安全等级保护测评项目中的风险管理

胡皓

（联通系统集成有限公司，北京 100032）

摘  要：信息系统安全等级测评是等保工作的重要环节，等保测评工作的成果直接影响到等级保护制度的落实及开展。目前等保测评机构在测评项目的开展过程中，会遇到各种各样的因素影响测评项目的实施。为了有效地开展等级保护测评工作，需要在项目实施过程中对其所可能遇到的风险进行管理。本文主要运用风险管理方法，对测评活动中的主要风险进行分析，通过分析在不同阶段面临的风险值，来评价各测评项目阶段主要需要应对的风险内容，并在此基础上面提出了相应的应对措施。

关键词：等级保护；测评；风险管理；

The risk management of Information security level protection assessment

Hu Hao

(China Unicom System Integration Limited Corporation, Beijing 100032)

Abstract：Assessment is an important part of Information system security level protection, the result directly affect the level protection system and developing the implementation. At present the evaluation institutions would meet various factors which affect assessment project implementation. In order to effectively develop level protection, the possible risk in project implementation process should be  managed. This paper mainly with the application of risk management methods of assessment activities, the main risk analysis in different stages, by analyzing the risks of value, to evaluate the test project phase is needs to deal with risk content, and based on this, it puts forward the corresponding countermeasures.

Key words：Information security level protection ,Assessment, Risk management

0       引言

信息安全等级保护制度是国家信息安全保障工作的基本制度、基本策略和基本方法，是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。信息安全等级保护测评是等级保护工作的重要环节，信息系统备案单位通过开展等级测评，可以查找自身系统安全隐患和薄弱环节，明确系统与相应等级标准要求的差距和不足，有针对性地进行安全建设整改^[2]。

等级测评工作对于测评机构来说，测评风险是一个非常重要的概念。参考美国风险管理专家C·Arther Williams，Jr Rocjard M Heoms作出的风险定义，即“给定情况下的可能结果的差异性”。也就是说，测评风险就是测评机构通过控制自身测评活动所产生的测评结果差异性^[3]。

而测评结果的差异性将直接影响到信息系统的安全性及等保测评工作的有效性上面，随着等级保护工作的开展，行业主管部门及被测评单位对于测评结果的准确程度及测评过程中的风险控制要求越来越严格。为了持续性的开展等保测评业务，测评项目工作中的风险控制将成为测评机构所面临的重要任务。

根据风险管理的定义：风险是指可能对目标的实现产生影响的事件发生的不确定性。对企业来说，风险是某种不利因素产生并造成实际损失，致使企业目标无法实现或降低实现目标的效率的可能性。风险管理就是采取一定的措施对风险进行检测评价，使风险降到可以接受的程度，并将其控制在某一可以接受的水平上。风险管理是一个系统过程，包括风险的识别、衡量和控制等环节；风险管理的目标在于控制和减少损失，提高有关单位或个人的经济利益或社会效果；风险管理是一种管理方法^[6]。

本文主要运用风险管理方法，对测评活动中的主要风险进行分析，并提出相应的应对措施

1       测评项目风险识别

等保测评工作存在风险，而测评风险是可以识别的，只有识别出测评风险，才能对风险加以控制和防范。下文对在测评过程中，容易出现的主要风险进行分析。

1.1 有效性风险

等级测评是对客户的信息系统进行标准符合性评判，系统信息的采集、评价尤为重要，测评结果的有效性、符合性与一致性直接关系测评机构的服务质量与信誉，关系到测评机构的生存和发展。

在等级测评过程中首先要进行的是信息收集工作，在信息收集的过程中，经常会存在信息收集不完整、信息描述不准确等问题，而不准确的信息将会对测评方案编制工作中测评指标及测评对象的选择带来偏差。而在作业指导书的编制过程及现场测评中，不同工程师对标准要求的理解也会影响到测评工作的有效性和准确性。在报告编制过程中测评师对测评结果的分析是否合理，对于测评结论的有效性也有较大影响。

1.2公正性风险

等级测评工作的结论对于国家等级保护体系及信息安全管理有着相当重要的作用。同时，等级测评的报告对于被测评单位的信息安全管理工作也有着比较重要的影响。因此，等级保护测评报告的公正性是非常重要的，关系到测评机构的信誉。

