等保测评项目启动会材料
现场测评活动-可能遇到的问题
配合、协调 测评结果版本控制 测试工具故障
报告编制活动
本活动是给出等级测评工作结果的活动，是总结被测 系统整体安全保护能力的综合评价活动。
测评委托单位职责： – a) 向测评机构介绍本单位的信息化建设状况与发展情况。 – b) 准备测评机构需要的资料。 – c) 为测评人员的信息收集提供支持和协调。 – d) 准确填写调查表格。 – e) 根据被测系统的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议 – f) 制定应急预案。
测评委托单位职责：
– a) 对测评方案进行认可，并签字确认。
方案编制活动-可能遇到的问题
信息系统网络边界的确定 测评对象选择原则的应用 测试工具接入点的选择 测评指导书的开发
现场测评活动
现场测评活动是开展等级测评工作的核心活动。
现场测评活动双方职责
测评机构职责：
– a) 利用访谈、文档审查、配置检查、工具测试和实地察看的方法测评被测系统的保护 措施情况，并获取相关证据。
项目依据
《信息安全等级保护管理办法》（公通字[2007]43号） 《计算机信息安全保护等级划分准则》（GB 17859-1999） 《信息系统安全保护等级定级指南》（GB/T 22240-2008） 《信息系统安全等级保护基本要求》（GB/T 22239-2008） 《信息系统安全等级保护实施指南》 《信息系统安全等级保护测评要求》 《信息系统安全等级保护测评过程指南》
单项测评结果判定
单元测评结果判定
整体测评
风险分析
等级测评结论形成
测评报告编制
报告编制活动双方职责
• 测评机构职责：
测评工作的方法
访谈 – 对象：信息安全主管、安全管理员、系统管理员、网络管理员、资产 管理员等 – 工具：管理核查表
检查 – 对象：文档、各类设备、安全配置、机房、存储介质等 – 工具：核查表
测试 – 扫描检测 – 攻击 – 渗透
等级保护测评流程
等级测评的主要活动
测评准备活动（3个任务） 方案编制活动（6个任务） 现场测评活动（3个任务） 报告编制活动（6个任务）
测评准备活动
测评准备活动是开展等级测评工作的前提和 基础，是整个等级测评过程有效性评机构职责： – a) 组建等级测评项目组。 – b) 指出测评委托单位应提供的基本资料。 – c) 准备被测系统基本情况调查表格，并提交给测评委托单位。 – d) 向测评委托单位介绍安全测评工作流程和方法。 – e) 向测评委托单位说明测评工作可能带来的风险和规避方法。 – f) 了解测评委托单位的信息化建设状况与发展，以及被测系统的基本情况。 – g) 初步分析系统的安全情况。 – h) 准备测评工具和文档。
安全等级保护测评项目启动会
汇报主题
项目背景 项目目的 项目依据 项目主要内容 等保保护测评流程 等级测评的主要活动
测评存在的风险及规避措施
项目组织结构 项目实施计划 项目交 付 成 果和报 告
项目背景
2003年，《国家信息化领导小组关于加强信息安全保障工作的意 见》(中办发[2003]27号)明确提出信息安全等级保护的概念，同 时明确要重点保护基础信息网络和关系国家安全、经济命脉、社 会稳定等方面的重要信息系统，作为国家经济命脉重要组成部分 的金融业，其信息系统被各级公安机关列为重点保护对象。
测评准备活动-可能遇到的问题
调查表格填写 –协调困难 –填写不准确 –设备互联不清楚
工具和表单准备 –无法搭建模拟环境
方案编制活动
方案编制活动是开展等级测评工作的关键活动，为现 场测评提供最基本的文档和指导方案。
方案编制活动双方职责
测评机构职责：
– a) 详细分析被测系统的整体结构、边界、网络区域、重要节点等。 – b) 初步判断被测系统的安全薄弱点。 – c) 分析确定测评对象、测评指标和测试工具接入点，确定测评内容及方法。 – d) 编制测评方案文本，并对其内部评审，并提交被测机构签字确认。
中烟工业有限公司系统承载着各类业务系统的通讯和数据传输， 其保障能力和防护水平都至关重要。在信息系统建设过程中，难 免会存在一些缺陷。对XX公司系统进行信息安全等级保护测评 ，有利于摸清该系统安全建设的整体水平，发现其中的不足，从 而有针对性地进行建设和整改。
