GB/T 28449-2018 信息安全技术网络安全等级保护测评过程指南

范围

• 适用于测评机构、定级对象的主管部门及运营使用单位开展网络安全等级保护测试评价工作
• 规范等保测评工作过程，规定测评活动及工作任务 

引用文件

• GB 17859 计算机信息系统安全保护等级划分准则
• GB/T 22239 信息安全技术 信息系统安全等级保护基本要求
• GB/T 25069 信息安全技术 术语
• GB/T 28448 信息安全技术 信息系统安全等级保护测评要求

等级测评概述

过程概述

• 测评工作过程及任务基于受委托测评机构对定级对象的初次等级测评给出。
• 等级测评过程包括四个基本测评活动：测评准备活动、方案编制活动、现场测评活动、报告编制活动。

• 测评准备活动

• 工作启动
• 信息收集和分析
• 工具和表单准备

• 方案编制活动

• 测评对象确定
• 测评指标确定
• 测评内容确定
• 工具测试方法确定
• 测评指导书开发
• 测评方案编制

• 现场测评活动

• 现场测评准备
• 现场测评和结果记录
• 结果确认和资料归还

• 报告编制活动

• 单项测评结果判定
• 单元测评结果判定
• 整体测评
• 系统安全保障评估
• 安全问题风险分析
• 等级测评结论形成
• 测评报告编制

风险

• 影响系统正常运行的风险

• 现场测评时，需要对设备和系统进行一定的验证测试工作。
• 上级验证查看信息，可能对系统造成一定的影响，甚至存在误操作的可能。
• 使用测试工具进行漏洞扫描测试、性能测试及渗透测试等，可能会对网络和系统的负载造成一定的影响，渗透性攻击测试还可能影响到服务器和系统正常运行，如出现重启、服务中断、渗透过程中植入的代码未完全清理等情况。

• 敏感信息泄露风险

• 测评人员有意或无意泄露被测系统状态信息，如网络拓扑、IP地址、业务流程、业务数据、安全机制、安全隐患和有关文档信息等。

• 木马植入风险

• 测评人员在渗透测试完成后，有意或无意将渗透测试过程中用到的测试工具未清理或清理不彻底，或者测试电脑中带有木马程序，带来在被测系统中植入木马的风险。

风险规避

• 签署委托测评协议。
• 签署保密协议。
• 现场测评之前，测评机构应与相关单位签署现场测评授权书，要求相关方对系统及数据进行备份，并对可能出现的事件制定应急处理方案。
• 测试时，避开业务高峰期，在系统资源处于空闲状态时进行，或配置与生产环境一致的模拟/仿真环境，在模拟/仿真环境下开展漏洞扫描等测试工作。
• 上机验证测试由测评人员提出需要验证的内容，系统运营、使用单位的技术人员进行实际操作。整个现场测评过程要求系统运营、使用单位全程监督。
• 测评现场还原。测评工作完成后，测评人员应将测评过程中获取的所有特权交回，把测评过程中借阅的相关材料文档归还，并将测评环境恢复至测评前状态。

测评准备活动

测评准备活动工作流程

• 目标：顺利启动测评项目，收集定级对象相关材料，准备测评所需资料，为编制测评方案打下良好的基础。
• 活动包括：工作启动、信息收集和分析、工具和表单准备。

测评准备活动主要任务

• 工作启动

• 在工作启动任务中，测评机构组建等级测评项目组，获取测评委托单位及定级对象的基本情况，从基本资料、人员、计划安排等方面为整个等级测评项目的实施做好充分准备。
• 输入：委托测评协议书
• 任务描述：
  • 根据测评双方签订的委托测评协议书和系统规模，CEO机构组建测评项目组，从人员方面做好准备，并编制项目计划书。
  • 测评机构要求测评委托单位提供基本资料，为全面了解被测定级对象准备资料。
• 输出：项目计划书。

