等保测评--系统建设管理(三级)V 1.0
系统等保三级标准
系统等保三级标准
系统等保三级标准是中国国家信息安全等级保护评估标准（GB/T 22240-2008）中的一个级别，用于评估和确定计算机信息系统的安全等级。
系统等保三级标准要求对系统的安全性进行全面的评估和控制，涵盖了信息系统的硬件、软件、网络和管理方面的安全要求。
具体来说，系统等保三级标准要求系统具备以下特征：
1. 对系统安全需求进行全面评估和风险分析，制定相应的安全策略和安全规程。
2. 采取多层次的安全措施，包括物理安全、数据安全、网络安全、应用安全等方面的保护措施。
3. 采用有效的身份认证和访问控制机制，确保只有经过授权的用户才能进行系统访问和操作。
4. 实施强有力的安全审计和日志管理，及时发现安全事件并采取相应的措施进行处理。
5. 针对系统的关键信息和资源进行加密和备份，确保数据的保密性和完整性。
6. 建立健全的应急响应机制和恢复备份机制，能够有效应对安全事件和灾难。
系统等保三级标准是中国国家信息安全等级保护评估标准中的最高级别，适用于对国家重要信息系统和关键基础设施的保护要求。
这个标准在信息安全领域的评估和管理中起到了重要的指导作用，帮助确保计算机信息系统的安全运行。
三级等保测评要求
三级等保测评要求
三级等保测评要求是指对信息系统安全等级的测评审查要求，主要包括以下几个方面：
1. 安全管理制度要求：对信息系统安全管理制度的健全性和有效性进行评估，包括组织机构与人员责任、安全策略与目标、安全管理控制等方面。
2. 安全技术要求：对信息系统的安全技术控制措施进行评估，包括安全策略与目标、访问控制、数据保护、安全审计等方面。
3. 安全运维要求：对信息系统的安全运维管理措施进行评估，包括运维管理制度、安全漏洞管理、应急响应与处置等方面。
4. 安全检测与评估要求：对信息系统的安全检测与评估措施进行评估，包括安全事件与威胁分析、安全评估与测试、漏洞扫描与修复等方面。
5. 安全事件管理要求：对信息系统的安全事件管理措施进行评估，包括安全事件的报告、响应与处置、恢复与演练等方面。
以上是对三级等保测评要求的基本概述，具体的评估标准和要求可能会因不同的法规、政策和行业需要而有所差异。
等保三级评测方案
等保三级评测方案一、概述等保三级评测是指对信息系统安全保护等级达到国家标准三级的系统开展安全评估的过程。
本方案旨在提供详细的评测计划和方法，以确保信息系统得到全面保护。
二、评测目标本次等保三级评测的目标是评估目标系统的安全性能，包括技术安全防护措施、安全管理措施和应急响应能力，确保系统满足国家等级保护要求。
三、评测范围评测范围涵盖以下方面：1. 信息系统的硬件和软件设施；2. 系统的网络拓扑结构和通信设备；3. 系统的安全管理和运维流程；4. 系统的技术防护和防护设备；5. 系统的数据加密和传输安全；6. 系统的应急响应和灾备能力。
四、评测流程本次等保三级评测按照以下步骤进行：1. 前期准备：明确评测目标、组织评测团队、制定评测计划；2. 信息收集：收集目标系统的相关信息，包括架构设计、技术文档、安全策略等；3. 安全扫描与漏洞评估：使用专业的安全工具进行系统扫描，评估系统的安全漏洞和弱点；4. 安全策略评估：审查系统的安全策略和控制措施，检查是否符合国家等级保护标准；5. 安全测试与验证：对系统进行安全功能和性能测试，验证系统的安全性能；6. 报告编写与提交：撰写评测报告，包括评测结果、问题和风险建议等内容，并提交给相关部门。
