信息系统安全测评教程
信息安全等级保护测评指南
信息安全等级保护测评指南信息安全等级保护测评是指对信息系统安全等级保护的实施情况进行评估和测试的过程，旨在评估信息系统的安全保护能力，检测信息系统存在的安全隐患，并提出相应的整改建议。
下面是一个信息安全等级保护测评指南，以帮助组织进行有效的测评。
一、测评准备1.明确测评目标和范围：确定测评的具体目标，包括测评的等级保护要求和测评的范围，确保测评的准确性和全面性。
2.组织测评团队：确定测评团队的成员和职责，包括测评组长、技术专家、安全管理人员等，确保测评工作的有效开展。
3.准备测评工具和方法：选择合适的测评工具和方法，包括测评软件、网络扫描工具、物理安全检测设备等，确保测评的可靠性和准确性。
二、测评步骤1.收集信息：收集和了解被测评系统的相关信息，包括系统架构、网络拓扑、数据流程等，以便进行后续的测评工作。
2.风险评估：对系统可能面临的安全风险进行评估和分类，包括内部威胁、外部攻击等，以确定测评的重点和方向。
3.安全策略评估：评估被测评系统的安全策略和安全控制措施的有效性和合规性，包括访问控制、身份认证、加密算法等。
4.物理安全测评：对被测评系统的物理环境进行检测和评估，包括机房的物理访问控制、机柜安装的安全性等，以保证系统的物理安全。
5.网络安全测评：对被测评系统的网络环境进行检测和评估，包括网络设备的配置、网络服务的安全性等，以保证系统的网络安全。
6.系统安全测评：对被测评系统的操作系统和应用软件进行检测和评估，包括漏洞扫描、系统配置审计等，使用合适的工具和方法进行。
7.数据安全测评：对被测评系统的数据存储和传输进行检测和评估，包括数据备份和恢复、数据加密等，以保证系统的数据安全。
8.报告编写：根据测评的结果和发现，编写详细的测评报告，包括测评的过程、发现的问题、风险评估和整改建议等，以提供给被测评方参考。
三、测评注意事项1.保护被测评系统的安全：在进行测评的过程中，要确保不会对被测评系统造成破坏或干扰，要尽可能减少对正常业务的影响。
信息安全等级评估的方法和流程
信息安全等级评估的方法和流程信息安全等级评估的方法和流程信息安全等级评估是衡量一个组织信息安全状况的重要过程。
以下是信息安全等级评估的方法和流程：1.确定测评对象首先，需要确定要评估的信息系统或应用，以及相关的信息安全等级。
这可以包括关键业务系统、网络基础设施、云服务、工业控制系统等。
2.选取测评指标根据所选的测评对象，选取相应的测评指标。
这些指标应该能够全面衡量信息系统的安全性，包括保密性、完整性、可用性、可靠性、安全性、合规性和技术安全性等方面。
3.选取测评方法根据所选的测评指标，选取相应的测评方法。
这些方法应该能够客观、公正地评估信息系统的安全性。
例如，可以采用漏洞扫描、渗透测试、安全审计、代码审查等方法。
4.执行测评按照所选的测评方法和指标，对信息系统进行安全测评。
在测评过程中，需要详细记录所有的测试结果和数据，以便后续分析。
5.分析测评结果根据测评结果和数据，对信息系统的安全性进行分析。
这可以包括漏洞分析、威胁分析、风险分析等。
根据分析结果，得出信息安全等级评估的结论。
6.提出改进建议根据分析结果，提出相应的改进建议。
这些建议应该针对信息系统中存在的安全问题，提出可行的解决方案和改进措施。
7.提交测评报告将测评结果和分析结论整理成报告，提交给相关领导和部门。
报告中应该包括信息安全等级评估的结果、改进建议和实施计划等内容。
以上是信息安全等级评估的基本流程和方法。
在实际操作中，可以根据具体情况进行适当的调整和改进。
同时，需要定期进行信息安全等级评估，以便及时发现和解决信息安全问题。
信息系统等级保护测评流程 三级标准
信息系统等级保护测评流程三级标准信息系统等级保护测评流程三级标准1.前言信息系统等级保护测评是评估和验证信息系统在保密性、完整性和可用性方面的安全性能的过程。
在信息时代，保护信息系统的安全性至关重要，可以确保敏感数据的机密性不被泄露、系统的完整性不被破坏，并保证系统的可用性，以满足用户需求。
