等保测评项目启动会材料
等级保护测评-完全全面过程PPT课件
.
6
等级保护完全实施过程
信息系统定级
等
安全总体规划
级
变
更
安全设计与实施
局 部 调
整 安全运行维护
安全等级整改
安全整改设计
安全要求整改
等级符合性检查 应急预案及演练
安全等级测评 信息系统备案
信息系统终止
.
7
信息系统全生命周期分为“信息系统定级、总体安全规划、安全设计与 实施、安全运行维护、信息系统终止”等五个阶段。
• 调研访谈：温、湿度自动调节设施，专人负责； • 现场查看：温湿度控制设计/验收文档，温湿度记录、运行记录和维护记录。
• 调研访谈：部署稳压器和过电压防护设备，UPS和市电冗余； • 现场查看：电源设备的检查和维护记录，备用供电系统运行记录，市电切换记录。
• 调研访谈：安全接地，关键设备和磁介质实施电磁屏蔽；
查看资料（管理制度、安全策略）；
现场观察（物理环境、物理部署）；
查看配置（主机、网络、安全设备）；
技术测试（漏洞扫描）；
评价（安全测评、符合性评价）。
.
4
组合分析
4、对处理特定应用的信息系统（查阅定级指南，哪些应用系统定级） 作为定级对象的信息系统应具有如下基本特征： 具有唯一确定的安全责任单位。 作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某
建筑防雷、机房接地 灭火设备、自动报警 防水设备、防水应急预案或措施 关键设备和地板防静电
设备防雷 自动消防系统
上下水管 接地防干扰
扫描报告 基础培训PPT
风险与差距分析
体系规划与建立
控制风险分析
信息安全 愿景制定
管理体系
信息安全总体 框架设计
XX县中医医院等保测评项目比选采购文件【模板】
比选采购文件采购项目：XX县中医医院等保测评项目采购单位：XX县中医医院二。
一九年八月三十日第一部分比选采购邀请函因信息化建设需要,须按规定开展信息系统等保测评工作，XX市XX 县中医医院按照〃自主定级、自主保护〃的原则，将〃HIS系统〃自定为三级，现诚邀第三方专业机构开展三级等保测评、定级备案工作，预算金额为人民币8.5万元。
根据《四川省2018-2019年政府集中采购目录及采购限额标准》相关要求，我院本次实施的〃信息系统等保测评项目〃不在政府集中采购目录内，且项目预算金额低于限额标准，因此拟对该项目以比选方式（竞争性谈判）确认成交投标人，现诚邀各合格的潜在投标人参加。
一、采购项目：XX县中医医院等保测评项目二、投标人资质要求：1.具有独立法人资格2.营业执照、组织机构代码证、税务登记证资质证件（已经实行三证合一的企业，提供合并后的营业执照）有效且合法3有承担此项服务的技术能力和保证售后服务的能力4.在四川省信息安全等级保护工作领导小组办公室推荐测评机构名单内，具备《网络安全等级保护测评机构推荐证书》三、递交报价文件截止时间：2019年9月6日上午9时。
四、比选开标时间和地点：2019年9月6日上午9时，在XX市XX县中医医院门诊九楼。
联系人:王先生联系电话：********第二部分投标人需知一、比选采购报价报价应包括等保测评、定级备案、各种税金、保险费、利润等开展本项目所需的全部费用，投标人应充分考虑项目实施过程中可能发生的一切风险，无论报价过程中的做法和结果如何，投标人将自行承担所有与报价有关的全部费用。
二、报价文件的组成1.报价函2.法定人代表授权委托书（原件）3投标人资料证明文件（提供营业执照、组织机构代码证、税务登记证复印件；已经实行三证合一的企业，提供合并后的营业执照复印件）4.分项报价表5.售后服务承诺6.近三年（2016年至今主要类似业绩）投标人必须将报价文件打印，并将所有报价的书面材料装订成册提供正付本两套。
等保系列之——网络安全等级保护测评工作流程及工作内容
等保系列之——网络安全等级保护测评工作流程及工作内容一、网络安全等级保护测评过程概述网络安全等级保护测评工作过程包括四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动。
而测评相关方之间的沟通与洽谈应贯穿整个测评过程。
每一项活动有一定的工作任务。
如下表。
01基本工作流程①测评准备活动本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。
测评准备工作是否充分直接关系到后续工作能否顺利开展。
本活动的主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。
②方案编制活动本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。
本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。
③现场测评活动本活动是开展等级测评工作的核心活动。
本活动的主要任务是按照测评方案的总体要求，严格执行测评指导书测评指导书，分步实施所有测评项目，包括单元测评和整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。
