《安全可靠测评工作指南》试行.docxVIP

《安全可靠测评工作指南》试行

1适用范围

本指南适用于党政机关、关键信息基础设施运营者、涉及公共利益的企事业单位开展的基础软硬件产品、信息系统、服务体系、集成方案的安全可靠测评活动，同时作为第三方测评机构承接安全可靠测评项目、主管部门开展测评活动监督管理的依据。涉密场景下的安全可靠测评工作需同时符合国家保密管理相关规定。

2基本原则

2.1合规性原则

测评活动需严格遵循《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《关键信息基础设施安全保护条例》等上位法规，符合网络安全等级保护2.0系列标准、信创产品适配标准、行业安全规范要求，所有测评项需对应明确的合规依据，无依据的测评项不得纳入测评范围。

2.2客观性原则

测评实施过程不受委托方、被测方或其他利益相关方干预，所有测试数据需可追溯、可复现，测评过程全程留痕，原始记录留存期不少于5年。测评结果判定需严格执行预设的量化标准，不得通过自由裁量调整判定结论。

2.3科学性原则

测评方法需经过专家论证，指标权重分配符合被测对象的业务属性，核心指标权重占比不低于总权重的80%。测评样本量需符合统计显著性要求，单测评项重复测试次数不少于3次，测试结果一致方可判定最终结果。

2.4最小影响原则

测评活动需最大限度降低对被测方正常业务的影响，涉及生产环境的测试需安排在业务低峰期开展，提前制定业务回滚预案，测评过程中业务中断率需控制在0.1%以内，单次业务中断时长不得超过5分钟。

2.5保密性原则

测评参与各方需签订保密协议，对测评过程中获取的业务数据、技术文档、漏洞信息等敏感内容严格保密，不得向无关第三方泄露，涉密信息的处理需符合国家保密管理要求。

3测评主体资质要求

3.1委托方要求

3.1.1需明确项目对接责任人，清晰界定测评需求边界，提供真实的业务场景参数、性能阈值要求、合规判定标准，不得隐瞒被测对象的已知风险。

3.1.2不得授意或胁迫测评机构篡改测评数据、出具虚假测评报告，不得干预测评人员的独立判定。

3.1.3需协调被测方配合测评工作开展，为测评活动提供必要的环境、权限、文档支撑。

3.2测评实施方要求

3.2.1需具备中国合格评定国家认可委员会（CNAS）认可的软件测评或网络安全测评资质，同时具备省级以上网信部门认可的安全可靠测评服务能力，近3年无虚假测评、违规泄露敏感信息等不良记录。

3.2.2测评团队总人数不少于12人，其中持有注册信息安全专业人员（CISP）、信息安全保障人员认证（CISAW）、网络安全等级保护测评师资质的人员占比不低于70%，核心测评人员需具备3年以上信创领域测评经验，参与过不少于5个省部级以上安全可靠测评项目。

3.2.3需具备独立的测试环境，可覆盖主流信创技术栈的适配测试需求，测试工具需经过国产化适配验证，不存在供应链安全风险。

3.2.4需建立完善的质量管控体系，测评过程需经过初核、复核、专家审核三级校验，确保结果准确性。

3.3被测方要求

3.3.1需提供被测对象的全量技术文档，包括需求规格说明书、设计文档、接口说明、运维手册、漏洞修复记录、供应链溯源清单等，文档准确率需达到100%。

3.3.2需配合搭建符合要求的测试环境，开放必要的测试权限，不得隐藏被测对象的已知漏洞、预留后门等风险点。

3.3.3对测评过程中发现的问题需按要求及时整改，不得提供虚假的整改证明材料。

4测评对象分类

4.1基础软硬件产品：包括通用CPU、服务器/终端操作系统、数据库管理系统、中间件、办公软件、终端安全产品、存储设备、网络设备、工控基础组件等。

4.2应用系统：包括政务服务系统、行业核心业务系统、公共服务系统、工业控制系统、移动应用程序、小程序等。

4.3服务类：包括云计算服务、运维服务、数据处理服务、安全运营服务、集成实施服务等。

4.4集成方案：包括信创全栈适配方案、数据迁移方案、灾备建设方案、跨系统互通方案等。

5测评前置准备

5.1需求调研

测评机构需在项目启动后10个工作日内完成需求调研，输出《测评需求说明书》，明确被测对象的业务等级（网络安全等级保护等级、是否属于关键信息基础设施）、核心业务场景、性能阈值、兼容范围、安全合规要求，说明书需经委托方、被测方、测评机构三方签字确认后方可生效，需求变更需提交正式的变更申请，经三方确认后方可调整测评范围。

5.2测试环境搭建

5.2.1测试环境需与生产环境配置一致性达到95%以上，包括硬件型号、软件版本、网络拓扑、权限配置、数据量级，测试数据需覆盖生产数据的所有字段类型，数据量不低于生产环境峰值的1.2倍，敏感测试数据需经过脱敏处理，脱敏率达到100%，不得使用真实的国家秘密、工作秘密、个人敏感信息作为测试数据