6.2　方案編制活動主要任務

6.2.1　測評對象確定

根據系統調查結果，分析整個被測定級對象業務流程、數據流程、范圍、特點及各個設備及組件的主要功能，確定出本次測評的測評對象。

輸入：填好的調查表格，各種與被測定級對象相關的技術資料。

任務描述：

a) 識別并描述被測定級對象的整體結構

根據調查表格獲得的被測定級對象基本情況，識別出被測定級對象的整體結構并加以描述。

b) 識別并描述被測定級對象的邊界

根據填好的調查表格，識別出被測定級對象邊界及邊界設備并加以描述。

c) 識別并描述被測定級對象的網絡區域

一般定級對象都會根據業務類型及其重要程度將定級對象劃分為不同的區域。根據區域劃分情況描述每個區域內的主要業務應用、業務流程、區域的邊界以及它們之間的連接情況等。

d) 識別并描述被測定級對象的主要設備

描述系統中的設備時以區域為線索，具體描述各個區域內部署的設備，并說明各個設備主要承載的業務、軟件安裝情況以及各個設備之間的主要連接情況等。

e) 確定測評對象

結合被測定級對象的安全級別和重要程度，綜合分析系統中各個設備和組件的功能、特點，從被測定級對象構成組件的重要性、安全性、共享性、全面性和恰當性等幾方面屬性確定出技術層面的測評對象，并將與被測定級對象相關的人員及管理文檔確定為測評對象。測評對象確定準則和樣例見附錄B。

f) 描述測評對象

描述測評對象時，根據類別加以描述，包括機房、業務應用軟件、主機操作系統、數據庫管理系統、網絡互聯設備、安全設備、訪談人員及安全管理文檔等。

輸出/產品：測評方案的測評對象部分。

6.2.2　測評指標確定

根據被測定級對象定級結果確定出本次測評的基本測評指標，根據測評委托單位及被測定級對象業務自身需求確定出本次測評的特殊測評指標。

輸入：填好的調查表格，GB17859，GB/T 22239，行業規范，業務需求文檔。

任務描述：

a) 根據被測定級對象的定級結果，包括業務信息安全保護等級和系統服務安全保護等級，得出被測定級對象的系統服務保證類（A類）基本安全要求、業務信息安全類（S類）基本安全要求以及通用安全保護類（G類）基本安全要求的組合情況。

b) 根據被測定級對象的A類、S類及G類基本安全要求的組合情況，從信息安全技術 網絡安全等級保護基本要求各部分標準、行業規范中選擇相應等級的基本安全要求作為基本測評指標。

c) 根據被測定級對象實際情況，確定不適用測評指標。

d) 根據測評委托單位及被測定級對象業務自身需求，確定特殊測評指標。

e) 對確定的基本測評指標和特殊測評指標進行描述，并分析給出指標不適用的原因。

輸出/產品：測評方案的測評指標部分。

6.2.3　測評內容確定

本部分確定現場測評的具體實施內容，即單項測評內容。

輸入：填好的系統調查表格，測評方案的測評對象部分，測評方案的測評指標部分。

任務描述：

依據GB/T 22239，將前面已經得到的測評指標和測評對象結合起來，將測評指標映射到各測評對象上，然后結合測評對象的特點，說明各測評對象所采取的測評方法。如此構成一個個可以具體實施測評的單項測評內容。測評內容是測評人員開發測評指導書的基礎。

輸出/產品：測評方案的測評實施部分。

6.2.4　工具測試方法確定

在等級測評中，需要使用測試工具進行測試，測試工具可能用到漏洞掃描器、滲透測試工具集、協議分析儀等。物聯網、移動互聯、工業控制系統的補充測試內容見附錄D。

輸入：測評方案的測評實施部分，GB/T 22239，選用的測評工具清單。

任務描述：

a) 確定工具測試環境，根據被測系統的實時性要求，可選擇生產環境或與生產環境各項安全配置相同的備份環境、生產驗證環境或測試環境作為工具測試環境。

b) 確定需要進行測試的測評對象。

c) 選擇測試路徑。一般來說，測試工具的接入采取從外到內，從其他網絡到本地網絡的逐步逐點接入，即：測試工具從被測定級對象邊界外接入、在被測定級對象內部與測評對象不同區域網絡及同一網絡區域內接入等幾種方式。

d) 根據測試路徑，確定測試工具的接入點。

從被測定級對象邊界外接入時，測試工具一般接在系統邊界設備（通常為交換設備）上。在該點接入漏洞掃描器，掃描探測被測定級對象設備對外暴露的安全漏洞情況。在該接入點接入協議分析儀，捕獲應用程序的網絡數據包，查看其安全加密和完整性保護情況。在該接入點使用滲透測試工具集，試圖利用被測定級對象設備的安全漏洞，跨過系統邊界，侵入被測定級對象設備。

