什么是等级保护？
答：等级保护是公安部第三研究为响应国务院147号令而牵头制定的信息安全标准和规范，全称《信息安全等级保护》。等级保护截止目前为止分为两个版本，等级保护1.0和等级保护2.0，基本内容要求分别参考GB/T 22239-2008和GB/T 22239-2019，由此可见等级保护1.0是从2008年开始实施的，而等级保护2.0是从2019年开始实施的。
等级保护怎么定级？什么系统该定多少级？
等保2.0之后都是由专家进行定级，也就是在当地公安网监部门进行等保备案的时候进行定级评估。一般遵循如下原则：
定级要素
等级保护需不需要XX软件或XX硬件设备？
答：等保的指标项参考基本要求项GBT 22239和测评项 GBT 28448；原则上可以通过配置和自身调整实现的基本要求项和测评项就不需要额外购买软硬件来弥补，如果实在消耗人力和资源过大和无法通过自身资源调整实现，那最快最使用的方式就是购买第三方软硬件和服务来实现该项的要求。
系统在我们公司内网，要不要做等保？
答：等级保护的范围是全国所有非涉密系统，无论系统在内网还是互联网，都需要做等保。
我们公司能不能所有系统为一个整体，来做等保？
答：等级保护是以信息系统为整体，而不是以公司或部门。
比如有一个公司有10个信息系统，那么除去不重要的，还有5个。
a、有两个信息系统之间存在较多的数据之间的交互，则可以以一个整体做等保；
b、如有较少的数据交互或不存在交互，则建议单独定级。
有没有标准上面说明等保二级是二年一次，等保三级是一年一次？
答：等保二级每两年一次，没有明确的标准说明，一般都是建议每两年做一次。
等保三级每年都需做一次，参考见《信息安全等级保护管理办法》(公通字[2007]43号)，又称43号文第十四条明确规定。
http://www.scio.gov.cn/ztk/hlwxx/02/09/document/533639/533639.htm
如果黑客攻击我们的网络，那是贼偷了我，我也是受害者，为什么还要受处罚呢？
国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行网络安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。
如果你的信息系统没做等保，那被攻击了，造成一定影响了，首先是你没履行网络安全义务，其次是黑客犯法，两者都将收到严惩。
“等保”与“关保”有什么区别？
关键信息基础设施简称“关保”，是指公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务、国防科技工业等重要行业和领域的，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的重要网络设施、信息系统等。
等级保护与关键信息基础设施保护的区别在于，“关保”是在网络安全等级保护制度的基础上，实行重点保护。《中华人民共和国网络安全法》第三章第二节规定了关键信息基础设施的运行安全，包括关键信息基础设施的范围、保护的主要内容等。
目前“关保”的基本要求、测评指南、高风险判例等均已完成，相关工作已启动。等保的受众范围比关保要广泛，通常要做关保建设的主体都要做等保建设，而要做等保建设的不一定要做关保建设，关保建设是针对重要行业和领域的，是基于等保之上进行重点保护的。
等级保护是否是强制性的,可以不做吗？
《中华人民共和国网络安全法》第二十一条规定网络运营者应当按照网络安全等级保护制度的要求，履行相关的安全保护义务。同时第七十六条定义了网络运营者是指网络的所有者、管理者和网络服务提供者。
等级保护工作是保障我国网络安全的基本动作，目前各单位需按照所在行业及保护对象重要程度，依据网络安全法及相关部门要求，按照“同步规划、同步建设、同步使用”的原则，开展等级保护工作。
等级保护测评一般多长时间能测完？
一个二级或三级的系统整体持续周期1-2个月。
现场测评周期一般1周左右，具体时间还要根据信息系统数量及信息系统的规模，以及测评方与被测评方的配合情况等有所增减。
小规模安全整改（管理制度、策略配置技术整改）2-3周，出具报告时间1-2周。
目前各地根据各自省份或城市的情况，还存在单独规定测评实施周期的情况，一般是签订测评合同之日起3-6个月必须出具测评报告。
等级保护测评做一次要多少钱？
等级保护工作属于属地化管理，测评收费非全国统一价，测评费用每个省都有一个参考报价标准。因业务系统规模大小及是否涉及扩展功能测试不同总体测评费用也有所差异。
如某省的参考报价为：二级系统测评费5万，三级系统测评费9万。
过等保要花多少钱？能包过吗？
等级保护采用备案与测评机制而非认证机制，不存在包过的说法，盲目采纳服务商包过的产品与服务套餐往往不是最高性价比的方案。网络运营者可结合自身实际安全需求与等保测评预期得分，咨询专业的第三方安全咨询服务机构来开展等建设工作。
做了等级测评之后，是否会给发合格证书？
测评后无合格证书。等级保护采用备案与测评机制而非认证机制，在属地网安备案后可获得《信息系统安全等级保护备案证明》，测评工作完成后会收到具有法律效率的“测评报告（至少要加盖测评机构公章和测评专用章）”。
