完整版信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求

1、信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求編制說明1 概述1.1 任務(wù)來源?信息平安技術(shù)信息系統(tǒng)平安等級保護測評要求?于2021年成為國家標(biāo)準(zhǔn),標(biāo)準(zhǔn)號為GB/T 28448-2021 ,被廣泛應(yīng)用于各個行業(yè)的開展等級保護對象平安等級保護的檢測評估 工作.但是隨著信息技術(shù)的開展,尤其云計算、移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)和大數(shù)據(jù)等新技術(shù)的發(fā) 展,該標(biāo)準(zhǔn)在時效性、易用性、可操作性上還需進(jìn)一步提升,2021年公安部第三研究所聯(lián)合 中國電子技術(shù)標(biāo)準(zhǔn)化研究院和北京神州綠盟科技向安標(biāo)委申請對GB/T 28448-2021進(jìn)行修訂.喝恁潤屬鈔瘞歌楊尻賴.喝恁潤屬鈔瘞歌楊尻賴根據(jù)全國信息平安標(biāo)準(zhǔn)化技術(shù)委員

2、會2021年下達(dá)的國家標(biāo)準(zhǔn)制修訂方案,國家標(biāo)準(zhǔn)?信息平安技術(shù) 信息系統(tǒng)平安等級保護測評要求?修訂任務(wù)由公安部第三研究所負(fù)責(zé)主辦,項目編號為 2021bzxd-WG5-006 .溝熠金富愛稽譴凈.溝熠金富愛建譴凈禍.1.2 制定本標(biāo)準(zhǔn)的目的和意義?信息平安等級保護治理方法?公通字200743號明確指出信息系統(tǒng)運營、使用單位應(yīng)當(dāng)接受公安機關(guān)、國家指定的專門部門的平安監(jiān)督、檢查、指導(dǎo),而且等級測評的技術(shù) 測評報告是其檢查內(nèi)容之一.這就要求等級測評過程標(biāo)準(zhǔn)、測評結(jié)論準(zhǔn)確、公正及可重現(xiàn).殘鷲樓靜鑄瀚湃淑塑髓.殘鷲樓靜鑄源湃淑srn短.?信息平安技術(shù)信息系統(tǒng)平安等級保護根本要求? GB/T22239-20

3、21 簡稱?根本要求? 和?信息平安技術(shù)信息系統(tǒng)平安等級保護測評要求?GB/T28448-2021 簡稱?測評要求?等標(biāo)準(zhǔn)對近幾年來全國信息平安等級保護工作的推動起到了重要的作用.r鋼極鎮(zhèn)檜豬錐.r鋼極鎮(zhèn)檜豬錐伴隨著IT技術(shù)的開展,?根本要求?中的一些內(nèi)容需要結(jié)合我國信息平安等級保護工作 的特點,結(jié)合信息技術(shù)開展尤其是信息平安技術(shù)開展的特點,比方無線網(wǎng)絡(luò)的大量使用,數(shù)據(jù)大集中、云計算等應(yīng)用方式的普及等,需要針對各等級系統(tǒng)應(yīng)當(dāng)對抗的平安威脅和應(yīng)具有的恢復(fù)水平,提出新的各等級的平安保護目標(biāo).彈貿(mào)攝爾霽斃撰磚鹵尻.彈貿(mào)攝爾霽斃撰磚鹵尻詒.作為?根本要求?的姊妹標(biāo)準(zhǔn),?測評要求?需要同步修訂,依據(jù)?根

4、本要求?的更新內(nèi) 容對應(yīng)修訂相關(guān)的單元測評章節(jié).II養(yǎng)技篋顛W志類蔣薔.II養(yǎng)技篋顛W忘類蔣薔黑占.此外,?測評要求?還需要吸收近年來的測評實踐,更新整體測評方法和測評結(jié)論形成 方法.?實施指南?定級指南?實施指南? 其他相關(guān)標(biāo)準(zhǔn)?實施指南?根本要求?系列標(biāo)準(zhǔn)1.3 與其他標(biāo)準(zhǔn)的關(guān)系?實施指南?測評過程指南?測評要求系列標(biāo)準(zhǔn)圖1等級保護標(biāo)準(zhǔn)相互關(guān)系從上圖可以看出,在等級保護對象實施平安保護過程中,首先利用?信息平安技術(shù)信息系統(tǒng)平安等級保護定級指南?GB/T 22240-2021 簡稱“?定級指南?確定等級保護對象的平安保護等級,然后根據(jù)?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護根本要求?系列標(biāo)準(zhǔn)選擇平安限

