GA/T 2182-2024 关键信息基础设施安全测评要求
本标准面向关基安全测评，与GB/T 39204的保护要求配套理解。公安部标准公开信息列明：2024年12月26日发布，2025年5月1日实施。
以下提供企业侧测评准备与复核方法。正式测评单元、关联评价和结论应按标准全文执行，本文不代设评分和通过线。
测评输入先覆盖关键业务
输入包括正式认定范围、关键业务及依赖、相关等级保护对象和测评材料、架构变更、供应链、监测、应急与历史风险。一个关基涉及多个对象时，分别核对覆盖情况，不能只提供其中“核心系统”的等保报告。
| 范围问题 | 需要取得的事实 |
|---|---|
| 关基边界是什么 | 正式认定、业务范围及生产架构之间的对应关系 |
| 哪些依赖影响业务 | 身份、密码、网络、云、数据库、外部服务和运维权限 |
| 哪些材料可复用 | 等级测评对象、标准版本、时间、样本和实际变更 |
| 哪些部分需专项验证 | 未被已有证据覆盖的强化控制及跨系统关联风险 |
测评边界由事实与适用依据决定，不能直接以合同列出的采购设备为边界。
复用已有证据的四项检查
对象一致。 证据覆盖的系统、地域和版本是否与当前关基相符。
时间有效。 证据形成后是否发生架构、权限、供应商或业务重大变化。
方法足够。 已有证据能够支持本次具体判断，不能用访谈摘要证明实际阻断效果。
限制明确。 未抽样、未能验证和不适用事项分别记录；缺少证据不能被写成已符合。
这些是企业证据复核方法。测评组织应按照本标准关于与等级测评衔接的正式要求安排工作，不能因为有一份等保报告就宣称关基测评已完成。
专项与关联风险如何验证
| 关注点 | 实施性测试示例 | 预期证据 |
|---|---|---|
| 业务依赖 | 受控模拟共享认证或关键外部服务不可用 | 影响判断、告警、降级和恢复结果 |
| 供应链控制 | 核对厂商远程运维、更新和退出通道 | 真实账号、权限、操作及终止后的回收 |
| 监测联动 | 在授权范围回放可识别的测试事件 | 从发现、研判到处置的完整时间线 |
| 组织责任 | 穿行一次重大风险和上线决策 | 责任人、授权、决策及后续整改 |
| 恢复能力 | 验证关键业务链而不只启动备用主机 | 数据一致性、依赖恢复和实际目标达成情况 |
测试要明确授权、范围、业务保护和停止条件，不将生产破坏性测试当作所有项目的默认动作。
从发现项到可关闭的问题
示例。 关基涉及三个等级保护对象，供应商用同一长期账号管理全部对象。各系统日志都有记录，但无法区分具体人员，且供应商退出后账号仍可使用。
发现项应记录账号、访问范围、实际状态、依据及业务影响。整改同时处理实名授权、到期、日志关联和退出验证；复测从原访问通道发起，不能仅检查新写的制度。
如果跨系统同源问题被拆成三个低影响问题分别关闭，整体风险仍可能存在。企业应保存单项事实、关联影响和统一整改之间的对应关系，正式风险与测评判定由适用依据确定。
验收输出与官方入口
完整输出至少能够串联：范围、已有材料复用说明、专项验证、发现及依据、业务影响、整改复测和剩余限制。法规规定的检测评估、事件报告等义务仍按各自条件执行，不能由一次测评结果概括替代。