信息系统等级保护测评工作方案知识分享.docxVIP

XX安全服务公司 2018-2019 年 XXX 项目 等级保护差距测评实施方案 XXXXXXXXX 201X年X月 信息安全有限公司 3. 3. 时间安排 17 目录 1.1. 项目背景 .. 1.2. 项目目标 1.3. 项目原则 1.4. 项目依据 1. 项目概述 目录 2. 测评实施内容 2.1.1. 测评范围 4 2.1.2. 测评对象 4 2.1.3. 测评内容 4 2.1.4. 测评对象 7 2.1.5. 测评指标 8 2.2. 测评流程 9 2.2.1. 测评准备阶段 10 2.2.2. 方案编制阶段 11 2.2.3. 现场测评阶段 11 2.2.4. 分析与报告编制阶段 2.3. 测评方法 13 2.3.1. 工具测试 13 2.3.2. 配置检查 14 2.3.3. 人员访谈 14 2.3.4. 文档审查 15 2.3.5. 实地查看 15 2.4. 测评工具 16 2.5. 输出文档 17 2.5.1. 等级保护测评差距报告 2.5.2. 等级测评报告 2.1. 测评分析 4 13 错误！ 错误！ 安全整改建议 2.5.3. 未定义书签。 未定义书签。 错误！ 未定义书签。 TOC \o 1-5 \h \z \o Current Document 4. 人员安排 18 组织结构及分工 18 人员配置表 19 工作配合 20 5. 其他相关事项 21 风险规避 21 项目信息管理 23 \o Current Document 保密责任法律保证 23 现场安全保密管理 23 文档安全保密管理 24 离场安全保密管理 24 其他情况说明 24 项目概述 项目背景 为了贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意 见》、《关于信息安全等级保护工作的实施意见》和《信息安全等级保护管理 办法》的精神，2015年 XXXXXXXXXXXXXXXXX要按照国家《信息安全技术信息 系统安全等级保护定级指南》、《计算机信息系统安全保护等级划分准则》、 《信息系统安全等级保护基本要求》、《信息系统安全等级保护测评 准则》的 要求，对XXXXXXXXXXXXXXX现有六个信息系统进行全面的信息安全测评与评 估工作,并且为xxxxxxxxxxxxxxxXX供驻点咨询、实施等服务。（安全技术测 评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全五个层面 上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员 安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评），加大 测评与风险评估力度，对信息系统的资产、威胁、弱点和风险等要素进行全面 评估，有效提升信心系统的安全防护能力，建立常态化的等级保护工作机制， 深化信息安全等级保护工作，提高 xxxxxxxxxxxxxxxXX络与信息系统的安全 保障与运维能力。 项目目标 全面完成XXXXXXXXXXXXXXXXX有六个信息系统的信息安全测评与评估工 作和协助整改工作，并且为XXXXXXXXXXXXXXX提供驻点咨询、实施等服务， 按照国家和xxxxxxxxxxxxxxxXX有关要求，对xxxxxxxxxxxxxxxXX网络 架构进行业务影响分析及网络安全管理工作进行梳理，提高 xxxxxxxxxxxxxxxXX个网络的安全保障与运维能力，减少信息安全风险和降 低信息安全事件发生的概率，全面提高网络层面的安全性，构建 xxxxxxxxxxxxxxxXX息系统的整体信息安全架构，确保全局信息系统高效稳 定运行，并满足xxxxxxxxxxxxxxxXX出勺基本要求，及时提供咨询等服务。 项目原则 项目的方案设计与实施应满足以下原则： 符合性原则： 应符合国家信息安全等级保护制度及相关法律法规，指出 防范的方针和保护的原则。 标准性原则： 方案设计、实施与信息安全体系的构建应依据国内、国际 的相关标准进行。 规范性原则： 项目实施应由专业的等级测评师依照规范的操作流程进 行，在实施之前将详细量化出每项测评内容，对操作过程和结果提供规范的记 录，以便于项目的跟踪和控制。 可控性原则： 项目实施的方法和过程要在双方认可的范围之内，实施进 度要按照进度表进度的安排，保证项目实施的可控性。 整体性原则： 安全体系设计的范围和内容应当整体全面，包括安全涉及 的各个层面，避免由于遗漏造成未来的安全隐患。 最小影响原则： 项目实施工作应尽可能小的影响网络和信息系统的正常 运行，不能对信息系统的运行和业务的正常提供产生显著影响。 保密原则： 对项目实施过程获得