ICS 35.040GB/T XXX200XL60中华人民共和国国家标准GB/T XXXX-XXXX信息安全技术信息系统安全等级保护测评要求Information security technology-Testing and evaluation requirement for classified protection of information system200X-XX-XX 发布200X-XX-XX 实施中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会GB/T XXXXXXXX目 次前 言.III引 言.IV1 范 围.1规范性引用文件术语和定义测评原则4.3 测评力度24.4 结果重用24.5 使用方法25353第一级信息系统单元测评安 全 技 术 测 评.5.1.1 物理安全.35.1.2 网 络 安 全.55.1.3 主机安全.6.1 5.25-数据安全及备份恢复8安全管理测评5.2.2 安 全管理机构.95.2.3 人 员安全管理.105.2.4 系统建设管理.125.2.5 系 统运维管理.146 第二级信息系统单元测评176.117安全技术测评6.1.1 物理安全.176.1.2 网 络 安 全.206.1.3 主 机 安 全.226.1.4 应 用 安 全.246.1.56.228数据安全及备份恢复安 全 管 理 测 评.276.2.1 安 全管理制度.286.2.2 安全管理机构.296.2.3 人员安全管理.306.2.4 系统建设管理.326.2.5 系统运维管理.35GB/T XXXXXXXX7第三级信息系统单元测评.397.1 安全技术测评.397.1.1 物理安全.397.1.2 网络安全.447.1.3 主机安全.477.1.4 应用安全.497.1.5 数据安全及备份恢复.537.2 安全管理测评.557.2.1 安全管理制度.557.2.2 安全管理机构.567.2.3 人员安全管理.597.2.4 系统建设管理.617.2.5 系统运维管理.658第四级信息系统单元测评.718.1 安全技术测评.718.1.1 物理安全.718.1.2 网络安全.768.1.3 主机安全.798.1.4 应用安全.828.1.5 数据安全及备份恢复.878.2 安全管理测评.898.2.1 安全管理制度.898.2.2 安全管理机构.908.2.3 人员安全管理.938.2.4 系统建设管理.958.2.5 系统运维管理.999第 五 级 信 息 系 统 单 元 测 评 .1061 0 信 息 系 统 整 体 测 评 .10610.1 概 述.10610.2 安全控制点间测评.10610.3 层面间测评.10610.4 区域间测评.10710.5 系统结构安全测评.1071 1 等 级 测 评 结 论.10711.1 各层面的测评结论.10711.2 整体保护能力的测评结论.107附录A（资料性附录）测评力度.109A.1 测评方法的测评力度描述.109A.2 信息系统测评力度.109GB/T XXXXXXXX-i-L-刖 s（略）IIIGB/TXXXXxxxx引 言依 据 中华人民共和国计算机信息系统安全保护条例（国务院1 4 7 号令）、国家信息化领导小组关于加强信息安全保障工作的意见（中办发 2 0 0 3 2 7 号）、关于信息系统安全等级保护工作的实施意见（公通字 2 0 0 4 6 6 号）和 信息安全等级保护管理办法（公通字 2 0 0 7 4 3 号）等有关文件要求，制定本标准。
本标准是信息安全等级保护相关系列标准之一与本标准相关的系列标准包括：G B/T 2 2 2 4 0-2 0 0 8 信息安全技术信息系统安全等级保护定级指南；G B/T 2 2 2 3 9-2 0 0 8 信息安全技术信息系统安全等级保护基本要求；G B/T A A A A-A A A A 信息安全技术信息系统安全等级保护实施指南般来说，信息系统需要靠多种安全措施进行综合防范以降低其面临的安全风险本标准针对信息系统中的单项安全措施和多个安全措施的综合防范，对应地提出单元测评和整体测评的技术要求，用以指导测评人员从信息安全等级保护的角度对信息系统进行测试评估单元测评对安全技术和安全管理上各个层面的安全控制点提出不同安全保护等级的测评要求整体测评根据安全控制点间、层面间和区域间相互关联关系以及信息系统整体结构对信息系统整体安全保护能力的影响提出测评要求本标准给出了等级测评结论中应包括的主要内容，未规定给出测评结论的具体方法和量化指标如果没有特殊指定，本标准中的信息系统主要指计算机信息系统在本标准文本中，黑体字的测评要求表示该要求出现在当前等级而在低于当前等级信息系统的测评要求中没有出现过IVGB/T XXXXXXXX信息系统安全等级保护测评要求1 范围本标准规定了对信息系统安全等级保护状况进行安全测试评估的要求，包括对第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统进行安全测试评估的单元测评要求和信息系统整体测评要求。
本标准略去对第五级信息系统进行单元测评的具体内容要求本标准适用于信息安全测评服务机构、信息系统的主管部门及运营使用单位对信息系统安全等级保护状况进行的安全测试评估信息安全监管职能部门依法进行的信息安全等级保护监督检查可以参考使用2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本不注日期的引用文件，其最新版本适用于本标准G B/T 5 2 7 1.8 信 息 技 术 词 汇 第 8 部分：安全G B/T 2 2 2 3 9-2 0 0 8 信息安全技术信息系统安全等级保护基本要求3 术语和定义G B/T 5 2 7 1.8 和 6 8/丁 2 2 2 3 9-2 0 0 8 所确立的以及下列术语和定义适用于本标准3.1 测评力度 t e s t i ng a nd e v a l u a t i o n i nt e ns i t y测评工作实际投入力量的表征，可以由测评广度和深度来描述4 总则4.1 测评原则a）客观性和公正性原则测评工作虽然不能完全摆脱个人主张或判断，但测评人员应当在没有偏见和最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方法和过程，实施测评活动。
