【AAA】2015版测评报告计算过程.doc

MeiWei_81重点借鉴文档】1.1 物理安全1.1.1 结果记录测评对象安全控制点测评指标结果记录符合程度机房1物理位置的选择A项）.......机房位置合理5B项）.......机房无用水设施5物理访问控制…机房2物理位置的选择A项）.......机房设置在顶楼4B项）.......机房有水管穿过，没有采取封闭措施2物理访问控制…机房3物理位置的选择A项）.......机房在办公大楼中层，办公大楼建筑年限过久，没有防震证明3B项）.......机房有水管穿过，但已采取封闭措施4物理访问控制…1.1.2 结果汇总针对不同安全控制点对单个测评对象在物理安全层面的单项测评结果进行汇总和统计表4-1物理安全-单元测评结果汇总表序号测评对象符合情况安全控制点物理位置的选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应电磁屏蔽1机房1符合2部分符合0不符合0不适用02机房2符合0部分符合2不符合0不适用03机房3符合0部分符合2不符合0不适用01.1.3 控制点符合情况汇总根据附录A中测评项的符合程度得分，以算术平均法合并多个测评对象在同一测评项的得分，得到各测评项的多对象平均分。

根据测评项权重（参见附件《测评项权重赋值表》，其他情况的权重赋值另行发布），以加权平均合并同一安全控制点下的所有测评项的符合程度得分，并按照控制点得分计算公式得到各安全控制点的5分制得分控制点得分，n为同一控制点下的测评项数，不含不适用的控制点和测评项以表格形式汇总测评结果，表格以不同颜色对测评结果进行区分，部分符合（安全控制点得分在0分和5分之间，不等于0分或5分）的安全控制点采用黄色标识，不符合（安全控制点得分为0分）的安全控制点采用红色标识表4-R单元测评结果分类统计表序号安全层面安全控制点安全控制点得分符合情况符合部分符合不符合不适用1物理安全物理位置的选择3.77√2物理访问控制3防盗窃和防破坏4防雷击序号控制点得分计算过程实例1三级“物理安全”-“物理位置选择”控制点有AB两个测评项，测评了三个机房，A项得分分别为5、4、3，B项分别得分是5、2、4见4.1.1章节）控制点得分计算过程如下：1)计算各测评项的多对象平均分A项的多对象平均分=（5+4+3）/3=4B项的多对象平均分=（5+2+4）/3=3.672)所有测评项的多对象平均分的加权之和（查表得知A项权重0.2，B项权重0.5）4R0.2+3.67R0.5=0.8+1.84=2.643）计算测评项的权重和:0.2+0.5=0.74）计算控制点的得分2.64/0.7=3.77因此，三级“物理安全”-“物理位置选择”控制点的得分是3.77，结果为“部分符合”。

上述计算过程中，计算结果四舍五入后取到小数点后2位序号控制点得分计算过程实例2(有不适用项)1三级“物理安全”-“物理位置选择”控制点有AB两个测评项，测评了三个机房，A项得分分别为5、4、不适用，B项分别得分是5、2、 4控制点得分计算过程如下：1)计算各测评项的多对象平均分A项的多对象平均分=（5+4)/2=4.5B项的多对象平均分=（5+2+4)/3=3.672)所有测评项的多对象平均分的加权之和（查表得知A项权重0.2，B项权重0.5）4.5R0.2+3.67R0.5=0.9+1.84=2.743）计算测评项的权重算术平均分:0.2+0.5=0.74）计算控制点的得分2.74/0.7=3.91因此，三级“物理安全”-“物理位置选择”控制点的得分是3.91，结果为“部分符合”上述计算过程中，计算结果四舍五入后取到小数点后2位1.1.4 安全问题汇总针对单元测评结果中存在的部分符合项或不符合项加以汇总，形成安全问题列表并计算其严重程度值依其严重程度取值为1~5，最严重的取值为5安全问题严重程度值是基于对应的测评项权重并结合附录A中对应测评项的符合程度进行的具体计算公式如下：安全问题严重程度值=（5-测评项符合程度得分）×测评项权重。

