信息系统安全等级保护等级测评报告模板【等保2.0】
信息系统安全等级保护测评报告
报告编号：（-16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
信息系统安全等级保护测评报告
信息系统安全等级保护测评报告一、根据相关规范和标准的要求，依据信息系统安全等级保护测评的实施细则，对我司信息系统进行了全面深入的安全等级保护测评。
测试范围包括了我司内部各类信息系统和网络设备，以及外部对接的系统接口和服务。
二、检测结果显示，我司信息系统在整体上安全等级保护良好，但仍存在一些安全风险和隐患。
具体表现为：1. 网络防火墙规则配置不规范，存在风险可导致网络攻击和数据泄露。
2. 部分服务器和终端设备存在未及时更新的安全补丁，存在被攻击的风险。
3. 存在未经授权的外部设备接入内部网络的情况，易导致网络攻击和数据泄露。
4. 存在用户密码管理不规范的情况，易导致账号被盗用或密码泄露。
三、针对上述安全隐患，我们建议采取以下措施进行安全风险治理：1. 对网络防火墙规则进行调整和优化，加强对外部攻击的防范和阻隔。
2. 加强服务器和终端设备的安全管理，及时更新安全补丁，防范漏洞攻击。
3. 加强对内部设备和设备接入的管控，限制外部设备接入内部网络的权限。
4. 强化用户密码管理，推行密码定期更换和复杂度管理，加强账号安全保护。
四、整体而言，我们的信息系统安全等级保护工作具有一定基础，并且具备较强的安全保护意识和风险管理能力。
但仍需持续加强系统安全等级保护管理和监控，及时发现和治理安全风险，确保信息系统的安全可靠性和稳定性。
由于信息系统安全防护工作的重要性和复杂性，我们需要对整个信息系统进行全面梳理和改进。
首先，我们需要建立一个完善的信息系统安全管理体系，包括制定安全策略和规范、建立安全事件应急响应机制、加强安全培训和意识教育等。
其次，加强对系统的持续监测和评估，及时发现系统潜在的安全风险并加以修复。
最后，我们需要提高员工的安全意识和保护能力，建立安全文化，使每一个员工都成为信息系统安全的守护者。
在实施安全等级保护措施时，我们需要确保安全性与便捷性之间的平衡。
因为过于严格的安全策略可能会影响用户的工作效率，降低系统的可用性。
信息系统安全等级保护定级报告模板
附件3：《信息系统安全等级保护定级报告》一、XXX信息系统描述简述确定该系统为定级对象的理由。
从三方面进行说明：一是描述承担信息系统安全责任的相关单位或部门，说明本单位或部门对信息系统具有信息安全保护责任，该信息系统为本单位或部门的定级对象；二是该定级对象是否具有信息系统的基本要素，描述基本要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情况描述。
二、XXX信息系统安全保护等级确定（定级方法参见国家标准《信息系统安全等级保护定级指南》）（一）业务信息安全保护等级的确定1、业务信息描述描述信息系统处理的主要业务信息等。
2、业务信息受到破坏时所侵害客体的确定说明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定说明信息受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。
（二）系统服务安全保护等级的确定1、系统服务描述描述信息系统的服务范围、服务对象等。
2、系统服务受到破坏时所侵害客体的确定说明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定说明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即说明是一般损害、严重损害还是特别严重损害。
4、系统服务安全等级的确定依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。
（三）安全保护等级的确定信息系统的安全保护等级由业务信息安全等级和系统服务安全等级较高者决定，最终确定XXX系统安全保护等级为第几级。
附件4：信息系统安全等级保护备案表备 案 单 位： （盖章） 备 案 日 期：受理备案单位： （盖章） 受 理 日 期：中华人民共和国公安部监制备案表编号：填表说明一、制表依据。
信息系统安全等级保护测评报告
信息系统安全等级保护测评报告概述本文档旨在对信息系统的安全等级保护进行测评，为组织提供详细的安全等级评估报告。
通过对信息系统进行分析和评估，可以发现系统中存在的安全风险和漏洞，并提供相应的安全建议和解决方案。
测评方法本次测评采用了以下几种常见的安全评估方法：1.漏洞扫描：使用专业的漏洞扫描工具对系统进行端口扫描和漏洞检测，识别系统中存在的安全漏洞。
2.安全配置审计：通过分析系统的配置文件和日志文件，评估系统的安全配置是否符合最佳实践，识别潜在的配置安全风险。
3.代码审计：对系统的核心代码进行审计，检查代码中是否存在安全漏洞和不安全的编码实践。
4.安全意识培训：通过针对组织内部员工的安全意识培训，提高员工的安全意识和防范能力，减少社交工程等人为因素对系统安全的影响。
5.网络流量分析：对系统的网络流量进行分析，检测是否存在异常的网络行为和入侵攻击。
测评结果经过对信息系统的安全测评，以下是我们得到的主要结论：1.系统存在安全漏洞：通过漏洞扫描工具的测试结果显示，系统中存在多个已知的安全漏洞，这些漏洞可能被攻击者利用来获取系统权限或者篡改系统数据。
2.配置安全风险：部分系统的安全配置未按照最佳实践进行设置，存在潜在的安全风险。
比如，弱密码策略、未开启安全日志记录等。
3.代码安全问题：代码审计发现系统中存在部分代码编写不当的情况，如未对用户输入进行充分的验证和过滤，存在SQL注入和跨站脚本攻击的风险。
4.员工意识不足：安全意识培训结果显示，部分员工对安全意识和操作规范的理解不够，容易受到社交工程等攻击手段的影响。
5.未发现异常网络行为：经过对系统的网络流量进行分析，未发现异常的网络流量和入侵行为。
安全建议和解决方案根据上述测评结果，我们提出以下安全建议和解决方案：1.及时修复漏洞：针对系统中发现的安全漏洞，及时修复并升级相应的软件和组件，以免被攻击者利用。
同时建议定期进行漏洞扫描，及时发现新的漏洞，并进行修复。
等保测评报告模板
信息系统安全等级测评报告模板项目名称：委托单位：测评单位：年月日报告摘要一、测评工作概述概要描述被测信息系统的基本情况（可参考信息系统安全等级保护备案表），包括但不限于：系统的运营使用单位、投入运行时间、承载的业务情况、系统服务情况以及定级情况。
