信息安全等級保護評估內(nèi)容涵蓋組織的重要信息資產(chǎn)，分為兩個主要級別：技術和管理。 技術水平主要是衡量和分析網(wǎng)絡和主機上存在的安全技術風險，包括物理環(huán)境，網(wǎng)絡設備，主機系統(tǒng)和應用系統(tǒng)等硬件和軟件設備； 管理水平包括人員，組織結構，管理體系，系統(tǒng)運行保證措施以及其他運行管理標準，分析業(yè)務運行和管理中的安全缺陷。 通過對上述安全威脅的分析和總結，形成了組織的安全評估報告。 根據(jù)組織的安全評估報告和安全狀況，提出相應的安全整改建議，以指導下一步的建設。
等級評估的兩個主要標準是“ GB / T28448-2012評估要求”和“ GB / T28449-2012評估過程指南”。 其中，“評估要求”描述了“基本要求”中每個要求項的具體評估方法，步驟和判斷依據(jù)，用于評估信息系統(tǒng)的安全保護措施是否滿足“基本要求”。 《評估過程指南》規(guī)定了等級評估工作的基本過程，過程，任務和工作成果，規(guī)范了評估機構的等級評估工作，并提供了如何在等級中使用“測量要求”的指導性建議。 評估過程。 。 兩者共同指導水平評估工作。 等級評估的評估對象是已確定等級的信息系統(tǒng)。 特定級別評估項目所面對的評估系統(tǒng)是一種信息系統(tǒng)，由一個或多個不同安全保護級別的評估對象組成。 等級評估實施中常用的評估方法是訪談，文檔審查，配置檢查，工具測試和現(xiàn)場檢查。
