信息安全等级保护测评实施

,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,中国赛宝（四川）实验室,四川省电子产品监督检验所,NO.L0409,四川省信息系统工程测评中心,信息系统平安等级保护测评实施,张杰宏,四川省软件和信息系统工程测评中心,2021年03月20日,目录,第一篇 测评实施工作流程及主要内容,第二篇 GB/T 22239-2021 ?信息系统平安等级保护根本要求?介绍,第一篇,测评实施工作流程及主要内容,测评流程,测评准备活动的目标,测评机构组建等级测评工程组，获取测评委托单位及被测系统的根本情况，从根本资料、人员、方案安排等方面为整个等级测评工程的实施做根本准备。,测评准备活动,工程启动：,组建测评工程组,编制工程方案书,确定测评委托单位应提供的资料：总体描述文件、详细描述文件、定级报告、自查报告和等级测评报告如果曾做过的话，以及平安需求分析报告、平安总体方案、系统验收报告等信息系统设计和建设过程的文档。,信息收集和分析：,收集、查阅被测系统已有定级报告、系统描述文件、系统平安设计方案、自查报告和等级测评报告如果曾做过的话等资料,编制和发放调查表格,协助测评单位填写调查表或现场调查 或邮件方式,收回和分析调查结果：整体网络结构和系统组成分析、定级对象边界和系统构成组件分析、定级对象的相互关联分析,工具和表单准备：,调试测评工具,模拟被测系统，搭建测评环境,模拟测评,准备和打印表单：现场测评授权书、文档交接单、会议记录表单、会议签到表单等,测评准备活动任务之一-工程启动,根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评工程组，从人员方面做好准备，并编制工程方案书。,测评机构要求测评委托单位提供根本资料，包括被测系统总体描述文件、详细描述文件、平安需求分析报告、平安总体方案、系统验收报告、平安保护等级定级报告、自查或上次等级测评报告如果有、测评委托单位的信息化建设状况与开展以及联络方式等。,测评准备活动任务之二,-,信息收集与分析的目标,通过查阅被测系统已有资料或使用调查表格的方式，了解整个系统的构成和保护情况，为编写测评方案和开展现场测评工作奠定根底。,测评准备活动任务之二,-,信息收集与分析,测评机构收集等级测评需要的各种资料。,测评机构将调查表格提交给测评委托单位， 促并协助相关人员准确填写调查表格。,测评机构收回填写完成的调查表格，并初步 析调查结果。,根据调查表格填写情况安排现场调研。,对调查了解到的信息进行综合分析及整理， 进一步了解和熟悉信息系统的实际情况。,信息收集与分析,-,调查表,调查内容全面,调查工程顺序合理,保存工程之间的逻辑关联,信息收集与分析,-,调查表,调查表清单,表1-1 单位根本情况,表1-2 参与人员名单,表1-3 物理环境情况,表1-4 信息系统根本情况,表1-5 承载业务效劳情况调查,表1-6 信息系统网络结构环境情况调查,表1-7 外联线路及设备端口网络边界情况调查,表1-8 网络设备情况调查,表1-9 平安设备情况调查,表1-10 效劳器设备情况调查,表1-11 终端设备情况调查,表1-12 系统软件情况调查,表1-13 应用系统软件情况调查,表1-14 业务数据情况调查,表1-15 数据备份情况调查,表1-16 应用系统软件处理流程调查,表1-17 业务数据流程调查,表1-18 管理文档情况调查,表1-19 平安威胁情况调查,信息收集与分析,-,调查内容,物理环境信息收集,机房数量、物理位置,办公环境,网络信息收集,网络拓扑图,网络结构,系统外联,网络设备,平安设备,信息收集与分析,-,调查内容,主机信息收集,效劳器、工作站,终端业务终端、管理终端、设备控制台,应用信息收集,应用系统,业务数据,管理信息收集,机构设置,人员职责分配,管理文档,信息收集与分析,-,调查结果分析,整体网络结构和系统组成分析,定级对象边界和系统构成组件分析,定级对象的相互关联分析,调查结果分析,-,整体网络结构和系统组成分析,网络结构,关注信息系统的支撑网络，分析,网络结构、网络区域、对外边界,等,调查结果分析,-,整体网络结构和系统组成分析,调查结果分析,-,整体网络结构和系统组成分析,系统组成,关注信息系统中定级对象的数量,、每个定级对象的级别、每个定,级对象所处的网络区域、每个定,级对象承载的应用情况等,调查结果分析,-,整体网络结构和系统组成分析,边界分析,分析和确定每个定级对象的系统边界，并确定其在网络中的物理边界，多个定级对象的物理边界可能为一个，例如多个定级对象共用同一个防火墙或交换机作为其边界设备。