信息安全技术网络安全等级保护测评要求
信息安全技术-网络安全等级保护基本要求(表格版)
第一级 /
a) 机房出入口应安排专人值守或 物理访问 配置电子门禁系统，控制、鉴别 控制 和记录进入的人员 a) 应将机房设备或主要部件进行 防盗窃和 固定，并设置明显的不易除去的 防破坏 标记 a) 应将各类机柜、设施和设备等 通过接地系统安全接地
防雷击
资源控制
/
数据完整 a) 应采用校验码技术保证重要数 性 据在传输过程中的完整性
数据保密 性
/
数据备份 a) 应提供重要数据的本地数据备 恢复 份与恢复功能
剩余信息 保护 个人信息 保护 二、管理要求 基本要求 安全策略
/ /
第一级 /
管理制度 安全策略和管 理制度
a) 应建立日常管理活动中常用的 安全管理制度
产品采购 a) 应确保信息安全产品采购和使 和使用 用符合国家的有关规定
自行软件 开发
/
安全建设管理
外包软件 开发
/
工程实施
a) 应指定或授权专门的部门或人 员负责工程实施过程的管理
工程实施
a) 应指定或授权专门的部门或人 员负责工程实施过程的管理
测试验收 a) 应进行安全性测试验收 a) 应根据交付清单对所交接的设 备、软件和文档等进行清点； b) 应对负责运行维护的技术人员 系统交付 进行相应的技能培训
b) ；
b) ；
c) 当进行远程管理时，应采取必要措施，防止鉴 c) ； 别信息在网络传输过程中被窃听。 d) 应采用两种或两种以上组合的鉴别技术 对用户进行身份鉴别。 a) ； b) ； c) ； a) ； b) ； c) ；
管理制度 安全策略和管 理制度 制定和发 布 评审和修 订
a) 应建立日常管理活动中常用的 安全管理制度
信息安全等级保护测评指南
信息安全等级保护测评指南信息安全等级保护测评是指对信息系统安全等级保护的实施情况进行评估和测试的过程，旨在评估信息系统的安全保护能力，检测信息系统存在的安全隐患，并提出相应的整改建议。
下面是一个信息安全等级保护测评指南，以帮助组织进行有效的测评。
一、测评准备1.明确测评目标和范围：确定测评的具体目标，包括测评的等级保护要求和测评的范围，确保测评的准确性和全面性。
2.组织测评团队：确定测评团队的成员和职责，包括测评组长、技术专家、安全管理人员等，确保测评工作的有效开展。
3.准备测评工具和方法：选择合适的测评工具和方法，包括测评软件、网络扫描工具、物理安全检测设备等，确保测评的可靠性和准确性。
二、测评步骤1.收集信息：收集和了解被测评系统的相关信息，包括系统架构、网络拓扑、数据流程等，以便进行后续的测评工作。
2.风险评估：对系统可能面临的安全风险进行评估和分类，包括内部威胁、外部攻击等，以确定测评的重点和方向。
3.安全策略评估：评估被测评系统的安全策略和安全控制措施的有效性和合规性，包括访问控制、身份认证、加密算法等。
4.物理安全测评：对被测评系统的物理环境进行检测和评估，包括机房的物理访问控制、机柜安装的安全性等，以保证系统的物理安全。
5.网络安全测评：对被测评系统的网络环境进行检测和评估，包括网络设备的配置、网络服务的安全性等，以保证系统的网络安全。
6.系统安全测评：对被测评系统的操作系统和应用软件进行检测和评估，包括漏洞扫描、系统配置审计等，使用合适的工具和方法进行。
7.数据安全测评：对被测评系统的数据存储和传输进行检测和评估，包括数据备份和恢复、数据加密等，以保证系统的数据安全。
8.报告编写：根据测评的结果和发现，编写详细的测评报告，包括测评的过程、发现的问题、风险评估和整改建议等，以提供给被测评方参考。
三、测评注意事项1.保护被测评系统的安全：在进行测评的过程中，要确保不会对被测评系统造成破坏或干扰，要尽可能减少对正常业务的影响。
信息系统安全等级保护测评服务内容及要求
信息系统安全等级保护测评服务内容及要求一、供应商资格：1.供应商应具备《政府采购法》第二十二条规定的条件；1）具有独立承担民事责任的能力；2）具有良好的商业信誉和健全的财务会计制度；3）具有履行合同所必需的设备和专业技术能力；4）有依法缴纳税收和社会保障资金的良好记录；5）参加政府采购活动前三年内，在经营活动中没有重大违法记录；6）法律、行政法规规定的其他条件。
2.投标人要求为国内独立的事业法人的独立企业法人，并且股权结构中不能有任何外资成份。
3.具有网络安全等级保护测评机构推荐证书。
4.具有中国合格评定国家认可委员会颁发的CNAS证书。
5.具有广东省电子政务服务能力等级证书。
6.具有中国通信行业协会颁发的通信网络安全服务能力评定证书（应急响应一级）7.具有中鉴认证有限责任公司颁发的质量管理体系认证证书（ISO9001）。
8.中国通信行业协会颁发的通信网络安全服务能力评定证书（风险评估二级）。
9.本项目不接受联合体投标。
