信息安全等级保护二级测评控制点

二级等保测评计划摘要：一、二级等保测评计划简介1.二级等保测评计划的背景2.二级等保测评计划的目的3.二级等保测评计划的范围二、二级等保测评计划的主要内容1.测评依据和标准2.测评过程和步骤3.测评结果和处理三、二级等保测评计划的实施与监管1.实施责任主体2.实施时间表3.监管机构和职责四、二级等保测评计划的意义和影响1.对于信息安全保障的提升2.对于行业发展的促进3.对于社会公众的保障正文：二级等保测评计划是我国信息安全保障体系的重要组成部分，旨在通过对信息系统进行安全等级保护测评，提高信息安全水平，防止信息泄露、篡改、破坏等风险。

一、二级等保测评计划简介1.二级等保测评计划的背景随着互联网的快速发展和信息技术的广泛应用，我国信息安全面临着越来越严峻的挑战。

为了保障信息系统安全，我国制定了一系列信息安全等级保护制度，其中二级等保测评计划是重要的一环。

2.二级等保测评计划的目的二级等保测评计划的主要目的是通过对信息系统进行安全等级保护测评，发现和消除安全隐患，提高信息安全水平，防止信息泄露、篡改、破坏等风险。

3.二级等保测评计划的范围二级等保测评计划适用于我国境内所有涉及国家安全、公共安全、经济安全的重要信息系统。

测评范围包括信息系统的安全管理制度、安全技术措施、安全运维保障等方面。

二、二级等保测评计划的主要内容1.测评依据和标准二级等保测评计划依据国家有关法律法规和标准进行，主要包括《信息安全等级保护基本要求》、《信息安全等级保护测评方法》等。

2.测评过程和步骤二级等保测评计划包括前期准备、测评实施、测评报告编制和审核发布等步骤。

测评过程遵循严格的标准和规范，确保测评结果的客观、公正、准确。

3.测评结果和处理测评结果将根据安全等级保护要求进行处理。

对于测评中发现的安全隐患，责任单位需及时整改。

对于未达到安全等级保护要求的信息系统，将受到相应的处罚。

三、二级等保测评计划的实施与监管1.实施责任主体二级等保测评计划的实施主体包括各级信息安全监管部门、测评机构、信息系统运营使用单位等。

1安全物理环境1.1 物理地点选择本项要求包含：a）机房场所应选择在拥有防震、防风和防雨等能力的建筑内；b）机房场所应防止设在建筑物的顶层或地下室，不然应增强防水和防潮措施。

1.2 物理接见控制机房进出口应安排专人值守或配置电子门禁系统，控制、鉴识和记录进入的人员。

1.3 防偷窃和防损坏本项要求包含：a）应将设备或主要零件进行不变，并设置明显的不易除掉的表记；b）应将通讯线缆铺设在隐蔽安全处。

1.4 防雷击应将各种机柜、设备和设备等经过接地系统安全接地。

1.5 防火本项要求包含：a）机房应设置火灾自动消防系统，可以自动检测火情、自动报警，并自动灭火； b）机房及有关的工作房间和协助房应采纳拥有耐火等级的建筑资料。

1.6 防水和防潮本项要求包含：a）应采纳举措防备雨水经过机房窗户、屋顶和墙壁浸透；b）应采纳举措防备机房内水蒸气结露和地下积水的转移与浸透。

1.7 防静电应采纳防静电地板或地面并采纳必需的接地防静电举措。

1.8 温湿度控制应设置温湿度自动调理设备，使机房温湿度的变化在设备运转所同意的范園以内。

1.9 电力供给本项要求包含：a）应在机房供电线路上配置稳压器和过电压防备设备；b）应供给短期的备用电力供给，起码知足设备在断电状况下的正常运转要求。

1.10 电磁防备电源线和通讯线缆应隔绝铺设，防止相互扰乱。

2安全通讯网络2.1 网络架构本项要求包含：a）应区分例外的网络地区，并依照方便管理和控制的原则为各网络地区分派地点； b）应防止将严重络地区部署在界限处，严重网络地区与其余网络地区之间应采纳靠谱的技术隔绝手段。

2.2 通讯传输应采纳校验技术保证通讯过程中数据的完好性。

2.3 可信考证可鉴于可信根对通讯设备的系统指引程序、系统程序、严重配置参数和通讯应用程序等进行可信考证，并在检测到其可信性遇到损坏后进行报警，并将考证结果形成审计记录送至安全管理中心。

3 安全地区界限3.1 界限防备应保证超越界限的接见和数据流经过界限设备供给的受控接口进行通讯。

一、等级保护测评方案（一）测评范围与方法《基本要求》中对不同等级信息系统的安全功能和措施作出具体要求，信息安全等级测评要根据信息系统的等级从中选取相应等级的安全测评指标，并根据《测评要求》的要求，对信息系统实施安全现状测评。

