等保2.0.整体测评结果分析

概述

这块内容也是等保2.0里面新加的东西，大概意思就是说：虽然进行测评后得到的每个测评控制点的结果，但是这个结果是可以进行合理的调整；或者区域间/层面间的测评结果也是可以进行调整的。

这里要注意2点：
1、要合情合理，不是瞎调；
2、调整后，结果可能变好，也有可能变差。
下面先列出标准中的内容，然后针对具体要求进行对应的解读。

GB/T 28448-2019测评要求内容摘录

GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》中对于整体测评的要求在第11章

11.1概述

等级保护对象整体测评应从安全控制点、安全控制点间和区域间等方面进行测评和综合安全分析，从而给出等级测评结论。整体测评包括安全控制点测评、安全控制点间测评和区域间测评。
安全控制点测评是指对单个控制点中所有要求项的符合程度进行分析和判定。
安全控制点间安全测评是指对同一区域同一类内的两个或者两个以上不同安全控制点间的关联进行测评分析，其目的是确定这些关联对等级保护对象整体安全保护能力的影响。
区域间安全测评是指对互连互通的不同区域之间的关联进行测评分析，其目的是确定这些关联对等级保护对象整体安全保护能力的影响。

11.2安全控制点测评

在单项测评完成后，如果该安全控制点下的所有要求项为符合，则该安全控制点符合，否则为不符合或部分符合。（单项测评分数计算见上一篇文章，本文不在赘述）

11.3安全控制点间测评

在单项测评完成后，如果等级保护对象的某个安全控制点中的要求项存在不符合或部分符合，应进行安全控制点间测评，应分析在同一类内，是否存在其他安全控制点对该安全控制点具有补充作用（如物理访问控制和防盗窃、身份鉴别和访问控制等）。同时，分析是否存在其他的安全措施或技术与该要求项具有相似的安全功能。
根据测评分析结果，综合判断该安全控制点所对应的系统安全保护能力是否缺失，如果经过综合分析单项测评中的不符合项或部分符合项不造成系统整体安全保护能力的缺失，则对该测评指标的测评结果予以调整。

11.4区域间测评

在单项测评完成后，如果等级保护对象的某个安全控制点中的要求项存在不符合或部分符合，应进行区域间安全测评，重点分析等级保护对象中访问控制路径（如不同功能区域间的数据流流向和控制方式等）是否存在区域间的相互补充作用。
根据测评分析结果，综合判断该安全控制点所对应的系统安全保护能力是否缺失，如果经过综合分析单项测评中的不符合项或部分符合项不造成系统整体安全保护能力的缺失，则对该测评指标的测评结果予以调整。

测评要求内容解读

在等保2.0新版的等级测评报告模板中，整体测评结果分析在第4节，下面分有三个小节，分别是：
4.1 安全控制点间安全测评（对应GB/T 28448-2019 11.2）
4.2 区域间/层面间安全测评（对应GB/T 28448-2019 11.3）
4.3 整体测评结果汇总

---

其中，4.1和4.2的填写要从安全控制点间、区域间/层面间和验证测试等方面对单项测评的结果进行验证、分析和整体评价。具体内容参见GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》。
4.3的填写要根据整体测评结果汇总统计修正后的安全问题。【摘自模板说明】

---

安全控制点间安全测评

安全控制间的安全测评主要考虑同一区域内、同一层面上的不同安全控制间存在的功能增强、补充或削弱等关联作用。安全功能上的增强和补充可以使两个不同强度、不同等级的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。例如，可以通过物理层面上的物理访问控制来增强其安全防盗窃功能等。安全功能上的削弱会使一个安全控制的引入影响另一个安全控制的功能发挥或者给其带来新的脆弱性。
通俗的比喻：没钱装防盗设备，带来这个测评项不符合，但是有请保安24小时值班看守，当然可以说有相应的措施，测评结果变成符合，如果连保安都请不起，只买了条大黄狗看门，这个补救措施只能起到部分作用，那么测评结果就变成部分符合。当然，也可以是综合影响：既请保安，又买大黄狗，保安打瞌睡的时候大黄狗可以cover漏洞，二者综合安全性能有所提升。

区域间/层面间安全测评

区域间安全测评

区域间的安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。例如，流入某个区域的所有网络数据都已经在另一个区域上做过网络安全审计，则可以认为该区域通过区域互连后具备网络安全审计功能。安全功能上的增强和补充可以使两个不同区域上的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个区域上的安全功能影响另一个区域安全功能的发挥或者给其带来新的脆弱性。

例子：就是2级系统的数据库服务器如果是部署在一个已经通过3级等保物理环境（机房），那么物理环境这块肯定是没问题；
或者说：三级的云平台上可以跑二级或者三级的系统，二级的云平台只能跑二级系统。

层面间安全测评

层面间的安全测评主要考虑同一区域内的不同层面之间存在的功能增强、补充和削弱等关联作用。安全功能上的增强和补充可以使两个不同层面上的安全控制发挥更强的综合效能，可以使单个低等级安全控制在特定环境中达到高等级信息系统的安全要求。安全功能上的削弱会使一个层面上的安全控制影响另一个层面安全控制的功能发挥或者给其带来新的脆弱性。
例子：

安全层面	风险	影响
安全计算环境	安全设备、服务器和应用系统未采用两种或两种以上组合的鉴别技术对用户进行身份鉴别，削弱了管理员账户的安全性，无法避免账号的未授权窃取或违规使用，安全设备、服务器和应用系统分别采用https和ssh远程管理	设备和系统所在的云VPC网络环境安全可控，并采用云安全中心和应用防火墙进行入侵防范，且口令策略和复杂度、长度符合要求，身份信息破解难度较高，从一定程度上可以降低未采用双因素鉴别带来的风险。
安全计算环境	VPN未限制VPN管理账号登录地址。	VPN部署在运维区，且VPN和堡垒机上已做策略限制VPN仅能访问堡垒机，并采用VPN账户口令和运维端SSH key两种方式才可登录堡垒机进行运维操作，网络攻击难度较高，从一定程度上可以降低未限制登陆地址带来的风险。
安全计算环境	数据库未采用密码技术保证重要数据在传输过程中的保密性，存在泄密的风险。	数据库和应用服务器通信的阿里云VPC网络环境安全可控，且已采用云安全中心和应用防火墙进行入侵防范，网络攻击难度较高，从一定程度上可以降低网络攻击的风险。

PS：以上示例纯属虚构，要根据实际被测系统环境及测评结果进行实际分析。

整体测评结果汇总

这个小节是根据整体测评结果，对安全问题汇总表中的安全问题进行修正，风险等级为“高”、“中”、“低”，把修正后的问题风险程度记录到一个表中（仅列出风险等级有所修正的安全问题，没有则本节可以删除，或者注明为：空）

上表中的问题编号，要和整个被测系统中安全问题汇总表中的问题编号一一对应。

小结

通过最后的整体测评结果分析，可以对测评结果进行一些修正，在一些情况下做一些补救。
将所有因素考虑进来，就可以得到最终的测评结果。
当然，如果没有修正也需要做相应的说明，说明被测系统没有修正项。