（见附件：信息系统安全等级保护备案表）描述等级测评工作的委托单位、测评单位和等级测评工作的开展过程，包括投入测评人员与设备情况、完成的具体工作内容统计（涉及的测评分类与项目数量，检查的网络互联与安全设备、主机、应用系统、管理文档数量，访谈人员次数）。
二、等级测评结果依据第4、5章的结果对等级测评结果进行汇总统计（测评项符合情况及比例、单元测评结果符合情况比例以及整体测评结果）；通过对信息系统基本安全保护状态的分析给出等级测评结论（结论为达标、基本达标、不达标）。
三、系统存在的主要问题依据6.3章节的分析结果，列出被测信息系统中存在的主要问题以及可能造成的后果（如，未部署DDos防御措施，易遭受DDos攻击，导致系统无法提供正常服务）。
四、系统安全建设、整改建议针对系统存在的主要问题提出安全建设、整改建议，是对第七章内容的提炼和简要描述。
报告基本信息声明声明是测评单位对于测评报告内容以及用途等有关事项做出的约定性陈述，包含但不限于以下内容：本报告中给出的结论仅对目标系统的当时状况有效，当测评工作完成后系统出现任何变更，涉及到的模块（或子系统）都应重新进行测评，本报告不再适用。
本报告中给出的结论不能作为对系统内相关产品的测评结论。
本报告结论的有效性建立在用户提供材料的真实性基础上。
在任何情况下，若需引用本报告中的结果或数据都应保持其本来的意义，不得擅自进行增加、修改、伪造或掩盖事实。
测评单位机构名称年月报告目录1测评项目概述 (1)1.1测评目的 (1)1.2测评依据 (1)1.3测评过程 (1)1.4报告分发范围 (2)2被测系统情况 (3)2.1基本信息 (3)2.2业务应用 (4)2.3网络结构 (4)2.4系统构成 (4)2.4.1业务应用软件 (4)2.4.2关键数据类别 (4)2.4.3主机/存储设备 (5)2.4.4网络互联与安全设备 (5)2.4.5安全相关人员 (5)2.4.6安全管理文档 (6)2.5安全环境 (6)3等级测评范围与方法 (7)3.1测评指标 (7)3.1.1基本指标 (7)3.1.2附加指标 (9)3.2测评对象 (9)3.2.1选择方法 (9)3.2.2选择结果 (9)3.3测评方法 (11)3.3.1现场测评方法 (11)3.3.2风险分析方法 (11)4等级测评内容 (12)4.1物理安全 (12)4.1.1结果记录 (12)4.1.2问题分析 (12)4.1.3单元测评结果 (12)4.2网络安全 (12)4.2.1结果记录 (12)4.2.2问题分析 (14)4.2.3单元测评结果 (14)4.3主机安全 (14)4.3.1结果记录 (14)4.3.2问题分析 (15)4.3.3单元测评结果 (15)4.4应用安全 (15)4.4.1结果记录 (15)4.4.2问题分析 (15)4.4.3单元测评结果 (15)4.5数据安全及备份恢复 (15)4.5.1结果记录 (15)4.5.2问题分析 (15)4.5.3单元测评结果 (15)4.6安全管理制度 (15)4.6.1结果记录 (15)4.6.2问题分析 (16)4.6.3单元测评结果 (16)4.7安全管理机构 (16)4.7.1结果记录 (16)4.7.2问题分析 (16)4.7.3单元测评结果 (16)4.8人员安全管理 (16)4.8.1结果记录 (16)4.8.2问题分析 (16)4.8.3单元测评结果 (16)4.9系统建设管理 (16)4.9.1结果记录 (16)4.9.2问题分析 (17)4.9.3单元测评结果 (17)4.10系统运维管理 (17)4.10.1结果记录 (17)4.10.2问题分析 (17)4.10.3单元测评结果 (17)4.11工具测试 (17)4.11.1结果记录 (17)4.11.2问题分析 (17)5等级测评结果 (17)5.1整体测评 (17)5.1.1安全控制间安全测评 (17)5.1.2层面间安全测评 (18)5.1.3区域间安全测评 (18)5.1.4系统结构安全测评 (18)5.2测评结果 (18)5.3统计图表 (22)6风险分析和评价 (22)6.1安全事件可能性分析 (22)6.2安全事件后果分析 (23)6.3风险分析和评价 (23)7系统安全建设、整改建议 (25)7.1物理安全 (25)7.2网络安全 (25)7.3主机安全 (25)7.4应用安全 (25)7.5数据安全及备份恢复 (25)7.6安全管理制度 (25)7.7安全管理机构 (26)7.8人员安全管理 (26)7.9系统建设管理 (26)7.10系统运维管理 (26)附：信息系统安全等级保护备案表.1测评项目概述1.1测评目的描述信息系统的重要性：通过描述信息系统的基本情况，包括运营使用单位的性质，承载的主要业务和系统服务情况，进一步阐明其在国家安全、经济建设、社会生活中的重要程度，受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等。
信息系统安全等级保护测评报告
技术发展趋势：云计算、大数据、物联网等技术的发展对信息安全等级保护提出了新的挑战和 机遇。
政策法规完善：随着信息安全等级保护工作的深入，政策法规将不断完善，为信息安全等级保 护工作提供更加明确的指导。
企业投入加大：企业对信息安全的重视程度不断提高，投入也将加大，为信息安全等级保护工 作提供更加充足的资源。
信息系统安全等级 保护建议与展望
加强信息系统安全管理制度建设，完善 安全管理体系
定期进行信息系统安全等级测评，及时 发现和解决问题
加强信息系统安全技术防护，提高系统 安全性
加强信息系统安全培训和教育，提高员 工安全意识
加强与相关部门的沟通和协作，共同维 护信息系统安全
建立完善的信息系统安全应急预案，确 保在突发事件中能够及时响应和处理
测评结论：系统在安全 防护、数据保护、系统 管理等方面均符合安全 等级保护的要求
建议：加强系统安全 管理，提高系统安全 防护能力，确保系统 安全稳定运行
结论：系统安全等级保 护测评结果符合要求， 建议加强安全管理，提 高系统安全防护能力。
信息系统安全等级保护测评发现的问题 整改建议 具体问题描述及原因分析 整改措施及效果评估
测评结果：根据测评结果，给出安全等 级保护建议和整改措施
审查目的：检查信 息系统的安全等级 保护文档是否齐全、 合规
审查内容：包括但 不限于安全策略、 安全制度、安全技 术措施等
