等保测评工程师安全操作规程

等保测评工程师安全操作规程第一章总则与适用范围一、目的依据为规范等级保护测评（以下简称等保测评）工程师的现场作业行为，防范测评过程中引入人为安全风险，保障被测信息系统（以下简称系统）的机密性、完整性与可用性，依据《中华人民共和国网络安全法》《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）、《信息安全技术网络安全等级保护测评要求》（GB/T28448-2019）及《信息安全技术网络安全等级保护测评过程指南》（GB/T28449-2018）等法律法规与标准规范，结合测评作业实际场景，制定本安全操作规程。二、适用范围本规程适用于所有承担等保测评项目的测评工程师、项目负责人、技术复核人员及质量监督人员。凡涉及系统信息采集、工具扫描、渗透测试、配置核查、证据留存、报告编制及现场应急处理等环节，均须严格遵守本规程。对于涉及关键信息基础设施、政务系统、金融核心系统及大型云计算平台的测评项目，还应满足行业主管机构另行发布的专项安全要求。三、基本安全原则测评作业须严格遵循“最小影响、最小授权、全程留痕、隐私保护、合规操作”五项基本原则。任何测评动作应以不损害系统正常运行、不破坏业务数据完整性为前提，所有操作须获得被测方书面授权后方可实施，测评过程全程记录，日志与证据妥善留存。涉及公民个人信息、重要业务数据及商业秘密的，须履行保密义务，不得违规复制、外传或用于本项目以外的任何用途。第二章测评准备阶段安全要求一、授权与合同审查测评工程师在项目启动前，须核对由被测单位签章的测评授权书、委托合同或保密协议，确认授权范围与测评边界。授权文件应明确允许测评的系统范围、IP地址段、域名、物理机房区域、允许使用的测评方法（如是否允许漏洞验证、是否允许渗透测试）、测评时间窗口以及紧急情况下的联系人及联系方式。授权文件缺失或范围描述模糊时，严禁启动任何测评作业。若项目执行过程中需扩大测评范围或变更测评方式，须重新获取书面授权。二、人员资质与保密承诺参与测评的工程师须具备网络安全等级保护测评师证书或相关领域从业资质，并通过项目组安全交底考核。每名工程师须签署项目保密承诺书，承诺不泄露系统架构、源代码、业务数据、安全漏洞细节及测评结果。保密承诺书应存档备查，保密期限至少为合同期满后三年。三、测评工具准备与安全校验测评所用工具须来源于可信渠道，优先选用业界主流商业工具及经过安全审计的开源工具。工具安装包须提前进行病毒查杀与哈希校验，记录工具名称、版本、校验值及来源信息。严禁使用来源不明、带有后门或已知可利用漏洞的破解版工具。工具清单应作为项目附件提交被测方备案。工具更新与插件加载须在隔离环境中完成验证，确认无恶意行为后方可投入现场使用。对于新纳入工具库的脚本或插件，须经技术负责人审核批准。四、测评方案安全评审测评方案须包含安全风险分析与防控措施，对可能影响业务连续性的高风险测试动作（如拒绝服务测试、破坏性验证、数据篡改测试等）须单独标注，并制定回退与应急方案。评审未通过的方案不得实施。项目组须在测评实施前至少三个工作日将测评方案及授权文件提交被测方信息安全管理部門审核备案。第三章现场测评作业安全要求一、人员行为规范测评工程师进入被测单位机房或办公区域，须遵守被测方的人员进出管理规定，佩戴访客证件，接受陪同与监督。严禁在未授权区域逗留、拍照或连接个人设备。未经允许，不得使用手机摄像头、U盘、移动硬盘等便携存储介质连接被测系统。测评过程中应穿着整洁，佩戴工牌，操作言行专业得体。二、网络接入与测试环境控制测评设备的网络接入须经被测方网络管理员确认，使用指定接入端口或临时测试VLAN，并记录接入时间、设备MAC地址与IP地址分配情况。严禁擅自连接核心交换机、路由器管理端口或生产业务接口，严禁利用被测方网络进行与测评无关的互联网访问、文件下载或远程控制。测评笔记本电脑及测试设备须专机专用，安装最新安全补丁与终端防护软件，禁止存储与测评无关的个人文件。设备接入前须进行安全自查，确认无病毒、木马及可疑进程。三、信息采集安全操作系统基本信息、网络拓扑、安全设备策略等信息的采集，应优先采用查阅资料、访谈人员、查看配置文件等被动方式。需通过登陆设备获取信息的，应使用被测方提供的临时账号或受控账号，严禁使用管理员明文口令进行业务系统操作。登陆过程须通过堡垒机或跳板机完成，无堡垒机环境的，须经被测方批准并在其监督下直接操作，操作结束后立即清除登陆痕迹。