导图社区 等保2.0
- 181
- 5
- 0
- 举报
等保2.0
2016年11月7日，第十二届全国人民代表大会常务委员会第二十四次会议通过《中华人民共和国网络安全法》，其中第二十一条规定国家实行网络安全等级保护制度，明确网络安全等级保护制度的法律地位，2019年5月，网络安全等级保护核心标准《信息安全技术 网络安全等级保护测评要求》《信息安全技术 网络安全等级保护基本要求》《信息安全技术 网络安全等级保护安全设计要求》正式发布，并于2019年12月1日正式实施，标志着中国等级保护制度进入2.0时代。
编辑于2022-05-16 11:12:08- 等级保护制度
- 相似推荐
- 大纲
等保2.0
2016年11月7日，第十二届全国人民代表大会常务委员会第二十四次会议通过《中华人民共和国网络安全法》，其中第二十一条规定国家实行网络安全等级保护制度，明确网络安全等级保护制度的法律地位，2019年5月，网络安全等级保护核心标准《信息安全技术 网络安全等级保护测评要求》《信息安全技术 网络安全等级保护基本要求》《信息安全技术 网络安全等级保护安全设计要求》正式发布，并于2019年12月1日正式实施，标志着中国等级保护制度进入2.0时代
等保2.0时代网络安全形式
信息化应用发展迅速，信息安全需求提升
1、基础资源状况持续优化，安全保障能力稳步提升
2、互联网普及率达64.5%，数字鸿沟不断缩小
3、网络零售持续稳健发展，成为了消费增长的重要动力
4、网络娱乐内容品质提升，用户规模迅速增长
5、用户需求充分释放，在线教育爆发式增长
6、数字政府加快建设，全国一体化政务服务平台初步建成
7、上市企业市值普遍增长，独角兽企业发展迅速
8、核心科技创新能力不断增强，产业融合加速推进
信息技术的不断革新对网络安全的需求
云计算、大数据等新应用的资深安全问题日益凸显
工业4.0的发展，控制系统面临重大安全隐患
网络技术的发展带来的新的风险和挑战
等保2.0时代的主要变化
法律法规：从条例法规提升到法律层面。等保1.0的最高国家政策是《中华人民共和国计算机系统实行安全保护条例》，而等保2.0标准的最高国家政策是《中华人民共和国网络安全法》
标准要求：等保2.0标准在对等保1.0标准要求进行优化的同时，针对云计算、物联网、移动互联网、工业控制、大数据新技术提出的新的安全扩展要求。也就是说，使用新技术的信息系统需要同时满足“通用要求+安全拓展”的要求。标准覆盖度更加全面。
安全体系：等保2.0标准体系依然采用“一个中心，三重防护”的理念，从等保1.0标准以被动防御为主的安全体系向事前预防、事中响应、事后审计的动态保障体系转变。
实施环节
定级对象的变化：等保1.0标准定级对象是信息系统，等保2.0标准定级的对象扩展至基础信息网络、工业控制系统、云计算平台、物联网、移动互联网、其他网络以及大数据等多个系统平台，覆盖面更广。
定级级别的变化：公民、法人和其他组织的合法权益产生特别严重损害时，相应系统的等级保护级别从1.0的第二级调整到了第三级
定级流程的变化：等保2.0标准不再自主定级，而是通过“确定定级对象→初步确定等级→专家评审→主管部门审核→公安机关备案审查→最终确定等级”。系统定级必须经过专家评审和主管部门审核，才能到公安机关备案，整体定级更加严格。
等保2.0标准要求，第三级以上的系统每年开展一次测评，测评达到70分以上才算基本符合要求。
信息安全法律法规及标准规范
网络安全法律政策体系
法律
《中华人民共和宪法》
《中华人民共和国刑法》
《中华人民共和国国家安全法》
《中华人民共和国网络安全法》
《中华人民共和国密码法》
《中华人民共和国保守国家密码法》
《中华人民共和国电子签名法》
法规
《中华人民共和国计算机信息系统安全保护条例》
《中华人民共和国计算机信息网络国际联网暂时规定》
《计算机信息网络国际联网安全保护管理办法》
《商用密码管理条例》
《互联网信息服务管理办法》
《计算机软件保护条例》
网络安全标准体系
通用/基础标准
