下载文档原格式
朗威基于分级保护标准的风险评估服务产品白皮书“顾客有需要，我们就做到”“顾客有需要，我们就做好”哈尔滨朗威电子技术开发有限公司2016年06月目录1.概述 (3)2.引用标准 (3)3.产品服务内容 (4)3.1风险评估服务服务汇总 (4)3.1.1风险评估服务内容“菜单” (5)3.1.2风险评估总服务流程 (5)3.2系统现状分析 (6)3.2.1服务内容描述 (6)3.2.2服务流程 (6)3.2.3技术要求 (6)3.3保密检查与检测 (7)3.3.1服务内容描述 (7)3.3.2服务流程 (7)3.3.3技术要求 (7)3.4风险分析 (8)3.4.1服务内容 (8)3.4.2服务流程 (8)3.4.3技术要求 (9)4.服务优势 (9)5.服务承诺 (10)6.客服中心 (10)1.概述朗威公司专注安全保密市场，历经20余年深耕发展，以丰富的安全产品线、优质的系统集成整合能力与专业的服务水平服务于万余家涉密单位客户。
20余年来，朗威公司不断深化对保密政策法规、保密标准、保密管理、保密业务的理解，始终坚持以“技管兼顾、技术促进管理”理念，以“保密管理专家”严以律己并与时俱进，为客户提供持续的专业化“专家”服务。
朗威公司提供的安全服务已产品化、标准化，客户按照“菜单”选择服务类别、服务项目，服务流程、服务标准、服务质量要求清晰明确，一目了然。
风险评估是朗威公司系列服务产品之一。
风险评估服务对照信息系统安全保密相关技术标准，对信息系统及信息处理设施面临的威胁、影响、脆弱性及三者可能发生的潜在风险进行评价。
风险评估服务完成后，涉密单位客户可以明晰其信息系统存在的安全风险，可以依据风险评估报告有针对性的实施进一步的安全整改措施，从而达到明确信息系统风险、通过信息系统保密检查或者保密测评认证的不同目的。
2.引用标准1.（GB/T 28827）《信息技术服务运行维护》2.（GB/T 27921-2011）《风险管理-风险评估技术》3.（GB 17859-1999）《计算机信息系统安全等级保护划分准则》4.（GB/T 25058-2010）《信息系统安全等级保护实施指南》5.（GB/T 22240-2008）《信息系统安全保护等级定级指南》6.（GB/T 22239-2008）《信息系统安全等级保护基本要求》7.（GB/T 20271-2006）《信息系统通用安全技术要求》8.（GB/T 25070-2010）《信息系统等级保护安全设计技术要求》9.（GB/T 28448-2012）《信息系统安全等级保护测评要求》10.（GB/T 28449-2012）《信息系统安全等级保护测评过程指南》11．（GB/T 20269-2006）《信息系统安全管理要求》12.（GB/T 20282-2006）《信息系统安全工程管理要求》13.（GB/T 20984-2007）《信息安全技术-信息安全风险评估规范》14.BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》15.BMB18-2006《涉及国家秘密的信息系统工程监理规范》16.BMB19-2006《电磁泄漏发射屏蔽机柜技术要求和测试方法》17.BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》18.BMB22-2007《涉及国家秘密的信息系统分级保护测评指南》19.BMB23-2008《涉及国家秘密的信息系统分级保护方案设计指南》3.产品服务内容3.1风险评估服务服务汇总3.1.1风险评估服务内容“菜单”3.1.2风险评估总服务流程1)朗威公司与用户单位签订服务合同和保密协议。
信息安全白皮书摘要：本白皮书旨在探讨信息安全领域的重要性，并提供一些关键性的观点和建议，以帮助组织和个人保护其信息资产免受各种威胁。
首先，我们将介绍信息安全的定义和范围，随后讨论当前面临的主要威胁和挑战。
接下来，我们将提供一些信息安全的最佳实践和策略，以及一些技术解决方案。