审查方法：查阅文 档、访谈相关人员 、实地考察等
审查结果：对文档 审查结果进行汇总 和分析，提出改进 建议和措施
测评结果汇总： 对测评过程中发 现的安全问题进 行汇总，包括漏 洞、风险、威胁 等
信息系统安全等级保 护测评报告
汇报人：
信息系统安全等级测评报告
信息系统安全等级测评报告一、测评背景随着信息技术的快速发展和广泛应用，信息系统的安全问题变得越来越重要。
为了确保国家信息系统的安全和可靠运行，保护国家利益和民众权益，政府部门和企事业单位对信息系统的安全性要求更高。
因此，进行信息系统安全等级测评，对于确保信息系统的安全性起到了关键的作用。
二、测评目的1.了解当前信息系统的安全状态，为信息系统后续安全工作提供评估参考。
2.发现和整改信息系统中存在的安全风险和漏洞。
3.提出合理的安全等级评定和建议，为信息系统提供更加安全的保障。
4.提高信息系统管理员和操作人员的安全意识和技能。
三、测评方法本次信息系统安全等级测评采用了主动渗透测试和被动漏洞扫描等方法。
主动渗透测试是指将黑客攻击的思维和手段应用到测评中，模拟真实的黑客攻击，以测试信息系统的安全性。
被动漏洞扫描是指通过使用自动化工具扫描系统中的漏洞来评估信息系统的安全等级。
四、测评结果经过对信息系统的全面评估和测试，得出以下测评结果：1.系统设计安全性良好。
系统采用了多层次的防护措施，包括防火墙、入侵检测和防止DDoS攻击等。
系统的设计符合行业标准，能够有效地保护系统的安全性。
2.系统配置存在一些问题。
发现部分系统配置过于宽松，缺少必要的安全设置。
建议对系统进行进一步的配置调整，提高系统的安全性。
3.用户权限管理不够严格。
用户权限管理是信息系统安全的关键环节，但在测试中发现存在用户权限不合理的情况。
建议加强对用户权限的管理，避免未授权的用户操作系统。
4.代码编写存在安全隐患。
测试中发现系统代码存在一些安全漏洞，例如SQL注入、跨站脚本攻击等。
建议对系统代码进行审查和修复，确保系统的安全性。
5.系统日志管理不完善。
系统日志是发现和分析安全事件的重要依据，但在测试中发现系统日志管理不完善，无法及时发现和处理安全事件。
建议加强对系统日志的监控和管理。
6.培训和教育不足。
测试中发现一些员工的安全意识较低，缺乏必要的安全知识和技能。
信息系统安全等级保护测评报告模板
信息系统安全等级保护测评报告模板信息系统安全等级保护测评报告听起来可能让人一头雾水，尤其是对一些不太懂技术的小伙伴来说。
说白了，它就是一个针对信息系统安全进行“体检”的报告。
就像你去医院做体检，医生会根据你身体的各项指标，判断你是不是健康，哪个地方可能出问题，哪些方面需要加强一样。
信息系统的安全等级保护测评报告，也是给“信息系统”做体检，看看它在面对各种威胁时，能不能保持健康，能不能保护好公司的数据、网络以及其他重要信息。
这些东西不检查，谁知道哪天会被黑客盯上，或者系统被不法分子钻了空子，闹出大事儿来呢？好了，咱们先聊聊“等级保护”这回事儿。
简单说，就是信息系统的安全防护要根据它的重要性来定等级，系统重要，保护就得更到位。
就像你家里有个金库，肯定得比你家门口的自行车锁更加严密，防不住小偷还怎么行？而这个“等级保护”就是告诉你，你的系统在这个网络社会中属于什么等级，需要多高的防护来防止外部的威胁。
为了让这些工作做得更专业、更细致，咱们有了这个测评报告，来一针见血地告诉你，哪儿是薄弱环节，哪里需要加固。
接下来要说的就是“测评”了。
说到这个测评，可能你就想，哎呀，跟考试一样是不是？其实倒也不是。
它更多的是一种专业的技术评估，专业的测评人员会拿出一套严格的标准，通过多方位的检查，检测你信息系统的各项安全性指标。
比如，系统的访问控制、数据的加密保护、网络的安全防护、应用的漏洞扫描等等。
用一个通俗的比喻，测评就像是给你家门口安个监控，看看有没有黑客在附近转悠，门窗是不是关好，防盗门的锁是不是牢靠。
做完这些检测后，评估人员就会给出一个详细的报告，告诉你：你的系统哪些方面做得好，哪些方面可能会让黑客有机可乘。
测评报告里最让人关心的，当然是那个“安全等级”啦。
它通常分为五个等级，级别从低到高。
等级越高，表示你的系统越安全，越能抵挡来自网络世界的各种威胁。
最简单的举个例子，假如你的系统只是普通的办公系统，重要性一般，那它可能是三级保护，防护标准也就普通一些。
信息系统安全等级保护定级报告模版
信息系统安全等级保护定级报告模版《信息系统安全等级爱护定级报告》一、XXX信息系统描述简述确定该系统为定级对象的理由。
从三方面进行讲明：一是描述承担信息系统安全责任的相关单位或部门，讲明本单位或部门对信息系统具有信息安全爱护责任，该信息系统为本单位或部门的定级对象；二是该定级对象是否具有信息系统的差不多要素，描述差不多要素、系统网络结构、系统边界和边界设备；三是该定级对象是否承载着单一或相对独立的业务，业务情形描述。
二、XXX信息系统安全爱护等级确定（定级方法参见国家标准《信息系统安全等级爱护定级指南》）（一）业务信息安全爱护等级的确定1、业务信息描述描述信息系统处理的要紧业务信息等。
2、业务信息受到破坏时所侵害客体的确定讲明信息受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、信息受到破坏后对侵害客体的侵害程度的确定讲明信息受到破坏后，会对侵害客体造成什么程度的侵害，即讲明是一样损害、严峻损害依旧专门严峻损害。
4、业务信息安全等级的确定依据信息受到破坏时所侵害的客体以及侵害程度，确定业务信息安全等级。
（二）系统服务安全爱护等级的确定1、系统服务描述描述信息系统的服务范畴、服务对象等。
2、系统服务受到破坏时所侵害客体的确定讲明系统服务受到破坏时侵害的客体是什么，即对三个客体（国家安全；社会秩序和公众利益；公民、法人和其他组织的合法权益）中的哪些客体造成侵害。
3、系统服务受到破坏后对侵害客体的侵害程度的确定讲明系统服务受到破坏后，会对侵害客体造成什么程度的侵害，即讲明是一样损害、严峻损害依旧专门严峻损害。
4、系统服务安全等级的确定依据系统服务受到破坏时所侵害的客体以及侵害程度确定系统服务安全等级。
（三）安全爱护等级的确定信息系统的安全爱护等级由业务信息安全等级和系统服务安全等级较高者决定，最终确定XXX系统安全爱护等级为第几级。
信息系统安全等级保护测评报告
信息系统安全等级保护测评报告一、概述本次测评的信息系统为[系统名称]，该系统承担着[主要业务功能]等重要任务。
