中卫网络安全等保测评必问必答-9479威尼斯

网络安全等级保护是国家就信息网络安全工作作出明确要求，笔者在工作过程中经常遇到科技企业，政务部门，高校及科研院所咨询关于中卫网络安全等保测评方面的问题，如中卫哪里可以做等级保护测评？中卫做等级保护测评多少钱？中卫做等级保护需要多长时间？现梳理了等级保护测评常见的20个问题，以供参考。

问题1：什么是等级保护？

答：等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。“等级保护2.0”或“等保2.0”是一个约定俗成的说法，指按新的等级保护标准规范开展工作的统称。通常认为是《中华人民共和国网络安全法》颁布实行后提出，以2019年12月1日，网络安全等级保护基本要求、测评要求和设计技术要求更新发布新版本为象征性标志。

问题2：什么是等级保护测评？

答：指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密网络安全等级保护状况进行检测评估的活动。

问题3：等级保护测评是否是强制性的,可以不做吗？

答：《中华人民共和国网络安全法》第二十一条规定网络运营者应当按照网络安全等级保护制度的要求，履行相关的安全保护义务。同时第七十六条定义了网络运营者是指网络的所有者、管理者和网络服务提供者。等级保护相关标准虽然为非强制性的推荐标准，但网络（个人与家庭网络除外）运营者必需按网络安全法开展等级保护工作。

问题4：做等级保护测评要多少钱？

答：开展等级保护工作会包含：针对业务系统开展测评的费用，以及按等级保护要求开发、购买或部署安全防护产品成本，开展安全日常运维等人力成本。总体投入的费用与网络运营者对等级保护测评结果分数的预期，以及业务系统安全防护能力建设与整改的情况而定，相应的费用投入会差距很大。为避免盲目投入这个误区，建议咨询专业安全服务咨询机构制订最高性价比的24848威尼斯的解决方案来满足合规要求又达到业务系统安全保障要求。

问题5：等级保护测评一般多长时间能测完？

答：一个二级或三级的系统整体持续周期1-2个月。

现场测评周期一般1周左右，具体时间还要根据信息系统数量及信息系统的规模，以及测评方与被测评方的配合情况等有所增减。小规模安全整改（管理制度、策略配置技术整改）2-3周，出具报告时间1周。

问题6：等级保护测评多久做一次？

答：根据《网络安全等级保护条例》（征求意见稿）第二十三条规定：第三级以上网络的运营者应当每年开展一次网络安全等级测评。二级信息系统建议每两年开展一次测评，部分行业是明确要求每两年开展一次测评。

问题7：等级保护测评是否系统定级越低越好？

答：不是。可根据实际业务系统的情况参照定级标准进行定级，采用“定级过低不允许、定级过高不可取”的原则。当出现网络安全事件进行追责的时候，如因系统定级过低，需承担系统定级不合理、安全责任没有履行到位的风险。

问题8：等级保护测评定级备案了是否就被监管了？

答：没有定级备案并不代表不需被监管，应尽快履行网络运营者的安全责任进行备案。定级备案后监管部门会在重要时候开展安全检查或发布一些针对性的安全预警，有利于网络运营者开展网络安全工作降低风险。

问题9：等级保护工作就是做个测评吗？

答：等级保护工作包括定级、备案、测评、建设整改、监督审查，测评只是其中一项。测评不是等保工作的结束，重要的是通过测评查漏补缺，不断改进提升安全防护能力，降低安全风险。

问题10：等级保护测评做一次要多少钱？

答：等级保护工作属于属地化管理，测评收费非全国统一价，测评费用每个省都有一个参考报价标准。因业务系统规模大小及是否涉及扩展功能测试不同总体测评费用也有所差异。如某省的参考报价为：二级系统测评费5万，三级系统测评费9万。

问题11：等保测评后就要花很多钱做整改吗？

答：不一定。整改工作可根据网络运营者对测评结果分数的期望和现有安全防护措施的实际效果是否能保障业务抵抗风险的需求按需开展。整改内容也有很多不同方向，除安全设备或服务外，安全管理制度、安全策略调整的整改成本并不高，同样也能快速提升安全保障能力。

问题12：等级保护测评要花多少钱？能包过吗？

答：等级保护采用备案与测评机制而非认证机制，不存在包过的说法，盲目采纳服务商包过的产品与服务套餐往往不是最高性价比的方案。网络运营者可结合自身实际安全需求与等保测评预期得分，咨询专业的第三方安全咨询服务机构来开展等建设工作与测评机构的选择。

问题13：等级保护测评多长时间能拿到备案证明？

答：全国各省网警管理有所差异，一般提交备案流程后，如资料完备（三级系统要求含测评报告），顺利通过审核后15个工作日即可拿到备案证明。备案证明或测评报告，即加盖测评机构公章或测评专用章的测评报告以及有主管部门公章的系统备案证明或系统定级备案资料。等级保护采用备案与测评机制而非认证机制，公安机关只对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全等级保护备案证明，发现不符合有关标准的，通知备案单位予以纠正，发现定级不准的，通知备案单位重新审核确定。

问题14：等级保护测评，不同公司的业务系统整合后是否可以算一个系统？

答：如果两个业务系统整合后功能高度融合，后台统一，可以认为是一个系统，只是业务功能增加，按业务系统更变申请复测即可。

问题15：等级保护测评如何判定属于移动安全扩展要求？

答：当业务系统要满足具有专用app、通过特定网络连接、具备专用移动终端时参照移动互联扩展要求。

问题16：等级保护测评如何选择等级保护备案所在地？

答：建议根据被测评业务系统的经营主体与法人注册地优先向当地公安网警（公共信息网络安全监察局）备案并找本地测评机构测评。或可选择it运维团队所在地进行备案与测评。

问题17：等级保护测评如何确定业务系统属于等保几级？

答：可参照等级保护定级指南，从业务系统安全和系统服务安全两个方面评价当业务系统被破坏时对客体的影响程度，取两个方面较高的等级。当确定系统级别后，可开展专家评审对系统定级合理性进行审核。如有行业主管部门制订的定级依据，可直接参照采纳行业定级标准定级。

问题18：做完等级保护测评后整改周期是多久？

答：无明确规定。可优先把高危风险及最急需整改的内容先整改，不强制要求一次或一年内全部整改到位，安全建设及整改是一个持续性的工作。另外安全建设和安全整改本来就是日常安全工作的一部分内容，而不是因为做了等保测评才需要去做的。

问题19：等级保护测评步骤或流程是什么样的？

答：根据信息系统等级保护相关标准，等级保护工作总共分五个阶段，分别为：信息系统定级、是信息系统备案、是系统安全建设、是信息系统开始等级测评、主管单位定期开展监督检查。

问题20：业务系统在内/专网，还需要做等级保护测评吗？

答：需要。内网与专网的非涉密系统都属于等级保护范畴，虽然内/专网相对于互联网，业务系统的用户比较明确或可控，但内网不代表安全。业务上云有多种情况，如在公有云、私有云、专有云等不同属性的云上，并采用iaas、paas、saas、idc托管等不同服务，虽然安全责任边界发生了变化，但网络运营者的安全责任不会转移。根据“谁运营谁负责、谁使用谁负责、谁主管谁负责”的原则，应承担网络安全责任进行等级保护工作。