下载文档原格式
信息系统的安全等级及测评要求信息系统的安全等级及测评要求1. 引言在当今数字化和网络化的时代，信息系统的安全性变得尤为重要。
随着互联网的普及和信息技术的发展，各种黑客攻击、数据泄露和网络病毒等安全威胁日益增多，给企业、政府机构以及个人带来了巨大的损失和风险。
为了保护信息资产和维护正常运营，对信息系统的安全等级进行评估和要求已经成为一种不可或缺的需要。
2. 信息系统安全等级划分为了实现统一的安全等级评估标准和要求，国际上广泛使用的是ISO/IEC 15408 - Common Criteria（公共标准）。
2.1 安全等级的概念安全等级是指根据信息系统在保护资产、防御攻击等方面的能力对其安全等级进行分类和划分的过程。
根据ISO/IEC 15408的标准，信息系统分为七个等级，从最低到最高分别为EAL1到EAL7。
2.2 不同等级的特点- EAL1：功能和设计性的低要求，适用于一些低风险的商业应用。
- EAL2：要求有关详尽性的设计文档，适用于一些基础的商业应用。
- EAL3：要求有关审计和设计的文档，适用于大部分商业应用。
- EAL4：要求有关设计的详尽文档和严格的安全计划，适用于较高安全要求的商业应用。
- EAL5：严格设计和文档要求，适用于军事和政府级的安全应用。
- EAL6：更高的设计要求，适用于一些特殊的政府级安全应用。
- EAL7：最高的安全标准和审计要求，适用于极高安全需求的政府和军事级别应用。
3. 信息系统安全测评要求在信息系统的开发和运营过程中，安全测评是评估系统的强弱和薄弱环节的重要方式。
以下是信息系统安全测评要求的一些关键步骤：3.1 风险评估风险评估是对信息系统进行全面分析和评估，以确定潜在的安全隐患和威胁。
通过识别和评估各种威胁和脆弱性，可以帮助确定安全等级和相应的安全控制措施。
3.2 漏洞扫描漏洞扫描是通过使用专门的软件工具来检测信息系统中可能存在的漏洞和弱点。
通过扫描系统，可以及早发现潜在的安全漏洞，并采取相应的应对措施。
信息系统等级保护(2.0)测评工作方案-CAL-FENGHAI-(2020YEAR-YICAI)_JINGBIAN信息系统等级保护测评工作方案目录信息系统等级保护测评工作方案...................................................... 错误!未定义书签。
目录.................................................................................................... 错误!未定义书签。
1.项目概述 ...................................................................................... 错误!未定义书签。
.项目背景 ...................................................................... 错误!未定义书签。
.项目目标 ...................................................................... 错误!未定义书签。
.项目原则 ...................................................................... 错误!未定义书签。
.项目依据 ...................................................................... 错误!未定义书签。
2.测评实施内容 .............................................................................. 错误!未定义书签。
.测评分析 ...................................................................... 错误!未定义书签。
一、单选题（20分）1、以下关于信息系统安全建设整改工作方中说珐中不正确的是？（）A、突出重要系统，涉及所有等级，试点示范，行业推广,国家强制执行.B、利用信息安全等圾保护综合工作平台使等级保护工作常态化。
C、管理制度建设和技术措施建设同步或分步实施。
