【文章內(nèi)容簡介】 是否充分直接關(guān)系到后續(xù)工作能否順利開展。本活動的主要任務(wù)是掌握被測系統(tǒng)的詳細(xì)情況，為實(shí)施測評做好文檔及測試工具等方面的準(zhǔn)備。2) 方案編制階段本活動是開展等級測評工作的關(guān)鍵活動，為現(xiàn)場測評提供最基本的文檔和指導(dǎo)方案。本活動的主要任務(wù)是開發(fā)與被測信息系統(tǒng)相適應(yīng)的測評內(nèi)容、測評實(shí)施手冊等，形成測評方案。3) 現(xiàn)場測評階段本活動是開展等級測評工作的核心活動。本活動的主要任務(wù)是按照測評方案的總體要求，嚴(yán)格執(zhí)行測評實(shí)施手冊，分步實(shí)施所有測評項(xiàng)目，包括單項(xiàng)測評和系統(tǒng)整體測評兩個方面，以了解系統(tǒng)的真實(shí)保護(hù)情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。4) 分析與報(bào)告編制階段本活動是給出等級測評工作結(jié)果的活動，是總結(jié)被測系統(tǒng)整體安全保護(hù)能力的綜合評價(jià)活動。本活動的主要任務(wù)是根據(jù)現(xiàn)場測評結(jié)果和《信息系統(tǒng)安全等級保護(hù)測評要求》的有關(guān)要求，通過單項(xiàng)測評結(jié)果判定和系統(tǒng)整體測評分析等方法，分析整個系統(tǒng)的安全保護(hù)現(xiàn)狀與相應(yīng)等級的保護(hù)要求之間的差距，綜合評價(jià)被測信息系統(tǒng)保護(hù)狀況，并形成測評報(bào)告文本。 過程質(zhì)量風(fēng)險(xiǎn)控制1) 測評準(zhǔn)備階段a) 未填寫《測評任務(wù)流程卡》的風(fēng)險(xiǎn)項(xiàng)目流程卡是在進(jìn)行測評活動之前對整個測評活動的流程進(jìn)行一個大體的描述，從中可以對被測單位的基本資料進(jìn)行了解，包括：被測系統(tǒng)總體描述文件，被測系統(tǒng)詳細(xì)描述文件，被測系統(tǒng)安全保護(hù)等級定級報(bào)告，系統(tǒng)驗(yàn)收報(bào)告，安全需求分析報(bào)告，被測系統(tǒng)安全總體方案等。另外也能初步了解被測單位的信息化建設(shè)狀況與發(fā)展，被測系統(tǒng)，包括被測系統(tǒng)的行業(yè)特征、主管機(jī)構(gòu)、業(yè)務(wù)范圍、地理位置、體系結(jié)構(gòu)、主要功能等被測系統(tǒng)基本情況，獲得被測系統(tǒng)的背景信息和聯(lián)絡(luò)方式等。測評人員還能從中得知整個測評工作的任務(wù)，在什么階段、什么時(shí)間、什么地點(diǎn)應(yīng)該做什么樣的測評任務(wù)。風(fēng)險(xiǎn)點(diǎn)：未填寫《測評任務(wù)流程卡》將造成不夠了解被測單位的基本信息系統(tǒng)，對信息系統(tǒng)測評不全面，測評范圍不明確，甚至造成誤操作，從而使測評數(shù)據(jù)不準(zhǔn)確，更可能會造成測評結(jié)果與想要得到的完全不符，影響整個測評工作的進(jìn)展，耗費(fèi)了人力、物力、財(cái)力、給公司造成不必要的損失。還可能造成對測評任務(wù)不了解，不知道如何進(jìn)展，或進(jìn)展工作混亂，可能會使一部分系統(tǒng)沒有測評到，或在規(guī)定的時(shí)間內(nèi)不能完成指定的任務(wù)，是整個測評工期延長，影響測評任務(wù)。這些情況都會影響到測評結(jié)果，跟定級內(nèi)容不相符，造成無法定級，影響被側(cè)單位，也會損害到公司的榮譽(yù)?？刂品椒ǎ涸谶M(jìn)行測評之前要認(rèn)真填寫好《測評任務(wù)流程卡》，組建測評項(xiàng)目組，從資料、人員、計(jì)劃安排等方面為整個等級測評項(xiàng)目的實(shí)施做好準(zhǔn)備，熟悉被測單位信息系統(tǒng)的基本信息，并編制項(xiàng)目計(jì)劃書。