信息安全等级保护测评及服务技术参数
信息安全等保三级测评内容
信息安全等级三级保护测评指标
根据GB/T 28448-2012《信息安全技术信息系统安全等级保护测评要求》，安全保护等级、业务信息安全保护等级、系统服务安全保护等级，所有选取《基本要求》，中相对应系统级别的指标。
1.1测评指标如下表所示：
1.2具体测评指标如下1.
2.1物理安全
1.2.2网络安全
1.2.5数据安全及备份恢复
1.2.8系统建设管理
系统建设皆埋
｛二）
系统运维管理C
二）
信息安全等级保护测评工作流
程
啜
"
普
呵呼工旦注,•巨旃玉
叫『「TV4新招
/详实林防
WK田…・卜口M；K L.'.
T
呜果振&和EM JIG
甲r川h■『转M打〒自疗
整一丁河。
信息系统安全等级保护测评服务内容及要求
信息系统安全等级保护测评服务内容及要求一、供应商资格：1.供应商应具备《政府采购法》第二十二条规定的条件；1）具有独立承担民事责任的能力；2）具有良好的商业信誉和健全的财务会计制度；3）具有履行合同所必需的设备和专业技术能力；4）有依法缴纳税收和社会保障资金的良好记录；5）参加政府采购活动前三年内，在经营活动中没有重大违法记录；6）法律、行政法规规定的其他条件。
2.投标人要求为国内独立的事业法人的独立企业法人，并且股权结构中不能有任何外资成份。
3.具有网络安全等级保护测评机构推荐证书。
4.具有中国合格评定国家认可委员会颁发的CNAS证书。
5.具有广东省电子政务服务能力等级证书。
6.具有中国通信行业协会颁发的通信网络安全服务能力评定证书（应急响应一级）7.具有中鉴认证有限责任公司颁发的质量管理体系认证证书（ISO9001）。
8.中国通信行业协会颁发的通信网络安全服务能力评定证书（风险评估二级）。
9.本项目不接受联合体投标。
二、项目服务内容及要求1.采购项目需求一览表：序号服务类型被测评系统级别1 等级保护测评服务存量房网上签约系统二级2 等级保护测评服务金融部门网上受理系统（签约银行登录）二级3 等级保护测评服务商品房明码标价备案系统二级4 等级保护测评服务珠海不动产微信服务号系统二级2.基本要求:2.1 项目背景为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理办法》的精神，响应国家的要求，珠海市不动产登记中心于2018年全面启动本单位的信息安全等级保护工作。
按照同时根据珠海市不动产登记中心的信息系统安全等级保护工作安排，现需开展信息系统安全等级保护测评等工作，并邀请具备国家或省公安厅颁发等级保护测评资质的公司对珠海市不动产登记中心的信息系统提供等级保护测评服务。
2.2项目目标2.2.1等级保护测评服务。
根据《GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南》等标准，及各个信息系统保护等级需求，协助采购人对现有的信息系统进行等级保护备案，编写信息系统定级备案表和信息系统定级报告，并协助向公安局提交定级备案材料，取得信息系统定级备案证明。
等保测评技术方案
一、等级保护测评方案（一）测评范围与方法《基本要求》中对不同等级信息系统的安全功能和措施作出具体要求，信息安全等级测评要根据信息系统的等级从中选取相应等级的安全测评指标，并根据《测评要求》的要求，对信息系统实施安全现状测评。
因此，本次测评将根据信息系统的等级选取相应级别的测评指标。
1.测评指标三级基本指标依据定级结果，甲方的安全测评指标应包括《基本要求》第7节“第三级基本要求”中的3级通用指标类（G3），3级业务信息安全性指标类（S3）和3级业务服务保证类（A3）。
所包括的安全控制指标类型情况具体如下表：系统测评指标统计列表二级基本指标依据定级结果，甲方的安全测评指标应包括《基本要求》第7节“第三级基本要求”中的2级通用指标类（G2），2级业务信息安全性指标类（S2）和2级业务服务保证类（A2）。
所包括的安全控制指标类型情况具体如下表特殊指标无。
（二）测评对象1.测评对象选择方法测评对象包括网络互联与安全设备操作系统、应用软件系统、主机操作系统、数据库管理系统、安全相关人员、机房、介质以及管理文档。
选择过程中综合考虑了信息系统的安全保护等级、业务应用特点和对象所在具体设备的重要情况等要素，并兼顾了工作投入与结果产出两者的平衡关系。
2.测评对象选择结果2.1.物理机房测评对象-物理机房列表2.2.网络设备测评对象-网络设备列表3.安全设备测评对象-安全设备列表4.服务器或存储设备测评对象-服务器或存储设备列表5.终端或现场设备测评对象-终端或现场设备列表6.系统管理软件或平台测评对象-系统管理软件或平台列表7.业务应用系统或平台测评对象-业务应用系统或平台列表8.关键数据类型测评对象-关键数据类型列表测评对象-数据类型列表9.安全相关人员测评对象-安全相关人员列表10.安全管理文档测评对象-安全管理文档列表（三）测评方法本次等级测评现场实施过程中将综合采用访谈、检查和测试等测评方法。
1.访谈访谈是指测评人员通过与被测系统有关人员（个人/群体）进行交流、询问等活动，获取证据以证明信息系统安全保护措施是否有效的一类方法。
信息系统等级保护测评指标(二级与三级)
信息系统等级保护测评指标(二级与三级)1. 信息系统等级保护测评指标等级保护的测评技术指标至少覆盖各系统等保二级、等级保三级的全部指标1.1.等级保护二级测评基本指标防雷击（G2）机房建筑应设置避雷装置机房应设置交流电源地线防火（G2）机房应设置灭火设备和火灾自动报警系统。
