信息安全等级保护测评项目合同
(范本)
甲方合同编号：
签定地点：
发包方：承包方：
根据《中华人民共和国合同法》、《信息安全等级保护管理办法》等规定，经双方充分协商，××××有限公司（以下称“甲方”）与（以下称“乙方）一致同意，就公司信息安全等级保护测评项目签订本合同，以便共同遵守。
1.服务内容
1.1乙方对甲方下述2个系统开展信息系统定级备案、信息系统等
级保护差距测评、整改方案验收测评及出具相关报告等工作
1.2工作方式及内容：执行双方技术人员签订《信息安全等级保护测评技术规范》为准。
1.3承包方式：采取包工包料，包工期、包质量的形式，设备材料的选购、运输装卸及项目中的机械、仪器等均由乙方负责。
1.4服务承诺：执行双方技术人员签订《信息安全等级保护测评技术规范》为准。
2.合同价格和支付方式
本表内价格已包括了但不限于全部人工、设备、食宿、关税、交通、运输费、装卸费、管理、质保、计划利润、保险、税金、工作成本费、报告编制、备案登记、现场评价、技术服务、售后服务、自然灾害风险等在内的各种价格变化全部费用。
2.1 本合同总价格为（人民币小写）：￥元；
（人民币大写）：人民币圆整（含6%增值税）。
2.2 支付方式：无预付款、无保证金。乙方完成现场测评工作，提交整改方案后且收到乙方开具金额为合同总价格的100%的填写正确、符合财务制度规定的增值税专用发票经审核无误后一个月内以电汇或电子支付向卖方开户银行帐号（以双方签定的合同所附帐号为准）支付合同总价格的50%的款项。
2.3乙方完成验收测评工作，提交《验收测评报告》后，收到乙方提交的合同总价格40%的填写正确、符合财务制度规定的财务收据经审核
无误后一个月内，买方向卖方开户银行帐号（以双方签定的合同所附帐号为准）支付合同价格的40%的款项。
2.4 合同总价格的10%作为项目质量保证金，待合同项目保证期满没有质量问题，甲方已经签发了合同项目质验收证书后，在乙方提交相应单据和金额为合同总价10%的财务收据后经买方审核无误后一个月内，买方向卖方开户银行帐号（以双方签定的合同所附帐号为准）支付合同总价格的10%。如有问题，应扣除相应部份。
3. 交货与验收方式
3.1 本合同项目工期：执行双方技术人员签订《信息安全等级保护测评技术规范》。
3.2验收方法：执行双方技术人员签订《信息安全等级保护测评技术规范》。
3.3售后服务：执行双方技术人员签订《信息安全等级保护测评技术规范》。
4. 项目质量保证期
4.1 自项目验收完成之日起1年。
5.双方义务和保密义务
甲方必须如实提供相关资料，由于资料不全或失真对项目实施造成的延误由甲方负责。对本合同的内容及在合作在乙方所获知的甲方未向社会公开的技术信息和商业秘密，乙方负有保密义务，未经甲方书面同意，乙方及其下属组织或成员不得向任何第三方泄漏。合同终止后，乙方仍需履行此保密义务。
6. 责任与违约:
信息安全技术信息系统安全等级保护基本要求 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求，制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南； ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求； ——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护实施指南。 一般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。整体测评根据安全控制点间、层面间和区域 间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标。 如果没有特殊指定，本标准中的信息系统主要指计算机信息系统。在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。 信息系统安全等级保护测评要求 1 范围 本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测 评要求。本标准略去对第五级信息系统进行单元测评的具体内容要求。 本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使 用。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否 可使用这些文件的最新版本。不注日期的引用文件，其最新版本适用于本标准。 GB/T 5271.8 信息技术词汇第8部分：安全 GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 3 术语和定义 GB/T 5271.8和GB/T 22239-2008所确立的以及下列术语和定义适用于本标准。
信息安全等级保护测评体系建设与测评工作规范性文件 信息安全等级测评机构 能力要求使用说明 （试行） 200×-××-××发布200×-××-××实施公安部信息安全等级保护评估中心
信息安全等级测评机构能力要求使用说明 目录 1范围 (3) 2名词解释 (3) 3基本条件 (3) 4组织管理能力 (4) 5测评实施能力 (6) 6设施和设备安全与保障能力 (12) 7质量管理能力 (14) 8规范性保证能力 (15) 9风险控制能力 (20) 10可持续性发展能力 (20) 11测评机构能力约束性要求 (21)
