下载文档原格式
信息系统安全等级保护测评服务方案（一）建设背景随着医院信息化的快速发展，网络资产正逐渐成为医院日常运营、管理的重要工具和支撑，各种互联网应用如网上挂号、门诊、电子病历等系统越来越多，Web服务器、存储设备、网络设备、安全设备越来越复杂，带给管理员的资产管理工作也愈发困难，久而久之，日积月累，产生大量的无主资产、僵尸资产，并且这些资产长时间无人维护导致存在大量的漏洞及配置违规，为医院信息系统安全带来极大的隐患。
为贯彻落实国家信息安全等级保护制度，进一步完善医院信息系统安全管理体系和技术防护体系,增强信息安全保护意识,明确信息安全保障重点,落实信息安全责任,切实提高医院系统信息安全防护能力,同时加强对医院信息系统安全的指导和检查工作，特拟请独立、专业的第三方测评机构对医院信息系统进行等级保护测评服务。
（二）项目依据服务单位应依据国家信息系统安全等级保护相关标准开展工作，依据标准（包括但不限于）如下国家标准：1.GB/T 22239-2019：《信息安全技术网络安全等级保护基本要求》2.GB/T 22240-2020 《信息安全技术网络安全等级保护定级指南》3.GB/T 28448-2019：《信息安全技术网络安全等级保护测评要求》4.GB/T 28449-2018：《信息安全技术网络安全等级保护测评过程指南》5.GB/T 25058-2019 《信息安全技术网络安全等级保护实施指南》（三）项目建设必要性《信息安全等级保护管理办法》规定，国家信息安全等级保护坚持自主定级、自主保护的原则。
信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。
（四）项目原则本次信息系统等级保护测评实施方案设计与具体实施应满足以下原则：1.保密原则：对测评的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害采购人的行为，否则采购人有权追究服务单位的责任。
等级保护测评工作方案一、项目背景随着信息化时代的到来，网络安全问题日益突出，我国政府高度重视网络安全工作，明确规定了对重要信息系统实施等级保护制度。
本次等级保护测评工作旨在确保我国某重要信息系统安全稳定运行，提高系统安全防护能力。
二、测评目的1.评估系统当前安全状况，发现潜在安全隐患。
2.确定系统安全等级，为后续安全防护措施提供依据。
3.提高系统管理员和用户的安全意识。
三、测评范围本次测评范围包括某重要信息系统的硬件、软件、网络、数据、管理制度等方面。
四、测评方法1.文档审查：收集系统相关文档，包括设计方案、安全策略、操作手册等，审查其是否符合等级保护要求。
2.现场检查：对系统硬件、软件、网络等实体进行检查，验证其安全性能。
3.问卷调查：针对系统管理员和用户，了解他们对系统安全的认知和操作习惯。
4.实验室测试：利用专业工具对系统进行渗透测试，发现安全漏洞。
五、测评流程1.测评准备：成立测评小组，明确测评任务、人员分工、时间安排等。
2.文档审查：收集并审查系统相关文档。
3.现场检查：对系统实体进行检查。
4.问卷调查：开展问卷调查，收集系统管理员和用户意见。
5.实验室测试：进行渗透测试，发现安全漏洞。
6.数据分析：整理测评数据，分析系统安全状况。
六、测评结果处理1.对测评中发现的安全隐患，制定整改措施，督促系统管理员和用户整改。
2.对测评结果进行通报，提高系统安全防护意识。
3.根据测评结果，调整系统安全策略，提高系统安全等级。
七、测评保障1.人员保障：确保测评小组具备专业能力，保障测评工作的顺利进行。
2.设备保障：提供必要的硬件、软件设备，支持测评工作。
3.时间保障：合理规划测评时间，确保测评工作按时完成。
八、测评风险1.测评过程中可能对系统正常运行产生影响，需提前做好风险评估和应对措施。
2.测评结果可能存在局限性，需结合实际情况进行分析。
本次等级保护测评工作旨在确保我国某重要信息系统安全稳定运行，提高系统安全防护能力。
信息系统二级等级保护测评方案一、概述信息系统的安全等级保护是为了确保信息系统的可靠性、保密性和完整性，保护国家利益和社会公共利益，提供信息系统的一般安全保护要求。
信息系统的等级保护分为四个等级：一级为最高等级，四级为最低等级。
本方案主要针对二级等级保护进行测评，确保信息系统的安全等级符合国家和行业标准。
二、测评目标本方案的测评目标是评估信息系统的安全等级符合二级等级保护的要求，包括但不限于以下方面：1.确保信息系统的可靠性，防止未经授权的访问和篡改。
2.确保信息系统的保密性，防止信息泄露和非法获取。
3.确保信息系统的完整性，防止信息被篡改和破坏。
三、测评内容本方案的测评内容包括但不限于以下方面：1.系统硬件和软件的安全性评估，包括服务器、网络设备、操作系统、数据库等的安全配置和漏洞扫描。
2.系统用户的安全性评估，包括用户身份认证和权限控制的测试。
3.系统数据的安全性评估，包括数据加密、备份和恢复的测试。
4.系统应用的安全性评估，包括应用程序的权限控制、输入验证和安全漏洞测试。
5.系统网络的安全性评估，包括防火墙、入侵检测系统和网络监控设备的测试。
6.系统日志的安全性评估，包括日志的生成、存储和分析的测试。
四、测评方法本方案的测评方法包括但不限于以下几个步骤：1.需求分析：与信息系统管理人员和用户沟通，了解系统的安全等级保护要求和测评目标。
2.测评计划：制定详细的测评计划，包括测评的时间、地点、参与人员和测评的具体内容。
