等保测评过程指南
2024-03-21 15:17:23 0 举报AI智能生成
等保测评过程指南
作者其他创作
大纲/内容
现场测评活动
目标
与测评委托单位进行沟通协调，依据测评方案实施现场测评工作，取得报告编制活动所需的足够的证据和资料
主要任务
现场测评准备
输入
经过评审和确认的测评方案、风险规避实施方案、风险告知书、现场测评工作计划
任务
测评委托单位对风险告知书签字确认，做好应急和备份工作
获得现场测评授权
召开测评现场首次会
确认现场测评需要的资源，包括测评配合人员、提供测评环境等
输出
会议记录、测评方案、现场测评工作计划和风险告知书、现场测评授权书
现场测评和结果记录
输入
现场测评工作计划、现场测评授权书、测评指导书、测评结果记录表
任务
测评人员和测评配合人员确认测评对象中的关键数据已经备份
测评人员确认具备测评工作开展条件，测评对象处于一个相对良好的状况
测评人员根据测评指导书实施现场测评，包括访谈、核查、测试
测评结束后，确认测评工作是否对测评对象造成不良影响，测评对象是否工作正常
输出
各类测评结果记录
结果确认和资料归还
输入
各类测评结果记录、工具测试完成后的电子输出记录
任务
汇总现场测评记录
召开测评现场结束会，对证据源记录进行现场沟通和确认
归还借阅的资料，并签字确认
输出
经过测评委托单位确认的测评证据和证据源记录
双方职责
测评机构
测评人员确认被测定级对象具备测评工作开展的条件
测评人员通过访谈、审查、核查、实地查看等方法开展测评，并获取相关证据
测评委托单位
测评前备份系统和数据，了解测评工作基本情况
协助测评机构获取现场测评授权
安排测评配合人员，配合测评工作的开展
对风险告知书签字确认
配合人员如实回答测评人员的问询，对某些需要验证的内容上机操作
配合人员协助测评人员实施工具测试并提供有效建议
配合人员协助测评人员完成业务相关内容的问询、验证和测试
配合人员对测评证据和证据源进行确认
配合人员确认测试后被测设备状态完好
报告编制活动
目标
对现场测评获得的测评结果进行汇总分析，形成等级测评结论，并编制测评报告
主要任务
单项测评结果判定
输入
经过测评委托单位确认的测评证据和证据源记录，测评指导书
任务
分析每个测评项所对抗的威胁在被测定级对象中是否存在，如果不存在，则该测评项应标位不适用
分析单个测评项的测评证据，并与要求内容的预期测评结果相比较，给出单项测评结果和符合程度得分
如果测评证据表明所有要求内容和预期测评结果一致，则判定为符合
如果测评证据表明所有要求内容和预期测评结果不一致，则判定为不符合
否则判定为部分符合
如果测评证据表明所有要求内容和预期测评结果不一致，则判定为不符合
否则判定为部分符合
输出
测评报告的等级测评结果记录部分
单元测评结果判定
输入
测评报告的等级测评结果记录部分
任务
按层面分别汇总不同测评对象对应测评指标的单项测评结果情况，包括测评了多少项，符合要求的多少项
分析每个控制点下所有测评项的符合情况，给出单元测评结果
输出
测评报告的单元测评小结部分
整体测评
输入
测评报告的等级测评结果记录部分和单项测评结果
任务
针对测评对象的“部分符合”“不符合”要求的单个测评项，分析与该测评项相关的其他测评项能否和他发生关联关系，这些关联关系是否可以弥补该项的不足或削弱该项实现的保护能力，以及该项的测评结果是否会影响与其有关联关系的其他测评项的测评结果
根据整体测评分析情况，修正单项测评结果符合程度得分和问题严重程度值
输出
测评报告的整体测评部分
系统安全保障评估
输入
测评报告的等级测评结果记录部分和整体测评部分
任务
根据整体测评结果，计算修正后的每个测评对象的单项测评结果和符合程度得分
根据各对象的单项符合程度得分，计算安全控制点得分
根据安全控制点得分，计算安全层面得分
根据安全控制点得分和安全层面得分，总体评价被测定级对象已采取的有效保护措施和存在的安全问题情况
输出
测评报告的系统安全保障评估部分
安全问题风险评估
输入
调好的调查表、测评报告的单项测评结果、整体测评部分
任务
针对整体测评后的单项测评结果中部分符合和不符合项所产生的的安全问题，结合关联测评对象和威胁，分析可能对定级对象、单位、社会及国家造成的安全危害
结合安全问题所影响业务的重要程度、相关系统组件的重要程度、安全问题严重程度及安全事件影响范围等综合分析可能造成的安全危害中的最大安全危害结果
根据最大安全危害严重程度进一步确定定级对象面临的风险等级，结果为高、中、低
