《管理辦法》第十四條規(guī)定：信息系統(tǒng)建設(shè)完成后，運營、使用單位或者其主管部門應(yīng)當選擇符合本辦法規(guī)定條件的測評機構(gòu)，依據(jù)《測評要求》等技術(shù)標準，定期對信息系統(tǒng)安全等級狀況開展等級測評；第三級信息系統(tǒng)應(yīng)當每年至少進行一次等級測評，第四級信息系統(tǒng)應(yīng)當每半年至少進行一次等級測評，第五級信息系統(tǒng)應(yīng)當依據(jù)特殊安全需求進行等級測評。
測評機構(gòu)應(yīng)當依據(jù)《管理辦法》、《測評機構(gòu)管理辦法》、《測評要求》、《測評過程指南》等國家標準進行等級測評，按照統(tǒng)一制訂的《測評報告模版》格式出具測評報告。按照行業(yè)標準規(guī)范開展安全建設(shè)整改的信息系統(tǒng)，可以國家標準為依據(jù)開展等級測評，也可以行業(yè)標準規(guī)范為依據(jù)開展等級測評。
等級測評依據(jù)的兩個主要標準分別是《GB/T28448—2012測評要求》和《GB/T28449—2012測評過程指南》。其中，《測評要求》闡述了《基本要求》中各要求項的具體測評方法、步驟和判斷依據(jù)等，用來評定信息系統(tǒng)的安全保護措施是否符合《基本要求》。《測評過程指南》規(guī)定了開展等級測評工作的基本過程、流程、任務(wù)及工作產(chǎn)品等，規(guī)范測評機構(gòu)的等級測評工作，并對在等級測評過程中何時如何使用《測評要求》提出了指導(dǎo)建議。二者共同指導(dǎo)等級測評工作。等級測評的測評對象是已經(jīng)確定等級的信息系統(tǒng)。特定等級測評項目面對的被測評系統(tǒng)是由一個或多個不同安全保護等級的定級對象構(gòu)成的信息系統(tǒng)。等級測評實施通常采用的測評方法是訪談、文檔審查、配置檢查、工具測試、實地查看。