最后，我们将强调持续的教育和培训的重要性，以确保信息安全意识的普及和提高。
1. 引言信息安全是指保护信息资产免受未经授权的访问、使用、披露、破坏、修改或泄露的过程。
在当今数字化时代，信息安全已成为组织和个人不可或缺的重要组成部分。
随着互联网的普及和技术的不断发展，信息安全面临着越来越多的威胁和挑战。
2. 当前的威胁和挑战在信息安全领域，我们面临着各种各样的威胁和挑战。
其中包括：- 黑客攻击：黑客通过网络攻击和渗透技术，获取未经授权的访问权限，窃取敏感信息或破坏系统。
- 恶意软件：恶意软件如病毒、蠕虫和木马程序，可以破坏计算机系统、窃取敏感信息或进行其他不良行为。
- 社会工程学：攻击者利用心理学和社交工程学技巧，通过欺骗和误导来获取信息或访问权限。
- 数据泄露：未经授权的信息披露可能导致个人隐私泄露、金融损失或声誉受损。
- 供应链攻击：攻击者通过渗透供应链，将恶意代码或后门引入软件或硬件产品中，从而获取对系统的控制权。
3. 信息安全的最佳实践和策略为了有效保护信息资产，以下是一些信息安全的最佳实践和策略：- 制定和实施安全政策：组织应该制定明确的安全政策，并确保其被全体员工遵守。
安全政策应涵盖访问控制、密码管理、数据备份等方面。
- 加强身份验证：采用多因素身份验证，如密码加令牌、生物识别等，以提高访问控制的安全性。
- 加密敏感数据：对敏感数据进行加密，以防止未经授权的访问或泄露。
- 定期更新和维护系统：及时应用安全补丁、更新防病毒软件和防火墙等，以确保系统的安全性。
- 建立灾备和业务连续性计划：制定并测试灾备和业务连续性计划，以应对突发事件和数据丢失。
信息安全等级保护目标白皮书信息安全等级保护目标白皮书（覆盖等保二级和三级）目录1．第二级等保安全目标 (3)1.1. 技术目标 (3)1.2. 管理目标 (5)2．第三级等保安全目标 (7)2.1. 技术目标 (7)2.2. 管理目标 (10)3．等级保护二级、三级要求比较 (13)3.1. 技术要求比较 (13)3.2. 管理要求比较 (27)1．第二级等保安全目标第二级信息系统应实现以下目标。
1.1.技术目标O2-1. 应具有抵抗一般强度地震、台风等自然灾难造成破坏的能力O2-2. 应具有防止雷击事件导致重要设备被破坏的能力O2-3. 应具有防水和防潮的能力O2-4. 应具有灭火的能力O2-5. 应具有检测火灾和报警的能力O2-6. 应具有温湿度自动检测和控制的能力O2-7. 应具有防止电压波动的能力O2-8. 应具有对抗短时间断电的能力O2-9. 应具有防止静电导致重要设备被破坏的能力O2-10. 具有基本的抗电磁干扰能力O2-11. 应具有对传输和存储数据进行完整性检测的能力O2-12. 应具有对硬件故障产品进行替换的能力O2-13. 应具有系统软件、应用软件容错的能力O2-14. 应具有软件故障分析的能力O2-15. 应具有合理使用和控制系统资源的能力O2-16. 应具有记录用户操作行为的能力O2-17. 应具有对用户的误操作行为进行检测和报警的能力O2-18. 应具有控制机房进出的能力O2-19. 应具有防止设备、介质等丢失的能力O2-20. 应具有控制机房内人员活动的能力O2-21. 应具有控制接触重要设备、介质的能力O2-22. 应具有对传输和存储中的信息进行保密性保护的能力O2-23. 应具有对通信线路进行物理保护的能力O2-24. 应具有限制网络、操作系统和应用系统资源使用的能力O2-25. 应具有能够检测对网络的各种攻击并记录其活动的能力O2-26. 应具有发现所有已知漏洞并及时修补的能力O2-27. 应具有对网络、系统和应用的访问进行控制的能力O2-28. 应具有对数据、文件或其他资源的访问进行控制的能力O2-29. 应具有对资源访问的行为进行记录的能力O2-30. 应具有对用户进行唯一标识的能力O2-31. 应具有对用户产生复杂鉴别信息并进行鉴别的能力O2-32. 