网络安全等级保护测评实施方案

一、项目背景与目标

1.1 项目背景

随着《中华人民共和国网络安全法》《数据安全法》等法律法规的深入实施，以及等保2.0系列国家标准的正式发布，网络安全等级保护制度已上升为国家网络安全的基本制度。当前，各行业信息系统面临的外部攻击手段日趋复杂，内部数据泄露、勒索软件等安全事件频发，单纯依赖合规检查已难以应对动态威胁。在此背景下，开展等保测评不仅是履行法律义务、规避合规风险的必要举措，更是系统化提升安全防护能力、保障业务连续性的核心手段。

1.2 实施目标

本项目以实现以下四层目标为导向，形成“合规—发现—提升—持续”的闭环：

目标层次	具体内容
合规验证	通过测评验证信息系统是否满足对应等级（二级/三级/四级）的等保基本要求，确保符合《网络安全法》及行业监管要求，规避行政处罚风险。
风险识别	从技术（物理、网络、主机、应用、数据）和管理（制度、机构、人员、建设、运维）两大维度，全面排查安全隐患，量化安全风险等级。
能力提升	基于测评结果输出针对性整改建议，协助被测评单位构建或优化“纵深防御+主动防御”的安全防护体系，提升实战化安全运营能力。
持续改进	建立常态化安全运维与定期测评机制（三级系统每年至少一次，二级系统每两年至少一次），形成安全防护的动态迭代。

二、适用范围

2.1 系统范围

本实施方案适用于需要进行信息安全等级保护测评的各类信息系统，覆盖但不限于以下行业和场景：

• · 政府机关：政务服务平台、办公自动化系统、数据共享交换平台等；
• · 金融机构：核心业务系统、网上银行、支付清算系统、客户信息管理系统等；
• · 教育医疗：教育管理信息系统、医疗HIS系统、电子病历系统、健康大数据平台等；
• · 能源交通：电力调度系统、油气管道监控系统、智能交通管理系统、轨道交通控制系统等；
• · 其他：国有企业、互联网平台、大型企业ERP及数据中心等。

2.2 覆盖周期

本方案覆盖信息系统的全生命周期，涵盖定级、备案、建设整改、等级测评、监督检查五个阶段，并根据系统等级动态调整实施策略。

三、测评依据与标准

本项目严格依据以下法律法规和国家标准，确保测评工作的权威性与规范性：

3.1 法律法规

• · 《中华人民共和国网络安全法》
• · 《中华人民共和国数据安全法》
• · 《信息安全等级保护管理办法》（公通字〔2007〕43号）

3.2 核心国家标准

标准编号	标准名称	作用定位
GB/T 22239-2019	信息安全技术 网络安全等级保护基本要求	测评指标依据，规定各等级安全要求
GB/T 28448-2019	信息安全技术 网络安全等级保护测评要求	测评方法与规程，指导测评实施
GB/T 28449-2018	信息安全技术 网络安全等级保护测评过程指南	测评流程规范，明确各阶段活动
GB/T 25070-2019	信息安全技术 网络安全等级保护安全设计技术要求	安全建设与整改设计依据
GB/T 22240-2020	信息安全技术 网络安全等级保护定级指南	系统定级依据
GB/T 36958-2018	信息安全技术 网络安全等级保护安全管理中心技术要求	安全管理中心建设依据
GB/T 36627-2018	信息安全技术 网络安全等级保护测试评估技术指南	测试评估技术方法
GB/T 36959-2018	信息安全技术 网络安全等级测评机构能力要求和评估规范	测评机构资质依据