5、制舉措,隨后利用?信息平安技術(shù)信息系統(tǒng)平安等級保護實施指南?簡稱實施指南?或其他相關(guān)標(biāo)準(zhǔn)確定其特殊平安需求,進(jìn)行等級保護對象的平安規(guī)劃和建設(shè)工作,此后利用?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評過程指南?GB/T 28449-20XX 簡稱測評過程指南?來標(biāo)準(zhǔn)測評過程和各項活動,利用?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求?系 列標(biāo)準(zhǔn)來判斷平安限制舉措的有效性.同時,等級保護整個實施過程又是由?實施指南?來 才旨導(dǎo)的. 廈礴懇蹣駢畤翥繼騷.廈礴懇蹣駢畤翥繼騷嗇.在等級保護的相關(guān)標(biāo)準(zhǔn)中,?測評要求?系列標(biāo)準(zhǔn)是?根本要求?系列標(biāo)準(zhǔn)的姊妹篇,?測評要求?針對?根本要求?中各要求項,提供了具體測評方法、步驟和

6、判斷依據(jù)等,是 為了確認(rèn)等級保護對象是否根據(jù)?根本要求?中的不同等級的技術(shù)和治理要求實施的,而?測評過程指南?那么是規(guī)定了開展這些測評活動的根本過程,包括過程、任務(wù)及產(chǎn)品等,以指導(dǎo) 用戶對?測評要求?的正確使用.煢楨廣助觸選塊網(wǎng)踴淚.煢楨廣鮑觸選塊網(wǎng)踴淚鍍.1.4 標(biāo)準(zhǔn)組成為了適應(yīng)移動互聯(lián)、虛擬計算、云計算、物聯(lián)網(wǎng)、工控系統(tǒng)和大數(shù)據(jù)等新技術(shù)、新應(yīng)用情況下網(wǎng)絡(luò)平安等級保護測評工作的開展,需對GB/T 28448-2021進(jìn)行修訂,修訂的思路和方法是針對移動互聯(lián)、虛擬計算、云計算、物聯(lián)網(wǎng)、工控系統(tǒng)和大數(shù)據(jù)等新技術(shù)、新應(yīng)用領(lǐng)域提出擴展的測評要求.鵝婭盡指偶慘屣蘢.鵝婭盡指偶慘屣蘢.對GB/T 284

7、48-2021的修訂完成后,測評要求標(biāo)準(zhǔn)成為由多個局部組成的系列標(biāo)準(zhǔn),目前主要有六個音B分：麓叢媽息為瞻債蛭練浮.麓叢媽息為瞻債蛭練浮桶.1局部：平安通用2局部：云計算安3局部：移動互聯(lián)4局部：物聯(lián)網(wǎng)安5局部：工控限制6局部：大數(shù)據(jù)安 GB/T 28448.1-20XX信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第 要求； GB/T 28448.2-20XX信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第 全擴展要求；3tm圣橫蕨齦訝驊汆.3tm圣橫蕨齦訝驊汆 GB/T 28448.3-20XX信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第 平安擴展要求；滲嗆儼勻謂鱉調(diào)硯金帛.滲嗆儼勻謂鱉調(diào)硯金帛 GB/T 28448

8、.4-20XX信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第 全擴展要求；錢臥瀉聯(lián)圣騁睨11廉.錢臥瀉聯(lián)圣騁睨«縫. GB/T 28448.5-20XX信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第 平安擴展要求；鳳襪備音叫®輪爛薔.鳳襪備音叫®輪爛薔幸艮. GB/T 28448.6-20XX信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第 全擴展測評要求.嬲熟俁閹蕨直閶鄴錢II.嬲熟俁閹蕨直閶鄴窗題齦2編制過程1) 2021年12月,公安部第三研究所、中國電子技術(shù)標(biāo)準(zhǔn)化研究院和北京神州綠盟科 技成立了?信息平安技術(shù)信息平安等級保護測評要求?標(biāo)準(zhǔn)編制組.壇搏鄉(xiāng)it懺簍鍥鈴壇搏鄉(xiāng)it懺簍鍥鈴

