信息安全等级保护等保测评认证办理常见问题解答

2019年11月1日起，最高人民法院、最高人民检察院联合发布的《最高人民法院、最高人民检察院关于办理非法利用信息网络、帮助信息网络犯罪活动等刑事案件适用法律若干问题的解释》正式实施，其中规定，不履行等保将获最高判刑！

简单点来说，各位企业主该把自家企业的等保测评提上日程了。不过，提上日程是一回事，具体操作又是另一回事儿，如果对等保测评一知半解就开始等保项目，等保过程会极其不顺。折腾来折腾去，甚至一两年都没能通过国家的等保认证。

今天就给大家总结几个等保常见问题并解答，可千万别错过啦！

网络安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

网络安全等级保护制度下，等级保护分为5个级别，一至五级等级逐级增高。

其中，云上系统的等保要求绝大部分集中在二级和三级。比较常见的行业的等级保护级别如下图所示：

从定级备案到最终通过国家的等保认证并成功拿证，等级保护项目一共要经历五个阶段：

①信息系统定级

②信息系统备案

③差距测评

④等保整改

⑤等保测评

此外还需要注意：

①关于信息系统的备案工作，各地级市的单位将定级资料交给各自地级市的网安支队，省级单位将资料交给省公安网总队。特定行业有要求的另说。也有部分地方是先将资料交到区县网安大队，再由区县网安大队转交地级市网安支队进行备案。

②在等保测评通过国家认证之后，主管单位还要定期开展监督检查。

①通过等级保护工作发现单位信息系统存在的安全隐患和不足，进行安全整改之后，提高信息系统的信息安全防护能力，降低系统被各种攻击的风险，维护单位良好的形象。

②等级保护是我国关于信息安全的基本政策，国家法律法规、相关政策制度要求单位开展等级保护工作。

③很多行业主管单位要求行业客户开展等级保护工作，目前已经下发行业要求文件的有金融、电力、广电、医疗、教育等行业，还有一些主管单位发过相关文件或通知要求去做。

④落实个人及单位的网络安全保护义务，合理规避风险。

此外，对于单位来说，如果不按照要求进行等保测评，一旦出现网络安全事件，单位将负全责，面临严重处罚。而如果单位开展了等保工作，并且及时纠正了发现的高风险和其他风险问题，主要责任就不在单位。

①等级保护测评是什么？

测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检测评估的活动。

②等级保护测评需要多久？

等级保护测评的具体时间要根据信息系统数量及信息系统的规模，以及双方的配合度来决定，快的话一个月内就能完成，包括报告的出具时间。慢的话有的甚至要搞一年。

③等级保护测评需要多久进行一次？

四级信息系统要求每半年至少开展一次测评；三级信息系统要求每年至少开展一次测评；二级信息系统建议每两年开展一次测评，部分行业是明确要求每两年开展一次测评。

④等级保护的测评费用如何计算？

测评费用受等级保护级别，信息系统及其资产规模的影响，不同省市的具体情况也不一样，具体建议向当地的测评机构咨询。

⑤等级保护测评找谁做？

单位一般找有测评资质的机构来开展，测评机构需要具有该省市信息安全等级保护协调小组办公室发放的《信息安全等级保护测评机构推荐证书》，有的地方还要求测评机构在用户单位所在地级市公安网安部门备案。不过，有的测评机构可以在全国开展等级保护测评工作。

⑥等级保护整改需要一次到位吗？

如果单位已经有防火墙、IDS、杀毒软件的话，设备上是基本满足等保三级及以下等级的要求的。但如果有其他需要，单位可能需要新增设备。同时，安全整改一般是优先把高危风险及最急需整改的内容先整改，不强制要求一次或一年内全部整改到位，安全建设及整改是一个持续性的工作。

什么？看完解答还是觉得等保测评太难？！别怕，让中联来帮助你。中联致力于提供一站式等级保护测评整改解决方案，让您轻松通过等保认证。