3.3 行业补充标准

根据被测系统所属行业，同步参考行业主管机构发布的信息安全规范与最佳实践（如金融行业的JR/T 0071、能源行业的等保行业标准）。

四、测评流程与方法

本方案将测评全流程细化为六大阶段、二十三项核心活动，确保流程清晰、责任明确、交付物完整。

阶段一：定级与备案（前置阶段）

4.1.1 系统定级

1. 定级工作组组建：由业务部门、技术部门、安全管理部门人员联合组成，明确分工（业务部门提供场景需求，技术部门分析系统架构，安全部门评估风险）。

2. 定级要素分析：从“业务信息安全”和“系统服务安全”两个维度，分析系统遭破坏后对国家安全、社会秩序、公共利益及公民合法权益的影响程度。

3. 等级确定：参照GB/T 22240-2020，确定安全保护等级（第一级至第五级）。

4. 专家评审：拟定为第二级以上的系统，组织专家评审；有行业主管部门的，报请主管部门核准。

5. 输出物：《信息系统安全等级定级报告》。

4.1.2 备案管理

1. 备案材料准备：包括《信息系统安全等级保护备案表》《定级报告》、系统拓扑图、安全防护现状说明等。

2. 提交备案：向所在地设区的市级以上公安机关网安部门递交备案材料。

3. 备案证明：审核通过后，由公安机关颁发《信息系统安全等级保护备案证明》。

阶段二：测评准备

4.2.1 项目启动

1. 与被测评单位签订保密协议与测评服务合同。

2. 召开项目启动会，明确各方对接人、沟通机制与配合要求。

3. 介绍整体服务内容、测评流程、风险管理措施及双方责任边界。

4.2.2 资料收集与调研

1. 收集被测系统基础资料：系统架构图、网络拓扑图、资产清单（服务器、网络设备、安全设备、数据库、应用系统等）。

2. 收集安全相关文档：安全策略文件、管理制度汇编、历史审计报告、应急预案、运维记录等。

3. 人员访谈：与系统管理员、安全管理员、运维人员、业务负责人等交流，了解系统运行状况、现有安全措施及管理流程。

4.2.3 测评方案编制

1. 根据系统定级结果，对照GB/T 22239-2019确定适用的测评指标项（安全通用要求+可能的安全扩展要求）。

2. 规划测评方法：明确技术测评使用的工具（漏洞扫描器、渗透测试框架、配置核查工具等）及管理测评采用的方法（文档审查、人员访谈、流程跟踪等）。

3. 制定详细测评计划与时间表，明确各阶段节点，与被测评单位协商确定现场测评时间（尽量错开业务高峰期）。

4. 输出物：《等保测评实施方案》《测评工作计划表》《保密承诺书》。

阶段三：现场测评

现场测评是核心实施环节，分为技术安全测评和管理安全测评两大维度，涵盖十个安全层面。

4.3.1 技术安全测评（五个层面）

（1）安全物理环境

重点测评机房与物理环境的安全防护措施：

• · 物理位置选择：机房是否远离易受水灾、地震等灾害的区域；
• · 物理访问控制：门禁系统（是否具备生物识别、进出记录）、监控覆盖与录像保存时长；
• · 防盗窃与防破坏：设备机柜锁定、防盗报警系统；
• · 防火与防水防潮：烟雾报警器、自动灭火系统、防水挡板、漏水检测；
• · 防雷击与防静电：接地系统、防静电地板；
• · 温湿度控制：空调系统、温湿度监控报警；
• · 电力供应：UPS配置容量、备用发电机、供电线路冗余；
• · 电磁防护：重要设备的电磁屏蔽措施。

（2）安全通信网络

重点测评网络架构设计与通信安全：

• · 网络架构：网络拓扑合理性、核心设备冗余（是否存在单点故障）、带宽满足业务需求情况；
• · 通信传输：重要数据传输是否加密（如VPN、TLS协议）、远程管理通道是否安全；
• · 可信验证：是否部署可信根及可信验证机制。

（3）安全区域边界

重点测评网络边界的隔离与防护能力：

• · 边界防护：是否按业务功能划分安全域（生产区、办公区、互联网区、DMZ区等），区域间隔离措施（防火墙、VLAN划分）；
• · 访问控制：ACL策略配置是否有效、是否遵循最小权限原则；
• · 入侵防范：IDS/IPS部署情况、告警处置流程及响应时效；
• · 恶意代码防范：边界处防病毒网关/安全防护设备的部署与更新；
• · 安全审计：边界设备日志记录与审计功能。