3.测评准备：准备必要的测评工具和设备，包括硬件扫描器、软件漏洞扫描器、网络分析仪等。
4.测评执行：根据测评计划，逐项进行测评，对系统硬件、软件、用户、数据、应用、网络和日志进行测试。
5.测评报告：根据测评结果，编写详细的测评报告，包括系统的安全等级评估、存在的安全风险和建议的安全改进措施。
6.结果评审：与信息系统管理人员和用户进行结果评审，确认测评结果和改进措施，并制定改进计划。
信息系统等级保护测评工作方案一、背景介绍随着信息技术的不断进步和广泛应用，信息系统的安全性问题日益凸显。
为了保障国家信息安全和网络安全，我国制定了信息系统等级保护测评制度。
信息系统等级保护测评工作方案旨在规范测评工作流程、确保测评准确性和可信度。
二、总体目标本测评工作方案的总体目标是评估信息系统的安全性，并按照国家信息系统等级保护测评标准对系统进行等级划分，形成相应的安全测评报告。
具体目标如下：1. 确定信息系统等级保护测评的范围和要求；2. 制定信息系统等级保护测评的工作流程和方法；3. 提供信息系统等级保护测评的技术指导和评估标准；4. 输出符合国家标准的安全测评报告。
三、测评范围和要求1. 测评范围：本测评工作方案适用于所有需要进行信息系统等级保护测评的单位和组织。
2. 测评要求：信息系统等级保护测评需遵循国家相关法律法规和政策，确保测评过程的合法性、准确性和可追溯性。
四、工作流程和方法1. 需求分析：根据测评对象的特点和需求，明确测评目标和评估要求。
2. 测评准备：制定测评计划，明确测评范围、时间、资源等，并组织准备相关测评资料。
3. 测评实施：按照国家信息系统等级保护测评标准，采用合适的测评方法对系统进行评估，包括红蓝对抗、代码审计、安全隐患扫描等。
4. 数据分析：对测评所得的数据进行分析和整理，形成测评报告。
5. 结果评定：根据测评结果和国家相关标准，对系统进行等级划分和评定。
6. 结果输出：输出符合国家标准的安全测评报告，并进行相关备案。
五、技术指导和评估标准为确保测评的科学性和准确性，本测评工作方案提供了相关技术指导和评估标准，包括但不限于以下内容：1. 信息系统安全性评估指南；2. 信息系统等级保护测评技术细则；3. 信息系统安全风险评估方法与实践。
六、安全测评报告1. 测评报告应包含以下内容：测评对象的基本情况、安全问题的分析和评估结果等。
2. 测评报告需按照国家相关标准进行格式化，确保报告的统一和可读性。
等级保护测评方案1. 引言等级保护测评是一种评估系统、网络或应用程序等信息系统的安全性的方法。
该测评方案旨在评估系统的安全性，验证系统的等级保护能力是否达到预期的级别。
本文档将介绍等级保护测评的流程和方法，以及测评结果的报告。
2. 测评流程等级保护测评的流程通常可以分为以下几个步骤：2.1 建立测评目标在开始测评之前，需要明确测评的目标。
这包括确定要评估的系统、网络或应用程序，并明确测评的等级保护级别。
2.2 收集信息在进行测评之前，需要收集与待评估系统相关的信息。
这包括系统架构、技术文档、安全策略和其他相关资料。
2.3 分析系统在收集完相关信息后，需要对待评估系统进行详细的分析。
这包括对系统的架构、安全功能和安全策略进行审查，以确定系统是否符合等级保护的要求。
2.4 进行渗透测试渗透测试是评估系统安全性的重要步骤之一。
通过模拟攻击者的攻击手法和策略，测试系统的弱点和漏洞。
渗透测试可以包括网络扫描、漏洞扫描、密码破解等。
2.5 评估安全控制针对待评估系统的安全控制进行评估，包括访问控制、身份验证、加密算法等。
通过对这些安全控制的评估，确定系统是否具备足够的安全性。
2.6 编写测评报告根据上述步骤的结果，编写测评报告。
报告应包括对系统安全性的评估结果，以及提供改进建议和建议的安全增强措施。
3. 测评方法等级保护测评可以采用多种方法和技术。
以下是常用的几种测评方法：3.1 审查方法审查方法是通过分析系统的设计和文档来评估系统安全性的方法。
这包括对系统架构、安全策略和技术实施细节进行审查，以评估系统的安全性。
3.2 渗透测试方法渗透测试方法是模拟攻击者对系统进行攻击，发现系统的弱点和漏洞的方法。
通过渗透测试可以测试系统的安全性，并发现系统存在的安全风险。
3.3 系统配置审计方法系统配置审计方法是对系统配置进行审计，以发现系统配置上的安全问题。
通过审计系统配置，可以检测系统中存在的不安全配置，并提供安全增强建议。
等保测试实施方案一、背景介绍。
等保测试是指信息系统等级保护的测试工作，是为了验证信息系统所采取的安全防护措施是否符合国家等级保护要求。
随着信息技术的发展和应用，信息系统的安全性问题日益突出，因此等保测试显得尤为重要。
本文档旨在制定一份等保测试实施方案，以确保信息系统的安全性和稳定性。
二、测试目标。
1. 确保信息系统符合国家等级保护要求，保障信息系统的安全性和可靠性。
2. 发现和解决信息系统中存在的安全漏洞和问题，提高信息系统的防护能力。
3. 评估信息系统的风险状况，为信息系统安全管理提供依据和参考。
三、测试内容。
1. 安全漏洞扫描，对信息系统进行全面的漏洞扫描，包括系统漏洞、网络漏洞、应用漏洞等。
2. 安全策略评估，评估信息系统的安全策略和控制措施，包括访问控制、身份认证、数据加密等。
3. 安全审计，对信息系统的安全日志进行审计，追踪和分析系统的安全事件和行为。
