信息系统安全等级保护测评的流程，

济南等保测试

二、测评工作流程 

为确保等级测评工作的顺利开展，需要了解等级测评的工作流程和方法，以便对等级测评工作过程进行控制小~百~姓~网。 

1、基本工作流程和方法 

（1）基本工作流程 

等级测评过程分为4个基本测评活动：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动。测评双方之间的沟通与洽谈应贯穿整个等级测评过程。基本工作流程如图1所示。 

图1  等级测评工作流程 
① 测评准备活动 

本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。测评准备工作是否充分直接关系到后续工作能否顺利开展。本活动的主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。 

② 方案编制活动 

本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。 

③ 现场测评活动 

本活动是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要求，严格执行测评指导书测评指导书，分步实施所有测评项目，包括单元测评和整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。 



配置检查是指利用上机验证的方式检查网络安全、主机安全、应用安全、数据安全的配置是否正确，是否与文档、相关设备和部件保持一致，对文档审核的内容进行核实（包括日志审计等），并记录测评结果。配置检查是衡量一家测评机构实力的重要体现。检查对象包括数据库系统、操作系统、中间件、网络设备、网络安全设备。 

工具测试是利用各种测试工具，通过对目标系统的扫描、探测等操作，使其产生特定的响应等活动，通过查看、分析响应结果，获取证据以证明信息系统安全保护措施是否得以有效实施的一种方法。 

实地查看根据被测系统的实际情况，测评人员到系统运行现场通过实地的观察人员行为、技术设施和物理环境状况判断人员的安全意识、业务操作、管理程序和系统物理环境等方面的安全情况，测评其是否达到了相应等级的安全要求小~百~姓~网。如扫描探测、渗透测试、协议分析等手段。 
2、测评实施准备 


● 适用的法律、法规。 
● 现有国际标准、国家标准、行业标准。 
● 行业主管机关的业务系统的要求和制度。 
● 与信息系统安全保护等级相应的基本要求。 
● 被测评组织的安全要求。 
● 系统自身的实时性或性能要求等。 

⑦ 确定测评工具：主要包括测评前的表格、文档、检测工具等各项准备工作。测评工作通常包括根据评估对象和评估内容合理选择相应的测评工具，测评工具的选择和使用应遵循以下原则： 

● 脆弱性发现工具，应具备全面的已知系统脆弱性核查与检测能力。 
● 测评工具的检测规则库应具备更新功能，能够及时更新。 
● 测评工具使用的检测策略和检测方式不应对信息系统造成不正常影响。 

可采用多种测评工具对同一测试对象进行检测，如果出现检测结果不一致的情况，应进一步采用必要的人工检测和关联分析，并给出与实际情况最为相符的结果判定。 

评估工具的选择和使用必须符合国家有关规定。 

测评工具应包括：主机检查、服务器检查、数据库检查、中间件检查、Web检查、专用业务检查、协议检查、口令检查、安全设备检查、网络设备检查、性能压力检查等。 

⑧ 制定测评方案：测评方案是测评工作实施活动总体计划，用于管理评估工作的开展，使测评各阶段工作可控x.b.a.i.x.i.n.g.c.o.m。测评方案是测评项目验收的主要依据之一，是测评人员进行内部工作交流、明确工作任务的操作指南。通常测评方案给出具体的现场测评的工作思路、方法、方式和具体测评对象及其内容。测评方案应得到被评估组织的确认和认可。 


⑩ 文档管理：文档是测评工作的最终体现方式。为确保文档资料的完整性、准确性和安全性，应遵循以下原则： 

● 指派专人负责管理和维护项目进程中产生的各类文档，确保文档的完整性和准确性。 

● 文档的存储应进行合理的分类和编目，确保文档结构清晰可控。 

● 所有文档应注明项目名称、文档名称、版本号、审批人、编制日期、分发范围等信息。 

● 不得泄露给与本项目无关的人员或组织，除非预先征得被评估组织项目负责人的同意。同时，测评组织需要有专门的存储介质、安全柜和人员，对测评所产生的记录文档进行一定时间的保存。如等级保护三级系统所产生的测评报告和记录需要保持3年以上。 

⑪ 测评风险规避：测评工作自身也存在风险，一是结果是否准确有效，能够达到预先目标存在风险；二是测评中的某些测试操作可能给被测评组织或信息系统引入新的风险。应通过技术培训和保密教育、制定测评过程管理相关规定、编制应急预案等措施进行风险规避。同时双方应签署保密协议，测评单位和测评人员签署个人保密协议。 

