《網(wǎng)絡(luò)安全等級保護(hù)測評要求》等保測評師必讀
現(xiàn)在全國注冊信息安全等級測評師已達(dá)5000余人，每年參加近萬個(gè)信息系統(tǒng)的安全測評作業(yè)，測評師隊(duì)伍已經(jīng)成為國家網(wǎng)絡(luò)安全保障作業(yè)的一支重要力氣。測評師和測評組織展開作業(yè)所根據(jù)的重要規(guī)范便是本期的《網(wǎng)絡(luò)安全等級維護(hù)測評要求第1部分：安全通用要求》，后續(xù)針對測評師的規(guī)范專題訓(xùn)練也將于下一階段打開，敬請重視。
《網(wǎng)絡(luò)安全等級維護(hù)測評要求 第1部分：安全通用要求》解讀
為什么要修訂
《網(wǎng)絡(luò)安全等級維護(hù)測評要求》
國家規(guī)范GB/T 28448－2012《信息安全技能 信息系統(tǒng)安全等級維護(hù)測評要求》在我國網(wǎng)絡(luò)安全等級維護(hù)作業(yè)展開進(jìn)程中發(fā)揮了重要的指導(dǎo)效果，被廣泛運(yùn)用于等級維護(hù)測評組織、各個(gè)行業(yè)和范疇展開網(wǎng)絡(luò)安全等級維護(hù)的等級測評和安全自查等相關(guān)作業(yè)。GB/T 28448自2012年發(fā)布以來，跟著信息技能的展開，在規(guī)范運(yùn)用進(jìn)程中特別是云核算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技能、新運(yùn)用環(huán)境下也遇到了一些新的問題，GB/T 28448－2012在適用性、時(shí)效性、易用性、可操作性上需求進(jìn)一步完善。此外，作為測評目標(biāo)進(jìn)行引證的GB/T 22239－2008也啟動了修訂作業(yè)。為習(xí)慣我國網(wǎng)絡(luò)安全等級維護(hù)作業(yè)展開的需求，進(jìn)一步與新版的GB/T 22239相和諧，有必要對GB/T 28448－2012進(jìn)行修訂。
GB/T 28448《信息安全技能 網(wǎng)絡(luò)安全等級維護(hù)測評要求》（以下簡稱“測評要求”）將依照運(yùn)用的范疇劃分成安全通用要求和詳細(xì)范疇的安全擴(kuò)展測評要求?，F(xiàn)在方案發(fā)布以下部分：
——第1部分：安全通用要求；
——第2部分：云核算安全擴(kuò)展要求；
——第3部分：移動互聯(lián)安全擴(kuò)展要求；
——第4部分：物聯(lián)網(wǎng)安全擴(kuò)展要求；
——第5部分：工業(yè)控制系統(tǒng)安全擴(kuò)展要求；
——第6部分：大數(shù)據(jù)安全擴(kuò)展要求。
《測評要求第1部分：安全通用要求》
首要修訂內(nèi)容
根據(jù)全國信息安全規(guī)范化技能委員會2013年10月下達(dá)的國家規(guī)范制修訂方案，公安部第三研究所（公安部信息安全等級維護(hù)評價(jià)中心）牽頭組織了對GB/T 28448-2012的修訂作業(yè)。
在前期先對GB/T 22239進(jìn)行修訂的同時(shí)，研究確定了《測評要求》修訂技能思路。待GB/T22239構(gòu)成草案后，同步開始修訂《測評要求》。修訂經(jīng)歷了調(diào)查研究、草案構(gòu)成、征求意見稿、送審稿等進(jìn)程，也收到了許多專家、各行業(yè)用戶及七大部委的許多寶貴意見。為便于我們更好地了解和運(yùn)用新規(guī)范體系，提早向我們介紹以下對原國家規(guī)范GB/T 28448-2012修訂的一些首要內(nèi)容。
1 等級測評技能結(jié)構(gòu)的變化
等級測評技能結(jié)構(gòu)由原規(guī)范的單元測評和全體測評調(diào)整為單項(xiàng)測評和全體測評。
單項(xiàng)測評是針對各安全要求項(xiàng)的測評，支撐測評結(jié)果的可重復(fù)性和可再現(xiàn)性。本規(guī)范中單項(xiàng)測評由測評目標(biāo)、測評目標(biāo)、測評施行和單元判定構(gòu)成。修訂后的單項(xiàng)測評中測評目標(biāo)更加細(xì)化，由原規(guī)范中的安全控制點(diǎn)調(diào)整為安全控制點(diǎn)下的詳細(xì)安全要求項(xiàng)，更有助于測評施行的展開。
