信息安全技术信息系统安全等级保护测评过程指48393.docx

《信息安全技术信息系统安全等级保护测评过程指48393.docx》由会员分享，可在线阅读，更多相关《信息安全技术信息系统安全等级保护测评过程指48393.docx（82页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全技术 信息系统安全等级保护测评过程指南送审稿引 言依据中华人民民共和国计算算机信息系统统安全保护条条例（国务务院147号号令）、国国家信息化领领导小组关于于加强信息安安全保障工作作的意见（中中办发20003277号）、关关于信息安全全等级保护工工作的实施意意见（公通通字2000466号号）和信息息安全等级保保护管理办法法（公通字字2007743号），制制定本标准。本标准是信信息安全等级级保护相关系系列标准之一一。与本标标准相关的系系列标准包括括：GGB/T 222240-2008 信息安全技技术 信息系系统安全等级级保护定级指指南；GB/T 222399-20088 信息安全全技术 信

2、息息系统安全等等级保护基本本要求；GB/TT CCCCC-CCCCC 信息安全全技术 信息息系统安全等等级保护实施施指南；GB/TT DDDDD-DDDDD 信息安全全技术 信息息系统安全等等级保护测评评要求。信息安全技术信息系统安安全等级保护护测评过程指指南1 范围本标准规定了信信息系统安全全等级保护测测评（以下简简称等级测评评）工作的测测评过程，既既适用于测评评机构、信息息系统的主管管部门及运营营使用单位对对信息系统安安全等级保护护状况进行的的安全测试评评价，也适用用于信息系统统的运营使用用单位在信息息系统定级工工作完成之后后，对信息系系统的安全保保护现状进行行的测试评价价，获取信息息系统

3、的全面面保护需求。2 规范性引用用文件下列文件中的条条款通过在本本标准中的引引用而成为本本标准的条款款。凡是注日日期的引用文文件，其随后后所有的修改改单（不包括括勘误的内容容）或修订版版均不适用于于本标准，然然而，鼓励根根据本标准达达成协议的各各方研究是否否使用这些文文件的最新版版本。凡是不不注明日期的的引用文件，其最新版本适用于本标准。GB/T 5271.8 信息技术 词汇 第8部分：安全 GB 17859-1999 计算机信息系统安全保护等级划分准则 GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南 GB/T 22239-2008 信息安全技术 信息系统安全等级保

4、护基本要求 GB/T CCCC-CCCC 信息安全技术 信息系统安全等级保护实施指南 GB/T DDDD-DDDD 信息安全技术 信息系统安全等级保护测评要求 信息安全等级保护管理办法（公通字200743号）3 术语和定义义GB/T 52271.8、GGB 178859-19999、GBB/T CCCCC-CCCCC和GBB/T DDDDD-DDDDD确立的的以及下列的的术语和定义义适用于本标标准。3.1优势证据 suuperioor eviidencee对单一测测评项实施等等级测评过程程中获得的多多个测评结果果之间存在矛矛盾，且都没没有足够的证证据否定与之之矛盾的测评评结果的，则则测评结果的

5、的证明力明显显大于其他测测评结果的证证明力的那个个（些）测评评结果即为优优势证据。4 等级测评概概述4.1 等级测测评的作用依据信息安全全等级保护管管理办法（公公通字20007433号），信息息系统运营、使使用单位在进进行信息系统统备案后，都都应当选择测测评机构进行行等级测评。等等级测评是测测评机构依据据信息系统统安全等级保保护测评要求求等管理规规范和技术标标准，检测评评估信息系统统安全等级保保护状况是否否达到相应等等级基本要求求的过程，是是落实信息安安全等级保护护制度的重要要环节。在在信息系统建建设、整改时时，信息系统统运营、使用用单位通过等等级测评进行行现状分析，确确定系统的安安全保护现状

6、状和存在的安安全问题，并并在此基础上上确定系统的的整改安全需需求。在信息系统运维维过程中，信信息系统运营营、使用单位位定期委托测测评机构开展展等级测评，对对信息系统安安全等级保护护状况进行安安全测试，对对信息安全管管控能力进行行考察和评价价，从而判定定信息系统是是否具备GBB/T 222239-22008中相相应等级安全全保护能力。而而且，等级测测评报告是信信息系统开展展整改加固的的重要指导性性文件，也是是信息系统备备案的重要附附件材料。等等级测评结论论为信息系统统未达到相应应等级的基本本安全保护能能力的，运营营、使用单位位应当根据等等级测评报告告，制定方案案进行整改，尽尽快达到相应应等级的安

