一的测评报告模版出具测评报告。

第六条【保密要求】测评机构与测评人员应当遵守《国家保密法》的规定，保守在测评活动中知悉的国家秘密、商业秘密、敏感信息与个人隐私等。

第七条【管理体制】测评机构应当同意各级信息安全等级保护协调（领导）小组与公安网安部门的监督管理，并同意有关部门的业务管理与技术指导。

第二章测评机构第八条【总体要求】测评机构分为地区性、行业性测评机构，按照属地管理与行业管理相结合的原则进行建设与管理。

第九条【职责分工】国家信息安全等级保护协调小组办公室主管等级测评机构的建设与管理工作，指导行业等级测评机构的建设与管理工作，并委托专门的技术能力审验机构对测评机构的技术能力进行评估、审查并确认。

各省（区、市）等级保护协调（领导）小组办公室负责本地等级测评机构的建设管理工作。

第十条【基本条件】申请成为等级测评机构的单位（下列简称申请单位）应当具备下列基本条件：（一）在中华人民共与国境内注册成立（港澳台地区除外）；（二）由中国公民投资、中国法人投资或者者国家投资的企事业单位（港澳台地区除外）；（三）产权关系明晰，注册资金100万元以上；（四）从事信息系统检测评估有关工作两年以上；（五）单位法人及要紧工作人员仅限于中华人民共与国境内的中国公民，且无犯罪记录；（六）具有胜任等级测评工作的专业技术人员与管理人员，大学本科（含）以上学历所占比例不低于80%。

信息安全-信息系统安全等级保护测评方法(v3)

投入 - 回报
测评人工
配合人工
工具
最小的投入 - 合理的回报
36
测评力度
测评工作实际投入力量的表征由测评广度和深度来描述:
测评广度越大，范围越大，包含的测评对象就越多，测评实际投入程度越高。测评的深度越深，越需要在细节上展开，测评实际投入程度也越高。
37
— Methodology for IT security evaluation
(信息技术安全性评估方法，ISO/IEC 18045:2005）
Guidelines for information security management systems auditing
(信息安全管理体系审核指南，ISO/IEC 1st WD 27007:2007）
测评强度
信息系统安全等级第一级广度深度种类和数量上抽样，种类和数量都较少简要第二级第三级第四级种类和数量上数量上抽样，数量上抽样，抽样，种类和基本覆盖基本覆盖数量都较多充分较全面全面
访谈
检查
广度
深度
种类和数量种类和数量上数量上抽样，数量上抽样，上抽样，种抽样，种类和基本覆盖基本覆盖类和数量都数量都较多较少简要充分较全面全面种类和数量、种类和数量、数量、范围上数量、范围上范围上抽样，范围上抽样，抽样，基本覆抽样，基本覆种类和数量种类和数量都盖盖都较少，范较多,范围大围小功能测试/性功能测试 / 性功能测试 / 性功能测试 / 性能测试能测试能测试，渗透能测试，渗透测试测试
对信息系统安全状况、安全保护制度及措施的落