D、加快改造，缺什么补什么，也可以进总体安全建设整改规划.2、以下关于定级工作说法不正确的是？（)A、确定定级对象过程中,定级对象是指以下内容：起支撑、传输作用的信息网络（包括专网、内网、外网、网管系统)以及用于生产、调度、管理、指挥、作业、控制、办公等目的的各类业务系统。
B、确定信息系统安全保护等级仅仅是指确定信息系统属于五个等级中的哪一个。
C、在定级工作中同类信息系统的安全保护等级不能随着部、省、市行政级别的降低而降低.D、新建系统在规划设计阶段应确定等级，按照信息系统等级，同步规划、同步设计、同步实施安全保护技术措施和管理措施.3、测评单位开展工作的政策依据是？( )A、公通字［2004］66号。
B、公信安[2008］736。
C、公信安［2010］303号。
D、发改高技[2008］2071。
4、一般来说,二级信息系统，适用于？( ）A、乡镇所属信息系统、县级某些单位中不重要的信息系统.小型个体、私营企业中的信息系统.中小学中的信息系统。
B、适用于地市级以上国家机关、企业、事业单位内部重要的信息系统；重要领域、重要部门跨省、跨市或全国（省）联网运行的信息系统；跨省或全国联网运行重要信息系统在省、地市的分支系统；各部委官方网站；跨省(市)联接的信息网络等.C、适用于重要领域、重要部门三级信息系统中的部分重要系统。
例如全国铁路、民航、电力等调度系统，银行、证券、保险、税务、海关等部门中的核心系统.D、地市级以上国家机关、企业、事业单位内部一般的信息系统.例如小的局域网，非涉及秘密、敏感信息的办公系统等。
5、安全测评报告由（）报地级以上市公安机关公共信息网络安全检查部门？A、安全服务机构。
信息安全技术信息系统安全等级保护测评过程指南引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003］27号）、《关于信息安全等级保护工作的实施意见》（公通字［2004］66号）和《信息安全等级保护管理办法》(公通字［2007］43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：-—GB/T22240-2008信息安全技术信息系统安全等级保护定级指南; ——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求；——GB/TCCCC—CCCC信息安全技术信息系统安全等级保护实施指南；——GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求。
信息安全技术信息系统安全等级保护测评过程指南1范围本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。
2规范性引用文件下列文件中的条款通过在本标准中的引用而成为本标准的条款.凡是注日期的引用文件，其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件,其最新版本适用于本标准。
GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240—2008信息安全技术信息系统安全等级保护定级指南GB/T22239—2008信息安全技术信息系统安全等级保护基本要求GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字[2007］43号）3术语和定义GB/T5271.8、GB17859—1999、GB/TCCCC—CCCC和GB/TDDDD—DDDD确立的以及下列的术语和定义适用于本标准。
报告编号：XXXXXXXXXXX-XXXXX-XX-XXXXXX-XX网络安全等级保护[被测对象名称]等级测评报告等保2.0委托单位：测评单位：报告时间：年月网络安全等级测评基本信息表声明【填写说明：声明是测评机构对测评报告的有效性前提、测评结论的适用范围以及使用方式等有关事项的陈述。
针对特殊情况下的测评工作，测评机构可在以下建议内容的基础上增加特殊声明。
】本报告是[被测对象名称]的等级测评报告。
本报告是对[被测对象名称]的整体安全性进行检测分析，针对等级测评过程中发现的安全问题，结合风险分析，提出合理化建议。
本报告测评结论的有效性建立在被测评单位提供相关证据的真实性基础之上。
本报告中给出的测评结论仅对被测对象当时的安全状态有效。
