等级保护测评讲解PPT课件

1、等级保护评估概论，余，2，主要内容，1。等级保护评估目的2。等级保护评价依据3。等级保护评价原则及简介。等级保护评估目的2。等级保护评价依据3。等级保护评价原则及简介。等级保护评估目的：分析和确认信息系统安全保护系统能力，发现存在的安全风险，帮助操作。等级保护评估的主要目的是遵循国家等级保护相关规定的要求，评估信息系统安全建设的合规性；1。等级保护评估的目的。等级保护评价的依据。等级保护评估的原理及简介。等级保护评价的依据，1。信息系统建设完成后，运营使用单位或其主管部门应选择符合本办法规定条件的评估机构，按照信息系统安全等级保护评估要求等技术标准，定期对信息系统安全等级状况进行等级评估；2.

2、三级信息系统每年至少评估一次，四级信息系统每半年至少评估一次，五级信息系统根据特殊安全要求进行评估；3.信息系统运营者和用户及其主管部门应当定期对信息系统安全状况、安全防护体系和措施的落实情况进行自查。三级信息系统应至少每年进行一次自查，四级信息系统应至少每半年进行一次自查，五级信息系统应根据特殊安全需求进行自查；4.经评估或自查，信息系统安全状况达不到安全防护等级要求的，运营单位和使用单位应制定整改计划，并制定信息安全防护等级管理办法(国技字第200743号)，8。等级保护评估依据，GB17859-1999计算机信息系统安全保护等级分类标准，GB/T22239-2008信息安全技术信息系统安

3、全等级保护基本要求，Gb/t 2008-2005信息安全技术操作系统安全评估标准，GB/t 2009-2005信息安全技术数据库管理系统安全评估标准，GB/T 20010-2005信息安全技术包过滤防火墙评估标准，GB/T 20011-2005信息等级保护评估目的2。等级保护评估依据3。一级保护评估原则，一级保护评估简介，10。等级保护评价原则、标准原则、评价11、等级保护评价原则、标准原则、规范性原则，为用户提供标准化服务，且工作中的流程和文件应具有良好的规范性，便于项目的跟踪和控制。12、等级保护评价原则、标准原则、可控原则和规范原则，为用户提供标准化服务。工作中的流程和文件非常规范，有利

4、于项目的跟踪和控制。评估过程和使用的工具是可控的。评估项目中使用的工具已经过多次测试，或者根据具体需求和组织的具体网络特征进行了定制，具有良好的可控性。13、等级保护评价的原则是标准化、可控性、完整性和标准化，为用户提供标准化服务。工作中的流程和文件非常规范，有利于项目的跟踪和控制。评估服务从组织的实际需求出发，从业务的角度进行评估，而不是局限于单一的安全级别，如网络和主机，这涉及到安全管理和业务运营工作中的过程和文件具有良好的规范性，有利于项目的跟踪和控制。评估工作是经过充分规划的，对现有运营和正常提供业务没有重大影响，对系统和网络的正常运行影响尽可能小。15岁。等级保护评价、标准化、可控性

5、、完整性、最小影响、标准化和保密性原则应从三个方面进行控制：1 .评估公司应与甲方签订保密协议，不得利用评估中的任何数据进行其他损害甲方利益的活动；2.为员工保密，并在公司内部签署保密协议；3.在评估过程中，评估数据应严格保密。16、分级保护评估原则、标准化原则、可控性原则、完整性原则、最小影响原则、标准化原则和保密性原则，并根据被测信息系统的实际业务需求、功能需求和相应的安全建设条件，开展有针对性的评估工作。个性化原则、17、主要内容、18、等级保护评价内容、19、主要内容、等级保护评价过程、培训交流、早期沟通、规划和培训、确定项目范围和目标、提出工作约束要求、项目进度安排、确定项目协调体系

6、、21、等级保护。早期客户沟通、小组讨论、文档查看、现场调查、数据收集、基本信息、业务应用、网络结构、系统组成、22、等级保护评估流程、评估范围确定、早期沟通、规划和培训、被评估系统信息获取、具体评估对象确定、评估方法和评估工作计划。制定评估计划、23、等级保护评估流程、早期沟通、规划与培训、数据收集、评估规划、评估实施、等级评估实施、物理安全、网络安全、主机安全、应用安全、数据安全与备份恢复、安全管理系统、安全管理组织、人员安全管理、系统建设管理、系统运行与维护管理、等级保护评估流程、判断安全管理与评估指标的符合性、早期沟通、规划与培训、数据收集、评估规划、评估实施、系统差距分析、 判断安全

