GB／T 28448-2025 中文版 网络安全等级保护测评要求.docxVIP

GB/T28448-2025中文版网络安全等级保护测评要求

测评要求这份标准，回答的是怎么判断一个系统达没达到基本要求。它把基本要求中的控制点转化为可测评的指标，规定了测评方法、判定规则和结论形式。对测评机构而言，它是作业依据；对运营使用单位而言，它是理解测评到底查什么的最佳入口。

本文按指标体系、测评方法、单元测评、整体测评、风险分析、结论判定的顺序展开。测评要求与基本要求是配套关系，控制点的具体内容以基本要求为准，本文侧重讲测评侧的方法与判定逻辑。

一、测评要求的定位与作用

测评要求不重复规定安全要求本身，而是规定如何验证这些要求是否被满足。这个分工很重要：基本要求说应该有什么，测评要求说怎么查、查到什么程度算符合。

（一）三个功能

第一，统一测评尺度，避免不同机构对同一条要求作出差异过大的判定；第二，规范测评过程，明确访谈、检查、测试的适用场景；第三，约束结论表达，要求结论有证据支撑、有判定理由。

（二）与基本要求的关系

测评指标通常由控制点细化而来，一个控制点可能拆成多个测评项，每个测评项对应一种或多种方法。测评时先判定测评项，再汇总到控制点，最后形成层面与整体结论。

二、测评指标体系

指标体系是测评的骨架，理解其层级才能保证不重不漏。

（一）层级结构

一般按层面、控制点、测评项组织。层面包括技术层面的物理环境、通信网络、区域边界、计算环境、管理中心，以及管理层面的制