XX信息系统安全等级测评报告(模板).doc

XX系统安全等级测评报告XX部门20XX年X月目 录1.等级测评结论22.总体评价23.主要安全问题24.问题处置建议25.测评工作概述35.1.测评目的35.2.测评依据35.3.测评过程36.被测系统情况36.1.基本信息36.2.业务应用36.3.网络结构36.4.系统构成46.5.安全服务46.6.安全环境威胁评估47.等级测评范围与方法47.1.测评指标47.2.测评对象47.3.测评方法48.单元测评59.整体测评510.总体安全状况分析5附录-等级测评结果记录5信息系统等级测评基本信息表信息系统系统名称安全保护等级备案证明编号测评结论被测单位单位名称单位地址邮政编码联系人姓名职务/职称所属部门办公电话移动电话电子邮件测评单位单位名称单位代码通信地址邮政编码联系人姓名职务/职称所属部门办公电话移动电话电子邮件审核批准编制人(签名)编制日期审核人(签名)审核日期批准人(签名)批准日期1. 等级测评结论描述等级测评总体结论。根据符合性判别依据给出等级测评结论，并计算信息系统的综合得分。等级测评结论应表述为“符合”、“基本符合”或者“不符合”，参考示例如下：测评结论与综合得分系统名称保护等级系统简介（简要描述被测信息系统承载的业务功能等基本情况。建议不超过400字）测评过程简介（简要描述测评范围和主要内容。建议不超过200字。）测评结论综合得分1.2.2. 总体评价根据被测系统测评结果和测评过程中了解的相关信息，对被测信息系统的安全保护状况进行评价。例如可以从安全责任制、管理制度体系、基础设施与网络环境、安全控制措施、数据保护、系统规划与建设、系统运维管理、应急保障等方面分别评价描述信息系统安全保护状况。综合上述评价结果，对信息系统的安全保护状况给出总括性结论。例如：信息系统总体安全保护状况较好。3. 主要安全问题描述被测信息系统存在的主要安全问题及其可能导致的后果。4. 问题处置建议针对系统存在的主要安全问题提出处置建议。5. 测评工作概述1.2.3.4.5.5.1. 测评目的描述信息系统的重要性：通过描述信息系统的基本情况，包括运营使用单位的性质，承载的主要业务和系统服务情况，进一步阐明其在国家安全、经济建设、社会生活中的重要程度，受到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等。描述等级测评工作的基本情况，包括委托单位、测评单位、测评范围及预期。5.2. 测评依据开展测评活动所依据的合同、标准和文件。5.3. 测评过程描述本次等级测评的工作流程，具体内容包括但不限于：测评工作流程图、各阶段完成的关键任务、工作的时间节点。6. 被测系统情况6.1. 基本信息描述被测信息系统的基本情况，包括但不限于：系统的运营使用单位、投入运行时间、承载的业务情况、系统服务情况以及定级情况。6.2. 业务应用描述信息系统承载的业务应用情况。6.3. 网络结构给出被测信息系统的拓扑结构示意图，并基于示意图说明被测信息系统的网络结构基本情况。6.4. 系统构成以列表的形式分类描述信息系统软、硬件以及相关文档的构成情况。6.5. 安全服务描述安全服务情况，包括系统集成、安全集成、安全运维、安全测评、应急响应、安全监测等所有相关安全服务。6.6. 安全环境威胁评估描述被测信息系统的运行环境中与安全相关的部分，并以列表形式给出被测信息系统的威胁列表。7. 等级测评范围与方法7.1. 测评指标测评指标包括基本指标和特殊指标两部分，以列表的形式给出。7.2. 测评对象描述本次等级测评中采用的测评对象选择方法和具体规则，通常采用抽查的方法，兼顾类别与数量。测评对象包括网络互联与安全设备操作系统、业务应用软件、主机操作系统、存储设备操作系统、数据库管理系统、安全相关人员、机房、介质以及管理文档。选择过程中应综合考虑信息系统的安全保护等级、业务应用特点和对象所在具体设备的重要情况等要素，并兼顾工作投入与结果产出两者的平衡关系。其中，主机设备的重要程度由其承载的业务应用和业务数据的重要程度决定；机房、介质 和管理文档不需要抽样。7.3. 测评方法描述本次等级测评工作中采用的测评方法。现场测评方法主要包括访谈、检查和测试等三类，可细分为人员访谈、文档审查、配置核查、现场观测和工具测试等。如果采用工具测试，应给出工具接入示意图，并对测评工具的接入点和预期的测试路径进行描述。8. 单元测评以表格形式分别给出各单元测评对象的现场测评结果汇总信息。针对各单元测评结果中存在的符合项加以分析说明，形成被测系统具备的安全保护措施描述。各单元测评对象包括物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复、安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理以及特殊指标。9. 整体测评描述安全控制间、层面间、区域间和验证测试等方面测评结果汇总信息。10. 总体安全状况分析汇总测评的结果，分析信息系统中存在的主要问题，对这些问题进行系统整体测评分析，包括从安全控制间、层面间、区域间和系统结构等方面进行安全测评。对整体测评后的等级测评结果基于安全子类进行汇总，并以表格形式进行展示。附录-等级测评结果记录以表格形式给出各单元测评对象的现场测评结果。符合程度根据被测信息系统实际保护状况进行赋值，完全符合项赋值为5，其他情况根据被测系统在该测评指标的符合程度赋值为04（取整数值）。参考示例如下：测评对象安全控制点测评指标结果记录符合程度物理位置的选择物理访问控制