国标28449 2018 测评过程指南

等级测评工作概述

概念

等级测评是指，测评机构依据国家信息安全等级保护度规定，按照有关管见范和技术标准，对未涉及国家秘密的等级保护对象的安全等级保护状况进行检测评估的活动。

与22239《基本要求》的关系

1. 《测评要求》 针对 《基本要求》 中各要求顶给出了具体测评对象、测评实施的主要活动判定准则等。以此为基础，评定定级对象的安全保护能力是否符合相应等级的《基本要求》。
2. 《测评过程指南》规定了开展等级测评工作的基本过程、流程、 任务及工作产品等，规范测评机构的等级测评工作，并对如何使用《测评要求》提出指导建议。
3. 一者共同指导等级测评工作 。

等级保护工作的对象

等级保护对象

基础网络设施、信息系统、工业控制系统、云计算平台、物联网、使用移动互联技术的信息系统、大数据平台、大数据等。

定级对象

具有单一等级的等级保护对象，是等级测评的执行对象。

测评对象

测评活动作用的对象。

测评方法

访谈

测评人员通过引导相关人员进行有目的的（有针对性的）交流以帮助测评人员理解，澄清或取得证据的过程。

核查

测评人员通过对测评对象（ 如制度文档、各类设备及相关安全配置等）进行观察、查验和分析，以帮助测评人员理解、澄清或取得证据的过程。

1. 安全文档：审核安全策略、机房巡检例程；分析软件需求和详细设计
2. 安全功能：核查、观察安全部件/功能的运行
3. 安全行为：观察备份恢复操作或应急演练等

测试

测评人员使用顶定的方法、工具使测评对象（各类设番或安全配置）产生特定的结果，将还行结果与顸期的结果迸行比对的过程。

1. 漏洞扫描
2. 渗透测试
3. 通信抓包分析
4. 等等

等级测评强度

测评方法

1. 安全技术方法的测评方法以配置核查和测试验证为主，几乎没有访谈。
2. 安全管理方面可以使用访谈方法进行测评。

设备范围

1. 第一级和第二级测评对象范围为关键设备。
2. 第三级测评对象范围为主要设备，第四级测评对象范围所有设备。

测评实施

1. 第一级和第二级主要以核查机制为主，访谈问題简要、充分，以通用和高级问为主。
2. 第三级和第四级不但核查机制，还要进行测试证，测评策略有效性；访谈问较全面、全面，增加详细、有难度和探索性的问题。

等级测评实施工作

测评流程

测评准备活动

1. 等级测评项目启动
2. 信息收集与分析
3. 工具和表单准备

方案编制活动

1. 测评对象确定；测评指标确定
2. 测评内容确定
3. 工具测试方法确定
4. 测评指导书开发
5. 测评方案编制

现场测评活动

1. 测评实施准备
2. 现场测评和结果记录
3. 结果确认和资料归还

报告编制活动

1. 单项测评结果判定
2. 单元测评结果判定
3. 整体测评
4. 系统安全保障评估
5. 安全问题风险分析
6. 等级测评结论形成
7. 测评报告编制