④分析与报告编制活动本活动是给出等级测评工作结果的活动，是总结被测系统整体安全保护能力的综合评价活动。
本活动的主要任务是根据现场测评结果和《信息安全技术网络安全等级保护测评要求》GB/T28448-2023的有关要求，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。
02工作方法网络安全等级保护测评主要工作方法包括访谈、文档审查、配置检查、工具测试和实地察看。
访谈是指测评人员与被测系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。
访谈的对象是人员，访谈涉及的技术安全和管理安全测评的测评结果，要提供记录或录音。
14-等级保护测评项目实施过程讲解
人工访谈，配置检查，文档查看
现场测评-网络安全测评举例
例：ቤተ መጻሕፍቲ ባይዱ
“系统内有专门用于 审计的日志服务器” （人工访谈）
测评项内容：应对网络系统中 的网络设备运行状况、网络流 量、用户行为等进行日志记录 测评项内容：应对登录网络设 备的用户进行身份鉴别；
（配置检查） 测评项内容：具有层次网络结 构的单位可统一提供互联网出 口； 记录结论
15
测评须知-测评风险
验证测试可能影响系统正常运行！
工具测试可能影响系统正常运行！ 敏感信息可能泄露！
等级保护测评项目
16
方案编制
等级保护测评工作流程
测评准备
测 评 对 象 的 确 定 工 具 和 表 单 准 备 测 评 指 标 确 定 测 评 工 具 接 入 点 确 定 测 评 内 容 确 定 测 评 指 导 书 开 发 测 评 方 案 编 制
38
目录
测评须知 测评准备
方案编制
现场测评
分析与编制报告
39
分析与编制报告
工作内容
对前期测评工作成果进行分析，评论，
以及建议。
目标
正式输出：《等级保护测评报告》
40
等级保护测评报告-文档结构
在测评准备阶段，输出项目计划书
在方案编制阶段，输出测评方案 在现场测评阶段，根据测评内容，确定测评
4.使用的技术装备、设施应当符合《信息安全等级保护管理办法》
（公通字[2007]43号）对信息安全产品的要求。 5.具备相应的安全管理制度。 6.对国家安全、社会秩序、公共利益不构成威胁。
14
测评须知-执行主体义务
1.遵守国家有关法律法规和技术标准，提供安全、客观、
等保项目实施方案
等保项目实施方案1. 引言在当今信息化时代，信息安全问题日益引发人们的关注。
为此，本文将就等保项目的实施方案进行探讨，以确保组织的信息系统安全可靠。
2. 等保项目概述2.1 目标本项目旨在确保组织的信息系统满足国家等级保护要求，提高系统的安全性和稳定性，并建立一套完善的信息安全管理体系。
2.2 背景随着信息技术的迅猛发展，安全威胁呈现多样化、复杂化的趋势。
鉴于此，国家制定了等级保护制度，并要求各类关键信息基础设施单位进行等保认证，以提高信息系统的安全性。
3. 项目实施步骤3.1 筹备阶段3.1.1 项目启动成立项目团队，确定项目经理和项目组成员，并制定项目管理计划。
3.1.2 项目背景调研对组织的信息系统进行全面调研，分析系统的安全性问题和存在的风险。
3.1.3 现状评估根据调研结果，评估当前信息系统的安全水平，确定改进的重点和目标。
3.2 等保实施阶段3.2.1 安全需求规划根据等保要求，制定相应的安全需求规划，包括安全策略、安全目标和安全控制措施等。
3.2.2 安全架构设计基于安全需求规划，设计信息系统的安全架构，包括网络安全、主机安全、应用安全和数据安全等方面的设计。
3.2.3 安全控制措施实施根据安全架构设计，实施各项安全控制措施，包括访问控制、身份认证和加密等技术手段。
3.2.4 安全培训与意识提升开展相关的安全培训，提高员工的安全意识和技能水平，加强信息安全文化的建设。
3.2.5 安全测试与评估对信息系统进行全面的安全测试和评估，发现潜在的安全漏洞，并及时修复和改进。
3.3 项目总结与验收3.3.1 项目总结总结项目实施过程中的经验教训，形成项目总结报告，为后续的等保工作提供参考。
3.3.2 项目验收对等保项目进行验收，确保项目达到预期的安全目标和要求。
4. 项目资源与进度管理4.1 项目资源管理合理分配项目人力、物力和财力资源，确保项目的可持续发展。
4.2 项目进度管理制定详细的项目进度计划，并通过项目管理工具进行跟踪和控制，确保项目按时交付。
二级等保测评技术方案模板
二级等保测评技术方案模板一、项目概述。
1. 测评目标。
咱们这次要做二级等保测评的这个系统啊，就像是一个需要精心守护的宝藏。
这个系统对[客户名称]来说那可是相当重要的，它承担着[简单描述系统的主要功能，比如数据存储、业务运营之类的]的重任呢。
我们的目标就是通过测评，找出这个宝藏周围的安全防护漏洞，然后给它加固得严严实实的，让它能安全又可靠地运行。
2. 测评范围。
我们要测评的范围包括这个系统的硬件设备，像服务器啊、网络设备之类的，就像是宝藏的坚固外壳。
还有软件系统，包括操作系统、数据库系统以及各种应用程序，这就好比宝藏内部的各种机关设置。
