信息系统安全等级保护测评验收规范

信息系统安全等级保护测评验收规范一、总则信息系统安全等级保护测评验收是系统上线前的最后一道合规与技术防线，决定了系统是否具备抵御现实网络攻击的能力。本章确立测评验收的基准尺度与适用范围，杜绝无标准主观评判。1.1适用范围本规范适用于企业内所有新建、改扩建及运行中的第二级及以上信息系统的等级保护测评与项目验收工作。涉及国家秘密的系统按国家保密相关专项规定执行，本规范仅作参照。1.2依据标准本规范编制及测评验收判定依据如下：•《中华人民共和国网络安全法》•《中华人民共和国数据安全法》•《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）•《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）•《信息安全技术网络安全等级保护测评过程指南》（GB/T28449-2018）1.3术语定义•测评机构：具备公安部核发的《网络安全等级保护测评机构推荐证书》的第三方技术服务机构。•高危风险项：可能导致系统被远程控制、核心数据大面积泄露或业务系统瘫痪的安全缺陷，测评报告中标记为“高”的风险项。二、验收组织与职责边界等保验收不是单一部门的技术确认，而是法务、合规、技术、业务多方制衡的闭环控制过程。必须明确各方权力与责任，切断“既当裁判又当运动员”的链条。2.1验收委员会构成验收委员会由以下五类角色组成，总人数不得少于5人且为单数：•主任委员：由企业分管信息化与安全的副总裁担任，负责最终签字背书。•安全合规代表：由信息安全部门负责人担任，负责标准解释与合规一票否决。•业务代表：由系统主要使用方业务主管担任，负责业务可用性确认。•技术专家：至少2名外部行业技术专家，负责对测评报告的技术深度与整改有效性进行独立审查。•测评机构代表：测评项目组长，列席会议解答质询，无表决权。2.2职责分工矩阵角色核心职责交付物时间要求信息安全部审核测评报告，复核漏洞整改闭环情况《等保整改核查报告》验收会前3个工作日测评机构出具客观真实的测评报告，提供整改建议《网络安全等级保护测评报告》验收会前5个工作日系统建设单位实施技术加固与管理整改《系统安全整改方案及记录》验收会前3个工作日业务部门验证安全加固未破坏业务流程《业务功能回归测试确认单》验收会前1个工作日三、测评前置条件与准备前置条件的审查是筛选无效测评、防止资源浪费的“过滤网”。不具备前置条件的系统严禁启动测评验收流程，必须退回建设部门返工。3.1启动测评的强制门槛系统启动等保测评前，必须同时满足以下条件，缺一不可：1.定级备案完成：取得属地公安机关颁发的《信息系统安全等级保护备案证明》（含第二级及以上）。2.试运行期满：系统连续试运行时间≥90天，且试运行期间无重大业务中断记录（中断时间单次<2小时，累计3.架构冻结：试运行期间核心网络拓扑、服务器数量、核心应用代码无重大变更。若发生变更，必须提供变更审批单及影响性评估报告。4.基本防护就绪：系统已部署边界防火墙、主机杀毒软件，且备份策略已实际运行满30天，具备可验证的近期备份数据。3.2测评机构选择与约束•优先选择本地具备资质的测评机构以保障现场响应速度；若本地无合适机构，可选择邻近省份机构；严禁选择资质过期或处于暂停整改期的机构。•签订测评合同时，必须附带《保密协议》，明确测评过程中获取的拓扑图、源码片段、漏洞数据不得外泄，违约赔偿金下限设为50万元。3.3测评方案评审测评进场前5个工作日，信息安全部需组织对测评机构提交的《测评方案》进行评审。方案必须包含：•测评范围边界图（标明物理边界与逻辑边界）。•测评工具清单及授权码（确保漏扫工具特征库更新时间在15天以内）。•渗透测试时间窗口安排（通常安排在业务低谷期，如00:00-04:00）。•风险阻断预案：若测评扫描导致业务系统瘫痪，测评机构须在15分钟内停止发包并配合恢复。