因此，本次测评将根据信息系统的等级选取相应级别的测评指标。

1.测评指标三级基本指标依据定级结果，甲方的安全测评指标应包括《基本要求》第7节“第三级基本要求”中的3级通用指标类（G3），3级业务信息安全性指标类（S3）和3级业务服务保证类（A3）。

所包括的安全控制指标类型情况具体如下表：系统测评指标统计列表二级基本指标依据定级结果，甲方的安全测评指标应包括《基本要求》第7节“第三级基本要求”中的2级通用指标类（G2），2级业务信息安全性指标类（S2）和2级业务服务保证类（A2）。

所包括的安全控制指标类型情况具体如下表特殊指标无。

（二）测评对象1.测评对象选择方法测评对象包括网络互联与安全设备操作系统、应用软件系统、主机操作系统、数据库管理系统、安全相关人员、机房、介质以及管理文档。

选择过程中综合考虑了信息系统的安全保护等级、业务应用特点和对象所在具体设备的重要情况等要素，并兼顾了工作投入与结果产出两者的平衡关系。

2.测评对象选择结果2.1.物理机房测评对象-物理机房列表2.2.网络设备测评对象-网络设备列表3.安全设备测评对象-安全设备列表4.服务器或存储设备测评对象-服务器或存储设备列表5.终端或现场设备测评对象-终端或现场设备列表6.系统管理软件或平台测评对象-系统管理软件或平台列表7.业务应用系统或平台测评对象-业务应用系统或平台列表8.关键数据类型测评对象-关键数据类型列表测评对象-数据类型列表9.安全相关人员测评对象-安全相关人员列表10.安全管理文档测评对象-安全管理文档列表（三）测评方法本次等级测评现场实施过程中将综合采用访谈、检查和测试等测评方法。

1.访谈访谈是指测评人员通过与被测系统有关人员（个人/群体）进行交流、询问等活动，获取证据以证明信息系统安全保护措施是否有效的一类方法。

等保2.0二级的通用控制点和要求项1.引言等保2.0是指中国信息安全等级保护标准第二版，为了进一步加强网络空间信息安全防护，提升我国网络安全等级保护能力，等保2.0发布并实施。

在等保2.0中，通用控制点和要求项是保护信息系统安全的基础，对于各类企事业单位具有重要的指导意义。

2.通用控制点概述通用控制点是等保2.0要求实施的安全控制要点，用于确保信息系统达到一定的安全性。

通用控制点包括以下几个方面：2.1物理安全控制物理安全控制是指对信息系统的物理环境进行保护，防止非授权人员进入或者破坏信息系统设备、介质等。

在等保2.0中，物理安全控制要求包括：-控制访问入口，设置门禁系统，并进行严格的身份验证；-对关键设备、机房进行监控，确保设备的安全；-对机房进行定期巡检，发现问题及时处理。

2.2人员管理控制人员管理控制是指对参与信息系统操作和维护的人员进行管理和监控，确保人员的行为符合安全要求。

在等保 2.0中，人员管理控制要求包括：-明确人员权限，并进行权限分级管理；-对人员进行安全管理培训，提高其安全意识；-制定人员操作规范和管理制度，监控人员行为。

2.3安全运维控制安全运维控制是指对信息系统的运维过程进行安全管理，确保系统处于安全的状态。

在等保2.0中，安全运维控制要求包括：-定期对系统进行漏洞扫描和安全风险评估；-及时修补系统漏洞，并记录修补过程；-制定系统运维手册，确保运维过程规范可控。

3.要求项解析要求项是等保2.0中对通用控制点实施的具体要求和细则，是实现通用控制点的关键。

以下是等保2.0二级的通用控制点和要求项的详细解析：3.1物理安全相关要求-要求项1：设置门禁系统，并记录人员进出门禁的情况。

-要求项2：对机房内的设备进行定期巡检，确保设备完好无损。

-要求项3：制定机房进出管理规定，确保非授权人员无法进入机房。

3.2人员管理相关要求-要求项1：制定人员权限管理制度，明确人员的权限范围。

-要求项2：对参与信息系统操作和维护的人员进行背景审查。

二级等保测评计划摘要：1.二级等保测评计划概述2.二级等保测评计划的内容3.二级等保测评计划的实施步骤4.二级等保测评计划的意义正文：【二级等保测评计划概述】二级等保测评计划是我国信息安全等级保护制度的重要组成部分，主要针对我国信息系统的安全等级进行评估和保护。

二级等保测评计划的实施，旨在加强我国信息系统的安全防护能力，确保信息系统的正常运行和数据安全。

【二级等保测评计划的内容】二级等保测评计划的内容主要包括以下几个方面：1.信息系统安全等级的划分：根据信息系统的重要程度和安全需求，将信息系统划分为不同的安全等级。