根据相关规定和要求，对其进行安全等级保护测评。
二、测评依据[列出具体的测评依据标准和文件]三、被测信息系统情况（一）系统基本信息详细描述系统的名称、部署环境、网络拓扑结构等。
（二）业务情况阐述系统所涉及的业务流程、数据类型及重要性等。
四、安全物理环境（一）物理位置选择评估机房选址是否符合安全要求。
（二）物理访问控制包括门禁系统、监控设施等的有效性。
（三）防盗窃和防破坏检测是否具备相应的防范措施。
（四）防雷击、防火、防水和防潮描述相关设施和措施的配备情况。
（五）防静电防静电措施的有效性。
（六）温湿度控制机房内温湿度的控制情况。
（七）电力供应备用电源等保障情况。
五、安全通信网络（一）网络架构分析网络拓扑的合理性和安全性。
（二）通信传输加密措施、完整性保护等情况。
（三）网络访问控制防火墙、ACL 等配置的有效性。
（四）拨号访问控制是否存在拨号访问及安全控制情况。
六、安全区域边界（一）边界防护检查边界防护设备的部署和配置。
（二）访问控制访问控制策略的合理性。
（三）入侵防范入侵检测系统或防御系统的有效性。
（四）恶意代码防范防病毒系统的部署和更新情况。
（五）安全审计审计记录的完整性和可用性。
七、安全计算环境（一）身份鉴别用户身份认证机制的安全性。
（二）访问控制权限分配和管理情况。
（三）安全审计系统内审计功能的有效性。
（四）剩余信息保护数据清理机制的完善性。
（五）入侵防范主机入侵防范措施的有效性。
（六）恶意代码防范主机防病毒措施的情况。
（七）资源控制资源分配和监控机制。
八、安全管理中心（一）系统管理系统管理员的权限和操作规范。
（二）审计管理审计管理员的职责和审计记录管理。
（三）安全管理安全策略的制定和执行情况。
九、安全管理制度（一）管理制度各项安全管理制度的健全性。
（二）制定和发布制度的制定和发布流程。
等级保护2.0差距分析模板
信息系统安全等级保护评估差距分析报告(三级信息系统)目录目录目录 (2)1. 概述 (5)1.1 背景介绍 (5)1.2 信息系统介绍 (5)2. 系统范围 (5)2.1 网络及安全设备 (5)2.2 服务器设备 (6)3. 差距分析方法 (7)4. 差距分析结果 (7)5. 差距分析表 (8)5.1. 安全物理环境 (8)5.1.1. 物理位置选择 (8)5.1.2. 物理访问控制 (8)5.1.3. 防盗窃和防破坏 (8)5.1.4. 防雷击 (9)5.1.5. 防火 (9)5.1.6. 防水和防潮 (9)5.1.7. 防静电 (10)5.1.8. 温湿度控制 (10)5.1.9. 电力供应 (10)5.1.10. 电磁防护 (10)5.2. 安全通信网络 (11) (11)5.2.1. 网络架构 (11)5.2.2. 通信传输 (11)5.2.3. 可信验证 (11)5.3. 安全区域边界 (12) (12)5.3.1. 边界防护 (12)5.3.2. 访问控制 (12)5.3.3. 入侵防范 (12)5.3.4. 恶意代码和垃圾邮件防范 (13)5.3.5. 安全审计 (13)5.3.6. 可信验证 (14)5.4. 安全计算环境 (14) (14)5.4.1. 身份鉴别 (14)5.4.2. 访问控制 (14)5.4.3. 安全审计 (15)5.4.4. 入侵防范 (15)5.4.5. 恶意代码防范 (16)5.4.7. 数据完整性 (16)5.4.8. 数据保密性 (17)5.4.9. 数据备份恢复 (17)5.4.10. 剩余信息保护 (17)5.4.11. 个人信息保护 (17)5.5. 安全管理中心 (18) (18)5.5.1. 系统管理 (18)5.5.2. 审计管理 (18)5.5.3. 安全管理 (18)5.5.4. 集中管控 (19)6. 管理要求 (19) (19) (19)6.1. 安全管理制度 (19) (19) (19)6.1.1. 安全策略 (19)6.1.2. 管理制度 (20)6.1.3. 制定和发布 (20)6.1.4. 评审和修订 (20)6.2. 安全管理机构 (20) (20)6.2.1. 岗位设置 (20)6.2.2. 人员配备 (21)6.2.3. 授权和审批 (21)6.2.4. 沟通和合作 (21)6.2.5. 审核和检查 (22)6.3. 安全管理人员 (22) (22)6.3.1. 人员录用 (22)6.3.2. 人员离岗 (22)6.3.3. 安全意识教育和培训 (23)6.3.4. 外部人员访问管理 (23)6.4. 安全建设管理 (23) (23)6.4.1. 定级和备案 (23)6.4.2. 安全方案设计 (24)6.4.3. 产品采购和使用 (24)6.4.4. 自行软件开发 (25)6.4.5. 外包软件开发 (25)6.4.6. 工程实施 (25)6.4.7. 测试验收 (26)6.4.9. 等级测评 (26)6.4.10. 服务供应商选择 (27)6.5. 安全运维管理 (27) (27)6.5.1. 环境管理 (27)6.5.2. 资产管理 (27)6.5.3. 介质管理 (28)6.5.4. 设备维护管理 (28)6.5.5. 漏洞和风险管理 (28)6.5.6. 网络和系统安全管理 (29)6.5.7. 恶意代码防范管理 (30)6.5.8. 配置管理 (30)6.5.9. 密码管理 (30)6.5.10. 变更管理 (31)6.5.11. 备份与恢复管理 (31)6.5.12. 安全事件处置 (31)6.5.13. 应急预案管理 (32)6.5.14. 外包运维管理 (32)1.概述1.1 背景介绍随着信息化的不断发展，对信息系统的依赖程度也越来越高，大部分行业信息化都是以信息技术广泛应用为主导，信息资源为核心，信息网络为基础，信息人才为依托，有关信息法规、政策、标准、管理为保障的综合体系。
信息安全等保测评报告模板
信息安全等保测评报告模板一、测评概述哎呀，咱这信息安全等保测评报告呢，就像是给信息安全做个全面大检查后的总结。
这可重要啦，就好比给房子做安全评估，看看有没有啥漏洞。
二、测评目标1. 要搞清楚被测评系统的安全状况。
这就像是知道房子哪里结构不稳，哪里容易被小偷光顾一样。
2. 找出安全风险点。
就像在房子里找那些容易着火或者漏水的地方。
三、测评依据1. 相关的国家标准。
这可是很权威的东西，就像盖房子要遵循建筑规范一样。
2. 行业内的最佳实践。
这是大家摸索出来的有效经验，就像邻居家房子安全，咱可以借鉴他家的一些做法。
四、测评范围1. 要明确是哪个信息系统。