信息安全等级测评机构能力要求使用说明 前言 公安部颁布《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》（公信安[2010]303号），决定加快等级保护测评体系建设工作。信息安全等级测评机构的建设是测评体系建设的重要内容，为确保有效指导测评机构的能力建设，规范其测评活动，满足信息安全等级保护工作要求，特制定本规范。 《信息安全等级测评机构能力要求》（以下简称《能力要求》）是等级保护测评体系建设指导性文件之一。本规范吸取国际、国内测评与检查机构能力评定的相关内容，结合信息安全等级测评工作的特点，对测评机构的组织管理能力、测评实施能力、设施和设备安全与保障能力、质量管理能力、规范性保证能力、风险控制能力、可持续性发展能力等提出基本能力要求，为规范等级测评机构的建设和管理，及其能力评估工作的开展提供依据。
信息安全等级测评机构能力要求使用说明 信息安全等级测评机构能力要求使用说明 1范围 本规范规定了测评机构的能力要求。 本规范适用于测评机构的建设和管理以及对测评机构能力进行评估等活动。 2名词解释 2.1等级测评 等级测评是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。 2.2等级测评机构 等级测评机构，是指具备测评机构基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室推荐，从事等级测评工作的机构。 3基本条件 依据《信息安全等级保护测评工作管理规范》（试行），信息安全等级测评机构（以下简称测评机构）应当具备以下基本条件： a)在中华人民共和国境内注册成立（港澳台地区除外）； b)由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（具 体要求参见8.2.1） c)产权关系明晰，注册资金100万元以上；（具体要求参见8.2.2） d)从事信息系统检测评估相关工作两年以上，无违法记录；（具体要求参见5.2.1） e)工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；（具体要求参见 8.2.1） f)具有满足等级测评工作的专业技术人员和管理人员，测评技术人员不少于10人； g)具备必要的办公环境、设备、设施，使用的技术装备、设施应当符合《信息安全等 级保护管理办法》对信息安全产品的要求；（具体要求参见6.1） h)具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度； （具体要求参见4.5） i)对国家安全、社会秩序、公共利益不构成威胁;
技术服务合同 合同编号（甲方）： 合同编号（乙方）： 项目名称： 委托方（甲方）： 受托方（乙方）： 签订时间： 签订地点： 有效期限：xxx年xxx月至xxx年xxx月
目录 1.技术服务项目概要........................................................ - 1 - 2.技术服务具体要求........................................................ - 1 - 3.甲方提供的工作条件及协作事项............................................ - 1 - 4.组织与管理.............................................................. - 2 - 5.技术服务报酬及支付方式.................................................. - 3 - 6.技术服务工作成果的验收.................................................. - 4 - 7.知识产权................................................................ - 4 - 8.保密义务................................................................ - 4 - 9.违约责任................................................................ - 5 - 10.合同变更和解除......................................................... - 6 - 11.争议解决............................................................... - 6 - 12.名词和技术术语的定义和解释............................................. - 7 - 13.本合同的组成部分....................................................... - 7 - 14.其他................................................................... - 7 - 附件1：技术协议书......................................................... - 9 - 附件2：保密协议.......................................................... - 26 -