4. 信息系统安全等级保护测评准则

目录1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 总则 (2)4.1 测评原则 (2)4.2 测评内容 (2)4.2.1基本内容 (2)4.2.2工作单元 (3)4.2.3测评强度 (4)4.3 结果重用 (4)4.4 使用方法 (4)5 第一级安全控制测评 (5)5.1安全技术测评 (5)5.1.1物理安全 (5)5.1.2网络安全 (7)5.1.3 主机系统安全 (9)5.1.4 应用安全 (11)5.1.5 数据安全 (13)5.2 安全管理测评 (15)5.2.1 安全管理机构 (15)5.2.2 安全管理制度 (17)5.2.3 人员安全管理 (17)5.2.4 系统建设管理 (19)5.2.5 系统运维管理 (23)6 第二级安全控制测评 (27)6.1 安全技术测评 (27)6.1.1 物理安全 (27)6.1.2 网络安全 (33)6.1.3 主机系统安全 (37)6.1.4 应用安全 (42)6.1.5 数据安全 (47)6.2 安全管理测评 (50)6.2.1 安全管理机构 (50)6.2.2 安全管理制度 (52)6.2.3 人员安全管理 (54)6.2.4 系统建设管理 (56)6.2.5 系统运维管理 (61)7 第三级安全控制测评 (69)7.1 安全技术测评 (69)7.1.1 物理安全 (69)7.1.2 网络安全 (76)7.1.3 主机系统安全 (82)7.1.4 应用安全 (90)7.1.5 数据安全 (97)7.2 安全管理测评 (99)7.2.1 安全管理机构 (99)7.2.2 安全管理制度 (104)7.2.3 人员安全管理 (106)7.2.4 系统建设管理 (109)7.2.5 系统运维管理 (115)8 第四级安全控制测评 (126)8.1 安全技术测评 (126)8.1.1 物理安全 (126)8.1.2 网络安全 (134)8.1.3 主机系统安全 (140)8.1.4 应用安全 (149)8.1.5 数据安全 (157)8.2 安全管理测评 (160)8.2.1 安全管理机构 (160)8.2.2 安全管理制度 (164)8.2.3 人员安全管理 (166)8.2.4 系统建设管理 (169)8.2.5 系统运维管理 (176)9 第五级安全控制测评 (188)10 系统整体测评 (188)10.1 安全控制间安全测评 (188)10.2 层面间安全测评 (189)10.3 区域间安全测评 (189)10.4 系统结构安全测评 (190)附录A（资料性附录）测评强度 (191)A.1测评方式的测评强度描述 (191)A.2信息系统测评强度 (191)附录B（资料性附录）关于系统整体测评的进一步说明 (197)B.1区域和层面 (197)B.1.1区域 (197)B.1.2层面 (198)B.2信息系统测评的组成说明 (200)B.3系统整体测评举例说明 (201)B.3.1被测系统和环境概述 (201)B.3.1安全控制间安全测评举例 (202)B.3.2层面间安全测评举例 (202)B.3.3区域间安全测评举例 (203)B.3.4系统结构安全测评举例 (203)信息系统安全等级保护测评准则1范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括第一级、第二级、第三级和第四级信息系统安全控制测评要求和系统整体测评要求。

信息系统安全等级保护测评指标V1.0

安全子类
基本要求
标准解读
为了保证主要网络设备具备足够的数据处理能力，应 a) 应保证主要网络设备的业务处理能力具备冗检查网络设备系统资源占用情况，确保网络设备的业余空间，满足业务高峰期需要；务处理能力具备冗余空间。 b) 应保证网络各个部分的带宽满足业务高峰期为了保证业务服务的连续性，应保证网络各个部分的需要；带宽满足业务高峰期需要 1、静态路由是指由网络管理员手工配置的路由信息。动态路由是指路由器能够自动地建立自己的路由表。 2、路由器之间的路由信息交换是基于路由协议实现 c) 在业务终端与业务服务器之间进行路由控制的，如OSPF路由协议是一种典型的链路状态的路由协建立安全的访问路径；议。 3、如果使用动态路由协议应配置使用路由协议认证功能，保证网络路由安全。
f) 重要网段应采取技术手段防止地址欺骗；
在关键设备上，应该采用IP/MAC地址绑定方式防止地址欺骗。
1、对于远程拨号用户，应在相关设备上提供用户认 g) 应按用户和系统之间的允许访问规则，决定证功能。允许或拒绝用户对受控系统进行资源访问，控 2、通过配置用户、用户组，并结合访问控制规则可制粒度为单个用户；以实现对认证成功的用户允许访问受控资源。
1、在网络边界部署访问控制设备,对进出网络的流量 b) 应能根据会话状态信息为数据流提供明确的进行过滤，保护内部网络的安全。允许／拒绝访问的能力，控制粒度为端口级； 2、配置的访问控制列表应有明确的源/目的地址、源 /目的、协议及服务等。
c) 应对进出网络的信息内容进行过滤，实现对对于一些常用的应用层协议，能够在访问控制设备上应用层HTTP、FTP、TELNET、SMTP、POP3等协议实现应用层协议命令级的控制和内容检查，从而增强命令级的控制；访问控制粒度。

