标准讲了什么
GB/T 28449-2018 是网络安全等级保护测评过程指南，规定等级测评的实施过程由准备活动、方案编制活动、现场测评活动、分析与报告编制活动四个阶段组成，并明确各阶段的输入输出物。它是项目排期与配合工作的流程依据：什么时候交材料、什么时候进场、什么时候出报告、谁在哪个环节签字确认，都落在这个框架里。
基本信息
| 标准 | GB/T 28449-2018 网络安全等级保护测评过程指南 |
|---|---|
| 四阶段 | 准备活动、方案编制活动、现场测评活动、分析与报告编制活动 |
| 主要输出 | 测评方案、现场记录、等级测评报告 |
| 单位侧动作 | 提交资料、确认方案、配合现场、接收报告并整改 |
| 关键确认点 | 测评对象与指标、抽样比例、工具测试安排 |
| 关联标准 | GB/T 22239-2019、GB/T 28448-2019 |
典型使用场景
- 测评项目的整体排期与里程碑制定
- 准备阶段的资料收集与范围确认
- 现场测评的配合与变更冻结安排
- 报告编制阶段的问题沟通与异议处理
- 内部自评估流程与外部测评的衔接
各阶段产出
各阶段产出
# 准备活动：委托材料、系统资料收集表、测评对象初选
# 方案编制：测评方案、测评指导书、进度计划
# 现场测评：测评结果记录、问题确认单
# 报告编制：等级测评报告（结论 + 问题清单）四阶段与配合动作
| 阶段 | 测评机构动作 | 单位配合动作 |
|---|---|---|
| 准备活动 | 收集资料、确定对象范围 | 提交资料并确认边界 |
| 方案编制 | 编制方案与指导书 | 书面确认范围与抽样 |
| 现场测评 | 访谈、核查、工具测试 | 安排陪同、冻结变更、当日确认 |
| 报告编制 | 判定与风险分析 | 接收报告、提出异议、转整改 |
准备与方案阶段决定测评质量：测评对象与指标没对齐，现场返工概率高，进度与成本都会受影响，值得多花一天做确认。
现场记录要当天确认：截图、配置导出与访谈记录缺一不可，事后补证既困难又容易引起争议。