信息系统安全等级保护测评过程及方法 v
等保测评流程全面介绍
等保测评流程全面介绍等保测评流程包括系统定级→系统备案→整改实施→系统测评→运维检查这5大阶段。
一、等级保护测评的依据：依据《信息系统安全等级保护基本要求》“等级保护的实施与管理”中的第十四条：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评单位，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。
第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。
运营单位确定要开展信息系统等级保护工作后，应按照以下步骤逐步推进工作：1、确定信息系统的个数、每个信息系统的等保级别。
2、对每个目标系统，按照《信息系统定级指南》的要求和标准，分别进行等级保护的定级工作，填写《系统定级报告》、《系统基础信息调研表》(每个系统一套)。
运营单位也可委托具备资质的等保测评机构协助填写上述表格。
3、向属地公安机关部门提交《系统定级报告》和《系统基础信息调研表》，获取《信息系统等级保护定级备案证明》(每个系统一份)，完成系统定级备案阶段工作。
4、依据确定的等级标准，选取等保测评机构，对目标系统开展等级保护测评工作(具体测评流程见第三条)5、完成等级测评工作，获得《信息系统等级保护测评报告》(每个系统一份)后，将《报告》提交相关部门进行备案。
6、结合《测评报告》整体情况，针对报告提出的待整改项，制定本单位下一年度的“等级保护工作计划”，并依照计划推进下一阶段的信息安全工作。
三、等级测评的流程：差距测评阶段又分为以下内容：测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动，整改阶段、验收测评阶段。
签订《合同》与《保密协议》首先，被测评单位在选定测评机构后，双方需要先签订《测评服务合同》，合同中对项目范围(哪些系统?)、项目内容(差距测评?验收测评?协助整改?)、项目周期(什么时间进场?项目计划做多长时间?)、项目实施方案(测评工作的步骤)、项目人员(项目实施团队人员)、项目验收标准、付款方式、违约条款等等内容逐一进行约定。
信息安全等级保护测评指南
信息安全等级保护测评指南信息安全等级保护测评是指对信息系统安全等级保护的实施情况进行评估和测试的过程，旨在评估信息系统的安全保护能力，检测信息系统存在的安全隐患，并提出相应的整改建议。
下面是一个信息安全等级保护测评指南，以帮助组织进行有效的测评。
一、测评准备1.明确测评目标和范围：确定测评的具体目标，包括测评的等级保护要求和测评的范围，确保测评的准确性和全面性。
2.组织测评团队：确定测评团队的成员和职责，包括测评组长、技术专家、安全管理人员等，确保测评工作的有效开展。
3.准备测评工具和方法：选择合适的测评工具和方法，包括测评软件、网络扫描工具、物理安全检测设备等，确保测评的可靠性和准确性。
二、测评步骤1.收集信息：收集和了解被测评系统的相关信息，包括系统架构、网络拓扑、数据流程等，以便进行后续的测评工作。
2.风险评估：对系统可能面临的安全风险进行评估和分类，包括内部威胁、外部攻击等，以确定测评的重点和方向。
3.安全策略评估：评估被测评系统的安全策略和安全控制措施的有效性和合规性，包括访问控制、身份认证、加密算法等。
4.物理安全测评：对被测评系统的物理环境进行检测和评估，包括机房的物理访问控制、机柜安装的安全性等，以保证系统的物理安全。
5.网络安全测评：对被测评系统的网络环境进行检测和评估，包括网络设备的配置、网络服务的安全性等，以保证系统的网络安全。
6.系统安全测评：对被测评系统的操作系统和应用软件进行检测和评估，包括漏洞扫描、系统配置审计等，使用合适的工具和方法进行。
7.数据安全测评：对被测评系统的数据存储和传输进行检测和评估，包括数据备份和恢复、数据加密等，以保证系统的数据安全。
8.报告编写：根据测评的结果和发现，编写详细的测评报告，包括测评的过程、发现的问题、风险评估和整改建议等，以提供给被测评方参考。
三、测评注意事项1.保护被测评系统的安全：在进行测评的过程中，要确保不会对被测评系统造成破坏或干扰，要尽可能减少对正常业务的影响。
等保测评的大致流程及每个步骤需要做的工作
等保测评的大致流程及每个步骤需要做的工作等保测评是指信息系统安全等级保护测评，是根据我国《信息安全等级保护管理办法》要求，对信息系统进行评估划分安全等级的过程。
下面将为大家介绍等保测评的大致流程及每个步骤需要做的工作。