在测评过程中，测评工程师、测评机构通常会受到市场竞争压力、测评机构自身业务发展压力、被测评机构合同及财务压力等多方面的影响，从而导致测评结论的公正性问题。

1.3保密性风险

等级测评工作，要求测评机构深入了解被测评系统的管理、技术及业务方面的信息。而这些信息大部分涉及到企业或机构的商业、工作秘密。如果测评工作中，测评机构泄漏了检测单位的系统状态信息，如网络拓扑、IP地址、业务流程、安全机制、安全隐患和有关文档信息，将会对检测单位的信息系统带来极大的安全问题。因此，保密性风险的控制，是测评工作能够顺利开展的前提条件。

在测评过程中，资料收集、现场测评记录、编制报告等活动都会使用到被测评单位系统相关信息，在信息的使用和交换过程中多存在着信息泄漏的风险。

1.4实施操作风险

测评人员在客户现场实施测评，是等级测评中的主要活动，被测评单位生产现场环境复杂，信息系统在网运行。一旦在现场测评的过程中，发生信息安全问题，将会对被测评方的信息系统带来比较严重的损害，有可能会造成系统中断、数据丢失等。严重的可能带来经济方面的损失。因此，现场测评的安全风险规避是测评机构应当重视和研究的重要问题。

在现场测评时，需要对设备和系统进行一定的验证测试工作，部分测试内容需要上机查看一些信息，这就可能对系统的运行造成一定的影响，甚至存在误操作的可能。同时，在测评过程中，会使用一些技术测评工具进行漏洞扫描测试、性能测试甚至抗渗透能力测试。测试可能会对系统的负载造成一定的影响，漏洞扫描测试和渗透测试可能对服务器和网络通信造成一定影响甚至伤害。

2       测评项目风险评价

风险评价是在风险识别的基础上，对测评过程中可能出现的任何事件所带来的后果的分析，以确定该事件发生的概率以及与可能影响测评有效性的潜在的相关后果。测评风险评价可采用风险值法来进行风险评价。风险评价的表达式为：“风险值”R=“风险可能性”Pד风险影响”F， 其中：风险可能性P—它是风险发生可能性大小，是一种主观判断^[4]。

判定步骤可以分为三步。首先，确定风险发生可能性：某风险因素可能引起的风险发生可能性，以高、中、低来标定，分别赋值10、5、1；其次，确定风险影响程度：假定某风险因素引起风险，其风险对测评质量和有效性影响的大小，以高、中、低来标定，分别赋值10、5、1。最后确定风险级别：根据风险发生可能性和风险影响大小的组成矩阵确定风险级别。根据风险矩阵计算记过，风险值分布为100、50、25、10、5、1。其中风险值大于等于50的定义为高风险，大于等于10小于50的定义为中风险，小于10的定义为低风险。

等级保护测评工作一般分为系统信息收集、编制测评方案、现场测评、测评结果分析及测评报告编制等几个阶段。上述风险在不同阶段其风险值有所差异，因此在不同的测评阶段应注意对其阶段主要风险进行防范。

测评风险评价应考虑：政策法规、测评机构的能力和资源、系统特点。根据以上评价方法，我们进行一下简单评价。初步估算上述测评风险的评价如下表。

3       测评项目风险应对措施

风险管理的基本目标是以最小的经济成本获得最大的安全保障效益，即风险管理就是以最少的费用支出达到最大限度地分散、转移、消除风险，以实现保障人们经济利益和社会稳定的基本目的。这又可以分为以下三种情形：第一，损失发生前的风险管理目标——避免或减少风险事故发生的机会；第二，损失发生中的风险管理目标——控制风险事故的扩大和蔓延，尽可能减少损失；第三，损失发生后的风险管理目标—— 努力使损失的标的恢复到损失前的状态^[5]。