7、技术与评价指标的符合性，25、等级保护评价过程、早期沟通、规划与培训、数据收集、评价规划、评价实施、等级形成报告、编制安全评价报告，26。 等级保护评估流程-每个阶段的提交、早期沟通、规划和培训、数据收集、评估规划、评估实施和形成报告。此报告模板是为信息系统设计的单级对象。测试系统的基本信息收集表，27、等级保护评估流程-每个阶段的提交、早期沟通、规划和培训、数据收集、评估规划、评估实施和报告形成。1此报告模板是为信息系统设计的单层对象。、业务应用软件统计、关键数据类别统计、主机/存储设备统计、28、分级保护评估流程-各阶段提交、早期沟通、规划和培训、数据收集、评估规划、评估实施、报告形成、网

8、络互联和安全设备统计、安全相关人员统计、安全管理文件统计、威胁统计、29等级保护评估流程-各阶段提交、早期沟通、规划和培训、数据收集、评估规划、评估实施、报告形成、评估工作计划、评估方案、30、 等级保护评估流程-各阶段提交、早期沟通、评估实施、报告形成、等级评估实施、等级保护评估流程-各阶段提交、早期沟通、评估实施、报告形成、等级评估实施、系统差距分析、单位评估结果汇总表、32、等级保护评估流程-各阶段提交、早期沟通、评估实施、报告形成、安全评估报告和评估结果统计表、30早期沟通、评估实施、报告形成、安全评估报告编制、评估结果统计表、34、 等级保护评估流程各阶段的提交、早期沟通、评估和实施

9、、报告形成、安全评估报告的编制、安全评估报告、35、主要内容、等级保护评估方法、技术和工具、访谈。就访谈的广度而言，应基本涵盖各类安全相关人员，且数量可抽样； 面试应该全面深入，包括一般和高级问题以及一些困难和探索性的问题。等级保护检查的评估方法、技术和工具是指评估人员通过对评估对象的观察、检查和分析，获取证据证明信息系统安全等级保护措施是否有效的方法。在检查范围内，各种对象(文件、机构等。)应基本覆盖，且数量可以抽样；在深度考察中，应该是全面的，要有细致透彻的分析、观察和研究。等级保护的评估方法、技术和工具。测试是指评估人员根据预定的方法/工具对评估对象做出具体响应，从而查看和分析响应输出结

10、果并获取证据以证明信息系统安全级别保护措施是否有效的方法。就测试的广度而言，应基本涵盖不同类型的机制，并可从数量和范围上进行抽样；在深度测试中，应进行安全测试和渗透测试。安全测试可能涉及机构的功能规格、先进设计和操作程序，而渗透测试可能涉及机构的所有可用文件，并试图智能地进入信息系统。分级保护、网络扫描和网络扫描的评估方法、技术和工具用于在本地或远程检测系统的可能弱点。漏洞扫描器是一种自动化工具或一组自动化工具，可以高效地收集业务系统的信息。例如，网络端口扫描工具可以快速识别大量主机的开放服务，并获取业务系统中涉及的每个信息技术设备的运行状态。网络扫描遵循扫描时间段选择、单点测试扫描、主备分离的原则。扫描后，提交分析后的扫描报告和原始扫描报告。分级保护、网络扫描和渗透测试的评估方法、技术和工具使用人工模拟的黑客攻击来发现网络和系统的弱点。应该注意的是，渗透测试的风险比其他方法大得多，需要在实际评估中谨慎使用。渗透测试、等级保护评估方法、技术和工具、网络扫描和系统分析主要指网络结构和边界分析，是评估中全面了解业务系统安全性的基础。业务系统的网络结构是整个业务系统的承载基础。及时发现网络结构中存在的安全和网络负载问题，网络设备中存在的安全和抗攻击问题，是评估整个业务系统的重要环节。评估网络的物理网络结构、逻辑网络结构和关键设