7、全全保护能力。4.2 等级测测评执行主体体可以为三级及以以上等级信息息系统实施等等级测评的等等级测评执行行主体应具备备如下条件：在中华人民民共和国境内内注册成立（港港澳台地区除除外）；由中中国公民投资资、中国法人人投资或者国国家投资的企企事业单位（港港澳台地区除除外）；从事事相关检测评评估工作两年年以上，无违违法记录；工工作人员仅限限于中国公民民；法人及主主要业务、技技术人员无犯犯罪记录；使使用的技术装装备、设施应应当符合信信息安全等级级保护管理办办法（公通通字2000743号号）对信息安安全产品的要要求；具有完完备的保密管管理、项目管管理、质量管管理、人员管管理和培训教教育等安全管管理制度；

8、对对国家安全、社社会秩序、公公共利益不构构成威胁。（摘摘自信息安安全等级保护护管理办法（公公通字20007433号）等等级测评执行行主体应履行行如下义务：遵守国家有有关法律法规规和技术标准准，提供安全全、客观、公公正的检测评评估服务，保保证测评的质质量和效果；保守在测评评活动中知悉悉的国家秘密密、商业秘密密和个人隐私私，防范测评评风险；对测测评人员进行行安全保密教教育，与其签签订安全保密密责任书，规规定应当履行行的安全保密密义务和承担担的法律责任任，并负责检检查落实。4.3 等级测测评风险等级测评实施过过程中，被测测系统可能面面临以下风险险。4.3.1 验验证测试影响响系统正常运运行在现场测评

9、时，需需要对设备和和系统进行一一定的验证测测试工作，部部分测试内容容需要上机查查看一些信息息，这就可能能对系统的运运行造成一定定的影响，甚甚至存在误操操作的可能。4.3.2 工工具测试影响响系统正常运运行在现场测评时，会会使用一些技技术测试工具具进行漏洞扫扫描测试、性性能测试甚至至抗渗透能力力测试。测试试可能会对系系统的负载造造成一定的影影响，漏洞扫扫描测试和渗渗透测试可能能对服务器和和网络通讯造造成一定影响响甚至伤害。4.3.3 敏敏感信息泄漏漏泄漏被测系统状状态信息，如如网络拓扑、IIP地址、业业务流程、安安全机制、安安全隐患和有有关文档信息息。4.4 等级测测评过程本标准中的测评评工作过

10、程及及任务基于受受委托测评机机构对信息系系统的初次等等级测评给出出。运营、使使用单位的自自查或受委托托测评机构对对已经实施过过一次（或以以上）等级测测评的被测系系统的等级测测评，测评机机构和测评人人员可以根据据实际情况调调整部分工作作任务，具体体原则见附录录A。等级级测评过程分分为四个基本本测评活动：测评准备活活动、方案编编制活动、现现场测评活动动、分析及报报告编制活动动。而测评双双方之间的沟沟通与洽谈应应贯穿整个等等级测评过程程。4.4.1 测测评准备活动动本活动是开展等等级测评工作作的前提和基基础，是整个个等级测评过过程有效性的的保证。测评评准备工作是是否充分直接接关系到后续续工作能否顺顺

11、利开展。本本活动的主要要任务是掌握握被测系统的的详细情况，准准备测试工具具，为编制测测评方案做好好准备。4.4.2 方方案编制活动动本活动是开展等等级测评工作作的关键活动动，为现场测测评提供最基基本的文档和和指导方案。本本活动的主要要任务是确定定与被测信息息系统相适应应的测评对象象、测评指标标及测评内容容等，并根据据需要重用或或开发测评指指导书测评指指导书，形成成测评方案。4.4.3 现现场测评活动动本活动是开展等等级测评工作作的核心活动动。本活动的的主要任务是是按照测评方方案的总体要要求，严格执执行测评指导导书测评指导导书，分步实实施所有测评评项目，包括括单元测评和和整体测评两两个方面，以以

12、了解系统的的真实保护情情况，获取足足够证据，发发现系统存在在的安全问题题。4.4.4 分分析与报告编编制活动本活动是给出等等级测评工作作结果的活动动，是总结被被测系统整体体安全保护能能力的综合评评价活动。本本活动的主要要任务是根据据现场测评结结果和GB/T DDDDD-DDDDD的有关要要求，通过单单项测评结果果判定、单元元测评结果判判定、整体测测评和风险分分析等方法，找找出整个系统统的安全保护护现状与相应应等级的保护护要求之间的的差距，并分分析这些差距距导致被测系系统面临的风风险，从而给给出等级测评评结论，形成成测评报告文文本。5 测评准备活活动5.1 测评准准备活动的工工作流程测评准备活动