输出
测评报告的安全问题风险分析部分
等级测评结论形成
输入
测评报告的系统安全保障评估部分、安全问题风险评估部分
任务
根据单项测评结果和风险评估结果，计算定级对象综合得分并得出等级测评结论
等级测评结论
符合
未发现安全问题，单项测评结果中部分符合和不符合统计结果为0，综合得分100分
基本符合
存在安全问题，单项测评结果中部分符合和不符合统计结果不全为0，
存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值
存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值
不符合
存在安全问题，单项测评结果中部分符合和不符合统计结果不全为0，
存在的安全问题会导致定级对象面临高等级安全风险，或综合得分低于阈值
存在的安全问题会导致定级对象面临高等级安全风险，或综合得分低于阈值
输出
测评报告的等级测评结论部分
测评报告编制
输入
测评方案、《信息系统安全等级测评报告模板》、测评结果分析内容
任务
测评人员整理前面几项任务的输出，按照《信息系统安全等级测评报告模板》编制测评报告相应部分
针对被测定级对象存在的安全隐患，从系统安全角度提出相应的改进建议，编制测评报告的问题处置建议部分
测评报告编制完成后，测评机构应根据测评协议书、测评委托单位提交的文档、测评原始记录和其他辅助信息，对测评报告进行评审
评审通过后，由项目负责人签字确认并提交给测评委托单位
输出
经过评审和确认的被测定级对象等级测评报告
双方职责
测评机构
分析并判定单项测评结果和整体测评结果
分析评价被测定级对象存在的风险情况
根据测评结果形成等级测评结论
编制等级测评报告，说明系统存在的安全隐患和缺陷，并给出改进建议
评审等级测评报告，并将评审过的等级测评报告按照分发范围进行分发
将生成的过程文档(包括电子文档)归档保存，并将测评过程中在测评用介质和测试工具中生 成或存放的所有电子文档清除
测评委托单位
签收测评报告
向分管公安机关备案测评报告
名称
信息安全技术 网络安全等级保护测评过程指南GB/T 28449-2018
等级测评风险
测评过程产生的风险
影响系统正常运行的风险
部分测试内容需上机验证，有误操作可能
漏扫、渗透测试可能对网络或系统负载造成一定的影响（重启、服务中断、植入代码未完全清理）
漏扫、渗透测试可能对网络或系统负载造成一定的影响（重启、服务中断、植入代码未完全清理）
敏感信息泄露风险
有意或无意泄露被测系统状态信息（IP地址、业务流程、拓扑图、业务数据）
木马植入风险
有意或无意将渗透测试过程中用到的工具未清理或清理不彻底，导致被测系统植入木马
风险规避
签署委托测评协议
明确测评工作的目标、范围、人员组成、计划安排、执行步骤和要求及双方责任和义务
签署保密协议
签署保密协议约束测评相关方现在、将来的行为
现场测评风险规避
签署现场测评授权书
对系统和数据进行备份
制定应急处理方案
避开业务高峰期
在模拟环境测试
被测单位技术人员进行操作并全程监督
现场测评还原
交回所有特权
归还相关资料文件
测评环境恢复至测评前状态
等级测评过程概述
测评工作过程及任务基于受委托测评机构对定级对象的初次等级测评给出
测评过程包括四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动，沟通和洽谈贯穿整个测评过程
等级测评过程
测评准备活动
目标
启动测评项目，收集定级对象相关资料，准备测评所需资料，为编制测评方案做基础
主要任务
工作启动
输入
委托测评协议书
任务
测评机构组建测评项目组，并编制项目计划书
要求测评委托单位提供基本资料
输出
项目计划书
信息收集和分析
输入
项目计划书、系统调查表、被测定级对象资料
任务
收集测评需要的资料，包括管理架构、技术体系、运行情况、建设方案、相关测试文档等
督促被测定级对象相关人员准确填写系统调查表
收回调查表并分析调查结果
系统分析法
对整体网络结构、系统组成分析
包括网络结构、对外边界、定级对象数量级别、分布情况、承载应用情况
分解与综合分析法
对定级对象边界、系统构成组件分析
物理和逻辑边界、硬件资源、软件资源、信息资源
对比和类比分析法
对定级对象的相互关联进行分析
应用架构方式、应用处理流程、处理信息类型、服务对象、用户数量
输出
填好的调查表、各种与被测定级对象相关的资料
工具和表单准备
输入
填好的调查表、各种与被测定级对象相关的技术资料