多长时间能拿到备案证明？
全国各省网警管理有所差异，一般提交备案流程后，如资料完备，顺利通过审核后15个工作日即可拿到备案证明。
如何快速理解等保2.0测评结果？
等级保护2.0测评结果包括得分与结论评价；得分为百分制，及格线为70分；结论评价分为优、良、中、差四个等级。
不同公司的业务系统整合后是否可以算一个系统？
不同公司作为两个独立承担法律的主体单位，必须明确唯一的备案主体，不能算一个系统。同一单位的业务系统，如确实经过改造，入口、后台、业务关联性、重要程度等符合《GB/T 22240-2020 信息系统安全 网络安全等级保护定级指南》要求可以算作一个系统。
如何选择测评机构开展测评？
选择有测评资质的测评公司，优先考虑本地测评公司。可参照中国网络安全等级保护网（djbh.net）的《全国网络安全等级保护测评机构推荐目录》选中几家进行邀请投标，同时关注该网站公布的国家网络安全等级保护工作协调小组办公室的不定期整改公告中是否涉及相关测评公司。
等级保护有哪些规范标准？
等级保护涉及面广，相关的安全标准、规范、指南还有很多正在编制或修订中。常用的规范标准包括但不限于如下：
| 标准编号 | 标准名称 |
|---|---|
| GB 17859-1999 | 计算机信息系统安全保护划分准则 |
| GB/T 31167-2014 | 信息安全技术 云计算服务安全指南 |
| GB/T 31168-2014 | 信息安全技术 云计算服务安全能力要求 |
| GB/T 36326-2018 | 信息技术 云计算云服务运营通用要求 |
| GB/T 25058-2019 | 信息安全技术 网络安全等级保护实施指南 |
| GB/T 25070-2019 | 信息安全技术 网络安全等级保护安全设计技术要求 |
| GB/T 28448-2019 | 信息安全技术 网络安全等级保护测评要求 |
| GB/T 28449-2018 | 信息安全技术 网络安全等级保护测评过程指南 |
| GB/T 22239-2019 | 信息安全技术 网络安全等级保护基本要求 |
| GB/T 22240-2020 | 信息安全技术网络安全安全等级保护定级指南 |
| GB/T 36958-2018 | 信息安全技术 网络安全等级保护安全管理中心技术要求 |
| GM/T 0054-2018 | 信息系统密码应用基本要求 |
| GB/T 35273-2020 | 信息安全技术 个人信息安全规范 |
等级保护测评结论不符合是不是等级保护工作就白做了？
不是。等级保护测评结论为“差”，表示目前该信息系统存在高危风险或整体安全性较差，没有达到相应标准要求。但是这并不代表等级保护工作白做了，即使你拿着不符合的测评报告，主管单位也是承认你们单位今年的等级保护工作已经开展过了，只是目前的问题较多，没达到相应的标准，需要抓紧整改。
拿什么证明开展过等级保护工作？
一般情况是备案证明和测评报告，测评报告应加盖测评机构公章和测评专用章。
系统在云上，还要做等保吗？
要做。业务上云有多种情况，如在公有云、私有云、专有云等不同属性的云上，并采用IaaS、PaaS、SaaS、IDC托管等不同服务，虽然安全责任边界发生了变化，但网络运营者的安全责任不会转移。根据“谁运营谁负责、谁使用谁负责、谁主管谁负责”的原则，应承担网络安全责任进行等级保护工作。
做完等级测评就没有安全问题了？
很多人认为，完成等保测评就万事大吉了。其实，不然。等保测评标准只是基线的要求，通过测评、整改，落实等级保护制度，确实可以规避大部分的安全风险。但是，安全是一个动态而非静止的过程，不是通过一次测评，就可以一劳永逸的。
企业通过落实等保安全要求，并严格执行各项安全管理的规章制度，基本能做到系统的安全稳定运行。但依然不能百分百保证系统的安全性。因此，要通过等级保护测评工作开展，以“一个中心、三重防护”好“三化六防”等为指导，不断提升网络攻防能力。
需要进行等级保护的系统中的所有资产（包括软硬件）都需要有购买合同吗？
首先，等保的每隔一段时间进行评测的，是一个持续不断的过程；即使投机取巧今年过了，明年后年也还是要进行测评的。
其次，并没有要求一定要自己购买，只需要提供有相关的服务证明即可，租赁合同也可以的。
等保要求需要哪些安全软件和硬件？
首先声明等保是没有明文规定要求去购买第三方软件和硬件的，第三方的软件和硬件只是作为补偿措施；在应用系统本身无法都满足等保要求的情况下，可以借助一些补偿措施来弥补应用系统上的不足，让应用系统符合等级保护测评项的相关要求。
等保需要做哪些安全服务？
漏洞扫描：基本所有级别的等保都建议要进行漏洞扫描
渗透测试：三级等保要求必须做，二级等保虽然不是强制要求但是首次进行等保建设还是建议先做一次的。
基线核查：并非等保要求，但是方便去整改；如果在测评之前做了基线核查工作，那么整改起来也会方便很多。
等保测评需要花多长时间？
最快也得一周，具体看当地网监部门的审核进度。
- 备案1~2天
- 测评1~2天
- 整改N天
- 复测1天
- 安全测试1天（可与测评同时进行）
网友评论