新版等级保护三级管理测评.pdf
新版等级保护分级保护.pdf
新版等级保护分级保护.pdf等级保护/分级保护目录1等级保护FAQ (3)1.1什么是等级保护、有什么用？ (3)1.2信息安全等级保护制度的意义与作用？ (3)1.3等级保护与分级保护各分为几个等级，对应关系是什么？ (3)1.4等级保护的重要信息系统（8+2）有哪些？ (4)1.5等级保护的主管部门是谁？ (4)1.6国家密码管理部门在等级保护/分级保护工作中的职责是什么？(4)1.7等级保护的政策依据是哪个文件？ (4)1.8公安机关对等级保护的管理模式是什么，等级保护定级到哪里备案？ (5)1.9等级保护是否是强制性的，可以不做吗？ (5)1.10等级保护的主要标准有哪些，是否已发布为正式的国家标准？(5)1.11哪些单位可以做等级保护的测评？ (6)1.12做了等级测评之后，是否会给发合格证书？ (6)1.13是否只是在政府行业实行？企业是否也在等级保护和分级保护范畴之内？ (6)1.14等级保护检查的责任单位是谁？ (7)2分级保护FAQ (7)2.1分级保护是什么？ (7)2.2分级保护的主管部门是谁？ (7)2.3分级保护定级到哪里备案？ (7)2.4分级保护的政策依据是哪个文件？ (7)2.5分级保护与等级保护的适用对象分别是什么？ (7)2.6分级保护有关信息安全的标准相互关系是什么？ (8)2.7分级保护与等级保护的定级依据有何区别？ (8)2.8分级保护的建设依据、方案设计、测评分别依据哪些标准？ (8)2.9分级保护设计方案是否需要经过评审和审批，谁来评审和审批？(8)2.10涉密信息系统投入使用前，是否需要经过审批，由谁来审批？(8)2.11分级保护系统测评的作用是什么，是否必须做？ (9)2.12哪些单位可以做分级保护的测评，有什么资质要求？ (9)2.13分级保护对涉密系统中使用的安全保密产品有哪些要求？ (9)2.14涉密系统分级保护多长时间需进行一次安全保密检查？ (9)2.15各级保密局与各单位保密办的关系是什么？ (10)2.16分级保护的系统集成对厂商的资质有什么要求？ (10)2.17分级保护的安全建设是否必须监理，对监理资质有什么要求？(10)2.18分级保护的哪些具体工作对厂商有单项资质的要求？ (10)3综合问题 (11)3.1等保与分保的本质区别是什么？ (11)3.2等保与分保各有几种级别？ (11)3.3等级保护/分级保护什么区别哪些部门在管理，怎么做？ (11)3.4企业出现泄密事件上报那些单位？ (11)3.5等保定级备案是依据单位还是系统？ (12)3.6风险评估和等级保护的关系？ (12)3.7方案设计阶段及实施前是否需要报批？ (12)3.8对于等保中产品使用及密码产品是否有要求？ (12)等级保护/分级保护FAQ1等级保护FAQ1.1什么是等级保护、有什么用？【解释】是我国实施信息安全管理的一项法定制度，1994年147号令、2003年27号文件、2004年66号文件都有明确规定，信息系统安全实施等级化保护和等级化管理。
等级保护安全管理中心三级通用测评项要求解读
安全管理中心按照“一个中心，三重防御”的纵深防御思想，安全管理中心就是纵深防御体系的大脑，即通过安全管理中心实现技术层面的系统管理、审计管理和安全管理，同时对高级别的等级保护对象进行集中管控。
这里的安全管理中心既不是一个机构，也不是一个产品，而是一个技术管控枢纽，通过管理区域实现管理，并通过技术工具实现一定程度上的集中管理。
安全管理中心针对整个系统提出了安全管理方面的技术控制要求，通过技术手段实现集中管理，涉及的安全控制点包括系统管理、审计管理、安全管理和集中管控。
1系统管理系统管理是由系统管理员实施的。
系统管理可以对每个设备单独进行管理，也可以通过统一的管理平台集中管理。
系统管理主要关注是否对系统管理员进行身份鉴别、是否只允许系统管理员通过特定的命令或操作界面进行系统管理操作、是否对系统管理操作进行审计。
系统管理的主要目的是确保系统管理操作的安全性。
1.1应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计应对系统管理员进行身份认证并严格限制系统管理员账户的管理权限，仅允许系统管理员通过特定的方式进行系统管理操作，并对所有操作进行详细的审计。
1.2应通过系统管理员对系统的资源和运行进行配置、控制和管理，包括用户身份、系统资源配置、系统加载和启动、系统运行的异常处理、数据和设备的备份与恢复等系统管理操作应由系统管理员完成，其管理和操作内容应有别于审计管理员和安全管理员。
2审计管理审计管理是由审计管理员实施的。
审计管理可以对每个设备单独进行管理，也可以通过统一的日志审计平台集中管理。
审计管理主要关注是否对审计管理员进行身份鉴别、是否只允许审计管理员通过特定的命令或操作界面进行审计管理操作、是否对审计管理操作进行审计。
审计管理的主要目的是确保审计管理操作的安全性。
2.1应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计应对审计管理员进行身份认证并严格限制审计管理员账户的管理权限，仅允许审计管理员通过特定的方式进行审计管理操作，并对所有操作进行详细的审计。
等级保护2.0 三级 概述
等级保护2.0 三级概述等级保护2.0（等保2.0）是我国信息安全保障的基本制度，其三级标准是在法律法规的基础上，对信息系统安全、物理和环境安全、网络通信安全、设备和计算安全、应用和数据安全、安全管理、评估与审计、应急响应等方面提出的具体要求。
1. 法律法规基础：等保2.0三级依据国家法律法规和标准，对信息系统的合规性进行严格要求，确保信息系统符合法律法规的要求。
2. 信息系统安全：等保2.0三级对信息系统的安全性提出更高要求，包括信息的保密性、完整性和可用性等。