項(xiàng)目計(jì)劃書應(yīng)包含項(xiàng)目概述、工作依據(jù)、技術(shù)思路、工作內(nèi)容和項(xiàng)目組織等了解整個測評任務(wù)，把握好測評工作的進(jìn)展。b) 使用的測評工具沒有校準(zhǔn)測評工具是在對被側(cè)單位信息系統(tǒng)、設(shè)備等進(jìn)行測試其是否能正常使用的一種工具。在測試的廣度上，應(yīng)基本覆蓋不同類型的機(jī)制，在數(shù)量、范圍上可以抽樣；在測試的深度上，應(yīng)執(zhí)行功能測試和滲透測試，功能測試可能涉及機(jī)制的功能規(guī)范、高級設(shè)計(jì)和操作規(guī)程等文檔，滲透測試可能涉及機(jī)制的所有可用文檔，并試圖智取進(jìn)入信息系統(tǒng)等。，對其進(jìn)行測評，應(yīng)涉及到漏洞掃描工具、滲透測評工具集和協(xié)議分析工具等多種測試工具。風(fēng)險(xiǎn)點(diǎn)：如果沒有進(jìn)行測評工具的校準(zhǔn)，或者測評工具準(zhǔn)備不齊，測評結(jié)果將無法真實(shí)，全面反映出來，致使有些系統(tǒng)無法進(jìn)行測評，不能全面了解到系統(tǒng)的情況和系統(tǒng)存在的潛在問題，造成一定的安全隱患。如果測評工具出現(xiàn)故障，會使整個測評工作受到影響，使正常的工作無法進(jìn)行，不能對系統(tǒng)進(jìn)行測試，影響測評進(jìn)度，可能會對系統(tǒng)的負(fù)載、服務(wù)器和網(wǎng)絡(luò)通訊造成一定影響甚至傷害?？刂品椒ǎ涸谶M(jìn)行測評之前應(yīng)對測評工具進(jìn)行校準(zhǔn)，確保其正常運(yùn)行，根據(jù)測評活動確定所需要準(zhǔn)備的測評工具，按照測評工具清單進(jìn)行清點(diǎn)，確保所要用到的測評工具已經(jīng)準(zhǔn)備齊全，另外準(zhǔn)備部分備用工具作為備用。c) 沒有項(xiàng)目計(jì)劃項(xiàng)目計(jì)劃是對整個測評工作進(jìn)行項(xiàng)目描述、工作流程、技術(shù)思路、工作內(nèi)容和項(xiàng)目組織，時(shí)間控制等控制，保證項(xiàng)目能夠按期順利的完成。風(fēng)險(xiǎn)點(diǎn):如果沒有制作項(xiàng)目計(jì)劃，會導(dǎo)致后期項(xiàng)目任務(wù)不明確、管理無序、失控，工作不能按期完成?？刂品椒ǎ涸谶M(jìn)行測評工作之前，做好項(xiàng)目計(jì)劃，對每個測評人員明確分功。2) 方案編制階段a) 測評指標(biāo)選取不準(zhǔn)確測評指標(biāo)是在被測系統(tǒng)基本情況分析后，得出被測系統(tǒng)的定級結(jié)果，包括業(yè)務(wù)信息安全保護(hù)等級和系統(tǒng)服務(wù)安全保護(hù)等級。從GB/T 222392008《信息系統(tǒng)安全等級保護(hù)基本要求》中選擇相應(yīng)等級的安全，包括對ASG三類安全要求的選擇。風(fēng)險(xiǎn)點(diǎn)：如果測評指標(biāo)選取不明確，會造成錯誤定級，按照錯誤的等級進(jìn)行測評工作，使用錯誤的測評方法，將造成測評結(jié)果偏離，例如：某單位系統(tǒng)服務(wù)安全保護(hù)等級為2級；則該系統(tǒng)的測評指標(biāo)將包括GB/T 222392008《信息系統(tǒng)安全等級保護(hù)基本要求》“技術(shù)要求”中的2級通用指標(biāo)類（G2），2級業(yè)務(wù)信息安全指標(biāo)類（S2），2級系統(tǒng)服務(wù)安全指標(biāo)類（A2），以及第2級“管理要求”中的所有指標(biāo)類。如果指標(biāo)錯誤，會影響到后期的所有工作，耗費(fèi)了各方面的資源，使項(xiàng)目不能按期順利完成，同時(shí)也給公司帶來巨大的損失?？刂品椒ǎ和ㄟ^召開評審會，詳細(xì)分析被測單位的信息系統(tǒng)，對被測單位做好準(zhǔn)確定級，明確測評指標(biāo)，順利做好測評工作。