• 信息收集和分析

• 测评机构通过查阅被测定级对象已有资料或使用系统调查表格的方式，了解整个系统的构成和保护情况以及责任部门相关情况，为编写测评方案、开展现场测评和安全评估工作奠定基础。
• 输入：项目计划书，系统调查表格，被测定级对象相关资料。
• 任务描述：
  • 测评机构收集等级测评需要的相关资料，包括测评委托单位的管理架构、技术体系、运行情况、建设方案、建设过程中相关测试文档等。
  • 测评机构将系统调查表格提交给测评委托单位，督促被测定级对象相关人员准确填写调查表格。
  • 测评机构收回填写完成的调查表格，并分析调查结果，了解和熟悉被测定级对象的实际情况。这些信息可以参考自查报告或上次等级测评报告结果。
  • 分析信息时，可采用：
    • 采用系统分析方法对整体网络结构和系统组成进行分析，包括网络结构、对外边界、定级对象的数量和级别、不同的安全保护等级定级对象的分布情况和承载应用情况等；
    • 采用分解与综合分析方法对定级对象边界和系统构成组件进行分析，包括物理与逻辑边界、硬件资源、软件资源、信息资源等；
    • 采用对比与类比分析方法对定级对象的相互关联进行分析，包括应用架构方式、应用处理流程、处理信息类型、业务数据处理流程、服务对象、用户数量等。
  • 如果调查表格信息填写存在不准确、不完善或有相互矛盾的地方，测评机构应与填表人进行沟通和确认，必要时安排一次现场调查，与相关人员进行面对面的沟通和确认，确保系统信息调查的准确性和完整性。
• 输出：填好的调查表格，各种与被测定级对象相关的技术资料。

• 工具和表单准备

• 测评项目组成员在进行现场测评之前，应熟悉被测定级对象、调试测评工具、准备各种表单等。
• 输入：填好的调查表格，各种与被测定级对象相关的技术资料。
• 任务描述：
  • 测评人员调试本次测评过程中将用到的工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。
  • 测评人员在测评环境模拟被测定级对象架构，为开发相关的网络及主机设备等测评对象测评指导书做好准备，并进行必要的工具验证。
  • 准备和打印表单，主要包括：风险告知书、文档交接单、会议记录表单、会议签到表单等。
• 输出：选用的测评工具清单，打印的各类表单。

测评准备活动输出文档

• 工作启动

• 项目计划书。
• 项目概述、工作依据、技术思路、工作内容和项目组织等。

• 信息收集和分析

• 填好的调查表格，各种与被测定级对象相关的技术资料。
• 被测定级对象的安全保护等级、业务情况、数据情况、网络情况、软硬件情况、管理模式和相关部门及角色等

• 工具和表单准备

• 选用的测评工具清单，打印的各类表单：风险告知书、文档交接单、会议记录表单、会议签到表单
• 风险告知、交接文档名称、会议记录、会议签到表

测评准备活动双方职责

• 测评机构职责

• 组建等级测评项目组。
• 指出测评委托单位应提供的基本资料。
• 准备被测定级对象基本情况调查表格，并提交给测评委托单位。
• 向测评委托单位介绍安全测评工作流程和方法。
• 向测评委托单位说明测评工作可能带来的风险和规避方法。
• 了解测评委托单位的信息化建设以及被测定级对象的基本情况。
• 初步分析系统的安全状况。
• 准备测评工具和文档。

• 测评委托单位职责

• 向测评机构介绍本单位的信息化建设及发展情况。
• 提供测评机构需要的相关资料。
• 为测评人员的信息收集工作提供支持和协调。
• 准确填写调查表格。
• 根据被测定级对象的具体情况，如业务运行高峰期、网络布置情况等，为测评时间安排提供适宜的建议。
• 制定应急预案。

方案编制活动

方案编制活动工作流程

• 方案编制活动的目标是整理测评准备活动中获取的定级对象相关资料，为现场测评活动提供最基本的文档和指导方案。
• 方案编制活动包括测评对象确定、测评指标确定、测评内容确定、工具测试方法确定、测评指导书开发及测评方案编制六项主要任务。