9、波躋.2) 2021年1月至5月,標(biāo)準(zhǔn)編制組根據(jù)方案調(diào)研了國際和國內(nèi)無線接入、虛擬計算、 云計算平臺、大數(shù)據(jù)應(yīng)用和工控系統(tǒng)應(yīng)用等新技術(shù)、新應(yīng)用的情況,分析并總結(jié)了新技術(shù)和新應(yīng)用中的平安關(guān)注點和要素；同時標(biāo)準(zhǔn)編制組調(diào)研了與?信息平安技術(shù)信息系統(tǒng)平安等級保護測評要求?(GB/T 28448-2021)相關(guān)的其他國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn),分析了?信息平安技術(shù) 信息系統(tǒng)平安等級彳護根本要求?(GB/T 22239-2021)的修訂可能對其產(chǎn)生的影響.蠟燮夥痛宰艮住鉉錨金市贅.蠟燮夥痛宰艮住鉉錨金市贅建.3) 2021年5月,為適應(yīng)無線移動接入、虛擬計算環(huán)境、云計算平臺應(yīng)用、大數(shù)據(jù)應(yīng)用 和工控系統(tǒng)應(yīng)用等新技術(shù)

10、、新應(yīng)用的情況下等級保護工作開展,公安部十一局牽頭會同有關(guān)部門組織2021年新領(lǐng)域的國家標(biāo)準(zhǔn)立項,根據(jù)新標(biāo)準(zhǔn)立項結(jié)果確定?根本要求?修訂思路 發(fā)生重大變化,為適應(yīng)?根本要求?修訂思路的變化在?信息平安技術(shù)信息系統(tǒng)平安等級保護測評要求?(GB/T 28448-2021 )的根底上,針對無線移動接入、虛擬計算環(huán)境、云計算 平臺應(yīng)用、大數(shù)據(jù)應(yīng)用和工控系統(tǒng)應(yīng)用等新領(lǐng)域形成測評要求的分冊,如?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第2局部：云計算平安擴展要求?、?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求 第3局部：移動互聯(lián)平安擴展要求?、?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測 評要求第4局部：物聯(lián)網(wǎng)平安擴展要求

11、?、?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求第5局部：工控限制平安擴展要求? 和?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求第6局部：大數(shù)據(jù)平安擴展要求?.構(gòu)成GB/T 28448.1、GB/T 28448.2、等測評要求系列標(biāo)準(zhǔn), 上述 思路的變化直接影響了國家標(biāo)準(zhǔn)GB/T 28448-2021的修訂思路和內(nèi)容.H鯽嗡簪曇Jt遙閆擷凄.H蜩福曇JW送閆擷凄屆.5) 2021年7月至2021年5月,標(biāo)準(zhǔn)編制組根據(jù)新修訂?根本要求?草案第一稿編制 了?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求?草案第一稿.M鋪蜩鵬蹤韋麟余翟.鋪蜩鵬蹤韋麟余翟飆.6) 2021年5月至2021年12月

12、,標(biāo)準(zhǔn)編制組根據(jù)新修訂?根本要求?草案第三稿編制 了?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求?草案第二稿.W顏震彥決綏飴夏錦.H顏震彥決綏飴夏錦tg.7) 2021年5月至2021年6月,標(biāo)準(zhǔn)編制組根據(jù)新修訂?根本要求?草案第五稿編制 了?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求?草案第三稿.貓蠶!繪燎誅髏既尻.貓蠶!繪燎誅髏既尻獻(xiàn).8) 2021年5月23日,在評估中央針對 ?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求?草案第三稿進(jìn)行行業(yè)內(nèi)專家評審會.鍬籟饕逕瑣奧鷗婭薔.鍬籟饕逕瑣肇禊鷗婭薔口乳9) 2021年7月,標(biāo)準(zhǔn)編制組根據(jù)新修訂

13、?根本要求?草案第六稿和第七稿編制了?信 息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求?草案第四稿.橫氽旗飩芹齦話鷲.橫氽if簧碩飩琴齦話鷲咒.10) 2021年7月-8月,將?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求 第1局部：平安 通用要求?草案第四稿發(fā)送11家等級測評機構(gòu)和 WG5工作組成員單位征求意見. 輒峰隔槿跳 柏偎虢滎.輒峰隔槿跳將區(qū)周偎虢滎蟒.10)2021年8月12日,在北京瑞安賓館第五會議室召開WG5工作組局部專家評審會,針對?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求?草案第四稿征求意見.堯側(cè)閨藕絳絢蝙督.堯側(cè)閨藕絳絢蝙督灌.11) 2021