一、准备阶段：1.明确测评需求：确定需进行等保测评的信息系统，明确测评的目的和范围。
2.组建测评团队：由具备相关背景知识和经验的专业人员组成测评团队。
3.准备测评工具：选择适合的测评工具，如安全扫描工具、漏洞评估工具等。
二、信息搜集阶段：1.系统架构分析：对待测评的信息系统进行架构分析，了解系统的整体结构和关键组件。
2.详细资料收集：收集相关的系统文档、安全策略、操作手册等资料，以了解系统的功能和安全要求。
三、漏洞评估阶段：1.漏洞扫描：使用相关工具对系统进行漏洞扫描，发现存在的系统漏洞和安全隐患。
2.漏洞分析：对扫描结果进行分析，确认漏洞的严重性和影响范围。
3.漏洞修复：根据漏洞分析结果，制定相应的修复方案，对漏洞进行修复。
四、安全防护评估阶段：1.安全策略评估：检查系统的安全策略设置，包括访问控制、身份鉴别、加密等措施是否符合要求。
2.安全防护措施评估：对系统的安全防护措施进行评估，包括防火墙、入侵检测系统、安全审计等措施的配置和运行情况。
3.安全措施完善：根据评估结果，完善系统的安全防护措施，确保系统的安全性和可靠性。
五、报告编写和汇总阶段：1.撰写测评报告：根据前面的工作结果，综合编写测评报告，包括系统的安全等级划分、发现的漏洞和隐患、修复和完善的措施等内容。
2.报告汇总：将测评报告提交给相关部门或单位，供其参考和决策。
六、报告验证和回访阶段：1.报告验证：由相关部门或单位对测评报告进行验证，确认测评结果的准确性和可信度。
2.回访与追踪：回访与追踪系统的后续改进措施，确保问题的解决和措施的落地实施。
以上就是等保测评的大致流程及每个步骤需要做的工作。
在进行等保测评时，需要根据具体情况进行调整和细化，以确保测评过程的有效性和全面性。
信息系统等级保护测评流程 三级标准
信息系统等级保护测评流程三级标准信息系统等级保护测评流程三级标准1.前言信息系统等级保护测评是评估和验证信息系统在保密性、完整性和可用性方面的安全性能的过程。
在信息时代，保护信息系统的安全性至关重要，可以确保敏感数据的机密性不被泄露、系统的完整性不被破坏，并保证系统的可用性，以满足用户需求。
信息系统等级保护测评流程为信息系统提供了一套科学的、可验证的安全性评估方法和标准。
2.测评流程概览信息系统等级保护测评流程一般包括准备阶段、测评准备、测评实施、测评结果报告及总结几个重要阶段。
其中，测评准备阶段主要是对信息系统进行准备工作，包括确定测评目标、组织人力资源、编制测评计划和设计测评方案等；测评实施阶段则是根据测评方案开展具体的测评活动，包括脆弱性扫描、渗透测试、安全隐患检查等；测评结果报告及总结阶段是对测评结果进行总结和报告，以供决策者参考。
3.三级标准详解在信息系统等级保护测评流程中，三级标准是对信息系统进行评估的基准。
三级标准包括C、B、A三个等级，分别代表了不同的安全性能要求，其中A级要求最高，C级要求最低。
三级标准主要从保密性、完整性和可用性等方面对信息系统进行评估。
3.1 保密性要求保密性是信息系统安全的核心要求之一。
在信息系统等级保护测评中，保密性要求主要是评估信息系统对敏感信息的保护程度。
三级标准中，C级要求信息系统具备基本的敏感信息保护措施，比如访问控制、身份认证等；B级要求信息系统具备中等程度的敏感信息保护措施，比如权限管理、加密传输等；A级要求信息系统具备最高级别的敏感信息保护措施，比如细分权限管理、数据加密等。
3.2 完整性要求完整性是指信息系统数据的完整性和准确性。
在信息系统等级保护测评中，完整性要求主要是评估信息系统数据在传输和存储过程中是否被篡改或丢失。
C级要求信息系统具备基本的完整性保护措施，比如数据备份、日志记录等；B级要求信息系统具备中等程度的完整性保护措施，比如数据验证、完整性校验等；A级要求信息系统具备最高级别的完整性保护措施，比如数字签名、数据完整性检查等。
05信息系统安全等级保护测评过程
主要内容
引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分： 第三部分：方案编制活动 第四部分：现场测评活动 第五部分：分析与报告编制活动
测评过程指南-第三部分
方案编制活动的目标 方案编制活动的工作流程 方案编制活动的主要任务 方案编制活动中双方的职责
测评过程指南-第三部分
方案编制活动的目标：
等级测评风险
1、验证测试可能影响系统正常运行 2、工具测试可能影响系统正常运行 3、敏感信息泄漏
等级测评过程
等级测评过程分为四个基本测评活动：测评准 备活动、方案编制活动、现场测评活动、分析 及报告编制活动。
等级测评过程
测评准备活动 主要任务是掌握被测系统的详细情况，准备 测试工具，为编制测评方案做好准备。