是公司的办公系统呢，还是对外服务的网站系统呀。
2. 包括系统的网络架构、硬件设施、软件应用等各个方面。
这就像检查房子的时候，从地基到屋顶，从水管到电线都要查。
五、测评方法1. 访谈。
和系统的管理人员、用户聊聊，问问他们日常使用中的一些安全感受和操作。
这就像和房子的住户聊天，问他们有没有觉得哪里不对劲。
2. 检查。
查看各种安全配置文件、日志记录等。
这就像检查房子的建筑图纸和维修记录。
3. 测试。
对系统进行漏洞扫描、渗透测试等。
这就像给房子来点小压力测试，看它能承受多少风雨。
六、测评结果1. 安全符合项。
哪些地方做得很好，达到了安全标准，就像房子的某些部分很坚固，完全符合建筑安全要求。
2. 安全不符合项。
把那些没达到标准的地方列出来，这就是要重点改进的。
就像房子的窗户没锁好，门有点松这种问题。
3. 风险程度评估。
把不符合项按照风险高低来分个类，高风险的就像房子随时可能着火一样紧急，低风险的可能就是有点小隐患。
七、整改建议1. 针对每个不符合项提出具体的整改措施。
如果是系统密码太简单，那就建议设置复杂密码，包含字母、数字和符号等。
2. 给出整改的优先级。
先解决高风险的问题，就像先把房子着火的隐患解决掉，再去处理窗户有点漏风的小问题。
八、测评结论最后呢，给这个信息系统的安全状况做个总体评价。
等保测评报告模板
等保测评报告模板信息系统安全等级测评报告模板项目名称：委托单位：测评单位：年月日测评单位名称报告摘要一、测评工作概述本部分概述被测信息系统的基本情况，包括系统的运营使用单位、投入运行时间、承载的业务情况、系统服务情况以及定级情况。
同时描述等级测评工作的委托单位、测评单位和等级测评工作的开展过程，包括投入测评人员与设备情况、完成的具体工作内容统计（涉及的测评分类与项目数量，检查的网络互联与安全设备、主机、应用系统、管理文档数量，访谈人员次数）。
二、等级测评结果本部分依据第4、5章的结果对等级测评结果进行汇总统计（测评项符合情况及比例、单元测评结果符合情况比例以及整体测评结果）。
通过对信息系统基本安全保护状态的分析给出等级测评结论（结论为达标、基本达标、不达标）。
三、系统存在的主要问题本部分依据6.3章节的分析结果，列出被测信息系统中存在的主要问题以及可能造成的后果。
四、系统安全建设、整改建议本部分针对系统存在的主要问题提出安全建设、整改建议。
报告基本信息信息系统基本情况本部分列出系统的基本情况，包括系统名称、安全保护等级、委托单位、机房位置、灾备中心、其他机房等信息。
委托单位信息本部分列出委托单位的名称、地址、邮政编码、联系人信息等。
测评单位信息本部分列出测评单位的名称、地址、邮政编码、联系人信息等。
日期信息本部分列出报告编制、审核批准、审核人、批准人的日期信息。
声明本部分是测评单位对于测评报告内容以及用途等有关事项做出的约定性陈述，包含本报告中给出的结论仅对目标系统的当时状况有效，当测评工作完成后系统出现任何变更，涉及到的模块（或子系统）都应重新进行测评，本报告不再适用；本报告中给出的结论不能作为对系统内相关产品的测评结论；本报告结论的有效性建立在用户提供材料的真实性基础上；在任何情况下，若需引用本报告中的结果或数据都应保持其本来的意义，不得擅自进行增加、修改、伪造或掩盖事实。
测评单位机构名称年月测评单位名称报告目录本报告的目录如下：I。
信息安全信息系统等级保护测试报告模板
公安部信息安全等级保护评估中心报告编号：（XXXXXXXXXXX-XX-XXXX-XX）信息系统安全等级测评报告模版（试行）系统名称：被测单位：测评单位：报告时间：年月日说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由11位数字组成，可以从公安机关颁发的信息系统备案证明（或备案回执）上获得，即证书编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
报告编号[2009版]声明（声明是测评机构对测评报告的有效性前提、测评结论的适用范围以及使用方式等有关事项的陈述。
针对特殊情况下的测评工作，测评机构可在以下建议内容的基础上增加特殊声明。
）本报告是xxx信息系统的等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
(2021年整理)信息系统安全等级保护测评报告
信息系统安全等级保护测评报告(推荐完整)编辑整理：尊敬的读者朋友们：这里是精品文档编辑中心，本文档内容是由我和我的同事精心编辑整理后发布的，发布之前我们对文中内容进行仔细校对，但是难免会有疏漏的地方，但是任然希望（信息系统安全等级保护测评报告(推荐完整)）的内容能够给您的工作和学习带来便利。
同时也真诚的希望收到您的建议和反馈，这将是我们进步的源泉，前进的动力。
本文可编辑可修改，如果觉得对您有帮助请收藏以便随时查阅，最后祝您生活愉快业绩进步，以下为信息系统安全等级保护测评报告(推荐完整)的全部内容。
信息系统安全等级保护测评报告(推荐完整)编辑整理：张嬗雒老师尊敬的读者朋友们：这里是精品文档编辑中心，本文档内容是由我和我的同事精心编辑整理后发布到文库,发布之前我们对文中内容进行仔细校对,但是难免会有疏漏的地方，但是我们任然希望信息系统安全等级保护测评报告（推荐完整) 这篇文档能够给您的工作和学习带来便利。
同时我们也真诚的希望收到您的建议和反馈到下面的留言区，这将是我们进步的源泉，前进的动力.本文可编辑可修改,如果觉得对您有帮助请下载收藏以便随时查阅，最后祝您生活愉快业绩进步,以下为〈信息系统安全等级保护测评报告（推荐完整)〉这篇文档的全部内容.报告编号：（—16-1303—01)信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告.二、测评报告编号为四组数据.各组含义和编码规则如下：第一组为信息系统备案表编号,由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执)上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）;第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成.前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海,32为江苏,33为浙江，34为安徽，35为福建,36为江西，37为山东，41为河南，42为湖北,43为湖南，44为广东,45为广西,46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西,62为甘肃，63为青海，64为宁夏，65为新疆,66为新疆兵团.90为国防科工局，91为电监会，92为教育部.后两位为公安机关或行业主管部门推荐的测评机构顺序号。
