简介这份等保测评服务方案文档面向信息安全从业者、系统运维人员及需要开展等级保护工作的企业技术负责人围绕信息系统定级备案与测评实施提供完整参考。内容涵盖定级对象确定、专家评审、公安机关备案等流程并系统梳理物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复、安全管理机构与制度、人员安全、系统建设与运维管理、渗透测试等测评维度同时列出GB/T 22239-2008、GB/T 28448-2012等主要依据标准。资源包内含1个doc文件整体约1.07MB结构清晰便于按章节查阅。文档还给出测评准备、方案编制、现场测评、分析与报告编制四阶段流程以及安全整改与复测评三阶段安排并附有被测系统描述、网络拓扑、设备清单与安全管理文档示例可帮助读者快速理解等保测评全貌为安全整改与信息化建设提供可落地的参考依据。目前已有989人学习下载。1. 等保测评服务方案到底交付什么从一份 .doc 说起很多同行第一次拿到“等保测评服务方案.doc”这类文件时第一反应是“这不就是个 Word 模板吗”。但真正做过二级、三级系统测评的人知道这份文档的价值不在排版而在于它把定级、备案、现场测评、复测评这条链路里的测评指标、测评对象、配合需求全部对齐了。换句话说它是一份可以照着排期、照着分工、照着收资料的作战地图。这份资源适合三类人刚接手等保项目的安全服务工程师、需要配合测评的系统运维人员、以及要编写投标技术方案的售前。它解决的核心问题是让你知道每个安全子类该访谈谁、查什么设备、要什么文档而不是到了现场才发现漏了机房出入记录或者防火墙策略截图。下面我按实际落地顺序把这份方案拆成能直接抄作业的步骤。2. 定级与备案S/A/G 三要素怎么判、备案表怎么填定级是等保测评的起点也是翻车最多的地方。很多项目卡在“系统到底定二级还是三级”上反复扯皮根因是没把**保密性S、完整性I、可用性A**这三个属性拆开单独判。这份方案里给了一张调研表要求分别填写数据泄露、篡改丢失、系统中断造成的影响这个思路是对的——因为定级看的是“受侵害的客体”和“侵害程度”不是拍脑袋。2.1 定级对象和等级的判定逻辑定级第一步是确定定级对象。常见做法是一个独立运行、承载独立业务的信息系统算一个对象如果多个子系统共用同一套网络和主机且业务不可分割可以合并定级。方案里列了三个 XX 系统分别标注 SXAXGX这里的 X 是待填的等级值。判定时按这个顺序走确定系统所属类型业务信息类 / 系统服务类分别判定 S、A、G 三个属性的等级取三者中的最高值作为系统等级。我一般会提醒用户不要因为“数据不敏感”就把 S 判低鉴别信息和管理数据泄露同样可能引发法律纠纷。方案里明确写了“数据泄露是否会引起法律纠纷和导致财产损失”这就是判 S 的实操依据。2.2 备案流程与材料清单定级报告出来后下一步是到地市级以上公安机关备案。方案里写的流程是信息系统备案 → 受理 → 审核 → 备案信息管理。实际配合时用户需要准备的材料我整理成下面这张表照着收就不会漏材料名称用途常见问题信息系统安全等级保护备案表公安机关受理凭证系统名称与定级报告不一致定级报告说明定级理由和过程缺少专家评审意见专家评审意见证明定级经过评审评审专家签字缺失主管部门审批意见证明上级已批准审批日期晚于备案日期系统拓扑图辅助说明系统边界拓扑与实际设备不符提示备案表里的“系统服务保护等级”和“业务信息保护等级”要分别填写不要只写一个总等级否则审核会被退回。协助定级时我习惯先让用户把系统开发人员、运维人员、使用人员的访问权限列清楚再对照方案里的调研表逐项确认。这一步做扎实后面测评时访谈对象和范围就不会跑偏。3. 测评指标拆解二级 66 项、三级 73 项怎么落到具体对象测评指标是这份方案里最硬核的部分。方案给出了二级和三级的安全控制指标数量二级合计 66 项三级合计 73 项按技术和管理两大类分。很多人看到数字就头大其实只要把指标和测评对象对应起来工作量是可控的。