当测评工作完成后，由于被测对象发生变更而涉及到的系统构成组件（或子系统）都应重新进行等级测评，本报告不再适用。
本报告中给出的测评结论不能作为对被测对象内部部署的相关系统构成组件（或产品）的测评结论。
在任何情况下，若需引用本报告中的测评结果或结论都应保持其原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。
单位名称（加盖单位公章）年月日等级测评结论【填写说明：此表描述等级保护对象及等级测评活动中的一般属性。
包括被测对象名称、安全保护等级、被测对象描述、测评工作描述、等级测评结论及综合得分。
如被测对象为云计算（包括平台/系统）或大数据（包括平台/应用/资源），则需要增加云计算安全扩展表或大数据安全扩展表。
】等级测评结论扩展表（云计算安全）【填写说明：此表描述与云计算（包括平台/系统）相关的扩展信息。
云计算形态用于明确被测对象为云计算平台还是云服务客户业务应用系统，此处为单选。
运维所在地用于明确云计算服务的后台技术管理者所在位置，方便公安机关监管。
云服务模式用于明确被测对象所采用的服务模式，此处为单选。
注意，一个云计算平台可能有多种服务模式，每种服务模式单独构成一个定级系统，对应一份定级报告及一份等级测评报告。
信息系统等级测评1. 引言信息系统在现代社会中得到了广泛的应用，对于保护和管理信息系统的安全性至关重要。
为了评估信息系统的安全性和等级，需要进行信息系统等级测评。
本文将介绍信息系统等级测评的概念和重要性，并提供一些常用的测评方法和工具。
2. 信息系统等级测评的概念信息系统等级测评是评估和确定信息系统在一定等级下的安全性和能力的过程。
它是根据特定的标准和指南，将信息系统划分为不同的等级，并对其进行评估和鉴定。
信息系统等级测评可以帮助组织了解其信息系统的安全状况，发现潜在的风险和漏洞，并制定相应的安全措施和策略。
3. 信息系统等级测评的重要性信息系统等级测评具有以下重要性：•风险评估与管理：通过信息系统等级测评，组织可以全面了解其信息系统的风险状况，识别和评估潜在的威胁和漏洞，并采取相应的措施进行风险管理和控制。
•合规性和法规遵循：许多行业和政府机构要求组织满足特定的安全标准和法规。
信息系统等级测评可以帮助组织评估其安全措施是否符合相关的合规性要求。
•资源分配和优先级设定：通过信息系统等级测评，组织可以根据不同的等级划分，为不同的信息系统分配资源和确定优先级。
这有助于组织优化资源利用和安全保护的投入。
•信任建立与合作伙伴选择：通过信息系统等级测评，组织可以证明其信息系统的安全性和可信度，与其他组织建立信任关系，选择安全可靠的合作伙伴。
4. 信息系统等级测评方法和工具4.1 定性评估方法定性评估方法通常是通过对信息系统进行可行性分析、风险评估、安全策略和计划的制定等方式，得出信息系统的等级评估结果。
这种方法相对简单易行，适用于中小型组织。
4.2 定量评估方法定量评估方法使用数学和统计模型来评估信息系统的安全性和等级。
这种方法可以更精确地刻画信息系统的安全状态，适用于大型组织和复杂信息系统。
4.3 验证和测试工具验证和测试工具是用于测量和评估信息系统各个方面的工具。
它们可以检测系统是否违反了安全政策和规定，发现系统中的漏洞和弱点。
信息系统安全等级保护法规与依据在信息系统安全等级保护定级备案、信息系统安全等级保护测评等方面测评依据如下：1、《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）2、《信息安全等级保护管理办法》（公通字[2007]43号）3、GB/T 17859-1999《计算机信息系统安全保护等级划分准则》4、GB/T 20274《信息安全技术信息系统安全保障评估框架》5、GB/T 22081-2008《信息技术安全技术信息安全管理实用规则》6、GB/T 20271-2006《信息系统通用安全技术要求》7、GB/T 18336-2008《信息技术安全技术信息技术安全性评估准则》8、GB 17859-1999《计算机信息系统安全保护等级划分准则》9、GB/T 22239-2008《信息安全技术信息系统安全等级保护基本要求》10、GB/T 22240-2008《信息安全技术信息系统安全等级保护定级指南》11、《信息安全技术信息系统安全等级保护测评要求》12、《信息安全技术信息系统安全等级保护实施指南》13、《信息安全等级保护管理办法》信息系统安全等级保护定级备案流程1、定级原理信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。
