等保测评服务方案模板：定级、指标、取证与验收全流程

简介《等保测评服务方案》面向企业信息安全负责人、等保咨询顾问与测评实施人员围绕信息系统定级备案、测评实施和整改复测提供可落地的文档参考帮助梳理合规流程与检查要点。压缩包内共1个doc文件约1.07MB以方案正文和表格化模板为主覆盖定级报告、备案表、被测系统描述、测评依据及过程安排等模块。文档结合GB/T 22239、GB/T 28448等标准展开物理安全、网络安全、主机与应用安全、数据备份恢复以及安全管理机构、制度、人员、建设运维和渗透测试等检查维度并明确现场测评的准备、方案编制、现场测评、分析报告编制四阶段以及复测评的安全整改、复测评、分析报告编制三阶段。已有989人学习适合需要搭建等保测评框架、编写方案或对照查漏补缺的从业者参考。1. 定级结论错一步就全盘返工这套方案要解决的真问题去年帮某高校实验室整理一份等保测评服务方案被退回的并不是技术章节而是最前面的定级表系统边界没划清S 和 A 两个结论互相矛盾后面几十项测评指标一下子全没了依据。这类文档的价值体现在「定级—指标—取证—判定」这条链能否闭环篇幅长短并非关键谁能照着它把现场测评跑完谁就能在评审和答辩时把每个结论的来源说清楚。这份方案面向两类人正在做毕设或课设、需要一份结构完整可交付文档的学生以及要给客户出测评服务方案、需要可复用模板的从业者。下面按定级备案、指标分解、现场取证、避坑排查、验收答辩拆开讲每一段都给到改掉字段就能用的表格、清单和核查脚本。2. 定级与备案S/A/G 三维判定表和一张能过评审的定级报告定级是整份方案的源头。很多方案写得漂亮却站不住问题几乎都出在这一步把「系统等级」当成一个拍脑袋的数字而不是两个维度取高的结果。这一章把定级对象划分、S/A/G 判定、备案材料对应关系讲透最后给一段台账校验脚本防止定级结论和备案表在版本迭代中走散。2.1 定级对象怎么切先划边界再定等级定级对象不是「一套软件」而是「一个由业务应用、主机、数据库、网络边界和管理主体共同构成的运行单元」。我一般的切法是按三条线走业务承载是否独立、机房与网络边界是否独立、运维管理主体是否独立。三条都独立就单独定级只是同一系统里拆出来的功能模块绝不单独定级否则备案时会出现三个系统共用一台数据库服务器、等级却不一样的尴尬局面。切边界时最容易犯的错是「按部门切」。某公司的办公自动化系统和对外服务门户挂在同一台应用服务器上部门不同就定了两个对象结果网络设备、数据库、安全文档全部重复测评工作量翻倍还说不清责任。正确做法是先画资产关系图把共用设备标出来共用部分归到等级最高的那个对象里其余系统在定级报告中写清「与某系统共用基础设施安全责任由某系统承担」。边界确定之后每个对象要填一份基础信息系统名称、业务描述、服务对象范围、承载的关键数据类别管理数据、业务数据、鉴别信息、涉及的软硬件清单、责任部门与责任人。这份信息表后面会被反复引用——测评对象清单从它来抽样比例从它来报告里的系统描述也从它来。表格字段固定下来比写十页描述都管用。2.2 保密性、完整性、可用性三维打分把主观判断变成可复核的表格等级判定的核心是两个维度业务信息安全性等级 S 和系统服务保证性等级 A最后取二者较高者作为系统等级。业务信息安全性看的是保密性和完整性被破坏后的影响系统服务保证性看的是可用性中断后的影响。判定时先确定「受侵害的客体」再确定「侵害程度」两步都落到表上结论才有可复核性。受侵害客体侵害程度业务信息安全性 S系统服务保证性 A公民、法人和其他组织的合法权益一般损害S1A1公民、法人和其他组织的合法权益严重损害S2A2社会秩序、公共利益一般损害S2A2社会秩序、公共利益严重损害S3A3社会秩序、公共利益特别严重损害S4A4落到具体填法上保密性一栏问三个问题数据泄露会不会引起法律纠纷、会不会造成直接财产损失、会不会影响大量用户的个人信息权益。完整性一栏问数据被篡改或丢失会不会导致业务结论错误、账目不平、对外发布信息失真。可用性一栏问系统中断一小时、一天、一周分别影响哪些岗位的哪些职能是否影响对外服务承诺。