【假一罚四】InterpretationandImplementationoftheEvaluationRequirementsforClassifiedGuo Qiquan

Foreword

The Cybersecurity Law of the People’s Republic of China was officially implemented on June 1, 2017. In this fundamental law in the field of cybersecurity, it is clearly stipulated that China implements the classified system of classified protection of cybersecurity. On December 1, 2019, Information Security Technology Network Security—Evaluation Requirements for Classified Protection of Cybersecurity GB/T 28448—2019 (hereinafter referred to as “Evaluation Requirements”), the National Standard of the People’s Republic of China, was implemented.

The Evaluation Requirements is the core standard that guides the test and evaluation agencies to carry out the evaluation for the classified protection of cybersecurity. The correct understanding and use of this standard is the prerequisite for the smooth implementation for the classified protection of cybersecurity.

In order to better understand and comprehend the “Evaluation Requirements” and further improve the evaluation capabilities of test and evaluation agencies, the Cybersecurity Bureau under the Ministry of Public Security, the Zhong guan cun Information Security Evaluation Alliance, and the Information Security Rating Center of the Ministry of Public Security jointly organized and compiled the “Guidelines for the Application of Evaluation Requirements for Classified Protection of Cybersecurity”.

For each evaluation unit in the Evaluation Requirements, this book focuses on the determination of evaluation targets, the key points and methods of evaluation implementation, so as to better guide the classified test and evaluation agencies, the operation and using organizations of classified protection objects and the competent authorities to carry out the evaluation work for classified cybersecurity protection.

This book is divided into 8 chapters. Chapter 1 is the basic concept, which explains the terms or concepts related to the evaluation of classified cybersecurity protection, mainly including classified test and evaluation, evaluation targets and selection, evaluation index and selection, the mapping relationship between evaluation targets and evaluation indicators, and non applicable evaluation index, evaluation intensity, evaluation method, singular evaluation, overall evaluation and evaluation conclusion, etc. Chapter 2 is the general introduction of the Evaluation Requirements, elaborating on the meaning of general requirements for security evaluation and extended requirements for security evaluation. Chapter 3 is the application interpretation of the general evaluation requirements at Level Ⅲ and Level Ⅳ. Chapter 4 is the application and interpretation of the extended requirements of cloud computing security evaluation. Chapter 5 is the application and interpretation of the extended security evaluation requirements of mobile Internet. Chapter 6 is the application and interpretation of the extended security evaluation requirements of Internet of Things. Chapter 7 is the application and interpretation of the extended security evaluation requirements of industrial control systems, and Chapter 8 is the application and interpretation of the extended security evaluation requirements of big data. The content of interpretation includes the evaluation targets, the main points and methods of the evaluation implementation, etc., and the security protection level of the evaluation metric is identified by the evaluation unit number.

The editor in chief of this book is Guo Qiquan, the associate editor in chief are Liu Jianwei and Wang Xinjie, and other main contributors are Zhu Guobang, Fan Chunling, Pan Wenbo, Wang Lianqiang, Yang Yuzhong.

Due to the limited knowledge of the authors, there are inevitably some inadequacies in this book. Please feel free to kindly provide your feedback and correction.

the Author

March,2022

为了更好地理解《信息安全技术网络安全等级保护评估要求》GB/T 28448-2019的相关内容，进一步提高测试评估机构的评估能力，国家相关部门和主要机构联合编写了本书。

对于评估要求中的每个评估单元，本书重点介绍了评估目标的确定、评估实施的要点和方法，以便更好地指导分类测试和评估机构，涉密保护对象的运行使用单位和主管部门开展网络安全涉密保护评估工作。

这本书分为八章。章是基本概念，阐述了网络安全保密评估的相关术语或概念，主要包括保密测试与评估、评估目标与选择、评估指标与选择、评估目标与评估指标的映射关系、非适用的评价指标、评价强度、评价方法、单项评价、整体评价和评价结论等。第二章是评价要求的总体介绍，阐述了安全评价一般要求和安全评价扩展要求的含义。第三章是三级和四级通用评估要求的应用解释。第四章是云计算安全评估扩展需求的应用和解释。第五章是移动互联网扩展安全评估要求的应用和解释。第六章是物联网扩展安全评估要求的应用和解释。第7章是工控系统扩展安全评估要求的应用和解释，第8章是大数据扩展安全评估要求的应用和解释。解释的内容包括评价目标、评价实施要点和方法等，评价指标的安全防护等级由评价单元编号确定。

郭启权，公安部网络安全保护局总工程师。

刘建伟，北京航空航天大学网络空间安全学院 院长，主要研究领域包括：密码学、5G网络安全、移动通信网络安全、天空地一体化网络安全、电子健康网络安全、智能移动终端安全、星地数据链安全等。

