信息系统安全等级保护测评过程及方法 v
等保测评流程全面介绍
等保测评流程全面介绍等保测评流程包括系统定级→系统备案→整改实施→系统测评→运维检查这5大阶段。
一、等级保护测评的依据：依据《信息系统安全等级保护基本要求》“等级保护的实施与管理”中的第十四条：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。
第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。
运营单位确定要开展信息系统等级保护工作后，应按照以下步骤逐步推进工作：1、确定信息系统的个数、每个信息系统的等保级别。
2、对每个目标系统，按照《信息系统定级指南》的要求和标准，分别进行等级保护的定级工作，填写《系统定级报告》、《系统基础信息调研表》(每个系统一套)。
运营单位也可委托具备资质的等保测评机构协助填写上述表格。
3、向属地公安机关部门提交《系统定级报告》和《系统基础信息调研表》，获取《信息系统等级保护定级备案证明》(每个系统一份)，完成系统定级备案阶段工作。
4、依据确定的等级标准，选取等保测评机构，对目标系统开展等级保护测评工作(具体测评流程见第三条)5、完成等级测评工作，获得《信息系统等级保护测评报告》(每个系统一份)后，将《报告》提交相关部门进行备案。
6、结合《测评报告》整体情况，针对报告提出的待整改项，制定本单位下一年度的“等级保护工作计划”，并依照计划推进下一阶段的信息安全工作。
三、等级测评的流程：差距测评阶段又分为以下内容：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动，整改阶段、验收测评阶段。
签订《合同》与《保密协议》首先，被测评单位在选定测评机构后，双方需要先签订《测评服务合同》，合同中对项目范围(哪些系统?)、项目内容(差距测评?验收测评?协助整改?)、项目周期(什么时间进场?项目计划做多长时间?)、项目实施方案(测评工作的步骤)、项目人员(项目实施团队人员)、项目验收标准、付款方式、违约条款等等内容逐一进行约定。
信息安全等级保护测评指南
信息安全等级保护测评指南信息安全等级保护测评是指对信息系统安全等级保护的实施情况进行评估和测试的过程，旨在评估信息系统的安全保护能力，检测信息系统存在的安全隐患，并提出相应的整改建议。
下面是一个信息安全等级保护测评指南，以帮助组织进行有效的测评。
一、测评准备1.明确测评目标和范围：确定测评的具体目标，包括测评的等级保护要求和测评的范围，确保测评的准确性和全面性。
2.组织测评团队：确定测评团队的成员和职责，包括测评组长、技术专家、安全管理人员等，确保测评工作的有效开展。
3.准备测评工具和方法：选择合适的测评工具和方法，包括测评软件、网络扫描工具、物理安全检测设备等，确保测评的可靠性和准确性。
二、测评步骤1.收集信息：收集和了解被测评系统的相关信息，包括系统架构、网络拓扑、数据流程等，以便进行后续的测评工作。
2.风险评估：对系统可能面临的安全风险进行评估和分类，包括内部威胁、外部攻击等，以确定测评的重点和方向。
3.安全策略评估：评估被测评系统的安全策略和安全控制措施的有效性和合规性，包括访问控制、身份认证、加密算法等。
4.物理安全测评：对被测评系统的物理环境进行检测和评估，包括机房的物理访问控制、机柜安装的安全性等，以保证系统的物理安全。
5.网络安全测评：对被测评系统的网络环境进行检测和评估，包括网络设备的配置、网络服务的安全性等，以保证系统的网络安全。
6.系统安全测评：对被测评系统的操作系统和应用软件进行检测和评估，包括漏洞扫描、系统配置审计等，使用合适的工具和方法进行。
7.数据安全测评：对被测评系统的数据存储和传输进行检测和评估，包括数据备份和恢复、数据加密等，以保证系统的数据安全。
8.报告编写：根据测评的结果和发现，编写详细的测评报告，包括测评的过程、发现的问题、风险评估和整改建议等，以提供给被测评方参考。
三、测评注意事项1.保护被测评系统的安全：在进行测评的过程中，要确保不会对被测评系统造成破坏或干扰，要尽可能减少对正常业务的影响。
等保测评的大致流程及每个步骤需要做的工作
等保测评的大致流程及每个步骤需要做的工作等保测评是指信息系统安全等级保护测评，是根据我国《信息安全等级保护管理办法》要求，对信息系统进行评估划分安全等级的过程。
下面将为大家介绍等保测评的大致流程及每个步骤需要做的工作。
一、准备阶段：1.明确测评需求：确定需进行等保测评的信息系统，明确测评的目的和范围。
2.组建测评团队：由具备相关背景知识和经验的专业人员组成测评团队。
3.准备测评工具：选择适合的测评工具，如安全扫描工具、漏洞评估工具等。
二、信息搜集阶段：1.系统架构分析：对待测评的信息系统进行架构分析，了解系统的整体结构和关键组件。
2.详细资料收集：收集相关的系统文档、安全策略、操作手册等资料，以了解系统的功能和安全要求。