b）经济性和可重用性原则基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果所有重用的结果，都应基于这些结果还能适用于目前的系统，能反映目前系统的安全状态c）可重复性和可再现性原则无论谁执行测评，依照同样的要求，使用同样的方法，对每个测评实施过程的重复执行都应该得到同样的测评结果可再现性体现在不同测评者执行相同测评的结果的一致性可重复性体现在同一测评者重复执行相同测评的结果的一致性d）符合性原则测评所产生的结果应当是在对测评指标的正确理解下所取得的良好的判断测评实施过程应当使用正确的方法以确保其满足了测评指标的要求4.2测评内容信息系统安全等级测评主要包括单元测评和整体测评两部分单元测评是等级测评工作的基本活动，每个单元测评包括测评指标、测评实施和结果判定三部分其中，测评指标来源于G B/T 2 2 2 3 9-2 0 0 8 中的第五级目录中的各要求项（详见4.5 节说明），测评实施描述测评过程中使用的具体测评方法、涉及的测评对象和具体测评取证过程的要求，结果判定描述测评1GB/T XXXXXXXX人员执行测评实施并产生各种测评数据后，如何依据这些测评数据来判定被测系统是否满足测评指标要求的原则和方法。
整体测评是在单元测评的基础上，通过进一步分析信息系统的整体安全性，对信息系统实施的综合安全测评整体测评主要包括安全控制点间、层面间和区域间相互作用的安全测评以及系统结构的安全测评等整体测评需要与信息系统的实际情况相结合，因此全面地给出整体测评要求的全部内容、具体实施过程和明确的结果判定方法是非常困难的，测评人员应根据被测系统的实际情况，结合本标准的要求，实施整体测评测评方法指测评人员在测评实施过程中所使用的方法，主要包括访谈、检查和测试三种测评方法其中，访谈是指测评人员通过引导信息系统相关人员进行有目的的（有针对性的）交流以帮助测评人员理解、分析或取得证据的过程，检查是指测评人员通过对测评对象（如管理制度、操作记录、安全配置等）进行观察、查验、分析以帮助测评人员理解、分析或取得证据的过程，测试是测评人员使用预定的方法/工具使测评对象产生特定的行为，通过查看和分析结果以帮助测评人员获取证据的过程测评对象指测评实施的对象，即测评过程中涉及到的信息系统的相关人员、制度文档、各类设备及其安全配置等4.3 测评力度测评力度是在测评过程中实施测评工作的力度，反映测评的广度和深度，体现为测评工作的实际投入程度。
测评广度越大，测评实施的范围越大，测评实施包含的测评对象就越多：测评深度越深，越需要在细节上展开，测评就越严格，因此就越需要更多的投入投入越多，测评力度就越强，测评就越有保证测评的广度和深度落实到访谈、检查和测试三种不同的测评方法匕 能体现出测评实施过程中访谈、检查和测试的投入程度的不同信息安全等级保护要求不同安全保护等级的信息系统应具有不同的安全保护能力，满足相应等级的保护要求为了检验不同安全保护等级的信息系统是否具有相应等级的安全保护能力，是否满足相应等级的保护要求，需要实施与其安全保护等级相适应的测评，付出相应的工作投入，达到应有的测评力度第一级到第四级信息系统的测评力度反映在访谈、检查和测试等三种基本测评方法的测评广度和深度上，落实在不同单元测评中具体的测评实施上不同安全保护等级的信息系统在总体上所对应的测评力度在附录A中描述4.4结果重用在信息系统中，有些安全控制可以不依赖于其所在的地点便可测评，即在其部署到运行环境之前便可以接受安全测评一些商用安全产品的测评就属于这种安全测评如果一个信息系统部署利安装在多个地点，且系统具有一组共同的软件、硬件、固件等组成部分，对这些安全控制的测评可以集中在一个集成测试环境中实施，如果没有这种环境，则可以在其中一个预定的运行地点实施，在其他运行地点的安全测评便可重用此测评结果。
在信息系统所有安全控制中，有一些安全控制与它所处于的运行环境紧密相关（如与人员或物理有关的某些安全控制），对其测评必须在分发到相应运行环境中才能进行如果多个信息系统处在地域临近的封闭场地内，系统所属的机构在同一个领导层管理之下，对这些安全控制在多个信息系统中进行重复测评，可能是对有效资源的一种浪费因此，可以在一个选定的信息系统中进行测评，其他相关信息系统可以直接重用这些测评结果4.5 使用方法本标准第5 章到第8 章分别描述了第一级信息系统、第二级信息系统、第三级信息系统和第四级信息系统所有单元测评的内容，在章节上分别对应国标G B/T 2 2 2 3 9-2 0 0 8 的第5 章到第8 章在国标G B/T2 2 2 3 9-2 0 0 8 第 5 章到第8章中，各章的二级目录都分为安全技术和安全管理两部分，三级目录从安全层 面（如物理安全、网络安全、主机安全等）进行划分和描述，四级目录按照安全控制点进行划分和描述（如主机安全层面下分为身份鉴别、访问控制、安全审计等），第五级目录是每一个安全控制点下面2GB/T XXXX-XXXX包括的具体安全要求项（以下简称 要求项，这些要求项在本标准中被称为“测评指标”）。
本标准中针对每一个安全控制点的测评就构成一个单元测评，单元测评中的每一个具体测评实施要求项（以下简称“测评要求项”）是与安全控制点下面所包括的要求项（测评指标）相对应的在对每一要求项进行测评时，可能用到访谈、检查和测试三种测试方法，也可能。