第二講 網(wǎng)絡(luò)安全等級保護測評

網(wǎng)絡(luò)安全等級保護制度及測評明道啟智研究室01安全等級保護的基本概念02030405安全等級保護的政策依據(jù)等級保護測評方法及過程安全等級保護的測評內(nèi)容安全等級保護的安全保障目錄CONTENTS01安全等級保護的基本概念網(wǎng)絡(luò)安全等級保護的基本涵義等級保護是我國網(wǎng)絡(luò)安全保障的基本制度、基本策略、基本方法，是保護信息化健康發(fā)展、維護國家網(wǎng)絡(luò)空間安全的根本保障?！暗燃壉Ｗo”的基本含義網(wǎng)絡(luò)安全等級保護是指對國家秘密信息、法人和其他組織及公民的專有信息及公開信息和存儲、傳輸、處理這些信息的信息系統(tǒng)分等級實行安全保護，對信息系統(tǒng)中使用的信息安全產(chǎn)品實行按等級管理，對信息系統(tǒng)中發(fā)生的信息安全事件分等級響應(yīng)、處置。安全等級的保護對象及分級保護對象網(wǎng)絡(luò)安全等級保護對象主要包括：網(wǎng)絡(luò)基礎(chǔ)設(shè)施、信息系統(tǒng)、大數(shù)據(jù)、云計算平臺、物聯(lián)網(wǎng)、工控系統(tǒng)等。分級依據(jù)根據(jù)其在國家安全、經(jīng)濟建設(shè)、社會生活中的重要程度，遭到破壞后對國家安全、社會秩序、公共利益及公民、法人和其他組織的合法權(quán)益的危害程度等等級保護對象受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。等級保護對象受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。等級保護對象受到破壞后，會對社會秩序和公共利益造成嚴(yán)重損害，或者對國家安全造成損害。等級保護對象受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重損害，或者對國家安全造成嚴(yán)重損害。等級保護對象受到破壞后，會對國家安全造成特別嚴(yán)重損害。第一級第二級第三級第四級第五級12354定級等級保護對象的運營、使用單位按照等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，確定其安全保護等級。備案等級保護對象的運營、使用單位按照相關(guān)管理規(guī)定報送本地區(qū)公安機關(guān)備案?？绲赜虻牡燃壉Ｗo對象由其主管部門向其所在地的同級公安機關(guān)進行總備案，分系統(tǒng)分別由當(dāng)?shù)剡\營、使用單位向本地地市級公安機關(guān)備案。建設(shè)整改對已有的等級保護對象，其運營、使用單位根據(jù)已經(jīng)確定的安全保護等級，按照等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)，采購和使用相應(yīng)等級的信息安全產(chǎn)品，落實安全技術(shù)措施和管理措施，完成系統(tǒng)整改。對新建、改建、擴建的等級保護對象應(yīng)當(dāng)按照等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)進行規(guī)劃設(shè)計、建設(shè)施工。監(jiān)督檢查公安機關(guān)按照等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，重點對第三級、第四級等級保護對象的安全等級保護狀況進行監(jiān)督檢查。發(fā)現(xiàn)確定的安全保護等級不符合等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的，要通知信息和信息系統(tǒng)的主管部門及運營、使用單位進行整改；發(fā)現(xiàn)存在安全隱患或未達到等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)要求的，要限期整改，使等級保護對象的安全保護措施更加完善。等級測評等級保護對象的運營、使用單位按照與其安全保護等級相對應(yīng)的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求，定期進行安全狀況檢測評估，及時消除安全隱患和漏洞。等級保護對象的主管部門應(yīng)當(dāng)按照等級保護的管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的要求做好監(jiān)督管理工作，發(fā)現(xiàn)問題，及時督促整改。安全等級保護的工作流程中華人民共和國計算機信息系統(tǒng)安全保護條例(1994年2月18日中華人民共和國國務(wù)院令147號發(fā)布)2003年9月中辦國辦頒發(fā)《關(guān)于加強信息安全保障工作的意見》（中辦發(fā)[2003]27號）2004年11月四部委會簽《關(guān)于信息安全等級保護工作的實施意見》（公通字[2004]66號）2005年9月國信辦文件《關(guān)于轉(zhuǎn)發(fā)《電子政務(wù)信息安全等級保護實施指南》的通知》（國信辦[2004]25號）2006年1月四部委會簽《關(guān)于印發(fā)《信息安全等級保護管理辦法的通知》（公通字[2006]7號）2007年6月公安部、保密局、國密局、國信辦聯(lián)合印發(fā)《信息安全等級保護管理辦法》（公通字［2007］43號）2007年7月《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》