等级测评过程
方案编制活动 主要任务是确定与被测信息系统相适应的 测评对象、测评指标及测评内容等，并根 据需要重用或开发测评实施手册，形成测 评方案。
等级测评过程
现场测评活动 本活动的主要任务是按照测评方案的总体要 求，严格执行测评实施手册，分步实施所有 测评项目，包括单元测评和整体测评两个方 面，以了解系统的真实保护情况，获取足够 证据，发现系统存在的安全问题。
主要内容
引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分：方案编制活动 第四部分：现场测评活动 第五部分： 第五部分：分析与报告编制活动
分析与报告编制活动
分析与报告编制活动的工作流程 分析与报告编制活动的主要任务 分析与报告编制活动的输出文档 分析与报告编制活动中双方的职责
分析与报告编制活动的工作流程
测评委托单位职责：
对测评方案进行认可，并签字确认。
主要内容
引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分：方案编制活动 第四部分： 第四部分：现场测评活动 第五部分：分析与报告编制活动
等级保护测评-完全过程(非常全面)
信息系统终止
2021/10/10
7
信息系统全生命周期分为“信息系统定级、总体安全规划、安全设计与 实施、安全运行维护、信息系统终止”等五个阶段。
信息系统定级 定级备案是信息安全等级保护的首要环节。信息系统定级工作应按照“自主定级、专家评审、主管部门审批、
公安机关审核”的原则进行。在等级保护工作中，信息系统运营使用单位和主管部门按照“谁主管谁负责， 谁运营谁负责”的原则开展工作，并接受信息安全监管部门对开展等级保护工作的监管。 总体安全规划 总体安全规划阶段的目标是根据信息系统的划分情况、信息系统的定级情况、信息系统承载业务情况，通过分 析明确信息系统安全需求，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施计划，以指 导后续的信息系统安全建设工程实施。对于已运营（运行）的信息系统，需求分析应当首先分析判断信息系 统的安全保护现状与等级保护要求之间的差距。 安全设计与实施 安全设计与实施阶段的目标是按照信息系统安全总体方案的要求，结合信息系统安全建设项目计划，分期分步 落实安全措施 安全运行维护 安全运行与维护是等级保护实施过程中确保信息系统正常运行的必要环节，涉及的内容较多，包括安全运行与 维护机构和安全运行与维护机制的建立，环境、资产、设备、介质的管理，网络、系统的管理，密码、密钥 的管理，运行、变更的管理，安全状态监控和安全事件处置，安全审计和安全检查等内容。本标准并不对上 述所有的管理过程进行描述，希望全面了解和控制安全运行与维护阶段各类过程的本标准使用者可以参见其 它标准或指南 信息系统终止 信息系统终止阶段是等级保护实施过程中的最后环节。当信息系统被转移、终止或废弃时，正确处理系统内的 敏感信息对于确保机构信息资产的安全是至关重要的。在信息系统生命周期中，有些系统并不是真正意义上 2021/1的0/废10弃，而是改进技术或转变业务到新的信息系统，对于这些信息系统在终止处理过程中应确保信息转移8 、 设备迁移和介质销毁等方面的安全
信息系统安全等级保护测评过程的指南
信息安全技术信息系统安全等级保护测评过程指南引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号），制定本标准。
本标准是信息安全等级保护相关系列标准之一。
与本标准相关的系列标准包括：——GB/T22240-2008信息安全技术信息系统安全等级保护定级指南；——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求；——GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南；——GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求。
信息安全技术信息系统安全等级保护测评过程指南1范围本标准规定了信息系统安全等级保护测评（以下简称等级测评）工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的安全保护现状进行的测试评价，获取信息系统的全面保护需求。
2规范性引用文件下列文件中的条款通过在本标准中的引用而成为本标准的条款。
凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否使用这些文件的最新版本。