方案编制活动主要任务

• 测评对象确定

• 根据系统调查结果，分析整个被测定级对象业务流程、数据流程、范围、特点及各个设备及组建的主要功能
• 输入：填好的调查表格，各种与被测定级对象相关的技术资料
• 任务描述：
  • 识别并描述被测定级对象 的整体结构
  • 识别并描述被测定级对象的边界
  • 识别并描述被测定级对象的网络区域
  • 识别并描述被测定级对象的主要设备
  • 确定测评对象
  • 描述测评对象
• 输出：测评方案的测评对象部分。

• 测评指标确定

• 根据被测定级对象定级结果确定本次测评的基本测评指标，根据测评委托单位及被测定级对象业务自身需求确定出本次测评的特殊测评指标。
• 输入：填好的调查表格，GB 17859，GB/T 22239，行业规范，业务需求文档。
• 任务描述：
  • 根据被测定级对象的定级结果，包括业务信息安全保护等级和系统服务安全保护等级，得出被测定级对象的系统服务保证类（A类）基本安全要求、业务信息安全类（S类）基本安全要求以及通用安全保护类（G类）基本安全要求的组合情况。
  • 根据被测定级对象的A类、S类及G类基本安全要求的组合情况，从GB/T 22239、行业规范中选择相应等级的基本安全要求作为基本测评指标。
  • 根据被测定级对象实际情况，确定不适用测评指标。
  • 根据测评委托单位及被测定级对象业务自身需求，确定特殊测评指标。
  • 对确定的基本测评指标和特殊测评指标进行描述，并分析给出指标不适用的原因。
• 输出：测评方案的测评指标部分。

• 测评内容确定

• 本条规定现场测评的具体实施内容，即单项测评内容。
• 输入：填好的系统调查表格，测评方案的测评对象部分，测评方案的测评指标部分。
• 任务描述：
  • 依据GB/T 22239，将前面已经得到的测评指标和测评对象结合起来，将测评指标映射到各测评对象上，然后结合测评对象的特点，说明各测评对象所采取的测评方法。由此构成可以具体实施测评的单项测评内容。测评内容是测评人员开发测试指导书的基础。
• 输出：测评方案的测评实施部分。

• 工具测试方法确定

• 在等级测评中，应使用测试工具进行测试，测试工具可能用到漏洞扫描器、渗透测试工具集、协议分析仪等。
• 输入：测评方案的测评实施部分，GB/T 22239 ，选用的测评工具清单。
• 任务描述：
  • 确定工具测试环境，根据被测系统的实时性要求，可选择生产环境或与生产环境各项安全配置相同的备份环境、生产验证环境或测试环境作为工具测试环境。
  • 确定需要进行测试的测评对象。
  • 选择测评路径。测试工具的接入采取从外到内，从其他网络到本地网络的逐步逐点接入，即：测评工具从被测定级对象边界外接入、在被测定级对象内部与测评对象不同区域网络及同一网络区域内接入等几种方式。
  • 根据测评路径，确定测试工具的接入点。
  • 从被测定级对象边界外接入时，测试工具一般接在系统边界设备（通常为交换设备）上。
  • 从系统内部与测评对象不同网络区域接入时，测试工具一般接在被测对象不在同一网络区域的内部核心交设备上。
  • 在系统内部与测评对象同一网络区域内接入时，测试工具一般接在与被测对象在同一网络区域的交换设备上。
  • 结合网络拓扑图，描述测试工具的接入点、测试目的、测试途径和测试对象等相关内容。
• 输出：测评指导书，测评结果记录表格。

• 测评指导书开发

• 测评指导书时具体指导测评人员如何进行测评活动的文档，应尽可能详实，充分。
• 输入：测评方案的单项测评实施部分、工具测试内容及方法部分。
• 任务描述：
  • 描述单个测评对象，包括测评对象的名称、位置信息、用途、管理人员等信息。
  • 根据GB/T 28448 的单项测评实施确定测评活动，包括测评项、测评方法、操作步骤和预期结果等四部分。
  • 单项测评一般以表格形式设计和描述测评项、测评方法、操作步骤和预期结果等内容。整体测评则一般以文字描述的方式表述，以测评用例的方式进行组织。
  • 根据测评指导书，形成测评结果记录表格。
• 输出：测评指导书，测评结果记录表格。

