网络安全等级保护测评实施方案

一、项目背景与目标

1.1 项目背景

随着《中华人民共和国网络安全法》《数据安全法》等法律法规的深入实施，以及等保2.0系列国家标准的正式发布，网络安全等级保护制度已上升为国家网络安全的基本制度。当前，各行业信息系统面临的外部攻击手段日趋复杂，内部数据泄露、勒索软件等安全事件频发，单纯依赖合规检查已难以应对动态威胁。在此背景下，开展等保测评不仅是履行法律义务、规避合规风险的必要举措，更是系统化提升安全防护能力、保障业务连续性的核心手段。

1.2 实施目标

本项目以实现以下四层目标为导向，形成"合规---发现---提升---持续"的闭环：

|----------|------------------------------------------------------------------|
| 目标层次 | 具体内容 |
| 合规验证 | 通过测评验证信息系统是否满足对应等级（二级/三级/四级）的等保基本要求，确保符合《网络安全法》及行业监管要求，规避行政处罚风险。 |
| 风险识别 | 从技术（物理、网络、主机、应用、数据）和管理（制度、机构、人员、建设、运维）两大维度，全面排查安全隐患，量化安全风险等级。 |
| 能力提升 | 基于测评结果输出针对性整改建议，协助被测评单位构建或优化"纵深防御+主动防御"的安全防护体系，提升实战化安全运营能力。 |
| 持续改进 | 建立常态化安全运维与定期测评机制（三级系统每年至少一次，二级系统每两年至少一次），形成安全防护的动态迭代。 |

二、适用范围

2.1 系统范围

本实施方案适用于需要进行信息安全等级保护测评的各类信息系统，覆盖但不限于以下行业和场景：

• · 政府机关 ：政务服务平台、办公自动化系统、数据共享交换平台等；
• · 金融机构 ：核心业务系统、网上银行、支付清算系统、客户信息管理系统等；
• · 教育医疗 ：教育管理信息系统、医疗HIS系统、电子病历系统、健康大数据平台等；
• · 能源交通 ：电力调度系统、油气管道监控系统、智能交通管理系统、轨道交通控制系统等；
• · 其他 ：国有企业、互联网平台、大型企业ERP及数据中心等。

2.2 覆盖周期

本方案覆盖信息系统的全生命周期 ，涵盖定级、备案、建设整改、等级测评、监督检查五个阶段，并根据系统等级动态调整实施策略。

三、测评依据与标准

本项目严格依据以下法律法规和国家标准，确保测评工作的权威性与规范性：

3.1 法律法规

• · 《中华人民共和国网络安全法》
• · 《中华人民共和国数据安全法》
• · 《信息安全等级保护管理办法》（公通字〔2007〕43号）

3.2 核心国家标准

|-----------------|----------------------------|------------------|
| 标准编号 | 标准名称 | 作用定位 |
| GB/T 22239-2019 | 信息安全技术 网络安全等级保护基本要求 | 测评指标依据，规定各等级安全要求 |
| GB/T 28448-2019 | 信息安全技术 网络安全等级保护测评要求 | 测评方法与规程，指导测评实施 |
| GB/T 28449-2018 | 信息安全技术 网络安全等级保护测评过程指南 | 测评流程规范，明确各阶段活动 |
| GB/T 25070-2019 | 信息安全技术 网络安全等级保护安全设计技术要求 | 安全建设与整改设计依据 |
| GB/T 22240-2020 | 信息安全技术 网络安全等级保护定级指南 | 系统定级依据 |
| GB/T 36958-2018 | 信息安全技术 网络安全等级保护安全管理中心技术要求 | 安全管理中心建设依据 |
| GB/T 36627-2018 | 信息安全技术 网络安全等级保护测试评估技术指南 | 测试评估技术方法 |
| GB/T 36959-2018 | 信息安全技术 网络安全等级测评机构能力要求和评估规范 | 测评机构资质依据 |

