等保2.0重点汇总 .pdfVIP

等保2.0重点汇总

等保2.0重点汇总

1整体测评结果分析从安全控制点间、区域间/层⾯间和验证测试等⽅⾯对单项测评的结果进⾏验证、分析和整体评价。根据整

体测评结果，对安全问题汇总表中的安全问题进⾏修正，风险等级为“⾼”、“中”、“低”，修正后的问题风险程度，等级测评结论

由综合得分和最终结论构成。

1.GB17859-1999《计算机信息系统安全保护等级划分准则》是⽹络安全领域唯⼀强制的标准，也是⽹络安全等级保护标准体

系的中的基础标准。

2.GB17859-1999《计算机信息系统安全保护等级划分准则》将计算机信息系统的安全保护能⼒由低到⾼划分五个等级，分别

第⼀级-⽤户⾃主保护级、第⼆级-系统审计保护级、第三级-安全标记保护级、第四级-结构化保护级、第五级-访问验证保护

级。

3.GB/T22239-2019《信息安全技术⽹络安全等级保护基本要求》规定了⽹络安全等级保护的第⼀级到第四级等级保护对象的

安全通⽤要求和安全扩展要求，适⽤于知道分等级的⾮涉密对象的安全建设和监督管理。

保护数据在存储、传输、处理过程中不被泄露、破坏和免受未侵权的修改的信息安全类要求（简记为S）

保护系统连续正常的运⾏，免受对系统的未侵权的修改、破坏⽽导致系统不可⽤的服务保证类要求（简记为A）

测评单元编码规则为三组数据，第⼀组：L1-5级别，

第⼆组：

PES为安全物理环境、

CNS为安全通信⽹络、

ABS为安全区域边界、

CES安全计算环境、

SMC为安全管理中⼼、

PSS为安全管理制度、

ORS为安全管理制度

HRS为安全管理⼈员

CMS为安全建设管理

MMS为安全运维管理

BDS代表⼤数据

数字代表应⽤场景，1安全通⽤，2，云计算，3移动互联4物联⽹5为⼯业控制系统

数据安全与备份恢复:主要测评对象包括加密机、VPN设备、备份软/硬件系统以及灾备中⼼等。

测评⼒度在⼴度⽅⾯主要体现为测评对象的类型和数量

风险的规避：

1.签署委托测评协议，

2.签署保密协议，

3.签署现场测评授权书

4.现场测评⼯作的风险规避，渗透需要测试环境

5.测评现场还原

6.规范化实施过程，

7.沟通与交流

题集：

1.给⼀个⽹络拓扑图，结合

2.0指出有哪些不⾜，给出整改⽅案

2.⼯具测试流程：

1.收集⽬标系统信息

2.规划⼯具测试接⼊点

3.编制《⼯具测试作业指导书》

4.现场测试

5.测试结果整理分析

2.⼯具测试接⼊点：

1.由低级别系统向⾼级别系统探测，

2.同⼀系统同等重要程度功能区域之间要相互探测

3.由较低重要程度区域向较⾼重要程度区域探测

4.由外联接⼝向系统内部探测

5.跨⽹络隔离设备要分段探测。

3.算分题2.0算分需要搞懂

4.测评⽅案，整体测评，测评对象选取

答：测评⽅案：决定等级测评项⽬实施成功与否的关键，根据测评准备活动中收到的被测定级对象的具体情况，选取测评对象

和测评指标，选择测评⽅法，规划现场测评实施⽅案，为现场测评活动提供基本的⽂档和指导⽅案。测评⽅案内容包括项⽬概

述、被测等级保护对象情况、测评对象与指标、测评⽅法与⼯具、⼯具测试、测评内容与实施以及配合资源要求。

测评对象的选取：重要性原则-抽查重要的服务器、数据库和⽹络安全设备，安全性原则-抽查对外暴露的⽹络边界共享性原则-

抽查共享设备和数据交换设备，全⾯性原则-抽查应尽量多的系统各种设备类型，操作系统类型，数据库类型，应⽤系统类型，

符合性原则-选择的设备和软件系统应满⾜响应等级测评⼒度要求。在满⾜测评⼒度的前提下允许对系统构成组件进⾏抽查，⼀

般等级对象可以采⽤分层抽样⽅法，复杂定级对象采⽤多阶抽样⽅法。1.对定级对象构成组件进⾏分类，客户端、服务器、⽹

络互联设备、安全设备、安全相关⼈员和安全

管理⽂档，在分类基础上继续细化。2.对于每⼀类定级对象构成组件，应根据调研结果进⾏重要性分析，选择对被测定级对象

来说重要程度⾼的设备。再可进⾏物理位置分析、共享性分析和全⾯性峰分析，进⼀步完善测评对象集合；最后依据测评⼒度

恰当性分析，综合衡量测评投⼊和结果产出，确定测评对象的种类和数量。

整体测评并举例：根据单项测评结果整体安全保护状况进⾏综合评价分析，分别从安全控制点测评、安全控制点间、层⾯间、

和区域间四个⾓度相互作⽤分别进⾏测评，根据综合分析结果修正安全问题风险等级。例如机房未安装防盗报警设置，修正前

风险等级，为中，修正理由描述为机房安排专⼈24⼩时值守，可起到防盗报警功能，windows服务器操作系统没有设置登陆失

败功能，描述为所有登陆windows服务器的终端都是⽤KVM本地登录，登录终端设在机房，机房2