信息系统安全等级保护测评要求

信息系统安全等级保护测评要求
等级保护是我国基本的网络安全体系、基本的国家政策和完善的网络安全管理体系。

按照等级保护的相关标准开始安全建设是企业事业单位的一般要求，也是国家重点信息基本措施5261保护的基本要求。

网络安全偏向于“动态”安全，即信息系统和信息传递过程中的安全；而数据安全侧重于“静态”的数据自身安全状态。

在数据完整生命周期保护的角度，两者既有交集，又有各自的偏重。

企业办理网络安全等级保护备案的原因：
1.建立有效的网络安全防御系统(让客户系统真正具备4102的安全防御能力)
2.完成信息系统等级保护公安备案(取得备案证明)，顺利通过网络安全等级保护评估(取得评估报告)
3.满足1653个相关部门的合规要求(包括国家政策、法律法规、上级部门和甲方客户的要求等)。

4.系统通过等保，可以在一定程度上提高企业投标锁标能力，为投标加分
网络安全等级保护分为五个等级：
证书案例
在网信、公安以及各行业主管部门、密码管理部门监管治理下，需要对用户做好关键信息基础设施、网络安全等级保护和数据安全保护的宣贯工作，让大家真正意识到信息化与数据安全、关基保护、等级保护的重要性、必要性，促使传统厂商、网络安全服务企业、网络安全测评认证机构等网络安全供应方做好关保、等保和数据安全保护的服务工作，促进行业健康发展。

信息安全技术信息系统安全等级保护测评要求

一、积极应对信息安全挑战随着信息技术的不断发展，信息安全问题已经成为各个行业不可忽视的重要议题。

在信息安全领域中，信息系统安全等级保护测评是保障信息系统安全的重要手段之一。

信息系统安全等级保护测评要求是针对信息系统的安全等级进行评估，以确保系统的安全性和稳定性。

在当前全球范围内，信息安全面临着日益猖獗的网络攻击和威胁，包括但不限于黑客攻击、病毒木马、网络钓鱼等。

加强信息系统安全等级保护测评工作，提高信息系统的安全水平，对于保护国家的重要信息资产和维护国家的网络安全和稳定具有重要意义。

二、信息系统安全等级保护测评要求的意义1. 保障国家安全信息系统安全等级保护测评要求的实施，可以有效保障国家的安全。

国家的重要信息资产经常受到来自国内外的网络攻击威胁，因此加强对信息系统安全等级保护测评的要求，可以提高信息系统的安全等级，从而保护国家的核心安全利益。

2. 维护社会稳定信息系统安全等级保护测评要求的严格实施，可以有效维护社会的稳定。

在信息时代，信息系统已经深入到社会的各个领域，一旦信息系统遭受到攻击或者破坏，就会给社会带来严重的影响，因此加强对信息系统安全等级保护测评的要求，可以保障社会的正常运行。

3. 促进信息技术创新信息系统安全等级保护测评要求的实施，有助于促进信息技术的创新发展。

由于信息系统安全等级保护测评要求注重提高信息系统的安全性和稳定性，这就需要信息技术相关行业加强技术创新，提高信息系统的安全技术水平，推动信息技术的发展。

三、信息系统安全等级保护测评要求的关键内容1. 等级划分信息系统安全等级保护测评要求首先需要对信息系统的安全等级进行划分。

信息系统的安全等级划分是基于国家秘密的保密等级，根据信息系统的特点和重要性确定其相对应的安全等级，以便进一步对信息系统的安全性进行测评和评估。

2. 安全风险评估信息系统安全等级保护测评要求需要对信息系统的安全风险进行评估。

安全风险评估是通过对信息系统的潜在威胁和漏洞进行分析和评估，以确定信息系统的安全隐患和风险，从而为制定安全防护措施提供依据。

信息系统安全等级保护的定级准则和等级划分

信息系统安全等级保护的定级准则和等级划分
定级准则:
坚持自主定级、自主保护的原则。

应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益（受侵害客体）的危害程度等因素确定。

等级划分
第一级（自主保护级）
信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级（指导保护级）
信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级（监督保护级）
信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级（强制保护级）
信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级（专控保护级）
信息系统受到破坏后，会对国家安全造成特别严重损害。