3.1 技术指标与管理指标的分布先看方案里的两张表。二级测评中安全技术类包括物理安全 10 项、网络安全 6 项、主机系统安全 6 项、数据安全及备份恢复 3 项、应用安全 7 项安全管理类包括安全管理制度 3 项、安全管理机构 5 项、人员安全管理 5 项、系统建设管理 9 项、系统运维管理 12 项。三级在网络安全、主机系统安全、数据安全及备份恢复、系统建设管理、系统运维管理上都有增加。这个分布说明一个事级别越高管理和运维的权重越大。二级项目里技术测评占大头三级项目里运维管理 13 项、建设管理 11 项光靠技术手段过不了。我一般会建议用户提前两个月开始补运维记录否则现场访谈时拿不出东西。3.2 测评对象清单的建立方法方案里把测评对象分成机房、业务软件、主机、数据库、网络与安全设备、安全管理文档六类。建立清单时我习惯用下面这个脚本从资产表里快速筛出需要纳入测评的设备避免手工漏项# 从资产清单 CSV 中筛选等保测评对象 # 输入assets.csv包含 name, type, level, ip 四列 import csv # 需要纳入测评的设备类型关键词 TARGET_TYPES [核心交换机, 汇聚交换机, 接入交换机, 防火墙, 入侵防御, Web应用防火墙, 应用服务器, 数据库服务器] def filter_assets(input_file): targets [] with open(input_file, newline, encodingutf-8) as f: reader csv.DictReader(f) for row in reader: # 按设备类型匹配重要程度为“非常重要”和“重要”的优先 if any(kw in row[type] for kw in TARGET_TYPES): targets.append(row) return targets if __name__ __main__: result filter_assets(assets.csv) for item in result: print(f{item[name]} | {item[type]} | {item[ip]})这段代码的逻辑很简单读资产表按设备类型关键词过滤。参数TARGET_TYPES可以根据实际项目增删比如有的项目还有负载均衡、堡垒机就加进去。输出结果直接作为测评对象清单的初稿再人工核对一遍重要程度即可。注意方案里把“核心交换机”标为非常重要“接入交换机”标为一般但测评时接入交换机同样要查访问控制策略不能因为重要程度低就跳过。4. 现场测评实施物理、网络、主机、应用、数据五层怎么查现场测评是等保项目里最耗人力的环节。方案把实施分成访谈、检查、测试三种方法并按物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复五个层面展开。下面按层面说操作要点。4.1 物理安全和网络安全的外场检查物理安全涉及 10 个安全子类测评对象就是机房。访谈物理安全负责人时我一般按方案里的配合需求表逐项要材料房屋建筑资料、出入登记记录、防盗报警运行记录、防雷检测报告、消防验收文档、温湿度记录、UPS 维护记录。这里最容易翻车的是出入登记记录不完整——比如只有来访登记没有陪同人签字或者电子门禁记录导不出来。遇到这种情况现场就得让机房管理员补说明否则这一项只能判不符合。网络安全涉及 6 个工作单元测评对象是网络设备、安全设备和拓扑结构。结构安全要查网段划分和隔离访问控制要查防火墙策略安全审计要查设备日志。我通常会让网络管理员现场登录核心交换机执行下面这类命令确认审计配置# 以常见网络设备为例查看日志和审计相关配置 # 查看日志服务器配置 show logging # 查看当前登录用户和权限 show users # 查看访问控制列表 show access-lists命令本身不复杂关键是看输出里有没有配置日志主机、有没有对登录失败做记录。