网络安全等级保护测评2.0时代

2021网络安全等级测评知识大全。信息系统根据其在国家安全、经济建设、社会生活中的重要程度，遭到破坏后对国家安全、社会秩序、公共利益及公民、法人和其他组织的合法利益的危害程度，由低到高划分为五个等级。下列思维导图主要介绍了信息安全技术网络安全等级保护基本要求，工作流程，实现方式，工作内容等。

网络安全等级保护测评2.0时代

• 测评机构
  • 公安部信息安全等级保护评估中心
  • 国家信息技术安全研究中心
  • 中国信息安全测评中心
  • 电力行业信息安全等级保护测评中心
  • 中国金融电子化公司测评中心
  • 信息产业信息安全测评中心
• 测评流程
  • 测评准备
    • 明确测评目标：验证信息系统是否达到定级基本要求。
    • 确定测评范围
      • 测评范围可以是系统组织全部信息及与信息处理相关的各类资产、管理机构，也可以是某个独立信息系统、关键业务流程等。
    • 组建测评团队
      • 测评实施团队应由被测评组织、测评机构等共同组建测评小组；由被测评组织领导、相关部门负责人，以及测评机构相关人员成立测评工作领导小组；聘请相关专业的技术专家和技术骨干组成专家组。
    • 召开测评实施工作启动会议
      • 为保障测评工作的顺利开展，确立工作目标、统一思想、协调各方资源，应召开测评实施工作启动会议。
    • 系统调研：问卷调查、现场面谈、人员访谈、资料查阅、实地查看相结合。
    • 确定系统测评标准
      • 因业务、行业、主管部门、地区等不同，系统测评标准依据存在个性化差异。
    • 确定测评工具
      • 主机检查、检查、检查、中间件检查、检查、专用业务检查、协议检查、口令检查、安全设备检查、网络设备检查、性能压力检查等
    • 制定测评方案
      • 通常测评方案给出具体的现场测评的工作思路、方法、方式和具体测评对象及其内容。测评方案应得到被评估组织的确认和认可。
    • 测评工作协调
      • 在测评工作中，可能需要测评双方多次沟通，就测评具体细节进行协调。
    • 文档管理
      • 文档是测评工作的最终体现方式，应该确保文档资料的完整性、准确性和安全性。
    • 测评风险规避
      • 测评工作自身也存在风险，一是结果是否准确有效，能够达到预先目标存在风险；二是测评中的某些测试操作可能给被测评组织或信息系统引入新的风险。应通过技术培训和保密教育、制定测评过程管理相关规定、编制应急预案等措施进行风险规避。
  • 方案编制
    • 确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。
  • 现场测评
    • 现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，然后依据测评方案实施现场测评工作，将测评方案和测评工具等具体落实到现场测评活动中。
  • 分析及报告编制
• 测评指标数量
• 概述
  • 等级测评概念
    • 简称”测评“，指测评机构依据国家网络安全等级保护管理制度规定，按照有关管理规范和技术标准对涉及国家机密的信息系统安全保护状况进行分等级测试评估的活动。
  • 测评作用和目的
    • ① 掌握信息系统的安全状况、排查系统安全隐患和薄弱环节、明确信息系统安全建设整改需求。
    • ② 衡量信息系统的安全保护管理措施和技术措施是否符合等级保护基本要求，是否具备了相应的安全保护能力。
  • ③ 等级测评结果，为公安机关等安全监管部门开展监督、检查、指导等工作提供参照。
  • 测评标准和依据
    • 《中华人民共和国网络安全法》
      • 第二十一条   国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：
      • 第三十八条   关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施安全保护工作的部门。
      • 第四十条   网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制度。
      • 第五十三条   国家网信部门协调有关部门建立健全网络安全风险评估和应急工作机制，制定网络安全事件应急预案，并定期组织演练。
    • 《网络安全等级保护基本要求》
      • GB/T 22239-2019：规定了第一级到第四级等级保护对象的安全保护的基本要求。每个级别的基本要求均由安全通用要求和安全扩展要求构成。
    • 《网络安全等级保护测评要求》
      • GB/T 28448-2019：阐述了《基本要求》中各要求项的具体测评方法、步骤和判断依据等，用来评定信息系统的安全保护措施是否符合《基本要求》。
    • 《网络安全等级保护测评过程指南》
      • GB/T 28449-2018：规定了开展等级测评工作的基本过程、流程、任务及工作产品等，规范测评机构的等级测评工作，并对在等级测评过程中何时如何使用《测评要求》提出了指导建议。
  • 测评工作规范
    • ① 标准性原则
      • 测评工作的开展、方案的设计和具体实施均需依据我国等级保护的相关标准进行。
    • ② 规范性原则
      • 为用户提供规范的服务，工作中的过程和文档需具有良好的规范性，可以便于项目的跟踪和控制。
    • ③ 可控性原则
      • 测评过程和所使用的工具具备可控性，测评项目采用的工具都经过多次测评项目考验，或者是根据具体要求和组织的具体网络特点定制的，具有良好的可控性。
    • ④ 整体性原则
      • 测评服务从组织的实际需求出发，从业务角度进行测评，而不是局限于网络、主机等单个的安全层面，涉及安全管理和业务运营，保障整体性和全面性。
    • ⑤ 最小影响原则
      • 测评工作具备充分的计划性，不对现有的运行和业务的正常提供产生显著影响，尽可能小地影响系统和网络的正常运行。
    • ⑥ 保密性原则
      • 从公司、人员、过程三方面进行保密控制——测评公司与甲方双方签署保密协议，不得利用测评中的任何数据进行其他有损甲方利益的活动；人员保密，公司内部签订保密协议；在测评过程中对测评数据严格保密。
    • ⑦ 个性化原则
      • 根据被测信息系统的实际业务需求、功能需求以及对应的安全建设情况，开展针对性较强的测评工作。
  • 测评工作内容
    • 技术层面
      • 物理安全
        • 机房位置选择、物理访问控制、防盗窃和放破坏、防雷击、防火、防潮、防电等
      • 网络安全
        • 结构安全、访问控制、安全审计、入侵防范、恶意代码防范、边界完整性检查等
      • 主机安全
        • 身份鉴别、安全标记、访问控制、可信路径、剩余信息保护、入侵防范、资源控制等
      • 应用安全
        • 通信完整性、通信保密性、软件容错、资源控制、安全标记、身份鉴别、访问控制等
      • 数据安全及备份恢复
        • 数据保密性、数据完整性、备份与恢复
    • 管理层面
      • 安全管理制度
        • 管理制度的制定、发布、评审和修订
      • 安全管理机构
        • 岗位设置、人员配备、授权和审批、沟通和合作、审核和检查
      • 人员安全管理
        • 人员录用、人员离岗、人员考核、安全意识鉴教育和培训、外部人员访问管理
      • 系统建设管理
        • 系统定级、安全方案设计、产品采购和使用、自行软件开发、测试验收、系统交付、系统备案、等级测评、安全服务商选择
      • 系统运维管理
        • 环境管理、资产管理、设备管理、监控管理和安全管理、密码管理、安全事件处置、应急预案管理等
  • 等级划分
    • 第一级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；
    • 第二级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；
    • 第三级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；
    • 第四级，等级保护对象受到破坏后，会对社会秩序和公共秩序造成严重损害，或者对国家安全造成严重损害；
    • 第五级，等级保护对象受到破坏后，会对国家安全造成严重损害。
• 截至2021年4月1日，国内有211个等级测评机构，详见全国网络安全等级保护测评机构推荐目录
• 第一级到第五级逐级增高