信息安全技术网络安全等级保护测评要求

1、WORD格式信息安全技术网络安全等级保护测评要求第 1 部分：安全通用要 求编制说明1 概述1.1 任务来源信息安全技术 信息系统安全等级保护测评要求于 2012 年成为国家标准，标准号为 GB/T 28448-2012 ，被广泛应用于各个行业的开展等级保护对象安全等级保护的检 测评估工作。但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等 新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高， 2013 年公安部第三研究所联 合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对 GB/T 28448-2012 进行修订。 矚慫润厲钐瘗睞枥庑赖。矚慫润厲钐

2、瘗睞枥庑赖賃。根据全国信息安全标准化技术委员会 2013 年下达的国家标准制修订计划， 国家标准信 息安全技术 信息系统安全等级保护测评要求修订任务由公安部第三研究所负责主办，项 目编号为 2013bzxd-WG5-006 。 聞創沟燴鐺險爱氇谴净。聞創沟燴鐺險爱氇谴净祸。1.2 制定本标准的目的和意义信息安全等级保护管理办法 （公通字 200743 号）明确指出信息系统运营、使用单 位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术 测评报告是其检查内容之一。这就要求等级测评过程规范、测评结论准确、公正及可重现。 残骛楼諍锩瀨濟溆塹籟。残骛楼諍锩瀨濟溆塹籟婭。信

3、息安全技术信息系统安全等级保护基本要 （ GB/T22239-2008 （）简称基本要求） 求和信息安全技术信息系统安全等级保护测评要（ GB/T28448-2012 ）（简称测评要求 ）求等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。 酽锕极額閉镇桧猪訣锥。 酽锕极額閉镇桧猪訣锥顧。伴随着 IT 技术的发展，基本要求 中的一些内容需要结合我国信息安全等级保护工作 的特点， 结合信息技术发展尤其是信息安全技术发展的特点， 比如无线网络的大量使用， 数 据大集中、 云计算等应用方式的普及等， 需要针对各等级系统应当对抗的安全威胁和应具有 的恢复能力，提出新的各等级的安全保护目标

4、。 彈贸摄尔霁毙攬砖卤庑。彈贸摄尔霁毙攬砖卤庑诒。作为基本要求的姊妹标准， 测评要求需要同步修订，依据基本要求的更新 内容对应修订相关的单元测评章节。 謀荞抟箧飆鐸怼类蒋薔。謀荞抟箧飆鐸怼类蒋薔點。此外，测评要求还需要吸收近年来的测评实践，更新整体测评方法和测评结论形成 方法。专业资料整理1.3 与其他标准的关系实施指南定级指南实施指南测评过程指南测评要求系列 标准确定等级保护对 象安全等级等级测评等级保护对象选择相应的 安全控制措施实施指南系列基标本要准求安全建设整改实施指南其他相关标准图 1 等级保护标准相互关系从上图可以看出，在等级保护对象实施安全保护过程中， 首先利用 信息安全技术信息

5、 系统安全等级保护定级指南 ( GB/T 22240-2008 )(简称 “定级指南 ”)确定等级保护对 象的安全保护等级， 然后根据 信息安全技术网络安全等级保护基本要求 系列标准选择安简称“ 实施指南 ”)全控制措施， 随后利用信息安全技术信息系统安全等级保护实施指南 或其他相关标准确定其特殊安全需求， 进行等级保护对象的安全规划和建设工作， 此后利用 信息安全技术网络安全等级保护测评过程指南 ( GB/T 28449-20XX )(简称 “测评过程 指南 ”)来规范测评过程和各项活动，利用信息安全技术网络安全等级保护测评要求 系列标准来判断安全控制措施的有效性。同时，等级保护整个实施过程

6、又是由实施指南 来指导的。 厦礴恳蹒骈時盡继價骚。厦礴恳蹒骈時盡继價骚卺。在等级保护的相关标准中， 测评要求系列标准是基本要求系列标准的姊妹篇， 测评要求针对基本要求中各要求项，提供了具体测评方法、步骤和判断依据等，是 为了确认等级保护对象是否按照 基本要求 中的不同等级的技术和管理要求实施的， 而测 评过程指南则是规定了开展这些测评活动的基本过程，包括过程、任务及产品等，以指导 用户对测评要求的正确使用。 茕桢广鳓鯡选块网羈泪。茕桢广鳓鯡选块网羈泪镀。1.4 标准组成 为了适应移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用 情况下网络安全等级保护测评工作的开展， 需对

