《信息安全等級保護測評報告》包含內容
對于企業(yè)來(lái)說(shuō)，落實(shí)等級保護，重點(diǎn)關(guān)注的往往有三個(gè)文件：一是《信息系統等級保護備案證明》；二是《信息安全等級保護測評報告》；三是整改報告/清單。由于《信息安全等級保護測評報告》直接表明企業(yè)信息系統是否符合等保要求，而且內容也較多，今天我們就來(lái)跟大家分享一下《信息安全等級保護測評報告》的具體內容。
總的來(lái)說(shuō)，一個(gè)完整的測評報告，包含的內容有：報告編號、信息系統等級測評基本信息表、聲明、等級測評結論、總體評價(jià)、主要安全問(wèn)題、問(wèn)題處置建議。
其中，等級測評報告編號為四組數據，如1100092700400001-19-4105-01。第一組為信息系統備案表編號，第二組為年份，第三組為測評機構代碼，第四組為本年度信息系統測評次數。信息系統等級測評基本信息表主要是關(guān)于信息系統、被測單位、測評單位的描述。聲明是測評機構對測評報告的有效性前提、測評結論的適用范圍以及使用方式等有關(guān)事項的陳述。針對特殊情況下的測評工作，測評機構可增加特殊聲明。
我們重點(diǎn)來(lái)說(shuō)一下等級測評結論、總體評價(jià)、主要安全問(wèn)題和問(wèn)題處置建議。
等級測評結論一般如下表所示：
| 測評結論和綜合得分 | ||||
| 被測對象名稱(chēng) | ××系統 | 安全保護等級 | 第二級（S2A2） | |
|
等級保護 對象形態(tài) |
√傳統IT系統 √云計算 □采用移動(dòng)互聯(lián)技術(shù)的系統 □物聯(lián)網(wǎng) □工業(yè)控制系統 □大數據 □其他系統 | |||
| 被測對象描述 | ××系統在線(xiàn)服務(wù)應用，能進(jìn)一步提供給用戶(hù)制定升學(xué)規劃，方便用戶(hù)更加注地學(xué)習專(zhuān)業(yè)技能，不用浪費時(shí)間在篩選學(xué)校及專(zhuān)業(yè)上。 | |||
| 測評工作描述 | 安徽靈狐網(wǎng)絡(luò )科技有限公司成立于200×年6月，是一家專(zhuān)門(mén)從事計算機網(wǎng)絡(luò )安全服務(wù)的專(zhuān)業(yè)安全公司。目前公司擁有由極富信息安全實(shí)踐經(jīng)驗和鑒定經(jīng)驗的專(zhuān)家、具有頂尖資質(zhì)的信息安全精英組成的技術(shù)、管理團隊xx余人。本次測評是按照《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護基本要求》（GB/T 22239-2019）第二級信息系統安全要求進(jìn)行安全測評。本測評項目的開(kāi)展經(jīng)歷了測評準備階段、方案編制階段、現場(chǎng)實(shí)施階段、分析與報告編制階段四個(gè)階段，歷時(shí)三個(gè)月左右，投入測評人員8人，使用了多種測評設備/工具。測評內容涵蓋等級保護安全技術(shù)要求的5個(gè)層面和安全管理要求的5個(gè)層面，涉及測評分類(lèi)70類(lèi)。 | |||
| 等級測評結論 | 良 | 綜合得分 | 84.2 | |
總體評價(jià)是測評機構對于本次測評的總體性描述。安徽靈狐科技為幾百家企業(yè)客戶(hù)提供過(guò)等級保護一站式服務(wù)，下面是其中一位企業(yè)級客戶(hù)的測評報告中的總體評價(jià)，安徽靈狐科技以此為例進(jìn)行說(shuō)明：
本次對被測系統實(shí)施的等級測評工作包含兩個(gè)方面的內容：?jiǎn)卧獪y評和整體測評。單元測評主要測評《信息安全技術(shù) 網(wǎng)絡(luò )安全等級保護基本要求》（GB/T 22239-2019）所要求的基本安全控制在被測單位中的實(shí)施和配置情況。整體測評主要測評分析信息系統的整體安全性。匯總第3和第4章的內容，對被測系統實(shí)施單元測評和整體測評分析后，可以得到如下測評結果：
被測系統的物理布局、網(wǎng)絡(luò )結構和業(yè)務(wù)邏輯等在整體結構上合理、安全。在物理上，被測系統的重要設備均部署在具有嚴格訪(fǎng)問(wèn)控制、防火、防水防潮、防破壞等能力的獨立機房?jì)?，并嚴格限制了外部人員的物理訪(fǎng)問(wèn)。在網(wǎng)絡(luò )上，被測系統網(wǎng)絡(luò )邊界采取防火墻隔離實(shí)施邊界防護和訪(fǎng)問(wèn)控制，阿里云控制臺未定期進(jìn)行以及形成漏洞修復方案。操作系統、應用系統、數據庫等各種業(yè)務(wù)應用平臺都采取了基本的身份鑒別、訪(fǎng)問(wèn)控制、審計等安全措施。在入侵防范和惡意代碼防護上，采用防火墻等安全措施。在數據備份方面，重要數據每日備份?？傮w來(lái)看，安全技術(shù)方面具有基本安全保障能力。
在安全管理方面，被測系統所屬單位已經(jīng)建立了基本的信息安全管理體系，建立了相應的安全組織，設置了相應的安全部門(mén)和崗位，制訂了安全管理制度，并在日常管理中依照制度要求執行。信息系統日常運行維護，如外來(lái)人員訪(fǎng)問(wèn)管理、系統安全管理和網(wǎng)絡(luò )安全管理等方面，擁有較完善的流程和規范?？傮w來(lái)看，安全管理方面具有基本安全保障能力。
綜合上述評價(jià)結果，可以看到信息系統中存在安全問(wèn)題，但不會(huì )導致信息系統面臨高等級安全風(fēng)險。因此，本次等級測評結論為：良。
主要安全問(wèn)題主要描述被測信息系統存在的主要安全問(wèn)題及其可能導致的后果，問(wèn)題處置建議則是針對系統存在的主要安全問(wèn)題提出處置建議。如：
通過(guò)本次等級測評，發(fā)現被測系統仍存在一些安全問(wèn)題，主要包括：
安全通信網(wǎng)絡(luò )：1）未采用可信技術(shù)進(jìn)行可信驗證。
整改建議：1）建議采用可信技術(shù)進(jìn)行可信驗證。
安全區域邊界：1）阿里云審計記錄采用阿里云OSS存儲并定期備份，目前審計記錄未保留6個(gè)月。2）未采用可信技術(shù)進(jìn)行可信驗證。
整改建議：1）持續整改直至審計記錄保存6個(gè)月的時(shí)間。2）建議采用可信技術(shù)進(jìn)行可信驗證。
在詳細整理國家相關(guān)等保規范的基礎上，安徽靈狐科技整合云安全產(chǎn)品的技術(shù)優(yōu)勢，聯(lián)合優(yōu)質(zhì)等保咨詢(xún)、等保測評合作資源，為客戶(hù)提供了等保項目的一站式服務(wù)，全面覆蓋等保定級、備案、建設整改以及測評階段，能幫助企業(yè)客戶(hù)高效、合規落實(shí)等級保護，獲得等級保護認證。