14、年8月25日,在北京瑞安賓館第二會議室參加WG5工作組在研標(biāo)準(zhǔn)推進(jìn)會,在會上征求所有 WG5工作組成員單位意見.識金昆縊蝶竟嗜儼凄.識金昆縊蝶竟嗜儼凄儂.12)根據(jù)專家意見已經(jīng)修訂完成,形成?信息平安技術(shù) 網(wǎng)絡(luò)平安等級保護測評要求第1局部：平安通用要求?草案第五稿.凄勞月鼠錨癇嫦脛汆.勞月鼠錨癇嫦脛汆鉞.13)根據(jù)測評機構(gòu)反響意見修訂完成,形成?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護測評要求 第1局部：平安通用要求?草案第六稿.朧'揩滅縈歡蜴鷲金帛.朧、鵠I!滅縈歡蜴鷲金帛聰14前正在推進(jìn)?測評要求?后續(xù)專標(biāo)準(zhǔn)修訂工作.3標(biāo)準(zhǔn)編制的技術(shù)路線平安等級保護測評以下簡稱等級測評的概念性描述框架由兩局部

15、構(gòu)成：單項測評和整體測評,圖1給出了等級測評框架.鯊警新出槌金甲涉瞿劍I.鯊警新出槌金甲汾瞿劍t搖.單項測評測評指標(biāo)1根本要求要求項ab2等級保護對象安 全保護等級測評對象制度文檔 設(shè)備設(shè)施平安配置相關(guān)人員測評實施測評方法訪談 檢查 測試測評規(guī)程訪談規(guī)程步驟檢查規(guī)程步驟測試規(guī)程步驟規(guī)程步驟說明單項判定判定原那么整體測評平安限制點測評平安限制點間測評層面間測評圖1等級測評描述框架針對根本要求各平安要求項的測評稱為單項測評,單項測評是等級測評工作的根本活動,支持測評結(jié)果的可重復(fù)性和可再現(xiàn)性.單項測評是由測評指標(biāo)、測評對象、測評實施和單元判定構(gòu)成.碩頑詒攆樽嘴H菽.碩頑詒攆樽嘴H頸鷺.本局部的測評指

16、標(biāo)包括?信息平安技術(shù)網(wǎng)絡(luò)平安等級保護根本要求第1局部：平安通用要求?第四級目錄下的要求項.闋擻贛媛竦遷擇植秘11.闋擻贛媛竦遷擇植秘ms.測評對象是指測評實施的對象,即測評過程中涉及到的制度文檔、各類設(shè)備及其平安配置和相關(guān)人員等.對于框架來說,每一個被測平安要求項不同級別均有一組與之相關(guān)的 預(yù)先定義的測評對象如制度文檔、各類設(shè)備設(shè)施及相關(guān)人員等.量嚕除富貿(mào)懇彈濾頷杲.量嚕部鼠貿(mào)懇彈濾頷杲紛.制度文檔是指針對等級保護對象所制定的相關(guān)聯(lián)的文件如：政策、程序、方案、系統(tǒng) 平安需求、功能規(guī)格及建筑設(shè)計.各類設(shè)備是指安裝在等級保護對象之內(nèi)或邊界,能起到特定保護作用的相關(guān)部件如：硬件、軟件、固件或物理設(shè)施

17、.相關(guān)人員或部門,是指應(yīng)用上述制度、設(shè)備及平安配置的人.tt鶴瓷B剌#孫?威肺贅.tt鶴瓷B剌#孫?威肺贅麼.測評實施是一組針對特定測評對象,采用相關(guān)測評方法,遵從一定的測評規(guī)程所形成的, 用于測評人員使用確實定該要求項有效性的程序化陳述.測評實施主要由測評方法和測評規(guī)程構(gòu)成.其中測評方法包括：訪談、檢查和測試說明見術(shù)語,測評人員通過這些方法試圖獲取證據(jù).上述的評估方法都由一組相關(guān)屬性來標(biāo)準(zhǔn)測評方法的測評力度.這些屬性是：廣度覆蓋面和深度.對于每一種測評方法都標(biāo)識 定義了唯一屬性,深度特性適用于訪 談和檢查,而覆蓋面特性那么適用于全部三種測評方法.上述三種測評方法訪談、檢查和測 評的測評結(jié)果都

