解析——等级保护测评过程

         ~~~~~~~~         因为想要面对一个新的开始，一个人必须有梦想、有希望、有对未来的憧憬。如果没有这些，就不叫新的开始，而叫逃亡。 ​​​​
                                                                                                ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~                                                                                                 ————玛丽亚·杜埃尼亚斯

前言

等级保护测评过程包含四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动。而测评相关方之间的沟通与洽谈应贯穿整个等级测评过程。每一测评活动有一组确定的工作任务。

测评过程总览

测评准备活动

输出文档及内容

双方职责

测评机构职责：
a)组建等级测评项目组。
b)指出测评委托单位应提供的基本资料。
c)准备被测定级对象基本情况调查表格,并提交给测评委托单位。
d)向测评委托单位介绍安全测评工作流程和方法。
e)向测评委托单位说明测评工作可能带来的风险和规避方法。
f)了解测评委托单位的信息化建设以及被测定级对象的基本情况。
g)初步分析系统的安全状况。
h)准备测评工具和文档
测评委托单位职责：
a)向测评机构介绍本单位的信息化建设及发展情况。
b)提供测评机构需要的相关资料。
c)为测评人员的信息收集工作提供支持和协调。
d)准确填写调查表格。
e)根据被测定级对象的具体情况,如业务运行高峰期、网络布置情况等,为测评时间安排提供适宜的建议。
f)制定应急预案。

方案编制活动

输出文档及内容

双方职责

测评机构职责：
a)详细分析被测定级对象的整体结构、边界、网络区域、设备部署情况等。
b)初步判断被测定级对象的安全薄弱点。
c)分析确定测评对象、测评指标、确定测评内容和工具测试方法。
d)编制测评方案文本,并对其进行内部评审。
e)制定风险规避实施方案
测评委托单位职责：
a)为测评机构完成测评方案提供有关信息和资料。
b)评审和确认测评方案文本。
c)评审和确认测评机构提供的风险规避实施方案。
d)若确定不在生产环境开展测评,则部署配置与生产环境各项安全配置相同的备份环境、生产验证环境或测试环境作为测试环境。

现场测评活动

输出文档及内容

双方职责

测评机构职责：
a)测评人员开展测评前确认被测定级对象具备测评工作开展的条件,测评对象工作正常。
b)测评人员利用访谈、文档审查、配置核查、工具测试和实地察看的方法开展现场测评工作,并获取相关证据。
测评委托单位职责：
a)测评前备份系统和数据,并了解测评工作基本情况。
b)协助测评机构获得现场测评授权。
c)安排测评配合人员,配合测评工作的开展。
d)对风险告知书进行签字确认。
e)配合人员如实回答测评人员的问询,对某些需要验证的内容上机进行操作。
f)配合人员协助测评人员实施工具测试并提供有效建议,降低安全测评对系统运行的影响。
g)配合人员协助测评人员完成业务相关内容的问询、验证和测试。
h)配合人员对测评证据和证据源进行确认。
i)配合人员确认测试后被测设备状态完好。

报告编制活动

输出文档及内容

双方职责

测评机构职责：
a)分析并判定单项测评结果和整体测评结果。
b)分析评价被测定级对象存在的风险情况。
c)根据测评结果形成等级测评结论。
d)编制等级测评报告,说明系统存在的安全隐患和缺陷,并给出改进建议。
e)评审等级测评报告,并将评审过的等级测评报告按照分发范围进行分发。
f)将生成的过程文档(包括电子文档)归档保存,并将测评过程中在测评用介质和测试工具中生成或存放的所有电子文档清除。
测评委托单位职责：
a)签收测评报告。
b)向分管公安机关备案测评报告。