防水和防潮（G2）水管安装，不得穿过机房屋顶和活动地板下应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透应采取措施防止机房内水蒸气结露和地下积水的转移与渗透防静电（G2）关键设备应采用必要的接地防静电措施温湿度机房应设置温、湿度自动调节护（S2）设，避免互相干扰网络安全结构安全（G2）应保证关键网络设备的业务处理能力具备冗余空间，满足业务高峰期需要应保证接入网络和核心网络的带宽满足业务高峰期需要应绘制与当前运行情况相符的网络拓扑结构图应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址对受控系统进行资源访问，控制粒度为单个用户应限制具有拨号访问权限的用户数量安全审计（G2）应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息边界完整性检应能够对内部网络中出现的内部用户未通过准许私自联到外网络设备防护（G2）应对网络设备的管理员登录地址进行限制网络设备用户的标识应唯一身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听次数和自动退出等措施当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性访问控制（S2）应启用访问控制功能，依据安全策略控制用户对资源的访问应实现操作系统和数据库系统特权用户的权限分离应限制默认帐户的访问权限，重命名系统默认帐户，修改这要系统命令的使用等系统内重要的安全相关事件审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等应保护审计记录，避免受到未预期的删除、修改或覆盖等入侵防范（G2）操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新应安装防恶意代码软件，并及的操作超时锁定应限制单个用户对系统资源的最大或最小使用限度应用安全身份鉴别（S2）应提供专用的登录控制模块对登录用户进行身份标识和鉴别应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系安全审应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计应保证无法删除、修改或覆盖通信保密性（S2）用系统应利用密码技术进行会话初始化验证应对通信过程中的敏感信息字段进行加密软件容错（A2）应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求在故障发生时，应用系统应能够继续提供一部分功能，确保能够实施必要的措施当应用系统的通信双方中的一方在一段时间内未作任何响数据安全及备份恢复（S2）受到破坏数据保密性（S2）应采用加密或其他保护措施实现鉴别信息的存储保密性备份和恢复（A2）应能够对重要信息进行备份和恢复应提供关键网络设备、通信线路和数据处理系统的硬件冗余，保证系统的可用性安全管理制应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等管理制度进行论证和审定应将安全管理制度以某种方式发布到相关人员手中评审和修订（G2）应定期对安全管理制度进行评审，对存在不足或需要改进的安全管理制度进行修订安全管理岗位设置（G2）应设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责应配备一定数量的系统管理入和重要资源的访问等关键活动进行审批应针对关键活动建立审批流程，并由批准人签字确认沟通和合作（G2）应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通应加强与兄弟单位、xx单位机关、电信公司的合作与沟通审核和检查（G2）安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况人员离岗（G2）应规范人员离岗过程，及时终止离岗员工的所有访问权限应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备应办理严格的调离手续人员考核（G2）应定期对各个岗位的人员进行安全技能及安全认知的考核安全意识教育和培训应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训应告知人员相关的安全责任和惩戒措施，并对违反违背安全系统建设管理系统定级（G2）应明确信息系统的边界和安全保护等级应以书面的形式说明信息系统确定为某个安全保护等级的方法和理由应确保信息系统的定级结果经过相关部门的批准安全方案设计应根据系统的安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施应以书面形式描述对系统的安全保护要求、策略和措施等内容，形成系统的安全方案产品采购和使用（G2）应确保安全产品采购和使用符合国家的有关规定应确保密码产品采购和使用符合国家密码主管部门的要求应指定或授权专门的部门负责产品的采购自行软件开发（G2）应确保开发环境与实际运行环境物理分开应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则应确保提供软件设计的相关文档和使用指南，并由专人负责后门工程实施（G2）应指定或授权专门的部门或人员负责工程实施过程的管理应制定详细的工程实施方案，控制工程实施过程测试验收（G2）应对系统进行安全性测试验收在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告应组织相关部门和相关人员对系统测试验收报告进行审定，维护的文档安全服务商选择（G2）应确保安全服务商的选择符合国家的有关规定应与选定的安全服务商签订与安全相关的协议，明确约定相关责任应确保选定的安全服务商提供技术支持和服务承诺，必要的与其签订服务合同系统应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