• 测评方案编制

• 测评方案是等级测评工作实施的基础，指导等级测评工作的现场实施活动。测评方案应包括但不局限于以下内容：项目概述、测评指标、测评对象、测评内容、测评方法等。
• 输入：委托测评协议书，填好的调研表格，各种与被测定级对象相关的技术资料，选用的测评工具清单，GB/T 22239 或行业规范中相应等级的基本要求，测评方案的测评对象、测评指标、单项测评实施部分、工具测试方法及内容部分等。
• 任务描述：
  • 根据委托测评协议书和填好的调研表格，提取项目来源，测评委托单位整体信息化建设情况及被测定级对象与单位其他系统之间的连接情况等。
  • 根据等级保护过程中的等级测评实施要求，将测评活动所依据的标准罗列出来。
  • 参阅委托测评协议书和被测定级对象情况，估算现场测评工作量。工作量根据测评对象的数量和工具测试的接入点及测评内容等情况进行估算。
  • 根据测评项目组成员安排，编制工作安排情况。
  • 根据以往测评经验以及被测定级对象规模，编制具体测评计划，包括现场工作人员的分工和时间安排。
  • 汇总上述内容及方案编制活动的其他任务获取的内容形成测评方案文稿。
  • 评审和提交测评方案。测评方案初稿应通过测评项目组全体成员评审，修改完成后形成提交稿。然后，测评机构将测评方案提交给测评委托单位签字认可。
  • 根据测评方案制定风险规避实施方案。
• 输出/产品：经过评审和确认的测评方案文本，风险规避实施方案文本。

方案编制活动输出文档

• 测评对象确定

• 测评方案的测评对象部分
• 被测定级对象的整体结构、编辑、网络区域、重要节点、测评对象等。

• 测评指标确定

• 测评方案的测评指标部分
• 被测定级对象定级结果、测评指标

• 测评内容确定

• 测评方案的单项测评实施部分
• 单项测评实施内容

• 工具测试方法确定

• 测评方案的工具测试方法及内容部分
• 工具测试接入点及测试方法

• 测评指导书开发

• 测评指导书、测评结果记录表格
• 各测评对象的测评内容及方法
• 测评结果记录表格表头

• 测评方案编制

• 经过评审和确认的测评方案文本
• 风险规避实施方案文本
• 项目概述、测评对象、测评指标、测试工具接入点、单项测评实施内容等
• 风险规避措施等

方案编制活动双方职责

• 测评机构职责

• 详细分析被测定级对象 整体结构、边界、网络区域、设备部署情况等
• 初步判断被测定级对象的安全薄弱点
• 分析确定测评对象、测评指标、确定测评内容和工具测试方法
• 编制测评方案文本，并对其进行内部评审
• 制定风险规避实施方案

• 测评委托单位职责

• 为测评机构完成测评方案提供有关信息和资料。
• 评审和确认测评方案文本。
• 评审和确认测评机构提供的风险规避实施方案。
• 若确定不在生产环境开展测评，则部署配置与生产环境各项安全配置相同的备份环境、生产验证环境或测试环境作为测试环境。

现场测评活动

现场测评活动工作流程

• 现场测评活动通过与测评委托单位进行沟通和协调，为现场测评的顺利开展打下良好基础，依据测评方案实施现场测评工作，将测评方案和测评方法等内容具体落实到现场测评活动中。现场测评工作应取得报告编制活动所需的、足够的证据和资料。
• 现场测评活动包括现场测评准备、现场测评和结果记录、结果确认和资料归还。

