等级测评的流程
等级测评的流程
差距测评阶段又分为以下内容:测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动,整改阶段、验收测评阶段。
1、测评准备活动阶段
签订《合作合同》与《保密协议》
首先,被测评单位在选定测评机构后,双方需要先签订《测评服务合同》,合同中对项目范围(系统数量)、项目内容(差距测评?验收测评?协助整改?)、项目周期(什么时间进场?项目计划做多长时间?)、项目实施方案(测评工作的步骤)、项目人员(项目实施团队人员)、项目验收标准、付款方式、违约条款等等内容逐一进行约定。
签订《测评服务合同》同时,测评机构应签署《保密协议》。《保密协议》一般分两种,一种是测评机构与被测单位(公对公)签署,约定测评机构在测评过程中的保密责任;一种是测评机构项目组成员与被测单位之间签署。
项目启动会
在双方签完委托测评合同之后,双方即可约定召开项目启动会时间。项目启动会的目的,主要是由甲方领导对公司内部涉及的部门进行动员、提请各相关部门重视、协调内部资源、介绍测评方项目实施人员、计划安排等内容,为整个等级测评项目的实施做基本准备。
系统情况调研
启动会后,测评方开展调研,通过填写《信息系统基本情况调查表》,掌握被测系统的详细情况,为编制测评方案做好准备。测评准备活动是开展等级测评工作的前提和基础,是整个等级测评过程有效性的保证。测评准备工作是否充分,直接关系到后续工作能否顺利开展。一个二级系统的测评准备工作一般需要1天半,三级系统的准备工作一般需要2天左右完成。
2、测评方案编制阶段
该阶段的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等,并根据需要重用或开发测评实施手册,形成测评方案。方案编制活动为现场测评提供Zui基本的文档依据和指导方案。一个二级系统的方案编制工作一般需要2天左右完成。
3、现场测评阶段
现场测评活动是开展等级测评工作的核心活动,包括技术测评和管理测评。其中技术测评包括: 物理安全、网络安全、主机安全、应用安全、数据安全和备份恢复。管理测评包括:安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理。现场差距测评一般包括访谈、文档审查、配置检查、工具测试和实地察看五个方面。
一个二级系统的现场测评工作一般需要5天左右完成。
此阶段的输出物为物理安全现场测评记录、网络安全现场测评记录、主机安全现场测评记录、应用安全现场测评记录、数据安全和备份恢复现场测评记录、安全管理制度现场测评记录、安全管理机构现场测评记录、人员安全管理现场测评记录、系统建设管理现场测评记录和系统运维管理现场测评记录等。
4、分析与报告编制阶段
此阶段主要任务是根据现场测评结果,通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法,找出整个系统的安全保护现状与相应等级的保护要求之间的差距,并分析这些差距导致被测系统面临的风险,从而给出等级测评结论,形成测评报告文本。一个二级系统的分析和报告编制工作一般需要3-4天左右完成。
此阶段工作不一定需要在客户现场完成。《测评报告》的模板是由公安机关统一制定的。
此阶段的输出物为《某系统等级测评报告》、《某系统整改建议》。
5、整改阶段
主要根据测评机构出具的差距测评报告和整改建议进行整改,此阶段主要由备案单位实施,测评机构协助,客户可以根据自身的实际情况,把整改分为短期、中期、长期。
6、验收测评阶段
测评流程与之前的流程相同,主要是检查整改的效果。
综上,一个二级系统完整的测评一次,在客户方充分配合、测评方派3名测评师的情况下,大致需要四周左右。如果有多个系统同时测评,会存在部分重复工作,具体情况需要具体分析。
- 等保定级工作的主要步骤 2024-11-05
- 如何理解信息系统的五个安全保护等级 2024-11-05
- 如何确定信息系统安全保护等级 2024-11-05
- 网络安全等级保护工作流程 2024-11-05
- 信息系统安全等级保护体系框架 2024-11-05
- 信息系统备案工作的内容和要求 2024-11-05
- 等级保护怎么定级? 2024-11-05
- 法律法规:《信息安全等级保护管理办法》 2024-11-05
- 申请《医疗器械生产许可证》核发、变更、延续时,应当提交哪些材料? 2024-11-05
- 《医疗器械生产许可证》资料提交的相关注意事项 2024-11-05
- 浙江二类医疗器械生产许可证办理流程 2024-11-05
- 《医疗器械生产许可证》如何办理?体系核查可减免吗? 2024-11-05
- 《医疗器械生产许可证》事项办理的要求 2024-11-05
- 江苏申请办理医疗器械生产许可要求 2024-11-05
- 一、二类医疗器械使用范围和规定 2024-11-05