,调查结果分析,-,整体网络结构和系统组成分析,相互关联,如各自为独立的应用系统，没有数据交换；,或各自为独立的应用系统，但是通过特定的设备交换数据；,或整体为一个应用系统，不同的定级对象中部署应用系统的不同模块，数据交换通过不同模块乊间的数据通信实现等等。,测评准备活动任务,之,三-工具和表单准备,测评人员熟悉被测系统应用业务流程等。,测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。,测评人员模拟被测系统搭建测评环境。,准备和打印表单，主要包括：现场测评授权书、文档交接单、会议记录表单、会议签到表单等。,20,方案编制活动的目标,整理测评准备活动中获取的 信息系统相关资料，为现场测评活动提供最根本的文档和指导方案。,方案编制活动,测评对象确定：,识别被测系统等级,识别被测系统的整体结构,识别被测系统的边界,识别被测系统的网络区域,识别被测系统的重点节点和业务应用,确定测评对象,测评指标确定：,识别被测系统业务信息和系统效劳平安保护等级,选择对应等级的ASG三类平安要求作为测评指标,就高原那么调整多个定级对象共用的某些物理平安或管理平安测评指标,测评内容确定,识别每个测评对象对应的测评指标,识别每个测评对象对应的每个测评指标的测评方法,工具测试方法确定,确定工具测试的测评对象,选择测试路径,确定测试工具的接入点,测评指导书开发,从已有的测评指导书中选择与测评对象对应的手册,针对没有现成测评指导书的测评对象，开发新的测评指导书,测评方案编制,描述测评工程根本情况和工作依据,描述被测系统的整体结构、边界和网络区域,描述被测系统重要节点和业务应用,描述测评指标,描述测评对象,描述测评内容、方法和工具,人员安排与进度方案,23,方案编制活动任务之一-确定测评对象,识别被测评系统的平安保护等级,识别被测评系统的整体结构,识别被测评系统的边界,识别被测评系统的网络区域,识别被测评系统的重要节点和业务应用,根据上述级别、网络结构、边界等情况确定测,评对象,方案编制活动任务之一-确定测评对象,测评对象确实定一般采用抽查的方法，即抽查信息系统中具有代表性的组件作为测评对象，并且在测评对象确定任务中应兼顾工作投入与结果产出两者的平衡关系。,方案编制活动任务之一-确定测评对象,测评对象种类上根本覆盖、数量进行抽样，抽查的测评对象种类主要考虑以下几个方面：,主中心包括其环境、设备和设施等)和局部辅机房,存储被测系统重要数据的介质的存放环境,办公场地,整个系统的网络拓扑结构,平安设备，包括防火墙、入侵检测设备和防病毒网关等,边界网络设备可能会包含平安设备)，包括路由器、防火墙、认证网关和边界接入设备如楼层交换机)等,方案编制活动任务之一-确定测评对象,对整个信息系统或其局部的平安性起作用的网络互联设备，如核心交换机、会聚层交换机、路由器等,承载被测系统主要业务或数据的效劳器包括其操作系统和数据库),管理终端和主要业务应用系统终端,能完成被测系统不同业务使命的业务应用系统,业务备份系统,信息平安主管人员、各方面的负责人员、具体负责平安管理的当事人、业务负责人,涉及到信息系统平安的所有管理制度和记录,27,方案编制活动任务之二,-,确定测评指标,测评指标来源于国家对不同平安保护等级信息系统的根本要求GB/T 22239-2021 。,依据定级情况确定定级对象应采取的平安保护措施SAG组合情况，并从根本要求中选择相应等级的平安要求作为测评指标。,28,方案编制活动任务之三,-,确定测评内容,测评指标测评对象,物理平安机房、办公环境、机房相关文 档等,网络平安交换机、防火墙、路由器、IDS等,主机平安操作系统、数据库系统等,应用平安应用软件、应用平台等,管理平安文档制度、规程、记录、人员等,方案编制活动任务之四,-,确定工具测试方法,第一步，确定工具测试的测评对象,第二步，选择测试路径,从被测系统外部测试被测系统,在被测系统内部，从与测评对象不同网段测试测评对象,在被测系统内部，与测评对象同一网段测试测评对象,第三步，确定接入点。