服务总体工作网络安全等级保护测评项目方案设计根据《密码法》和广东省密码管理局相关要求，履行法律义务，规避合规风险，对我校等级保护第三级系统其密码应用的合规性、正确性和有效性进行评估。为中山大学3个三级信息系统提供等级保护测评服务，通过对3个三级系统的进行测试评估、分析差距、输出差距评估报告和安全整改建议，为建立基本的安全防护措施提供符合国家标准的安全建设依据，提高网络信息系统整体主动防御功能，确保信息系统能满足日后的快速发展需求；加强系统安全技术和管理技术的建设，确保中山大学的安全防护水平达到信息安全等级保护相应的等级要求，并成功通过广东省公安厅的备案。项目建设目标

为此，专业测评师需要通过规范的等级保护测试评估，对上述信息系统从安全技术和安全管理两个方面的各个层面的安全控制进行整体性验证。第四步：再次对信息系统进行测试评估、输出等级测评报告。第三步：根据差距评估报告与安全整改建议实施安全整改；第二步：对信息系统进行测试评估、分析差距、输出差距评估报告和安全整改建议；第一步：通过前期调研，协助我单位信息系统进行定级备案。按照等级保护相关标准通用要求以及云计算安全扩展标准要求开展系统等级保护测评工作，项目总体工作思路如下：

安全控制测评使用测评单元方式组织，分为安全技术测评和安全管理测评两大类。安全技术测评包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面上的安全控制测评；安全管理测评包括：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个方面的安全控制测评。另除了通用要求外，还需增加云计算安全扩展要求，具体见下图：信息系统安全等级保护测评包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。为了保证中山大学的信息系统能够成功通过公安机关的备案与检查，差距评估采用与等级测评完全一致的测评标准。为了表述的方便，本方案不再区分差距评估和等级测评。后文中除非特别说明，均适用于差距评估和等级测评。测评内容测评技术要求

网络安全等级保护测评

安全控制测评系统整体测评

安全技术测评安全管理测评安全控制点间层面间

安全物理环境安全通信网络安全区域边界安全计算环境安全管理中心安全管理制度安全管理机构安全管理人员安全建设管理安全运维管理系统安全保障评估

安全问题风险分析

云计算安全扩展要求

安全物理环境安全通信环境安全区域边界安全计算环境安全管理中心安全建设管理安全运维管理

图：等级测评基本工作流程工作启动信息收集和分析工具和表单准备测评准备活动测评对象确定测评指标确定测评内容确定测评方案编制工具测试方法确定测评指导书开发方案编制活动现场测评准备现场测评和结果记录结果确认和资料归还单项测评结果判定单元测评结果判定整体测评等级测评结论形成测评报告编制现场测评活动报告编制活动沟通与洽谈安全问题风险分析系统安全保障评估图：等级测评基本工作流程工作启动信息收集和分析工具和表单准备测评准备活动测评对象确定测评指标确定测评内容确定测评方案编制工具测试方法确定测评指导书开发方案编制活动现场测评准备现场测评和结果记录结果确认和资料归还单项测评结果判定单元测评结果判定整体测评等级测评结论形成测评报告编制现场测评活动报告编制活动沟通与洽谈安全问题风险分析系统安全保障评估等级保护测评实施过程包括以下四个阶段：测评流程综合测评总结将在安全控制测评和系统整体测评两个方面的内容基础上进行，由此而获得信息系统对应安全等级保护级别的符合性结论。系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关。在安全控制测评的基础上，重点考虑安全控制点间、层面间、区域间的相互关联关系，分析评估安全控制点间、层面间、区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性。

方案编制阶段工具和表单准备：根据被测系统的实际情况，准备测评工具和各类测评表单。信息系统调研：通过查阅被测系统已有资料或使用调查表格的方式，了解整个系统的构成和保护情况，明确被测系统的范围（特别是信息系统的边界），了解被测系统的详细构成，包括网络拓扑、业务应用、业务流程、设备信息（服务器、数据库、网络设备、安全设备、数据库等）、管理制度等。项目计划书编制：项目计划书包含项目概述、工作依据、技术思路、工作内容和项目组织等。测评项目组组建：明确项目经理、测评人员及职责分工。测评准备阶段

现场测评阶段测评实施手册开发：编制测评实施手册，详细描述现场测评的工具、方法和操作步骤等，具体指导测评人员如何进行测评活动。测评内容确定：确定现场测评的具体实施内容，即单元测评内容。测评工具接入点确定：确定需要进行工具测试的测评对象，选择测试路径，根据测试路径确定测试工具的接入点。测评指标确定：根据已经了解到的被测系统定级结果，确定出本次测评的测评指标。测评对象确定：根据已经了解到的被测系统信息，分析整个被测系统及其涉及的业务应用系统，确定出本次测评的测评对象。