7、GB/T 28448-2012 进行修订， 修订的思路和 方法是针对移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用领 域提出扩展的测评要求。 鹅娅尽損鹌惨歷茏鴛賴。鹅娅尽損鹌惨歷茏鴛賴縈。对 GB/T 28448-2012 的修订完成后，测评要求标准成为由多个部分组成的系列标准，目前主要有六个部分：籟丛妈羥为贍偾蛏练淨。籟丛妈羥为贍偾蛏练淨槠。1 部分：安全通 GB/T 28448.1-20XX 信息安全技术网络安全等级保护测评要求第 用 要求；2 部分：云计算 GB/T 28448.2-20XX 信息安全技术网络安全等级保护测评要求第 安 全扩展要求； 預頌圣鉉儐歲龈讶

8、骅籴。預頌圣鉉儐歲龈讶骅籴買。3 部分：移动互 GB/T 28448.3-20XX 信息安全技术网络安全等级保护测评要求第 联 安全扩展要求； 渗釤呛俨匀谔鱉调硯錦。渗釤呛俨匀谔鱉调硯錦鋇。4 部分：物联网 GB/T 28448.4-20XX 信息安全技术网络安全等级保护测评要求第 安 全扩展要求； 铙誅卧泻噦圣骋贶頂廡。铙誅卧泻噦圣骋贶頂廡缝。5 部分：工控控 GB/T 28448.5-20XX 信息安全技术网络安全等级保护测评要求第 制 安全扩展要求； 擁締凤袜备訊顎轮烂蔷。擁締凤袜备訊顎轮烂蔷報。6 部分：大数据 GB/T 28448.6-20XX 信息安全技术网络安全等级保护测评要求第

9、 安 全扩展测评要求。 贓熱俣阃歲匱阊邺镓騷。贓熱俣阃歲匱阊邺镓騷鯛。2 编制过程1) 2013 年 12 月，公安部第三研究所、中国电子技术标准化研究院和北京神州绿盟科 技有限公司成立了信息安全技术 信息安全等级保护测评要求标准编制组。 坛摶乡囂忏蒌鍥 铃氈淚。坛摶乡囂忏蒌鍥铃氈淚跻。2) 2014 年 1 月至 5 月，标准编制组按照计划调研了国际和国内无线接入、虚拟计算、 云计算平台、 大数据应用和工控系统应用等新技术、 新应用的情况， 分析并总结了新技术和 新应用中的安全关注点和要素；同时标准编制组调研了与信息安全技术 信息系统安全等 级保护测评要求 (GB/T 28448-2012)

10、 相关的其他国家标准和行业标准， 分析了 信息安全技 术 信息系统安全等级保护基本要求 (GB/T 22239-2008) 的修订可能对其产生的影响。 蜡變黲 癟報伥铉锚鈰赘。蜡變黲癟報伥铉锚鈰赘籜。3) 2014 年 5 月，为适应无线移动接入、虚拟计算环境、云计算平台应用、大数据应用 和工控系统应用等新技术、 新应用的情况下等级保护工作开展， 公安部十一局牵头会同有关 部门组织 2014 年新领域的国家标准立项，根据新标准立项结果确定基本要求修订思路 发生重大变化，为适应基本要求修订思路的变化在信息安全技术 信息系统安全等级 保护测评要求 ( GB/T 28448-2012 )的基础上，针

11、对无线移动接入、虚拟计算环境、云计算 平台应用、大数据应用和工控系统应用等新领域形成 “测评要求 ”的分册，如信息安全技术 网络安全等级保护测评要求 第 2 部分：云计算安全扩展要求 、信息安全技术 网络安全等 级保护测评要求 第 3 部分：移动互联安全扩展要求 、信息安全技术 网络安全等 级保护测信息安全技术网络安全等评要求 第 4 部分：物联网安全扩展要求 级保护测评要求 第6)2015年了信息安全技术网络安全等级保护测评要求第 1 部分：安全通用要求草案第二稿。踬髏彦浃绥譎饴憂锦驅踬髏彦浃绥譎饴憂锦諑。5 部分：工控控制安全扩展要求 评要求和信息安全技术 网络安全等级保护测 第 6 部分

