内容发布更新时间 : 2024/11/6 2:55:30星期一 下面是文章的全部内容请认真阅读。
信息安全技术网络安全等级保护测评要求
第 1 部分：安全通用要求
编制说明
1 1.1
概述 任务来源 《信息安全技术
信息系统安全等级保护测评要求》于
2012 年成为国家标
准，标准号为 GB/T 28448-2012，被广泛应用于各个行业的开展等级保护对象安 全等级保护的检测评估工作。但是随着信息技术的发展，尤其云计算、
移动互联
网、物联网和大数据等新技术的发展，该标准在时效性、易用性、可操作性上还 需进一步提高， 2013 年公安部第三研究所联合中国电子技术标准化研究院和北 京神州绿盟科技有限公司向安标委申请对
根据全国信息安全标准化技术委员会
GB/T 28448-2012 进行修订。 2013 年下达的国家标准制修订计划，
国家标准《信息安全技术 信息系统安全等级保护测评要求》修订任务由公安部 第三研究所负责主办，项目编号为 2013bzxd-WG5-006。 1.2
制定本标准的目的和意义
《信息安全等级保护管理办法》 （公通字 [2007]43 号）明确指出信息系统运 营、使用单位应当接受公安机关、 国家指定的专门部门的安全监督、 检查、指导， 而且等级测评的技术测评报告是其检查内容之一。这就要求等级测评过程规范、 测评结论准确、公正及可重现。
《信息安全技术信息系统安全等级保护基本要求》 （GB/T22239-2008）（简称 《 基本 要求》） 和《 信息 安全 技术信息系统安全 等级保护测评 要求》 （GB/T28448-2012）（简称 《测评要求》）等标准对近几年来全国信息安全等级保 护工作的推动起到了重要的作用。
伴随着 IT 技术的发展，《基本要求》中的一些内容需要结合我国信息安全等 级保护工作的特点， 结合信息技术发展尤其是信息安全技术发展的特点，
比如无
线网络的大量使用，数据大集中、 云计算等应用方式的普及等， 需要针对各等级 系统应当对抗的安全威胁和应具有的恢复能力， 提出新的各等级的安全保护目标。
作为《基本要求》的姊妹标准， 《测评要求》需要同步修订，依据《基本要 求》的更新内容对应修订相关的单元测评章节。
1
此外，《测评要求》还需要吸收近年来的测评实践，更新整体测评方法和测 评结论形成方法。 1.3
与其他标准的关系
《实施指南》 《定级指南》 确定等级保护对 象安全等级
《实施指南》
《测评过程指南》
等级测评
等级保护对象
选择相应的安全
《实施指南》
《测评要求》系列标准
控制措施 《基本要求》系列标准
安全建设整改
《实施指南》 其他相关标准
图 1 等级保护标准相互关系
从上图可以看出，在等级保护对象实施安全保护过程中，首先利用《信息安
全技术信息系统安全等级保护定级指南》 （GB/T 22240-2008）（简称“《定级指南》”确定等级保护对象的安全保护等级， 然后根据《信息安全技术网络安全等级保护 基本要求》 系列标准选择安全控制措施，随后利用 《信息安全技术信息系统安全 等级保护实施指南》（简称“《实施指南》”）或其他相关标准确定其特殊安全需求， 进行等级保护对象的安全规划和建设工作， 此后利用《信息安全技术网络安全等 级保护测评过程指南》 （GB/T 28449-20XX）（简称“《测评过程指南》”）来规范 测评过程和各项活动，利用 《信息安全技术网络安全等级保护测评要求》系列标 准来判断安全控制措施的有效性。同时，等级保护整个实施过程又是由 《实施指
南》来指导的。
在等级保护的相关标准中， 《测评要求》系列标准是《基本要求》系列标准 的姊妹篇，《测评要求》针对《基本要求》中各要求项，提供了具体测评方法、 步骤和判断依据等，是为了确认等级保护对象是否按照《基本要求》
中的不同等 级的技术和管理要求实施的，而 《测评过程指南》 则是规定了开展这些测评活动 的基本过程， 包括过程、 任务及产品等， 以指导用户对 《测评要求》 的正确使用。 1.4
标准组成
为了适应移动互联、虚拟计算、云计算、物联网、工控系统和大数据等新技
2
） 术、新应用情况下网络安全等级保护测评工作的开展，需对 GB/T 28448-2012 进
行修订，修订的思路和方法是针对移动互联、虚拟计算、云计算、物联网、工控 系统和大数据等新技术、新应用领域提出扩展的测评要求。
对GB/T 28448-2012 的修订完成后， 测评要求标准成为由多个部分组成的系 列标准，目前主要有六个部分：
——GB/T 28448.1-20XX 信息安全技术网络安全等级保护测评要求第 分：安全通用要求；
——GB/T 28448.2-20XX 信息安全技术网络安全等级保护测评要求第 分：云计算安全扩展要求；
——GB/T 28448.3-20XX 信息安全技术网络安全等级保护测评要求第 分：移动互联安全扩展要求；
——GB/T 28448.4-20XX 信息安全技术网络安全等级保护测评要求第 分：物联网安全扩展要求；
——GB/T 28448.5-20XX 信息安全技术网络安全等级保护测评要求第 分：工控控制安全扩展要求；
——GB/T 28448.6-20XX 信息安全技术网络安全等级保护测评要求第 分：大数据安全扩展测评要求。 2
编制过程
1）2013 年 12 月，公安部第三研究所、中国电子技术标准化研究院和北京 神州绿盟科技有限公司成立了《信息安全技术 准编制组。
2）2014 年 1 月至 5 月，标准编制组按照计划调研了国际和国内无线接入、 虚拟计算、云计算平台、大数据应用和工控系统应用等新技术、新应用的情况， 分析并总结了新技术和新应用中的安全关注点和要素； 同时标准编制组调研了与 《信息安全技术 信息系统安全等级保护测评要求》 (GB/T 28448-2012) 相关的其 他国家标准和行业标准，分析了《信息安全技术
信息系统安全等级保护基本要 信息安全等级保护测评要求》标
6 部 5 部 4 部 3 部 2 部 1 部
求》(GB/T 22239-2008) 的修订可能对其产生的影响。
3）2014 年 5 月，为适应无线移动接入、虚拟计算环境、云计算平台应用、 大数据应用和工控系统应用等新技术、 新应用的情况下等级保护工作开展， 公安 部十一局牵头会同有关部门组织 2014 年新领域的国家标准立项，根据新标准立
3