应具有对恶意代码的检测、阻止和清除能力O2-33. 应具有防止恶意代码在网络中扩散的能力O2-34. 应具有对恶意代码库和搜索引擎及时更新的能力O2-35. 应具有保证鉴别数据传输和存储保密性的能力O2-36. 应具有对存储介质中的残余信息进行删除的能力O2-37. 应具有非活动状态一段时间后自动切断连接的能力O2-38. 应具有网络边界完整性检测能力O2-39. 应具有重要数据恢复的能力1.2.管理目标O2-40. 应确保建立了安全职能部门，配备了安全管理人员，支持信息安全管理工作O2-41. 应确保配备了足够数量的管理人员，对系统进行运行维护O2-42. 应确保对主要的管理活动进行了制度化管理O2-43. 应确保建立并不断完善、健全安全管理制度- 10 -O2-44. 应确保能协调信息安全工作在各功能部门的实施O2-45. 应确保能控制信息安全相关事件的授权与审批O2-46. 应确保建立恰当可靠的联络渠道，以便安全事件发生时能得到支持O2-47. 应确保对人员的行为进行控制O2-48. 应确保对人员的管理活动进行了指导O2-49. 应确保安全策略的正确性和安全措施的合理性O2-50. 应确保对信息系统进行合理定级O2-51. 应确保安全产品的可信度和产品质量O2-52. 应确保自行开发过程和工程实施过程中的安全O2-53. 应确保能顺利地接管和维护信息系统O2-54. 应确保安全工程的实施质量和安全功能的准确实现O2-55. 应确保机房具有良好的运行环境O2-56. 应确保对信息资产进行标识管理O2-57. 应确保对各种软硬件设备的选型、采购、发放、使用和保管等过程进行控制O2-58. 应确保各种网络设备、服务器正确使用和维护O2-59. 应确保对网络、操作系统、数据库管理系统和应用系统进行安全管理O2-60. 应确保用户具有鉴别信息使用的安全意识O2-61. 应确保定期地对通信线路进行检查和维护O2-62. 应确保硬件设备、存储介质存放环境安全，并对其的使用进行控制和保护O2-63. 应确保对支撑设施、硬件设备、存储介质进行日常维护和管理O2-64. 应确保系统中使用的硬件、软件产品的质量O2-65. 应确保各类人员具有与其岗位相适应的技术能力O2-66. 应确保对各类人员进行相关的技术培训O2-67. 应确保提供的足够的使用手册、维护指南等资料O2-68. 应确保内部人员具有安全方面的常识和意识O2-69. 应确保具有设计合理、安全网络结构的能力O2-70. 应确保密码算法和密钥的使用符合国家有关法律、法规的规定O2-71. 应确保任何变更控制和设备重用要申报和审批，并对其实行制度化的管理O2-72. 应确保在事件发生后能采取积极、有效的应急策略和措施O2-73. 应确保信息安全事件实行分等级响应、处置2．第三级等保安全目标第三级信息系统应实现以下目标。
SABSA（Security Architecture Business Scenario）白皮书主要介绍了SABSA方法论，它是一种以风险作为驱动的企业信息安全系统和企业信息保证结构的设计方法。
SABSA白皮书强调了SABSA作为一个开放式的标准，可以容纳大量的框架、模型、方法和步骤，而且它是完全免费的产品，用户可以使用标准来开发结构和执行方案。
SABSA方法论的核心理念是提供一套总体框架，使所有其他现有的标准得以整合在一个单一的SABSA框架中，并形成一个从终端至终端的结构解决方案。
SABSA与其他标准无缝结合，如TOGAF和ITIL，并填补了“安全架构”和“安全服务管理”之间的空隙。
SABSA白皮书还强调了SABSA的几个特点：
SABSA是一个开放式的标准，这意味着它接纳和整合了大量的框架、模型、方法和步骤，形成了一个统一的体系。
SABSA是完全免费的产品，用户可以自由地使用它来开发结构和执行方案，不需要支付任何许可证费用。
SABSA不会取代任何现有的信息风险或信息安全标准，而是提供了一个总体框架，使这些标准得以整合。