4. 安全风险评估，评估信息系统可能存在的安全风险，包括外部攻击、内部威胁、数据泄露等。
四、测试方法。
1. 技术手段，采用专业的安全测试工具和技术手段，如漏洞扫描工具、安全审计工具等。
2. 测试环境，搭建符合国家等级保护要求的测试环境，确保测试的真实性和有效性。
3. 测试流程，按照测试计划和方案，进行系统化、有序的测试工作，确保全面覆盖测试内容。
五、测试结果分析。
1. 安全漏洞扫描结果，对漏洞扫描结果进行分析和整理，确定存在的安全漏洞和风险等级。
2. 安全策略评估结果，评估安全策略的合理性和有效性，提出改进建议和优化方案。
3. 安全审计结果，分析安全审计日志，发现异常行为和安全事件，及时采取应对措施。
4. 安全风险评估结果，评估安全风险的概率和影响，提出风险防范和控制建议。
六、测试报告。
1. 编制测试报告，根据测试结果，编制详细的测试报告，包括测试过程、结果分析、存在问题和改进建议等内容。
2. 提出改进建议，针对测试发现的安全问题和风险，提出改进建议和优化方案，为信息系统安全管理提供参考。
等级保护测评服务方案方案概述：等级保护测评服务是一种为个人或组织提供安全评估和风险管理的服务。
通过对信息系统的评估和测试，可以帮助客户发现潜在的安全漏洞和风险，并提供针对性的改进建议。
本方案将详细介绍等级保护测评服务的流程、方法和收益，并提供具体的操作方案。
一、服务流程：1. 前期准备：与客户确定评估范围和目标，确定测评方式和时间。
2. 信息收集：对目标系统进行调研和信息收集，包括系统架构、配置情况、漏洞信息等。
3. 风险评估：根据信息收集结果，对系统的安全风险进行评估，分析系统的脆弱点和可能的攻击路径。
4. 漏洞扫描：使用现有的漏洞扫描工具对系统进行扫描，发现可能存在的漏洞。
5. 安全测试：根据评估目标和范围，进行安全测试，包括黑盒测试、白盒测试等。
6. 报告编写：整理评估和测试结果，撰写详细的测评报告，包括发现的漏洞和建议的改进措施。
7. 反馈和改进：与客户分享测评结果，提供风险治理和改进建议，共同制定安全改进计划。
二、服务方法：1. 基础测评：对系统进行基本的安全扫描和测试，主要检测常见的安全漏洞，如弱口令、未授权访问、SQL注入等。
2. 高级测评：除了基本的扫描和测试外，还进行更深入的安全测试，如手工渗透测试、社会工程学测试等，以发现更隐蔽的漏洞。
3. 应用测评：针对具体的应用系统进行测试，检测应用程序中可能存在的安全风险，如文件上传漏洞、跨站脚本攻击等。
4. 数据保护测评：对客户的数据存储和传输进行评估，检测数据加密、访问控制等措施的有效性。
5. 网络安全测评：对网络设备和拓扑进行评估，发现网络架构和配置中可能存在的风险。
三、收益和优势：1. 发现潜在的安全威胁和漏洞，减少安全事故的风险。
2. 提供针对性的改进建议和解决方案，帮助客户改进安全防护措施。
3. 增强客户对系统安全的了解和掌控，提升整体的安全意识和能力。
4. 提供全面的安全评估，包括系统、应用、网络和数据等多个方面。
5. 依据国内外安全标准和最佳实践进行评估，保证评估结果的可信度和权威性。
等级保护测评实施方案一、背景介绍等级保护测评是指对特定等级的信息系统进行安全测评，以评估其安全性和合规性。
在当前信息化时代，各种信息系统扮演着重要角色，而信息系统的安全性和合规性则直接关系到国家安全和个人利益。
因此，制定并实施等级保护测评实施方案显得尤为重要。
二、测评对象等级保护测评的对象主要包括政府部门、金融机构、电信运营商、互联网企业等拥有大量敏感信息的组织和单位。
这些信息系统往往涉及国家秘密、个人隐私、财务数据等重要信息，因此需要进行等级保护测评，以确保其安全性和合规性。
三、测评内容等级保护测评主要包括以下内容：1. 安全性评估：对信息系统的安全性进行全面评估，包括网络安全、数据安全、系统安全等方面。
2. 合规性评估：评估信息系统是否符合相关法律法规和标准要求，包括信息安全法、网络安全法等。
3. 风险评估：评估信息系统面临的安全风险和合规风险，为后续安全措施的制定提供依据。
四、测评流程等级保护测评的流程主要包括以下几个阶段：1. 准备阶段：确定测评范围和目标，制定测评计划和方案。
2. 信息收集：收集信息系统的相关资料和数据，包括系统架构、安全策略、安全事件记录等。
3. 风险评估：对信息系统的风险进行评估，包括安全漏洞、合规缺陷等。
4. 安全性评估：对信息系统的安全性进行评估，包括漏洞扫描、安全配置检查等。
5. 合规性评估：评估信息系统是否符合相关法律法规和标准要求。
6. 结果汇总：对测评结果进行汇总和分析，形成测评报告。
7. 安全建议：根据测评结果提出安全建议和改进建议，指导信息系统的安全改进。
五、测评标准等级保护测评的标准主要包括以下几个方面：1. 安全等级：根据信息系统的重要性和敏感程度确定安全等级，包括一级、二级、三级等。
2. 安全措施：根据安全等级确定相应的安全措施和技术要求，包括网络隔离、数据加密、身份认证等。
3. 合规要求：根据相关法律法规和标准要求，确定信息系统的合规性评估标准，包括信息安全管理制度、安全培训等。
信息系统等级保护测评工作方案信息系统等级保护是指根据国家相关法律法规和规范要求，为保障信息系统（包括软硬件及其配套设施）安全运行，对其实施的一种分级化管理和保护措施。
信息系统等级保护测评工作是指对信息系统进行等级保护测评，以评估其安全等级，并指导相应的安全管理工作。
