信息安全技术网络安全等级保护测评要求

1/8信息安全技术网络安全等级保护测评要求第1部分：安全通用要求编制说明1概述1.1任务来源《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。但是随着信息技术的发展，尤其云计算、移动互联网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和北京神州绿盟科技有限公司向安标委申请对GB/T28448-2012进行修订。矚慫润厲钐瘗睞枥庑赖。矚慫润厲钐瘗睞枥庑赖賃。根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。聞創沟燴鐺險爱氇谴净。聞創沟燴鐺險爱氇谴净祸。1.2制定本标准的目的和意义《信息安全等级保护管理办法》（公通字[2007]43号）明确指出信息系统运营、使用单位应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，而且等级测评的技术测评报告是其检查内容之一。这就要求等级测评过程规范、测评结论准确、公正及可重现。残骛楼諍锩瀨濟溆塹籟。残骛楼諍锩瀨濟溆塹籟婭。《信息安全技术信息系统安全等级保护基本要求》（GB/T22239-2008）（简称《基本要求》）和《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）（简称《测评要求》）等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。酽锕极額閉镇桧猪訣锥。酽锕极額閉镇桧猪訣锥顧。伴随着IT技术的发展，《基本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术发展尤其是信息安全技术发展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普及等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。彈贸摄尔霁毙攬砖卤庑。彈贸摄尔霁毙攬砖卤庑诒。作为《基本要求》的姊妹标准，《测评要求》需要同步修订，依据《基本要求》的更新内容对应修订相关的单元测评章节。謀荞抟箧飆鐸怼类蒋薔。謀荞抟箧飆鐸怼类蒋薔點。此外，《测评要求》还需要吸收近年来的测评实践，更新整体测评方法和测评结论形成方法。2/81.3与其他标准的关系图1等级保护标准相互关系从上图可以看出，在等级保护对象实施安全保护过程中，首先利用《信息安全技术信息系统安全等级保护定级指南》（GB/T22240-2008）（简称“《定级指南》”）确定等级保护对象的安全保护等级，然后根据《信息安全技术网络安全等级保护基本要求》系列标准选择安全控制措施，随后利用《信息安全技术信息系统安全等级保护实施指南》（简称“《实施指南》”）或其他相关标准确定其特殊安全需求，进行等级保护对象的安全规划和建设工作，此后利用《信息安全技术网络安全等级保护测评过程指南》（GB/T28449-20XX）（简称“《测评过程指南》”）来规范测评过程和各项活动，利用《信息安全技术网络安全等级保护测评要求》系列标准来判断安全控制措施的有效性。同时，等级保护整个实施过程又是由《实施指南》来指导的。厦礴恳蹒骈時盡继價骚。厦礴恳蹒骈時盡继價骚卺。在等级保护的相关标准中，《测评要求》系列标准是《基本要求》系列标准的姊妹篇，《测评要求》针对《基本要求》中各要求项，提供了具体测评方法、步骤和判断依据等，是为了确认等级保护对象是否按照《基本要求》中的不同等级的技术和管理要求实施的，而《测评过程指南》则是规定了开展这些测评活动的基本过程，包括过程、任务及产品等，以指导用户对《测评要求》的正确使用。茕桢广鳓鯡选块网羈泪。茕桢广鳓鯡选块网羈泪镀。1.4标准组成为了适应移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用情况下网络安全等级保护测评工作的开展，需对GB/T28448-2012进行修订，修订的思路和方法是针对移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用领域提出扩展的测评要求。