等保测评报告保管规范.docxVIP

等保测评报告保管规范

一、总则

1.1编制目的

等级保护测评报告（以下简称“测评报告”）记载信息系统安全状况、隐患明细与整改建议，一旦泄露，攻击者可直接利用报告中的漏洞清单、网络拓扑、IP地址段实施精准攻击。本规范的核心目标是：让测评报告从交付完成那一刻起，其泄露概率与被利用风险降至可控水平，同时保证报告在监管检查、整改追溯、审计取证时可完整调取。

1.2适用范围

?本单位作为被测评方收到的全部等级保护测评报告（含最终版、初稿、整改确认稿、附件及电子原始数据）。

?本单位内部参与测评配合、报告保管、整改实施、销毁处置的全部人员，包括正式员工、劳务派遣、外包驻场人员。

1.3编制依据

?《中华人民共和国网络安全法》

?《中华人民共和国数据安全法》

?GB/T22239-2019《信息安全技术网络安全等级保护基本要求》

?GB/T28448-2019《信息安全技术网络安全等级保护测评要求》

?GB/T25058-2019《信息安全技术网络安全等级保护实施指南》

二、定密与分级管理

测评报告不是所有内容同等敏感，一刀切管理会推高成本、降低执行率。本规范将报告拆分为三个密级，按“最敏感部分”确定整体密级，一份报告内高密级页可单独抽存。

密级

判定标准

典型内容

保管要求

一级（公开）

不含任何系统内部信息

测评结论总页、盖章页、等级定级备案号

常规档案管理