等级保护测评流程及内容

这是一篇关于等级保护测评流程及内容的思维导图，主要内容包括：评测内容，等保测评多久做一次呢，什么系统需要做等保测评，等保测评的工作流程，概述。

等级保护测评流程及内容

• 概述
  • 什么是等保测评
    • 等保测评是对信息和信息载体按照重要性等级分级别进行保护的一种工作，也是一项网络安全测评的方法。等保测评是对于需要进行等级保护的信息或信息系统根据等级保护测评指南开展相关的测评活动，是由公安部主导的这项网络安全测评活动。
  • 由谁来做
    • 等保测评是由具有等级保护测评资质的测评机构来完成这个测评工作，开展等级保护测评的机构需要获得等保备案运营单位或者公司所在当地的公安认可，否则测评报告也许会被判无用。
  • 为什么要做
    • 为了提高保障水平以及优化资源分配，以等保为契机，统一系统化进行安全规划和建设，能有效的提高信息安全保障工作的整体水平，有效解决信息系统面临威胁和存在的主要问题，将有限的财力、物力、人力投入到重点工作当中，发挥最大的安全经济效益。
    • 再次就是因为国家发布《网络安全法》，根据相关规定有义务的不做相关等保测评的进行罚款，企业罚款相关负责人也要罚款。
• 等保测评的工作流程
  • 系统定级
    • 首先第一步就是系统定级，进行这个系统定级需要完成定级对象、系统等级、定级报告这个三个东西。
      • 首先看下这个定级对象，这个定级对象也就是指的我什么信息系统要做这个等保测评，一般的企业里面比如说OA系统、资金监管系统、ERP系统等等，这些是要求做等保测评的，这里确定好自己企业要做等保测评的系统就可以了
      • 第二个就是要确定系统等级，说是要做等保测评那你总得知道我的系统要做几级的等保测评吧，但是这个等保测评等级也不是你随便说我做几级就做几级的，也是有相关发文说明的，在《信息系统安全等级保护定级指南》中有相关说明，测评等级一共是分为五个等级，这五个等级是根据等级保护对象在受到破坏时侵害的客体以及对客体造成侵害程度进行区分的。一般企业做等保测评的话比较多的就是二级和三级，像银行对社会秩序、公共利益和国家安全造成严重侵害，这种的要求做四级或者五级
      • 最后一个就是定级报告了，这个定级报告一般来说很简单的，按照模板写一下就可以了，但是要求是必须是信息系统管理员填写，这个遇到好的等保测评机构就会帮着写，遇到比较强硬的那就自己写吧谁也没有办法。定级报告内容包含：信息系统详细描述、安全保护等级确定、系统服务安全保护等级确定。下面这个表很重要：
  • 系统备案
    • 根据要求第二级以上信息系统定级单位到所在地的市级以上公安机关办理备案手续。省级单位到省公安厅网安总队备案，各地市单位一般直接到市级网安支队备案，也有部分地市区县单位的定级备案资料是先交到区县公安网监大队的，具体根据各地市要求来。备案的时候带上定级资料去网安部门，一般两份纸质文档，一份电子档，纸质的首页加盖单位公章。
    • 备案表模板：
  • 建设整改
    • 信息系统安全保护等级确定后，运营使用单位按照管理规范和技术标准，选择管理办法要求的信息安全产品，建设符合等级要求的信息安全设施，建立安全组织，制定并落实安全管理制度。其实这个建设整改说白了就是等保测评机构先给你看看有哪些不满足要求的，然后给你说一下让你先改改，后面再进行测评，省的一次一次又一次的测麻烦。
  • 等级测评
    • 信息系统建设完成后，运营使用单位选择符合管理办法要求的检测机构，对信息系统安全等级状况开展等级测评。测评完成之后根据发现的安全问题及时进行整改，特别是高危风险。测评的结论分为：不符合、基本符合、符合。当然符合基本是不可能的，那是理想状态，这个就是到了他们测评机构真正上场的时候了，他们会根据信息系统情况去出一份测评报告和整改报告，根据这些报告然后再去公安部进行报备最后发放证书。
  • 监督检查
    • 公安机关依据信息安全等级保护管理规范及《网络安全法》相关条款，监督检查运营使用单位开展等级保护工作，定期对信息系统进行安全检查。运营使用单位应当接受公安机关的安全监督、检查、指导，如实向公安机关提供有关材料。这个监督检查吧说白了就是怕有人拿假的东西来糊弄他，然后每年进行一次抽查，这个抽查是在一个行业里面抽查几家，然后他们去做测评工作，看看是否和测评报告写的一致，一致的话就平安无事，不一致的话直接系统当场停掉，然后交罚款，当时测评的测评机构也面临着摘牌的风险。
  • 手段和方法
    • · 调研访谈（业务、资产、安全技术和安全管理）；
    • · 查看资料（管理制度、安全策略）；
    • · 现场观察（物理环境、物理部署）；
    • · 查看配置（主机、网络、安全设备）；
    • · 技术测试（漏洞扫描）；
    • · 评价（安全测评、符合性评价）。
• 什么系统需要做等保测评
  • 党政系统
  • 金融系统
  • 财税系统
  • 经贸系统
  • 电信系统
  • 能源系统
  • 交通运输系统
  • 供水系统
  • 社会应急服务系统
  • 教育科研系统
  • 国防建设系统
  • 物联网业务
  • 等等
• 等保测评多久做一次呢
  • 一级系统三年或多年，二级系统两年一次，三级系统一年一次，四级系统半年一次，五级系统随时做。
• 评测内容
  • 测评肯定会测哪些东西
  • 安全技术测评:
    • 安全技术测评包括：物理安全、网络安全、主机安全、应用安全、数据安全。
    • 补充： 网络安全、数据安全部分，通过用WAF实现防护，如：ShareWAF 主机安全通常用防火墙实现防护，防病毒，防DDOS等，可选择绿盟、启盟之类的防火墙。
  • 安全管理测评:
    • 安全管理测评包括：安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。