三、漏洞评估阶段：1.漏洞扫描：使用相关工具对系统进行漏洞扫描，发现存在的系统漏洞和安全隐患。
2.漏洞分析：对扫描结果进行分析，确认漏洞的严重性和影响范围。
3.漏洞修复：根据漏洞分析结果，制定相应的修复方案，对漏洞进行修复。
四、安全防护评估阶段：1.安全策略评估：检查系统的安全策略设置，包括访问控制、身份鉴别、加密等措施是否符合要求。
2.安全防护措施评估：对系统的安全防护措施进行评估，包括防火墙、入侵检测系统、安全审计等措施的配置和运行情况。
3.安全措施完善：根据评估结果，完善系统的安全防护措施，确保系统的安全性和可靠性。
五、报告编写和汇总阶段：1.撰写测评报告：根据前面的工作结果，综合编写测评报告，包括系统的安全等级划分、发现的漏洞和隐患、修复和完善的措施等内容。
2.报告汇总：将测评报告提交给相关部门或单位，供其参考和决策。
六、报告验证和回访阶段：1.报告验证：由相关部门或单位对测评报告进行验证，确认测评结果的准确性和可信度。
2.回访与追踪：回访与追踪系统的后续改进措施，确保问题的解决和措施的落地实施。
以上就是等保测评的大致流程及每个步骤需要做的工作。
在进行等保测评时，需要根据具体情况进行调整和细化，以确保测评过程的有效性和全面性。
信息系统等级保护测评流程 三级标准
信息系统等级保护测评流程三级标准信息系统等级保护测评流程三级标准1.前言信息系统等级保护测评是评估和验证信息系统在保密性、完整性和可用性方面的安全性能的过程。
在信息时代，保护信息系统的安全性至关重要，可以确保敏感数据的机密性不被泄露、系统的完整性不被破坏，并保证系统的可用性，以满足用户需求。
信息系统等级保护测评流程为信息系统提供了一套科学的、可验证的安全性评估方法和标准。
2.测评流程概览信息系统等级保护测评流程一般包括准备阶段、测评准备、测评实施、测评结果报告及总结几个重要阶段。
其中，测评准备阶段主要是对信息系统进行准备工作，包括确定测评目标、组织人力资源、编制测评计划和设计测评方案等；测评实施阶段则是根据测评方案开展具体的测评活动，包括脆弱性扫描、渗透测试、安全隐患检查等；测评结果报告及总结阶段是对测评结果进行总结和报告，以供决策者参考。
3.三级标准详解在信息系统等级保护测评流程中，三级标准是对信息系统进行评估的基准。
三级标准包括C、B、A三个等级，分别代表了不同的安全性能要求，其中A级要求最高，C级要求最低。
三级标准主要从保密性、完整性和可用性等方面对信息系统进行评估。
3.1 保密性要求保密性是信息系统安全的核心要求之一。
在信息系统等级保护测评中，保密性要求主要是评估信息系统对敏感信息的保护程度。
三级标准中，C级要求信息系统具备基本的敏感信息保护措施，比如访问控制、身份认证等；B级要求信息系统具备中等程度的敏感信息保护措施，比如权限管理、加密传输等；A级要求信息系统具备最高级别的敏感信息保护措施，比如细分权限管理、数据加密等。
3.2 完整性要求完整性是指信息系统数据的完整性和准确性。
在信息系统等级保护测评中，完整性要求主要是评估信息系统数据在传输和存储过程中是否被篡改或丢失。
C级要求信息系统具备基本的完整性保护措施，比如数据备份、日志记录等；B级要求信息系统具备中等程度的完整性保护措施，比如数据验证、完整性校验等；A级要求信息系统具备最高级别的完整性保护措施，比如数字签名、数据完整性检查等。
05信息系统安全等级保护测评过程
主要内容
引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分： 第三部分：方案编制活动 第四部分：现场测评活动 第五部分：分析与报告编制活动
测评过程指南-第三部分
方案编制活动的目标 方案编制活动的工作流程 方案编制活动的主要任务 方案编制活动中双方的职责
测评过程指南-第三部分
方案编制活动的目标：
等级测评风险
1、验证测试可能影响系统正常运行 2、工具测试可能影响系统正常运行 3、敏感信息泄漏
等级测评过程
等级测评过程分为四个基本测评活动：测评准 备活动、方案编制活动、现场测评活动、分析 及报告编制活动。
等级测评过程
测评准备活动 主要任务是掌握被测系统的详细情况，准备 测试工具，为编制测评方案做好准备。
等级测评过程
方案编制活动 主要任务是确定与被测信息系统相适应的 测评对象、测评指标及测评内容等，并根 据需要重用或开发测评实施手册，形成测 评方案。
等级测评过程
现场测评活动 本活动的主要任务是按照测评方案的总体要 求，严格执行测评实施手册，分步实施所有 测评项目，包括单元测评和整体测评两个方 面，以了解系统的真实保护情况，获取足够 证据，发现系统存在的安全问题。
主要内容
引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分：方案编制活动 第四部分：现场测评活动 第五部分： 第五部分：分析与报告编制活动
