3.现场预测评

根据等级保护测评项，从管理与技术两方面开展等级保护测评工作。

系统安全等级保护建设在技术上分别涵盖于物理、网络、主机、应用、数据五大方面，主要从身份鉴别和自主访问控制、强制访问控制、安全审计、完整性和保密性保护、边界保护、资源控制、入侵防范和恶意代码防范、可信路径设置、系统防渗透措施、安全管理平台设置、备份与恢复、密码技术应用、环境与设施安全对整个项目体系做出预测评。除技术方面外，还需建设完整的管理机构与制度体系，对整体的管理、监督、流动分别进行要求。信息系统安全保护等级不同，测评项目数量也不同。

4.建设整改

根据预测评对严重的问题提出建议，并实施落地。需要注意的是，统一安全管理应该技术和管理并重，只有这样，才能实现全面、完整的安全。重技术、轻管理，或者是重管理，轻技术都是不可取的。

5.正式测评

测评机构对整改后的系统进行复测，分数达标后出具测评报告。

6.项目结束

最后，一般来说，等级保护项目有以下测评难点：

①安全策略变更难。（变更后可能会影响业务）

②漏洞补丁无法及时更新。（变更后可能会影响业务）

③信息安全管理制度不完善。（未制定、制度粗糙、记录不全）

④设备配备不全，甚至无安全防护设备。（如：堡垒机、审计设备、下一代防火墙等）

安全建议：①定期进行等级保护测评；②定期进行漏洞扫描、渗透测试；③部署安全监测；④进行信息系统详细梳理。返回搜狐，查看更多