信息安全技术网络安全等级保护测评要求

1、WORD格式信息平安技术网络平安等级保护测评要求第 1 局部：平安通用要求编制说明1 概述1.1任务来源?信息平安技术信息系统平安等级保护测评要求?于2021年成为国家标准，标准号为 GB/T 28448-2021，被广泛应用于各个行业的开展等级保护对象平安等级保护的检测评估工作。但是随着信息技术的开展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2021年公安部第三研究所联合中国电子技术标准化研究院和神州绿盟科技向安标委申请对GB/T28448-2021进展修订。矚慫润厲钐瘗睞枥庑赖。矚慫润厲钐瘗睞枥庑赖賃。根据全国信息平安标准化技

2、术委员会2021年下达的国家标准制修订方案，国家标准?信息平安技术信息系统平安等级保护测评要求?修订任务由公安部第三研究所负责主办，项目编号为2021bzxd-WG5-006 。聞創沟燴鐺險爱氇谴净。聞創沟燴鐺險爱氇谴净祸。1.2制定本标准的目的和意义?信息平安等级保护管理方法?公通字 200743 号明确指出信息系统运营、使用单位应当承受公安机关、国家指定的专门部门的平安监视、检查、指导，而且等级测评的技术测评报告是其检查内容之一。这就要求等级测评过程标准、测评结论准确、公正及可重现。残骛楼諍锩瀨濟溆塹籟。残骛楼諍锩瀨濟溆塹籟婭。专业资料整理WORD格式?信息平安技术信息系统平安等级保护根本

3、要求? GB/T22239-2021简称?根本要求?专业资料整理WORD格式和?信息平安技术信息系统平安等级保护测评要求?GB/T28448-2021简称?测评要求?专业资料整理WORD格式等标准对近几年来全国信息平安等级保护工作的推动起到了重要的作用。酽锕极額閉镇桧猪訣锥。酽锕极額閉镇桧猪訣锥顧。伴随着 IT 技术的开展，?根本要求?中的一些内容需要结合我国信息平安等级保护工作的特点，结合信息技术开展尤其是信息平安技术开展的特点，比方无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的平安威胁和应具有的恢复能力，提出新的各等级的平安保护目标。彈贸摄尔霁毙攬砖

4、卤庑。彈贸摄尔霁毙攬砖卤庑诒。作为?根本要求?的姊妹标准，?测评要求?需要同步修订，依据?根本要求?的更新内容对应修订相关的单元测评章节。謀荞抟箧飆鐸怼类蒋薔。謀荞抟箧飆鐸怼类蒋薔點。此外，?测评要求?还需要吸收近年来的测评实践，更新整体测评方法和测评结论形成方法。专业资料整理WORD格式1.3与其他标准的关系?实施指南?定级指南?确定等级保护对象平安等级?实施指南?选择相应的平安?实施指南?测评过程指南?等级测评等级保护对象?根本要求?系列标准?测评要求?系列标准控制措施平安建立整改?实施指南?其他相关标准图 1 等级保护标准相互关系从上图可以看出，在等级保护对象实施平安保护过程中，首先利用

5、?信息平安技术信息系统平安等级保护定级指南? GB/T 22240-2021简称“?定级指南?确定等级保护对象的平安保护等级，然后根据?信息平安技术网络平安等级保护根本要求?系列标准选择安全控制措施，随后利用?信息平安技术信息系统平安等级保护实施指南?简称?“ 实施指南?或其他相关标准确定其特殊平安需求，进展等级保护对象的平安规划和建立工作，此后利用?信息平安技术网络平安等级保护测评过程指南? GB/T 28449-20XX 简称“?测评过程指南?来标准测评过程和各项活动，利用?信息平安技术网络平安等级保护测评要求?系列标准来判断平安控制措施的有效性。同时，等级保护整个实施过程又是由?实施指南

6、?来指导的。厦礴恳蹒骈時盡继價骚。厦礴恳蹒骈時盡继價骚卺。在等级保护的相关标准中，?测评要求?系列标准是?根本要求?系列标准的姊妹篇，?测评要求?针对?根本要求?中各要求项，提供了具体测评方法、步骤和判断依据等，是为了确认等级保护对象是否按照?根本要求?中的不同等级的技术和管理要XX施的，而?测评过程指南?那么是规定了开展这些测评活动的根本过程，包括过程、任务及产品等，以指导用户对?测评要求?的正确使用。茕桢广鳓鯡选块网羈泪。茕桢广鳓鯡选块网羈泪镀。1.4标准组成为了适应移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用情况下网络平安等级保护测评工作的开展，需对 GB/T 2

