DB34T 4091.2-2022 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu) 第2部分測(cè)評(píng)質(zhì)量檢查規(guī)范　　

34AssessmentorganizationofclassifiedprotectionofcybeEvaluationqualityinspectionspecificI本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定網(wǎng)絡(luò)安全風(fēng)險(xiǎn)意識(shí)是否得到增強(qiáng)。DB34/T4091旨在規(guī)定網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)的測(cè)評(píng)質(zhì)量要求和對(duì)測(cè)評(píng)機(jī)構(gòu)的檢查規(guī)范，以達(dá)到提升網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)——第1部分：測(cè)評(píng)質(zhì)量要求。目的在于規(guī)定網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)測(cè)評(píng)質(zhì)量要求，為測(cè)評(píng)質(zhì)——第2部分：測(cè)評(píng)質(zhì)量檢查規(guī)范。目的在于規(guī)定對(duì)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)測(cè)評(píng)質(zhì)量檢查的組1網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)第2部分：測(cè)評(píng)質(zhì)量檢查規(guī)范DB34/T4091.1—2022網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)機(jī)構(gòu)第1部分：測(cè)評(píng)質(zhì)GB/T22239—2019、GB/T28448—2019、GB/T28449—2018界定的以及下列術(shù)語(yǔ)和定義適用于本檢查人員與測(cè)評(píng)人員到測(cè)評(píng)委托單位，對(duì)測(cè)評(píng)4基本要求4.1測(cè)評(píng)質(zhì)量檢查應(yīng)遵循客觀公正、合規(guī)自律、科學(xué)合理、風(fēng)險(xiǎn)可控的原則。4.2實(shí)施測(cè)評(píng)質(zhì)量檢查的檢查評(píng)價(jià)機(jī)構(gòu)應(yīng)滿足下列要求：a)在中華人民共和國(guó)境內(nèi)注冊(cè)成立，由中國(guó)公民、法人投資或國(guó)家投資的組織；24.3實(shí)施測(cè)評(píng)質(zhì)量檢查的檢查人員應(yīng)滿足以下要求：a)檢查人員可由檢查評(píng)價(jià)機(jī)構(gòu)的檢查人員、網(wǎng)絡(luò)安全和等級(jí)保護(hù)相關(guān)領(lǐng)域?qū)＜?、測(cè)評(píng)委托單位c)熟悉網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)的測(cè)評(píng)內(nèi)容、測(cè)評(píng)流程和測(cè)評(píng)方法；5.1概述5.2檢查準(zhǔn)備活動(dòng)5.2.2檢查評(píng)價(jià)機(jī)構(gòu)接受檢查任務(wù)，根據(jù)檢查任務(wù)要求開展檢查準(zhǔn)備活動(dòng)。5.2.4檢查組應(yīng)根據(jù)檢查任務(wù)需要和下列要求確定檢查內(nèi)容和測(cè)評(píng)機(jī)構(gòu)測(cè)評(píng)質(zhì)量評(píng)價(jià)方法：b)應(yīng)根據(jù)檢查任務(wù)需要選擇附錄A所35.2.5檢查組應(yīng)制定檢查方案，必要時(shí)，可進(jìn)行技術(shù)評(píng)審。檢查方案應(yīng)作為開展質(zhì)量檢查通知的附件e)被檢查的測(cè)評(píng)機(jī)構(gòu)（以下簡(jiǎn)稱“被檢查機(jī)構(gòu)”）列表：明確被檢查機(jī)構(gòu)名稱及檢查順序；g)檢查方法：針對(duì)檢查內(nèi)容可采用的檢查方法（如：訪談、文檔審查、復(fù)核驗(yàn)證等）；h)檢查流程和各方職責(zé)；j)附件：檢查過(guò)程中用到的材料、表格（如：檢查人員廉潔自律聲明、被檢查機(jī)構(gòu)廉潔自律聲a)應(yīng)從每個(gè)被檢查的測(cè)評(píng)機(jī)構(gòu)已完成的測(cè)評(píng)項(xiàng)目中選擇不少于3個(gè)項(xiàng)目用于檢查，并從確e)應(yīng)優(yōu)先選擇需要執(zhí)行相關(guān)行業(yè)標(biāo)準(zhǔn)的特殊行業(yè)（如：電力、金融等行業(yè)）的測(cè)評(píng)項(xiàng)目用于檢f)應(yīng)優(yōu)先選擇影響國(guó)計(jì)民生的信息系統(tǒng)（如：關(guān)鍵信息基礎(chǔ)設(shè)施、公共服務(wù)信息系統(tǒng)）對(duì)應(yīng)的5.3檢查實(shí)施活動(dòng)5.3.1檢查組應(yīng)根據(jù)檢查方案確定的檢查順序到各被檢查機(jī)構(gòu)開展檢查，檢查組在各被檢查機(jī)構(gòu)的檢4a)應(yīng)根據(jù)確定的被檢查項(xiàng)目收集測(cè)評(píng)記錄、測(cè)評(píng)報(bào)告，及與之相關(guān)的質(zhì)量記錄和材料（如：測(cè)b)應(yīng)訪談被檢查項(xiàng)目涉及的測(cè)評(píng)師，檢查項(xiàng)目實(shí)施和質(zhì)量控制過(guò)程記錄，檢查測(cè)評(píng)過(guò)程和記錄c)應(yīng)訪談測(cè)評(píng)委托單位相關(guān)人員，檢查項(xiàng)目實(shí)施過(guò)程、被測(cè)定級(jí)對(duì)象概況、安全管理機(jī)構(gòu)、安d)應(yīng)對(duì)被檢查項(xiàng)目測(cè)評(píng)記錄、測(cè)評(píng)報(bào)告，以及與之相關(guān)質(zhì)量記錄及材料開展文檔審查，檢查記2)測(cè)評(píng)記錄和測(cè)評(píng)報(bào)告涉及的網(wǎng)絡(luò)拓?fù)?