六、等級保護測評

等級保護測評過程分析與編制報告活動現(xiàn)場測評活動方案編制活動測評準(zhǔn)備活動等級評測的概述主要內(nèi)容等級保護概述測評的作用測評的執(zhí)行主體等級測評風(fēng)險等級測評過程測評的作用檢測評估信息系統(tǒng)安全等級保護狀況根據(jù)評測結(jié)論進行整改，是信息系統(tǒng)符合相應(yīng)等級的保護能力。落實信息安全等級保護制度。等級測評的執(zhí)行主體中華人民共和國境內(nèi)注冊，中國公民投資、中國法人投資或者國家投資的企事業(yè)單位。從事相關(guān)檢測評估工作兩年以上，無違法記錄。工作人員及法人應(yīng)符合相關(guān)的規(guī)定。使用的技術(shù)裝備、設(shè)施應(yīng)當(dāng)符合《信息安全等級保護管理辦法》（公通字[2007]43號）對信息安全產(chǎn)品的要求。具備相應(yīng)的安全管理制度。對國家安全、社會秩序、公共利益不構(gòu)成威脅。測評主體應(yīng)當(dāng)履行的義務(wù)：遵守國家有關(guān)法律法規(guī)和技術(shù)標(biāo)準(zhǔn)，提供安全、客觀、公正的檢測評估服務(wù)，保證測評的質(zhì)量和效果。保守在測評活動中知悉的國家秘密、商業(yè)秘密和個人隱私，防范測評風(fēng)險。對測評人員進行安全保密教育，與其簽訂安全保密責(zé)任書，規(guī)定應(yīng)當(dāng)履行的安全保密義務(wù)和承擔(dān)的法律責(zé)任，并負(fù)責(zé)檢查落實。等級測評風(fēng)險驗證測試影響系統(tǒng)正常運行。工具測試影響系統(tǒng)正常運行。敏感信息的泄露。等級測評過程測評準(zhǔn)備活動方案編制活動現(xiàn)場測評活動分析與報告編制活動分析與編制報告活動現(xiàn)場測評活動方案編制活動測評準(zhǔn)備活動等級評測的概述測評準(zhǔn)備活動目標(biāo)：

順利啟動測評項目，準(zhǔn)備測評所需的相關(guān)資料，為順利編制測評方案打下良好的基礎(chǔ)?；玖鞒痰燃墱y評項目啟動信息收集和分析工具和表單準(zhǔn)備測評準(zhǔn)備活動項目啟動根據(jù)委托協(xié)議書與系統(tǒng)規(guī)模，組建項目組，并編制項目計劃書。要求評測委托單位提供基本資料。測評準(zhǔn)備活動信息收集和分析收集等級測評需要的各種資料。提交調(diào)查表格，并督促相關(guān)人員準(zhǔn)確填寫。回收調(diào)查表格，分析調(diào)查結(jié)果，了解和熟悉被測系統(tǒng)的實際情況?，F(xiàn)場調(diào)查，并與系統(tǒng)相關(guān)人員溝通，完善調(diào)查結(jié)果。測評準(zhǔn)備活動工具和表單的準(zhǔn)備測評人員調(diào)試本次測評將用到的工具。包括漏洞掃描，滲透性測試工具，性能測試工具和協(xié)議分析工具。測評人員模擬被測系統(tǒng)搭建測評環(huán)境。準(zhǔn)備和打印表單。主要包括：現(xiàn)場測評授權(quán)書、文檔交接單、會議記錄單、會議簽到表單。測評準(zhǔn)備活動測評準(zhǔn)備活動的輸出文檔任務(wù)輸出文檔文檔內(nèi)容項目啟動項目計劃書項目概述、工作依據(jù)、技術(shù)思路、工作內(nèi)容和項目組織等

信息收集和分析

填好的調(diào)查表格被測系統(tǒng)的安全保護等級、業(yè)務(wù)情況、數(shù)據(jù)情況、軟硬件情況、管理模式和相關(guān)部門及角色等