3.3 行业补充标准

根据被测系统所属行业，同步参考行业主管机构发布的信息安全规范与最佳实践（如金融行业的JR/T 0071、能源行业的等保行业标准）。

四、测评流程与方法

本方案将测评全流程细化为六大阶段、二十三项核心活动 ，确保流程清晰、责任明确、交付物完整。

阶段一：定级与备案（前置阶段）

4.1.1 系统定级

1. 定级工作组组建 ：由业务部门、技术部门、安全管理部门人员联合组成，明确分工（业务部门提供场景需求，技术部门分析系统架构，安全部门评估风险）。

2. 定级要素分析 ：从"业务信息安全"和"系统服务安全"两个维度，分析系统遭破坏后对国家安全、社会秩序、公共利益及公民合法权益的影响程度。

3. 等级确定 ：参照GB/T 22240-2020，确定安全保护等级（第一级至第五级）。

4. 专家评审 ：拟定为第二级以上的系统，组织专家评审；有行业主管部门的，报请主管部门核准。

5. 输出物 ：《信息系统安全等级定级报告》。

4.1.2 备案管理

1. 备案材料准备 ：包括《信息系统安全等级保护备案表》《定级报告》、系统拓扑图、安全防护现状说明等。

2. 提交备案 ：向所在地设区的市级以上公安机关网安部门递交备案材料。

3. 备案证明 ：审核通过后，由公安机关颁发《信息系统安全等级保护备案证明》。

阶段二：测评准备

4.2.1 项目启动

1. 与被测评单位签订保密协议与测评服务合同。

2. 召开项目启动会，明确各方对接人、沟通机制与配合要求。

3. 介绍整体服务内容、测评流程、风险管理措施及双方责任边界。

4.2.2 资料收集与调研

1. 收集被测系统基础资料：系统架构图、网络拓扑图、资产清单（服务器、网络设备、安全设备、数据库、应用系统等）。

2. 收集安全相关文档：安全策略文件、管理制度汇编、历史审计报告、应急预案、运维记录等。

3. 人员访谈：与系统管理员、安全管理员、运维人员、业务负责人等交流，了解系统运行状况、现有安全措施及管理流程。

4.2.3 测评方案编制

1. 根据系统定级结果，对照GB/T 22239-2019确定适用的测评指标项（安全通用要求+可能的安全扩展要求）。

2. 规划测评方法：明确技术测评使用的工具（漏洞扫描器、渗透测试框架、配置核查工具等）及管理测评采用的方法（文档审查、人员访谈、流程跟踪等）。

3. 制定详细测评计划与时间表，明确各阶段节点，与被测评单位协商确定现场测评时间（尽量错开业务高峰期）。

4. 输出物 ：《等保测评实施方案》《测评工作计划表》《保密承诺书》。

阶段三：现场测评

现场测评是核心实施环节，分为技术安全测评 和管理安全测评 两大维度，涵盖十个安全层面。

4.3.1 技术安全测评（五个层面）

（1）安全物理环境

重点测评机房与物理环境的安全防护措施：

• · 物理位置选择 ：机房是否远离易受水灾、地震等灾害的区域；
• · 物理访问控制 ：门禁系统（是否具备生物识别、进出记录）、监控覆盖与录像保存时长；
• · 防盗窃与防破坏 ：设备机柜锁定、防盗报警系统；
• · 防火与防水防潮 ：烟雾报警器、自动灭火系统、防水挡板、漏水检测；
• · 防雷击与防静电 ：接地系统、防静电地板；
• · 温湿度控制 ：空调系统、温湿度监控报警；
• · 电力供应 ：UPS配置容量、备用发电机、供电线路冗余；
• · 电磁防护 ：重要设备的电磁屏蔽措施。

（2）安全通信网络

重点测评网络架构设计与通信安全：

• · 网络架构 ：网络拓扑合理性、核心设备冗余（是否存在单点故障）、带宽满足业务需求情况；
• · 通信传输 ：重要数据传输是否加密（如VPN、TLS协议）、远程管理通道是否安全；
• · 可信验证 ：是否部署可信根及可信验证机制。

（3）安全区域边界

重点测评网络边界的隔离与防护能力：

• · 边界防护 ：是否按业务功能划分安全域（生产区、办公区、互联网区、DMZ区等），区域间隔离措施（防火墙、VLAN划分）；
• · 访问控制 ：ACL策略配置是否有效、是否遵循最小权限原则；
• · 入侵防范 ：IDS/IPS部署情况、告警处置流程及响应时效；
• · 恶意代码防范 ：边界处防病毒网关/安全防护设备的部署与更新；
• · 安全审计 ：边界设备日志记录与审计功能。

