文章目錄

整體內容介紹：
第1章爲整體的標準體系介紹，以及自網絡安全法頒佈實施以來新標準（6個）發生的變化。
第2-7章分別對以上六個新標準進行詳細解讀。
第8-12章從測評機構的角度把等保測評實施的幾個關鍵活動進行詳細講解。

第1章等級保護標準體系 8

等保標準全家福：
GB 17859-1999《計算機信息系統安全保護等級劃分準則》
GB/T 22239-2019《信息安全技術網絡安全等級保護基本要求》
GB/T 22240-2020《信息安全技術網絡安全等級保護定級指南》
GB/T 28448-2019《信息安全技術網絡安全等級保護測評要求》
GB∕T 28449-2018 《信息安全技術網絡安全等級保護測評過程指南》
GB∕T 25058-2019《信息安全技術網絡安全等級保護實施指南》
GB∕T 25070-2019 《信息安全技術網絡安全等級保護安全設計技術要求》

其它產品類標準（略）

1.1體系結構圖 8

1.1.1層次關係 9

網絡安全等級保護標準體系結構分爲三層，哪三層？

1.1.2序列關係 9

從等級保護工作全生命週期來看，各個階段用到哪些標準？

1.2 標準明細表（略） 9

1.3主要標準概述 9

把全家福的七個標準都大概介紹了一遍。除了第一個劃分準則之外，其它所有標準都是在網絡安全法之後重新修訂過的，這裏把修訂後的變化內容都介紹了一遍（名字肯定是都變了）。

1.3.1劃分準則 9

唯一的強制標準（GB），劃分結果：
第一級——用戶自主保護級
第二級——系統審計保護級
第三級——安全標記保護級
第四級——結構化保護級
第五級——訪問驗證保護級

1.3.2實施指南 9

1.實施基本流程的變化：定級備案、總體安全規劃、安全設計與實施、安全運行與維護、對象終止。
2.定級備案階段增加了行業/領域定級工作。
3.總體安全規劃階段的變化：（國家+行業）等級保護管理規範和技術標準。

1.3.3定級指南 10

1.定級對象變化：信息系統、通信網絡設施、數據資源。
2.定級流程：增加專家評審和主管部門覈查（如果有）。

1.3.4基本要求 11

1.增加安全擴展要求。
2.技術要求和管理要求兩個安全層面與1.0版本有變更。
3.取消了原來安全控制點的S、A、G標註。

1.3.5安全設計技術要求 11

1.增加了對雲計算、移動互聯、物聯網、工業控制類定級對象的設計框架和設計技術要求。
2.增加了安全計算環境、安全區域邊界的“可信驗證”技術要求。
3.增加了安全通信網絡的“可信連接驗證。

1.3.6測評要求 11

1.單元測評和整體測評調整爲單項測評和整體測評。
2.與基本要求對應，分爲安全測評通用要求和安全測評擴展要求。
3.增加測評編號。
4.測評要求在級差上的變化：測評方法、測評對象範圍、測評實施。

1.3.7測評過程指南 12

1.增加系統安全保障評估。
2.補充新技術相關內容。
3.更新測評報告模板2019版。

第2章網絡安全等級保護實施指南解讀 14

2.1概述 14

2.1.1標準範圍與作用 14

範圍：等級保護對象從規劃設計到終止運行的全過程。
作用：爲運營、使用單位提供：等級保護工作實施指導+技術指導（加建設單位）

2.1.2與其他標準的關係 14

是以GB 17859-1999爲基礎，根據現有技術發展水平提出的對不同安全保護等級的等級保護對象的最基本安全要求，是其他標準的一個底線子集。

2.1.3標準修訂思路 15

2.1.4主要修訂 16

2.1.5標準結構 17

2.2描述框架 17

框架結構上分爲階段和活動。
階段就是等保實施的五個階段，對應第5、6、7、8、9章的標題。
活動就是五個階段的實施環節，對應第5、6、7、8、9章的二級標題。

2.3等級保護基本流程 17

2.3.1基本實施流程 17

安全運行與維護階段，定級對象發生變化，如何調整？

2.3.2等級保護對象定級與備案 19

涉及到運營、使用單位、主管部門、公安機關。
主管部門從行業特徵、業務覆蓋範圍、主要承擔的社會功能/職能和生產產值等方面梳理所有業務情況。
運營、使用單位針對每個業務，依據《網絡安全等級保護定級指南》標準，根據業務信息重要性和系統服務重要性分析其安全保護要求，形成針對主要業務的行業/領域定級指導意見。
運營、使用單位到主管部門審覈、批准，報公安機關備案審查。

2.3.3總體安全規劃 19

涉及到的角色主要是運營、使用單位和網絡安全服務機構。該項工作可以由運營、使用單位獨立完成。也可以由網絡安全服務機構協助運營、使用單位完成。
1.定需求。由於等級已確定，因此應按《網絡安全等級保護基本要求》對照相應等級選擇相應的要求項作爲安全保護需求。
還要注意系統的特殊安全需求。就是針對等保對象中的重要部件，分析其面臨的威脅，確定需要優先實現的除基本安全保護需求之外的特殊安全保護要求。
2.定安全保障戰略及方針
3.定安全目標，制定安全策略
4.規劃技術體系架構和安全管理體系架構，技術體系架構設計時應重點關注不同等級定級對象之間互聯時的安全防護策略

