一、網(wǎng)絡(luò )安全等級保護測評過(guò)程概述

    網(wǎng)絡(luò )安全等級保護測評工作過(guò)程包括四個(gè)基本測評活動(dòng)：測評準備活動(dòng)、方案編制活動(dòng)、現場(chǎng)測評活動(dòng)、報告編制活動(dòng)。而測評相關(guān)方之間的溝通與洽談應貫穿整個(gè)測評過(guò)程。每一項活動(dòng)有一定的工作任務(wù)。

    01、基本工作流程

    ① 測評準備活動(dòng)

    本活動(dòng)是開(kāi)展等級測評工作的前提和基礎，是整個(gè)等級測評過(guò)程有效性的保證。測評準備工作是否充分直接關(guān)系到后續工作能否順利開(kāi)展。本活動(dòng)的主要任務(wù)是掌握被測系統的詳細情況，準備測試工具，為編制測評方案做好準備。

    ② 方案編制活動(dòng)

    本活動(dòng)是開(kāi)展等級測評工作的關(guān)鍵活動(dòng)，為現場(chǎng)測評提供最基本的文檔和指導方案。本活動(dòng)的主要任務(wù)是確定與被測信息系統相適應的測評對象、測評指標及測評內容等，并根據需要重用或開(kāi)發(fā)測評指導書(shū)測評指導書(shū)，形成測評方案。

    ③ 現場(chǎng)測評活動(dòng)

    本活動(dòng)是開(kāi)展等級測評工作的核心活動(dòng)。本活動(dòng)的主要任務(wù)是按照測評方案的總體要求，嚴格執行測評指導書(shū)測評指導書(shū)，分步實(shí)施所有測評項目，包括單元測評和整體測評兩個(gè)方面，以了解系統的真實(shí)保護情況，獲取足夠證據，發(fā)現系統存在的安全問(wèn)題。

    ④ 分析與報告編制活動(dòng)

    本活動(dòng)是給出等級測評工作結果的活動(dòng)，是總結被測系統整體安全保護能力的綜合評價(jià)活動(dòng)。本活動(dòng)的主要任務(wù)是根據現場(chǎng)測評結果和《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護測評要求》GB/T28448-2019的有關(guān)要求，通過(guò)單項測評結果判定、單元測評結果判定、整體測評和風(fēng)險分析等方法，找出整個(gè)系統的安全保護現狀與相應等級的保護要求之間的差距，并分析這些差距導致被測系統面臨的風(fēng)險，從而給出等級測評結論，形成測評報告文本。

    02、工作方法

    網(wǎng)絡(luò )安全等級保護測評主要工作方法包括訪(fǎng)談、文檔審查、配置檢查、工具測試和實(shí)地察看。

    訪(fǎng)談是指測評人員與被測系統有關(guān)人員(個(gè)人/群體)進(jìn)行交流、討論等活動(dòng)，獲取相關(guān)證據，了解有關(guān)信息。訪(fǎng)談的對象是人員，訪(fǎng)談涉及的技術(shù)安全和管理安全測評的測評結果，要提供記錄或錄音。典型的訪(fǎng)談人員包括：網(wǎng)絡(luò )安全主管、信息系統安全管理員、系統管理員、網(wǎng)絡(luò )管理員、資產(chǎn)管理員等。

    文檔審查主要是依據技術(shù)和管理標準，對被測評單位的安全方針文件，安全管理制度，安全管理的執行過(guò)程文檔，系統設計方案，網(wǎng)絡(luò )設備的技術(shù)資料，系統和產(chǎn)品的實(shí)際配置說(shuō)明，系統的各種運行記錄文檔，機房建設相關(guān)資料，機房出入記錄。檢查信息系統建設必須具有的制度、策略、操作規程等文檔是否齊備，制度執行情況記錄是否完整，文檔內容完整性和這些文件之間的內部一致性等問(wèn)題。

    配置檢查是指利用上機驗證的方式檢查網(wǎng)絡(luò )安全、主機安全、應用安全、數據安全的配置是否正確，是否與文檔、相關(guān)設備和部件保持一致，對文檔審核的內容進(jìn)行核實(shí)(包括日志審計等)，并記錄測評結果。配置檢查是衡量一家測評機構實(shí)力的重要體現。檢查對象包括數據庫系統、操作系統、中間件、網(wǎng)絡(luò )設備、網(wǎng)絡(luò )安全設備。

    工具測試是利用各種測試工具，通過(guò)對目標系統的掃描、探測等操作，使其產(chǎn)生特定的響應等活動(dòng)，通過(guò)查看、分析響應結果，獲取證據以證明信息系統安全保護措施是否得以有效實(shí)施的一種方法。

    實(shí)地查看根據被測系統的實(shí)際情況，測評人員到系統運行現場(chǎng)通過(guò)實(shí)地的觀(guān)察人員行為、技術(shù)設施和物理環(huán)境狀況判斷人員的安全意識、業(yè)務(wù)操作、管理程序和系統物理環(huán)境等方面的安全情況，測評其是否達到了相應等級的安全要求。