12、：大数据安全扩展要求 。构成GB/T 28448.1 、 GB/T 28448.2 、 ? 等测评要求系列标准，上述思路的变化直接影响了国家标准GB/T 28448-2012 的修订思路和内容。 買鲷鴯譖昙膚遙闫撷凄。買鲷鴯譖昙膚遙闫撷凄届5)年 7 月 2015 年 5 月，标准编制组根据新修订基本要求草案第一稿编制2014 至了信息安全技 网络安全等级保护测评要 第 1 部分：安全通用要求草案第一 綾 术 求 稿。镝鯛駕櫬鹕踪韦辚糴。綾镝鯛駕櫬鹕踪韦辚糴飙。5 月 2015 12 月，标准编制组根据新修订基本要求草案第三稿编制 至年7) 年 5 月 2016 年 6 月，标准编制组根据新修

13、订基本要求草案第五稿编制2016 了信息安全技 术至网络安全等级保护测评要求第 1 部分：安全通用要求草案第三 稿。猫虿驢绘燈鮒诛髅貺庑。猫虿驢绘燈鮒诛髅貺庑献。8)2016523 日，在评估中心针对信息安全网络安全等级保护测评要第年月技术求1 部分：安全通用要求草案第三稿进行行业内专家评审会。 锹籁饗迳琐筆襖鸥娅薔。锹籁饗迳琐筆襖鸥娅薔嗚9) 2016 年 7 月，标准编制组根据新修订基本要求草案第六稿和第七稿编制了信 息安全技术 网络安全等级保护测评要求 第 1 部分：安全通用要求草案第四稿。 構氽頑黉碩 饨荠龈话骛。構氽頑黉碩饨荠龈话骛門。9)2016 年 7 月 -8 月，将信息安全技

14、术 网络安全等级保护测评要 求 第 1 部分：安全通用要求 草案第四稿发送 11 家等级测评机构和 WG5 工作组成员单位征求意见。 輒峄陽檉簖 疖網儂號泶。輒峄陽檉簖疖網儂號泶蛴。10) 2016 年 8 12 日，在北京瑞安宾馆第五会议室召开 WG5 工作组部分专家评审会， 月针对信息安全技 网络安全等级保护测评要求 第 1 部分：安全通用要求 草案第四稿 术征求意见。 尧侧閆繭絳闕绚勵蜆贅。尧侧閆繭絳闕绚勵蜆贅瀝。11) 2016 8 25 日，在北京瑞安宾馆第二会议室WG5 工作组在研标准推进会，年月 参加在会上征求所有WG5工作 识饒鎂錕缢灩筧嚌俨 组工作成 嚌淒识俨。饒淒识鎂侬饒錕

15、。鎂缢錕灩缢筧灩嚌筧俨 员单位意见。12）根据专家意见已经修订完成，形成信息安全技 网络安全等级保护测评要 第术求1 部分：安全通用要求草案第五稿。 凍鈹鋨劳臘锴痫婦胫籴。凍鈹鋨劳臘锴痫婦胫籴铍。13）根据测评机构反馈意见修订完成，形成信息安全技网络安全等级保护测评要术求 第 1 部分：安全通用要求草案第六稿。 恥諤銪灭萦欢煬鞏鹜錦。恥諤銪灭萦欢煬鞏鹜錦聰14）前正在推进测评要求后续专标准修订工作。3 标准编制的技术路线安全等级保护测评（以下简称等级测评）的概念性描述框架由两部分构成：单项测评和整体测评，图 1 给出了等级测评框架。 鯊腎鑰诎褳鉀沩懼統庫。鯊腎鑰诎褳鉀 沩懼統庫摇。测评指标1）

16、基本要求要求项a)b)2）等级保护对象安测评对象制度文档设备设施安全配置测（试步规骤程）单项判定判定原则访谈相关人员检查全保护等级测试规骤程）（说步明安全控制点测评整体测评安全控制点间测评层面间测评图 1 等级测评描述框架针对基本要求各安全要求项的测评称为单项测评，单项测评是等级测评工作的基本活动， 支持测评结果的可重复性和可再现性。 单项测评是由测评指标、 测评对象、 测评实施和单元 判定构成。 硕癘鄴颃诌攆檸攜驤蔹。硕癘鄴颃诌攆檸攜驤蔹鸶。本部分的测评指标包括 信息安全技术网络安全等级保护基本要求第 1 部分：安全通用 要求第四级目录下的要求项。 阌擻輳嬪諫迁择楨秘騖。阌擻輳嬪諫迁择楨秘騖

