一、等級測評的作用
依據(jù)《信息安全等級保護管理辦法》(公通字[2007]43號),信息系統(tǒng)運營、使用單位在進行信息系統(tǒng)備案后,都應當選擇測評機構進行等級測評。等級測評是測評機構依據(jù)GB/T 22239- 2008、GB/T28448--2012等技術標準,檢測評估信息系統(tǒng)安全等級保護狀況是否符合相應等級基本要求的過程，是落實信息安全等級保護制度的重要環(huán)節(jié)。
在信息系統(tǒng)運維過程中,信息系統(tǒng)運營、使用單位定期對信息系統(tǒng)安全等級保護狀況進行自查或委托測評機構開展等級測評，對信息安全管控能力進行考察和評價,從而判定信息系統(tǒng)是否具備GB/T 22239- -2008中相應等級安全保護
能力。而且,等級測評
報告是信息系統(tǒng)開展整改加固的重要指導性文件,也是信息系統(tǒng)備案的重要附件材料,是判斷系統(tǒng)是否可批準開通運行的依據(jù)。等級測評結論為不符合的信息系統(tǒng),其運營、使用單位應當根據(jù)等級測評報告,制定方案進行整改。
二、等級測評風險
1.可能影響系統(tǒng)正常運行
在現(xiàn)場測評時,需要對設備和系統(tǒng)進行一-定的驗證測試工作，部分測試內容需要上機驗證并查看- -些信息,這就可能對系統(tǒng)的運行造成--.定的影響,甚至存在誤操作的可能。
另外,還會使用一些技術測試工具
進行漏洞掃描測試、性能測試甚至抗?jié)B透能力測試。測試可能會對網(wǎng)絡和系統(tǒng)的負載造成一-定的影響,滲透測試
還可能影響到服務器和系統(tǒng)正常運行,如出現(xiàn)重啟、服務中斷、滲透過程中植人的代碼未完全清理等現(xiàn)象。
2.可能泄漏敏感信息
泄漏被測信息系統(tǒng)狀態(tài)信息，如網(wǎng)絡拓撲、IP地址、業(yè)務流程、安全機制、安全隱患和有關文檔信息。
三、信息安全等級保護測評風險的規(guī)避
在等級測評過程中可以通過采取以下措施規(guī)避風險:
簽署委托測評協(xié)議。在測評工作正式開始之前,測評方和被測評單位需要以委托協(xié)議的方式明確測評工作的目標、范圍、人員組成、計劃安排、執(zhí)行步驟和要求、雙方的責任和義務等。使得測評雙方對測評過程中的基本問題達成共識，后續(xù)的工作以此為基礎,避免以后的工作出現(xiàn)大的分歧。
簽署保密協(xié)議。測評雙方應簽署完善的、合乎法律規(guī)范的保密協(xié)議,以約束測評雙方現(xiàn)在及將來的行為。保密協(xié)議規(guī)定了測評雙方保密方面的權利與義務。測評工作的成果屬被測評單位所有,測評方對其的引用與公開應得到被測評單位的授權,否則被測評單位將按照保密協(xié)議的要求追究測評單位的法律責任?，F(xiàn)場測評工作風險的規(guī)避。進行驗證測試和工具測試之前,測評機構要求運營、使用單位對系統(tǒng)及數(shù)據(jù)進行備份,并對可能出現(xiàn)的事件制定處理方案。
進行驗證測試和工具測試時,避開業(yè)務高峰期，在系統(tǒng)資源處于空閑狀態(tài)時進行;上機驗證測試
由測評人員提出需要驗證的內容，系統(tǒng)運營、使用單位的技術人員進行實際操作。整個現(xiàn)場。
四、信息安全等級保護測評過程概述
本標準中的測評工作過程及任務基于受委托測評機構對信息系統(tǒng)的初次等級測評給出。運營、使用單位的自查或受委托測評機構已經實施過一次以上等級測評的,測評機構和測評人員根據(jù)實際情況調整部分工作任務,具體原則見附錄A。
等級測評過程分為4個基本測評活動:測評準備活動、方案編制活動、現(xiàn)場測評活動、報告編制活動。而測評雙方之間的溝通與洽談應貫穿整個等級測評過程。每一測評活動有一-組確定的工作任務。
立標顧問專注驗廠15年以上資質，有任何的認證、驗廠服務歡迎咨詢立標企業(yè)管理顧問機構——13662586595羅經理（微信同號）
共有條評論 網(wǎng)友評論