信息安全等级保护测评机构评优标准(试行)
信息安全等级保护标准
信息安全等级保护标准
1. 安全目标：明确了信息系统安全保护的目标，包括机密性、完整性和可用性。
2. 安全等级划分：根据信息系统的安全需求和重要性，将其划分为不同的安全等级。
3. 安全技术要求：包括物理安全、网络安全、系统安全等方面的技术要求，如访问控制、身份认证、加密传输等。
4. 安全管理措施：包括组织结构、人员管理、安全培训等方面的管理措施，以保证信息安全的有效管理。
5. 安全测试评估：对信息系统进行定期的安全测试和评估，发现系统中存在的安全漏洞和风险，并及时采取措施进行修复。
6. 安全事件响应：建立健全的安全事件响应机制，对安全事件进行及时处理和跟踪，同时进行安全事故的调查与处理。
等保标准适用于政府机关、企事业单位等组织，旨在加强信息系统的安全保护，防止信息泄露、数据破坏、系统瘫痪等安全事件的发生。
对于不同行业和领域的组织，根据其安全需求和实际情况，可以进行相应的等级划分和安全措施的实施。
信息安全技术 信息系统安全等级保护测评要求
信息安全技术信息系统安全等级保护测评要求信息安全技术是保障信息系统安全的重要手段之一，而信息系统安全等级保护测评是衡量信息系统安全等级的重要评价方法之一。
本文将从信息安全技术和信息系统安全等级保护测评的概念、方法和要求等方面进行阐述。
一、信息安全技术信息安全技术是指对信息系统进行保护和防护的一系列技术手段。
信息系统防护的目标是保证信息的机密性、完整性、可用性和认证性。
常见的信息安全技术包括加密技术、身份认证技术、访问控制技术、安全传输技术等。
1. 加密技术加密技术是一种通过改变信息的表达方式，实现信息内容不易被理解和使用的技术手段。
常见的加密技术包括对称加密算法、非对称加密算法和哈希算法等。
这些算法可以在数据传输、数据存储和身份认证等方面应用，以提高信息系统的安全性。
2. 身份认证技术身份认证技术是一种通过验证用户的身份信息，确认其是否具有访问权限的技术手段。
常见的身份认证技术包括口令认证、生物特征认证和智能卡认证等。
这些技术可以有效防止非法用户对信息系统进行恶意访问和操作。
3. 访问控制技术访问控制技术是一种对用户访问信息系统进行限制和控制的技术手段。
常见的访问控制技术包括访问控制列表（ACL）、角色权限控制和流程控制等。
这些技术可以确保只有具备相应权限的用户才能访问和使用信息系统。
4. 安全传输技术安全传输技术是一种保证数据在传输过程中不被篡改、泄漏和窃听的技术手段。
常见的安全传输技术包括安全套接层（SSL）、虚拟专用网络（VPN）和防火墙等。
这些技术可以保护数据在网络传输过程中的安全性，防止数据被攻击者获取或篡改。
二、信息系统安全等级保护测评要求信息系统安全等级保护测评是根据国家和行业的相关规范要求，对信息系统的安全性进行评估和认证的过程。
保护测评的目的是为了评估系统的安全性等级，为其提供安全设计和改进的依据。
1. 测评方法保护测评的方法可以根据具体情况选择，如定性评估、定量评估、风险评估等。
信息安全等级保护等级测评实施细则doc-信息安全等级测评
信息安全等级保护等级测评实施细则doc-信息安全等级测评信息安全等级保护等级测评实施细则第一章总则第一条【目的】为加强信息安全等级测评机构建设和管理，规范等级测评活动，保障信息安全等级保护制度的贯彻落实，根据《信息安全等级保护管理办法》等有关规范制订本实施细则。
第二条【适用范围】本细则适用于等级测评机构、测评人员和测评活动的规范管理。
第三条【等级测评定义】等级测评是测评机构依据国家信息安全等级保护制度规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。