分析与报告编制活动
分析与报告编制活动的工作流程 分析与报告编制活动的主要任务 分析与报告编制活动的输出文档 分析与报告编制活动中双方的职责
分析与报告编制活动的工作流程
测评委托单位职责：
对测评方案进行认可，并签字确认。
主要内容
引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分：方案编制活动 第四部分： 第四部分：现场测评活动 第五部分：分析与报告编制活动
等级保护测评-完全过程(非常全面)
信息系统终止
2021/10/10
7
信息系统全生命周期分为“信息系统定级、总体安全规划、安全设计与 实施、安全运行维护、信息系统终止”等五个阶段。
信息系统定级 定级备案是信息安全等级保护的首要环节。信息系统定级工作应按照“自主定级、专家评审、主管部门审批、
公安机关审核”的原则进行。在等级保护工作中，信息系统运营使用单位和主管部门按照“谁主管谁负责， 谁运营谁负责”的原则开展工作，并接受信息安全监管部门对开展等级保护工作的监管。 总体安全规划 总体安全规划阶段的目标是根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况，通过分 析明确信息系统安全需求，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划，以指 导后续的信息系统安全建设工程实施。对于已运营（运行）的信息系统，需求分析应当首先分析判断信息系 统的安全保护现状与等级保护要求之间的差距。 安全设计与实施 安全设计与实施阶段的目标是按照信息系统安全总体方案的要求，结合信息系统安全建设项目计划，分期分步 落实安全措施 安全运行维护 安全运行与维护是等级保护实施过程中确保信息系统正常运行的必要环节，涉及的内容较多，包括安全运行与 维护机构和安全运行与维护机制的建立，环境、资产、设备、介质的管理，网络、系统的管理，密码、密钥 的管理，运行、变更的管理，安全状态监控和安全事件处置，安全审计和安全检查等内容。本标准并不对上 述所有的管理过程进行描述，希望全面了解和控制安全运行与维护阶段各类过程的本标准使用者可以参见其 它标准或指南 信息系统终止 信息系统终止阶段是等级保护实施过程中的最后环节。当信息系统被转移、终止或废弃时，正确处理系统内的 敏感信息对于确保机构信息资产的安全是至关重要的。在信息系统生命周期中，有些系统并不是真正意义上 2021/1的0/废10弃，而是改进技术或转变业务到新的信息系统，对于这些信息系统在终止处理过程中应确保信息转移8 、 设备迁移和介质销毁等方面的安全
信息系统安全等级保护测评过程的指南
信息安全技术信息系统安全等级保护测评过程指南引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T22240-2008信息安全技术信息系统安全等级保护定级指南；——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求；——GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南；——GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求。
信息安全技术信息系统安全等级保护测评过程指南1范围本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。
2规范性引用文件下列文件中的条款通过在本标准中的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240-2008信息安全技术信息系统安全等级保护定级指南GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字[2007]43号）3术语和定义GB/T5271.8、GB17859-1999、GB/TCCCC-CCCC和GB/TDDDD-DDDD确立的以及下列的术语和定义适用于本标准。
等级保护测评-完全过程(非常全面)
G:通用安全保护类要求。--技术类中 的安全审计、管理制度等
等级保护测评指标
技术/ 管理
安全类
测评指标 安全子类数量
S类 S类 A类 A类 G类 G类 F类 F类 (2级) (3级) (2级) (3级) (2级) (3级) (2级) (3级)
组合分析
4、对处理特定应用的信息系统（查阅定级指南，哪些应用系统定级） 作为定级对象的信息系统应具有如下基本特征： 具有唯一确定的安全责任单位。 作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某
