等保测评的要求（如何进行等保测评？）

等保测评即等级保护测评，是指测评机构依据国家信息安全等级保护制度规定，对非涉密信息系统的安全保护状况进行检测评估。这一过程涉及多个方面的内容和技术要求，旨在确保信息系统的安全性、可靠性和合规性。以下是等保测评的主要要求：

1. 测评内容

1.1 安全技术测评

安全技术测评 主要涵盖以下几个方面：

• 物理安全 ： 包括物理位置的选择、物理访问控制、防盗和防破坏措施、防雷、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等。

• 网络安全 ： 包括网络结构安全、网络访问控制、网络安全审计、网络边界完整性、网络入侵防范、恶意代码防范和网络设备防护等。

• 安全区域边界 ： 包括边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计和可信验证等。

• 安全计算环境 ： 包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护和个人信息保护等。

• 安全管理中心 ： 包括系统管理、审计管理、安全管理和集中管控等。

1.2 安全管理测评

安全管理测评 主要包括：

• 安全管理制度 ： 包括安全策略、管理制度的制定和发布、评审和修订等。

• 安全管理机构 ： 包括岗位设置、人员配备、授权与审批、沟通和合作、审核和检查等。

• 安全管理人员 ： 包括人员录用、离岗、安全意识教育和培训、外部人员访问管理等。

• 安全建设管理 ： 包括系统建设过程中的测试验收、系统交付、等级测评服务供应商管理等。

• 安全运维管理 ： 包括环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理和外包运维管理等。

2. 测评过程

等保测评的过程通常分为以下几个步骤：

1. 系统定级 ： 根据《网络安全等级保护定级指南》，对信息系统进行定级，三级以上的系统定级结论需进行专家评审。

2. 系统备案 ： 定级申报获得通过后，30日内到公安机关办理备案手续。

3. 建设整改 ： 根据等保相关规定和标准，对信息系统进行安全建设整改，这是等保工作落实的关键环节。

4. 等级测评 ： 选择公安部认可的第三方等级测评机构进行测评，提供跨地市的情况由本地（本省）测评机构交付等保测评服务。

5. 监督检查 ： 当地网警定期进行监督检查，构成等保工作的外在推动力。

3. 具体技术要求

根据《GB/T 22239-2019 网络安全等级保护基本要求》，各测评项目的技术要求如下：

• 物理安全 ： 要求机房选址合理，具备防盗、防火、防水等设施，同时要有完善的电力供应和电磁防护措施。

• 网络安全 ： 要求网络结构合理，具备访问控制和审计功能，能够防范网络入侵和恶意代码攻击。

• 安全区域边界 ： 要求在网络边界处部署防护措施，防止未授权访问和恶意攻击，并进行安全审计。

• 安全计算环境 ： 要求对计算环境中的身份鉴别、访问控制、审计等功能进行全面测评，确保数据的完整性和保密性。

• 安全管理中心 ： 要求具备系统管理、审计和集中管控的能力，确保整个信息系统的安全管理得到有效实施。

4. 风险评估

在等保测评中，风险评估是一个重要的环节，它包括：

• 安全整体策略 ： 评估信息系统的整体安全策略是否完善，能否覆盖所有的安全需求。

• 安全管理体系 ： 评估安全管理机构和人员的配置是否合理，制度是否健全。

• 安全技术体系 ： 评估安全技术措施的有效性，包括物理安全、网络安全、边界防护、计算环境安全等。

• 安全运维管理 ： 评估日常运维管理中的各项措施是否到位，包括资产管理、漏洞管理、应急响应等。

综上所述，等保测评是一项全面而细致的工作，涵盖了信息系统的各个方面，旨在通过科学严谨的测评和整改，提升信息系统的安全防护能力和管理水平。