涉及配置文件导出、日志下载等操作，须经过被测方书面同意，导出文件须加密存储，并记录导出时间、内容摘要及用途。四、漏洞扫描与基线核查安全要求漏洞扫描作业须严格控制扫描强度与并发线程数，优先使用非破坏性扫描策略。扫描窗口应避开业务高峰时段，对于重要业务系统，应提前协商确定扫描时间。扫描前须验证目标IP地址的准确性，严禁扫描授权范围以外的IP地址。基线核查须依据等级保护基本要求中的安全计算环境、安全区域边界、安全通信网络等控制项逐项核查。核查过程应区分“建议核查项”与“禁止核查项”。对于生产系统关键配置的变更、重启、策略调整等操作，一律禁止在未获被测方书面许可的情况下执行。基线核查工具仅允许执行只读类命令，严禁调用写操作指令。核查类别允许操作禁止操作备注账号与口令策略查看配置文件、查看用户列表修改口令策略、新增或删除账号需使用只读命令网络设备配置查看运行配置、接口状态、路由表保存配置、重启设备、修改接口状态操作前确认设备型号主机安全配置查看补丁信息、服务列表、开放端口安装/卸载补丁、停用服务、关闭端口高危操作为一票否决项数据库安全配置查看版本、权限分配、审计日志修改权限、清空日志、变更数据须使用审计账号登陆五、渗透测试安全边界控制渗透测试作业须严格限定在授权范围内，严禁利用系统漏洞进行横向渗透、提权至域控服务器或访问与测评无关的内部系统。测试过程中获取的敏感数据（如口令哈希、业务数据、个人隐私信息）不得复制、外传或写入报告，仅在验证漏洞危害时进行最小必要展示，并在测试结束后彻底清除。测试过程须使用专用渗透测试平台并开启全过程屏幕录像与操作日志记录，防止违规操作。所有渗透测试动作须有具体测试用例支撑，禁止随意尝试攻击行为。六、物理安全现场检查要求物理安全测评涉及机房物理访问控制、防盗窃防破坏、电力供应、温湿度控制、防水防火等检查项，测评工程师须在机房管理人员陪同下进行，严格遵守机房出入登记制度。进入机房前须穿戴防静电手环或防静电鞋，严禁触碰与测评无关的设备开关、电源线路及消防设施。对机房视频监控、门禁系统、报警系统的核查以查看记录和运行状态为主，不进行破坏性测试。第四章数据安全与隐私保护要求一、测评数据分类测评数据分为系统配置数据、业务运行数据、安全日志数据、漏洞验证数据及个人敏感数据五类。各类数据须采取差异化存储与传输保护措施。测评数据的处理须遵循最小化原则，仅采集与测评直接相关的数据项。二、数据传输与存储安全测评数据在传输过程中须使用加密通道（如SFTP、HTTPS、VPN），严禁通过明文字节流传输配置文件、口令哈希及漏洞验证数据。现场采集数据须在当天工作结束后存入加密存储介质或加密容器，移动存储介质须经被测方批准后方可带离现场。数据存储周期以项目合同约定为准，项目验收完成后测评数据保留期限原则上不超过六个月。数据销毁须使用符合安全标准的擦除工具或物理销毁方式，并记录销毁过程。三、口令与凭据管理测评过程中获知的设备口令、应用系统账号口令、数据库口令等凭据信息，须使用口令管理工具加密保存，不得在纸质记录、聊天工具或普通文本文件中明文记录。口令传递须通过加密渠道进行，测试结束后须及时清除本地缓存的凭据信息。严禁使用被测系统口令登录与测评无关的设备或系统。第五章应急响应与事件处置一、异常事件分级测评过程中可能发生的安全异常事件分为以下三级，对应不同响应策略：事件级别事件定义示例响应要求一级（严重）可能导致系统宕机、业务中断、数据丢失或大规模服务不可用误操作导致核心交换机配置丢失、批量删除数据库表、触发大规模拒绝服务立即停止全部测评活动，通知被测方安全负责人与项目经理，配合应急处置，72小时内提交事件报告二级（较重）可能导致局部功能异常、性能下降或个别设备配置异常扫描导致某台应用服务器CPU占用过高、误修改访问控制列表导致部分用户访问受限暂停相关测评动作，恢复系统至原有状态，2小时内向被测方汇报，查明原因后经批准方可继续测评三级（一般）对系统运行无明显影响，但存在潜在安全隐患误触发安全告警、产生大量日志、占用少量带宽资源记录事件详情，调整测评策略，持续观察系统运行状态二、现场应急处置流程发现系统运行异常后，测评工程师须立即停止操作，保护现场，第一时间通知被测方信息系统运维负责人，如实说明可能的原因及影响范围，积极配合运维人员恢复系统。在系统恢复正常前，严禁继续任何测评操作。对因测评操作造成系统故障的，须承担相应责任。