97国际

不必推倒重修 ,老终端也能焕新 丨 97国际教育云电脑老客户升级分享会
预约直播
融合光加速 ,慧联全场景 丨 97国际极简以太彩光5.0 界说万兆园区全场景新范式
预约直播
97国际·(中国区)集团官方网站
产品
< 返回主菜单
产品中心
产品
解决计划
< 返回主菜单
解决计划中心
行业
合作伙伴
返回主菜单
选择区域/语言
97国际·(中国区)集团官方网站

您订阅的产品有更新 ,请实时查阅

审查详情
97国际·(中国区)集团官方网站 97国际·(中国区)集团官方网站

等保测评是什么

等保测评用于评估网络系统或应用是否知足响应的清静�;て芳兑� ,是网络清静品级�;な虑榈闹饕方谥��?沟缺2馄滥芄蛔手缭擞呤侗鹣低潮4娴那寰惨� ,实时对系统举行整改加固。本文就等保测评的看法、流程以及测评内容举行简要先容。

  • 97国际·(中国区)集团官方网站

    宣布时间:2022-11-28

  • 97国际·(中国区)集团官方网站

    点击量:

  • 97国际·(中国区)集团官方网站

    点赞:

分享至

97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站

我想谈论

1 等保测评概述
在讨论“等保测评是什么”之前 ,首先需要相识什么是“等保”。“等保”即网络清静品级�;� ,是指对网络信息和信息载体凭证主要水平划分品级 ,并基于分级 ,针对性地开展清静�;な虑�。网络清静品级�;ぶ贫仁俏夜缜寰擦煊蛳中械幕局贫�。
等保的实验流程分为5个环节:系统定级、备案、建设整改、品级测评和监视检查;而等保测评(也称品级测评)正是其中的一个主要环节。
等保测评是指由具有资质的测评机构 ,依据国家网络清静品级�;す娣痘� ,凭证有关管理规范和手艺标准 ,对等保工具(如信息系统、数据资源、云盘算、物联网、工业控制系统等)的清静品级�;ぷ刺傩屑觳馄拦赖脑硕�。简朴来说 ,等保测评用于验证网络系统或应用是否知足响应的清静�;て芳兑� ,是落实等保制度的要害运动之一。
图1-1 等保实验流程
图1-1 等保实验流程
                                                                                    

说明
本文所叙述的等保相关内容 ,均基于我国现在实验的《GB/T 22239-2019 信息清静手艺 网络清静品级�;せ疽蟆贰禛B/T 28449-2018 信息清静手艺 网络清静品级�;げ馄览讨改稀返认喙乇曜� ,即“网络清静品级�;�2.0”标准系统(简称“等保2.0”)。
                                                                                         
2 为什么要做等保测评
关于网络运营者 ,开展等保测评的须要性主要体现在如下几点:
●识别网络潜在危害 ,提升自身防护能力:
日益专业化、智能化、隐藏化的网络攻击为网络清静带来了更严肃的挑战 ,网络运营者可以通过等保测评相识系统的清静防护现状 ,识别系统内、外部保存的清静隐患 ,并在此基础上通过加固整改提高系统的网络清静防护能力 ,降低被攻击的危害。
●知足国家相关执律例则的要求:
执法层面上 ,国家《网络清静法》的第21条和第31条明确划定了网络运营者和要害信息基础设施运营者应当凭证网络清静品级�;ぶ贫鹊囊� ,推行相关的清静�;ひ逦�。不依法开展等保事情为违法行为 ,将由有关主管部分责令整改并处以�?睢⒅已缘却Ψ植椒�。
●提升行业竞争力:
是否开展等保事情是权衡企业信息清静水平的一个主要标准。关于企业来说 ,举行等保测评不但能够有用地提高信息系统清静建设的整体水平 ,还能够在向外部客户提供营业服务时给出信息系统清静性允许 ,增强客户、合作伙伴及利益相关方的信心。
                                                                               