二、项目服务内容及要求1.采购项目需求一览表：序号服务类型被测评系统级别1 等级保护测评服务存量房网上签约系统二级2 等级保护测评服务金融部门网上受理系统（签约银行登录）二级3 等级保护测评服务商品房明码标价备案系统二级4 等级保护测评服务珠海不动产微信服务号系统二级2.基本要求:2.1 项目背景为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理办法》的精神，响应国家的要求，珠海市不动产登记中心于2018年全面启动本单位的信息安全等级保护工作。
按照同时根据珠海市不动产登记中心的信息系统安全等级保护工作安排，现需开展信息系统安全等级保护测评等工作，并邀请具备国家或省公安厅颁发等级保护测评资质的公司对珠海市不动产登记中心的信息系统提供等级保护测评服务。
2.2项目目标2.2.1等级保护测评服务。
根据《GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南》等标准，及各个信息系统保护等级需求，协助采购人对现有的信息系统进行等级保护备案，编写信息系统定级备案表和信息系统定级报告，并协助向公安局提交定级备案材料，取得信息系统定级备案证明。
《信息安全技术网络安全等级保护基本要求》
《信息安全技术网络安全等级保护基本要
求》。
《信息安全技术网络安全等级保护基本要求》是国家信息安全技术标准的核心文件之一，也是实施网络安全等级保护的基础性依据。
它规定了建立和完善网络安全等级保护体系的相关要求，以及我国实施网络安全等级保护的组织、责任、管理等基本要求，为保护网络安全提供了重要指导。
《信息安全技术网络安全等级保护基本要求》提出，要求建立和完善网络安全等级保护体系，建立有效的网络安全等级保护管理体系，实施网络安全等级保护，以及定期对网络安全等级保护体系进行检查和评价，以有效控制网络安全风险。
要求实施网络安全等级保护的组织，完善和落实网络安全等级保护的管理制度、制定规章制度，建立网络安全风险评估机制，落实网络安全等级保护的实施责任，建立网络安全等级保护培训机制，建立网络安全等级保护的检查机制，以及建立和完善网络安全等级保护的考核机制等。
《信息安全技术网络安全等级保护基本要求》还提出了网络安全等级保护体系的实施要求，即网络安全等级保护体系的实施必须遵循安全可靠、实用性强、易于实施和管理的原则，必须依据网络安全风险评估结果，采取有效的安全措施，确保网络安全等级保护体系的正确性。
《信息安全技术网络安全等级保护基本要求》是实施网络安全等级保护的重要依据，它提出了建立和完善网络安全等级保护体系的要求，以及实施网络安全等级保护的组织、责任、管理等基本要求，并且提出了实施网络安全等级保护的实施要求，为保护网络安全提供了重要的指导。
希望各方加强网络安全等级保护工作，共同为保护网络安全作出贡献。
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷答案
《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》试卷姓名：分数：一、填空题（每空3分，共30分）1.安全测评通用要求中安全物理环境的测评对象是__________和__________。
2.机房__________设在地下室。
3.二级测评通用要求对机房设置防盗报警系统或有专人值守的视频监控系统__________（有或没有）作要求。
4.三级测评通用要求机房电力供应设置__________电力电缆线路。
5.三级测评通用要求网络设备的业务处理能力满足业务高峰期的要求，可通过查看网络设备的__________使用率和__________使用率。
6.边界防护中，__________级测评要求内外网的非法互联进行检测和限制。
7.云计算安全测评扩展要求云计算基础设施位于__________。
8.工业控制系统与企业其他系统之间应划分为__________个区域。
二、不定项选择（每题5分，共30分）1.三级测评通用要求机房出入口应__________。
A．安排专人值守B．放置灭火器C．安装玻璃门D．配置电子门禁系统2.三级测评通用要求防雷击除了将各类机柜、设施和设备等通过接地系统安全接地，还要求设置__________。
A．照明灯具B．过压保护器C．防雷保安器D．空气清新剂3.身份鉴别要求采用__________等两种或两种以上的鉴别技术。
A．动态口令B．数字证书C．生物技术D．设备指纹4.三级测评通用要求安全计算环境中，访问控制的粒度应达到主体为__________。
A．端口级B．用户级C．进程级D．应用级5.安全管理中心是《GB∕T 28448-2019信息安全技术网络安全等级保护测评要求》新增加的内容，三级测评通用要求安全管理中心内容包括__________。