信息系统等级保护测评流程为信息系统提供了一套科学的、可验证的安全性评估方法和标准。
2.测评流程概览信息系统等级保护测评流程一般包括准备阶段、测评准备、测评实施、测评结果报告及总结几个重要阶段。
其中，测评准备阶段主要是对信息系统进行准备工作，包括确定测评目标、组织人力资源、编制测评计划和设计测评方案等；测评实施阶段则是根据测评方案开展具体的测评活动，包括脆弱性扫描、渗透测试、安全隐患检查等；测评结果报告及总结阶段是对测评结果进行总结和报告，以供决策者参考。
3.三级标准详解在信息系统等级保护测评流程中，三级标准是对信息系统进行评估的基准。
三级标准包括C、B、A三个等级，分别代表了不同的安全性能要求，其中A级要求最高，C级要求最低。
三级标准主要从保密性、完整性和可用性等方面对信息系统进行评估。
3.1 保密性要求保密性是信息系统安全的核心要求之一。
在信息系统等级保护测评中，保密性要求主要是评估信息系统对敏感信息的保护程度。
三级标准中，C级要求信息系统具备基本的敏感信息保护措施，比如访问控制、身份认证等；B级要求信息系统具备中等程度的敏感信息保护措施，比如权限管理、加密传输等；A级要求信息系统具备最高级别的敏感信息保护措施，比如细分权限管理、数据加密等。
3.2 完整性要求完整性是指信息系统数据的完整性和准确性。
在信息系统等级保护测评中，完整性要求主要是评估信息系统数据在传输和存储过程中是否被篡改或丢失。
C级要求信息系统具备基本的完整性保护措施，比如数据备份、日志记录等；B级要求信息系统具备中等程度的完整性保护措施，比如数据验证、完整性校验等；A级要求信息系统具备最高级别的完整性保护措施，比如数字签名、数据完整性检查等。
信息系统安全等级保护定级备案测评流程图
信息系统安全等级保护法规与依据在信息系统安全等级保护定级备案、信息系统安全等级保护测评等方面测评依据如下：1、《中华人民国计算机信息系统安全保护条例》（国务院147号令）2、《信息安全等级保护管理办法》（公通字[2007]43号）3、GB/T 17859-1999《计算机信息系统安全保护等级划分准则》4、GB/T 20274《信息安全技术信息系统安全保障评估框架》5、GB/T 22081-2008《信息技术安全技术信息安全管理实用规则》6、GB/T 20271-2006《信息系统通用安全技术要求》7、GB/T 18336-2008《信息技术安全技术信息技术安全性评估准则》8、GB 17859-1999《计算机信息系统安全保护等级划分准则》9、GB/T 22239-2008《信息安全技术信息系统安全等级保护基本要求》10、GB/T 22240-2008《信息安全技术信息系统安全等级保护定级指南》11、《信息安全技术信息系统安全等级保护测评要求》12、《信息安全技术信息系统安全等级保护实施指南》13、《信息安全等级保护管理办法》信息系统安全等级保护定级备案流程1、定级原理信息系统安全保护等级根据等级保护相关管理文件，信息系统的安全保护等级分为以下五级：第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
信息系统安全保护等级的定级要素信息系统的安全保护等级由两个定级要素决定：等级保护对象受到破坏时所侵害的客体和对客体造成侵害的程度。
信息系统安全等级保护评测
信息系统安全等级保护评测随着信息化的快速发展，信息系统在各个领域的应用越来越广泛。
然而，随之而来的安全问题也日益凸显。
为了有效保障信息系统的安全性，我国引入了信息系统安全等级保护评测制度，对各类信息系统进行评估和分级管理，以确保信息系统的安全性。
信息系统安全等级保护评测是指对信息系统的安全性进行全面评估的一种方法。
通过对信息系统的安全性进行评估，可以了解其存在的安全风险和漏洞，并提供相应的安全防护措施。
评测的过程主要包括需求分析、安全分析、评估测试和报告编写等步骤。
需求分析是信息系统安全等级保护评测的第一步。
在这一步骤中，评测人员需要与信息系统的使用者进行充分的沟通，了解系统的功能需求、安全需求和业务特点，明确评测的目标和范围。
