7信息安全等級測評實(shí)施細(xì)則(稿)-閱讀頁
2024-09-26 14:01本頁面
【正文】 在檢查過程的嚴(yán)格和詳細(xì)程度，廣度體現(xiàn)在檢查對象的種類（文檔、機(jī)制等）和數(shù)量上；測試的深度體現(xiàn)在執(zhí)行的測試類型上（功能/性能測試和滲透測試），廣度體現(xiàn)在測試使用的機(jī)制種類和數(shù)量上。正確選擇測評對象的種類和數(shù)量是整個(gè)等級測評工作能夠獲取足夠證據(jù)、了解到被測系統(tǒng)的真實(shí)安全保護(hù)狀況的重要保證。在測評對象確定中應(yīng)兼顧工作投入與結(jié)果產(chǎn)出兩者的平衡關(guān)系。 第二級信息系統(tǒng)等級測評指標(biāo)，除按照《信息系統(tǒng)安全等級保護(hù)基本要求》所規(guī)定的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全、管理制度、管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)安全管理、系統(tǒng)運(yùn)維管理的66項(xiàng)基本要求（177個(gè)控制點(diǎn)）作為基礎(chǔ)測評指標(biāo)以外，還應(yīng)參照《信息系統(tǒng)通用技術(shù)要求》中的83個(gè)控制點(diǎn)、《信息系統(tǒng)安全管理要求》中的70個(gè)控制點(diǎn)、《信息系統(tǒng)安全工程管理要求》中的51個(gè)控制點(diǎn)以及行業(yè)測評標(biāo)準(zhǔn)所規(guī)定的其他控制點(diǎn)，結(jié)合不同的定級結(jié)果組合情況進(jìn)行確定。 第四級信息系統(tǒng)等級測評指標(biāo)確定，除按照《信息系統(tǒng)安全等級保護(hù)基本要求》所規(guī)定的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全、管理制度、管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)安全管理、系統(tǒng)運(yùn)維管理的77項(xiàng)基本要求（317個(gè)控制點(diǎn)）作為測評指標(biāo)以外，還應(yīng)參照《信息系統(tǒng)通用技術(shù)要求》中的120個(gè)控制點(diǎn)、《信息系統(tǒng)安全管理要求》中的104個(gè)控制點(diǎn)、《信息系統(tǒng)安全工程管理要求》中的35個(gè)控制點(diǎn)以及行業(yè)測評標(biāo)準(zhǔn)所規(guī)定的其他控制點(diǎn)，結(jié)合不同的定級結(jié)果組合情況進(jìn)行確定。如果多個(gè)定級對象共用物理環(huán)境或管理體系，而且測評指標(biāo)不能分開，則不能分開的測評指標(biāo)應(yīng)采用就高原則。同時(shí)，在測評操作過程中還應(yīng)該嚴(yán)格遵循等級測評的相關(guān)原則。 認(rèn)真做好等級測評質(zhì)量保障工作 等級測評機(jī)構(gòu)開展測評前應(yīng)與委托單位聯(lián)合成立等級測評工作組，建立通暢的溝通聯(lián)絡(luò)機(jī)制，確保等級測評活動(dòng)的順利開展。開展第二級信息系統(tǒng)的等級測評活動(dòng)時(shí)，測評機(jī)構(gòu)至少應(yīng)由一名中級等級測評師、一名管理類等級測評師、二名技術(shù)類等級測評師參與等級測評活動(dòng)；開展第三級信息系統(tǒng)的等級測評活動(dòng)時(shí)，測評機(jī)構(gòu)至少應(yīng)由一名高級等級測評師、兩名中級等級測評師、二名管理類等級測評師、三名技術(shù)類等級測評師參與等級測評活動(dòng)；開展第四級信息系統(tǒng)的等級測評活動(dòng)時(shí)，測評機(jī)構(gòu)至少應(yīng)由二名高級等級測評師、兩名中級等級測評師、兩名管理類等級測評師、四名以上技術(shù)類等級測評師參與等級測評活動(dòng)。 