信息安全技术网络安全等级保护测评要求.doc

信息安全技术网络安全等级保护测评规定

第1部分：安全通用规定

编制说明

概述

任务来源

《信息安全技术信息系统安全等级保护测评规定》于2023年成为国家标准，标准号为GB/T28448-2023，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。但是随着信息技术的发展，特别云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2023年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T28448-2023进行修订。矚慫润厲钐瘗睞枥庑赖。矚慫润厲钐瘗睞枥庑赖賃。

根据全国信息安全标准化技术委员会2023年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评规定》修订任务由公安部第三研究所负责主办，项目编号为2023bzxd-WG5-006。聞創沟燴鐺險爱氇谴净。聞創沟燴鐺險爱氇谴净祸。

制定本标准的目的和意义

《信息安全等级保护管理办法》（公通字[2023]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，并且等级测评的技术测评报告是其检查内容之一。这就规定等级测评过程规范、测评结论准确、公正及可重现。残骛楼諍锩瀨濟溆塹籟。残骛楼諍锩瀨濟溆塹籟婭。

《信息安全技术信息系统安全等级保护基本规定》（GB/T22239-2023）（简称《基本规定》）和《信息安全技术信息系统安全等级保护测评规定》（GB/T28448-2023）（简称《测评规定》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。酽锕极額閉镇桧猪訣锥。酽锕极額閉镇桧猪訣锥顧。

随着着IT技术的发展，《基本规定》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展特别是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目的。彈贸摄尔霁毙攬砖卤庑。彈贸摄尔霁毙攬砖卤庑诒。

作为《基本规定》的姊妹标准，《测评规定》需要同步修订，依据《基本规定》的更新内容相应修订相关的单元测评章节。謀荞抟箧飆鐸怼类蒋薔。謀荞抟箧飆鐸怼类蒋薔點。

此外，《测评规定》还需要吸取近年来的测评实践，更新整体测评方法和测评结论形成方法。

与其他标准的关系

图1等级保护标准互相关系

从上图可以看出，在等级保护对象实行安全保护过程中，一方面运用《信息安全技术信息系统安全等级保护定级指南》（GB/T22240-2023）（简称“《定级指南》”）拟定等级保护对象的安全保护等级，然后根据《信息安全技术网络安全等级保护基本规定》系列标准选择安全控制措施，随后运用《信息安全技术信息系统安全等级保护实行指南》（简称“《实行指南》”）或其他相关标准拟定其特殊安全需求，进行等级保护对象的安全规划和建设工作，此后运用《信息安全技术网络安全等级保护测评过程指南》（GB/T28449-20XX）（简称“《测评过程指南》”）来规范测评过程和各项活动，运用《信息安全技术网络安全等级保护测评规定》系列标准来判断安全控制措施的有效性。同时，等级保护整个实行过程又是由《实行指南》来指导的。厦礴恳蹒骈時盡继價骚。厦礴恳蹒骈時盡继價骚卺。

在等级保护的相关标准中，《测评规定》系列标准是《基本规定》系列标准的姊妹篇，《测评规定》针对《基本规定》中各规定项，提供了具体测评方法、环节和判断依据等，是为了确认等级保护对象是否按照《基本规定》中的不同等级的技术和管理规定实行的，而《测评过程指南》则是规定了开展这些测评活动的基本过程，涉及过程、任务及产品等，以指导用户对《测评规定》的对的使用。茕桢广鳓鯡选块网羈泪。茕桢广鳓鯡选块网羈泪镀。

标准组成

为了适应移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用情况下网络安全等级保护测评工作的开展，需对GB/T28448-2023进行修订，修订的思绪和方法是针对移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用领域提出扩展的测评规定。鹅娅尽損鹌惨歷茏鴛賴。鹅娅尽損鹌惨歷茏鴛賴縈。

对GB/T28448-2023的修订完毕后，测评规定标准成为由多个部分组成的系列标准，目前重要有六个部分：籟丛妈羥为贍偾蛏练淨。籟丛妈羥为贍偾蛏练淨槠。

——GB/T28448.1-20XX信息安全技术网络安全等级保护测评规定第1部分：安全通用规定；

——GB/T28448.2-20XX信息安全技术网络安全等级保护测评规定第2部分：云计算安全扩展规定；預頌圣鉉儐歲龈讶骅籴。預頌圣鉉儐歲龈讶骅籴買。

——GB/T28448.3-20XX信息安全技术网络安全