通过需求分析，评测人员能够充分了解信息系统的特点，为后续的评测工作提供基础。
安全分析是信息系统安全等级保护评测的核心环节。
在这一步骤中，评测人员需要对信息系统的各个组成部分进行深入的安全分析，包括系统的网络架构、软硬件配置和访问控制等方面。
通过安全分析，评测人员可以发现系统中的安全漏洞和威胁，并提供相应的安全建议。
评估测试是信息系统安全等级保护评测的重要环节。
在这一步骤中，评测人员会对信息系统进行全面的测试，包括渗透测试、漏洞扫描和安全性能测试等。
通过评估测试，评测人员可以验证系统的安全性，并进一步完善系统的安全防护措施。
评测报告的编写是信息系统安全等级保护评测的最终成果。
评测人员会将评测的结果和建议整理成报告，向信息系统的使用者提供详细的评估结果和改进方案。
评测报告是信息系统安全等级保护评测的最终成果，对于信息系统的使用者来说具有重要的参考价值。
信息系统安全等级保护评测的重要性不言而喻。
通过评测，可以发现和解决信息系统中存在的安全问题，提高信息系统的安全性和可靠性。
同时，评测结果也可以作为信息系统采购和使用的参考依据，帮助用户选择更加安全可靠的信息系统产品。
在信息系统安全等级保护评测的过程中，还需要遵循一些基本原则。
信息系统安全等级测评
形式化审查补充材料通知单补充材料通知单通过通过不通过不通过审核
受理委托
确定测评范围
填写核算测评收费核算单
缴纳测评费用签订测评保密协议信息系统测评部受理通知单信息系统测评部受理通知单申请结构测评机构
测评机构符合符合不符合不符合同测评机构同测评机构申
请
流
程
协调会议填写《用户资料使用登记表》制定实施方案、计划
内部测评准备
测评前准备工作填写信息系统基本信息调查表填写信息系统基本信息调查表申请结构测评机构
测评机构成立项目组
编写《信息系统调查报告》
测
评
准
备
确认
《信息系统运行情况验证记录》申请结构
测评机构
测评机构形成信息系统测试核查报告
《安全测评报告接受单》接收申请结构测评机构
出具《信息系统安全等级测评报告》
协调会议形成《信息系统安全等级测评报告》初稿确认项目结束测
评
结
果
评
价
交付各地
公安机关进行登记备案申请结构测评机构测评中心备案归档
等级测评报告备案备案
人员录用人员离开人员考核安全意识教育和培训外部人员访问管理
•人员安全测评是针对于人员录用、人员离开、人员考核、安全意识教育和培训、外部人员访问管理测评，主要通过现场访谈与检查实现。
•测评对象包括：安全主管，人员录用负责人员、人员录用要求管理文档、人员审查文档或记录、考核文档或记录、保密协议、岗位安全协议、审查记录、人员离岗管理文档、关键岗位人员保密承诺文档等。
《信息系统安全等级保护等保测评安全管理测评》PPT
1序、号 背景知安全识关注点
1 人员录用
一级 2
二级 3+
三级 4+
四级 4
2 人员离岗
2
3
3+
3+
3 人员考核
0
1
3
4
4 安全意识教育和培训
2
3+
4
4
5 外部人员访问管理
1
1
2
3
合计
7
11
16
18
1、背景知识
• 系统建设管理是指加强系统建设过程的管理。 制定系统建设相关的管理制度，明确系统定级 备案、方案设计、产品采购使用、软件开发、 工程实施、验收交付、等级测评、安全服务等 内容的管理责任部门、具体管理内容和控制方 法，并按照管理制度落实各项管理措施
1、背景知识
序号 1 2 3
4
5
安全关注点 岗位设置 人员配备 授权和审批
沟通和合作
审核和检查 合计
一级 1 1 1
1
0 4
二级 2 2 2
2
1 9
三级 4 3 4
5
4 20
四级 4 3 4
5
4 20
1、背景知识
• 安全管理制度是指确定安全管理策略，制定安 全管理制度。确定安全管理目标和安全策略， 针对信息系统的各类管理活动，制定人员安全 管理制度、系统建设管理制度、系统运维管理 制度、定期检查制度等，规范安全管理人员或 操作人员的操作规程等，形成安全管理体系
3、评测方法和流程
测评方式-访谈-访谈对象
