GB／T 28449-2025 中文版 网络安全等级保护测评过程指南.docxVIP

GB/T28449-2025中文版网络安全等级保护测评过程指南

测评质量的高低，很大程度上不取决于测评师的技术水平，而取决于过程管理。同一个团队，按规范流程做，结论可信、档案完整、客户认可；赶工期、跳步骤、少记录，就会在现场留下大量无法回溯的判定。过程指南的意义，就是把这套“怎么做才不出错”的经验固化下来。

本文按测评准备的四个基本阶段展开：准备、方案编制、现场实施、报告编制，并在最后补充过程控制与档案管理的实操方法。文中所述的活动顺序与交付物为一般性描述，具体活动清单以正式标准为准。

一、四个阶段及其衔接

测评过程通常划分为测评准备、方案编制、现场测评、报告编制四个阶段。四阶段之间不是简单的先后关系，而是带反馈的迭代：现场发现方案不适用，要回到方案调整；报告阶段发现证据缺失，要回到现场补采。

（一）阶段目标

准备阶段解决“测什么、凭什么测”；方案阶段解决“怎么测、谁来测、什么时候测”；现场阶段解决“测得准、记得全”；报告阶段解决“说得清、可复核”。每个阶段都有明确的输入与输出，缺一不可。

（二）阶段的裁剪

小型项目可以合并部分活动，但不能省略关键控制点：合同评审、方案审批、现场记录、报告复核。这四项是保证结论可信的最低要求。

二、测评准备活动

准备不足是现场失控的头号原因。

（一）合同与委托

明确测评对象、范围、依据、周期、交付物、双方责任、保密要求。合同评审应确认机构具备