《计算机信息系统安全保护等级划分标准》（GB 17859-1999）
《信息安全技术 网络安全等级保护实施指南》（GB/ 25058-2019)
系统定级标准
《信息安全技术 网络安全等级保护定级指南》（GB/ 22240-2020)
《信息安全技术 网络安全等级保护定级指南》（GA/ T 1389-2017）
建设标准
《信息安全技术 网络安全等级保护基本要求》(GB/T 22239-2019)
《信息安全技术 网络安全等级保护安全设计技术要求》（GB/ 25070-2019）
《信息安全技术 网络安全等级保护安全管理要求》（GB/T 20269-2006)
《信息安全技术 信息系统安全工程管理要求》（GB/T 20282-2006）
等级测评标准
《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019)
《信息安全技术 信息系统安全等级保护测评过程指南》（GB/T 28449-2012)
运行维护及其他标准
《信息技术 安全技术 信息安全时间管理指南》（GB/Z 20985-2007）
《信息安全技术 信息安全时间分类分级指南》（GB/Z 2-986-2007)
《信息安全技术 信息系统灾难恢复规范》（GB/T 20988-2007)
《信息安全技术 信息安全风险评估规范》（GB/T 20984-2007）
《信息安全技术 信息系统物理安全技术要求》（GB/T 12052-2007)
《信息安全技术 网络基础安全技术要求》（GB/T 20270-2006)
定级与备案
定级原理及流程
定级要素
受侵害的客体
公民、法人和其他组织的合法权益
侵害公共利益的事项
影响社会成员使用公共设施
影响社会成员获取公开数据资源
影响社会成员接受公共服务等方面
其他影响公共利益的事项
社会秩序、公共利益
侵害社会秩序的事项
影响国家机关、企事业单位、社会团体的生产秩序、经营秩序、教学科研秩序、医疗卫生秩序。
影响公共场所的活动秩序、公共交通秩序
影响人民群众的生活秩序
其他影响社会秩序的事项
国家安全
侵害国家安全的事项
影响国家政权稳固和领悟主权、海洋权益完整
影响国家统一、民族团结和社会稳定
影响国家社会主义市场经济秩序和文化实力
其他影响国家安全的事项
对客体的侵害程度
造成一般损害
工作职能受到局部影响、业务能力有所降低不影响主要功能的执行，出现较轻的法律问题、较低的财产损失、有限的社会不良影响，对其他组织和个人造成较低伤害。
造成严重损害
工作职能受到严重影响，业务能力显著下降且严重影响主要功能执行，出现较严重的法律问题、较高的财产损失、较大的范围的社会不良影响，对其他组织和个人造成较高损害。
造成特别严重损害
工作职能受到特别严重影响或者丧失行使能力，业务能力严重下降或功能无法执行，出现极其严重的法律问题、极高的财产损失、大范围的社会不良影响，对其他组织和个人造成非常高的损害。
分五级
第一级：等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益造成一般损害，但不危害国家安全、社会秩序和公共利益。
第二级：等级保护对象受到破坏后，会对相关公民、法人和其他组织的合法权益产生严重损害或特别严重损害，或者对社会秩序和公共利益造成危害，但不危害国家安全。
第三级：等级保护对象受到破坏后，或者对社会秩序和公共利益造成严重危害，或者对国家安全造成危害。
第四级：等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重危害。
第五级：等级保护对象受到破坏后，会对国家安全造成特别严重危害。
定级流程
确定定级对象
定级对象的基本特征
具有确定的主要安全责任主体
承载相对独立的业务应用
包含相互关联的多个资源
云计算/系统
单独定级
物联网
物联网主要包括感知、网络传输、和处理应用等特征要素，需将以上要素作为一个整体定级，各要素不单独定级。
工业控制系统