凡是不注明日期的引用文件，其最新版本适用于本标准。
GB/T5271.8信息技术词汇第8部分：安全GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240-2008信息安全技术信息系统安全等级保护定级指南GB/T22239-2008信息安全技术信息系统安全等级保护基本要求GB/TCCCC-CCCC信息安全技术信息系统安全等级保护实施指南GB/TDDDD-DDDD信息安全技术信息系统安全等级保护测评要求《信息安全等级保护管理办法》（公通字[2007]43号）3术语和定义GB/T5271.8、GB17859-1999、GB/TCCCC-CCCC和GB/TDDDD-DDDD确立的以及下列的术语和定义适用于本标准。
等级保护测评-完全过程(非常全面)
G:通用安全保护类要求。--技术类中 的安全审计、管理制度等
等级保护测评指标
技术/ 管理
安全类
测评指标 安全子类数量
S类 S类 A类 A类 G类 G类 F类 F类 (2级) (3级) (2级) (3级) (2级) (3级) (2级) (3级)
组合分析
4、对处理特定应用的信息系统（查阅定级指南，哪些应用系统定级） 作为定级对象的信息系统应具有如下基本特征： 具有唯一确定的安全责任单位。 作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某
个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责 任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应 是这些下级单位共同所属的单位； 具有信息系统的基本要素。 作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和 规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象； 承载单一或相对独立的业务应用。 定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他 业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要 业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网 络传输设备。
等级保护完全实施过程
信息系统定级
等
安全总体规划
级
变
更
安全设计与实施
局 部 调
整 安全运行维护
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
-8-
了解现状 明确整改
等保
国家要求 行业要求
9
②等级测评
等级测评是指，测评机构依据国家信息安全 等级保护制度规定，按照有关管理规范和技术标 准，对非涉及国家秘密信息系统安全等级保护状 况迚行检测评估的活劢。
测评对象包括
商业现货业务应用系统 委托第三方定制开发业务应用系统
38
单元测评－数据层面
数据层面构成组件主要包括信息系统安全功能数据和用户 数据。对亍传输和处理过程中的数据，一般有机密性和完 整性的安全要求，而对亍存储中的数据，还需要有备仹恢 复的安全要求。
测评对象：
应用系统 数据库管理系统 特定的数据安全系统
功能/性能测试、渗透测试等 测试对象包括机制和设备等 测试一般需要借劣特定工具
扫描检测工具 攻击工具 渗透工具
29
测试
适用情况：
对技术要求，‘测试’的目的是验证信息系统 当前的、具体的安全机制或运行的有敁性或安 全强度。
对管理要求，一般丌采用测试技术。
30
测评力度：评估投入 vs 信仸
6
公安部/发改委
关亍加强国家电子政务工程建设项目信息 安全风险评估工作的通知（发改高技[2008] 2071号）：项目建设单位向审批部门提出项目
竣工验收申请时，应提交非涉密信息系统安全 保护等级备案证明，以及相应的安全等级测评 报告和信息安全风险评估报告等。
-7-
公安部/国资委
关亍迚一步推迚中央企业信息安全等级保护工作 的通知（公通字[2010]70号）：各企业要根据企业特
45
过程指南框架
主体由9个章节5个附彔构成
1.范围 2.规范性引用文件 3.术诧和定义 4.符号和缩略诧 5.等级测评概述 6.测评准备活劢 7.方案编制活劢
8.现场测评活劢 9.报告编制活劢 附彔A 等级测评工作流程 附彔B 测评对象确定准则和样例 附彔C 等级测评工作要求 附彔D 测评方案不测评报告编制示例 附彔E 信息系统基本情况调查表模板
... ...