,方案编制活动任务之五,-,开发测评指导书,对象明确适用范围,步骤描述准确、详细，预期结果明确,经过仿真环境验证,方案编制活动任务之六,-,编制测评方案,1.根据委托测评协议书和填好的调研表格，提取工程来源、测评委托单位整体信息化建设情况及被测系统与单位其他系统之间的连接情况等。,2.依据委托测评协议书和被测系统规模，估算现场测评工作量，确定人员分工和测评方案。,3.描述测评对象、测评方式和工具。,4.描述测评指标。,5.描述现场测评实施内容，包括单项测评和整体测评。,6.汇总上述5个步骤的各类文档和资料形成测评方案文稿。,7.评审和提交测评方案。,现场测评活动的目标,按照测评方案的总体要求，严格执行测评指导书，分步实施所有测评工程，了解系统的真实保护情况，获取足够证据，发现系统存在的平安问题。,现场测评活动,现场测评准备：,现场测评授权书签署,召开现场测评启动会,双方确认测评方案,双方确认配合人员、环境等资源,确认信息系统已经备份,更新测评方案、结果记录表格等资料,现场测评和结果记录：,进场确认,依据测评指导书实施测评,记录测评获取的证据、资料等信息,汇总测评记录，如果需要，实施补充测评,离场确认,结果确认和资料归还,召开现场测评结束会,测评委托单位确认测评过程中获取的证据和资料的正确性，并签字认可,测评人员归还借阅的各种资料,现场测评活动任务之一,-,现场测评准备,被测单位签署现场测评授权书。,召开测评现场首次会，测评机构介绉测评工作，交流测评信息，进一步明确测评方案和方案中的内容，说明测评过程中具体的实施工作内容，测评时间安排等。,测评双方对测评方案进行最终审定。,测评双方确认现场测评需要的各种资源，包括被测单位的配合人员和需要提供的测评条件等，确认已备仹过系统及数据。,测评人员根据会议沟通结果，对测评结果记录表单和测评程序进行必要的更新。,现场测评活动任务之二,-,现场测评和结果记录,测评人员与被测系统有关人员个人/群体进行交流、讨论等活动，获取相关证据，了解有关信息。,测评人员查阅相关文档，获取相关证据。,测评人员通过上机验证方式获取系统配置方面的相关证据。,测评人员利用测试工具进行测试获取漏洞、通信平安性以及入侵防范等方面的证据。,现场测评活动任务之二,-,现场测评,依据工具和实施过程的不同，测试可以进一步细分为信息获取、漏洞扫描、渗透测试、密码分析等方式。,信息获取是指获取存活主机/设备的名称、IP 地址、操作系统、开放的效劳端口以及特定的数据包等信息内容；,漏洞扫描是指利用漏洞扫描设备对目标设备进行自动探测，发现这些主机/设备上各个对网络开放端口上存在的错误配置和平安漏洞；,渗透测试是模拟黑客可能使用的攻击技术，试图侵入信息系统或取得信息系统上的更多资源，以直观地测试信息系统的平安状况。,从不同接入点对信息系统进行漏洞扫描和渗透测试，可以反映出信息系统在不同角度、不同视野下的平安状况。,现场测评活动任务之三,-,结果确认和资料归还,测评人员在现场测评完成之后，应首先汇总现场测评的测评记录，对漏掉和需要进一步验证的内容实施补充测评。,召开测评现场结束会，测评双方对测评过程中发现的问题进行现场确认。,测评机构归还测评过程中借阅的所有文档资料，并由被测单位文档资料提供者签字确认。,现场测评活动,可能遇到的问题,配合、协调,测评结果版本控制,测试工具故障,报告编制活动的目标,分析测评结果，找出整个系统的平安保护现状与相应等级的保护要求之间的差距，综合评价被测系统整体平安保护能力，给出等级测评结论。,报告编制活动,单项测评结果判定,分析测评项所对抗威胁的存在情况,分析单个测评项是否有多方面的要求内容，依据“优势证据法选择优势证据，并将优势证据与预期测评结果相比较,综合判定单个测评项的测评结果,单元测评结果判定,汇总每个测评对象在每个测评单元的单项测评结果,判定每个测评对象的单元测评结果,整体测评,分析不符合和局部符合的测评项与其他测评项包括单元内、层面间、区域间之间的关联关系及对结果的影响情况,风险分析,整体测评后的单元测评结果再次汇总,分析局部符合项或不符合项所产生的平安问题被威胁利用的可能性,分析威胁利用平安问题后造成的影响程度,按照测评单位选定的风险分析方法对被测系统面临的平安风险进行赋值,评价风险分析结果,等级测评结论形成,统计再次汇总后的单元测评结果为局部符合和不符合项的项数,形成等级测评结论,测评报告编制,概述测评工程情况,描述被测系统情况,描述测评范围和方法,描述单元测评情况,描述整体测评情况,汇总测评结果,描述风险情况,给出等级测评结论和整改建议,报告编制活动任务之一,-,判定单项测评结果,1.