等保測評概念

1、等保測評測評基本內(nèi)容對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行測試評估，應(yīng)包括兩個(gè)方面的內(nèi)容： 一是安全控制測評，主要測評信息安全等級保護(hù)要求的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況；二是系統(tǒng)整體測評，主要測評分析信息系統(tǒng)的整體安全性。其中，安全控制測評是信息系統(tǒng)整體安全測評的基礎(chǔ)。對安全控制測評的描述，使用測評單元方式組織。測評單元分為安全技術(shù)測評和安全管理測評兩大類。安全技術(shù)測評包括：物理安全、網(wǎng)絡(luò)安全、主機(jī)系統(tǒng)安全、應(yīng)用安全和數(shù)據(jù)安全等五個(gè)層面上的安全控制測評； 安全管理測評包括：安全管理機(jī)構(gòu)、安全管理制度、 人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理等五個(gè)方面的安全控制測評。具體見下圖：信息系統(tǒng)等級

2、保護(hù)測評安全控制測評安全技術(shù)馴評一 安相管理測評物理宴全 安全管理機(jī)構(gòu)網(wǎng)絡(luò)安全1安全管理制度主機(jī)安全1人員安全管理應(yīng)月安全系統(tǒng)建設(shè)管理數(shù)據(jù)安全系統(tǒng)運(yùn)維管理測評過程等級測評過程分為四個(gè)基本測評活動(dòng)：測評準(zhǔn)備活動(dòng)、方案編制活動(dòng)、現(xiàn)場測評活動(dòng)、分析及報(bào)告編制活動(dòng)。而測評雙方之間的溝通與洽談應(yīng)貫穿整個(gè)等級測評過程。測評方法編P測試方法測試方法說明1人員訪談與被測信息系統(tǒng)相關(guān)管理人員進(jìn)行交流、討論等活動(dòng)，獲取相 關(guān)證據(jù)，了解相關(guān)信息。2文檔審查檢查被測信息系統(tǒng)是否具有GB/T 22239-2008中規(guī)定的的制度、策略、操作規(guī)程等文檔，檢查是否有完整的制度執(zhí)行情況 記錄。對上述文檔進(jìn)行審核與分析，檢查他們

3、的完整性和這些 文件之間的內(nèi)部一致性3配置核查根據(jù)測評結(jié)果記錄表格內(nèi)容，利用上機(jī)驗(yàn)證的方式檢查應(yīng)用系 統(tǒng)、主機(jī)系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及網(wǎng)絡(luò)設(shè)備的配置是否止確，是 否與文檔、相關(guān)設(shè)備和部件保持一致，對文檔審核的內(nèi)容進(jìn)行 核實(shí)。如果系統(tǒng)在輸入無效命令時(shí)不能完成其功能，將要對其 進(jìn)行錯(cuò)誤測試，針對網(wǎng)絡(luò)連接，應(yīng)對連接規(guī)則進(jìn)行驗(yàn)證。4工具測試根據(jù)測評指導(dǎo)書，利用技術(shù)工具對系統(tǒng)進(jìn)行測試，包括基于網(wǎng) 絡(luò)探測和基于主機(jī)審計(jì)的漏洞掃描、滲透性測試、性能測試、 入侵檢測和協(xié)議分析等，備份測試結(jié)果。5實(shí)地查有根據(jù)被測系統(tǒng)的實(shí)際情況，測評人員到系統(tǒng)運(yùn)行現(xiàn)場通過實(shí)地 的觀察人員行為、技術(shù)設(shè)施和物理環(huán)境狀況判斷人員的安全意 識、業(yè)務(wù)操作、管理程序和系統(tǒng)物理環(huán)境等方面的安全情況， 測評其是否達(dá)到了相應(yīng)等級的安全要求測評具體流程等級項(xiàng)目啟動(dòng)*測評準(zhǔn)各信息也集與分析工具與表單準(zhǔn)備冽評對象確定測評指標(biāo)確定測評工具接入點(diǎn)確定方 美翡 引測評內(nèi)容確定測評指導(dǎo)不開發(fā)至通與/