判定表要留「证据来源」一列写清依据的是业务部门访谈记录、还是历史故障记录、还是上级下发的文件要求。这一列在现场评审时非常关键因为评审专家最爱问的一句就是「你凭什么定这个级别」。我在某模拟项目里见过把可用性写成「中断影响较大」的四个字没有任何支撑最后被要求补三轮材料改成「中断 2 小时将导致对外业务受理窗口全部停摆日均影响约若干笔业务依据为运维值班记录与业务部门书面确认」一次就过了。2.3 备案流程五步走定级报告、备案表与证明材料的对应关系定级结论出来后进入备案环节流程可以归纳为五步确定定级对象、确定安全保护等级、组织专家评审、上级主管部门审批、备案受理机关审核并出具备案证明。这五步在方案里不能只写名称要写清每一步的输入和输出否则使用方拿着文档不知道下一步该找谁。确定对象输出定级对象清单与边界说明。确定等级输出定级报告含 S/A 判定表与取高结论。专家评审输出评审意见与签到表评审专家应覆盖业务、安全、运维三类角色。主管部门审批输出审批意见注意这里审批的是等级结论不是技术方案。备案受理输出备案表、系统拓扑图、定级报告、营业执照或法人证明等材料审核通过后取得备案证明。备案表填写有两个高频坑。一是系统名称与定级报告、拓扑图、资产清单里的名称必须完全一致不能一处写全称一处写简称审核人员会直接退回。二是「系统服务情况」一栏要写服务对象范围和服务时间很多方案只写「为内部职工提供服务」缺少服务时段和并发规模被要求补充的情况很常见。我通常会在方案模板里把这两栏做成填空提示使用方照着填就行。提示备案证明上的等级、系统名称、责任单位三项是后续测评报告封面的唯一依据。定级报告改动后务必回头核对备案材料是否同步更新避免出现报告写三级、备案写二级的错位。2.4 用一段脚本管住台账定级信息与资产清单的一致性校验系统一多定级结论就靠人脑记不住。我的做法是维护一份 CSV 台账一行一个定级对象字段固定然后用脚本做一致性和完整性校验把「S2 A3 却写成二级」这类低级错误在提交前拦住。import csv import sys # 必填字段缺任何一项都视为台账不完整 REQUIRED [系统名称, 定级对象边界, S等级, A等级, 系统等级, 备案状态, 责任人] # 等级映射为数值便于比较取高 RANK {S1: 1, S2: 2, S3: 3, S4: 4, A1: 1, A2: 2, A3: 3, A4: 4} def check(path): problems [] with open(path, encodingutf-8-sig) as f: reader csv.DictReader(f) for line_no, row in enumerate(reader, start2): # 第 2 行起为数据行 for key in REQUIRED: if not (row.get(key) or ).strip(): problems.append(f第{line_no}行 缺少字段{key}) s (row.get(S等级) or ).strip() a (row.get(A等级) or ).strip() level (row.get(系统等级) or ).strip() # 系统等级应取 S 与 A 的较高者否则判定逻辑自相矛盾 if s in RANK and a in RANK and level: expect max(RANK[s], RANK[a]) if str(expect) not in level: problems.append(f第{line_no}行 系统等级「{level}」与 S{s}/A{a} 取高原则不符) return problems if __name__ __main__: result check(sys.argv[1]) # 参数为台账 CSV 路径 print(\n.join(result) if result else 台账校验通过)脚本里的REQUIRED就是定级报告必须回答的问题清单缺字段等于缺论证RANK只处理一到四级是因为超出范围的对象通常已不属于常规测评服务范畴需要单独评估。