鹅娅尽損鹌惨歷茏鴛賴。鹅娅尽損鹌惨歷茏鴛賴縈。对GB/T28448-2012的修订完成后，测评要求标准成为由多个部分组成的系列标准，目前主要有六个部分：籟丛妈羥为贍偾蛏练淨。籟丛妈羥为贍偾蛏练淨槠。确定等级保护对象安全等级等级保护对象安全建设整改等级测评选择相应的安全控制措施《实施指南》其他相关标准《实施指南》《基本要求》系列标准《实施指南》《测评过程指南》《测评要求》系列标准《实施指南》《定级指南》3/8——GB/T28448.1-20XX信息安全技术网络安全等级保护测评要求第1部分：安全通用要求；——GB/T28448.2-20XX信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求；預頌圣鉉儐歲龈讶骅籴。預頌圣鉉儐歲龈讶骅籴買。——GB/T28448.3-20XX信息安全技术网络安全等级保护测评要求第3部分：移动互联安全扩展要求；渗釤呛俨匀谔鱉调硯錦。渗釤呛俨匀谔鱉调硯錦鋇。——GB/T28448.4-20XX信息安全技术网络安全等级保护测评要求第4部分：物联网安全扩展要求；铙誅卧泻噦圣骋贶頂廡。铙誅卧泻噦圣骋贶頂廡缝。——GB/T28448.5-20XX信息安全技术网络安全等级保护测评要求第5部分：工控控制安全扩展要求；擁締凤袜备訊顎轮烂蔷。擁締凤袜备訊顎轮烂蔷報。——GB/T28448.6-20XX信息安全技术网络安全等级保护测评要求第6部分：大数据安全扩展测评要求。贓熱俣阃歲匱阊邺镓騷。贓熱俣阃歲匱阊邺镓騷鯛。2编制过程1）2013年12月，公安部第三研究所、中国电子技术标准化研究院和北京神州绿盟科技有限公司成立了《信息安全技术信息安全等级保护测评要求》标准编制组。坛摶乡囂忏蒌鍥铃氈淚。坛摶乡囂忏蒌鍥铃氈淚跻。2）2014年1月至5月，标准编制组按照计划调研了国际和国内无线接入、虚拟计算、云计算平台、大数据应用和工控系统应用等新技术、新应用的情况，分析并总结了新技术和新应用中的安全关注点和要素；同时标准编制组调研了与《信息安全技术信息系统安全等级保护测评要求》(GB/T28448-2012)相关的其他国家标准和行业标准，分析了《信息安全技术信息系统安全等级保护基本要求》(GB/T22239-2008)的修订可能对其产生的影响。蜡變黲癟報伥铉锚鈰赘。蜡變黲癟報伥铉锚鈰赘籜。3）2014年5月，为适应无线移动接入、虚拟计算环境、云计算平台应用、大数据应用和工控系统应用等新技术、新应用的情况下等级保护工作开展，公安部十一局牵头会同有关部门组织2014年新领域的国家标准立项，根据新标准立项结果确定《基本要求》修订思路发生重大变化，为适应《基本要求》修订思路的变化在《信息安全技术信息系统安全等级保护测评要求》（GB/T28448-2012）的基础上，针对无线移动接入、虚拟计算环境、云计算平台应用、大数据应用和工控系统应用等新领域形成“测评要求”的分册，如《信息安全技术网络安全等级保护测评要求第2部分：云计算安全扩展要求》、《信息安全技术网络安全等级保护测评要求第3部分：移动互联安全扩展要求》、《信息安全技术网络安全等级保护测评要求第4部分：物联网安全扩展要求》、《信息安全技术网络安全等级保护测评要求第4/85部分：工控控制安全扩展要求》和《信息安全技术网络安全等级保护测评要求第6部分：大数据安全扩展要求》。构成GB/T28448.1、GB/T28448.2、……等测评要求系列标准，上述思路的变化直接影响了国家标准GB/T28448-2012的修订思路和内容。買鲷鴯譖昙膚遙闫撷凄。買鲷鴯譖昙膚遙闫撷凄届。5）2014年7月至2015年5月，标准编制组根据新修订《基本要求》草案第一稿编制了《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第一稿。綾镝鯛駕櫬鹕踪韦辚糴。綾镝鯛駕櫬鹕踪韦辚糴飙。6）2015年5月至2015年12月，标准编制组根据新修订《基本要求》草案第三稿编制了《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第二稿。