13、的的目标是顺利利启动测评项项目，准备测测评所需的相相关资料，为为顺利编制测测评方案打下下良好的基础础。测评准准备活动包括括项目启动、信信息收集和分分析、工具和和表单准备三三项主要任务务。这三项任任务的基本工工作流程见图图1：5.2 测评准准备活动的主主要任务5.2.1 项项目启动在项目启动任务务中，测评机机构组建等级级测评项目组组，获取测评评委托单位及及被测系统的的基本情况，从从基本资料、人人员、计划安安排等方面为为整个等级测测评项目的实实施做基本准准备。输入入：委托测评评协议书。任务描述：a) 根据测评评双方签订的的委托测评协协议书和系统统规模，测评评机构组建测测评项目组，从从人员方面做做好

14、准备，并并编制项目计计划书。项目目计划书应包包含项目概述述、工作依据据、技术思路路、工作内容容和项目组织织等。b) 测评机构构要求测评委委托单位提供供基本资料，包包括：被测系系统总体描述述文件，详细细描述文件，安安全保护等级级定级报告，系系统验收报告告，安全需求求分析报告，安安全总体方案案，自查或上上次等级测评评报告（如果果有），测评评委托单位的的信息化建设设状况与发展展以及联络方方式等。输出/产品：项项目计划书。5.2.2 信信息收集和分分析测评机构通过查查阅被测系统统已有资料或或使用调查表表格的方式，了了解整个系统统的构成和保保护情况，为为编写测评方方案和开展现现场测评工作作奠定基础。输入

15、：调查查表格，被测测系统总体描描述文件，详详细描述文件件，安全保护护等级定级报报告，系统验验收报告，安安全需求分析析报告，安全全总体方案，自自查或上次等等级测评报告告（如果有）。任务描述：a) 测评机构构收集等级测测评需要的各各种资料，包包括测评委托托单位的各种种方针文件、规规章制度及相相关过程管理理记录、被测测系统总体描描述文件、详详细描述文件件、安全保护护等级定级报报告、安全需需求分析报告告、安全总体体方案、安全全现状评价报报告、安全详详细设计方案案、用户指南南、运行步骤骤、网络图表表、配置管理理文档等。b) 测评评机构将调查查表格提交给给测评委托单单位，督促被被测系统相关关人员准确填填写

16、调查表格格。c) 测评机构收收回填写完成成的调查表格格，并分析调调查结果，了了解和熟悉被被测系统的实实际情况。分分析的内容包包括被测系统统的基本信息息、物理位置置、行业特征征、管理框架架、管理策略略、网络及设设备部署、软软硬件重要性性及部署情况况、范围及边边界、业务种种类及重要性性、业务流程程、业务数据据及重要性、业业务安全保护护等级、用户户范围、用户户类型、被测测系统所处的的运行环境及及面临的威胁胁等。这些信信息可以重用用自查或上次次等级测评报报告中的可信信结果。dd) 如果调调查表格填写写不准确或不不完善或存在在相互矛盾的的地方较多，测测评机构应安安排现场调查查，与被测系系统相关人员员进行

17、面对面面的沟通和了了解。输出/产品：填填好的调查表表格。5.2.3 工工具和表单准准备测评项目组成员员在进行现场场测评之前，应应熟悉与被测测系统相关的的各种组件、调调试测评工具具、准备各种种表单等。输入：各种种与被测系统统相关的技术术资料。任任务描述：a) 测评人员员调试本次测测评过程中将将用到的测评评工具，包括括漏洞扫描工工具、渗透性性测试工具、性性能测试工具具和协议分析析工具等。b) 测评评人员模拟被被测系统搭建建测评环境。c) 准备备和打印表单单，主要包括括：现场测评评授权书、文文档交接单、会会议记录表单单、会议签到到表单等。输出/产品：选选用的测评工工具清单，打打印的各类表表单。5.3

18、 测评准准备活动的输输出文档测评准备活动的的输出文档及及其内容如表表1所示：5.4 测评准准备活动中双双方的职责测评机构职责：a) 组建等级级测评项目组组。b) 指出测评委委托单位应提提供的基本资资料。c) 准备被测测系统基本情情况调查表格格，并提交给给测评委托单单位。d) 向测评委委托单位介绍绍安全测评工工作流程和方方法。e) 向测评委委托单位说明明测评工作可可能带来的风风险和规避方方法。f) 了解测评评委托单位的的信息化建设设状况与发展展，以及被测测系统的基本本情况。gg) 初步分分析系统的安安全情况。h) 准备备测评工具和和文档。测评委托单位职职责：a) 向测评机机构介绍本单单位的信息化