（公信安[2007]861號）2008年發(fā)布GB/T22239—2008《信息系統(tǒng)安全等級保護基本要求》、GB/T22240—2008《信息系統(tǒng)安全等級保護定級指南》2009年公安部發(fā)文《關(guān)于開展信息系統(tǒng)等級保護安全建設(shè)整改工作的指導(dǎo)意見》（公信安[2009]1429號）2010年3月公安部發(fā)文《關(guān)于推動信息安全等級保護測評體系建設(shè)和開展等級測評工作的通知》（公信安[303]號）2016年，政府提出大力推進“互聯(lián)網(wǎng)+政務(wù)，10月公安部網(wǎng)絡(luò)安全保衛(wèi)局組織對原有國家標(biāo)準(zhǔn)GB/T22239-2008等系列標(biāo)準(zhǔn)進行了修訂。2017年，數(shù)字經(jīng)濟首次被寫入《政府工作報告》。6月1日，《網(wǎng)絡(luò)安全法》正式實施，第二十一條“國家實行網(wǎng)絡(luò)安全等級保護制度”，從法規(guī)上升到法律層面2019年，政府報告中首次提出“智能+”概念。5月份，等保2.0核心標(biāo)準(zhǔn)：《基本要求》《安全設(shè)計技術(shù)要求》《測評要求》正式發(fā)布起步階段發(fā)展階段推行階段法制階段安全等級保護制度的歷史演進02安全等級保護的政策依據(jù)國家網(wǎng)絡(luò)安全等級保護制度（基本制度、基本國策，上升為法律）第二十一條國家實行網(wǎng)絡(luò)安全等級保護制度。網(wǎng)絡(luò)運營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護制度的要求，履行下列安全保護義務(wù)第三十一條國家對公共通信和信息服務(wù)、能源、交通、水利、金融、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域，以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危害國家安全、國計民生、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級保護制度的基礎(chǔ)上，實行重點保護。安全等級保護的法律依據(jù)能夠防護免受來自個人的、擁有很少資源的威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的關(guān)鍵資源損害，在自身遭到損害后，能夠恢復(fù)部分功能。第一級用戶自主保護級能夠防護免受來自外部小型組織的、擁有少量資源的威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的重要資源損害，能夠發(fā)現(xiàn)重要的安全漏洞和安全事件，在自身遭到損害后，能夠在一段時間內(nèi)恢復(fù)部分功能。第二級系統(tǒng)審計保護級能夠在統(tǒng)一安全策略下防護免受來自外部有組織的團體、擁有較為豐富資源的威脅源發(fā)起的惡意攻擊、較為嚴(yán)重的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的主要資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在自身遭到損害后，能夠較快恢復(fù)絕大部分功能。第三級安全標(biāo)記保護級能夠在統(tǒng)一安全策略下防護免受來自國家級別的、敵對組織的、擁有豐富資源的威脅源發(fā)起的惡意攻擊、嚴(yán)重的自然災(zāi)難，以及其他相當(dāng)危害程度的威脅所造成的資源損害，能夠發(fā)現(xiàn)安全漏洞和安全事件，在自身遭到損害后，能夠迅速恢復(fù)所有功能第四級結(jié)構(gòu)化保護級五級安全等級保護能力第五級訪問驗證保護級訪問監(jiān)控器本身是抗篡改的；必須足夠小，能夠分析和測試。為了滿足訪問監(jiān)控器需求，計算機信息系統(tǒng)可信計算基在其構(gòu)造時，排除那些對實施安全策略來說并非必要的代碼；在設(shè)計和實現(xiàn)時，從系統(tǒng)工程角度將其復(fù)雜性降低到最小程度。支持安全管理員職能；擴充審計機制，當(dāng)發(fā)生與安全相關(guān)的事件時發(fā)出信號；提供系統(tǒng)恢復(fù)機制。系統(tǒng)具有很高的抗?jié)B透能力。等級保護2.0安全框架國家網(wǎng)絡(luò)安全等級保護制度總體安全策略定級備案安全建設(shè)等級測評安全整改監(jiān)督檢查網(wǎng)絡(luò)安全綜合防御體系安全管理中心通信網(wǎng)絡(luò)區(qū)域邊界計算環(huán)境風(fēng)險管理體系安全技術(shù)體系安全管理體系網(wǎng)絡(luò)信任體系等級保護對象基礎(chǔ)信息網(wǎng)絡(luò)、信息系統(tǒng)、云計算平臺、大數(shù)據(jù)平臺、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等國家網(wǎng)絡(luò)安全法律法規(guī)政策體系國家網(wǎng)絡(luò)安全等級保護政策標(biāo)準(zhǔn)體系組織管理機制建設(shè)安全規(guī)劃安全監(jiān)測通報預(yù)警安全可控隊伍建設(shè)教育培訓(xùn)經(jīng)費保障應(yīng)急處置態(tài)勢感知能力建設(shè)技術(shù)檢測網(wǎng)絡(luò)安全戰(zhàn)略規(guī)劃目標(biāo)防護框架：根據(jù)“一個中心”管理下的“三重保護”體系框架，構(gòu)建安全機制和策略，形成定級系統(tǒng)的安全保護環(huán)境。分別對計算環(huán)境、區(qū)域邊界、通信網(wǎng)絡(luò)體系進行管理，實施多層隔離和保護，以防止某薄弱環(huán)節(jié)影響整體安全。最終做到整體防御、分區(qū)隔離；積極防護、內(nèi)外兼防；自身防御、主動免疫；縱深防御、技管并重部分關(guān)鍵安全預(yù)防措施理解：對于傳統(tǒng)威脅，要做到快速、精準(zhǔn)的防護；對于新型網(wǎng)絡(luò)攻擊，也要做到智能檢測與分析。建設(shè)和加強入侵防護等技術(shù)檢測與防護是網(wǎng)絡(luò)安全防護的重要工作；維護網(wǎng)絡(luò)安全，首先要知道風(fēng)險在哪里，是什么樣的風(fēng)險，什么時候發(fā)生風(fēng)險，正所謂“聰者聽于無聲，明者見于未形”。感知網(wǎng)絡(luò)安全態(tài)勢是網(wǎng)絡(luò)安全防護中最基本、最基礎(chǔ)的工作。等級保護2.0安全框架和關(guān)鍵技術(shù)通過等級保護，組織和動員國家、法人和其他組織、公民共同參與信息安全保護工作；各方主體按照規(guī)范和標(biāo)準(zhǔn)分別承擔(dān)相應(yīng)的、明確具體的信息安全保護責(zé)任。國家運用強制性的規(guī)范及標(biāo)準(zhǔn)，要求信息和信息系統(tǒng)按照相應(yīng)的建設(shè)和管理要求，自行定級、自行保護。信息系統(tǒng)在新建、改建、擴建時應(yīng)當(dāng)同步建設(shè)信息安全設(shè)施，保障信息安全與信息化建設(shè)相適應(yīng)。國家指定信息安全監(jiān)管職能部門通過備案、指導(dǎo)、檢查、督促整改等方式，對重要信息和信息系統(tǒng)的信息安全保護工作進行指導(dǎo)監(jiān)督。明確責(zé)任，共同保護依照標(biāo)準(zhǔn)，自行保護同步建設(shè)，動態(tài)調(diào)整指導(dǎo)監(jiān)督，重點保護安全等級保護的基本原則0102030405《信息系統(tǒng)安全等級保護測評要求》

《信息系統(tǒng)安全等級保護測評過程指南》《信息系統(tǒng)安全等級保護實施指南》測評標(biāo)準(zhǔn)《信息系統(tǒng)安全等級保護基本要求》《信息系統(tǒng)通用安全技術(shù)要求》《信息系統(tǒng)等級保護安全設(shè)計技術(shù)要求》建設(shè)標(biāo)準(zhǔn)《信息系統(tǒng)安全保護等級定級指南》

《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》定級標(biāo)準(zhǔn)《國家信息化領(lǐng)導(dǎo)小組關(guān)于加強信息安全保障工作的意見》《保護安全建設(shè)整改工作的指導(dǎo)意見》