第四条【测评机构定义】测评机构是经有关部门能力认可，经有关部门推荐，在一定范围内从事信息系统安全等级测评等工作的专业技术机构。
第五条【基本原则】测评机构应当按照有关规定和统一标准提供“客观、公正、安全”的测评服务，按照统一的测评报告模版出具测评报告。
第六条【保密要求】测评机构和测评人员应当遵守《国家保密法》的规定，保守在测评活动中知悉的国家秘密、商业秘密、敏感信息和个人隐私等。
第七条【管理体制】测评机构应当接受各级信息安全等级保护协调（领导）小组和公安网安部门的监督管理，并接受有关部门的业务管理和技术指导。
第二章测评机构第八条【总体要求】测评机构分为地区性、行业性测评机构，按照属地管理和行业管理相结合的原则进行建设和管理。
第九条【职责分工】国家信息安全等级保护协调小组办公室主管等级测评机构的建设和管理工作，指导行业等级测评机构的建设和管理工作，并委托专门的技术能力审验机构对测评机构的技术能力进行评估、审查并确认。
各省（区、市）等级保护协调（领导）小组办公室负责本地等级测评机构的建设管理工作。
第十条【基本条件】申请成为等级测评机构的单位（以下简称申请单位）应当具备以下基本条件：（一）在中华人民共和国境内注册成立（港澳台地区除外）；（二）由中国公民投资、中国法人投资或者国家投资的企事业单位（港澳台地区除外）；（三）产权关系明晰，注册资金100万元以上；（四）从事信息系统检测评估相关工作两年以上；（五）单位法人及主要工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；（六）具有胜任等级测评工作的专业技术人员和管理人员，大学本科（含）以上学历所占比例不低于80%。
信息安全等级保护测评资质
信息安全等级保护测评资质信息安全等级保护测评资质，听起来有点复杂对吧？不过，别担心，咱们一起聊聊这个话题，保证你听了之后豁然开朗。
想象一下，你的家里有个保险柜，里面放着你最值钱的东西。
你一定不希望这个保险柜随便被人打开吧？信息安全等级保护，实际上就是为了保护你那些重要的信息不被不法分子偷走。
它就像是给你的数字世界加上一道防火墙，让你可以安心上网，不用担心自己的个人数据被泄露或者被黑客入侵。
那什么是“信息安全等级保护测评资质”呢？简单来说，这个资质就是对一些机构或者公司是否具备足够能力去保护信息安全的一种认证。
好比说，你如果想当个厨师，得先通过食品卫生考试，证明自己能处理好锅碗瓢盆，防止做出不卫生的食物；而这个资质就像是信息安全领域的“食品卫生证”，它证明了一家公司有没有足够的技术和能力，能够保证他们处理的数据不会被别人随便拿走或者搞砸。
有没有想过，如果没有这种资质，那谁敢放心把自己的数据交给他们？别说信息泄露，万一是个“黑心商家”，搞不好连你最隐私的事情都被挖出来了。
说到这里，可能有朋友会问，为什么一定要搞这些测评？毕竟，很多公司说他们做得好，结果也没出啥事嘛。
嗯，咱们得明白，信息安全保护不是一时半会儿能做好事儿的，它需要持续的监控和防护措施。
也许你现在用的APP看起来很安全，没出过问题，可谁知道明天会不会出现漏洞，或者是技术的变更，让你原本安全的资料一不小心就被泄露了？这就像是你明明住在一个安全的小区，结果有一天你发现门锁坏了，那可不就麻烦大了？所以，信息安全等级保护测评就是给这些公司做个“健康检查”，确保他们的防护措施时刻都处在最佳状态。
这个资质评定不仅仅是给那些做大数据、云计算的公司准备的，实际上，只要是涉及到信息存储和处理的公司，都有可能需要通过这个测评。