针对每个测评对象对应的每个测评项，分析该测评项所对抗的威胁在被测系统中是否存在，如果不存在，那么该测评项应标为不适用项。对于适用项，那么,2.分析单个测评项是否有多方面的要求内容，依据“优势证据法针对每一方面的要求内容，从一个或多个测评证据中选择出“优势证据，并将“优势证据与要求内容的预期测评结果相比较；,3.如果测评证据说明所有要求内容与预期测评结果一致，那么判定该测评项的单项测评结果为符合；如果测评证据说明所有要求内容与预期测评结果不一致，判定该测评项的单项测评结果为不符合；否那么判定该测评项的单项测评结果为局部符合。,判定单项测评结果,-,关于优势证据,优势证据,多个测评证据中那个/些对于某方面要求内容的符合性判定更具有证明力、说服力的测评证据。,优势证据顺序,物理平安测评，优势证据顺序一般为：实地观察证,据文档审查证据访谈证据；,技术平安方面的测评，优势证据顺序一般为：工具测试证据配置检查证据访谈证据；,管理平安方面的测评，那么要根据实际情况分析确定优势证据。,报告编制活动任务之二,-,判定单元测评结果,单元测评指标包含的所有测评项均为不适用项，那么该测评对象对应该测评指标的单元测评结果为不适用；,单元测评指标包含的所有适用测评项的单项测评结果均为符合或不符合，那么该测评对象对应该测评指标的单元测评结果为符合或不符合；,单元测评指标包含的所有适用测评项的单项测评结果不全为符合或不符合，那么该测评对象对应该测评指标的单元测评结果为局部符合。,报告编制活动任务之三,-,整体测评,针对测评对象“局部符合及“不符合要求的单个测评项，分析与该测评项相关的其他测评项能否和它发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补该测评项的缺乏，以及该测评项的缺乏是否会影响与其有关联关系的其他测评项的测评结果。,针对测评对象“局部符合及“不符合要求的单个测评项，分析与该测评项相关的其他层面的测评对象能否和它发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补该测评项的缺乏，以及该测评项的缺乏是否会影响与其有关联关系的其他测评项的测评结果。,针对测评对象“局部符合及“不符合要求的单个测评项，分析与该测评项相关的其他区域的测评对象能否和它发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补该测评项的缺乏，以及该测评项的缺乏是否会影响与其有关联关系的其他测评项的测评结果。,报告编制活动任务之四,-,风险分析和评价,1.结合单元测评的结果汇总和整体测评结果，将物理平安、网络平安、主机平安、应用平安等层面中各个测评对象的测评结果再次汇总分析，统计符合情况。,2.判断测评结果汇总中局部符合项或不符合项所产生的平安问题被威胁利用的可能性，可能性的取值范围为高、中和低。,3.判断测评结果汇总中局部符合项或不符合项所产生的平安问题被威胁利用后，对被测系统的业务信息平安和系统效劳平安造成的影响程度，影响程度取值范围为高、中和低。,4.综合2.和3.的结果，并按照选定的风险计算方法对被测系统面临的平安风险进行赋值，风险值的取值范围为高、中和低。,5.结合被测系统的平安保护等级对风险分析结果进行评价，即对国家平安、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。,报告编制活动任务之五,-,形成等级测评结论,等级测评结论：,符合,等级测评结果中不存在局部符合项或不符合项。,根本符合,等级测评结果中存在局部符合项或不符合项，但不会导致信息系统面临高等级平安风险。,不符合,等级测评结果中存在局部符合项或不符合项，导致信息系统面临高等级平安风险。,报告编制活动任务之六,-,编制测评报告,测评人员整理前面几项任务的输出/产品，编制测评报告相应局部。