3. 物理和环境安全：等保2.0三级强调物理和环境安全，对物理访问控制、物理安全监测等提出具体要求。
4. 网络通信安全：等保2.0三级在网络通信安全方面要求建立完善的网络安全体系，包括网络隔离、入侵检测、漏洞扫描等。
5. 设备和计算安全：等保2.0三级对设备和计算安全提出要求，包括防病毒、身份认证、访问控制等。
6. 应用和数据安全：等保2.0三级要求应用和数据安全得到保障，包括数据加密、数据备份等。
7. 安全管理：等保2.0三级强调安全管理，要求建立完善的安全管理体系，包括安全组织、安全策略、安全制度等。
8. 评估与审计：等保2.0三级要求对信息系统进行定期的评估和审计，确保信息系统的安全性。
9. 应急响应：等保2.0三级要求建立完善的应急响应机制，包括应急预案、应急演练等。
10. 技术要求符合性验证：等保2.0三级还要求对各项安全技术要求进行符合性验证，确保各项安全措施的有效性。
11. 人员安全：等保2.0三级强调人员安全的重要性，包括对员工的安全培训、岗位管理以及权限管理等方面提出了具体要求。
12. 供应链安全：等保2.0三级要求对供应链安全进行管理，包括对供应商的评估、管理以及控制等方面提出了具体要求。
通过满足等级保护2.0三级的要求，组织可以有效地提高信息系统的安全防护能力，减少安全风险，保障业务的正常运行。
等级保护三级管理系统测评
应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
网络安全管理
70.
应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。
访谈，检查。
安全主管，安全管理员，网络管理员，网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。
三级管理要求(S3A3G3)
等级保护三级管理类测评控制点(S3A3G3)
类别
序号
测评内容
测评方法
结果记录
符合情况
Y
N
O
岗位设置
1.
应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人岗位，定义各负责人的职责。
访谈，检查。安全主管，安全管理某方面的负责人，部门、岗位职责文件。
2.
应设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责。
3.
应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权。
4.
应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
人员配备
5.
应配备一定数量的系统管理员、网络管理员、安全管理员等。
访谈，检查。安全主管，人员配备要求的相关文档，管理人员名单。
79.
应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补。
80.
应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装。
81.
应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定。
2023等保三级测评标准
2023等保三级测评标准简介2023年等级保护测评标准（以下简称“等保三级标准”）是根据国家网络安全等级保护的要求，为评估和测定网络安全保护能力而制定的标准。
等保三级标准是我国网络安全行业的重要参考依据，对于提升网络安全保护水平和防范网络安全威胁具有重要意义。
标准要求等保三级标准包括六个方面的要求，分别为：物理安全、主机安全、网络安全、应用安全、数据安全和管理安全。
物理安全物理安全是指防止物理设备和资源遭受不恰当访问、破坏和干扰的措施。
等保三级标准要求加强物理安全管理，包括安全围墙、门禁系统、监控设备等控制措施的建设和运维。
主机安全主机安全是指保护主机资源免受未经授权的访问和破坏的控制措施。
等保三级标准要求加强主机安全管理，包括操作系统安全、软件安全更新、远程登录管理等方面的要求。
网络安全网络安全是指保护网络免受未经授权的访问和攻击的控制措施。
等保三级标准要求加强网络安全管理，包括网络边界防护、入侵检测与防御系统、虚拟专用网络等方面的要求。
应用安全应用安全是指保护应用程序免受未经授权的访问和攻击的控制措施。
等保三级标准要求加强应用安全管理，包括代码审查、访问控制、漏洞扫描等方面的要求。
数据安全数据安全是指保护重要数据免受泄露、篡改和毁坏的控制措施。
等保三级标准要求加强数据安全管理，包括数据备份与恢复、加密传输、权限管理等方面的要求。
管理安全管理安全是指保护信息系统运营过程中的管理活动不被未经授权的个人或实体干扰和破坏的控制措施。
等保三级标准要求加强管理安全管理，包括安全培训、安全策略与规程、事件响应等方面的要求。
实施步骤根据等保三级标准，组织需要按照以下步骤进行测评实施： 1. 准备工作：明确测评的目标，组织相关人员和资源，制定测试计划和时间表。
2. 测评准备：完成测评相关的文档准备、设备配置和网络环境准备。
3. 测评执行：根据标准要求，依次对物理安全、主机安全、网络安全、应用安全、数据安全和管理安全进行测评。
信息安全系统等级保护三级测评控制点概要
重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。
防盗窃和防破坏
7.
应将主要设备放置在机房内。
访谈，检查。
物理安全负责人，机房维护人员，资产管理员，机房设施，设备管理制度文档，通信线路布线文档，报警设施的安装测试/验收报告。
8.
应将设备或主要部件进行固定，并设置明显的不易除去的标记。
9.
