標(biāo)準(zhǔn)和等級(jí)

等保測(cè)評(píng)標(biāo)準(zhǔn)：等級(jí)保護(hù)基本要求》、《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)規(guī)范》等。等保測(cè)評(píng)依據(jù)的標(biāo)準(zhǔn)主要包括《中華人民共和國(guó)網(wǎng)絡(luò)安全法》等。

信息安全等級(jí)劃分：一級(jí)：網(wǎng)絡(luò)信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益造成損害，但不損害國(guó)家安全、社會(huì)秩序和公共利益。

二級(jí)：網(wǎng)絡(luò)信息系統(tǒng)受到破壞后，會(huì)對(duì)公民、法人和其他組織的合法權(quán)益產(chǎn)生嚴(yán)重?fù)p害，或者對(duì)社會(huì)秩序和公共利益造成損害，但不損害國(guó)家安全。

三級(jí)：網(wǎng)絡(luò)信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成損害。

四級(jí)：網(wǎng)絡(luò)信息系統(tǒng)受到破壞后，會(huì)對(duì)社會(huì)秩序和公共利益造成特別嚴(yán)重?fù)p害，或者對(duì)國(guó)家安全造成嚴(yán)重?fù)p害。

五級(jí)：網(wǎng)絡(luò)信息系統(tǒng)受到破壞后，會(huì)對(duì)國(guó)家安全造成特別嚴(yán)重?fù)p害。

流程

（一）系統(tǒng)定級(jí)：任務(wù)描述：系統(tǒng)運(yùn)用和使用單位根據(jù)《信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》，自主決定其安全防護(hù)級(jí)別。有主管的，須報(bào)主管部門批準(zhǔn)。對(duì)于三級(jí)或更高的信息系統(tǒng)，須由專家評(píng)審委員會(huì)進(jìn)行評(píng)審。

涉及人員：系統(tǒng)運(yùn)用和使用單位的信息安全負(fù)責(zé)人、技術(shù)負(fù)責(zé)人、專家評(píng)審委員會(huì)成員等。

時(shí)間節(jié)點(diǎn)：根據(jù)系統(tǒng)的重要性和復(fù)雜性，定級(jí)工作通常在信息系統(tǒng)建設(shè)初期或更新改造時(shí)進(jìn)行。

（二）系統(tǒng)備案：任務(wù)描述：評(píng)定結(jié)果出來(lái)后，由使用單位向當(dāng)?shù)氐氖屑?jí)及以上公安部門備案。發(fā)現(xiàn)定級(jí)錯(cuò)誤的，要重新定級(jí)并重新備案。

涉及人員：使用單位的信息安全負(fù)責(zé)人、公安部門的信息安全管理人員等。

時(shí)間節(jié)點(diǎn)：定級(jí)完成后，應(yīng)及時(shí)向公安部門提交備案申請(qǐng)，公安部門在收到申請(qǐng)后，通常在1-2周內(nèi)完成審核并下達(dá)備案證明。

（三）整改實(shí)施：任務(wù)描述：不能滿足安全級(jí)別保護(hù)要求的，由運(yùn)營(yíng)和使用單位限期整改。整改完畢的，要將整改情況報(bào)送公安機(jī)關(guān)備案。

涉及人員：運(yùn)營(yíng)和使用單位的信息安全負(fù)責(zé)人、技術(shù)人員、公安部門的信息安全管理人員等。

時(shí)間節(jié)點(diǎn)：整改工作通常在備案后啟動(dòng)，具體時(shí)間取決于系統(tǒng)存在的問(wèn)題和整改的復(fù)雜性。整改完成后，應(yīng)及時(shí)向公安部門提交整改報(bào)告。

（四）系統(tǒng)測(cè)評(píng)：任務(wù)描述：三級(jí)及以上的信息系統(tǒng)，每年至少要進(jìn)行一次評(píng)估；四級(jí)及以上的信息系統(tǒng)，每六個(gè)月至少要進(jìn)行一次評(píng)估。評(píng)估機(jī)構(gòu)會(huì)使用各種安全測(cè)試工具和技術(shù)手段，對(duì)信息系統(tǒng)進(jìn)行漏洞掃描、滲透測(cè)試安全配置審計(jì)等，以發(fā)現(xiàn)系統(tǒng)中的安全漏洞和弱點(diǎn)。