《信息安全等級保護管理辦法》相關(guān)規(guī)定《信息系統(tǒng)安全管理要求》

《信息系統(tǒng)安全工程管理要求》管理標(biāo)準(zhǔn)安全等級保護的政策依據(jù)03等級保護測評方法及過程具有唯一確定的安全責(zé)任單位。作為定級對象的信息系統(tǒng)應(yīng)能夠唯一地確定其安全責(zé)任單位。如果一個單位的某個下級單位負責(zé)信息系統(tǒng)安全建設(shè)、運行維護等過程的全部安全責(zé)任，則這個下級單位可以成為信息系統(tǒng)的安全責(zé)任單位；如果一個單位中的不同下級單位分別承擔(dān)信息系統(tǒng)不同方面的安全責(zé)任，則該信息系統(tǒng)的安全責(zé)任單位應(yīng)是這些下級單位共同所屬的單位具有信息系統(tǒng)的基本要素。作為定級對象的信息系統(tǒng)應(yīng)該是由相關(guān)的和配套的設(shè)備、設(shè)施按照一定的應(yīng)用目標(biāo)和規(guī)則組合而成的有形實體。應(yīng)避免將某個單一的系統(tǒng)組件，如服務(wù)器、終端、網(wǎng)絡(luò)設(shè)備等作為定級對象承載單一或相對獨立的業(yè)務(wù)應(yīng)用。定級對象承載“單一”的業(yè)務(wù)應(yīng)用是指該業(yè)務(wù)應(yīng)用的業(yè)務(wù)流程獨立，且與其他業(yè)務(wù)應(yīng)用沒有數(shù)據(jù)交換，且獨享所有信息處理設(shè)備。定級對象承載“相對獨立”的業(yè)務(wù)應(yīng)用是指其業(yè)務(wù)應(yīng)用的主要業(yè)務(wù)流程獨立，同時與其他業(yè)務(wù)應(yīng)用有少量的數(shù)據(jù)交換，定級對象可能會與其他業(yè)務(wù)應(yīng)用共享一些設(shè)備，尤其是網(wǎng)絡(luò)傳輸設(shè)備第一第二第三安全等級保護的定級對象特征《信息安全等級保護信息安全等級保護管理辦法》規(guī)定，國家信息安全等級保護堅持自主定級、自主保護的原則。信息系統(tǒng)的安全保護等級應(yīng)當(dāng)根據(jù)信息系統(tǒng)在國家安全、經(jīng)濟建設(shè)、社會生活中的重要程度，信息系統(tǒng)遭到破壞后對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權(quán)益的危害程度等因素確定。測評符合程度綜合分析具體指標(biāo)符合性判斷，給出抽象指標(biāo)符合性判斷結(jié)果，匯總所有抽象指標(biāo)符合判斷，給出安全等級滿足與否的結(jié)論安全管理測評包括：安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理。安全技術(shù)測評包括：物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全。安全整改建議提出安全整改建議，匯總、分析所有不符合項對應(yīng)的改進建議，組合成可單獨執(zhí)行的整改建議。安全等級結(jié)論結(jié)合受測系統(tǒng)符合性程度，判斷受測系統(tǒng)是否滿足所定安全等級的結(jié)論添加標(biāo)題對保護狀況進行檢測評估，判定受測系統(tǒng)的技術(shù)和管理級別與所定安全等級要求的符合程度，基于符合程度給出是否滿足所定安全等級的結(jié)論，針對安全不符合項提出安全整改建議。安全等級保護的測評內(nèi)容及結(jié)論第一級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益造成損害，但不損害國家安全、社會秩序和公共利益。第二級，信息系統(tǒng)受到破壞后，會對公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。第三級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成嚴(yán)重損害，或者對國家安全造成損害。第四級，信息系統(tǒng)受到破壞后，會對社會秩序和公共利益造成特別嚴(yán)重損害，或者對國家安全造成嚴(yán)重損害。第五級，信息系統(tǒng)受到破壞后，會對國家安全造成特別嚴(yán)重損害。等級保護對象的安全級別及分類現(xiàn)場觀察物理環(huán)境、物理部署查看配置主機、網(wǎng)絡(luò)、安全設(shè)備技術(shù)測試漏洞掃描調(diào)研訪談業(yè)務(wù)、資產(chǎn)、安全技術(shù)和安全管理查看資料管理制度、安全策略安全評價安全測評、符合性評價安全等級保護的測評方法及內(nèi)容信息系統(tǒng)定級安全總體規(guī)劃安全設(shè)計與實施安全運行維護信息系統(tǒng)終止安全等級測評信息系統(tǒng)備案安全整改設(shè)計等級符合性檢查應(yīng)急預(yù)案及演練安全要求整改安全等級整改局部調(diào)整等級變更網(wǎng)絡(luò)安全等級測評實施過程信息系統(tǒng)等級保護全生命周期信息系統(tǒng)定級定級備案是信息安全等級保護的首要環(huán)節(jié)。信息系統(tǒng)定級工作應(yīng)按照“自主定級、專家評審、主管部門審批、公安機關(guān)審核”的原則進行。在等級保護工作中，信息系統(tǒng)運營使用單位和主管部門按照“誰主管誰負責(zé)，誰運營誰負責(zé)”的原則開展工作，并接受信息安全監(jiān)管部門對開展等級保護工作的監(jiān)管總體安全規(guī)劃總體安全規(guī)劃階段的目標(biāo)是根據(jù)信息系統(tǒng)的劃分情況、信息系統(tǒng)的定級情況、信息系統(tǒng)承載業(yè)務(wù)情況，通過分析明確信息系統(tǒng)安全需求，設(shè)計合理的、滿足等級保護要求的總體安全方案，并制定出安全實施計劃，以指導(dǎo)后續(xù)的信息系統(tǒng)安全建設(shè)工程實施。對于已運營（運行）的信息系統(tǒng)，需求分析應(yīng)當(dāng)首先分析判斷信息系統(tǒng)的安全保護現(xiàn)狀與等級保護要求之間的差距。安全設(shè)計與實施安全設(shè)計與實施階段的目標(biāo)是按照信息系統(tǒng)安全總體方案的要求，結(jié)合信息系統(tǒng)安全建設(shè)項目計劃，分期分步落實安全措施安全運行維護安全運行與維護是等級保護實施過程中確保信息系統(tǒng)正常運行的必要環(huán)節(jié)，涉及的內(nèi)容較多，包括安全運行與維護機構(gòu)和安全運行與維護機制的建立，環(huán)境、資產(chǎn)、設(shè)備、介質(zhì)的管理，網(wǎng)絡(luò)、系統(tǒng)的管理，密碼、密鑰的管理，運行、變更的管理，安全狀態(tài)監(jiān)控和安全事件處置，安全審計和安全檢查等內(nèi)容。本標(biāo)準(zhǔn)并不對上述所有的管理過程進行描述，希望全面了解和控制安全運行與維護階段各類過程的本標(biāo)準(zhǔn)使用者可以參見其它標(biāo)準(zhǔn)或指南信息系統(tǒng)終止信息系統(tǒng)終止階段是等級保護實施過程中的最后環(huán)節(jié)。當(dāng)信息系統(tǒng)被轉(zhuǎn)移、終止或廢棄時，正確處理系統(tǒng)內(nèi)的敏感信息對于確保機構(gòu)信息資產(chǎn)的安全是至關(guān)重要的。在信息系統(tǒng)生命周期中，有些系統(tǒng)并不是真正意義上的廢棄，而是改進技術(shù)或轉(zhuǎn)變業(yè)務(wù)到新的信息系統(tǒng)，對于這些信息系統(tǒng)在終止處理過程中應(yīng)確保信息轉(zhuǎn)移、設(shè)備遷移和介質(zhì)銷毀等方面的安全等保測評工作流程等級測評的工作流程，依據(jù)《信息系統(tǒng)安全等級保護測評過程指南》，具體內(nèi)容參見：等保測評工作流程圖準(zhǔn)備階段方案編制階段現(xiàn)場測評階段報告編制階段等級保護實施計劃安全管理調(diào)研現(xiàn)場實地調(diào)研現(xiàn)狀調(diào)研報告滲透測試報告信息資產(chǎn)調(diào)研表人工審計報告掃描報告基礎(chǔ)培訓(xùn)PPT安全技術(shù)調(diào)研信息安全愿景制定信息安全總體框架設(shè)計管理體系技術(shù)體系運維體系項目準(zhǔn)備等保差距報告風(fēng)險評估報告技能和意識培訓(xùn)項目準(zhǔn)備現(xiàn)狀調(diào)研風(fēng)險與差距分析體系規(guī)劃與建立交流、知識轉(zhuǎn)移、培訓(xùn)、宣傳項目驗收項目驗收控制風(fēng)險分析等保差距分析高危問題整改規(guī)劃報告體系文件……….等保測評04安全等級保護的測評內(nèi)容網(wǎng)絡(luò)安全等級保護綜合測評