国家信息安全等级保护制度第三级要求 1 第三级基本要求 1.1技术要求 1.1.1 物理安全 1.1.1.1 物理位置的选择(G3) 本项要求包括: a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内; b) 机房场地应避免设在建筑物的高层或地下室,以及用水设备的下层或隔壁。 1.1.1.2 物理访问控制(G3) 本项要求包括: a) 机房出入口应安排专人值守,控制、鉴别和记录进入的人员; b) 需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围; c) 应对机房划分区域进行管理,区域和区域之间设置物理隔离装置,在重要区域前设置交付或安 装等过渡区域; d) 重要区域应配置电子门禁系统,控制、鉴别和记录进入的人员。
1.1.1.3 防盗窃和防破坏(G3) 本项要求包括: a) 应将主要设备放置在机房内; b) 应将设备或主要部件进行固定,并设置明显的不易除去的标记; c) 应将通信线缆铺设在隐蔽处,可铺设在地下或管道中; d) 应对介质分类标识,存储在介质库或档案室中; e) 应利用光、电等技术设置机房防盗报警系统; f) 应对机房设置监控报警系统。 1.1.1.4 防雷击(G3) 本项要求包括: a) 机房建筑应设置避雷装置; b) 应设置防雷保安器,防止感应雷; c) 机房应设置交流电源地线。 7.1.1.5 防火(G3) 本项要求包括: a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火;
b) 机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料; c) 机房应采取区域隔离防火措施,将重要设备与其他设备隔离开。 1.1.1.6 防水和防潮(G3) 本项要求包括: a) 水管安装,不得穿过机房屋顶和活动地板下; b) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; c) 应采取措施防止机房内水蒸气结露和地下积水的转移与渗透; d) 应安装对水敏感的检测仪表或元件,对机房进行防水检测和报警。 1.1.1.7 防静电(G3) 本项要求包括: a) 主要设备应采用必要的接地防静电措施; b) 机房应采用防静电地板。 1.1.1.8 温湿度控制(G3) 机房应设置温、湿度自动调节设施,使机房温、湿度的变化在设备运行所允许的范围之内。
合同编号：信息安全等级保护测评项目合同书 甲方： XX风电有限公司（盖章） 地址： 联系人： 电话： 乙方：XX信息安全等级技术测评中心有限公司（盖章）地址： 联系人： 电话：
依据《中华人民共和国合同法》的规定，甲乙双方本着平等互利的原则，在友好协商的基础上，就甲方的电力监控系统（二级系统）开展安全等级保护测评签订本合同书。 一、测评服务的内容 根据甲方的需求，乙方就甲方的电力监控系统（二级系统）信息安全等级保护测评项目提供以下技术服务： 1、基于《信息安全技术信息安全等级保护基本要求》（GB/T22239-2008）的等级保护测评服务（包括物理安全、网络安全、主机安全、应用安全和数据安全、安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等十个方面的安全测评）； 2、提交《信息系统安全等级保护测评报告》； 3、依据《信息安全等级保护管理办法》的有关规定，协助甲方完成电力监控系统在当地公安部门的定级备案工作。 二、测评服务依据 依据国家等级保护相关标准开展工作，依据标准包括但不限于如下国家标准：?《信息安全技术信息系统安全保护等级保护定级指南》(GB/T22240-2008)?《信息安全技术信息系统安全保护等级保护基本要求》(GB/T22239-2008)?《信息安全技术信息系统安全保护等级保护测评要求》(GB/T8448-2012)?《信息安全技术信息系统安全等级保护实施指南》(GB/T25058-2010) 三、测评服务原则 本次信息系统等级保护测评服务的实施应满足以下原则： 1）保密原则：对测评的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害甲方网络的行为，否则甲方有权追究乙方的责任。 2）标准性原则：测评方案的设计与实施应依据国家等级保护的标准进行。 3）规范性原则：工作过程和相关文档应具有很好的规范性，可以便于项目的
广州市XXXXXX 2015-2016年XXXXXXXXXXXX项目 等级保护差距测评实施方案 XXXXXXXXX信息安全有限公司 201X年X月
目录 目录 (1) 1.项目概述 (2) 1.1.项目背景 (2) 1.2.项目目标 (3) 1.3.项目原则 (3) 1.4.项目依据 (4) 2.测评实施内容 (4) 2.1.测评分析 (5) 2.1.1.测评范围 (5) 2.1.2.测评对象 (5) 2.1.3.测评内容 (5) 2.1.4.测评对象 (8) 2.1.5.测评指标 (9) 2.2.测评流程 (10) 2.2.1.测评准备阶段 (11) 2.2.2.方案编制阶段 (12) 2.2.3.现场测评阶段 (12) 2.2.4.分析与报告编制阶段 (14) 2.3.测评方法 (14) 2.3.1.工具测试 (14) 2.3.2.配置检查 (15) 2.3.3.人员访谈 (15) 2.3.4.文档审查 (16) 2.3.5.实地查看 (16) 2.4.测评工具 (17) 2.5.输出文档 (18) 2.5.1.等级保护测评差距报告....................... 错误!未定义书签。 2.5.2.等级测评报告............................... 错误!未定义书签。 2.5. 3.安全整改建议............................... 错误!未定义书签。 3.时间安排 (18)