17、輛。测评对象是指测评实施的对象， 即测评过程中涉及到的制度文档、 各类设备及其安全配 置和相关人员等。对于框架来说，每一个被测安全要求项（不同级别）均有一组与之相关的 预先定义的测评对象（如制度文档、各类设备设施及相关人员等） 。氬嚕躑竄贸恳彈瀘颔澩。氬嚕 躑竄贸恳彈瀘颔澩纷。制度文档是指针对等级保护对象所制定的相关联的文件（如：政策、程序、计划、系统 安全需求、功能规格及建筑设计） 。各类设备是指安装在等级保护对象之内或边界，能起到 特定保护作用的相关部件（如：硬件、软件、固件或物理设施） 。相关人员或部门，是指应 用上述制度、设备及安全配置的人。 釷鹆資贏車贖孙滅獅赘。釷鹆資贏車贖孙滅獅赘

18、慶。测评实施是一组针对特定测评对象， 采用相关测评方法， 遵从一定的测评规程所形成的，用于测评人员使用的确定该要求项有效性的程序化陈述。 测评实施主要由测评方法和测评规程构成。其中测评方法包括：访谈、检查和测试（说明见术语） ，测评人员通过这些方法试图获取证据。上述的评估方法都由一组相关属性来规范测评方法的测评力度。这些属性是：广度（覆盖面）和深度。对于每一种测评方法都标识 （ 定义）了唯一属性，深度特性适用于访谈和检查，而覆盖面特性则适用于全部三种测评方法。上述三种测评方法（访谈、检查和测评规程是各类测评方法操作使用测评）的测评结果都用以对安全控制的有效性进行评估。怂阐譜鯪迳導嘯畫長凉。怂阐

19、譜鯪迳導如何依据这些测评输通过测评实施所获得的所有证谚辞調担鈧谄动禪泻類。谚辞調担鈧谄安全控制点间和层面间三个角的过程、步骤，测评规程实施完成后，可以获得相应的证据 嘯畫長凉馴结果判定描述测评人员执行测评实施并产生各种测评输出数据后，出数据来判定被测系统是否满足测评指标要求的原则和方法。 据都满足要求则为符合， 不全满足要求则该单项要求不符合。 动禪泻類谨。整体测评是在单项测评基础上， 分别从安全控制点测评，度分别进行测评。4 标准总体框架本标准共分为 11 章， 4 个附录，每章内容如下：第 1 、 2 、 3 章，为标准的常规性描述，包括范围、规范性引用文件、术语和定义；第4 章，概要描述

20、了安全等级保护测评方法及单项测评和整体测评组成；第 5、6、 7、 8 章，分别描述了第一、二、三、四级测评要求，每级分别遵从基本要 求的框架从安全技术和安全管理两大方面描述如何实施测评工作， 其中技术方面分别从物 理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个层面展开；而管理 方面则分别从安全策略和管理制度、 安全管理机构和人员、 安全建设管理和安全系统运维管 理四个方面展开，与基本要求形成了相互对照、和谐统一的标准体系。 嘰觐詿缧铴嗫偽純铪 锩。嘰觐詿缧铴嗫偽純铪锩癱。第9 章，略掉第五级的测评要求。第 10 章，描述了系统整体测评方法。在单项测评的基础上，从系统整体的角

21、度综合考虑如何进行系统性的测评。 分别从安全控制点、 分析了在进行系统测评时所需考虑的方向和指导思想。 库圆。第 11 章，概要说明了给出测评结论的方法，等。附录 A ，描述了各种测评方法的测评强度， 的测评强度。安全控制点间及层面间测评三方面进行描述，熒绐譏钲鏌觶鷹緇機库。熒绐譏钲鏌觶鷹緇機测评结论主要应该包括哪些方面的内容并具体描述针对不同等级保护对象附录 B ，描述了测评指标编码规则及专用缩略语。附录 C ，描述了设计要求测评验证内容。附录 D ，为基本要求的要求项和测评要求的测评单元索引表。5 主要章节的编写方法第 5 、 6 、 7 、 8 章分别描述了第一级、第二级、第三级和第四级