等級測評活動(dòng)包括測評準(zhǔn)備、方案編制、現(xiàn)場測評、分析及報(bào)告編制四個(gè)基本階段。第三級信息系統(tǒng)單個(gè)業(yè)務(wù)系統(tǒng)等級測評全過程，一般不少于10個(gè)工作日。 等級測評活動(dòng)中，測評機(jī)構(gòu)需要提交給委托方的資料不少于以下紙質(zhì)文檔：項(xiàng)目計(jì)劃書、公正性聲明、保密協(xié)議、等級測評方案、現(xiàn)場測評記錄、等級測評報(bào)告、安全建設(shè)整改意見 嚴(yán)格等級測評管理 信息系統(tǒng)的運(yùn)營、使用單位或主管部門應(yīng)當(dāng)選擇年審合格的測評機(jī)構(gòu)，按照《信息系統(tǒng)安全等級保護(hù)測評要求》等技術(shù)標(biāo)準(zhǔn)，定期對信息系統(tǒng)的安全狀況開展等級測評。重要的第二級信息系統(tǒng)可參照第三級信息系統(tǒng)的測評要求進(jìn)行等級測評。等級測評活動(dòng)結(jié)束后，測評機(jī)構(gòu)應(yīng)在15個(gè)工作日內(nèi)向被測評信息系統(tǒng)的運(yùn)營、使用單位提供等級測評報(bào)告，并應(yīng)同時(shí)向省、市兩級等保辦提交第三級（含）以上信息系統(tǒng)的等級測評報(bào)告。 省內(nèi)信息系統(tǒng)的等級測評工作原則上由省內(nèi)等級測評機(jī)構(gòu)完成，特殊行業(yè)等級測評機(jī)構(gòu)或省外其他等級測評機(jī)構(gòu)在省內(nèi)開展等級測評活動(dòng)時(shí)，應(yīng)在省等保辦辦理登記備案手續(xù)，按照本規(guī)范開展等級測評活動(dòng)，并接受省等保辦的監(jiān)督管理。測評機(jī)構(gòu)可以從事等級測評活動(dòng)以及信息系統(tǒng)安全等級保護(hù)定級、安全建設(shè)整改建議、信息安全等級保護(hù)宣傳教育等工作的技術(shù)支持，但不得從事下列活動(dòng)： （1）、影響被測評信息系統(tǒng)正常運(yùn)行，危害被測評信息系統(tǒng)安全；（2）、泄露被測評單位及被測信息系統(tǒng)的敏感信息和工作秘密； （3）、故意隱瞞測評過程中發(fā)現(xiàn)的安全問題，或者在測評過程中弄虛作假，未如實(shí)出具等級測評報(bào)告； （4）、未按規(guī)定格式出具等級測評報(bào)告； （5）、非授權(quán)占有、使用等級測評活動(dòng)中的獲得的相關(guān)資料及數(shù)據(jù)文件；（6）、分包或轉(zhuǎn)包等級測評項(xiàng)目； （7）、從事信息安全產(chǎn)品開發(fā)、銷售和信息系統(tǒng)安全集成；（8）、限定被測評單位購買、使用其指定的信息安全產(chǎn)品； （9）、其他危害國家安全、社會(huì)秩序、公共利益以及被測單位利益的活動(dòng)。測評人員應(yīng)當(dāng)在沒有偏見和最小主觀判斷情形下，按照測評雙方相互認(rèn)可的測評方案，基于明確定義的測評方法和過程，實(shí)施測評活動(dòng)。為客觀反映被測評信息系統(tǒng)的安全狀況，測評活動(dòng)要保證必需的廣度和深度，以滿足國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)的測評指標(biāo)的要求。測評活動(dòng)應(yīng)盡可能降低成本，減少投入。 結(jié)果一致性原則。 安全性原則。 第20頁 共2
規(guī)章制度相關(guān)推薦
鄂ICP備17016276號-1