比如说银行、医院、学校，甚至是一些小型的企业。
别看这些单位平时好像跟信息安全没啥关系，但一旦涉及到客户的个人信息或者公司内部的机密数据，那就得特别小心了，稍有不慎，后果可就不堪设想。
等保三级测评标准 评分
等保三级测评标准评分等保三级测评标准：守护网络安全的神秘密码嘿，你知道吗？在网络这个浩瀚的宇宙中，就像星际战士需要强大的铠甲一样，企业和组织也有自己的“安全护盾”，那就是等保三级测评标准。
要是不了解它，小心你的网络世界被黑客“怪兽”轻易攻破哦！**一、“系统体检”：漏洞扫描不能少**在网络世界里，系统就像一个人的身体，漏洞扫描就是给系统做“体检”。
“哎呀呀，系统漏洞就像身体里的小虫子，要是不及时发现并消灭它们，说不定哪天就会引发一场大灾难！”等保三级测评标准中，漏洞扫描是至关重要的一环。
它就像一台超级显微镜，能细致入微地检查系统的每一个角落。
比如，操作系统是否存在可以被利用的安全漏洞，应用软件是否有后门被悄悄打开。
这就好比你的家门，要是门锁有问题，那小偷不就轻而易举地能进来了？给你举个例子吧，假如一个企业的网络系统没有定期进行漏洞扫描，黑客就可能利用某个未被发现的漏洞，悄悄潜入系统，窃取重要数据或者搞破坏。
而那些重视漏洞扫描的企业，就像拥有了“金钟罩铁布衫”，让黑客无从下手。
**二、“防火墙保卫战”：访问控制要严格**“嘿，访问控制就像网络世界的门卫大哥，可不是谁都能随便进进出出的！”在等保三级测评标准里，访问控制是一道坚固的防线。
它决定了谁能进入网络系统，能访问哪些资源。
这就好比你家的小区门禁，只有登记在册的居民才能自由进出，外人必须经过严格的审核。
访问控制可以分为身份认证和授权管理。
身份认证就像是给每个人发一张独一无二的“通行证”，只有拿着正确的“通行证”才能进入系统。
而授权管理则是规定了每个人在系统中的“活动范围”，你是能查看文件，还是能修改文件，都得按规矩来。
比如说，一个金融机构对客户的账户信息设置了严格的访问控制，只有经过多重身份认证并且有相应授权的员工才能查看和处理敏感信息，这样就能大大降低信息泄露的风险。
**三、“数据加密魔法”：保护信息不泄露**“数据加密，这可是网络世界的魔法咒语，能把重要信息藏得严严实实！”在等保三级测评标准中，数据加密是保护信息安全的重要手段。
信息安全保护等级测评标准
信息安全保护等级测评标准信息安全是当今社会中极为重要的一个议题，随着互联网的发展和普及，信息安全问题也日益受到重视。
在信息安全保护方面，不同的组织和机构都需要根据自身的特点和需求，采取相应的措施来确保信息的安全性。
而信息安全保护等级测评标准，则是评估和确认信息系统安全等级的重要工具之一。
首先，信息安全保护等级测评标准需要考虑的是信息系统的安全性能。
信息系统的安全性能包括信息系统的机密性、完整性、可用性等方面。
机密性是指信息系统中的信息不会被未经授权的个人或实体获取，完整性是指信息系统中的信息不会被未经授权的个人或实体篡改，可用性是指信息系统能够在需要时正常运行。
评估信息系统的安全性能，需要考虑到这些方面的综合情况，以确定信息系统的安全等级。
其次，信息安全保护等级测评标准还需要考虑信息系统的安全风险。
安全风险是指信息系统受到威胁和漏洞的可能性和影响程度。
评估信息系统的安全风险，需要考虑到信息系统所面临的各种威胁和漏洞，以确定信息系统的安全等级。
另外，信息安全保护等级测评标准还需要考虑信息系统的安全管理。
安全管理是指信息系统中的安全策略、安全控制、安全监控等方面。
评估信息系统的安全管理，需要考虑到信息系统中的安全策略是否合理、安全控制是否有效、安全监控是否到位，以确定信息系统的安全等级。