项目目的
实施信息安全等级保护，可以有效地提高中烟工业有限公司 系统安全建设的整体水平，并且指明了方向。有利于在信息 化建设过程中同步建设信息安全设施，保障信息安全与信息 化建设相协调；有利于加强对涉及国家安全、经济秩序、社 会稳定和公共利益的信息系统的安全保护和管理监督；有利 于明确国家、法人和其他组织、公民的安全责任，强化政府 监管职能，共同落实各项安全建设和安全管理措施；有利于 提高安全保护的科学性、整体性、针对性，推动信息安全产 业水平，逐步探索一条适应社会主义市场经济发展的信息系 统安全的发展模式。
测评委托单位职责：
– a) 测评前备份系统和数据，并确认被测设备状态完好。 – b) 协调被测系统内部相关人员的关系，配合测评工作的开展。 – c) 签署现场测评授权书。 – d) 相关人员回答测评人员的问询，对某些需要验证的内容上机进行操作。 – e) 相关人员确认测试前协助测评人员实施工具测试并提供有效建议，降低安全测评对
项目主要内容
对中烟工业有限公司已备案的生产网络系统系统安 全保护等级进行差距测评分析。依据《信息系统安 全等级保护基本要求》，对物理机房、网络结构、 管理类文档等进行合规性检查，发现信息系統与安 全保护等级要求之间的差距，出具《中烟工业有限 公司系统安全等级保护测评报告》及提出具有针对 性的整改意见。
等级保护测评-完全全面过程PPT课件
.
6
等级保护完全实施过程
信息系统定级
等
安全总体规划
级
变
更
安全设计与实施
局 部 调
整 安全运行维护
安全等级整改
安全整改设计
安全要求整改
等级符合性检查 应急预案及演练
安全等级测评 信息系统备案
信息系统终止
.
7
信息系统全生命周期分为“信息系统定级、总体安全规划、安全设计与 实施、安全运行维护、信息系统终止”等五个阶段。
• 调研访谈：温、湿度自动调节设施，专人负责； • 现场查看：温湿度控制设计/验收文档，温湿度记录、运行记录和维护记录。
• 调研访谈：部署稳压器和过电压防护设备，UPS和市电冗余； • 现场查看：电源设备的检查和维护记录，备用供电系统运行记录，市电切换记录。
• 调研访谈：安全接地，关键设备和磁介质实施电磁屏蔽；
查看资料（管理制度、安全策略）；
现场观察（物理环境、物理部署）；
查看配置（主机、网络、安全设备）；
技术测试（漏洞扫描）；
评价（安全测评、符合性评价）。
.
4
组合分析
4、对处理特定应用的信息系统（查阅定级指南，哪些应用系统定级） 作为定级对象的信息系统应具有如下基本特征： 具有唯一确定的安全责任单位。 作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某
建筑防雷、机房接地 灭火设备、自动报警 防水设备、防水应急预案或措施 关键设备和地板防静电
设备防雷 自动消防系统
上下水管 接地防干扰
扫描报告 基础培训PPT
风险与差距分析
体系规划与建立
控制风险分析
信息安全 愿景制定
管理体系
信息安全总体 框架设计
XX县中医医院等保测评项目比选采购文件【模板】
比选采购文件采购项目：XX县中医医院等保测评项目采购单位：XX县中医医院二。
一九年八月三十日第一部分比选采购邀请函因信息化建设需要,须按规定开展信息系统等保测评工作，XX市XX 县中医医院按照〃自主定级、自主保护〃的原则，将〃HIS系统〃自定为三级，现诚邀第三方专业机构开展三级等保测评、定级备案工作，预算金额为人民币8.5万元。
根据《四川省2018-2019年政府集中采购目录及采购限额标准》相关要求，我院本次实施的〃信息系统等保测评项目〃不在政府集中采购目录内，且项目预算金额低于限额标准，因此拟对该项目以比选方式（竞争性谈判）确认成交投标人，现诚邀各合格的潜在投标人参加。
一、采购项目：XX县中医医院等保测评项目二、投标人资质要求：1.具有独立法人资格2.营业执照、组织机构代码证、税务登记证资质证件（已经实行三证合一的企业，提供合并后的营业执照）有效且合法3有承担此项服务的技术能力和保证售后服务的能力4.在四川省信息安全等级保护工作领导小组办公室推荐测评机构名单内，具备《网络安全等级保护测评机构推荐证书》三、递交报价文件截止时间：2019年9月6日上午9时。
