信息安全等级保护测评指南
信息安全等级保护测评指南
信息安全等级保护测评指南信息安全等级保护测评是指对信息系统安全等级保护的实施情况进行评估和测试的过程，旨在评估信息系统的安全保护能力，检测信息系统存在的安全隐患，并提出相应的整改建议。
下面是一个信息安全等级保护测评指南，以帮助组织进行有效的测评。
一、测评准备1.明确测评目标和范围：确定测评的具体目标，包括测评的等级保护要求和测评的范围，确保测评的准确性和全面性。
2.组织测评团队：确定测评团队的成员和职责，包括测评组长、技术专家、安全管理人员等，确保测评工作的有效开展。
3.准备测评工具和方法：选择合适的测评工具和方法，包括测评软件、网络扫描工具、物理安全检测设备等，确保测评的可靠性和准确性。
二、测评步骤1.收集信息：收集和了解被测评系统的相关信息，包括系统架构、网络拓扑、数据流程等，以便进行后续的测评工作。
2.风险评估：对系统可能面临的安全风险进行评估和分类，包括内部威胁、外部攻击等，以确定测评的重点和方向。
3.安全策略评估：评估被测评系统的安全策略和安全控制措施的有效性和合规性，包括访问控制、身份认证、加密算法等。
4.物理安全测评：对被测评系统的物理环境进行检测和评估，包括机房的物理访问控制、机柜安装的安全性等，以保证系统的物理安全。
5.网络安全测评：对被测评系统的网络环境进行检测和评估，包括网络设备的配置、网络服务的安全性等，以保证系统的网络安全。
6.系统安全测评：对被测评系统的操作系统和应用软件进行检测和评估，包括漏洞扫描、系统配置审计等，使用合适的工具和方法进行。
7.数据安全测评：对被测评系统的数据存储和传输进行检测和评估，包括数据备份和恢复、数据加密等，以保证系统的数据安全。
8.报告编写：根据测评的结果和发现，编写详细的测评报告，包括测评的过程、发现的问题、风险评估和整改建议等，以提供给被测评方参考。
三、测评注意事项1.保护被测评系统的安全：在进行测评的过程中，要确保不会对被测评系统造成破坏或干扰，要尽可能减少对正常业务的影响。
信息安全技术网络安全等级保护云计算测评指引
ICS xx.xxxL xx团体标准T/ISEAA XXX-2019信息安全技术网络安全等级保护云计算测评指引Information security technology—Testing and evaluation guideline of cloud computing forclassified production of cybersecurity（征求意见稿）20XX -XX-XX 发布20XX -XX-XX 实施中关村信息安全测评联盟发布目次前言 (II)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 概述 (2)5 云计算等级测评实施 (3)6 云计算等级测评问题分析 (7)7 云计算等级测评结论分析 (8)附录A 被测系统基本信息表（样例） (10)附录B 云计算平台服务（样例） (12)前言为配合国家网络安全等级保护制度2.0全面推进，更好的指导等级测评机构在云计算环境下开展等级测评工作，加强、规范云计算安全等级测评工作的独立性、客观性、合规性及有效性，依据网络安全等级保护2.0相关系列标准，制定网络安全等级保护云计算安全等级测评指引，本指引遵从下列标准规范：—— GB/T 22239—2019 信息安全技术网络安全等级保护基本要求；—— GB/T 28448—2019 信息安全技术网络安全等级保护测评要求；—— GB/T 28449—2018 信息安全技术网络安全等级保护测评过程指南。
本标准由中关村信息安全联盟提出并归口。
本标准起草单位：公安部第三研究所（公安部信息安全等级保护评估中心）、阿里云计算有限公司、深信服科技股份有限公司、电力行业信息安全等级保护测评中心、国家信息技术安全研究中心、国家网络与信息系统安全产品质量监督检验中心、中国金融电子化公司测评中心、交通运输信息安全中心有限公司、信息产业信息安全测评中心、公安部第一研究所、中国信息通信研究院、国家信息中心、教育部信息安全等级保护测评中心、国家计算机网络与信息安全管理中心、安徽省信息安全测评中心、广西网信信息安全等级保护测评有限公司、中国电信集团系统集成有限责任公司、成都市锐信安信息安全技术有限公司。
信息安全技术网络安全等级保护测评要求第1部分_安全通用要求_编制说明
信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。