最后，信息安全保护等级测评标准还需要考虑信息系统的安全保障措施。
安全保障措施是指信息系统中的安全技术、安全设备、安全服务等方面。
评估信息系统的安全保障措施，需要考虑到信息系统中的安全技术是否先进、安全设备是否完备、安全服务是否可靠，以确定信息系统的安全等级。
综上所述，信息安全保护等级测评标准是评估和确认信息系统安全等级的重要工具，需要考虑信息系统的安全性能、安全风险、安全管理、安全保障措施等方面，以确定信息系统的安全等级。
只有通过科学、全面、客观的测评，才能更好地保护信息系统的安全，确保信息的安全性和可靠性。
信息安全等级保护测评指南
第三级信息系统应当每年至少进行一次等级测评，第四
级信息系统应当每半年至少进行一次等级测评，第五级 信息系统应当依据特殊安全需求进行等级测评。
编辑课件
广东省安全保护条例对测评要求
扫描检测工具 网络协议分析仪 攻击工具 渗透工具
编辑课件
等级保护测评标准
《信息系统安全等级保护测评要求》 《信息系统安全等级保护测评指南》
编辑课件
等级保护测评要求
编辑课件
测评要求的作用
指导系统运营使用单位进行自查 指导评估机构进行检测评估 监管职能部门参照进行监督检查 规范测评内容和行为
工具测试影响系统正常运行
在现场测评时，会使用一些技术测试工具进行漏洞测试、性 能测试甚至抗渗透能力测试。测试可能会对系统的负载造成 一定的影响，漏洞测试和渗透测试可能对服务器和网络通讯 造成一定影响甚至伤害。
敏感信息泄漏 编辑课件
等级测评方式－测试
功能/性能测试、渗透测试等。 测试对象包括机制和设备等。 测试一般需要借助特定工具。
支持测评 提供技术、工程和质量文档 实施的配合
1.3.7等级保护实施过程中的主要参与角色
信息安全服务机构:协助信息系统运营、使用单位完成等级保护的
相关工作，包括确定其信息系统的安全保护等级、进行安全需求分 析、安全总体规划、实施安全建设和安全改造等。
信息安全产品供应商：开发符合等级保护相关要求的信息安全产品，
编辑课件
广东省等级保护测评机构
关于发布广东省信息安全等级保护测评机构的公告
（粤等保办[2010]3号）
供我省信息系统运营、使用单位、主管部门选用提供各类测评服 务（差距评估、验收性测评、年度测评工作）。 1、广州竞远系统网络技术有限公司 2、中国赛宝实验室（工业和信息化部电子第五研究所） 3、广州华南信息安全测评中心 4、深圳市信息安全测评中心 5、深圳市网安计算机安全检测技术有限公司
等保安全评估标准
等保安全评估标准
等保安全评估标准是指对信息系统等级保护的一种评估方法和指导标准，用于评估信息系统在等级保护方面的安全性能和安全保障措施的合规性。
等保安全评估标准主要是根据国家相关法律法规和政策要求，结合国际上通用的信息安全管理标准和最佳实践，制定的一套具体的评估要求和方法。
根据中国国家标准《信息安全技术等级保护要求》，等保安全评估标准分为5个等级，由1级到5级，等级越高，安全要求
越严格。
等保安全评估标准主要包括以下几个方面的内容：
1. 安全管理要求：包括组织安全、人员安全、资产管理、访问控制、安全审计等方面的要求，以确保信息系统的整体安全管理能力。
2. 数据安全要求：包括数据分类与标识、数据传输与存储、数据备份与恢复、数据清除与销毁等方面的要求，以确保信息系统中数据的安全性。
3. 网络与系统安全要求：包括网络设备安全、系统配置与管理、系统安全控制、应用程序安全等方面的要求，以确保信息系统的网络和系统安全。
4. 用户安全要求：包括用户身份认证与授权、用户行为管理、用户审计和用户管理等方面的要求，以确保信息系统对用户的安全管理。
