1 范圍

      本標(biāo)準(zhǔn)規(guī)范了網(wǎng)絡(luò)安全等級保護測評（以下簡稱“等級測評”）的工作過程，規(guī)定了測評活動及其工作任務(wù)。

      本標(biāo)準(zhǔn)適用于測評機構(gòu)、定級對象的主管部門及運營使用單位開展網(wǎng)絡(luò)安全等級保護測試評價工作。

2 規(guī)范性引用文件

      下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

      GB 17859 計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則

      GB/T 22239 信息安全技術(shù) 信息系統(tǒng)安全等級保護基本要求

      GB/T 25069 信息安全技術(shù) 術(shù)語

      GB/T 28448 信息安全技術(shù) 信息系統(tǒng)安全等級保護測評要求

3 術(shù)語和定義

      GB 17859、GB/T 22239、GB/T 25069和GB/T 28448界定的術(shù)語和定義適用于本文件。

4 等級測評概述

4.1 等級測評過程概述

      本標(biāo)準(zhǔn)中的測評工作過程及任務(wù)基于受委托測評機構(gòu)對定級對象的初次等級測評給出。運營、使用單位的自查或受委托測評機構(gòu)已經(jīng)實施過一次以上等級測評的，測評機構(gòu)和測評人員根據(jù)實際情況調(diào)整部分工作任務(wù)（見附錄A）。開展等級測評的測評機構(gòu)應(yīng)嚴格按照附錄B中給出的等級測評工作要求開展相關(guān)工作。

      等級測評過程包括四個基本測評活動：測評準(zhǔn)備活動、方案編制活動、現(xiàn)場測評活動、報告編制活動。而測評相關(guān)方之間的溝通與洽談應(yīng)貫穿整個等級測評過程。每一測評活動有一組確定的工作任務(wù)。具體如表1所示。

表1 等級測評過程

表1（續(xù)）

      本標(biāo)準(zhǔn)對其中每項活動均給出相應(yīng)的工作流程、主要任務(wù)、輸出文檔及活動中相關(guān)方的職責(zé)的規(guī)定，每項工作任務(wù)均有相應(yīng)的輸入、任務(wù)描述和輸出產(chǎn)品。

4.2 等級測評風(fēng)險

4.2.1 影響系統(tǒng)正常運行的風(fēng)險

      在現(xiàn)場測評時，需要對設(shè)備和系統(tǒng)進行一定的驗證測試工作，部分測試內(nèi)容需要上機驗證并查看一些信息，這就可能對系統(tǒng)運行造成一定的影響，甚至存在誤操作的可能。

      此外，使用測試工具進行漏洞掃描測試、性能測試及滲透測試等，可能會對網(wǎng)絡(luò)和系統(tǒng)的負載造成一定的影響，滲透性攻擊測試還可能影響到服務(wù)器和系統(tǒng)正常運行，如出現(xiàn)重啟、服務(wù)中斷、滲透過程中植入的代碼未完全清理等現(xiàn)象。

4.2.2 敏感信息泄露風(fēng)險

      測評人員有意或無意泄漏被測系統(tǒng)狀態(tài)信息，如網(wǎng)絡(luò)拓撲、IP地址、業(yè)務(wù)流程、業(yè)務(wù)數(shù)據(jù)、安全機制、安全隱患和有關(guān)文檔信息等。

4.2.3 木馬植入風(fēng)險

      測評人員在滲透測試完成后，有意或無意將滲透測試過程中用到的測試工具未清理或清理不徹底，或者測試電腦中帶有木馬程序，帶來在被測評系統(tǒng)中植入木馬的風(fēng)險。

4.3 等級測評風(fēng)險規(guī)避

      在等級測評過程中可以通過采取以下措施規(guī)避風(fēng)險：

      a）簽署委托測評協(xié)議

      在測評工作正式開始之前，測評方和被測評單位需要以委托協(xié)議的方式明確測評工作的目標(biāo)、范圍、人員組成、計劃安排、執(zhí)行步驟和要求以及雙方的責(zé)任和義務(wù)等，使得測評雙方對測評過程中的基本問題達成共識。

      b）簽署保密協(xié)議

      測評相關(guān)方應(yīng)簽署合乎法律規(guī)范的保密協(xié)議，以約束測評相關(guān)方現(xiàn)在及將來的行為。保密協(xié)議規(guī)定了測評相關(guān)方保密方面的權(quán)利與義務(wù)。測評過程中獲取的相關(guān)系統(tǒng)數(shù)據(jù)信息及測評工作的成果屬被測評單位所有，測評方對其的引用與公開應(yīng)得到相關(guān)單位的授權(quán)，否則相關(guān)單位將按照保密協(xié)議的要求追究測評單位的法律責(zé)任。

      c）現(xiàn)場測評工作風(fēng)險的規(guī)避

      現(xiàn)場測評之前，測評機構(gòu)應(yīng)與相關(guān)單位簽署現(xiàn)場測評授權(quán)書，要求相關(guān)方對系統(tǒng)及數(shù)據(jù)進行備份，并對可能出現(xiàn)的事件制定應(yīng)急處理方案。

      進行驗證測試和工具測試時，避開業(yè)務(wù)高峰期，在系統(tǒng)資源處于空閑狀態(tài)時進行，或配置與生產(chǎn)環(huán)境一致的模擬/仿真環(huán)境，在模擬/仿真環(huán)境下開展漏洞掃描等測試工作；上機驗證測試由測評人員提出需要驗證的內(nèi)容，系統(tǒng)運營、使用單位的技術(shù)人員進行實際操作。整個現(xiàn)場測評過程要求系統(tǒng)運營、使用單位全程監(jiān)督。

      d）測評現(xiàn)場還原

      測評工作完成后，測評人員應(yīng)將測評過程中獲取的所有特權(quán)交回，把測評過程中借閱的相關(guān)資料文檔歸還，并將測評環(huán)境恢復(fù)至測評前狀態(tài)。

5 測評準(zhǔn)備活動

5.1 測評準(zhǔn)備活動工作流程

      測評準(zhǔn)備活動的目標(biāo)是順利啟動測評項目，收集定級對象相關(guān)資料，準(zhǔn)備測評所需資料，為編制測評方案打下良好的基礎(chǔ)。

      測評準(zhǔn)備活動包括工作啟動、信息收集和分析、工具和表單準(zhǔn)備三項主要任務(wù)。這三項任務(wù)的基本工作流程見圖1。

圖1 測評準(zhǔn)備活動的基本工作流程

以上為標(biāo)準(zhǔn)部分內(nèi)容，如需看標(biāo)準(zhǔn)全文，請到相關(guān)授權(quán)網(wǎng)站購買標(biāo)準(zhǔn)正版。