物理安全網(wǎng)絡(luò)安全主機系統(tǒng)安全應(yīng)用安全數(shù)據(jù)安全安全管理機構(gòu)安全管理制度人員安全管理系統(tǒng)建設(shè)管理系統(tǒng)運維管理信息系統(tǒng)綜合測評技術(shù)要求管理要求網(wǎng)絡(luò)安全等級保護測評類型等?；疽蟮娜N技術(shù)類型（S/A/G）S:保護數(shù)據(jù)在存儲、傳輸、處理過程中不被泄漏、破壞和免受未授權(quán)修改的信息安全類要求;--物理訪問控制、邊界完整性檢查、身份鑒別、通信完整性、保密性等；A:保護系統(tǒng)連續(xù)正常的運行，免受對系統(tǒng)的未授權(quán)修改、破壞而導(dǎo)致系統(tǒng)不可用的服務(wù)保證類要求;--電力供應(yīng)、資源控制、軟件容錯等G:通用安全保護類要求。--技術(shù)類中的安全審計、管理制度等GAS網(wǎng)絡(luò)安全等級保護測評指標(biāo)測評指標(biāo)技術(shù)/管理安全類安全子類數(shù)量S類(2級)S類(3級)A類(2級)A類(3級)G類(2級)G類(3級)F類(2級)F類(3級)要求項控制點二級三級二級三級技術(shù)類物理安全111182941810182347網(wǎng)絡(luò)安全110053167672440主機安全231131203632034應(yīng)用安全45221626762137數(shù)據(jù)安全221100033348管理類安全管理制度007100232712安全管理機構(gòu)0091928581127人員安全管理00111654541620系統(tǒng)建設(shè)管理00284113189184159系統(tǒng)運維管理0027514254125469105合

計6673236389網(wǎng)絡(luò)安全等級保護的測評方法訪談訪談是指測評人員通過與信息系統(tǒng)有關(guān)人員（個人/群體）進行交流、討論等活動，獲取相關(guān)證據(jù)以表明信息系統(tǒng)安全保護措施是否有效落實的一種方法。在訪談范圍上，應(yīng)基本覆蓋所有的安全相關(guān)人員類型，在數(shù)量上可以抽樣。檢查檢查是指測評人員通過對測評對象進行觀察、查驗、分析等活動，獲取相關(guān)證據(jù)以證明信息系統(tǒng)安全保護措施是否有效實施的一種方法。在檢查范圍上，應(yīng)基本覆蓋所有的對象種類（設(shè)備、文檔、機制等），數(shù)量上可以抽樣。測試測試是指測評人員針對測評對象按照預(yù)定的方法/工具使其產(chǎn)生特定的響應(yīng)，通過查看和分析響應(yīng)的輸出結(jié)果，獲取證據(jù)以證明信息系統(tǒng)安全保護措施是否得以有效實施的一種方法。在測試范圍上，應(yīng)基本覆蓋不同類型的機制，在數(shù)量上可以抽樣。物理基本要求中控制點與要求項各級分布安全等級控制點要求項第一級79第二級919第三級1032第四級1039物理位置的選擇

（2項）物理訪問控制

（4項）防盜竊和防破壞

（6項）防雷擊

（3項）防火

（3項）防水和防潮

（4項）防靜電

（2項）溫濕度控制

（1項）電力供應(yīng)

（4項）電磁防護

（3項）以第三級為例物理安全物理安全測評內(nèi)容和方法

物理位置選擇

物理訪問控制調(diào)研訪談：機房具有防震、防雨和防風(fēng)能力，并提供機房設(shè)計和驗收證明；現(xiàn)場查看：查看機房是否建在高層或地下室。

防盜和防破壞

防雷擊

防火

防水和防潮

防靜電

溫濕度控制

電力供應(yīng)

