等级测评实施方案(三级)-z1117.pdfVIP

v1.0 可编辑可修改 1 测评方案 1.1 测评流程 依据《 GBT 28448-2012信息安全技术 信息系统安全等级保护测评要求》， 我们以 《信息安全技术 信息系统安全等级保护测评过程指南》 （GBT28449-2012 ） 为测评输入，采取相应的（包括：访谈、检查、测试）测评方法，按照相应的测 评规程对测评对象（包括：制度文档、各类设备、安全配置、相关人员）进行相 应力度（包括：广度、深度）的单元测评、整体测评，对测评发现的风险项进行 分析评估，提出合理化整改建议，最终得到相应的信息系统等级测评报告。 信息系统等级测评工作共分为四项活动，即测评准备活动、方案编制活动、 现场测评活动、结果分析与报告编制活动，基本工作流程图如下： 00 v1.0 可编辑可修改 图表 1 等级测评工作流程图 11 v1.0 可编辑可修改 1.2 测评力度 信息系统安全保护等级 测评力度 二级系统 三级系统 测评对象在种类和数量上抽样， 种类 测评对象在数量上抽样，在种类上基本覆 广度 访 和数量都较多 盖 谈 深度 充分 较全面 测评对象在种类和数量上抽样， 种类 测评对象在数量上抽样，在种类上基本覆 广度 检 和数量都较多 盖 查 深度 充分 较全面 测评对象在种类和数量、范围上抽 测评对象在数量和范围上抽样，在种类上 广度 测 样，种类和数量都较多，范围大 基本覆盖 试 深度 功能测试 / 性能测试 功能测试 / 性能测试，渗透测试 1.3 测评对象 我们一般的测评对象包括：整体对象，如机房、办公环境、网络等，也包括 具体对象，如网关设备、网络设备、服务器设备、工作站、操作系统、数据库和 应用系统等。 但此次测评为云环境下的测评， 由于机房和网络环境的安全责任不 归属该单位， 故此次测评对象为： 主机、应用系统和安全管理制度三个层面相关 的对象。 在具体测评对象选择工作过程中，遵循以下原则： 完整性原则，选择的设备、措施等应能满足相应等级的测评力度要求； 重要性原则，应抽查重要的服务器、数据库和网络设备等； 安全性原则，应抽查对外暴露的网络边界； 共享性原则，应抽查共享设备和数据交换平台 / 设备；