3、测评方案编制 

方案编制过程是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。本过程的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案xbaixing.com。 

① 确定测评对象。一般采用抽查的方法，即：抽查信息系统中具有代表性的组件作为测评对象。在确定测评对象时，需遵循以下原则： 

● 重要性，应抽查对被测评系统来说重要的服务器、数据库和网络设备等。 
● 安全性，应抽查对外暴露的网络边界。 
● 共享性，应抽查共享设备和数据交换平台/设备。 
● 代表性，抽查应尽量覆盖系统各种设备类型、操作系统类型、数据库系统类型和应用系统类型。 
● 恰当性，选择的设备、软件系统等应能符合相应等级的测评强度要求。 

② 确定测评指标及测评内容。根据被测系统调查表格，得出被测系统的定级结果，包括业务网络安全保护等级和系统服务安全保护等级，从而得出被测系统应采取的安全保护措施 ASG 组合情况。如，目标系统的安全保护等级为第三级（S3A3G3），其测评指标应包括《基本要求》7.1 节“技术要求”和 7.2 节“管理要求”中的第三级通用指标类（G3）、第三级业务信息安全性指标类（S3）和第三级业务服务保证类（A3）要求。对于由多个不同等级的信息系统组成的被测系统，应分别确定各个定级对象的测评指标。如果多个定级对象共用物理环境或管理体系，而且测评指标不能分开，则不能分开的这些测评指标应采用就高原则。 

③ 确定测评工具接入点。一般来说，测评工具的接入采取从外到内，从其他网络到本地网段的逐步逐点接入，即：测评工具从被测系统边界外接入、在被测系统内部与测评对象不同网段及同一网段内接入等几种方式。从被测系统边界外接入时，测评工具一般接在系统边界设备（通常为交换设备）上小 百 姓 网。在该点接入漏洞扫描器，扫描探测被测系统的主机、网络设备对外暴露的安全漏洞情况；从系统内部与测评对象不同网段接入时，测评工具一般接在与被测对象不在同一网段的内部核心交换设备上；在系统内部与测评对象同一网段内接入时，测评工具一般接在与被测对象在同一网段的交换设备上；结合网络拓扑图，采用图示的方式描述测评工具的接入点、测评目的、测评途径和测评对象等相关内容。 

④ 确定测评内容与方法。将测评对象与测评指标进行映射构成测评内容，并针对不同的测评内容合理地选择测评方法形成具体的测评实施内容。 

⑤ 确定测评指导书。测评指导书是指导和规范测评人员现场测评活动的文档，包括测评项、测评方法、操作步骤和预期结果等四部分。在测评对象和指标确定的基础上，将测评指标映射到各测评对象上，然后结合测评对象的特点，选择应采取的测评方法并确定测评步骤和预期结果，形成不同测评对象的具体测评指导书。 

⑥ 确定测评方案。综合以上结果内容以及测评工作计划形成测评方案，测评方案主要内容包括测评概述、目标系统概述、定级情况、网络结构、主机设备情况、应用情况、测评方法与工具、测评内容、时间安排、风险揭示与规避等。 

4、现场测评 

现场测评是测评工作的重要阶段。风险评估中的风险识别阶段，对应现场测评，通过对组织和信息系统中资产、威胁、脆弱性等要素的识别，是进行信息系统安全风险分析的前提。现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。现场测评工作应取得分析与报告编制活动所需的、足够的证据和资料。 

现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还三项主要任务。 

（1）现场测评准备 

为保证测评机构能够顺利实施测评，测评准备工作需要包括以下内容：① 测评委托单位签署现场测评授权书；② 召开测评现场首次会，测评机构介绍测评工作，交流测评信息，进一步明确测评计划和方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排等，以便于后面的测评工作开展；③ 测评双方确认现场测评需要的各种资源，包括测评委托单位的配合人员和需要提供的测评条件等，确认被测系统已备份过系统及数据；④ 测评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新。 

（2）现场测评和结果记录 

现场测评一般包括访谈、文档审查、配置检查、工具测试和实地察看5方面来自www.xbaixing.com。现场测评覆盖到被测系统安全技术的5个层面和安全管理的5方面。安全技术的5个层面具体为：物理安全、网络安全、主机安全、应用安全、数据安全和备份恢复。安全管理的5方面具体为：安全管理制度、安全管理机构、人员安全管理、系统建设安全管理和系统运维安全管理