现场采集/执行、现场控制和过程控制等要素作为整体定级，生产管理宜单独定级。
通信网络设施
跟进安全责任主体、服务类型或服务商低于等因素划分为不同的定级对象，跨省的行业或单位的专用通信网可作为一个整体对象定级，或分区域划分若干个定级对象。
数据资源
独立定级
初步确定等级
定级方法
确认业务信息安全受到破坏时所侵害的客体
指确保信息系统中信息的保密性、完整性、和可用性等
综合评定对客体的侵害程度
确定业务信息安全保护等级
确定系统服务安全受到破坏时所分割的客体
指确保定级对象可以及时、有效地提供服务，以完成预定的业务目标
综合评定对客体的侵害程度
确定系统服务安全保护等级
将较高者确定为定级对象的安全保护等级
专家评审
主管部门核准
备案审核
安全通用要求
安全技术要求
安全物理环境
物理位置选择
物理访问控制
防盗窃和防破坏
防雷击
防火
防水和防潮
防静电
温湿度控制
电力供应
电磁防护
安通通信网络
网络架构
通信传输
可信认证
安全区域边界
边界防护
访问控制
入侵防范
恶意代码和垃圾邮件防范
安全审计
可信认证
安全计算环境
身份鉴别
访问控制
安全审计
入侵防范
恶意代码防范
可信验证
数据完整性
数据保密性
数据备份恢复
剩余信息保护
个人信息保护
安全运营管理中心
系统管理
审计管理
安全管理
集中管控
拓展安全技术
云计算安全
安全通信网络
网络架构
安全区域边界
访问控制
入侵防范
安全审计
安全计算环境
身份鉴别
访问控制
入侵防范
镜像和快照保护
数据完整性和保密性
数据备份恢复
剩余信息保护集中管控
移动互联网
安全物理环境
无线接入点的物理位置
安全区域边界
边界防护
访问控制
入侵防范
安全计算环境
移动终端管控
移动应用管控
物联网安全
安全物理环境
感知节点设备物理防护
安全区域边界
接入控制
入侵防范
安全计算环境
感知节点设备安全
网关节点设备安全
抗数据重放
数据融合处理
工业控制系统安全扩展要求技术标准
安全物理环境
室外控制设备物理防护
安全通信网络
网络架构
通信传输
安全区域边界
访问控制
拨号使用控制
无线使用控制
安全计算环境
控制设备安全
安全管理体系要求
安全管理制度
安全策略
管理制度
制定和发布
评审修订
安全管理机构
岗位设置
人员配备
授权和审批
沟通和合作
审核和检查
安全管理人员
人员录用
人员离岗
安全意识教育和培训
外部人员访问管理
安全建设管理
定级和备案
安全方案设计
产品采购和使用
自行软件开发
外包软件开发
工程实施
测试验收
系统交付
等级测评
服务供应商的选择
扩展要求
云计算安全扩展要求
云服务商的选择
供应链管理
移动互联网安全扩展要求
移动应用软件采购
移动应用软件开发
工业控制系统安全扩展要求
产品采购和使用
外包软件开发
安全运维管理
环境管理
资产管理
介质管理
设备维护管理
漏洞和风险管理
网络和系统安全管理
恶意代码防范管理
配置管理
密码管理
变更管理
备份与恢复管理
安全事件管理
应急预案管理
外包运维管理
扩展要求
云计算扩展要求
云计算环境管理
移动互联网安全扩展要求
配置管理
物联网安全扩展要求
感知节点管理
等保测评
参考GB/T 28449-2018《信息安全技术 网络安全等级保护测评过程指南》
等级测评风险
影响系统政策运行的风险
敏感信息泄露风险
木马植入风险
等级测评风险规避
签署委托协议
签署保密协议
现场测评风险规避
现场测评授权书
测评现场还原
测评准备活动
工作启动
获取测评委托单位及定级对象的基本情况，从基本资料、人员、计划安排等方面为整个等级测评项目的实施做好充分准备
输入：委托测评协议书
根据测评双方签订的委托协议书和系统规模，测评机构组件测评项目组，从人员做好准备，并编制项目计划书
测评机构要求测评委托单位提供基本资料，为全面初步了解被测定级对象准备资料
输出：项目计划书
文档内容：项目概述、工作依据、技术思路、工作内容和项目组织等
信息收集和分析