3 等保测评品级划分
等保事情的焦点在于“分级” ,关于主要水平差别的网络系统 ,清静防护能力要求也有所差别。在举行等保测评之前 ,网络运营者需要先完成待测评工具的定级 ,以明确测评的维度和标准。
3.1   定级标准
目今我国实验的网络清静品级�;ぶ贫� ,将品级�;すぞ咂局な芷扑鹗彼鸷Φ目吞搴投钥吞逶斐伤鸷Φ乃� ,从低到高划分了五个清静�;て芳叮�
(1) 第一级:品级�;すぞ呤艿狡扑鸷� ,会对公民、法人和其他组织的正当权益造成损害 ,但不损害国家清静、社会秩序和公共利益;
(2) 第二级:品级�;すぞ呤艿狡扑鸷� ,会对公民、法人和其他组织的正当权益爆发严重损害 ,或者对社会秩序和公共利益造成损害 ,但不损害国家清静;
(3) 第三级:品级�;すぞ呤艿狡扑鸷� ,会对公民、法人和其他组织的正当权益爆发特殊严重损害 ,或者对社会秩序和公共利益造成严重损害 ,或者对国家清静造成损害;
(4) 第四级:品级�;すぞ呤艿狡扑鸷� ,会对社会秩序和公共利益造成特殊严重损害 ,或者对国家清静造成严重损害;
(5) 第五级:品级�;すぞ呤艿狡扑鸷� ,会对国家清静造成特殊严重损害。
图3-1 定级要素与清静�;て芳豆叵�
图3-1 定级要素与清静�;て芳豆叵�
                                                                                      
在现实应用中 ,定级主要参考行业要求和营业的生长体量 ,例如通俗的门户网站 ,定为二级已经足够 ,而存储较多敏感信息(如公民小我私家信息)的系统则需要定为三级或三级以上。大部分信息系统的清静�;て芳洞τ诙痘蛉�。
表3-1 常见的定级工具

二级等保工具

三级等保工具

●    不涉及敏感信息及主要信息的信息系统。

●    纯粹的展示网站 ,不涉及用户信息、交付生意、私密信息等。

●    非焦点营业系统 ,不存储小我私家隐私信息。

●    内部管理系统 ,协同办公正台。

●    涉及到敏感、主要信息的办公系统和管理系统。

●    涉及客户信息、支付、保密信息的系统。

●    影响力较量大的政企官方网站。

●    用户数据抵达一定命目级的网络平台。

示例:学校的网站、教育系统、事业单位政企官方网站等。

示例:金融系统、财税系统、交通运输系统、医疗系统、物流系统、游戏、涉及用户注册和支付的APP和软件等。

                                                                                    
3.2   定级流程
等保工具定级的一样平常事情流程包括:确定定级工具、起源确定定级、专家评审、主管部分批准和公安机关备案审核。
图3-2 等保工具定级事情的一样平常流程
图3-2 等保工具定级事情的一样平常流程
                                                                                        
关于清静�;て芳镀鹪慈范ㄎ谝患兜钠芳侗;すぞ� ,其网络运营者可依据标准自行确定最终清静�;て芳� ,无需举行专家评审、主管部分批准及备案审核。
而关于清静�;て芳镀鹪慈范ㄎ诙都耙陨系钠芳侗;すぞ� ,网络运营者需组织网络清静专家和营业专家对定级效果的合理性举行评审 ,将定级效果报请行业主管(羁系)部分批准 ,并凭证相关管理划定 ,将定级效果提交公安机关举行备案审核。
                                                                                