当然啦，也不能少了管理方面的测评，就像是守护宝藏的规则和制度是否合理完善一样重要。
二、测评依据。
三、测评内容。
# （一）安全物理环境。
1. 机房位置选择。
先看看机房的位置，这就像选宝藏的藏匿地点一样重要。
机房不能在容易遭受自然灾害（比如洪水能轻松淹到的低洼地，或者地震活跃带上）或者人为破坏（像在治安不好的混乱街区）的地方。
要是机房位置选错了，那就像把宝藏放在大街上一样危险。
2. 物理访问控制。
机房的门可不能随便进啊。
要有严格的门禁系统，就像宝藏的大门要有结实的锁和严格的看守一样。
只有被授权的人，拿着专门的钥匙（门禁卡或者密码之类的）才能进去。
而且还要记录下谁什么时候进去了，就像给宝藏大门安装了一个小本本，记录每个来访者的踪迹。
# （二）安全通信网络。
1. 网络架构。
网络架构得合理啊，就像搭建一座坚固的桥梁一样。
各个网络区域之间要有明确的划分，像生产区、办公区的网络不能乱成一团。
而且网络要有冗余备份，就像桥要有备用的桥墩一样，万一哪根网线断了或者哪个网络设备出故障了，还能有其他的通路保证系统正常运行。
2. 通信传输。
在网络上传输的数据就像在驿站之间传递的密信一样，得保证安全。
数据传输要加密，不能让别人轻易偷看。
就好比密信要是不加密，路上随便一个小贼都能知道信里的内容了，那可不行。
等保测评培训资料ppt
据 和 备 份
全 管 理 制
全 管 理 机
员 安 全 管
统
统
建
运
设
维
管
管
恢
度
构
理
理
理
复
层
等级测评内容介绍
以S3A3G3为例：
/
身份鉴别
访问控制
主 机
安全审计
入侵防范
数
据
恶意代码防范
库
资源控制
等级测评内容介绍
以S3A3G3为例：
结构安全
访问控制
网 边界完整性检查
络
全
入侵防范
局
恶意代码防范
等级测评内容介绍
信息安全等级保护 课程培训
主讲：杜娜娜
Email：nndu@
政策标准
1、1994年国务院颁布147号令《中华人民共和国计算机信息系统安全保护条 例》中规定，计算机系统实行安全等级保护，由公安部具体实施。
2、中央办[2003]27号文明确指出“要重点保护基础信息网络和关系国家安全、 经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制 度，制定信息安全等级保护的管理办法和技术指南”。
自主定级、自主保护。 2、系统备案
二级以上系统办理备案（备案表）。 市级以上公安机关审核，10个工作日之内颁发信息系统安全保护备案证明。 3、安全建设 安全需求分析 总体安全设计 详细安全设计 安全实施实现 安全运行与维护 4、等级测评 三级系统每年至少进行一次等级测评，四级系统半年进行一次等级测评，五 级信息系统依据特殊安全需求进行等级测评； 5、监督检查 公安机关、国家保密工作部门、国家密码管理部门分别负责监督、检查和指导。
3、公通字[2004]66号文中再次强调“信息安全等级保护制度是国家在国民经 济和社会信息化建设健康发展的一项基本制度”。
信息安全等级保护测评技术规格书
信息安全等级保护测评技术规格书一、项目概述:随着网络安全法的正式施行, 网络安全等级保护工作上升为一项基本国策。
与此同时, 跟随网络安全法配套的各项规章条例以及标准规范也逐一落实, 2018年6月27日, 公安部发布《网络安全等级保护条例（征求意见稿）》（以下简称“《保护条例》”）。
作为《网络安全法》的重要配套法规, 《保护条例》对网络安全等级保护的适用范围、各监管部门的职责、网络运营者的安全保护义务以及网络安全等级保护建设提出了更加具体、操作性也更强的要求。
为此, 我公司提出了《信息系统信息安全测评项目》, 项目旨参照相关安全安全标准对我公司目前运行的信息系统开展安全测评, 确保其高效、稳定、安全地运行。
欢迎国内具有独立承担民事责任的企业, 具备相关资格（具备信息安全等级保护测评资质）条件的供应商参加。
二、项目实施范围:芜湖新兴铸管有限责任公司的信息安全等级保护测评服务项目, 等保测评级别按国家对我公司信息安全等级保护工作的相关法律和技术标准要求执行。
定级系统: （二级）①公司OA办公系统；②物流系统；③采购系统；④质量中心系统；⑤炼铁部-工业网络系统；⑥铸管部-工业网络系统；工作范围包括我公司的等保检测定级、公安系统备案、建设整改、测评报告等工作, 完成国家相关部门对我公司的信息安全要求。
项目实施内容:1.安全检查（1）信息安全现状问题检查, 包括信息安全管理、信息安全技术、信息安全运维等各方面问题分析；（2）信息安全存在的主要问题及风险, 包括信息安全管理、信息安全技术、信息安全运维等各方面存在的问题及期潜在风险；（3）信息安全问题改进建议, 包括信息安全管理、信息安全技术、信息安全运维等各方面整改建议、具体实施方案以及改进期望值。
2.信息安全等级保护检测根据国家对信息安全等级保护工作的相关法律和技术标准要求, 结合本项目的系统保护等级开展实施与之相应的检查工作, 具体检查内容应包括：对信息系统进行等级保护差距测评, 测评内容包括物理安全、网络安全、主机安全、应用安全、数据安全及备份、安全管理。
信息系统等级保护测评项目项目计划书
