4信息系统安全等级保护测评过程及方法(v3.0)

文档（制度类、规程类、记录/证据类等）
35
单元测评－网络层面
网络层面构成组件负责支撑信息系统进行网络互联，为 信息系统各个构成组件进行安全通信传输，一般包括网 络设备、连接线路以及它们构成的网络拓扑等。
测评对象：


网络互联设备
网络安全设备 网络管理平台 相应设计/验收文档，设备的运行日志等
28
测试 功能/性能测试、渗透测试等
测试对象包括机制和设备等
测试一般需要借助特定工具
扫描检测工具
攻击工具 渗透工具
29
测试 适用情况：
对技术要求，‘测试’的目的是验证信息系统
当前的、具体的安全机制或运行的有效性或安 全强度。 对管理要求，一般不采用测试技术。
30
测评力度：评估投入 vs 信任
投入 - 回报
测评人工
配合人工
工具
最小的投入 - 合理的回报
31
测评力度
测评工作实际投入力量的表征 由测评广度和深度来描述:
测评广度越大，范围越大，包含的测评对象就越多， 测评实际投入程度越高。 测评的深度越深，越需要在细节上展开，测评实际投 入程度也越高。
42
安全控制点间
同一层面内不同安全控制之间存在的功能增 强（补充）或削弱等关联作用。
物理访问控制与防盗窃和防破坏 身份鉴别与访问控制 身份鉴别与安全审计
43
层面间
主要考虑同一区域内的不同层面之间存在的功
能增强、补充和削弱等关联作用。
物理层面网络层面
物理访问控制/网络设备防护
的过程和内容，不同的角色在不同活动的作用，不同活
动的参与角色、活动内容、输出文档等等。
47
与《测评要求》的关系
《测评要求》阐述了《基本要求》中各要求项的具体 测评方法、步骤和判断依据等，用来评定信息系统的 安全保护措施是否符合《基本要求》。 《测评过程指南》规定了开展等级测评工作的基本过
程、流程、任务及工作产品等，规范测评机构的等级
的通知（公通字[2010]70号）：各企业要根据企业特
点，从《全国信息安全等级保护测评机构推荐目录》
中择优选择测评机构，对本企业第三级（含）以上
信息系统定期开展等级测评,查找发现信息系统的
安全问题、漏洞和安全隐患并及时整改。
-8-
了解现状 明确整改

国家要求 行业要求
等保
9
②等级测评
如何开展等级测评？
3
规定步骤
定级
备案
安全建设整改
等级测评
监督检查
4
规定步骤

从工作环节角度看：

承上启下（定级、备案、建设
整改、等级测评和监督检查）

从驱动力角度看： 内部需求 外部驱动
安全建设整改 等级测评
定级
备案
监督检查
5
外部驱动
信息安全等级保护管理办法（公通字【2007】43号）第十四条
信息系统建设完成后，运营、使用单位或者其主管部门应当选 择符合本办法规定条件的测评机构，依据《信息系统安全等级 保护测评要求》等技术标准，定期对信息系统安全等级状况开
展等级测评。第三级信息系统应当每年至少进行一次等级测评，
第四级信息系统应当每半年至少进行一次等级测评，第五级信 息系统应当依据特殊安全需求进行等级测评。