网络安全自测等级
网络安全自测等级参考标准
一、基础级
1. 你是否在所有设备上定期更新操作系统和应用程序？
2. 你是否为所有设备设置了强密码，并定期更改密码？
3. 你是否使用防火墙保护家庭网络？
4. 你是否使用合法和受信任的软件和应用程序？
5. 你是否注意不点击垃圾邮件或短信中的链接或附件？
6. 你是否定期备份重要的个人数据？
二、中级
1. 你是否使用不同的密码来保护不同的在线账户？
2. 你是否启用了双因素认证来提高账户的安全性？
3. 你是否定期审查和更新个人隐私设置？
4. 你是否定期检查设备上的恶意软件和病毒？
5. 你是否定期清理浏览器缓存和cookie？
6. 你是否使用加密连接来访问银行和其他敏感网站？
三、高级
1. 你是否定期参加网络安全培训和教育？
2. 你是否使用虚拟专用网络（VPN）来保护你的网络连接？
3. 你是否定期进行网络渗透测试，以发现潜在的漏洞？
4. 你是否使用密码管理器来安全地存储和管理密码？
5. 你是否熟悉并遵守法律和道德规范，以免参与网络欺诈和黑客活动？
6. 你是否使用设备锁定功能来保护你的移动设备？
请根据以上自测等级参考标准，自行评估和提升你的网络安全防护能力。
信息系统安全等级保护测评报告模板信息系统安全等级保护测评报告听起来可能让人一头雾水，尤其是对一些不太懂技术的小伙伴来说。
说白了，它就是一个针对信息系统安全进行“体检”的报告。
就像你去医院做体检，医生会根据你身体的各项指标，判断你是不是健康，哪个地方可能出问题，哪些方面需要加强一样。
信息系统的安全等级保护测评报告，也是给“信息系统”做体检，看看它在面对各种威胁时，能不能保持健康，能不能保护好公司的数据、网络以及其他重要信息。
这些东西不检查，谁知道哪天会被黑客盯上，或者系统被不法分子钻了空子，闹出大事儿来呢？好了，咱们先聊聊“等级保护”这回事儿。
简单说，就是信息系统的安全防护要根据它的重要性来定等级，系统重要，保护就得更到位。
就像你家里有个金库，肯定得比你家门口的自行车锁更加严密，防不住小偷还怎么行？而这个“等级保护”就是告诉你，你的系统在这个网络社会中属于什么等级，需要多高的防护来防止外部的威胁。
为了让这些工作做得更专业、更细致，咱们有了这个测评报告，来一针见血地告诉你，哪儿是薄弱环节，哪里需要加固。
接下来要说的就是“测评”了。
说到这个测评，可能你就想，哎呀，跟考试一样是不是？其实倒也不是。
它更多的是一种专业的技术评估，专业的测评人员会拿出一套严格的标准，通过多方位的检查，检测你信息系统的各项安全性指标。
比如，系统的访问控制、数据的加密保护、网络的安全防护、应用的漏洞扫描等等。
用一个通俗的比喻，测评就像是给你家门口安个监控，看看有没有黑客在附近转悠，门窗是不是关好，防盗门的锁是不是牢靠。
做完这些检测后，评估人员就会给出一个详细的报告，告诉你：你的系统哪些方面做得好，哪些方面可能会让黑客有机可乘。
测评报告里最让人关心的，当然是那个“安全等级”啦。
它通常分为五个等级，级别从低到高。
等级越高，表示你的系统越安全，越能抵挡来自网络世界的各种威胁。
最简单的举个例子，假如你的系统只是普通的办公系统，重要性一般，那它可能是三级保护，防护标准也就普通一些。
文档编码CRBJ-PMD-PSI项目管理号1001-GFCSP-Tech信息系统安全等级测评工具【自测版】产品规格说明书（PSI）Product Specification Instructions公安部第三研究所2010年07月06日版权所有侵权必究[文档信息][版本变更记录][文档送呈]目录1 产品背景及概述 (1)1.1 产品背景 (1)1.2 产品概述 (3)2 产品目标及策略 (4)2.1 产品目标 (4)2.2 产品策略 (4)3 产品执行标准 (5)4 产品说明 (6)5 结论 (8)1产品背景及概述1.1 产品背景随着信息技术的迅猛发展和广泛应用，特别是我国国民经济和社会信息化进程的全面加快，网络与信息系统的基础性、全局性作用日益增强，信息网络已成为国家和社会发展新的重要战略资源。
党中央、国务院始终高度重视信息安全问题，多次指示公安部会同有关部委制定有效措施，切实加强管理，提高我国计算机信息系统安全保护水平，以确保社会政治稳定和经济建设的顺利进行。