但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。
根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。
1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。
这就要求等级测评过程规范、测评结论准确、公正及可重现。
《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。
作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。
信息系统安全等级保护测评过程指南
信息安全技术信息系统安全等级保护测评过程指南引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003］27号）、《关于信息安全等级保护工作的实施意见》（公通字［2004］66号）和《信息安全等级保护管理办法》(公通字［2007］43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：-—GB/T22240-2008信息安全技术信息系统安全等级保护定级指南; ——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求；——GB/TCCCC—CCCC信息安全技术信息系统安全等级保护实施指南；——GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求。
信息安全技术信息系统安全等级保护测评过程指南1范围本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。
2规范性引用文件下列文件中的条款通过在本标准中的引用而成为本标准的条款.凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件,其最新版本适用于本标准。
GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240—2008信息安全技术信息系统安全等级保护定级指南GB/T22239—2008信息安全技术信息系统安全等级保护基本要求GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字[2007］43号）3术语和定义GB/T5271.8、GB17859—1999、GB/TCCCC—CCCC和GB/TDDDD—DDDD确立的以及下列的术语和定义适用于本标准。
金融行业信息系统信息安全等级保护测评指南
与实施指引的关系
《测评指南》阐述了《实施指引》中各要求项的具体测评方法、步骤和判断依据 等，用来评定信息系统的安全保护措施是否符合《实施指引》。 《测评指南》规定了开展等级测评工作的基本过程、流程、任务及工作产品等， 规范测评机构的等级测评工作，并对在等级测评过程中何时如何使用测评要求提 出了指导建议。 二者共同指导等级测评工作。
中间件平台，如Weblogic / Websphere等。
二、等级测评方法及内容介绍—等级测评内容
单元测评——管理
测评对象
人员
安全主管/主机、应用、网络等安全管理员 机房管理员/文档管理员等
文档
管理文档（策略、制度、规程） 记录类（会议记录、运维记录） 其它类（机房验收证明等）
一、测评指南整体介绍
等级测评与其他测评的不同
目的不同：标准符合性测评
性质不同：《管理办法》强制周期性执行 执行对象不同：已经确定等级的信息系统
内容不同：依据《基本要求》和《测评要求》
结果不同：符合、基本符合、不符合。
测评指南知识要点
一、测评指南整体介绍 二、等级测评方法及内容介绍
是指测评人员使用预定的方法/工具使测评对象（各类设备戒安全配置）产生 特定的结果，将运行结果与预期的结果进行比对的过程。
二、等级测评方法及内容介绍—等级测评方法
ቤተ መጻሕፍቲ ባይዱ访谈
对象 适用情况 作用
对技术要求，使用‘访谈’ 方法迚行测评的目的是为了了 访谈的对象是人 解信息系统的全局性(包括局 员。典型的访谈 部，但不是细节)、方向/策略 人员包括：信息 性和过程性信息，一般不涉及 安全主管、信息 到具体的实现细节和具体技术 系统安全管理员、措施，在遇到优势证据时，最 系统管理员、网 弱。 络管理员、资产 对管理要求，访谈的内容应 管理员等。 该较为详细和明确。
信息系统安全等级保护定级指南