電磁防護物理安全調(diào)研訪談：專人值守、進出記錄、申請和審批記錄、物理隔離、門禁系統(tǒng)；現(xiàn)場查看：進出登記記錄、物理區(qū)域化管理、電子門禁系統(tǒng)運行和維護記錄。調(diào)研訪談：設(shè)備固定和標(biāo)識、隱蔽布線、介質(zhì)分類存儲標(biāo)識、部署防盜監(jiān)控系統(tǒng)；現(xiàn)場查看：設(shè)備固定和標(biāo)識、監(jiān)控報警系統(tǒng)安全材料、測試和驗收報告。調(diào)研訪談：安裝避雷裝置、專業(yè)地線、防雷感應(yīng)器；現(xiàn)場查看：機房防雷設(shè)計/驗收文檔、接地設(shè)計/驗收文檔，交流地線和防雷設(shè)備調(diào)研訪談：自動報警滅火設(shè)備、耐火材料、物理防火隔離；現(xiàn)場查看：自動消防運行、報警、維護記錄，機房防火設(shè)計/驗收文檔。調(diào)研訪談：機房內(nèi)有無上下水，防水和防漏措施；現(xiàn)場查看：機房防水和防潮設(shè)計/驗收文檔，地下積水的轉(zhuǎn)移與滲透的措施。調(diào)研訪談：接地防靜電措施，采用防靜電地板；現(xiàn)場查看：防靜電措施文檔，防靜電地板驗收文檔。調(diào)研訪談：溫、濕度自動調(diào)節(jié)設(shè)施，專人負責(zé)；現(xiàn)場查看：溫濕度控制設(shè)計/驗收文檔，溫濕度記錄、運行記錄和維護記錄。調(diào)研訪談：部署穩(wěn)壓器和過電壓防護設(shè)備，UPS和市電冗余；現(xiàn)場查看：電源設(shè)備的檢查和維護記錄，備用供電系統(tǒng)運行記錄，市電切換記錄。調(diào)研訪談：安全接地，關(guān)鍵設(shè)備和磁介質(zhì)實施電磁屏蔽；現(xiàn)場查看：查看安全接地、電源線和通訊線隔離，電磁屏蔽容器。物理安全測評基本要求和實現(xiàn)方法基本防護能力高層、地下室基本出入控制分區(qū)域管理在機房中的活動電子門禁存放位置、標(biāo)識標(biāo)記監(jiān)控報警系統(tǒng)建筑防雷、機房接地設(shè)備防雷滅火設(shè)備、自動報警自動消防系統(tǒng)區(qū)域隔離措施關(guān)鍵設(shè)備和地板防靜電防靜電地板穩(wěn)定電壓、短期供應(yīng)冗余/并行線路備用供電系統(tǒng)線纜隔離、設(shè)備和介質(zhì)屏蔽接地防干擾電磁屏蔽防水設(shè)備、防水應(yīng)急預(yù)案或措施基本要求實現(xiàn)方法/案例空調(diào)系統(tǒng)、自動調(diào)節(jié)接地線溫濕度自動調(diào)節(jié)設(shè)施上下水管門窗防水線纜隔離布線機房部署中層物理位置的選擇物理訪問控制防盜竊和防破壞防雷擊防火防靜電電力供應(yīng)電磁防護防水和防潮溫濕度控制網(wǎng)絡(luò)安全基本要求中控制點與要求項各級分布安全等級控制點要求項第一級39第二級618第三級733第四級732結(jié)構(gòu)安全（7項）訪問控制（8項）安全審計（4項）邊界完整性檢查（2項）入侵防范（2項）惡意代碼防范（2項）網(wǎng)絡(luò)設(shè)備防護（8項）以第三級為例網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全測評內(nèi)容和方法

結(jié)構(gòu)安全

訪問控制調(diào)研訪談：網(wǎng)絡(luò)冗余、帶寬情況、安全路徑、子網(wǎng)和網(wǎng)段分配原則、重要網(wǎng)段隔離；測評判斷：網(wǎng)絡(luò)設(shè)計或驗收文檔，路由控制策略，網(wǎng)絡(luò)設(shè)計或驗收文檔，網(wǎng)絡(luò)隔離手段。

安全審計

邊界完整性檢查

入侵檢測

惡意代碼防護

網(wǎng)絡(luò)設(shè)備防護網(wǎng)絡(luò)安全調(diào)研訪談：網(wǎng)絡(luò)邊界控制策略，測評判斷：會話對數(shù)據(jù)流進行控制，應(yīng)用層協(xié)議控制，自動終止網(wǎng)絡(luò)連接的配置等。調(diào)研訪談：開啟安全審計功能、審計內(nèi)容、審計報表、審計記錄保護；測評判斷：審計全面監(jiān)測、查看審計報表、審計記錄處理方式。調(diào)研訪談：外網(wǎng)接入內(nèi)網(wǎng)行為監(jiān)控、內(nèi)網(wǎng)私自聯(lián)到外網(wǎng)行為監(jiān)控，并進行阻斷處理；測評判斷：查看外網(wǎng)接入內(nèi)網(wǎng)行為和內(nèi)網(wǎng)私自聯(lián)到外網(wǎng)行為進行監(jiān)控的配置。調(diào)研訪談：網(wǎng)絡(luò)入侵防范措施、防范規(guī)則庫升級方式、網(wǎng)絡(luò)入侵防范的設(shè)備；測評判斷：檢查網(wǎng)絡(luò)入侵防范設(shè)備，查看檢測的攻擊行為和安全警告方式。調(diào)研訪談：網(wǎng)絡(luò)惡意代碼防范措施、惡意代碼庫的更新策略；測評判斷：網(wǎng)絡(luò)設(shè)計或驗收文檔，網(wǎng)絡(luò)邊界對惡意代碼采取的措施和防惡意代碼產(chǎn)品更新。調(diào)研訪談：兩種用戶身份鑒別、地址限制、用戶唯一、口令復(fù)雜度要求、登錄失敗驗證等；測評判斷：用戶唯一和地址限制、密碼復(fù)雜度和兩種身份鑒別方式、特權(quán)用戶權(quán)限分配。網(wǎng)絡(luò)安全測評基本要求和實現(xiàn)方法基本要求實現(xiàn)方法/案例關(guān)鍵設(shè)備冗余空間子網(wǎng)/網(wǎng)段控制核心網(wǎng)絡(luò)帶寬主要設(shè)備冗余空間整體網(wǎng)絡(luò)帶寬重要網(wǎng)段部署路由控制訪問控制設(shè)備（用戶、網(wǎng)段）撥號訪問限制應(yīng)用層協(xié)議過濾會話終止端口控制最大流量數(shù)及最大連接數(shù)防止地址欺騙結(jié)構(gòu)安全訪問控制安全審計邊界完整性檢查入侵防范惡意代碼防范網(wǎng)絡(luò)設(shè)備防護審計報表審計記錄的保護定位及阻斷內(nèi)部的非法聯(lián)出非授權(quán)設(shè)備私自外聯(lián)檢測常見攻擊記錄、報警網(wǎng)絡(luò)邊界處防范基本的登錄鑒別組合鑒別技術(shù)特權(quán)用戶的權(quán)限分離邊界惡意代碼檢測代碼庫升級重要客戶端的審計日志記錄主機安全基本要求中控制點與要求項各級分布安全等級控制點要求項第一級46第二級619第三級732第四級936身份鑒別（6項）訪問控制（7項）安全審計（6項）剩余信息保護（2項）入侵防范（3項）惡意代碼防范（3項）系統(tǒng)資源控制（5項）以第三級為例主機安全主機安全測評內(nèi)容和方法