五、评测方法本次等保三级评测采用以下方法进行：1. 文件审计：对目标系统的相关文件进行审查，包括安全策略、用户权限、系统配置等；2. 审计日志分析：分析目标系统的审计日志，发现潜在的安全威胁和异常事件；3. 漏洞扫描与评估：使用专业的漏洞扫描工具对目标系统进行全面扫描，评估系统的漏洞风险；4. 渗透测试：模拟黑客攻击，测试目标系统的安全防护能力；5. 安全功能测试：测试目标系统的各项安全功能，包括身份认证、访问控制、数据加密等；6. 代码审计：对目标系统的关键代码进行审查，发现潜在的安全漏洞和编码错误。
六、评测报告评测报告应包含以下内容：1. 评测目标和范围的描述；2. 评测方法和步骤的说明；3. 评测结果，包括发现的问题和存在的风险；4. 针对问题和风险的改进建议；5. 其他评测相关信息。
等保测评--物理安全(三级)V1.0
b) 电 源 线 和 通 信 线
10
电磁防护 缆应隔离铺设，避 符合
免互相干扰；
c) 应 对 关 键 设 备 和
机房未对关键设备和磁介质实施电
磁介质实施电磁屏
磁屏蔽，不满足测评项“电磁防
蔽。
不符合
护：c)应对关键设备和磁介质实施 电磁屏蔽。”的要求，存在电磁干
扰或泄露的风险
现场测评确认:
b) 应 采 取 措 施 防 止
雨水通过机房窗户 、屋顶和墙壁渗
符合
透；
6
防水和防潮 c)应采取措施防止
机房内水蒸气结露 和地下积水的转移 符合
与渗透；
测评时间：
问题描述
d) 应 安 装 对 水 敏 感
的检测仪表或元 件，对机房进行防
符合
水检测和报警。
a) 主 要 设 备 应 采 用
必要的接地防静电 符合
符合
c) 机 房 应 设 置 交 流 电源地线。
符合
a) 机 房 应 设 置 火 灾
自动消防系统，能
够自动检测火情、 符合 自动报警，并自动
灭火；
b) 机 房 及 相 关 的 工
机房有放置纸箱等易燃杂物，不满
5
防火
作房间和辅助房应
足测评项“防火：b)机房及相关的
采用 具有 耐火 等级 部分符合 工作房间和辅助房应采用具有耐火
测评对象：
序号
测评指标
指标名称
测评项
测评人：
要求项符 合情况
测评时间：
问题描述
c) 应 将 通 信 线 缆 铺
3
防盗窃和防破 坏
设在隐蔽处，可铺 设在地下或管道
符合
中；
d) 应 对 介 质 分 类 标
等级保护三级管理系统测评
应建立安全管理中心，对设备状态、恶意代码、补丁升级、安全审计等安全相关事项进行集中管理。
网络安全管理
70.
应指定专人对网络进行管理，负责运行日志、网络监控记录的日常维护和报警信息分析和处理工作。
访谈，检查。
安全主管，安全管理员，网络管理员，网络漏洞扫描报告，网络安全管理制度，系统外联授权书，网络设备备份配置文件，网络审计日志。
三级管理要求(S3A3G3)
等级保护三级管理类测评控制点(S3A3G3)
类别
序号
测评内容
测评方法
结果记录
符合情况
Y
N
O
岗位设置
1.
应设立信息安全管理工作的职能部门，设立安全主管人、安全管理各个方面的负责人岗位，定义各负责人的职责。
访谈，检查。安全主管，安全管理某方面的负责人，部门、岗位职责文件。
2.
应设立系统管理人员、网络管理人员、安全管理人员岗位，定义各个工作岗位的职责。
3.
应成立指导和管理信息安全工作的委员会或领导小组，其最高领导由单位主管领导委任或授权。
4.
应制定文件明确安全管理机构各个部门和岗位的职责、分工和技能要求。
人员配备
5.
应配备一定数量的系统管理员、网络管理员、安全管理员等。
访谈，检查。安全主管，人员配备要求的相关文档，管理人员名单。
79.