等级保护2.0差距分析模板(二级)
信息系统安全等级保护评估差距分析报告(二级信息系统)目录1.概述 (5)1.1 背景介绍 (5)1.2 信息系统介绍 (5)2.系统范围 (6)2.1 网络及安全设备 (6)2.2 服务器设备 (6)3.差距分析方法 (7)4.差距分析结果 (7)5.差距分析表 (8)5.1.安全物理环境 (8)5.1.1.物理位置选择 (8)5.1.2.物理访问控制 (8)5.1.3.防盗窃和防破坏 (8)5.1.4.防雷击 (9)5.1.5.防火 (9)5.1.6.防水和防潮 (9)5.1.7.防静电 (9)5.1.8.温湿度控制 (9)5.1.9.电力供应 (10)5.1.10.电磁防护 (10)5.2.安全通信网络 (10)5.2.1.网络架构 (10)5.2.2.通信传输 (10)5.2.3.可信验证 (11)5.3.安全区域边界 (11)5.3.1.边界防护 (11)5.3.2.访问控制 (11)5.3.3.入侵防范 (12)5.3.4.恶意代码和垃圾邮件防范 (12)5.3.5.安全审计 (12)5.4.安全计算环境 (13)5.4.1.身份鉴别 (13)5.4.2.访问控制 (13)5.4.3.安全审计 (13)5.4.4.入侵防范 (14)5.4.5.恶意代码防范 (14)5.4.6.可信验证 (14)5.4.7.数据完整性 (14)5.4.8.数据备份恢复 (15)5.4.9.剩余信息保护 (15)5.4.10.个人信息保护 (15)5.5.安全管理中心 (15)5.5.1.系统管理 (15)5.5.2.审计管理 (16)6.管理要求 (16)6.1.安全管理制度 (16)6.1.1.安全策略 (16)6.1.2.管理制度 (16)6.1.3.制定和发布 (17)6.1.4.评审和修订 (17)6.2.安全管理机构 (17)6.2.1.岗位设置 (17)6.2.2.人员配备 (17)6.2.3.授权和审批 (18)6.2.4.沟通和合作 (18)6.2.5.审核和检查 (18)6.3.安全管理人员 (18)6.3.1.人员录用 (18)6.3.2.人员离岗 (19)6.3.3.安全意识教育和培训 (19)6.3.4.外部人员访问管理 (19)6.4.安全建设管理 (19)6.4.1.定级和备案 (19)6.4.2.安全方案设计 (20)6.4.3.产品采购和使用 (20)6.4.4.自行软件开发 (20)6.4.5.外包软件开发 (21)6.4.7.测试验收 (21)6.4.8.系统交付 (21)6.4.9.等级测评 (22)6.4.10.服务供应商选择 (22)6.5.安全运维管理 (22)6.5.1.环境管理 (22)6.5.2.资产管理 (23)6.5.3.介质管理 (23)6.5.4.设备维护管理 (23)6.5.5.漏洞和风险管理 (23)6.5.6.网络和系统安全管理 (24)6.5.7.恶意代码防范管理 (24)6.5.8.配置管理 (25)6.5.9.密码管理 (25)6.5.10.变更管理 (25)6.5.11.备份与恢复管理 (25)6.5.12.安全事件处置 (26)6.5.13.应急预案管理 (26)6.5.14.外包运维管理 (26)1.概述1.1 背景介绍随着信息化的不断发展，对信息系统的依赖程度也越来越高，大部分行业信息化都是以信息技术广泛应用为主导，信息资源为核心，信息网络为基础，信息人才为依托，有关信息法规、政策、标准、管理为保障的综合体系。
信息系统安全等级保护测评报告
报告编号：（-16-1303-01）信息系统安全等级测评报告说明：一、每个备案信息系统单独出具测评报告。
二、测评报告编号为四组数据。
各组含义和编码规则如下：第一组为信息系统备案表编号，由2段16位数字组成，可以从公+安机关颁发的信息系统备案证明（或备案回执）上获得。
第1段即备案证明编号的前11位（前6位为受理备案公安机关代码，后5位为受理备案的公安机关给出的备案单位的顺序编号）；第2段即备案证明编号的后5位（系统编号）。
第二组为年份，由2位数字组成。
例如09代表2009年。
第三组为测评机构代码，由四位数字组成。
前两位为省级行政区划数字代码的前两位或行业主管部门编号：00为公安部，11为北京，12为天津，13为河北，14为山西，15为内蒙古，21为辽宁，22为吉林，23为黑龙江，31为上海，32为江苏，33为浙江，34为安徽，35为福建，36为江西，37为山东，41为河南，42为湖北，43为湖南，44为广东，45为广西，46为海南，50为重庆，51为四川，52为贵州，53为云南，54为西藏，61为陕西，62为甘肃，63为青海，64为宁夏，65为新疆，66为新疆兵团。
90为国防科工局，91为电监会，92为教育部。
后两位为公安机关或行业主管部门推荐的测评机构顺序号。
第四组为本年度信息系统测评次数，由两位构成。
例如02表示该信息系统本年度测评2次。
信息系统等级测评基本信息表注：单位代码由受理测评机构备案的公安机关给出。
声明本报告是票务系统的安全等级测评报告。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测信息系统当时的安全状态有效。
当测评工作完成后，由于信息系统发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对信息系统内部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
报告编号：XXXXXXXXXXX-XXXXX-XX-XXXXXX-XX网络安全等级保护[被测对象名称]等级测评报告等保2.0委托单位：测评单位：报告时间：年月网络安全等级测评基本信息表声明【填写说明：声明是测评机构对测评报告的有效性前提、测评结论的适用范围以及使用方式等有关事项的陈述。
针对特殊情况下的测评工作，测评机构可在以下建议内容的基础上增加特殊声明。
】本报告是[被测对象名称]的等级测评报告。