3.1有效性风险应对措施

等级测评有效性风险既存在人员风险也存在技术风险，人员风险与测评机构的技术风险是紧密相关的，高素质的人员队伍可以提升机构的技术水平，良好的技术保障平台也可以提高人员的能力。为了有效的应对测评有效性风险，测评机构要加强日常人员培训及技术水平的提高。另一方面，测评工具及测评流程规范化也是应对有效性风险的重要方法之一。规范化可以使得测评步骤、方法更加一致，避免因测评人员个人因素，而导致测评结果的差异性。

为了应对有效性风险，测评单位从项目启动就应开始加强与被测评单位的沟通及交流，尽可能从资料收集阶段就派驻现场测评人员指导被测评单位完成系统信息的收集整理，必要时与被测评单位系统管理人员对系统的情况进行沟通交流，避免由于对系统的不了解而产生的有效性风险。

3.2公正性风险应对措施

为防止测评机构的利益影响测评公正性，测评机构的业务范围应不涉及安全产品及安全集成服务；为防止测评工程师影响公正性，应严格执行测评工程师与测评机构签订的公正性声明，测评工程师不得参加与自己经历有关的组织的测评；同时应在组织内部建立测评项目的质量评估体系，对每个项目的测评过程、报告内容及结论进行独立的质量评估，质量评估人员不得参与自己经历有关的项目的评估。

3.3保密性风险应对措施

对于测评过程中被测方信息的保密管理。首先测评双方应签署完善的、合乎法律规范的保密协议，以约束测评双方现在及将来的行为。与此同时应加强测评人员的安全保密教育及保密技术手段，在技术手段层面、管理层面共同应对保密性风险。在技术层面上，应为每一位参与测评业务的工程师及管理人员配备专用加密移动存储介质，评测中心应配备专用的用于保存纸质文档的保险柜，为评测中心配备专用的文档服务器用于存储电子文档（该服务器与网络隔离，并放置在安全可靠的物理环境中，服务器中的文档以加密形式保存）。在管理方面，应制定严格的文档保密、数据保密的相关规定。规定应对信息收集阶段、测评实施阶段、报告编制阶段及项目完成后客户信息的保密进行要求。对于测评人员日常工作使用的终端设备，原则上面应做到严格与互联网进行隔离，在条件有限的情况下，也应做到终端上面不存储相关项目信息，使用该终端进行项目工作时应进行断网处理。对于测评人员及项目相关人员的保密安全教育经常抓不懈，避免因思想上面的疏忽而导致信息的泄露。

3.4实施操作风险的应对措施

为了应对实施操作的风险，在测评中进行验证测试和工具测试时，测评机构需要与测评委托单位充分的协调。双方需要对测试方案进行详细的方案评估，测试实施前应有详细的测试计划。测试计划应包括测试目的、测试进度、可能受影响的业务系统、资源需求、操作人员、计划时间、测评操作步骤、应急处理预案等内容。测试计划应得到双方签字确认。测试工作应尽量避免业务高峰期进行，对工具使用过程中可能出现的问题应进行事先通告，取得被测评单位的许可后才能进行测试。上机验证测试原则上应由被测单位人员进行操作，测评人员根据情况提出需要操作的内容，并进行查看和验证，避免由于测评人员对某些专业设备不熟悉造成误操作^[1]。

4       结论

随着信息安全等级保护测评工作的推广及开展，测评工作的风险管理也就越来越重要。随着环境的变化、时间的推移，测评机构、检测单位及主管部门对测评工作认识的深化和观念的变化，测评机构的风险会不断变化。因此在进行风险管理时，我们也应与时俱进。

作者简介：作者简介：胡皓（1974-），性别（汉），湖北省，技术主管/工程师，大学本科，主要研究方向：信息安全管理、安全风险评估、等级保护测评。

参考文献：

[1]□公安部信息安全等级保护评估中心. 信息安全等级保护政策培训教程[M]. 北京：电子工业出版社，2010.6

[2]□陈广勇，张洁昕，郭冠男. 基于等级保护的网络测评实施[J]. 信息安全与通信保密，2010，12：47-48.

[3]□王献新. 国内认证机构面临的认证风险及有效控制[J]. 中国认证认可，2008，3：13-16.

[4]□张东壮. 认证机构的风险管理[J]. 中国水泥，2011，2：81-83.