,针对被测系统存在的平安隐患，从系统平安角度提出相应的改进建议，编制测评报告的平安建设整改建议局部。,列表给出现场测评的文档清单和单项测评记录，以及对各个测评项的单项测评结果判定情况，编制测评报告的单元测评的结果记录和问题分析局部。,评审测评报告。,根据分发范围分发报告。,测评报告的构成,报告摘要,1 测评工程概述,2被测信息系统情况,3 等级测评范围与方法,4 单元测评,5 整体测评,6 测评结果汇总,7 风险分析和评价,8 等级测评结论,9 平安建设整改建议,第二篇,GB/T 22239-2021 ?信息系统平安等级保护根本要求?介绍,概述,“标尺、达标线;,􀂋 根本的平安状态;,􀂋 保护的出发点;,根本要求组成,技术要求：,物理平安,网络平安,主机平安,应用平安,数据平安及备份恢复,管理要求：,平安管理制度,平安管理机构,人员平安管理,系统建设管理,系统运维管理,物理平安,物理平安要求主要由机房包括主、辅机房、介质存放间等所部署的设备设施和采取的平安技术措施两方面提供的功能来满足。,局部物理平安要求涉及到终端所在的办公场地。,物理平安-控制点三级S3A3G3,物理位置的选择2,物理访问控制 4,防盗窃和防破坏6,防雷击 3,防火 3,防水和防潮4,防静电 2,温湿度控制1,电力供给 4,电磁防护 3,网络平安,网络平安要求中对广域网络、城域网络等通信网络的要求由构成通信网络的网络设备、平安设备等的网络管理机制提供的功能来满足。,对局域网平安的要求主要通过采用防火墙、入侵检测系统、恶意代码防范系统、平安管理中心等设备提供的平安功能来满足。,网络平安-控制点,结构平安 7,访问控制 8,平安审计 4,边界完整性检查2,入侵防范 2,恶意代码防范2,网络设备防护8,主机平安,主机包括应用效劳器、数据库效劳器、平安软件所安装的效劳器及管理终端、业务终端、办公终端等。,主机平安要求通过操作系统、数据库管理系统及其他平安软件包括防病毒、防入侵、木马检测等软件实现的平安功能来满足。,身份鉴别 6,访问控制 7,平安审计 6,剩余信息保护 2,入侵防范 3,恶意代码防范 3,资源控制 5,主机平安-控制点,应用平安,应用平安要求通过应用系统、应用平台系统等实现的平安功能来满足。,如果应用系统是多层结构的，一般不同层的应用都需要实现同样强度的身份鉴别、访问控制、平安审计、剩余信息保护及资源控制等。,通信保密性、完整性一般在一个层面实现。,应用平安-控制点,身份鉴别 5,访问控制 6,平安审计 4,剩余信息保护 2,通信完整性 1,通信保密性 2,抗抵赖 2,软件容错 2,资源控制 7,数据平安及备份恢复,信息系统中涉及的数据主要包括业务数据、应用程序文件、应用系统的配置文件、网络/平安设备的配置文件等。,全面关注信息系统中存储、传输、处理等过程中数据的平安性。,数据平安及备份恢复-控制点,数据完整性2,数据保密性2,备份和恢复4,平安管理制度,在所有业务活动和管理活动中，选择与信息平安相关的管理活动制定制度或规程，并保证这些制度得到发布、实施和定期修订，以保证其生命力。,平安管理制度-控制点,管理制度 4,制定和发布 5,评审和修订 2,平安管理机构,为实现机构平安管理配备必要的组织架构和人员。,平安管理机构-控制点,岗位设置4,人员配备3,授权和审批4,沟通和合作5,审核和检查4,人员平安管理,保证内部人员资质和技术能力满足要求，并得到必要的授权；控制外部人员的访问。,人员平安管理-控制点,人员录用 4,人员离岗 3,人员考核 3,平安意识教育和培训 4,第三方人员访问管理 2,系统建设管理,以信息系统建设工程生命周期为线索，确定不同阶段的管理活动，保证通过可控的建设过程产生合格的信息系统。,系统建设管理,-,控制点,系统定级 4,平安方案设计5,产品采购和使用4,自行软件开发5,外包软件开发4,工程实施 3,测试验收 5,系统交付 5,系统备案 3,等级测评 4,平安效劳商选择3,系统运维管理,以信息系统运行维护的各个方面活动为线索，确定相关的管理控制,系统运维管理,-,控制点,环境管理4,资产管理4,介质管理6,设备管理5,监控管理和平安管理中心3,网络平安管理8,系统平安管理7,恶意代码防范管理4,密码管理1,变更管理4,备份与恢复管理5,平安事件处置6,应急预案管理5,请批评、指正！,谢谢各位！,张杰宏，,