信息系统安全等级保护的定级准则和等级划分。

二级和三级信息系统安全等级保护测评要求

二级和三级信息系统安全等级保护测评要求下载提示：该文档是本店铺精心编制而成的，希望大家下载后，能够帮助大家解决实际问题。

文档下载后可定制修改，请根据实际需要进行调整和使用，谢谢!本店铺为大家提供各种类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，想了解不同资料格式和写法，敬请关注!Download tips: This document is carefully compiled by this editor. I hope that after you download it, it can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you! In addition, this shop provides you with various types of practical materials, such as educational essays, diary appreciation, sentence excerpts, ancient poems, classic articles, topic composition, work summary, word parsing, copy excerpts, other materials and so on, want to know different data formats and writing methods, please pay attention!二级和三级信息系统安全等级保护测评要求详解1. 引言信息系统在现代社会中起着至关重要的作用，因此保障信息系统的安全性尤为重要。

(整理)信息安全技术信息系统安全等级保护测评要求

信息安全技术信息系统安全等级保护基本要求引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。

本标准是信息安全等级保护相关系列标准之一。

与本标准相关的系列标准包括：——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南；——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求；——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护实施指南。

一般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。

本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。

单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。

整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。

本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。

如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。

在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。

信息系统安全等级保护测评要求1 范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测评要求。

本标准略去对第五级信息系统进行单元测评的具体内容要求。

本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。

三级等保测评依据

三级等保测评依据
三级等保测评的依据主要包括以下几个方面：
1. 《信息系统安全等级保护基本要求》（GB/T 22239-2019）：这是三级等保测评的核心标准，涵盖了等级保护安全技术要求的5个层面和安全管理要求的5个层面，包含信息保护、安全审计、通信保密等在内的近300项要求，共涉及测评分类73类。

2. 《信息安全技术信息安全等级保护安全设计技术要求》（GB/T 25070-2019）：这个标准规定了信息系统等级保护安全设计的总体要求，包括基本要求、扩展要求和测试要求等方面的内容。

3. 《信息安全技术信息安全等级保护测评准则》（GB/T 28448-2019）：这个标准是对信息系统等级保护测评工作的总体要求，包括测评准备、测评实施、测评报告等方面的内容。

此外，三级等保测评还依据相关的法律法规和政策文件，如《中华人民共和国网络安全法》、《信息安全等级保护管理办法》等。

通过三级等保测评表明企业的信息安全管理能力达到国内最高标准。

如需更多信息，建议访问相关论坛或咨询专业信息技术人员获取帮助。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

本标准没有规定第五级信息系统安全控制测评的具体内容要求。

本标准适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。

信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。

2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。

凡是不注日期的引用文件，其最新版本适用于本标准。

GB17859-1999 计算机信息系统安全保护等级划分准则GB/T 5271.8-2001 信息技术词汇第8部分：安全GB/T xxx-2005 信息系统安全等级保护基本要求3术语和定义GB/T 5271.8-2001和GB/T xxx-2005信息系统安全等级保护基本要求所确立的以及下列术语和定义适用于本标准。

3.1工作单元 work unit工作单元是安全测评的最小工作单位，由测评项、测评方式、测评对象、测评实施和结果判定等组成，分别描述测评目的和内容、测评使用的方式方法、测试过程中涉及的测评对象、具体测试实施取证过程要求和测评证据的结果判定规则与方法。

3.2测评强度 testing&evaluation intensity测评的广度和深度，体现测评工作的实际投入程度。

3.3访谈 interview测评人员通过与信息系统有关人员（个人/群体）进行交流、讨论等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。

3.4检查 examination不同于行政执法意义上的监督检查，是指测评人员通过对测评对象进行观察、查验、分析等活动，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。