    二、網(wǎng)絡(luò )安全等級保護測評工作流程

    01、測評準備活動(dòng)階段

    首先，被測評單位在選定測評機構后，雙方需要先簽訂《測評服務(wù)合同》，合同中對項目范圍(系統數量)、項目?jì)热?差距測評?驗收測評?協(xié)助整改?)、項目周期(什么時(shí)間進(jìn)場(chǎng)?項目計劃做多長(cháng)時(shí)間?)、項目實(shí)施方案(測評工作的步驟)、項目人員(項目實(shí)施團隊人員)、項目驗收標準、付款方式、違約條款等等內容逐一進(jìn)行約定。

    簽訂《測評服務(wù)合同》同時(shí)，測評機構應簽署《保密協(xié)議》?！侗Ｃ軈f(xié)議》一般分兩種，一種是測評機構與被測單位(公對公)簽署，約定測評機構在測評過(guò)程中的保密責任;一種是測評機構項目組成員與被測單位之間簽署。

    ①項目啟動(dòng)會(huì )

    在雙方簽完委托測評合同之后，雙方即可約定召開(kāi)項目啟動(dòng)會(huì )時(shí)間。項目啟動(dòng)會(huì )的目的，主要是由甲方領(lǐng)導對公司內部涉及的部門(mén)進(jìn)行動(dòng)員、提請各相關(guān)部門(mén)重視、協(xié)調內部資源、介紹測評方項目實(shí)施人員、計劃安排等內容，為整個(gè)等級測評項目的實(shí)施做基本準備。

    ②系統情況調研

    啟動(dòng)會(huì )后，測評方開(kāi)展調研，通過(guò)填寫(xiě)《信息系統基本情況調查表》，掌握被測系統的詳細情況，為編制測評方案做好準備。測評項目組進(jìn)場(chǎng)前，應熟悉被測定級對象，調試測評工具，準備各種表單。

    02、方案編制活動(dòng)階段

    方案編制活動(dòng)的目的是整理測評準備活動(dòng)中獲取的定級對象資料，為現場(chǎng)測評活動(dòng)提供最基礎文檔和測評方案。

    方案編制活動(dòng)包括測評對象確定、測評指標確定、測評內容確定、工具測試方法確定、測評指導書(shū)開(kāi)發(fā)、測評方案編制六項主要任務(wù)。

    ①確定測評對象。根據系統調查結果，分析整個(gè)被測定級對象業(yè)務(wù)流程、數據流程、范圍、特點(diǎn)確定測評對象，一般采用抽查的方法，即：抽查信息系統中具有代表性的組件作為測評對象。

    ② 確定測評指標及測評內容。根據被測定級對象結果確定測評的基本指標，根據測評委托單位定級對象業(yè)務(wù)自身需求確定特殊測評指標。

    ③ 確定測評工具接入點(diǎn)。一般來(lái)說(shuō)，測評工具的接入采取從外到內，從其他網(wǎng)絡(luò )到本地網(wǎng)段的逐步逐點(diǎn)接入，即：測評工具從被測系統邊界外接入、在被測系統內部與測評對象不同網(wǎng)段及同一網(wǎng)段內接入等幾種方式。從被測系統邊界外接入時(shí)，測評工具一般接在系統邊界設備(通常為交換設備)上。在該點(diǎn)接入漏洞掃描器，掃描探測被測系統的主機、網(wǎng)絡(luò )設備對外暴露的安全漏洞情況;從系統內部與測評對象不同網(wǎng)段接入時(shí)，測評工具一般接在與被測對象不在同一網(wǎng)段的內部核心交換設備上;在系統內部與測評對象同一網(wǎng)段內接入時(shí)，測評工具一般接在與被測對象在同一網(wǎng)段的交換設備上;結合網(wǎng)絡(luò )拓撲圖，采用圖示的方式描述測評工具的接入點(diǎn)、測評目的、測評途徑和測評對象等相關(guān)內容。

    ④ 確定測評內容與方法。將測評對象與測評指標進(jìn)行映射構成測評內容，并針對不同的測評內容合理地選擇測評方法形成具體的測評實(shí)施內容。

    ⑤ 確定測評指導書(shū)。測評指導書(shū)是指導和規范測評人員現場(chǎng)測評活動(dòng)的文檔，包括測評項、測評方法、操作步驟和預期結果等四部分。在測評對象和指標確定的基礎上，將測評指標映射到各測評對象上，然后結合測評對象的特點(diǎn)，選擇應采取的測評方法并確定測評步驟和預期結果，形成不同測評對象的具體測評指導書(shū)。

    ⑥ 確定測評方案。綜合以上結果內容以及測評工作計劃形成測評方案，測評方案主要內容包括測評概述、目標系統概述、定級情況、網(wǎng)絡(luò )結構、主機設備情況、應用情況、測評方法與工具、測評內容、時(shí)間安排、風(fēng)險揭示與規避等。