4 等保测评流程
等保测评流程包括四个基本测评运动:测评准备运动、计划体例运动、现场测评运动和报告体例运动。
图4-1 等保测评流程
图4-1 等保测评流程
                                                                                        
4.1   测评准备运动
作为等保测评流程中的准备办法 ,该阶段的主要事情包括组建等保测评项目组、网络定级工具相关资料、准备测评工具等 ,目的是资助测评职员熟悉测评工具和测评工具 ,对测评工具的清静状态做出起源剖析 ,为后续等保测评的实验做好充分的准备。
在该阶段 ,测评委托单位(即网络运营者)需要配合测评机构提供详尽的测评工具相关资料 ,为信息网络事情提供支持和协助。
4.2   计划体例运动
本阶段的目的是整理测评准备运动中获取的定级工具相关资料 ,为下一步的现场测评运动提供最基本的文档和指导计划。
在本阶段中 ,等保测评机构需要凭证测评委托方提供的相关信息 ,通太过析测评工具的整体结构、界线、网络区域等情形 ,确定测评工具、测评指标、测评内容以及工具测试要领 ,并输出详实的测评计划和测评指导书。
4.3   现场测评运动
4.3.1  主要使命
现场测评运动是等保测评流程中的焦点运动 ,测评职员使用访谈、文档审查、设置稽察、工具测试和实地审查的要领 ,凭证测评指导书实验现场测评 ,并将测评历程中获取的证据源举行详细、准确纪录。
在这个历程中 ,评测委托单位通常需要完成以下事情:
●在现场测评前完成系统和数据的备份 ,并相识测评事情的基本情形。
●协助测评机构获得现场测评的授权。
●相识现场测评保存的危害 ,对危害见告书举行签字确认。
●配合测评职员完成营业相关内容的问询、验证和测试。
●在工具测试历程中提供相关建议 ,降低测评历程对系统运行的影响。
4.3.2  测评内容
等保评测内容与品级�;ひ笙喽杂� ,分为清静通用要求和清静扩展要求两部分。
清静通用要求针对共性化�;ば枨筇岢� ,无论品级�;すぞ咭院沃中问椒浩� ,均需凭证清静�;て芳妒迪窒煊侗鸬那寰餐ㄓ靡�。如表4-1所示 ,清静通用要求分为手艺要求和管理要求;其中手艺要求包括清静物理情形、清静通讯网络、清静区域界线、清静盘算情形和清静管理中心五个方面;管理要求包括清静管理制度、清静管理机构、清静管理职员、清静建设管理和清静运维管理五个方面。
清静扩展要求针对个性化�;ば枨筇岢� ,适用于接纳特定手艺或特定应用场景下的品级�;すぞ�。现在相关标准提出的清静扩展要求主要面向云盘算、移动互联、物联网和工业控制系统四类应用场景。
表4-1 清静通用要求说明

 

清静控制要求

说明

清静控制点(测评项)

手艺要求

清静物理情形

●    针对物理机房提出的清静控制要求

●    主要工具为物理情形、物理装备和物理设施等

物理位置的选择

物剖析见控制

防偷窃和防破损

防雷击

防火

防水和防潮

温湿度控制

电力供应

电磁防护

清静通讯网络

●    针对通讯网络提出的清静控制要求

●    主要工具为广域网、城域网和局域网等

网络架构

通讯传输

可信验证

清静区域界线

●    针对网络界线提出的清静控制要求

●    主要工具为系统界线和区域界线等

界线防护

会见控制

入侵提防

恶意代码和垃圾邮件提防

清静审计

可信验证

清静盘算情形

●    针对界线内部提出的清静控制要求

●    主要工具为界线内部的所有工具 ,包括网络装备、清静装备、服务器装备、终端装备、应用系统、数据工具和其他装备等

身份判别

会见控制

清静审计

入侵提防

恶意代码提防

可信验证

数据完整性

数据保密性

数据备份与恢复

剩余信息�;�

小我私家信息�;�

清静管理中心

●    针对整个系统提出的清静管理方面的手艺控制要求

●    要求通过手艺手段实现集中管理

系统管理

审计管理

清静管理

集中管控

管理要求

清静管理制度

针对整个管理制度系统提出的清静控制要求

清静战略

管理制度

制订和宣布

评审和修订

清静管理机构

针对整个管理组织架构提出的清静控制要求

岗位设置

职员配备

授权和审批

相同和合作

审核和检查

清静管理职员

针对职员管理提出的清静控制要求

职员任命

职员离岗

清静意识教育和培训

外部职员会见管理

清静建设管理

针对清静建设历程提出的清静控制要求

定级和备案

清静计划设计

清静产品采购和使用

自行软件开发

外包软件开发

工程实验

测试验收

系统交付

品级测评

服务供应商管理

清静运维管理

针对清静运维历程提出的清静控制要求

情形管理

资产管理

介质管理

装备维护管理

误差和危害管理

网络和系统清静管理

恶意代码提防管理

设置管理

密码管理

变换管理

备份与恢复管理

清静事务处置惩罚

应急预案管理

外包运维管理

                                                                                          