实际使用时把 CSV 放在项目目录下每次提交材料前跑一遍utf-8-sig是为了兼容常见表格软件导出的带 BOM 文件否则第一列字段名会读成乱码并误报缺字段。3. 测评指标与对象抽样二级 66 项、三级 73 项怎么落到设备清单上指标表和对象清单是方案里最实的两块内容。二级系统对应的安全控制指标合计约 66 项三级约 73 项数字看着不多但每一项都要落到具体的机房、设备、文档或人员身上落不下去就变成空条目。这一章讲清指标分类、抽样规则、方法组合和可复现的核查命令。3.1 G/S/A 三类指标与十个安全层面的映射关系测评指标按性质分为三类通用指标 G、业务信息安全性指标 S、系统服务保证性指标 A按内容分为安全技术和安全管理两大块技术块下含物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复管理块下含安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。方案里要把这两套分类交叉成一张矩阵否则现场人员拿着指标表不知道去哪个层面取证。层面主要指标类典型取证对象二级子类量级三级子类量级物理安全G机房、门禁、消防、供电约 10约 10网络安全G交换机、防火墙、拓扑约 6约 7主机系统安全G服务器操作系统约 6约 7应用安全S/G业务应用系统约 7约 7数据安全及备份恢复S/G数据库、备份介质约 3约 9安全管理制度G制度文本、发布记录约 3约 3安全管理机构G岗位职责、授权审批约 5约 5人员安全管理G合同、保密协议、培训记录约 5约 5系统建设管理G建设过程文档约 9约 11系统运维管理G运维记录、变更单约 12约 13这张表的作用是排工作量。三级系统在数据安全和系统运维管理两块明显加码意味着现场要多花半天做备份恢复验证和运维记录抽查二级系统则可以把重心放在物理与网络层面。方案里写清这个差异使用方才知道人力该往哪儿压。3.2 测评对象抽样规则机房、主机、数据库、网络设备各抽几台抽样不是随便挑几台。我一般遵循三条同类对象按角色分类每类至少一台承载重要业务或存储鉴别信息的必须覆盖数量超过一定规模时按比例抽取并写明抽样理由。具体做法如下。主机按操作系统和角色分类应用服务器与数据库服务器分开抽Windows 与 Linux 各不少于一台同一系统内主备机都纳入时至少抽主机一台、备机一台用于验证冗余有效性。数据库按类型抽主库必测有读写分离或集群的补一台从库。网络设备按层级抽核心交换机必测汇聚与接入按比例抽防火墙与入侵防御设备各至少一台Web 应用防火墙在被测系统对外提供服务时必测。机房按物理位置抽异地机房分别取证。抽样结果要写成清单每行包含设备名称、型号或系统版本、承载业务、重要程度、抽样理由。这份清单直接进测评报告附录也是现场排期的依据。某模拟项目里因为漏抽了一台承载鉴别信息的认证服务器报告出具后被发现覆盖不全只能返场补测来回多花了三天——这类返工完全可以用清单规避。3.3 访谈、检查、测试三种方法的组合与工具准备三种方法的定位要分清访谈用于取得陈述性证据检查用于取得配置和文档证据测试用于取得验证性证据。同一个控制点往往需要两种以上方法互相印证方案里要写明每个控制点的取证方法组合避免现场人员只做访谈、报告里全是「据管理员介绍」。访谈要有提纲和记录人。提纲按控制点列问题记录写清时间、被访谈人岗位、问答要点、是否有书面材料佐证最后请被访谈人签字确认。检查要有截图规范全屏截图、包含系统时间、包含配置项路径一页一张编号与报告条目对应。测试要提前准备工具与授权漏洞扫描和渗透测试必须取得书面授权明确测试时间窗、目标地址段、禁止使用的破坏性插件测试完成后立即恢复现场配置。工具方面漏洞扫描侧重系统和网络设备漏洞的覆盖面渗透测试工具用于验证访问控制和边界防护的实际效果。方案里不要只列工具名称要写清用途、版本记录方式和结果处理方式扫描结果按主机聚合去重高危项逐条复核是否为误报渗透测试只记录可复现的验证步骤不复述工具原始输出。