GB-T 28448-2019 信息安全技术 网络安全等级保护测评要求 - 副本

GB/T28448-2019信息安全技术网络安全等级保护测评要求前言GB/T28448-2019《信息安全技术网络安全等级保护测评要求》是我国网络安全等级保护2.0体系的核心测评类国家标准，由国家市场监督管理总局、中国国家标准化管理委员会于2019年5月10日联合发布，2019年12月1日正式实施。本标准替代GB/T28448-2012《信息系统安全等级保护测评要求》，全面适配《中华人民共和国网络安全法》合规要求，革新传统信息系统测评框架，覆盖云计算、移动互联、物联网、工业控制系统、大数据等新型信息技术场景，是开展网络安全等级保护定级测评、合规整改、监督检查的核心技术依据。本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口，公安部第三研究所等数十家权威机构联合起草，构建了“通用要求+场景扩展”的分层测评体系，统一了各级别、各场景等级保护对象的测评方法、测评单元、判定规则，彻底解决了1.0标准场景覆盖不足、测评维度单一、适配新技术能力薄弱的问题，为全国等级保护测评工作的标准化、规范化、精细化落地提供了核心支撑。1范围本标准规定了网络安全等级保护对象第一级至第四级的安全测评通用要求，以及云计算、移动互联、物联网、工业控制系统四大典型场景的安全测评扩展要求，明确了等级测评的实施方法、单项测评、整体测评规则及测评结论判定依据。本标准适用于第三方安全测评服务机构开展等级保护合规测评工作，适用于等级保护对象运营使用单位开展自查测评、安全整改验收，同时可作为网络安全监管职能部门开展等级保护监督检查、合规核查的技术依据。本标准暂不细化第五级等级保护对象测评要求，第五级对象作为国家级重点保护对象，采用专属特殊监管与测评体系，不在本标准规范范围内。本标准适配的等级保护对象涵盖基础信息网络、各类信息系统、云计算平台、大数据平台、移动互联系统、物联网系统、工业控制系统等全类型网络安全防护对象，是覆盖全域网络空间资产的通用性测评标准。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件；凡是不注日期的引用文件，其最新版本（包括所有修改单）均适用于本文件。核心引用文件如下：GB17859-1999《计算机信息系统安全保护等级划分准则》（等级保护顶层基准标准）GB/T22239-2019《信息安全技术网络安全等级保护基本要求》（测评指标核心依据）GB/T25069《信息安全技术术语》（统一标准术语定义）GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》（安全架构测评参考）GB/T28449-2018《信息安全技术网络安全等级保护测评过程指南》（测评流程规范依据）GB/T31167-2014《云计算服务安全指南》、GB/T31168-2014《云计算服务安全能力要求》（云场景测评辅助依据）GB/T32919《工业控制系统安全控制应用指南》（工控场景测评辅助依据）3术语和定义本标准沿用GB17859、GB/T22239、GB/T25070等标准核心术语定义，同时新增适配2.0体系的专属术语，核心关键术语如下：3.1等级测评针对已完成定级备案的等级保护对象，依据对应安全等级的通用测评要求及场景扩展测评要求，通过访谈、核查、测试、验证等方式，全面评估对象安全防护措施合规性、风险隐患的专项安全检测活动，分为自查测评、第三方合规测评、监管抽查测评三类。3.2测评对象纳入网络安全等级保护管理的各类网络、系统、平台、终端、数据及配套安全管理体系，包含硬件设备、软件系统、网络架构、管理制度、人员运维、数据资源等全维度防护载体。3.3单项测评针对标准中最小测评单元（单一安全要求项）开展的独立测评，是等级测评的基础单元，通过逐项核查指标符合性，形成单项目测评结果。3.4整体测评在单项测评基础上，结合安全控制点、管控区域、系统整体架构的关联性，综合分析安全防护体系的完整性、有效性，评估整体安全风险的测评过程，弥补单项测评碎片化评估的局限性。