六、等级保护测评

《六、等级保护测评》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、等级保护测评过程分析与编制报告活动现场测评活动方案编制活动测评准备活动等级评测的概述主要内容等级保护概述测评的作用测评的执行主体等级测评风险等级测评过程测评的作用检测评估信息系统安全等级保护状况根据评测结论进行整改，是信息系统符合相应等级的保护能力。落实信息安全等级保护制度。等级测评的执行主体中华人民共和国境内注册，中国公民投资、中国法人投资或者国家投资的企事业单位。从事相关检测评估工作两年以上，无违法记录。工作人员及法人应符合相关的规定。使用的技术装备、设施应当符合《信息安全等级保护管理办法》（公通字[2007]43号）对信息安全产品的要求。具备相应的安

2、全管理制度。对国家安全、社会秩序、公共利益不构成威胁。测评主体应当履行的义务：遵守国家有关法律法规和技术标准，提供安全、客观、公正的检测评估服务，保证测评的质量和效果。保守在测评活动中知悉的国家秘密、商业秘密和个人隐私，防范测评风险。对测评人员进行安全保密教育，与其签订安全保密责任书，规定应当履行的安全保密义务和承担的法律责任，并负责检查落实。等级测评风险验证测试影响系统正常运行。工具测试影响系统正常运行。敏感信息的泄露。等级测评过程测评准备活动方案编制活动现场测评活动分析与报告编制活动分析与编制报告活动现场测评活动方案编制活动测评准备活动等级评测的概述测

3、评准备活动目标：顺利启动测评项目，准备测评所需的相关资料，为顺利编制测评方案打下良好的基础。基本流程等级测评项目启动信息收集和分析工具和表单准备测评准备活动项目启动根据委托协议书与系统规模，组建项目组，并编制项目计划书。要求评测委托单位提供基本资料。测评准备活动信息收集和分析收集等级测评需要的各种资料。提交调查表格，并督促相关人员准确填写。回收调查表格，分析调查结果，了解和熟悉被测系统的实际情况。现场调查，并与系统相关人员沟通，完善调查结果。测评准备活动工具和表单的准备测评人员调试本次测评将用到的工具。包括漏洞扫描，渗透性测试工具，性能测试工具和协议分析工

4、具。测评人员模拟被测系统搭建测评环境。准备和打印表单。主要包括：现场测评授权书、文档交接单、会议记录单、会议签到表单。测评准备活动测评准备活动的输出文档任务输出文档文档内容项目启动项目计划书项目概述、工作依据、技术思路、工作内容和项目组织等信息收集和分析填好的调查表格被测系统的安全保护等级、业务情况、数据情况、软硬件情况、管理模式和相关部门及角色等工具和表单的准备选用的测评工具清单打印的各类表单；现场测评授权书、文档交接单、会议记录表单、会议签到表单现场测评授权、交接的文档名称、会议记录项目、会议签到项目测评准备活动等级测评活动双方的职责测评机构的职责测评

5、委托单位的职责测评机构职责组建等级测评项目组指出测评委托单位应提供的基本资料准备被测系统基本情况调查表格，并提交给测评委托单位向测评委托单位介绍安全测评工作流程和方法向测评委托单位说明测评工作可能带来的风险和规避方法了解测评委托单位的信息化建设状况与发展，以及被测系统的基本情况初步分析系统的安全情况准备测评工具和文档测评委托单位向测评机构介绍本单位的信息化建设状况与发展情况准备测评机构需要的资料为测评人员的信息收集提供支持和协调准确填写调查表格根据被测系统的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议制定应急预案分析与编制报告活

6、动现场测评活动方案编制活动测评准备活动等级评测的概述方案编制活动目标：整理测评准备活动中获取的信息系统相关资料，为现场测评活动提供最基本的文档和指导方案。基本流程测评对象确定测评指标确定测评工具接入点确定测评内容确定测评指导书开发测评方案编制方案编制活动测评对象确定识别并描述被测系统的整体结构识别并描述被测系统的边界识别并描述被测系统的网络区域识别并描述被测系统的重要节点描述被测系统确定测评对象描述测评对象方案编制活动测评指标确定根据被测系统定级结果，确定应采取的安全保护措施的ASG组合情况从GB/T2239-2008中选择相应等级的安全要求作为指标，包括

7、对ASG三类安全要求的选择依据信息系统的组成情况，确定各个定级对象的测评指标分别针对每个定级对象加以描述，包括系统的定级结果、指标选择两部分。方案编制活动测评工具接入点确定确定需要进行工具测试的测评对象选择测试路径根据测试路径，确定测试工具接入点结合网拓扑图，采用图示的方式描述测试工具的接入点、测试目的、测试用途和测试对象等相关内容方案编制活动测评内容确定确定单元测评内容以表格形式给出序号测评指标测评内容描述1测评指标1测评对象、测评方法、测评实施概述2测评指标23测评指标3……......方案编制活动测评指导书开发描述单个测评对象，包括测评对象的名称、I

8、P地址、用途、管理人员信息等。根据GB/TDDDD-DDDD的单元