注意工具扫描结果只作为辅助证据符合性判定仍以配置核查和访谈记录为准。把扫描报告直接当测评结论粘贴是评审现场最常见的扣分点。3.4 把「检查」变成可复现命令主机与数据库核查脚本「检查服务器安全配置」这句话在方案里等于没写。我一般会把每个控制点拆成一条可执行命令现场照着敲、照着截图换个人来做结果也一致。# 1. 口令策略最大有效期、最小长度、到期提醒 grep -E ^(PASS_MAX_DAYS|PASS_MIN_LEN|PASS_WARN_AGE) /etc/login.defs # 2. 空口令账户输出为空说明没有空口令账户 awk -F: ($2){print $1} /etc/shadow # 3. 审计服务确认 auditd 开机自启且已有规则 systemctl is-enabled auditd auditctl -l | head -n 20 # 4. 监听端口与服务核对是否存在非必要对外端口 ss -tulnp # 5. 登录失败处理与超时退出确认 PAM 模块和 TMOUT 配置 grep -E pam_faillock|pam_tally2 /etc/pam.d/system-auth /etc/pam.d/sshd grep -rn TMOUT /etc/profile /etc/profile.d/ 2/dev/null每条命令对应一个测评子类前两条对应身份鉴别中的口令复杂度与账户管理第三条对应安全审计的覆盖范围第四条对应入侵防范里的最小服务原则第五条对应登录失败处理和会话超时。现场执行时把命令和输出一起截屏报告里引用截图编号即可不必再复述配置值。数据库侧用 SQL 核查账户与权限以常见关系型数据库为例-- 账户状态与口令有效期排查长期未改口令、锁定状态异常的账户 SELECT username, account_status, expiry_date FROM dba_users ORDER BY username; -- 拥有高权限角色的账户核对是否与运维人员名单一一对应 SELECT grantee, granted_role FROM dba_role_privs WHERE granted_role IN (DBA, RESOURCE) ORDER BY grantee; -- 默认口令账户抽查与已知默认账户名比对 SELECT username FROM dba_users WHERE username IN (SCOTT, TEST, GUEST, ADMIN);第一条查的是鉴别信息生命周期管理第二条查的是权限最小化和账户归口第三条查的是出厂默认账户是否清理。三条结果都要和运维方提供的账户台账交叉比对出现「数据库里有、台账里没有」的账户一律记为不符合并写入整改建议这比笼统写「存在多余账户」有说服力得多。4. 现场测评实施十个层面的取证动作与配合清单现场是整个项目最容易失控的阶段时间固定、人员分散、证据稍纵即逝。方案里必须写清每个层面要什么材料、找谁、大概多久把「配合需求」前置成一张可提前发给对方的清单现场才不会变成临时找人的拉锯战。4.1 物理安全与网络安全资料清单比技术检查更耗时物理安全十个左右子类看着是技术活实际上是资料活。现场真正耗时的不是看机房而是等对方找出防雷检测报告、消防验收文档、UPS 维护记录、门禁出入登记。我一般提前三到五天把清单发过去让对方按清单备料。控制点需要对方提供现场动作物理位置选择建筑抗震、防水、防风资料实地查看机房位置与相邻区域物理访问控制门禁记录、出入审批单查看出入口、测试门禁联动防盗窃防破坏防盗报警运行维护记录查看设备固定与报警装置防雷击建筑防雷检测报告查看接地与防雷器防火消防验收文档、灭火设备检查记录查看消防设施与分区防水防潮建筑施工图、除湿设备记录查看漏水检测与除湿设备防静电防静电接地措施说明查看地板与接地温湿度控制温湿度记录、空调维护记录查看监控与调节设备电力供应UPS 与备用电源维护记录查看配电与冗余电磁防护设备接地与屏蔽说明查看电源线与通信线分离敷设网络安全部分的重心在配置核查和边界验证。