应将通信线缆铺设在隐蔽处，可铺设在地下或管道中。
审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户。
访谈，检查，测试。
安全审计员，服务器操作系统、数据库和重要终端操作系统。
80.
审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件。
81.
审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。
22.
应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。
防静电
23.
主要设备应采用必要的接地防静电措施。
访谈，检查。
物理安全负责人，机房维护人员，机房设施，防静电设计/验收文档。
24.
机房应采用防静电地板。
温湿度控制
25.
应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内。
应用系统管理员，应用系统，设计/验收文档，操作规程。
99.
应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别。
100.
应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用。
101.
应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。
管理制度等保三级测评中的测评实施要点
管理制度等保三级测评中的测评实施要点（实用版2篇）篇1 目录一、引言二、管理制度等保三级测评的概述三、测评实施要点的具体内容四、实施要点在测评过程中的重要性五、结论篇1正文一、引言随着信息技术的迅速发展，信息安全问题日益突出。
管理制度等保三级测评作为一种有效的信息安全保障措施，越来越受到各企业和组织的重视。
本文将对管理制度等保三级测评中的测评实施要点进行探讨，以期为我国的信息安全建设提供参考。
二、管理制度等保三级测评的概述管理制度等保三级测评，即信息安全等级保护三级测评，是我国信息安全等级保护制度的重要组成部分。
该测评主要针对企业的信息安全管理制度、技术措施、应急响应等方面进行全面评估，以确保企业信息系统的安全稳定运行。
三、测评实施要点的具体内容测评实施要点主要包括以下几个方面：1.组织与管理：评估企业信息安全工作的组织架构、管理制度、人员配备等方面的情况，以确保企业有足够的人力、物力、财力来支持信息安全工作。
2.资产管理：评估企业对信息资产的管理情况，包括信息资产的识别、分类、评估、监控等环节，以确保企业对信息资产的安全保护。
3.访问控制：评估企业对信息系统的访问控制措施，包括身份认证、权限管理、访问审计等环节，以确保信息系统的访问安全。
4.物理安全：评估企业的物理安全措施，包括机房环境、设备安全、介质安全等环节，以确保信息系统的物理安全。
5.技术安全：评估企业信息系统的技术安全措施，包括网络安全、主机安全、数据安全等环节，以确保信息系统的技术安全。
6.应急响应：评估企业的应急响应能力，包括应急预案、应急演练、应急处置等环节，以确保企业在发生信息安全事件时能够及时、有效地进行应对。
四、实施要点在测评过程中的重要性在管理制度等保三级测评过程中，各个实施要点都具有举足轻重的地位。
只有各个要点都得到了充分的重视和落实，企业的信息安全防护体系才能更加完善，有效降低信息安全风险。
五、结论管理制度等保三级测评是保障企业信息安全的重要手段。
等保2.0管理测评文档清单(三级)
包括备份和冗余设备
明确维护人员的责任、维修和服务的审批、维修过程 的监督控制管理等
设备带离机房或办公地点的申报材料或审批记录
描述存在的漏洞、严重级别、原因分析和改进意见等 方面
具有安全整改应对措施文档
明确要求对网络和系统管理员用户进行分类，并定义 各个角色的责任和权限（比如：划分不同的管理角 色，系统管理权限与安全审计权限分离等）
需主管领导的批准签字
此处可举一个重要系统变更的案例
规定变更失败后的恢复流程
具有定期备份的重要业务信息、系统数据、软件系统 的列表或清单
备份方式、备份频度、存储介质和保存期等方面内容
覆盖数据的存放场所、文件命名规则、介质替换频率 、数据离站传输方法等方面 系统已发生的和需要防止发生的安全事件类型，明确 安全事件的现场处理、事件报告和后期恢复的管理职 责 记录引发安全事件的系统弱点、不同安全事件发生的 原因、处置过程、经验教训总结、补救措施等内容； 根据不同安全事件制定不同的处理和报告程序，明确 具体报告方式、报告内容、报告人等方面内容 覆盖启动应急预案的条件、应急处理流程、系统恢复 流程、事后教育和培训等方面 根据应急预案框架制定重要事件的应急预案（如针对 机房、系统、网络等各个层面）
11
外联单位联系列表
12
日常安全检查记录
审核和检查
13
审核和检查 全面安全检查记录
14
安全检查时的安全检查表、安全检查记录 和结果通告记录
15
人员安全管理文档
16
人员录用审查记录
17
人员录用
人员录用时的技能考核文档或记录
18
保密协议
19
岗位安全协议
等保三级每年测评一次的文件
等保三级每年测评一次的文件等保三级是指信息系统安全等级保护的一种评估标准，要求对系统进行每年一次的测评。
本文档旨在说明等保三级每年测评的相关流程和要求。
一、测评目的和意义等保三级每年测评的目的在于检验信息系统的安全性和合规性，确保系统能够达到等级保护要求，预防和及时发现安全隐患，保护信息资产的完整性、可用性和机密性，提高系统的稳定性和安全性，确保信息系统能够稳健运行。
二、测评要求1.测评频率：每年进行一次测评，确保及时发现和修复安全漏洞。
2.测评范围：对所有涉及等保三级的信息系统进行测评，包括硬件设备、软件系统、网络设备、数据库等。