    03、現場(chǎng)測評活動(dòng)

    現場(chǎng)測評活動(dòng)通過(guò)與測評委托單位進(jìn)行溝通和協(xié)調，為現場(chǎng)測評的順利開(kāi)展打下良好基礎，然后依據測評方案實(shí)施現場(chǎng)測評工作，將測評方案和測評工具等具體落實(shí)到現場(chǎng)測評活動(dòng)中?，F場(chǎng)測評工作應取得分析與報告編制活動(dòng)所需的、足夠的證據和資料。

    現場(chǎng)測評活動(dòng)包括現場(chǎng)測評準備、現場(chǎng)測評和結果記錄、結果確認和資料歸還三項主要任務(wù)。

    ①現場(chǎng)測評準備

    為保證測評機構能夠順利實(shí)施測評，測評準備工作需要包括以下內容：

    ● 測評委托單位簽署現場(chǎng)測評授權書(shū);

    ● 召開(kāi)測評現場(chǎng)首次會(huì );

    ● 測評雙方確認現場(chǎng)測評需要的各種資源，包括測評委托單位的配合人員和需要提供的測評條件等，確認被測系統已備份過(guò)系統及數據;

    ● 測評人員根據會(huì )議溝通結果，對測評結果記錄表單和測評程序進(jìn)行必要的更新。

    ②現場(chǎng)測評和結果記錄

    現場(chǎng)測評覆蓋到被測系統安全技術(shù)的5個(gè)層面和安全管理的5方面。安全技術(shù)的5個(gè)層面具體為：安全物理環(huán)境、安全通信網(wǎng)絡(luò )、安全區域邊界、安全計算環(huán)境、安全管理中心;安全管理的5方面具體為：安全管理制度、安全管理機構、安全管理人員、安全建設管理、安全運維管理。

    ③結果確認和資料歸還

    現場(chǎng)測評結束時(shí)，需要做好記錄和確認工作，并將測評的結果征得評測雙方認同確認。主要包括測評人員在現場(chǎng)測評完成之后，應首先匯總現場(chǎng)測評的測評記錄，對漏掉和需要進(jìn)一步驗證的內容實(shí)施補充測評;召開(kāi)測評現場(chǎng)結束會(huì )，測評雙方對測評過(guò)程中發(fā)現的問(wèn)題進(jìn)行現場(chǎng)確認。測評機構歸還測評過(guò)程中借閱的所有文檔資料，并由測評委托單位文檔資料提供者簽字確認。

    04、報告編制活動(dòng)

    測評人員在初步判定單項測評結果后，還需進(jìn)行單元測評結果判定、整體測評、系統安全保障評估等方法，找出整個(gè)系統的安全保護現狀與相應等級的保護要求之間的差距，并分析這些差距導致被測系統面臨的風(fēng)險，從而給出等級測評結論，形成測評報告文本。

    三、測評委托單位需要配合的工作

    測評準備階段：

    ①被測方成立項目組，并任命項目經(jīng)理;

    ②向測評機構介紹本單位的信息化建設狀況與發(fā)展情況;

    ③準備測評機構需要的資料，比如系統定級報告、備案表、自查或上次測評報告、聯(lián)系方式等;

    ④為測評人員的信息收集提供支持和協(xié)調;

    ⑤準確填寫(xiě)信息系統基本信息調查表;

    ⑥根據被測系統的具體情況，如業(yè)務(wù)運行高峰期、網(wǎng)絡(luò )布置情況等，為測評時(shí)間安排提供適宜的建議;

    方案編制階段：

    ①為測評機構完成測評方案提供有關(guān)信息和資料;

    ②評審和確認測評方案文本。

    現場(chǎng)測評階段：

    ①此階段工作測評方人員需要在客戶(hù)現場(chǎng)完成。需要被測方提供辦公位(基本的辦公環(huán)境)。

    ②備案單位需要機房管理員、網(wǎng)絡(luò )管理員、安全主管、系統管理員、系統開(kāi)發(fā)人員、運維人員等進(jìn)行配合。

    ③測評前備份系統和數據，并確認被測設備狀態(tài)完好;

    ④協(xié)調被測系統內部相關(guān)人員的關(guān)系，配合測評工作的開(kāi)展;

    ⑤相關(guān)人員回答測評人員的問(wèn)詢(xún)，對某些需要驗證的內容上機進(jìn)行操作;

    ⑥相關(guān)人員確認測試前協(xié)助測評人員實(shí)施工具測試并提供有效建議，降低安全測評對系統運行的影響;

    ⑦相關(guān)人員對測評結果進(jìn)行確認;

    ⑧相關(guān)人員確認工具測試后被測設備的狀態(tài)完好。

    報告編制階段：

    ①簽收測評報告;

    ②向公安機關(guān)遞交測評報告。