前言本标准由公安部和全国信息安全标准化技术委员会提出。
本标准由全国信息安全标准化技术委员会归口。
本标准起草单位：公安部信息安全等级保护评估中心。
本标准主要起草人：任卫红、曲洁、马力、朱建平、李明、李升、谢朝海、毕马宁、陈雪秀。
引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T BBBBB-BBBB信息系统安全等级保护基本要求；——GB/T CCCCC-CCCC信息系统安全等级保护实施指南；——GB/T DDDDD-DDDD信息系统安全等级保护测评准则。
本标准依据等级保护相关管理文件，从信息系统所承载的业务在国家安全、经济建设、社会生活中的重要作用和业务对信息系统的依赖程度这两方面，提出确定信息系统安全保护等级的方法。
信息系统安全等级保护定级指南1 范围本标准规定了信息系统安全等级保护的定级方法，适用于为信息系统安全等级保护的定级工作提供指导。
2 规范性引用文件下列文件中的条款通过在本标准的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T 5271.8 信息技术词汇第8部分：安全GB17859-1999 计算机信息系统安全保护等级划分准则3 术语和定义GB/T 5271.8和GB17859-1999确立的以及下列术语和定义适用于本标准。
3.1等级保护对象 target of classified security信息安全等级保护工作直接作用的具体的信息和信息系统。
等级保护测评(第八期)
广东省公安厅关于计算机信息系统安全保护的实施办法 (三） 三
• 第二十二条 我省对测评机构实施备案制度。符 合第二十一条规定的条件，承担第二级以上的计 算机信息系统测评工作的机构应当到省公安厅公 共信息网络安全监察部门备案。 • 第二十五条 第二级以上的计算机信息系统建设 完成后，使用单位应当委托符合规定的测评机构 安全测评合格方可投入使用。测评活动应当接受 公安机关公共评要求
• 第十二条 第二级以上计算机信息系统建设完成后，运营、 第二级以上计算机信息系统建设完成后，运营、 使用单位或者其主管部门应当选择符合国家规定的安全 等级测评机构，依据国家规定的技术标准， 等级测评机构，依据国家规定的技术标准，对计算机信 息系统安全等级状况开展等级测评， 息系统安全等级状况开展等级测评，测评合格后方可投 入使用。 入使用。 • 第十三条 计算机信息系统的运营、使用单位及其主管部 计算机信息系统的运营、 门应当按照国家规定定期对计算机信息系统开展安全等 级测评，并对计算机信息系统安全状况、 级测评，并对计算机信息系统安全状况、安全管理制度 及措施的落实情况进行自查。 及措施的落实情况进行自查。 计算机信息系统安全状况经测评或者自查， 计算机信息系统安全状况经测评或者自查，未达到安全 等级保护要求的，运营、使用单位应当进行整改。 等级保护要求的，运营、使用单位应当进行整改。
第一部分 等级保护测评基础
• (1)国家和广东省对测评机构的法要求回 顾
1.1.1等级测评背景 1.1等级测评背景
当前的信息安全等级保护有关法规
• • • • • • • • • •
《信息安全等级保护管理办法》（公通字[2007]43号） 信息安全等级保护管理办法》 公通字 号 广东省计算机信息系统安全保护条例 广东省公安厅关于计算机信息系统安全保护的实施办法 关于贯彻《广东省计算机信息系统安全保护条例》 关于贯彻《广东省计算机信息系统安全保护条例》和《广东省公安厅关于计算机信息系统 安全保护的实施办法》 广公（网监） 安全保护的实施办法》的通知 广公（网监）[2008]633号 号 《关于开展信息安全等级保护测评体系建设试点工作的通知》（公信安[2009]812号） 关于开展信息安全等级保护测评体系建设试点工作的通知》 公信安 号 关于明确信息安全等级保护测评机构管理有关事项的通知（广公（网监） 关于明确信息安全等级保护测评机构管理有关事项的通知（广公（网监）[2009]421号） 号 关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（ 关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安 [2010]303号 ） 号 信息安全等级保护测评工作管理规范(试行 试行) 信息安全等级保护测评工作管理规范 试行 信息安全等级测评机构能力要求（试行） 信息安全等级测评机构能力要求（试行） 等级测评师培训和考试指南