3.5访谈测评人员通过与运维人员、管理人员、技术负责人等相关人员针对性沟通，澄清安全措施落实情况、获取管理制度、运维记录等佐证信息的基础测评手段。4缩略语本标准核心缩略语统一规范如下：L1/L2/L3/L4：分别对应第一级、第二级、第三级、第四级等级保护测评单元PES：安全物理环境测评维度CSN：安全通信网络测评维度ABS：安全区域边界测评维度CE：安全计算环境测评维度SMC：安全管理中心测评维度SM：安全管理体系测评维度5等级测评概述5.1等级测评核心方法本标准统一规范四大核心测评方法，所有等级、所有场景的测评工作均需组合使用，确保测评结果真实、全面、可追溯：访谈法：针对制度建设、人员管理、运维流程、应急处置等管理类要求，访谈岗位负责人、运维人员、安全管理员，核实制度落地、人员履职、流程执行情况，留存访谈记录。核查法：通过查阅文档、设备配置、日志记录、台账资料、验收报告等纸质或电子材料，核查安全措施、管理制度、运维规范的落地留存情况，是静态合规核查的核心手段。测试法：通过工具扫描、模拟攻击、功能验证、性能测试等技术手段，验证设备安全策略、防护功能、访问控制、入侵防范等技术措施的有效性，是动态测评的核心手段。验证法：针对备份恢复、应急演练、可信验证、密码应用等关键能力，通过实操演练、场景复现、功能核验的方式，确认安全能力的实际可用性。5.2单项测评和整体测评本标准采用“单项打底、整体闭环”的双层测评模式，替代2012版旧标准的控制点测评模式，测评精度与风险评估完整性大幅提升。单项测评：以标准内最小测评单元为核心，针对每一项安全指标独立开展测评，明确每一项要求的符合、部分符合、不符合判定结果，形成基础测评数据，覆盖技术、管理全维度指标。整体测评：分为三个层级测评，一是安全控制点内部关联性测评，核查同一控制点下各指标的协同防护能力；二是控制点间关联性测评，分析不同安全维度的防护互补性；三是区域间整体测评，评估全网、全系统的纵深防御体系有效性，最终形成整体安全风险结论。6第一级测评要求第一级为自主保护级，是最低安全保护等级，适用于遭受破坏后不会对国家安全、公共利益、公民权益造成损害的普通网络资产。测评要求以基础合规、最简防护为核心，管控门槛低、落地难度小，以自主落实、自主测评为主。6.1安全测评通用要求6.1.1技术测评要求技术维度涵盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心五大模块，核心测评指标聚焦基础防护：安全物理环境：核查机房基础物理防护，包括场地整洁、基础防火防水、设备固定、人员基础出入管控，无严苛的防雷、电磁防护、温湿度精准管控要求。安全通信网络：核查基础网络架构合理性，网络分区基础划分，通信链路无明显安全漏洞，无需复杂加密、可信验证机制。安全区域边界：基础边界防护，开启设备基础访问控制功能，规避恶意越权访问，无强制入侵防范、恶意代码深度防护要求。安全计算环境：设备、系统基础身份鉴别，默认账号密码修改，基础权限划分，简单日志留存，无强制数据备份、个人信息保护细化要求。安全管理中心：无强制集中管控要求，支持单机基础管理即可。6.1.2管理测评要求管理维度涵盖安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理，核心为基础制度搭建与常态化简易运维：具备基础网络安全管理制度，明确简单运维规范；无需专职安全岗位，兼职人员即可履职。落实基础人员录用、离岗管理，开展简易安全意识培训。系统建设、运维过程落实基础安全管控，无违规私自部署、随意变更设备配置行为。6.2各场景安全测评扩展要求第一级场景扩展要求均为最低适配标准，仅需规避场景特有基础风险，无强制高级防护要求：云计算扩展：核查云资源基础隔离，避免多租户基础越权访问。移动互联扩展：无线设备基础安全配置，关闭默认开放端口。物联网扩展：感知节点基础物理防护，避免随意拆卸、破坏。工控系统扩展：现场设备基础防护，禁止非授权人员接触操作设备。7第二级测评要求第二级为指导保护级，适用于遭受破坏后会对公民、法人和其他组织合法权益造成损害，但不损害国家安全、公共利益的网络资产，是中小企业普通业务系统、内部办公系统最常用的保护等级。测评要求在一级基础上，强化制度规范性、技术防护有效性、运维常态化。