（4）安全计算环境

重点测评主机、应用、数据的安全配置与防护：

• · 身份鉴别 ：是否杜绝弱口令/空口令，关键设备与应用是否采用双因子认证；
• · 访问控制 ：应用系统权限管理是否遵循最小权限原则，是否存在越权漏洞；
• · 安全审计 ：操作系统、数据库、应用系统的日志审计功能（日志留存≥6个月）；
• · 入侵防范 ：服务器漏洞修复情况（高危漏洞处置时效），终端杀毒软件部署更新；
• · 数据完整性/保密性 ：敏感数据存储加密、传输加密（如TLS、国密算法）；
• · 数据备份恢复 ：备份策略（本地/异地、全量/增量）、定期恢复演练记录；
• · 剩余信息保护 ：存储介质销毁或数据清除机制；
• · 个人信息保护 ：个人信息收集、使用、存储的合规性。

（5）安全管理中心

重点测评集中安全管理能力：

• · 系统管理 ：是否有集中的系统管理平台对网络设备、服务器进行统一管理；
• · 审计管理 ：日志审计系统（SOC/SIEM）的部署与告警处置；
• · 安全管理 ：安全管理策略的统一配置与下发；
• · 集中管控 ：是否实现安全事件的集中监控、分析与响应。

4.3.2 管理安全测评（五个层面）

（6）安全管理制度

• · 安全策略 ：是否制定总体安全策略文件；
• · 管理制度 ：各项安全管理制度是否健全（如网络安全、数据安全、人员安全等专项制度）；
• · 制订与发布 ：制度是否经过审批流程、是否正式发布并传达到相关人员；
• · 评审与修订 ：是否定期评审制度有效性，并根据业务变化及时修订。

（7）安全管理机构

• · 岗位设置 ：是否设立安全主管、安全管理各个岗位（如系统管理员、安全管理员、审计员应三权分立）；
• · 人员配备 ：关键岗位人员是否配备充足、是否具备相应资质；
• · 授权与审批 ：重大安全操作是否有审批流程；
• · 沟通与合作 ：安全管理部门与内部其他部门、外部机构（如公安、行业监管）的沟通协作机制；
• · 审核与检查 ：是否定期开展安全自查与内部审计。

（8）安全管理人员

• · 人员录用 ：录用前是否进行背景审查（尤其是关键岗位）；
• · 人员离岗 ：离岗时是否及时回收权限、注销账号、交接资产；
• · 安全意识教育与培训 ：是否定期（如年度）开展全员安全意识培训、专业安全技能培训；
• · 外部人员访问管理 ：第三方运维人员、供应商的访问审批与监督机制。

（9）安全建设管理

• · 定级与备案 ：定级、备案流程是否合规；
• · 安全方案设计 ：安全建设是否依据等级保护要求进行整体安全方案设计；
• · 产品采购与使用 ：安全产品是否符合国家相关要求（如密码产品须为国密认证）；
• · 软件开发 ：自行开发或外包开发的软件是否经过安全测试（代码审计、渗透测试）；
• · 工程实施与验收 ：项目建设是否遵循规范的工程管理流程，是否经测试验收后上线；
• · 等级测评 ：是否按规定周期开展等级测评；
• · 服务供应商选择 ：是否对安全服务供应商进行资质审查与能力评估。

（10）安全运维管理

• · 环境管理 ：机房、办公环境的安全管理规范；
• · 资产管理 ：资产清单是否完整、设备标识管理；
• · 介质管理 ：存储介质的存放、使用、销毁管理；
• · 设备维护 ：设备巡检、维护保养记录；
• · 漏洞与风险管理 ：定期漏洞扫描、风险评估与处置流程；
• · 网络与系统安全管理 ：网络变更审批、安全配置基线管理；
• · 恶意代码防范管理 ：防病毒策略、病毒库更新管理；
• · 密码管理 ：密码策略（复杂度、更换周期）、密钥管理制度；
• · 变更管理 ：系统变更的审批、测试、实施与回退流程；
• · 备份与恢复管理 ：备份策略执行、恢复演练（每年至少一次）；
• · 安全事件处置 ：安全事件分级、报告流程（1小时内上报）、应急处置与溯源；
• · 应急预案管理 ：应急预案编制、演练（每年至少一次）、更新。