4.人员安排 (19) 4.1.组织结构及分工 (19) 4.2.人员配置表 (20) 4.3.工作配合 (21) 5.其他相关事项 (22) 5.1.风险规避 (22) 5.2.项目信息管理 (24) 5.2.1.保密责任法律保证 (24) 5.2.2.现场安全保密管理 (24) 5.2.3.文档安全保密管理 (25) 5.2.4.离场安全保密管理 (25) 5.2.5.其他情况说明 (25) 1.项目概述 1.1.项目背景 为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意 见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理 办法》的精神，2015年XXXXXXXXXXXXXXXXXXX需要按照国家《信息安全技术信息 系统安全等级保护定级指南》、《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》的 要求，对XXXXXXXXXXXXXXXXXXX现有六个信息系统进行全面的信息安全测评与评 估工作,并且为XXXXXXXXXXXXXXXXXXX提供驻点咨询、实施等服务。(安全技术测 评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面 上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员 安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评），加大 测评与风险评估力度，对信息系统的资产、威胁、弱点和风险等要素进行全面 评估，有效提升信心系统的安全防护能力，建立常态化的等级保护工作机制， 深化信息安全等级保护工作，提高XXXXXXXXXXXXXXXXXXX网络与信息系统的安全 保障与运维能力。
XX安全服务公司 2018-2019年XXX项目等级保护差距测评实施方案 XXXXXXXXX信息安全 201X年X月
目录 目录 (1) 1.项目概述 (2) 1.1.项目背景 (2) 1.2.项目目标 (3) 1.3.项目原则 (4) 1.4.项目依据 (4) 2.测评实施容 (6) 2.1.测评分析 (6) 2.1.1.测评围 (6) 2.1.2.测评对象 (6) 2.1.3.测评容 (7) 2.1.4.测评对象 (9) 2.1.5.测评指标 (10) 2.2.测评流程 (12) 2.2.1.测评准备阶段 (13) 2.2.2.方案编制阶段 (14) 2.2.3.现场测评阶段 (14) 2.2.4.分析与报告编制阶段 (17) 2.3.测评方法 (17) 2.3.1.工具测试 (17) 2.3.2.配置检查 (18) 2.3.3.人员访谈 (19) 2.3.4.文档审查 (19) 2.3.5.实地查看 (20)
2.4.测评工具 (21) 2.5.输出文档 (21) 2.5.1.等级保护测评差距报告................................................... 错误!未定义书签。 2.5.2.等级测评报告 ................................................................... 错误!未定义书签。 2.5. 3.安全整改建议 ................................................................... 错误!未定义书签。 3.时间安排 (22) 4.人员安排 (22) 4.1.组织结构及分工 (23) 4.2.人员配置表 (24) 4.3.工作配合 (25) 5.其他相关事项 (27) 5.1.风险规避 (27) 5.2.项目信息管理 (29) 5.2.1.责任法律保证 (30) 5.2.2.现场安全管理 (30) 5.2.3.文档安全管理 (30) 5.2.4.离场安全管理 (31) 5.2.5.其他情况说明 (31) 1.项目概述 1.1.项目背景 为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意 见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理 办法》的精神，2015年XXXXXXXXXXXXXXXXXXX需要按照国家《信息安全技术信息系统安全等级保护定级指南》、《计算机信息系统安全保护等级划分准
技术服务合同 合同编号（甲方）：合同编号（乙方）：项目名称：委托方（甲方）： 受托方（乙方）： 签订时间： 签订地点： 有效期限：XXX 年XXX 月至XXX 年XXX 月
目录 1. 技术服务项目概要 (1) 2. 技术服务具体要求............................... -1 - 3. 甲方提供的工作条件及协作事项.......................... -1 - 4. 组织与管理.................................. -2 - 5. 技术服务报酬及支付方式............................ -3 - 6. 技术服务工作成果的验收............................ -4 - 7. 知识产权.................................... -4 - 8. 保密义务.................................... -4 - 9. 