18、用以對平安限制的有效性進(jìn)行評估.測評規(guī)程是各類測評方法操作使用的過程、步驟,測評規(guī)程實施完成后,可以獲得相應(yīng)的證據(jù).慫闡逕醇嘯重是涼.慫闡逕醇嘯JJHil 涼 un o結(jié)果判定描述測評人員執(zhí)行測評實施并產(chǎn)生各種測評輸出數(shù)據(jù)后,如何依據(jù)這些測評輸出數(shù)據(jù)來判定被測系統(tǒng)是否滿足測評指標(biāo)要求的原那么和方法.通過測評實施所獲得的所有證據(jù)都滿足要求那么為符合,不全滿足要求那么該單項要求不符合.諺辭擔(dān)1;諂動律瀉類隊諺辭擔(dān)諂動律瀉謹(jǐn).整體測評是在單項測評根底上,分別從平安限制點測評,平安限制點間和層面間三個角 度分別進(jìn)行測評.4標(biāo)準(zhǔn)總體框架本標(biāo)準(zhǔn)共分為11章,4個附錄,每章內(nèi)容如下：第1、2、3章,為標(biāo)準(zhǔn)的

19、常規(guī)性描述,包括范圍、標(biāo)準(zhǔn)性引用文件、術(shù)語和定義；第4章,概要描述了平安等級保護測評方法及單項測評和整體測評組成；第5、6、7、8章,分別描述了第一、二、三、四級測評要求,每級分別遵從?根本要 求?的框架從平安技術(shù)和平安治理兩大方面描述如何實施測評工作,其中技術(shù)方面分別從物理和環(huán)境平安、網(wǎng)絡(luò)和通信平安、設(shè)備和計算平安、應(yīng)用和數(shù)據(jù)平安四個層面展開；而治理 方面那么分別從平安策略和治理制度、平安治理機構(gòu)和人員、平安建設(shè)治理和平安系統(tǒng)運維管理四個方面展開,與?根本要求?形成了相互對照、和諧統(tǒng)一的標(biāo)準(zhǔn)體系.啜覲言圭緣錫囁鈴鑄.啜覲言圭緣錫囁俱觸錯鑄癱.第9章,略掉第五級的測評要求.第10章,描述了系統(tǒng)

20、整體測評方法.在單項測評的根底上,從系統(tǒng)整體的角度綜合考 慮如何進(jìn)行系統(tǒng)性的測評.分別從平安限制點、平安限制點間及層面間測評三方面進(jìn)行描述, 分析了在進(jìn)行系統(tǒng)測評時所需考慮的方向和指導(dǎo)思想.受紿H鈿寞W鷹輜檄庫.受紿H鈿寞W鷹輜檄庫圓.第11章,概要說明了給出測評結(jié)論的方法,測評結(jié)論主要應(yīng)該包括哪些方面的內(nèi)容等.附錄A ,描述了各種測評方法的測評強度,并具體描述針對不同等級保護對象的測評強度.附錄B ,描述了測評指標(biāo)編碼規(guī)那么及專用縮略語.附錄C,描述了設(shè)計要求測評驗證內(nèi)容.附錄D,為根本要求的要求項和測評要求的測評單元索引表.5主要章節(jié)的編寫方法第5、6、7、8章分別描述了第一級、第二級、第三級和第四級所有測評要求的內(nèi)容,在章節(jié)上分別對應(yīng)國標(biāo)GB/T 22239.1-2XXX 的第5章到第8章.在國標(biāo) GB/T 22239.1-20XX第5章到第8章中,各章的二級目錄都分為平安技術(shù)和平安治理兩局部,三級目錄從平安層面如物理和環(huán)境平安、網(wǎng)絡(luò)和通信平安、設(shè)備和計算平安等進(jìn)行劃分和描述,四級目錄根據(jù)平安限制點進(jìn)行劃分和描述如設(shè)備和計算平安層面下分為身份鑒別、訪問限制、平安審計等,第五級目錄是每一個平安限制點下