② 確定測評指標(biāo)及測評內(nèi)容。根據(jù)被測系統(tǒng)調(diào)查表格,得出被測系統(tǒng)的定級結(jié)果,包括業(yè)務(wù)網(wǎng)絡(luò)安全保護(hù)等級和系統(tǒng)服務(wù)安全保護(hù)等級,從而得出被測系統(tǒng)應(yīng)采取的安全保護(hù)措施 ASG 組合情況。如,目標(biāo)系統(tǒng)的安全保護(hù)等級為第三級(S3A3G3),其測評指標(biāo)應(yīng)包括《基本要求》7.1 節(jié)“技術(shù)要求”和 7.2 節(jié)“管理要求”中的第三級通用指標(biāo)類(G3)、第三級業(yè)務(wù)信息安全性指標(biāo)類(S3)和第三級業(yè)務(wù)服務(wù)保證類(A3)要求。對于由多個不同等級的信息系統(tǒng)組成的被測系統(tǒng),應(yīng)分別確定各個定級對象的測評指標(biāo)。如果多個定級對象共用物理環(huán)境或管理體系,而且測評指標(biāo)不能分開,則不能分開的這些測評指標(biāo)應(yīng)采用就高原則。
③ 確定測評工具接入點。一般來說,測評工具的接入采取從外到內(nèi),從其他網(wǎng)絡(luò)到本地網(wǎng)段的逐步逐點接入,即:測評工具從被測系統(tǒng)邊界外接入、在被測系統(tǒng)內(nèi)部與測評對象不同網(wǎng)段及同一網(wǎng)段內(nèi)接入等幾種方式。從被測系統(tǒng)邊界外接入時,測評工具一般接在系統(tǒng)邊界設(shè)備(通常為交換設(shè)備)上。在該點接入漏洞掃描器,掃描探測被測系統(tǒng)的主機、網(wǎng)絡(luò)設(shè)備對外暴露的安全漏洞情況;從系統(tǒng)內(nèi)部與測評對象不同網(wǎng)段接入時,測評工具一般接在與被測對象不在同一網(wǎng)段的內(nèi)部核心交換設(shè)備上;在系統(tǒng)內(nèi)部與測評對象同一網(wǎng)段內(nèi)接入時,測評工具一般接在與被測對象在同一網(wǎng)段的交換設(shè)備上;結(jié)合網(wǎng)絡(luò)拓?fù)鋱D,采用圖示的方式描述測評工具的接入點、測評目的、測評途徑和測評對象等相關(guān)內(nèi)容。