等保测评流程全面介绍.pdfVIP

等保测评流程全面介绍--第1页

等保测评流程全面介绍

等保测评流程包括系统定级→系统备案→整改实施→系统测评→

运维检查这5大阶段。

一、等级保护测评的依据：

依据《信息系统安全等级保护基本要求》“等级保护的实施与管

理”中的第十四条：

信息系统建设完成后，运营、使用单位或者其主管部门应当选择

符合本办法规定条件的测评单位，依据《信息系统安全等级保护测评

要求》等技术标准，定期对信息系统安全等级状况开展等级测评。

第三级信息系统应当每年至少进行一次等级测评，第四级信息系

统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊

安全需求进行等级测评。

运营单位确定要开展信息系统等级保护工作后，应按照以下步骤

逐步推进工作：

1、确定信息系统的个数、每个信息系统的等保级别。

2、对每个目标系统，按照《信息系统定级指南》的要求和标准，

分别进行等级保护的定级工作，填写《系统定级报告》、《系统基础

信息调研表》(每个系统一套)。运营单位也可委托具备资质的等保测评

机构协助填写上述表格。

3、向属地公安机关部门提交《系统定级报告》和《系统基础信息

调研表》，获取《信息系统等级保护定级备案证明》(每个系统一份)，

完成系统定级备案阶段工作。

4、依据确定的等级标准，选取等保测评机构，对目标系统开展等

级保护测评工作(具体测评流程见第三条)

5、完成等级测评工作，获得《信息系统等级保护测评报告》(每

个系统一份)后，将《报告》提交相关部门进行备案。

6、结合《测评报告》整体情况，针对报告提出的待整改项，制定

本单位下一年度的“等级保护工作计划”，并依照计划推进下一阶段

等保测评流程全面介绍--第1页

等保测评流程全面介绍--第2页

的信息安全工作。

三、等级测评的流程：

差距测评阶段又分为以下内容：测评准备活动、方案编制活动、

现场测评活动、分析及报告编制活动，整改阶段、验收测评阶段。

1

签订《合同》与《必威体育官网网址协议》

首先，被测评单位在选定测评机构后，双方需要先签订《测评服

务合同》，合同中对项目范围(哪些系统?)、项目内容(差距测评?验收

测评?协助整改?)、项目周期(什么时间进场?项目计划做多长时间?)、

项目实施方案(测评工作的步骤)、项目人员(项目实施团队人员)、项目

验收标准、付款方式、违约条款等等内容逐一进行约定。

签订《测评服务合同》同时，测评机构应签署《必威体育官网网址协议》，。

《必威体育官网网址协议》一般分两种，一种是测评机构与被测单位(公对公)签署，

约定测评机构在测评过程中的必威体育官网网址责任;一种是测评机构项目组成员与

被测单位之间签署。

在双方签完委托测评合同之后，双方即可约定召开项目启动会时

间。项目启动会的目的，主要是由甲方领导对公司内部涉及的部门进

行动员、提请各相关部门重视、协调内部资源、介绍测评方项目实施

人员、计划安排等内容，为整个等级测评项目的实施做基本准备。

启动会后，测评方开展调研，通过填写《信息系统基本情况调查

表》，掌握被测系统的详细情况，为编制测评方案做好准备。测评准

备活动是开展等级测评工作的前提和基础，是整个等级测评过程有效

性的保证。测评准备工作是否充分,直接关系到后续工作能否顺利开展。

一个二级系统的测评准备工作一般需要1天半，三级系统的准备工作

一般需要2天左右完成。

2