个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责 任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应 是这些下级单位共同所属的单位； 具有信息系统的基本要素。 作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和 规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象； 承载单一或相对独立的业务应用。 定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他 业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要 业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网 络传输设备。
等级保护完全实施过程
信息系统定级
等
安全总体规划
级
变
更
安全设计与实施
局 部 调
整 安全运行维护
04信息系统安全等级保护测评过程
教育部教湖育北管理教信育息信中心息信化息发安全展测中评心部
等级测评的方法
❖访谈：
测评人员与被测系统有关人员（个体/群体）进行交流、讨 论等活动，获取相关证据，了解有关信息。
❖访谈对象：
▪ 安全主管 ▪ 系统建设负责人 ▪ 人事负责人 ▪ 系统运维负责人 ▪ 物理安全负责人 ▪ 系统管理员、网络管理员、安全管理员、机房值班人员、
等级测评过程
➢分析与报告编制活动
主要任务是根据现场测评结果，通过单项测评 结果判定、单元测评结果判定、整体测评和风 险分析等方法，找出整个系统的安全保护现状 与相应等级的保护要求之间的差距，并分析这 些差距导致被测系统面临的风险，从而给出等 级测评结论，形成测评报告文本。
教育部教湖育北管理教信育息信中心息信化息发安全展测中评心部
教育部教湖育北管理教信育息信中心息信化息发安全展测中评心部
等级测评过程
➢现场测评活动
本活动的主要任务是按照测评方案的总体要求 ，严格执行测评实施手册，分步实施所有测评 项目，包括单元测评和整体测评两个方面，以 了解系统的真实保护情况，获取足够证据，发 现系统存在的安全问题。
教育部教湖育北管理教信育息信中心息信化息发安全展测中评心部
等级测评的方法
• 配置检查 ：
– 利用上机验证的方式检查应用系统、主机系统数据库系统以及网 络设备，是否与文档、相关设备和部件保持一致，对文档审核的 内容进行核实。
– 在配置检查过程中，委托方需指派专业技术人员配合工作，核查 上机操作步骤，并由委托方指派的专业技术人员上机操作，测评 机构对操作结果进行记录。
教育部教湖育北管理教信育息信中心息化息发安全展测中评心部
保守在测评活动中知悉的国家秘密、商业秘密 和个人隐私，防范测评风险；
信息安全等级保护测评流程
信息安全等级保护测评流程信息安全等级保护测评（简称等保测评）是指根据信息安全等级保护的要求，对信息系统进行评估，评价其安全性等级的过程。
等保测评的目的是为了验证信息系统的安全等级是否符合相关规定，以确保信息系统在运行中能够有效保护信息资源的安全性。
下面将详细介绍信息安全等级保护测评的流程。
1.准备阶段：在等保测评开始之前，需要进行准备工作。
首先，制定测评计划，明确测评的目标、范围和测评方法。
其次，确定测评的等级，根据国家标准和相关政策要求，确定评估的等级标准。
然后，组织测评团队，由具备相关专业知识和经验的人员组成，负责测评工作的实施。
最后，收集相关资料，包括信息系统的安全策略、安全方案、技术文档等。
2.系统调查阶段：在系统调查阶段，测评团队根据测评计划，对信息系统进行调查和分析。
首先，了解信息系统的组成，包括硬件设备、软件应用、网络结构等。
然后，分析信息系统的安全策略和安全方案，评估其与等保要求的符合程度。
同时，对信息系统的网络拓扑、数据流转、权限控制等方面进行分析，确定其潜在的安全风险。
3.安全漏洞评估阶段：在安全漏洞评估阶段，测评团队通过安全扫描、漏洞分析等方式，主要针对信息系统的网络设备、操作系统、数据库等进行漏洞的发现和分析。
通过对漏洞的评估，确定其对信息系统的安全性造成的影响和潜在威胁。
同时，对已有的安全措施进行评估，如防火墙、入侵检测系统等，评估其有效性和可靠性。
4.安全性能评估阶段：在安全性能评估阶段，测评团队通过性能测试、压力测试等方式，评估信息系统对抗各种攻击的能力和性能。
通过这些测试，可以评估信息系统的可靠性、可用性和可扩展性，判断其在面对安全威胁时的应对能力。
5.安全等级评估阶段：在安全等级评估阶段，根据国家标准和相关政策要求，对信息系统的安全等级进行评估。
根据各个安全要素的得分，综合判断信息系统的安全等级，并给出评估结论。
6.编写测评报告：在完成测评工作后，测评团队需要编写测评报告。
信息系统安全等级保护定级--备案--测评流程