理应配备机房安全管理人员，对应立即交还该办公室钥匙和不在办公区接待来访人员等资产管理（G2）应编制与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理应对介质归档和查询等过程进设备管理（G2）应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现关键设备（包括应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补应对网络设备的配置文件进行定期备份测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出规定应依据操作手册对系统进行维护，详细记录操作日志，包括重要的日常操作、运行维护记录、参数的设置和修改等内容，严禁进行未经授权的操作应定期对运行日志和审计数据统之前也应进行病毒检查应指定专人对网络和主机进行恶意代码检测并保存检测记录应对防恶意代码软件的授权使用、恶意代码库升级、定期汇报等作出明确规定密码管理（G2）应使用符合国家密码管理规定的密码技术和产品变更管理（G2）应确认系统中要发生的重要变更，并制定相应的变更方案系统发生重要变更前，应向主管领导申请，审批后方可实施变更，并在实施后向相关人员统运行的影响，制定数据的备份策略和恢复策略，备份策略指明备份数据的放置场所、文件命名规则、介质替换频率和数据离站运输方法安全事件处置（G2）应报告所发现的安全弱点和可疑事件，但任何情况下用户均不应尝试验证弱点应制定安全事件报告和处置管理制度，明确安全事件类型，规定安全事件的现场处理、事件报告和后期恢复的管理职责应根据国家相关管理部门对计1.2.等级保护三级测评基本指标b) 需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；c) 应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；d) 重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。
信息安全技术信息系统安全等级保护测评要求
信息安全技术信息系统安全等级保护基本要求引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南；——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求；——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护实施指南。
一般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。
本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。
单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。
整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。
本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。
如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。
在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。
信息系统安全等级保护测评要求1 范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测评要求。
本标准略去对第五级信息系统进行单元测评的具体内容要求。
本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。
信息安全技术—网络安全等级保护测评要求
谢谢观看
2014年11月19日，国家标准计划《信息安全技术—网络安全等级保护测评要求》（-T-469）下达，项目周期 12个月，由TC260（全国信息安全标准化技术委员会）归口上报及执行，主管部门为国家标准化管理委员会。全 国标准信息公共服务平台显示，该计划已完成网上公示、起草、征求意见、审查、批准、发布工作。
2019年5月10日，国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）由中华人 民共和国国家市场监督管理总局、中国国家标准化管理委员会发布。
2019年12月1日，国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）实施，全 部代替国家标准《信息安全技术—信息系统安全等级保护测评要求》（GB/T28448-2012）。
国家标准《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）依据中国国家标准《标准化 工作导则第1部分：标准的结构和编写规则》（GB/T 1.1-2009）规则起草。
《信息安全技术—网络安全等级保护测评要求》（GB/T 28448-2019）与《信息安全技术—信息系统安全等 级保护测评要求》（GB/T28448-2012）相比，主要变化如下：