SABSA与其他标准如TOGAF和ITIL无缝结合，这为用户提供了更多的选择和灵活性。
SABSA填补了“安全架构”和“安全服务管理”之间的空隙，为用户提供了一套完整的企业信息安全解决方案。
总的来说，SABSA白皮书详细介绍了SABSA方法论的概念、特点和优势，为企业信息安全架构的设计和实施提供了一种有效的解决方案。
信息安全管理白皮书摘要：本白皮书旨在探讨信息安全管理的重要性，并提供一套有效的信息安全管理框架。
通过综合分析当前信息安全威胁和挑战，本白皮书将介绍信息安全管理的原则、策略和最佳实践，以帮助组织建立健全的信息安全管理体系，保护其关键信息资产。
1. 引言信息技术的迅速发展和广泛应用给组织带来了巨大的机遇，同时也带来了新的风险和威胁。
信息安全管理的重要性日益凸显，组织需要采取适当的措施来保护其信息资产，以确保业务的连续性和可靠性。
2. 信息安全管理原则（1）全面性：信息安全管理应覆盖组织的各个方面，包括人员、流程和技术，确保整体的安全性。
（2）风险导向：信息安全管理应基于风险评估和风险管理，根据实际威胁和漏洞制定相应的安全策略。
（3）持续改进：信息安全管理需要不断改进和更新，以适应不断变化的威胁环境和技术发展。
3. 信息安全管理框架（1）制定信息安全策略：组织应明确信息安全目标，并制定相应的策略和政策，以指导信息安全管理的实施。
（2）风险评估和管理：组织应对信息资产进行风险评估，识别潜在威胁和漏洞，并采取相应的风险管理措施。
（3）建立安全控制措施：组织应建立适当的安全控制措施，包括访问控制、身份认证、加密等，以保护信息资产的机密性、完整性和可用性。
（4）培训和意识提升：组织应加强员工的安全意识培训，提高其对信息安全的重要性的认识，并掌握相应的安全操作技能。
（5）监控和审计：组织应建立监控和审计机制，对信息系统的使用情况和安全事件进行监测和审计，及时发现和应对安全问题。
（6）应急响应：组织应制定应急响应计划，以应对安全事件和事故，减轻损失并恢复业务的连续性。
4. 信息安全管理最佳实践（1）信息安全政策：组织应制定明确的信息安全政策，明确各方面的安全要求和责任。
（2）安全培训和教育：组织应定期开展员工的安全培训和教育，提高其对信息安全的认识和技能。
（3）风险评估和管理：组织应建立风险评估和管理机制，识别和评估潜在的安全风险，并采取相应的措施进行管理。
网络安全等级保护：深信服安全感知平台白皮书_V3.0深信服安全感知平台白皮书文档密级：公开深信服科技安全感知平台（Security Intelligence Platform）产品白皮书网络安全等级保护目录1. 引言 (4)1.1背景 (4)1.2新的威胁 (5)1.3应对措施 (5)2. 设计理念 (5)2.1产品理念 (5)2.2产品定位 (6)2.3方案设计 (7)2.4整体价值 (7)3. 产品架构 (9)3.1分层设计 (9)3.2大数据架构 (11)3.3产品组件 (13)4. 关键技术应用 (15)4.1 UEBA行为画像 (15)4.2追踪溯源可视化 (16)4.2.1流量可视 (16)4.2.2威胁追捕 (17)4.2.3统一检索 (17)4.3机器学习技术使用 (17)4.3.1精准的已知威胁检测 (18)4.3.2发现内鬼和未知威胁 (18)4.4威胁深度分析 (19)4.4.1攻击事件深度挖掘 (19)4.4.2成功的攻击事件检测 (20)4.5威胁情报结合 (20)4.5.1热点事件 (21)4.5.2情报来源 (21)5. 功能价值呈现 (22)5.1有效数据提取 (22)5.2全面的实时监测体系 (24)5.3.1脆弱性感知 (24)5.3.2外部威胁感知 (25)5.3.3内部异常感知 (26)5.3多维度的安全可视预警 (28)5.3.1宏观决策视角 (28)5.3.2微观运维视角 (31)5.4易运营的运维处置 (32)5.4.1应急处置 (32)5.4.2影响面分析 (34)5.4.3主动溯源 (35)5.4.4会话分析 (36)5.5可感知的威胁告警 (37)5.6实用工具箱 (38)5.6.1等保管理 (38)5.6.2情报与数据共享 (39)5.6.3绿色查杀工具 (40)6. 