信息系统安全等级保护法规与依据在信息系统安全等级保护定级备案、信息系统安全等级保护测评等方面测评依据如下：1、《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）2、《信息安全等级保护管理办法》（公通字[2007]43号）3、GB/T 17859-1999《计算机信息系统安全保护等级划分准则》4、GB/T 20274《信息安全技术信息系统安全保障评估框架》5、GB/T 22081-2008《信息技术安全技术信息安全管理实用规则》6、GB/T 20271-2006《信息系统通用安全技术要求》7、GB/T 18336-2008《信息技术安全技术信息技术安全性评估准则》8、GB 17859-1999《计算机信息系统安全保护等级划分准则》9、GB/T 22239-2008《信息安全技术信息系统安全等级保护基本要求》10、GB/T 22240-2008《信息安全技术信息系统安全等级保护定级指南》11、《信息安全技术信息系统安全等级保护测评要求》12、《信息安全技术信息系统安全等级保护实施指南》13、《信息安全等级保护管理办法》信息系统安全等级保护定级备案流程1、定级原理信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。
等保测评的大致流程及每个步骤需要做的工作
等保测评流程及工作步骤1. 等保测评概述等保测评是指对信息系统的安全性能进行评估和测试，以验证其是否符合国家等级保护要求。
其目的是为了确保信息系统在设计、建设、运维和使用过程中的安全可控性，提高信息系统的安全性。
2. 等保测评流程等保测评通常包括以下几个阶段：阶段一：准备工作•确定等级保护要求：根据国家相关标准，确定需要进行的等级保护。
•制定测试计划：根据等级保护要求，制定详细的测试计划，包括测试范围、方法和时间安排。
•组织测试团队：确定测试团队成员，并明确各自职责和任务。
阶段二：资料收集与分析•收集资料：收集与被测系统相关的设计文档、实施方案、操作手册等相关资料。
•分析资料：仔细阅读并分析所收集到的资料，了解被测系统的架构、功能和安全控制措施。
阶段三：风险评估与分类•风险评估：根据资料分析的结果，对被测系统的安全风险进行评估，确定可能存在的安全隐患和威胁。
•风险分类：将评估结果按照一定的标准进行分类，确定不同风险等级。
阶段四：测试方案制定•制定测试方案：根据风险分类和等级保护要求，制定详细的测试方案，包括测试方法、测试环境和测试工具等。
•确定测试目标：根据风险分类和等级保护要求，明确每个测试项目的具体目标和要求。
阶段五：测试执行与数据收集•执行测试方案：按照制定的测试方案进行相应的安全性能评估和功能性验证。
•收集数据：记录每个测试项目的执行结果、发现的问题及解决情况，并整理成相应的报告。
阶段六：问题分析与整改•问题分析：对收集到的数据进行分析，找出存在的安全隐患和威胁，并确定其影响范围和严重程度。
•整改措施：针对发现的问题，提出相应的整改措施，并制定整改计划。
阶段七：测试报告编写与评审•编写测试报告：根据测试执行和问题分析的结果，编写详细的测试报告，包括测试概况、问题总结、整改计划等内容。
•评审测试报告：组织相关人员对测试报告进行评审，确保其准确完整。
阶段八：等保测评总结与复审•测评总结：对整个等保测评过程进行总结和回顾，提出改进意见和建议。
信息系统安全保护等级测评
信息系统安全保护等级测评是对信息系统安全等级保护状况进行检测评估的活动。
根据《信息安全等级保护管理办法》，信息系统安全等级测评工作一般包括以下步骤：
1. 系统定级：根据业务、资产、安全技术和安全管理进行调研，确定定级系统，准备定级报告，提供协助定级服务，辅助用户完成定级报告，组织专家评审。
2. 系统备案：持定级报告和备案表到所在地公安网监进行系统备案。
3. 建设整改：参照定级要求和标准，对信息系统整改加固，建设安全管理体系。
4. 等级测评：测评机构对信息系统等级测评，形成测评报告。
5. 合规监督检查：向所在地公安网监提交测评报告，公安机关监督检查进行等级保护工作。
在等级测评过程中，一般采用5个方式，循序渐进地进行测试流程。
具体包括：1. 系统定级：对业务、资产、安全技术和安全管理进行调研，确定定级系统，准备定级报告，提供协助定级服务，辅助用户完成定级报告，组织专家评审。
2. 系统备案：持定级报告和备案表到所在地公安网监进行系统备案。
3. 建设整改：参照定级要求和标准，对信息系统整改加固，建设安全管理体系。
4. 等级测评：测评机构对信息系统等级测评，形成测评报告。
5. 合规监督检查：向所在地公安网监提交测评报告，公安机关监督检查进行等级保护工作。
总之，信息系统安全保护等级测评是保障信息系统安全的重要手段之一，通过定期的测评和整改加固可以确保信息系统的安全性和稳定性。
等保测评的大致流程及每个步骤需要做的工作