[5]□吕华. 风险管理在体系认证管理中的应用[J]. 中国认证认可，2010，11：21-24.

[6]□吴艳. 谈企业风险管理与内部控制[J]. 吉林工商学院学报，2010，26（6）：31-33.

第二篇：信息系统安全等级测评报告模板

信息系统安全等级测评

报告模板

项目名称：                             

委托单位：                             

测评单位：                             

年   月   日

报告摘要

一、测评工作概述

概要描述被测信息系统的基本情况（可参考信息系统安全等级保护备案表），包括但不限于：系统的运营使用单位、投入运行时间、承载的业务情况、系统服务情况以及定级情况。（见附件：信息系统安全等级保护备案表）

描述等级测评工作的委托单位、测评单位和等级测评工作的开展过程，包括投入测评人员与设备情况、完成的具体工作内容统计（涉及的测评分类与项目数量，检查的网络互联与安全设备、主机、应用系统、管理文档数量，访谈人员次数）。

二、等级测评结果

依据第4、5章的结果对等级测评结果进行汇总统计（测评项符合情况及比例、单元测评结果符合情况比例以及整体测评结果）；通过对信息系统基本安全保护状态的分析给出等级测评结论（结论为达标、基本达标、不达标）。

三、系统存在的主要问题

依据6.3章节的分析结果，列出被测信息系统中存在的主要问题以及可能造成的后果（如，未部署DDos防御措施，易遭受DDos攻击，导致系统无法提供正常服务）。

四、系统安全建设、整改建议

针对系统存在的主要问题提出安全建设、整改建议，是对第七章内容的提炼和简要描述。

报告基本信息

声明

声明是测评单位对于测评报告内容以及用途等有关事项做出的约定性陈述，包含但不限于以下内容：

本报告中给出的结论仅对目标系统的当时状况有效，当测评工作完成后系统出现任何变更，涉及到的模块（或子系统）都应重新进行测评，本报告不再适用。

本报告中给出的结论不能作为对系统内相关产品的测评结论。

本报告结论的有效性建立在用户提供材料的真实性基础上。

在任何情况下，若需引用本报告中的结果或数据都应保持其本来的意义，不得擅自进行增加、修改、伪造或掩盖事实。

                           测评单位机构名称

                            年  月

报告目录

1       测评项目概述... 1

1.1    测评目的... 1

1.2    测评依据... 1

1.3    测评过程... 1

1.4    报告分发范围... 2

2       被测系统情况... 3

2.1    基本信息... 3

2.2    业务应用... 4

2.3    网络结构... 4

2.4    系统构成... 4

2.4.1     业务应用软件... 4

2.4.2     关键数据类别... 4

2.4.3     主机/存储设备... 5

2.4.4     网络互联与安全设备... 5

2.4.5     安全相关人员... 6

2.4.6     安全管理文档... 6

2.5    安全环境... 6

3       等级测评范围与方法... 7

3.1    测评指标... 7

3.1.1     基本指标... 7

3.1.2     附加指标... 9

3.2    测评对象... 9

3.2.1     选择方法... 9

3.2.2     选择结果... 10

3.3    测评方法... 11

3.3.1     现场测评方法... 11

3.3.2     风险分析方法... 11

4       等级测评内容... 12

4.1    物理安全... 12

4.1.1     结果记录... 12

4.1.2     问题分析... 12

4.1.3     单元测评结果... 12

4.2    网络安全... 12

4.2.1     结果记录... 12

4.2.2     问题分析... 14

4.2.3     单元测评结果... 14

4.3    主机安全... 14

4.3.1     结果记录... 14

4.3.2     问题分析... 15

4.3.3     单元测评结果... 15

4.4    应用安全... 15

4.4.1     结果记录... 15

4.4.2     问题分析... 15

4.4.3     单元测评结果... 15

4.5    数据安全及备份恢复... 15

4.5.1     结果记录... 15

4.5.2     问题分析... 15

4.5.3     单元测评结果... 15

4.6    安全管理制度... 15

4.6.1     结果记录... 15

4.6.2     问题分析... 16

4.6.3     单元测评结果... 16

4.7    安全管理机构... 16

4.7.1     结果记录... 16

4.7.2     问题分析... 16

4.7.3     单元测评结果... 16

4.8    人员安全管理... 16

4.8.1     结果记录... 16

4.8.2     问题分析... 16

