信息安全等级保护实施流程文档¶

一、概述¶

信息安全等级保护（简称"等保"）是对信息和信息载体按照重要性等级分级别进行保护的一项工作。依据《中华人民共和国网络安全法》第二十一条规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

等级保护工作广义上包括涉及该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统安全等级保护的五个主要阶段：定级、备案、安全建设整改、等级测评、监督检查。

二、等级保护总体流程（五大阶段）¶

信息系统安全等级保护工作遵循"定级→备案→安全建设整改→等级测评→监督检查"的基本流程，形成一个完整的闭环管理体系。

阶段	主要工作内容	主要输出物	责任主体
1. 系统定级	确定信息系统安全保护等级（第一级至第五级）；编写定级报告；组织专家评审	信息系统安全等级保护定级报告；定级专家评审意见	信息系统运营/使用单位
2. 系统备案	向公安机关提交备案材料；获取备案证明	信息系统安全等级保护备案表；备案单位表；系统定级报告；备案证明	信息系统运营/使用单位
3. 安全建设整改	依据相应等级基本要求进行差距分析；制定整改方案；实施安全建设或整改	差距评估报告；整改方案/建设方案；安全管理制度体系文件	信息系统运营/使用单位；安全服务商
4. 等级测评	委托测评机构开展等级测评；获得测评报告	等级测评报告；问题整改建议	测评机构
5. 监督检查	公安机关定期或不定期检查；上级主管部门检查	检查结果；整改通知（如有）	公安机关；上级主管部门

三、等级测评详细流程（四大活动）¶

依据 GB/T 28449-2012《信息安全技术信息系统安全等级保护测评过程指南》，等级测评过程分为四个基本测评活动，测评双方之间的沟通与洽谈贯穿整个等级测评过程。

3.1 测评准备活动¶

本活动是开展等级测评工作的前提和基础，主要任务是掌握被测系统的详细情况，准备测试工具，为编制测评方案做好准备。

任务	输入	主要工作内容	输出
项目启动	委托测评协议书	组建测评项目组；获取被测系统基本信息；编制项目计划书	项目计划书
信息收集和分析	调查表格、系统文档、定级报告、安全方案等	收集方针文件、规章制度、管理记录；填写并回收调查表格；分析系统构成和保护情况	填好的调查表格
工具和表单准备	系统技术资料	调试测评工具（漏洞扫描、渗透测试、性能测试、协议分析等）；准备和打印各类表单	测评工具清单；各类表单（授权书、交接单、签到表等）

3.2 方案编制活动¶

本活动是开展等级测评工作的关键活动，为现场测评提供最基本的文档和指导方案。

任务	主要工作内容	输出
测评对象确定	识别被测系统整体结构、边界、网络区域、重要节点；确定各测评对象（机房、业务软件、主机OS、数据库、网络设备、安全设备、访谈人员、管理文档等）	测评方案的测评对象部分
测评指标确定	根据被测系统定级结果（S/A/G组合），从GB/T 22239-2008中选择相应等级的安全要求作为测评指标	测评方案的测评指标部分
测试工具接入点确定	确定需工具测试的测评对象；选择测试路径（从边界外、内部不同网段、同一网段接入）；确定测试工具接入点	测评方案的测试工具接入点部分
测评内容确定	将测评指标和测评对象结合，确定单元测评内容；以表格形式列出测评指标、测评对象、测评方法等	测评方案的单元测评实施部分
测评指导书开发	为每个测评对象编写测评指导书，包含：测评项、测评方法（访谈/检查/测试）、操作步骤、预期结果	各测评对象的测评指导书；测评结果记录表格
测评方案编制	汇总形成测评方案文稿（项目概述、测评对象、测评指标、工具接入点、测评内容等）；内部评审后提交测评委托单位签字确认	评审确认的测评方案文本