测评机构通过查阅被测定级对象已有资料或使用系统调查表格的方式，了解整个系统的构成和保护情况以及责任部门相关情况，为编写测评方案、开展现场测评和安全评估工作奠定基础。
输入：项目股计划书、系统调查表格、被测定级对象的相关资料
测评机构收集等级测评需要的相关资料，包括测评委托单位的管理架构、技术体系、运行情况、建设方案、建设过程中相关测试文档等。测评机构将系统调查表格提交给测评委托单位，督促被测定级对象相关人员准确填写调查表格。
测评机构收回填写完成的调查表格，并分析调查结果，了解和熟悉被测定级对象的实际情况。
如果调查表格信息填写不准确、不完善或有相互矛盾的地方，测评机构应与填表人进行沟通和确认，必要时安排一次现场调查，与相关人员进行面对面的沟通和确认，确保系统信息调查的准确性和完整性。
输出：填好的调查表格、各种与被测定级对象相关的技术资料。
文档内容：被测定级对象的安全保护等级、业务情况、数据情况、网络情况、软硬件情况、管理模式、相关部门和角色等。
工具和表单准备
测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具的协议分析工具等。
输入：填好的调查表格、各种与被测定级对象相关的技术资料
测评人员在测评环境模拟被测定级对象架构，为开发相关网络及主机设备等测评对象测评指导书做好准备，并进行必要的工具验证。
准备和打印表单，主要包括风险告知书、文档交接单、会议记录表单、会议签到表单等
输出：选用的测评工具清单、打印各类表单：风险告知书、文档交接单、会议记录表单、会议签到表单
文档内容：风险告知、交接文档名称、会议记录、会议签到表
测评活动中双方职责
测评机构职责
组建等级测评项目组
指出测评委托单位应提供的基本资料
准备被测定级对象基本情况调查表格，并提交给测评委托单位
向测评委托单位介绍安全测评工作流程和方法
向测评委托单位说明测评工作可能带来的风险和规避方法
了解测评委托单位的信息化建设以及被测定及对象的基本情况
初步分析系统的安全状况
准备测评工具和文档
测评委托单位的职责
向测评机构介绍本单位的信息化建设及发展情况
提供测评机构需要的相关材料
为测评人员的信息收集工作提供支持和协调
准备填写调查表格
根据被测定级对象的具体情况，如业务运营高峰期，网络布置情况等，为测评时间安排提供适宜的建议
制定应急预案
方案编制活动
测评对象确定
根据系统调查结果，分析整个被测定级对象的业务流程、数据流程、范围、特点及各个设备及组件的主要功能，确定出本次测评的测评对象。
输入：填好的调查表格、各种与被测定级对象相关的技术资料
识别并描述被测定级对象的整体结构，根据调查表格获得被测定级对象的基本情况，识别出被测定级对象的整体结构并加以描述
识别并描述被测定级对象的边界，根据填好的调查表格，识别出被测定级对象边界及边界设备并加以描述
识别并描述被测定级对象的网络区域，一般定级对象都会根据业务类型及其重要程度将定级对象划分为不同的区域，根据区域划分情况描述每个区域内的主要业务应用、业务流程、区域的边界以及他们之间的连接情况等。
识别并描述被测定级对象的主要设备，描述系统中设备时以区域为线索，具体描述各个区域内部署的设备，并说明各个设备的主要承载业务、软件安装情况以及各个设备之间的主要连接情况等。
确定测评对象，结合被测定级对象的安全级别和重要程度，综合分析系统 中各个设备和组件的功能与特点，从被测定级对象构成组件的重要性，安全性，共享性，全面性，和恰当性等几方面确定出技术层面的测评对象，并将被测定级对象相关的人员及管理文档定为测评对象。
描述测评对象时，根据类别加以描述，包括机房、业务应用软件、主机操作系统、数据库管理系统、网络互联设备、安全设备、访谈人员及安全管理文档等。
输出：测评方案的测评对象部分
文档内容：被测定级对象的整体架构、边界、网络区域、重要节点、测评对象等。
测评指标确定
根据被测定级对象定级结果确定出本次测评的基本测评指标；根据测评委托单位及被测定级对象业务自身需求确定出本次测评的特殊测评指标。