3.测评方法：采用综合性的评估手段，包括漏洞扫描、风险评估、安全测试和安全审计等，确保系统的安全性全面评估。
4.测评内容：包括系统安全管理、身份认证和访问控制、数据加密和传输、安全审计和监控等方面的评估，确保系统满足等级保护要求。
三、测评流程1.测评计划制定：由安全管理人员根据系统特点制定测评计划，明确测评的时间、范围和方法。
2.测评准备工作：根据测评计划，准备测评所需的相关材料和环境，包括系统文档、安全策略、安全设备和测试工具等。
3.测评执行：按照测评计划进行系统漏洞扫描、风险评估、安全测试和安全审计等工作，记录发现的问题和建议。
4.安全漏洞修复：根据测评结果，及时修复系统中存在的安全漏洞并进行验证。
5.测评报告编写：根据测评结果和修复情况，编写测评报告，包括测评过程、发现的问题和改进建议等。
6.测评结果评审：由安全管理人员对报告进行评审，确认测评结果和整改情况。
7.整改工作落实：根据评审结果，及时落实整改措施，确保问题得到解决。
8.测评追踪和监督：对整改措施的落实进行监督和追踪，确保问题不再发生。
四、测评周期和改进1.测评周期：按照每年一次的原则进行测评，确保信息系统安全长效运行。
2.改进措施：根据测评结果和系统运行情况，及时调整和改进安全策略和控制措施，提升系统的安全性和稳定性。
三级等保每年测评测评要求
三级等保每年测评测评要求
根据国家信息安全等级保护管理办法，三级等保每年测评的要求如下：
1. 安全风险评估：评估系统或网络的安全风险，包括可能出现的威胁和漏洞。
2. 安全技术配置评估：评估系统或网络的安全技术配置情况，包括防火墙、入侵检测系统、反病毒系统等各种安全设备的部署和配置是否符合要求。
3. 安全管理制度评估：评估信息安全管理制度的建立与执行情况，包括安全策略、安全培训、安全管理人员的配置等。
4. 安全事件响应评估：评估系统或网络的安全事件响应能力，包括事件的监测、分析、处理与处置能力。
5. 安全加固评估：评估系统或网络的安全加固措施，包括系统补丁管理、权限控制、审计与监控等。
6. 安全防护管理评估：评估系统或网络的外部攻击和内部攻击的防护能力，包括防御外部攻击的安全设备、内部员工的安全意识培训等。
以上是三级等保每年测评的基本要求，具体的评估标准和流程可能会因地区和行业的不同而有所调整。
企业在完成测评后需要向相关部门进行报告和备案。
等保三级测评内容
等保三级测评内容一、等保三级测评概述等保三级测评是指对信息系统的安全等级进行评估，以确定其是否达到国家标准《信息安全技术等级保护管理规定》中规定的等保三级要求。
该测评主要包括四个方面：安全管理、安全技术、应急管理和安全保障。
其中，安全管理包括制度建设、内部控制和人员管理；安全技术包括网络安全、系统安全和数据安全；应急管理包括应急预案和演练；安全保障包括物理防护和环境控制。
二、等保三级测评流程1.前期准备阶段：确定测评范围、编制测评计划、组织受测单位进行自查自纠。
2.实地检查阶段：对受测单位进行实地检查，了解其信息系统的构成及相关情况。
3.问题整理阶段：将实地检查中发现的问题进行整理并形成问题清单。
4.问题分析阶段：对问题清单中的每个问题进行分析，并确定其严重程度及影响范围。
5.整改提报阶段：将问题清单及整改方案提报给受测单位，并督促其按照整改方案进行整改。
6.整改验收阶段：对受测单位进行整改验收，确认其是否达到等保三级要求。
7.报告编制阶段：根据实地检查及整改验收情况，编制等保三级测评报告。
三、等保三级测评标准1.安全管理标准：（1）制定并完善信息安全管理制度；（2）建立完善的内部控制机制；（3）加强人员管理，确保人员的安全意识和素质。
2.安全技术标准：（1）建立网络安全防护体系；（2）实施系统安全防护措施；（3）加强数据安全保护措施。
3.应急管理标准：（1）编制应急预案，并定期组织演练；（2）建立完善的应急响应机制。
4.安全保障标准：（1）采取物理防护措施，如门禁、监控等；（2）加强环境控制，如温湿度、电力供应等。
四、等保三级测评的意义1.提高信息系统的安全性和可靠性，有效避免信息泄露和攻击事件发生。
2.增强企业的社会形象和信誉度，提升市场竞争力。
3.符合国家法律法规的要求，避免违法行为带来的风险和损失。
4.为信息系统的持续发展提供有力保障，确保信息系统的稳定性和可持续性。
五、等保三级测评的注意事项1.在前期准备阶段要对受测单位进行详细了解，确定测评范围和目标，制定详细的测评计划。
三级等保评测文件
三级等保评测文件信息系统安全等级测评报告模板项目名称：委托单位：测评单位：年 月 日报告摘要一、测评工作概述概要描述被测信息系统的基本情况（可参考信息系统安全等级保护备案表），包括但不限于：系统的运营使用单位、投入运行时间、承载的业务情况、系统服务情况以及定级情况。
（见附件：信息系统安全等级保护备案表）描述等级测评工作的委托单位、测评单位和等级测评工作的开展过程，包括投入测评人员与设备情况、完成的具体工作内容统计（涉及的测评分类与项目数量，检查的网络互联与安全设备、主机、应用系统、管理文档数量，访谈人员次数）。
二、等级测评结果依据第4、5章的结果对等级测评结果进行汇总统计（测评项符合情况及比例、单元测评结果符合情况比例以及整体测评结果）；通过对信息系统基本安全保护状态的分析给出等级测评结论（结论为达标、基本达标、不达标）。
三、系统存在的主要问题依据6.3章节的分析结果，列出被测信息系统中存在的主要问题以及可能造成的后果（如，未部署DDos防御措施，易遭受DDos攻击，导致系统无法提供正常服务）。
四、系统安全建设、整改建议针对系统存在的主要问题提出安全建设、整改建议，是对第七章内容的提炼和简要描述。