4.3.3 测评方法与力度要求

依据GB/T 28448-2019，现场测评综合运用以下三种方法：

|--------|---------------------|---------------|
| 方法 | 定义 | 适用场景 |
| 访谈 | 通过引导性交流获取证据 | 管理测评为主，技术测评为辅 |
| 核查 | 对制度文档、设备配置进行观察查验 | 配置核查、文档审查 |
| 测试 | 使用工具使系统产生特定结果并与预期比对 | 漏洞扫描、渗透测试 |

测评力度（广度与深度）与系统安全保护等级正相关：等级越高，测评对象越多、测试要求越严格。

阶段四：分析与报告编制

4.4.1 结果汇总与单项判定

1. 汇总所有现场测评数据与发现的问题。

2. 对照GB/T 22239-2019各要求项，对每个测评项给出"符合""部分符合"或"不符合"的判定。

4.4.2 整体测评与风险分析

1. 在单项测评基础上，从安全控制点间互补、区域间纵深防护两个角度进行系统整体安全评估。

2. 对不符合项或部分符合项进行风险分析：评估安全问题被威胁利用的可能性，及其对业务信息安全与系统服务安全造成的影响程度。

3. 参照《网络安全等级保护测评高风险判定实施指引》识别高风险项，进行重点标注与警示。

4.4.3 报告撰写

编制《网络安全等级保护测评报告》，包含但不限于以下内容：

• · 测评概述（背景、范围、依据、方法）
• · 系统基本情况描述
• · 单项测评结果明细（十个安全层面各要求项的测评结论）
• · 整体测评与风险分析
• · 问题清单（按安全层面分类、按风险等级排序）
• · 整改建议（针对每项问题提出具体、可操作的整改措施，区分紧急与长期建议）
• · 等级测评结论（系统达到相应等级保护要求的程度："符合""基本符合"或"不符合"）
• · 输出物 ：《网络安全等级保护测评报告》（纸质盖章版+电子版）。

阶段五：整改指导与复核

4.5.1 整改方案编制

1. 针对测评发现的问题，协助被测评单位制定详细的《差距整改方案》，明确每项问题的整改措施、责任部门、资源需求和完成时限。

2. 提供技术整改指导（如安全配置加固方案、安全产品选型建议、架构优化建议等）和管理整改指导（制度文件模板、流程优化建议等）。

4.5.2 整改实施跟踪

1. 根据被测评单位需求，提供整改实施过程中的技术咨询与支持。

2. 协助被测评单位进行整改完成后的内部验证测试（如漏洞复扫）。

4.5.3 整改复核测评

1. 对整改后的系统进行复核测评，确认问题是否得到有效解决。

2. 更新测评报告或出具整改复核意见。

阶段六：监督检查与持续服务

1. 协助被测评单位接受公安机关的定期监督检查。

2. 指导被测评单位建立年度自评机制（三级系统每年一次测评，二级系统每两年一次）。

3. 提供安全态势监测、威胁情报预警等增值服务（可选）。

五、测评交付物清单

|--------|-----------------|---------|
| 阶段 | 交付物名称 | 形式 |
| 定级备案阶段 | 《信息系统安全等级定级报告》 | 电子+纸质 |
| 定级备案阶段 | 《信息系统安全等级保护备案表》 | 电子+纸质 |
| 测评准备阶段 | 《等保测评实施方案》 | 电子 |
| 测评准备阶段 | 《保密协议》 | 纸质签章 |
| 现场测评阶段 | 《现场测评记录/工作底稿》 | 电子 |
| 报告编制阶段 | 《网络安全等级保护测评报告》 | 电子+纸质签章 |
| 整改阶段 | 《差距整改方案》 | 电子 |
| 整改阶段 | 《整改复核意见书》（如有） | 电子 |

六、资源需求与保障

6.1 人力资源

|-----------|------|--------------------------|
| 角色 | 人数 | 职责 |
| 项目经理 | 1名 | 项目统筹、进度管控、质量监督、客户沟通 |
| 测评工程师（技术） | 2-3名 | 负责技术层面测评（物理、网络、主机、应用、数据） |
| 测评工程师（管理） | 1-2名 | 负责管理层面测评（制度、机构、人员、建设、运维） |
| 渗透测试工程师 | 1-2名 | 负责授权渗透测试与漏洞验证 |
| 质量审核人 | 1名 | 负责测评报告的内部审核与质量把控 |