3.3 现场测评活动¶

本活动是开展等级测评工作的核心活动，按照测评方案分步实施所有测评项目，包括单元测评和整体测评。

现场测评包括五种基本测评方法：

测评方法	说明	适用范围	不同等级要求
访谈	与被测系统有关人员进行交流、讨论，获取证据、了解信息	安全管理各方面	二级及以上需基本覆盖所有安全相关人员类型
文档审查	检查安全方针、管理制度、操作规程、执行记录等文档的完整性和一致性	安全管理、系统建设、运维管理	三级要求所有文档齐全且完整，文档之间保持一致，与实际一致
配置检查	上机验证系统配置是否正确，包括日志审计、网络连接规则验证等	主机安全、网络安全、应用安全、数据安全	三级除检查完整性和正确性外，还需测试可用性和可靠性
工具测试	使用漏洞扫描、渗透测试、性能测试、协议分析等工具进行技术测试	主机安全、网络安全、应用安全	二级：对主机、服务器、关键设备进行漏洞扫描；三级：增加渗透测试（内部+外部渗透攻击）
实地察看	到系统运行现场观察人员行为、技术设施和物理环境	物理安全	三级需判断实地情况与制度文档的一致性，检查设备设施有效性和位置正确性

现场测评活动包含三项主要任务：

任务	主要工作内容	输出
现场测评准备	签署现场测评授权书；召开测评现场首次会；确认测评资源与配合人员；确认系统已备份	会议记录、确认的测评授权书；更新后的测评计划和程序
现场测评和结果记录	按五种测评方法逐项执行：访谈（与相关人员交流获取信息）、文档审查（检查制度、记录文件）、配置检查（上机验证配置）、工具测试（漏洞扫描、渗透测试等）、实地察看（现场观察物理环境）	各项测评结果记录；工具测试电子输出记录
结果确认和资料归还	汇总现场测评记录，补充遗漏内容；召开测评现场结束会，确认发现的问题；归还借阅文档资料并签字确认	问题汇总；证据和证据源记录；书面认可文件

3.4 分析与报告编制活动¶

本活动是给出等级测评工作结果的活动，根据现场测评结果进行综合分析，形成等级测评结论并编制测评报告。

任务	主要工作内容	输出
单项测评结果判定	针对每个测评项，分析其对抗的威胁是否存在（不存在则标为"不适用"）；选择"优势证据"与预期结果比较，判定为：符合/部分符合/不符合	单项测评结果记录
单元测评结果判定	按层面汇总各测评对象的单项测评结果；判定每个单元测评结果为：符合/部分符合/不符合/不适用	单元测评结果汇总表
整体测评	对不符合项从安全控制间、层面间、区域间进行关联分析；判断其他安全措施是否可以"弥补"该测评项的不足；分析系统整体结构的合理性	整体测评结果
风险分析	统计各层面符合情况；判断安全问题被威胁利用的可能性（高/中/低）；判断安全问题对系统的影响程度（高/中/低）；综合评估风险值（高/中/低）	风险分析和评价结果
等级测评结论形成	若部分符合和不符合项的统计结果不全为0，则系统未达到相应等级基本安全保护能力；若全为0，则系统达到相应等级基本安全保护能力	等级测评结论
测评报告编制	编制报告（概述、系统描述、测评对象、测评指标、测评方法、单元测评、整体测评、结果汇总、风险分析、测评结论、整改建议）；内部评审后提交	信息系统安全等级测评报告

四、等级保护测评项目全生命周期¶

从测评服务商/项目管理的角度，一个完整的等级保护测评项目通常包含以下阶段：

阶段	主要工作	关键交付物
1. 资产梳理	开展信息系统资产调研；梳理网络拓扑、服务器、数据库、应用系统、安全设备等；编制资产清单	资产调研报告；资产调研表
2. 完善安全管理制度	协助建立信息安全管理制度体系；制定安全管理策略、操作规程；编制各类管理表单	安全管理制度文件集（安全方针、各类管理制度、操作规程）；管理表单模板
3. 差距评估	依据GB/T 22239-2008进行差距分析；开展漏洞扫描和渗透测试；进行基线配置核查；编制差距评估报告	差距评估报告；测评记录表；渗透测试报告；基线核查报告
4. 整改方案和整改计划	针对差距制定整改方案；编制安全加固方案；制定整改实施计划	整改方案/加固方案；整改计划；安全加固报告
5. 辅助测评	协助完成正式等级测评；配合测评机构进行现场测评；对整改结果进行验证	测评整改报告；辅助测评记录
6. 项目管理	制定项目工作计划；定期提交项目周报；项目进度跟踪与管理	项目工作计划；项目周报