结构安全看拓扑与网段划分是否与实际情况一致很多单位的拓扑图还是三年前的版本设备早换了两代访问控制看防火墙策略是否按最小原则收敛重点核对是否存在 any 到 any 的放通策略安全审计看网络设备日志是否集中留存、留存周期是否满足要求边界完整性看有无私接外联的检测手段入侵防范看边界防护设备是否覆盖主要攻击路径网络设备防护看口令复杂度、登录失败处理、超时退出和权限分级。4.2 主机、应用、数据三层核查的取证顺序主机层七个左右子类建议顺序是先看账户与口令身份鉴别、访问控制再看审计与日志安全审计然后看补丁与服务入侵防范、恶意代码防范最后看资源限制与剩余信息保护。这个顺序的好处是每一步都在上一步的输出上继续不用反复登录切换。应用层要区分「功能是否具备」和「配置是否启用」。身份鉴别要测登录失败锁定、口令复杂度校验、首次登录强制改密访问控制要测不同角色的菜单与数据可见范围安全审计要测关键操作是否留痕、日志能否被普通用户删除通信完整性要确认传输通道是否做校验通信保密性要确认敏感字段是否加密传输软件容错要测非法输入、异常中断后的表现资源控制要测会话超时与并发限制。数据层重点在三件事传输和存储过程中的完整性保护、敏感数据的保密性保护、备份的可用性验证。备份验证不能只看备份策略截图要实际取一份备份文件做恢复演练记录恢复耗时与数据完整性核对结果。这一步经常被跳过但恰恰是报告里最有分量的一段。4.3 管理类五类文档制度、机构、人员、建设、运维怎么要管理类指标全部靠文档和访谈支撑要不到材料就等于不符合。我把材料分成三类向对方解释时也用这个分法对方更容易理解要准备什么。制度类网络安全管理、设备管理、系统管理、备份与恢复、安全事件处置、应急预案等制度文本要求有编号、有发布记录、有版本号。记录类机房出入登记、基础设施维护记录、会议纪要、评审修订记录、人员培训与考核记录、离岗手续。证据类资产清单、安全管理岗位名单、外联单位联系表、保密协议、关键岗位安全协议、定级报告、备案材料。访谈对象按岗位覆盖安全主管、网络管理员、系统管理员、安全管理员、审计员、人事专员、机房管理员。方案里要把每个岗位对应的控制点标出来现场按人约时间避免一个人被反复叫来问三遍。4.4 三天现场排期与人员分工的样例现场排期我一般按「先管理后技术、先集中后分散」来排。第一天上午开进场会并做管理访谈下午集中收取文档第二天全天做技术核查分主机与网络两组并行第三天上午补漏并做验证测试下午汇总初步结论与不符合项当场与被测评方确认避免报告出具后再扯皮。时间测评组 A主机应用测评组 B网络物理共同事项第一天上午应用系统访谈与配置查看网络拓扑与设备访谈进场会、资料交接第一天下午主机账户与审计核查机房实地检查与资料核对文档集中收取第二天上午数据库与备份恢复验证防火墙策略与日志核查—第二天下午应用功能测试与补录边界完整性与入侵防范扫描任务执行第三天上午不符合项复核物理安全遗留项补齐补测与截图编号核对第三天下午结论汇总结论汇总末次会、问题确认签字人员分工上主测评师负责结论口径和与被测评方沟通技术测评员负责取证记录员负责截图编号与访谈记录归档。三个人是最小可行配置人再少就会出现取证和记录打架的情况。4.5 报告编制符合性判定口径与整改建议的写法判定口径要在方案里提前写死否则不同测评员给出的结论会不一致。通常分四档符合指该控制点要求全部满足且有证据支撑部分符合指主要要求满足但存在个别缺项不符合指关键要求未满足不适用指该控制点在被测系统场景下确实不存在例如纯内网系统不涉及某些对外服务要求但必须写明不适用理由不能拿来当挡箭牌。整改建议是报告里最容易被诟病的部分。写「加强安全管理」等于没写要写到可执行改哪个配置、加哪条策略、补哪份文档、由谁在什么时限内完成。我习惯把建议按「配置类、文档类、建设类」分组配置类给出具体命令或参数文档类给出模板要素建设类给出采购或改造方向这样使用方拿到报告就能直接排整改计划。5. 避坑与常见问题排查五类最容易翻车的现场做了几轮下来翻车点高度集中。这一章按「现象、原因、解决」写清五类问题都是可以在方案阶段就埋好防线规避的。5.1 现象定级报告写三级备案材料写二级原因通常是版本管理失控。