产品部署 (40)6.1流量监测（高级威胁监测） (41)6.2安全运营中心 (42)6.3作为第三方SOC/SIEM的流量检测组件 (43)1.引言1.1背景互联网技术的飞速发展使得互联网承载的价值越来越多、网络的规模和复杂度越来越大，因此，黑客有了越来越多的动机和手段来窃取企业的机密信息和资源，甚至是对企业资产造成破坏。
绿盟远程安全评估系统产品白皮书【绿盟科技】■密级完全公开■文档编号NSF-PROD-RSAS-V6.0-产品白皮书-V1.0■版本编号V1.0 ■日期2015-10-19■撰写人尹航■批准人李晨© 2022 绿盟科技■版权声明本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属绿盟科技所有，受到有关产权及版权法保护。
任何个人、机构未经绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。
目录一. 攻防威胁的变化 (1)二. 环境变化带来的问题 (1)三. 新一代漏洞管理产品必备特性 (2)四. 绿盟远程安全评估系统 (2)4.1产品体系结构 (3)4.1.1 基础平台层功能 (3)4.1.2 系统服务层功能 (4)4.1.3 系统核心层功能 (4)4.1.4 系统接入层功能 (4)4.2产品特色 (5)4.2.1 多种检查能力合一，全面系统脆弱性发现 (5)4.2.2 风险统一分析 (6)4.2.3 灵活的部署方案 (7)4.2.4 独创便携工控设备，随时监督检查 (7)4.2.5 结合资产从海量数据快速定位风险 (7)4.2.6 融入并促进安全管理流程 (8)4.2.7 识别非标准端口，准确扫描服务漏洞 (8)4.2.8 丰富的漏洞、配置知识库 (9)4.3典型应用方式 (9)4.3.1 监督检查或小规模网络安全运维 (9)4.3.2 中小规模多子网安全运维 (10)4.3.3 网络访问受限的子网安全运维 ................................................................ 错误!未定义书签。
4.3.4 大规模跨地区网络安全运维 (10)五. 结论 (11)插图索引图 4.1 NSFOCUS RSAS整体架构图 (3)图 4.2 NSFOCUS RSAS单机部署 (9)图 4.3 NSFOCUS RSAS单机多网口多子网接入 (10)图 4.4 NSFOCUS RSAS代理扫描 ................................................................................. 错误!未定义书签。
明鉴远程安全评估系统产品白皮书v1.0杭州安恒信息技术有限公司二〇一三年八月目录1 产品介绍 (3)2技术特色 (3)2.1 智能扫描识别技术 (3)2.2 全面、完备的配置检查项 (3)产品特色 (5)2.3 资产为核心自动化脆弱性管理 (5)2.4 出众交互体验设计 (5)2.5 更加客观智能评分体系 (6)2.6 灵活的模板库体系 (7)2.7 创新报表全面展示风险趋势和安全维护状况 (8)2.8 评估结果智能化生成修改意见 (9)2.9 完善历史信息比对 (10)3产品规格 (12)3.1 支持目标系统 (12)3.2 支持的检查项类型 (13)3.3 产品规格 (14)4部署方案 (15)4.1 独立式部署 (15)4.2 分布式部署 (15)5附录 (18)1产品介绍明鉴远程安全评估系统是一款脆弱性配置检查的安全评估管理系统。