本文将详细介绍信息系统等级保护测评工作方案，包括测评内容、测评方法和测评报告等。
一、测评内容1.信息系统的安全管理制度和组织。
包括信息系统安全政策与目标、安全责任分工、安全管理要求和流程等。
2.信息系统的物理环境安全。
包括机房及相关设备的物理防护措施、防火、防水、防雷等措施。
3.信息系统的通信和网络安全。
包括网络拓扑结构、网络设备的安全配置、网络边界的安全保护、数据加密和隐私保护等。
4.信息系统的应用系统安全。
包括应用系统的访问控制、用户权限管理、数据备份和恢复等。
5.信息系统的安全事件管理和应急响应。
包括安全事件的监测和管理、应急响应预案和演练等。
二、测评方法1.文献资料的审查。
对相关文献资料进行查阅和分析，了解信息系统的安全管理制度和组织情况。
2.现场实地考察。
对信息系统所在的机房和相关设备进行实地考察，了解物理环境安全情况。
3.技术检测。
通过对信息系统的网络设备、应用系统进行漏洞扫描、安全评估等技术手段，评估其安全性。
4.安全事件模拟测试。
通过模拟实际的安全事件，测试信息系统的安全事件管理和应急响应能力。
三、测评报告1.测评目的和背景。
阐述测评的目的和背景，明确评估的范围和依据。
2.测评方法和过程。
详细描述采用的测评方法和过程，包括对文献资料的审查、现场实地考察、技术检测和安全事件模拟测试等。
3.测评结果和等级划分。
根据测评的结果，对信息系统进行等级划分，并解释等级划分的依据。
4.安全问题和建议。
分析信息系统存在的安全问题，提出相应的改进建议，并说明建议的依据和理由。
5.测评结论。
对信息系统等级保护测评工作的总体情况进行总结，并给出测评结论和建议。
XX安全服务公司2018-2019 年XXX 项目等级保护差距测评实施方案XXXXXXXXX信息安全有限公司201X年X月3. 时间安排17目录1.1. 项目背景 .. 1.2. 项目目标 1.3. 项目原则 1.4. 项目依据 1. 项目概述 目录 2. 测评实施内容 2.1.1. 测评范围 ..................... .. (4)2.1.2. 测评对象 ...................................... 4 2.1.3. 测评内容 ..................... ................. 4 2.1.4. 测评对象 ..................... ................. 7 2.1.5. 测评指标 ..................... .. (8)2.2. 测评流程 ........................... . (9)2.2.1. 测评准备阶段 .................................................... 10 2.2.2. 方案编制阶段.................................................... 11 2.2.3. 现场测评阶段.................................................... 11 2.2.4.分析与报告编制阶段 ...........2.3. 测评方法 ........................... (13)2.3.1. 工具测试 ..................... (13)2.3.2.配置检查 ..................... (14)2.3.3. 人员访谈 ..................... ................ 14 2.3.4. 文档审查 ..................... ................ 15 2.3.5. 实地查看 ..................... . (15)2.4. 测评工具 ....................... .. (16)2.5. 输出文档 ....................... .. (17)2.5.1. 等级保护测评差距报告 .........2.5.2. 等级测评报告 .................2.1. 测评分析 413错误！ 错误！ 安全整改建议 2.5.3. 未定义书签。
等级保护测评实施方案1. 引言本文档旨在介绍等级保护测评的实施方案。
等级保护测评是一种评估信息系统安全等级的方法，通过对系统的安全措施和实施情况进行评估，为系统提供相应的安全等级保护。
本方案将详细描述等级保护测评的实施过程，包括准备阶段、评估阶段和报告阶段。
2. 准备阶段2.1 确定测评目标在准备阶段，首先需要确定等级保护测评的具体目标。
根据系统的特点和需求，确定需要评估的安全等级和相应的保护要求。
2.2 确定测评范围确定需要测评的信息系统范围，包括系统的边界和与其他系统的关联。
同时，确定测评的时间和资源限制，以确保测评能够在合理的时间范围内完成。
2.3 确定测评方法根据系统的特点和需求，选择适当的测评方法。
常见的测评方法包括评估问卷、技术扫描和渗透测试等。
根据实际情况，可以结合多种测评方法进行综合评估。
2.4 确定测评团队确定参与测评的人员和团队，包括测评负责人、成员和外部专家等。
确保团队成员具备相关的技术和经验，能够有效地完成测评任务。
2.5 资源准备为测评提供必要的资源，包括硬件设备、软件工具和测试环境等。
同时，制定相应的时间计划和工作计划，确保测评工作能够按时进行。