四、比选开标时间和地点：2019年9月6日上午9时，在XX市XX县中医医院门诊九楼。
联系人:王先生联系电话：********第二部分投标人需知一、比选采购报价报价应包括等保测评、定级备案、各种税金、保险费、利润等开展本项目所需的全部费用，投标人应充分考虑项目实施过程中可能发生的一切风险，无论报价过程中的做法和结果如何，投标人将自行承担所有与报价有关的全部费用。
二、报价文件的组成1.报价函2.法定人代表授权委托书（原件）3投标人资料证明文件（提供营业执照、组织机构代码证、税务登记证复印件；已经实行三证合一的企业，提供合并后的营业执照复印件）4.分项报价表5.售后服务承诺6.近三年（2016年至今主要类似业绩）投标人必须将报价文件打印，并将所有报价的书面材料装订成册提供正付本两套。
等保系列之——网络安全等级保护测评工作流程及工作内容
等保系列之——网络安全等级保护测评工作流程及工作内容一、网络安全等级保护测评过程概述网络安全等级保护测评工作过程包括四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动。
而测评相关方之间的沟通与洽谈应贯穿整个测评过程。
每一项活动有一定的工作任务。
如下表。
01基本工作流程①测评准备活动本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。
测评准备工作是否充分直接关系到后续工作能否顺利开展。
本活动的主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。
②方案编制活动本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。
本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。
③现场测评活动本活动是开展等级测评工作的核心活动。
本活动的主要任务是按照测评方案的总体要求，严格执行测评指导书测评指导书，分步实施所有测评项目，包括单元测评和整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。
④分析与报告编制活动本活动是给出等级测评工作结果的活动，是总结被测系统整体安全保护能力的综合评价活动。
本活动的主要任务是根据现场测评结果和《信息安全技术网络安全等级保护测评要求》GB/T28448-2023的有关要求，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。
02工作方法网络安全等级保护测评主要工作方法包括访谈、文档审查、配置检查、工具测试和实地察看。
访谈是指测评人员与被测系统有关人员（个人/群体）进行交流、讨论等活动，获取相关证据，了解有关信息。
访谈的对象是人员，访谈涉及的技术安全和管理安全测评的测评结果，要提供记录或录音。
14-等级保护测评项目实施过程讲解
人工访谈，配置检查，文档查看
现场测评-网络安全测评举例
例：ቤተ መጻሕፍቲ ባይዱ
“系统内有专门用于 审计的日志服务器” （人工访谈）
测评项内容：应对网络系统中 的网络设备运行状况、网络流 量、用户行为等进行日志记录 测评项内容：应对登录网络设 备的用户进行身份鉴别；
（配置检查） 测评项内容：具有层次网络结 构的单位可统一提供互联网出 口； 记录结论
15
测评须知-测评风险
验证测试可能影响系统正常运行！
工具测试可能影响系统正常运行！ 敏感信息可能泄露！
等级保护测评项目
16
方案编制
等级保护测评工作流程
测评准备
测 评 对 象 的 确 定 工 具 和 表 单 准 备 测 评 指 标 确 定 测 评 工 具 接 入 点 确 定 测 评 内 容 确 定 测 评 指 导 书 开 发 测 评 方 案 编 制
38
目录
测评须知 测评准备
方案编制
现场测评
分析与编制报告
39
分析与编制报告
工作内容
