1 范圍

      本標準規范了網絡安全等級保護測評（以下簡稱“等級測評”）的工作過程，規定了測評活動及其工作任務。

      本標準適用于測評機構、定級對象的主管部門及運營使用單位開展網絡安全等級保護測試評價工作。

2 規范性引用文件

      下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計算機信息系統安全保護等級劃分準則

      GB/T 22239 信息安全技術 信息系統安全等級保護基本要求

      GB/T 25069 信息安全技術 術語

      GB/T 28448 信息安全技術 信息系統安全等級保護測評要求

3 術語和定義

      GB 17859、GB/T 22239、GB/T 25069和GB/T 28448界定的術語和定義適用于本文件。

4 等級測評概述

4.1 等級測評過程概述

      本標準中的測評工作過程及任務基于受委托測評機構對定級對象的初次等級測評給出。運營、使用單位的自查或受委托測評機構已經實施過一次以上等級測評的，測評機構和測評人員根據實際情況調整部分工作任務（見附錄A）。開展等級測評的測評機構應嚴格按照附錄B中給出的等級測評工作要求開展相關工作。

      等級測評過程包括四個基本測評活動：測評準備活動、方案編制活動、現場測評活動、報告編制活動。而測評相關方之間的溝通與洽談應貫穿整個等級測評過程。每一測評活動有一組確定的工作任務。具體如表1所示。

表1 等級測評過程

表1（續）

      本標準對其中每項活動均給出相應的工作流程、主要任務、輸出文檔及活動中相關方的職責的規定，每項工作任務均有相應的輸入、任務描述和輸出產品。

4.2 等級測評風險

4.2.1 影響系統正常運行的風險

      在現場測評時，需要對設備和系統進行一定的驗證測試工作，部分測試內容需要上機驗證并查看一些信息，這就可能對系統運行造成一定的影響，甚至存在誤操作的可能。

      此外，使用測試工具進行漏洞掃描測試、性能測試及滲透測試等，可能會對網絡和系統的負載造成一定的影響，滲透性攻擊測試還可能影響到服務器和系統正常運行，如出現重啟、服務中斷、滲透過程中植入的代碼未完全清理等現象。

4.2.2 敏感信息泄露風險

      測評人員有意或無意泄漏被測系統狀態信息，如網絡拓撲、IP地址、業務流程、業務數據、安全機制、安全隱患和有關文檔信息等。

4.2.3 木馬植入風險

      測評人員在滲透測試完成后，有意或無意將滲透測試過程中用到的測試工具未清理或清理不徹底，或者測試電腦中帶有木馬程序，帶來在被測評系統中植入木馬的風險。

4.3 等級測評風險規避

      在等級測評過程中可以通過采取以下措施規避風險：

      a）簽署委托測評協議

      在測評工作正式開始之前，測評方和被測評單位需要以委托協議的方式明確測評工作的目標、范圍、人員組成、計劃安排、執行步驟和要求以及雙方的責任和義務等，使得測評雙方對測評過程中的基本問題達成共識。

      b）簽署保密協議

      測評相關方應簽署合乎法律規范的保密協議，以約束測評相關方現在及將來的行為。保密協議規定了測評相關方保密方面的權利與義務。測評過程中獲取的相關系統數據信息及測評工作的成果屬被測評單位所有，測評方對其的引用與公開應得到相關單位的授權，否則相關單位將按照保密協議的要求追究測評單位的法律責任。

      c）現場測評工作風險的規避

      現場測評之前，測評機構應與相關單位簽署現場測評授權書，要求相關方對系統及數據進行備份，并對可能出現的事件制定應急處理方案。

      進行驗證測試和工具測試時，避開業務高峰期，在系統資源處于空閑狀態時進行，或配置與生產環境一致的模擬/仿真環境，在模擬/仿真環境下開展漏洞掃描等測試工作；上機驗證測試由測評人員提出需要驗證的內容，系統運營、使用單位的技術人員進行實際操作。整個現場測評過程要求系統運營、使用單位全程監督。

      d）測評現場還原

      測評工作完成后，測評人員應將測評過程中獲取的所有特權交回，把測評過程中借閱的相關資料文檔歸還，并將測評環境恢復至測評前狀態。

5 測評準備活動

5.1 測評準備活動工作流程

      測評準備活動的目標是順利啟動測評項目，收集定級對象相關資料，準備測評所需資料，為編制測評方案打下良好的基礎。

      測評準備活動包括工作啟動、信息收集和分析、工具和表單準備三項主要任務。這三項任務的基本工作流程見圖1。

圖1 測評準備活動的基本工作流程

以上為標準部分內容，如需看標準全文，請到相關授權網站購買標準正版。