4.8.3     单元测评结果... 16

4.9    系统建设管理... 16

4.9.1     结果记录... 16

4.9.2     问题分析... 17

4.9.3     单元测评结果... 17

4.10  系统运维管理... 17

4.10.1   结果记录... 17

4.10.2   问题分析... 17

4.10.3   单元测评结果... 17

4.11  工具测试... 17

4.11.1   结果记录... 17

4.11.2   问题分析... 17

5       等级测评结果... 17

5.1    整体测评... 17

5.1.1     安全控制间安全测评... 17

5.1.2     层面间安全测评... 18

5.1.3     区域间安全测评... 18

5.1.4     系统结构安全测评... 18

5.2    测评结果... 18

5.3    统计图表... 22

6       风险分析和评价... 22

6.1    安全事件可能性分析... 22

6.2    安全事件后果分析... 23

6.3    风险分析和评价... 23

7       系统安全建设、整改建议... 25

7.1    物理安全... 25

7.2    网络安全... 25

7.3    主机安全... 25

7.4    应用安全... 25

7.5    数据安全及备份恢复... 25

7.6    安全管理制度... 25

7.7    安全管理机构... 25

7.8    人员安全管理... 25

7.9    系统建设管理... 26

7.10  系统运维管理... 26

附：信息系统安全等级保护备案表

1         测评项目概述

1.1      测评目的

描述信息系统的重要性：通过描述信息系统的基本情况，包括运营使用单位的性质，承载的主要业务和系统服务情况，进一步阐明其在国家安全、经济建设、社会生活中的重要程度，受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等。

描述等级测评工作的基本情况，包括委托单位、测评单位、测评范围及预期（如，通过等级测评找出与国家标准要求之间的差距）。

描述测评报告的用途（如，作为后续安全整改的依据）。

1.2      测评依据

开展测评活动所依据的合同、标准和文件：

1)         《信息安全等级保护管理办法》（公通字[2007]43号）

2)         《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》（发改高技[2008]2071号）[1]

3)         GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求

4)         GB/T 20984-2007 信息安全技术 信息安全风险评估规范

5)         《信息安全技术 信息系统安全等级保护测评要求》（国标报批稿）

6)         被测信息系统安全等级保护定级报告

7)         等级测评任务书/测评合同等

1.3      测评过程

描述本次等级测评的工作流程（可参考《信息系统安全等级保护测评过程指南》），具体内容包括但不限于：

（一）测评工作流程图

（二）各阶段完成的关键任务

（三）工作的时间节点

1.4      报告分发范围

依据项目需求，明确应交付等级测评报告的数量与分发范围（如本报告一式三份，一份提交测评委托单位、一份提交受理备案的公安机关、一份由测评单位留存）。

2         被测系统情况

2.1      基本信息

2.2      业务应用

描述信息系统承载的业务应用情况。

2.3      网络结构

给出被测信息系统的拓扑结构示意图，并基于示意图说明被测信息系统的网络结构基本情况，包括但不限于：

（一）功能/安全区域划分、隔离与防护情况

（二）关键网络和主机设备的部署情况和功能简介

（三）与其他信息系统的互联情况和边界设备

（四）本地备份和灾备中心的情况

2.4      系统构成

以列表的形式分类描述信息系统的软、硬件构成情况。

2.4.1    业务应用软件

以列表的形式给出被测信息系统中的业务应用软件（包括含中间件等应用平台软件），描述项目包括软件名称、主要功能简介和重要程度。

2.4.2    关键数据类别

2.4.3    主机/存储设备

以列表形式给出被测信息系统中的主机设备（包含操作系统和数据库管理系统软件），描述项目包括设备名称、操作系统、数据库管理系统以及承载的业务应用软件系统。

2.4.4    网络互联与安全设备

以列表形式给出被测信息系统中的网络互联及安全设备。

设备名称应确保在被测信息系统范围内的唯一性，建议采取类别-用途/功能/型号-编号（可选）的三段命名方式。

2.4.5    安全相关人员

以列表形式给出与被测信息系统安全相关的人员，描述项目包括姓名、岗位/角色和联系方式。人员包括但不限于安全主管、系统建设负责人、系统运维负责人、网络（安全）管理员、主机（安全）管理员、数据库（安全）管理员、应用（安全）管理员、机房管理人员、资产管理员、业务操作员、安全审计人员等。