信息安全技术信息系统安全等级保护测评指南
信息安全技术信息系统安全等级保护测评指南下载提示：该文档是本店铺精心编制而成的，希望大家下载后，能够帮助大家解决实际问题。
文档下载后可定制修改，请根据实际需要进行调整和使用，谢谢！本店铺为大家提供各种类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，想了解不同资料格式和写法，敬请关注！Download tips: This document is carefully compiled by this editor. I hope that after you download it, it can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you! In addition, this shop provides you with various types of practical materials, such as educational essays, diary appreciation, sentence excerpts, ancient poems, classic articles, topic composition, work summary, word parsing, copy excerpts, other materials and so on, want to know different data formats and writing methods, please pay attention!信息安全技术信息系统安全等级保护测评指南一、引言在当今信息化社会，信息系统的安全性日益受到重视。
信息安全等级保护定级指南
信息安全等级保护定级指南The document was finally revised on 2021附件2信息系统安全保护等级定级指南（试用稿）公安部二〇〇五年十二月目次信息系统安全保护等级定级指南1范围本指南适用于为4级及4级以下的信息系统确定安全保护等级提供指导。
有关部门根据文件确定涉及最高国家利益的重要信息系统的核心子系统，该系统的安全保护等级定为5级，不再使用本指南的方法定级。
各行业信息系统的主管部门可以根据本指南制定适合本行业或部门的具体定级方法和指导意见。
2术语和定义下列术语和定义适用于本指南。
2.1 业务信息（Business Information）为完成业务工作而通过信息系统进行采集、加工、存储、传输、检索和使用的各种信息。
2.2 业务信息安全性（Security of Business Information）保证业务信息机密性、完整性和可用性程度的表征。
2.3 业务服务保证性（Assurance of Business Service）保证信息系统完成业务使命程度的表征。
业务使命可能因信息系统无法提供服务或无法提供有效服务而不能完成或不能按照要求的目标完成。
2.4 信息系统（Information System）基于计算机或计算机网络，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索和服务的人机系统。
2.5 业务子系统（Business Subsystem）由信息系统的一部分组件构成，是信息系统中能够承载某项业务工作的子系统。
3定级对象如果信息系统只承载一项业务，可以直接为该信息系统确定等级，不必划分业务子系统。
如果信息系统承载多项业务，应根据各项业务的性质和特点，将信息系统分成若干业务子系统，分别为各业务子系统确定安全保护等级，信息系统的安全保护等级由各业务子系统的最高等级决定。
信息系统是进行等级确定和等级保护管理的最终对象。
3.1 信息系统的划分一个组织机构内可能运行一个或多个信息系统，这些信息系统的安全保护等级可以是相同的，也可以是不同的。
信息安全技术信息系统安全等级保护测评要求
一、积极应对信息安全挑战随着信息技术的不断发展，信息安全问题已经成为各个行业不可忽视的重要议题。
在信息安全领域中，信息系统安全等级保护测评是保障信息系统安全的重要手段之一。
信息系统安全等级保护测评要求是针对信息系统的安全等级进行评估，以确保系统的安全性和稳定性。
在当前全球范围内，信息安全面临着日益猖獗的网络攻击和威胁，包括但不限于黑客攻击、病毒木马、网络钓鱼等。
加强信息系统安全等级保护测评工作，提高信息系统的安全水平，对于保护国家的重要信息资产和维护国家的网络安全和稳定具有重要意义。