所有测评人员应具备相关资质（如CISP、CISAW、等保测评师证书）及丰富的等保测评经验。

6.2 技术资源

|------|-------------------------------|----------------------|
| 类别 | 工具/设备 | 用途 |
| 漏洞扫描 | Nessus、绿盟RSAS、OpenVAS等 | 系统漏洞扫描与评估 |
| 配置核查 | 基线核查工具、手工核查脚本 | 操作系统、数据库、网络设备配置合规性检查 |
| 渗透测试 | Metasploit、Burp Suite、SQLMap等 | 授权环境下的模拟攻击测试 |
| 网络分析 | Wireshark、Tcpdump | 网络流量分析与协议验证 |
| 文档处理 | 办公软件、安全评估平台 | 报告编制与结果汇总 |

6.3 时间资源

根据不同系统规模和等级，典型测评周期如下：

|------|--------|--------|
| 系统等级 | 现场测评天数 | 整体项目周期 |
| 二级系统 | 3-5天 | 4-6周 |
| 三级系统 | 5-10天 | 6-10周 |
| 四级系统 | 视情况而定 | 12周以上 |

说明 ：以上为典型值，实际周期根据系统规模、资产数量、测评范围等因素灵活调整。

6.4 沟通与协作机制

1. 日常沟通 ：建立项目微信/钉钉群，工作日响应时间不超过2小时。

2. 周报制度 ：项目经理每周向被测评单位提交项目进展周报。

3. 里程碑汇报 ：各阶段结束（定级完成、现场测评完成、报告初稿完成、整改复核完成）时召开阶段汇报会。

4. 应急联络 ：设立7×24小时应急联络人，处理测评期间的突发问题。

七、质量管理与风险控制

7.1 质量管理措施

1. 内部审核 ：测评报告须经独立的质量审核人审核，确保测评结论准确、证据充分、建议可行。

2. 过程留痕 ：所有测评活动（访谈记录、核查数据、测试日志、渗透过程）均须完整记录，确保结果可追溯、可复现。

3. 标准一致性 ：严格依据国家标准要求的测评力度（广度与深度）执行，确保测评结果的客观性与公正性。

7.2 风险控制

|-------------|-----------------|---------------------------------------------------------|
| 风险类别 | 风险描述 | 应对措施 |
| 保密性风险 | 测评过程中获取的敏感信息泄露 | 签署正式保密协议；对测评人员进行保密培训；测评数据仅限项目使用，项目结束后销毁 |
| 业务连续性风险 | 漏洞扫描或渗透测试影响生产系统 | 测试前充分沟通，选择业务低峰期进行；渗透测试在测试环境进行或采取业务降级措施；制定应急预案，遇到异常立即终止 |
| 合规性风险 | 测评活动违反相关法规或标准 | 所有测评活动严格在授权范围内开展；渗透测试须有明确的书面授权；严格遵循GB/T 28448-2019的测试规范 |
| 沟通风险 | 信息传递不及时或不准确 | 建立正式沟通机制（启动会、周报、阶段会）；指定双方对接人；重大事项书面确认 |
| 进度风险 | 因系统整改或配合问题导致延期 | 提前明确各阶段交付时间节点；设置进度缓冲期；定期跟踪进度并及时预警 |

八、总结与展望

通过本等保测评实施方案的系统化执行，被测评单位将达成以下核心成效：

1. 合规落地 ：全面满足《网络安全法》及等保2.0标准的合规要求，取得公安机关备案证明，有效规避行政处罚与合规风险。

2. 风险可控 ：通过技术与管理双维度的深度测评，清晰掌握信息系统的安全现状与风险底数，为安全决策提供精准依据。

3. 能力进阶 ：依托整改建议与持续服务，推动安全防护体系从"被动合规"向"主动防御"演进，构建覆盖"物理---网络---主机---应用---数据"全链路的纵深防御架构。

未来，我们将持续跟踪等保政策动态与标准演进（如GB/T 22239系列标准的后续修订、密码应用测评等新要求），不断优化测评流程与方法，融合威胁情报、自动化安全验证等新技术手段，为用户提供更加高效、精准的网络安全等级保护测评服务。