主要起草单位：公安部第三研究所（公安部信息安全等级保护评估中心、国家信息中心、北京大学、成都科 来软件有限公司、北京鼎普科技股份有限公司、北京梆梆安全科技有限公司、中国电子科技集团公司第十五研究 所（信息产业信息安全测评中心）、北京信息安全测评中心、全球能源互联网研究院、中国电力科学研究院、国 电南京自动化股份有限公司、中国电子信息产业集团公司第六研究所、启明星辰信息技术集团股份有限公司、华 普科工（北京）有限公司、中国电子技术标准化研究院、中国科学院信息工程研究所（信息安全国家重点实验 室）、新华三技术有限公司、中国移动通信集团有限公司、北京微步在线科技有限公司、北京迅达云成科技有限 公司、公安部第一研究所、国家能源局信息中心（电力行业信息安全等级保护测评中心）、北京卓识网安技术股 份有限公司、南京南瑞集团公司、南方电网科学研究院、工业和信息化部计算机与微电子发展研究中心（中国软 件评测中心）、北京烽云互联科技有限公司。
信息安全技术信息系统安全等级保护测评要求
信息安全技术信息系统安全等级保护测评要求在当今数字化的时代，信息系统已经成为了各个组织和企业运营的核心支撑。
从金融机构的交易处理到政府部门的政务服务，从企业的生产管理到个人的社交娱乐，信息系统无处不在。
然而，随着信息系统的广泛应用，其面临的安全威胁也日益严峻。
为了保障信息系统的安全可靠运行，保护国家、社会和个人的利益，信息系统安全等级保护测评工作显得尤为重要。
信息系统安全等级保护测评是指依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对未涉及国家秘密的信息系统安全等级保护状况进行检测评估的活动。
其目的在于发现信息系统中存在的安全漏洞和风险，提出相应的整改建议，从而提高信息系统的安全防护能力。
那么，信息系统安全等级保护测评到底有哪些具体要求呢？首先，测评工作需要遵循一系列的法律法规和标准规范。
我国已经出台了《中华人民共和国网络安全法》等相关法律法规，明确了信息系统安全保护的责任和义务。
同时，还有一系列的国家标准和行业规范，如《信息安全技术信息系统安全等级保护基本要求》《信息安全技术信息系统安全等级保护测评要求》等，为测评工作提供了详细的指导和依据。
其次，测评工作需要对信息系统进行全面的调研和分析。
这包括了解信息系统的业务功能、网络拓扑结构、系统架构、安全设备部署、安全管理制度等方面的情况。
通过对这些信息的收集和整理，为后续的测评工作奠定基础。
在技术层面，测评要求涵盖了物理安全、网络安全、主机安全、应用安全和数据安全等多个方面。
物理安全方面，要确保信息系统所在的机房环境符合安全要求，如防火、防水、防潮、防盗、电力供应稳定等。
同时，机房的访问控制也要严格，只有授权人员能够进入。
网络安全方面，需要检查网络设备的配置是否合理，是否存在网络漏洞和攻击风险。
例如，防火墙的规则设置是否有效，入侵检测系统是否能够及时发现异常流量，网络访问控制策略是否严格等。
主机安全方面，要关注操作系统和数据库的安全配置，是否及时安装了补丁，是否存在默认账号和弱口令等问题。
信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求信息安全技术网络安全等级保护测评要求1.引言1.1 目的1.2 背景2.术语和定义3.系统规划3.1 网络架构规划3.1.1 网络拓扑3.1.2 网络设备规划3.2 安全策略规划3.2.1 安全策略制定3.2.2 风险评估和管理4.网络访问控制4.1 身份认证4.1.1 用户身份认证4.1.2 设备身份认证4.2 访问控制列表4.2.1 网络边界访问控制 4.2.2 内部访问控制4.3 资源权限管理4.3.1 用户授权管理4.3.2 角色权限管理5.通信安全5.1 数据加密5.2 网络隔离5.3 网络流量监测6.系统安全6.1 操作系统安全配置6.1.1 账户管理6.1.2 安全补丁管理6.2 应用程序安全6.2.1 安全开发规范6.2.2 漏洞扫描和修复7.日志审计与事件响应7.1 日志管理7.1.1 日志收集7.1.2 日志分析7.2 应急响应7.2.1 安全事件分级7.2.2 应急响应计划8.物理安全8.1 机房安全8.1.1 门禁与监控系统 8.1.2 机房环境监测 8.2 设备安全8.2.1 设备防护措施8.2.2 设备备份和恢复9.漏洞管理9.1 漏洞扫描9.2 漏洞评估9.3 漏洞修复10.文件和数据备份10.1 数据备份策略10.2 数据恢复测试11.域名管理11.1 域名注册和管理11.2 域名解析安全12.附件12.1 附件1：网络架构图12.2 附件2：安全策略文件12.3 附件3：漏洞扫描报告法律名词及注释：1.《网络安全法》：中华人民共和国国家法律，旨在加强网络安全保护，维护网络空间主权。
2.《个人信息保护法》：中华人民共和国国家法律，规定个人信息的收集、存储、处理和保护等方面的要求。
3.《电子签名法》：中华人民共和国国家法律，规定电子签名的认证、有效性和法律效应。
4.《计算机软件保护条例》：中华人民共和国国家法律，保护计算机软件的知识产权。
信息系统等级保护测评指标
信息系统等级保护测评指标信息系统等级保护（Information System Security Evaluation Criteria，简称ISSEC）是由中国国家信息安全测评中心制定的一套信息系统安全评估标准，旨在对各级信息系统进行安全评估，指导信息系统的构建和管理。
ISSEC体系包括五个等级，分别为一级（C1）、二级（C2）、三级（B1）、四级（B2）和五级（A1），每个等级都有特定的评估指标。