2.信息系统安全等级的保护措施：针对不同安全等级的信息系统，制定相应的安全保护措施，包括物理安全、网络安全、主机安全、数据安全和应用安全等。

3.信息系统安全等级的评估：对信息系统的安全等级进行定期评估，确保信息系统的安全保护措施得到有效实施。

4.信息系统安全等级的监测：对信息系统的安全状况进行实时监测，及时发现并处理安全事件。

【二级等保测评计划的实施步骤】二级等保测评计划的实施步骤主要包括以下几个方面：1.制定测评计划：根据信息系统的实际情况，制定详细的测评计划，明确测评的目标、内容、方法和时间等。

2.开展测评：按照测评计划，对信息系统的安全等级进行评估，收集相关数据和资料。

3.分析测评结果：对测评结果进行分析，找出信息系统的安全风险和薄弱环节。

4.制定整改措施：根据测评结果，制定相应的整改措施，加强信息系统的安全防护。

5.实施整改：按照整改措施，对信息系统进行整改，确保信息系统的安全等级得到提升。

【二级等保测评计划的意义】二级等保测评计划的实施，对于保障我国信息系统的安全具有重要意义：1.提升信息系统的安全防护能力：通过实施二级等保测评计划，可以及时发现信息系统的安全风险，采取有效措施进行防范，提升信息系统的安全防护能力。

2.保障信息系统的正常运行：二级等保测评计划的实施，有助于确保信息系统的正常运行，为我国经济社会发展提供有力支持。

二级等保测评是指对信息系统安全等级的评估和认证，具体要求根据不同国家或地区、行业以及特定的标准和法规可能有所差异。

以下是一般情况下二级等保测评的常见要求：
1.安全管理制度要求：要建立完善的信息安全管理制度，包括安全策略、安全组织、安全
责任、安全培训等方面的规定，并且需要提供相关的制度文件和记录。

2.安全技术要求：要求采用一系列的安全技术措施，包括身份认证与访问控制、数据加密
与解密、防火墙和入侵检测系统、漏洞管理和修复、备份与恢复等技术手段。

3.安全事件的监测与响应要求：要求建立安全事件监测、分析、报告和响应机制，能够及
时发现并应对安全事件，包括异常行为检测、风险评估和应急响应等方面的要求。

4.系统运维与漏洞管理要求：要求建立系统运维和漏洞管理的流程，包括系统更新与补丁
管理、安全配置管理、漏洞扫描和漏洞修复等方面的要求。

5.安全审计与合规性要求：要求进行定期的安全审计和评估，通过内部或外部审计机构对
系统进行审核，确保系统符合相关法规和标准的要求。

6.信息安全事件报告与处置要求：要求建立信息安全事件报告和处置机制，及时向有关部
门上报安全事件，并按照规定的流程处置安全事件，包括责任追究、风险处理和后续改进等方面的要求。

需要注意的是，具体的二级等保测评要求可能因地区、行业和标准而有所不同。

在进行二级等保测评前，建议参考相关的标准和法规，并依据实际情况进行具体的评估和认证工作。

（完整版）等保2.0二级通用测评要求1安全物理环境1.1物理位置选择本项要求包括：a）机房场地应选择在具有防震、防风和防雨等能力的建筑内；b）机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。

1.2物理访问控制机房出入口应安排专人值守或配置电子门禁系统，控制、鉴别和记录进入的人员。

1.3防盗窃和防破坏本项要求包括：a）应将设备或主要部件进行不变，并设置明明的不易除去的标识；b）应将通信线缆铺设在隐藏安全处。

1.4防雷击应将各类机柜、设施和设备等通过接地系统安全接地。

1.5防火本项要求包括：a）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料。

1.6防水和防潮本项要求包括：a）应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；b）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透。

1.7防静电应采用防静电地板或地面并采用必要的接地防静电措施。

1.8温湿度控制应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范園之内。

1.9电力供应本项要求包括：a）应在机房供电线路上配置稳压器和过电压防护设备；b）应提供短期的备用电力供应，至少满足设备在断电情况下的正常运行要求。

1.10电磁防护电源线和通信线缆应隔离铺设，避免互相干扰。

2安全通信网络2.1网络架构本项要求包括：a）应划分例外的网络区域，并按照方便管理和控制的原则为各网络区域分配地址；b）应避免将严重络区域部署在边界处，严重网络区域与其他网络区域之间应采取可靠的技术隔离手段。

2.2通信传输应采用校验技术保证通信过程中数据的完整性。

2.3可信验证可基于可信根对通信设备的系统引导程序、系统程序、严重配置参数和通信应用程序等进行可信验证，并在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。

3安全区域边界3.1边界防护应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信。