网络安全等级保护测评工作流程及工作内容

一、网络安全等级保护测评过程概述

　　网络安全等级保护测评工作过程包括四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动。而测评相关方之间的沟通与洽谈应贯穿整个测评过程。每一项活动有一定的工作任务。如下表。

　　01、基本工作流程

　　① 测评准备活动

　　本活动是开展等级测评工作的前提和基础，是整个等级测评过程有效性的保证。测评准备工作是否充分直接关系到后续工作能否顺利开展。本活动的主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。

　　② 方案编制活动

　　本活动是开展等级测评工作的关键活动，为现场测评提供基本的文档和指导方案。本活动的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等，并根据需要重用或开发测评指导书测评指导书，形成测评方案。

　　③ 现场测评活动

　　本活动是开展等级测评工作的核心活动。本活动的主要任务是按照测评方案的总体要求，严格执行测评指导书测评指导书，分步实施所有测评项目，包括单元测评和整体测评两个方面，以了解系统的真实保护情况，获取足够证据，发现系统存在的安全问题。

　　④ 分析与报告编制活动

　　本活动是给出等级测评工作结果的活动，是被测系统整体安全保护能力的综合评价活动。本活动的主要任务是根据现场测评结果和《信息安全技术网络安全等级保护测评要求》GB/T28448-2019的有关要求，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出整个系统的安全保护现状与相应等级的保护要求之间的差距，并分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告文本。

　　二、测评委托单位需要配合的工作

　　测评准备阶段：

　　①被测方成立项目组，并任命项目经理;

　　②向测评机构介绍本单位的信息化建设状况与发展情况;

　　③准备测评机构需要的资料，比如系统定级报告、备案表、自查或上次测评报告、联系方式等;

　　④为测评人员的信息收集提供支持和协调;

　　⑤准确填写信息系统基本信息调查表;

　　⑥根据被测系统的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议;

　　方案编制阶段：

　　①为测评机构完成测评方案提供有关信息和资料;

　　②评审和确认测评方案文本。

　　现场测评阶段：

　　①此阶段工作测评方人员需要在客户现场完成。需要被测方提供办公位(基本的办公环境)。

　　②备案单位需要机房管理员、网络管理员、安全主管、系统管理员、系统开发人员、运维人员等进行配合。

　　③测评前备份系统和数据，并确认被测设备状态完好;

　　④协调被测系统内部相关人员的关系，配合测评工作的开展;

　　⑤相关人员回答测评人员的问询，对某些需要验证的内容上机进行操作;

　　⑥相关人员确认测试前协助测评人员实施工具测试并提供有效建议，降低安全测评对系统运行的影响;

　　⑦相关人员对测评结果进行确认;

　　⑧相关人员确认工具测试后被测设备的状态完好。

　　报告编制阶段：

　　①签收测评报告;

　　②向公安机关递交测评报告。