现场测评活动主要任务

• 现场测评准备

• 本任务启动现场测评，是保证测评机构能够顺利实施测评的前提。
• 输入：经过评审和确认的测评方案文本，风险规避实施方案文本，风险告知书，现场测评工作计划。
• 任务描述：
  • 测评委托单位对风险告知书签字确认，了解测评过程中存在的安全风险，做好相应的应急和备份工作。
  • 测评委托单位协助测评机构获得定级对象相关方的现场测评授权。
  • 召开测评现场首次会，测评机构介绍现场测评工作安排，相关方对测评计划和测评方案中的测评内容和方法进行沟通。
  • 测评相关方确认现场测评需要的各种资源，包括测评配合人员和需要提供的测评环境等。
• 输出：会议记录，测评方案，现场测评工作计划和风险告知书，现场测评授权书等。

• 现场测评和结果记录

• 本任务主要是测评人员按照测评指导书实施测评，并将测评过程中获取的证据源进行详细、准确记录。
• 输入：现场测评工作计划，现场测评授权书，测评指导书测评结果记录表格。
• 任务描述：
  • 测评人员与测评配合人员确认测评对象中的关键数据已经进行了备份。
  • 测评人员确认具备测评工作开展的条件，测评对象工作正常，系统处于一个相对良好的状况。
  • 测评人员根据测评指导书实施现场测评，获取相关证据和信息。现场测评一般包括访谈、核查和测试三种测评方式。
  • 测评结束后，测评人员与测评配合人员及时确认测评工作是否对测评对象造成不良影响，测评对象及系统是否工作正常。
• 输出：各类测评结果记录。

• 结果确认和资料归还

• 确认测评过程中得到的证据源记录，并归还测评过程中借阅的文档。
• 输入：各类测评结果记录，工具测试完成后的电子输出记录。
• 任务描述：
  • 测评人员在现场测评完成之后，应首先汇总现场测评的测评记录，对漏掉和需要进一步验证的内容实施补充测评。
  • 召开测评现场结束会，测评双方对测评过程中得到的证据源记录进行现场沟通和确认。
  • 测评机构归还测评过程中借阅的所有文档资料，并由测评委托单位文档资料提供者签字确认。
• 输出：经过测评委托单位确认的测评证据和测评源记录。

现场测评活动输出文档

• 现场测评准备

• 会议记录，确认的风险告知书，测评方案和现场测评工作计划，现场测评授权书
• 工作计划和内容安排，双方人员的协调，测评委托单位应提供的配合

• 访谈

• 技术和管理安全测评的测评结果记录
• 访谈记录

• 文档审查

• 技术和管理安全测评的测评结果记录
• 安全策略、技术文档、管理制度和管理执行过程文档的记录

• 实地查看

• 技术安全和管理安全测评结果记录
• 核查内容的记录

• 配置核查

• 技术安全测评的测评结果记录
• 核查内容的记录

• 工具测试

• 技术安全测评的测评结果记录，工具测试完成后的电子输出记录，备份的测试结果文件
• 漏洞扫描、渗透性测试、性能测试、入侵检测和协议分析等内容 的技术测试结果

• 测评结果确认和资料归还

• 经过测评委托单位确认的测评证据和证据源记录
• 测评中获取的证据和证据源

现场测评活动双方职责

• 测评机构职责：

• 测评人员开展测评前确认被测定级对象具备测评工作开展的条件，测评对象工作正常。
• 测评人员利用访谈、文档审查、配置核查、工具测试和实地查看的方法开展现场测评工作，并获取相关证据。

• 测评委托单位职责：

• 测评前备份系统和数据，并了解测评工作基本情况。
• 协助测评机构获得现场测评授权。
• 安排测评配合人员，配合测评工作的开展。
• 对风险告知书进行签字确认。
• 配合人员如实回答测评人员的问询，对某些需要验证的内容上机进行操作。
• 配合人员协助测评人员实施工具测试并提供有效建议，降低安全测评对系统允许的影响。
• 配合人员协助测评人员完成业务相关内容的问询、验证和测试。
• 配合人员对测评证据和证据源进行确认。
• 配合人员确认测试后被测设备状态完好。