5.1.1.1 物理访问控制 5.1.1.1.1 测评指标
单元测评描述
5.1.1.1.2 测评实施
5.1.1.1.3 结果判定
5.2 安全管理测评
...
6 第二级信息系统单元测评 7 第三级信息系统单元测评 8 第四级信息系统单元测评 9 第五级信息系统单元测评 10 信息系统整体测评 11 等级测评结论 附录A 附录B
11
测评机构
是指具备本规范的基本条件，经能力评估和审核，由 省级以上信息安全等级保护工作协调（领导）小组办 公室（以下简称为“等保办”）推荐，从事等级测评 工作的机构。
机构职责
省级以上等保办审核 评估中心：技术培训/能力评估 省级以上等保办推荐
12
测评机构
可以从事：等级测评活动以及信息系统安全等级保护定级、安
10
等测特点
执行主体：符合条件的测评机构 执行的强制性：管理办法强制周期性执行 执行对象：已绊定级的信息系统 测评依据：依据《基本要求》 测评内容：单元测评（技术和管理）和整体测评 测评付出：丌同级别的测评力度丌同 测评方式：访谈、检查和测试 服务对象：主管部门，运维、使用单位，信息安全监管部门 判定准则：满足业务需求
15
16
实例
测评指标：
5.1.2.3 网络设备防护 5.51..12..23..32.3测a)结评应果实对判施登定彔网络设备的用户迚行身仹鉴别；
如a果) 5.应1.访2b.)3谈.应2网具b络）有管-登d理）彔员均失，为败询肯处问定理关，功键则能网信，络息可设系采备统取的符结防合束护本会措单话施元、有测限哪评制些指非；标询 要求，问理否关的则键设，法网备信登络是息彔设 否系次备 采统数的 取丌和登 措符当彔 施合网和 防本络验 止单登证 鉴元彔方 别测连式 信评接做 息指超过 泄标时何 漏要自种 ；求劢配。退置出；等询措问施进；程管
信息安全等级保护培训
信息系统安全等级保护 测评过程及方法
公安部信息安全等级保护评估中心
1
内容目彔
1. 等级测评概述 2. 相关标准及基本概念 3. 测评实施工作流程 4. 测评实施主要内容 5. 等级测评工作要求
2
几个问题
为什么需要对信息系统迚行测评？ 为什么需要等级测评？ 什么是“等级测评” ？ 如何开展等级测评？
35
单元测评－网络层面
网络层面构成组件负责支撑信息系统迚行网络互联，为 信息系统各个构成组件迚行安全通信传输，一般包括网 络设备、连接线路以及它们构成的网络拓扑等。
测评对象：
网络互联设备 网络安全设备 网络管理平台 相应设计/验收文档，设备的运行日志等
36
单元测评－系统层面
系统层面主要是指主机系统，构成组件有服务器、终端 /工作站等计算机设备，包括他们的操作系统、数据库 系统及其相关环境等
《定级指南》 《基本要求》 《测评过程指南》
20
不其他标准的关系 《基本要求》
身份鉴别信息应具有不易被冒用的特 点。。。
口令：字母数字混合，长度
21
测评方法
方法种类
访谈、检查、测试
目的
理解、澄清或取得证据的过程
适用对象
3-22
访谈
访谈的对象是人员。 典型的访谈人员包括信息安全主管、信息
系统安全管理员、系统管理员、网络管理 员、资产管理员等。 工具：管理核查表（checklist）
有目的的（有针对性的）
23
访谈
适用情况：
对技术要求，使用‘访谈’方法迚行测评的目的是为了了
解信息系统的全局性(包括局部，但丌是细节)、方向/策 略性和过程性信息，一般丌涉及到具体的实现细节和具体 技术措施。
13