信息系统等级保护测评项目项目计划书信息系统等级保护测评项目旨在对公司的信息系统进行评估，以确保系统安全等级与要求相符合，从而保障公司信息安全。
本项目计划书旨在详细介绍项目的目标、范围、时间表、资源需求以及其他相关信息。
项目目标：1. 确保公司信息系统的安全等级达到国家标准要求。
2. 识别并解决系统可能存在的安全漏洞或风险。
3. 为公司提供安全管理建议，提高信息安全水平。
项目范围：本项目将对公司所有的信息系统进行等级保护测评，包括但不限于网络安全、数据安全、应用系统安全等方面。
项目时间表：本项目计划在接下来的三个月内完成，具体时间安排如下：- 月份一：准备阶段，包括制定测评计划、确定测评方法和工具等。
- 月份二：执行阶段，对公司信息系统进行全面的测评和评估。
- 月份三：分析阶段，根据测评结果对系统风险进行分析，并提出安全管理建议。
资源需求：为确保项目顺利实施，我们需要以下资源支持：- 项目经理：负责项目的整体规划和管理。
- 测评专家：负责具体的系统测评和评估工作。
- 技术支持人员：负责提供技术支持和协助测评工作。
- 测评工具：包括必要的软件工具和硬件设备。
风险管理：在项目实施过程中，可能会面临一些潜在的风险，例如系统不兼容、数据丢失等。
我们将在项目计划中明确风险，并采取相应的措施进行应对。
项目成果：- 信息系统等级保护测评报告：详细描述系统的安全等级评估结果和存在的风险。
- 安全管理建议：针对系统存在的问题提出合理的安全管理建议，帮助公司提高信息安全水平。
结语：信息系统等级保护测评项目是公司信息安全保障的重要环节，我们将严格按照项目计划和目标，确保项目顺利实施并取得预期成果。
经过系统等级保护测评项目的全面实施和评估，公司将获得更加全面、深入的信息安全状态认知，并可以根据测评报告提出的建议，有针对性地加强信息安全管理，提升信息安全水平。
以下是本项目计划书的继续内容。
项目实施方法：在项目实施过程中，我们将采用一系列科学、可靠的测评方法和工具，确保测评结果的准确性和客观性。
等级保护测评实施指导书
等级保护测评实施指导书1.测评准备阶段1.1项目启动1）项目经理负责与被测单位进行沟通。
向被测单位了解被测信息系统基本情况，包括测评范围、系统需要达到的等级、具体测评内容的调整情况，以及其他有关信息系统的情况，明确测评需求和测评范围；项目经理介绍测评工作流程及实施测评工作，并告知被测单位提前做好准备工作。
与被测单位就具体的测评合同和保密协议内容进行洽商。
协助客户主管与被测单位签署测评合同和保密协议。
2）双方签署测评合同和保密协议后，被测单位提交相关材料和附件，项目经理负责对提交的文档进行完整性审查，审核文档是否满足实施测评工作的要求。
如果文档不够详细完备，则与被测单位沟通，要求被测单位进一步完善文档材料。
1.2信息收集和分析1）项目经理协助客户填写（LD-CS-29《信息系统基本情况调查表》）。
2）项目经理收回填写完成的调查表格，各测评项目小组分析调查结果，了解和熟悉被测系统的实际情况。
分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。
这些信息可以重用自查或上次等级测评报告中的可信结果。
3）如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。
1.3工具和表单准备测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。
1）测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。
2）测评人员模拟被测系统搭建测评环境。
3）准备和打印表单，主要包括：测评流程单（LD-CS-18《测评流程单》）、文档交接单（LD-CS-19《接收/归还样品清单》）、会议记录表单（LD-GL-09《会议记录》）、会议签到表单（LD-GL-10《会议签到表》）等。
三级等保评测文件资料
信息系统安全级别测评报告模板项目名称：委托单位：测评单位：年月日报告摘要一、测评工作概述概要描述被测信息系统旳基本状况（可参照信息系统安全级别保护备案表），涉及但不限于：系统旳运营使用单位、投入运营时间、承载旳业务状况、系统服务状况以及定级状况。
（见附件：信息系统安全级别保护备案表）描述级别测评工作旳委托单位、测评单位和级别测评工作旳开展过程，涉及投入测评人员与设备状况、完毕旳具体工作内容记录（波及旳测评分类与项目数量，检查旳网络互联与安全设备、主机、应用系统、管理文档数量，访谈人员次数）。
二、级别测评成果根据第4、5章旳成果对级别测评成果进行汇总记录（测评项符合状况及比例、单元测评成果符合状况比例以及整体测评成果）；通过对信息系统基本安全保护状态旳分析给出级别测评结论（结论为达标、基本达标、不达标）。
三、系统存在旳重要问题根据6.3章节旳分析成果，列出被测信息系统中存在旳重要问题以及也许导致旳后果（如，未部署DDos防御措施，易遭受DDos袭击，导致系统无法提供正常服务）。
四、系统安全建设、整治建议针对系统存在旳重要问题提出安全建设、整治建议，是对第七章内容旳提炼和简要描述。