（4）安全计算环境

重点测评主机、应用、数据的安全配置与防护：

• · 身份鉴别：是否杜绝弱口令/空口令，关键设备与应用是否采用双因子认证；
• · 访问控制：应用系统权限管理是否遵循最小权限原则，是否存在越权漏洞；
• · 安全审计：操作系统、数据库、应用系统的日志审计功能（日志留存≥6个月）；
• · 入侵防范：服务器漏洞修复情况（高危漏洞处置时效），终端杀毒软件部署更新；
• · 数据完整性/保密性：敏感数据存储加密、传输加密（如TLS、国密算法）；
• · 数据备份恢复：备份策略（本地/异地、全量/增量）、定期恢复演练记录；
• · 剩余信息保护：存储介质销毁或数据清除机制；
• · 个人信息保护：个人信息收集、使用、存储的合规性。

（5）安全管理中心

重点测评集中安全管理能力：

• · 系统管理：是否有集中的系统管理平台对网络设备、服务器进行统一管理；
• · 审计管理：日志审计系统（SOC/SIEM）的部署与告警处置；
• · 安全管理：安全管理策略的统一配置与下发；
• · 集中管控：是否实现安全事件的集中监控、分析与响应。

4.3.2 管理安全测评（五个层面）

（6）安全管理制度

• · 安全策略：是否制定总体安全策略文件；
• · 管理制度：各项安全管理制度是否健全（如网络安全、数据安全、人员安全等专项制度）；
• · 制订与发布：制度是否经过审批流程、是否正式发布并传达到相关人员；
• · 评审与修订：是否定期评审制度有效性，并根据业务变化及时修订。

（7）安全管理机构

• · 岗位设置：是否设立安全主管、安全管理各个岗位（如系统管理员、安全管理员、审计员应三权分立）；
• · 人员配备：关键岗位人员是否配备充足、是否具备相应资质；
• · 授权与审批：重大安全操作是否有审批流程；
• · 沟通与合作：安全管理部门与内部其他部门、外部机构（如公安、行业监管）的沟通协作机制；
• · 审核与检查：是否定期开展安全自查与内部审计。

（8）安全管理人员

• · 人员录用：录用前是否进行背景审查（尤其是关键岗位）；
• · 人员离岗：离岗时是否及时回收权限、注销账号、交接资产；
• · 安全意识教育与培训：是否定期（如年度）开展全员安全意识培训、专业安全技能培训；
• · 外部人员访问管理：第三方运维人员、供应商的访问审批与监督机制。

（9）安全建设管理

• · 定级与备案：定级、备案流程是否合规；
• · 安全方案设计：安全建设是否依据等级保护要求进行整体安全方案设计；
• · 产品采购与使用：安全产品是否符合国家相关要求（如密码产品须为国密认证）；
• · 软件开发：自行开发或外包开发的软件是否经过安全测试（代码审计、渗透测试）；
• · 工程实施与验收：项目建设是否遵循规范的工程管理流程，是否经测试验收后上线；
• · 等级测评：是否按规定周期开展等级测评；
• · 服务供应商选择：是否对安全服务供应商进行资质审查与能力评估。

（10）安全运维管理

• · 环境管理：机房、办公环境的安全管理规范；
• · 资产管理：资产清单是否完整、设备标识管理；
• · 介质管理：存储介质的存放、使用、销毁管理；
• · 设备维护：设备巡检、维护保养记录；
• · 漏洞与风险管理：定期漏洞扫描、风险评估与处置流程；
• · 网络与系统安全管理：网络变更审批、安全配置基线管理；
• · 恶意代码防范管理：防病毒策略、病毒库更新管理；
• · 密码管理：密码策略（复杂度、更换周期）、密钥管理制度；
• · 变更管理：系统变更的审批、测试、实施与回退流程；
• · 备份与恢复管理：备份策略执行、恢复演练（每年至少一次）；
• · 安全事件处置：安全事件分级、报告流程（1小时内上报）、应急处置与溯源；
• · 应急预案管理：应急预案编制、演练（每年至少一次）、更新。