19、化建设状况与与发展情况。b) 准备备测评机构需需要的资料。c) 为测测评人员的信信息收集提供供支持和协调调。d) 准确填写调调查表格。e) 根据据被测系统的的具体情况，如如业务运行高高峰期、网络络布置情况等等，为测评时时间安排提供供适宜的建议议。f) 制定应急预预案。6 方案编制活活动6.1 方案编编制活动的工工作流程方案编制活动的的目标是整理理测评准备活活动中获取的的信息系统相相关资料，为为现场测评活活动提供最基基本的文档和和指导方案。方案编制活动包包括测评对象象确定、测评评指标确定、测测试工具接入入点确定、测测评内容确定定、测评指导导书测评指导导书开发及测测评方案编制制六项主要任任务。这六

20、项项任务的基本本工作流程见见图2：6.2 方案编编制活动的主主要任务6.2.1 测测评对象确定定根据已经了解到到的被测系统统信息，分析析整个被测系系统及其涉及及的业务应用用系统，确定定出本次测评评的测评对象象。输入：填好的调查查表格。任任务描述：a) 识别并描描述被测系统统的整体结构构根据调查表格获获得的被测系系统基本情况况，识别出被被测系统的整整体结构并加加以描述。描描述内容应包包括被测系统统的标识（名名称），物理理环境，网络络拓扑结构和和外部边界连连接情况等，并并给出网络拓拓扑图。b) 识别并描描述被测系统统的边界根据填好的调查查表格，识别别出被测系统统边界并加以以描述。描述述内容应包括括

21、被测系统与与其他网络进进行外部连接接的边界连接接方式，如采采用光纤、无无线和专线等等；描述各边边界主要设备备，如防火墙墙、路由器或或服务器等。如如果在被测系系统边界连接接处有共用设设备，一般可可以把该设备备划到等级较较高的那个信信息系统中。c) 识别并描描述被测系统统的网络区域域一般信息系统都都会根据业务务类型及其重重要程度将信信息系统划分分为不同的区区域。对于没没有进行区域域划分的系统统，应首先根根据被测系统统实际情况进进行大致划分分并加以描述述。描述内容容主要包括区区域划分、每每个区域内的的主要业务应应用、业务流流程、区域的的边界以及它它们之间的连连接情况等。d) 识别并描描述被测系统统的

22、重要节点点描述系统节点时时可以以区域域为线索，具具体描述各个个区域内包括括的计算机硬硬件设备（包包括服务器设设备、客户端端设备、打印印机及存储器器等外围设备备）、网络硬硬件设备（包包括交换机、路路由器、各种种适配器等）等等，并说明各各个节点之间间的主要连接接情况和节点点上安装的应应用系统软件件情况等。e) 描述被测测系统对上述描述内容容进行整理，确确定被测系统统并加以描述述。描述被测测系统时，一一般以被测系系统的网络拓拓扑结构为基基础，采用总总分式的描述述方法，先说说明整体结构构，然后描述述外部边界连连接情况和边边界主要设备备，最后介绍绍被测系统的的网络区域组组成、主要业业务功能及相相关的设备

23、节节点等。f) 确定测评评对象分析各个作为定定级对象的信信息系统，包包括信息系统统的重要程度度及其相关设设备、组件，在在此基础上，确确定出各测评评对象。g) 描述测评评对象描述测评对象时时，一般针对对每个定级对对象分门别类类加以描述，包包括机房、业业务应用软件件、主机操作作系统、数据据库管理系统统、网络互联联设备及其操操作系统、安安全设备及其其操作系统、访访谈人员及其其安全管理文文档等。在对对每类测评对对象进行描述述时则一般采采用列表的方方式，包括测测评对象所属属区域、设备备名称、用途途、设备信息息等内容。输出/产品品：测评方案案的测评对象象部分。6.2.2 测测评指标确定定根据已经了解到到的

