报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 网络安全等级保护 [被测对象名称]等级测评报告 被测单位： 测评单位： 报告时间： 年 月 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 【2021 版】 说明： 一、每个备案系统单独出具测评报告。 二、测评报告编号为四组数据。各组含义和编码规则如下： 第一组为系统备案表编号，由 2 段 16 位数字组成，可以从公安机 关颁发的系统备案证明（或备案回执）上获得。第 1 段即备案证明编 号的前 11 位（前 6 位为受理备案公安机关代码，后 5 位为受理备案 的公安机关给出的备案单位的顺序编号） ；第 2 段即备案证明编号的 后 5 位（系统编号） 。 第二组为年份，由 2 位数字组成。例如 09 代表 2009 年。 第三组为机构代码，由网络安全等级测评与检测评估机构服务认 证证书编号最后四位数字组成。 第四组为本年度系统测评次数，由两位构成。例如 02 表示该系统 本年度测评 2 次。 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 【2021 版】 网络安全等级测评基本信息表 被测对象 被测对象名称 安全保护等级 备案证明编号 被测单位 单位名称 单位地址 联系人 邮政编码 姓名 职务/职称 所属部门 办公电话 移动电话 电子邮件 测评单位 单位名称 公安部信息安全等级保护评估中心 机构代码 SC202127130010001 单位地址 北京市海淀区阜成路 58 号新洲商务大厦 7 层 邮政编码 100142 姓名 联系人 审核批准 张宇翔 职务/职称 副主任 所属部门 评估中心 办公电话 010-51607592 移动电话 —— 电子邮件 zhang_yuxiang@cspec.org.cn 编制人 （签字） 编制日期 审核人 （签字） 审核日期 批准人 （签字） 批准日期 网络安全等级测评基本信息表 I 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 【2021 版】 声明 【填写说明：声明是测评机构对测评报告的有效性前提、测评结论的 适用范围以及使用方式等有关事项的陈述，测评机构可参考以下建议 书写内容编制。】 本报告是[被测对象名称]的等级测评报告。 本报告测评结论的有效性建立在被测评单位提供相关证据的真 实性基础之上。 本报告中给出的测评结论仅对被测对象当时的安全状态有效。当 测评工作完成后，由于被测对象发生变更而涉及到的系统构成组件 （或子系统）本报告不再适用。 本报告中给出的测评结论不能作为对被测对象内部部署的相关 系统构成组件（或产品）的测评结论。 在任何情况下，若需引用本报告中的测评结果或结论都应保持其 原有的意义，不得对相关内容擅自进行增加、修改和伪造或掩盖事实。 单位名称（加盖单位公章或等级测评业务专用章） 年 声明 II 月 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 【2021 版】 等级测评结论 【填写说明：表项“第 z 级（SxAy）”中， “第 z 级”表示被测对象的安全保护等 级， “z”的取值为（一、二、三、四或五）； “Sx”和“Ay”分别表示被测对象的 业务信息和系统服务安全保护等级，x 和 y 的取值为（1、2、3、4 或 5），如第三 级（S3A3）。如果被测对象由独立定级的云计算平台或大数据平台提供平台支撑， 或者自身为独立定级的云计算平台或大数据平台，则需填写等级测评结论扩展表 （云计算安全）或等级测评结论扩展表（大数据安全），否则删除等级测评结论 扩展表。】 测评结论和综合得分 被测对象名称 安全保护等级 扩展要求 云计算 移动互联 应用情况 工业控制系统 大数据 第 z 级（SxAy） 物联网 【填写说明：简要描述被测对象承载的业务功能等基本情况，以及被测 对象安全技术情况和安全管理情况，建议不超过 400 字】 被测对象描述 【填写说明：根据实际测评情况简要描述被测对象的整体安全状况，包 括最主要的中高风险安全问题及数量和等级结论，建议不超过 400 字】 安全状况描述 【填写说明：除填写测评结论外， 等级测评结论 还需加盖测评机构单位公章或等级 测评业务专用章】 等级测评结论 III 综合得分 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 等级测评结论 IV 【2021 版】 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 【2021 版】 等级测评结论扩展表（云计算安全） 【填写说明】 1、 “被测对象云计算形态”用于明确被测对象是云计算平台还是云服务客户 业务应用系统，此处为单选。“被测对象采用的云计算服务模式”用于描述被测 对象所采用的云计算服务模式，此处为单选。当云计算形态为云服务客户业务应 用系统时，“云计算平台名称”填写该被测对象所使用的云计算平台名称。 2、 “云计算平台服务能力描述”给出了当前服务模式下云计算平台为云服务 客户提供的服务能力符合情况，以及云计算平台的等级测评结论和综合得分。