2.3.4安全設計與實施 20

根據建設目標和建設內容將等級保護對象安全總體方案中要求實現的安全策略、安全技術體系結構、安全措施和要求落實到產品功能或物理形態上，提出能夠實現的產品或組件及其具體規範，並將產品功能特徵整理成文檔，使得在網絡安全產品採購和安全控制開發階段具有依據。
安全技術體系設計與實施：
1.依據安全需求進行總體網絡結構框架的設計
2.進行安全功能要求和性能要求的設計
3.結合當前等級保護對象網絡拓撲構、設計最新的部署方案
4.選購設備組件，並對相關組件實施安全配置
注意：沒有產品能夠實現安全措施或需求的時候，需要專門設計、開發。
5.將不同的軟硬件產品進行集成，綜合、整合成爲一個系統。
安全管理體系設計與實施：從組織機構、人員、文檔及建設過程管理等方面來考慮。
1.組織機構與人員方面：網絡安全管理機構和人員、網絡安全維護隊伍、網絡安全專家隊伍、網絡安全檢查評估審計隊伍
2.文檔方面：高層策略文件、各類管理制度、具體操作規程和各類操作記錄稱爲四層塔式管理文件體系。
3.安全建設過程管理：項目實施過程中的一些管理控制要求的實施。

2.3.5安全運行與維護 20

包括安全運行與維護機構和安全運行與維護機制的建立，環境、資產、設備、介質的管理，網絡、系統的管理，密碼、密鑰的管理，運行、變更的管理，安全狀態監控和安全事件處置，安全審計和安全檢查等內容。
運營、使用單位還應該做好在異常狀態下的應急和保障工作。
應針對不同等級不同類別的安全事件制定相應的應急預案，應急預案應儘量覆蓋不同的安全事件，流程詳細可操作。

2.3.6定級對象終止 21

定級對象被轉移、終止或廢棄時，正確處理其中的敏感信息，即對需處理的對象進行梳理識別，制定相應處理方案並進行嚴格審批，徹底清除敏感信息，對各項處理過程進行詳細記錄在案等。

第3章定級指南解讀 23

3.1概述 23

3.1.1標準定位 23

3.1.2修訂背景介紹 23

3.1.3主要修訂方面 23

3.1.4框架結構 23

3.2基本概念 24

3.2.1等級保護對象 24

等級保護對象定義爲：“網絡安全等級保護工作直接作用的對象，包括信息系統、通信網絡設施和數據資源”。
通信網絡設施是指爲信息流通、網絡運行等起基礎支撐作用的網絡設備設施，典型對象包括電信網、廣播電視傳輸網，以及行業或單位的跨省專用網（骨幹部分）等；
信息系統是指由計算機或其他信息終端及相關設備組成的，按照一定的應用目標和規則對信息進行採集、加工、存儲、傳輸、檢索等處理的系統，典型對象即包括辦公自動化系統、郵件系統等傳統計算機信息系統，也包括工業控制系統、雲計算平臺、物聯網以及使用移動互聯技術的信息系統等融合了新技術新應用的新型等級保護對象；
而數據資源的典型例子是大數據。

3.2.2安全保護等級 25

五級，根據等保對象（就是3.2.1中的三個東西）在國家安全、經濟建設、社會生活中的重要程度，以及一旦遭到破壞、喪失功能或者數據被篡改、泄露、丟失、損毀後，對國家安全、社會秩序、公共利益以及公民、法人和其他組織的合法權益的侵害程度等因素來確定等級。

3.2.3定級要素 25

定級要素有兩個：“受侵害的客體”和“對客體的侵害程度”。
其中，受侵害的客體可能是以下三者之一或者組合：
a）公民、法人和其他組織的合法權益；
b）社會秩序、公共利益；
c）國家安全。
對客體的侵害程度歸結爲以下三種：
a）造成一般損害；
b）造成嚴重損害；
c）造成特別嚴重損害。

3.2.3.1受侵害的客體 25

根據《中華人和國國家安全法》侵害國家安全的事項主要包括以下方面
——影響國家政權穩固同和領土主權，海洋權益完整
——影響國家統統一、民族團結和社會穩定；
——影響國家社會主義市場經濟秩序和文化實力；
——其他影響國家安全的事項。
根據《中華人民共和國治安管理處罰法》，侵害社會秩序的事項主要包括以下方面：
——影響國家機關、企事業單位、社會團體的生產秩序、經營秩序、教學科研秩序、醫療衛生秩序；
——影響公共場所的活動秩序、公共交通秩序；
——影響人民羣衆的生活秩序；
——其他影響社會秩序的事項。
公共利益通常是指不特定的社會成員所享有的，受法律法規保護的長遠利益，侵害公共利益的事項主要包括以下方面：
——影響社會成員使用公共設施；
——影響社會成員獲取公開信息資源；
——影響社會成員接受公共服務等方面；
——其他影響公共利益的事項。
公民、法人和其他組織的合法權益是指受法律保護的公民、法人和其他組織所享有的社會權利和利益等，如財產、企業信譽和個人名譽等。

3.2.3.2侵害程度 26

3.3定級流程 26

一級自己定級，二級以上走如下流程：

3.4.5不通過，定級對象的運營者應重新開展定級工作（如上圖虛線箭頭所示）

3.4確定定級對象 27

3.4.1信息系統 27

3.4.1.1基本特徵 27

三個：
a）具有確定的主要安全責任主體；
b）承載相對獨立的業務應用；
一是，該業務應用與外部業務關聯度低，交互較少。如果兩個業務應用緊密耦合，數據交互頻繁，就應該考慮是否應該合併爲一個定級對象。
二是，該業務應用不強制要求完全覆蓋從客戶終端到數據庫後臺的整個業務流程，也可以是其中一部分。《銀行業定級指南》中就明確指出，“部署有應用服務器或者數據庫服務器的前置系統”可以作爲應用系統類定級對象獨立定級。
c）包含相互關聯的多個資源。

3.4.1.2工業控制系統 28

下面三層應作爲一個整體對象定級，各要素不單獨定級；生產管理要素可單獨定級。
對於大型工業控制系統，可根據系統功能、責任主體、控制對象和生產廠商等因素劃分爲多個定級對象。