24、被测系统统定级结果，确确定出本次测测评的测评指指标。输入入：填好的调调查表格，GGB/T 222239-2008。任务描述：a) 根据被测测系统调查表表格，得出被被测系统的定定级结果，包包括业务信息息安全保护等等级和系统服服务安全保护护等级，从而而得出被测系系统应采取的的安全保护措措施ASG组组合情况。b) 从GGB/T 222239-2008中中选择相应等等级的安全要要求作为测评评指标，包括括对ASG三三类安全要求求的选择。举举例来说，假假设某信息系系统的定级结结果为：安全全保护等级为为3级，业务务信息安全保保护等级为22级，系统服服务安全保护护等级为3级级；则该系统统的测评指标标将包括GB

25、B/T 222239-22008“技技术要求”中中的3级通用用安全保护类类要求（G33），2级业业务信息安全全类要求（SS2），3级级系统服务保保证类要求（AA3），以及及第3级“管管理要求”中中的所有要求求。c) 对于由多个个不同等级的的信息系统组组成的被测系系统，应分别别确定各个定定级对象的测测评指标。如如果多个定级级对象共用物物理环境或管管理体系，而而且测评指标标不能分开，则则不能分开的的这些测评指指标应采用就就高原则。d) 分别别针对每个定定级对象加以以描述，包括括系统的定级级结果、指标标选择两部分分。其中，指指标选择可以以列表的形式式给出。例如如，一个安全全保护等级和和系统服务安安全

26、保护等级级均为三级、业业务信息安全全保护等级为为2级的定级级对象，测评评指标可以列列出下表：6.2.3 测测试工具接入入点确定在等级测评中，对对二级和二级级以上的信息息系统应进行行工具测试，工工具测试可能能用到漏洞扫扫描器、渗透透测试工具集集、协议分析析仪等测试工工具。输入入：填好的调调查表格，GGB/T DDDDD-DDDDD。任务描述：a) 确定需要要进行工具测测试的测评对对象。b) 选择测试试路径。一般般来说，测试试工具的接入入采取从外到到内，从其他他网络到本地地网段的逐步步逐点接入，即即：测试工具具从被测系统统边界外接入入、在被测系系统内部与测测评对象不同同网段及同一一网段内接入入等几

27、种方式式。c) 根据测试路路径，确定测测试工具的接接入点。从被测系统边界界外接入时，测测试工具一般般接在系统边边界设备（通通常为交换设设备）上。在在该点接入漏漏洞扫描器，扫扫描探测被测测系统的主机机、网络设备备对外暴露的的安全漏洞情情况。在该接接入点接入协协议分析仪，可可以捕获应用用程序的网络络数据包，查查看其安全加加密和完整性性保护情况。在在该接入点使使用渗透测试试工具集，试试图利用被测测试系统的主主机或网络设设备的安全漏漏洞，跨过系系统边界，侵侵入被测系统统主机或网络络设备。从从系统内部与与测评对象不不同网段接入入时，测试工工具一般接在在与被测对象象不在同一网网段的内部核核心交换设备备上。

28、在该点点接入扫描器器，可以直接接扫描测试内内部各主机和和网络设备对对本单位其他他不同网络所所暴露的安全全漏洞情况。在在该接入点接接入网络拓扑扑发现工具，可可以探测信息息系统的网络络拓扑情况。在系统内部与测测评对象同一一网段内接入入时，测试工工具一般接在在与被测对象象在同一网段段的交换设备备上。在该点点接入扫描器器，可以在本本地直接测试试各被测主机机、网络设备备对本地网络络暴露的安全全漏洞情况。一一般来说，该该点扫描探测测出的漏洞数数应该是最多多的，它说明明主机、网络络设备在没有有网络安全保保护措施下的的安全状况。如如果该接入点点所在网段有有大量用户终终端设备，则则可以在该接接入点接入非非法外联

29、检测测设备，测试试各终端设备备是否出现过过非法外联情情况。d) 结合网络络拓扑图，采采用图示的方方式描述测试试工具的接入入点、测试目目的、测试途途径和测试对对象等相关内内容。输出/产品：测测评方案的测测评内容中关关于测评工具具接入点部分分。6.2.4 测测评内容确定定本部分确定现场场测评的具体体实施内容，即即单元测评内内容。输入入：填好的调调查表格，测测评方案的测测评对象、测测评指标及测测评工具接入入点部分。任务描述：a) 确定单元元测评内容依据GB/T DDDD-DDDD，将将前面已经得得到的测评指指标和测评对对象结合起来来，然后再将将测评对象与与具体的测评评方法结合起起来，这也是是编制测评