2.4.6    安全管理文档

与信息系统安全相关的文档，包括：

（一）管理类文档，如机构总体安全方针和政策方面的管理制度、、人员安全教育和培训方面的管理制度、第三方人员访问控制方面的管理制度、机房安全管理方面的管理制度等；

（二）记录类文档，如设备运行维护记录、会议记录等；

（三）其他类文档，如专家评审意见等。

2.5      安全环境

描述被测信息系统的运行环境中与安全相关的部分：如数据中心位于运营服务商机房中、网络存在互联网连接、网络中部署无线接入点以及支持远程拨号访问用户等。

以列表形式给出被测信息系统的威胁列表，并基于历史统计或者行业判断进行威胁赋值，具体内容可参考《风险评估规范》。

3         等级测评范围与方法

3.1      测评指标

测评指标包括基本指标和附加指标两部分，以列表的形式给出。

依据定级结果选择《基本要求》中对应级别的安全要求作为等级测评的基本指标；

3.1.1    基本指标

基本指标（物理和网络子类）的例子如下所示：

3.1.2    附加指标

参照基本指标的表述模式以列表形式给出附加指标。

附加指标包括但不限于：

1）行业标准/规范的具体指标

2）主管部门的规定的具体指标

3）信息系统的运营、使用单位基于特定安全环境或者业务应用提出的具体指标

3.2      测评对象

3.2.1    测评对象选择方法

描述本次等级测评中采用的测评对象选择方法和具体规则，通常采用抽查的方法，兼顾类别与数量。

测评对象包括网络互联与安全设备操作系统、业务应用软件、主机操作系统、存储设备操作系统、数据库管理系统、安全相关人员、机房、介质以及管理文档。选择过程中应综合考虑信息系统的安全保护等级、业务应用特点和对象所在具体设备的重要情况等要素，并兼顾工作投入与结果产出两者的平衡关系。其中，主机设备的重要程度由其承载的业务应用和业务数据的重要程度决定；机房、介质[4]和管理文档不需要抽样。

具体方法和规则可参考《信息系统安全等级保护测评过程指南》。

3.2.2    测评对象选择结果

1)           网络互联设备操作系统

2)           安全设备操作系统

3)           业务应用软件

4)           主机（存储）操作系统

5)           数据库管理系统

6)           访谈人员

7)           安全管理文档

3.3      测评方法

3.3.1    现场测评方法

描述本次等级测评工作中采用的测评方法。

现场测评方法主要包括访谈、检查和测试等三类，可细分为人员访谈、文档审查、配置核查、现场观测和工具测试等。如果采用工具测试，应给出工具接入示意图，并对测评工具的接入点和预期的测试路径进行描述。

3.3.2    风险分析方法

本项目依据安全事件可能性和安全事件后果对信息系统面临的风险进行分析，分析过程包括：

1）判断信息系统安全保护能力缺失（等级测评结果中的部分符合项和不符合项）被威胁利用导致安全事件发生的可能性，可能性的取值范围为高、中和低；

2）判断安全事件对信息系统业务信息安全和系统服务安全造成的影响程度，影响程度取值范围为高、中和低；

3）综合1）和2）的结果对信息系统面临的风险进行汇总和分等级，风险等级的取值范围为高、中和低；

4）结合信息系统的安全保护等级对风险分析结果进行评价，即对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。