5. 外部环境安全要求：包括物理环境安全、通信设备安全、外部接口安全等方面的要求，以确保信息系统在外部环境中的安全。
等保安全评估标准的目的是为了确保信息系统在设计、建设、运行和维护过程中能够达到一定的安全等级，为信息系统的用户提供安全可靠的服务。
同时，等保安全评估标准也可以作为组织进行信息系统安全风险评估和管理的依据，帮助组织建立健全的信息安全管理体系。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
附件2：
信息安全等级保护测评机构评优标准
（试行）
一、编制目的
本标准的编制目的是通过统一的评价标准，以打分评价的方式选出工作表现和能力优秀的测评机构，从而鼓励先进、指引测评机构的发展方向。
二、指标设定
对测评机构的评价指标共设为8项：系统测评数量、测评师数量、工具配备、测评技术能力、业务经营能力、测评管理规范化、省级等保办对机构工作评价、国家等保办对机构工作评价。
三、各项指标打分标准
指标项前七项满分100分，其中系统测评数量20分、测评师数量10分、工具配备10分、测评技术能力30分、业务经营能力10分、测评管理规范化10分、省级等保办对机构工作评价10分，国家等保办对机构工作评价作为加分项，满分10分。
各项指标的打分标准如下：
（1）系统测评数量打分标准
根据测评系统数量计分，每个二级系统计0.05分，每个三级系统计0.2分，每个四级系统计0.3分，满分20分。
测评系统数量依据测评机构当年度1月1日至12月31
日期间所完成的第二级以上信息系统测评数量，以测评报告计数，以每个测评报告首页复印件作为证据
（2）测评师数量打分标准
A.测评师人数10-15人，中、高级人员少于4人，得
1分。
B.测评师人数10-15人且中、高级人员不少于4人，
得3分。
C.测评师人数16-20人且中、高级人员不少于5人，
得5分。
D.测评师人数21-25人且中、高级人员不少于7人，
得6分。
E.测评师人数26-30人且中高、级人员不少于9人，
得7分。
F.测评师人数31-35人且中高、级人员不少于11人，
得8分。
G.测评师人数36-40人且中高、级人员不少于13人，
得9分。
H.测评师人数40人以上且中高、级人员不少于15人，
得10分。
备注：根据测评师证书和社保证明等材料为证据，若机构不同时满足高一级别两个要求，得低一级别分值。
（3）工具配备打分标准
A.机构具备安全问题发现类工具：
漏洞扫描工具（网络和主机）—1分
WEB安全检测工具—1分
恶意行为检测工具—1分
数据库管理系统安全检测工具—1分
B.机构具备安全问题分析与定位类工具：
网络协议分析工具—2分
源代码安全审计工具—2分
C.机构具备安全问题验证类工具：渗透测试工具—2
分。
注意：根据A-C得分相加，得出工具配备项最后得分。
（4）测评技术能力打分标准
此项采用能力验证和抽查打分的结果。
A.参加CNAS能力验证活动，得分＝能力验证分值
3/20。
B.对所有机构根据测评项目文档抽查情况评价，得分
项如下：
a)测评项目调查表信息收集全面、准确，最高2分；
b)测评方案内容完整，测评对象、指标和工具接入
点准确合理，最高3分；
c)测评原始记录内容翔实、客观、准确，最高3分；
d)测评报告内容完整，测评结果（单项/单元）准
确、整体分析和风险分析方法正确，最高7分。
注意：根据a）-d）得分相加，得出B得分。
根据A-B 得分相加，得出测评技术能力得分，如果机构未参加CNAS 能力验证活动，则B）中各项分值加一倍，满分30分。
（5）业务经营能力打分标准
A.根据机构本年度的合同额（包括安全测评之外的安
