2024网络安全等级保护咨询工作规范.docx

网络安全等级保护咨询工作规范

2024

—第

—第PAGE2页—

目次

前言 3

范围 4

规范性引用文件 4

术语和定义 4

人员管理 5

素质要求 5

技术学习 5

工作安排 5

过程管理 6

阶段划分 6

整体流程 6

技术管理 7

定级备案 7

差距分析 11

规划设计 13

系统建设 25

安全整改 39

风险管理 41

风险分析 41

风险规避 41

—第

—第PAGE10页—

网络安全等级保护咨询工作规范

范围

本规范确立了开展等级保护咨询工作时应遵循的基本原则和策略，给出了在开展定级备案、差距分析、规划设计、系统建设和安全整改等咨询服务时的工作指南。

本规范适用于咨询人员，在服务过程中遵循本标准的要求开展工作。

规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅该日期对应的版本适用于本文件；不注明日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T22239-2019信息安全技术网络安全等级保护基本要求

GB/T25058-2019信息安全技术网络安全等级保护实施指南

GB/T25070-2019信息安全技术网络安全等级保护安全设计技术要求

GB/T28448-2019信息安全技术网络安全等级保护测评要求GB/T22240-2020信息安全技术网络安全等级保护定级指南GB/T20984-2007信息安全技术信息安全风险评估规范GB/T30276-2020信息安全技术网络安全漏洞管理规范GB/T30279-2020信息安全技术网络安全漏洞分类分级指南

GB/T28458-2020信息安全技术网络安全漏洞标识与描述规范

GB/T

29246-2017

信息安全管理体系概述和词汇

GB/T

22081-2016

信息安全管理体系实践指南

GB/T24405.1-2009信息技术服务管理第1部分：规范GB/T24405.2-2010信息技术服务管理第2部分：实践规则

术语和定义

3.1

网络安全cybersecurity

通过采取必要的措施，防范对网络的攻击、侵入、干扰、破坏、非法使用和意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、机密性、可用性的能力。

3.2

等级保护对象targetOSclassifiedprotection

网络安全等级保护工作直接作用的对象。主要包括信息系统、通信网络设施和数据资源等。

3.3

信息系统informationsystem

应用、服务、信息技术资产或其他信息处理组件。通常由计算机或者其他信息终端及相

关设备组成，并按照一定的应用目标和规则进行信息处理或过程控制。

3.4

通信网络设施networkinfrastructure

为信息流通、网络运行等起基础支撑作用的网络设备设施。

3.5

数据资源dataresources

具有或预期具有价值的数据集合。

人员管理

素质要求

为保证工作质量，咨询人员应熟悉网络安全等级保护体系要求及相关标准文件，研究网络安全知识，掌握常见信息资产的配置管理，具备较高水平的写作和演讲能力，能够在项目管理的约束下按模板完成文档和报告的编制工作。

技术学习

咨询人员在开展工作前，应接受咨询服务和等级保护体系知识的岗前培训，掌握相关网络安全法规、标准和企业制度体系要求等。获取学习客户方的网络安全管理要求，掌握注意事项，明确工作内容，可以按照客户要求和公司制度开展工作。

咨询人员在开展工作后，应根据所开展工作的技术特点和客户需求开展技术学习，维持学习热情，持续提升咨询人员的技术水平和能力。

工作安排

网络安全等级保护咨询服务包括定级备案、差距分析、规划设计、系统建设和安全整改等五项主要内容。

从信息收集开始，编制咨询方案，提醒客户方开展灾备工作。调研等级保护对象，编制定级报告、备案表等文件，推进定级备案工作的开展。对于已建设完成的信息化系统，确定定级结果，依据GB/T28448-2019《信息安全技术网络安全等级保护测评要求》采用现场勘查、人员访谈、资料查阅、配置核查和验证测试等方式对定级对象进行检查，检查结果与GB/T22239-2019《信息安全技术网络安全等级保护基本要求》等有关标准进行对标分析，记录不符合项，编制差距分析报告，提出整改建议，根据差距分析结果开展整改活动。对于尚未建设或需要规划的信息化系统，根据定级结果开展规划设计，并进行系统建设。

对咨询中的事件、请求和问题进行积极响应，召开技术会议，及时处理事件，解决关键问题，维持咨询服务过程的高效、稳定运行。

过程管理

阶段