c)
……
等级测评实施 分析系统差距
d) e) f) g) h)
…… …… …… …… …… …
… …
… …
…
…
…
…
…

30
等级保护测评流程---各阶段提交物
前期沟通 测评实施 形成报告
测评指标子类 序号 名称 网络 结构 安全 IOS_ 1 路 由 器_内 部_1 IOS_ 路 由 器 _VPN _1 … … … … … … 部分 符合 4/7 符合 0/4 符合 0/6 符合 0/2 不符 合 网络 访问 控制 网络 安全审 计 边界 完整性 检查 网络 入侵 防范 恶意 代码 防范 不符 合 2/2 网络 设备 防护 部分 符合 6/9
等级保护测评流程
前期沟通
制定计划与培训
收集资料 测评规划 等级测评实施 分析系统差距 判断安全管理与测评指标的符合度 判断安全技术与测评指标的符合度
测评实施
24

等级保护测评流程
前期沟通
制定计划与培训
收集资料 测评规划 等级测评实施 分析系统差距 编制安全测评报告
等级保护测评介绍
于海翔

主要内容
等级保护测评简介
等级保护测评内容
等级保护测评流程 等级保护测评方式、技术和工具

2
等级保护测评简介
1.等级保护测评目的 2.等级保护测评依据
3.等级保护测评原则

等级保护测评简介
制定计划与培训
收集资料 测评规划
3管理控制
10全国 11跨省（区、市） 跨 个 20全省（区、市） 21跨地（市、区） 跨 个 系统服务 服务范围 30地（市、区）内 99其它 情况 1单位内部人员 2社会公众人员 3两者均包括 服务对象 9其他 1局域网 2城域网 3广域网 覆盖范围 系统网络 9其他 1业务专网 2互联网 平台 网络性质 9其它 系统互联 1与其他行业系统连接 2与本行业其他单位系统连接 3与本单位其他系统连接 情况 9其它 业务信息安全保护等级 系统服务安全保护等级 信息系统安全保护等级
26

[1]
本报告模板针对作为单一定级对象的信息系统制定。
等级保护测评流程---各阶段提交物
前期沟通
制定计划与培训
收集资料 测评规划
序号 … 数据类型 … 所属业务应用 … 主机/存储设备 重要程度 … 序号
…
测评实施
软件名称
…
形成报告
主要功能
…
重要程度
2/2
2
…
…
…
等级测评实施
分析系统差距
31

等级保护测评流程---各阶段提交物
前期沟通
序号 分类 子类 符合 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 系 统 运 维 管 理 系 统 建 设 管 理 人 员 安 全 管 理 安 全 管 理 机 构 安 制全 度管 理 及数 备据 复份 安 恢全 应 用 安 全 主 机 安 全 网 络 安 全 物 理 安 全 物理位置的选择 物理访问控制 防盗窃和防破坏 防雷击 防火 防水和防潮 防静电 温湿度控制 电力供应 电磁防护 结构安全 访问控制 安全审计 边界完整性检查 入侵防范 恶意代码防范 网络设备防护 身份鉴别 安全标记 访问控制 可信路径 安全审计 剩余信息保护 入侵防范 恶意代码防范 资源控制 身份鉴别 安全标记 访问控制 可信路径 安全审计 剩余信息保护 通信完整性 通信保密性 抗抵赖 软件容错 资源控制 数据完整性 数据保密性 备份和恢复 管理制度 制定和发布 评审和修订 岗位设置 人员配备 授权和审批 沟通和合作 审核和检查 人员录用 人员离岗 人员考核 安全意识教育和培训 部分符合 不符合
5

等级保护测评简介
1.等级保护测评目的 2.等级保护测评依据
3.等级保护测评原则

等级保护测评依据
《信息安全等级保护管理办法》(公通字[2007]43号)
1.信息系统建设完成后，运营、使用单位或者其主管部门应 当选择符合本办法规定条件的测评机构，依据《信息系统安 全等级保护测评要求》等技术标准，定期对信息系统安全等 级状况开展等级测评； 2.第三级信息系统应当每年至少进行一次等级测评，第四级 信息系统应当每半年至少进行一次等级测评，第五级信息系 统应当依据特殊安全需求进行等级测评； 3.信息系统运营、使用单位及其主管部门应当定期对信息系 统安全状况、安全保护制度及措施的落实情况进行自查。第 三级信息系统应当每年至少进行一次自查，第四级信息系统 应当每半年至少进行一次自查，第五级信息系统应当依据特 殊安全需求进行自查； 4.经测评或者自查，信息系统安全状况未达到安全保护等级 要求的，运营、使用单位应当制定方案进行整改