3. 评估阶段3.1 收集信息在评估阶段，首先需要收集系统相关的信息。
包括系统的架构、设计文档、安全策略和实施情况等。
同时，收集系统的日志和事件记录，以便后续分析和评估。
3.2 进行安全扫描根据测评方法的选择，进行相应的安全扫描工作。
通过对系统的漏洞和弱点进行扫描和分析，评估系统的安全性和可靠性。
3.3 进行渗透测试在安全扫描的基础上，进行渗透测试。
通过模拟真实攻击环境，测试系统的安全防护能力。
同时，评估系统对各种攻击类型的响应和恢复能力。
3.4 进行漏洞评估通过对系统的漏洞进行评估，确定系统中存在的风险和威胁。
根据风险等级和影响程度，制定相应的安全措施和改进计划。
3.5 进行安全策略评估评估系统的安全策略和控制措施的合理性和有效性。
信息系统二级等级保护测评方案信息系统二级等级保护测评方案一、引言信息系统是现代社会中不可或缺的组成部分，同时也是各种机密信息的承载者和传播者。
为了保护信息系统的安全性，保障国家和企业的重要信息不受损害，我国出台了信息系统等级保护制度。
信息系统二级等级保护测评方案是对二级保护等级信息系统进行安全性测评的具体指导，下面将对该方案进行深度探讨。
二、信息系统二级等级保护概述信息系统等级保护是指根据国家标准对信息系统进行分类，依据其所处理信息的机密性、完整性和可用性等等安全属性的要求，以及系统的安全技术与管理措施，确定适当的保护等级、制定相应的安全措施和安全管理要求的过程。
信息系统等级保护共分为四个等级，分别是一级、二级、三级和四级，其中，二级等级保护的信息系统是对一定机密性、完整性和可用性要求的系统。
信息系统二级等级保护测评方案则是对二级保护等级信息系统的安全性进行评估的具体方案。
三、信息系统二级保护测评方案的基本要求1. 测评范围信息系统二级等级保护测评方案首先要确定测评的范围，包括系统的物理边界、功能边界和管理边界。
对于涉密信息系统，还需要考虑到信息的终端设备、网络和数据库等。
2. 测评方法在进行测评时，可采用测试、检查、访谈等多种方法，来全面了解系统安全功能和安全管理实施情况。
同时也可以利用安全评估工具来进行系统的脆弱性评估和渗透测试。
3. 测评标准针对二级保护等级信息系统的具体安全性要求和相关政策法规，确定测评的标准和评估指标。
例如要求对系统进行访问控制、日志记录和审计等。
4. 测评报告根据测评结果，编制详细的测评报告，包括系统的安全状况、存在的安全风险和建议的改进措施等内容。
并对系统的安全性评价进行总结和归纳。
四、个人观点信息系统二级等级保护测评方案对于确保系统的安全性至关重要。
通过对系统的安全性进行全面评估，可以有效发现系统存在的安全隐患和漏洞，并及时采取措施加以修复和加固。
也可以指导系统管理员和安全人员进行相应的安全管理和维护工作，从而保障信息系统的可用性和完整性，防范信息泄露和破坏。
此文档仅供收集于网络，如有侵权请联系网站删除XX安全服务公司2018-2019年XXX项目等级保护差距测评实施方案XXXXXXXXX信息安全有限公司201X年X月目录目录 (1)1.项目概述 (2)1.1.项目背景 (2)1.2.项目目标 (3)1.3.项目原则 (3)1.4.项目依据 (4)2.测评实施内容 (4)2.1.测评分析 (5)2.1.1.测评范围 (5)2.1.2.测评对象 (5)2.1.3.测评内容 (5)2.1.4.测评对象 (8)2.1.5.测评指标 (9)2.2.测评流程 (10)2.2.1.测评准备阶段 (11)2.2.2.方案编制阶段 (12)2.2.3.现场测评阶段 (12)2.2.4.分析与报告编制阶段 (14)2.3.测评方法 (14)2.3.1.工具测试 (14)2.3.2.配置检查 (15)2.3.3.人员访谈 (15)2.3.4.文档审查 (16)2.3.5.实地查看 (16)2.4.测评工具 (17)2.5.输出文档 (18)2.5.1.等级保护测评差距报告....................... 错误!未定义书签。
2.5.2.等级测评报告............................... 错误!未定义书签。
2.5.3.安全整改建议............................... 错误!未定义书签。
3.时间安排 (18)4.人员安排 (19)4.1.组织结构及分工 (19)4.2.人员配置表 (20)4.3.工作配合 (21)5.其他相关事项 (22)5.1.风险规避 (22)5.2.项目信息管理 (24)5.2.1.保密责任法律保证 (24)5.2.2.现场安全保密管理 (24)5.2.3.文档安全保密管理 (25)5.2.4.离场安全保密管理 (25)5.2.5.其他情况说明 (25)1.项目概述1.1.项目背景为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理办法》的精神，2015年XXXXXXXXXXXXXXXXXXX需要按照国家《信息安全技术信息系统安全等级保护定级指南》、《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》的要求，对XXXXXXXXXXXXXXXXXXX现有六个信息系统进行全面的信息安全测评与评估工作,并且为XXXXXXXXXXXXXXXXXXX提供驻点咨询、实施等服务。
信息系统安全保护等级测评是对信息系统安全等级保护状况进行检测评估的活动。