3.5测试 testing测评人员通过对测评对象按照预定的方法/工具使其产生特定的行为等活动，查看、分析输出结果，获取证据以证明信息系统安全等级保护措施是否有效的一种方法。

3.6被测系统 information system under testing&evaluation处在信息安全等级保护安全测试评估之下的信息系统。

3.7安全控制间安全测评 testing&evaluation among security controls测评分析在同一区域和层面内两个或者两个以上不同安全控制之间由于存在连接、交互、依赖、协调、协同等相互关联关系而产生的安全功能增强、补充或削弱等关联作用对信息系统整体安全保护能力的影响。

3.8层面间安全测评 testing&evaluation among layers测评分析在同一区域内两个或者两个以上不同层面之间由于存在连接、交互、依赖、协调、协同等相互关联关系而产生的安全功能增强、补充或削弱等关联作用对信息系统安全保护能力的影响。

3.9区域间安全测评 testing&evaluation among areas and domains测评分析两个或者两个以上不同物理逻辑区域之间由于存在连接、交互、依赖、协调、协同等相互关联关系而产生的安全功能增强、补充或削弱等关联作用对信息系统安全保护能力的影响。

4总则4.1 测评原则a)客观性和公正性原则虽然测评工作不能完全摆脱个人主张或判断，但测评人员应当没有偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方式和解释，实施测评活动。

b)经济性和可重用性原则基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。

所有重用的结果，都应基于结果适用于目前的系统，并且能够反映出目前系统的安全状态基础之上。

c)可重复性和可再现性原则不论谁执行测评，依照同样的要求，使用同样的测评方式，对每个测评实施过程的重复执行应该得到同样的结果。

可再现性和可重复性的区别在于，前者与不同测评者测评结果的一致性有关，后者与同一测评者测评结果的一致性有关。

d)结果完善性原则测评所产生的结果应当证明是良好的判断和对测评项的正确理解。

测评过程和结果应当服从正确的测评方法以确保其满足了测评项的要求。

4.2 测评内容4.2.1 基本内容对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。

其中，安全控制测评是信息系统整体安全测评的基础。

对安全控制测评的描述，使用工作单元方式组织。

工作单元分为安全技术测评和安全管理测评两大类。

安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。

系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关，内容复杂且充满系统个性。

因此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。

测评人员应根据特定信息系统的具体情况，结合本标准要求，确定系统整体测评的具体内容，在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性等。

4.2.2 工作单元工作单元是安全测评的基本工作单位，对应一组相对独立和完整的测评内容。

工作单元由测评项、测评对象、测评方式、测评实施和结果判定组成，如图1所示。

图1 工作单元构成测评项描述测评目的和测评内容，与信息安全等级保护要求的基本安全控制要求相一致。

测评方式是指测评人员依据测评目的和测评内容应选取的、实施特定测评操作的方式方法，包括三种基本测评方式：访谈、检查和测试。

测评对象是测评实施过程中涉及到的信息系统的构成成分，是客观存在的人员、文档、机制或者设备等。

测评对象是根据该工作单元中的测评项要求提出的，与测评项的要求相适应。

一般来说，实施测评时，面临的具体测评对象可以是单个人员、文档、机制或者设备等，也可能是由多个人员、文档、机制或者设备等构成的集合，它们分别需要使用到某个特定安全控制的功能。

测评实施是工作单元的主要组成部分，它是依据测评目的，针对具体测评内容开发出来的具体测评执行实施过程要求。

测评实施描述测评过程中涉及到的具体测评方式、内容以及需要实现的和/或应该取得的测评结果。

在测评实施过程描述中使用助动词“应（应该）”，表示这些过程是强制性活动，测评人员为作出结论必须完成这些过程；使用助动词“可（可以）”表示这些过程是非强制性活动，对测评人员作出结论没有根本性影响，因此测评人员可根据实际情况选择完成这些过程。

结果判定描述测评人员执行完测评实施过程，产生各种测评证据后，如何依据这些测评证据来判定被测系统是否满足测评项要求的方法和原则。

在给出整个工作单元的测评结论前，需要先给出单项测评实施过程的结论。

信息系统安全等级保护测评准则.