填好的调查表格、GB17589、GB/T 22239 、行业规范、业务需求文档。
根据被测定级对象的定级结果，包括业务信息安全保护等级和系统服务安全保护等级，得出被测定级对象的系统服务商保证（A类）基本安全要求，业务信息安全类（S类）基本安全要求以及通用安全保护类（G类）基本安全要求的组合情况。
根据被测定对象的A类、S类、及G类基本全要求的组合情况，从GB/T 22239 、行业规范中选择相应等级的基本安全要求作为基本测评指标
根据被测定级对象的实际情况，确定不适用的测评指标
根据测评委托单位及被测定级对象业务自身需求，确定特殊测评指标。
对确定的基本测评指标和特殊测评指标进行描述，并分析给出指标不适用的原因。
输出：测评方案的测评指标部分
文档内容：被测定级对象定级结果、测评指标
测评内容确定
确定现场测评的具体实施内容，即单项测评内容。
输入：填好的系统调查表格、测评方案的测评对象部分、测评方案的测评指标部分。
根据GB/22239, 将前面已得到的测评指标和测评对象结合起来，将测评指标映射到各评测对象上，然后结合测评对象的特点，说明各测评对象所采取的测评方法，由此构成可以具体实施测评的单项测评内容。测评内容是测评人员开发测评指导书的基础。
输出：测评方案的测评实施部分
文档内容：单项测评实施内容
工具测试方法确定
在等级测评中，应使用测试工具进行测试，测试工具可能用到漏洞扫描器、渗透测试工具集、协议分析仪等。物联网、移动互联网、工业控制系统的补充测试内容见《测评过程指南》附录C
输入：测评方案的测评实施部分、GB/T 22239、选用的测评工作清单
确定工具测试环境，根据被测系统的实时性要求，可选择生产环境或与生产环境各项安全配置相同的备份环境、生产验证环境或测试环境作为工具测试环境。
确定需要进行测试的测评对象
选择测试路径，测试工具的接入采取从外到内，从其他网络到本地网络的逐步逐点接入，即测试工具从被测定级对象边界外接入、在被测定级对象内部与测评对象不同区域网络及同一网络区域内接入等几种方式。
根据测试路径，确定测试工具的接入点。
结合网络拓补图，描述测试工具的接入点、测试目的、测试途径和测试对象等相关内容
输出：测试方案的工具测试方法及内容部分。
文档内容：工具测试接入点及测试方法
测评指导书开发
测评指导书是具体指导测评人员和如何进行测评活动的文档，应尽可能翔实，充分。
输入：测评方案的单项测评实施部分、工具测试内容及方法部分。
描述单个测评对象，包括测评对象的名称、位置信息、用途、管理人员等信息。
根据GB/T 28448 中的单项测评实施确定测评活动，包括测评项，测评方法、操作步骤和预期结果4部分。
单项测评一般以表格形式设计和描述测评项、测评方法、操作步骤和预期结果等内容。整体测评则一般以文字描述的方式表述，以测评用例的方式进行组织。
根据测评指导书，形成测评结果记录表格。
输出：测评指导书、测评结果记录表格
文档内容：各测评对象的测评内容和方法，测评结果记录表格表头
测评方案编制
测评方案是等级测评工作实施的基础，指导等级测评工作的现场实施活动。测评方案应包括但不局限于以下内容：项目概述、测评对象、测评指标、测评内容、测评方法等。
输入：委托测评协议书，填好的调研表格，各种与被测定级对象相关的技术资料，选用的测评工具清单，GB/T 22239 或行业规范中相应等级的基本要求，测评方案的测评对象、测评指标、单项测评实施部分、工具测评方法及内容部分等。
根据委托测评协议和填好的调研表格，提取羡慕来源，测评微弱单位整体信息化建设情况及被测定级对象与单位其他系统之间的连接情况等。
根据等级保护过程中的等级测评实施要求，将测评活动所依据的标准罗列出来。
参阅委托测评协议书和被测评定级对象情况，估算现场测评工作量。根据测评对象的数量和工具测试的接入点及测试内容等情况估算工作量。
根据测评项目组成员安排，编制工作安排情况。
根据以往测评经验以及被测定级对象规模，编制具体测评计划，包括现场工作人员的分工和时间安排。