说明
关于等保测评内容的详细先容 ,请拜见《GB/T 22239-2019 信息清静手艺 网络清静品级�;せ疽蟆贰禛B/T 28448-2018 信息清静手艺 网络清静品级�;げ馄酪蟆繁曜�。
                                                                                              
4.4   报告体例运动
报告体例运动是等保测评流程的最后一个办法 ,即在现场评测事情竣事后 ,对现场测评获得的测评效果举行汇总剖析 ,形成等保测评结论 ,并体例测评报告。
本阶段的事情流程分为7个环节:
(1) 单项测评效果判断:针对每个清静测评项 ,比对获取的测评证据是否知足预期要求 ,给出单项测评效果和切合水平得分。单项测评效果分为3类:切合、不切合以及部分切合。
(2) 单位测评效果判断:将单项测评效果举行汇总 ,剖析每个清静控制点下所有测评项的切合情形 ,给出单位测评效果。
(3) 整体测评:针对单项测评效果中的“不切合”项及“部分切合”项 ,剖析测评项间的关联关系 ,对测评工具的整体清静�;つ芰Ω雠卸�。整体测评可能影响单项测评效果 ,因此需要凭证整体测评情形修正单项测评的切合水平得分和问题严重水平值。
(4) 系统清静包管评估:综合单项测评和整体测评效果 ,盘算测评工具的清静性得分 ,并对测评工具的清静包管情形做出总体评价。
(5) 清静问题危害剖析:针对测评效果中的“不切合”项及“部分切合”项 ,剖析测评工具可能面临的清静问题以及最大危害效果;然后凭证最大清静危害严重水平确定测评工具面临的危害品级。危害品级分为“高”“中”“低”三个级别。
(6) 品级测评结论形成:测评职员在完成系统清静包管评估和清静问题危害评估的基础上 ,找出测评工具与品级�;ひ笾浔4娴牟畋� ,盘算测评工具的综合得分 ,并形成等保测评结论。
等保测评结论分为以下三种:
○切合:测评工具不保存清静问题 ,所有测评项的效果均为“切合” ,综合得分为100分。
○基本切合:测评工具保存清静问题 ,测评效果中包括“部分切合”或“不切合”项 ,但保存的清静问题不会导致测评工具面临高品级清静危害 ,且综合得分不低于等保要求阈值。
○不切合:测评工具保存清静问题 ,测评效果中包括“部分切合”或“不切合”项 ,而保存的清静问题会导致测评工具面临高品级清静危害 ,或者综合得分低于等保要求阈值。
(7) 测评报告体例:测评机构凭证规范名堂输出品级测评报告。等保测评运动所形成的等保测评报告是等保工具开展整改加固的主要依据。
                                                                            
5 总结
等保测评是检测评估等保工具的清静�;つ芰κ欠袂泻舷煊ζ芳痘疽蟮睦� ,是落实网络清静品级�;ぶ贫鹊闹饕方�。网络的运营、使用单位依法开展等保事情 ,落实等保测评流程 ,以明确网络系统的清静�;は肿春捅4娴那寰参侍� ,并在此基础上对系统举行整改加固 ,构建网络清静管理系统。

相关标签:

97国际·(中国区)集团官方网站 97国际·(中国区)集团官方网站

点赞

更多手艺博文

任何需要 ,请联系97国际

97国际·(中国区)集团官方网站

返回顶部

收起
97国际·(中国区)集团官方网站 文档AI助手
97国际·(中国区)集团官方网站 文档评价
资料内容是否对您有资助?
您对目今页面的知足度怎样?
不咋滴
很是好
您知足的缘故原由是(多�。�?
您对文档是否尚有其它的问题或建议?
为尽快解决问题 ,请您留下联系方法以便回复
邮箱
手机号
谢谢您的反�。�
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
97国际·(中国区)集团官方网站
请选择服务项目
关闭咨询页
售前咨询 售前咨询
售前咨询
售后服务 售后服务
售后服务
意见反响 意见反响
意见反响
更多联系方法
网站地图