方案里明确要求“审计记录保护情况”如果日志只存在本地且可被普通管理员删除这一项就不符合。4.2 主机、应用、数据层的上机核查主机安全涉及 7 个安全子类测评对象是管理终端和管理支撑服务器。身份鉴别要查本地安全策略访问控制要查账户和文件权限安全审计要查审核策略。我一般让系统管理员提前打开“本地安全策略”和“事件查看器”现场逐项对照。应用安全涉及 7 个工作单元重点查身份鉴别、访问控制、安全审计、通信完整性、通信保密性、软件容错、资源控制。这里需要应用系统管理员提供测试账号现场验证登录失败处理、会话超时、权限分离等功能。数据安全及备份恢复涉及 3 个工作单元数据完整性、数据保密性、安全备份和恢复。方案里要求查看软件开发设计方案、中间件配置文件、业务数据备份文件。实操中我习惯让数据库管理员现场执行一次备份恢复演练确认备份文件可用而不是只看备份策略文档。提示应用安全和数据安全的测评高度依赖应用系统管理员配合建议在测评计划里把这两个层面的时间留足避免和主机层挤在同一天。5. 避坑与常见问题定级、指标、配合里的翻车记录等保测评项目做多了会发现翻车点高度集中。下面这五条是我踩过或见别人踩过的坑按“现象 → 原因 → 解决”写出来供对照排查。坑一定级报告和备案表系统名称不一致。现象是公安机关审核退回要求重新提交。原因是定级时用的系统简称备案时用了全称或者反过来。解决方法是定级阶段就统一系统名称并在定级报告、备案表、拓扑图上保持一致后续所有文档沿用同一名称。坑二测评指标选错级别。现象是现场测评做到一半发现按二级指标查的但系统实际定的是三级。原因是定级报告还没批下来就启动了测评。解决方法是等备案证明拿到后再排现场测评或者至少在方案编制阶段确认等级无误。坑三安全管理文档临时补访谈时对不上。现象是访谈安全主管时制度文档的发布日期晚于执行记录日期。原因是制度是测评前突击补的但运维记录是几个月前做的。解决方法是提前梳理现有制度缺什么补什么补的制度要走正式发布流程不要倒签日期。坑四网络设备审计日志只存本地。现象是安全审计项判不符合。原因是设备默认只把日志存在本地缓冲区重启就丢。解决方法是配置日志服务器把核心交换机和防火墙的日志实时外发并限制本地日志删除权限。坑五备份文件从未做过恢复验证。现象是数据安全及备份恢复项扣分。原因是用户只做了备份任务没做过恢复演练。解决方法是现场让管理员从备份文件恢复一个测试库确认备份可用并保留恢复记录。6. 复测评与整改闭环从不符合项到备案证明的最后一公里现场测评结束后如果存在不符合项就进入安全整改和复测评阶段。方案里把复测评分成安全整改、复测评、分析和报告编制三个阶段。这一步的实操技巧是把不符合项按整改难度排序先改配置类再改制度类最后改架构类。配置类整改最快比如关闭不需要的端口、开启登录失败锁定、配置日志外发通常一两天就能完成。制度类整改需要走文档发布流程周期长一些。架构类整改最慢比如增加入侵防御设备、调整网段隔离可能涉及采购和变更窗口。我一般会建议用户在整改阶段就同步准备复测评材料不要等全部改完再约测评师。复测评时测评师会针对原不符合项逐条验证。这里有个技巧每条整改都要有可验证的证据。比如“配置了登录失败处理”证据就是策略截图加一次失败登录的日志记录“补发了制度”证据就是正式发布文件加收发文记录。证据链完整复测评才能一次过。验证整改是否到位我习惯用下面这个检查表逐项打勾不符合项类型验证方式证据形式配置类上机查看策略截图 日志制度类查阅发布记录正式文件 收发文登记架构类查看设备部署拓扑图 设备清单记录类抽查记录完整性登记表 签字最后说个我自己的习惯。从那以后我每次接手等保项目都会在启动会上把定级、备案、测评、整改四个阶段的配合需求表打印出来让用户方每个接口人签字确认。这样到了现场谁该提供什么材料一目了然不会出现“我以为你们有”的扯皮。等保测评说到底是个证据链工程方案给的是框架真正决定成败的是每个环节的落地细节。希望帮到你。本文还有配套的精品资源点击获取