五、信息系统安全保护等级划分¶

等级	等级名称	保护要求	监管强度
第一级	自主保护级	信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益	自主保护
第二级	指导保护级	信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全	指导保护
第三级	监督保护级	信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害	监督保护
第四级	强制保护级	信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害	强制保护
第五级	专控保护级	信息系统受到破坏后，会对国家安全造成特别严重损害	专控保护

六、等级保护测评指标 S/A/G 分类说明¶

等级保护基本要求（GB/T 22239-2008）中的安全要求按保护侧重点不同分为三类：

类别	全称	说明	示例指标
S类	业务信息安全类 (Service Security)	关注保护数据在存储、传输、处理过程中的机密性和完整性	数据保密性、数据完整性、备份和恢复
A类	系统服务安全类 (Assurance)	关注保护系统连续正常运行，保障业务的连续性	通信线路冗余、设备硬件冗余、电源保障
G类	通用安全保护类 (General)	既关注业务信息安全又关注系统服务安全	身份鉴别、访问控制、安全审计

定级时需同时确定业务信息安全保护等级和系统服务安全保护等级，形成S/A/G组合。例如，某系统安全保护等级为三级，业务信息安全保护等级为2级（S2），系统服务安全保护等级为3级（A3），则测评指标包括：

3级通用安全保护类要求（G3）
2级业务信息安全类要求（S2）
3级系统服务保证类要求（A3）

七、等保2.0主要变化¶

等保2.0（网络安全等级保护制度2.0版本）相比1.0版本的主要变化：

变化项	等保1.0	等保2.0	影响
标准名称	信息安全技术信息系统安全等级保护	信息安全技术网络安全等级保护	保护对象扩大至网络基础设施、云计算平台、大数据平台、物联网、工业控制系统等
安全要求分类	S/A/G三类	安全通用要求 + 安全扩展要求	结构更清晰，针对新技术有专项扩展要求
扩展要求	无专项扩展	云计算安全扩展要求；移动互联安全扩展要求；物联网安全扩展要求；工业控制系统安全扩展要求	覆盖了更多新兴技术领域
控制点调整	10个安全类：物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理	调整为：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理	结构重组，新增安全管理中心要求
定级对象	信息系统	网络基础设施、信息系统、大数据、云计算平台、物联网、工业控制系统、移动互联等	定级对象范围大幅扩展

八、关键注意事项¶

日志保存时间：主机、网络、数据库、应用等各类日志应保存至少6个月（等保三级要求），日志内容应包含IP地址、访问时间、源端口号等关键信息
双因子认证：登录应有二次验证机制（双因子认证），如采用两种或两种以上组合的鉴别技术实现用户身份鉴别
异地备份：等保三级要求提供异地实时备份功能，利用通信网络将重要数据实时备份至备份场地（二级要求本地备份）
安全产品资质：所有安全产品应具备销售许可证；涉密系统应使用国家密码管理部门批准的产品
定级专家评审：三级及以上信息系统的定级结果需组织专家进行评审
测评机构选择：三级及以上信息系统必须委托具备资质的测评机构进行测评
整改与复测：测评结论为未达到相应等级的，应根据测评报告制定整改方案进行整改，整改完成后应进行复测
安全管理制度体系：应形成由安全策略、管理制度、操作规程等构成的全面信息安全管理制度体系，并定期评审
云租户测评：使用云平台的信息系统，物理安全、部分网络安全和安全管理结论可以复用云平台测评结论
职责分离：安全管理员不能兼任网络管理员、系统管理员、数据库管理员

九、主要参考标准与法规¶

标准/法规编号	名称
GB 17859-1999	计算机信息系统安全保护等级划分准则
GB/T 22239-2008	信息安全技术信息系统安全等级保护基本要求
GB/T 22240-2008	信息安全技术信息系统安全保护等级定级指南
GB/T 25058-2010	信息安全技术信息系统安全等级保护实施指南
GB/T 28448-2012	信息安全技术信息系统安全等级保护测评要求
GB/T 28449-2012	信息安全技术信息系统安全等级保护测评过程指南
GB/T 25070-2010	信息安全技术信息系统等级保护安全设计技术要求
GB/T 20984-2007	信息安全技术信息安全风险评估规范
公通字[2007]43号	信息安全等级保护管理办法
《网络安全法》	中华人民共和国网络安全法（2017年6月1日起施行）
等保2.0系列	网络安全等级保护基本要求/测评要求/定级指南