Chapter 1Basic Concepts 1

1.1Classified Evaluation1

1.2Evaluation Targets Selection1

1.3Evaluation Index Selection2

1.4The Mapping Relationship Between Evaluation Targets and Evaluation Index

3

1.5NonApplicable Evaluation Index4

1.6Evaluation Strength5

1.7Evaluation Method6

1.8Singular Evaluation6

1.9Overall Evaluation7

1.10Evaluation Conclusion7

Chapter 2General Introduction of the Evaluation Requirements9

2.1Relevant Description of the Evaluation Requirements9

2.2Text Structure of the Evaluation Requirements11

2.3General Requirements and Extended Requirements of Security Evaluation12

Chapter 3Application and Interpretation of the General Security Evaluation

Requirements at Level Ⅲ and Level Ⅳ13

3.1Security Physical Environment13

3.1.1Selection of Physical Location13

3.1.2Physical Access Control 14

3.1.3AntiTheft and AntiVandal15

3.1.4Lightning Prevention 16

3.1.5Fire Protection17

3.1.6Water Resistance and Moisture Resistance19

3.1.7Static Electricity Prevention20

3.1.8Temperature and Humidity Control20

3.1.9Power Supply21

3.1.10Electromagnetic Protection23

3.2Security Communication Network24

3.2.1Network Architecture24

3.2.2Communication Transmission27

3.2.3Trusted Verification29

3.3Security Area Boundary31

3.3.1Boundary Protection31

3.3.2Access Control34

3.3.3Intrusion Prevention37

3.3.4Malicious Code and Spam Prevention39

3.3.5Security Audit40

3.3.6Trusted Verification43

3.4Security Computing Environment44

3.4.1Network Device and Security Device 44

3.4.2Server and Terminal55

3.4.3Application System67

3.4.4Data Security79

3.5Security Management Center87

3.5.1System Management87

3.5.2Audit Management88

3.5.3Security Management89

3.5.4Centralized Management and Control90

3.6Security Management Systems94

3.6.1Security Strategy94

3.6.2Management Systems95

3.6.3Development and Release96

3.6.4Review and Revision97

3.7Security Management Organization98

3.7.1Post Setting98

3.7.2Staffing99

3.7.3Authorization and Approval101

3.7.4Communication and Cooperation102

3.7.5Review and Inspection104

3.8Security Management Personnel106

3.8.1Staff Recruitment106

3.8.2Staff Dismissal108

3.8.3Security Awareness Education and Training109

3.8.4External Visitor Access Management110

3.9Security Development Management113

3.9.1Grading and Filing113

3.9.2Security Scheme Design114

3.9.3Product Procurement and Usage116

3.9.4Software SelfDevelopment118

3.9.5Outsourcing Software Development122

3.9.6Security Engineering Implementation123

3.9.7Test and Acceptance125

3.9.8System Delivery126

3.9.9Classified Security Evaluation127

3.9.10Service Provider Management128

3.10Security Operation and Maintenance Management130

3.10.1Environment Management130

3.10.2Asset Management132

3.10.3Media Management133

3.10.4Device Maintenance Management134

3.10.5Vulnerability and Risk Management136

3.10.6Network and System Security Management137

3.10.7Malicious Code Prevention Management142

3.10.8Configuration Management143

3.10.9Password Management144

3.10.10Change Management145

3.10.11Backup and Recovery146

3.10.12Security Incident Handling148

3.10.13Contingency Plan Management150

3.10.14Outsourcing Operation and Maintenance Management152

Chapter 4Application and Interpretation of the Extended Security Evaluation

Requirements of Cloud Computing155

4.1Overview of Cloud Computing155

4.1.1Basic Concepts155

4.1.2Characteristics of Cloud Computing System156

4.1.3Deployment Model of Cloud Computing157

4.1.4Service Model of Cloud Computing157

4.1.5Cloud Computing Evaluation158

4.2Application and Interpretation of the Extended Security Evaluation

Requirements of Cloud Computing at Level Ⅲ and Level Ⅳ162

4.2.1Security Physical Environment162

4.2.2Security Communication Network163

4.2.3Security Area Boundary168

4.2.4Security Computing Environment175

4.2.5Security Management Center186

4.2.6Security Management System190

4.2.7Security Management Organization190

4.2.8Security Management Personnel190

4.2.9Security Development Management190

4.2.10Security Operation and Maintenance Management194

Chapter 5Application and Interpretation of the Extended Security Evaluation

Requirements of Mobile Internet196

5.1Basic Concepts196

5.1.1Mobile Interconnection196

5.1.2Mobile Terminals196

5.1.3Wireless Access Gateway196

5.1.4Mobile Application Software196

5.1.5Mobile Terminal Management System197

5.2Application Interpretation of Extended Security Evaluation

Requirements of Mobile Internet at Level Ⅲ and Level Ⅳ197

5.2.1Security Physical Environment197