身份鑒別

訪問控制

安全審計

剩余信息保護

入侵檢測

惡意代碼防范

資源控制主機安全調(diào)研訪談：安全策略、最小分配原則、權(quán)限分離、刪除多余賬戶、敏感標(biāo)識、控制敏感資源；測評判斷：檢查服務(wù)器操作系統(tǒng)的安全策略、查看特權(quán)用戶的權(quán)限是否進行分離。調(diào)研訪談：保證數(shù)據(jù)存儲空間、重新分配前完全清楚數(shù)據(jù)；測評判斷：檢查操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)維護操作手冊，包括：存儲空間被釋放和重新分配原則。調(diào)研訪談：入侵防范措施和安全報警、重要程序的完整性進行檢測、系統(tǒng)補丁及時更新；測評判斷：檢查入侵防范系統(tǒng)、檢測到完整性受到破壞后恢復(fù)的措施、補丁升級記錄。調(diào)研訪談：安裝防惡意代碼軟件、防惡意代碼軟件統(tǒng)一管理；測評判斷：檢查實時檢測與惡意代碼的軟件產(chǎn)品并進行及時更新、主機和網(wǎng)絡(luò)惡意代碼軟件不同調(diào)研訪談：限制終端登錄、登錄超時鎖定、對服務(wù)器進行監(jiān)控、限制用戶對資源的訪問等；測評判斷：檢查服務(wù)器操作系統(tǒng)限制終端登錄、超時鎖定、服務(wù)器監(jiān)控等調(diào)研訪談：兩種用戶身份鑒別、地址限制、用戶唯一、口令復(fù)雜度要求、登錄失敗驗證等；測評判斷：用戶唯一和地址限制、密碼復(fù)雜度和兩種身份鑒別方式、特權(quán)用戶權(quán)限分配。調(diào)研訪談：開啟安全審計功能、審計內(nèi)容、審計報表、審計記錄保護；測評判斷：審計全面監(jiān)測、查看審計報表、審計記錄處理方式。主機安全測評基本要求和實現(xiàn)方法基本要求實現(xiàn)方法/案例訪問控制安全審計剩余信息保護入侵防范惡意代碼防范資源控制審計報表審計記錄的保護空間釋放惡意代碼防范產(chǎn)品對用戶會話數(shù)及終端登錄的限制監(jiān)視重要服務(wù)器最小服務(wù)水平的檢測及報警防惡意代碼軟件、代碼庫統(tǒng)一管理身份鑒別基本的身份鑒別組合鑒別技術(shù)安全策略特權(quán)用戶的權(quán)限分離管理用戶的權(quán)限分離敏感標(biāo)記的設(shè)置及操作服務(wù)器基本運行情況審計重要客戶端的審計空間釋放及信息清除最小安裝原則升級服務(wù)器重要服務(wù)器：檢測、記錄、報警重要程序完整性應(yīng)用安全基本要求中控制點與要求項各級分布安全等級控制點要求項第一級47第二級719第三級931第四級1136身份鑒別（5項）訪問控制（6項）安全審計（4項）剩余信息保護(2項)通信完整性(1項)通信保密性(2項)抗抵賴(2項)軟件容錯(2項)以第三級為例應(yīng)用安全應(yīng)用安全測評內(nèi)容和方法

身份鑒別

訪問控制

安全審計

剩余信息保護

通訊完整性

通訊保密性

抗抵賴應(yīng)用安全調(diào)研訪談：應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性；測評判斷：檢查設(shè)計或驗收文檔，是否有用密碼技術(shù)來保證通信過程中數(shù)據(jù)的完整性的描述。調(diào)研訪談：利用密碼技術(shù)進行會話初始化驗證、對整個報文或會話過程進行加密；測評判斷：系統(tǒng)數(shù)據(jù)在通信過程中采取掃描保密措施，查看具體措施。調(diào)研訪談：數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；測評判斷：系統(tǒng)是否具有抗抵賴的措施，查看具體措施。

軟件容錯調(diào)研訪談：數(shù)據(jù)有效性檢驗功能、當(dāng)故障發(fā)生時自動保護當(dāng)前所有狀態(tài)；測評判斷：查看應(yīng)用系統(tǒng)是否對人機接口輸入或通信接口輸入的數(shù)據(jù)進行有效性檢驗。