报告基本信息声明声明是测评单位对于测评报告内容以及用途等有关事项做出旳商定性陈述，涉及但不限于如下内容：本报告中给出旳结论仅对目旳系统旳当时状况有效，当测评工作完毕后系统浮现任何变更，波及到旳模块（或子系统）都应重新进行测评，本报告不再合用。
本报告中给出旳结论不能作为对系统内有关产品旳测评结论。
本报告结论旳有效性建立在顾客提供材料旳真实性基本上。
在任何状况下，若需引用本报告中旳成果或数据都应保持其本来旳意义，不得擅自进行增长、修改、伪造或掩盖事实。
测评单位机构名称年月报告目录1测评项目概述 ..................................................................................... 错误!未定义书签。
等保测评方案
4.加强项目管理，确保项目进度和质量。
本等保测评方案旨在为信息系统提供全面、深入的安全评估，帮助客户识别并解决安全隐患，提高信息系统的安全保护能力。在实施过程中，我们将严格按照方案要求，确保测评项目的顺利进行。
第2篇
等保测评方案
一、引言
为积极响应国家信息安全等级保护政策，确保信息系统安全稳定运行，降低潜在安全风险，本方案针对某信息系统开展等级保护测评工作。通过评估现有安全措施，发现安全隐患，提出整改建议，提升整体安全保护能力。
2.人员保障：选派具有丰富经验和专业技能的测评人员；
3.资源保障：提供必要的测评工具、设备、场地等资源；
4.时间保障：合理安排测评时间，确保项目按期完成；
5.质量保障：建立严格的质量管理体系，确保测评结果客观、公正、准确。
十、风险控制
1.遵循国家相关法律法规，确保测评过程合法合规；
2.严格保护客户隐私，签订保密协议；
二、项目背景
随着信息技术的广泛应用，信息安全问题日益凸显。我国政府高度重视信息安全，制定了一系列法律法规和政策文件，要求各类信息系统开展等级保护测评。本项目旨在确保信息系统符合国家相关安全要求，为广大用户提供安全、可靠的服务。
三、测评目标
1.确保信息系统满足国家信息安全等级保护基本要求；
2.发现并解决信息系统存在的安全隐患，提升安全防护能力；
八、成果交付
1.编制详细测评报告，包括以下内容：
a.项目背景及目标；
b.测评范围及依据；
c.测评方法及流程；
d.测评结果及分析；
e.整改建议及措施。
2.提交测评报告及相关附件。
九、项目保障
1.组织保障：成立项目组，明确各成员职责，确保项目顺利进行；
农商银行信息系统等级保护测评项目招投标书范本
江苏常熟农村商业银行股份有限公司招标编号：江苏常熟农村商业银行股份有限公司招标书江苏常熟农村商业银行股份有限公司二〇一八年八月十五日申明本招标文件专用于江苏常熟农村商业银行股份有限公司本次信息系统等级保护测评项目进行招标，江苏常熟农村商业银行股份有限公司对本招标文件及招标文件内容享有解释权。
参加投标单位即视为无条件同意本申明并保证对本招标文件可能涉及的江苏常熟农村商业银行股份有限公司商业秘密予以保密，除经江苏常熟农村商业银行股份有限公司书面同意外，任何单位和个人不得为参与本产品投标以外的目的而出版、复制、传播、销售及使用本招标文件。
第一部分投标函根据江苏常熟农村商业银行股份有限公司业务发展的需求，现就我行信息系统等级保护测评项目进行招标：.招标编号：.招标人：江苏常熟农村商业银行股份有限公司.项目实施地点：.发放标书时间：北京时间年月日.投标截止时间：北京时间年月日.招标人联系方式：江苏常熟农村商业银行股份有限公司地址：江苏省常熟市新世纪大道号邮政编码：联系人：卢少清电话号码：-技术联系人：孙浩、钟东城电话号码：-江苏常熟农村商业银行股份有限公司第二部分项目需求一、服务内容.服务要求协助进行信息系统等级保护定级与相关部门备案工作，实施测评三级系统一个、二级系统两个。
、测评内容各信息系统测评内容包括但不限于：序号工作任务服务内容物理安全测评机房物理环境测评灾备机房物理环境测评机房管理人员访谈网络安全测评网络设备人工配置检查安全设备人工配置检查漏洞扫描管理员访谈网络设备功能测试安全设备功能测试主机安全测评操作系统人工配置检查数据库人工配置检查应用软件人工配置检查漏洞扫描管理员访谈主机安全功能测试应用安全测评应用系统人工配置检查漏洞扫描管理员访谈应用安全功能测试数据安全及备份恢复测评人工配置检查管理员访谈功能测试策略安全测评安全制度检查运维安全测评运维管理制度检查运维管理记录检查差距分析技术、管理差距分析安全整改协助安全整改实施整改复查与测评结构分析单项测评结果分析单元测评结果分析整体分析测评结构风险分析报告编制过程文档编写等保测评报告编写整改建议编写信息系统等级保护测评系统清单请联系技术联系人钟东城，电话-。
网络安全等级保护之等级测评
网络安全等级保护之等级测评460500587本文主要介绍测评工作的内容、流程、方法，介绍测评机构和测评人员，测评工作中的风险及其控制，最后介绍等级测评报告主要内容及说明。
一、基本工作1、测评概念测评（简称“等级测评”）是指测评机构依据国家网络安全等级保护管理制度规定，按照有关管理规范和技术标准对涉及国家机密的信息系统安全保护状况进行分等级测试评估的活动。