A．系统管理B．审计管理C．安全管理D．集中管控6.工业控制系统内使用广域网进行进行控制指令或相关数据交换的应采用加密认证技术手段实现__________加密传输。
信息安全技术—网络安全等级保护测评要求
谢谢观看
2014年11月19日，国家标准计划《信息安全技术—网络安全等级保护测评要求》（-T-469）下达，项目周期 12个月，由TC260（全国信息安全标准化技术委员会）归口上报及执行，主管部门为国家标准化管理委员会。全 国标准信息公共服务平台显示，该计划已完成网上公示、起草、征求意见、审查、批准、发布工作。
2019年5月10日，国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）由中华人 民共和国国家市场监督管理总局、中国国家标准化管理委员会发布。
2019年12月1日，国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）实施，全 部代替国家标准《信息安全技术—信息系统安全等级保护测评要求》（GB/T28448-2012）。
国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）依据中国国家标准《标准化 工作导则第1部分：标准的结构和编写规则》（GB/T 1.1-2009）规则起草。
《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）与《信息安全技术—信息系统安全等 级保护测评要求》（GB/T28448-2012）相比，主要变化如下：
主要起草单位：公安部第三研究所（公安部信息安全等级保护评估中心、国家信息中心、北京大学、成都科 来软件有限公司、北京鼎普科技股份有限公司、北京梆梆安全科技有限公司、中国电子科技集团公司第十五研究 所（信息产业信息安全测评中心）、北京信息安全测评中心、全球能源互联网研究院、中国电力科学研究院、国 电南京自动化股份有限公司、中国电子信息产业集团公司第六研究所、启明星辰信息技术集团股份有限公司、华 普科工（北京）有限公司、中国电子技术标准化研究院、中国科学院信息工程研究所（信息安全国家重点实验 室）、新华三技术有限公司、中国移动通信集团有限公司、北京微步在线科技有限公司、北京迅达云成科技有限 公司、公安部第一研究所、国家能源局信息中心（电力行业信息安全等级保护测评中心）、北京卓识网安技术股 份有限公司、南京南瑞集团公司、南方电网科学研究院、工业和信息化部计算机与微电子发展研究中心（中国软 件评测中心）、北京烽云互联科技有限公司。
信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求信息安全技术网络安全等级保护测评要求1.引言1.1 目的1.2 背景2.术语和定义3.系统规划3.1 网络架构规划3.1.1 网络拓扑3.1.2 网络设备规划3.2 安全策略规划3.2.1 安全策略制定3.2.2 风险评估和管理4.网络访问控制4.1 身份认证4.1.1 用户身份认证4.1.2 设备身份认证4.2 访问控制列表4.2.1 网络边界访问控制 4.2.2 内部访问控制4.3 资源权限管理4.3.1 用户授权管理4.3.2 角色权限管理5.通信安全5.1 数据加密5.2 网络隔离5.3 网络流量监测6.系统安全6.1 操作系统安全配置6.1.1 账户管理6.1.2 安全补丁管理6.2 应用程序安全6.2.1 安全开发规范6.2.2 漏洞扫描和修复7.日志审计与事件响应7.1 日志管理7.1.1 日志收集7.1.2 日志分析7.2 应急响应7.2.1 安全事件分级7.2.2 应急响应计划8.物理安全8.1 机房安全8.1.1 门禁与监控系统 8.1.2 机房环境监测 8.2 设备安全8.2.1 设备防护措施8.2.2 设备备份和恢复9.漏洞管理9.1 漏洞扫描9.2 漏洞评估9.3 漏洞修复10.文件和数据备份10.1 数据备份策略10.2 数据恢复测试11.域名管理11.1 域名注册和管理11.2 域名解析安全12.附件12.1 附件1：网络架构图12.2 附件2：安全策略文件12.3 附件3：漏洞扫描报告法律名词及注释：1.《网络安全法》：中华人民共和国国家法律，旨在加强网络安全保护，维护网络空间主权。
2.《个人信息保护法》：中华人民共和国国家法律，规定个人信息的收集、存储、处理和保护等方面的要求。
3.《电子签名法》：中华人民共和国国家法律，规定电子签名的认证、有效性和法律效应。
4.《计算机软件保护条例》：中华人民共和国国家法律，保护计算机软件的知识产权。
(完整word版)信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。
但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。
