网络安全等级测评规范（试行）.docxVIP

网络安全等级测评规范（试行）

1总则

1.1目的依据

为规范网络安全等级测评活动，保证测评结果客观、准确、公正，落实《中华人民共和国网络安全法》《网络安全等级保护条例》要求，依据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）、《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）等国家标准，制定本规范。

1.2适用范围

本规范适用于非涉密网络的等级测评活动，第二级网络测评可参照执行，第三级及以上（含第三级）网络测评必须严格遵守本规范，测评机构、被测单位、监管部门开展等级测评相关工作均应执行本规范。

1.3术语定义

等级测评：是指测评机构依据国家网络安全等级保护规定和标准，对已经备案的网络的安全保护状况进行检测评估，判断其是否符合等级保护要求的活动。

测评对象：指经公安机关备案的，承载网络业务的资产、系统、管理体系及相关物理环境。

高风险问题：指可被轻易利用，能够直接导致核心数据泄露、业务系统中断、网络控制权被窃取、违反国家监管要求的安全隐患。

2测评机构与人员要求

2.1机构资质要求

开展等级测评的机构必须取得省级以上网络安全监管部门认可的等级测评服务资质，通过ISO9001质量管理体系认证，具备固定的办公场所和专用物理隔离测评实验室，配备经认证合规的漏洞扫描器、渗透测试工具、流量分析仪、配置核查系统等专业测评设备，工