五种取证手段
等级测评综合使用五种方法：访谈、文档审查、配置核查、工具测试与渗透测试（按需）。不同条款适用不同方法，管理类多靠访谈与文档审查，技术类多靠配置核查与工具测试，交叉印证才能形成完整证据。工具测试不等于渗透测试——前者以核查配置与已知脆弱性为主，后者在授权范围内模拟攻击验证边界防护有效性。
基本信息
| 依据 | GB/T 28448-2019 测评要求 |
|---|---|
| 五种方法 | 访谈、文档审查、配置核查、工具测试、渗透测试 |
| 方法匹配 | 管理类偏访谈与文档，技术类偏配置与工具 |
| 渗透测试 | 按需开展，须事先书面授权并约定范围 |
| 交叉印证 | 同一条款可用多种方法互相验证 |
| 常见误区 | 把渗透测试当必选项、文档审查只交制度 |
典型使用场景
- 与测评机构确认各条款的取证方式
- 内部自评估时选择匹配的方法
- 工具测试的时间窗与授权安排
- 渗透测试的立项与范围约定
- 迎检访谈的准备与人员安排
方法对照
方法对照
# 访谈：管理制度、人员、应急预案等管理类
# 文档审查：制度发布、记录留存、审批材料
# 配置核查：身份鉴别、访问控制、审计配置
# 工具测试：漏洞核查、入侵防范有效性验证
# 渗透测试：按需验证边界防护，须事先授权方法与证据
| 方法 | 典型适用条款 | 产出证据 |
|---|---|---|
| 访谈 | 管理制度、人员、应急预案 | 访谈记录与要点确认 |
| 文档审查 | 制度发布、记录留存、审批 | 材料目录与问题标注 |
| 配置核查 | 身份鉴别、访问控制、审计 | 配置导出与截图 |
| 工具测试 | 漏洞、弱口令、入侵防范 | 扫描报告与结果分析 |
| 渗透测试 | 边界防护有效性（按需） | 测试报告与利用链说明 |
工具测试不等于渗透测试：前者以核查配置与已知脆弱性为主，后者在授权范围内模拟攻击链，两者的授权要求与风险等级不同。
文档审查只交制度不交运行记录，管理类条款很难判符合：制度解决「有没有要求」，记录解决「有没有做」。