等级保护安全合规的依据是什么
.jpg)
.jpg)
.jpg)
.jpg)
《管理办法》第十四条规定：信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评；第三级信息系统应当每年至少进行一次等级测评，第四级信息系统应当每半年至少进行一次等级测评，第五级信息系统应当依据特殊安全需求进行等级测评。
测评机构应当依据《管理办法》、《测评机构管理办法》、《测评要求》、《测评过程指南》等国家标准进行等级测评，按照统一制订的《测评报告模版》格式出具测评报告。按照行业标准规范开展安全建设整改的信息系统，可以国家标准为依据开展等级测评，也可以行业标准规范为依据开展等级测评。
等级测评依据的两个主要标准分别是《GB/T28448—2012测评要求》和《GB/T28449—2012测评过程指南》。其中，《测评要求》阐述了《基本要求》中各要求项的具体测评方法、步骤和判断依据等，用来评定信息系统的安全保护措施是否符合《基本要求》。《测评过程指南》规定了开展等级测评工作的基本过程、流程、任务及工作产品等，规范测评机构的等级测评工作，并对在等级测评过程中何时如何使用《测评要求》提出了指导建议。二者共同指导等级测评工作。等级测评的测评对象是已经确定等级的信息系统。特定等级测评项目面对的被测评系统是由一个或多个不同安全保护等级的定级对象构成的信息系统。等级测评实施通常采用的测评方法是访谈、文档审查、配置检查、工具测试、实地查看。
