信息系統(tǒng)等級保護測評需求說明 一、服務(wù)方式 乙方及其工作人員在現(xiàn)場實施測評期間，通過包括但不限于人員訪談、文檔檢查、技術(shù)核查等多種方式向甲方提供本合同內(nèi)所述測評服務(wù)。 1.人員訪談 測評人員通過詢問、交流的方式，檢查系統(tǒng)運行相關(guān)工作人員在實際工作中對安全管理規(guī)章制度的認知程度和執(zhí)行情況； 2.文檔檢查 測評人員通過檢查文檔及信息安全相關(guān)管理制度，驗證用戶已有文檔與相關(guān)標(biāo)準(zhǔn)要求的符合程度； 3.技術(shù)核查 測評人員分別從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心五個層面，檢查系統(tǒng)安全策略的部署和實施現(xiàn)狀，查看系統(tǒng)中設(shè)置的安全策略是否有效地發(fā)揮作用。 二、服務(wù)進度 1.甲方向乙方提供相關(guān)資料并配備專人配合乙方完成基本情況調(diào)研。乙方在完成現(xiàn)場測評后按照制訂的工作計劃完成報告初測初稿（又稱《差距測評報告》）。 2.自甲方簽署漏洞掃描授權(quán)書授權(quán)乙方測試人員在指定時間范圍內(nèi)對甲方指定被測系統(tǒng)實施漏洞掃描服務(wù)，乙方在完成對被測系統(tǒng)的漏洞掃描服務(wù)后20個工作日內(nèi)出具《安全漏洞掃描報告》。 3.甲方有權(quán)于收到初測初稿、《安全漏洞掃描報告》后提出書面意見，乙方應(yīng)本著合法、符合《等級保護測評工作管理規(guī)范》和《信息安全技術(shù) 信息系統(tǒng)安全等級保護測評過程指南》(GB/T 28449-2018)等文件要求、結(jié)合目標(biāo)系統(tǒng)安全防護的真實水平出具初測終稿（即《差距測評報告》和《安全整改建議》）。《差距測評報告》和《安全整改建議》是乙方向甲方提供網(wǎng)絡(luò)安全等級保護測評服務(wù)實施中的過程文件。 4.乙方對甲方開展的安全整改提供必要的指導(dǎo)。甲方整改完畢后20個工作日內(nèi)完成甲方等保測評工作。 5.甲方開展有效整改工作后，由乙方開展驗證性測評工作。乙方完成驗證性測評工作后編制《信息系統(tǒng)等級保護測評報告》。驗證測評工作周期擬定為20個工作日。