阅读笔记《GB/T28449-2018信息安全技术网络安全等级保护测评过程指南》

1. 方案编制：测评对象确定、测评指标确定、测评内容确定、工具测试方法确定、测评指导书开发、测评方案编制
2. 对每项活动均给出相应的工作流程、主要任务、输出文档及活动中的相关方的职责的规定，每项工作任务均有相应的输入、任务描述和输出产品
3. 测评风险：影响系统正常运行、感信息泄露、木马植入
4. 等级测评风险规避：委托测评协议、保密协议、现场测评工作风险的规避（授权书、数据备份、应急处理方案）、测评现场还原
5. 信息收集分析：项目计划书、系统调查表格、被测定级对象相关资料
6. 表单：风险告知书、文档交接单、会议记录表单、会议签到表单等
7. 测评对象确定：整体结构、边界、网络区域、主要设备、根据业务类别描述测评对象

1. 网络区域：根据业务类型及重要程度，描述每个区域主要业务应用、业务流程、区域的边界以及连接情况等

1. 根据测评委托单位及被测定级对象业务自身需求，确定特殊测评指标
2. 1. 从被测评对象边界外接入时，测试工具一般接在系统边界设备（通常为交换机）上。
   2. 从系统内部与测评对象不同网络区域接入时，测试工具一般接在与被测对象不在同一网络区域的内部核心交换设备上。
   3. 在系统内部与测评对象同一网络区域内接入时，测试工具一般接在与被测对象在同一网络区域的交换设备上。
3. 方案编制

1. 整体建设情况，被测系统与其他系统之间的连接情况
2. 罗列所依据标准
3. 成员、工作
4. 测评计划、分工和时间安排
5. 项目组全体成员评审，测评机构将测评方案提交给测评委托单位签字认可
6. 制定风险规避实施方案

1. 分析测评项所对抗的威胁在被测定级对象中是否存在，如果不存在，则该测评项应为不适用项。
2. 测评对象避免过多选择
3. 测评机构实施过程规范：保密制度、过程控制、相关文档评审、专人保管等级测评的归档文件
4. 测评人员行为规范：现场佩戴工作牌、测评专用的电脑和工具、指导书、准确记录测评证据、不擅自评价测评结果、不将结果给非测评人员、敏感信息只在指定场所查看并归还
5. 规避风险：提示风险、委托测评协议、保密协议、现场测评授权书、备份、规范行为、及时沟通
6. 工控系统测评遵循最小影响原则
7. 抽查对外暴露的网络边界
8. 测评对象确定：分类、重要程度、安全性共享性全面性、测评力度
9. 二级测评对象选择：主机房、存放其决定性作用的设备设施的辅助机房、重要数据介质的存放环境，对整个定级对象或其局部的安全性其决定作用的网络互联设备，承载被测定级对象核心或重要业务、数据的服务器（操作系统、数据库），重要管理终端
10. 三级测评对象选择：主机房、部分辅助机房（放置了服务于定级对象的局部（包括整体）或对定级对象的局部（包括整体）安全性起重要作用的设备、设施的辅助机房），管理终端和主要业务应用系统终端，业务备份系统，配置相同的设备每类至少抽查两台
11. 四级测评对象选择：主机房和全部辅助机房，配置相同设备每类至少抽三台
12. 报告编号：第一组第一二段（第一段11位，前6位受理备案公安机关代码、后5位受理备案的公安机关给出的备案单位的顺序编号；第二段备案证明后5位，系统编号）；第二组2位数字，年份；第三组4位数字，机构代码；第四组2位，本年度测评次数。
13. 单位代码由受理测评机构备案的公安机关给出
14. 设备名称在报告中唯一
15. 安全服务包括系统集成、安全集成、安全运维、安全测评、应急响应、安全监测等
16. 结果分析，对符合项加以分析说明形成安全保护措施描述，对部分符合及不符合项加以分析说明形成安全问题描述。