從系統內部與測評對象不同網絡區域接入時，測試工具一般接在與被測對象不在同一網絡區域的內部核心交換設備上。在該點接入掃描器，直接掃描測試內部各設備對本單位其他不同網絡所暴露的安全漏洞情況。在該接入點接入網絡拓撲發現工具，探測定級對象的網絡拓撲情況。

在系統內部與測評對象同一網絡區域內接入時，測試工具一般接在與被測對象在同一網絡區域的交換設備上。在該點接入掃描器，在本地直接測試各被測設備對本地網絡暴露的安全漏洞情況。一般來說，該點掃描探測出的漏洞數應該是最多的，它說明設備在沒有網絡安全保護措施下的安全狀況。

a) 結合網絡拓撲圖，描述測試工具的接入點、測試目的、測試途徑和測試對象等相關內容。

輸出/產品：測評方案的工具測試方法及內容部分。

6.2.5　測評指導書開發

測評指導書是具體指導測評人員如何進行測評活動的文檔，是現場測評的工具、方法和操作步驟等的詳細描述，是保證測評活動規范的根本。因此，測評指導書應當盡可能詳盡、充分。

輸入：測評方案的單項測評實施部分、工具測試內容及方法部分。

任務描述：

a) 描述單個測評對象，包括測評對象的名稱、位置信息、用途、管理人員等信息。

b) 根據GB/T 28448的單項測評實施確定測評活動，包括測評項、測評方法、操作步驟和預期結果等四部分。

測評項是指GB/T 22239中對該測評對象在該用例中的要求，在GB/T 28448中對應每個單項測評中的“測評指標”。測評方法是指訪談、核查和測試三種方法，具體參見附錄E。核查具體到測評對象上可細化為文檔審查、實地察看和配置核查，每個測評項可能對應多個測評方法。操作步驟是指在現場測評活動中應執行的命令或步驟，涉及到測試時，應描述工具測試路徑及接入點等。預期結果是指按照操作步驟在正常的情況下應得到的結果和獲取的證據。

b) 單項測評一般以表格形式設計和描述測評項、測評方法、操作步驟和預期結果等內容。整體測評則一般以文字描述的方式表述，以測評用例的方式進行組織。

c) 根據測評指導書，形成測評結果記錄表格。

輸出/產品：測評指導書，測評結果記錄表格。

6.2.6　測評方案編制

測評方案是等級測評工作實施的基礎，指導等級測評工作的現場實施活動。測評方案應包括但不局限于以下內容：項目概述、測評對象、測評指標、測評內容、測評方法等等。

輸入：委托測評協議書，填好的調研表格，各種與被測定級對象相關的技術資料，選用的測評工具清單，GB/T 22239或行業規范中相應等級的基本要求，測評方案的測評對象、測評指標、單項測評實施部分、工具測試方法及內容部分等。

任務描述：

a) 根據委托測評協議書和填好的調研表格，提取項目來源、測評委托單位整體信息化建設情況及被測定級對象與單位其他系統之間的連接情況等。

b) 根據等級保護過程中的等級測評實施要求，將測評活動所依據的標準羅列出來。

c) 參閱委托測評協議書和被測定級對象情況，估算現場測評工作量。工作量根據測評對象的數量和工具測試的接入點及測試內容等情況進行估算。

d) 根據測評項目組成員安排，編制工作安排情況。

e) 根據以往測評經驗以及被測定級對象規模，編制具體測評計劃，包括現場工作人員的分工和時間安排。

f) 匯總上述內容及方案編制活動的其他任務獲取的內容形成測評方案文稿。

g) 評審和提交測評方案。測評方案初稿應通過測評項目組全體成員評審，修改完成后形成提交稿。然后，測評機構將測評方案提交給測評委托單位簽字認可。

h) 根據測評方案制定風險規避實施方案。

輸出/產品：經過評審和確認的測評方案文本，風險規避實施方案文本。