根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。
1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。
这就要求等级测评过程规范、测评结论准确、公正及可重现。
《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。
作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。
_信息安全技术__网络安全等级保护28448_2019_标准解读(赠送原版标准)
《信息安全技术网络安全等级保护测评要求》（G B/T28448-2019）标准解读原版标准详见附录0引言信息系统等级保护系列国家标准在我国推行信息安全工作开展过程中发挥了重要作用，被广泛应用于网络安全职能部门、各行业和领域的网络安全管理部门及等级测评机构开展系统定级、安全建设整改、等级测评、安全自查和安全监督检查等相关工作。
但随着IT技术的飞速发展，特别是在云计算、移动互联、物联网、工业控制和大数据等新技术、新应用环境下，GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》在应用过程中遇到了一些新的问题，在适用性、时效性、易用性、可操作性上需要进一步完善。
2017年6月1日颁布实施的《中华人民共和国网络安全法》也要求各网络安全职能部门、各行业和领域的网络安全管理部门等配合落实国家网络安全等级保护制度，需要同时对GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》进行修订。
为适应我国网络安全等级保护工作发展的需要，进一步与新版的GB/T22239-2019相协调，有必要对GB/T28448-2012进行修订。
2014年，公安部第三研究所（公安部信息安全等级保护评估中心）根据国家标准编号制修订计划，牵头组织了对GB/T28448-2012的修订工作，前后共有20多家单位、70多人参与修订工作。
修订工作历经调查研究、草案形成、征求意见稿、送审稿和报批稿等过程，收到了各行业职能部门、用户、专家的宝贵意见。
2019年，《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）国家标准正式实施。
本文分析了GB/T28448-2019发生的主要变化，解读其内容修订和等级测评工作变化等主要内容，以便读者更好地了解和掌握GB/T28448-2019的内容标准主要内容变化0.1标准文本结构变化GB/T28448-2019标准文本分为12章，3个附录。
信息安全技术网络安全等级保护云计算测评指引
ICS xx.xxxL xx团体标准T/ISEAA XXX-2019信息安全技术网络安全等级保护云计算测评指引Information security technology—Testing and evaluation guideline of cloud computing forclassified production of cybersecurity（征求意见稿）20XX -XX-XX 发布20XX -XX-XX 实施中关村信息安全测评联盟发布目次前言 (II)1 范围 (1)2 规范性引用文件 (1)3 术语和定义 (1)4 概述 (2)5 云计算等级测评实施 (3)6 云计算等级测评问题分析 (7)7 云计算等级测评结论分析 (8)附录A 被测系统基本信息表（样例） (10)附录B 云计算平台服务（样例） (12)前言为配合国家网络安全等级保护制度2.0全面推进，更好的指导等级测评机构在云计算环境下开展等级测评工作，加强、规范云计算安全等级测评工作的独立性、客观性、合规性及有效性，依据网络安全等级保护2.0相关系列标准，制定网络安全等级保护云计算安全等级测评指引，本指引遵从下列标准规范：—— GB/T 22239—2019 信息安全技术网络安全等级保护基本要求；—— GB/T 28448—2019 信息安全技术网络安全等级保护测评要求；—— GB/T 28449—2018 信息安全技术网络安全等级保护测评过程指南。
本标准由中关村信息安全联盟提出并归口。
本标准起草单位：公安部第三研究所（公安部信息安全等级保护评估中心）、阿里云计算有限公司、深信服科技股份有限公司、电力行业信息安全等级保护测评中心、国家信息技术安全研究中心、国家网络与信息系统安全产品质量监督检验中心、中国金融电子化公司测评中心、交通运输信息安全中心有限公司、信息产业信息安全测评中心、公安部第一研究所、中国信息通信研究院、国家信息中心、教育部信息安全等级保护测评中心、国家计算机网络与信息安全管理中心、安徽省信息安全测评中心、广西网信信息安全等级保护测评有限公司、中国电信集团系统集成有限责任公司、成都市锐信安信息安全技术有限公司。