全服务等合同）打分：
a)未达到100万的，得0分。
b)达到100万的，得1分；
c)达到200万的，得2分；
d)达到300万的，得3分；
e)达到500万的，得4分；
f)达到700万的，得5分；
g)达到800万的，得6分；
h)达到1000万的，得7分。
B.根据机构渗透测试人员数量打分：
a)有1人的，得1分；
b)有2人的，得2分；
c)有3人及以上的，得3分。
注意：机构年度合同额应以本年度安全服务合同复印件为证据。
渗透测试人员应提交名单和详细信息。
根据A-B得分相加，得出此项最后得分。
（6）测评管理规范化打分标准
由省级等保办核查机构年度遵守《信息安全等级保护测评机构管理办法》情况。
A.核实机构根据《测评机构管理办法》第十一条规定，
是否及时进行变更报告情况，符合规定的；得2分，
基本符合的，得1分，不符合的，得0分；
B.核实机构根据《测评机构管理办法》第十三条、第
十四条和第十五条规定，规范测评师管理、保密管
理及持续培训情况；符合规定的，得2分，基本符合的，得1分，不符合的，得0分；
C.核实机构根据《测评机构管理办法》第十七条规定，
及时提交等级测评项目报告表情况；符合规定的，
得2分，基本符合的，得1分，不符合的，得0分；
D.核实机构根据《信息安全等级保护测评机构管理办
法》第十九条规定，及时报送测评机构开展情况和
信息系统安全状况分析报告的情况；符合规定的，
得2分，基本符合的，得1分，不符合的，得0分；
E.核实机构等级测评综合管理平台具备及使用情况；
机构具备等级测评综合管理平台，能够使用平台规
范测评管理流程、自动处理测评数据、自动生成报
告的；得2分，基本符合的，得1分，不符合的，得0分。
注意：根据A-E得分相加，得出此项最后得分。
（7）省级等保办对测评机构工作评价打分标准
A.根据机构积极对外开展等级保护的法规政策宣贯、
培训情况，根据年度内对外培训人数打分：
a)累计培训人数9人以内的，得0分；
b)累计培训人数10-19人的，得1分；
c)累计培训人数达到20人的，得2分；
d)累计培训人数达到60人的，得3分；
e)累计培训人数达到80人的，得4分；
f)累计培训人数达到100人的，得5分。
B.根据机构对公安机关安全检查、事件处置、网络安
全专项、应急职守工作的技术支持情况，根据年度支持次数打分:
a)支持1次的，得1分；
b)累计支持2次的，得2分；
c)累计支持3次的，得3分；
d)累计支持4次的，得4分；
e)累计支持5次及以上的，得5分。
注意：根据A-B得分相加，得出此项最后得分。
（8）国家等保办对测评机构工作评价打分标准
A.根据机构组织/支持部十一局或国家重要行业部门
开展大型等级保护宣贯、培训、技术交流、论坛等活动的支持次数打分：
a)支持1次的，得1分；
b)累计支持2次及以上的，得2分。
B.机构组织/参与制定等级保护相关的国家标准/行业
标准/地方标准或规范性文件的项目数量打分：
a)组织一项的，得1分；
b)组织一项的，得2分；
c)组织三项及以上的，得3分。
仅仅参与的，得分减半；
C.机构组织/参与等级保护工具（系统）研发，或者积
极支持部十一局专项工作的，根据支持配合次数打分：
a)支持1次的，得1分；
b)支持2次的，得2分；
c)支持3次及以上的，得3分。
D.根据机构在等级保护新技术研究方面有相关的研究
课题/报告以及在技术大会和体系大会中报送论文
情况打分：
a)有研究课题/报告的，得1分；
b)论文总数在3篇以下的，得0分；
c)论文总数在3篇及以上，优秀论文1篇及以上的，
得1分。
注意：根据A-D得分相加，得出此项最后得分。