定级报告改过一版等级从二级调到三级但备案表是更早的模板没人回头同步或者同一系统在不同部门的台账里叫不同名字合并时对不上。解决靠两件事一是维护单一台账源所有材料从台账取值不允许各自手写二是提交前跑一遍第 2 章那段校验脚本把 S/A 取高结论与系统等级做比对同时对系统名称做全库字符串比对出现简称与全称混用立即统一。5.2 现象二级系统套用了三级指标工作量翻倍还判错原因是对指标表的等级列没有做过滤直接拿三级模板改了个标题。二级与三级在数据安全、系统运维管理等层面的子类数量差异明显混用会导致大量「不适用」条目报告显得很空。解决办法是在方案里把二级、三级两张指标表分开维护各自带等级标记字段编制测评方案时按系统等级筛选生成生成后再人工抽查十个条目核对来源。5.3 现象现场登录不上设备取证卡住半天原因一般是账户权限和在场人员没提前确认。运维方给的是只读账户看不到审计策略或者设备管理员当天不在普通值班人员不知道密码。解决是在进场前一周发出配合清单明确每台设备需要的账户类型本地管理员或具备审计查看权限的账户、需要到场的岗位和联系方式并在方案里写明「关键设备核查需设备管理员全程在场」这一前置条件。真遇到权限不足宁可记录为「未能获取证据」并注明原因也不要凭经验推断填写。5.4 现象扫描任务把业务系统压出告警原因是测试时间窗和扫描强度没约定。全文扫描加上高强度插件在业务高峰跑轻则响应变慢重则触发防护设备阻断。解决办法是书面授权里写清三件事允许的测试时段一般放在业务低峰并留出回滚余量、目标地址段白名单、禁止使用的插件类型拒绝服务类、口令爆破类一律排除。扫描前先做小范围连通性验证扫描中安排专人盯监控出现异常立即中止并记录。5.5 现象报告里「部分符合」占了七成整改建议落不了地原因有两层判定口径没统一测评员倾向于用「部分符合」回避判断整改建议写得过于笼统使用方看不懂要改什么。解决办法是把判定标准写进方案附件明确什么情况必须判不符合例如关键控制点完全缺失、存在可直接利用的高危配置同时整改建议按「问题、影响、措施、责任岗位、建议时限」五列成表措施列必须包含可验证的完成标志比如「防火墙策略收敛至仅放通业务端口提供策略导出截图」。6. 验收与答辩把符合率讲成一条可执行的整改路线验收这一环很多人败在只会念符合率。评审专家真正想确认的是三件事你的结论有没有证据链、你的抽样能不能代表整体、你给的整改建议能不能落地。所以答辩前我会准备一张对照表把每个不符合项和整改措施、责任岗位、验证方式绑在一起讲的时候按「问题—证据—措施—验证」四段走比罗列数字有效得多。验收要点检查内容常见失分结论可追溯每条判定能定位到截图编号或访谈记录页码报告有结论、附录无对应证据抽样有依据对象清单含抽样理由与覆盖说明只写「抽取若干台」不适用有理由每条不适用写明场景原因用不适用规避难测项整改可执行建议含措施、责任岗位、完成标志停留在「加强」「完善」层面材料一致性系统名称、等级在报告、备案、台账中一致三处名称各不相同答辩时最常被追问的两个问题我一般提前准备答案。第一个是「为什么这个控制点判部分符合而不是不符合」回答要落到证据上哪些子项已满足、缺的是哪一项、缺项是否影响整体防护能力。第二个是「三级系统只抽了两台主机结论可靠吗」回答要讲清分类逻辑两台分别覆盖数据库与应用两种角色同角色其余主机配置由统一基线下发并附上基线核查记录作为补充证据。评审专家在意的是推理是否自洽并非抽了多少台。还有一个容易被忽略的细节末次会的问题确认签字。现场结束时把不符合项清单打印出来请被测评方逐条确认并签字报告出具后就不会出现「这个问题我们当时不认可」的反复。我吃过一次亏某个配置项现场口头确认过报告发出后对方换了负责人全盘否认只能重新进场复核。从那以后我每次进场前都强制走一遍三件事配合清单提前一周发出、关键设备账户权限书面确认、末次会问题清单当场签字。这三步不花多少时间但能省掉后面几乎所有的返工。这套方案的文档结构、指标表、抽样清单和核查脚本都整理在资源里把系统名称、设备型号和人员岗位替换成自己的就能直接拿去用。希望帮到你。本文还有配套的精品资源点击获取