9.报告编制活动
附录A 等级测评工作流程 附录B 测评对象确定准则和样例


附录C 等级测评工作要求
附录D 测评方案与测评报告编制示例 附录E 信息系统基本情况调查表模板
46
目标定位
《测评过程指南》作为一个对信息系统实施等级测评的 指南性文件，其目标是介绍和描述实施信息系统等级测 评过程中涉及的活动和从事的工作任务，通过活动和任 务的介绍，使读者了解和知晓对信息系统实施等级测评
典型的访谈人员包括信息安全主管、信息
系统安全管理员、系统管理员、网络管理
员、资产管理员等。
工具：管理核查表（checklist）
有目的的（有针对性的）
23
访谈
适用情况：
对技术要求，使用‘访谈’方法进行测评的目的是为了了 解信息系统的全局性(包括局部，但不是细节)、方向/策 略性和过程性信息，一般不涉及到具体的实现细节和具体
信息安全等级保护培训
信息系统安全等级保护
测评过程及方法
公安部信息安全等级保护评估中心
1
内容目录
1. 等级测评概述
2. 相关标准及基本概念
3. 测评实施工作流程 4. 测评实施主要内容
5. 等级测评工作要求
2
几个问题
为什么需要对信息系统进行测评？
为什么需要等级测评？ 什么是“等级测评” ？
内容目录
1. 等级测评概述
2. 相关标准及基本概念
3. 测评实施工作流程 4. 测评实施主要内容
5. 等级测评工作要求
14
信息系统安全 等级保护测评要求
1 范围 2 规范性引用文件 3 术语和定义 等级 4 概述 5 第一级信息系统单元测评 安全分类 5.1 安全技术测评 5.1.1 物理安全 安全控制点（子类） 单元测评描述 技术/管理
17
《测评要求》的作用
明确测评内容
单元和整体
不同等级单元测评
测评指标，测评实施（方法、步骤）和判定
整体测评
安全控制间、层面间、区域间
测评结论
2-18
目标用户
等级测评机构
信息系统的主管部门及运营、使用单位
信息安全服务机构 信息安全监管职能部门
19
与其他标准的关系 承上启下
26
检查 适用情况：
对技术要求，‘检查’的内容应该是具体的、较
为详细的机制配置和运行实现 。 对管理要求，‘检查’方法主要用于规范性要求 （检查文档）。
27
测试
访谈 检查 测试
是指测评人员使用预定的方法/工具使测评对象（各 类设备或安全配置）产生特定的结果，将运行结果 与预期的结果进行比对的过程。
测评工作，并对在等级测评过程中何时如何使用《测
评要求》提出了指导建议。
二者共同指导等级测评工作。
48
《测评过程指南》目录
6
公安部/发改委
关于加强国家电子政务工程建设项目信息
安全风险评估工作的通知（发改高技[2008]
2071号）：项目建设单位向审批部门提出项目
竣工验收申请时，应提交非涉密信息系统安全 保护等级备案证明，以及相应的安全等级测评 报告和信息安全风险评估报告等。
-7-
公安部/国资委
关于进一步推进中央企业信息安全等级保护工作
全建设整改、信息安全等级保护宣传教育等工作的技术支持。
不得从事下列活动：
（二）泄露知悉的被测评单位及被测评信息系统的国家秘密和 工作秘密； （三）故意隐瞒测评过程中发现的安全问题，或者在测评过程 中弄虚作假，未如实出具等级测评报告；
（四）未按规定格式出具等级测评报告；
13
（七）信息安全产品开发、销售和信息系统安全集成；
《定级指南》
《基本要求》 《测评过程指南》
20
与其他标准的关系 《基本要求》
身份鉴别信息应具有不易被冒用的特
点。。。 口令：字母数字混合，长度
21
测评方法
方法种类
访谈、检查、测试
目的
理解、澄清或取得证据的过程
适用对象
3-22
访谈
访谈的对象是人员。
32
测评内容
等级测评包括：
单元测评
整体测评
单元测试
以安全控制为基本工作单位组织描述
测评指标、测评实施和结果判定。
33
34
单元测评－物理安全
支持信息系统运行的设施环境和构成信息系统的硬 件设备和介质
测评对象包括：
机房（含各类基础设备） 存储介质 安全管理人员/文档管理员
整性的安全要求，而对于存储中的数据，还需要有备份恢
复的安全要求。
测评对象：
应用系统 数据库管理系统 特定的数据安全系统
39
单元测评－管理
人员
安全主管/主机、应用、网络等安全管理员 机房管理员/文档管理员等
文档
管理文档（策略、制度、规程） 记录类（会议记录、运维记录）
物理层面和应用层面