等级测评机构，是指具备本规范的基本条件，经能力评估和审核，由省级以上网络安全等级保护工作协调（领导）小组办公室（以下简称为“等保办”）推荐，从事等级测评工作的机构。
等级测评是合规性评判活动，基本依据不是个人或者测评机构的经验，而是网络安全等级保护的国家有关标准，无论是测评指标来源，还是测评方法的选择、测评内容的确定以及结果判定等活动均应依据国家相关的标准进行，按照特定方法对信息系统的安全保护能力进行科学公正的综合评判过程。
2、测评作用和目的通过进行测评，能够对信息系统体系能力的分析与确认；发现存在的安全隐患；帮助运营使用单位认识不足，及时改进；有效提升其防护水平；遵循国家有关规定的要求，对信息系统安全建设进行符合性测评。
测评的作用如下：① 掌握信息系统的安全状况、排查系统安全隐患和薄弱环节、明确信息系统安全建设整改需求。
② 衡量信息系统的安全保护管理措施和技术措施是否符合等级保护基本要求，是否具备了相应的安全保护能力。
③ 等级测评结果，为公安机关等安全监管部门开展监督、检查、指导等工作提供参照。
为了达到上述目的，开展等级测评的最好时期是安全建设整改前、安全建设整改后，及其常规性定期开展测评，如三级系统每年至少开展一次等级测评。
3、测评标准依据《管理办法》第十四条规定：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评；第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。
二次等保测评项目磋商文件
二次等保测评项目磋商文件一、引言二次等保测评项目是指在首次等保测试的基础上进行再次测评，旨在确保信息系统在网络攻击、病毒入侵等安全威胁下的可靠性和稳定性。
为了明确测评的目标、方法和时间安排等重要事项，制定本磋商文件。
二、测评目标本次二次等保测评的目标是全面检测和评估信息系统的安全状况，发现潜在的安全风险，并提出相应的改进策略和措施，进一步增强信息系统的安全防护能力。
具体目标如下：1.评估信息系统的防护能力，包括网络安全、数据安全、物理安全等方面；2.检测系统运行过程中可能存在的安全漏洞和风险；3.评估信息系统对外部攻击的抵御能力以及对内部人员的权限管理能力；4.检测网络设备和安全设备的有效性和适用性。
三、测评方法本次测评采用以下具体方法进行：1.系统安全检测：对信息系统的网络拓扑、主机配置、服务管理、数据存储等方面进行全面检测，发现潜在的安全漏洞和风险；2.入侵测试：通过模拟外部攻击方式，测试信息系统在各种攻击下的抵御能力；3.权限管理测试：评估信息系统对内部人员的权限管理流程和控制措施；4.安全设备测试：检测网络设备和安全设备的有效性和适用性。
四、测评时间安排为了保证测评工作的顺利进行，现将测评时间安排如下：1.准备阶段：2021年3月1日-2021年3月5日，相关人员准备测评所需的材料和工具；2.测试阶段：2021年3月8日-2021年3月19日，进行系统安全检测、入侵测试、权限管理测试和安全设备测试；3.总结阶段：2021年3月22日-2021年3月26日，对测试结果进行总结和分析，制定改进策略和措施。
五、测评要求为了确保测评工作的有效性和可靠性，针对本次测评项目，提出以下具体要求：1.充分配合：被测评单位需积极配合测评团队的工作，提供相应的人员和设备支持；2.材料准备：被测评单位需及时提供相关的系统文档、网络拓扑图、安全策略等材料；3.信息保密：测评团队需严格遵守保密协议，保护被测评单位的信息安全；4.改进建议：测评结果分析完毕后，测评团队将提供详细的改进建议和措施，被测评单位应积极整改。
河北省邢台市任县等保检测项目实施方案
河北省邢台市任县等保检测项目实施方案一、项目情况1.1 项目的背景随着信息技术的迅猛发展，网络安全问题日益突出，保障信息安全已成为全社会共同关注的问题。
在此背景下，我公司决定在河北省邢台市任县开展等保检测项目，以提升当地网络安全防护水平，确保关键信息基础设施的安全运行。
1.2 项目的目的本项目旨在通过对河北省邢台市任县范围内的关键信息基础设施进行全面、细致的检测，及时发现并解决存在的安全隐患，降低网络安全风险，确保该地区网络空间的安全稳定运行。
同时，通过本项目的实施，也将提高当地网络安全工作人员的技术水平，增强应对网络安全事件的能力。
二、项目实施方案2.1 介绍项目实施的具体步骤和计划一、项目背景和目的河北省邢台市任县等保检测项目实施方案随着信息技术的不断发展，网络安全问题日益突出，网络安全等级保护制度也越来越受到重视。
为了加强网络安全保障工作，提高网络系统的安全性和可靠性，邢台市任县决定开展等保检测项目，确保该地区的网络系统能够达到国家相关标准。
二、项目实施方案1. 介绍项目实施的具体步骤和计划本项目实施方案主要分为以下几个步骤：第一步：成立项目组，明确项目目标和实施计划。
第二步：进行网络系统安全检测，包括系统漏洞、应用程序漏洞等。
第三步：根据检测结果，制定相应的等级保护方案。
第四步：进行方案实施，包括安全设备的配置、安全策略的制定等。