以下是ISSEC的测评指标：1.安全策略和管理-核心安全价值观的定义和落地-安全管理制度、安全责任制和安全宣导制度的建立-安全标准和规范的制定和实施-可信计算和可信网络的建设和管理2.安全风险管理-安全风险评估和风险管理策略的制定-安全需求分析和安全架构设计-安全控制措施的选择、实施和测试-安全事件响应和事故处置能力的建立3.认证和身份鉴别-用户身份鉴别和访问控制的实施-身份认证、会话管理和权限管理的支持-安全认证技术的选择和应用-密码词典管理、密码策略和密码保护措施的实施4.数据和应用安全-数据分类和安全等级保护措施的实施-信息系统应用程序开发和测试的安全要求-数据备份、恢复和业务连续性计划的建立-存储和传输的数据加密和防护控制5.网络和设备安全-网络拓扑设计和访问边界的安全保护-网络设备配置和访问控制的实施-网络安全监测、入侵检测和防御的建立-网络通信的加密和虚拟专用网络的建设6.物理安全和环境保护-机房、数据中心和服务器的物理安全保障-硬件设备和存储介质的丢失和破坏防护-电源供应和配电系统的可靠性和安全性-火灾保护、环境监测和灾难恢复计划的建立7.信息安全教育和培训-员工、用户和管理人员的信息安全意识教育-安全培训的内容和方法的制定-组织和开展安全演练和应急预案的训练-信息安全文化建设和社会责任教育以上只是ISSEC测评指标的一部分，整个体系涵盖了信息系统在不同方面的安全保护要求。
通过对这些指标的评估和评定，可以帮助组织构建更加安全可靠的信息系统，提升信息系统的保密性、完整性和可用性，从而更好地保护信息资产的安全。
信息安全等级保护测评技术规格书
信息安全等级保护测评技术规格书一、项目概述:随着网络安全法的正式施行, 网络安全等级保护工作上升为一项基本国策。
与此同时, 跟随网络安全法配套的各项规章条例以及标准规范也逐一落实, 2018年6月27日, 公安部发布《网络安全等级保护条例（征求意见稿）》（以下简称“《保护条例》”）。
作为《网络安全法》的重要配套法规, 《保护条例》对网络安全等级保护的适用范围、各监管部门的职责、网络运营者的安全保护义务以及网络安全等级保护建设提出了更加具体、操作性也更强的要求。
为此, 我公司提出了《信息系统信息安全测评项目》, 项目旨参照相关安全安全标准对我公司目前运行的信息系统开展安全测评, 确保其高效、稳定、安全地运行。
欢迎国内具有独立承担民事责任的企业, 具备相关资格（具备信息安全等级保护测评资质）条件的供应商参加。
二、项目实施范围:芜湖新兴铸管有限责任公司的信息安全等级保护测评服务项目, 等保测评级别按国家对我公司信息安全等级保护工作的相关法律和技术标准要求执行。
定级系统: （二级）①公司OA办公系统；②物流系统；③采购系统；④质量中心系统；⑤炼铁部-工业网络系统；⑥铸管部-工业网络系统；工作范围包括我公司的等保检测定级、公安系统备案、建设整改、测评报告等工作, 完成国家相关部门对我公司的信息安全要求。
项目实施内容:1.安全检查（1）信息安全现状问题检查, 包括信息安全管理、信息安全技术、信息安全运维等各方面问题分析；（2）信息安全存在的主要问题及风险, 包括信息安全管理、信息安全技术、信息安全运维等各方面存在的问题及期潜在风险；（3）信息安全问题改进建议, 包括信息安全管理、信息安全技术、信息安全运维等各方面整改建议、具体实施方案以及改进期望值。
2.信息安全等级保护检测根据国家对信息安全等级保护工作的相关法律和技术标准要求, 结合本项目的系统保护等级开展实施与之相应的检查工作, 具体检查内容应包括：对信息系统进行等级保护差距测评, 测评内容包括物理安全、网络安全、主机安全、应用安全、数据安全及备份、安全管理。
信息系统等级保护测评指标(二级与三级)
工作的总体目标、范围、原则和安全框架等
管理制度（G2） 应对安全管理活动中重要的管理内容建立安全管理制度
应对安全管理人员或操作人员执行的重要管理操作建立操
作规程
应指定或授权专门的部门或人员负责安全管理制度的制定
制定和发布（G2） 应组织相关人员对制定的安全管理制度进行论证和审定
应将安全管理制度以某种方式发布到相关人员手中
分类 应用安全
子类 安全审计（G2） 入侵防范（G2） 恶意代码防范
（G2） 资源控制（A2）
身份鉴别（S2）
访问控制（S2）
安全审计（G2）
基本要求 些帐户的默认口令 应及时删除多余的、过期的帐户、避免共享帐户的存在 审计范围应覆盖到服务器上的每个操作系统用户和数据库 用户 审计内容应包括重要用户行为、系统资源的异常使用和重要 系统命令的使用等系统内重要的安全相关事件 审计记录应包括事件的日期、时间、类型、主体标识、客体 标识和结果等 应保护审计记录，避免受到未预期的删除、修改或覆盖等 操作系统应遵循最小安装的原则，仅安装需要的组件和应用 程序，并通过设置升级服务器等方式保持系统补丁及时得到 更新 应安装防恶意代码软件，并及时更新防恶意代码软件版本和 恶意代码库 应支持防恶意代码软件的统一管理 应通过设定终端接入方式、网络地址范围等条件限制终端登 录 应根据安全策略设置登录终端的操作超时锁定 应限制单个用户对系统资源的最大或最小使用限度 应提供专用的登录控制模块对登录用户进行身份标识和鉴 别 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证 应用系统中不存在重复用户身份标识，身份鉴别信息不易被 冒用 应提供登录失败处理功能，可采取结束会话、限制非法登录 次数和自动退出等措施 应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别 信息复杂度检查以及登录失败处理功能，并根据安全策略配 置相关参数 应提供访问控制功能，依据安全策略控制用户对文件、数据 库表等客体的访问 访问控制的覆盖范围应包括与资源访问相关的主体、客体及 它们之间的操作 应由授权主体配置访问控制策略，并严格限制默认帐户的访 问权限 应授予不同帐户为完成各自承担任务所需的最小权限，并在 它们之间形成相互制约的关系 应提供覆盖到每个用户的安全审计功能，对应用系统重要安 全事件进行审计 应保证无法删除、修改或覆盖审计记录 审计记录的内容至少应包括事件日期、时间、发起者信息、 类型、描述和结果等
信息安全系统技术网络安全系统等级保护测评要求
信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。
但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。
