信息安全等级保护测评工作管理规范(试行)完整篇.doc

信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。

但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。

根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。

1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。

这就要求等级测评过程规范、测评结论准确、公正及可重现。

《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。

伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。

作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。

关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知(公信安303)1关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知公信安[2010]303号各省、自治区、直辖市公安厅、局网络安全保卫（公共信息网络安全监察、网络警察）总队（处）、新疆生产建设兵团公安局公共信息网络安全监察处：为进一步贯彻落实公安部《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安[2009]1429号）精神，加快信息安全等级保护测评体系建设，提高测评机构能力，规范测评活动，确保信息安全等级保护安全建设整改工作顺利进行，满足信息安全等级保护工作的迫切需要，决定在全国部署开展信息安全等级保护测评体系建设和等级测评工作。

现将有关事项通知如下：一、工作目标（一）通过广泛宣传和正确引导，鼓励更多的有关企事业单位从事信息安全等级保护测评工作，满足信息安全等级保护测评工作的迫切需要。

（二）通过对测评机构进行统一的能力评估和严格审核，保证测评机构的水平和能力达到有关标准规范要求。

（三）加强对测评机构的安全监督，规范其测评活动，保证为备案单位提供客观、公正和安全的测评服务。

（四）督促备案单位开展等级测评工作，为开展等级保护安全建设整改工作奠定基础，使信息系统安全保护状况逐步达到等级保护要求。

二、工作内容各地要按照《关于开展信息安全等级保护安全建设整改工作的指导意见》要求，结合本地实际组织开展以下工作：（一）统筹规划，正确引导，积极稳妥地推动等级测评机构建设。

结合本地已定级备案信息系统数量和分布情况，从满足等级测评工作的实际需要出发，统筹规划、合理布局测评机构的规模和数量，积极引导本地符合规定条件、有良好信誉的企事业单位从事等级测评工作，按照成熟一个发展一个的原则，有计划、积极稳妥地推动测评机构建设。

（二）规范流程，严格把关，确保测评机构的水平和能力符合测评工作要求。

依据《信息安全等级保护测评工作管理规范（试行）》（见附件一），对申请成为测评机构的单位严格把关，按照申请受理、测评能力评估、审核、推荐的流程，认真开展测评机构评审和推荐工作。

信息系统安全等级测评-测评资料管理制度1内部信息系统安全等级测评测评资料管理制度[BH.IS/MD.CP-07.1:2011]XX公司2011年9月20日关于本文件分发控制[受控文件填写]第一章总则第一条为保护等级测评活动中涉及到的被测评单位及被测信息系统的国家秘密和工作秘密，加强测评相关资料的管理，依据公司相关管理制度，制订本制度第二条本规定适用于测评活动中获取及产生的所有文件、资料和信息的管理。

第二章测评资料的范围第三条被测单位提供的文件、资料和信息1．被测信息系统总体描述文件2．被测信息系统安全需求分析报告3．被测信息系统安全总体方案4．被测信息系统验收报告5．被测信息系统定级报告第四条测评过程中产生的工作产品和记录1．被测信息系统基本情况调查表2．信息系统安全等级测评-测评方案3．信息系统安全等级测评测评现场记录4．信息系统安全等级测评-测评报告第五条测评过程中产生的其他文档1．信息系统安全等级测评-委托协议2．信息系统安全等级测评-保密协议3．信息系统安全等级测评-现场测评协议书4．信息系统安全等级测评-风险告知书5．信息系统安全等级测评-项目计划书6．信息系统安全等级测评-项目管理计划7．信息系统安全等级测评-等级测评会议记录8．信息系统安全等级测评-测评现场交接归还文档清单9．信息系统安全等级测评-项目控制报告10．信息系统安全等级测评-质量监督报告11．信息系统安全等级测评-项目总结报告12．各类评审记录表第三章测评资料的管理第六条本制度第三条及第四条所涉及资料为受控II级。

此类资料在信息安全部内部调阅须由部门领导授权批准；其他部门或外单位人员调阅须由技术副总经理授权批准。

第七条本制度第五条涉及资料为受控I级文档。

此类文档单位内部调阅须由信息安全部经理授权批准；外单位人员调阅须由技术副总经理批准。

第八条其他管理要求按照公司《档案管理制度》的规定执行。

第四章附则第九条本制度未尽事宜，参照公司相关制度执行。

信息安全等级保护测评工作管理规范(试行)1附件一：信息安全等级保护测评工作管理规范（试行）第一条为加强信息安全等级保护测评机构建设和管理，规范等级测评活动，保障信息安全等级保护测评工作（以下简称“等级测评工作”）的顺利开展，根据《信息安全等级保护管理办法》等有关规定，制订本规范。

