《等级测评作业工具标准版—测评能手》 等级保护2.0版正式发布

发布时间：2022-04-03 

特点介绍

1、【新老并存，随时过渡】

等级保护2.0新国标及其系列标准即将在2019年12月1日正式实施，为保障各地重要系统试点需求、各地网安提前实行需求以及等级保护管理平台过渡需求，测评能手仍将同时支持老国标、新国标试行版、新国标正式版的使用，满足不同行业、场景的使用需要。

2、【差距分析，重识系统】

无论是网络运营者还是安全服务商，眼下最迫切的需求就是分析信息系统在等保2.0时代是否仍能满足合规要求、是否需要提前申请采购产品或服务的预算等等。当用户打开之前的老国标项目时会发现在“现场核查”环节可以生成“差距分析（老国标三级（S3A3G3）与新国标2.0的差异）”功能，按对象生成差距分析表，左侧为新国标，右侧为老国标，针对控制项的新增、合并、简化、加强、删除等10几种变化，自动对应结果记录及符合情况，并使用颜色区别其差距状态，快速识别对象在新国标下的安全防护水平。

3、【风险判例，统一尺度】

等级保护官方订阅号——安全测评联盟连载的《等保2.0标准执行之高风险判定》所解读的《网络安全等级保护测评高风险判定指引》也将稍后在测评能手上推出。在风险分析和评价环节中结合资产重要程度、测评项权重、符合情况、环境威胁等因素协助测评师进行最终的风险判定，最大限度地减少缺乏经验或考虑不全面造成的主观判断失误的可能性。

4、【科学修正，有理有据】

新推送的报告模版中的整体测评章节将允许测评师直接修正风险。在此基础上测评能手将继续保留“修正因子”，与先前的取值范围0.5~0.9相比，最新的修正因子其取值范围将可设为0.5~1.5，也就是说经过整体测评后，其问题严重程度值可以降低，更有可能被升高（链式反应），以此指导测评师更加有理、有据地修正风险。

5、【行业扩展，支持多选】

在新建项目时，测评能手允许同时选择“云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求、工业控制系统安全扩展要求、大数据可参考安全控制措施”扩展中的多项，以应对各种形态的新型互联网系统的使用需要。在进行现场核查时将根据层面特点，会要求测评师自动或手动添加全局扩展对象，如“云管理平台”等，进行扩展要求的测评，制作全面、准确的等级测评2.0报告。

6、【漏洞审计，规范附件】

“漏洞审计”是当前等级保护测评报告的重要组成部分，用于描述测评机构在渗透测试过程中发现的高危风险问题。模块是基于开放的标准XML格式，扫描工具厂商只需根据此格式生成XML，就能与测评能手对接，目前已有：

国内主流漏扫厂商接入，目前正在对接数据安全治理类产品的报告数据，如全知科技等；此外还可导入诸如Nessus、AppDetective、AppScan、Awvs等国外工具CSV或XML文件的导入。模块还融入测评中心多年整理积累的技术漏洞库，大大提升测评机构实施渗透测试的技术能力和工作效率，生成融合、可读、可分析的结构化报告格式。