根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。
1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。
这就要求等级测评过程规范、测评结论准确、公正及可重现。
《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。
作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。
信息安全技术网络安全等级保护云计算测评指引
信息安全技术网络安全等级保护云计算测评指引信息安全技术网络安全等级保护云计算测评指引是为了对云计算环境下的信息安全性进行评估和保护而制定的指导方针。
云计算作为一种新兴的计算模式，提供了大规模的计算能力和数据存储服务，但同时也带来了新的安全挑战。
因此，为了保护用户的数据安全和隐私，有必要制定相应的测评指引。
一、测评目的该测评指引的目的是为了评估和保护云计算环境下的信息安全性，包括数据的机密性、完整性和可用性，以及计算资源的合规性和可信度。
通过对云计算环境的综合评估，可以建立安全保护措施和流程，为用户提供更可靠的云服务。
二、测评内容1.云计算基础设施的安全性评估：包括云计算平台的物理安全措施、网络安全措施、系统安全措施等方面的评估，以保证基础设施的安全性。
2.云计算服务的安全性评估：包括云计算服务提供商的安全管理措施、身份认证与访问控制、数据加密与隔离、数据备份与恢复等方面的评估，以保证云服务的安全性。
3.云计算数据的安全性评估：包括数据的保密性、数据的完整性、数据的可用性、数据的溯源能力等方面的评估，以保证用户数据的安全性。
4.云计算合规性评估：包括对云计算服务提供商的合规性管理、数据隐私保护、个人信息保护等方面的评估，以保证用户合规要求的满足。
三、测评方法1.基于风险管理的方法：根据云计算环境中的风险特征，进行风险评估和分级，将风险作为测评的出发点，制定相应的信息安全控制措施。
2.基于漏洞分析的方法：对云计算环境中可能存在的漏洞进行分析和评估，发现潜在的风险，并提出相应的修复方案和补丁。
3.基于威胁情报的方法：利用威胁情报分析和监测技术，对云计算环境中的威胁进行实时监测和预警，及时采取安全防护措施。
四、测评指标根据上述测评内容和方法，可以制定相应的测评指标，如物理安全指标、网络安全指标、系统安全指标、身份认证与访问控制指标、数据加密与隔离指标、数据备份与恢复指标、数据保密性指标、数据完整性指标等，以评估和保证云计算环境下的信息安全性。
信息系统安全等级保护测评报告
信息系统安全等级保护测评报告一、概述本次测评的信息系统为[系统名称]，该系统承担着[主要业务功能]等重要任务。
根据相关规定和要求，对其进行安全等级保护测评。
二、测评依据[列出具体的测评依据标准和文件]三、被测信息系统情况（一）系统基本信息详细描述系统的名称、部署环境、网络拓扑结构等。
（二）业务情况阐述系统所涉及的业务流程、数据类型及重要性等。
四、安全物理环境（一）物理位置选择评估机房选址是否符合安全要求。
（二）物理访问控制包括门禁系统、监控设施等的有效性。
（三）防盗窃和防破坏检测是否具备相应的防范措施。
（四）防雷击、防火、防水和防潮描述相关设施和措施的配备情况。
（五）防静电防静电措施的有效性。
（六）温湿度控制机房内温湿度的控制情况。
（七）电力供应备用电源等保障情况。
五、安全通信网络（一）网络架构分析网络拓扑的合理性和安全性。
（二）通信传输加密措施、完整性保护等情况。
（三）网络访问控制防火墙、ACL 等配置的有效性。
（四）拨号访问控制是否存在拨号访问及安全控制情况。
六、安全区域边界（一）边界防护检查边界防护设备的部署和配置。
（二）访问控制访问控制策略的合理性。
（三）入侵防范入侵检测系统或防御系统的有效性。
（四）恶意代码防范防病毒系统的部署和更新情况。
（五）安全审计审计记录的完整性和可用性。
七、安全计算环境（一）身份鉴别用户身份认证机制的安全性。
（二）访问控制权限分配和管理情况。
（三）安全审计系统内审计功能的有效性。
（四）剩余信息保护数据清理机制的完善性。
（五）入侵防范主机入侵防范措施的有效性。
（六）恶意代码防范主机防病毒措施的情况。
（七）资源控制资源分配和监控机制。
八、安全管理中心（一）系统管理系统管理员的权限和操作规范。
（二）审计管理审计管理员的职责和审计记录管理。
（三）安全管理安全策略的制定和执行情况。
九、安全管理制度（一）管理制度各项安全管理制度的健全性。
（二）制定和发布制度的制定和发布流程。
信息安全技术信息系统安全等级保护测评要求
信息安全技术信息系统安全等级保护测评要求在当今数字化的时代，信息系统已经成为了各个组织和企业运营的核心支撑。
从金融机构的交易系统到医疗机构的患者信息管理系统，从政府部门的政务服务平台到企业的生产管理系统，信息系统的广泛应用带来了巨大的便利和效率提升，但同时也伴随着日益严峻的安全挑战。
为了保障信息系统的安全可靠运行，保护公民、法人和其他组织的合法权益，我国推行了信息系统安全等级保护制度，而其中的测评要求则是确保这一制度有效实施的关键环节。
信息系统安全等级保护测评是指依据国家有关信息安全等级保护的标准规范，对信息系统的安全保护状况进行检测评估的活动。
其目的在于发现信息系统中存在的安全漏洞和风险，提出相应的整改建议，以提高信息系统的安全防护能力，使其达到相应的安全等级要求。
在进行信息系统安全等级保护测评时，首先需要明确测评的对象和范围。
信息系统包括了硬件、软件、数据、人员、环境等多个方面，测评应涵盖信息系统的全部组成部分。
同时，还需要根据信息系统的业务功能、服务范围、用户群体等因素，确定其安全等级。
我国的信息系统安全等级分为五级，从第一级到第五级，安全要求逐步提高。