报告编制活动

报告编制活动工作流程

• 在现场测评工作结束后，测评机构应对现场测评获得的测评结果进行汇总分析，形成等级测评结论，并编制测评报告。
• 测评人员在初步判定单项测评结果后，还需进行单元测评结果判定、整体测评、系统安全保障评估，经过整体测评后，有点单项测评结果可能会有所变化，需进一步修订单项测评结果，而后针对安全问题进行风险评估，形成等级测评结论。
• 分析与报告编制活动包括单项测评结果判定、单元测评结果判定、整体测评、系统安全保障评估、安全问题风险评估、等级测评结论形成及测评报告编制七项主要任务。

报告编制活动主要任务

• 单项测评结果判定

• 针对单个测评项，结合具体测评对象，客观、准确地分析测评证据，形成初步单项测评结果，单项测评结果是形成等级测评结论的基础。
• 输入：经过测评委托单位确认的测评证据和证据源记录，测评指导书。
• 任务描述：
  • 针对每个测评项，分析该测评项所对抗的威胁在被测定级对象中是否存在，如果不存在，则该测评项应标为不适用项。
  • 分析单个测评项的测评证据，并于要求内容的预期测评结果相比较，给出单项测评结果和符合程度得分。
  • 如果测评证据表明所有要求内容与预期测评结果一致，
• 输出：测评报告的等级测评结果记录部分。

• 单元测评结果判定

• 汇总单项测评结果，分别统计不同测评对象的单项测评结果，从而判定单元测评结果
• 输入：测评报告的等级测评结果记录部分。
• 任务描述：
  • 按层面分别汇总不同测评对象对应测评指标的单项测评结果情况，包括测评多少项，符合要求的多少项等内容。
  • 分析每个控制点下所有测评项的符合情况，给出单元测评结果。
  • 单元测评结果判定规则如下：
    • 控制点包含的所有适用测评项的单项测评结果均为符合，则对应该控制点的单元测评结果为符合；
    • 控制点包含的所有适用测评项的单项测评结果均为不符合，则对应该控制点的单元测评结果为不符合；
    • 控制点包含的所有测评项均为不适用项，则对应该控制点的单元测评结果为不适用；
    • 控制点包含的所有适用测评项的单项测评结果不全为符合或不符合，则对应该控制点的单元测评结果为部分符合。
• 输出：测评报告的单元测评小结部分。

• 整体测评

• 针对单项测评结果的不符合项或部分符合项，采取逐条判定的方法，从安全控制点间、层面间出发考虑，给出整体测评的具体结果。
• 输入：测评报告的等级测评结果记录部分和单项测评结果。
• 任务描述：
  • 针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他测评项能否和它发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足或“削弱”该测评项实现的保护能力，以及该测评项的测评结果是否会影响与其有关联关系的其他测评项的测评结果。
  • 针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他层面的测评对象能否和他发生关联关系，发生什么样的关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足或“削弱”该测评项实现的保护能力，以及该测评项的测评结果是否会影响与其有关联关系的其他测评项的测评结果。
  • 根据整体测评分析情况，修正单项测评结果符合程度得分和问题严重程度值。
• 输出：测评报告的整体测评部分。

• 系统安全保障评估

• 综合单项测评和整体测评结果，计算修正后的安全控制点得分和层面得分，并根据得分情况对被测定级对象的安全保障情况进行总体测评。
• 输入：测评报告等级测评结果记录部分和整体测评部分。
• 任务描述：
  • 根据整体测评结果， 计算修正后的每个测评对象的单项测评结果和符合程度得分。
  • 根据各对象的单项符合程度得分，计算安全控制点得分。
  • 根据安全控制点得分，计算安全层面得分。
  • 根据安全控制点得分和安全层面得分，总体评价被测定级对象已采取的有效保护措施和存在的主要安全问题情况
• 输出：测评报告的系统安全保障评估部分。

• 安全问题风险评估

• 测评人员依据等级保护的相关规范和标准，采用风险分析的方法分析等级测评结果中存在的安全问题可能对被测定级对象安全造成的影响。
• 输入：填好的调查表格，测评报告的单项测评结果、整体测评部分。
• 任务描述:
  • 针对整体测评后的单项测评结果中部分符合项或不符合项所产生的安全问题，结合关联测评对象和威胁，分析可能对定级对象、单位、社会及国家造成的安全危害。
  • 结合安全问题所影响业务的重要程度、相关系统组件的重要程度、安全问题严重程度以及安全事件影响范围等综合分析可能造成的安全危害中的最大安全危害（损失）结果。
  • 根据最大安全危害严重程度进一步确定定级对象面临的风险等级，结果为高、中、低。
• 输出：测评报告的安全问题风险分析部分。