二、信息系统安全等级保护测评要求的意义1. 保障国家安全信息系统安全等级保护测评要求的实施，可以有效保障国家的安全。
国家的重要信息资产经常受到来自国内外的网络攻击威胁，因此加强对信息系统安全等级保护测评的要求，可以提高信息系统的安全等级，从而保护国家的核心安全利益。
2. 维护社会稳定信息系统安全等级保护测评要求的严格实施，可以有效维护社会的稳定。
在信息时代，信息系统已经深入到社会的各个领域，一旦信息系统遭受到攻击或者破坏，就会给社会带来严重的影响，因此加强对信息系统安全等级保护测评的要求，可以保障社会的正常运行。
3. 促进信息技术创新信息系统安全等级保护测评要求的实施，有助于促进信息技术的创新发展。
由于信息系统安全等级保护测评要求注重提高信息系统的安全性和稳定性，这就需要信息技术相关行业加强技术创新，提高信息系统的安全技术水平，推动信息技术的发展。
三、信息系统安全等级保护测评要求的关键内容1. 等级划分信息系统安全等级保护测评要求首先需要对信息系统的安全等级进行划分。
信息系统的安全等级划分是基于国家秘密的保密等级，根据信息系统的特点和重要性确定其相对应的安全等级，以便进一步对信息系统的安全性进行测评和评估。
2. 安全风险评估信息系统安全等级保护测评要求需要对信息系统的安全风险进行评估。
安全风险评估是通过对信息系统的潜在威胁和漏洞进行分析和评估，以确定信息系统的安全隐患和风险，从而为制定安全防护措施提供依据。
信息系统安全等级保护实施指南(DOC 42页)(完美优质版)
目次前言 (III)引言 (IV)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 等级保护实施概述 (1)4.1 基本原则 (1)4.2 角色和职责 (1)4.3 实施的基本流程 (2)5 信息系统定级 (4)5.1 信息系统定级阶段的工作流程 (4)5.2 信息系统分析 (4)5.2.1 系统识别和描述 (4)5.2.2 信息系统划分 (5)5.3 安全保护等级确定 (6)5.3.1 定级、审核和批准 (6)5.3.2 形成定级报告 (6)6 总体安全规划 (7)6.1 总体安全规划阶段的工作流程 (7)6.2 安全需求分析 (8)6.2.1 基本安全需求的确定 (8)6.2.2 额外/特殊安全需求的确定 (9)6.2.3 形成安全需求分析报告 (9)6.3 总体安全设计 (10)6.3.1 总体安全策略设计 (10)6.3.2 安全技术体系结构设计 (10)6.3.3 整体安全管理体系结构设计 (11)6.3.4 设计结果文档化 (12)6.4 安全建设项目规划 (12)6.4.1 安全建设目标确定 (12)6.4.2 安全建设内容规划 (13)6.4.3 形成安全建设项目计划 (13)7 安全设计与实施 (15)7.1 安全设计与实施阶段的工作流程 (15)7.2 安全方案详细设计 (16)7.2.1 技术措施实现内容设计 (16)7.2.2 管理措施实现内容设计 (16)7.2.3 设计结果文档化 (17)7.3 管理措施实现 (17)7.3.1 管理机构和人员的设置 (17)7.3.2 管理制度的建设和修订 (17)7.3.3 人员安全技能培训 (18)7.3.4 安全实施过程管理 (18)7.4 技术措施实现 (19)7.4.1 信息安全产品采购 (19)7.4.2 安全控制开发 (19)7.4.3 安全控制集成 (20)7.4.4 系统验收 (21)8 安全运行与维护 (22)8.1 安全运行与维护阶段的工作流程 (22)8.2 运行管理和控制 (23)8.2.1 运行管理职责确定 (23)8.2.2 运行管理过程控制 (24)8.3 变更管理和控制 (24)8.3.1 变更需求和影响分析 (24)8.3.2 变更过程控制 (25)8.4 安全状态监控 (25)8.4.1 监控对象确定 (25)8.4.2 监控对象状态信息收集 (26)8.4.3 监控状态分析和报告 (26)8.5 安全事件处置和应急预案 (26)8.5.1 安全事件分级 (26)8.5.2 应急预案制定 (27)8.5.3 安全事件处置 (27)8.6 安全检查和持续改进 (28)8.6.1 安全状态检查 (28)8.6.2 改进方案制定 (28)8.6.3 安全改进实施 (29)8.7 等级测评 (29)8.8 系统备案 (29)8.9 监督检查 (30)9 信息系统终止 (30)9.1 信息系统终止阶段的工作流程 (30)9.2 信息转移、暂存和清除 (31)9.3 设备迁移或废弃 (31)9.4 存储介质的清除或销毁 (32)附录A（规范性附录）主要过程及其活动输出 (33)前言本标准的附录A是规范性附录。
