05信息系统安全等级保护测评过程.ppt.ppt

现场测评活动的工作流程 现场测评活动的主要任务 现场测评活动的输出文档 现场测评活动中双方的职责 现场测评活动 现场测评活动的工作流程 现场测评准备 结果确认和资料归还 现场测评和结果记录 现场测评准备 现场测评活动的主要任务 现场测评一般包括 访谈 文档审查 配置检查 工具测试 实地察看 结果确认和资料归还 任务 输出文档 文档内容 现场测评准备 会议记录、确认的测评授权书、 更新后的测评计划和测评程序 工作计划和内容安排，双方人 员的协调，测评委托单位应提 供的配合 访谈 技术安全和管理安全测评的测 评结果记录或录音 访谈记录 文档审查 管理安全测评的测评结果记录 管理制度和管理执行过程文档 的记录 配置检查 技术安全测评的网络、主机、 应用测评结果记录 检查内容的记录 工具测试 技术安全测评的网络、主机、 应用测评结果记录，工具测试 完成后的电子输出记录，备份 的测试结果文件 漏洞扫描、渗透性测试、性能 测试、入侵检测和协议分析等 内容的技术测试结果 实地察看 技术安全测评的物理安全和管 理安全测评结果记录 检查内容的记录 测评结果确认 现场核查中发现的问题汇总、 证据和证据源记录、测评委托 单位的书面认可文件 测评活动中发现的问题、问题 的证据和证据源、每项检查活 动中测评委托单位配合人员的 书面认可 现场测评活动的输出文档 现场测评活动中双方的职责 测评机构职责： 利用访谈、文档审查、配置检查、工具测试和实地察看的方法测评被测系统的保护措施情况，并获取相关证据。 测评委托单位职责： 1、测评前备份系统和数据，并确认被测设备状态完好。 2、协调被测系统内部相关人员的关系，配合测评工作的开展。 3、相关人员回答测评人员的问询，对某些需要验证的内容上机 进行操作。 4、相关人员确认测试前协助测评人员实施工具测试并提供有效 建议，降低安全测评对系统运行的影响。 5、相关人员协助测评人员完成业务相关内容的问询、验证和测 试。 6、相关人员对测评结果进行确认。 7、相关人员确认工具测试后被测设备的状态完好。 主要内容 引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分：方案编制活动 第四部分：现场测评活动 第五部分：分析与报告编制活动 分析与报告编制活动的工作流程 分析与报告编制活动的主要任务 分析与报告编制活动的输出文档 分析与报告编制活动中双方的职责 分析与报告编制活动 分析与报告编制活动的工作流程 分析与报告编制活动的主要任务 单项测评结果判定 单元测评结果判定 整体测评 风险分析 等级测评结论形成 测评报告编制 任务 输出文档 文档内容 单项测评结果判定 等级测评报告的单元 测评的结果记录部分 分析被测系统的安全现状（各个层面的基本 安全状况）与标准中相应等级的基本要求的 符合情况，给出单项测评结果。 单项测评结果汇总分析 等级测评报告的单元 测评的结果汇总部分 汇总统计单项测评结果，给出针对每个对象 的单元测评结果。 整体测评 等级测评报告的整体 测评部分 分析被测系统整体安全状况及对单项测评结 果的修订情况。 风险分析 等级测评报告的风险 分析和评价部分 分析被测系统存在的风险情况。 等级测评结论形成 等级测评报告的等级 测评结论部分 对测评结果进行分析，形成等级测评结论。 测评报告编制 等级测评报告 单项测评记录和结果，单项测评结果汇总， 整体测评过程及结果，风险分析过程及结 果，等级测评结论，安全建设整改建议等。 分析与报告编制活动的输出文档 分析与报告编制活动中双方的职责 测评机构职责： 1、分析并判定单项测评结果和整体测评结果。 2、分析评价被测系统存在的风险情况。 3、根据测评结果形成等级测评结论。 4、编制等级测评报告，说明系统存在的安全隐患和缺陷，并 给出改进建议。 5、评审等级测评报告，并将评审过的等级测评报告按照分发 范围进行分发。 6、将生成的过程文档归档保存，并将测评过程中生成的电子 文档清除。 测评委托单位职责： 签收测评报告。 谢 谢! * 信息系统 安全等级保护测评过程（报批稿） 北京电子科技学院 二○一一年十一月 主要内容 引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分：方案编制活动 第四部分：现场测评活动 第五部分：分析与报告编制活动 引言 等级测评是测评机构依据国家信息安全等 级保护制度规定，受有关单位委托，按照《信 息系统安全等级保护测评要求》等管理规范和 技术标准，对非涉及国家秘密信息系统安全等 级保护状况进行检测评估的活动。 主要内容 引言 第一部分：等级测评概述 第二部分：测评准备活动 第三部分：方案编制活动 第四部分：现场测评活动 第五部分：分析与报告编制活动 等级测评的作用 一是可以掌握信