30、指指导书测评指指导书的第一一步。具体体做法就是把把各层面上的的测评指标结结合到具体测测评对象上，并并说明具体的的测评方法，如如此构成一个个个可以具体体实施测评的的单元。参照照GB/T DDDD-DDDD，结结合已选定的的测评指标和和测评对象，概概要说明现场场单元测评实实施的工作内内容；涉及到到工具测试部部分，应根据据确定的测试试工具接入点点，编制相应应的测试内容容。在测评评方案中，现现场单元测评评实施内容通通常以表格的的形式给出，表表格包括测评评指标、测评评内容描述等等内容。现场场测评实施内内容是项目组组每个成员开开发测评指导导书测评指导导书的基础。现场单元测测评实施内容容表格描述的的基本格式

31、之之一为：6.2.5 测测评指导书开开发测评指导书是具具体指导测评评人员如何进进行测评活动动的文件，是是现场测评的的工具、方法法和操作步骤骤等的详细描描述，是保证证测评活动可可以重现的根根本。因此，测测评指导书应应当尽可能详详尽、充分。输入：测评评方案的测试试工具接入点点、单元测评评实施部分。任务描述：a) 描述单个个测评对象，包包括测评对象象的名称、IIP地址、用用途、管理人人员等信息。b) 根据据GB/T DDDD-DDDD的的单元测评实实施确定测评评活动，包括括测评项、测测评方法、操作步骤和预期期结果等四部部分。测评项是指GBB/T 222239-22008中对对该测评对象象在该用例中中

32、的要求，在在GB/T DDDD-DDDD中中对应每个测测评单元中的的“测评指标标”的具体要要求项。测评评方法是指访访谈、检查和和测试三种方方法，具体到到测评对象上上可细化为文文档审查、配配置检查、工工具测试和实实地察看等多多种方法，每每个测评项可可能对应多个个测评方法。操操作步骤是指指在现场测评评活动中应执执行的命令或或步骤，是按按照GB/TTDDDD-DDDD中中的每个“测测评实施”项项目开发的操操作步骤，涉涉及到工具测测试时，应描描述工具测试试路径及接入入点等；预期期结果是指按按照操作步骤骤在正常的情情况下应得到到的结果和获获取的证据。c) 单元测评评一般以表格格形式设计和和描述测评项项、

33、测评方法法、操作步骤骤和预期结果果等内容。整整体测评则一一般以文字描描述的方式表表述，可以以以测评用例的的方式进行组组织。单元测评的测评评指导书描述述的基本格式式为：输出/产品：测测评指导书，测测评结果记录录表格。6.2.6 测测评方案编制制测评方案是等级级测评工作实实施的基础，指指导等级测评评工作的现场场实施活动。测测评方案应包包括但不局限限于以下内容容：项目概述述、测评对象象、测评指标标、测评工具具的接入点以以及单元测评评实施等。输入：委托托测评协议书书，填好的调调研表格，GGB/T 222239-2008中中相应等级的的基本要求，测测评方案的测测评对象、测测评指标、测测试工具接入入点、测

34、评内内容部分。任务描述：a) 根据委托托测评协议书书和填好的调调研表格，提提取项目来源源、测评委托托单位整体信信息化建设情情况及被测系系统与单位其其他系统之间间的连接情况况等。b) 根据等级级保护过程中中的等级测评评实施要求，将将测评活动所所依据的标准准罗列出来。c) 依据据委托测评协协议书和被测测系统情况，估估算现场测评评工作量。工工作量可以根根据配置检查查的节点数量量和工具测试试的接入点及及测试内容等等情况进行估估算。d) 根据测评评项目组成员员安排，编制制工作安排情情况。e) 根据以往往测评经验以以及被测系统统规模，编制制具体测评计计划，包括现现场工作人员员的分工和时时间安排。在在进行时

35、间计计划安排时，应应尽量避开被被测系统的业业务高峰期，避避免给被测系系统带来影响响。同时，在在测评计划中中应将具体测测评所需条件件以及测评需需要的配合人人员也一并给给出，便于测测评实施之前前双方沟通协协调、合理安安排。f) 汇总上述述内容及方案案编制活动的的其他任务获获取的内容形形成测评方案案文稿。gg) 评审和和提交测评方方案。测评方方案初稿应通通过测评项目目组全体成员员评审，修改改完成后形成成提交稿。然然后，测评机机构将测评方方案提交给测测评委托单位位签字认可。输出/产品：经经过评审和确确认的测评方方案文本。6.3 方案编编制活动的输输出文档方案编制活动的的输出文档及及其内容如表表5所示：