第五步：进行系统测试和验收，确保系统达到预期效果。
2. 详细展开每个步骤的实施方法和要点第一步：成立项目组项目组由网络安全专家、系统管理员、测试人员等组成，明确每个人的职责和任务。
第二步：进行网络系统安全检测采用专业的安全检测工具，对网络系统进行全面的安全检测，包括系统漏洞、应用程序漏洞等。
第三步：根据检测结果，制定相应的等级保护方案根据检测结果，制定相应的等级保护方案，包括安全设备的配置、安全策略的制定等。
第四步：进行方案实施按照制定的等级保护方案，进行安全设备的配置和安全策略的制定，确保系统的安全性得到有效提高。
等级保护项目流程指导与配套资料-技术
等级保护项目流程指导与配套资料第一部分：前期沟通第一步：获得需求等保需求不需要引导，获取等保需求的来源有：网安部门、测评中心、渠道和客户。
第二步：初次客户拜访获取信息销售初次拜访有等保需求的客户，建议不携带产品经理。
本次拜访利用公司下发的销售话术，简单介绍公司等保实力，了解清楚一下几个问题：1、项目的背景2、项目的预算3、项目将采用哪种流程4、目前已经进展到什么阶段5、客户是否是倾向的测评中心配套资料：《首次拜访客户销售话术》已编写，等审核通过后上传CMS根据客户采取的流程，分别跳到流程A类、流程B类、流程C类。
如果客户没确定流程，尝试引导流程A类（浙江直接引导流程C类），如果失败就跳到对应的流程。
配套资料：《流程A/B/C的介绍》已编写，等待上传CMS流程A类：咨询服务单独招标型项目模式第一步：介绍公司等保咨询服务，进行技术认可，并了解基本信息，包括：网络现状、业务系统情况、定级情况等。
配套资料：《深信服等级保护咨询服务PPT》、《资产调研表》已编写，等待上传CMS第二步：根据上次交流，提交咨询服务方案（注意不是整改方案）配套资料：《深信服等级保护咨询服务技术方案模板》已编写，等待上传CMS第三步：咨询服务项目投标或者竞争性谈判配套资料：《等保咨询服务项目招投标资料》已编写，等待上传CMS●公开招标书●邀标书●询价函●投标服务方案，全面，以后使用可以摘选，包括常见的安全服务和等保服务●服务人员，包括简历、资质●深信服咨询服务和团队介绍投标时用到的公司资质《咨询服务合同》已编写，等待法务审核后，上传CMS第四步：咨询服务项目的实施之定级备案配套资料：《信息系统调研表模板》、《定级报告模板》已编写，等待上传CMS《定级备案表下载地址》、《当地网监等保办联系方式》各区域自行编写并掌握第五步：咨询服务项目的实施之差距评估配套资料：《差距分析表-模板》、《安全管理制度检查需求列表-模板》、《差距评估报告-模板》已编写，等待上传CMS配套服务：漏洞扫描《漏洞扫描报告》、配置核查《配置核查报告》、渗透测试《渗透测试报告》等待研发开发。
启动会：等级保护测评概览
等级保护政策解读
等级保护政策要求企业根据信息 系统重要程度实施不同等级的安 全保护，据统计，实施后信息系 统安全事件率降低30%，显著提升防御能力。
等级保护强化信息安全
近年来，随着等级保护2.0政策 的全面推广，各行业企业开展等 级保护测评的合规需求年增长率 超过25%，驱动安全服务市场快 速发展。
03
01
02
03
04
物理环境安全加固通过部署CCTV监控、门禁系 统与温湿度控制，确保机房安 全，降低非法入侵风险，保障 等级保护测评中的物理安全， 提升整体安全评分。
网络隔离与访问控制实施严格的网络隔离策略，如 VLAN划分，配合防火墙访问 控制列表，有效隔离内外网， 减少潜在威胁面，提升网络安 全等级保护水平。
在等级保护检查中，日志管理缺失占 比高达30%，如某金融机构因未有效 记录安全事件日志，在遭受攻击后无 法追溯，影响业务恢复，加强日志审 计刻不容缓。
日志管理缺失成漏洞
风险评估与预防措施
定期风险评估能及时发现并降 低合规风险，据行业报告，每 半年评估一次的企业，违规率 降低30%。
定期风险评估必要性
02
测评准备与规划
明确测评目标与范围基于行业标准和业务特性，精确界定测评等级与覆盖的IT资产，确保测评有的放矢。组建专业测评团队组建含安全专家、技术人员在内的多学科团队，确保测评能力覆盖测评标准全部要求。制定详细测评计划结合项目周期，制定包含各阶段时间节点、任务分配及风险评估的详细测评计划，确 保测评有序进行。工具与资源准备充分预先准备并测试自动化测评工具，确保资源充足，如测试环境、文档模板等，提高测 评效率。
现场检查与测试
细致化现场检查现场检查采用标准化清单，覆盖物 理环境、网络架构等30余项指标， 确保无遗漏，提高测评精度。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
现场测评活动-可能遇到的问题
配合、协调 测评结果版本控制 测试工具故障
报告编制活动
本活动是给出等级测评工作结果的活动，是总结被测 系统整体安全保护能力的综合评价活动。
测评委托单位职责： – a) 向测评机构介绍本单位的信息化建设状况与发展情况。 – b) 准备测评机构需要的资料。 – c) 为测评人员的信息收集提供支持和协调。 – d) 准确填写调查表格。 – e) 根据被测系统的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议 – f) 制定应急预案。