工具和表單的準(zhǔn)備選用的測評工具清單打印的各類表單；現(xiàn)場測評授權(quán)書、文檔交接單、會議記錄表單、會議簽到表單現(xiàn)場測評授權(quán)、交接的文檔名稱、會議記錄項目、會議簽到項目 測評準(zhǔn)備活動等級測評活動雙方的職責(zé)測評機構(gòu)的職責(zé)測評委托單位的職責(zé)測評機構(gòu)職責(zé)組建等級測評項目組指出測評委托單位應(yīng)提供的基本資料準(zhǔn)備被測系統(tǒng)基本情況調(diào)查表格，并提交給測評委托單位向測評委托單位介紹安全測評工作流程和方法向測評委托單位說明測評工作可能帶來的風(fēng)險和規(guī)避方法了解測評委托單位的信息化建設(shè)狀況與發(fā)展，以及被測系統(tǒng)的基本情況初步分析系統(tǒng)的安全情況準(zhǔn)備測評工具和文檔測評委托單位向測評機構(gòu)介紹本單位的信息化建設(shè)狀況與發(fā)展情況準(zhǔn)備測評機構(gòu)需要的資料為測評人員的信息收集提供支持和協(xié)調(diào)準(zhǔn)確填寫調(diào)查表格根據(jù)被測系統(tǒng)的具體情況，如業(yè)務(wù)運行高峰期、網(wǎng)絡(luò)布置情況等，為測評時間安排提供適宜的建議制定應(yīng)急預(yù)案分析與編制報告活動現(xiàn)場測評活動方案編制活動測評準(zhǔn)備活動等級評測的概述方案編制活動目標(biāo)：

整理測評準(zhǔn)備活動中獲取的信息系統(tǒng)相關(guān)資料，為現(xiàn)場測評活動提供最基本的文檔和指導(dǎo)方案?；玖鞒虦y評對象確定測評指標(biāo)確定測評工具接入點確定測評內(nèi)容確定測評指導(dǎo)書開發(fā)測評方案編制方案編制活動測評對象確定識別并描述被測系統(tǒng)的整體結(jié)構(gòu)識別并描述被測系統(tǒng)的邊界識別并描述被測系統(tǒng)的網(wǎng)絡(luò)區(qū)域識別并描述被測系統(tǒng)的重要節(jié)點描述被測系統(tǒng)確定測評對象描述測評對象方案編制活動測評指標(biāo)確定根據(jù)被測系統(tǒng)定級結(jié)果，確定應(yīng)采取的安全保護措施的ASG組合情況從GB/T2239-2008中選擇相應(yīng)等級的安全要求作為指標(biāo)，包括對ASG三類安全要求的選擇依據(jù)信息系統(tǒng)的組成情況，確定各個定級對象的測評指標(biāo)分別針對每個定級對象加以描述，包括系統(tǒng)的定級結(jié)果、指標(biāo)選擇兩部分。方案編制活動測評工具接入點確定確定需要進行工具測試的測評對象選擇測試路徑根據(jù)測試路徑，確定測試工具接入點結(jié)合網(wǎng)拓?fù)鋱D，采用圖示的方式描述測試工具的接入點、測試目的、測試用途和測試對象等相關(guān)內(nèi)容方案編制活動測評內(nèi)容確定確定單元測評內(nèi)容以表格形式給出序號測評指標(biāo)測評內(nèi)容描述1測評指標(biāo)1測評對象、測評方法、測評實施概述2測評指標(biāo)23測評指標(biāo)3……......方案編制活動測評指導(dǎo)書開發(fā)描述單個測評對象，包括測評對象的名稱、IP地址、用途、管理人員信息等。根據(jù)GB/TDDDD-DDDD的單元測評實施確定測評活動，包括測評項、測評方法、操作步驟和預(yù)期結(jié)果等四部分。單元測評與整體測評序號測評指標(biāo)操作步驟預(yù)期結(jié)果1測評指標(biāo)1測評項a1.…………2測評項b2.…………3測評項c…………4……......……5測評指標(biāo)2測評項a…………6……......……7…………......……方案編制活動測評方案編制提取項目來源、測評委托單位整體信息化的建設(shè)情況及被測系統(tǒng)與單位其他系統(tǒng)之間的連接情況。根據(jù)測評實施要求，羅列所依據(jù)的標(biāo)準(zhǔn)。估算現(xiàn)場工作量編制工作安排編制具體測評計劃匯總并形成測評方案文稿評審和提交測評方案方案編制活動方案編制活動的輸出文檔任務(wù)輸出文檔文檔內(nèi)容測評對象確定測評方案的測評對象部分被測系統(tǒng)的整體結(jié)構(gòu)、邊界、網(wǎng)絡(luò)區(qū)域、重要環(huán)節(jié)、測評對象等測評指標(biāo)確定測評方案的測評指標(biāo)部分被測系統(tǒng)的定級結(jié)果、測評指標(biāo)測評工具接入點確定測評方案的工具接入點部分測試工具接入點及測試方法測評內(nèi)容確定測評方案的單元測評實施部分單元測評實施內(nèi)容測評指導(dǎo)書開發(fā)測評指導(dǎo)書各測評對象的測評內(nèi)容及方法測評方案編制測評方案文本項目概述、測評對象、測評指標(biāo)、測試工具接入點、單元測評實施內(nèi)容方案編制活動方案編制活動中雙方職責(zé)測評機構(gòu)職責(zé)測評委托單位職責(zé)測評機構(gòu)職責(zé)1詳細(xì)分析被測系統(tǒng)的整體結(jié)構(gòu)、邊界、網(wǎng)絡(luò)區(qū)域、重要節(jié)點等。2初步判定被測系統(tǒng)的安全薄弱點。3分析確定測評對象、測評指標(biāo)和測試工具接入點，確定測評內(nèi)容及方法。4編制測評方案文本，并對其內(nèi)部評審，并提交被測機構(gòu)簽字確認(rèn)。測評委托單位職責(zé)1對測評方案進行認(rèn)可，并簽字確認(rèn)、分析與編制報告活動現(xiàn)場測評活動方案編制活動測評準(zhǔn)備活動等級評測的概述現(xiàn)場測評活動目標(biāo)：

