测评方案定什么
测评方案确定三件事：测评哪些对象、用哪些条款作为指标、用什么方法取证。方案由测评机构编制、双方书面确认后执行，是现场工作的依据；对象清单漏掉数据库、中间件或应用，现场临时扩范围会直接影响进度与报价。指标来源是 GB/T 22239-2019 对应等级条款加上 GB/T 28448-2019 的测评要求。
基本信息
| 输出物 | 测评方案、测评对象清单、测评指导书、进度计划 |
|---|---|
| 指标来源 | GB/T 22239-2019 对应等级条款 + GB/T 28448-2019 |
| 方法组合 | 访谈、文档审查、配置核查、工具测试 |
| 确认方式 | 双方书面确认（范围、抽样比例、工具测试安排） |
| 前置输入 | 备案信息、定级报告、资产清单、拓扑图 |
| 范围变更 | 范围调整走书面变更，避免口头扩项 |
典型使用场景
- 测评项目启动阶段的方案评审
- 确定抽样比例与现场排期
- 与业务部门协调停机窗口与陪同时段
- 判断哪些系统纳入本年度测评范围
- 多系统年度测评的统一口径与资源安排
测评对象清单示例
测评对象清单示例
# 网络设备：核心交换机、边界防火墙、IPS
# 安全设备：WAF、日志平台、堡垒机
# 服务器：业务服务器、数据库服务器
# 数据库与中间件：MySQL、Redis、Nginx
# 应用系统：Web 应用、后台管理端
# 管理类：制度、人员、建设与运维记录方案要素与要求
| 要素 | 内容要求 | 常见问题 |
|---|---|---|
| 测评对象 | 网络、安全、主机、应用、数据、管理全覆盖 | 只列服务器，漏掉数据库与应用 |
| 测评指标 | 按备案等级取对应条款 | 指标与备案等级不一致 |
| 测评方法 | 写明各条款采用的方法与抽样 | 不写抽样比例与工具安排 |
| 进度计划 | 分阶段时间与人力安排 | 与业务变更窗口冲突 |
抽样比例要写清（同类设备与主机抽多少台）：现场按经验发挥会导致结果不可复现，也说不清「证据来自哪台设备」。
方案不写工具测试安排与授权范围，现场临时扫描生产系统风险很大；测试前要书面确认时间窗与影响范围。