36、6.4 方案编编制活动中双双方的职责测评机构职责：a) 详细分析析被测系统的的整体结构、边边界、网络区区域、重要节节点等。bb) 初步判判断被测系统统的安全薄弱弱点。c) 分析确定定测评对象、测测评指标和测测试工具接入入点，确定测测评内容及方方法。d) 编制测评评方案文本，并并对其内部评评审，并提交交被测机构签签字确认。测评委托单位职职责：a) 对测评方方案进行认可可，并签字确确认。7 现场测评活活动7.1 现场测测评活动的工工作流程现场测评活动通通过与测评委委托单位进行行沟通和协调调，为现场测测评的顺利开开展打下良好好基础，然后后依据测评方方案实施现场场测评工作，将将测评方案和和测评工具等等

37、具体落实到到现场测评活活动中。现场场测评工作应应取得分析与与报告编制活活动所需的、足足够的证据和和资料。现现场测评活动动包括现场测测评准备、现现场测评和结结果记录、结结果确认和资资料归还三项项主要任务。这这三项任务的的基本工作流流程见图3：7.2 现场测测评活动的主主要任务7.2.1 现现场测评准备备本任务启动现场场测评，是保保证测评机构构能够顺利实实施测评的前前提。输入入：现场测评评授权书，测测评方案。任务描述：a) 测评委托托单位签署现现场测评授权权书。b) 召开测评评现场首次会会，测评机构构介绍测评工工作，交流测测评信息，进进一步明确测测评计划和方方案中的内容容，说明测评评过程中具体体的

38、实施工作作内容，测评评时间安排等等，以便于后后面的测评工工作开展。c) 测评评双方确认现现场测评需要要的各种资源源，包括测评评委托单位的的配合人员和和需要提供的的测评条件等等，确认被测测系统已备份份过系统及数数据。d) 测评人员员根据会议沟沟通结果，对对测评结果记记录表单和测测评程序进行行必要的更新新。输出/产品：会会议记录，更更新后的测评评计划和测评评程序，确认认的测评授权权书等。7.2.2 现现场测评和结结果记录现场测评一般包包括访谈、文文档审查、配配置检查、工工具测试和实实地察看五个个方面。7.2.2.11 访谈输入：测评指导导书，技术安安全和管理安安全测评的测测评结果记录录表格。任任务

39、描述：a) 测评人员员与被测系统统有关人员（个个人/群体）进进行交流、讨讨论等活动，获获取相关证据据，了解有关关信息。在访访谈范围上，不不同等级信息息系统在测评评时有不同的的要求，一般般应基本覆盖盖所有的安全全相关人员类类型，在数量量上可以抽样样。具体可参参照GB/TT DDDDD-DDDDD中的各级要要求。输出/产品：技技术安全和管管理安全测评评的测评结果果记录或录音音。7.2.2.22 文档审查查输入：安全方针针文件，安全全管理制度，安安全管理的执执行过程文档档，系统设计计方案，网络络设备的技术术资料，系统统和产品的实实际配置说明明，系统的各各种运行记录录文档，机房房建设相关资资料，机房出

40、出入记录等过过程记录文档档，测评指导导书，管理安安全测评的测测评结果记录录表格。任任务描述：a) 检查GBB/T 222239-22008中规规定的必须具具有的制度、策策略、操作规规程等文档是是否齐备。b) 检查查是否有完整整的制度执行行情况记录，如如机房出入登登记记录、电电子记录、高高等级系统的的关键设备的的使用登记记记录等。cc) 对上述述文档进行审审核与分析，检检查他们的完完整性和这些些文件之间的的内部一致性性。下面列出对不同同等级信息系系统在测评实实施时的不同同强度要求。一级：满足足GB/T 222399-20088中的一级要要求。二级级：满足GBB/T 222239-22008中的的

41、二级要求，并并且所有文档档之间应保持持一致性，要要求有执行过过程记录的，过过程记录文档档的记录内容容应与相应的的管理制度和和文档保持一一致，与实际际情况保持一一致。三级级：满足GBB/T 222239-22008中的的三级要求，所所有文档应具具备且完整，并并且所有文档档之间应保持持一致性，要要求有执行过过程记录的，过过程记录文档档的记录内容容应与相应的的管理制度和和文档保持一一致，与实际际情况保持一一致，安全管管理过程应与与系统设计方方案保持一致致且能够有效效管理系统。四级：满足足GB/T 222399-20088中的四级要要求，所有文文档应具备且且完整，并且且所有文档之之间应保持一一致性，要