取得分析與報告編制活動所需的、足夠的證據(jù)和資料?；玖鞒态F(xiàn)場測評準(zhǔn)備現(xiàn)場測評和結(jié)構(gòu)記錄結(jié)果確認(rèn)和資料歸還現(xiàn)場測評活動現(xiàn)場測評準(zhǔn)備測評委托單位簽署現(xiàn)場測評授權(quán)書。測評機構(gòu)在首次會上說明具體實施內(nèi)容及時間安排。雙方確認(rèn)需要的資源，以及確認(rèn)備份過重要的數(shù)據(jù)。測評人員根據(jù)會議溝通結(jié)果，對測評結(jié)果記錄表單和測評程序進行必要的更新。現(xiàn)場測評活動現(xiàn)場測評和結(jié)果記錄

現(xiàn)場測評結(jié)果一般包括：訪談文檔審查配置檢查工具測試實地查看a測評人員與被測系統(tǒng)有關(guān)人員（個人/群體）進行交流、討論等活動，獲取相關(guān)證據(jù)，了解有關(guān)信息。在訪談范圍上，不同等級信息系統(tǒng)在測評時有不同的要求，一般應(yīng)基本覆蓋所有的安全相關(guān)人員類型，在數(shù)量上可以抽樣a檢查GB/T22239-2008中規(guī)定的必須具有的制度、策略、操作規(guī)程等文檔是否齊備。b檢查是否有完整的制度執(zhí)行情況記錄，如機房出入登記記錄、電子記錄、高等級系統(tǒng)的關(guān)鍵設(shè)備的使用登記記錄等。c對上述文檔進行審核與分析，檢查他們的完整性和這些文件之間的內(nèi)部一致性。a根據(jù)測評結(jié)果記錄表格內(nèi)容，利用上機驗證的方式檢查應(yīng)用系統(tǒng)、主機系統(tǒng)、數(shù)據(jù)庫系統(tǒng)以及網(wǎng)絡(luò)設(shè)備的配置是否正確，是否與文檔、相關(guān)設(shè)備和部件保持一致，對文檔審核的內(nèi)容進行核實（包括日志審計等）。b如果系統(tǒng)在輸入無效命令時不能完成其功能，將要對其進行錯誤測試。c針對網(wǎng)絡(luò)連接，應(yīng)對連接規(guī)則進行驗證。a根據(jù)測評指導(dǎo)書，利用技術(shù)工具對系統(tǒng)進行測試，包括基于網(wǎng)絡(luò)探測和基于主機審計的漏洞掃描、滲透性測試、性能測試、入侵檢測和協(xié)議分析等。b備份測試結(jié)果。a根據(jù)被測系統(tǒng)的實際情況，測評人員到系統(tǒng)運行現(xiàn)場通過實地的觀察人員行為、技術(shù)設(shè)施和物理環(huán)境狀況判斷人員的安全意識、業(yè)務(wù)操作、管理程序和系統(tǒng)物理環(huán)境等方面的安全情況，測評其是否達到了相應(yīng)等級的安全要求。現(xiàn)場測評活動結(jié)果確認(rèn)和資料歸還匯總現(xiàn)場測評的測評記錄，補充測評遺漏和需進一步驗證的內(nèi)容。