信息系统安全等级保护测评流程是什么？

　　信息系统安全等级保护测评准备活动的工作流程：

　　信息系统安全等级保护测评准备活动的目标是顺利启动测评项目，准备测评所需的相关资料，为顺利编制测评方案打下良好的基础。 

　　信息系统安全等级保护测评准备活动包括项目启动、信息收集和分析、工具和表单准备三项主要任务。这三项任务的基本工作流程见下图：

　　一、项目启动

　　在项目启动任务中，测评机构组建等级测评项目组，获取测评委托单位及被测系统的基本情况，从基本资料、人员、计划安排等方面为整个等级测评项目的实施做基本准备。

　　输入：委托测评协议书。

　　任务描述：

　　a) 根据测评双方签订的委托测评协议书和系统规模，测评机构组建测评项目组，从人员方面做好准备，并编制项目计划书。项目计划书应包含项目概述、工作依据、技术思路、工作内容和项目组织等。

　　b) 测评机构要求测评委托单位提供基本资料，包括：被测系统总体描述文件，详细描述文件，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次等级测评报告（如果有），测评委托单位的信息化建设状况与发展以及联络方式等。

　　输出/产品：项目计划书。

　　二、 信息收集和分析

　　测评机构通过查阅被测系统已有资料或使用调查表格的方式，了解整个系统的构成和保护情况，为编写测评方案和开展现场测评工作奠定基础。

　　输入：调查表格，被测系统总体描述文件，详细描述文件，安全保护等级定级报告，系统验收报告，安全需求分析报告，安全总体方案，自查或上次等级测评报告（如果有）。

　　任务描述：

　　a) 测评机构收集等级测评需要的各种资料，包括测评委托单位的各种方针文件、规章制度及相关过程管理记录、被测系统总体描述文件、详细描述文件、安全保护等级定级报告、安全需求分析报告、安全总体方案、安全现状评价报告、安全详细设计方案、用户指南、运行步骤、网络图表、配置管理文档等。

　　b) 测评机构将调查表格提交给测评委托单位，督促被测系统相关人员准确填写调查表格。

　　c) 测评机构收回填写完成的调查表格，并分析调查结果，了解和熟悉被测系统的实际情况。分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。这些信息可以重用自查或上次等级测评报告中的可信结果。

　　d) 如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。

　　输出/产品：填好的调查表格。

　　三、工具和表单准备

　　测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。

　　输入：各种与被测系统相关的技术资料。

　　任务描述：

　　a) 测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。

　　b) 测评人员模拟被测系统搭建测评环境。

　　c) 准备和打印表单，主要包括：现场测评授权书、文档交接单、会议记录表单、会议签到表单等。

　　输出/产品：选用的测评工具清单，打印的各类表单。

等保三级又被称为国家信息2113安全等级保护三级认证，是中国最权威的信息产品安全等级资格认证，由公安机关依据国家信息安全保护条例及相关制度规定，按照管理规5261范和技术标准，对各机构的信息系统安全等级保护状况进行认可及评定。

其中按照评定等级可以分为一至五级测评。三级等保是国家对非银行机构的最高级认证，4102属于“监管级别”，由国家信息安全监管部门进行监督、检查，认证测评内容分别涵盖5个等级保护安全技术要求和5个安全管理要求，包含信息保护、安全审计、通信保密等近300项要求，共涉及测评分类73类，要求十分严格。

三级等保认证最严的地方是在技术层面，1653主要体现在系统安全管理和恶意代码防范上，简单的说，就是每当有黑客对平台进行攻击时，平台具备一定的防范能力。

标准如下：

十三大重要标准

计算机信息系统安全等级保护划分准则 （GB 17859-1999） （基础类标准）

信息系统安全等级保护实施指南 （GB/T 25058-2010） （基础类标准）

信息系统安全保护等级定级指南 （GB/T 22240-2008） （应用类定级标准）

信息系统安全等级保护基本要求 （GB/T 22239-2008） （应用类建设标准）

信息系统通用安全技术要求 （GB/T 20271-2006） （应用类建设标准）

信息系统等级保护安全设计技术要求 （GB/T 25070-2010） （应用类建设标准）

信息系统安全等级保护测评要求 （GB/T 28448-2012）（应用类测评标准）

信息系统安全等级保护测评过程指南 （GB/T 28449-2012）（应用类测评标准）

信息系统安全管理要求 （GB/T 20269-2006） （应用类管理标准）

信息系统安全工程管理要求 （GB/T 20282-2006） （应用类管理标准）

信息安全技术网络安全等级保护基本要求（GB/T 22239-2019）（基础类标准）

信息安全技术网络安全等级保护安全设计技术要求（GB/T 25070-2019）（应用类建设标准）

信息安全技术网络安全等级保护测评要求（GB/T 28448-2019）（应用类测评标准）

其它相关标准

GB/T 21052-2007 信息安全技术 信息系统物理安全技术要求

GB/T 20270-2006 信息安全技术 网络基础安全技术要求

GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求

GB/T 20272-2006 信息安全技术 操作系统安全技术要求

GB/T 20273-2006 信息安全技术 数据库管理系统安全技术要求

GB/T 20984-2007 信息安全技术 信息安全风险评估规范

GB/T 20985-2007 信息安全技术 信息安全事件管理指南

GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南

GB/T 20988-2007 信息安全技术 信息系统灾难恢复规范

等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。

等保20中等级测评结论：

a)符合：

定级对象中未发现安全问题，等级测评结果中所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分。

b)基本符合：

定级对象中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值。

c)不符合：

定级对象中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题会导致定级对象面临高等级安全风险，或者综合得分低于阈值。