3.4.1.3雲計算平臺 28

雲服務客戶和雲服務商側的雲計算平臺/系統分別作爲單獨的定級對象定級。
大型雲計算平臺，宜將雲計算基礎設施和有關輔助服務系統劃分爲不同的定級對象。

3.4.1.4物聯網 29

物聯網主要包括感知、網絡傳輸和處理應用等特徵要素，應將以上要素作爲一個整體對象定級，各要素不應單獨定級。

3.4.1.5採用移動互聯技術的系統 29

採用移動互聯技術的系統主要包括移動終端、移動應用和無線網絡等特徵要素，可作爲一個整體獨立定級或與相關聯業務系統一起定級，各要素不單獨定級。

3.4.2通信網絡設施 29

對於電信網、廣播電視傳輸網等通信網絡設施，應分別依據安全責任主體、服務類型和服務地域等因素將其劃分爲不同的定級對象。
跨省的行業或單位的專用通信網可作爲一個整體對象定級，或分區域劃分爲若干個定級對象。

3.4.3數據資源 30

當安全責任主體相同時，大數據、大數據平臺/系統宜作爲一個整體對象定級；當安全責任主體不同時，大數據應獨立定級。

3.5確定安全保護等級 30

3.5.1初步確定等級 30

3.5.2定級覈准與審覈 31

專家評審、報請行業主管（監管）部門覈准（如果有）

3.5.3特殊對象的定級說明 31

通信網絡設施、雲計算平合和大數據平臺等支撐類定級對象，應根據其承載或將要承載的等級保護對象的重要程度確定其安全保護等級，原則上應不低於其承載的等級保護對象的安全保護等級。

3.6定級調整 31

3.7定級報告編制 32

3.7.1定級對象描述 32

對於信息系統類對象來說，重點是說明其是否具備定級對象的三個基本特徵，主要從安全責任主體、主要構成要素和業務應用情況等三個方面展開；
1.安全責任主體：確定對其負有主要安全責任的單位或部門來作爲該網絡的安全責任主體。如安全責任較分散（如業務部門負責前期建設，信息中心負責後期運維），則安全責任主體可由共同的上級單位或部門承擔或指定。
2.主要構成要素：網絡結構、系統邊界和邊界設備以及主要軟硬件設備設施等，明確其是由多個資源互聯互通，邊界清晰的一個整體。
3.業務應用情況：，業務應用描述不是瑣碎的系統功能羅列，而應是從頂級菜單（模塊）功能對應的定級單位職能或業務角度進行描述
對於雲計算平臺、物聯網、移動互聯繫統等定級對象，則需要進一步突出其特徵要素。

3.7.2安全保護等級確定 32

3.7.2.1業務信息安全保護等級的確定 32

3.7.2.2系統服務安全保護等級的確定 33

3.7.2.3定級對象安全保護等級的確定 33

第4章網絡安全等級保護基本要求 34

4.1概述 34

4.1.1修訂背景 34

4.1.2修訂過程 34

4.1.3主要變化

雲計算安全擴展：增加的內容包括“基礎設施的位置”、“虛擬化安全保護”、“鏡像和快照保護”、“雲計算環境管理”和“雲服務商選擇”
移動互聯安全擴展：增加的內容包括“無線接入點的物理位置”、“移動終端管控”、“移動應用管控”、“移動應用軟件採購”和“移動應用軟件開發”等方面。
物聯網安全擴展：增加的內容包括“感知節點的物理防護”、“感知節點設備安全”、“網關節點設備安全”、“感知節點的管理”和“數據融合處理”等方面。
工業控制系統安全擴展：要求章節針對工業控制系統的特點提出特殊保護要求。對工業控制系統主要增加的內容包括“室外控制設備防護”、“工業控制系統網絡架構安全”、“撥號使用控制”、“無線使用控制”和“控制設備安全”等方面。
取消了原來安全控制點的S、A、G標註。

4.2描述模型 35

4.2.1等級保護對象 35

4.2.2安全保護能力 36

應對威脅的能力可以細分爲防護能力，檢測能力和響應恢復能力。
防護能力着重於防止破壞發生所體現出的能力
檢測能力着重於於對破壞可能性檢測所體現出的能力
響應恢復能力着重於對檢測到的破壞行爲進行處置響應並且能從破壞中恢復所體現出的能力。

4.2.3安全要求分類 36

4.3逐級增強的特點 38

4.3.1總體描述 38

4.3.2控制點增加 38

4.3.3要求項增加 38

4.3.4控制強度增強 39

4.4各級安全要求 39

4.4.1安全通用要求 39

4.4.1.1安全物理環境 39

4.4.1.2安全通信網絡 40

4.4.1.3安全區域邊界 40

4.4.1.4安全計算環境 40

4.4.1.5安全管理中心 41

4.4.1.6安全管理制度 41

4.4.1.7安全管理機構 41

4.4.1.8人員安全管理 42

4.4.1.9安全建設管理 42

4.4.1.10安全運維管埋 42

4.4.2安全擴展要求 43

4.4.2.1雲計算安全擴展要求 43

4.4.2.2移動互聯安全擴展要求 44

4.4.2.3物聯網安全擴展要求 44

4.4.2.4工業控制系統安全擴展要求 45

4.5安全要求的選擇和使用 46

保護數據在存儲、傳輸、處理過程中不被泄漏、破壞和免受未授權的修改的信息安全類要求（簡記爲S）；
保護系統連續正常的運行，免受對系統的未授權修改、破壞而導致系統不可用的服務保證類要求（簡記爲A）；
其他安全保護類要求（簡記爲G）。
根據定級結果，根據系統服務保證性等級選擇相應級別的系統服務保證類（A類）安全要求；
根據業務信息安全性等級選擇相應級別的業務信息安全類（S類）安全要求；
根據系統安全等級選擇相應級別的安全通用要求（G類）和安全擴展要求（G類）。

第5章設計技術要求解讀 49

5.1概述 49

5.1.1標準定位 49

5.1.2背景介紹 49

5.1.3主要修訂 49

增加了雲計算、移動互聯、物聯網、工業控制類定級對象的設計框架和設計技術要求。
增加了安全計算環境、安全區域邊界的“可信驗證”技術要求。
增加了安全通信網絡的“可信連接驗證”技術要求。