对前期测评工作成果进行分析，评论，
以及建议。
目标
正式输出：《等级保护测评报告》
40
等级保护测评报告-文档结构
在测评准备阶段，输出项目计划书
在方案编制阶段，输出测评方案 在现场测评阶段，根据测评内容，确定测评
4.使用的技术装备、设施应当符合《信息安全等级保护管理办法》
（公通字[2007]43号）对信息安全产品的要求。 5.具备相应的安全管理制度。 6.对国家安全、社会秩序、公共利益不构成威胁。
14
测评须知-执行主体义务
1.遵守国家有关法律法规和技术标准，提供安全、客观、
等保项目实施方案
等保项目实施方案1. 引言在当今信息化时代，信息安全问题日益引发人们的关注。
为此，本文将就等保项目的实施方案进行探讨，以确保组织的信息系统安全可靠。
2. 等保项目概述2.1 目标本项目旨在确保组织的信息系统满足国家等级保护要求，提高系统的安全性和稳定性，并建立一套完善的信息安全管理体系。
2.2 背景随着信息技术的迅猛发展，安全威胁呈现多样化、复杂化的趋势。
鉴于此，国家制定了等级保护制度，并要求各类关键信息基础设施单位进行等保认证，以提高信息系统的安全性。
3. 项目实施步骤3.1 筹备阶段3.1.1 项目启动成立项目团队，确定项目经理和项目组成员，并制定项目管理计划。
3.1.2 项目背景调研对组织的信息系统进行全面调研，分析系统的安全性问题和存在的风险。
3.1.3 现状评估根据调研结果，评估当前信息系统的安全水平，确定改进的重点和目标。
3.2 等保实施阶段3.2.1 安全需求规划根据等保要求，制定相应的安全需求规划，包括安全策略、安全目标和安全控制措施等。
3.2.2 安全架构设计基于安全需求规划，设计信息系统的安全架构，包括网络安全、主机安全、应用安全和数据安全等方面的设计。
3.2.3 安全控制措施实施根据安全架构设计，实施各项安全控制措施，包括访问控制、身份认证和加密等技术手段。
3.2.4 安全培训与意识提升开展相关的安全培训，提高员工的安全意识和技能水平，加强信息安全文化的建设。
3.2.5 安全测试与评估对信息系统进行全面的安全测试和评估，发现潜在的安全漏洞，并及时修复和改进。
3.3 项目总结与验收3.3.1 项目总结总结项目实施过程中的经验教训，形成项目总结报告，为后续的等保工作提供参考。
3.3.2 项目验收对等保项目进行验收，确保项目达到预期的安全目标和要求。
4. 项目资源与进度管理4.1 项目资源管理合理分配项目人力、物力和财力资源，确保项目的可持续发展。
4.2 项目进度管理制定详细的项目进度计划，并通过项目管理工具进行跟踪和控制，确保项目按时交付。
二级等保测评技术方案模板
二级等保测评技术方案模板一、项目概述。
1. 测评目标。
咱们这次要做二级等保测评的这个系统啊，就像是一个需要精心守护的宝藏。
这个系统对[客户名称]来说那可是相当重要的，它承担着[简单描述系统的主要功能，比如数据存储、业务运营之类的]的重任呢。
我们的目标就是通过测评，找出这个宝藏周围的安全防护漏洞，然后给它加固得严严实实的，让它能安全又可靠地运行。
2. 测评范围。
我们要测评的范围包括这个系统的硬件设备，像服务器啊、网络设备之类的，就像是宝藏的坚固外壳。
还有软件系统，包括操作系统、数据库系统以及各种应用程序，这就好比宝藏内部的各种机关设置。
当然啦，也不能少了管理方面的测评，就像是守护宝藏的规则和制度是否合理完善一样重要。
二、测评依据。
三、测评内容。
# （一）安全物理环境。
1. 机房位置选择。
先看看机房的位置，这就像选宝藏的藏匿地点一样重要。
机房不能在容易遭受自然灾害（比如洪水能轻松淹到的低洼地，或者地震活跃带上）或者人为破坏（像在治安不好的混乱街区）的地方。
要是机房位置选错了，那就像把宝藏放在大街上一样危险。
2. 物理访问控制。
机房的门可不能随便进啊。
要有严格的门禁系统，就像宝藏的大门要有结实的锁和严格的看守一样。
只有被授权的人，拿着专门的钥匙（门禁卡或者密码之类的）才能进去。
而且还要记录下谁什么时候进去了，就像给宝藏大门安装了一个小本本，记录每个来访者的踪迹。
# （二）安全通信网络。
1. 网络架构。