資源控制調(diào)研訪談：兩種用戶身份鑒別、地址限制、用戶唯一、口令復(fù)雜度要求、登錄失敗驗證等；測評判斷：用戶唯一和地址限制、密碼復(fù)雜度和兩種身份鑒別方式、特權(quán)用戶權(quán)限分配。調(diào)研訪談：安全策略、最小分配原則、權(quán)限分離、刪除多余賬戶、敏感標(biāo)識、控制敏感資源；測評判斷：檢查服務(wù)器操作系統(tǒng)的安全策略、查看特權(quán)用戶的權(quán)限是否進行分離。調(diào)研訪談：開啟安全審計功能、審計內(nèi)容、審計報表、審計記錄保護；測評判斷：審計全面監(jiān)測、查看審計報表、審計記錄處理方式。調(diào)研訪談：保證數(shù)據(jù)存儲空間、重新分配前完全清除數(shù)據(jù)；測評判斷：檢查操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)維護操作手冊，包括：存儲空間被釋放和重新分配原則。調(diào)研訪談：限制終端登錄、登錄超時鎖定、對服務(wù)器進行監(jiān)控、限制用戶對資源的訪問等；測評判斷：檢查服務(wù)器操作系統(tǒng)限制終端登錄、超時鎖定、服務(wù)器監(jiān)控等。應(yīng)用安全測評基本要求和實現(xiàn)方法基本要求實現(xiàn)方法/案例訪問控制安全審計剩余信息保護通訊完整性通訊保密性資源控制審計報表審計記錄的保護空間釋放對用戶會話數(shù)及系統(tǒng)最大并發(fā)會話數(shù)的限制身份鑒別基本的身份鑒別組合鑒別技術(shù)安全策略最小授權(quán)原則敏感標(biāo)記的設(shè)置及操作空間釋放及信息清除運行情況審計（用戶級）審計記錄的保護校驗碼技術(shù)初始化驗證密碼技術(shù)整個報文及會話過程加密抗抵賴數(shù)據(jù)原發(fā)證據(jù)和接收證據(jù)用戶認(rèn)證、數(shù)字簽名、操作日志資源分配限制、資源分配優(yōu)先級最小服務(wù)水平的檢測及報警軟件容錯數(shù)據(jù)有效性檢驗、部分運行保護自動保護功能數(shù)據(jù)安全基本要求中控制點與要求項各級分布安全等級控制點要求項第一級22第二級34第三級38第四級311數(shù)據(jù)完整性（2項）數(shù)據(jù)保密性（2項）備份與恢復(fù)（8項）以第三級為例數(shù)據(jù)安全數(shù)據(jù)安全測評內(nèi)容和方法

數(shù)據(jù)完整性

數(shù)據(jù)保密性調(diào)研訪談：應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸和存儲過程中完整性受到破壞，并進行必要措施；檢查判斷：檢測傳輸和存儲破壞的措施和恢復(fù)措施。

安全備份數(shù)據(jù)安全調(diào)研訪談：采用加密或其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸和存儲保密性；檢查判斷：鑒別信息和重要業(yè)務(wù)數(shù)據(jù)是否采用加密或其他有效措施實現(xiàn)傳輸保密性調(diào)研訪談：本地數(shù)據(jù)備份和恢復(fù)，備份介質(zhì)場外存放，通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余；檢查判斷：查設(shè)計或驗收文檔，對本地數(shù)據(jù)備份和恢復(fù)功能及策略的描述，查主要網(wǎng)絡(luò)設(shè)備、主要通信線路和主要數(shù)據(jù)處理系統(tǒng)是否采用硬件冗余、軟件配置等應(yīng)用安全測評基本要求和實現(xiàn)方法基本要求實現(xiàn)方法/案例訪問控制備份和恢復(fù)數(shù)據(jù)完整性鑒別數(shù)據(jù)傳輸?shù)耐暾愿黝悢?shù)據(jù)傳輸及存儲檢測和恢復(fù)鑒別數(shù)據(jù)存儲的保密性各類數(shù)據(jù)的傳輸及存儲重要數(shù)據(jù)的備份硬件冗余異地備份網(wǎng)絡(luò)冗余、硬件冗余本地完全備份每天1次備份介質(zhì)場外存放安全管理制度基本要求中控制點與要求項各級分布安全等級控制點要求項第一級23第二級37第三級311第四級314管理制度（4項）制定和發(fā)布（5項）評審和修訂（2項）以第三級為例安全管理制度安全管理制度測評內(nèi)容和方法

管理制度

制定和發(fā)布調(diào)研訪談：制定總體方針和安全策略、建立操作規(guī)程；查文件：查部門、崗位職責(zé)文件，信息安全方針、安全策略文件；查各類安全管理制度文件；形成安全管理制度體系

評審和修訂安全管理制度調(diào)研訪談：專人負責(zé)制定安全管理制度，統(tǒng)一格式和版本，并進行論證和審定，通過有效形式進行發(fā)布，注明發(fā)布范圍；查文件：查指定部門和人員的工作職責(zé)，信息安全管理制度的文件模板或格式規(guī)定，論證和審定記錄和文件發(fā)布、登記記錄。調(diào)研訪談：安全管理制度評審主持部門，定期對制度文件的合理性和適用性進行審定；查文件：查對安全管理制度體系進行評審的管理文件，修訂的安全管理制度修訂或評審記錄。安全管理機構(gòu)基本要求中控制點與要求項各級分布安全等級控制點要求項第一級44第二級59第三級520第四級520崗位設(shè)置（4項）人員配備（3項）授權(quán)和審批（4項）溝通和合作（5項）審核和檢查（4項）以第三級為例安全管理機構(gòu)安全管理機構(gòu)測評內(nèi)容和方法

崗位設(shè)置

人員配備調(diào)研訪談：信息安全管理工作的職能部門，設(shè)立崗位和職責(zé)，建立信息安全領(lǐng)導(dǎo)小組；查文件：查部門、崗位職責(zé)文件，領(lǐng)導(dǎo)小組崗位職責(zé)文件，安全管理機構(gòu)各部門和崗位職責(zé)、分工、技能要求文件

授權(quán)和審批安全管理機構(gòu)調(diào)研訪談：安全管理崗位人員的配備情況；查文件：查安全管理各崗位人員信息表，關(guān)鍵崗位管理人員配備2人或2人以上共同管理。調(diào)研訪談：對重要活動進行審批，審批部門是何部門，批準(zhǔn)人是何人，審批范圍包括哪些，定期審查審批；查文件：查各部門和崗位的職責(zé)文檔，逐級審批制度及審批記錄，查審查審批制度。

溝通和合作調(diào)研訪談：內(nèi)部溝通機制，兄弟單位合作溝通機制，供應(yīng)商合作溝通機制，聘請安全專家；查文件：查內(nèi)部溝通、合作機制程序或規(guī)程，查外聯(lián)單位聯(lián)系列表，查安全顧問名單、證明文件，相關(guān)文檔或記錄。

審核和檢查調(diào)研訪談：定期安全檢查的程序、實施情況及檢查周期，對信息系統(tǒng)全面安全檢查；查文件：安全檢查的程序文件和記錄，全面安全檢查記錄，安全檢查表，安全檢查報告和結(jié)果通告記錄，全面安全檢查報告等。人員安全管理基本要求中控制點與要求項各級分布安全等級控制點要求項第一級47第二級511第三級516第四級518人員錄用（4項）人員離崗（3項）人員考核（3項）安全意識教育和培訓(xùn)（4項）外部人員訪問管理（2項）以第三級為例人員安全管理人員安全管理測評內(nèi)容和方法