第二条本规范适用于等级测评机构和人员及其测评活动的管理。

第三条等级测评工作，是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。

等级测评机构，是指具备本规范的基本条件，经能力评估和审核，由省级以上信息安全等级保护工作协调（领导）小组办公室（以下简称为“等保办”）推荐，从事等级测评工作的机构。

第四条省级以上等保办负责等级测评机构的审核和推荐工作。

公安部信息安全等级保护评估中心（以下简称“评估中心”）负责测评机构的能力评估和培训工作。

第五条等级测评机构应当具备以下基本条件：（一）在中华人民共和国境内注册成立（港澳台地区除外）；（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（三）产权关系明晰，注册资金100万元以上；（四）从事信息系统检测评估相关工作两年以上，无违法记录；（五）工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；（六）具有满足等级测评工作的专业技术人员和管理人员，测评技术人员不少于10人；（七）具备必要的办公环境、设备、设施，使用的技术装备、设施应当符合《信息安全等级保护管理办法》对信息安全产品的要求；（八）具有完备的保密管理、项目管理、质量管理、人员管理和培训教育等安全管理制度；（九）对国家安全、社会秩序、公共利益不构成威胁;（十）应当具备的其他条件。

第六条测评机构及其测评人员应当严格执行有关管理规范和技术标准，开展客观、公正、安全的测评服务。

测评机构可以从事等级测评活动以及信息系统安全等级保护定级、安全建设整改、信息安全等级保护宣传教育等工作的技术支持。

《信息安全等级保护管理办法》1 信息安全等级保护管理办法（公通字[2007]43号）作者: 来源: 公安部、国家保密局、国家密码管理局、字体：大中小国务院信息工作办公室时间：2007-06-22第一章总则第一条为规范信息安全等级保护管理，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设，根据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规，制定本办法。

第二条国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。

第三条公安机关负责信息安全等级保护工作的监督、检查、指导。

国家保密工作部门负责等级保护工作中有关保密工作的监督、检查、指导。

国家密码管理部门负责等级保护工作中有关密码工作的监督、检查、指导。

涉及其他职能部门管辖范围的事项，由有关职能部门依照国家法律法规的规定进行管理。

国务院信息化工作办公室及地方信息化领导小组办事机构负责等级保护工作的部门间协调。

第四条信息系统主管部门应当依照本办法及相关标准规范，督促、检查、指导本行业、本部门或者本地区信息系统运营、使用单位的信息安全等级保护工作。

第五条信息系统的运营、使用单位应当依照本办法及其相关标准规范，履行信息安全等级保护的义务和责任。

第二章等级划分与保护第六条国家信息安全等级保护坚持自主定级、自主保护的原则。

信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

第七条信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

关于明确信息安全等级保护测评机构管理有关事项的通知地级以上市公安局网警支队（网监科）、信息安全等级保护测评机构：6月18日，公安部十一局在上海召开会议，对等级测评机构管理相关问题进行了明确，要求开展等级测评的单位不得从事下列活动：一是承担信息系统安全建设整改工作；二是将等级测评任务分包、外包；三是信息安全产品开发、营销和信息系统集成活动；四是限定被测评单位购买、试用其指定的信息安全产品；五是未经许可占有、使用被测评单位有关信息、资料及数据文件。

为贯彻落实会议精神，进一步规范我省等级测评单位管理，现将有关事项明确如下：一、进一步规范测评服务管理。

根据公安部十一局要求，为确保测评活动的公正性，承担测评工作的机构不宜从事信息安全整改、集成服务。

为此，已在我省办理信息安全等级保护测评机构备案的单位，要在7月20日前，以单位名义向原受理的公安网监部门以及我总队提供承诺书，声明在我省开展等级测评工作不违反以上要求。

新申请等级测评的单位，也须提供申请书和承诺书。

我总队将对提供承诺书的情况在备案目录中公示，以便于信息系统运营、使用单位、主管部门选用提供各类测评服务。

未提供承诺书的单位，我总队也将予以公示，供信息系统运营、使用单位在实施安全整改时选用提供差距评估服务。

二、提高测评工作装备水平。

为统一工具标准，我总队制定了《信息安全等级保护测评工具选用指引》（以下简称《指引》），对测评所需的必备工具和选用工具进行了明确。

各测评机构要对照《指引》要求，结合本单位实际，对测评工具进行补充完善，切实满足测评工作需求，提升测评工作质量。

三、推动信息安全等级保护整改。

各级公安网监部门要按照《广东省深化信息系统安全等级保护工作方案》要求，加大各类测评机构和安全服务机构的监督指导力度，发挥其作用，为信息系统运营、使用单位、主管部门提供差距评估、整改方案制订和实施、安全测评等服务，大力推动信息系统的安全整改，切实推动我省信息安全等级保护工作深入开展。