5.1.4章節內容 49

5.2核心技術思想 50

5.2.1安全環境描述 50

5.2.2安全防護模型 51

PPDR安全模型，即策略-保護-檢測-響應。

5.2.3核心技術理念 51

技術理念：“可信、可控、可管”

5.3設計框架 52

5.3.1通用安全技術設計框架 52

一箇中心（安全管理中心）、三重防護（安全計算環境、安全區域邊界、安全通信網絡）

5.3.2雲計算安全技術設計框架 52

5.3.3移動互聯安全技術設計框架 53

5.3.4物聯網安全計算設計框架 54

5.3.5工業控制安全技術設計框架 54

5.4設計策略 55

5.5設計技術要求 56

5.5.1通用安全設計技術要求 56

本小節都從一箇中心三個防護進行展開
1）安全計算環境
第一級系統安全保護環境在安全計算環境方面的主要技術要求包括：採用基於用戶名、口令的鑑別機制進行用戶身份鑑別；爲操作系統、數據庫、應用系統構建主體粒度爲用戶/用戶組、客體粒度爲文件和數據庫表的自主訪問控制機制；構建採用常規校驗方法的用戶數據完整性保護機制，安裝惡意代碼防範軟件，並定級進行更新；基於可信計算技術，對計算節點的BIOS、引導程序、操作系統內核等進行可信驗證，並在檢測到其可信性受到破壞後進行報警。
第二級系統安全保護環境在安全計算環境方面的主要技術要求包括：在第一級系統安全要求基礎上，強化了安全審計、數據保密性保護、客體安全重用及可信驗證的要求；能創建和維護對受保護客體的訪問審計軌跡，並能防止未授權用戶對其進行修改或破壞；採用密碼等技術，對在安全計算環境中存儲和處理的用戶數據進行保密性保護；要求對客體進行初始指派、分配或再分配一個主體之前，應撤消對該客體所含信息的所有授權，當主體獲得對一個已被釋放的客體的訪問權時，該主體不能獲得原主體活動所產生的任何信息；基於可信計算技術，在第一級可信驗證基礎上，對應用程序進行可信驗證，並將驗證結果形成審計記錄。
第三級系統安全保護環境在安全計算環境方面的主要技術要求包括：在第二級系統安全要求基礎上，強化了身份鑑別、強制訪問控制、可信驗證、配置可信檢查及惡意代碼防範的要求；採用堡壘機、系統加固或應用網關等產品，爲服務器、數據庫、應用系統構建雙因子身份認證機制；在二級系統的自主訪問控制基礎上，爲服務器、數據庫及應用系統構建強制訪問控制機制；基於可信計算技術，在第二級可信驗證基礎上，對應用程序的行爲及操作系統的關鍵內存區域進行可信驗證；基於基線覈查技術，對服務器及應用的關鍵安全配置進行檢查，及時修復不符的配置信息；要求採用主動免疫可信計算檢驗機制及時識別入侵和病毒行爲，並將其有效阻斷，爲定級系統構建主動防禦的安全機制。
第四級系統安全保護環境在安全計算環境方面的主要基本要求包括：在第三級系統安全要求基礎上，強化了可信驗證的要求，基於可信計算技術，在第三級可信驗證基礎上，將可信驗證的結果送至管理中對進行關聯分析。
2）安全區域邊界
第一級系統安全保護環境在安全區域邊界方面的主要技術要求包括：根據區域邊界安全控制策略，使用包過濾技術、基於數據包的源地址、目的地址、傳輸層協議、請求的服務等，確定是否允許該數據包通過區域邊界；部署惡意代碼防護網關，並定期進行升級和更新；基於可信計算技術，對邊界設備的BIOS、引導程序、操作系統內核等進行可信驗證，並在檢測到其可信性受到破壞後進行報警。
第二級系統安全保護環境在安全區域邊界方面的主要技術要求包括：在第一級系統安全要求基礎上，強化了區域邊界安全審計、區域邊界完整性保護以及可信驗證的要求；要求在安全區域邊界設置必要的審計機制、防惡意代碼網關以及邊界探測軟件，由安全管理中心管理；基於可信計算技術，對邊界網關設備的安全管控程序進行可信驗證，並將驗證結果形成審計記錄。
第三級系統安全保護環境在安全區域邊界方面的主要技術要求包括：在第二級系統安全要求基礎上，強化了區域邊界訪問控制以及可信驗證的要求；採用軟件定義邊界等相關技術，在數據包經過區域邊界時，對源及目標計算節點的身份、地址、端口和應用協議等進行可信驗證；基於可信計算技術，對邊界網關設備的安全管控程序及其行爲，以及設備操作系統的關鍵內存區域進行可信驗證，並將驗證結果形成審計記錄。
第四級系統安全保護環境在安全區域邊界方面的主要技術要求包括：在第三級系統安全要求基礎上，強化了可信驗證的要求；基於可信計算技術，對邊界網關設備的安全管控程序及其行爲，以及設備操作系統的關鍵內存區域進行可信驗證，並將驗證結果送至管理中心，進行關聯分析。
3）安全通信網絡
第一級系統安全保護環境在安全通信網絡方面的主要技術要求包括：採用VPN等產品，檢驗網絡傳輸數據的完整性，並能發現其完整性被破壞的情況；基於可信計算的可信連接技術，在設備連接網絡時，對源和目標平臺身份進行可信驗證。
第二級系統安全保護環境在安全通信網絡方面的主要技術要求包括：在第一級系統安全要求基礎上，強化了通信網絡安全審計、通信網絡傳輸保密性保護及可信連接驗證要求；需部署網絡安全審計、VPN等產品，確保網絡數據傳輸完整性以及網絡數據傳輸保密性保護等安全要求；基於可信技術的可信連接技術，在設備連接網絡時，對源和目標平臺身份及應用程序進行可信驗證。
第三級系統安全保護環境在安全網絡方面的主要技術要求包括：在第二級系統安全要求基礎上，強化了可信連接驗證要求；基於可信計算的可信連接技術，在設備連接網絡時，對源和目標平臺身份、應用程序以及關鍵行爲進行可信驗證。
第四級系統安全保護環境在安全通信網絡方面的主要技術要求包括：在第三級系統安全要求基礎上，強化了可信連接驗證要求；基於可信計算的可信連接技術，在設備連接網絡時，對源和目標平臺身份、應用程序以及關鍵行爲進行可信驗證，並將驗證結果送至管理中心，進行關聯分析。
4）安全管理中心
第一級系統安全保護環境對集中管理中心不做要求。
第二級系統安全保護環境要求集中式的管理中心，該管理中心的系統管理和審計管理需要相互獨立，系統管理可通過系統管理員對系統的資源和運行進行配置、控制和管理，包括用戶身份和授權管理、系統資源配置、系統加載和啓動、系統運行的異常處理、數據和設備的備份與恢復以及惡意代碼防範等。審計管理可通過安全審計員對分佈在系統各個組成部分的安全審計機制進行集中管理，包括根據安全審計策略對審計記錄進行分類；提供按時間段開啓和關閉相應類型的安全審計機制；對各類審計記錄進行存儲、管理和查詢等。
第三級系統安全管理中心需要遵循系統管理員、安全管理員和審計管理員三權分立的要求。其中安全管理員對系統中的主體、客體進行統一標記，對主體進行授權，配置統一的安全策略。
第四級系統安全管理中心在三級基礎上，沒有特殊要求。