违约责任................................... -5 - 10. 合同变更和解除................................ -6 - 11. 争议解决................................... -6 - 12. 名词和技术术语的定义和解释........................... -7 - 13. 本合同的组成部分.............................. -7 - 14. 其他..................................... -7 - 附件1 :技术协议书................................ -9 - 附件2:保密协议................................. -26 -
信息安全等级保护测评项目 测 评 方 案 广州华南信息安全测评中心 二〇一六年
目录 第一章概述 (3) 第二章测评基本原则 (4) 一、客观性和公正性原则 (4) 二、经济性和可重用性原则 (4) 三、可重复性和可再现性原则 (4) 四、结果完善性原则 (4) 第三章测评安全目标（2级） (5) 一、技术目标 (5) 二、管理目标 (6) 第四章测评内容 (9) 一、资料审查 (10) 二、核查测试 (10) 三、综合评估 (10) 第五章项目实施 (12) 一、实施流程 (12) 二、测评工具 (13) 2.1 调查问卷 (13) 2.2 系统安全性技术检查工具 (13) 2.3 测评工具使用原则 (13) 三、测评方法 (14) 第六章项目管理 (15) 一、项目组织计划 (15) 二、项目成员组成与职责划分 (15) 三、项目沟通 (16) 3.1 日常沟通，记录和备忘录 (16) 3.2 报告 (16) 3.3 正式会议 (16) 第七章附录：等级保护评测准则 (19) 一、信息系统安全等级保护 2 级测评准则 (19) 1.1 基本要求 (19) 1.2 评估测评准则 (31) 二、信息系统安全等级保护 3 级测评准则 (88) 基本要求 (88) 评估测评准则 (108)
第一章概述 2003 年中央办公厅、国务院办公厅转发了《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）以及 2004 年 9 月四部委局联合签发的《关于信息安全等级保护工作的实施意见》等信息安全等级保护的文件 明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南。” 2009 年 4 月广东省公安厅、省保密局、密码管理局和省信息化工作领导小组联合发文《广东省深化信息安全等级保护工作方案》(粤公通字[2009]45 号)中又再次指出，“通过深化信息安全等级保护，全面推动重要信息系统安全整改和测评工作，增强信息系统安全保护的整体性、针对性和实效性，使信息系统安全 建设更加突出重点、统一规范、科学合理，提高信息安全保障能力，维护国家安全、社会稳定和公共利益，保障和促进信息化建设”。由此可见，等级保护测评和等级保护安全整改工作已经迫在眉睫。
目录 1概述 (2) 1.1 背景介绍 (2) 1.2 主要作用及特点 (2) 1.3 与其他标准的关系 (3) 1.4 框架结构 (3) 2描述模型 (4) 2.1 总体描述 (4) 2.2 保护对象 (5) 2.3 安全保护能力 (5) 2.4 安全要求 (7) 3逐级增强的特点 (8) 3.1 增强原则 (8) 3.2 总体描述 (9) 3.3 控制点增加 (10) 3.4 要求项增加 (10) 3.5 控制强度增强 (11) 4各级安全要求 (12) 4.1 技术要求 (12) 4.1.1 物理安全 (12) 4.1.2 网络安全 (18) 4.1.3 主机安全 (23) 4.1.4 应用安全 (28) 4.1.5 数据安全及备份恢复 (34) 4.2 管理要求 (37) 4.2.1 安全管理制度 (37) 4.2.2 安全管理机构 (39) 4.2.3 人员安全管理 (42) 4.2.4 系统建设管理 (46) 4.2.5 系统运维管理 (51)
本教材根据《信息系统安全等级保护管理办法》公通字[2007]43号和《关于开展全国重要信息系统安全等级保护定级工作的通知》公信安[2007]861号文件，围绕信息安全等级工作，介绍信息系统安全建设和改造过程中使用的主要标准之一《信息系统安全等级保护基本要求》（以下简称《基本要求》），描述《基本要求》的技术要求分级思路、逐级增强特点以及具体各级安全要求。通过培训，使得用户能够了解《基本要求》在信息系统安全等级保护中的作用、基本思路和主要内容，以便正确选择合适的安全要求进行信息系统保护。 1概述 1.1背景介绍 2004年，66号文件中指出“信息安全等级保护工作是个庞大的系统工程，关系到国家信息化建设的方方面面，这就决定了这项工作的开展必须分步骤、分阶段、有计划的实施，信息安全等级保护制度计划用三年左右的时间在全国范围内分三个阶段实施。”信息安全等级保护工作第一阶段为准备阶段，准备阶段中重要工作之一是“加快制定、完善管理规范和技术标准体系”。依据此要求，《基本要求》列入了首批需完成的6个标准之一。 1.2主要作用及特点 1.主要作用 《基本要求》对等级保护工作中的安全控制选择、调整、实施等提出规范性要求，根据使用对象不同，其主要作用分为三种： a)为信息系统建设单位和运营、使用单位提供技术指导 在信息系统的安全保护等级确定后，《基本要求》为信息系统的建设单位和运营、使用单位如何对特定等级的信息系统进行保护提供技术指导。 b)为测评机构提供评估依据 《基本要求》为信息系统主管部门，信息系统运营、使用单位或专门的等级测评机构对信息系统安全保护等级的检测评估提供依据。 c)为职能监管部门提供监督检查依据 《基本要求》为监管部门的监督检查提供依据，用于判断一个特定等级的信息系统是否按照国家要求进行了基本的保护。 2.主要特点 《基本要求》是针对每个等级的信息系统提出相应安全保护要求，“基本”意味着这些要求是针对该等级的信息系统达到基本保护能力而提出的，也就是说，这些要求的实现能够保证系统达到相应等级的基本保护能力，但反过来说，系统达到相应等级的保护能力并不仅仅完全依靠这些安全保护要求。同时，《基本要求》强调的是“要求”，而不是具体实施方案