网络架构得合理啊，就像搭建一座坚固的桥梁一样。
各个网络区域之间要有明确的划分，像生产区、办公区的网络不能乱成一团。
而且网络要有冗余备份，就像桥要有备用的桥墩一样，万一哪根网线断了或者哪个网络设备出故障了，还能有其他的通路保证系统正常运行。
2. 通信传输。
在网络上传输的数据就像在驿站之间传递的密信一样，得保证安全。
数据传输要加密，不能让别人轻易偷看。
就好比密信要是不加密，路上随便一个小贼都能知道信里的内容了，那可不行。
等保测评培训资料ppt
据 和 备 份
全 管 理 制
全 管 理 机
员 安 全 管
统
统
建
运
设
维
管
管
恢
度
构
理
理
理
复
层
等级测评内容介绍
以S3A3G3为例：
/
身份鉴别
访问控制
主 机
安全审计
入侵防范
数
据
恶意代码防范
库
资源控制
等级测评内容介绍
以S3A3G3为例：
结构安全
访问控制
网 边界完整性检查
络
全
入侵防范
局
恶意代码防范
等级测评内容介绍
信息安全等级保护 课程培训
主讲：杜娜娜
Email：nndu@
政策标准
1、1994年国务院颁布147号令《中华人民共和国计算机信息系统安全保护条 例》中规定，计算机系统实行安全等级保护，由公安部具体实施。
2、中央办[2003]27号文明确指出“要重点保护基础信息网络和关系国家安全、 经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制 度，制定信息安全等级保护的管理办法和技术指南”。
自主定级、自主保护。 2、系统备案
二级以上系统办理备案（备案表）。 市级以上公安机关审核，10个工作日之内颁发信息系统安全保护备案证明。 3、安全建设 安全需求分析 总体安全设计 详细安全设计 安全实施实现 安全运行与维护 4、等级测评 三级系统每年至少进行一次等级测评，四级系统半年进行一次等级测评，五 级信息系统依据特殊安全需求进行等级测评； 5、监督检查 公安机关、国家保密工作部门、国家密码管理部门分别负责监督、检查和指导。
3、公通字[2004]66号文中再次强调“信息安全等级保护制度是国家在国民经 济和社会信息化建设健康发展的一项基本制度”。
信息安全等级保护测评技术规格书
信息安全等级保护测评技术规格书一、项目概述:随着网络安全法的正式施行, 网络安全等级保护工作上升为一项基本国策。
与此同时, 跟随网络安全法配套的各项规章条例以及标准规范也逐一落实, 2018年6月27日, 公安部发布《网络安全等级保护条例（征求意见稿）》（以下简称“《保护条例》”）。
作为《网络安全法》的重要配套法规, 《保护条例》对网络安全等级保护的适用范围、各监管部门的职责、网络运营者的安全保护义务以及网络安全等级保护建设提出了更加具体、操作性也更强的要求。
为此, 我公司提出了《信息系统信息安全测评项目》, 项目旨参照相关安全安全标准对我公司目前运行的信息系统开展安全测评, 确保其高效、稳定、安全地运行。
欢迎国内具有独立承担民事责任的企业, 具备相关资格（具备信息安全等级保护测评资质）条件的供应商参加。
二、项目实施范围:芜湖新兴铸管有限责任公司的信息安全等级保护测评服务项目, 等保测评级别按国家对我公司信息安全等级保护工作的相关法律和技术标准要求执行。
定级系统: （二级）①公司OA办公系统；②物流系统；③采购系统；④质量中心系统；⑤炼铁部-工业网络系统；⑥铸管部-工业网络系统；工作范围包括我公司的等保检测定级、公安系统备案、建设整改、测评报告等工作, 完成国家相关部门对我公司的信息安全要求。
项目实施内容:1.安全检查（1）信息安全现状问题检查, 包括信息安全管理、信息安全技术、信息安全运维等各方面问题分析；（2）信息安全存在的主要问题及风险, 包括信息安全管理、信息安全技术、信息安全运维等各方面存在的问题及期潜在风险；（3）信息安全问题改进建议, 包括信息安全管理、信息安全技术、信息安全运维等各方面整改建议、具体实施方案以及改进期望值。
2.信息安全等级保护检测根据国家对信息安全等级保护工作的相关法律和技术标准要求, 结合本项目的系统保护等级开展实施与之相应的检查工作, 具体检查内容应包括：对信息系统进行等级保护差距测评, 测评内容包括物理安全、网络安全、主机安全、应用安全、数据安全及备份、安全管理。