公安机关信息安全等级保护检查工作规范（试行）第一条为规范公安机关公共信息网络安全监察部门开展信息安全等级保护检查工作，根据《信息安全等级保护管理办法》（以下简称《管理办法》），制定本规范。

第二条公安机关信息安全等级保护检查工作是指公安机关依据有关规定，会同主管部门对非涉密重要信息系统运营使用单位等级保护工作开展和落实情况进行检查，督促、检查其建设安全设施、落实安全措施、建立并落实安全管理制度、落实安全责任、落实责任部门和人员。

第三条信息安全等级保护检查工作由市（地）级以上公安机关公共信息网络安全监察部门负责实施。

每年对第三级信息系统的运营使用单位信息安全等级保护工作检查一次，每半年对第四级信息系统的运营使用单位信息安全等级保护工作检查一次。

第四条公安机关开展检查工作，应当按照“严格依法，热情服务”的原则，遵守检查纪律，规范检查程序，主动、热情地为运营使用单位提供服务和指导。

第五条信息安全等级保护检查工作采取询问情况，查阅、核对材料，调看记录、资料，现场查验等方式进行。

第六条检查的主要内容：（一）等级保护工作组织开展、实施情况。

安全责任落实情况，信息系统安全岗位和安全管理人员设置情况；（二）按照信息安全法律法规、标准规范的要求制定具体实施方案和落实情况；（三）信息系统定级备案情况，信息系统变化及定级备案变动情况；（四）信息安全设施建设情况和信息安全整改情况；（五）信息安全管理制度建设和落实情况；（六）信息安全保护技术措施建设和落实情况；（七）选择使用信息安全产品情况；（八）聘请测评机构按规范要求开展技术测评工作情况，根据测评结果开展整改情况；（九）自行定期开展自查情况；（十）开展信息安全知识和技能培训情况。

第七条检查项目：（一）等级保护工作部署和组织实施情况1．下发开展信息安全等级保护工作的文件，出台有关工作意见或方案，组织开展信息安全等级保护工作情况。

2．建立或明确安全管理机构，落实信息安全责任，落实安全管理岗位和人员。

一、总则第一条为加强我单位信息系统的安全管理，提高信息系统安全防护能力，依据《中华人民共和国网络安全法》及国家相关法律法规，特制定本制度。

第二条本制度适用于我单位所有涉及信息系统的建设和运维过程，包括但不限于网络、主机、数据库、应用系统等。

第三条本制度旨在规范等保测评工作流程，明确各部门职责，确保信息系统安全防护措施得到有效实施。

二、组织机构及职责第四条成立等保测评工作领导小组，负责等保测评工作的组织、协调和监督。

第五条等保测评工作领导小组下设以下部门：（一）办公室：负责等保测评工作的日常管理、协调和沟通。

（二）技术部门：负责信息系统安全防护措施的技术实施和保障。

（三）运维部门：负责信息系统安全防护设施的运维和维护。

（四）法务部门：负责等保测评工作的法律事务和合规性审查。

三、等保测评工作流程第六条系统定级（一）根据业务需求、信息资产、安全风险等因素，对信息系统进行定级。

（二）定级结果经等保测评工作领导小组审批后，报上级主管部门备案。

第七条系统备案（一）持定级报告及相关材料，向当地公安机关申请备案。

（二）备案手续完成后，获得等保测评资质。

第八条建设整改（一）根据定级要求，制定安全防护方案。

（二）对信息系统进行整改，包括物理安全、网络安全、主机安全、数据安全、应用安全等方面。

（三）整改完成后，进行内部验收。

第九条等级测评（一）选择具备相应资质的测评机构进行等级测评。

（二）测评机构按照国家标准和方法，对信息系统进行安全测评。

（三）测评完成后，出具测评报告。

第十条测评结果应用（一）根据测评报告，对信息系统进行整改。

（二）对整改情况进行跟踪和评估，确保整改措施落实到位。

四、监督检查与持续改进第十一条等保测评工作领导小组定期对信息系统安全防护措施进行监督检查。

第十二条对信息系统安全防护设施进行定期检查、维护和升级。

第十三条发现安全漏洞和风险时，及时采取措施进行整改。

第十四条定期对员工进行信息安全意识培训。

五、附则第十五条本制度由等保测评工作领导小组负责解释。

信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。

但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T 28448-2012进行修订。

根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。

1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。

这就要求等级测评过程规范、测评结论准确、公正及可重现。

《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。

伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。

作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。