测评的内容主要包括物理安全、网络安全、主机安全、应用安全、数据安全和安全管理等多个方面。
物理安全主要关注信息系统所在的物理环境，如机房的防火、防水、防盗，设备的供电、散热等。
网络安全则涉及网络拓扑结构、访问控制、网络设备的安全配置等。
主机安全包括操作系统、数据库系统的安全设置，以及服务器的漏洞扫描和加固。
应用安全侧重于应用软件的安全性，如身份认证、权限管理、数据加密等。
数据安全重点考察数据的备份恢复、数据的保密性和完整性。
安全管理则涵盖安全管理制度的制定和执行、人员的安全培训和意识教育等。
在测评过程中，需要遵循一系列的标准和规范。
这些标准和规范为测评工作提供了统一的方法和依据，确保测评结果的客观、准确和可比。
例如，《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）、《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）等。
信息系统安全等级保护测评及服务要求
信息系统安全等级保护测评及服务要求
一、绪论
信息系统的安全等级保护是当前信息化建设中不可或缺的一环，是保护系统数据安全的关键环节。
安全等级保护是一项复杂的工作，涉及到信息安全的方方面面，必须综合考虑用户需求、技术可行性和系统的可实施性，考虑系统的安全性、可靠性、稳定性、完整性、便捷性等诸多方面，才能在信息系统中实现安全等级保护;安全等级保护的服务要求也包括安全等级保护的规范、安全技术策略和安全管理体系的实施、建设，以及安全运行、维修等服务。
本文将针对这些问题，结合实际，系统地论述信息系统安全等级保护测评及服务要求。
二、安全等级保护测评
1、定义安全等级
安全等级保护测评的第一步是确定安全等级，安全等级的确定是根据信息系统安全目标和安全性能指标确定。
在确定安全等级时，需要根据系统的安全目标，清楚的认识系统中可能发生的安全威胁和风险，并分析可能发生的影响，从而确定相应安全等级的需求。
2、开展安全等级保护测评
安全等级保护测评的第二步是开展安全等级保护测评。
第三级信息系统等级保护服务内容与技术要求
第三级信息系统等级保护服务内容与技术要求第三级信息系统等级保护服务的内容和技术要求一、项目概述根据《中华人民共和国网络安全法》，为加强网络安全与信息化工作，提高网络安全防护水平，落实信息系统安全等级保护制度，需要采购第三方专业测评机构的服务。
该机构将协助完成定级备案工作、等级测评工作、安全整改工作和监督检查工作。
二、服务内容与要求信息安全等级保护工作共分为五步，包括“定级、备案、建设整改、等级测评、监督检查”。
该项目主要完成系统的定级、备案和等级测评工作。
等级测评工作依据安全技术和安全管理两个方面的测评要求，分别从“安全物理环境”、“安全通信网络”、“安全区域边界”、“安全计算环境”和“安全管理中心”进行安全测评。
1.定级该项工作主要依据《信息系统安全等级保护定级指南》（GB/T-2008）确定系统等级。
根据等级保护2.0最新要求，安全保护等级初步确定为二级及以上的等级保护对象，其网络运营者依据本标准组织进行专家评审、主管部门核准和备案审核，最终确定其安全保护等级。
注：安全保护等级初步确定为第一级的等级保护对象，其网络运营者可依据本标准自行确定最终安全保护等级，可不进行专家评审、主管部门核准和备案审核。
2.备案信息系统的安全保护等级确定后，二级以上（含二级）信息系统的运营使用单位或主管部门应到属地公安机关办理备案手续。
跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，向当地设区的市级以上公安机关备案。
完成备案的信息系统，将获得公安机关颁发的《信息系统安全等级保护备案证明》。
此次项目拟对以下信息系统开展定级备案及等级测评工作。
信息系统名称及安全保护等级如下表：序号系统名称等级1 信息中心系统1 第三级2 信息中心系统2 第三级3 监管平台系统1 第三级单项测评结果判定在等级测评工作的分析与报告编制阶段，需要通过单项测评结果判定来找出系统的安全保护现状与相应等级的保护要求之间的差距。
这个阶段还需要通过单元测评结果判定、整体测评和风险分析等方法，分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成《信息系统安全等级测评报告》文本。
信息安全技术网络安全等级保护测评要求
信息安全技术网络安全等级保护测评要求随着互联网和信息技术的快速发展，网络安全问题也日益突出，对信息安全的保护引起了广泛关注。
为了确保信息系统及网络的安全性，我国于2024年开始推行信息安全技术网络安全等级保护测评制度。
该制度旨在对我国各类信息系统和网络进行评估与分类，为信息系统用户在选择合适的信息系统提供参考。
其次，信息安全技术网络安全等级保护测评要求评测对象能够提供完整、真实和准确的信息。
评测对象应提供有关信息系统和网络的基本信息、软硬件配置、网络拓扑、安全策略和安全防御措施等资料，以便对其进行全面的测评。
评测对象可通过书面报告、流程图、技术文档等方式提供这些信息。
第三，在信息安全技术网络安全等级保护测评中，要求评测机构按照测评计划进行测评工作，并确保测试环境的真实性。
评测机构应编制详细的测评计划，明确测评的目的、范围和方法，并根据实际情况调整计划。
同时，评测机构应搭建真实的测试环境，确保能够模拟恶意攻击和各种安全事件的发生，并对评测结果进行客观和准确的分析。
第四，在信息安全技术网络安全等级保护测评中，要求评测机构对评测结果进行详细的报告和建议。
评测报告应包括评测对象的安全状态、存在的安全隐患、安全事件的发生概率等，同时给出改进建议和措施。
评测机构还应对评测结果进行保密处理，确保测评过程和结果不泄露给非评测参与方。
最后，在信息安全技术网络安全等级保护测评中，要求评测机构对测评工作进行记录和备份，确保测评结果的完整性和可溯性。