主要内容
等级保护相关政策介绍 等级保护测评简介
等级保护测评内容
等级保护测评流程 等级保护测评方式、技术和工具

19
等级保护测评流程
前期沟通
制定计划与培训
进行培训交流 确定项目范围和目标 提出工作限制要求 项目进度安排 确定项目协调会制度
20

8

等级保护测评简介
1.等级保护测评目的 2.等级保护测评依据
3.等级保护测评原则

等级保护测评原则
标准性原则
测评工作的开展、方案的设计和具体实施均需依据我 国等级保护的相关标准进行。
10

测评过程和所使用的工具具备可控性，测评项目所采用 的工具都经过多次测评项目考验，或者是根据具体要求 和组织的具体网络特点定制的，具有良好的可控性。
12

为用户提供规范的服务。工作中的过程和文档，具有很好的规范性，可以便于项目 的跟踪和控制
等级保护测评原则
等级保护测评原则
标准性原则
规范性原则
为用户提供规范的服务，工作中的过程和文档需具有 良好的规范性，可以便于项目的跟踪和控制。
11

为用户提供规范的服务。工作中的过程和文档，具有很好的规范性，可以便于项目 的跟踪和控制
等级保护测评原则
标准性原则
规范性原则 可控性原则
标GB/T24856-2009信息安全技术 信息系统等级保护安全设计技术 要求 GB/T 20008-2005 信息安全技术 操作系统安全测评准则 准 GB/T 20009-2005 信息安全技术 数据库管理系统安全测评准则
GB/T 20010-2005 信息安全技术 包过滤防火墙测评准则
GB/T 20011-2005 信息安全技术 路由器安全测评准则
文档名称 …
主要内容 …
序号 …
威胁分(子)类 …
描述 …
威胁赋值
28

等级保护测评流程---各阶段提交物
前期沟通
制定计划与培训
收集资料 测评规划
测评实施
形成报告
测评方案
1、项目概述 2、测评对象 3、测评指标
测评工作计划
1、项目概述
2、工作依据 3、工作内容 4、任务分工
4、测评方式和工具 5、层面测评实施 6、系统测评实施
5、时间计划
6、项目评审
29

等级保护测评流程---各阶段提交物
前期沟通
类别
测评实施
符合情况
形成报告
测评内容 结果记录 a) 应在网络边界部署访问控制设备，启用访 问控制功能； b) ……
网 络 访 问 控 制
1.等级保护测评目的 2.等级保护测评依据
3.等级保护测评原则

等级保护测评目的
等级保护测评的主要目的是： 对信息系统安全防护体系能力的分析与确认， 发现存在的安全隐患， 帮助运营使用单位认识不足， 及时改进， 有效提升其信息安全防护水平；
遵循国家等级保护有关规定的要求， 对信息系统安全建设进行符合性测评；

ቤተ መጻሕፍቲ ባይዱ
主要内容
等级保护相关政策介绍 等级保护测评简介
等级保护测评内容
等级保护测评流程 等级保护测评方式、技术和工具

17
等级保护测评内容
测评内容覆盖组织的重要信息资产
测 评 管理层面：从组织的人员、组织结构、管理制度、系统运行保 障措施，以及其它运行管理规范等角度，分析业务运作和管理 内 方面存在的安全缺陷 容
标准性原则
规范性原则 可控性原则
整体性原则
测评服务从组织的实际需求出发，从业务角度进行测评， 而不是局限于网络、主机等单个的安全层面，涉及到安 全管理和业务运营，保障整体性和全面性。
13

为用户提供规范的服务。工作中的过程和文档，具有很好的规范性，可以便于项目 的跟踪和控制
7

等级保护测评依据
测评主要标准 GB/T22239-2008信息安全技术 信息系统安全等级保护基本要求 相GB/TXXXX-XXXX 信息安全技术信息系统安全等级保护测评要求 (报批稿) 关 参考技术标准 GB17859-1999 计算机信息系统安全保护等级划分准则
等级保护测评流程
前期沟通
制定计划与培训
收集资料 基本信息调查 前期客户沟通交流 业务应用 小组讨论 文档查看 现场勘查 网络结构 系统构成 基本信息
21

等级保护测评流程
前期沟通