5.5.2雲計算安全設計技術要求 58

5.5.3移動互聯繫統設計技術要求 59

5.5.4物聯網安全設計技術要求 59

5.5.5工業控制系統設計技術要求 60

5.6結構化設計 61

針對等級保護四級系統增加結構化保護要求，目標是提升等級保護四級系統安全保護環境的健壯性，防止被攻擊者攻擊，從而關閉或繞過安全機制攻擊定級系統安全。
對結構化保護提出了三個方面的要求，分別是
安全保護部件結構化設計技術要求：安全保護部件應劃分爲關鍵安全保護部件和非關鍵安全保護部件，防止敏感信息危害安全策略從關鍵安全保護部件流向非關鍵安全保護部件。
安全保護部件互聯結構化設計技術要求：各安全保護部件之間互聯的接口功能及其調用關係應明確定義，並通過可信驗證機制相互驗證對方的可信性，確保安全保護部件間的可信連接。
重要參數結構化設計技術要求：重要數據結構給出明確定義，包括參數的類型，使用描述以及功能說明等，並用可信驗證機制確保數據不被篡改。

5.7定級系統互聯設計 62

要求：相同或不同等級的定級系統通過多級互聯部件進行接口訪問或數據交換，多級互聯部件對其進行安全仲裁，防止敏感信息泄露或攻擊入侵發生。多級互聯部件可以基於企業服務總線、應用安全網關或數據交換平臺等技術實現。

5.8定級系統安全保護環境設計實例 63

流程：

第6章測評要求解讀 65

6.1標準範圍和定位 65

安全測評通用要求+安全測評擴展要求

6.2主要修訂內容 65

1.單元測評和整體測評調整爲單項測評和整體測評：單項測評由測評指標，測評對象、測評實施和單元判定構成；整體測評內容包括安全控制點測評、安全控制點間測評和區域間測評。
2.標準內容的變化：名稱、等保對象變化、測評要求擴展
3.增加單元測評號：格式爲XX-XXXX-XX
第1組由2位組成，第1位爲字母L，第2位爲數字，其中數字1爲第一級，2爲第二級，3爲第三級，4爲第四級，5爲第五級。
第2組由4位組成，前3位爲字母，第4位爲數字。
字母代表類：
ABS：安全區域邊界（Area Boundary Security）
BDS：大數據系統（Bigdata System）
CES：安全計算環境（Computing Environment Security）
CMS：安全建設管理（Construction Management Security）
CNS：安全通信網絡（Communication Network Security）
HRS：安全管理人員（Human Resource Security）
MMS：安全運維管理（Maintenance Management Security）
ORS：安全管理機構（Organization and Resource Security）
PES：安全物理環境（Physical Environment Security）
PSS：安全管理制度（Policy and System Security）
SMC：安全管理中心（Security Management Center）
數字代表應用場景：1爲安全測評通用要求部分，2爲雲計算安全測評擴展要求部分，3爲移動互聯安全測評擴展要求部分，4爲物聯網安全測評擴展要求部分，5爲工業控制系統安全測評擴展要求部分。
第3組由2位數字組成，按類對基本要求中的要求項進行順序編號。
大數據可參考安全評估方法測評單元編號爲三組數據，格式爲XXX-XX-XX，例如：BDS-L1-01，代表源自大數據可參考安全評估方法的第一級的第1個指標。
4.測評要求在級差上的變化：
1）不同級別使用不同測評方法：第一級主要以訪談爲主進行等級測評，第二級以覈查爲主進行等級測評，第三級和第四級在覈查基礎上還要進行測試驗證工作。不同級別使用不同測評方法，能體現出測評實施過程中訪談、覈查和測試的測評強度的不同。
2）不同級別測評對象範圍不同：第一級和第二級測評對象的範圍爲關鍵設備，第三級爲主要設備，第四級爲所有設備。不同級別測評對象範圍不同，能體現出測評實施過程中訪談、覈查和測試的測評廣度的不同
3）不同級別現場測評實施工作不同：第一級和二級以覈查安全機制爲主，第三級和第四級先覈查安全機制，再覈查安全策略有效性。

6.3標準文本結構 67

6.4等級測評框架 67

單項測評+整體測評

針對基本要求各安全要求項的測評稱爲單項測評，單項測評是等級測評工作的基本活動，支持測評結果的可重複性和可再現性。單項測評是由測評指標、測評對象、測評實施和單元判定構成。