信息安全技术-网络安全等级保护基本要求
信息安全技术-网络安全等级保护基本要求一、网络安全等级保护基本要求1. 基础架构（1）建立安全架构：建立一套完整的安全架构，包括人、机械、软件、技术和组织等六大要素，确保网络系统的安全。
（2）建立网络安全策略：建立安全策略旨在强化网络安全和控制系统风险。
安全策略要适合系统规模，明确不允许使用系统资源，明确用户访问控制，明确网络安全防护措施，明确病毒防护措施等。
（3）安全服务：安全服务是对系统安全加以控制的一种有效手段，包括身份验证、审计、网络安全和数据加密等方面的内容。
2. 用户访问控制（1）定制安全引擎：安全引擎是实施用户访问控制的核心部件。
它可以应用安全认证、封装、过滤、防护等安全服务，在网络中建立策略以限制对数据、软件、网络设备等的访问和使用。
（2）定制加密技术：网络安全中的加密技术是确保用户和系统信息通信的安全性的基础，要求支持SSL/TLS协议。
（3）定制认证服务：网络安全中的认证服务是实施用户访问控制的基础，可以实现对用户的用户名/密码认证、角色管理等。
3. 安全策略和数据安全（1）安全日志：安全日志可以记录系统内部状态，有助于安全管理。
安全日志要包括系统资源使用情况、安全策略、认证角色管理、日志审计、配置变更等。
（2）防火墙：网络安全中的防火墙是阻止未经授权的外部使用进入网络系统的一种安全技术，可以按照应用设定访问策略，禁止未经授权的访问，并过滤那些不符合安全策略的数据。
（3）数据加密：数据加密是给信息系统加上一把安全锁，使信息不被未经授权的第三方访问。
4. 网络安全和安全评估（1）开发安全检查：安全检查是就安全技术要求，检查系统安全策略、安全技术和管理诸多细分点实行衡量检查，找出系统存在的安全性问题及防范措施的工具。
（2）建立安全评估机制：安全评估是对网络安全状态的定期评估，可以检测网络系统未来的发展趋势，并根据分析结果建立切实可行的安全管理体系。
（3）开发安全审计：安全审计是对网络安全个技术和管理状况进行审计，评价安全技术和管理实施情况，找出安全性存在的缺陷，建立及时有效的网络安全防护机制。
信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求网络安全等级保护测评（Information Security Technology Network Security Level Protection Evaluation），简称等保测评，是我国针对信息系统安全的一项重要评估工作。
等保测评旨在通过评估信息系统的安全性，确保信息系统的保密性、完整性和可用性，保护国家信息安全。
等保测评的要求主要包括以下几个方面：1.目标评估：等保测评主要评估网络系统的目标，包括系统的安全目标、保密目标、完整性目标等。
评估的目标要明确、具体，符合法律法规和技术要求。
2.风险评估：测评需对系统面临的风险进行评估，包括外部威胁、内部威胁以及自然灾害等。
针对不同风险应制定不同的安全控制措施，以保证网络系统的安全。
3.安全策略：等保测评要求对信息系统的安全策略进行评估，包括访问控制策略、密码策略、数据备份策略、应急响应策略等。
这些策略需要符合相关标准和规范，并实际有效。
4.安全管理制度：测评要求对安全管理制度进行评估，包括安全管理机构设置、安全策略的制定和执行、安全培训和教育等。
这些制度要健全完善，确保网络系统的安全运行。
5.技术控制：等保测评要求评估系统的技术控制措施，包括网络安全设备配置、网络拓扑结构、系统安全补丁和更新等技术方面的控制措施。
这些措施需要科学合理，满足系统的安全需求。
6.运行维护：等保测评要求评估系统的运行和维护情况，包括系统日志记录和监控、设备维护管理、安全事件的处理等。
这些要求能够保证系统平稳运行和及时应对安全事件。
7.测评报告：等保测评要求评估结果生成测评报告。
测评报告应包含测评方法、测评结果、问题与不足、建议改进等内容，并提供详细的数据和分析，为后续的安全改进工作提供依据。
总之，等保测评要求对信息系统的安全进行全面评估，从目标评估、风险评估、安全策略、安全管理制度、技术控制、运行维护等多个方面进行评估，以确保信息系统达到一定的安全等级，保护国家信息安全。
信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求随着互联网和信息技术的快速发展，网络安全问题也日益突出，对信息安全的保护引起了广泛关注。
为了确保信息系统及网络的安全性，我国于2024年开始推行信息安全技术网络安全等级保护测评制度。
该制度旨在对我国各类信息系统和网络进行评估与分类，为信息系统用户在选择合适的信息系统提供参考。
其次，信息安全技术网络安全等级保护测评要求评测对象能够提供完整、真实和准确的信息。