根据《信息安全等级保护管理办法》，信息系统安全等级测评工作一般包括以下步骤：
1. 系统定级：根据业务、资产、安全技术和安全管理进行调研，确定定级系统，准备定级报告，提供协助定级服务，辅助用户完成定级报告，组织专家评审。
2. 系统备案：持定级报告和备案表到所在地公安网监进行系统备案。
3. 建设整改：参照定级要求和标准，对信息系统整改加固，建设安全管理体系。
4. 等级测评：测评机构对信息系统等级测评，形成测评报告。
5. 合规监督检查：向所在地公安网监提交测评报告，公安机关监督检查进行等级保护工作。
在等级测评过程中，一般采用5个方式，循序渐进地进行测试流程。
具体包括：1. 系统定级：对业务、资产、安全技术和安全管理进行调研，确定定级系统，准备定级报告，提供协助定级服务，辅助用户完成定级报告，组织专家评审。
2. 系统备案：持定级报告和备案表到所在地公安网监进行系统备案。
3. 建设整改：参照定级要求和标准，对信息系统整改加固，建设安全管理体系。
4. 等级测评：测评机构对信息系统等级测评，形成测评报告。
5. 合规监督检查：向所在地公安网监提交测评报告，公安机关监督检查进行等级保护工作。
总之，信息系统安全保护等级测评是保障信息系统安全的重要手段之一，通过定期的测评和整改加固可以确保信息系统的安全性和稳定性。
等级保护测评方案引言等级保护是一种信息安全管理方法，旨在根据信息系统的重要性和其支持的业务需求来定义相应的安全保护级别。
等级保护测评是评估信息系统按照等级保护要求实施的程度与其安全保护需求的匹配程度。
本文档旨在提出一个详细的等级保护测评方案，以确保信息系统的安全保护达到相应的等级要求。
1. 背景任何组织或者企业在使用信息系统时都面临着各种安全威胁，包括未经授权的访问、数据泄露、业务中断等。
等级保护作为一种评估信息系统安全水平和风险级别的方法，为组织提供了制定相应的安全保护措施的依据。
等级保护测评方案将有助于确保信息系统按照等级保护要求进行合理的安全保护。
2. 测评目标等级保护测评的目标是评估信息系统在不同等级保护要求下的安全保护实施程度，并提供改进建议和措施，以确保系统的安全性和合规性。
具体目标包括： - 评估信息系统的等级保护需求 - 评估信息系统按照等级保护要求实施的程度 - 识别信息系统存在的安全风险和薄弱环节 - 提出合理的安全保护改进建议和措施 - 确保信息系统的安全性和合规性3. 测评流程等级保护测评的流程如下所示：步骤一：准备•确定测评的信息系统范围和等级保护要求•收集信息系统的相关文档和资料，包括安全策略、安全架构、安全操作手册等步骤二：需求确认和分析•确认信息系统的业务需求和安全要求•根据等级保护要求，定义信息系统的安全保护级别和相应的测评指标步骤三：测评准备•制定测评计划和时间表•配置相关的测评工具和设备•建立测试环境和样本数据步骤四：测评执行•根据测评指标和要求，对信息系统进行全面的安全测评•包括对系统的安全设计、访问控制、身份认证、数据保护等方面进行评估步骤五：结果分析和报告编写•分析测评结果，识别存在的安全风险和薄弱环节•编写测评报告，包括系统安全评估、改进建议和措施等步骤六：改进建议和措施实施•根据测评报告提出的改进建议和措施，制定合理的安全保护改进计划•实施相应的改进建议和措施，提升信息系统的安全性和合规性4. 测评指标根据等级保护要求，测评指标主要包括以下几个方面： - 安全策略和政策的制定和执行情况 - 系统的安全设计和架构 - 访问控制和权限管理的实施情况 - 用户身份认证和访问控制的强度 - 数据保护和加密的实施情况 - 安全监测和审计的有效性5. 测评结果分析通过对测评结果的分析，可以识别信息系统存在的安全风险和薄弱环节，进而提出合理的改进建议和措施。
信息系统等级保护差距测评方案1工作流程等级保护差距测评总体工作流程分为：前期准备阶段、现场评估阶段、结果分析阶段。
具体工作流程下图：2测评方法本项目中的等级保护差距测评依照《信息安全技术信息系统安全等级保护测评要求》（GB/T 28448-2012）,测评方案可分为单项测评和整体测评两大类。
2.1单项测评单项测评的目的在于明确各被测信息系统在各项安全控制措施上与等级保护相关标准的差距。
⏹文档查询：阅读有关网络结构与网络环境，主要的硬件、软件及其承载的数据和信息、管理、维护和使用的人员等文档。
从而为确定定级对象、等级提供参考；⏹调查问卷：根据组织部门、岗位、人员等具体情况，设计相应的问卷进行抽样调查，可以较为客观、准确的了解组织在安全管理方面的情况。
调查问卷与人员访谈是相辅相承的。
调查问卷是大范围调研的一种形式，顾问访问是针对特定对象更深入的调研形式。
调查问卷与人员访谈的调研内容是基本相同的。
调查问卷更侧重于调查一下方面：●人员的安全知识、安全意识状况●安全管理技术的使用情况●安全事件发生情况●安全管理制度的落实情况等⏹人员访谈：人员访谈可以基于客户业务、管理和IT技术应用的实际状况，结合专家的经验，对组织业务流程、组织架构、管理体系、信息系统、现有防护体系等进行深入的了解和多层次、多角度的分析，并通过相关人员的沟通、确认，充分、客观、准确的获得组织在技术、管理方面存在业务安全风险。
通常，人员访谈仅限于对组织内相关领导、系统开发管理维护人员，有时也对普通员工进行抽样访谈。
⏹实地观察:现场调研则是由评估人员到现场观察并收集被评估方在物理、环境和操作方面的信息；⏹评估工具:利用工具尽可能多地收集、分析和整理受测单位的相关信息，在此基础上形成准确的受测单位总体描述文件。