安全管理中心：通过人员访谈、配置检查和文档审查的方式测评信息系统在网络中的集中管控安全保障情况，主要涉及对象为系统管理员、审计管理员、安全管理员、操作审计系统、集中管控系统等。在内容上，安全管理中心层面测评实施过程涉及4个测评单元，包括：系统管理、审计管理、安全管理、集中管控。安全计算环境：通过人员访谈、配置检查和工具测试的方式测评信息系统的主机、应用和数据安全保障情况，主要涉及对象为各类服务器的操作系统、数据库管理系统、各类应用系统和管理数据及业务数据等。在内容上，计算环境安全层面测评实施过程涉及11个测评单元，包括：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护。安全区域边界：通过人员访谈、配置检查和工具测试的方式测评信息系统的网络区域边界安全保障情况。主要涉及对象为网络互联设备、网络安全设备。在内容上，区域边界安全层面测评实施过程涉及6个测评单元，包括：边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证。安全通信网络：通过访人员访谈、文档审查和实地察看的方式测评信息系统的通信网络安全保障情况。主要涉及对象为网络拓扑结构。在内容上，通信网络安全层面测评实施过程涉及3个测评单元，包括：网络架构、通信传输、可信验证。安全物理环境：通过人员访谈、文档审查和实地察看的方式测评信息系统的物理和环境安全保障情况。主要涉及对象为物理基础设施。在内容上，物理环境安全层面测评实施过程涉及10个测评单元，包括：物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护。现场测评实际上就是单项测评，分别从安全通用要求测评内容技术上的安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五个层面和安全通用要求测评内容管理上的安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理五个层面展开测评。

分析与报告编制阶段安全运维管理：通过人员访谈、文档审查的方式测评信息系统的安全运维管理情况。在内容上，安全运维管理方面测评实施过程涉及14个测评单元，包括：环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理。安全建设管理：通过人员访谈、文档审查的方式测评信息系统的安全建设管理情况。在内容上，安全建设管理方面测评实施过程涉及10个测评单元，包括：定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商选择。安全管理人员：通过人员访谈、文档审查的方式测评信息系统的安全管理人员情况。在内容上，安全管理人员方面测评实施过程涉及4个测评单元，包括：人员录用、人员离岗、安全意识教育和培训、外部人员访问管理。安全管理机构：通过人员访谈、文档审查的方式测评信息系统的安全管理机构情况。在内容上，安全管理机构方面测评实施过程涉及5个测评单元，包括：岗位设置、人员配备、授权和审批、沟通和合作、审核和检查。安全管理制度：通过人员访谈、文档审查和实地察看的方式测评信息系统的安全策略和管理制度情况。在内容上，安全策略和管理制度方面测评实施过程涉及4个测评单元，包括：安全策略、管理制度、制定和发布、评审和修订。

测评报告编制：根据等级测评结论，编制测评报告，包括概述、被测系统描述、测评对象说明、测评指标说明、测评内容和方法说明、单元测评、整体测评、测评结果汇总、风险分析和评价、等级测评结论、整改建议等。等级测评结论形成：在测评结果汇总的基础上，找出系统保护现状与等级保护基本要求之间的差距，并形成等级测评结论。风险分析：据等级保护的相关规范和标准，采用风险分析的方法分析等级测评结果中存在的安全问题可能对被测系统安全造成的影响。整体测评：针对单项测评结果的不符合项，采取逐条判定的方法，从安全控制间、层面间和区域间出发考虑，给出整体测评的具体结果，并对系统结构进行整体安全测评。单元测评结果判定：将单项测评结果进行汇总，分别统计不同测评对象的单项测评结果，从而判定单元测评结果，并以表格的形式逐一列出。单项测评结果分析：针对测评指标中的单个测评项，结合具体测评对象，客观、准确地分析测评证据。

网络设备，包括路由器、核心交换机、汇聚层交换机等；机房环境、配套设施；整体网络拓扑结构；测评对象种类主要考虑以下几个方面：依照信息安全等级保护的要求、参考业界权威的安全风险评估标准与模型，同时结合测评机构方多年的安全风险评估经验与实践，从信息系统的核心资产出发，以威胁和弱点为导向，对比信息安全等级保护的具体要求，全方面对信息系统进行全面评估。测评对象种类

涉及到系统安全的所有管理制度和记录。安全管理员、网络管理员、系统管理员、业务管理员；重要管理终端、业务终端；业务应用系统；主机应用（包括操作系统和数据库）；安全设备，包括防火墙、IDS/IPS、防病毒网关等；

渗透测试工具测试在等级保护测评过程中，采用以下测评方法：测评方法要求根据信息系统的测评强度要求，在执行具体的核查方法时，在广度上要做到从测评范围中抽取充分的测评对象种类和数量；在执行具体的检测方法，在深度上要做到对功能等各方面的测试。