评测对象应提供有关信息系统和网络的基本信息、软硬件配置、网络拓扑、安全策略和安全防御措施等资料，以便对其进行全面的测评。
评测对象可通过书面报告、流程图、技术文档等方式提供这些信息。
第三，在信息安全技术网络安全等级保护测评中，要求评测机构按照测评计划进行测评工作，并确保测试环境的真实性。
评测机构应编制详细的测评计划，明确测评的目的、范围和方法，并根据实际情况调整计划。
同时，评测机构应搭建真实的测试环境，确保能够模拟恶意攻击和各种安全事件的发生，并对评测结果进行客观和准确的分析。
第四，在信息安全技术网络安全等级保护测评中，要求评测机构对评测结果进行详细的报告和建议。
评测报告应包括评测对象的安全状态、存在的安全隐患、安全事件的发生概率等，同时给出改进建议和措施。
评测机构还应对评测结果进行保密处理，确保测评过程和结果不泄露给非评测参与方。
最后，在信息安全技术网络安全等级保护测评中，要求评测机构对测评工作进行记录和备份，确保测评结果的完整性和可溯性。
评测机构应记录测评过程、操作和结果，以备查证。
评测机构还应将评测结果备份，避免因不可抗力因素导致数据丢失或篡改。
综上所述，信息安全技术网络安全等级保护测评要求包括测评机构具备合法和可信的资质、评测对象提供完整、真实和准确的信息、评测按计划进行并确保测试环境的真实性、评测结果报告和建议、测评工作的记录和备份等。
这些要求旨在确保测评的准确性和可信度，为信息系统用户提供安全可靠的选择参考。
_信息安全技术__网络安全等级保护28448_2019_标准解读_
《信息安全技术网络安全等级保护测评要求》（G B/T28448-2019）标准解读0引言信息系统等级保护系列国家标准在我国推行信息安全工作开展过程中发挥了重要作用，被广泛应用于网络安全职能部门、各行业和领域的网络安全管理部门及等级测评机构开展系统定级、安全建设整改、等级测评、安全自查和安全监督检查等相关工作。
但随着IT技术的飞速发展，特别是在云计算、移动互联、物联网、工业控制和大数据等新技术、新应用环境下，GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》在应用过程中遇到了一些新的问题，在适用性、时效性、易用性、可操作性上需要进一步完善。
2017年6月1日颁布实施的《中华人民共和国网络安全法》也要求各网络安全职能部门、各行业和领域的网络安全管理部门等配合落实国家网络安全等级保护制度，需要同时对GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》和GB/T28448-2012《信息安全技术信息系统安全等级保护测评要求》进行修订。
为适应我国网络安全等级保护工作发展的需要，进一步与新版的GB/T22239-2019相协调，有必要对GB/T28448-2012进行修订。
2014年，公安部第三研究所（公安部信息安全等级保护评估中心）根据国家标准编号制修订计划，牵头组织了对GB/T28448-2012的修订工作，前后共有20多家单位、70多人参与修订工作。
修订工作历经调查研究、草案形成、征求意见稿、送审稿和报批稿等过程，收到了各行业职能部门、用户、专家的宝贵意见。
2019年，《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）国家标准正式实施。
本文分析了GB/T28448-2019发生的主要变化，解读其内容修订和等级测评工作变化等主要内容，以便读者更好地了解和掌握GB/T28448-2019的内容标准主要内容变化0.1标准文本结构变化GB/T28448-2019标准文本分为12章，3个附录。
信息安全技术 网络安全等级测评机构能力要求和评估规范
1范围本标准规定了等级测评机构的术语和定义、能力要求、评估规范。
适用于等级测评机构能力建设、资格评定等活动。
2规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 28449 信息安全技术信息安全等级保护测评过程指南《信息安全等级保护测评机构管理办法》3术语与定义3.1等级测评 Classified Cybersecurity Protection Assessment依据国家网络安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。
3.2等级测评机构 Assessment Organization of Classified Cybersecurity Protection 依据国家网络安全等级保护制度规定，具备《信息安全等级保护测评机构管理办法》规定的基本条件，经能力评估和审核推荐，从事等级测评等信息安全服务的机构。
3.3能力评估 Capability Evaluation依据标准和（或）其他规范性文件，对等级测评机构申请单位的能力进行评审、验证和评价的过程。