4         等级测评内容

单元测评的内容及结果记录如下所示：

4.1      物理安全

4.1.1    结果记录

4.1.2    问题分析

4.1.3    单元测评结果

4.2      网络安全

4.2.1    结果记录

以表格形式分别给出不同测评对象的现场测评结果。

1)           IOS_路由器_内部_1

2)           IOS_路由器_VPN_1

…

4.2.2    问题分析

汇总网络安全中存在的问题并加以分析，找出共性和危害严重的问题，如边界防火墙的管理口令为空。

4.2.3    单元测评结果

针对网络设备的不同测评指标子类对单项测评结果进行汇总和统计可得单元测评结果。单元测评结果的判定依据为：如某对象的特定测评指标的全部测评项结果均为符合，则该单元的测评结果为符合；如全部测评项结果均为不符合，则该单元的测评结果为不符合；否则该单元测评结果为不符合。

表格中分数的分母表示单元测评包含的测评项数量，分子表示不符合项和部分符合项的数量之和；斜线表明该指标子类不适用。

网络安全单元测评结果汇总表

4.3      主机安全

4.3.1    结果记录

4.3.2    问题分析

4.3.3    单元测评结果

4.4      应用安全

4.4.1    结果记录

4.4.2    问题分析

4.4.3    单元测评结果

4.5      数据安全及备份恢复

4.5.1    结果记录

4.5.2    问题分析

4.5.3    单元测评结果

4.6      安全管理制度

4.6.1    结果记录

4.6.2    问题分析

4.6.3    单元测评结果

4.7      安全管理机构

4.7.1    结果记录

4.7.2    问题分析

4.7.3    单元测评结果

4.8      人员安全管理

4.8.1    结果记录

4.8.2    问题分析

4.8.3    单元测评结果

4.9      系统建设管理

4.9.1    结果记录

4.9.2    问题分析

4.9.3    单元测评结果

4.10系统运维管理

4.10.1   结果记录

4.10.2   问题分析

4.10.3   单元测评结果

4.11工具测试

4.11.1   结果记录

依据测评工具的结果报告形成工具测试的结果。

4.11.2   问题分析

汇总工具测试的结果，分析信息系统中存在的主要问题。

5         等级测评结果

5.1      整体测评

根据《基本要求》的要求，对这些问题进行系统整体测评分析，包括从安全控制间、层面间、区域间和系统结构等方面进行安全测评。

5.1.1    安全控制间安全测评

5.1.2    层面间安全测评

5.1.3    区域间安全测评

5.1.4    系统结构安全测评

5.2      测评结果

对整体测评后的等级测评结果基于安全子类进行汇总，并以表格形式进行展示。表格中使用不同颜色对测评结果进行区分，测评结果为部分符合的指标子类采黄色标识，不符合的指标子类采用红色标识，如表中“物理安全”中指标子类对应表格单元的颜色所示。

通过对信息系统基本安全保护状态的分析，给出等级测评结论（结论为达标、基本达标、不达标）。

5.3      统计图表

基于不同类别（如设备和安全子类）对测评结果以柱状图给出统计图表。

6         风险分析和评价

6.1      安全事件可能性分析

6.2      安全事件后果分析

6.3      风险分析和评价

综合安全事件可能性和后果以列表方式给出被测信息系统面临的风险排序和评价。

7         系统安全建设、整改建议

明确给出该系统是否达标、基本达标、不达标情况（对于电子政务项目，该结论是电子政务项目验收的条件），根据情况给出系统安全建设整改意见。

针对主要的安全问题提出系统安全建设、整改建议。结合风险分析的结果可将建设、整改内容分为立即整改和持续改进两类。

对于电子政务项目，等级测评报告中的整改建议与风险评估报告中的整改建议不应存在冲突。

7.1      物理安全

7.2      网络安全

整改建议的示例如下：

1)   在网络结构发生变化时应及时更新网络拓扑图，方便日常安全运维。

7.3      主机安全

7.4      应用安全

7.5      数据安全及备份恢复

7.6      安全管理制度

7.7      安全管理机构

7.8      人员安全管理

7.9      系统建设管理

7.10系统运维管理

附：信息系统安全等级保护备案表

---

[1] 针对“国家电子政务工程建设项目”有效

[2] 本报告模板针对作为单一定级对象的信息系统制定。

[3] 测评项数量随信息系统的安全保护等级不同而变化

[4] 非个人使用存储介质