等保测评的大致流程及每个步骤需要做的工作等保测评的大致流程及每个步骤需要做的工作一、引言等保测评（Information Security Grading Evaluation）是指对信息系统的安全性进行评估，以保护信息系统中的重要信息和数据资源免受威胁和攻击。
在当今信息化的环境下，保护信息系统的安全已成为各组织和企业的重要任务。
本文将介绍等保测评的大致流程及每个步骤需要做的工作，帮助读者更好地理解该过程。
二、等保测评的流程等保测评一般分为以下几个步骤，每个步骤都有其具体的工作内容和目标。
1. 初步准备初步准备阶段是等保测评的开端，其目标是明确测评项目和测评目标，并组织相应的资源进行实施。
在这一阶段，需要进行以下工作：- 确认测评项目和目标：明确需要进行测评的信息系统、网络或应用，并确定测评的目标和范围。
- 组织团队和资源：配置专业团队来进行测评工作，并提供所需的硬件、软件以及其他必要的工具和设备。
2. 资产分级资产分级是等保测评的核心步骤之一，通过对信息系统中各项资源进行分类和分级，明确其重要性和敏感性。
在这一阶段，需要完成以下任务：- 确定资产范围：明确需要分级的信息资源，包括硬件、软件、数据及通信设施等。
- 进行风险评估：对各项资产进行风险分析和评估，确定其所面临的安全风险和可能的威胁，并给出相应的分级建议。
- 制定分级计划：根据资产的重要程度和敏感性，确定相应的分级标准和级别，并进行记录和备查。
3. 安全需求分析安全需求分析是确定信息系统安全需求的过程，旨在为信息系统提供必要的安全保障。
在这一阶段，需要进行以下工作：- 收集需求信息：与相关部门和人员沟通，了解其对信息系统安全的需求和期望。
- 分析需求信息：对收集到的需求信息进行整理和分析，明确各项安全措施的要求和关联性。
- 制定安全需求：依据需求分析的结果，制定出符合实际情况和要求的安全需求文档。
4. 安全控制实施与测试安全控制实施与测试是对信息系统进行安全加固和检测的过程，以确保系统在面对外部威胁时能够有效防御。
信息安全等级保护测评流程介绍
信息安全等级保护测评流程介绍一、等级保护测评的依据：依据《信息系统安全等级保护基本要求》（公通字[2007]43号)》“等级保护的实施与管理”中的第十四条：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。
第一级：用户自主保护级，目前1.0版本不需要去备案（提交材料公安部也会给备案证明），等保2.0是需要备案的；第二级：系统审计保护级，二级信息系统为自主检查或上级主管部门进行检查，建议时间为每两年检查一次；第三级：安全标记保护级，三级信息系统应当每年至少进行一次等级测评；第四级：结构化保护级，四级信息系统应当每半年至少进行一次等级测评；第五级：访问验证保护级，五级信息系统应当依据特殊安全需求进行等级测评。
二、等级保护工作的步骤运营单位确定要开展信息系统等级保护工作后，应按照以下步骤逐步推进工作：1、确定信息系统的个数、每个信息系统的等保级别、信息系统的资产数量（主机、网络设备、安全设备等）、机房的模式（自建、云平台、托管等）等。
2、对每个目标系统，按照《信息系统定级指南》的要求和标准，分别进行等级保护的定级工作，填写《系统定级报告》、《系统基础信息调研表》（每个系统一套）。
运营单位也可委托具备资质的等保测评机构协助填写上述表格。
3、对所定级的系统进行专家评审（二级系统也需要专家评审）。
4、向属地公安机关网监部门提交《系统定级报告》、《系统基础信息调研表》和信息系统其它欣系统定级备案证明材料，获取《信息系统等级保护定级备案证明》（每个系统一份），完成系统定级备案阶段工作。
5、依据确定的等级标准，选取等保测评机构，对目标系统开展等级保护测评工作（具体测评流程见第三条）。
6、完成等级测评工作，获得《信息系统等级保护测评报告》（每个系统一份）后，将《测评报告》提交网监部门进行备案。
信息安全等级评估的方法和流程 (4)
信息安全等级评估的方法和流程信息安全等级评估的方法和流程信息安全等级评估是衡量一个组织信息安全状况的重要环节，通过对信息的保密性、完整性、可用性、可靠性、安全性、合规性以及技术安全性和人员培训等方面的评估，可以了解组织的信息安全状况，并发现存在的安全隐患，提出改进建议，以提高组织的信息安全水平。
一、确定测评对象首先需要确定要进行评估的对象，例如组织的信息系统或应用程序等。
在确定测评对象时，需要考虑对象的性质、用途、涉及的敏感信息等情况，以确保评估的针对性和有效性。
二、选取测评指标针对确定好的测评对象，需要选取相应的测评指标，以衡量其信息安全等级。
测评指标应该根据相关法律法规、标准和企业实际情况进行选取，并综合考虑信息的保密性、完整性、可用性、可靠性、安全性、合规性等方面。
三、选取测评方法根据选取的测评指标，需要选择合适的测评方法，以进行实际的评估。
常见的测评方法包括：1.漏洞扫描：通过扫描工具对网络和系统进行漏洞扫描，发现存在的安全漏洞。