第7章測評過程指南解讀 69

7.1概述 69

7.1.1標準範圍與作用 69

7.1.2與其他標準的關係 69

7.1.3標準編制思路 69

7.1.4主要修訂 70

1.基本工作流程中，報告編制活動的工作任務從原來的6個調整爲7個，增加了系統安全保障評估的工作任務。
2.新技術新應用相關內容補充：
■ 信息收集和分析任務中應擴充收集的資料和了解的系統情況，例如針對雲計算平臺的等級測評，還應收集雲服務商的管理架構、技術實現機制及架構、運行情況、雲計算平合的定級情況、雲計算平臺的等級測評結果等；針對雲服務客戶系統的等級測評，測評機構收集的相關資料還應包括雲服務商與雲服務客戶的關係、定級對象的相關情況等；
■應補充的測評對象，例如雲計算平臺涉及的虛擬設備（虛擬機、虛擬網絡設備、虛擬安全設備等）、雲操作系統、雲業務管理平臺、虛擬機監視器、雲服務客戶網絡控制器、雲應用開發平合等；
■不同領域的特殊攻擊測試方法，例如物聯網系統開展工具測試時還應增加感知層滲透測試。即：應基於感知層應用場景，針對各類感知層設備（如智能卡、RFID標籤、讀寫器等）開展嵌入式軟件安全測試以及旁路攻擊、置亂攻擊等方面的測試。

7.1.5標準結構 71

7.2等級測評的特點 72

7.3等級測評工作要求 72

7.3.1工作要求 72

7.3.2存在的風險 73

1.可能影響系統正常運行
2.可能泄漏敏感信息
3.木馬植入風險

7.3.3風險的規避 74

1.簽署委託測評協議
2.簽署保密協議
3.簽署現場測評授權書
4.現場測評工作風險的規避
5.測評現場還原
6.規範化實施過程
7.溝通與交流

7.4基本工作過程和方法 75

7.4.1基本工作流程 75

上圖是對受委託測評機構對定級對象實施初次等級測評的基本工作流程。如果被測定級對象已經實施過一次（或多次）等級測評，上圖中的四個活動保持不變，但是具體任務內容會有所變化。

7.4.2測評準備活動 77

7.4.3方案編制活動 77

7.4.4現場測評活動 77

7.4.5報告編制活動 78

第8章測評準備 79

8.1工作流程 79

測評準備活動：工作啓動、信息收集和分析、工具和表單準備。

三項任務之間的關聯關係以及每個任務的輸入、輸出產品：

表格版本：

8.2工作啓動 80

8.3信息收集和分析 81

8.3.1調查表設計 81

8.3.2調查表填寫 81

1）等級保護對象基本情況：明確等級保護對象包含幾個定級對象，每個定級對象的安全保護等級。
2）網絡信息收集：涉及網絡拓撲圖、網絡區域劃分情況、網絡互聯設備情況和安全設備情況等。
3）應用信息收集：涉及應用系統情況和業務數據情況等。
填寫調查表中的“業務數據類別”時應遵循以下原則：
a）區分應用業務數據與支撐數據，如金融交易中的賬戶、交易金額爲應用數據，鑑別數據、應用配置數據等爲支撐數據。
b）區分業務關鍵數據與輔助數據，如金融交易中交易賬戶及交易金額爲業務關鍵數據，而相關的客戶個人信息爲輔助數據。
c）依據不同的安全需求進一步區分業務關鍵數據，如金融交易中關注保密性要求的賬戶口令數據與關注完整性的金融交易數據等。
4）主機信息收集：涉及服務器設備情況、宿主機情況、存儲設備情況、終端設備情況等。終端設備的信息收集對象一般包括業務專用終端、管理終端、安全設備控制檯、操作員站、工程師站等。
5）物理環境信息收集：涉及等級保護對象所在物理環境的信息收集，包括機房數量、機房名稱、機房物理位置等等。

8.3.3調查結果分析 82

1）整體網絡結構和系統組成分析：對等級保護對象的範圍、構成和應用等總體情況進行分析，包括網絡結構、對外邊界、定級對象的數量和級別、不同安全保護等級定級對象的分佈情況和承載應用情況等。
2）定級對象邊界和系統構成組件分析：
定級對象邊界分析是對等級保護對象中的每個定級對象分析其系統邊界，並確定其在網絡中的物理邊界，多個定級對象的物理邊界可能爲一個，例如多個定級對象共用同一個防火牆或交換機作爲其邊界設備。
定級對象的系統構成組件分析是對等級保護對象中的每個定級對象分析其對應的硬件、軟件、信息和存儲介質等。
3）定級對象的相互關聯分析：對等級保護對象中的每個定級對象分析其承載的業務應用情況，包括應用架構方式、應用處理流程、處理信息類型、業務數據處理流程、服務對象、用戶數量等，並通過業務應用分析定對象之間的相互關聯關係。
三種情況：
各自獨立，相互之間沒有數據交換；
各自獨立，但相互之間有數據交換；
一個應用的不同模塊部署在不同的定級對象中。