涉及人員：評(píng)估機(jī)構(gòu)的信息安全測(cè)試人員、使用單位的信息安全負(fù)責(zé)人、技術(shù)人員等。

時(shí)間節(jié)點(diǎn)：根據(jù)信息系統(tǒng)的安全等級(jí)和評(píng)估周期，系統(tǒng)測(cè)評(píng)工作通常在每年或每六個(gè)月進(jìn)行一次。初次測(cè)評(píng)一般需要3-4天，具體時(shí)間還會(huì)根據(jù)信息系統(tǒng)數(shù)量及規(guī)模，以及測(cè)評(píng)方與被測(cè)評(píng)方的配合情況等因素有所增減。

（五）運(yùn)維檢查：任務(wù)描述：公安機(jī)關(guān)按照《信息安全等級(jí)管理辦法》要求，對(duì)運(yùn)行和使用單位實(shí)施分級(jí)保護(hù)，并定期對(duì)其進(jìn)行安全檢查。

涉及人員：公安部門的信息安全管理人員、使用單位的信息安全負(fù)責(zé)人、技術(shù)人員等。

時(shí)間節(jié)點(diǎn)：運(yùn)維檢查工作通常在每年的固定時(shí)間進(jìn)行，具體時(shí)間由公安部門根據(jù)工作安排確定。

技術(shù)要求

等保測(cè)評(píng)的技術(shù)要求主要針對(duì)信息系統(tǒng)的物理環(huán)境、網(wǎng)絡(luò)通信、主機(jī)系統(tǒng)、應(yīng)用安全和數(shù)據(jù)安全等方面，具體包括：

1、物理位置選擇：評(píng)估機(jī)房或數(shù)據(jù)中心的選址是否合理，是否遠(yuǎn)離易燃、易爆、強(qiáng)電磁干擾等危險(xiǎn)環(huán)境。

2、物理訪問(wèn)控制：檢查物理訪問(wèn)控制措施，如門禁系統(tǒng)、監(jiān)控?cái)z像頭等，確保只有授權(quán)人員可以進(jìn)入關(guān)鍵區(qū)域。

3、防盜竊和防破壞：評(píng)估防盜和防破壞措施，包括入侵報(bào)警系統(tǒng)、防震、防火等。

結(jié)構(gòu)安全：評(píng)估網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)的安全性，如是否采用多層防御體系，是否實(shí)施網(wǎng)絡(luò)隔離技術(shù)。

4、訪問(wèn)控制：檢查網(wǎng)絡(luò)訪問(wèn)控制策略，如防火墻規(guī)則、訪問(wèn)控制列表等，確保只有授權(quán)用戶可以訪問(wèn)特定資源。

5、安全審計(jì)：評(píng)估網(wǎng)絡(luò)審計(jì)機(jī)制，包括日志記錄與分析，確保能夠追蹤和檢測(cè)異常網(wǎng)絡(luò)活動(dòng)。

6、身份鑒別：評(píng)估主機(jī)和應(yīng)用系統(tǒng)中的身份鑒別機(jī)制是否安全可靠，防止假冒和欺詐。

7、入侵防范：評(píng)估主機(jī)和應(yīng)用系統(tǒng)的入侵檢測(cè)和防護(hù)能力，包括防病毒軟件、入侵檢測(cè)系統(tǒng)等。

8、數(shù)據(jù)完整性：檢查數(shù)據(jù)傳輸和存儲(chǔ)過(guò)程中的完整性保護(hù)措施，確保數(shù)據(jù)在傳輸和存儲(chǔ)過(guò)程中的完整性，防止數(shù)據(jù)篡改。

9、數(shù)據(jù)備份與恢復(fù)：評(píng)估數(shù)據(jù)備份機(jī)制和恢復(fù)能力，確保在數(shù)據(jù)丟失或損壞時(shí)能夠及時(shí)恢復(fù)。

10、數(shù)據(jù)加密：評(píng)估數(shù)據(jù)加密技術(shù)的使用，保護(hù)敏感信息不被未授權(quán)訪問(wèn)。

黑龍江等保測(cè)評(píng)是確保信息系統(tǒng)安全的重要措施，其流程包括系統(tǒng)定級(jí)、系統(tǒng)備案、整改實(shí)施、系統(tǒng)測(cè)評(píng)和運(yùn)維檢查等階段。每個(gè)階段都有其特定的任務(wù)、涉及人員和時(shí)間節(jié)點(diǎn)，確保測(cè)評(píng)工作的有序進(jìn)行。在實(shí)際操作中，相關(guān)人員應(yīng)嚴(yán)格按照流程要求執(zhí)行，確保信息系統(tǒng)安全等級(jí)保護(hù)工作的有效實(shí)施。

黑龍江等保測(cè)評(píng)