4.3.3 测评方法与力度要求

依据GB/T 28448-2019，现场测评综合运用以下三种方法：

方法	定义	适用场景
访谈	通过引导性交流获取证据	管理测评为主，技术测评为辅
核查	对制度文档、设备配置进行观察查验	配置核查、文档审查
测试	使用工具使系统产生特定结果并与预期比对	漏洞扫描、渗透测试

测评力度（广度与深度）与系统安全保护等级正相关：等级越高，测评对象越多、测试要求越严格。

阶段四：分析与报告编制

4.4.1 结果汇总与单项判定

1. 汇总所有现场测评数据与发现的问题。

2. 对照GB/T 22239-2019各要求项，对每个测评项给出“符合”“部分符合”或“不符合”的判定。

4.4.2 整体测评与风险分析

1. 在单项测评基础上，从安全控制点间互补、区域间纵深防护两个角度进行系统整体安全评估。

2. 对不符合项或部分符合项进行风险分析：评估安全问题被威胁利用的可能性，及其对业务信息安全与系统服务安全造成的影响程度。

3. 参照《网络安全等级保护测评高风险判定实施指引》识别高风险项，进行重点标注与警示。

4.4.3 报告撰写

编制《网络安全等级保护测评报告》，包含但不限于以下内容：

• · 测评概述（背景、范围、依据、方法）
• · 系统基本情况描述
• · 单项测评结果明细（十个安全层面各要求项的测评结论）
• · 整体测评与风险分析
• · 问题清单（按安全层面分类、按风险等级排序）
• · 整改建议（针对每项问题提出具体、可操作的整改措施，区分紧急与长期建议）
• · 等级测评结论（系统达到相应等级保护要求的程度：“符合”“基本符合”或“不符合”）
• · 输出物：《网络安全等级保护测评报告》（纸质盖章版+电子版）。

阶段五：整改指导与复核

4.5.1 整改方案编制

1. 针对测评发现的问题，协助被测评单位制定详细的《差距整改方案》，明确每项问题的整改措施、责任部门、资源需求和完成时限。

2. 提供技术整改指导（如安全配置加固方案、安全产品选型建议、架构优化建议等）和管理整改指导（制度文件模板、流程优化建议等）。

4.5.2 整改实施跟踪

1. 根据被测评单位需求，提供整改实施过程中的技术咨询与支持。

2. 协助被测评单位进行整改完成后的内部验证测试（如漏洞复扫）。

4.5.3 整改复核测评

1. 对整改后的系统进行复核测评，确认问题是否得到有效解决。

2. 更新测评报告或出具整改复核意见。

阶段六：监督检查与持续服务

1. 协助被测评单位接受公安机关的定期监督检查。

2. 指导被测评单位建立年度自评机制（三级系统每年一次测评，二级系统每两年一次）。

3. 提供安全态势监测、威胁情报预警等增值服务（可选）。

五、测评交付物清单

阶段	交付物名称	形式
定级备案阶段	《信息系统安全等级定级报告》	电子+纸质
定级备案阶段	《信息系统安全等级保护备案表》	电子+纸质
测评准备阶段	《等保测评实施方案》	电子
测评准备阶段	《保密协议》	纸质签章
现场测评阶段	《现场测评记录/工作底稿》	电子
报告编制阶段	《网络安全等级保护测评报告》	电子+纸质签章
整改阶段	《差距整改方案》	电子
整改阶段	《整改复核意见书》（如有）	电子