测评委托单位职责：
– a) 对测评方案进行认可，并签字确认。
方案编制活动-可能遇到的问题
信息系统网络边界的确定 测评对象选择原则的应用 测试工具接入点的选择 测评指导书的开发
现场测评活动
现场测评活动是开展等级测评工作的核心活动。
现场测评活动双方职责
测评机构职责：
– a) 利用访谈、文档审查、配置检查、工具测试和实地察看的方法测评被测系统的保护 措施情况，并获取相关证据。
项目依据
《信息安全等级保护管理办法》（公通字[2007]43号） 《计算机信息安全保护等级划分准则》（GB 17859-1999） 《信息系统安全保护等级定级指南》（GB/T 22240-2008） 《信息系统安全等级保护基本要求》（GB/T 22239-2008） 《信息系统安全等级保护实施指南》 《信息系统安全等级保护测评要求》 《信息系统安全等级保护测评过程指南》
单项测评结果判定
单元测评结果判定
整体测评
风险分析
等级测评结论形成
测评报告编制
报告编制活动双方职责
• 测评机构职责：
测评工作的方法
访谈 – 对象：信息安全主管、安全管理员、系统管理员、网络管理员、资产 管理员等 – 工具：管理核查表
检查 – 对象：文档、各类设备、安全配置、机房、存储介质等 – 工具：核查表
测试 – 扫描检测 – 攻击 – 渗透
等级保护测评流程
等级测评的主要活动
测评准备活动（3个任务） 方案编制活动（6个任务） 现场测评活动（3个任务） 报告编制活动（6个任务）
测评准备活动
测评准备活动是开展等级测评工作的前提和 基础，是整个等级测评过程有效性评机构职责： – a) 组建等级测评项目组。 – b) 指出测评委托单位应提供的基本资料。 – c) 准备被测系统基本情况调查表格，并提交给测评委托单位。 – d) 向测评委托单位介绍安全测评工作流程和方法。 – e) 向测评委托单位说明测评工作可能带来的风险和规避方法。 – f) 了解测评委托单位的信息化建设状况与发展，以及被测系统的基本情况。 – g) 初步分析系统的安全情况。 – h) 准备测评工具和文档。
安全等级保护测评项目启动会
汇报主题
项目背景 项目目的 项目依据 项目主要内容 等保保护测评流程 等级测评的主要活动
测评存在的风险及规避措施
项目组织结构 项目实施计划 项目交 付 成 果和报 告
项目背景
2003年，《国家信息化领导小组关于加强信息安全保障工作的意 见》(中办发[2003]27号)明确提出信息安全等级保护的概念，同 时明确要重点保护基础信息网络和关系国家安全、经济命脉、社 会稳定等方面的重要信息系统，作为国家经济命脉重要组成部分 的金融业，其信息系统被各级公安机关列为重点保护对象。
测评准备活动-可能遇到的问题
调查表格填写 –协调困难 –填写不准确 –设备互联不清楚
工具和表单准备 –无法搭建模拟环境
方案编制活动
方案编制活动是开展等级测评工作的关键活动，为现 场测评提供最基本的文档和指导方案。
方案编制活动双方职责
测评机构职责：
– a) 详细分析被测系统的整体结构、边界、网络区域、重要节点等。 – b) 初步判断被测系统的安全薄弱点。 – c) 分析确定测评对象、测评指标和测试工具接入点，确定测评内容及方法。 – d) 编制测评方案文本，并对其内部评审，并提交被测机构签字确认。
中烟工业有限公司系统承载着各类业务系统的通讯和数据传输， 其保障能力和防护水平都至关重要。在信息系统建设过程中，难 免会存在一些缺陷。对XX公司系统进行信息安全等级保护测评 ，有利于摸清该系统安全建设的整体水平，发现其中的不足，从 而有针对性地进行建设和整改。
项目目的
实施信息安全等级保护，可以有效地提高中烟工业有限公司 系统安全建设的整体水平，并且指明了方向。有利于在信息 化建设过程中同步建设信息安全设施，保障信息安全与信息 化建设相协调；有利于加强对涉及国家安全、经济秩序、社 会稳定和公共利益的信息系统的安全保护和管理监督；有利 于明确国家、法人和其他组织、公民的安全责任，强化政府 监管职能，共同落实各项安全建设和安全管理措施；有利于 提高安全保护的科学性、整体性、针对性，推动信息安全产 业水平，逐步探索一条适应社会主义市场经济发展的信息系 统安全的发展模式。
测评委托单位职责：
– a) 测评前备份系统和数据，并确认被测设备状态完好。 – b) 协调被测系统内部相关人员的关系，配合测评工作的开展。 – c) 签署现场测评授权书。 – d) 相关人员回答测评人员的问询，对某些需要验证的内容上机进行操作。 – e) 相关人员确认测试前协助测评人员实施工具测试并提供有效建议，降低安全测评对
项目主要内容
对中烟工业有限公司已备案的生产网络系统系统安 全保护等级进行差距测评分析。依据《信息系统安 全等级保护基本要求》，对物理机房、网络结构、 管理类文档等进行合规性检查，发现信息系統与安 全保护等级要求之间的差距，出具《中烟工业有限 公司系统安全等级保护测评报告》及提出具有针对 性的整改意见。