安全主管 系统建设负责人 人事负责人 系统运维负责人 物理安全负责人 系统管理员、网络管理员、安全管理员、机房值班人员、资产管理员等
第4章-信息系统安全测评方法[124页]
![第4章-信息系统安全测评方法[124页]](https://img.taocdn.com/s3/m/7eba3b34561252d380eb6eb7.png)
4.1.2 测评方法
1．访谈
访谈是指测评人员通过引导信息系统相关人 员进行有目的（有针对性）的交流，以帮助
测评人员理解、澄清或取得证据的过程。
访谈对象
访谈的对象是被查信息系统的工作人员，典型的包括系 统三员，即
在管理层面上，主要是对终端、服务器等各类主机对 应的相关文档进行检查，对信息系统的相关管理制度、 文档、记录进行有无及规范性检查。一般包括：管理职 责、安全管理规章制度、安全知识、安全记录、安全报 告等相关安全文件。
3．测试
测试是指测评人员使用预定的方法或工具使测评 对象（各类设备或安全配置）产生特定的结果， 将运行结果与预期结果进行对比的过程。
测评准备活动：
测评准备活动是开展等级测评是掌握被测系统的详细情况， 为实施测评做好文档及测试工具等方面的准备。
具体包括项目启动、信息收集与分析、工具和表 单准备三个过程。
方案编制活动：
主要是整理测评准备活动中获取的信息系统 相关资料，为现场测评活动提供最基本的文 档和指导方案。 主要包括确定测评对象、确定测评指标、确 定测试工具接入点、确定测试内容、测评实 施手册开发、测评方案制定。
在确定测评对象时，需遵循以下要求和方法：
① 恰当性，选择的设备、软件系统等应能满足相应等级的测评 强度要求；
② 重要性，应抽查对被测系统来说重要的服务器、数据库和网 络设备等；
③ 安全性，应抽查对外暴露的网络边界；
④ 共享性，应抽查共享设备和数据交换平台/设备； ⑤ 代表性，抽查应尽量覆盖系统各种设备类型、操作系统类型、 数据库系统类型和应用系统类型。
4.2 测评对象及内容
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
1.2 相关概念
1.2.3信息系统安全保障
1、信息安全保障技术框架
1.2 相关概念
2、信息系统安全保障模型 信息系统安全保障定义为：在 信息系统的整个生命周期中， 从技术、管理、工程和人员等 方面提出安全保障要求，确保 信息系统的保密性、完整性和 可用性，降低安全风险到可接 受的程度，从而保障 系统实现 组织机构的使命。
第一章
信息系统安全测评概述
主要内容
1.1 信息系统安全发展历程 1.2相关概念 1.3 信息系统安全测评作用 1.4 信息安全标准组织 1.5 国外重要信息安全测评标准 1.6 我国信息安全测评标准 1.7 信息系统安全等级保护工作 1.8 信息系统安全测评的理论问题
1.1 信息安全发展历程
阶段
21世纪
涉及计算机、网络、云环境、工控系统等 多层次多维度安全问题，具有整体性；安 全问题的动态性和高复杂性；安全问题具 有共通性、国际化的趋势。
我国GB/T 18336-2001《信息技术安 全性评估准则》及等级保护系列标准
1.2 相关概念
1.2.1信息系统安全
1、信息系统：信息系统不仅仅描述的是计算机软硬 件，网络和通信设备，更是人和管理制度等的综合。
1.4 信息安全标准组织
2、ISO/IEC JTC1 SC27
国际电工委员会IEC（International Electrotechnical Commission） 该组 织成立于1906年。 在ISO/IEC JTC1 SC27是联合技术委员会下专门从事信息安全标准化的 分技术委员会，其前身是数据加密分技术委员会（SC20）。主要从 事信息技术安全的一般方法和技术的标准化工作，是信息安全领域 中最具代表性的国际标准化组织。 SC27下设信息安全管理体系工作组WG1、密码与安全机制工作组 WG2、安全评估准则工作组WG3、安全控制与服务工作组WG4和身 份管理与隐私技术工作组WG5。 ISO/IEC 15408《信息技术 信息安全-IT安全的评估准则》就是该联合 技术委员会制定的。