报告基本信息信息系统基本情况系统名称 安全保护等级机房位置 中心机房灾备中心其他机房委托单位单位名称 单位地址 邮政编码联系人 姓名职务/职称 所属部门办公电话 移动电话电子邮件测评单位单位名称 通信地址 邮政编码联系人 姓名职务/职称 所属部办公电话门移动电话电子邮件报告 审核批准 编制人 日期 审核人 日期 批准人 日期声明声明是测评单位对于测评报告内容以及用途等有关事项做出的约定性陈述，包含但不限于以下内容：本报告中给出的结论仅对目标系统的当时状况有效，当测评工作完成后系统出现任何变更，涉及到的模块（或子系统）都应重新进行测评，本报告不再适用。
本报告中给出的结论不能作为对系统内相关产品的测评结论。
2023等保三级测评标准
2023等保三级测评标准
2023等保三级测评标准是指中国国家信息安全等级保护测评标准（GB/T 22239-2023）中规定的安全等级评估要求。
该标准适用于对政府机关、金融机构、电信运营商等重要信息系统进行安全等级测评。
下面是2023等保三级测评标准的主要内容：
1. 安全管理能力要求：包括组织管理、制度建设、安全策略与目标、安全人员配备等方面，要求被测评单位具备完善的安全管理体系和相关制度。
2. 系统建设要求：包括网络架构设计、系统安全配置、身份认证与访问控制、数据保护、应急响应与恢复等方面，要求被测评系统满足一定的技术要求和安全防护措施。
3. 安全事件管理要求：要求被测评单位建立健全的安全事件管理机制，包括安全事件监测与检测、安全事件响应与处置、安全事件溯源与分析等方面。
4. 安全审计与评估要求：要求被测评单位实施日常安全审
计和定期安全评估，包括安全漏洞扫描、风险评估、合规性审计等方面。
5. 安全培训与意识要求：要求被测评单位开展定期的安全培训和教育，提高人员的信息安全意识和技能。
6. 安全保障措施要求：要求被测评单位在物理安全、网络安全、应用安全、数据安全等方面采取一系列的安全保障措施，确保信息系统的整体安全性。
以上是2023等保三级测评标准的主要内容，该标准旨在帮助各类重要信息系统达到一定的安全等级要求，确保信息系统的安全运行和保护。
等保三级-安全管理-人员安全管理
否□是□
考核内容是否包含安全知识、安全技能等？
否□
是□〇查看记录日期与考核周期是否一致？
否□是□
测试结果：□符合□部分符合□不符合
备注：
1、如果测试记录2被访谈人员表述审查内容包含社会关系、社交活动、操作行为等各个方面，则该项为肯定；
2、如果测试记录3被访谈人员表述与文件描述一致，则该项为肯定；
3、测试记录1-4项全部符合即视为符合。
测试类别
等级测评（三级）
测试对象
安全管理
测 试 类
人员安全管理
测 试 项
安全意识教育与培训
测试要求：
1.应对各类人员进行安全意识教育；
2.应告知人员相关的安全责任和惩戒措施；
3.应制定安全教育和培训计划，对信息安全基础知识、岗位操作规程等进行培训；
4.应针对不同岗位制定不同培训计划；
5.应签署保密协议；
6.对从事关键岗位的人员应从内部人员选拔，并定期进行信用审查；
7.对从事关键岗位的人员应签署岗位安全协议。
测试记录：
1.在人员录用时对人员条件有哪些要求？
目前录用的安全管理和技术人员是否有能力完成与其职责相对应的工作？
否□是□
2.在人员录用时是否对被录用人的身份、背景、专业资格和资质进行审查？
否□
是 □〇对技术人员的技术技能进行考核，录用后是否与其签署保密协议？
否□是□
〇是否对其说明工作职责？
否□是□
3.对从事关键岗位的人员是否从内部人员中选拔？
否□是□
是否要求其签署岗位安全安全协议？
否□是□
是否定期对关键岗位人员进行信用审查？
否□
是 □〇审查周期多长？
等级保护三级操作系统安全测评指导书
主机资源监视
对资源使用情况进行监视和记录。
资源报警阀值 特定进程监控 主机账户监控
系统资源达到一定阀值，能够报警。 对重要进程进行监控，对非法进程提供报 警。 对主机账户进行监控和提供告警。
7
入侵防范
访谈，手工检查： 1.访谈并查看入侵检测的措施，如经常通过如下命令查看入侵的重要线索，涉及命 令 主机 IDS #who /etc/security/failedlogin； 2.查看是否开启了防火墙、TCP SYN 保护机制等设置； 3.是否具备 rootkit 检查工具，定期进行 rootkit 检查； 4.询问是否有第三方入侵检测系统，如 IDS，是否开启报警功能。 访谈，核查： 重要程序完整性检测并恢 访谈是否使用一些文件完整性检查工具对重要文件的完整性进行检查，是否对重要 复 的配置文件进行备份。查看备份演示。 系统最小安装并更新
序号
测评指标
测评项
检测方法 手工检查： 在 root 权限下，查看文件权限是否满足以下要求： /etc/filesystems 权限为 664， /etc/hosts 权限为 664， /etc/inittab 权限为 600， /etc/vfs 权限为 644， /etc/security/failedlogin 权限为 644， /etc/security/audit/hosts 权限为 660，记录权限存在问题的目录或文件。
对用户管理启用一定安全策略。
登陆失败处理
对用户登录进行限制。
鉴别警示功能
存在警告性 banner 信息。
对相连设备进行身份标识 访谈： 和鉴别 询问管理员是否使用证书等方式对设备身份进行鉴别。
采取技术手段对相连 设备进行身份鉴别。
远程管理加密
等保三级-安全管理-系统运维管理
否□
是 □〇不同类别的资产是否采取不同的管理措施？
否□是□
4.资产清单是否覆盖资产责任人、所属级别、所处位置、所属部门等方面？
否□是□
5.资产安全管理制度是否覆盖资产使用、借用、维护等方面？
否□是□
6.信息分类文档是否规定了分类标识的原则和方法（如根据信息的重要程度、敏感程度或用途不同进行分类）？
9.应对日志的备份、授权访问、处理、保留时间等方面做出具体规定，使用统一的网络时间，以确保日志记录的准确；
10.应通过身份鉴别、访问控制等严格的规定限制远程管理账户的操作权限和登录行为；
11.应定期检查违反规定拨号上网或其他违反网络安全策略的行为。
测试记录：