任务
调试测评过程中用到的测评工具，包括漏扫工具、渗透测试工具、协议分析工具
在测评环境模拟被测定级对象架构，并进行必要的工具验证
准备和打印表单，包括风险告知书、文档交接单、会议记录表单、会议签到表等
输出
选用的测评工具清单，打印的各类表单
双方职责
测评机构
组建测评项目组
指出测评委托单位应提供的基本资料
准备基本情况调查表
介绍测评工作流程、方法
说明测评工作可能带来的风险和规避方法
了解测评委托单位的信息化建设及被测定级对象的基本情况
初步分析系统的安全状况
准备测评工具和文档
测评委托单位
介绍本单位的信息化建设及发展情况
提供测评机构需要的相关资料
为测评人员的信息收集工作提供支持和协调
准确填写调查表
制定应急预案
方案编制活动
目标
整理测评准备活动中获取的定级对象资料，为现场测评活动提供基本的文档和指导方案
主要任务
测评对象确定
输入
填好的调查表，各种与被测定级对象相关的资料
任务
识别并描述定级对象的整体结构
识别并描述定级对象的边界
识别并描述定级对象的网络区域
识别并描述定级对象的主要设备
确定测评对象
描述测评对象
输出
测评方案的测评对象部分
测评指标确定
输入
填好的调查表、GB17859、GB/T22239、行业规范、业务需求文档
任务
根据定级结果，得出被测定级对象的系统服务保证类、业务信息安全类、通用安全保护类基本安全要求的组合情况
根据基本安全要求的组合情况，从GB/T22239、行业规范中选择相应等级的基本安全要求作为基本测评指标
根据被测定级对象实际情况，确定不适用测评指标
根据被测定级对象业务需求和测评委托单位需求，确定特殊测评指标
对确定的基本指标和特殊指标进行描述，并分析不适用的原因
输出
测评方案的测评指标部分
测评内容确定
输入
填好的系统调查表、测评方案的测评对象部分、测评指标部分
任务
根据GB/T22239将测评指标和测评对象结合，将测评指标映射到测评对象上，说明测评对象所采取的测评方法
由此构成具体实施测评的单项测评内容
由此构成具体实施测评的单项测评内容
输出
测评方案的测评实施部分
工具测试方法确定
输入
测评方案的测评实施部分、GB/T22239、选用的测评工具清单
任务
确定工具测试环境
确定需要进行测试的测评对象
选择测试路径
根据测试路径，确定测试接入点
结合网络拓扑图，描述测试工具的接入点、测试目的、测试途径和测试对象等内容
输出
测评方案的工具测试方法和内容部分
测评指导书开发
输入
测评方案的单项测评实施部分、工具测试内容和方法部分
任务
描述单个测评对象，包括测评对象的名称、位置、用途、管理人员等信息
根据GB/T28448的单项测评实施确定测评活动。包括测评项、测评方法、操作步骤、预期结果等
单项测评以表格形式设计和描述测评项、测评方法、操作步骤和预期结果等
整体测评以文字描述的方式表述，以测评用例的方式进行组织
整体测评以文字描述的方式表述，以测评用例的方式进行组织
输出
测评指导书，测评结果记录表
测评方案编制
输入
委托测评协议书、填好的调研表、各种与被测定级对象相关的资料、选用的测评工具清单、
GB/T22239或行业规范中的基本要求、测评方案的测评对象、测评指标、单项测评实施部分、工具测试方法及内容部分
GB/T22239或行业规范中的基本要求、测评方案的测评对象、测评指标、单项测评实施部分、工具测试方法及内容部分
任务
根据委托测评协议书、填好的调研表，提取项目来源、被测单位整体信息化建设情况及定级对象与单位其他系统之间的连接情况
根据测评实施要求，将测评活动所依据的标准罗列出来
参阅委托测评协议书和被测定级对象情况，根据测评对象的数量、接入点、测试内容等估算现场测评工作量
根据测评项目组成员安排，编制工作安排情况
根据以往测评经验及定级对象规模，编制具体测评计划，包括人员分工和时间安排
汇总以上内容形成测评方案
评审和提交测评方案，并获得测评委托单位签字认可
根据测评方案制定风险规避实施方案
输出
经过评审和确认的测评方案、风险规避实施方案
双方职责
测评机构
详细分析被测定级对象的整体结构、边界、网络区域、设备部署情况
初步判断被测定级对象的安全薄弱点
分析确定测评对象、测评指标、确定测评内容和工具测试方法
编制测评方案并内部评审
制定风险规避实施方案
测评委托单位
为测评机构完成测评方案提供信息和资料
评审和确认测评方案、风险规避实施方案
若确定不在生产环境开展测评，则部署相同的测试环境
0 条评论
下一页
