广西壮族自治区信息安全风险评估、商用密码应用安全性评估、信息系统安全等级保护测评、信息系统安全等级保护备案咨询

分析与报告编制活动 8.1 分析与报告编制活动的工作流程 现场测评工作结束后，测评方应对现场测评获得的测评结果（或称测评证据）进行汇总分析，形成评估结论，并编制密评报告。 密评人员在初步判定各测评单元涉及的各个测评对象的测评结果后，还需进行单元测评、整体测评、量化评估和风险分析。经过整体测评后，有的测评对象的测评结果可能会有所变化，需进一步修订测评结果，而后进行量化评估和风险分析，*后形成评估结论。分析与报告编制活动包括单元测评、整体测评、量化评估、风险分析、评估结论形成及密评报告编制等六项主要任务。 8.2 分析与报告编制活动的主要任务 8.2.1 单元测评 本任务主要是针对各测评指标中的各个测评对象，客观、准确地分析测评证据，对每个测评对象分别进行测评实施和结果判定。汇总各测评单元涉及的所有测评对象的测评实施结果，得出各测评单元的判定结果，并以表格的形式逐一列出。 ——输入：经过被测单位确认的各类测评结果记录，GM/T BBBB。 任务描述： a) 按照GM/T BBBB，针对各测评单元涉及的各个测评对象，将实际获得的多个测评结果与预期的测评结果相比较，分别判断每个测评结果与预期结果之间的符合性，综合判定该测评对象的测评结果，从而得到每个测评对象对应的测评结果，包括符合、不符合、部分符合和不适用四种情况。 b) 按照GM/T BBBB，汇总各测评单元涉及的所有测评对象的测评实施结果，对各测评单元进行结果判定，判别原则如下： 1) 测评单元包含的所有测评对象的测评结果均为符合，则对应测评单元结果判定为符合。 2) 测评单元包含的所有测评对象的测评结果均为不符合，则对应测评单元结果判定为不符合。 3) 测评单元包含的所有测评对象的测评结果均为不适用，则对应测评单元结果判定为不适用。 4) 测评单元包含的所有测评对象的测评结果不全为符合或不符合，则对应测评单元结果判定为部分符合。 ——输出：密评报告的单元测评部分。
整体测评 本任务针对测评结果为部分符合和不符合的测评对象，采取逐条判定的方法，给出整体测评的具体结果。 ——输入：密评报告的单元测评部分。 任务描述： a) 针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他单元的测评对象能否和它发生关联关系，发生何种关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足，以及该测评项的不足是否会影响与其有关联关系的其他测评项的测评结果。 b) 针对测评对象“部分符合”及“不符合”要求的单个测评项，分析与该测评项相关的其他层面的测评对象能否和它发生关联关系，发生何种关联关系，这些关联关系产生的作用是否可以“弥补”该测评项的不足，以及该测评项的不足是否会影响与其有关联关系的其他测评项的测评结果。 c) 结合单元测评的结果汇总和整体测评结果，将物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全、管理制度、人员管理、建设运行、应急处置等层面中各个测评对象的测评结果再次汇总分析，统计符合情况。 ——输出：密评报告的单元测评结果修正部分。 
量化评估 本任务综合单元测评结果和整体测评结果，计算修正后的各测评指标的各个测评对象的测评结果得分、各测评单元得分、各安全层面得分和整体得分，并对被测信息系统的密码应用情况安全性进行总体评价。 ——输入：密评报告的单元测评的结果汇总及整体测评部分。 任务描述： a) 根据整体测评结果，计算修正后的各测评指标的各个测评对象的测评结果符合程度得分。 b) 根据各个测评对象的符合程度得分，计算各测评单元得分。 c) 根据各测评单元得分，计算各安全层面得分。 d) 根据各安全层面得分，计算整体得分。 e) 根据各测评单元、各层面和整体得分，总体评价被测信息系统已采取的有效保护措施和存在的密码应用安全问题情况。 ——输出：密评报告中整体测评结果和量化评估部分，以及总体评价部分。 
风险分析 本任务依据相关规范和标准，采用风险分析的方法，分析测评结果中存在的安全问题以及可能对被测信息系统安全造成的影响。 ——输入：完成的调查表格，密评报告的整体测评结果和量化评估部分，相关风险评估标准。 任务描述： a) 根据威胁类型和威胁发生频率，判断测评结果汇总中部分符合项或不符合项所产生的安全问题被威胁利用的可能性，可能性的取值范围为高、中和低。 b) 根据资产价值的高低，判断测评结果汇总中部分符合项或不符合项所产生的安全问题被威胁利用后，对被测信息系统的业务信息安全造成的影响程度，影响程度取值范围为高、中和低。 c) 综合前两步分析结果，测评方根据自身经验和GM/T CCCC等相关标准要求，对被测信息系统面临的密码应用安全风险进行赋值，风险值的取值范围为高、中和低。 d) 结合被测信息系统的网络安全保护等级对风险分析结果进行评价，即对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的风险。如果存在高风险项，则认为被测信息系统面临高风险；同时也需要考虑多个中低风险叠加后可能导致的高风险问题。 ——输出：密评报告的风险分析部分。 评估结论形成 本任务在测评结果汇总、量化评估以及风险分析的基础上，形成评估结论。 ——输入：密评报告中被测信息系统的综合得分和总体评价部分，风险分析部分。 任务描述： 根据被测信息系统的综合得分和风险分析结果，得出评估结论。评估结论分为以下三种情况： a) 符合：被测信息系统中未发现安全问题，测评结果中所有单元测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分。 b) 基本符合：被测信息系统中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致被测信息系统面临高等级安全风险，且综合得分不低于阈值。 c) 不符合：被测信息系统中存在安全问题，部分符合和不符合项的统计结果不全为0，而且存在的安全问题会导致被测信息系统面临高等级安全风险，或者综合得分低于阈值。 ——输出：密评报告的评估结论部分。 
密评报告编制 本任务根据分析与报告编制活动的各项任务输出形成密评报告。密评报告应符合信息系统密码应用安全性评估报告模板要求，包括但不限于以下内容：概述、被测信息系统描述、测评对象说明、测评指标说明、测评内容和方法说明、单元测评、整体测评、量化评估、风险分析、评估结论、改进建议等。其中，概述部分描述被测信息系统的总体情况、测评目的和依据等。 ——输入：完成的调查表格，密评方案，单元测评的结果汇总部分，整体测评部分，总体评价部分，风险分析部分，评估结论部分。 任务描述： a) 密评人员整理各项任务输出，编制密评报告相应部分。对每一个定级的被测信息系统应单独形成一份密评报告。 b) 针对被测信息系统存在的安全问题，提出相应改进建议，并编制密评报告改进建议部分。 c) 采取列表方式给出现场测评文档清单和测评记录，以及对各个测评项的测评结果判定情况，编制密评报告单元测评的结果记录、整体测评结果和风险分析结论等部分内容。 d) 密评报告编制完成后，测评方应根据委托测评协议书、被测单位提交的相关文档、测评原始记录和其他辅助信息，对密评报告进行内部评审。 e) 密评报告通过内部评审后，由授权签字人进行签发，提交被测单位。 ——输出：经过评审和确认的密评报告。