汇总上述内容及方案编制活动的其他任务获取的内容形成测评方案文稿。
评审和提交测评方案。测评方案初稿应通过测评项目组全体成员评审，修改完成后形成提交稿，然后，测评机构将测评方案提交给测评委托单位签字认可。
根据测评方案制定风险规避实施方案
输出：经过评审和确认的测评方案文本，风险规避实施方案文本。
文档内容：项目概述、测评对象、测评指标、测试工具接入点、单项测评实施内容等；风险规避实施等。
方案编制活动中双方职责
测评机构职责如下
详细分析被测定级对象的整体结构、边界、网络区域和设备部署情况。
初步半段被测定级对象的安全薄弱点。
分析确定测评对象、测评指标、测评内容和工具测试方法。
编制测评方案文本，并对其进行内部评审。
制定风险规避实施方案。
测评委托单位职责如下
为测评机构完成测评方案提供有关信息和资料。
评审和确认测评方案文本。
评审和确认测评机构提供的风险规避实施方案。
若确定不在生产环境开展测评，测部署配置与生产环境各项安全配置相同的备份环境、生产验证环境或测试环境作为测试环境。
现场测评活动
现场测评准备
现场测评准备是保证测评机构能顺利实施测评的前提。
输入：经过评审和确认的测评方案文本、风险规避实施方案文本、风险告知书、现场测评授权书等。
测评委托单位对风险告知书签字确认，了解测评过程中存在的安全风险，做好相应的应急和备份工作。
召开测评现场首次会，测评机构介绍现场测评工作安排，相关方对测评计划和测评方案中的测评内容和方法等进行沟通。
测评相关方确认现场测评需要的各种资源，包括测评配合人员和需要提供的测评环境等。
输出：会议记录、测评方案、现场测评工作计划和风险告知书、现场测评授权书等。
文档内容：工作计划和内容安排，双方人员的协调，测评委托单位应提供的配合
现场测评和结果记录
测评人员按照测评指导书实施测评，并将测评过程中获取的证据源进行详细、准确地记录。
输入：现场测评工作计划、现场测评授权书、测评指导书、测评结果记录表格
测评人员确认与测评配合人员确认测评对象中的关键数据已经进行了备份。
测评人员确认局部测评工作开展的条件，测评对象工作正常，系统处于一个相对良好的状况。
测评人员根据测评指导书实施现场测评，获取相关证据和信息。现场测评一般包括访谈，核查和测试3种测评方式，具体参见《测评过程指南》附录E。
测评结束后，测评人员与测评配合人员及时确认测评工作是否对测评对象造成不良影响，测评对象及系统是否工作正常。
输出：各类测评结果记录
输出
访谈
技术和管理安全测评的测评结果记录
文档内容：访谈记录
文档审查
技术和管理安全测评的测评结果记录
文档内容：安全策略、技术文档、管理制度和管理执行过程文档的记录。
实地察看
技术安全和管理安全测评结果记录
文档内容：核查内容的记录
配置核查
技术安全测评的测评结果记录
文档内容：核查内容的记录
工具测试
经过技术安全测评的测评结果记录、工具测试完成后的电子输出记录、备份的测试结果文件。
文档内容：漏洞扫描、渗透性测试、性能测试、入侵检测和协议分析等内容的技术测试结果。
结果确认和资料归还
本任务主要是将测评过程中得到的证据源记录进行确认，并将测评过程中借阅的文档归还。
输入：各类测评结果记录、工具测试完成后的电子输出记录。
测评人员在现场测评完成之后，应首先汇总现场测评的测评记录，对漏掉和需要进一步严重的内容实施补充测评。
召开测评现场结束会，测评双方对测评过程中得到的证据源记录进行现场沟通和确认。
测评机构归还测评过程中借阅的所有文档资料，并由测评委托单位文档资料提供者签字确认。
输出：经过测评委托单位确认的测评证据和证据源记录。
文档内容：测评中获取的证据和证据源
现场测评活动中的双方职责
测评机构职责
测评人员开展测评前确认被测定级对象具备测评工作开展的条件，测评对象工作正常。
测评人员利用访谈、文档审查、配置核查、工具测试和实地察看的方法开展现场测评工作，并获取相关证据。
测评委托单位职责
测评前备份系统和数据，并了解测评工作基本情况。
协助测评机构获得现场测评授权
