等保测评认证怎么定级和常见问题

一、等级划分

计算机信息系统安全保护等级根据计算机信息系统在、经济建设、社会生活中的重要程度，计算机信息系统受到破坏后对、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定，分为五级：

*一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害、社会秩序和公共利益。

*二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害。

*三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对造成损害。

*四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对造成严重损害。

*五级，信息系统受到破坏后，会对造成特别严重损害。

二、定级程序

信息系统运营、使用单位应当依据《信息系统安全等级保护定级指南》确定信息系统的安全保护等级。有主管部门的，应当经主管部门审核批准。

跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。

对拟确定为*四级以上信息系统的，运营、使用单位或者主管部门应当请国家信息安全保护等级评审**评审。

三、定级注意事项

一级信息系统：适用于乡镇所属信息系统、县级某些单位中不重要的信息系统。小型个体、私营企业中的信息系统。中小学中的信息系统。

二级信息系统：适用于地市级以上、企业、事业单位内部一般的信息系统。例如小的局域网，非涉及秘密、敏感信息的办公系统等。

三级信息系统：适用于地市级以上、企业、事业单位内部重要的信息系统；重要领域、重要部门跨省、跨市或全国（省）联网运行的信息系统；跨省或全国联网运行重要信息系统在省、地市的分支系统；各部委网站；跨省（市）联接的信息网络等。

四级信息系统：适用于重要领域、重要部门三级信息系统中的部分重要系统。例如全国铁路、民航、电力等调度系统，银行、、、税务、海关等部门中的**系统。

信息安全等级测评

信息系统建设完成后，二级以上的信息系统的运营使用单位应当选择符合国家规定的测评机构进行测评合格方可投入使用。已投入运行信息系统在完成系统整改后也应当进行测评。经测评，信息系统安全状况未达到安全保护等级要求的，运营使用单位应当制定方案进行整改。

一、测评程序

计算机信息系统运营、使用单位委托安全测评机构测评，应当提交下列资料：

（一）安全测评委托书；

（二）计算机信息系统应用需求、系统结构拓扑及说明、系统安全组织结构和管理制度、安全保护设施设计实施方案或者改建实施方案、系统软件硬件和信息安全产品清单。

安全测评机构在收到委托材料后，应当与委托方协商制订安全测评计划，开展安全测评工作，并出具安全测评。

经测评，计算机信息系统安全状况未达到国家有关规定和标准的要求的，委托单位应当根据测评报告的建议，完善计算机信息系统安全建设，并重新提出安全测评委托。

二、测评监督

测评机构对计算机信息系统进行使用前安全测评，应当预先报告地级以上市机关公共信息网络安全监察部门。安全测评报告由计算机信息系统运营、使用单位报地级以上市机关公共信息网络安全监察部门。

三、日常测评

计算机信息系统投入使用后，存在下列情形之一的，应当进行安全自查，同时委托安全测评机构进行安全测评：

（一）变更关键部件；

（二）安全测评时间满一年；

（三）发生危害计算机信系统安全的案件或安全事故；

（四）机关公共信息网络安全监察部门根据应急处置工作的需要认为应当进行安全测评；

（五）其他应当进行安全自查和安全测评的情形。

*三级计算机信息系统应当每年至少进行一次安全自查和安全测评，*四级计算机信息系统应当每半年至少进行一次安全自查和安全测评，*五级计算机信息系统应当依据特殊安全要求进行安全自查和安全测评。

自查报告连同测评报告应当由计算机信息系统运营、使用单位报地级以上市机关公共信息网络安全监察部门。

四、测评争议解决

申请单位认为安全测评报告的合法性和真实性存在重大问题的，可以向本单位所在地机关公共信息网络安全监察部门提出申诉，提交异议申诉书及有关证明材料。机关公共信息网络安全监察部门应当在收到申诉材料后30个工作日内进行核查，作出异议处理决定。