四、测评实施过程控制测评实施过程是数据采集的真实性源头。放任测评人员走过场式扫描，将直接导致验收结论失效。本节规范测评现场的核心动作与质量监控点。4.1技术测评现场监管4.1.1漏洞扫描管理•操作机理：扫描器向目标端口发送构造的探测包，通过比对返回特征库识别漏洞。错误的扫描配置会引发大量并发连接，耗尽中间件连接池导致拒绝服务。•执行要求：扫描前必须在测试环境验证发包速率。生产环境扫描并发线程数不得超过50，扫描速率限制在100packets/s•异常处置：若目标系统CPU利用率突增超过80%或响应延迟增加超过500ms，现场监控员有权直接拔除测试网线强制中断扫描。4.1.2渗透测试管理•涉及核心数据库的渗透动作（如SQL注入尝试）严禁使用自动化工具盲打，必须由人工逐包构造Payload进行验证。•提权测试必须在独立测试机上进行，严禁在生产服务器上执行提权脚本。因为提权操作可能篡改系统关键文件，导致内核崩溃。•渗透测试过程中获取的任何业务数据（如用户密码哈希）必须在测试结束后24小时内彻底销毁，销毁记录需双方签字确认。4.2管理测评访谈与核查管理测评核查必须提供实物证据，禁止单纯口头确认。•制度发布：核查制度文件时，必须查验加盖公司红章的正式发文及OA系统内的签发记录，打印件或草稿一律无效。•人员访谈：随机抽取系统管理员、网络管理员各1名进行独立访谈，访谈内容需录音。重点验证其是否掌握本岗位安全职责及应急操作步骤。若被访谈人员无法说出现网核心防火墙的登录方式及日常巡检指标，判定管理控制点失效。五、测评结论与整改验收测评报告中指出的问题必须形成“发现-修复-复核”的闭环。整改验收的核心不是看问题数量减少了多少，而是看每一个残余风险是否被有效控制在可接受水平。5.1风险分级与判定标准依据《GB/T22239-2019》，结合系统实际威胁场景，执行以下风险判定标准：•高危风险（一票否决项）：◦存在外部可利用的远程代码执行（RCE）漏洞。◦核心数据库存在未授权访问且可通过公网连接。◦明文传输核心业务账号密码且可被中间人截获。◦演化路径：攻击者通过互联网发现RCE接口→发送恶意构造请求获取WebShell→横向移动连接内网数据库→拖库导致百万级用户隐私泄露。◦处置原则：发现高危风险，验收委员会必须出具“验收不通过”结论，系统禁止上线，限期7天内整改。•中危风险（条件通过项）：◦系统未开启操作审计日志或日志留存不足6个月。◦密码复杂度策略未强制启用（如未限制8位以上且包含大小写数字）。◦处置原则：中危风险数量不得大于5项，且必须在30个自然日内完成整改，提交复测报告后方可上线。•低危风险（观察项）：◦页面存在版本信息泄露（如Nginx版本号暴露）。◦处置原则：纳入下一迭代计划修复，不阻断本次验收。5.2整改方案分层实施对于发现的漏洞，系统建设单位必须遵循以下优先级实施整改：1.优先执行：修改应用程序代码或修改安全架构设计。从根源消除漏洞产生逻辑，例如使用预编译语句彻底解决SQL注入。2.次优执行：配置安全设备策略（如WAF规则拦截、防火墙端口封禁）。适用于代码重构成本过大或第三方供应商无法修改的场景，作为补偿控制手段。3.严禁执行：仅在测试环境修复而在生产环境遗留，或通过修改扫描器配置使漏洞不报出。一经发现，对系统建设单位负责人扣除当季绩效，并通报批评。5.3复测验收闭环整改完成后，测评机构必须进行现场或远程复测。复测范围不仅限于已发现问题，需对整改过程中可能引入的新漏洞（如补丁兼容性导致的绕过漏洞）进行20%抽查。复测报告出具后，信息安全部签发《整改闭环确认单》。六、项目正式验收流程正式验收会议是整个合规过程的交付节点，会议的议程设置必须确保技术隐患被充分暴露和质询，而非走过场签字。6.1验收会议议程执行会议必须按以下标准议程执行，总时长不少于120分钟：1.