信息安全等级保护测评作业指导书(系统管理建设三级)
信息安全等级保护测评作业指导书系统建设管理（三级）修改页一、系统定级1．信息系统边界和安全保护等级2．信息系统定级方法和理由3．定级结果论证和审定4．定级结果经过相关部门批准二、安全方案设计1．选择基本安全措施及补充调整2．安全建设总体规划3．细化系统安全方案4．安全技术专家论证和审定5．安全方案调整和修订三、产品采购和使用1．安全产品采购和使用符合国家有关规定2．保密码产品采购和使用符合国家密码主管部门要求3．专门部门负责产品采购4．预先产品选型测试四、自行软件开发1．开发环境与实际运行环境物理分开，测试数据和测试结果受到控制2．软件开发管理制度3．代码编写安全规范4．软件设计相关文档和使用指南5．程序资源库修改、更新、发布进行授权和批准五、外包软件开发1．软件质量测试2．检测软件包恶意代码3．软件设计相关文档和使用指南4．软件源代码检查六、工程实施1．工程实施管理2．工程实施方案3．工程实施管理制度七、测试验收1．第三方安全性测试2．安全性测试验收报告3．书面规定测试验收的控制方法和人员行为准则4．系统测试验收授权及完成5．测试验收报告审定八、系统交付1．系统交付清单2．运行维护技术人员技能培训3．系统运行维护文档4．书面规定系统交付的控制方法和人员行为准则5．系统交付管理工作授权及完成九、系统备案1．系统定级材料管理2．系统主管部门备案3．备案材料报送相应公安机关备案十、等级测评1．每年一次等级测评及整改2．系统变更进行等级测评3．测评单位技术资质和安全资质4．授权专门部门或人员负责等级测评管理十一、安全服务商选择1．安全服务商选择合规2．安全服务商协议3．安全服务商服务合同。
信息安全技术信息系统安全等级保护测评要求
信息安全技术信息系统安全等级保护基本要求引言依据《中华人民XX国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南；——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求；——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护实施指南。
一般来说，信息系统需要靠多种安全措施进行综合防X以降低其面临的安全风险。
本标准针对信息系统中的单项安全措施和多个安全措施的综合防X，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。
单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。
整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。
本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。
如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。
在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。
信息系统安全等级保护测评要求1 X围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测评要求。
本标准略去对第五级信息系统进行单元测评的具体内容要求。
本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。
国家标准 信息安全技术 信息系统安全等级保护定级指南
De 3ICS 35.040L 80信息安全技术信息系统安全等级保护定级指南Information security technology-Classification guide for classified protection of information system中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会发布GB/T 22240—2008目次目次 (I)前言...................................................................................................................................................................... I