需 要注意的是，表中以第四级为例给出了云计算安全扩展主要要求，测评机构应根 据被测对象安全保护等级情况，参照表中内容给出相应等级的云计算安全扩展主 要要求。 3、如果云服务客户业务应用系统同时部署在不同模式的云计算平台上时， 可以使用多个使用等级测评结论扩展表（云计算安全）来展示。 【说明结束】 等级测评结论扩展表（云计算安全） 云计算平台 被测对象 云服务客户业务应用系统（平台报告编号： 云计算形态 【填写说明：填写该云服务客户业务应用系统在当前服务模式下所使用的 ） 云计算平台的等级测评报告编号。】 被测对象采 云计算平台 用的 名称 云计算服务 模式  IaaS  PaaS  SaaS 云计算平台服务能力描述 云计算安全扩展主要要求 等级测评结论扩展表（云计算安全） V 符合情况 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 【2021 版】 b)应实现不同云服务客户虚拟网络之间的隔离； c)应具有根据云服务客户业务需求提供通信传输、边界防护、 入侵防范等安全机制的能力； e)应提供开放接口或开放性安全服务，允许云服务客户接入 网络架构 第三方安全产品或在云计算平台选择第三方安全服务； f)应提供对虚拟资源的主体和客体设置安全标记的能力，保证 云服务客户可以依据安全标记和强制访问控制规则确定主体 对客体的访问； g) 应提供通信协议转换或通信协议隔离等的数据交换方式， 保证云服务客户可以根据业务需求自主选择边界数据交换方 式； 入侵防范 安全审计 a)应能检测到云服务客户发起的网络攻击行为，并能记录攻 击类型、攻击时间、攻击流量等； b)应保证云服务商对云服务客户系统和数据的操作可被云服 务客户审计。 c)应使用校验技术或密码技术保证虚拟机迁移过程中重要数 数据完整性和 保密性 据的完整性，并在检测到完整性受到破坏时采取必要的恢复 措施； d)应支持云服务客户部署密钥管理解决方案，保证云服务客 户自行实现数据的加解密过程。 b)应提供查询云服务客户数据及备份存储位置的能力； 数据备份恢复 d)应为云服务客户将业务系统及数据迁移到其他云计算平台 和本地系统提供技术手段，并协助完成迁移过程。 剩余信息保护 b)云服务客户删除业务应用数据时，云计算平台应将云存储 中所有副本删除。 a)应选择安全合规的云服务商，其所提供的云计算平台应为 云服务商选择 其所承载的业务应用系统提供相应等级的安全保护能力； b)应在服务水平协议中规定云服务的各项服务内容和具体技 术指标； 供应链管理 b)应将供应链安全事件信息或安全威胁信息及时传达到云服 务客户； 云计算平台等级测评结论 等级测评结论扩展表（云计算安全） 云计算平台综合得分 VI 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 【2021 版】 等级测评结论扩展表（大数据安全） 【填写说明】 1、 “被测对象大数据形态”用于明确被测对象的大数据形态是否包括大数据 平台、大数据应用或大数据资源，此处为多选。当大数据形态为大数据应用或大 数据资源时， “大数据平台名称”填写承载大数据业务所使用的大数据平台名称。 2、 “大数据平台服务能力描述”给出了大数据平台的服务能力符合情况，以 及大数据平台的等级测评结论和综合得分。需要注意的是，表中以第四级为例给 出了大数据安全扩展主要要求，测评机构应根据被测对象安全保护等级情况，参 照表中内容给出相应等级的大数据安全扩展主要要求。 【说明结束】 等级测评结论扩展表（大数据安全） 大数据平台 被测对象 大数据形态 大数据应用（平台报告编号： ） 大数据资源（平台报告编号： ） 【填写说明：当大数据资源或大数据应用采用大数据平台提供方提供平台 支撑时，平台报告编号为该大数据平台的等级测评报告编号。】 大数据平台 名称 大数据平台服务能力描述 大数据安全扩展主要要求 数据隔离 b) 应保证大数据平台的管理流量与系统业务流量分离。 g) 对外提供服务的大数据平台，平台或第三方只有在大数 据应用授权下才可以对大数据应用的数据资源进行访问、使 用和管理； n) 大数据平台应保证不同客户大数据应用的审计数据隔离 存放； 静态脱敏和 f) 大数据平台应提供静态脱敏和去标识化的工具或服务组件 等级测评结论扩展表（大数据安全） VII 符合情况 报告编号：XXXXXXXXXXX-XXXXX-XX-XXXX-XX 去标识化 安全审计 技术； n) 大数据平台应提供不同客户审计数据收集汇总和集中分 析的能力； i) 访问控制 【2021 版】 大数据平台应提供设置数据安全标记功能，基于安全标 记的授权和访问控制措施，满足细粒度授权访问控制管理能 力要求； h) 大数据平台应提供数据分类分级安全管理功能，供大数 据应用针对不同类别级别的数据采取不同的安全保护措施； 数据分类分 级的标识 j) 大数据平台应在数据采集、存储、处理、分析等各个环 节，支持对数据进行分类分级处置，并保证安全保护策略保 持一致； o) 大数据平台应具备对不同类别、不同级别数据全生命周 期区分处置的能力。 数据溯源 m) 应跟踪和记录数据采集、处理、分析和挖掘等过程，保 证溯源数据能重现相应过程，溯源数据满足合规审计要求； c) 资源管理 大数据平台应为大数据应用提