网络安全等保测评实施指南（修订版）.docx

网络安全等保测评实施指南（修订版）

本指南依据《中华人民共和国网络安全法》《网络安全等级保护条例》《GB/T22239-2019信息安全技术网络安全等级保护基本要求》《GB/T28448-2019信息安全技术网络安全等级保护测评要求》《网络安全等级保护测评机构管理办法》编制，替代此前发布的旧版实施细则，适用于所有二级、三级、四级等级保护对象的全流程测评实施工作，所有持证等级保护测评机构、委托测评的运营使用单位均可直接参照执行。

第一章等保测评前期筹备工作

一、测评受理与资质核验

1.委托方基础资质核验

测评机构正式受理测评委托前，必须核验委托方提交的网络安全等级保护备案证明，确认备案等级与测评机构的资质服务范围匹配。其中二级系统测评可由持有等级保护测评推荐证书的本地机构直接承接，三级系统测评需确认项目组至少有2名持有正式等保测评师证书的人员，四级系统测评必须提前7个工作日向属地省级公安机关网安部门提交测评申请，获得前置审批同意后方可启动后续工作。所有资质核验工作需在2个工作日内完成，不得承接超出自身资质范围的测评项目。

2.测评对象边界确认

测评机构需联合委托方的网络安全负责人，共同划定准确的测评对象边界，边界覆盖范围必须包含物理环境、网络设备、安全设备、服务器、终端、业务应用、数据资产、安全管理体系8个核心部分，双方共同签字盖章确认的边界清单作为后续现场测评的唯