7、8448-2021进展修订，修订的思路和方法是针对移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用领域提出扩展的测评要求。鹅娅尽損鹌惨歷茏鴛賴。鹅娅尽損鹌惨歷茏鴛賴縈。对 GB/T 28448-2021的修订完成后，测评要求标准成为由多个局部组成的系列标准，目前主要有六个局部：籟丛妈羥为贍偾蛏练淨。籟丛妈羥为贍偾蛏练淨槠。专业资料整理WORD格式 GB/T 28448.1-20XX信息平安技术网络平安等级保护测评要求第1 局部：平安通用要求； GB/T 28448.2-20XX信息平安技术网络平安等级保护测评要求第2 局部：云计算安全扩展要求；預頌圣鉉儐歲龈讶骅籴。預頌圣鉉

8、儐歲龈讶骅籴買。 GB/T 28448.3-20XX信息平安技术网络平安等级保护测评要求第3 局部：移动互联平安扩展要求；渗釤呛俨匀谔鱉调硯錦。渗釤呛俨匀谔鱉调硯錦鋇。 GB/T 28448.4-20XX信息平安技术网络平安等级保护测评要求第4 局部：物联网安全扩展要求；铙誅卧泻噦圣骋贶頂廡。铙誅卧泻噦圣骋贶頂廡缝。 GB/T 28448.5-20XX信息平安技术网络平安等级保护测评要求第5 局部：工控控制平安扩展要求；擁締凤袜备訊顎轮烂蔷。擁締凤袜备訊顎轮烂蔷報。 GB/T 28448.6-20XX信息平安技术网络平安等级保护测评要求第6 局部：大数据安全扩展测评要求。贓熱俣阃歲匱阊邺镓騷。

9、贓熱俣阃歲匱阊邺镓騷鯛。2 编制过程12021年 12 月，公安部第三研究所、中国电子技术标准化研究院和神州绿盟科技成立了?信息平安技术信息平安等级保护测评要求?标准编制组。坛摶乡囂忏蒌鍥铃氈淚。坛摶乡囂忏蒌鍥铃氈淚跻。22021年 1 月至 5 月，标准编制组按照方案调研了国际和国内无线接入、虚拟计算、云计算平台、大数据应用和工控系统应用等新技术、新应用的情况，分析并总结了新技术和新应用中的平安关注点和要素；同时标准编制组调研了与?信息平安技术信息系统平安等专业资料整理WORD格式级保护测评要求?(GB/T 28448-2021)相关的其他国家标准和行业标准，分析了?信息平安技专业资料整理W

10、ORD格式术信息系统平安等级保护根本要求?(GB/T 22239-2021)的修订可能对其产生的影响。蜡變黲专业资料整理WORD格式癟報伥铉锚鈰赘。蜡變黲癟報伥铉锚鈰赘籜。32021年 5 月，为适应无线移动接入、虚拟计算环境、云计算平台应用、大数据应用和工控系统应用等新技术、新应用的情况下等级保护工作开展，公安部十一局牵头会同有关部门组织2021年新领域的国家标准立项，根据新标准立项结果确定?根本要求?修订思路发生重大变化，为适应?根本要求?修订思路的变化在?信息平安技术信息系统平安等级保护测评要求? GB/T 28448-2021的根底上，针对无线移动接入、虚拟计算环境、云计算专业资料整理

11、WORD格式平台应用、大数据应用和工控系统应用等新领域形成“测评要求的分册，如?信息平安技术网络平安等级保护测评要求第 2 局部：云计算平安扩展要求?、?信息平安技术网络平安等级保护测评要求第 3 局部：移动互联平安扩展要求?、?信息平安技术网络平安等级保护测评要求第4局部：物联网平安扩展要求?、?信息平安技术网络平安等级保护测评要求第专业资料整理WORD格式5 局部：工控控制平安扩展要求?和?信息平安技术网络平安等级保护测评要求第6局部：大数据平安扩展要求?。构成 GB/T 28448.1 、GB/T 28448.2、等测评要求系列标准，上述思路的变化直接影响了国家标准GB/T 28448-

12、2021的修订思路和内容。買鲷鴯譖昙膚遙闫撷凄。買鲷鴯譖昙膚遙闫撷凄届。专业资料整理WORD格式52021年7 月至2021 年5 月，标准编制组根据新修订?根本要求?草案第一稿编制专业资料整理WORD格式了?信息平安技术网络平安等级保护测评要求第 1 局部：平安通用要求?草案第一稿。綾专业资料整理WORD格式镝鯛駕櫬鹕踪韦辚糴。綾镝鯛駕櫬鹕踪韦辚糴飙。专业资料整理WORD格式62021 年5 月至2021 年12 月，标准编制组根据新修订?根本要求?草案第三稿编制专业资料整理WORD格式了?信息平安技术网络平安等级保护测评要求第 1 局部：平安通用要求?草案第二稿。驅专业资料整理WORD格式

