等保测评概念.docx

文档介绍：: .
等保测评
测评基本内容
对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全: .
等保测评
测评基本内容
对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测
评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系
统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安
全测评的基础。
对安全控制测评的描述，使用测评单元方式组织。测评单元分为安全技术测评和安全
管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和
数据安全等五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。具体见下图：
信息系统等级保护测评
安全控制测评
安全技术驯评一■「安相管理测评
物理宴全］安全管理机构
网络安全1安全管理制度
主机安全1人员安全管理
应月安全］系统建设管理
数据安全〕系统运维管理
测评过程
等级测评过程分为四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、
分析及报告编制活动。而测评双方之间的沟通与洽谈应贯穿整个等级测评过程。
测评方法
编P
测试方法
测试方法说明
1
人员访谈
与被测信息系统相关管理人员进行交流、讨论等活动，获取相关证据，了解相关信息。
2
文档审查
检查被测信息系统是否具有GB/T22239-2008中规定的的制
度、策略、操作规程等文档，检查是否有完整的制度执行情况记录。对上述文档进行审核与分析，检查他们的完整性和这些文件之间的内部一致性
3
配置核查
根据测评结果记录表格内容，利用上机验证的方式检查应用系统、主机系统、数据库系统以及网络设备的配置是否止确，是否与文档、相关设备和部件保持一致，对文档审核的内容进行核实。如果系统在输入无效命令时不能完成其功能，将要对其进行错误测试，针对网络连接，应对连接规则进行验证。
4
工具测试
根据测评指导书，利用