2003年8月，国家信息化领导小组关于加强信息安全保障工作的意见（中办发[2003]27号）明确指出信息安全保障工作要“实行信息安全等级保护”。
信息安全等级保护制度已经成为我国信息安全保护工作的基本国策，实行信息安全等级保护具有重大的现实和战略意义。
为了进一步推动等级保护工作的进展，公安部、国家保密局、国家密码管理委员会办公室和国务院信息化工作办公室于2004年联合下发了《关于信息安全等级保护工作的实施意见》，明确指出要在三年内在全国范围内推广等级保护制度。
为了规范和指导各地的等级保护工作，公安部、全国信息安全标准化技术委员会委托公安部信息安全等级保护评估中心（以下简称评估中心）制定了一系列等级保护相关标准和文件。
目前，国家推荐标准《信息系统安全保护等级定级指南》、《信息系统安全等级保护基本要求》和《信息系统安全等级保护实施指南》已经完成报批稿，《信息系统安全等级保护测评准则》已经完成征求意见稿。
2006年8月，公安部、国家保密局、国家密码局和国务院信息化办公室联合在北京举行了“信息安全等级保护工作会议”，向来自全国各地和各重要部委的近200名信息化工作主管领导颁发了《信息安全等级保护试点工作实施方案》，涉及系统定级、等级测评、制度建设、系统改建、备案与监督检查等多项等级保护工作。
同时，为了加强信息安全等级保护工作的组织领导，国家成立了由公安部副部长张新枫任组长，公安部、国家保密局、国家密码局和国务院信息化办公室有关局级领导为成员的信息安全等级保护协调小组，协调小组办公室设在公安部公共信息网络安全监察局。
试点工作的经验表明，等级测评活动是确保信息安全等级保护工作的关键关节。
等级测评能够帮助信息系统的运营、使用单位进行信息系统安全自查，了解系统的安全现状与国家要求之间的差距，明确安全整改的目标与方向。
市场调查表明，目前信息安全相关的商用测评工具主要集中在漏洞扫描和问卷评估系统等方面，无法准确、全面的提供信息系统安全等级保护的整体测评结论。
由于信息安全等级保护制度已经成为我国信息安全保护工作的基本国策，国家相关文件规定信息系统必须定期进行自查和定期委托专业测评机构进行等级符合性测评。
为了确保信息安全等级保护工作的顺利开展，实现国家在三年内全面实施信息安全等级保护工作的工作目标，迫切需要信息系统等级保护测评的专用工具，作为信息系统等级测评支撑工具，提供信息系统的运营单位、使用单位、安全服务机构、安全测评机构、重要行业的主管部门以及国家信息安全监管机构等部门，用于定期测试或符合性测评。
因此，专用测评工具将成为信息系统的运营单位、使用单位、安全服务机构、安全测评机构、重要行业的主管部门以及国家信息安全监管机构等部门的必备工具，是信息安全等级保护工作的顺利开展和完成不可或缺的保障。
1.2 产品概述海盾系列信息系统安全等级保护测评工具软件是由国内领先的等保测评专家团队在深入分析等级保护技术要求、国内信息系统面临安全威胁和典型案例的基础上研制而成。
作为国内领先的等保测评工具软件，不仅提供了详细的操作流程、步骤说明，还具有融合自动化工具和第三方安全检查工具检查、扫描的功能，能够有效协助使用者按照等级保护标准要求推进信息系统安全等级保护工作。
本软件产品的原型来源于国家高技术研究发展计划（863计划）课题《等级保护体系模型、测评方法与支撑工具研究》（2007年01月10日，课题编号：2006AA01Z450）和国家发改委国家信息安全专项项目（发改办高技[2007]2035号文）。
软件产品吸取了专家组的意见和建议，在公安部信息安全等级保护评估中心的指导下经过功能完善、适应测评工作指南要求、调整报告格式等大量工作，最终形成了可以为等级测评提供支持和服务的系列工具，并已投入多个测评项目实际应用。
海盾系列工具软件主要面向信息系统运营使用单位的安全管理人员和测评机构的测评技术人员，指导他们按照标准合规的测评方法进行测评或自测，并能实现测评的数据、过程标准化管理。
本产品名称为“信息系统安全等级测评工具-自测版”（Information Systems Classified Security Protection Evaluation Utility for Customer），简称等保测评工具自测版，产品编码为CRIT-CS-TA。
2产品目标及策略2.1 产品目标为配合信息安全等级保护体系的贯彻和实施，需要根据等级保护的标准体系，开发一系列辅助的工具，为：➢等级测评服务机构；➢监管部门；➢信息系统运行维护管理部门；➢行业主管部门。