13、踬髏彦浃绥譎饴憂锦。驅踬髏彦浃绥譎饴憂锦諑。专业资料整理WORD格式72021年5 月至2021年6 月，标准编制组根据新修订?根本要求?草案第五稿编制专业资料整理WORD格式了?信息平安技术网络平安等级保护测评要求第 1 局部：平安通用要求?草案第三稿。猫专业资料整理WORD格式虿驢绘燈鮒诛髅貺庑。猫虿驢绘燈鮒诛髅貺庑献。专业资料整理WORD格式82021年5 月23 日，在评估中心针对?信息平安技术网络平安等级保护测评要求第专业资料整理WORD格式1 局部：平安通用要求?草案第三稿进展行业内专家评审会。锹籁饗迳琐筆襖鸥娅薔。锹籁饗迳琐筆专业资料整理WORD格式襖鸥娅薔嗚。专业资料整理WOR

14、D格式92021年 7 月，标准编制组根据新修订?根本要求?草案第六稿和第七稿编制了?信息平安技术网络平安等级保护测评要求第1局部：平安通用要求?草案第四稿。構氽頑黉碩饨荠龈话骛。構氽頑黉碩饨荠龈话骛門。92021年 7 月 -8 月，将?信息平安技术网络平安等级保护测评要求第1局部：平安通用要求?草案第四稿发送11 家等级测评机构和WG5 工作组成员单位征求意见。輒峄陽檉簖疖網儂號泶。輒峄陽檉簖疖網儂號泶蛴。专业资料整理WORD格式102021年 8 月针对?信息平安技术12 日，在瑞安宾馆第五会议室召开WG5 工作组局部专家评审会，网络平安等级保护测评要求第 1 局部：平安通用要求?草案第

15、四稿征专业资料整理WORD格式求意见。尧侧閆繭絳闕绚勵蜆贅。尧侧閆繭絳闕绚勵蜆贅瀝。专业资料整理WORD格式112021年8 月25 日，在瑞安宾馆第二会议室参加WG5工作组在研标准推进会，专业资料整理WORD格式在会上征求所有WG5工作组成员单位意见。识饒鎂錕缢灩筧嚌俨淒。识饒鎂錕缢灩筧嚌俨淒侬。专业资料整理WORD格式12根据专家意见已经修订完成，形成?信息平安技术网络平安等级保护测评要求第专业资料整理WORD格式1 局部：平安通用要求?草案第五稿。凍鈹鋨劳臘锴痫婦胫籴。凍鈹鋨劳臘锴痫婦胫籴铍。专业资料整理WORD格式13根据测评机构反应意见修订完成，形成?信息平安技术网络平安等级保护测评

16、要专业资料整理WORD格式求第 1 局部：平安通用要求?草案第六稿。恥諤銪灭萦欢煬鞏鹜錦。恥諤銪灭萦欢煬鞏鹜錦聰。14前正在推进?测评要求?后续专标准修订工作。专业资料整理WORD格式3 标准编制的技术路线平安等级保护测评以下简称等级测评的概念性描述框架由两局部构成：整体测评，图1 给出了等级测评框架。鯊腎鑰诎褳鉀沩懼統庫。鯊腎鑰诎褳鉀沩懼統庫摇。单项测评测评指标测评对象测评实施1根本要求要求项制度文档测评方法测评规程a)设备设施访谈规程步骤b)检查规程步骤2等级保护对象安平安配置访谈测试规程步骤相关人员检查全保护等级测试规程步骤说明单项测评和单项判定判定原那么专业资料整理WORD格式整体测评

17、平安控制点测评平安控制点间测评层面间测评图 1 等级测评描述框架针对根本要求各平安要求项的测评称为单项测评，单项测评是等级测评工作的根本活动，支持测评结果的可重复性和可再现性。单项测评是由测评指标、测评对象、测评实施和单元判定构成。硕癘鄴颃诌攆檸攜驤蔹。硕癘鄴颃诌攆檸攜驤蔹鸶。本局部的测评指标包括?信息平安技术网络平安等级保护根本要求第1 局部：平安通用要求?第四级目录下的要求项。阌擻輳嬪諫迁择楨秘騖。阌擻輳嬪諫迁择楨秘騖輛。测评对象是指测评实施的对象，即测评过程中涉及到的制度文档、各类设备及其平安配置和相关人员等。对于框架来说，每一个被测平安要求项不同级别均有一组与之相关的预先定义的测评对象