8.4工具和表單準備 83

8.5常見問題及解決方法 83

第9章測評方案編制 84

9.1工作流程 84

主要任務包括：測評對象確定、測評指標確定、測評內容確定、工具測試方法確定、測評指導書開發及測評方案編制。
以上任務由測評機構獨立完成。

輸入輸出：

表格版：

9.2測評對象確定 85

測評力度在廣度方面主要體現爲測評對象的類型和數量。鑑於定級對象的複雜度和設備數量的巨大，在滿足測評力度的前提下允許對系統構成組件進行抽查。
測評對象的確定一般採用抽查的方法，即：抽查定級對象中具有代表性的組件作爲測評對象。並且，在測評對象確定任務中應兼顧工作投入與結果產出兩者的平衡關係。
在確定測評對象時，需遵循以下原則：
重要性，應抽查對被測定級對象來說重要的服務器、數據庫和網絡設備等；
安全性，應抽查對外暴露的網絡邊界；
共享性，應抽查共享設備和數據交換平臺/設備；
全面性，抽查應儘量覆蓋系統各種設備類型、操作系統類型、數據庫系統類型和應用系統類型；
符合性，選擇的設備、軟件系統等應能符合相應等級的測評強度要求。
選擇測試對象的步驟：
（1）對定級對象構成組件進行分類。如：客戶端（主要考慮操作系統）、服務器（包括操作系統、數據庫管理系統、應用平臺和業務應用軟件系統）、網絡互聯設備、安全設備、安全相關人員和安全管理文檔。
（2）對於每一類定級對象構成組件，應依據調研結果進行重要性分析，選擇對被測定級對象來說重要程度高的對象構成組件。
（3）對於步驟2獲得的選擇結果，可以分別進行物理位置分析、共享性分析和全面性分析，進一步完善測評對象集合。
（4）最後，依據測評力度綜合進行恰當性分析，確定測評對象的種類和數量。
各個不同等級定級對象的具體測評對象樣例參見《測評過程指南》附錄D.3。例如：三級等保：
主機房（包括其環境、設備和設施等）和部分輔機房，應將放置了服務於定級對象的局部（包括整體）或對定級對象的局部（包括整體）安全性起重要作用的設備、設施的輔機房選取作爲測評對象；
存儲被測定級對象重要數據的介質的存放環境；
辦公場地；
整個系統的網絡拓撲結構；
安全設備，包括防火牆、入侵檢測設備和防病毒網關等；
邊界網絡設備（可能會包含安全設備），包括路由器、防火牆、認證網關和邊界接入設備（如樓層交換機）等；
對整個定級對象或其局部的安全性起作用的網絡互聯設備，如核心交換機、匯聚層交換機、路由器等；
承載被測定級對象主要業務或數據的服務器（包括其操作系統和數據庫）；
管理終端和主要業務應用系統終端；一能夠完成被測定級對象不同業務使命的業務應用系統；
業務備份系統；
信息安全主管人員、各方面的負責人員、具體負責安全管理的當事人、業務負責人；
涉及到定級對象安全的所有管理制度和記錄。
注意：在本級定級對象測評時，定級對象中配置相同的安全設備、邊界網絡設備、網絡互聯設備、服務器、終端以及備份設備，每類應至少抽查兩臺作爲測評對象。

9.3測評指標確定 86

“安全通用要求”+“安全擴展要求”
由於定級對象不但有安全保護等級，還有業務信息安全保護等級和系統服務安全保護等級，而《基本要求》中“安全通用要求”的各項要求也分爲業務信息安全保護類、系統服務安全保護類和通用安全保護類三類要求，從而對於“安全通用要求”類測評指標也應該由這三類組成。

9.4測評內容確定 88

等級測評包括單項測評和整體測評，因此，現場測評實施內容也主要從這兩個方面分別展開。
主要工作包括：依據《測評要求》，將前面已經確定的測評指標和測評對象結合起來，將測評指標映射到各測評對象上，然後結合測評對象的特點，說明各測評對象所採取的測評方法。如此構成一個個可以具體實施測評的單元。
本任務中涉及到的輸出主要是單項測評實施內容列表。

9.5工具測試方法確定 88

主要工作包括：確定工具測試的測評對象、選擇測試路徑、根據測試路徑確定測評工具接入點。
本任務中涉及到的輸出主要是工具測試方法及工具測試圖。

9.6測評指導書開發 88

9.6.1測評指導書概述 88

測評指導書應具備測評對象、測評指標、測評實施（具體方法/操作步驟/記錄內容）和預期結果等四要素，其中，測評對象和測評指標的組合確定具體的評內容，測評實施用於獲取原始證據，預期結果則用於結果判定，四個要素缺一不可。
測評指導書通常分爲技術和管理兩大類。
技術類測評指導書主要以測評對象爲基本單元，如測評指導書可以細分爲機房（物理）安全測評指導書、服務器安全測評指導書、終端安全測評指導書、網絡安全測評指導書和應用安全類測評指導書。其中，網絡安全測評指導書又可以進一步細分爲全局測評指導書和特定對象（類）測評指導書，前者關注涉及通信網絡整體安全的測評指標，後者關注安全通信網絡和安全區域邊界對象共有或者某對象特有的測評指標。技術類指導書的測評實施中以覈查（安全配置覈查）爲主，包含部分訪談和測評，處於實施的考慮可以把攻擊測試的相關內容從上述指導書抽取出來，以工具爲組織單元單獨成冊。
管理類測評指導書可以以安全分類如安全管理制度、安全管理機構等爲組織單元，也可以合併爲單一指導書。