建设方汇报（20分钟）：汇报系统建设过程、定级备案情况、试运行情况及核心安全架构。2.测评方汇报（30分钟）：汇报测评范围、测评方法、发现问题及高风险项的演化机理。3.整改情况质询（40分钟）：验收委员会重点针对中高危漏洞的整改方案有效性进行质询。建设方需现场展示防护策略及验证日志。4.业务方确认（10分钟）：业务代表确认安全加固后系统可用性未受显著影响。5.闭门评议（20分钟）：测评方与建设方退场，验收委员会进行闭门评议并投票。6.2交付物归档清单验收通过后10个工作日内，必须完成以下文档的归档，纸质版一式三份，电子版上传至企业安全知识库：序号交付物名称提交方核验要点1信息系统安全等级保护备案证明建设方核验公安机关公章及系统等级2网络安全等级保护测评报告（终版）测评机构骑缝章完整，结论为“符合/基本符合”3安全整改及复测报告测评机构高危项全部清零，中危项闭环4系统应急预案及演练记录建设方演练时间距今不得超过6个月5验收委员会签字决议书安全部主任委员及全体委员亲笔签名七、应急处置与异常管理测评与整改过程中存在诱发生产事故的可能性。缺乏明确分级与授权的乱操作会导致小故障演变为全局瘫痪。本节设立三道防线，锁定异常发生时的行动准则。7.1事件分级与启动权限级别判定标准启动权限处置原则及时间要求一级（重大）测评/整改导致核心业务系统瘫痪，影响范围超30%用户验收委员会主任立即中止所有测评/整改动作，10分钟内启动备用系统，15分钟内通报公安网安部门二级（较大）局部功能异常或非核心系统宕机，业务可降级运行信息安全部负责人30分钟内隔离异常节点，启用限流或降级策略，2小时内恢复三级（一般）系统响应延迟超阈值（如>2000系统建设单位主管现场监控员介入排查，暂停发包或回退单步操作，4小时内出具分析报告7.2漏洞修复回退机制在实施补丁修复或架构变更前，系统建设单位必须制定回退方案：•数据库变更前必须执行全量冷备份，备份校验成功后方可操作。•应用代码更新前必须在Jenkins或发布平台保留上一稳定版本构件，确保15分钟内可一键回滚。•回退决策无需经过复杂审批：现场技术负责人判定存在不可控风险时，有权直接下达回退指令，事后24小时内补齐审批手续。严禁因等待审批而错失15分钟黄金救援期导致事故扩大。八、验收后持续监督验收通过不代表安全状态的永久固化。攻击手法日新月异，静态合规无法应对动态威胁。8.1日常监督与复测周期•三级系统：每年至少进行1次全面等保测评，每半年由内部安全部进行1次合规性自查。•四级系统：每半年至少进行1次全面等保测评，每季度进行1次合规性自查。•自查重点包括：网络访问控制策略变更记录、新上线的API接口安全评估、账号权限定期清理记录。8.2重大变更触发评估系统在运行期间发生以下重大变更时，必须重新进行局部或全面等保测评，严禁直接沿用旧版验收结论：1.核心网络拓扑结构发生重大改变（如迁移至云平台、更换核心交换机）。2.业务应用进行大版本重构更新。3.发生过重大网络安全事件并被公安机关通报。九、附件本附件提供测评验收过程的关键控制表单，各责任方须打印纸质版现场填写并签字，作为验收交付物归档保存。附件1：等保测评前置条件检查表检查项核查内容与标准检查结果(是/否)证据材料检查人/日期定级备案取得属地公安分局及以上机关颁发的备案证明备案证明复印件试运行期连续运行≥90运行日志导出件架构冻结近1个月网络拓扑及核心代码无重大变更拓扑图及变更记录数据备份备份策略已运行≥30备份恢复测试报告附件2：高危漏洞整改闭环确认单漏洞编号漏洞名称风险等级漏洞描述及成因整改方案复测结果复测人确认人V-001SQL注入高登录接口未对输入参数过滤采用预编译语句重构数据访问层已修复，扫描无此漏洞张某某李某某V-002越权访问高缺少服务端身份鉴权逻辑增加基于RBAC的接口拦截器已修复，越权请求返回403张某某李某某附件3：验收会