本报告是对[被测对象名称]的整体安全性进行检测分析，针对等级测评过程中发现的安全问题，结合风险分析，提出合理化建议。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测对象当时的安全状态有效。
当测评工作完成后，由于被测对象发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对被测对象内部部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
单位名称（加盖单位公章）年月日等级测评结论【填写说明：此表描述等级保护对象及等级测评活动中的一般属性。
包括被测对象名称、安全保护等级、被测对象描述、测评工作描述、等级测评结论及综合得分。
如被测对象为云计算（包括平台/系统）或大数据（包括平台/应用/资源），则需要增加云计算安全扩展表或大数据安全扩展表。
】等级测评结论扩展表（云计算安全）【填写说明：此表描述与云计算（包括平台/系统）相关的扩展信息。
云计算形态用于明确被测对象为云计算平台还是云服务客户业务应用系统，此处为单选。
运维所在地用于明确云计算服务的后台技术管理者所在位置，方便公安机关监管。
云服务模式用于明确被测对象所采用的服务模式，此处为单选。
注意，一个云计算平台可能有多种服务模式，每种服务模式单独构成一个定级系统，对应一份定级报告及一份等级测评报告。
云计算服务安全能力评价用于评价当前服务模式下云计算平台为云服务客户提供的服务的安全能力。
云计算平台可能有多种服务模式，每种服务模式下会提供不同的服务，此处应只填写被测对象当前服务模式下提供的服务列表。
】等级测评结论扩展表（大数据安全）【填写说明：此表描述与大数据安全相关的扩展信息。
大数据形态用于明确被测对象范围，被测对象的大数据形态是否包括大数据平台、大数据应用或大数据资源，此处为多选。
如被测对象含大数据平台，则大数据平台服务安全能力评价部分应由测评机构给出评价结论；如被测对象不含大数据平台，则评价由大数据平台提供方出具该平台的测评结论，供测评机构引用。
】总体评价【填写说明：根据被测对象测评结果和测评过程中了解的相关信息，对被测对象的安全保护状况进行说明和评价，基于综合评价结果对安全保护状况给出总括性结论。
】主要安全问题及整改建议【填写说明：描述被测对象存在的主要安全问题，以及对主要安全问题提出针对性的整改建议。
】目录网络安全等级测评基本信息表 (I)声明 (II)等级测评结论................................................................................................................................. I II 等级测评结论扩展表（云计算安全）......................................................................................... I V 等级测评结论扩展表（大数据安全）......................................................................................... V I 总体评价 (VII)主要安全问题及整改建议.......................................................................................................... V III 目录 ................................................................................................................................................ I X 正文表格索引.............................................................................................................................. X IV 附录表格索引. (XV)插图索引 (XVII)1测评项目概述 (1)1.1测评目的 (1)1.2测评依据 (1)1.3测评过程 (1)1.4报告分发范围 (2)2被测对象描述 (2)2.1被测对象概述 (2)2.1.1定级结果 (2)2.1.2业务和采用的技术 (2)2.1.3网络结构 (3)2.2测评指标 (3)2.2.1安全通用要求指标 (3)2.2.2安全扩展要求指标 (4)2.2.3其他安全要求指标 (4)2.2.4不适用安全要求指标 (5)2.3测评对象 (5)2.3.1测评对象选择方法 (5)2.3.2测评对象选择结果 (6)3单项测评结果分析 (9)3.1安全物理环境 (10)3.1.1已有安全控制措施汇总分析 (10)3.1.2主要安全问题汇总分析 (10)3.2安全通信网络 (10)3.2.1已有安全控制措施汇总分析 (10)3.2.2主要安全问题汇总分析 (11)3.3安全区域边界 (11)3.3.1已有安全控制措施汇总分析 (11)3.3.2主要安全问题汇总分析 (11)3.4安全计算环境 (12)3.4.1网络设备和安全设备 (12)3.4.2服务器和终端 (12)3.4.3应用和数据 (13)3.4.4其他系统和设备 (14)3.5安全管理中心 (14)3.5.1已有安全控制措施汇总分析 (14)3.5.2主要安全问题汇总分析 (15)3.6安全管理制度 (15)3.6.1已有安全控制措施汇总分析 (15)3.6.2主要安全问题汇总分析 (15)3.7安全管理机构 (16)3.7.1已有安全控制措施汇总分析 (16)3.7.2主要安全问题汇总分析 (16)3.8安全管理人员 (16)3.8.1已有安全控制措施汇总分析 (16)3.8.2主要安全问题汇总分析 (17)3.9安全建设管理 (17)3.9.1已有安全控制措施汇总分析 (17)3.9.2主要安全问题汇总分析 (17)3.10安全运维管理 (18)3.10.1已有安全控制措施汇总分析 (18)3.10.2主要安全问题汇总分析 (18)3.11其他安全要求指标 (18)3.11.1已有安全控制措施汇总分析 (18)3.11.2主要安全问题汇总分析 (19)3.12验证测试 (19)3.12.1漏洞扫描 (19)3.12.2渗透测试 (20)3.12.3其他测试验证问题汇总 (21)3.13单项测评小结 (21)3.13.1控制点符合情况汇总 (21)3.13.2安全问题汇总 (23)4整体测评结果分析 (23)4.1安全控制点间安全测评 (23)4.2区域间/层面间安全测评 (23)4.3整体测评结果汇总 (24)5安全问题风险分析 (24)6等级测评结论 (25)7安全问题整改建议 (27)附录A被测对象资产 (28)A.1物理机房 (28)A.2网络设备 (28)A.3安全设备 (28)A.4服务器/存储设备 (29)A.5终端/现场设备 (29)A.6系统管理软件/平台 (29)A.7业务应用系统/平台 (30)A.8数据类别 (30)A.9安全相关人员 (31)A.10安全管理文档 (32)附录B上次测评问题整改情况说明 (32)附录C单项测评结果汇总 (32)C.1安全物理环境 (32)C.2安全通信网络 (34)C.3安全区域边界 (35)C.4安全计算环境 (36)C.4.1网络设备和安全设备 (36)C.4.2服务器和终端 (39)C.4.3应用和数据 (42)C.4.4其他系统和设备 (46)C.5安全管理中心 (48)C.6安全管理制度 (49)C.7安全管理机构 (49)C.8安全管理人员 (50)C.9安全建设管理 (50)C.10安全运维管理 (51)C.11其他安全要求指标 (52)附录D单项测评结果记录 (53)D.1安全物理环境 (53)D.1.1安全通用要求部分 (53)D.1.2安全扩展要求部分 (53)D.2安全通信网络 (54)D.2.1安全通用要求部分 (54)D.2.2安全扩展要求部分 (54)D.3安全区域边界 (54)D.3.1安全通用要求部分 (54)D.3.2安全扩展要求部分 (55)D.4安全计算环境 (55)D.4.1安全通用要求部分 (55)D.4.2安全扩展要求部分 (55)D.5安全管理中心 (55)D.5.1测评对象1 (55)D.5.2测评对象2 (56)D.6安全管理制度 (56)D.7安全管理机构 (56)D.8安全管理人员 (56)D.9安全建设管理 (56)D.9.1安全通用要求部分 (56)D.9.2安全扩展要求部分 (56)D.10安全运维管理 (56)D.10.1安全通用部分 (56)D.10.2安全扩展部分 (56)D.11其他安全要求 (57)附录E漏洞扫描结果记录 (57)附录F渗透测试结果记录 (57)附录G常见威胁列表 (57)附录H云计算平台测评及整改情况 (57)附录I大数据平台测评及整改情况 (57)正文表格索引表2-1 [被测对象名称]定级结果 (2)表2-2安全通用要求指标 (3)表2-3安全扩展要求指标 (4)表2-4其他安全要求指标 (4)表2-5不适用安全要求指标 (5)表2-6 物理机房 (6)表2-7 网络设备 (6)表2-8 安全设备 (6)表2-10 服务器/存储设备 (7)表2-11 终端/现场设备 (7)表2-12 系统管理软件/平台 (7)表2-13 业务应用系统/平台 (8)表2-14-a 关键数据类别 (8)表2-14-b 数据类别 (8)表2-15 安全相关人员 (9)表2-16 安全管理文档 (9)表3-1接入点A漏洞扫描结果统计表 (20)表3-2测评结果分类统计表 (22)表3-3安全问题汇总表 (23)表4-1修正后的安全问题汇总表 (24)表5-1 安全问题风险分析表 (25)表6-1等级测评结论判别依据 (26)表6-2安全风险汇总表 (26)表7-1 安全问题整改建议表 (27)附录表格索引附录A 表- 1物理机房 (28)附录A 表- 2网络设备 (28)附录A 表- 3安全设备 (28)附录A 表- 4服务器/存储设备 (29)附录A 表- 5终端/现场设备 (29)附录A 表- 6系统管理软件/平台 (30)附录A 表- 7业务应用系统/平台 (30)附录A 表- 8- a关键数据类别 (31)附录A 表- 8- b数据类别 (32)附录A 表- 9安全相关人员 (31)附录A 表- 10安全管理文档 (32)附录C 表- 1安全物理环境单项测评结果汇总表（安全通用要求部分） (33)附录C 表- 2安全物理环境单项测评结果汇总表（安全扩展要求部分） (33)附录C 表- 3安全通信网络单项测评结果汇总表（安全通用要求部分） (34)附录C 表- 4安全通信网络单项测评结果汇总表（安全扩展要求部分） (34)附录C 表- 5 安全区域边界单项测评结果汇总表（安全通用要求部分） (35)附录C 表- 6 安全区域边界单项测评结果汇总表（安全扩展要求部分） (35)附录C 表- 7安全计算环境单项测评结果汇总表（安全通用要求部分） (37)附录C 表- 8 安全计算环境单项测评结果汇总表（安全扩展要求部分） (38)附录C 表- 9 安全计算环境单项测评结果汇总表（安全通用要求部分） (39)附录C 表- 10 安全计算环境单项测评结果汇总表（安全扩展要求部分） (40)附录C 表- 11安全计算环境单项测评结果汇总表（安全通用要求部分） (42)附录C 表- 12 安全计算环境单项测评结果汇总表（安全扩展要求部分） (43)附录C 表- 13大数据生命周期单项测评结果汇总表（安全扩展要求部分） (45)附录C 表- 14 安全计算环境单项测评结果汇总表（安全通用要求部分） (46)附录C 表- 15安全计算环境单项测评结果汇总表（安全扩展要求部分） (47)附录C 表- 16 安全管理中心单项测评结果汇总表 (48)附录C 表- 17 安全管理制度单项测评结果汇总表 (49)附录C 表- 18 安全管理机构单项测评结果汇总表 (50)附录C 表- 19 安全管理人员单项测评结果汇总表 (50)附录C 表- 20安全建设管理单项测评结果汇总表（安全通用要求部分） (51)附录C 表- 21安全建设管理单项测评结果汇总表（安全扩展要求部分） (51)附录C 表- 22安全运维管理单项测评结果汇总表（安全通用要求） (52)附录C 表- 23安全运维管理单项测评结果汇总表（安全扩展要求部分） (52)附录C 表- 24其他指标单项测评结果汇总表 (53)插图索引图2-1 [被测对象名称]网络拓扑图 (3)图 3-1漏洞扫描工具接入测试示意图 (19)1测评项目概述1.1测评目的【填写说明：简述测评项目背景和项目目标等。