3.4评估机构 Capability Evaluation对申请成为测评机构的企事业单位进行能力评估的专业技术机构。
3.5被评估机构 Evaluatee具备《信息安全等级保护测评机构管理办法》中要求的基本条件，准备对其等级测评能力进行评估的企事业单位。
3.6初次评估 First-time Evaluation评估机构依据本规范和相关文件，首次对被评估机构能力进行核查、验证和评价的过程。
3.7期间评估 Continuous Evaluation为已经获得推荐证书的测评机构是否持续地符合能力要求而在证书有效期内安排的定期或不定期的评估、抽查等活动。
3.8能力复评 Capability Review测评机构推荐证书有效期结束前，由评估机构对其实施全面评估以确认其是否持续符合能力要求，为延续到下一个推荐有效期提供依据的活动。
信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求信息安全技术是指为了保护信息系统中的信息不受到未经授权的访问、使用、披露、破坏、修改、干扰或者泄露的行为而采取的技术手段和管理措施。
网络安全等级保护测评是对信息系统网络安全等级保护的有效性进行评估和检测，以保障信息系统的安全性和可靠性。
本文将就信息安全技术网络安全等级保护测评要求进行详细介绍。
首先，网络安全等级保护测评要求包括对信息系统的网络安全等级进行评估和检测。
评估的内容包括信息系统的网络结构、网络设备、网络拓扑、网络接入控制、网络安全设备和网络安全管理等方面。
检测的内容包括网络设备的漏洞扫描、入侵检测、安全审计和安全监控等方面。
通过评估和检测，可以全面了解信息系统的网络安全等级保护情况，及时发现存在的安全隐患和漏洞，为制定安全防护措施提供依据。
其次，网络安全等级保护测评要求包括对信息系统的网络安全防护措施进行评估和检测。
评估的内容包括网络访问控制、网络边界防护、网络安全监控、网络安全事件响应和网络安全管理等方面。
检测的内容包括网络设备的安全配置、安全补丁管理、网络安全设备的性能和稳定性等方面。
通过评估和检测，可以全面了解信息系统的网络安全防护措施的有效性和可靠性，及时发现存在的安全风险和漏洞，为提升网络安全等级保护水平提供依据。
再次，网络安全等级保护测评要求包括对信息系统的网络安全管理进行评估和检测。
评估的内容包括网络安全策略、网络安全规范、网络安全培训、网络安全意识和网络安全文档等方面。
检测的内容包括网络安全管理的执行情况、网络安全管理的效果和网络安全管理的改进等方面。
通过评估和检测，可以全面了解信息系统的网络安全管理的完整性和有效性，及时发现存在的管理漏洞和不足，为加强网络安全管理提供依据。
最后，网络安全等级保护测评要求包括对信息系统的网络安全应急响应进行评估和检测。
评估的内容包括网络安全事件的响应预案、网络安全事件的处置流程、网络安全事件的响应能力和网络安全事件的响应效果等方面。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
《基本要求》 中的不同等级的技术和管理要求实施的，
而《测
评过程指南》则是规定了开展这些测评活动的基本过程，包括过程、任务及产品等，以指导
用户对《测评要求》的正确使用。
茕桢广鳓鯡选块网羈泪。茕桢广鳓鯡选块网羈泪镀。
1.4 标准组成
为了适应移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用
前主要有六个部分：
籟丛妈羥为贍偾蛏练淨。籟丛妈羥为贍偾蛏练淨槠。
2/8
—— GB/T 28448.1-20XX 要求；
信息安全技术网络安全等级保护测评要求第
—— GB/T 28448.2-20XX 信息安全技术网络安全等级保护测评要求第 全扩展要求； 預頌圣鉉儐歲龈讶骅籴。預頌圣鉉儐歲龈讶骅籴買。
位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术
测评报告是其检查内容之一。这就要求等级测评过程规范、测评结论准确、公正及可重现。
残骛楼諍锩瀨濟溆塹籟。残骛楼諍锩瀨濟溆塹籟婭。
《信息安全技术信息系统安全等级保护基本要求》
（ GB/T22239-2008 ）（简称《基本要求》）
系列标准选择安
全控制措施， 随后利用《信息安全技术信息系统安全等级保护实施指南》
（简称“《实施指南》 ”）
或其他相关标准确定其特殊安全需求，
进行等级保护对象的安全规划和建设工作，
此后利用
《信息安全技术网络安全等级保护测评过程指南》
（ GB/T 28449-20XX ）（简称 “《测评过程
指南》 ”）来规范测评过程和各项活动，利用《信息安全技术网络安全等级保护测评要求》
《实施指南》 《基本要求》系列标准
安全建设整改