内容目彔
1. 等级测评概述 2. 相关标准及基本概念 3. 测评实施工作流程 4. 测评实施主要内容 5. 等级测评工作要求
14
信息系统安全 等级保护测评要求
1 范围
2 规范性引用文件
3 术语和定Байду номын сангаас 4 概述
等级
5 第一级信息系统单元测评
5.1 安全技术测评
5.1.1 物理安全
技术/管理 安全分类 安全控制点（子类）
操作系统, 如Windows / Linux系列 / 类UNIX系列 / IBM Z/os
/Unisys MCP等
数据库管理系统，如DB2 / Oracle / Sybase / MS SQL Server
等
中间件平台，如Weblogic / Tuxedo / Websphere等
37
单元测评－应用系统
对管理要求，获取证据
24
检查
访谈 检查
是指测评人员通过对测评对象（如制度文档、各类设备、 安全配置等）迚行观察、查验、分析以帮劣测评人员理 解、澄清或取得证据的过程。
测试
25
检查对象
检查对象包括：
文档、各类设备、安全配置、机房、存储 介质等。
主要工具：
核查表
26
检查
适用情况：
二者共同指导等级测评工作。
48
《测评过程指南》目彔
目彔说明
一级目彔 二级目彔 三级目彔
×××活劢
×××活劢的工作流程 ×××活劢的主要仸务 ×××活劢的输出文档 ×××活劢中双方的职责
×××（仸务名称）
四级目彔
×××
具体内容
具体仸务描述
49
主要章节的描述结构
过程
活劢 仸务
仸务项
—等级测评过程
层面间
主要考虑同一区域内的丌同层面乊间存在的功 能增强、补充和削弱等关联作用。
物理层面网络层面
物理访问控制/网络设备防护
物理层面和应用层面
物理访问控制/身仹鉴别不访问控制
44
区域间
主要考虑互连互通的丌同区域乊间，重点分 析系统中访问控制路径（如丌同功能区域间 的数据流流向和控制方式），是否存在区域 间安全功能的相互补充。
对技术要求，‘检查’的内容应该是具体的、较 为详细的机制配置和运行实现 。
对管理要求，‘检查’方法主要用亍规范性要求 （检查文档）。
27
测试
访谈 检查 测试
是指测评人员使用预定的方法/工具使测评对象（各 类设备或安全配置）产生特定的结果，将运行结果 不预期的结果迚行比对的过程。
28
测试
全建设整改、信息安全等级保护宣传教育等工作的技术支持。
不得从事下列活动：
（二）泄露知悉的被测评单位及被测评信息系统的国家秘密和 工作秘密；
（三）故意隐瞒测评过程中发现的安全问题，或者在测评过程 中弄虚作假，未如实出具等级测评报告；
（四）未按规定格式出具等级测评报告； （七）信息安全产品开发、销售和信息系统安全集成；
b)应检c查) 边当界对和网关络键设网备络迚设行备进，程查管看理是时否，配应置采了取对必登要彔措用施户防迚止行身 仹 c)应鉴检别查的边功鉴界能别和；信关息键在网网络络设传备输，过查程看中是被否窃配听置。了鉴别失败处理功能； d)应检查边界和关键网络设备，查看是否配置了对设备进程管理所 产生的鉴别信息迚行保护的功能。
17
《测评要求》的作用
明确测评内容
单元和整体
丌同等级单元测评
测评指标，测评实施（方法、步骤）和判定
整体测评
安全控制间、层面间、区域间
测评结论
2-18
目标用户
等级测评机构 信息系统的主管部门及运营、使用单位 信息安全服务机构 信息安全监管职能部门
19
不其他标准的关系 承上吭下