应定期进行漏洞扫描，对发现的系统安全漏洞及时进行修补。
80.
应安装系统的最新补丁程序，在安装系统补丁前，首先在测试环境中测试通过，并对重要文件进行备份后，方可实施系统补丁程序的安装。
81.
应建立系统安全管理制度，对系统安全策略、安全配置、日志管理和日常操作流程等方面作出具体规定。
等保三级测评内容详解
等保三级测评内容详解标题：等保三级测评内容详解简介：等保三级测评是指对信息系统等级保护实施的一种评价和测试，是在信息系统等级保护评估的基础上，对实施等级保护的信息系统进行综合评估和测试。
本文将深入探讨等保三级测评的内容，包括测评目标、评估要求、测评方法和总结回顾，以帮助您更全面、深刻地理解等保三级测评。
一、测评目标等保三级测评的目标是评价和测试信息系统在等级保护实施过程中的安全性、稳定性和合规性，以发现系统存在的安全漏洞和隐患，为进一步提升系统等级保护水平提供科学数据支持。
二、评估要求等保三级测评的评估要求主要包括以下几个方面：1. 安全管理要求：评估信息系统是否建立了完备的安全管理机制，包括安全策略、安全组织、安全人员、安全培训等。
2. 安全技术要求：评估信息系统是否采用了先进的安全技术手段，包括身份认证、访问控制、加密技术、漏洞管理等。
3. 安全保障要求：评估信息系统是否实施了全面的安全保障措施，包括物理环境保护、应急响应、安全审计、风险管理等。
三、测评方法等保三级测评的方法主要包括以下几个步骤：1. 需求分析：根据等级保护要求，确定测评对象和测评范围。
2. 数据收集：收集与测评对象相关的信息和数据，包括系统配置信息、安全策略文件、日志记录等。
3. 风险评估：通过风险评估方法，对系统风险进行评估和分类。
4. 安全测试：根据评估要求，进行系统漏洞扫描、渗透测试、密码破解等安全测试活动。
5. 安全评估：评估系统的安全性、稳定性和合规性，分析系统中存在的安全漏洞和隐患。
6. 结果报告：撰写测评结果报告，包括系统安全现状、存在的问题和建议的改进建议。
总结回顾：通过等保三级测评，可以全面评估信息系统的安全性、稳定性和合规性，为进一步提升系统等级保护水平提供科学数据支持。
在评估过程中，需要关注安全管理要求、安全技术要求和安全保障要求，并运用需求分析、数据收集、风险评估、安全测试和安全评估等方法。
通过测评结果报告，可以了解系统的安全现状、存在的问题和改进方案，为系统的持续改进提供指导。
等保三级测评标准 评分
等保三级测评标准评分等保三级测评标准：守护网络安全的神秘密码嘿，你知道吗？在网络这个浩瀚的宇宙中，就像星际战士需要强大的铠甲一样，企业和组织也有自己的“安全护盾”，那就是等保三级测评标准。
要是不了解它，小心你的网络世界被黑客“怪兽”轻易攻破哦！**一、“系统体检”：漏洞扫描不能少**在网络世界里，系统就像一个人的身体，漏洞扫描就是给系统做“体检”。
“哎呀呀，系统漏洞就像身体里的小虫子，要是不及时发现并消灭它们，说不定哪天就会引发一场大灾难！”等保三级测评标准中，漏洞扫描是至关重要的一环。
它就像一台超级显微镜，能细致入微地检查系统的每一个角落。
比如，操作系统是否存在可以被利用的安全漏洞，应用软件是否有后门被悄悄打开。
这就好比你的家门，要是门锁有问题，那小偷不就轻而易举地能进来了？给你举个例子吧，假如一个企业的网络系统没有定期进行漏洞扫描，黑客就可能利用某个未被发现的漏洞，悄悄潜入系统，窃取重要数据或者搞破坏。
而那些重视漏洞扫描的企业，就像拥有了“金钟罩铁布衫”，让黑客无从下手。
**二、“防火墙保卫战”：访问控制要严格**“嘿，访问控制就像网络世界的门卫大哥，可不是谁都能随便进进出出的！”在等保三级测评标准里，访问控制是一道坚固的防线。
它决定了谁能进入网络系统，能访问哪些资源。