安排测评配合人员，配合测评工作的开展。
对风险告知书进行签字确认
配合人员如实回答测评人员的问询，对某些需要验证的内容上机进行操作。
配合人员协助测评人员实施工具测试并提供有效的建议，降低安全测评对系统运行的影响。
配合人员协助测评人员完成业务相关内容的问询、验证和测试
配合人员对测评证据和证据源进行确认
配合人员确认测试后被测设备状态完好。
报告编制活动
单项测评结果判定
针对单个测评项，结合具体测评对象，客观，准确地分析测评证据，形成初步单项测评结果，单项测评结果是形成等级测评结论的基础。
输入：经过测评委托单位确认的测评证据和证据源记录、测评指导书。
主要是针对单个测评项，结合具体测评对象，客观、准确地分析测评证据，形成初步单项测评结果，单项测评结果是形成等级测评结论的基础。
输入：经过测评委托单位确认的测评证据和证据源记录、测评指导书。
针对每个测评项，分析该测评项所对抗的危险在被测定级对象中是否存在，如果不存在，则该测评项应标为不适用项。
分析单个测评项的测评证据，并与要求内容的预期测评结果相比较，给出单项测评结果和符合程度得分。
如果测评证据表明所有要求内容与预期测评结果一致，则判定该测评项的单项测评结果为符合，如果测评证据表明所有要求内容与预期测评结果不一致，则判定该测评项的单项测评结果为不符合，否则判定该测评项的单项测评结果为部分符合。
输出：测评报告的等级测评结果记录部分
文档内容：分析测评对象的安全现状与标准中相应等级基本要求项的符合情况，给出单项测评结果和符合程度得分。
单远测评结果判定
主要是将单项测评结果进行汇总，分别统计不同测评对象的单项测评结果，从而判定单远测评结果。
输入：测评报告的等级测评结果记录部分
按层面分别汇总不同测评对象测评指标的单元测评结果情况，包括测评多少项、符合要求多少项等内容。
分析每个控制点下所有测评项的符合情况，给出单远测评结果。单远测评结果判定规则如下。
控制点包含的所有适用测评项的单项测评结果均为符合，则对应该控制点的单元测评结果为符合
控制点包含的所有适用测评项的单项测评结果均为不符合，则对应控制点的单元测评结果为不符合。
控制点包含的所有测评项均为不适用项，则对应该控制点的单元测试结果为不适用。
控制点包括的所有适用测评项的单项测评结果不全为符合或不符合，则对应该 控制点的单元测评结果为部分符合。
输出：测评报告的单元测评小结部分。
汇总统计单项测评结果、分析技术控制点符合情况和存在的安全问题。
整体测评
针对单项测评结果的不符合项及部分符合项，才取逐条判定的方法，从安全控制点间、层面间出发考虑、给出整体测评的具体结果。
输入：测评报告的等级测评解雇记录部分和单项测评结果。
针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他测评项能否和他发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足或“削弱”该测评项实现的保护能力，以及该测评项的测评结果是否会影响与其有关联联系的其他测评项的测评结果。整体测评方法参见GB/T 28448
针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他层面的测评项能否和他发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足或“削弱”该测评项实现的保护能力，以及该测评项的测评结果是否会影响与其有关联联系的其他测评项的测评结果
根据整体测评分析情况，修正单项测评结果符合程度得分和问题严重程度值。
输出：测评报告的整体测评部分。
分析被测定级对象整体安全状况及对单项测评结果的影响情况，给出安全问题严重程度及对应的要求符合程度得分修正值。
系统安全保障评估
综合单项测评和整体测评结果，计算修正后的安全控制点得分和层面得分，并根据得分情况对被测定级对象的安全保障情况进行总体评价。
输入：测评报告的等级测评结果记录部分和整体测评部分。