42、求求有执行过程程记录的，过过程记录文档档的记录内容容应与相应的的管理制度和和文档保持一一致，与实际际情况保持一一致，安全管管理过程应与与系统设计方方案保持一致致且能够有效效管理系统。输出/产品品：管理安全全测评的测评评结果记录。7.2.2.33 配置检查查输入：测评指导导书，技术安安全测评的网网络、主机、应应用测评结果果记录表格。任务描述：a) 根据测评评结果记录表表格内容，利利用上机验证证的方式检查查应用系统、主主机系统、数数据库系统以以及网络设备备的配置是否否正确，是否否与文档、相相关设备和部部件保持一致致，对文档审审核的内容进进行核实（包包括日志审计计等）。b) 如果系统统在输入无效效命

43、令时不能能完成其功能能，将要对其其进行错误测测试。c) 针对网络络连接，应对对连接规则进进行验证。下面列出对不同同等级信息系系统在测评实实施时的不同同强度要求。一级：满足足GB/T 222399-20088中的一级要要求。二级级：满足GBB/T 222239-22008中的的二级要求，测测评其实施的的正确性和有有效性，检查查配置的完整整性，测试网网络连接规则则的一致性。三级：满足足GB/T 222399-20088中的三级要要求，测评其其实施的正确确性和有效性性，检查配置置的完整性，测测试网络连接接规则的一致致性，测试系系统是否达到到可用性和可可靠性的要求求。四级：满足GB/T 222239-

44、20008中的四四级要求，测测评其实施的的正确性和有有效性，检查查配置的完整整性，测试网网络连接规则则的一致性，测测试系统是否否达到可用性性和可靠性的的要求。输输出/产品：技术安全测测评的网络、主主机、应用测测评结果记录录。7.2.2.44 工具测试试输入：测评指导导书，技术安安全测评的网网络、主机、应应用测评结果果记录表格。任务描述：a) 根据测评评指导书，利利用技术工具具对系统进行行测试，包括括基于网络探探测和基于主主机审计的漏漏洞扫描、渗渗透性测试、性性能测试、入入侵检测和协协议分析等。b) 备份份测试结果。下面列出对不同同等级信息系系统在测评实实施时的不同同强度要求。一级：满足GBB/

45、T 222239-22008中的的一级要求。二级：满足足GB/T 222399-20088中的二级要要求，针对主主机、服务器器、关键网络络设备、安全全设备等设备备进行漏洞扫扫描等。三三级：满足GGB/T 222239-2008中中的三级要求求，针对主机机、服务器、网网络设备、安安全设备等设设备进行漏洞洞扫描，针对对应用系统完完整性和保密密性要求进行行协议分析，渗渗透测试应包包括基于一般般脆弱性的内内部和外部渗渗透攻击。四级：满足足GB/T 222399-20088中的四级要要求，针对主主机、服务器器、网络设备备、安全设备备等设备进行行漏洞扫描，针针对应用系统统完整性和保保密性要求进进行协议分析

46、析，渗透测试试应包括基于于一般脆弱性性的内部和外外部渗透攻击击。输出/产品：技术术安全测评的的网络、主机机、应用测评评结果记录，工工具测试完成成后的电子输输出记录，备备份的测试结结果文件。7.2.2.55 实地察看看输入：测评指导导书，技术安安全测评的物物理安全和管管理安全测评评结果记录表表格。任务务描述：a) 根据被测测系统的实际际情况，测评评人员到系统统运行现场通通过实地的观观察人员行为为、技术设施施和物理环境境状况判断人人员的安全意意识、业务操操作、管理程程序和系统物物理环境等方方面的安全情情况，测评其其是否达到了了相应等级的的安全要求。下面列出对不同同等级信息系系统在测评实实施时的不同

47、同强度要求。一级：满足足GB/T 222399-20088中的一级要要求。二级级：满足GBB/T 222239-22008中的的二级要求。三级：满足足GB/T 222399-20088中的三级要要求，判断实实地观察到的的情况与制度度和文档中说说明的情况是是否一致，检检查相关设备备、设施的有有效性和位置置的正确性，与与系统设计方方案的一致性性。四级：满足GB/T 222239-20008中的四四级要求，判判断实地观察察到的情况与与制度和文档档中说明的情情况是否一致致，检查相关关设备、设施施的有效性和和位置的正确确性，与系统统设计方案的的一致性。输出/产品品：技术安全全测评的物理理安全和管理理安全测评结结果记录。7.2.3 结结果确认和资资料归还输入