GB/T 28448-2019 网络安全等级保护测评要求
GB/T 22239提供建设基线，本标准用于测评验证。官方信息列明：2019年5月10日发布，2019年12月1日实施。
以下说明企业如何准备和复核测评证据，不重述标准全部测评单元，也不自行定义正式测评的评分、通过条件或风险等级。
先固定范围和测评输入
测评范围与保护对象、等级、真实架构和关键依赖对应，明确通用要求与扩展要求。资产抽样应说明总体、选择依据和未覆盖项；不能只让受测团队挑选“准备最充分”的服务器。
输入材料至少能够回答：对象是什么、关键组件在哪里、谁管理、哪些控制由云或第三方实施、近期有哪些变更。已下线资产、迁移后的组件和共享平台要分别核验，不能直接复制上年资产表。
一项测评如何形成证据链
| 环节 | 要求记录的内容 | 不足的记录方式 |
|---|---|---|
| 依据 | 标准版本、适用等级、精确条款及测评单元 | 只写“符合等保要求” |
| 对象 | 系统、资产、账号、流程及抽样范围 | 只写某厂商产品名称 |
| 方法 | 访谈、配置核查、技术测试等具体动作 | 只附一张制度封面 |
| 结果 | 测试条件、实际行为、原始证据位置 | 只保留“通过”勾选 |
| 判定 | 按正式依据得出结论，说明限制 | 把未取得证据当成不适用 |
| 复测 | 对原失败条件重新验证，记录变化 | 责任人说已修复便关闭 |
表格是建议的企业记录结构。访谈适合确认责任和流程，配置核查适合确认设计与参数，测试用于确认实际效果；三者可互相校验，但不能把“负责人表示已开启”直接替代真实配置。
单项通过还需检查控制之间的关系
例如账号、边界和日志各自都有制度，也可能存在共享管理员通过备用通道操作数据库，导致行为无法关联个人。企业复核应检查控制是否覆盖同一条真实业务链，而不只统计各控制的完成比例。
云、容器和共享基础设施同样需要核对证据范围：云厂商的底层测评材料可以提供部分事实，不能自然证明租户应用授权、数据权限和运维通道已符合要求。
示例：远程管理链路的测评与整改
输入。 已知管理入口、全部管理账号、认证配置、访问策略、审批记录及日志。测试只在明确授权范围内执行，约定停止条件和业务保护措施。
动作。 先访谈日常与应急访问流程，再核对实际认证和策略；使用测试账号验证未授权入口、已到期权限和允许路径，最后检查日志能否关联个人、资产、时间和动作。
发现。 正常入口受控，但应急账号长期有效且无个人关联。问题应具体描述账号、通道、触发条件和可造成的影响，不只写“账号管理不规范”。
关闭。 整改应急授权和身份关联，重新执行原测试并核对日志。同一平台上的其他对象存在同类配置时，需要扩大排查；不能仅让被抽中的一台主机通过。
判定边界与验收输出
“不适用”应有架构和条款依据；“未能验证”应保留证据缺口；“已整改”需要复测。内部剩余风险决策不能把法定不符合项改写为符合，也不能替代正式测评结论。
验收输出建议包括范围表、适用条款矩阵、原始证据索引、测评结论、发现与整改复测，以及云和第三方材料的覆盖限制。正式测评过程还应结合相应过程标准、监管规则和机构要求。