附件2： 信息安全等级保护测评机构评优标准 （试行） 一、编制目的 本标准的编制目的是通过统一的评价标准，以打分评价的方式选出工作表现和能力优秀的测评机构，从而鼓励先进、指引测评机构的发展方向。 二、指标设定 对测评机构的评价指标共设为8项：系统测评数量、测评师数量、工具配备、测评技术能力、业务经营能力、测评管理规范化、省级等保办对机构工作评价、国家等保办对机构工作评价。 三、各项指标打分标准 指标项前七项满分100分，其中系统测评数量20分、测评师数量10分、工具配备10分、测评技术能力30分、业务经营能力10分、测评管理规范化10分、省级等保办对机构工作评价10分，国家等保办对机构工作评价作为加分项，满分10分。 各项指标的打分标准如下： （1）系统测评数量打分标准 根据测评系统数量计分，每个二级系统计0.05分，每个三级系统计0.2分，每个四级系统计0.3分，满分20分。 测评系统数量依据测评机构当年度1月1日至12月31
日期间所完成的第二级以上信息系统测评数量，以测评报告计数，以每个测评报告首页复印件作为证据 （2）测评师数量打分标准 A.测评师人数10-15人，中、高级人员少于4人，得 1分。 B.测评师人数10-15人且中、高级人员不少于4人， 得3分。 C.测评师人数16-20人且中、高级人员不少于5人， 得5分。 D.测评师人数21-25人且中、高级人员不少于7人， 得6分。 E.测评师人数26-30人且中高、级人员不少于9人， 得7分。 F.测评师人数31-35人且中高、级人员不少于11人， 得8分。 G.测评师人数36-40人且中高、级人员不少于13人， 得9分。 H.测评师人数40人以上且中高、级人员不少于15人， 得10分。 备注：根据测评师证书和社保证明等材料为证据，若机构不同时满足高一级别两个要求，得低一级别分值。 （3）工具配备打分标准 A.机构具备安全问题发现类工具： 漏洞扫描工具（网络和主机）—1分
信息安全等级保护测评机构管理办法 第一条为加强信息安全等级保护测评机构管理，规范等级测评行为，提高测评技术能力和服务水平，根据《信息安全等级保护管理办法》等有关规定，制定本办法。 第二条等级测评工作，是指等级测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。 等级测评机构，是指依据国家信息安全等级保护制度规定，具备本办法规定的基本条件，经审核推荐，从事等级测评等信息安全服务的机构。 第三条等级测评机构推荐管理工作遵循统筹规划、合理布局、安全规范的方针，按照“谁推荐、谁负责，谁审核、谁负责”的原则有序开展。 第四条等级测评机构应以提供等级测评服务为主，可根据信息系统运营使用单位安全保障需求，提供信息安全咨询、应急保障、安全运维、安全监理等服务。 第五条国家信息安全等级保护工作协调小组办公室（以下简称“国家等保办”）负责受理隶属国家信息安全职能部门和重点行业主管部门申请单位提出的申请，并对其推荐 1的等级测评机构进行监督管理。 省级信息安全等级保护工作协调（领导）小组办公室（以下简称“省级等保办”）负责受理本省（区、直辖市）申请单位提出的申请，并对其推荐的等级测评机构进行监督管理。 第六条申请成为等级测评机构的单位（以下简称“申请单位”）应具备以下基本条件： （一）在中华人民共和国境内注册成立，由中国公民、法人投资或者国家投资的企事业单位；
（二）产权关系明晰，注册资金100万元以上；（三）从事信息系统安全相关工作两年以上，无违法记录； （四）测评人员仅限于中华人民共和国境内的中国公民，且无犯罪记录； （五）具有信息系统安全相关工作经验的技术人员，不少于10人； （六）具备必要的办公环境、设备、设施，使用的技术装备、设施应满足测评工作需求； （七）具有完备的安全保密管理、项目管理、质量管理、人员管理和培训教育等规章制度； （八）自觉接受等保办的监督、检查和指导，对国家安全、社会秩序、公共利益不构成威胁； （九）不涉及信息安全产品开发、销售或信息系统安全 2集成等业务； （十）应具备的其他条件。 第七条申请时，申请单位应向等保办提交以下材料：（一）《信息安全等级保护测评机构申请表》； （二）从事信息系统安全相关工作情况； （三）检测评估工作所需软硬件及其他服务保障设施配备情况； （四）有关管理制度建设情况； （五）申请单位及其测评人员基本情况； （六）应提交的其他材料。 等保办收到申请材料后，应在10个工作日内组织初审，并出具初审结果告知书。
精心整理 等级保护测评项目管理制度 一、 目的 为有效保障等级保护测评中心的测评质量，防止发生质量异常，提升效率，确保质量满足客户需求，特制定本制度。 二、 职责 等级保护测评中心的测评质量监督管理纳入公司总体质量管理体系，由公司法人代表授权的等? 1234 567 89作计划纳入年度计划； 12） 负责组织对《等级测评报告》进行评估活动，并批准签发《等级测评报告》； 13） 根据等保测评项目的论证签订等级保护测评合同，并批准等级保护测评总体计划； 14） 调研分析对设备供应单位质量保证能力，确定供应设备能满足工作需要； 15） 落实质量部的保密制度和保密防范措施，对人员的安全保密培训情况； 16） 负责与质量体系有关事宜的外部联络。 ? 质量部
