简单介绍下等级保护测评认证的过程

最近几个项目组进行了等保测评。年末就和大家聊聊做等保是干点什么?

什么是等保?

等保全名网络安全等级保护制度，来自于信息安全等级保护制度，然后国家出台法律。《网络安全法》将信息安全等级保护制度上升为法律，所以改名叫“网络安全等级保护制度”。

等保有什么好处?

提高安全不被黑。上班干活不背锅。业主放心，我们创收。

等保怎么干?

等级保护的主要环节包括定级、备案、安全建设整改、等级测评和安全检查。

等保等级的划分?

第一级，属于一般网络，其一旦受到破坏，会对公民、法人和其他组织的合法权益造成损害，但不危及国家安全、社会秩序和社会公共利益。

第二级，属于一般网络，其一旦受到破坏，会对公民、法人和其他组织的合法权益造成严重损害，或对社会秩序和社会公共利益造成危害，但不危害国家安全。

第三级，属于重要网络，其一旦受到破坏，会对公民、法人和其他组织的合法权益造成特别严重损害，或对社会秩序和社会公共利益造成严重危害，或者对国家安全造成危害。

第四级，属于特别重要网络，其一旦受到破坏，会对公民、法人和其他组织的合法权益造成特别严重损害，或对社会秩序和社会公共利益造成特别严重危害，或者对国家安全造成严重危害。

第五级，属于及其重要网络，其一旦受到破坏，会对国家安全造成特别严重危害。

一般系统都是二级，有点影响的系统都是三级，其他我们碰不到。

五个安全保护等级

定级

网络定级工作应按照“网络运营者拟定网络安全等级保护等级、专家评审、主管部门核准、公安机关审核”原则进行。

*根据《重要产品追溯管理平台建设指南(试行)》要求，“重要产品平台系统整体安全性要求达到GB/T 22239标准规定的二级要求。”

等保备案

第二级(含)以上网络，在安全保护等级确定后30日内，由其网络运营者或者主管部门(备案单位)到所在地设区的地市级以上公安机关办理备案手续。办理备案手续时，应先到公安机关指定的网址下载并填写备案表，准备好备案文件，再到指定的地点办理备案手续。

建设整改(制度和技术措施)

安全等级保护安全制度建设

1、 落实网络安全责任制，成立网络安全工作领导机构，明确网络安全工作的主管领导，成立专门的网络安全管理部门或落实网络安全责任部门，明确安全岗位，落实专责人员或兼职人员。

2、 落实人员安全管理制度，制定人员录用、离岗、考核、教育培训等管理制度落实管理的具体措施。

3、 落实网络建设管理制度，建立网络定级备案、方案设计、产品采购使用密码使用、软件开发、工程实施、验收交付、等级测评、安全服务等管理制度。

4、 落实网络建设运维管理制度，建立机房环境安全、存储介质安全、设备设施安全、安全监控、网络安全、系统安全、恶意代码防范、密码保护、备份与恢复、事件处置等。

技术措施建设

技术措施建设主要为物理安全、网络安全、主机安全、应用安全、数据安全等安全保护。

网络安全保护能力目标(第二级和第三级)

第二级网络：具有抵御小规模、较弱强度恶意攻击能力，抵抗一般自然灾害的能力，以及防范一般性计算机病毒和恶意代码能力，遭到损害后，具有恢复正常运行状态能力。

第三级网络：在统一的安全保护策略下具有抵御大规模、较强恶意攻击的能力，抵抗较为严重的自然灾害的能力，以及防范计算机病毒和恶意代码危害的能力，具有检测、发现、报警及记录入侵行为能力;具有对安全事件进行响应处置，并能够追踪安全责任的能力;遭到损害后具有能够较快恢复正常运行状态的能力;对网络资源、用户、安全机制等进行集中管控的能力。

网络安全等级保护测评

测评目的：发现问题，明确整改需求;衡量网络安全保护管理措施和技术措施是否符合等级保护要求，是否具备相应的保护能力。

什么时候测?

建设整改前，分析目前网络的安全措施与等级保护标准间的差距，分析问题，形成建设整改的安全需求。

建设整改后，形成网络安全等级测评报告，如发现问题继续整改。

定期开展等级测评，网络的安全保护状况需定期开展等级测评，第三级(含)以上每年至少进行一次等级测评。

测评过程基本四块：测评准备、方案编制、现场测评、分析及报告活动。注意全程和测评机构人员多沟通多交流，友善且和睦的交流容易提高分数。

简单来说等保测评就这点事。

网络安全等级保护的过程一般分为定级备案、等保测评、整改、审查等几部分，最开始和结尾都是要经过公安部的，而等保测评是由获得等保测评机构推荐资质的机构来开展的，整改由企业自身完成（或者找网络安全公司协助开展）。