信息安全技术信息系统安全等级保护测评要求.docx

信息安全技术信息系统安全等级保护基本要求引言依据《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）、《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《关于信息系统安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）等有关文件要求制定本标准。本标准是信息安全等级保护相关系列标准之一。与本标准相关的系列标准包括：——GB/T22240-2008信息安全技术信息系统安全等级保护定级指南；——GB/T22239-2008信息安全技术信息系统安全等级保护基本要求；——GB/TAAAA-AAAA信息安全技术信息系统安全等级保护实施指南。一般来说信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险。本标准针对信息系统中的单项安全措施和多个安全措施的综合防范对应地提出单元测评和整体测评的技术要求用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估。单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求。整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求。本标准给出了等级测评结论中应包括的主要内容未规定给出测评结论的具体方法和量化指标。如果没有特殊指定本标准中的信息系统主要指计算机信息系统。在本标准文本中黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过。信息系统安全等级保护测评要求1范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测评要求。本标准略去对第五级信息系统进行单元测评的具体内容要求。本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估。信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用。2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。注日期的引用文件其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准然而鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。不注日期的引用文件其最新版本适用于本标准。GB/T5271.8信息技术词汇第8部分：安全GB/T22239-2008信息安全技术信息系统安全等级保护基本要求3术语和定义GB/T5271.8和GB/T22239-2008所确立的以及下列术语和定义适用于本标准。3.1测评力度testingandevaluationintensity测评工作实际投入力量的表征可以由测评广度和深度来描述。4总则4.1测评原则a)客观性和公正性原则测评工作虽然不能完全摆脱个人主张或判断但测评人员应当在没有偏见和最小主观判断情形下按照测评双方相互认可的测评方案基于明确定义的测评方法和过程实施测评活动。b)经济性和可重用性原则基于测评成本和工作复杂性考虑鼓励测评工作重用以前的测评结果包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果都应基于这些结果还能适用于目前的系统能反映目前系统的安全状态。c)可重复性和可再现性原则无论谁执行测评依照同样的要求使用同样的方法对每个测评实施过程的重复执行都应该得到同样的测评结果。可再现性体现在不同测评者执行相同测评的结果的一致性。可重复性体现在同一测评者重复执行相同测评的结果的一致性。d)符合性原则测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断。测评实施过程应当使用正确的方法以确保其满足了测评指标的要求。4.2测评内容信息系统安全等级测评主要包括单元测评和整体测评两部分。单元测评是等级测评工作的基本活动每个单元测评包括测评指标、测评实施和结果判定三部分。其中测评指标来源于GB/T22239-2008中的第五级目录中的各要求项（详见4.5节说明）测评实施描述测评过程中使用的具体测评方法、涉及的测评对象和具体测评取证过程的要求结果判定描述测评人员执行测评实施并产生各种测评数据后如何依据这些测评数据来判定被测系统是否满足测评指标要求的原则和方法。整体测评是在单元测评的基础上通过进一步分析信息系统的整体安全性对信息系统实施的综合安全测评。整体测评主要包括安全控制点间、层面间和区域间相互作用的安全测评以及系统结构的安全测评等。整体测评需要与信息系统的实际情况相结合因此全面地给出整体测评要求的全部内容、具体实施过程和明确的结果判定方法是非常困难的测评人员应根