表4-4安全问题汇总表问题编号安全问题测评对象安全层面安全控制点测评项测评项权重问题严重程度值1机房设置在顶楼机房2物理安全物理位置选择A项...0.2(5-4)R0.2=0.22机房有水管穿过，没有采取封闭措施机房2物理安全物理位置选择B项...0.5(5-2)R0.5=1.53机房在办公大楼中层，办公大楼建筑年限过久，没有防震证明机房3物理安全物理位置选择A项...0.2(5-3)R0.2=0.44机房有水管穿过，但已采取封闭措施机房3物理安全物理位置选择B项...0.5(5-4)R0.5=0.51.2 整体测评结果汇总根据整体测评结果，修改安全问题汇总表中的问题严重程度值及对应的修正后测评项符合程度得分，并形成修改后的安全问题汇总表（仅包括有所修正的安全问题）可根据整体测评安全控制措施对安全问题的弥补程度将修正因子设为0.5~0.9修正后问题严重程度值问题严重程度值最高为5修正前的问题严重程度值×修正因子修正后测评项符合程度=5-修正后问题严重程度值/测评项权重表5-1修正后的安全问题汇总表该处仅列出问题严重程度有所修正的安全问题序号问题编号该处编号与4.12.2安全问题汇总表中的问题编号一一对应。

安全问题描述测评项权重整体测评描述修正因子修正后问题严重程度值修正后测评项符合程度11机房设置在顶楼0.2RRRR0.90.2R0.9=0.185-0.18/0.2=5-0.9=4.122机房有水管穿过，没有采取封闭措施0.5RRRR0.91.5R0.9=1.355-1.35/0.5=5-2.7=2.333机房在办公大楼中层，办公大楼建筑年限过久，没有防震证明0.2RRRR///44机房有水管穿过，但已采取封闭措施0.5RRRR0.50.5R0.5=0.255-0.25/0.5=5-0.5=4.50.90.5R0.9=0.455-0.45/0.5=5-0.9=4.1(根据上表行四选择不同的调节因子后的分数结果可知:问题获得的弥补性越强，选择的修正因子越小！！ 即:单项分数要高，调节因子要选小！）（问题3无法获得弥补，测评项得分维持不变！ 如果强行进行修正，修正后得分为负分！！)即：“物理安全”-“物理位置选择”控制点的最终测评结果为测评对象安全控制点测评指标结果记录符合程度（调整前）符合程度（调整后）机房1物理位置的选择A项）.......机房位置合理55B项）.......机房无用水设施55物理访问控制…机房2物理位置的选择A项）.......机房设置在顶楼44.1B项）.......机房有水管穿过，没有采取封闭措施。

22.3物理访问控制…机房3物理位置的选择A项）.......机房在办公大楼中层，办公大楼建筑年限过久，没有防震证明33B项）.......机房有水管穿过，但已采取封闭措施44.5物理访问控制…2 总体安全状况分析2.1 系统安全保障评估以表格形式汇总被测信息系统已采取的安全保护措施情况，并综合附录A中的测评项符合程度得分以及5.5章节中的修正后测评项符合程度得分（有修正的测评项以5.5章节中的修正后测评项符合程度得分带入计算），以算术平均法合并多个测评对象在同一测评项的得分，得到各测评项的多对象平均分根据测评项权重（见附件《测评项权重赋值表》，其他情况的权重赋值另行发布），以加权平均合并同一安全控制点下的所有测评项的符合程度得分，并按照控制点得分计算公式得到各安全控制点的5分制得分计算公式为：控制点得分，n为同一控制点下的测评项数，不含不适用的控制点和测评项以算术平均合并同一安全层面下的所有安全控制点得分，并转换为安全层面的百分制得分根据表格内容描述被测信息系统已采取的有效保护措施和存在的主要安全问题情况表6-1系统安全保障情况得分表序号安全层面安全控制点安全控制点得分安全层面得分1物理安全物理位置的选择3.计算方式参考4.1.2章节； 未调整前分数为3.77分。

962物理访问控制3防盗窃和防破坏4防雷击5防火6防水和防潮7防静电8温湿度控制9电力供应10电磁防护11网络安全结构安全4.11蓝色分数为模拟数据共7个控制点，但有一个控制点为不适用，因此：6个控制点总得分26.17平均分为26.17/6=4.36转换为百分制后得分为4.36R20=87.2网络安全层面得分为87.2分12访问控制4.5013安全审计5.0014边界完整性检查不适用15入侵防范4.8016恶意代码防范3.2517网络设备防护4.512.2 等级测评结论综合上述几章节的测评与风险分析结果，根据符合性判别依据给出等级测评结论，并计算信息系统的综合得分等级测评结论应表述为“符合、“基本符合”或者“不符合”结论判定及综合得分计算方式见下表：测评结论符合性判别依据综合得分计算公式符合信息系统中未发现安全问题，等级测评结果中所有测评项得分均为5分100分基本符合信息系统中存在安全问题，但不会导致信息系统面临高等级安全风险p为总测评项数，不含不适用的控制点和测评项，有修正的测评项以5.5章节中的修正后测评项符合程度得分带入计算不符合信息系统中存在安全问题，而且会导致信息系统面临高等级安全风险。

l为安全问题数，p为总测评项数，不含不适用的控制点和测评项注：修正后问题。