2.渗透测试：通过模拟黑客攻击的方式，对网络和系统进行渗透测试，以发现潜在的安全隐患。
3.代码审计：对应用程序的源代码进行审计，以发现可能存在的安全漏洞和错误。
4.配置检查：对网络和系统的配置进行核查，以确认是否存在不当的配置或默认配置导致的安全问题。
5.人员访谈：对相关人员进行访谈，了解组织的信息安全管理制度、培训等情况。
6.文档审查：对组织的信息安全管理制度、流程等相关文档进行审查，以了解组织的信息安全管理体系情况。
7.审计报告：通过对信息安全审计报告进行分析，了解组织的信息安全状况。
四、执行测评在选取好测评方法和测评指标后，可以开始执行测评工作。
在执行测评时，需要注意以下几点：1.按照所选的测评方法进行实际操作。
2.对测评结果进行记录和分析，以便后续评估和分析。
3.对于发现的潜在安全隐患，需要及时向相关人员进行报告和反馈。
4.在执行测评时，需要注意测评的全面性和针对性，确保不漏过任何一个可能存在的安全隐患。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
-8-
了解现状 明确整改
等保
国家要求 行业要求
9
②等级测评
等级测评是指，测评机构依据国家信息安全 等级保护制度规定，按照有关管理规范和技术标 准，对非涉及国家秘密信息系统安全等级保护状 况迚行检测评估的活劢。
测评对象包括
商业现货业务应用系统 委托第三方定制开发业务应用系统
38
单元测评－数据层面
数据层面构成组件主要包括信息系统安全功能数据和用户 数据。对亍传输和处理过程中的数据，一般有机密性和完 整性的安全要求，而对亍存储中的数据，还需要有备仹恢 复的安全要求。
测评对象：
应用系统 数据库管理系统 特定的数据安全系统
功能/性能测试、渗透测试等 测试对象包括机制和设备等 测试一般需要借劣特定工具
扫描检测工具 攻击工具 渗透工具
29
测试
适用情况：
对技术要求，‘测试’的目的是验证信息系统 当前的、具体的安全机制或运行的有敁性或安 全强度。
对管理要求，一般丌采用测试技术。
30
测评力度：评估投入 vs 信仸
6
公安部/发改委
关亍加强国家电子政务工程建设项目信息 安全风险评估工作的通知（发改高技[2008] 2071号）：项目建设单位向审批部门提出项目
竣工验收申请时，应提交非涉密信息系统安全 保护等级备案证明，以及相应的安全等级测评 报告和信息安全风险评估报告等。
-7-
公安部/国资委
关亍迚一步推迚中央企业信息安全等级保护工作 的通知（公通字[2010]70号）：各企业要根据企业特
45
过程指南框架
主体由9个章节5个附彔构成
1.范围 2.规范性引用文件 3.术诧和定义 4.符号和缩略诧 5.等级测评概述 6.测评准备活劢 7.方案编制活劢
8.现场测评活劢 9.报告编制活劢 附彔A 等级测评工作流程 附彔B 测评对象确定准则和样例 附彔C 等级测评工作要求 附彔D 测评方案不测评报告编制示例 附彔E 信息系统基本情况调查表模板
... ...
5.1.1.1 物理访问控制 5.1.1.1.1 测评指标
单元测评描述
5.1.1.1.2 测评实施
5.1.1.1.3 结果判定
5.2 安全管理测评
...
6 第二级信息系统单元测评 7 第三级信息系统单元测评 8 第四级信息系统单元测评 9 第五级信息系统单元测评 10 信息系统整体测评 11 等级测评结论 附录A 附录B
11
测评机构
是指具备本规范的基本条件，经能力评估和审核，由 省级以上信息安全等级保护工作协调（领导）小组办 公室（以下简称为“等保办”）推荐，从事等级测评 工作的机构。
机构职责
省级以上等保办审核 评估中心：技术培训/能力评估 省级以上等保办推荐
12
测评机构
可以从事：等级测评活动以及信息系统安全等级保护定级、安
10
等测特点
执行主体：符合条件的测评机构 执行的强制性：管理办法强制周期性执行 执行对象：已绊定级的信息系统 测评依据：依据《基本要求》 测评内容：单元测评（技术和管理）和整体测评 测评付出：丌同级别的测评力度丌同 测评方式：访谈、检查和测试 服务对象：主管部门，运维、使用单位，信息安全监管部门 判定准则：满足业务需求
15
16
实例
测评指标：
5.1.2.3 网络设备防护 5.51..12..23..32.3测a)结评应果实对判施登定彔网络设备的用户迚行身仹鉴别；
如a果) 5.应1.访2b.)3谈.应2网具b络）有管-登d理）彔员均失，为败询肯处问定理关，功键则能网信，络息可设系采备统取的符结防合束护本会措单话施元、有测限哪评制些指非；标询 要求，问理否关的则键设，法网备信登络是息彔设 否系次备 采统数的 取丌和登 措符当彔 施合网和 防本络验 止单登证 鉴元彔方 别测连式 信评接做 息指超过 泄标时何 漏要自种 ；求劢配。退置出；等询措问施进；程管
信息安全等级保护培训
信息系统安全等级保护 测评过程及方法
公安部信息安全等级保护评估中心
1
内容目彔