7.1安全测评通用要求7.1.1技术测评要求安全物理环境：完善机房物理防护，落实物理位置合规选择、出入登记管控、基础防雷防火、温湿度常规管控、双路基础电力保障，杜绝机房乱堆乱放、设备裸漏部署问题。安全通信网络：规范网络架构分区，业务网、办公网基础隔离，通信传输开启基础加密机制，规避明文传输核心数据，实现基础链路可信验证。安全区域边界：部署边界防护设备，开启访问控制策略、基础入侵检测、恶意代码防范功能，留存边界访问日志，及时处置异常访问行为。安全计算环境：实现账号强身份鉴别、精细化权限划分，开启系统安全审计功能，定期开展漏洞扫描，落实基础数据备份与剩余信息保护，规范终端安全管控。安全管理中心：实现设备、日志的基础集中管理，统一留存运维、安全日志，支持基础安全事件统计核查。7.1.2管理测评要求建立完整的安全管理制度体系，涵盖制度制定、发布、评审修订全流程，贴合单位实际业务场景。设置兼职安全管理岗位，明确岗位职责，落实定期安全检查、内部审核机制。规范人员录用背景核查、离岗权限回收，定期开展全员安全意识培训与考核。严格落实定级备案、安全方案设计、设备采购验收、工程测试交付等建设流程管控。常态化开展资产、介质、漏洞、配置管理，建立基础应急预案，定期开展简易应急演练。7.2各场景安全测评扩展要求云计算安全扩展：核查云基础设施位置合规性，开启虚拟化资源隔离、镜像快照安全管控功能，规范云服务商选型与云环境运维管理。移动互联安全扩展：合理规划无线接入点物理位置与信号覆盖范围，开启无线接入认证，防范非授权终端接入。物联网安全扩展：强化感知节点、网关节点设备安全防护，规范感知数据采集与融合处理，杜绝数据随意泄露。工控系统安全扩展：落实室外工控设备防护，规范工控网络架构，严格管控拨号、无线接入行为，保障现场设备运行安全。8第三级测评要求第三级为监督保护级，是等级保护核心等级，适用于遭受破坏后会严重危害国家安全、公共利益，或严重损害公民、法人合法权益的重要业务系统，涵盖政府政务系统、金融、医疗、教育、能源等关键行业核心业务平台，也是目前合规测评最普遍、要求最严格的等级。三级测评全面落实“一个中心、三重防护”纵深防御体系，强制要求可信验证、主动防御、全维度审计、常态化风险管控。8.1安全测评通用要求8.1.1技术测评要求三级技术测评在二级基础上全面升级，强化精细化、主动化、体系化防护，核心要求如下：安全物理环境：严格执行机房建设规范，实现7×24小时温湿度、电力、消防监控，完善防雷击、防静电、电磁防护措施，落实出入人员身份核验、全程登记、视频监控留存，杜绝物理安全隐患。安全通信网络：实现网络架构分层、分区、分域精细化隔离，核心业务网络独立部署，通信传输采用国密算法加密，全程开展可信验证，防范链路劫持、数据窃听、篡改风险。安全区域边界：边界部署防火墙、入侵防御、防病毒、APT检测等多层防护设备，策略精细化管控，实时检测并阻断扫描、DDoS攻击、中间人攻击等恶意行为，边界日志留存不少于6个月。安全计算环境：实现双因子身份鉴别、最小权限原则精准落地，全维度安全审计覆盖所有设备、系统、用户操作，定期开展漏洞扫描与渗透测试，落实数据完整性、保密性、可用性全维度防护，实现定期异地备份、灾难恢复，严格落实个人信息保护合规要求。安全管理中心：搭建独立安全管理中心，实现系统、审计、安全、运维集中管控，支持安全态势感知、风险预警、事件联动处置，实现全网安全资源统一调度。8.1.2管理测评要求三级管理测评强制要求专业化、制度化、常态化运维，杜绝形式化合规：建立完善的安全策略与制度体系，定期评审修订，贴合业务迭代与安全态势变化。设置专职安全管理岗位，配备专业安全人员，建立分级授权、多方审核机制，常态化开展内部安全检查与合规审计。严格人员全生命周期管理，入职背景审查、在岗定期培训考核、离岗权限清零，严控外部人员访问权限。规范安全建设全流程，定级备案、方案设计、产品采购、开发测试、工程交付、等级测评全流程留痕，严格管控外包服务供应商安全资质。建立常态化漏洞风险管理、密码管理、变更管理机制，完善应急预案体系，定期开展实战化应急演练，安全事件闭环处置。