• 等级测评结论形成

• 测评人员在系统安全保障评估、安全问题风险评估的基础上，找出系统保护现状与GB/T 22239之间的差距，并形成等级测评结论。
• 输入：测评报告的系统安全保障评估部分、安全问题风险评估部分。
• 任务描述：
  • 根据单项测评结果和风险评估结果，计算定级对象综合得分，并得出等级测评结论。
  • 等级测评结论分为三种情况
  1. 符合：定级对象中未发现安全问题，等级测评结果中所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分。
  2. 基本符合：定级对象中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值。
  3. 不符合：定级对象中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题会导致定级对象面临高等级安全风险或者综合得分低于阈值。
• 输出：测评报告的等级测评结论部分。

• 测评报告编制

• 根据报告编制活动各分析过程形成等级测评报告。等级测评报告格式应符合公安机关发布的《信息系统安全等级保护测评报告模板》。
• 输入：测评方案，《信息系统安全等级测评报告模板》，测评结果分析内容。
• 任务描述：
  • 测评人员整理前面机型任务的输出产品，按照《信息系统安全等级测评报告模板》编制测评报告相应部分。每个被测定级对象应单独出具测评报告。
  • 针对被测定级对象存在的安全隐患，从系统安全角度提出相应的改进建议，编制测评报告的问题处置建议部分。
  • 测评报告编制完成后，测评机构应根据测评协议书、测评委托单位提交的相关文档、测评原始记录和其他附则信息，对测评报告进行评审。
  • 评审通过后，由项目负责人签字确认并提交给测评委托单位。
• 输出：经过评审和确认的被测定级对象等级测评报告。

报告编制活动输出文档

• 单项测评结果判定

• 等级测评报告的等级测评结果记录部分
• 分析测评对象的安全现状与标准中相应等级基本要求项的符合情况，给出单项测评结果和符合程度得分

• 单元测评结果判定

• 等级测评报告的单元测评小结部分
• 汇总统计单项测评结果，分析计算控制点符合情况、存在的安全问题

• 整体测评

• 等级测评报告的整体测评部分
• 分析被测定级对象整体安全状况及对单项测评结果的影响情况，给出安全问题严重程度及对应的要求项符合程度得分修正值

• 系统安全保障评估

• 测评报告的系统安全保障评估部分
• 汇总被测定级对象已采取的安全保护措施情况，计算安全控制点得分及安全层面得分，并总体评价被测定级对象已采取的有效保护措施和存在的主要安全问题

• 安全问题风险分析

• 等级测评报告的安全问题风险评估部分
• 分析被测定级对象存在安全问题可能对定级对象、单位、社会及国家造成的最大安全危害（损失），并给出风险等级

• 等级测评结论形成

• 等级测评报告的等级测评结论部分
• 对测评结果进行分析，形成等级测评结论，并给出综合得分

• 测评报告编制

• 经过评审和确认的被测定级对象等级测评报告
• 等级测评结果记录，单元测评结果汇总及结果分析，整体测评过程及结果，风险分析过程及结果，等级测评结论，问题处置建议等

报告编制活动双方职责

• 测评机构职责：

• 分析并判定单项测评结果和整体测评结果。
• 分析评价被测定级对象存在的风险情况。
• 根据测评结果形成等级测评结论。
• 编制等级测评报告，说明系统存在的安全隐患和缺陷，并给出改进建议。
• 评审等级测评报告，并将评审过的等级测评报告按照分发范围进行分发。
• 将生成的过程文档归档保存，并将测评过程中在测评用介质和测试工具中生成或存放的所有电子文档清除。

• 测评委托单位职责：

• 签收测评报告。
• 向分管公安机关备案测评报告。