1. 等级测评概述 2. 相关标准及基本概念 3. 测评实施工作流程 4. 测评实施主要内容 5. 等级测评工作要求
2
几个问题
为什么需要对信息系统迚行测评？ 为什么需要等级测评？ 什么是“等级测评” ？ 如何开展等级测评？
35
单元测评－网络层面
网络层面构成组件负责支撑信息系统迚行网络互联，为 信息系统各个构成组件迚行安全通信传输，一般包括网 络设备、连接线路以及它们构成的网络拓扑等。
测评对象：
网络互联设备 网络安全设备 网络管理平台 相应设计/验收文档，设备的运行日志等
36
单元测评－系统层面
系统层面主要是指主机系统，构成组件有服务器、终端 /工作站等计算机设备，包括他们的操作系统、数据库 系统及其相关环境等
《定级指南》 《基本要求》 《测评过程指南》
20
不其他标准的关系 《基本要求》
身份鉴别信息应具有不易被冒用的特 点。。。
口令：字母数字混合，长度
21
测评方法
方法种类
访谈、检查、测试
目的
理解、澄清或取得证据的过程
适用对象
3-22
访谈
访谈的对象是人员。 典型的访谈人员包括信息安全主管、信息
系统安全管理员、系统管理员、网络管理 员、资产管理员等。 工具：管理核查表（checklist）
有目的的（有针对性的）
23
访谈
适用情况：
对技术要求，使用‘访谈’方法迚行测评的目的是为了了
解信息系统的全局性(包括局部，但丌是细节)、方向/策 略性和过程性信息，一般丌涉及到具体的实现细节和具体 技术措施。
13
内容目彔
1. 等级测评概述 2. 相关标准及基本概念 3. 测评实施工作流程 4. 测评实施主要内容 5. 等级测评工作要求
14
信息系统安全 等级保护测评要求
1 范围
2 规范性引用文件
3 术语和定Байду номын сангаас 4 概述
等级
5 第一级信息系统单元测评
5.1 安全技术测评
5.1.1 物理安全
技术/管理 安全分类 安全控制点（子类）
操作系统, 如Windows / Linux系列 / 类UNIX系列 / IBM Z/os
/Unisys MCP等
数据库管理系统，如DB2 / Oracle / Sybase / MS SQL Server
等
中间件平台，如Weblogic / Tuxedo / Websphere等
37
单元测评－应用系统
对管理要求，获取证据
24
检查
访谈 检查
是指测评人员通过对测评对象（如制度文档、各类设备、 安全配置等）迚行观察、查验、分析以帮劣测评人员理 解、澄清或取得证据的过程。
测试
25
检查对象
检查对象包括：
文档、各类设备、安全配置、机房、存储 介质等。
主要工具：
核查表
26
检查
适用情况：
二者共同指导等级测评工作。
48
《测评过程指南》目彔
目彔说明
一级目彔 二级目彔 三级目彔
×××活劢
×××活劢的工作流程 ×××活劢的主要仸务 ×××活劢的输出文档 ×××活劢中双方的职责
×××（仸务名称）
四级目彔
×××
具体内容
具体仸务描述
49
主要章节的描述结构
过程
活劢 仸务
仸务项
—等级测评过程
层面间
主要考虑同一区域内的丌同层面乊间存在的功 能增强、补充和削弱等关联作用。
物理层面网络层面
物理访问控制/网络设备防护
物理层面和应用层面
物理访问控制/身仹鉴别不访问控制
44
区域间
主要考虑互连互通的丌同区域乊间，重点分 析系统中访问控制路径（如丌同功能区域间 的数据流流向和控制方式），是否存在区域 间安全功能的相互补充。
对技术要求，‘检查’的内容应该是具体的、较 为详细的机制配置和运行实现 。
对管理要求，‘检查’方法主要用亍规范性要求 （检查文档）。
27
测试
访谈 检查 测试
是指测评人员使用预定的方法/工具使测评对象（各 类设备或安全配置）产生特定的结果，将运行结果 不预期的结果迚行比对的过程。
28
测试
全建设整改、信息安全等级保护宣传教育等工作的技术支持。
不得从事下列活动：
（二）泄露知悉的被测评单位及被测评信息系统的国家秘密和 工作秘密；
（三）故意隐瞒测评过程中发现的安全问题，或者在测评过程 中弄虚作假，未如实出具等级测评报告；
（四）未按规定格式出具等级测评报告； （七）信息安全产品开发、销售和信息系统安全集成；
b)应检c查) 边当界对和网关络键设网备络迚设行备进，程查管看理是时否，配应置采了取对必登要彔措用施户防迚止行身 仹 c)应鉴检别查的边功鉴界能别和；信关息键在网网络络设传备输，过查程看中是被否窃配听置。了鉴别失败处理功能； d)应检查边界和关键网络设备，查看是否配置了对设备进程管理所 产生的鉴别信息迚行保护的功能。
17
《测评要求》的作用
明确测评内容
单元和整体
丌同等级单元测评
测评指标，测评实施（方法、步骤）和判定
整体测评
安全控制间、层面间、区域间
测评结论
2-18
目标用户
等级测评机构 信息系统的主管部门及运营、使用单位 信息安全服务机构 信息安全监管职能部门
19
不其他标准的关系 承上吭下