I 引言.. (III)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 定级原理 (1)4.1 信息系统安全保护等级 (1)4.2 信息系统安全保护等级的定级要素 (2)4.2.1 受侵害的客体 (2)4.2.2 对客体的侵害程度 (2)4.3 定级要素与等级的关系 (2)5 定级方法 (3)5.1 定级的一般流程 (3)5.2 确定定级对象 (4)5.3 确定受侵害的客体 (5)5.4 确定对客体的侵害程度 (5)5.4.1 侵害的客观方面 (6)5.4.2 综合判定侵害程度 (6)5.5 确定定级对象的安全保护等级 (7)6 等级变更 (8)IGB/T 22240—2008II 前言（略）GB/T 22240—2008引言依据国家信息安全等级保护管理规定制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T 22239—2008《信息系统安全等级保护基本要求》；——国家标准《信息系统安全等级保护实施指南》；——国家标准《信息系统安全等级保护测评准则》。
信息安全等级保护测评作业指导书(Tomcat)
2、修改tomcat/conf/server.xml配置文件，更改为使用https方式，增加如下行：
Connector classname=”org.apache.catalina.http.HttpConnector” port=”8443” minProcessors=”5” maxprocessors=”100” enableLookups=”true” acceptCount=”10” debug=”0”
1、参考配置操作
在tomcat/conf/tomcat-user.xml配置文件中设置密码
<userusername=”tomcat” password=”Manager!@34” roles=”manager”>
检测方法
1、判定条件
检查tomcat/conf/tomcat-user.xml配置文件中的帐号口令是否符合配置口令复杂度要求。
的IPБайду номын сангаас址。
（2）启用访问模块审计、错误信息日志功能
编辑server.xml配置文件，在<HOST>标签中增加记录日志功能将以下内容的注释标记< ! -- -- >取消
<valve classname=”org.apache.catalina.valves.AccessLogValve”Directory=”logs” prefix=”localhost_access_log.” Suffix=”.txt”
role1：具有读权限；
tomcat：具有读和运行权限；
admin：具有读、运行和写权限；
manager：具有远程管理权限。
注：Tomcat 6.0.18版本只有admin和manager两种用户角色，且admin用户具有manager管理权限。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1
目录
• 国家对等级保护测评的要求 • 等级保护测评注意事项 • 等级保护测评要求（部分解读） • 等级保护测评过程 • 等级保护测评中常见问题
2
国家对等级保护测评的要求
《管理办法》”等级保护的实施与管理“第十四条
信息系统建设完成后，运营、使用单位或者其主管部门
应当选择符合本办法规定条件的测评单位，依据《信息 系统安全等级保护测评要求》等技术标准，定期对信息 系统安全等级状况开展等级测评。
给被检查方，请被检查方当前提供并进行查验；
所有需要以检测方式检查的项目，按检测部门或设备分类后，根
据具体情况选择检测顺序。
17
等级保护测评方法（2）
第二十二条 我省对测评机构实施备案制度。符合第二十一条规
定的条件，承担第二级以上的计算机信息系统测评工作的机构应 当到省公安厅公共信息网络安全监察部门备案。
第二十五条 第二级以上的计算机信息系统建设完成后，使用单
位应当委托符合规定的测评机构安全测评合格方可投入使用。测 评活动应当接受公安机关公共信息网络安全监察部门的监督。
等级测评机构，是指具备本规范的基本条件，经能力评估和审
核，由省级以上信息安全等级保护工作协调（领导）小组办公 室（以下简称为“等保办”）推荐，从事等级测评工作的机构。
等级保护测评的执行主体应当是具有相关资质的、独立的测评
服务机构。
只有独立的第三方，才能保证测评工作的客观性和公正性。