其借鉴FDCC体系的CCE公共安全配置标准，并结合国内等级保护制度和行业配置安全标准，形成了独有的配置检查数据库,依照自动化的合规性配置检查流程，大大提升组织既有的日常风险评估及脆弱性管理等日常安全管理的自动化程度，降低人力成本，提升工作效率。
其不断积累和扩充符合行业特点的评估用例，可充分检测信息系统的安全脆弱点，自动提供安全性建议，协助组织提升信息系统的安全性，提升安全级别。
明鉴远程安全评估系统具有远程对信息系统进行安全配置检查的能力，能够检查信息系统中的主机操作系统、数据库、网络设备等，并且符合行业现有的配置规范要求，同时具有友好的人机界面和丰富的报表系统，完全实现了基线审计工作的智能化、自动化。
还可以广泛用于系统准入、入网测试、工程验收、系统运维配置、自我评估、安全加固、安全巡检等安全管理工作。
明鉴远程安全评估系统作为一个框架式的系统，具有模块化的优势，因此对用户行业没有局限性，能够方便的针对各行业定制和扩展符合行业特点的配置检查规则。
2技术特色2.1 智能扫描识别技术明鉴远程安全评估系统基于安恒信息多年的安全研究经验和风险评估项目经验及研发多年积累的扫描引擎，该引擎通过开放端口服务的智能识别、检测规则依赖关系的自动扫描，结果过滤、模版匹配等技术的运用，做到了高智能化，高准确率的自动识别资产类型及软件版本，并结合多进程配置检查技术，实现高效可靠的配置检查管理工作。
国家信息安全测评信息安全产品分级评估业务白皮书版本：4.0©版权2013—中国信息安全测评中心二〇一三年八月目录1．简介 (1)1.1引言 (1)1.2目的和意义 (1)1.3业务范围 (1)2．分级评估业务介绍 (2)2.1业务特点 (2)2.1.1国家权威，国际认可 (2)2.1.2公平、公正、保密 (2)2.1.3技术成熟 (2)2.2业务需求 (2)2.2.1对用户 (2)2.2.2对企业 (3)2.2.3对政府 (3)2.3依据标准 (3)2.4业务实施 (3)2.4.1证据需求 (3)2.4.2业务流程 (5)2.4.3评估内容 (7)2.4.4人员及时间 (8)2.4.5资费标准 (9)2.4.6业务监督 (9)2.5业务输出 (9)2.6 FAQ (9)1．简介1.1 引言目前，众多组织机构开展了针对安全产品的多样化的测评业务，这些测评业务为人们了解产品的功能特点及实现方式提供了良好的途径。
然而，自身功能实现的好坏是否足以衡量一个产品的质量，为用户提供放心的使用环境呢？纵观国内外信息安全界，安全事件屡有发生，产品商业机密遭到泄露，这给用户带来了极大的危害。
显然，产品设计是否全面、是否提供了足够的保密措施、保障文档是否完善，都会对用户的使用起到至关重要的作用。
信息安全产品分级评估是指依据国家标准GB/T 18336—2008，综合考虑产品的预期应用环境，通过对信息安全产品的整个生命周期，包括技术，开发、管理，交付等部分进行全面的安全性评估和测试，验证产品的保密性、完整性和可用性程度，确定产品对其预期应用而言是否足够安全，以及在使用中隐含的安全风险是否可以容忍，产品是否满足相应评估保证级的要求。
1.2 目的和意义信息安全产品分级评估的目的是促进高质量、安全和可控的IT产品的开发，分级评估的具体的目的和意义包括：1）对信息安全产品依据国家标准进行分级评估；2）判定产品是否满足标准中的安全功能和安全保证要求；3）有助于在涉及国家安全的信息安全领域中加强产品的安全性和可控性，维护国家和用户的安全利益；4）促进中国信息安全市场的优胜劣汰机制的建立和完善，规范市场。
5）对产品、系统、服务等涉及到的漏洞信息进行数据规范性评估与认定。
1.3 业务范围具有信息技术安全功能的产品，如：防火墙，IDS/IPS、智能卡、网闸、桌面控制、审计等。
2．分级评估业务介绍2.1业务特点2.1.1国家权威，国际认可中心多年来依据国家授权对外开展信息安全产品测评业务，是代表国家对信息安全产品的最高认可，出具的测评报告具有极高的权威性。
中心依据国标GB/T 18336—2008开展分级评估业务，该标准等同采用国际标准ISO/IEC 15408:2005，所采用的评估方法均为国际通用方法，具备强大的国际认可基础。