三、应急联络机制项目启动前须建立应急联络表，明确被测方信息系统负责人、安全管理人员、网络管理员及项目组技术负责人、项目经理的联系方式。联络表须在项目组内共享，确保任何一名工程师在紧急情况下可迅速联系到对应人员。第六章测评记录与证据留存一、测评过程记录要求测评工程师须按照GB/T28449-2018及项目质量手册的要求，如实记录测评过程，包括但不限于测评时间、测评对象、测评工具、测评方法、原始输出结果、风险分析及判定依据。记录须使用项目统一模板，做到一事一记、即时记录，严禁事后补记或虚构测评过程。二、证据留存规范漏洞验证、配置核查等关键测评环节须留存截图、日志、报文等证据。证据文件须包含可验证的时间戳信息，文件命名规则为“项目编号-系统名称-测试项编号-日期-序号”。证据文件不得进行任何形式的修改、裁剪或美化处理。对于通过截图无法完整反映的高危漏洞，应使用录屏软件录制验证过程，录屏文件与截图一并存档。证据的保存期限与项目文档保存期限一致。三、原始记录与报告一致性审查项目组内部审核环节须将测评报告中的结论与原始测评记录、证据文件进行交叉核对，确保报告中的每一项结论均有可追溯的原始记录支撑。未留存证据的测评结论不得写入正式报告。质量监督人员须对记录与报告的一致性进行抽查，抽查比例不低于30%。第七章测评报告编制安全要求一、报告编制规范测评报告须依据等级保护测评要求及测评过程指南的规定格式编制，内容须客观、真实、准确。报告中的风险分析应结合系统实际运行环境、业务重要性及已有安全措施进行综合评价，避免机械套用模板。高危风险描述须明确指出漏洞位置、利用难度、可能造成的危害及修复建议。二、敏感信息脱敏处理报告中涉及IP地址、端口、账号名称、口令哈希、业务数据等敏感信息，须进行脱敏处理后再行提交。脱敏规则如下：数据类型脱敏方式示例IP地址保留前两段，后两段以“x”替代192.168.x.x账号名称保留首位与末位字符，中间以“*”替代a***n口令哈希仅保留前8位5f4dcc3b****端口号保留端口号，隐藏服务指纹细节3306（MySQL）文件路径隐藏盘符与深层目录/var//conf/三、报告分发与传输安全测评报告须以加密文档形式通过安全渠道（加密邮件、加密U盘或受控文件交换平台）传递至被测方授权接收人，严禁使用普通邮件、即时通讯工具或公共网盘发送。报告发送前须经项目负责人审核，并填写报告分发记录，记录内容包括分发时间、接收人单位、接收人姓名及文件哈希值。报告纸质版须统一编号、登记签收，多余版本须集中销毁，防止版本失控造成信息泄露。第八章远程测评与特殊场景安全要求一、远程测评操作规范采用远程方式实施测评的，须由被测方提出申请并经测评机构批准。远程测评须通过加密VPN通道连接至被测方指定的跳板机，严禁直接连接生产环境。远程会话须全程录屏，并限制会话空闲超时时间不超过10分钟。远程测评期间，被测方须指定专人同步监控系统状态，发现异常立即终止会话。二、云计算平台测评安全要求云平台测评涉及虚拟化层、云管平台及云租户系统的安全测评，须在云服务商与云租户双方授权范围内实施。测评工程师不得跨越租户边界访问其他租户资源，不得测试云管理接口中未授权的高危操作。对云平台共享基础设施的漏洞扫描，须评估对同区域其他租户的潜在影响，并经云服务商确认后实施。三、工业控制系统测评特殊要求工业控制系统（ICS）的测评须充分评估测试操作对生产流程的影响，严禁在生产运行状态下进行可能引发误动作的漏洞验证。ICS测评应优先采用离线测试或旁路监测方式，确需在线测试的，须经工控系统运维方、安全管理方及生产调度部门共同审批。涉及现场总线协议、工业控制协议的安全测试，应使用专用测试工具并确保工具不会发送异常控制指令。第九章安全培训与持续改进一、安全技能培训测评机构须定期组织测评工程师开展安全操作技能培训，培训内容包括新型漏洞利用技术、测评工具安全使用规范、典型安全事故案例分析及最新等级保护标准解读。培训频次不少于每季度一次，培训记录须归档保存。新入职测评工程师须通过安全操作考核后方可独立承担测评任务。二、安全操作审查项目质量管理部门须定期对测评项目的安全操作执行情况进行审查，审查内容包括授权文件完整性、工具使用合规性、过程记录真实性、数据管理规范性及应急处理有效性。审查中发现的安全操作问题须形成整改通知单，明确整改措施与整改期限，并对整改结果进行闭环验证。三、安全操作改进机制测评机构须建立安全操作问题数据库，收集整理各类安全事件、未遂事件及不符合项，定期开展原因分析与改进措施研讨。每年度须对本