六、资源需求与保障

6.1 人力资源

角色	人数	职责
项目经理	1名	项目统筹、进度管控、质量监督、客户沟通
测评工程师（技术）	2-3名	负责技术层面测评（物理、网络、主机、应用、数据）
测评工程师（管理）	1-2名	负责管理层面测评（制度、机构、人员、建设、运维）
渗透测试工程师	1-2名	负责授权渗透测试与漏洞验证
质量审核人	1名	负责测评报告的内部审核与质量把控

所有测评人员应具备相关资质（如CISP、CISAW、等保测评师证书）及丰富的等保测评经验。

6.2 技术资源

类别	工具/设备	用途
漏洞扫描	Nessus、绿盟RSAS、OpenVAS等	系统漏洞扫描与评估
配置核查	基线核查工具、手工核查脚本	操作系统、数据库、网络设备配置合规性检查
渗透测试	Metasploit、Burp Suite、SQLMap等	授权环境下的模拟攻击测试
网络分析	Wireshark、Tcpdump	网络流量分析与协议验证
文档处理	办公软件、安全评估平台	报告编制与结果汇总

6.3 时间资源

根据不同系统规模和等级，典型测评周期如下：

系统等级	现场测评天数	整体项目周期
二级系统	3-5天	4-6周
三级系统	5-10天	6-10周
四级系统	视情况而定	12周以上

说明：以上为典型值，实际周期根据系统规模、资产数量、测评范围等因素灵活调整。

6.4 沟通与协作机制

1. 日常沟通：建立项目微信/钉钉群，工作日响应时间不超过2小时。

2. 周报制度：项目经理每周向被测评单位提交项目进展周报。

3. 里程碑汇报：各阶段结束（定级完成、现场测评完成、报告初稿完成、整改复核完成）时召开阶段汇报会。

4. 应急联络：设立7×24小时应急联络人，处理测评期间的突发问题。

七、质量管理与风险控制

7.1 质量管理措施

1. 内部审核：测评报告须经独立的质量审核人审核，确保测评结论准确、证据充分、建议可行。

2. 过程留痕：所有测评活动（访谈记录、核查数据、测试日志、渗透过程）均须完整记录，确保结果可追溯、可复现。

3. 标准一致性：严格依据国家标准要求的测评力度（广度与深度）执行，确保测评结果的客观性与公正性。

7.2 风险控制

风险类别	风险描述	应对措施
保密性风险	测评过程中获取的敏感信息泄露	签署正式保密协议；对测评人员进行保密培训；测评数据仅限项目使用，项目结束后销毁
业务连续性风险	漏洞扫描或渗透测试影响生产系统	测试前充分沟通，选择业务低峰期进行；渗透测试在测试环境进行或采取业务降级措施；制定应急预案，遇到异常立即终止
合规性风险	测评活动违反相关法规或标准	所有测评活动严格在授权范围内开展；渗透测试须有明确的书面授权；严格遵循GB/T 28448-2019的测试规范
沟通风险	信息传递不及时或不准确	建立正式沟通机制（启动会、周报、阶段会）；指定双方对接人；重大事项书面确认
进度风险	因系统整改或配合问题导致延期	提前明确各阶段交付时间节点；设置进度缓冲期；定期跟踪进度并及时预警

八、总结与展望

通过本等保测评实施方案的系统化执行，被测评单位将达成以下核心成效：

1. 合规落地：全面满足《网络安全法》及等保2.0标准的合规要求，取得公安机关备案证明，有效规避行政处罚与合规风险。

2. 风险可控：通过技术与管理双维度的深度测评，清晰掌握信息系统的安全现状与风险底数，为安全决策提供精准依据。

3. 能力进阶：依托整改建议与持续服务，推动安全防护体系从“被动合规”向“主动防御”演进，构建覆盖“物理—网络—主机—应用—数据”全链路的纵深防御架构。

未来，我们将持续跟踪等保政策动态与标准演进（如GB/T 22239系列标准的后续修订、密码应用测评等新要求），不断优化测评流程与方法，融合威胁情报、自动化安全验证等新技术手段，为用户提供更加高效、精准的网络安全等级保护测评服务。