18、如制度文档、各类设备设施及相关人员等。氬嚕躑竄贸恳彈瀘颔澩。氬嚕躑竄贸恳彈瀘颔澩纷。制度文档是指针对等级保护对象所制定的相关联的文件如：政策、程序、方案、系统平安需求、功能规格及建筑设计。各类设备是指安装在等级保护对象之内或边界，能起到特定保护作用的相关部件如：硬件、软件、固件或物理设施。相关人员或部门，是指应用上述制度、设备及平安配置的人。釷鹆資贏車贖孙滅獅赘。釷鹆資贏車贖孙滅獅赘慶。测评实施是一组针对特定测评对象，采用相关测评方法，遵从一定的测评规程所形成的，用于测评人员使用确实定该要求项有效性的程序化陈述。测评实施主要由测评方法和测评规程构成。其中测评方法包括：访谈、检查和测试说明见术语

19、，测评人员通过这些方法试图获取证据。上述的评估方法都由一组相关属性来标准测评方法的测评力度。这些属性是：专业资料整理WORD格式广度覆盖面和深度。对于每一种测评方法都标识(定义了唯一属性，深度特性适用于访谈和检查，而覆盖面特性那么适用于全部三种测评方法。上述三种测评方法访谈、检查和测评的测评结果都用以对平安控制的有效性进展评估。测评规程是各类测评方法操作使用的过程、步骤，测评规程实施完成后，可以获得相应的证据。怂阐譜鯪迳導嘯畫長凉。怂阐譜鯪迳導嘯畫長凉馴。结果判定描述测评人员执行测评实施并产生各种测评输出数据后，如何依据这些测评输出数据来判定被测系统是否满足测评指标要求的原那么和方法。通过测评

20、实施所获得的所有证据都满足要求那么为符合，不全满足要求那么该单项要求不符合。谚辞調担鈧谄动禪泻類。谚辞調担鈧谄动禪泻類谨。整体测评是在单项测评根底上，分别从平安控制点测评，平安控制点间和层面间三个角度分别进展测评。4 标准总体框架本标准共分为11 章， 4 个附录，每章内容如下：第 1、 2、 3 章，为标准的常规性描述，包括X围、标准性引用文件、术语和定义；第 4 章，概要描述了平安等级保护测评方法及单项测评和整体测评组成；第 5、6、 7、 8 章，分别描述了第一、二、三、四级测评要求，每级分别遵从?根本要求?的框架从平安技术和平安管理两大方面描述如何实施测评工作，其中技术方面分别从物理和

21、环境平安、网络和通信平安、设备和计算平安、应用和数据平安四个层面展开；而管理方面那么分别从平安策略和管理制度、平安管理机构和人员、平安建立管理和平安系统运维管理四个方面展开，与?根本要求?形成了相互对照、和谐统一的标准体系。嘰觐詿缧铴嗫偽純铪锩。嘰觐詿缧铴嗫偽純铪锩癱。第 9 章，略掉第五级的测评要求。第 10 章，描述了系统整体测评方法。在单项测评的根底上，从系统整体的角度综合考虑如何进展系统性的测评。分别从平安控制点、平安控制点间及层面间测评三方面进展描述，分析了在进展系统测评时所需考虑的方向和指导思想。熒绐譏钲鏌觶鷹緇機库。熒绐譏钲鏌觶鷹緇機库圆。第 11 章，概要说明了给出测评结论的方

22、法，测评结论主要应该包括哪些方面的内容等。附录 A ，描述了各种测评方法的测评强度，并具体描述针对不同等级保护对象的测评强度。附录 B ，描述了测评指标编码规那么及专用缩略语。附录 C，描述了设计要求测评验证内容。附录 D ，为根本要求的要求项和测评要求的测评单元索引表。5 主要章节的编写方法专业资料整理WORD格式第 5、6、 7、 8 章分别描述了第一级、第二级、第三级和第四级所有测评要求的内容，专业资料整理WORD格式在章节上分别对应国标GB/T 22239.1-2XXX的第5 章到第8 章。在国标GB/T 22239.1-20XX专业资料整理WORD格式第 5章到第8 章中，各章的二级