评测机构应记录测评过程、操作和结果，以备查证。
评测机构还应将评测结果备份，避免因不可抗力因素导致数据丢失或篡改。
综上所述，信息安全技术网络安全等级保护测评要求包括测评机构具备合法和可信的资质、评测对象提供完整、真实和准确的信息、评测按计划进行并确保测试环境的真实性、评测结果报告和建议、测评工作的记录和备份等。
这些要求旨在确保测评的准确性和可信度，为信息系统用户提供安全可靠的选择参考。
信息安全技术—网络安全等级保护测评要求
信息安全技术—网络安全等级保护测评要求信息安全技术现在正在迅猛发展，保护网络安全等级也是一件重要的事情。
全世界各地的企业都在逐步确立他们的安全系统要求，网络安全也必须在安全的环境中进行测评。
现代的网络安全面临着各种威胁，比如黑客攻击、木马病毒、资料转移、资料窃取和数据恢复等。
为了保护网络系统和敏感资料，对网络安全等级的测评也变得非常重要。
在进行网络安全测评之前，就必须确定网络安全等级保护测评要求。
网络安全等级保护测评要求一般分为四个级别：安全审计、网络安全和信息安全、数据安全以及应用安全。
首先，安全审计是关于进行网络安全等级保护测评的重要要求之一。
安全审计可以帮助确认政策和流程的实施情况，以及安全组织的有效性。
它还可以提供安全风险的评估，以采取有效的措施抵御攻击。
安全审计也可以发现看不见的安全漏洞和弱点，帮助确定合适的安全措施以改善网络安全。
第二，网络安全和信息安全可以保障数据在网络设施和服务器中的安全性。
它们可以提供数据安全和隐私保护方面的支持，包括确保数据在传输过程中不会被窃取和篡改，以及维护数据库完整性等。
第三，数据安全可以帮助确保数据的安全性，并有助于保护公司的敏感信息。
它可以提供有效的安全服务，提供数据备份和恢复服务，并确保数据隔离和保密性。
最后，应用安全能够有效地防止恶意代码和攻击。
它还可以强化访问控制，并为用户提供可靠的安全保障。
总的来说，网络安全等级保护测评要求是非常重要的，它可以帮助企业提高信息安全等级，确保网络安全可以得到有效的保护。
确定测评要求的过程中，企业应当根据自身的情况及网络安全特点来制定具体的测评要求，以确保其网络安全等级能够达到安全的要求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全等级保护测评及服务技术参数
一、资质要求
1.投标人必须是全国等级保护测评机构推荐目录中的推荐机构。
非本地机构参与投标时，必须提供湖北省公安厅认定的《等级测评机构异地测评项目备案表》。
2.投标人至少有1名高级测评师，委派参与工程实施的测评人员必须具有公安部颁发的测评资格证（投标时须提供相关的证明材料）。
3.投标方使用的技术装备、设施须符合《信息安全等级保护管理办法》中对信息安全产品的要求。
4.投标人必须拥有ISCCC信息安全服务资质或其他信息安全服务资质（投标时须提供相关的证明材料）。
二、测评系统目录
投标方须按照国家有关技术规范要求，完成表1和表2所列信息系统的等级保护测评及技术服务工作。
其中表1所列的三级系统，需要在2016年11月20日之前完成所有的测评，并配合校方完成整改、复测评和备案工作。
表1 三级系统目录
表2 二级系统目录
特别说明：招标方可以根据学校实际情况，对表2中所列系统名称、安全保护等级级别做适当调整。
三、项目任务
投标人在本项目中，须完成以下工作：
1.协助完成定级备案的相关工作
协助完成测评范围所列信息系统的定级备案工作。
按照信息安全等级保护要求，提供定级、备案相关的信息安全技术服务，协助校方完成等级保护定级及备案阶段的相关工作，包括但不限于：撰写备案材料和定级相关报告、协助组织定级评审、办理备案相关手续等。
2. 完成测评范围中所有信息系统的测评工作
依据《GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》、《GB/T 20984-2007 信息安全技术信息安全风险评估规范》、《GB/T 22080-2008 信息技术安全技术信息安全管理体系要求》、《GB/T 22081-2008 信息技术安全技术信息安全管理实用规则》等标准的要求，完成表1和表2所列信息系统的现场测评工作。
测评内容应包括但不限于以下内容：
（1）安全技术测评：包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个方面的安全测评；
（2）安全管理测评：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全测评；
（3）系统整体测评：控制间测评、层面间测评、区域间测评、系统结构安全测评。
3．完成测评服务相关文档
出具的测评服务记录或报告文档包括：测评记录、系统风险评估报告、系统整改加固建议、信息系统等级保护测评报告等。
4．完成安全隐患整改指导与复测评工作
提供安全隐患整改指导与安全加固服务，并协助建立和完善相关制度。
在校方完成相应的整改工作后，对整改项进行复测评，出具复测报告，确保信息系统备案工作的完成。
5．为学校相关人员提供与测评工作相关的培训服务。
6. 完成其他相关的工作。
四、其他要求
1.投标人须在投标之前做充分的现场调研工作，对拟测评的信息系统现状有足够的了
解，并确定能够按期完成相关工作。
2.投标文件须提供分项报价表。
3.投标人必须为本项目成立专门测评工作组，参与现场的持证测评师不少于3人，且中级及以上等级测评师不少于1人（必须在投标文件中附相关证明文件）。
4.投标人须具有信息安全等级保护第三级或以上测评实施经验和案例(必须在投标文件中提供相关证明材料)。
5.投标人应按照等级保护测评工作规范要求，制定详细工作计划和方案，包括定级、备案、测评、整改建议、复测等全过程内容及计划工期。
工作计划和方案必须在投标文件有明确说明。