这就好比你家的小区门禁，只有登记在册的居民才能自由进出，外人必须经过严格的审核。
访问控制可以分为身份认证和授权管理。
身份认证就像是给每个人发一张独一无二的“通行证”，只有拿着正确的“通行证”才能进入系统。
而授权管理则是规定了每个人在系统中的“活动范围”，你是能查看文件，还是能修改文件，都得按规矩来。
比如说，一个金融机构对客户的账户信息设置了严格的访问控制，只有经过多重身份认证并且有相应授权的员工才能查看和处理敏感信息，这样就能大大降低信息泄露的风险。
**三、“数据加密魔法”：保护信息不泄露**“数据加密，这可是网络世界的魔法咒语，能把重要信息藏得严严实实！”在等保三级测评标准中，数据加密是保护信息安全的重要手段。
等保2.0通用要求VS等保1.0(三级)技术部分要求详细对比
等保 2.0系列原则即将发布，网络安全级别保护基本规定通用规定在信息安全级别保护基本规定技术部分的基本上进行了某些调节，湖南金盾就网络安全级别保护基本规定通用规定在信息安全级别保护基本规定进行了具体对比，下面以三级为例进行一种对比。
网络安全级别保护基本规定通用规定技术部分与信息安全级别保护基本规定技术部分构造由本来的五个层面：物理安全、网络安全、主机安全、应用安全、数据安全，调节为四个部分：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全；技术规定“从面到点”提出安全规定，“物理和环境安全”重要对机房设施提出规定，“网络和通信安全”重要对网络整体提出规定，“设备和计算安全”重要对构成节点（涉及网络设备、安全设备、操作系统、数据库、中间件等）提出规定，“应用和数据安全”重要对业务应用和数据提出规定。
（标粗内容为三级和二级的变化，标红部门为新原则重要变化）
•
物理与环境安全VS本来物理安全
•
控制点未发生变化，规定项数由本来的32项调节为22项。
控制点
•
网络和通信安全VS本来网络安全
•
新原则减少了构造安全、边界完整性检查、网络设备防护三个控制
•
设备和计算安全VS本来主机安全
•
新原则减少了剩余信息保护一种控制点，在测评对象上，把网络设
•
应用和数据安全VS本来应用安全+数据安全及备份恢复
•
新原则将应用安全、数据安全及备份恢复两个层面合并成了应用和数据安全一种层面，减少了通信完整性、通信保密性和抗抵赖三个控制点，增长了个人信息保护控制点。
通信完整性和通信保密性的规定纳入了网络。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
测评时间：
问题描述
现场测评确认:
整改建议
现场记录
该系统外包，委托第三方开发
该系统外包，委托第三方开发
该系统外包，委托第三方开发
该系统外包，委托第三方开发
该系统外包，委托第三方开发 有根据开发需求检测软件质量 已在软件安装之前检测软件包中可能存在的恶
意代码 已要求开发单位提供软件设计的相关文档和使
用指南
没有委托第三方测试 机构对信息系统进行 独立的安全性测试。 不满足测评项“测试 验收：a)应委托公正 的第三方测试单位对 系统进行安全性测 试，并出具安全性测 试报告；”的安全要 求
整改建议 建议对外包软件开发 的源代码中可能存在 的后门进行审查
建议委托第三方测试 机构对信息系统进行 独立的安全性测试
系统建设管理(三级)测评表
测评对象：
测评人：
测评时间：
现场测评确认:
序号 5
测评指标
指外标包 开名 软 发件称
测评项
d)应要求开发单位 提供软件源代码， 并审查软件中可能 存在的后门。