1.3 信息系统安全测评作用
1、信息安全测评是信息安全保障工作方法的重要组成 2、信息安全测评是保障信息安全的首道防线 3、信息安全测评对信息安全建设起到规范性作用 4、信息系统安全测评是实现风险管理的重要手段
风险评估和安全测评的不同
风险评估 安全测评
生命周期中阶段不同 贯穿于整个信息系统安全工 程生命周期
2、信息安全：信息的机密性、完整性、可用性、可控 性、抗抵赖。 3、信息系统安全：广义的信息系统安全是从技术和 管理两个方面能够保证信息及其所处环境的安全。
1.2 相关概念
1.2.2信息系统安全管理
1.信息安全管理概念 信息系统安全管理是指为了实现信息系统的安全目标，对信 息系统的资产进行计划、组织、指挥、协调和控制的一系列 活动。信息系统安全管理的被管对象是系统的资产，包括人 员、软件、硬件、信息等。同时包括信息安全目标、信息系 统安全组织架构和信息系统安全策略规则等
1.3 信息系统安全测评作用
信息系统安全测评，是一种合规性检测和评估活动， 主要针对信息系统中可能存在的技术、管理等安全隐患， 逐项对照标准进行一一检测，并根据检测结果，分析评估 出该系统的安全状况。 根据其薄弱环节和潜在威胁等提出加固及整改建议， 其测评对象是信息系统，其测评目的是为了防范并降低系 统安全风险，测评的依据是测评标准。
通信保密 计算机安全 网络安全
时间
20世纪40-70年 代 20世纪70-80年 代 20世纪90年代
主要特征
以解决数据的安全传输，强调信息的机密 性、完整性、可用性 强调基于访问控制策略的安全操作系统安 全 主要威胁来自于网络入侵破坏等，主要采 用防火墙、入侵检测、防病毒、漏洞扫描 等工具来防范和保证信息安全
从信息系统建设完毕到废弃 之间
目的不同 为了发现系统中存在的风险，从而给出 信息系统安全建设的相关建议；
检验已建设完成的系统中的残余风险是 否符合相关标准要求，为系统准入提供 依据。
1.4 信息安全标准组织
1、国际标准化组织ISO
ISO成立于1947年，是最大的非政府性标准化专门机构，其成员由来自 世界上100多个国家标准化团体组成。 ISO通过下设的技术委员会TC（Technology Committee）,分技术委员会SC （Sub Committee）,工作组WG（Working Group）和特别工作组来开展活 动。 与信息安全测评相关的重要标准有：ISO/IEC 15408《信息技术 信息安全 -IT安全的评估准则》
1.4 信息安全标准组织
3、美国国家标准协会ANSI
美国国家标准学会（American National Standards Institute，简称 ANSI）成立于1918年，ANSI实际上已成为美国国家标准化中心。 ANSI的技术委员会美国国家信息科技标准委员会负责信息技术。 分技术委员会T4专门负责IT 安全技术标准化工作，对口JTC1的 SC27。
信息安全测评标准发展
无 《可信计算机系统评估准则》TCSEC 出现 《信息技术安全评估准则》ITSEC
信息安全保障
20世纪90年代末 强调风险管理，技术和管理并重
《可信计算机系统评估准则》（CC） 《信息安全管理实施细则》BS7799 GB/T17859 《计算机信息系统安全防护等级划分 准则》
网络空间安全
1.2 相关概念
2、信息系统安全管理基本方法 信息安全管理基本方法有风险管 理和过程方法两种。在风险管理 中，风险评估是信息安全管理的 基础，风险处理是信息系统安全 管理的核心，控制措施是管理风 险的具体手段。
1.2 相关概念3、信息源自统安全管理实施1）信息安全管理体系 信息安全管理体系（ISMS）是一种常见的全面、系统的信息安 全管理方法。 2）信息安全等级保护 根据《计算机信息系统安全保护等级划分规则》，计算机系统 安全保护能力分为五个等级，分别是：第一级：用户自主保护 级；第二级：系统审计保护级；第三级：安全标记保护级；第 四级：结构化保护级；第五级：访问验证保护级。