全體測評是在單項(xiàng)測評基礎(chǔ)上，對等級維護(hù)目標(biāo)全體安全維護(hù)能力的判別。全體測評內(nèi)容由原規(guī)范的安全控制點(diǎn)間、層面間和區(qū)域間測評等方面調(diào)整為現(xiàn)規(guī)范的安全控制點(diǎn)測評、安全控制點(diǎn)間測評和層面間測評。
別的，為了更好使組織測評人員清晰測評作業(yè)的效果目標(biāo)，在測評單元中增加測評目標(biāo)。測評目標(biāo)是指等級測評進(jìn)程中不同測評辦法效果的目標(biāo)，首要涉及相關(guān)配套準(zhǔn)則文檔、設(shè)備設(shè)備及人員等。
2 規(guī)范內(nèi)容的變化
測評要求沿襲正在修訂中的《網(wǎng)絡(luò)安全等級維護(hù)定級攻略》GB/T 22240提出的“等級維護(hù)目標(biāo)”概念，并給出針對等級維護(hù)目標(biāo)的安全等級維護(hù)測評的界說。
根據(jù)GB/T 22239.1規(guī)范文本架構(gòu)，測評要求描繪了如何從物理和環(huán)境安全、網(wǎng)絡(luò)和通訊安全、設(shè)備和核算安全、運(yùn)用和數(shù)據(jù)安全、安全策略和辦理準(zhǔn)則、安全辦理組織和人員、安全建造辦理、安全運(yùn)維辦理等八個(gè)層面進(jìn)行測評施行作業(yè)。
為了更加易于運(yùn)用測評要求，增加《附錄B 測評單元編號說明》和《附錄D 基本要求和測評要求對應(yīng)表》。
附錄B給出了測評單元編碼規(guī)矩和專用縮略語，測評單元編號為三組數(shù)據(jù)，格局為XX-XXXX-XX，各組含義和編碼規(guī)矩如下：
1）第1組由兩位組成，第1位為字母L，第2位為數(shù)字，其中數(shù)字1為榜首級，2為第二級，3為第三級，4為第四級，5為第五級。
2）第2組由4位組成，前3位為字母，第4位為數(shù)字。字母代表層面：PES為物理和環(huán)境安全， NCS為網(wǎng)絡(luò)和通訊安全，ECS為設(shè)備和核算安全，ADS為運(yùn)用和數(shù)據(jù)安全，PSS為安全策略和辦理準(zhǔn)則，ORS為安全辦理組織和人員，CMS為安全建造辦理，MMS為安全運(yùn)維辦理。數(shù)字代表規(guī)范分冊：1為榜首分冊，2為第二分冊，3為第三分冊，4為第四分冊，5為第五分冊，6為第六分冊。
3）第3組由2位數(shù)字組成，按層面臨基本要求中的要求項(xiàng)進(jìn)行順序編號。
示例：測評單元編號為L1-PES1-01，代表源自基本要求第1部分的榜首級物理和環(huán)境安全類的第1個(gè)目標(biāo)。
為了方便組織測評人員進(jìn)行現(xiàn)場等級測評作業(yè)，增加附錄D基本要求的要求項(xiàng)和測評要求的單元測評對應(yīng)表，便于組織測評人員檢索和索引。
3 測評要求在級差上的變化
不同等級的測評作業(yè)首要經(jīng)過以下四個(gè)方面來體現(xiàn)測評要求的級差：
1）不同等級運(yùn)用不同測評辦法：榜首級首要以訪談為主進(jìn)行等級測評，第二級以核對為主進(jìn)行等級測評，第三級和第四級在核對基礎(chǔ)上還要進(jìn)行測驗(yàn)驗(yàn)證作業(yè)。不同等級運(yùn)用不同測評辦法，能體現(xiàn)出測評施行進(jìn)程中訪談、核對和測驗(yàn)的測評強(qiáng)度的不同。
2）不同等級測評目標(biāo)規(guī)模不同：榜首級和第二級測評目標(biāo)的規(guī)模為關(guān)鍵設(shè)備，第三級為首要設(shè)備，第四級為一切設(shè)備。不同等級測評目標(biāo)規(guī)模不同，能體現(xiàn)出測評施行進(jìn)程中訪談、核對和測驗(yàn)的測評廣度的不同。
3）不同等級現(xiàn)場測評施行作業(yè)不同：榜首級和二級以核對安全機(jī)制為主，第三級和第四級先核對安全機(jī)制，再核對安全策略有效性。