物理访问控制/身份鉴别与访问控制
44
区域间
主要考虑互连互通的不同区域之间，重点分 析系统中访问控制路径（如不同功能区域间 的数据流流向和控制方式），是否存在区域 间安全功能的相互补充。
45
过程指南框架
主体由9个章节5个附录构成
1.范围 2.规范性引用文件 3.术语和定义 4.符号和缩略语 5.等级测评概述 6.测评准备活动 7.方案编制活动 8.现场测评活动
等级测评是指，测评机构依据国家信息安全
等级保护制度规定，按照有关管理规范和技术标
准，对非涉及国家秘密信息系统安全等级保护状 况进行检测评估的活动。
10
等测特点
执行主体：符合条件的测评机构 执行的强制性：管理办法强制周期性执行
执行对象：已经定级的信息系统
测评依据：依据《基本要求》 测评内容：单元测评（技术和管理）和整体测评 测评付出：不同级别的测评力度不同 测评方式：访谈、检查和测试 服务对象：主管部门，运维、使用单位，信息安全监管部门 判定准则：满足业务需求
...
15
16
实例
测评指标：
5.1.2.3 网络设备防护 5.1.2.3.3 结果判定 a) 应对登录网络设备的用户进行身份鉴别； 5.1.2.3.2 测评实施 如果 b）-d）均为肯定，则信息系统符合本单元测评指标 a) 5.1.2.3.2 应访谈网络管理员，询问关键网络设备的防护措施有哪些；询 b) 应具有登录失败处理功能，可采取结束会话、限制非 问关键网络设备的登录和验证方式做过何种配置；询问远程管 要求，否则，信息系统不符合本单元测评指标要求。 法登录次数和当网络登录连接超时自动退出等措施； 理的设备是否采取措施防止鉴别信息泄漏； b)应检查边界和关键网络设备，查看是否配置了对登录用户进行身 c) 当对网络设备进行远程管理时，应采取必要措施防止 份鉴别的功能； 鉴别信息在网络传输过程中被窃听。 c)应检查边界和关键网络设备，查看是否配置了鉴别失败处理功能； d)应检查边界和关键网络设备，查看是否配置了对设备远程管理所 产生的鉴别信息进行保护的功能。
技术措施。
对管理要求，获取证据
24
检查
访谈 检查
是指测评人员通过对测评对象（如制度文档、各类设备、 安全配置等）进行观察、查验、分析以帮助测评人员理 解、澄清或取得证据的过程。
测试
25
检查对象 检查对象包括：
文档、各类设备、安全配置、机房、存储
介质等。
主要工具：
核查表
5.2 安全管理测评
6 第二级信息系统单元测评 7 第三级信息系统单元测评 8 第四级信息系统单元测评 9 第五级信息系统单元测评 10 信息系统整体测评 11 等级测评结论 附录A 附录B
...
...
5.1.1.1 物理访问控制 5.1.1.1.1 测评指标 5.1.1.1.2 测评实施 5.1.1.1.3 结果判定
36
单元测评－系统层面
系统层面主要是指主机系统，构成组件有服务器、终端 /工作站等计算机设备，包括他们的操作系统、数据库 系统及其相关环境等 操作系统, 如Windows / Linux系列 / 类UNIX系列 / IBM Z/os
/Unisys MCP等
数据库管理系统，如DB2 / Oracle / Sybase / MS SQL Server
11
测评机构
是指具备本规范的基本条件，经能力评估和审核，由 省级以上信息安全等级保护工作协调（领导）小组办 公室（以下简称为“等保办”）推荐，从事等级测评 工作的机构。
机构职责
省级以上等保办审核
评估中心：技术培训/能力评估
省级以上等保办推荐
12
测评机构
可以从事：等级测评活动以及信息系统安全等级保护定级、安
等
中间件平台，如Weblogic / Tuxedo / Websphere等
37
单元测评－应用系统
测评对象包括
商业现货业务应用系统
委托第三方定制开发业务应用系统
38
单元测评－数据层面
数据层面构成组件主要包括信息系统安全功能数据和用户 数据。对于传输和处理过程中的数据，一般有机密性和完
其它类（机房验收证明等）
40
安全管理制度 文档体系
安全 策略
环 设 网 系 运 … 境 备 络 统 行
策略
制度
出 入 登 记
介 质 使 用
资 产 登 记
漏 洞 扫 描
口 令 更 换
版 本 升 级
文 档 管 理
…
操作 规程
相应表格 相应操作记录
41
记录
整体测评
安全控制点间
层面间
Hale Waihona Puke 域间