信息安全技术网络安全等级保护测评要求第1部分 安全通用要求编制说明.docx

word
word
2 / 15
word
信息安全技术网络安全等级保护测评要求
第1局部：安全通用要求
编制说明
概述
任务来源
《信息安全技术信息系统安全等级保护测评要求》于2012年成为国家标准，标准号为GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安全等级保护的检测评估工作。但是随着信息技术的开展，尤其云计算、移动互联网、物联网和大数据等新技术的开展，该标准在时效性、易用性、可操作性上还需进一步提高，2013年公安部第三研究所联合中国电子技术标准化研究院和神州绿盟科技向安标委申请对GB/T 28448-2012进展修订。
根据全国信息安全标准化技术委员会2013年下达的国家标准制修订计划，国家标准《信息安全技术信息系统安全等级保护测评要求》修订任务由公安部第三研究所负责主办，项目编号为2013bzxd-WG5-006。
制定本标准的目的和意义
《信息安全等级保护管理方法》〔公通字[2007]43号〕明确指出信息系统运营、使用单位应当承受公安机关、国家指定的专门部门的安全监视、检查、指导，而且等级测评的技术测评报告是其检查内容之一。这就要求等级测评过程规X、测评结论准确、公正与可重现。
《信息安全技术信息系统安全等级保护根本要求》〔GB/T22239-2008〕〔简称《根本要求》〕和《信息安全技术信息系统安全等级保护测评要求》〔GB/T28448-2012〕〔简称《测评要求》〕等标准对近几年来全国信息安全等级保护工作的推动起到了重要的作用。
word
word
2 / 15
word
伴随着IT技术的开展，《根本要求》中的一些内容需要结合我国信息安全等级保护工作的特点，结合信息技术开展尤其是信息安全技术开展的特点，比如无线网络的大量使用，数据大集中、云计算等应用方式的普与等，需要针对各等级系统应当对抗的安全威胁和应具有的恢复能力，提出新的各等级的安全保护目标。
作为《根本要求》的姊妹标准，《测评要求》需要同步修订，依据《根本要求》的更新内容对应修订相关的单元测评章节。
此外，《测评要求》还需要吸收近年来的测评实践，更新整体测评方法和测评结论形成方法。
与其他标准的关系
图1 等级保护标准相互关系
从上图可以看出，在等级保护对象实施安全保护过程中，首先利用《信息安全技术信息系统安全等级保护定级指南》〔GB/T 22240-2008〕〔简称“《定级指南》〞〕确定等级保护对象的安全保护等级，然后根据《信息安全技术网络安全等级保护根本要求》系列标准选择安全控制措施，随后利用《信息安全技术信息系统安全等级保护实施指南》
word
word
3 / 15
word
〔简称“《实施指南》〞〕或其他相关标准确定其特殊安全需求，进展等级保护对象的安全规划和建设工作，此后利用《信息安全技术网络安全等级保护测评过程指南》〔GB/T 28449-20XX〕〔简称“《测评过程指南》〞〕来规X测评过程和各项活动，利用《信息安全技术网络安全等级保护测评要求》系列标准来判断安全控制措施的有效性。同时，等级保护整个实施过程又是由《实施指南》来指导的。
在等级保护的相关标准中，《测评要求》系列标准是《根本要求》系列标准的姊妹篇，《测评要求》针对《根本要求》中各要求项，提供了具体测评方法、步骤和判断依据等，是为了确认等级保护对象是否按照《根本要求》中的不同等级的技术和管理要某某施的，而《测评过程指南》如此是规定了开展这些测评活动的根本过程，包括过程、任务与产品等，以指导用户对《测评要求》的正确使用。
标准组成
为了适应移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用情况下网络安全等级保护测评工作的开展，需对GB/T 28448-2012进展修订，修订的思路和方法是针对移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技术、新应用领域提出扩展的测评要求。
对GB/T 28448-2012的修订完成后，测评要求标准成为由多个局部组成的系列标准，目前主要有六个局部：
——GB/T -20XX 信息安全技术网络安全等级保护测评要求第1局部：安全通用要求；
——GB/T -20XX 信息安全技术网络安全等级保护测评要求第2局部：云计算安全扩展要求；
word
word
4 / 15
word
——GB/T -20XX 信息安全技术网络安全等级保护测评要求第3局部：移动互联安全扩展要求；
——GB/T -20XX 信息安全技术网络安全等级保护测评要求第4局部：物联网安全扩展要求；
——GB/T -20XX 信息安全技术网络安全等级保护测评要求第5局部：工控