（工具描述详见“3测评工具”）2.2整体测评等级保护差距测评评的目的都在于明确被测信息系统与国家等级保护要求之间的差距。
因此，在单项测评的基础上，还需进行整体测评，以达到对整个系统的安全风险进行评估和控制的目的。
XX安全服务公司2018-2019年XXX项目等级保护差距测评实施方案XXXXXXXXX信息安全有限公司201X年X月目录目录 (1)1.项目概述 (2)1.1.项目背景 (2)1.2.项目目标 (2)1.3.项目原则 (2)1.4.项目依据 (3)2.测评实施内容 (3)2.1.测评分析 (4)2.1.1.测评范围 (4)2.1.2.测评对象 (4)2.1.3.测评内容 (4)2.1.4.测评对象 (7)2.1.5.测评指标 (8)2.2.测评流程 (9)2.2.1.测评准备阶段 (10)2.2.2.方案编制阶段 (11)2.2.3.现场测评阶段 (11)2.2.4.分析与报告编制阶段 (13)2.3.测评方法 (13)2.3.1.工具测试 (13)2.3.2.配置检查 (14)2.3.3.人员访谈 (14)2.3.4.文档审查 (15)2.3.5.实地查看 (15)2.4.测评工具 (16)2.5.输出文档 (17)2.5.1.等级保护测评差距报告...................... 错误！未定义书签。
2.5.2.等级测评报告.............................. 错误！未定义书签。
2.5.3.安全整改建议.............................. 错误！未定义书签。
3.时间安排 (17)4.人员安排 (18)4.1.组织结构及分工 (18)4.2.人员配置表 (19)4.3.工作配合 (20)5.其他相关事项 (21)5.1.风险规避 (21)5.2.项目信息管理 (23)5.2.1.保密责任法律保证 (23)5.2.2.现场安全保密管理 (23)5.2.3.文档安全保密管理 (24)5.2.4.离场安全保密管理 (24)5.2.5.其他情况说明 (24)1.项目概述1.1.项目背景为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理办法》的精神，2015年XXXXXXXXXXXXXXXXXXX需要按照国家《信息安全技术信息系统安全等级保护定级指南》、《计算机信息系统安全保护等级划分准则》、《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评准则》的要求，对XXXXXXXXXXXXXXXXXXX现有六个信息系统进行全面的信息安全测评与评估工作,并且为XXXXXXXXXXXXXXXXXXX提供驻点咨询、实施等服务。
(安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评），加大测评与风险评估力度，对信息系统的资产、威胁、弱点和风险等要素进行全面评估，有效提升信心系统的安全防护能力，建立常态化的等级保护工作机制，深化信息安全等级保护工作，提高XXXXXXXXXXXXXXXXXXX网络与信息系统的安全保障与运维能力。
全面完成XXXXXXXXXXXXXXXXXXX现有六个信息系统的信息安全测评与评估工作和协助整改工作，并且为XXXXXXXXXXXXXXXXXXX提供驻点咨询、实施等服务，按照国家和XXXXXXXXXXXXXXXXXXX的有关要求，对XXXXXXXXXXXXXXXXXXX的网络架构进行业务影响分析及网络安全管理工作进行梳理，提高XXXXXXXXXXXXXXXXXXX整个网络的安全保障与运维能力，减少信息安全风险和降低信息安全事件发生的概率，全面提高网络层面的安全性，构建XXXXXXXXXXXXXXXXXXX信息系统的整体信息安全架构，确保全局信息系统高效稳定运行，并满足XXXXXXXXXXXXXXXXXXX提出的基本要求，及时提供咨询等服务。
1.3.项目原则项目的方案设计与实施应满足以下原则：✧符合性原则：应符合国家信息安全等级保护制度及相关法律法规，指出防范的方针和保护的原则。
✧标准性原则：方案设计、实施与信息安全体系的构建应依据国内、国际的相关标准进行。
✧规范性原则：项目实施应由专业的等级测评师依照规范的操作流程进行，在实施之前将详细量化出每项测评内容，对操作过程和结果提供规范的记录，以便于项目的跟踪和控制。
✧可控性原则：项目实施的方法和过程要在双方认可的范围之内，实施进度要按照进度表进度的安排，保证项目实施的可控性。
✧整体性原则：安全体系设计的范围和内容应当整体全面，包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患。
✧最小影响原则：项目实施工作应尽可能小的影响网络和信息系统的正常运行，不能对信息系统的运行和业务的正常提供产生显著影响。
✧保密原则：对项目实施过程获得的数据和结果严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据和结果进行任何侵害测评委托单位利益的行为。
信息系统等级测评依据《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评要求》，在对信息系统进行安全技术和安全管理的安全控制测评及系统整体测评结果基础上，针对相应等级的信息系统遵循的标准进行综合系统测评，提出相应的系统安全整改建议。