4）現(xiàn)場測評辦法運(yùn)用不同：在實(shí)際現(xiàn)場測評施行進(jìn)程中，安全技能方面的測評辦法以配置核對和測驗(yàn)驗(yàn)證為主，幾乎沒有訪談。安全辦理方面能夠運(yùn)用訪談方式進(jìn)行測評。
《網(wǎng)絡(luò)安全等級維護(hù)測評要求 第1部分：安全通用要求》解讀
為什么要修訂
《網(wǎng)絡(luò)安全等級維護(hù)測評要求》
國家規(guī)范GB/T 28448－2012《信息安全技能 信息系統(tǒng)安全等級維護(hù)測評要求》在我國網(wǎng)絡(luò)安全等級維護(hù)作業(yè)展開進(jìn)程中發(fā)揮了重要的指導(dǎo)效果，被廣泛運(yùn)用于等級維護(hù)測評組織、各個(gè)行業(yè)和范疇展開網(wǎng)絡(luò)安全等級維護(hù)的等級測評和安全自查等相關(guān)作業(yè)。GB/T 28448自2012年發(fā)布以來，跟著信息技能的展開，在規(guī)范運(yùn)用進(jìn)程中特別是云核算、移動互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制和大數(shù)據(jù)等新技能、新運(yùn)用環(huán)境下也遇到了一些新的問題，GB/T 28448－2012在適用性、時(shí)效性、易用性、可操作性上需求進(jìn)一步完善。此外，作為測評目標(biāo)進(jìn)行引證的GB/T 22239－2008也啟動了修訂作業(yè)。為習(xí)慣我國網(wǎng)絡(luò)安全等級維護(hù)作業(yè)展開的需求，進(jìn)一步與新版的GB/T 22239相和諧，有必要對GB/T 28448－2012進(jìn)行修訂。
GB/T 28448《信息安全技能 網(wǎng)絡(luò)安全等級維護(hù)測評要求》（以下簡稱“測評要求”）將依照運(yùn)用的范疇劃分成安全通用要求和詳細(xì)范疇的安全擴(kuò)展測評要求?，F(xiàn)在方案發(fā)布以下部分：
——第1部分：安全通用要求；
——第2部分：云核算安全擴(kuò)展要求；
——第3部分：移動互聯(lián)安全擴(kuò)展要求；
——第4部分：物聯(lián)網(wǎng)安全擴(kuò)展要求；
——第5部分：工業(yè)控制系統(tǒng)安全擴(kuò)展要求；
——第6部分：大數(shù)據(jù)安全擴(kuò)展要求。
《測評要求第1部分：安全通用要求》
首要修訂內(nèi)容
根據(jù)全國信息安全規(guī)范化技能委員會2013年10月下達(dá)的國家規(guī)范制修訂方案，公安部第三研究所（公安部信息安全等級維護(hù)評價(jià)中心）牽頭組織了對GB/T 28448-2012的修訂作業(yè)。
在前期先對GB/T 22239進(jìn)行修訂的同時(shí)，研究確定了《測評要求》修訂技能思路。待GB/T22239構(gòu)成草案后，同步開始修訂《測評要求》。修訂經(jīng)歷了調(diào)查研究、草案構(gòu)成、征求意見稿、送審稿等進(jìn)程，也收到了許多專家、各行業(yè)用戶及七大部委的許多寶貴意見。為便于我們更好地了解和運(yùn)用新規(guī)范體系，提早向我們介紹以下對原國家規(guī)范GB/T 28448-2012修訂的一些首要內(nèi)容。
1 等級測評技能結(jié)構(gòu)的變化
等級測評技能結(jié)構(gòu)由原規(guī)范的單元測評和全體測評調(diào)整為單項(xiàng)測評和全體測評。
單項(xiàng)測評是針對各安全要求項(xiàng)的測評，支撐測評結(jié)果的可重復(fù)性和可再現(xiàn)性。本規(guī)范中單項(xiàng)測評由測評目標(biāo)、測評目標(biāo)、測評施行和單元判定構(gòu)成。修訂后的單項(xiàng)測評中測評目標(biāo)更加細(xì)化，由原規(guī)范中的安全控制點(diǎn)調(diào)整為安全控制點(diǎn)下的詳細(xì)安全要求項(xiàng)，更有助于測評施行的展開。
