等级保护测评到底是做什么的

你好，龙翊信安很高兴为您解答！等级保护测评就是将全国的信息系统按照重要性和受破坏后的危害性分成五个安全保护等级（从第一级到第五级逐级增高），定级后第二级以上信息系统到公安机关备案，公安机关对备案材料审核合格后颁发备案证明；各单位各部门根据系统等级按照国家标准进行安全建设整改备案单位聘请符合国家规定的等级测评机构进行等级测评。

等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。

网络安全等级保护为信息系统、云计算、移动互联、物联网、工业控制系统等定级对象的网络安全建设和管理提供系统性、针对性、可行性的指导和服务，帮助用户提供定级对象的安全防护能力。此外，《网络安全法》第二十一条明确规定 “国家实行网络安全等级保护制度”

等级保护测评（以下简称 “等保测评”）指的是用户单位委托第三方有测评资质的测评机构对单位已定级备案的信息系统开展安全测试的过程，测试结束后出具相应的信息系统测评报告。

等保测评的流程如下：

第一步 定级

信息系统运营使用单位按照等级保护管理办法和定级指南，自主确定信息系统的安全保护等级。虽然是自主定级，但是也得根据系统实际情况去定级，有行业指导文件的根据指导文件来，没有文件的根据定级指南来，总之一句话合理定级。

第二步 备案

信息系统，要按照单位所在地址的（市级公安网监机关)进行备案。

隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地的市级以上公安机关备案。

第三步 系统安全建设

信息系统安全保护等级确定后，运营使用单位按照管理规范和技术标准，选择管理办法要求的信息安全产品，建设符合等级要求的信息安全设施，建立安全组织，制定并落实安全管理制度。

第四步 等级测评

信息系统建设完成后，运营使用单位选择符合管理办法要求的检测机构，对信息系统安全等级状况开展等级测评。测评完成之后根据发现的安全问题及时进行整改，特别是高危风险。测评的结论分为：不符合、基本符合、符合。当然，理想状态的“符合”基本是不可能达到的。

最后评测中心会给一本等级评测报告，当然整个过程是很繁琐的，需要测评中心和系统的建设安全维护公司一起完成。

第五步 监督检查

公安机关依据信息安全等级保护管理规范，监督检查运营使用单位开展等级保护工作，定期对信息系统进行安全检查。运营使用单位应当接受公安机关的安全监督、检查、指导，如实向公安机关提供有关材料。

《信息安全等级保护管理办法》第七条规定：信息系统的安全保护等级分为以下五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

等级保护测评服务包括以下内容：

1、等级保护测评单位根据等保测评技术标准，对测评对象开展等级保护测评，一般来说测评对象是信息系统。但是随着等保2.0的发布，测评范围变得更广。因此测评的对象也有可能是网站、云服务器、APP等等。

2、开展等级保护测评后，测评机构需要开具等级保护测评报告，测评的结果有两种：符合和不符合。

3、对于不符合标准的测评对象（一般是指信息系统）需要依据整改清单，进行相关的系统升级，完善网络安全相关的制度和人员管理方法等。技术方面不符合要求的，可以自我整改，或是寻找第三方服务商提供技术支持。

---