信息系统等级保护测评项目项目计划书
信息系统等级保护测评项目项目计划书信息系统等级保护测评项目旨在对公司的信息系统进行评估，以确保系统安全等级与要求相符合，从而保障公司信息安全。
本项目计划书旨在详细介绍项目的目标、范围、时间表、资源需求以及其他相关信息。
项目目标：1. 确保公司信息系统的安全等级达到国家标准要求。
2. 识别并解决系统可能存在的安全漏洞或风险。
3. 为公司提供安全管理建议，提高信息安全水平。
项目范围：本项目将对公司所有的信息系统进行等级保护测评，包括但不限于网络安全、数据安全、应用系统安全等方面。
项目时间表：本项目计划在接下来的三个月内完成，具体时间安排如下：- 月份一：准备阶段，包括制定测评计划、确定测评方法和工具等。
- 月份二：执行阶段，对公司信息系统进行全面的测评和评估。
- 月份三：分析阶段，根据测评结果对系统风险进行分析，并提出安全管理建议。
资源需求：为确保项目顺利实施，我们需要以下资源支持：- 项目经理：负责项目的整体规划和管理。
- 测评专家：负责具体的系统测评和评估工作。
- 技术支持人员：负责提供技术支持和协助测评工作。
- 测评工具：包括必要的软件工具和硬件设备。
风险管理：在项目实施过程中，可能会面临一些潜在的风险，例如系统不兼容、数据丢失等。
我们将在项目计划中明确风险，并采取相应的措施进行应对。
项目成果：- 信息系统等级保护测评报告：详细描述系统的安全等级评估结果和存在的风险。
- 安全管理建议：针对系统存在的问题提出合理的安全管理建议，帮助公司提高信息安全水平。
结语：信息系统等级保护测评项目是公司信息安全保障的重要环节，我们将严格按照项目计划和目标，确保项目顺利实施并取得预期成果。
经过系统等级保护测评项目的全面实施和评估，公司将获得更加全面、深入的信息安全状态认知，并可以根据测评报告提出的建议，有针对性地加强信息安全管理，提升信息安全水平。
以下是本项目计划书的继续内容。
项目实施方法：在项目实施过程中，我们将采用一系列科学、可靠的测评方法和工具，确保测评结果的准确性和客观性。
等级保护测评实施指导书
等级保护测评实施指导书1.测评准备阶段1.1项目启动1）项目经理负责与被测单位进行沟通。
向被测单位了解被测信息系统基本情况，包括测评范围、系统需要达到的等级、具体测评内容的调整情况，以及其他有关信息系统的情况，明确测评需求和测评范围；项目经理介绍测评工作流程及实施测评工作，并告知被测单位提前做好准备工作。
与被测单位就具体的测评合同和保密协议内容进行洽商。
协助客户主管与被测单位签署测评合同和保密协议。
2）双方签署测评合同和保密协议后，被测单位提交相关材料和附件，项目经理负责对提交的文档进行完整性审查，审核文档是否满足实施测评工作的要求。
如果文档不够详细完备，则与被测单位沟通，要求被测单位进一步完善文档材料。
1.2信息收集和分析1）项目经理协助客户填写（LD-CS-29《信息系统基本情况调查表》）。
2）项目经理收回填写完成的调查表格，各测评项目小组分析调查结果，了解和熟悉被测系统的实际情况。
分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。
这些信息可以重用自查或上次等级测评报告中的可信结果。
3）如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。
1.3工具和表单准备测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。
1）测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。
2）测评人员模拟被测系统搭建测评环境。
3）准备和打印表单，主要包括：测评流程单（LD-CS-18《测评流程单》）、文档交接单（LD-CS-19《接收/归还样品清单》）、会议记录表单（LD-GL-09《会议记录》）、会议签到表单（LD-GL-10《会议签到表》）等。