23、目录都分为平安技术和平安管理两局部，三级目录从平安层专业资料整理WORD格式面如物理和环境平安、网络和通信平安、设备和计算平安等进展划分和描述，四级目录专业资料整理WORD格式按照平安控制点进展划分和描述如设备和计算平安层面下分为身份鉴别、访问控制、平安专业资料整理WORD格式审计等，第五级目录是每一个平安控制点下面包括的具体平安要求项。具体编制案例如下。鶼渍螻偉阅劍鲰腎邏蘞。鶼渍螻偉阅劍鲰腎邏蘞阕。案例：7 第三级测评要求7.1 平安技术单项测评7.1.1 物理和环境平安7.1.1.1 物理位置的选择7.1.1.1.1 测评单元 L3-PES1-01 a)测评指标机房场地应选择在具有防震、防

24、风和防雨等能力的建筑内；本条款引用自GB/T 22239.1-20XX 7.1.1.1 a 纣忧蔣氳頑莶驅藥悯骛。纣忧蔣氳頑莶驅藥悯骛覲。b)测评对象记录类文档、机房。c)测评实施1)应核查所在建筑物是否具有建筑物抗震设防审批文档；2)应核查机房是否不存在雨水渗漏；3)应核查门窗是否不存在因风导致的尘土严重；4)应核查屋顶、墙体、门窗和地面等是否不存在破损开裂。d)单元判定如果1 -4 均为肯定，那么等级保护对象符合本测评单元指标要求，否那么，等级保护对象不符合或局部符合本测评单元指标要求。颖刍莖蛺饽亿顿裊赔泷。颖刍莖蛺饽亿顿裊赔泷涨。7.1.1.1.2 测评单元 L3-PES1-02 a)测

25、评指标机房场地应防止设在建筑物的顶层或地下室，否那么应加强防水和防潮措施。本条款引用自GB/T 22239.1-20XX 7.1.1.1 b濫驂膽閉驟羥闈詔寢賻。濫驂膽閉专业资料整理WORD格式驟羥闈詔寢賻減。b)测评对象机房。c)测评实施1)应核查是否不位于所在建筑物的顶层或地下室，如果否，那么核查是否采取了防水和防潮措施。d)单元判定如果以上测评实施内容为肯定，那么等级保护对象符合本测评单元指标要求，否那么，等级保护对象不符合本测评单元指标要求。銚銻縵哜鳗鸿锓謎諏涼。銚銻縵哜鳗鸿锓謎諏涼鏗。信息平安技术网络系统平安等级保护测评要求第 1 局部：平安通用要求编写组2021年 10 月专业资料

26、整理WORD格式人与人之间的距离虽然摸不着，看不见，但的确实确是一杆实实在在的秤。真与假，善与恶，美与丑，尽在秤杆上可以看出；人心的大小，胸怀的宽窄，拨一拨秤砣全然知晓。人与人之间的距离，不可太近。与人太近了，常常看人不清。一个人既有优点，也有缺点，所谓人无完人，金无赤足是也。初识时，走得太近就会模糊了缺乏，宠之；时间久了，原本的美丽之处也成了瑕疵，嫌之。与人太近了，便随手可得，有时得物，据为己有，太过贪财；有时得人，为己所用，也许贪色。贪财也好，贪色亦罢，都是一种贪心。与人太近了，最可悲的就是会把自己丢在别人身上，找不到自己的影子，忘了回家的路。这世上，根本没有零距离的人际关系，因为人总是有

27、一份自私的，人与人之间太近的距离，易滋生事端，恩怨相随。所以，人与人相处的太近了，便渐渐相远。人与人之间的距离也不可太远。太远了，就像放飞的风筝，过高断线。太远了，就像南徙的大雁，失群哀鸣。专业资料整理WORD格式太远了，就像失联的旅人，形单影只。专业资料整理WORD格式人与人之间的距离，有时，先远后近；有时，先近后远。这每次的变化之中，总是有一个难以忘记的故事或者一段难以割舍的情。有时候，人与人之间的距离，突然间近了，其实还是远；突然间远了，肯定是伤了谁。人与人之间的距离，如果是一份信笺，那是思念；如果是一个微笑，那是宽容；如果是一句问候，那是友谊；如果是一次付出，那是责任。这样的距离，即便是远，但也很近。最怕的，人与人之间的距离就是一句失真的谗言，一个不屑的眼神，一叠诱人的纸币，或者是一条无法逾越的深谷。这样的距离，即便是近，但也很远。人与人之间最美的距离，就是不远不近，远中有近，近中有远，远而不离开，近而不相丢。太远的距离，只需要一份宽容，就不会走得太远而行同陌人；太近的距离，只需要一份