1）履行企业法人代表赋予的职责； 2）贯彻执行等保测评中心应遵循的各种法律、法规及标准； 3）贯彻、执行质量方针、质量目标； 4）主持等级保护测评项目的论证，组织《等级测评方案》的评审； 5）管理并监督等级保护测评中心测评人员按国家有关保密规定保守相关秘密； 6）统筹安排等保测评中心资源，确保每项测评工作顺利完成； 7）制定等级保护测评中心测评人员技术培训计划，确保计划能与预期的任务相适应； 3、质量评定的方法
质量主管根据上述三项服务考察要素的质量评定结果，综合评定测评的质量等级。评定方式原则上取三个考察要素获得的等级最低的为综合质量评定结果。举例：如果进度等级为优，测评成果等级为良，用户反馈等级为优，则综合质量等级为良。 4、质量改进 质量评价后，对存在的不合格或潜在的不合格，质量主管将向测评组长提交《测评质量审核报告》，测评组长对报告上的不合格项或潜在的不合格项进行确认，测评组长填写《纠正预防措施报告》，采取相应的纠正和预防措施，质量主管根据《纠正预防措施报告》上的整改时间，进行跟 四、 1. 并 过程，并且执行所需要的测量、监视活动，以证实这些过程的成果及今后的持续改 进； ?质量部依照ISO9001:2000标准和等级保护测评相关法规、技术标准的要求管理这些过程，组织进行持续改进。 2.文件要求： 2.1各部门按国家/国际标准要求实施相关文件要求，并作好相关质量记录。 2.2质量管理体系的范围：测评中心按等级保护测评相关法规和技术标准的要求进行等级
信息安全等级保护标准规范 一、开展信息安全等级保护工作的重要性和必要性 信息安全等级保护是指国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。实行信息安全等级保护制度，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，对促进我国信息安全的发展将起到重要推动作用。 二、信息安全等级保护相关法律和文件 1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”。1999年9月13日国家发布《计算机信息系统安全保护等级划分准则》。2003年中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27 号）明确指出，“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。2007年6月，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室制定了《信息安全等级保护管理办法》（以下简称《管理办法》），明确了信息安全等级保护的具体要求。 三、工作分工和组织协调 （一）工作分工。公安机关负责信息安全等级保护工作的监督、检查、指导。国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。 信息系统主管部门应当督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。 信息系统的运营、使用单位应当履行信息安全等级保护的义务和责任。 （二）组织协调。省公安厅、省国家保密局、省国家密码管理局、省信息化领导小组办公室联合成立信息安全等级保护工作协调小组，负责信息安全等级保护工作的组织部署，由省公安厅主管网监工作的领导任组长，省国家保密局、省国家密码管理局、省信息化领导小组办公室主管领导任副组长。办公室设在省公安厅网警总队，负责信息安全等级保护工作的具体组织实施。各行业主管部门要成立行业信息安全等级保护工作小组，组织本系统和行业
信息安全等级保护测评工作管理规范(试 行)1 附件一： 信息安全等级保护测评工作管理规范 （试行） 第一条为加强信息安全等级保护测评机构建设和管理，规范等级测评活动，保障信息安全等级保护测评工作（以下简称“等级测评工作”）的顺利开展，根据《信息安全等级保护管理办法》等有关规定，制订本规范。 第二条本规范适用于等级测评机构和人员及其测评活动的管理。 第三条等级测评工作，是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。 等级测评机构，是指具备本规范的基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室（以下简称为“等保办”）推荐，从事等级测评工作的机构。 第四条省级以上等保办负责等级测评机构的审核和推荐工作。 公安部信息安全等级保护评估中心（以下简称“评估中心”）负责测评机构的能力评估和培训工作。
第五条等级测评机构应当具备以下基本条件： （一）在中华人民共和国境内注册成立（港澳台地区除外）； （二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）； （三）产权关系明晰，注册资金100万元以上； （四）从事信息系统检测评估相关工作两年以上，无违法记录； （五）工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录； （六）具有满足等级测评工作的专业技术人员和管理人员，测评技术人员不少于10人； （七）具备必要的办公环境、设备、设施，使用的技术装备、设施应当符合《信息安全等级保护管理办法》对信息安全产品的要求； （八）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度； （九）对国家安全、社会秩序、公共利益不构成威胁; （十）应当具备的其他条件。 第六条测评机构及其测评人员应当严格执行有关管理规范和技术标准，开展客观、公正、安全的测评服务。