9.6.2測評指導書的開發要求 89

9.6.3測評指導書開發說明 89

9.7測評方案文本編制 91

9.7.1概述 91

9.7.2測評方案架構 92

9.7.3測評方案編寫說明 92

9.7.4測評方案編制示例 94

9.8常見問題及解決方法 102

第10章安全技術測評 104

10.1安全物理環境測評 104

10.1.1物理位置選擇 104

10.1.2物理訪問控制 104

10.1.3防盜竊和防破壞 105

10.1.4防雷擊 105

10.1.5防火 106

10.1.6防水和防潮 106

10.1.7防靜電 107

10.1.8溫溼度控制 107

10.1.9電力供應 108

10.1.10電磁防護 109

10.2安全通信網絡測評 109

10.2.1網絡架構 109

10.2.2通信傳輸 110

10.2.3可信驗證 111

10.3安全區域邊界測評 112

10.3.1邊界防護 112

10.3.2訪問控制 112

10.3.3入侵防範 113

10.3.4惡意代碼和垃圾郵件防範 114

10.3.5安全審計 115

10.3.6可信驗證 115

10.4安全計算環境測評 116

10.4.1身份鑑別 116

10.4.2訪問控制 117

10.4.3安全審計 118

10.4.4入侵防範 118

10.4.5惡意代碼防範 119

10.4.6可信驗證 120

10.4.7數據完整性 121

10.4.8數據保密性 121

10.4.9數據備份恢復 122

10.4.10剩餘信息保護 122

10.4.11個人信息保護 123

10.5安全管理中心測評 123

10.5.1 系統管理 123

10.5.2審計管理 124

10.5.3安全管理 124

10.5.4集中管控 125

第11章安全管理測評 127

11.1安全管理制度 127

11.1.1安全策略 127

11.1.2管理制度 128

11.1.3制定和發佈 128

11.1.4評審和修訂 129

11.2安全管理機構 129

11.2.1崗位設置 130

11.2.2人員配備 130

11.2.3授權和審批 131

11.2.4溝通和合作 131

11.2.5審覈和檢查 132

11.3安全管理人員 132

11.3.1人員錄用 133

11.3.2人員離崗 133

11.3.3安全意識教育和培訓 133

11.3.4外部人員訪問管理 134

11.4安全建設管理 134

11.4.1定級和備案 135

11.4.2安全方案設計 136

11.4.3產品採購和使用 136

11.4.4自行軟件開發 137

11.4.5外包軟件開發 137

11.4.6工程實施 137

11.4.7測試驗收 138

11.4.8系統交付 138

11.4.9等級測評 139

11.4.10服務供應商管理 139

11.5安全運維管理 140

11.5.1環境管理 141

11.5.2資產管理 141

11.5.3介質管理 142

11.5.4設備維護管理 142

11.5.5漏洞和風險管理 142

11.5.6網絡和系統安全管理 143

11.5.7惡意代碼防範管理 143

11.5.8配置管理 144

11.5.9密碼管理 144

11.5.10變更管理 144

11.5.11備份與恢復管理 145

11.5.12安全事件處置 145

11.5.13應急預案管理 146

11.5.14外包運維管理 146

第12章測評報告編制 147

12.1工作流程 147

5個主要任務：

每個任務的輸入、輸出產品

表格版：

12.2單項測評結果判定 148

1）針對每個測評項，分析該測評項所對抗的威脅在被測定級對象中是否存在，如果不存在，則該測評項應標爲不適用項。對於適用項，則
2）分析單個測評項是否有多方面的要求內容，針對每一方面的要求內容，將一個或多個測評證據與要求內容的預期測評結果相比較；
3）如果測評證據表明所有要求內容與預期測評結果一致，則判定該測評項的單項測評結果爲滿分；
4）如果測評證據表明所有要求內容與預期測評結果不完全一致，則應根據測評項的具體內容和測評證據情況具體問題具體分析，舉例說明如下：
——測評項包含一方面要求內容，且是針對一個測評對象的，則單項測評結果應判定爲0分。
——測評項包含一方面要求內容，且測評項內容是針對多個測評對象的，則單項測評結果可判定爲0.5分。
——測評項包含多方面要求內容，但要求內容之間具有密切關聯關係，且是針對一個測評對象的，則單項測評結果應判定爲0分。
——測評項包含多方面要求內容，且要求內容之間相對獨立。應針對每一方面要求內容進行判定，若存在有的方面要求內容符合要求，有的不符合要求，則單項測評結果可判定爲0.5分。
5）如果測評證據表明所有要求內容與預期測評結果均不一致，則判定該測評項的單項測評結果爲0分。
本任務中涉及到的輸出主要是各個測評對象對應的單項測評結果。

12.3整體測評結果分析 149

主要工作主要是針對那些部分符合和不符合要求的測評項展開綜合分析，包括安全控制間、區域間/層面間的安全測評，根據綜合分析結果修正安全問題風險等級。
本任務中步及到的輸出主要是整體測評結果描述以及修正後的安全問題彙總。

12.4安全問題風險分析 150

主要任務是測評人員根據等級保護的相關規範和標準，採用風險分析的方法分析等級測評結果中存在的安全問題可能對被測定級對象安全造成的影響。
本任務中涉及到的輸出主要是風險分析過程及結果描述。

12.5等級測評結論形成 150

測評人員在單項測評結果彙總、風險分析的基礎上，找出系統保護基本要求之間的差距，並根據等級測評結論判定原則形成等級測評結論。
70分爲界，以下爲差，以上每10分一個等級中、良、優。

12.6測評報告文本編制 150

內部評審時應重點關注以下幾點：
·測評結果判定的準確性；
·測評結果理解和解釋所需的信息的清晰、充足、正確和準確性；
·整體測評結果分析的合理性；
·風險分析方法的可行型和合理性；
·測評結果彙總與問題分析的正確性；
·測評結論的準確性；
·文本結構和內容與《等級測評報告模板》的一致性；
·報告審覈、批准與簽發過程的規範性。
本任務中涉及到的輸出主要是《測評報告》

12.6.1測評報告架構 150

應包括以下內容：等級測評結論、總體評價、主要安全問題及整改建議、測評項目概述、被測對象描述，單項測評結果分析，整體測評結果分折、安全問題風險分析、等級測評結論、安全問題整改建議等。若被測對象構建在雲計算平臺上，還應包括等級測評結論擴展表（雲計算安全）；若被測對象爲大數據相關定級對象，還應包括等級測評結論擴展表（大數據安全）。
“測評項目概述”部分描述測評項目目的、測評依據、測評過程等項目有關的基本信息，幫助讀者瞭解測評報告的編制背景。
“被測對象描述”部分重點描述被測系統與等級測評工作相關的基本情況，包括被測對象的定級結果、承載業務以及採用的新技術新應用、網絡結構情況、測評指標、測評對象等。
“單項測評結果分析”部分針對被測定級對象在各個方面所採取的安全控制措施以及存在的問題進行分析。
“整體對評結果分析”部分描述針對單項測評結果中的不符合和部分符合項從安全控制間及區域間/層面間/等方面對單項測評的結果進行驗證、分析和整體評價的過程；
“安全問題風險分析”針對存在的安全問題進行風險評估。
“等級測評結論”部分描述定級對象的等級測評結論。
“安全問題整改建議”部分描述針對系統存在的安全問題提出安全建設整改建議。

等保中級測評師複習大綱2019版