8.2各场景安全测评扩展要求三级场景扩展要求为强制性合规要求，需全面落地场景专属防护措施：云计算扩展：严格核查云服务商安全能力、基础设施属地化部署，强化虚拟化隔离、镜像快照加密、云租户权限隔离，落实云平台安全审计与风险管控。移动互联扩展：实现移动终端、移动应用全流程管控，禁止违规应用安装，无线接入全程认证加密，实时检测非授权设备接入与无线攻击行为。物联网扩展：强化感知节点、网关节点防篡改、防破坏能力，规范感知数据加密传输与融合处理，杜绝节点伪造、数据篡改、隐私泄露风险。工控系统扩展：严格工控网络隔离，禁止工控网与互联网直接互通，管控无线、拨号接入，强化工控设备漏洞修复与安全加固，保障工业生产稳定运行。9第四级测评要求第四级为强制监督保护级，适用于遭受破坏后会造成特别严重危害国家安全、公共利益的核心关键信息基础设施，仅限国家级、省级核心政务、能源、金融、国防等关键领域核心系统使用。四级测评要求极致严苛，以主动防御、可信可控、容错灾备、全程溯源为核心，所有测评指标均为强制性达标项，无宽松容错空间。9.1安全测评通用要求四级通用要求在三级基础上实现全面升级，核心聚焦可信安全、主动防御、极致冗余、全程可控：技术维度：实现全链路可信验证，从设备启动、系统运行、数据传输、业务访问全流程可信溯源；部署高级抗APT攻击、态势感知、智能防御设备；实现核心设备、链路、数据双冗余备份，异地多活灾备；全维度日志永久留存，支持安全事件溯源取证；严格落实国密算法全域应用，实现数据全生命周期加密防护。管理维度：建立专职专业化安全团队，实行7×24小时值守运维；建立多级审核、交叉管控机制，杜绝单人权限垄断；定期开展权威渗透测试、红队演练；完善全流程安全管控台账，所有操作、变更、事件全程留痕，接受监管部门常态化监督核查。9.2各场景安全测评扩展要求四级场景扩展要求为最高等级防护标准，针对场景特有风险实现极致管控：云计算场景：强制云基础设施属地化、专属化部署，杜绝公共共享资源滥用，虚拟化资源微隔离，全程加密管控，云平台操作全程溯源审计。移动互联场景：移动终端全程安全管控，应用专属适配、白名单管控，无线通信全程国密加密，杜绝一切非授权接入与数据外传。物联网场景：感知节点防伪造、防篡改、防劫持，数据采集、传输、存储全程加密，实现节点异常行为实时预警、自动阻断。工控场景：工控系统物理隔离、网络硬隔离，杜绝外网穿透，工控设备专属安全加固，漏洞实时修复，生产运行零风险容错管控。10第五级测评要求第五级为专控保护级，是网络安全最高保护等级，仅适用于关乎国家核心安全的绝密级核心信息系统。本标准不细化第五级具体测评指标，该等级对象由国家专属监管机构制定专项测评规范，采用一对一专属测评、全程涉密管控、最高等级防护模式实施安全测评与管理。11整体测评规范整体测评是区别于碎片化单项测评的核心环节，旨在解决单一指标达标但整体防护失效的问题，核心分为三个层级实施：11.1安全控制点测评针对同一安全控制点下的所有测评单元，核查指标落地的协同性与完整性，分析单一指标缺陷是否可通过同控制点其他措施弥补，判断控制点整体防护有效性，避免单点短板导致整体风险。11.2安全控制点间测评分析不同安全维度控制点的互补关系，例如物理防护缺陷是否可通过边界防护、计算环境防护兜底，管理漏洞是否可通过技术策略弥补，评估全网防护体系的联动能力。11.3区域间测评结合整个等级保护对象的网络架构、业务流程、数据流转，评估全域安全防护体系的完整性，识别跨区域、跨链路的隐蔽安全风险，形成全局风险评估结果。12测评结论判定规则12.1风险分析和评价基于单项测评、整体测评结果，结合漏洞风险等级、缺陷数量、影响范围、可利用性，划分高、中、低三级安全风险。高风险漏洞为必须整改项，直接影响等级达标；中风险漏洞需限期整改；低风险漏洞可留存管控、持续优化。12.2等级测评结论本标准统一四级结论判定标准，为等级保护达标核查的核心依据：符合：所有核心测评单元全部达标，无高、中风险漏洞，低风险漏洞数量极少且不影响整体安全，整体防护体系完整有效。基本符合：核心测评单元全部达标，存在少量中、低风险漏洞，无高风险漏洞，漏洞可通过短期整改闭环，整体防护体系基本有效。不符合：存在核心测评单元不达标，或存在高风险漏洞，或中风险漏洞数量过多，整体安全防护体系存在重大缺陷，无