22、所有测评要求的内容，在章节上分别对应国GB/T 22239.1-2XXX 的 5 章到 8 章。在国标 第 第 标 第 5 章到 8 章中，各章的二级目录都分为安全技术和安全管理两部分， 第GB/T 22239.1-20XX三级目录从安全层面(如物理和环境安全、网络和通信安全、设备和计算安全等)进行划分和描述，四级目录按照安全控制点进行划分和描(如设备和计算安全层面下分为身份鉴述别、审计等)，第五级目录是每一个安全控制点下面包括的具体安全要求项。 鶼渍螻偉阅劍鲰腎邏蘞。鶼渍螻偉阅劍鲰腎邏蘞阕。访问控制、 安全具体编制案例如下。案例：7 第三级测评要求7.1 安全技术单项测评7.1.1 物理和环

23、境安全7.1.1.1 物理位置的选择7.1.1.1.1 测评单元( L3-PES1-01 )a) 测评指标机房场地应选择在具有防震、防风和防雨等能力的建筑内；本条款引用自GB/T 22239.1-20XX 7.1.1.1 ab) 测评对象记录类文档、机房。纣忧蔣氳頑莶驅藥悯骛。纣忧蔣氳頑莶驅藥悯骛覲。c) 测评实施1) 应核查所在建筑物是否具有建筑物抗震设防审批文档；2) 应核查机房是否不存在雨水渗漏；3) 应核查门窗是否不存在因风导致的尘土严重；4) 应核查屋顶、墙体、门窗和地面等是否不存在破损开裂。d) 单元判定如果 1) -4 )均为肯定，则等级保护对象符合本测评单元指标要求，否则，等级

24、保护对象不符合或部分符合本测评单元指标要求。 颖刍莖蛺饽亿顿裊赔泷。 颖刍莖蛺饽亿顿裊赔泷涨。7.1.1.1.2 测评单元( L3-PES1-02 )a) 测评指标机房场地应避免设在建筑物的顶层或地下室，否则应加强防水和防潮措施。(本条款引用自 GB/T 22239.1-20XX 7.1.1.1 b )濫驂膽閉驟羥闈詔寢賻。濫驂膽閉 驟羥闈詔寢賻減。b) 测评对象机房。c) 测评实施1) 应核查是否不位于所在建筑物的顶层或地下室，如果否， 则核查是否采取了防水和防潮措施。d) 单元判定 如果以上测评实施内容为肯定，则等级保护对象符合本测评单元指标要求， 否则，等级保护对象不符合本测评单元指标要

25、求。 銚銻縵哜鳗鸿锓謎諏涼。銚銻縵 哜鳗鸿锓謎諏涼鏗。信息安全技术网络系统安全等级保护测评要求第 1 部分：安全通用要求编写组2016 年 10 月人在与秤杆人上之可间的以看距出离；虽人然摸心不的着大小，看胸不怀见的，宽但的窄，的拨确确一是拨一秤砣杆全实实然在知晓在的。秤。真与假，善与恶，美与丑，尽 人与人之间的距离，不可太近 。 与得太人近太近就会了，模糊常常了看不足人不，宠清之。；一个时间人久既了有，优原点本，的也美有丽缺之点处，也所谓成人了瑕无疵完人，嫌金之无。赤足是也。初识时，走 好与，人太贪色近了亦罢，便，随都是手可一种得，贪心有。时得物，据为己有，太过贪财；有时得人，为己所用，也许贪色。贪财也 与人太近了，最可悲的就是会把自己丢在别人身上，找不到自己的影子，忘了回家的路。恩这世怨相上随，。根本所没以，有人零距与离人的相处人际的太关近系，了，因为便人渐渐总相是远有。一份自私的，人与人之间太近的距离，易滋生事端， 人与人之间的距离也不可太远。太远了，就像放飞的风筝，过高断线。太远了，就像南徙的大雁，失群哀鸣。太远了，就像失联的旅人，形单影只。事人与或者人一之段间难的距以离割，舍的有情时。，先远后近；有时，先近后远。这每次的变化之中，总是有一个难以忘记的故有时候，人与人之间的距离，忽然间近了，其实还是远；忽然间远了，肯定是伤了谁是宽容；如