《实施指南》 其他相关标准
图 1 等级保护标准相互关系
从上图可以看出Biblioteka 在等级保护对象实施安全保护过程中，
首先利用 《信息安全技术信息
系统安全等级保护定级指南》
（ GB/T 22240-2008 ）（简称 “《定级指南》 ”）确定等级保护对
象的安全保护等级， 然后根据 《信息安全技术网络安全等级保护基本要求》
展，该标准在时效性、易用性、可操作性上还需进一步提高，
2013 年公安部第三研究所联
合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对
GB/T
28448-2012 进行修订。 矚慫润厲钐瘗睞枥庑赖。矚慫润厲钐瘗睞枥庑赖賃。
根据全国信息安全标准化技术委员会
2013 年下达的国家标准制修订计划，
—— GB/T 28448.6-20XX 信息安全技术网络安全等级保护测评要求第 全扩展测评要求。 贓熱俣阃歲匱阊邺镓騷。贓熱俣阃歲匱阊邺镓騷鯛。
1 部分：安全通用 2 部分：云计算安 3 部分：移动互联 4 部分：物联网安 5 部分：工控控制 6 部分：大数据安
2 编制过程
1） 2013 年 12 月，公安部第三研究所、中国电子技术标准化研究院和北京神州绿盟科
国家标准《信
息安全技术 信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项
目编号为 2013bzxd-WG5-006 。 聞創沟燴鐺險爱氇谴净。聞創沟燴鐺險爱氇谴净祸。
1.2 制定本标准的目的和意义
《信息安全等级保护管理办法》
（公通字 [2007]43 号）明确指出信息系统运营、使用单
情况下网络安全等级保护测评工作的开展，
需对 GB/T 28448-2012 进行修订， 修订的思路和
方法是针对移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用领
域提出扩展的测评要求。
鹅娅尽損鹌惨歷茏鴛賴。鹅娅尽損鹌惨歷茏鴛賴縈。
对 GB/T 28448-2012 的修订完成后，测评要求标准成为由多个部分组成的系列标准，目
比如无线网络的大量使用，
数
据大集中、 云计算等应用方式的普及等，
需要针对各等级系统应当对抗的安全威胁和应具有
的恢复能力，提出新的各等级的安全保护目标。
彈贸摄尔霁毙攬砖卤庑。彈贸摄尔霁毙攬砖卤庑诒。
作为《基本要求》的姊妹标准，
《测评要求》需要同步修订，依据《基本要求》的更新
内容对应修订相关的单元测评章节。
謀荞抟箧飆鐸怼类蒋薔。謀荞抟箧飆鐸怼类蒋薔點。
此外，《测评要求》还需要吸收近年来的测评实践，更新整体测评方法和测评结论形成
方法。
1/8
1.3 与其他标准的关系
《实施指南》 《测评过程指南》 《测评要求》系列标准
等级测评
《实施指南》 《定级指南》
确定等级保护对 象安全等级
等级保护对象
选择相应的安全 控制措施
1 概述
信息安全技术网络安全等级保护测评要求 第 1 部分：安全通用要求 编制说明
1.1 任务来源
《信息安全技术
信息系统安全等级保护测评要求》于
2012 年成为国家标准，标准号
为 GB/T 28448-2012 ，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估
工作。但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发
—— GB/T 28448.3-20XX 信息安全技术网络安全等级保护测评要求第 安全扩展要求； 渗釤呛俨匀谔鱉调硯錦。渗釤呛俨匀谔鱉调硯錦鋇。
—— GB/T 28448.4-20XX 信息安全技术网络安全等级保护测评要求第 全扩展要求； 铙誅卧泻噦圣骋贶頂廡。铙誅卧泻噦圣骋贶頂廡缝。
—— GB/T 28448.5-20XX 信息安全技术网络安全等级保护测评要求第 安全扩展要求； 擁締凤袜备訊顎轮烂蔷。擁締凤袜备訊顎轮烂蔷報。
和《信息安全技术信息系统安全等级保护测评要求》
（ GB/T28448-2012 ）（简称《测评要求》 ）
等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
酽锕极額閉镇桧猪訣锥。
酽锕极額閉镇桧猪訣锥顧。
伴随着 IT 技术的发展，《基本要求》 中的一些内容需要结合我国信息安全等级保护工作
的特点， 结合信息技术发展尤其是信息安全技术发展的特点，
系列标准来判断安全控制措施的有效性。同时，等级保护整个实施过程又是由《实施指南》
来指导的。 厦礴恳蹒骈時盡继價骚。厦礴恳蹒骈時盡继價骚卺。 在等级保护的相关标准中， 《测评要求》系列标准是《基本要求》系列标准的姊妹篇，
《测评要求》针对《基本要求》中各要求项，提供了具体测评方法、步骤和判断依据等，是
为了确认等级保护对象是否按照