办理等级保护针对企业的作用有：

1、通过等级保护工作发现单位信息系统存在的安全隐患和不足，进行安全整改之后，提高信息系统的信息安全防护能力，降低系统被各种攻击的风险，维护单位良好的形象。

2、等级保护是我国关于信息安全的基本政策，国家法律法规、相关政策制度要求单位开展等级保护工作。如《网络安全等级保护管理办法》和《中华人民共和国网络安全法》。

3、落实个人及单位的网络安全保护义务，合理规避风险。

企业最好完成等保测评和备案。

去年100款APP被强制下架已经给企业敲响了警钟，而今年，违规的APP也一直在被相关单位下架整改中。如果还抱着不做等保的态度的话怕是不行了。因为相关处罚制度已经明确责任。

怎么去做，下面分5个阶段说明

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。

信息安全等级保护分为五个级别：

 第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

 第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

 第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

 第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

 第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。

企业申请等级保护的作用有：

1、通过等级保护工作发现单位信息系统存在的安全隐患和不足，进行安全整改之后，提高信息系统的信息安全防护能力，降低系统被各种攻击的风险，维护单位良好的形象。

2、等级保护是我国关于信息安全的基本政策，国家法律法规、相关政策制度要求单位开展等级保护工作。如《网络安全等级保护管理办法》和《中华人民共和国网络安全法》。

3、很多行业主管单位要求行业客户开展等级保护工作，目前已经下发行业要求文件的有：金融、电力、广电、医疗、教育等行业等。落实个人及单位的网络安全保护义务，合理规避风险。

证书案例

法律分析：，等保20国家标准对比等保10，在保护范围、法律效力、技术标准、安全体系、定级流程、定级指导等方面均发生变化，信息安全系统改造在即。等保20做出对关键信息基础设施“定级原则上不低于三级”的指导，测评分数的要求由60分提升至75分以上，且第三级及以上信息系统每年或每半年就要进行一次测评。国家重点行业将带头加大信息安全产品和咨询服务的持续投入。回顾我国信息安全产业曾在等保10影响下进入加速发展期，专家预计，等保20将继续带动行业大发展，至少打开百亿级以上增量市场空间。

法律依据：《信息安全等级保护管理办法》第十二条在信息系统建设过程中，运营、使用单位应当按照《计算机信息系统安全保护等级划分准则》（GB17859-1999）、《信息系统安全等级保护基本要求》等技术标准，参照《信息安全技术 信息系统通用安全技术要求》（GB/T20271-2006）、《信息安全技术 网络基础安全技术要求》（GB/T20270-2006）、《信息安全技术 操作系统安全技术要求》（GB/T20272-2006）、《信息安全技术 数据库管理系统安全技术要求》（GB/T20273-2006）、《信息安全技术 服务器技术要求》、《信息安全技术 终端计算机系统安全等级技术要求》（GA/T671-2006）等技术标准同步建设符合该等级要求的信息安全设施。

你好，一级信息系统无需做等保，不需要备案，也不需要测评。企业的信息系统如果属于一级，那么企业自主保护就可以了。

根据《信息安全等级保护管理办法》第十五条规定，只有已运营（运行）或新建的第二级以上信息系统，才应当在安全保护等级确定后30日内（等保20已将时限修改为10个工作日内），由其运营、使用单位到所在地设区的市级以上公安机关办理备案手续。

不过，根据《互联网信息服务管理办法》和《非经营性互联网信息服务备案管理办法》，只要企业在中华人民共和国境内提供互联网信息服务，都要进行ICP备案。备案的目的是为了防止企业/个人在网上从事非法的网站经营活动，打击不良互联网信息的传播。如果网站不备案的话，很有可能被查处以后关停。

如果你需要进行ICP备案的话，可以参考以下内容：

工信部将备案工作下放到了具有ISP资质的服务商来负责收集资料，工信部进行最后的总审。对于非经营性的一般型的企业网站来说，你网站买了哪个服务商的服务器空间，就去相应的服务商那里提供资料备案。国内大型的服务商都提供网上自助备案系统。备案审核时间大概在1个月内，通过后会将备案号发送到手机和邮箱，需要将备案号放到网站底部并链接到工信部官网，备案才算完成。

对于经营性网站来说，除了网站ICP备案外，还必须要申请工信部颁发的“增值电信业务经营许可证”，不然不得开展经营。