驅踬髏彦浃绥譎饴憂锦。驅踬髏彦浃绥譎饴憂锦諑。7）2016年5月至2016年6月，标准编制组根据新修订《基本要求》草案第五稿编制了《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第三稿。猫虿驢绘燈鮒诛髅貺庑。猫虿驢绘燈鮒诛髅貺庑献。8）2016年5月23日，在评估中心针对《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第三稿进行行业内专家评审会。锹籁饗迳琐筆襖鸥娅薔。锹籁饗迳琐筆襖鸥娅薔嗚。9）2016年7月，标准编制组根据新修订《基本要求》草案第六稿和第七稿编制了《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第四稿。構氽頑黉碩饨荠龈话骛。構氽頑黉碩饨荠龈话骛門。9）2016年7月-8月，将《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第四稿发送11家等级测评机构和WG5工作组成员单位征求意见。輒峄陽檉簖疖網儂號泶。輒峄陽檉簖疖網儂號泶蛴。10）2016年8月12日，在北京瑞安宾馆第五会议室召开WG5工作组部分专家评审会，针对《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第四稿征求意见。尧侧閆繭絳闕绚勵蜆贅。尧侧閆繭絳闕绚勵蜆贅瀝。11）2016年8月25日，在北京瑞安宾馆第二会议室参加WG5工作组在研标准推进会，在会上征求所有WG5工作组成员单位意见。识饒鎂錕缢灩筧嚌俨淒。识饒鎂錕缢灩筧嚌俨淒侬。12）根据专家意见已经修订完成，形成《信息安全技术网络安全等级保护测评要求第1部分：安全通用要求》草案第五稿。凍鈹鋨劳臘锴痫婦胫籴。凍鈹鋨劳臘锴痫婦胫籴铍。13）根据测评机构反馈意见修订完成，形成《信息安全技术网络安全等级保护测评要5/8求第1部分：安全通用要求》草案第六稿。恥諤銪灭萦欢煬鞏鹜錦。恥諤銪灭萦欢煬鞏鹜錦聰。14）前正在推进《测评要求》后续专标准修订工作。3标准编制的技术路线安全等级保护测评（以下简称等级测评）的概念性描述框架由两部分构成：单项测评和整体测评，图1给出了等级测评框架。鯊腎鑰诎褳鉀沩懼統庫。鯊腎鑰诎褳鉀沩懼統庫摇。图1等级测评描述框架针对基本要求各安全要求项的测评称为单项测评，单项测评是等级测评工作的基本活动，支持测评结果的可重复性和可再现性。单项测评是由测评指标、测评对象、测评实施和单元判定构成。硕癘鄴颃诌攆檸攜驤蔹。硕癘鄴颃诌攆檸攜驤蔹鸶。本部分的测评指标包括《信息安全技术网络安全等级保护基本要求第1部分：安全通用要求》第四级目录下的要求项。阌擻輳嬪諫迁择楨秘騖。阌擻輳嬪諫迁择楨秘騖輛。测评对象是指测评实施的对象，即测评过程中涉及到的制度文档、各类设备及其安全配置和相关人员等。对于框架来说，每一个被测安全要求项（不同级别）均有一组与之相关的预先定义的测评对象（如制度文档、各类设备设施及相关人员等）。氬嚕躑竄贸恳彈瀘颔澩。氬嚕躑竄贸恳彈瀘颔澩纷。制度文档是指针对等级保护对象所制定的相关联的文件（如：政策、程序、计划、系统安全需求、功能规格及建筑设计）。各类设备是指安装在等级保护对象之内或边界，能起到特定保护作用的相关部件（如：硬件、软件、固件或物理设施）。相关人员或部门，是指应用上述制度、设备及安全配置的人。釷鹆資贏車贖孙滅獅赘。釷鹆資贏車贖孙滅獅赘慶。测评实施是一组针对特定测评对象，采用相关测评方法，遵从一定的测评规程所形成的，用于测评人员使用的确定该要求项有效性的程序化陈述。测评实施主要由测评方法和测评规程构成。其中测评方法包括：访谈、检查和测试（说明见术语），测评人员通过这些方法试图获取证据。上述的评估方法都由一组相关属性来规范测评方法的测评力度。这些属性是：1）基本要求要求项a)b)2）等级保护对象安全保护等级制度文档设备设施安全配置相关人员判定原则安全控制点测评安全控制点间测评层面间测评整体测评单项测评测评实施测评对象测