提供测评和监督检查的辅助工具，以使相关单位和部门能够尽快掌握相关的评估测试技术标准与标准知识的应用，提高信息系统安全测评和检查的水平，并增加这些环节的工作效率，提高自动化程度。
等保测评支撑工具-自测版是为用户自查、系统自测评和定级信息系统差距分析提供服务的。
主要目标用户为：信息系统运行维护单位的技术人员和管理人员。
2.2 产品策略本自测版软件是独立运行的软件，采用USBKey认证方式进行登录，并提供数据导出功能，以便将自查数据导出，以便专业机构进行分析。
安全性方面扩展功能：➢用户登录采用USBKey等强认证方式；软件产品采用组件化的软件架构，可以通过组件扩充测评方法、数据分析与融合算法、报告生成方法——➢知识库包含测评知识与测评要点；➢支持等级保护体系模型中的测评方法；➢支持智能的结构化分析方法，能综合单独测评结果形成系统差距分析结论；➢报表功能支持Word格式导出；➢具有数据导出接口，测评结果可以导出到其它管理分析系统中；➢客户化定制功能，可根据组件配置选择，形成多个功能版本（包括知识库定制）或具有行业特色内容的版本等。
后续策略将根据市场反馈进一步及时升级和更新。
3产品执行标准➢中华人民共和国计算机信息系统安全等级保护条例，1994➢国家信息化领导小组关于加强信息安全保障工作意见（中发办[2003]27号）➢关于信息安全等级保护工作实施意见（公通字[2004]66号）➢等级保护管理办法（公通字[2007]43号）➢信息安全等级保护管理办法（试行）➢计算机信息系统等级保护划分准则GB17859➢信息系统安全等级保护实施指南（送审稿）➢信息系统安全保护等级定级指南（GB/T 22240-2008）➢信息系统安全等级保护基本要求（GB/T 22239-2008）➢信息系统安全等级保护测评要求（送审稿）➢GA/T 387-2002《计算机信息系统安全等级保护网络技术要求》➢GA 388-2002《计算机信息系统安全等级保护操作系统技术要求》➢GA/T 389-2002《计算机信息系统安全等级保护数据库管理系统技术要求》➢GA/T 390-2002《计算机信息系统安全等级保护通用技术要求》➢GA 391-2002《计算机信息系统安全等级保护管理要求》4产品说明根据《信息系统等级保护模型研究报告》、《信息系统等级测评模型研究报告》、《等级保护测评工作知识表达方法研究报告》、《等级保护测评知识库与方法库设计报告》的研究成果，支撑工具完成了以下主要功能：➢根据知识库的测评指标知识内容，将测评指标对应到测评对象，并自动生成测评检查表。
➢引导用户对信息系统、制度和人员等进行全面的安全性证据获取；➢引导用户手工输入收集的证据数据；➢辅助分析给出系统的安全现状；➢辅助分析给出系统保护等级的差距；➢通过调用内置测评指标知识库，可对测评结果进行汇总、统计和计算，并按要求给出定级信息系统差距分析结论。
➢自动生成测评报告，并根据要求输出Word格式的数据。
自测版工具是提供给信息系统运营使用单位对信息系统进行自查使用，使用流程大致可分为三大部分：一是测评准备，二是测评实施，三是后期管理，所有的这些操作都在信息系统运营使用单位内部完成。
具体使用流程如下图所示：图1自测版工具使用流程图在测评准备阶段中，依据等级保护的相关政策、法规和标准，将信息系统对应的安全等级（安全等级包括安全等级、业务信息安全等级和系统服务安全等级）录入到自测版工具中。
在测评实施阶段中，自测版工具信息系统的安全等级和检查对象的类型自动生成相应的自查问卷。
这些问卷主要是根据等级保护的相关标准进行设计的，根据这些自查表可以对相关文档和安全控制进行明确的审查和测试。
在后期管理阶段中，自测版工具自动对填写的自查表进行分析评判，并将不符合项进行汇总，以便用户找出信息系统缺失的能力，并可以根据报告模板生成自查报告，以便对报告进行浏览、打印、预览和导出。
自测版的使用用户应具有基本的计算机信息安全知识，具有独立的工具软件使用维护基本能力。
5结论本文档阐述了海盾系列等级保护测评工具在信息安全等级保护工作中的应用目的、方式和方法。
通过海盾系列等级保护测评工具在信息安全等级保护测评工作中的实际应用和部署，可有效实现等级测评工作的过程和数据管理，预防原始的文档化操作造成的标准不一致、水平参差不齐、易造成信息外泄等问题，实现对定级系统测评数据的安全问题的跟踪定位、整体分析和评估，为定级信息系统的评估意见和整改建议提供详尽、可靠的支持。