a)应指定或授权专 门的部门或人员负 责工程实施过程的 管理； b)应制定详细的工 程实施方案控制实 施过程，并要求工 6 工程实施 程实施单位能正式 地执行安全工程过 程； c)应制定工程实施 方面的管理制度， 明确说明实施过程 的控制方法和人员 行为准则。
c)应确保选定的安
全服务商提供技术
培训和服务承诺，
必要的与其签订服
务合同。
要求项符合情况 符合 符合 符合 符合
符合
测评时间：
问题描述
现场测评确认:
整改建议
现场记录
有选择具有国家相关技术资质和安全资质的测 评单位进行等级测评，测评机构名称：广州华
南信息安全测评中心
各信息系统的建设科室或者使用科室有制定人 员负责等级测评的管理
现场记录
未要求开发单位提供软件源代码，且未对 对外包软件开发的源代码中可能存在的后 门进行审查
已指定或授权专门的部门或人员负责工程实施 过程的管理，由宣传处办公室负责
已制定详细的工程实施方案控制实施过程，并 要求工程实施单位能正式地执行安全工程过程
已制定工程实施方面的管理制度，明确说明实 施过程的控制方法和人员行为准则
已确保提供系统建设过程中的文档和指导用户 进行系统运行维护的文档
系统建设管理(三级)测评表
测评对象：
测评人：
8 序号
系统交付 测评指标
指标名称
测评项
d)应对系统交付的
控制方法和人员行
为准则进行书面规
定；
e)应指定或授权专
门的部门负责系统
交付的管理工作，
并按照管理规定的
要求完成系统交付
工作。
a)应指定专门的部
门或人员负责管理
系统定级的相关材
料，并控制这些材
料的使用；
9
系统备案
b)应将系统等级及 相关材料报系统主
管部门备案；
c)应将系统等级及
其他要求的备案材
料报相应公安机关
备案。
a)在系统运行过程
中，应至少每年对
系统进行一次等级
测评，发现不符合
相应等级保护标准
要求的及时整改
b)应在系统发生变
更时及时对系统进
面规定；
d)应指定或授权专
门的部门负责系统
测试验收的管理，
并按照管理规定的
要求完成系统测试
验收工作；
e)应组织相关部门
和相关人员对系统
测试验收报告进行
审定，并签字确认
。
a)应制定详细的系
统交付清单，并根
据交付清单对所交
接的设备、软件和
文档等进行清点；
b)应对负责系统运
行维护的技术人员
进行相应的技能培
没有委托第三方测试机构对信息系统进行 独立的安全性测试
系统建设管理(三级)测评表
测评对象：
测评人：
序号
测评指标
指标名称
测评项
b)在测试验收前应
根据设计方案或合
同要求等制订测试
验收方案，在测试
验收过程中应详细
记录测试验收结
7 测试验收 果，并形成测试验
收报告；
c)应对系统测试验
收的控制方法和人
员行为准则进行书
施
由科技化信息处对信息系统的安全建设进行总 体规划，制定近期和远期的安全建设工作计划
已根据信息系统的等级划分情况，统一考虑安 全保障体系的总体安全策略、安全技术框架、
安全管理策略、总体建设规划和详细设计方 案，并形成配套文件
系统建设管理(三级)测评表
测评对象：
测评人：
序号
测评指标
2
指安标全名 方案称
测评时间：
问题描述
现场测评确认:
整改建议
现场记录
各科室组织相关部门和有关安全技术专家对信 息系统定级结果的合理性和正确性进行论证和 审定，通过科技化信息处统筹组织相关部门和 有关专家，进行整个网络系统安全的论证和审
定，有论证意见记录
有根据等级测评、安全评估的结果定期调整和 修订总体安全策略、安全技术框架、安全管理 策略、总体建设规划、详细设计方案等相关配
系统建设管理(三级)测评表
测评对象：
测评人：
序号
测评指标
指标名称
测评项
a)应明确信息系统
的边界和安全保护