、安全防護(hù)設(shè)備、測(cè)評(píng)對(duì)象選擇、安全物理環(huán)境和3)測(cè)評(píng)記錄和測(cè)評(píng)報(bào)告涉及的安全控5.3.4檢查組應(yīng)根據(jù)檢查方案確定的評(píng)價(jià)方法對(duì)被檢查機(jī)構(gòu)的測(cè)評(píng)質(zhì)量進(jìn)行評(píng)價(jià)，確定評(píng)價(jià)結(jié)果，并5.4總結(jié)分析活動(dòng)5.4.1所有被檢查機(jī)構(gòu)的檢查結(jié)束后，檢查組應(yīng)開展總結(jié)分析活動(dòng)，總結(jié)分析活動(dòng)包括匯總分析和形5.4.2檢查組應(yīng)將檢查發(fā)現(xiàn)的所有測(cè)評(píng)質(zhì)量問(wèn)題按類別進(jìn)行匯總，并分析各類測(cè)評(píng)質(zhì)量問(wèn)題發(fā)生的原5匯總分析形成檢查報(bào)告6A.1定性評(píng)價(jià)A.1.1評(píng)價(jià)流程測(cè)評(píng)機(jī)構(gòu)測(cè)評(píng)質(zhì)量定性評(píng)價(jià)的流程如圖A.1所示，應(yīng)對(duì)檢查發(fā)現(xiàn)的每個(gè)問(wèn)題進(jìn)行影響程度分析、發(fā)A.1.2影響程度分析A.1.2.1對(duì)于檢查發(fā)現(xiàn)的測(cè)評(píng)質(zhì)量問(wèn)題，應(yīng)按其對(duì)測(cè)評(píng)結(jié)果的影響程度進(jìn)行劃分，可為高、中和低三高中低7注：主要表現(xiàn)為：未得到測(cè)評(píng)委托單位必要的確認(rèn)或授權(quán)、缺少必要c)測(cè)評(píng)深度不夠、測(cè)評(píng)覆蓋不全面，測(cè)評(píng)記錄不足以完全支持測(cè)評(píng)結(jié)果，測(cè)評(píng)不充分；d)確定的測(cè)評(píng)對(duì)象未能全面覆蓋所有設(shè)備、系統(tǒng)類A.1.2.4對(duì)測(cè)評(píng)結(jié)果造成較小或輕微影響的測(cè)評(píng)質(zhì)量問(wèn)題包括但不限于：b)測(cè)評(píng)過(guò)程記錄及記錄修改不規(guī)范；A.1.3發(fā)生可能性分析高測(cè)評(píng)質(zhì)量問(wèn)題出現(xiàn)的頻率高（所有抽檢項(xiàng)目中均發(fā)現(xiàn)此類問(wèn)題）；或沒(méi)有質(zhì)量管理措施能夠保證該問(wèn)題不會(huì)中測(cè)評(píng)質(zhì)量問(wèn)題出現(xiàn)的頻率中等（抽檢項(xiàng)目中一半及以上有發(fā)現(xiàn)此類問(wèn)題或有質(zhì)量管理措施但低測(cè)評(píng)質(zhì)量問(wèn)題出現(xiàn)的頻率較低（抽檢項(xiàng)目中一半以下有發(fā)現(xiàn)此類問(wèn)題或有質(zhì)量管理措施能避免此類問(wèn)題A.1.4測(cè)評(píng)質(zhì)量問(wèn)題定性評(píng)價(jià)定性評(píng)價(jià)結(jié)果的取值范圍為嚴(yán)重、一般和輕微，具8高高高中高低中高中中中低低高低中低低A.1.5測(cè)評(píng)機(jī)構(gòu)測(cè)評(píng)質(zhì)量定性評(píng)價(jià)定性評(píng)價(jià)結(jié)果的取值范圍為優(yōu)秀、良好、合格、不合格，具體評(píng)價(jià)所有測(cè)評(píng)質(zhì)量問(wèn)題的定性評(píng)價(jià)結(jié)果均為“輕微”評(píng)質(zhì)量問(wèn)題總數(shù)與檢查內(nèi)容總數(shù)的比值小于評(píng)質(zhì)量問(wèn)題總數(shù)與檢查內(nèi)容總數(shù)的比值大于30%且A.2定量評(píng)價(jià)賦予量化值（Vi見表A.5，測(cè)評(píng)質(zhì)量檢查量化評(píng)價(jià)結(jié)果QER（Quantitativeevaluationresult）Wi9權(quán)重值Wi量化值Vi3檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N89檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N336檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N4檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N5檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N4檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N5檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N風(fēng)險(xiǎn)規(guī)避實(shí)施方案4檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N6檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N627檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)X，Vi=1-X/N3檢查內(nèi)容共計(jì)N條，檢查結(jié)果為“不符合”的條款個(gè)數(shù)