1.是否指定专人负责维护网络运行日志、监控记录和分析处理报警信息等网络安全管理工作？
否□是□
〇对介质的物理传输过程是否要求选择可靠传输人员、严格介质的打包（如采用防拆包装置）、选择安全的物理传输途径、双方在场交付等环节的控制?
否□是□
4.是否对某些重要介质实行异地存储?
否□
是□〇异地存储环境是否与本地环境相同?
否□是□
5.介质管理记录是否记录介质的存储、归档、借用等情况?
否□是□
6.介质管理制度是否覆盖介质的存放环境、使用、维护和销毁等方面?
3.应根据资产的重要程度对资产进行定性赋值和标识管理，根据资产的价值选择相应的管理措施；
4.应规定信息分类与标识的原则和方法，并对信息的使用、存储和传输作出规定。
测试记录：
1.访谈安全主管，询问是否指定资产管理的责任人员或部门？
否□
是 □〇由何部门/何人负责？
2.是否对资产管理要求文档化和制度化？
等级保护三级管理测评
53.
应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。
54.
应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施。
55.
应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。
三级管理要求(S3A3G3)
等级保护三级管理类测评控制点(S3A3G3)
类别
序号
测评内容
测评方法
结果记录
符合情况
Y
N
O
岗位设置
1.
应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人岗位，定义各负责人的职责。
访谈，检查。安全主管，安全管理某方面的负责人，部门、岗位职责文件。
2.
51.
应加强对办公环境的保密性管理，规范办公环境人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏感信息的纸档文件等。
资产管理
52.
应编制并保存与信息统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。
69.
应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
网络安全管理
70.
应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。
访谈，检查。
安全主管，安全管理员，网络管理员，网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。
17.
安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。
等级保护三级测评
等级保护三级测评等级保护三级测评（以下简称“等保三级”）是中国对非银行机构的最高级别信息安全等级保护认证，通过对不同等级的信息系统进行不同级别的安全保护，保障信息系统的安全稳定运行。
以下是关于等保三级的详细介绍：一、等保三级的概念等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。
等级保护的核心思想是“分等级保护、分等级响应、分等级处理”。
等保三级是国家对非银行机构的最高级别信息安全等级保护认证，依据《信息系统安全等级保护基本要求》，对信息系统的安全保护能力进行检验和认证，一共包含五个定级要素，分别是：信息系统的重要性、受侵害后的危害性、涉及的秘密信息、业务峰值和人力投入。
等保三级测评包含：安全技术测评和安全管理测评两大方面。
二、等保三级的重要性随着信息化程度的提高，信息系统已经成为社会发展的重要支撑。
然而，信息系统的安全问题也日益突出，如黑客攻击、病毒传播等，给企业和个人带来了巨大的经济损失和隐私泄露风险。
因此，加强信息系统的安全保护已成为企业和个人必须面对的重要问题。
等保三级作为最高级别的信息安全等级保护认证，其重要性主要体现在以下几个方面：1. 保障信息安全：通过等保三级认证的信息系统，其安全保护能力得到了国家相关部门的认可和检验，可以有效地抵御各类网络攻击和数据泄露等安全事件，保障信息安全。
2. 提高企业竞争力：通过等保三级认证的企业，可以证明其具备高水平的信息安全保障能力，提高企业的信誉度和竞争力。
3. 满足法律法规要求：根据国家相关法律法规要求，某些特定行业或特定业务必须通过等保三级认证，否则将无法开展相关业务。
因此，通过等保三级认证也是企业合规经营的必要条件。
4. 提升员工安全意识：通过等保三级认证，可以提升企业员工的信息安全意识，加强企业的安全管理水平，提高企业的整体安全性。
等保三级-安全管理-安全管理制度
是□〇列表是否注明评审周期？
否□是□
7.是否具有所有安全管理制度对应相应负责人或者负责部门的清单？
否□是□
测试结果：□符合□部分符合□不符合
备注：
测试记录1-7项符合即视为符合
1.应在信息安全领导小组的负责下，组织相关人员制定；
2.应保证安全管理制度具有统一的格式风格，并进行版本控制；
3.应组织相关人员对制定的安全管理制度进行论证和审定；
4.安全管理制度应经过管理层签发后按照一定的程序以文件形式发布；
5.安全管理制度应注明发布范围，并对收发文进行登记。
测试记录：
1.安全管理制度是否在信息安全领导小组或委员会的总体负责下统一制定？
(单位)
系统
等级保护三级测评
现场检测表
测试对象范围：安全管理
测试对象名称：安全管理制度
配合人员签字：
测试人员签字：
核实人员签字：
测试日期：
结果统计:
测评项
测评结果
1
管理制度
□符合□部分符合□不符合
2
制定和发布
□符合□部分符合□不符合
3
评审和修订
□符合□部分符合□不符合
测试类别
等级测评（三级）
测试对象ቤተ መጻሕፍቲ ባይዱ
否□
是 □〇评审周期多长？