等级；
b)应以书面的形式
说明确定信息系统
为某个安全保护等
级的方法和理由；
1
系统定级
c)应组织相关部门 和有关安全技术专
家对信息系统定级
结果的合理性和正
确性进行论证和审
定；
d)应确保信息系统
的定级结果经过相
有对系统测试验收的控制方法和人员行为准则 进行书面规定
各科室建立的系统各自负责系统测试验收的管 理，并按照管理规定的要求完成系统测试验收
工作
已组织各科室和相关人员对其相关系统测试验 收报告进行审定，并签字确认
已制定详细的系统交付清单，并根据交付清单 对所交接的设备、软件和文档等进行清点
已对负责系统运行维护的技术人员进行相应的 技能培训
行等级测评，发现
级别发生变化的及
时调整级别并进行
10 等级测评 安全改造，发现不
符合相应等级保护
标准要求的及时整
改；
要求项符合情况 符合 符合 符合 符合 符合 N/A
N/A
测评时间：
问题描述
现场测评确认:
整改建议
现场记录
已对系统交付的控制方法和人员行为准则进行 书面规定
由建设系统的科室负责系统交付的管理工作， 并按照管理规定的要求完成系统交付工作
设计的相关文档和
使用指南，并由专
人负责保管；
d)应确保对程序资
源库的修改、更新
、发布进行授权和
批准。
a)应根据开发需求
检测软件质量；
b)应在软件安装之
前检测软件包中可
能存在的恶意代
码；
c)应要求开发单位
提供软件设计的相
5
外包软件 关文档和使用指 开发 南；
要求项符合情况 N/A
N/A N/A N/A N/A 符合 符合 符合
训；
c)应确保提供系统
建设过程中的文档
8
系统交付
和指导用户进行系 统运行维护的文
档；
要求项符合情况 符合 符合 符合 符合 符合 符合 符合
测评时间：
问题描述
现场测评确认:
整改建议
现场记录
在测试验收前有根据设计方案或合同要求等制 订测试验收方案，在测试验收过程中应详细记
录测试验收结果，并形成测试验收报告
测评对象：
测评人：
序号
测评指标
指标名称
测评项
a)应确保开发环境
与实际运行环境物
理分开，开发人员
和测试人员分离，
测试数据和测试结
果受到控制；
b)应制定软件开发
管理制度，明确说
明开发过程的控制
方法和人员行为准
4
自行软件 开发
则； c)应制定代码编写 安全规范，要求开
发人员参照规范编
写代码；
d)应确保提供软件
a)应委托公正的第 三方测试单位对系 统进行安全性测 试，并出具安全性 测试报告；
要求项符合情况 不符合 符合 符合 符合
不符合
问题描述 未对外包软件开发的 源代码中可能存在的 后门进行审查。不满 足测评项“外包软件 开发：d)应要求开发 单位提供软件源代 码，并审查软件中可 能存在的后门。”的 安全要求
由宣传处负责管理系统定级的相关材料，并控 制这些材料的使用。
将系统等级及相关材料报系统主管部门备案， 报送到省网监处
有将系统等级及其他要求的备案材料报相应公 安机关备案
该系统今年第一次等级保护测评，现阶段为差 距测评
该系统今年第一次等级保护测评，测评过程中 在系统发生变更时及时对系统进行等级测评，
发现级别发生变化的及时调整级别
关部门的批准。
a)应根据系统的安
全保护等级选择基
本安全措施，并依
据风险分析的结果
补充和调整安全措
施；
b)应指定和授权专
门的部门对信息系
统的安全建设进行
总体规划，制定近
期和远期的安全建
设工作计划；
c)应根据信息系统
的等级划分情况，
统一考虑安全保障
体系的总体安全策
略、安全技术框架
、安全管理策略、
总体建设规划和详
已确保安全服务商的选择符合国家的有关规定
已与选定的安全服务商签订与安全相关的协 议，明确约定相关责任