1 范圍

      本標準規(guī)范了網(wǎng)絡安全等級保護測評（以下簡稱“等級測評”）的工作過程，規(guī)定了測評活動及其工作任務。

      本標準適用于測評機構、定級對象的主管部門及運營使用單位開展網(wǎng)絡安全等級保護測試評價工作。

2 規(guī)范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計算機信息系統(tǒng)安全保護等級劃分準則

      GB/T 22239 信息安全技術 信息系統(tǒng)安全等級保護基本要求

      GB/T 25069 信息安全技術 術語

      GB/T 28448 信息安全技術 信息系統(tǒng)安全等級保護測評要求

3 術語和定義

      GB 17859、GB/T 22239、GB/T 25069和GB/T 28448界定的術語和定義適用于本文件。

4 等級測評概述

4.1 等級測評過程概述

      本標準中的測評工作過程及任務基于受委托測評機構對定級對象的初次等級測評給出。運營、使用單位的自查或受委托測評機構已經(jīng)實施過一次以上等級測評的，測評機構和測評人員根據(jù)實際情況調整部分工作任務（見附錄A）。開展等級測評的測評機構應嚴格按照附錄B中給出的等級測評工作要求開展相關工作。

      等級測評過程包括四個基本測評活動：測評準備活動、方案編制活動、現(xiàn)場測評活動、報告編制活動。而測評相關方之間的溝通與洽談應貫穿整個等級測評過程。每一測評活動有一組確定的工作任務。具體如表1所示。

表1 等級測評過程

表1（續(xù)）

      本標準對其中每項活動均給出相應的工作流程、主要任務、輸出文檔及活動中相關方的職責的規(guī)定，每項工作任務均有相應的輸入、任務描述和輸出產(chǎn)品。

4.2 等級測評風險

4.2.1 影響系統(tǒng)正常運行的風險

      在現(xiàn)場測評時，需要對設備和系統(tǒng)進行一定的驗證測試工作，部分測試內容需要上機驗證并查看一些信息，這就可能對系統(tǒng)運行造成一定的影響，甚至存在誤操作的可能。

      此外，使用測試工具進行漏洞掃描測試、性能測試及滲透測試等，可能會對網(wǎng)絡和系統(tǒng)的負載造成一定的影響，滲透性攻擊測試還可能影響到服務器和系統(tǒng)正常運行，如出現(xiàn)重啟、服務中斷、滲透過程中植入的代碼未完全清理等現(xiàn)象。

4.2.2 敏感信息泄露風險

      測評人員有意或無意泄漏被測系統(tǒng)狀態(tài)信息，如網(wǎng)絡拓撲、IP地址、業(yè)務流程、業(yè)務數(shù)據(jù)、安全機制、安全隱患和有關文檔信息等。

4.2.3 木馬植入風險

      測評人員在滲透測試完成后，有意或無意將滲透測試過程中用到的測試工具未清理或清理不徹底，或者測試電腦中帶有木馬程序，帶來在被測評系統(tǒng)中植入木馬的風險。

4.3 等級測評風險規(guī)避

      在等級測評過程中可以通過采取以下措施規(guī)避風險：

      a）簽署委托測評協(xié)議

      在測評工作正式開始之前，測評方和被測評單位需要以委托協(xié)議的方式明確測評工作的目標、范圍、人員組成、計劃安排、執(zhí)行步驟和要求以及雙方的責任和義務等，使得測評雙方對測評過程中的基本問題達成共識。

      b）簽署保密協(xié)議

      測評相關方應簽署合乎法律規(guī)范的保密協(xié)議，以約束測評相關方現(xiàn)在及將來的行為。保密協(xié)議規(guī)定了測評相關方保密方面的權利與義務。測評過程中獲取的相關系統(tǒng)數(shù)據(jù)信息及測評工作的成果屬被測評單位所有，測評方對其的引用與公開應得到相關單位的授權，否則相關單位將按照保密協(xié)議的要求追究測評單位的法律責任。

      c）現(xiàn)場測評工作風險的規(guī)避

      現(xiàn)場測評之前，測評機構應與相關單位簽署現(xiàn)場測評授權書，要求相關方對系統(tǒng)及數(shù)據(jù)進行備份，并對可能出現(xiàn)的事件制定應急處理方案。

      進行驗證測試和工具測試時，避開業(yè)務高峰期，在系統(tǒng)資源處于空閑狀態(tài)時進行，或配置與生產(chǎn)環(huán)境一致的模擬/仿真環(huán)境，在模擬/仿真環(huán)境下開展漏洞掃描等測試工作；上機驗證測試由測評人員提出需要驗證的內容，系統(tǒng)運營、使用單位的技術人員進行實際操作。整個現(xiàn)場測評過程要求系統(tǒng)運營、使用單位全程監(jiān)督。

      d）測評現(xiàn)場還原

      測評工作完成后，測評人員應將測評過程中獲取的所有特權交回，把測評過程中借閱的相關資料文檔歸還，并將測評環(huán)境恢復至測評前狀態(tài)。

5 測評準備活動

5.1 測評準備活動工作流程

      測評準備活動的目標是順利啟動測評項目，收集定級對象相關資料，準備測評所需資料，為編制測評方案打下良好的基礎。

      測評準備活動包括工作啟動、信息收集和分析、工具和表單準備三項主要任務。這三項任務的基本工作流程見圖1。

圖1 測評準備活動的基本工作流程

以上為標準部分內容，如需看標準全文，請到相關授權網(wǎng)站購買標準正版。