2.信息安全工作的总体方针、政策性文件和安全策略文件是否明确机构安全工作的总体目标、范围、方针、原则、责任等？
否□
是 □〇是否明确信息系统的安全策略？
否□是□
3.安全管理制度清单是否覆盖物理、网络、主机系统、数据、应用、管理等层面？
否□是□
4.是否具有重要管理操作的操作规程？（如系统维护手册和用户操作规程等）
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
三级管理要求(S3A3G3)等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O安全管理机构岗位设置1.应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人岗位，定义各负责人的职责。
访谈，检查。
安全主管，安全管理某方面的负责人，部门、岗位职责文件。
2.应设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责。
3.应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权。
4.应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
人员配备5.应配备一定数量的系统管理员、网络管理员、安全管理员等。
访谈，检查。
安全主管，人员配备要求的相关文档，管理人员名单。
6.应配备专职安全管理员，不可兼任。
7.关键事务岗位应配备多人共同管理。
授权和审批8.应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等。
访谈，检查。
安全主管，关键活动的批准人，审批事项列表，审批文档。
9.应针对系统变更、重要操作、物理访问和系统接入等事项建立审批程序，按照审批程序执行审批过程，对重要活动建立逐级审批制度。
10.应定期审查审批事项，及时更新需授权和审批的项目、等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O审批部门和审批人等信息。
11.应记录审批过程并保存审批文档。
沟通和合作12.应加强各类管理人员之间、组织内部机构之间以及信息安全职能部门内部的合作与沟通，定期或不定期召开协调会议，共同协作处理信息安全问题。
访谈，检查。
安全主管，安全管理人员，会议文件，会议记录，外联单位说明文档。
` 13.应加强与兄弟单位、公安机关、电信公司的合作与沟通。
14.应加强与供应商、业界专家、专业的安全公司、安全组织的合作与沟通。
15.应建立外联单位联系列表，包括外联单位名称、合作内容、联系人和联系方式等信息。
16.应聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等。
审核和检查17.安全管理员应负责定期进行安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况。
访谈，检查。
安全主管，安全员，安全检查记录。
18.应由内部人员或上级单位定期进行全面安全检查，检查内容包括现有安全技术措施的有效性、安全配置与安全策略的一致性、安全管理制度的执行情况等。
19.应制定安全检查表格实施安全检查，汇总安全检查数据，形成安全检查报告，并对安全检查结果进行通报。
等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O20.应制定安全审核和安全检查制度规范安全审核和安全检查工作，定期按照程序进行安全审核和安全检查活动。
安全管理制度管理制度21.应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等。
访谈，检查。
安全主管，总体方针、政策性文件和安全策略文件，安全管理制度清单，操作规程。
22.应对安全管理活动中的各类管理内容建立安全管理制度。
23.应对要求管理人员或操作人员执行的日常管理操作建立操作规程。
24.应形成由安全策略、管理制度、操作规程等构成的全面的信息安全管理制度体系。
制定和发布25.应指定或授权专门的部门或人员负责安全管理制度的制定。
访谈，检查。
安全主管，制度制定和发布要求管理文档，评审记录，安全管理制度。
26.安全管理制度应具有统一的格式，并进行版本控制。
27.应组织相关人员对制定的安全管理制度进行论证和审定。
28.安全管理制度应通过正式、有效的方式发布。
29.安全管理制度应注明发布范围，并对收发文进行登记。
评审和修订30.信息安全领导小组应负责定期组织相关部门和相关人员对安全管理制度体系的合理性和适用性进行审定。
访谈，检查。
安全主管，安全管理制度列表，评审记录。
31.应定期或不定期对安全管理制度进行检查和审定，对等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O存在不足或需要改进的安全管理制度进行修订。
人员安全管理人员录用32.应指定或授权专门的部门或人员负责人员录用。
访谈，检查。
人事负责人，人事工作人员，人员录用要求管理文档，人员审查文档或记录，考核文档或记录，保密协议。
33.应严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核。
34.应签署保密协议。
35.应从内部人员中选拔从事关键岗位的人员，并签署岗位安全协议。
人员离岗36.应严格规范人员离岗过程，及时终止离岗员工的所有访问权限。
访谈，检查。
安全主管，人事工作人员，安全处理记录，保密承诺文档。
37.应取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备。
38.应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方可离开。