2.1.2公平、公正、保密中心是第三方的独立测评机构，不代表任何商业组织的利益，出具的测评报告以事实为依据，以公平、公正为准则，为最终客户的产品选购提供了良好的依据。
我中心有成熟和完善的代码管理控制机制，可对厂家送测的产品源代码进行保密处理，确保不外泄。
2.1.3技术成熟多年来，中心是国内唯一开展产品分级评估业务的专业职能机构。
长期以来从事信息安全产品分级评估工作，使中心拥有一支专业的评估队伍，研发出丰富的评估技术手段，在承担国内标准的制定工作的同时，了解国内外对信息安全产品的最新要求及实时动态，其成熟的技术代表了业内领先水平。
2.2业务需求统观国际发展趋势，国际知名企业，如微软、IBM等陆续加入到分级评估的队伍中。
分级评估涉及的产品领域也在不断壮大，防火墙、IDS、网络交换机、操作系统等纷纷参与到分级评估的业务中。
分级评估是促进国内企业的产品迈向国际化的重要一步。
2.2.1对用户不同的应用环境要求信息技术产品所提供的安全性保证程度不同，因为不同的使用环境面临的安全威胁不同，所保护的信息资产的价值也有大有小。
分级评估业务可以为最终用户全面判断产品的安全性好坏提供依据，用户可以结合其对产品的预期使用环境，全方位的衡量该产品是否能够满足自身需求。
同时，评估结果可以帮助用户确定信息安全产品对其预期应用环境而言是否足够安全，以及考量在使用中隐藏的安全风险是否可以被容忍。
2.2.2对企业分级评估对产品需求、设计、开发、测试等整个生命周期均有严格的要求，企业通过分级评估可以提升产品安全设计水平。
分级评估从企业策略、开发环境、开发过程的控制、产品的安全交付等方面作出了要求，能够规范内部整体研发流程，从各个方面杜绝漏洞存在及泄密事件发生的可能。
分级评估是国际化的需要，通过分级评估的产品在我国入世后占据绝对的竞争优势。
2.2.3对政府通过分级评估，可以了解国内企业生产研发整体水平，加强行业监管，提升全行业产品整体水平，使整体信息安全产业尽快与国际接轨。
2.3依据标准此项业务的依据标准：●GB/T 18336—2008《信息技术安全技术信息技术安全性评估准则》同时，参考的标准包括：●《通用评估方法》●ISO/IEC15408：2008●产品相应保证级的安全技术要求●产品相关国家和国际标准2.4业务实施2.4.1证据需求根据业务内容的要求，申请方需提交的证据包括：●分级评估申请书●分级文档（注：见表1中的文档）●评估对象（TOE）●实现安全功能的源代码（注：EAL4以上需要此项）表1 各级所需文档（EAL1-EAL5）2.4.2业务流程图1 业务流程图信息安全产品分级评估流程主要分为受理阶段、预评估阶段、评估阶段和注册阶段共四个阶段：1）受理阶段申请方向中心提出分级评估申请。
由受理部门对申请方提交的申请书进行申请审查。
通过审查后，将进入下一阶段。
如果未通过审查，受理部门会根据提交资料的实际情况提出书面反馈意见，申请方应根据反馈意见进行补充或修改，并于5个工作日内，提交修改后资料。
逾期未提交，将被认为自动放弃本次评估申请。
2）预评估阶段受理完成后，相关文档将被转给评估部门，评估部门对文档资料进行技术审查，来判定提交的的资料内容是否符合要求。
如果未通过审查，评估部门会根据提交资料的实际情况提出书面反馈意见，申请方应根据反馈意见进行补充或修改，并于10个工作日内，提交修改后的文档。
通过审查后，评估部门根据申请的级别制定评估方案，同时申请方需向评估部门提交评估对象。
3）评估阶段评估方案制定完成后，评估部门通知申请方评估工作正式启动，并将需申请方配合的相关事宜一并告知，申请方应按评估进度提交符合测试部门要求的产品。
评估组人员根据评估方案，严格遵照评估进度开展评估工作，必要时可要求申请方提供技术支持，及配合完成有关操作。
评估中出现的属于申请方的问题，评估组出具观察报告交由申请方签字确认，如果问题极为严重，必要时可终止评估活动。