全體測評是在單項(xiàng)測評基礎(chǔ)上，對等級維護(hù)目標(biāo)全體安全維護(hù)能力的判別。全體測評內(nèi)容由原規(guī)范的安全控制點(diǎn)間、層面間和區(qū)域間測評等方面調(diào)整為現(xiàn)規(guī)范的安全控制點(diǎn)測評、安全控制點(diǎn)間測評和層面間測評。
別的，為了更好使組織測評人員清晰測評作業(yè)的效果目標(biāo)，在測評單元中增加測評目標(biāo)。測評目標(biāo)是指等級測評進(jìn)程中不同測評辦法效果的目標(biāo)，首要涉及相關(guān)配套準(zhǔn)則文檔、設(shè)備設(shè)備及人員等。
2 規(guī)范內(nèi)容的變化
測評要求沿襲正在修訂中的《網(wǎng)絡(luò)安全等級維護(hù)定級攻略》GB/T 22240提出的“等級維護(hù)目標(biāo)”概念，并給出針對等級維護(hù)目標(biāo)的安全等級維護(hù)測評的界說。
根據(jù)GB/T 22239.1規(guī)范文本架構(gòu)，測評要求描繪了如何從物理和環(huán)境安全、網(wǎng)絡(luò)和通訊安全、設(shè)備和核算安全、運(yùn)用和數(shù)據(jù)安全、安全策略和辦理準(zhǔn)則、安全辦理組織和人員、安全建造辦理、安全運(yùn)維辦理等八個(gè)層面進(jìn)行測評施行作業(yè)。
為了更加易于運(yùn)用測評要求，增加《附錄B 測評單元編號說明》和《附錄D 基本要求和測評要求對應(yīng)表》。
附錄B給出了測評單元編碼規(guī)矩和專用縮略語，測評單元編號為三組數(shù)據(jù)，格局為XX-XXXX-XX，各組含義和編碼規(guī)矩如下：
1）第1組由兩位組成，第1位為字母L，第2位為數(shù)字，其中數(shù)字1為榜首級，2為第二級，3為第三級，4為第四級，5為第五級。
2）第2組由4位組成，前3位為字母，第4位為數(shù)字。字母代表層面：PES為物理和環(huán)境安全， NCS為網(wǎng)絡(luò)和通訊安全，ECS為設(shè)備和核算安全，ADS為運(yùn)用和數(shù)據(jù)安全，PSS為安全策略和辦理準(zhǔn)則，ORS為安全辦理組織和人員，CMS為安全建造辦理，MMS為安全運(yùn)維辦理。數(shù)字代表規(guī)范分冊：1為榜首分冊，2為第二分冊，3為第三分冊，4為第四分冊，5為第五分冊，6為第六分冊。
3）第3組由2位數(shù)字組成，按層面臨基本要求中的要求項(xiàng)進(jìn)行順序編號。
示例：測評單元編號為L1-PES1-01，代表源自基本要求第1部分的榜首級物理和環(huán)境安全類的第1個(gè)目標(biāo)。
為了方便組織測評人員進(jìn)行現(xiàn)場等級測評作業(yè)，增加附錄D基本要求的要求項(xiàng)和測評要求的單元測評對應(yīng)表，便于組織測評人員檢索和索引。
3 測評要求在級差上的變化
不同等級的測評作業(yè)首要經(jīng)過以下四個(gè)方面來體現(xiàn)測評要求的級差：
1）不同等級運(yùn)用不同測評辦法：榜首級首要以訪談為主進(jìn)行等級測評，第二級以核對為主進(jìn)行等級測評，第三級和第四級在核對基礎(chǔ)上還要進(jìn)行測驗(yàn)驗(yàn)證作業(yè)。不同等級運(yùn)用不同測評辦法，能體現(xiàn)出測評施行進(jìn)程中訪談、核對和測驗(yàn)的測評強(qiáng)度的不同。
2）不同等級測評目標(biāo)規(guī)模不同：榜首級和第二級測評目標(biāo)的規(guī)模為關(guān)鍵設(shè)備，第三級為首要設(shè)備，第四級為一切設(shè)備。不同等級測評目標(biāo)規(guī)模不同，能體現(xiàn)出測評施行進(jìn)程中訪談、核對和測驗(yàn)的測評廣度的不同。
3）不同等級現(xiàn)場測評施行作業(yè)不同：榜首級和二級以核對安全機(jī)制為主，第三級和第四級先核對安全機(jī)制，再核對安全策略有效性。
4）現(xiàn)場測評辦法運(yùn)用不同：在實(shí)際現(xiàn)場測評施行進(jìn)程中，安全技能方面的測評辦法以配置核對和測驗(yàn)驗(yàn)證為主，幾乎沒有訪談。安全辦理方面能夠運(yùn)用訪談方式進(jìn)行測評。