b) 項(xiàng)目組每個成員包括工具測試人員開發(fā)測評實(shí)施手冊時(shí)對測評方法選取不當(dāng)測評實(shí)施手冊是具體指導(dǎo)測評人員如何進(jìn)行測評活動的文件，是現(xiàn)場測評的工具、方法和操作步驟等的詳細(xì)描述，是保證測評活動可以重現(xiàn)的根本。因此，測評實(shí)施手冊應(yīng)當(dāng)盡可能詳盡、充分。風(fēng)險(xiǎn)點(diǎn)：如果測評實(shí)施手冊不使用，會直接導(dǎo)致測評工作的錯誤進(jìn)行，包括測評項(xiàng)（每個測評項(xiàng)可能對應(yīng)多個測評方法）、測評方法（訪談、文檔審查、配置檢查、工具測試和實(shí)地察看等多種方法）、操作步驟和預(yù)期結(jié)果等。這樣所做的整個過程都將是一個錯誤的過程，所做的工作也就沒有應(yīng)用價(jià)值，會延長工期，會造成違約賠償問題，在人員、財(cái)力、時(shí)間的浪費(fèi)上都無法彌補(bǔ)，也會影響到公司的榮譽(yù)?？刂品椒ǎ壕唧w做法就是把各層面上的測評指標(biāo)結(jié)合到具體測評對象上，并說明具體的測評方法，如此構(gòu)成一個個可以具體測評實(shí)施的單元。參照《信息系統(tǒng)安全等級保護(hù)測評要求》，結(jié)合已選定的測評指標(biāo)和測評對象，概要說明現(xiàn)場測評實(shí)施的工作內(nèi)容來編制測評實(shí)施手冊，完成之后，對其進(jìn)行評審，通過以后，由總工、技術(shù)負(fù)責(zé)人簽字確認(rèn)。c) 測評實(shí)施工期時(shí)間測算不準(zhǔn)確測評實(shí)施工期是對整個項(xiàng)目進(jìn)行的一個時(shí)間控制，這樣便于把握整個項(xiàng)目的進(jìn)展。風(fēng)險(xiǎn)點(diǎn)：測評實(shí)施工期不準(zhǔn)，使整個項(xiàng)目的工期延后，測評質(zhì)量下降，影響后續(xù)項(xiàng)目的開展?？刂品椒ǎ赫匍_評審會，由專家選取項(xiàng)目實(shí)施工期。d) 測評現(xiàn)場人員分工計(jì)劃不合理風(fēng)險(xiǎn)點(diǎn)：專業(yè)技術(shù)人員分配不合理，會造成對測評的測評不夠全面、深入，不能得到完整要的數(shù)據(jù)，不能站在合適的技術(shù)人員的角度去測評系統(tǒng)。另外，現(xiàn)場測評人員分工不合理，影響項(xiàng)目的進(jìn)展，人員太多造成現(xiàn)場混亂，現(xiàn)場測評時(shí)間浪費(fèi)，工作質(zhì)量下降，人員太少會使測評任務(wù)無法按期完成?？刂品椒ǎ和ㄟ^評審會，對項(xiàng)目進(jìn)行分析，合理的安排測評人員。e) 測評方案沒有評審測評方案是等級測評工作實(shí)施的基礎(chǔ)，指導(dǎo)等級測評工作的現(xiàn)場實(shí)施活動。測評方案應(yīng)包括但不局限于以下內(nèi)容：項(xiàng)目概述、測評對象、測評指標(biāo)、測評工具的接入點(diǎn)、單項(xiàng)測評實(shí)施、系統(tǒng)測評實(shí)施以及配套的測評實(shí)施手冊等。風(fēng)險(xiǎn)點(diǎn)：測評方案沒有經(jīng)過評審就投入使用，其中有些信息可能不準(zhǔn)確、不全面或者是錯誤的，如果按照這樣的測評方案進(jìn)行，就會造成誤操作，效率降低，測評結(jié)果也會有偏差，將不能得到準(zhǔn)確可靠的數(shù)據(jù)。控制方法：召開方案評審會，詳細(xì)分析被測系統(tǒng)的整體結(jié)構(gòu)、邊界、網(wǎng)絡(luò)區(qū)域、重要節(jié)點(diǎn)等。初步判斷被測系統(tǒng)的安全薄弱點(diǎn)。分析確定測評對象、測評指標(biāo)和測試工具接入點(diǎn)，確定測評內(nèi)容及方法。編制測評方案文本，并對其內(nèi)部評審。取得被測機(jī)構(gòu)對測評方案所有內(nèi)容的簽字確認(rèn)，對測評方案進(jìn)行認(rèn)可，并簽字確認(rèn)。