9
等级测评基本原则
供我省信息系统运营、使用单位、主管部门选用提供各类测评服 务（差距评估、验收性测评、年度测评工作）。 1、广州竞远系统网络技术有限公司 2、中国赛宝实验室（工业和信息化部电子第五研究所） 3、广州华南信息安全测评中心 4、深圳市信息安全测评中心 5、深圳市网安计算机安全检测技术有限公司
7
等级保护测评基本概念
测评机构应当按照有关规定和统一标准提供“客观、公正、
安全”的测评服务，按照统一的测评报告模版出具测评报告。
测评机构可以从事等级测评活动以及信息系统安全等级保护
定、安全建设整改、信息安全等级保护宣传教育等工作的 技术支持。
10
等级测评的特点
管理角度：
强制执行：管理办法强制周期性执行 执行主体：符合条件的测评机构 执行对象：定级的信息系统 服务主体：国家信息安全监管部门/主管部门/运维、使用单位
12
等级保护测评工作开展
系统改建方案设计：由信息系统的运营使用单位自己组织人员或
由第三方评估机构，采用等级测评方法对信息系统安全保护现状 与等级保护基本要求进行符合性评估，得到与相应等级要求的差 距项，确定安全需求，为制定安全改建方案提供依据。是一种需 求分析方法，不受测评执行主体的限制。
等级保护建设完成后的测评，由具有相关资质、独立的第三方测
第三级信息系统应当每年至少进行一次等级测评，第四
级信息系统应当每半年至少进行一次等级测评，第五级 信息系统应当依据特殊安全需求进行等级测评。
3
广东省安全保护条例对测评要求
第十二条 第二级以上计算机信息系统建设完成后，运营、
使用单位或者其主管部门应当选择符合国家规定的安全 等级测评机构，依据国家规定的技术标准，对计算机信 息系统安全等级状况开展等级测评，测评合格后方可投 入使用。
5
广东省信息安全等级测评工作细则（试行）
计算机信息系统投入使用后，存在下列情形之一的，应当进行安
全自查，同时委托安全测评机构进行安全测评：
（一）变更关键部件； （二）安全测评时间满一年； （三）发生危害计算机信系统安全的案件或安全事故； （四）公安机关公共信息网络安全监察部门根据应急处置工作的
中涉及到的信息系统的构成成份，包括人员、文档、机制、软件、 设备。测评的层面涉及物理安全、网络安全、主机安全、应用系 统安全、数据安全以及安全管理。 测评要求
使用测评表进行具体检查时，首先按询问、查验、检测等工作方
式将所有检查项目分类。
所有以询问方式检查的项目，在与有关人员的谈话或会议上进行； 所有以查验方式检查的项目，将需要的文档清单在检查现场提交
技术角度：
符合性测评：依据基本要求 等级化：不同级别测评强度不同
11
等级保护测评适用的阶段
在实施等级保护建设工作前，信息系统运营、使用单位可以开
展一次等级测评以确定信息系统的安全需求。
在等级保护建设完成后，通过等级测评判定信息系统是否按照
预先设定的安全模式运行，安全控制措施是否得到合理的应用， 信息系统是否达到相关标准的要求，是否具备相应等级的安全 防护能力等。
等级测评工作，是指测评机构依据国家信息安全等级
保护制度规定，按照有关管理规范和技术标准，对非 涉及国家秘密信息系统安全等级保护状况进行检测评 估的活动。 通过信息安全等级测评机构对已完成的等级保护建设的信
息系统定期进行等级测评，确保信息系统的安全保护措施 符合相应等级的安全要求。
8
等级保护测评的执行主体
评机构完成。
13
1.2.13测评与监督检查的关系
等级保护测评的操作形式
自评估 委托评估 检查评估
14
1.2.14测评工作要求
依据标准，遵循原则 恰当选取，保证强度 规范行为，减少风险
过程规范 行为规范
15
等级保护测评注意事项
16
等级保护测评方法（1）
测评方法
测评采用访谈、检查和测试三种方法，测评对象是测评实施过程
第十三条 计算机信息系统的运营、使用单位及其主管部
门应当按照国家规定定期对计算机信息系统开展安全等 级测评，并对计算机信息系统安全状况、安全管理制度 及措施的落实情况进行自查。
计算机信息系统安全状况经测评或者自查，未达到安全 等级保护要求的，运营、使用单位应当进行整改。
4
广东省公安厅关于计算机信息系统安全保护的实施办法 （一）
需要认为应当进行安全测评；
（五）其他应当进行安全自查和安全测评的情形。 申请单位认为安全测评报告的合法性和真实性存在重大问题的，
可以向本单位所在地公安机关公共信息网络安全监察部门提出申 诉，提交异议申诉书及有关证明材料。
6
广东省等级保护测评机构
关于发布广东省信息安全等级保护测评机构的公告
（粤等保办[2010]3号）