召開測評結(jié)束會，雙方確認(rèn)測評過程中發(fā)現(xiàn)的問題。測評機構(gòu)歸還借閱的素有文檔資料，由委托單位資料提供者簽字確認(rèn)。現(xiàn)場測評活動現(xiàn)場測評的輸出文檔任務(wù)輸出文檔文檔內(nèi)容現(xiàn)場測評準(zhǔn)備會議記錄、確認(rèn)的測評授權(quán)書、更新后的測評計劃和測評程序工作計劃和內(nèi)容安排，雙方人員的協(xié)調(diào)，測評委托單位應(yīng)提供的配合訪談技術(shù)安全和管理安全測評的測評結(jié)果記錄或錄音訪談記錄文檔審查管理安全測評的測評結(jié)果記錄管理制度和管理執(zhí)行過程文檔的記錄配置檢查技術(shù)安全測評的網(wǎng)絡(luò)、主機、應(yīng)用測評結(jié)果記錄檢查內(nèi)容的記錄工具測試技術(shù)安全測評的網(wǎng)絡(luò)、主機、應(yīng)用測評結(jié)果記錄，工具測試完成后的電子輸出記錄，備份的測試結(jié)果文件漏洞掃描、滲透性測試、性能測試、入侵檢測和協(xié)議分析等內(nèi)容的技術(shù)測試結(jié)果實地查看技術(shù)安全測評的物理安全和管理安全測評結(jié)果記錄檢查內(nèi)容的記錄測評結(jié)果確認(rèn)現(xiàn)場核查中發(fā)現(xiàn)的問題匯總、證據(jù)和證據(jù)源記錄、測評委托單位的書面認(rèn)可文件測評活動中發(fā)現(xiàn)的問題、問題的證據(jù)和證據(jù)源、每項檢查活動中測評委托單位配合人員的書面認(rèn)可現(xiàn)場測評活動測評活動中雙方的職責(zé)測評機構(gòu)的職責(zé)測評委托單位的職責(zé)測評機構(gòu)a利用訪談、文檔審查、配置檢查、工具測試和實地察看的方法測評被測系統(tǒng)的保護措施情況，并獲取相關(guān)證據(jù)。測評委托單位a測評前備份系統(tǒng)和數(shù)據(jù)，并確認(rèn)被測設(shè)備狀態(tài)完好b協(xié)調(diào)被測系統(tǒng)內(nèi)部相關(guān)人員的關(guān)系，配合測評工作的開展c簽署現(xiàn)場測評授權(quán)書d相關(guān)人員回答測評人員的問詢，對某些需要驗證的內(nèi)容上機進行操作e相關(guān)人員確認(rèn)測試前協(xié)助測評人員實施工具測試并提供有效建議，降低安全測評對系統(tǒng)運行的影響f相關(guān)人員協(xié)助測評人員完成業(yè)務(wù)相關(guān)內(nèi)容的問詢、驗證和測試g相關(guān)人員對測評結(jié)果進行確認(rèn)h相關(guān)人員確認(rèn)測試后被測設(shè)備狀態(tài)完好分析與編制報告活動現(xiàn)場測評活動方案編制活動測評準(zhǔn)備活動等級評測的概述分析與編制報告活動目標(biāo)：