XX安全服务公司 2018-2019 年XXX项目 等级保护差距测评实施方案 XXXXXXXX信息安全有限公司 201X年X月
目录 1.1. 项目背景 .. 1. 2. 项目目标 1.3. 项目原则 1.4. 项目依据 1. 项目概述 目录 2. 测评实施内容 2.1.1. 测评范围 ..................... ......... 4 2.1.2 . 测评对象 ..................... (4) 2.1. 3. 测评内容 ..................... ......... 4 2.1.4. 测评对象 ..................... ......... 7 2.1.5 . 测评指标 ..................... ......... 8 2.2. 测评流程 .......................... ....... 9 2.2.1. 测评准备阶段 ................. ........... 10 2.2.2. 方案编制阶段 ................. ........... 11 2.2.3. 现场测评阶段 ................. ........... 11 2.2.4. 分析与报告编制阶段 ........... 2.3. 测评方法 .......................... ....... 13 2.3.1. 工具测试 ..................... ......... 13 2.3.2. 配置检查 ..................... ......... 14 2.3.3. 人员访谈 ..................... ......... 14 2.3.4. 文档审查 ..................... ......... 15 2.3.5 . 实地查看 ..................... ......... 15 2.4. 测评工具 ....................... ........ 16 2.5. 输出文档 ....................... ........ 17 2.5.1等级保护测评差距报告 ......... 2.5.2 . 等级测评报告 ................. 2.1. 测评分析 4 13 错误！ 错误！ 安全整改建议 2.5.3 . 未定义书签。 未定义书签。 错误！ 未定义书签。
信息安全技术信息系统安全等级保护实施指南 前言 本标准的附录 A 是规范性附录。 本标准由公安部和全国信息安全标准化技术委员会提出。 本标准由全国信息安全标准化技术委员会归口。 本标准起草单位：公安部信息安全等级保护评估中心。 本标准主要起草人：毕马宁、马力、陈雪秀、李明、朱建平、任卫红、谢朝海、曲洁、袁静、李升、 刘静、罗峥。 引言 依据《中华人民共和国计算机信息系统安全保护条例》（国务院147 号令）、《国家信息化领导小 组关于加强信息安全保障工作的意见》（中办发 [2003]27 号）、《关于信息安全等级保护工作的实施意见》（公通字 [2004]66 号）和《信息安全等级保护管理办法》（公通字[2007]43 号），制定本标准。 本标准是信息安全等级保护相关系列标准之一。 与本标准相关的系列标准包括： ——GB/T AAAA-AAAA 信息安全技术信息系统安全等级保护定级指南；— — GB/T BBBB-BBBB 信息安全技术信息系统安全等级保护基本要求。 在对信息系统实施信息安全等级保护的过程中，除使用本标准外，在不同的阶段，还应参照其他有关 信息安全等级保护的标准开展工作。 在信息系统定级阶段，应按照GB/T AAAA-AAAA介绍的方法，确定信息系统安全保护等级。 在信息系统总体安全规划，安全设计与实施，安全运行与维护和信息系统终止等阶段，应按照 GB17859-1999 、 GB/T BBBB-BBBB、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准，设计、建设符合信息安全等级保护要求的信息系统，开展信息系统的运行维护管理工作。 GB17859-1999、 GB/T BBBB-BBBB、 GB/T20269-2006、GB/T20270-2006和GB/T20271-2006等技术标准是信息系统安全等级保护的系列相关配套标准，其中GB17859-1999是基础性标准， GB/T20269-2006、 GB/T20270-2006和 GB/T20271-2006等是对GB17859-1999的进一步细化和扩展，GB/T BBBB-BBBB是以GB17859-1999为基础，根据现有技术发展水平提出的对不同安全保护等级信息 系统的最基本安全要求，是其他标准的一个底线子集。 对信息系统的安全等级保护应从GB/T BBBB-BBBB出发，在保证信息系统满足基本安全要求的基础 上，逐步提高对信息系统的保护水平，最终满足GB17859-1999、GB/T20269-2006、GB/T20270-2006和GB/T20271-2006 等标准的要求。 除本标准和上述提到的标准外，在信息系统安全等级保护实施过程中，还可参照和使用 GB/T20272-2006和GB/T20273-2006等其它等级保护相关技术标准。 信息系统安全等级保护实施指南 1范围 本标准规定了信息系统安全等级保护实施的过程，适用于指导信息系统安全等级保护的实施。