根据整体测评结果，计算修正后的每个测评对象的单项测评结果和符合程度得分。
根据各对象的单项符合程度得分，计算安全控制点得分。
根据安全控制点得分，计算安全层面得分。
根据安全控制点得分和安全层面得分，总体评价被测定级对象已采取的有效保护措施和存在的主要安全问题情况
输出：测评报告的系统安全保障评估部分
汇总被测定级对象已采取的安全保护措施情况，计算安全控制点得分及安全层面得分，并总体评价被测定级对象已采取的有效保护措施和存在的主要安全问题情况。
安全问题风险分析
测评人员依据等级保护的相关规范和标准，采用风险分析的方法分析等级测评结果中存在的安全问题可能对被测定级对象安全造成的影响。
输入：填好的调查表格，测评报告的单项测评结果、整体测评部分。
针对整体测评后的单项测评结果中部分符合项或不符合项所产生的安全问题，结合关联测评对象和威胁，分析可能对定级对象、单位、社会及国家造成的安全危害。
结合安全问题所影响业务的重要程度、相关系统组件的重要程度、安全问题的严重程度以及安全时间影响范围等综合分析可能造成的安全危害中最大安全危害（损失）结果。
根据最大安全危害严重程度进一步确定定级对象面临的风险等级，结果为“高”“中”或”低“。
输出：测评报告的安全问题风险评估部分。
分析被测定对象存在的安全问题可能对定级对象、单位、社会和国家造成的最大安全危害（损失），并给出风险等级。
等级测评结论形成
测评人员在系统安全评估、安全问题风险评估的基础上，找出系统保护现状与GB/T 22239之间的差距，并形成等级测评结论。
输入：测评报告的系统安全保障评估部分、安全问题风险评估部分。
根据单项测评结果和风险评估结果，计算定级对象综合得分，并得出等级测评结论
符合：定级对象中未发现安全问题，等级测评结果中所有测评项的单项测评结果中部分符合项和不符合项的统计结果全为0，综合得分为100分。
基本符合：定级对象中存在安全问题，部分符合项和不符合项的统计结果不全为0，但存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值。
不符合：定级对象中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题导致定级对象面临高等级安全风险，或者综合得分低于阈值。
输出：测评报告的等级测评结论部分。
对测评结果进行分析，形成等级测评结论，并给出综合得分。
测评报告编制
根据报告编制活动各分析过程形成等级测评报告。等级测评报告格式应符合公安机关发布的《信息系统安全等级测评报告模板（2015版）》（模板示例参见《测评过程指南》附录F）。
输入：测评方案、《信息系统安全等级测评报告模板（2015年版）》、测评结果分析内容。
测评人员整理前面几项任务输出，按照《信息系统安全等级测评报告模板（2015年版）》编制测评报告相应部分。每个被测定级对象应单独出具测评报告。
针对被测定级对象存在的安全隐患，从系统安全角度提出相应的改进建议，编制测评报告的问题处置建议部分。
测评报告编制完成后，测评机构应根据测评协议书、测评委托单位提交的相关文档，测评原始记录和其他辅助信息，对测评报告进行评审。
评审通过后，由项目负责人签字确认并提交给测评委托单位。
输出：经过评审和确认的被测定级对象等级测评报告。
等级测评结果记录，单元测评结果汇总及结果分析、整体测评过程及结果。风险分析过程及结果、等级测评结论、问题处置建议等。
报告编制活动中双方职责
测评机构职责
分析并判定单项测评结果和整体测评结果。
分析评价被测定级对象存在的风险情况。
根据测评结果形成等级测评结论。
编制等级测评报告，说明系统存在的安全隐患和缺陷，并给出改进建议。
评审等级测评报告，并将评审过的等级测评报告按照分发范围进行分发。
将生成的过程文档（包括电子文档）归档保存，并将测评过程中在测评用介质和测试工具中生存或存放的所有电子文档清楚。
测评委托单位职责
签收测评报告。
向分管公安机关备案测试报告。