匯總分析測評證據(jù)，形成等級測評結(jié)論，并編制測評報告。基本流程單項測評結(jié)果判定單元測評結(jié)果判定整體測評風(fēng)險分析等級測評結(jié)論形成測評報告編制分析與編制報告活動單項測評結(jié)果判定針對每個測評項，確定去是否為適用項。選出優(yōu)勢證據(jù)，并將其與要求內(nèi)容的預(yù)期結(jié)果相比較。確認(rèn)符合項、不符合項及部分符合項。分析與編制報告活動單元測評結(jié)果判定

按層面分別匯總不同測評對象對應(yīng)測評指標(biāo)的單項測評結(jié)果情況，包括測評多少項，符合要求的多少項等內(nèi)容，一般以表格形式列出。序號測評對象測評指標(biāo)測評指標(biāo)1測評指標(biāo)2測評指標(biāo)3……1對象1（或×或或N/A）符合項數(shù)/在對象1上測評的測評指標(biāo)1包含的測評項總數(shù)2對象23對象3…………小計符合項數(shù)/在上述對象上測評的測評指標(biāo)1包含的測評項總數(shù)注：“”表示“符合”，“”表示部分符合，“×”表示“不符合”，“N/A”表示“不適用”。分析與編制報告活動整體測評針對“部分符合”及“不符合”項，分析與之相關(guān)的其他測評項的聯(lián)系。針對“部分符合”及“不符合”項，分析與之關(guān)聯(lián)的其他層面的測評對象的聯(lián)系。針對“部分符合”及“不符合”項，分析與之關(guān)聯(lián)的其他區(qū)域的測評對象的聯(lián)系。從安全角度分析被測系統(tǒng)整體結(jié)構(gòu)的安全性，從系統(tǒng)角度分析被測系統(tǒng)整體安全防范的合理性。序號安全控制測評對象單項判定不符合項能否進行關(guān)聯(lián)互補說明1測評指標(biāo)1對象1對象2……2測評指標(biāo)1對象1……………………項目小計分析與編制報告活動風(fēng)險分析結(jié)合單元與整體測評結(jié)果，將五個技術(shù)層面再次匯總分析判斷所產(chǎn)生的安全問題被威脅和利用的可能性。判斷被測系統(tǒng)的業(yè)務(wù)信息安全和系統(tǒng)服務(wù)安全影響程度綜合b和c的結(jié)果，對系統(tǒng)面臨的安全風(fēng)險進行賦值。結(jié)和被測系統(tǒng)的安全保護等級對風(fēng)險分析結(jié)果進行評價。分析與編制報告活動等級測評結(jié)論形成根據(jù)測評結(jié)果匯總表格，查看“不符合”項與“部分符合”的數(shù)量，判斷系統(tǒng)是否達到相應(yīng)等級安全保護能力。分析與編制報告活動測評報告編制測評人員整理前面幾項任務(wù)的輸出/產(chǎn)品，編制測評報告相應(yīng)部分。針對被測系統(tǒng)存在的安全隱患，提出整改建議，并編制測評報告的安全建設(shè)整改建議部分。根據(jù)現(xiàn)場測評的文檔和記錄清單，編制測評報告的單元測評的結(jié)果記錄和問題分析部分。評審測評報告。評審?fù)ㄟ^后，由項目負(fù)責(zé)人簽字確認(rèn)并提交給測評委托單位。分析與編制報告活動分析與報告編制活動的輸出文檔任務(wù)輸出文檔文檔內(nèi)容單項測評結(jié)果判定等級測評報告的單元測評的結(jié)果記錄部分分析被測系統(tǒng)的安全現(xiàn)狀（各個層面的基本安全狀況）與標(biāo)準(zhǔn)中相應(yīng)等級的基本要求的符合情況，給出單項測評結(jié)果。單項測評結(jié)果匯總分