人員錄用

人員離崗調(diào)研訪談：專門的部門或人員負責(zé)人員的錄用工作，人員錄用條件和審查內(nèi)容；查文件：查部門/人員工作職責(zé)文件，人員錄用要求管理文檔，相關(guān)審查及考核記錄，查保密協(xié)議；查保密協(xié)議簽署記錄。

人員考核人員安全管理調(diào)研訪談：離崗人員控制方法，調(diào)離手續(xù)，關(guān)鍵崗位人員調(diào)離時承諾相關(guān)保密協(xié)議；查文件：查人員離崗的管理文檔，對離崗人員的安全處理記錄，調(diào)離手續(xù)記錄，查保密承諾文檔，調(diào)離人員記錄。調(diào)研訪談：各個崗位人員進行安全技能及安全知識的考核，關(guān)鍵崗位審查考核特殊要求；查文件：查定期人員審查/考核規(guī)程文件，關(guān)鍵崗位的定期審查和考核規(guī)程文件，考核文檔和記錄，人員安全審查記錄。

安全意識教育和培訓(xùn)調(diào)研訪談：制定培訓(xùn)計劃及實施情況，對違反安全策略和規(guī)定的人員進行懲戒；查文件：查安全意識教育和培訓(xùn)規(guī)程文件，安全責(zé)任和懲戒措施管理文檔，安全教育和培訓(xùn)計劃文檔，教育和培訓(xùn)記錄。

外部人員訪問管理調(diào)研訪談：對外部人員訪問重要區(qū)域管理措施、規(guī)程或制度等情況；查文件：查外部人員訪問管理規(guī)程文檔和訪問重要區(qū)域批準(zhǔn)文檔，外部人員訪問重要區(qū)域的登記記錄。系統(tǒng)建設(shè)管理基本要求中控制點與要求項各級分布安全等級控制點要求項第一級920第二級928第三級1145第四級1148系統(tǒng)定級（4項）安全方案設(shè)計（5項）產(chǎn)品采購（4項）自行軟件開發(fā)（5項）外包軟件開發(fā)（4項）工程實施（3項）測試驗收（5項）系統(tǒng)交付（5項）系統(tǒng)備案（3項）等級測評（4項）服務(wù)商選擇（3項）以第三級為例系統(tǒng)建設(shè)管理系統(tǒng)建設(shè)管理測評內(nèi)容和方法

系統(tǒng)定級

安全方案設(shè)計調(diào)研訪談：系統(tǒng)定級過程、方法和理由，定級結(jié)果論證和審定，定級結(jié)果批準(zhǔn)等；查文件：查系統(tǒng)定級文檔，文檔說明定級方法和理由，論證和審定意見，批準(zhǔn)蓋章等。

產(chǎn)品采購和使用

自行軟件開發(fā)

外部軟件開發(fā)

工程實施

測試驗收

系統(tǒng)交付

系統(tǒng)備案

等級測評系統(tǒng)建設(shè)管理調(diào)研訪談：專人負責(zé)安全建設(shè)規(guī)劃，安全設(shè)計方案，專家論證和審定，定期修訂配套文件；查文件：安全措施文檔、風(fēng)險分析表，總體規(guī)劃文件和工作計劃，專家論證文檔，文檔修訂記錄。調(diào)研訪談：安全、密碼產(chǎn)品使用，指定部門負責(zé)采購，審定和更新候選產(chǎn)品名單；查文件：采購文件中涉及產(chǎn)品指標(biāo)和候選范圍，密碼產(chǎn)品使用規(guī)定，產(chǎn)品選型測試記錄等。調(diào)研訪談：開發(fā)環(huán)境與測試環(huán)境分開，編碼安全規(guī)范，專人保管設(shè)計文檔和使用指南，授權(quán)審批；查文件：查軟件開發(fā)管理制度，明確軟件開發(fā)生命周期管理，編碼規(guī)范，設(shè)計文檔等管理。調(diào)研訪談：檢測軟件質(zhì)量，惡意代碼檢測，開發(fā)商提供設(shè)計文檔、使用指南和源代碼等；查文件：外包軟件驗收測試報告，惡意代碼檢測報告，設(shè)計文件和使用指南，源代碼審查記錄等。調(diào)研訪談：專人負責(zé)管理實施過程，制定實施方案，制定工程實施方面的安全管理制度；查文件：工程實施方的責(zé)任、任務(wù)和質(zhì)量要求，工程實施方案，階段性報告，工程實施管理制度。調(diào)研訪談：第三方安全測試，制定測試驗收方案和報告，專人負責(zé)驗收工作，測試驗收報告審定；查文件：第三方測試文檔，測試驗收方案，測試驗收管理文檔，測試驗收記錄和測試驗收報告。調(diào)研訪談：根據(jù)交付清單對設(shè)備、文檔、軟件等進行清點，新系統(tǒng)培訓(xùn)，專人負責(zé)系統(tǒng)交接工作；查文件：詳細系統(tǒng)交付清單，新系統(tǒng)培訓(xùn)記錄，系統(tǒng)運維文檔，系統(tǒng)交付管理文檔等。調(diào)研訪談：專門部門管理和使用定級材料，報主管部門和公安機關(guān)進行備案；查文件：系統(tǒng)定級相關(guān)材料，主管部門和公安機關(guān)備案的記錄或備案文檔。調(diào)研訪談：等保測評管理文件，系統(tǒng)變更后的等級測評，如何選擇測評機構(gòu)，專人負責(zé)等保測評；查文件：測評報告、建議報告和整改方案，測評機構(gòu)資質(zhì)。

安全服務(wù)商選擇調(diào)研訪談：安全服務(wù)器選擇，簽訂服務(wù)協(xié)議，服務(wù)商提供技術(shù)培訓(xùn)和服務(wù)培訓(xùn)；查文件：服務(wù)招標(biāo)文件，簽訂的服務(wù)合同和保密協(xié)議等文檔，服務(wù)合同中包含服務(wù)內(nèi)容和期限等。系統(tǒng)運維管理基本要求中控制點與要求項各級分布安全等級控制點要求項第一級918第二級12