主要参考标准如下：✧《计算机信息系统安全保护等级划分准则》- GB17859-1999✧《信息安全技术信息系统安全等级保护实施指南》✧《信息安全技术信息系统安全等级保护测评要求》✧《信息安全等级保护管理办法》✧《信息安全技术信息系统安全等级保护定级指南》（GB/T 22240-2008）✧《信息安全技术信息系统安全等级保护基本要求》（GB/T 22239-2008）✧《计算机信息系统安全保护等级划分准则》（GB17859-1999）✧《信息安全技术信息系统通用安全技术要求》（GB/T20271-2006）✧《信息安全技术网络基础安全技术要求》（GB/T20270-2006）✧《信息安全技术操作系统安全技术要求》（GB/T20272-2006）✧《信息安全技术数据库管理系统安全技术要求》（GB/T20273-2006）✧《信息安全技术服务器技术要求》（GB/T21028-2007）✧《信息安全技术终端计算机系统安全等级技术要求》（GA/T671-2006）✧《信息安全风险评估规范》（GB/T 20984-2007）2.测评实施内容2.1.测评分析2.1.1.测评范围本项目范围为对XXXXXXXXXXXXXXXXXXX已定级信息系统的等级保护测评。
2.1.2.测评对象本次测评对象为XXXXXXXXXXXXXXXXXXX信息系统，具体如下：本次测评结合XXXXXXXXXXXXXXXXXXX系统的信息管理特点，进行不同层次的测评工作，如下表所示：2.1.4.测评内容本项目主要分为两步开展实施。
第一步，对XXXXXXXXXXXXXXXXXXX六个信息系统进行定级和备案工作。
第二步，对XXXXXXXXXXXXXXXXXXX已经定级备案的系统进行十个安全层面的等级保护安全测评（物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理）。
其中安全测评分为差距测评和验收测评。
差距测评主要针对XXXXXXXXXXXXXXXXXXX已定级备案系统执行国家标准的安全测评，差距测评交付差距测评报告以及差距测评整改方案；差距整改完毕后协助完成系统配置方面的整改。
最后进行验收测评，验收测评将按照国家标准和国家公安承认的测评要求、测评过程、测评报告，协助对XXXXXXXXXXXXXXXXXXX已定级备案的系统执行系统安全验收测评，验收测评交付具有国家承认的验收测评报告。
信息系统安全等级保护测评包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。
其中，安全控制测评是信息系统整体安全测评的基础。
安全控制测评使用测评单元方式组织，分为安全技术测评和安全管理测评两大类。
安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理五个方面的安全控制测评。
具体见下图：系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关。
在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，分析评估安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性。
综合测评总结将在安全控制测评和系统整体测评两个方面的内容基础上进行，由此而获得信息系统对应安全等级保护级别的符合性结论。
2.1.5.测评对象依照信息安全等级保护的要求、参考业界权威的安全风险评估标准与模型，同时结合本公司多年的安全风险评估经验与实践，从信息系统的核心资产出发，以威胁和弱点为导向，对比信息安全等级保护的具体要求，全方面对信息系统进行全面评估。
测评对象种类主要考虑以下几个方面：1．整体网络拓扑结构；2．机房环境、配套设施；3．网络设备：包括路由器、核心交换机、汇聚层交换机等；4．安全设备：包括防火墙、IDS/IPS、防病毒网关等；5．主机系统（包括操作系统和数据库系统）；6．业务应用系统；7．重要管理终端（针对三级以上系统）；8．安全管理员、网络管理员、系统管理员、业务管理员；9．涉及到系统安全的所有管理制度和记录。
根据信息系统的测评强度要求，在执行具体的核查方法时，在广度上要做到从测评范围中抽取充分的测评对象种类和数量；在执行具体的检测方法，在深度上要做到对功能等各方面的测试。
2.1.6.测评指标对于二级系统，如业务信息安全等级为S2，系统服务安全等级为A2，则该系统的测评指标应包括GB/T 22239-2008《信息系统安全保护等级基本要求》中“技术要求”部分的2级通用指标类（G2），2级业务信息安全指标类（S2），2级系统服务安全指标类（A2），以及第2级“管理要求”部分中的所有指标类，等级保护测评指标情况具体如下表所示：对于三级系统，如业务信息安全等级为S3，系统服务安全等级为A3，则该系统的测评指标应包括GB/T 22239-2008《信息系统安全保护等级基本要求》中“技术要求”部分的3级通用指标类（G3），3级业务信息安全指标类（S3），3级系统服务安全指标类（A3），以及第3级“管理要求”部分中的所有指标类，等级保护测评指标情况具体如下表所示：2.2.测评流程等级保护测评实施过程包括以下四个阶段：2.2.1.测评准备阶段✧ 测评项目组组建：明确项目经理、测评人员及职责分工。
