信息安全等級保護(hù)評估內(nèi)容涵蓋組織的重要信息資產(chǎn)，分為兩個主要級別：技術(shù)和管理。 技術(shù)水平主要是衡量和分析網(wǎng)絡(luò)和主機(jī)上存在的安全技術(shù)風(fēng)險，包括物理環(huán)境，網(wǎng)絡(luò)設(shè)備，主機(jī)系統(tǒng)和應(yīng)用系統(tǒng)等硬件和軟件設(shè)備； 管理水平包括人員，組織結(jié)構(gòu)，管理體系，系統(tǒng)運(yùn)行保證措施以及其他運(yùn)行管理標(biāo)準(zhǔn)，分析業(yè)務(wù)運(yùn)行和管理中的安全缺陷。 通過對上述安全威脅的分析和總結(jié)，形成了組織的安全評估報告。 根據(jù)組織的安全評估報告和安全狀況，提出相應(yīng)的安全整改建議，以指導(dǎo)下一步的建設(shè)。
等級評估的兩個主要標(biāo)準(zhǔn)是“ GB / T28448-2012評估要求”和“ GB / T28449-2012評估過程指南”。 其中，“評估要求”描述了“基本要求”中每個要求項(xiàng)的具體評估方法，步驟和判斷依據(jù)，用于評估信息系統(tǒng)的安全保護(hù)措施是否滿足“基本要求”。 《評估過程指南》規(guī)定了等級評估工作的基本過程，過程，任務(wù)和工作成果，規(guī)范了評估機(jī)構(gòu)的等級評估工作，并提供了如何在等級中使用“測量要求”的指導(dǎo)性建議。 評估過程。 。 兩者共同指導(dǎo)水平評估工作。 等級評估的評估對象是已確定等級的信息系統(tǒng)。 特定級別評估項(xiàng)目所面對的評估系統(tǒng)是一種信息系統(tǒng)，由一個或多個不同安全保護(hù)級別的評估對象組成。 等級評估實(shí)施中常用的評估方法是訪談，文檔審查，配置檢查，工具測試和現(xiàn)場檢查。
