1、等级保护测评程晓峰目录 等级保护测评基本概念 等级保护测评法律法规 等级保护测评基本内容 等级保护测评案例介绍等 级 保 护测评 基本概念 等 级测评 工作，是指 测评 机构 依据国家信息安全等 级保 护 制度 规 定，按照有关管理 规 范和技 术标 准， 对 非涉及国家秘密信息系 统 安全等 级 保 护 状况 进 行 检测评估的活 动 。 通 过 信息安全等 级测评 机构 对 已完成的等 级 保 护 建设 的信息系 统 定期 进 行等 级测评 ，确保信息系 统 的安全保 护 措施符合相 应 等 级 的安全要求。测评 机构承担的主要 义务从事信息系 统 安全等 级测评 的机构， 应 当履行下列
2、 义务 ：（一）遵守国家有关法律法 规 和技 术标 准，提供安全、客 观 、 公正的 检测评 估服 务 ，保 证测评 的质 量和效果；（二） 保守在 测评 活 动 中知悉的国家秘密 、商 业 秘密和个人 隐 私，防范 测评风险 ；（三） 对测评 人 员进 行安全保密教育，与其 签订 安全保密 责 任 书 ， 规 定 应 当履行的安全保密 义务 和承担的法律 责 任，并 负责检查 落 实 。测评 机构不得从事的工作（ 1）影响被测评信息系统正常运行，危害被测评信息系统安全；（ 2）泄露知悉的被测评单位及被测评信息系统的国家秘密和工作秘密；（ 3） 故意隐瞒测评过程中发现的安全问题 ，或者在测评过
3、程中弄虚作假，未如实出具等级测评报告；（ 4）未按规定格式出具等级测评报告；（ 5）非授权占有、使用等级测评相关资料及数据文件；（ 6） 分包或转包等级测评项目 ；（ 7）信息安全产品开发、销售和信息系统安全集成；（ 8）限定被测评单位购买、使用其指定的信息安全产品；（ 9）其他危害国家安全、社会秩序、公共利益以及被测单位利益的活动。等 级测评师 管理 测评 人 员 参加由等 级 保 护评 估中心 举办的 专门 培 训 、考 试 并取得 评 估中心 颁发的等 级测评师证书 （等 级测评师 分为 初 级 、中 级 和高 级 ）。 等 级测评 人 员 需持等 级测评师证 上 岗 。 高 级测评师
4、一般是 测评 机构技 术负责 人 中 级测评师 一般是 测评项 目 经 理 初 级测评师 一般是 测评实 施工程 师 （分为 技 术 和管理两 类 ）测评报 告 测评 机构 应 按照公安部 统 一制 订 的信息系 统 安全等 级测评报 告模版（ 试 行）格式出具 测评报 告等级保护测评适用的阶段 在 实 施等 级 保 护 建 设 工作前 ，一般在系 统备 案后 ，信息系 统 运 营 、使用 单 位可以开展一次等级测评 以确定信息系 统 安全 现 状与等 级 保 护 基本要求 间 差距， 也称 为 差距 测评 或差距分析 。 在等 级 保 护 建 设 整改完成后 ，通 过 等 级测评 判定信息系
5、 统 是否按照 预 先 设 定的安全模式运行，安全控制措施是否得到合理的 应 用，信息系统 是否达到相关 标 准的要求，是否具 备 相 应 等级 的安全防 护 能力等， 也称 为 第三方 测评 或 验收 测评 。测评原则a) 客观性和公正性原则 测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。 b) 经济性和可重用性原则 基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果，都应基于这些结果还能适用于目前
6、的系统，能反映目前系统的安全状态。 c) 可重复性和可再现性原则 无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的重复执行都应该得到同样的测评结果。可再现性体现在不同测评者执行相同测评的结果的一致性。可重复性体现在同一测评者重复执行相同测评的结果的一致性。 d) 符合性原则 测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。 当前的信息安全等 级测评 有关法 规 信息安全等级保护管理办法 （公通字 200743号） 广东省计算机信息系统安全保护条例 广东省公安厅关于计算机信息系统安全保护的实施办法 关于贯彻 广东省计算机信息系统安全保护条例 和 广东省公安厅关于计算机信息系统安全保护的实施办法 的通知 广公（网监） 2008633号 关于开展信息安全等级保护测评体系建设试点工作的通知 （公信安2009812号） 关于明确信息安全等级保护测评机构管理有关事项的通知（广公（网监）2009421号） 关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知（公信安 2010303号 ） 信息安全等级保护测评工作管理规范 (试行 ) 信息安全等级测评机构能力要求（试行） 等级测评师培训和考试指南
