《管理辦法》第十四條規(guī)定：信息系統(tǒng)建設(shè)完成后，運(yùn)營、使用單位或者其主管部門應(yīng)當(dāng)選擇符合本辦法規(guī)定條件的測評(píng)機(jī)構(gòu)，依據(jù)《測評(píng)要求》等技術(shù)標(biāo)準(zhǔn)，定期對(duì)信息系統(tǒng)安全等級(jí)狀況開展等級(jí)測評(píng)；第三級(jí)信息系統(tǒng)應(yīng)當(dāng)每年至少進(jìn)行一次等級(jí)測評(píng)，第四級(jí)信息系統(tǒng)應(yīng)當(dāng)每半年至少進(jìn)行一次等級(jí)測評(píng)，第五級(jí)信息系統(tǒng)應(yīng)當(dāng)依據(jù)特殊安全需求進(jìn)行等級(jí)測評(píng)。
測評(píng)機(jī)構(gòu)應(yīng)當(dāng)依據(jù)《管理辦法》、《測評(píng)機(jī)構(gòu)管理辦法》、《測評(píng)要求》、《測評(píng)過程指南》等國家標(biāo)準(zhǔn)進(jìn)行等級(jí)測評(píng)，按照統(tǒng)一制訂的《測評(píng)報(bào)告模版》格式出具測評(píng)報(bào)告。按照行業(yè)標(biāo)準(zhǔn)規(guī)范開展安全建設(shè)整改的信息系統(tǒng)，可以國家標(biāo)準(zhǔn)為依據(jù)開展等級(jí)測評(píng)，也可以行業(yè)標(biāo)準(zhǔn)規(guī)范為依據(jù)開展等級(jí)測評(píng)。
等級(jí)測評(píng)依據(jù)的兩個(gè)主要標(biāo)準(zhǔn)分別是《GB/T28448—2012測評(píng)要求》和《GB/T28449—2012測評(píng)過程指南》。其中，《測評(píng)要求》闡述了《基本要求》中各要求項(xiàng)的具體測評(píng)方法、步驟和判斷依據(jù)等，用來評(píng)定信息系統(tǒng)的安全保護(hù)措施是否符合《基本要求》?！稖y評(píng)過程指南》規(guī)定了開展等級(jí)測評(píng)工作的基本過程、流程、任務(wù)及工作產(chǎn)品等，規(guī)范測評(píng)機(jī)構(gòu)的等級(jí)測評(píng)工作，并對(duì)在等級(jí)測評(píng)過程中何時(shí)如何使用《測評(píng)要求》提出了指導(dǎo)建議。二者共同指導(dǎo)等級(jí)測評(píng)工作。等級(jí)測評(píng)的測評(píng)對(duì)象是已經(jīng)確定等級(jí)的信息系統(tǒng)。特定等級(jí)測評(píng)項(xiàng)目面對(duì)的被測評(píng)系統(tǒng)是由一個(gè)或多個(gè)不同安全保護(hù)等級(jí)的定級(jí)對(duì)象構(gòu)成的信息系統(tǒng)。等級(jí)測評(píng)實(shí)施通常采用的測評(píng)方法是訪談、文檔審查、配置檢查、工具測試、實(shí)地查看。
