信息系統等級保護測評需求說明 一、服務方式 乙方及其工作人員在現場實施測評期間，通過包括但不限于人員訪談、文檔檢查、技術核查等多種方式向甲方提供本合同內所述測評服務。 1.人員訪談 測評人員通過詢問、交流的方式，檢查系統運行相關工作人員在實際工作中對安全管理規章制度的認知程度和執行情況； 2.文檔檢查 測評人員通過檢查文檔及信息安全相關管理制度，驗證用戶已有文檔與相關標準要求的符合程度； 3.技術核查 測評人員分別從安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心五個層面，檢查系統安全策略的部署和實施現狀，查看系統中設置的安全策略是否有效地發揮作用。 二、服務進度 1.甲方向乙方提供相關資料并配備專人配合乙方完成基本情況調研。乙方在完成現場測評后按照制訂的工作計劃完成報告初測初稿（又稱《差距測評報告》）。 2.自甲方簽署漏洞掃描授權書授權乙方測試人員在指定時間范圍內對甲方指定被測系統實施漏洞掃描服務，乙方在完成對被測系統的漏洞掃描服務后20個工作日內出具《安全漏洞掃描報告》。 3.甲方有權于收到初測初稿、《安全漏洞掃描報告》后提出書面意見，乙方應本著合法、符合《等級保護測評工作管理規范》和《信息安全技術 信息系統安全等級保護測評過程指南》(GB/T 28449-2018)等文件要求、結合目標系統安全防護的真實水平出具初測終稿（即《差距測評報告》和《安全整改建議》）。《差距測評報告》和《安全整改建議》是乙方向甲方提供網絡安全等級保護測評服務實施中的過程文件。 4.乙方對甲方開展的安全整改提供必要的指導。甲方整改完畢后20個工作日內完成甲方等保測評工作。 5.甲方開展有效整改工作后，由乙方開展驗證性測評工作。乙方完成驗證性測評工作后編制《信息系統等級保護測評報告》。驗證測評工作周期擬定為20個工作日。