在测评过程中如发现被测产品存在技术问题，申请方可选择进行回归测试或者主动放弃合同权益。
如进行回归测试，则申请方收到回归测试通知单后应在10个工作日内反馈并修复问题。
回归测试需要申请方承担额外的费用，具体费用根据发现问题的复杂或难易程度、问题项的多少等估算工作量，按人日收费。
评估组人员根据各评估内容的评估结果，进行综合评定，并出具评估技术报告，该报告将作为产品是否通过分级评估的直接依据。
报告和评估记录交由评审组完成审核，评估组人员根据审核意见对报告和记录进行修改，并最终由评审组进行确认，通过后进入下一阶段。
4）注册阶段通过评估的产品，本中心对其进行注册及颁发证书，并将结果公布于中心的网站和杂志。
证书有效期为3年，在证书有效期届满前3个月内，由申请方向中心提出分级评估维持申请。
通过评估维持的产品，中心将为其换发新的证书。
2.4.3评估内容评估内容主要包括评估、安全性测试、现场核查共三个方面。
1）评估活动主要包括：●ST评估：评估ST是否正确定义了其安全功能、采用的安全机制以及采取何种安全策略来对抗其所面临的安全威胁。
●配置管理文档的评估：确认配置管理工具的使用，以及对TOE的变更是否可控。
●交付和运行文档的评估：评估交付和运行活动是否可控，是否安全可信。
●开发活动文档的评估：从外部接口、内部子系统、内部模块、源码等方面进行评估。
●指导性文档的评估：指南是否详尽，确认指南中没有误导、不合理和冲突的指导信息。
●生命周期支持文档的评估：确定开发者在TOE开发和维护期间使用安全程序的能力。
●测试活动文档评估：确定开发者依据其设计目标对其产品进行了深入认真的测试。
●脆弱性评定文档的评估：确定每个已经确认的脆弱性已经被描述并且合理解释了为什么在预期的环境中是不可用的。
以上各类文档的评估依据申请的保证级别而定。
GB/T 18336—2008第3部分对各个保证级别所需的文档内容有严格的要求，随着分级评估保证级别的增加，所需提交的文档所包含的内容就越全面，同时对每个文档内容的要求也越高。
2) 安全性测试主要包括：●独立性测试：中心为了验证被评估产品所提供的安全功能是否能够正确实现，从申请方提供的测试文档中抽取一定数量的测试用例，并经重新设计后来完成对安全功能的验证性测试操作。
该报告反映了测试的最终结果。
●穿透性测试：中心根据申请方提供的脆弱性分析文档，采用非常规的测试手段（如模拟黑客攻击方式），验证被评估产品存在的脆弱性在预期环境下是否无法被利用，以威胁产品及其保护资产的安全。
该报告反映了测试的最终结果。
注：EAL1级不进行穿透性测试。
3) 现场核查主要包括：●核查配置管理、交付运行、开发安全。
现场核查的形式包括文档证据审查、实际环境审查以及与有关人员交流。
确认与产品相关的文档是否齐全并得到了妥善的保护。
确认研发及测试环境是否采取了防止产品机密信息泄露的安全措施。
确认是否采取了确保产品完整性的措施（如使用了配置管理或其它代码及文档管理的辅助工具）。
确认是否采用了安全控制措施来保证产品在开发环境之外的安全。
与各级研发人员进行交流，确认其对产品的设计思路是否清晰，对产品的研发技术、功能特点、安全控制措施是否明确。
EAL3级（含）以上分级评估将进行现场核查。
现场核查约在评估过程进行至70%左右时进行。
4) CNNVD兼容性认定（适用于IDS、IPS、扫描器等具有漏洞特征库的产品）：兼容性认定的主要判定依据为：漏洞编号、漏洞名称、漏洞描述、受影响实体名称及版本、漏洞类型、危害等级等，主要判定标准包括：1.使用CNNVD编号作为产品、系统或服务所使用的漏洞主要编号；2.在产品及文档相关位置展示CNNVD漏洞编号；3.漏洞名称及描述等漏洞属性内容与CNNVD保持基本一致；4.在产品及相关文档显著位置标注CNNVD支持字样以及CNNVD的标识。
2.4.4人员及时间评估开始时间为申请方接到项目启动通知单的时间，评估结束时间为信息安全实验室出具评估技术报告的时间。
