信息安全技术信息系统安全等级保护测评过程指.docxVIP

信息平安技术信息系统平安等级保卫测评过程指南送审稿

引言

依据?中华人民共和国计算机信息系统平安保卫?〔国务院147号令〕、?国家信息化领导小组关于加强信息平安保障工作的意见?〔中办发[2003]27号〕、?关于信息平安等级保卫工作的实施意见?〔公通字[2004]66号〕和?信息平安等级保卫治理方法?〔公通字[2007]43号〕，制定本标准。?本标准是信息平安等级保卫相关系列标准之一。?与本标准相关的系列标准包括：?——GB/T22240-2021信息平安技术信息系统平安等级保卫定级指南；?——GB/T22239-2021信息平安技术信息系统平安等级保卫全然要求；?——GB/TCCCC-CCCC信息平安技术信息系统平安等级保卫实施指南；?——GB/TDDDD-DDDD信息平安技术信息系统平安等级保卫测评要求。

信息平安技术信息系统平安等级保卫测评过程指南

1范围

本标准了信息系统平安等级保卫测评〔以下简称等级测评〕工作的测评过程，既适用于测评机构、信息系统的主管部门及运营使用单位对信息系统平安等级保卫状况进行的平安测试评价，也适用于信息系统的运营使用单位在信息系统定级工作完成之后，对信息系统的平安保卫现状进行的测试评价，猎取信息系统的全面保卫需求。

2标准性引用文件

以下文件中的条款通过在本标准中的引用而成为本标准的条款。但凡注日期的引用文件，其随后所有的修改单〔不包括勘误的内容〕或修订版均不适用于本标准，然而，鼓舞依据本标准达成协议的各方研究是否使用这些文件的最新版本。但凡不注明日期的引用文件，其最新版本适用于本标准。?GB/T5271.8信息技术词汇第8局部：平安GB17859-1999计算机信息系统平安保卫等级划分准那么GB/T22240-2021信息平安技术信息系统平安等级保卫定级指南GB/T22239-2021信息平安技术信息系统平安等级保卫全然要求GB/TCCCC-CCCC信息平安技术信息系统平安等级保卫实施指南GB/TDDDD-DDDD信息平安技术信息系统平安等级保卫测评要求?信息平安等级保卫治理方法?〔公通字[2007]43号〕

3术语和定义

GB/T5271.8、GB17859-1999、GB/TCCCC-CCCC和GB/TDDDD-DDDD确立的以及以下的术语和定义适用于本标准。

优势证据superiorevidence?对单一测评项实施等级测评过程中获得的多个测评结果之间存在矛盾，且都没有足够的证据否认与之矛盾的测评结果的，那么测评结果的证实力明显大于其他测评结果的证实力的那个〔些〕测评结果即为优势证据。

4等级测评概述

4.1等级测评的作用

依据?信息平安等级保卫治理方法?〔公通字[2007]43号〕，信息系统运营、使用单位在进行信息系统备案后，都应中选择测评机构进行等级测评。等级测评是测评机构依据?信息系统平安等级保卫测评要求?等治理标准和技术标准，检测评估信息系统平安等级保卫状况是否到达相应等级全然要求的过程，是落实信息平安等级保卫制度的重要环节。?在信息系统建设、整改时，信息系统运营、使用单位通过等级测评进行现状分析，确定系统的平安保卫现状和存在的平安咨询题，并在此根底上确定系统的整改平安需求。

在信息系统运维过程中，信息系统运营、使用单位定期托付测评机构开展等级测评，对信息系统平安等级保卫状况进行平安测试，对信息平安管控能力进行考察和评价，从而判定信息系统是否具备GB/T22239-2021中相应等级平安保卫能力。而且，等级测评报告是信息系统开展整改加固的重要指导性文件，也是信息系统备案的重要附件材料。等级测评结论为信息系统未到达相应等级的全然平安保卫能力的，运营、使用单位应当依据等级测评报告，制定方案进行整改，尽快到达相应等级的平安保卫能力。

4.2等级测评执行主体

能够为三级及以上等级信息系统实施等级测评的等级测评执行主体应具备如下条件：在中华人民共和国境内注册成立〔港澳台地区除外〕；由中国公民投资、中国法人投资或者国家投资的企事业单位〔港澳台地区除外〕；从事相关检测评估工作两年以上，无违法记录；工作人员仅限于中国公民；法人及要紧业务、技术人员无犯罪记录；使用的技术装备、设施应当符合?信息平安等级保卫治理方法?〔公通字[2007]43号〕对信息平安产品的要求；具有完备的保密治理、工程治理、质量治理、人员治理和培训教育等平安治理制度；对国家平安、社会秩序、公共利益不构成威胁。〔摘自?信息平安等级保卫治理方法?〔公通字[2007]43号〕〕等级测评执行主体应履行如下义务：遵守国家有关和技术标准，提供平安、客瞧、公正的检测评估效劳，保证测评的质量和效果；保守在测评活动中知悉的国家隐秘、商业隐秘和个人隐私，防范测评风险；对测评人员进行平安保密教育，与其签订平安保密责任书，应当履行的平安保密