人员考核39.应定期对各个岗位的人员进行安全技能及安全认知的考核。
访谈。
安全主管，人事工作人员。
40.应对关键岗位的人员进行全面、严格的安全审查和技能考核。
41.应对考核结果进行记录并保存。
安全意识42.应对各类人员进行安全意识教育、岗位技能培训和相关安全技术培训。
访谈，检查。
安全主管，安全员，系统管理员，网络管理员，培训计划，培训等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O教育和培训43.应对安全责任和惩戒措施进行书面规定并告知相关人员，对违反违背安全策略和规定的人员进行惩戒。
记录.44.应对定期安全教育和培训进行书面规定，针对不同岗位制定不同的培训计划，对信息安全基础知识、岗位操作规程等进行培训。
45.应对安全教育和培训的情况和结果进行记录并归档保存。
外部人员访问管理46.应确保在外部人员访问受控区域前先提出书面申请，批准后由专人全程陪同或监督，并登记备案。
访谈，检查。
安全主管，安全管理人员，安全责任合同书或保密协议，第三方人员访问管理文档，登记记录。
47.对外部人员允许访问的区域、系统、设备、信息等内容应进行书面的规定，并按照规定执行。
系统运维管理环境管理48.应指定专门的部门或人员定期对机房供配电、空调、温湿度控制等设施进行维护管理。
访谈，检查。
物理安全负责人，机房安全管理制度，机房进出登记表。
49.应指定部门负责机房安全，并配备机房安全管理人员，对机房的出入、服务器的开机或关机等工作进行管理。
50.应建立机房安全管理制度，对有关机房物理访问，物品带进、带出机房和机房环境安全等方面的管理作出规定。
51.应加强对办公环境的保密性管理，规范办公环境人员行为，包括工作人员调离办公室应立即交还该办公室钥匙、不在办公区接待来访人员、工作人员离开座位应确保终端计算机退出登录状态和桌面上没有包含敏等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O感信息的纸档文件等。
资产管理52.应编制并保存与信息系统相关的资产清单，包括资产责任部门、重要程度和所处位置等内容。
访谈，检查。
安全主管，资产管理员，资产清单，资产安全管理制度，设备。
53.应建立资产安全管理制度，规定信息系统资产管理的责任人员或责任部门，并规范资产管理和使用的行为。
54.应根据资产的重要程度对资产进行标识管理，根据资产的价值选择相应的管理措施。
55.应对信息分类与标识方法作出规定，并对信息的使用、传输和存储等进行规范化管理。
介质管理56.应建立介质安全管理制度，对介质的存放环境、使用、维护和销毁等方面作出规定。
访谈，检查。
资产管理员，介质管理记录，各类介质。
57.应确保介质存放在安全的环境中，对各类介质进行控制和保护，并实行存储环境专人管理。
58.应对介质在物理传输过程中的人员选择、打包、交付等情况进行控制，对介质归档和查询等进行登记记录，并根据存档介质的目录清单定期盘点。
59.应对存储介质的使用过程、送出维修以及销毁等进行严格的管理，对带出工作环境的存储介质进行内容加密和监控管理，对送出维修或销毁的介质应首先清除介质中的敏感数据，对保密性较高的存储介质未经批准不得自行销毁。
等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O60.应根据数据备份的需要对某些介质实行异地存储，存储地的环境要求和管理方法应与本地相同。
61.应对重要介质中的数据和软件采取加密存储，并根据所承载数据和软件的重要程度对介质进行分类和标识管理。
设备管理62.应对信息系统相关的各种设备（包括备份和冗余设备）、线路等指定专门的部门或人员定期进行维护管理访谈，检查。
资产管理员，系统管理员，审计员，服务器操作规程，设备审批、发放管理文档，设备使用管理文档，服务器操作日志。
63.应建立基于申报、审批和专人负责的设备安全管理制度，对信息系统的各种软硬件设备的选型、采购、发放和领用等过程进行规范化管理。
64.应建立配套设施、软硬件维护方面的管理制度，对其维护进行有效的管理，包括明确维护人员的责任、涉外维修和服务的审批、维修过程的监督控制等。
65.应对终端计算机、工作站、便携机、系统和网络等设备的操作和使用进行规范化管理，按操作规程实现主要设备（包括备份和冗余设备）的启动/停止、加电/断电等操作。
66.应确保信息处理设备必须经过审批才能带离机房或办公地点。
监控管理67.应对通信线路、主机、网络设备和应用软件的运行状况、网络流量、用户行为等进行监测和报警，形成记访谈，检查。
系统运维负责人，监测记录文档，等级保护三级管理类测评控制点(S3A3G3)类别序号测评内容测评方法结果记录符合情况Y N O和安全管理中心(G3 )录并妥善保存。
监测分析报告，安全管理中心。
68.应组织相关人员定期对监测和报警记录进行分析、评审，发现可疑行为，形成分析报告，并采取必要的应对措施。
69.应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
网络安全管理70.应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。
访谈，检查。
安全主管，安全管理员，网络管理员，网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。
71.应建立网络安全管理制度，对网络安全配置、日志保存时间、安全策略、升级与打补丁、口令更新周期等方面作出规定。
72.应根据厂家提供的软件升级版本对网络设备进行更新，并在更新前对现有的重要文件进行备份。
73.应定期对网络系统进行漏洞扫描，对发现的网络系统安全漏洞进行及时的修补。
74.应实现设备的最小服务配置，并对配置文件进行定期离线备份。