f) 測評方案在內(nèi)部評審時(shí)沒有簽字和批準(zhǔn)風(fēng)險(xiǎn)點(diǎn)：測評方案沒有經(jīng)過簽字和批準(zhǔn)就進(jìn)行測評，如果方案發(fā)生變化，而測評人員又不知道，這樣就會造成不必要的損害，已經(jīng)做過的測評工作就需要重新進(jìn)行。控制方法：測評方案在內(nèi)部評審時(shí)簽字批準(zhǔn)后再投入項(xiàng)目中。3) 現(xiàn)場測評階段a) 測評方案未經(jīng)被測單位簽字認(rèn)可就開展實(shí)施風(fēng)險(xiǎn)點(diǎn)：測評方案沒有經(jīng)過被測方簽字和批準(zhǔn)就進(jìn)行測評，會使公司承擔(dān)一定的法律和事故責(zé)任，對公司在信譽(yù)、財(cái)力上造成一定的損害。控制方法：測評方案經(jīng)過被測單位簽字確認(rèn)后在進(jìn)行項(xiàng)目的實(shí)施。b) 現(xiàn)場測評正式進(jìn)場前未與委托方簽署《現(xiàn)場測評授權(quán)委托書》風(fēng)險(xiǎn)點(diǎn)：現(xiàn)場測評正式進(jìn)場前未與委托方簽署《現(xiàn)場測評授權(quán)委托書》，造成對現(xiàn)場測評需要的各種資源，包括被測單位的配合人員和需要提供的測評條件，現(xiàn)場測評實(shí)施具體時(shí)間不明確，無法確定測評項(xiàng)目雙方責(zé)任?？刂品椒ǎ含F(xiàn)場測評正式進(jìn)場前與委托方簽署《現(xiàn)場測評授權(quán)委托書》。c) 項(xiàng)目負(fù)責(zé)人沒有根據(jù)委托方提出的意見和建議，對測評方案進(jìn)行必要的更新風(fēng)險(xiǎn)點(diǎn)：如果沒有按照委托方的意見對測評方案進(jìn)行更新，項(xiàng)目將不能順利的往下開展，委托方將會不配合測評工作的開展，另外測評結(jié)果也會有偏差，甚至造成測評項(xiàng)目停止?？刂品椒ǎ焊鶕?jù)委托方提出的意見和建議，項(xiàng)目負(fù)責(zé)人對測評方案進(jìn)行必要的更新，并做更新記錄，重新進(jìn)行內(nèi)部評審并獲得批準(zhǔn)后重新裝訂測評方案。d) 測評結(jié)果的記錄不準(zhǔn)確測評結(jié)果是整個測評過程的一個記錄，測評人員與被測系統(tǒng)有關(guān)人員（個人/群體）進(jìn)行交流、討論、檢查等活動，獲取相關(guān)證據(jù)，了解有關(guān)信息的數(shù)據(jù)反映。風(fēng)險(xiǎn)點(diǎn)：測評結(jié)果錯誤，將不能給被測單位信息做一個正確的反映，對所做的訪談、文檔審查、配置檢查、工具測試和實(shí)地察看等這些方面的數(shù)據(jù)都不能真實(shí)體現(xiàn)，嚴(yán)重的話可能需要重新進(jìn)行測評，那將會造成不可估量的損失?？刂品椒ǎ嚎梢酝ㄟ^現(xiàn)場錄音，校準(zhǔn)員對結(jié)果進(jìn)行校準(zhǔn)。e) 測評結(jié)果沒有用戶簽字確認(rèn)風(fēng)險(xiǎn)點(diǎn)：沒有經(jīng)過用戶簽字的測評結(jié)果是沒有可信度的，如果其中存在問題，用戶可能會否認(rèn)，降低對測評結(jié)果的可信度，影響到后續(xù)的工作?？刂品椒ǎ含F(xiàn)場測評后的記錄應(yīng)及時(shí)讓用戶簽字確認(rèn)。f) 管理類測評文檔審查中，測評人員對文檔審查的覆蓋面不全管理類測評文檔是對測評流程進(jìn)行記錄的一個過程，包括現(xiàn)場測評準(zhǔn)備、訪談、文檔審查、配置檢查、工具測試、實(shí)地察看、測評結(jié)果確認(rèn)。風(fēng)險(xiǎn)點(diǎn)：管理類測評文檔審查中，測評人員對文檔審查的覆蓋面不全，這樣會缺少某方面的資料，使測評結(jié)果參考不夠全面，影響后續(xù)工作?？刂品椒ǎ航⒐芾眍愇臋n審查清單。g) 測評核查表審查結(jié)果記錄落實(shí)核查表是按照被測單位的等級要求進(jìn)行核查的測評項(xiàng)清單。風(fēng)險(xiǎn)點(diǎn)：如果不對測評核查表審核的結(jié)果進(jìn)行記錄，就不知道哪些設(shè)備核查過，哪些沒有核查，不便于結(jié)果的統(tǒng)計(jì)，容易造成