济南恒标知识产权咨询有限公司

济南信息安全等级保护测评的流程及材料

信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

一、信息安全等级保护测评共分五级

1等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益；

2等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全；

3等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害；

4等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害；

5等级保护对象受到破坏后，会对国家安全造成特别严重损害。

二、测评流程：信息系统定级、备案、安全建设整改、等级测评、监督检查。

三、定级范围包括基础信息网络、工业控制系统、云计算平台、物联网、其他信息系统、大数据等。

四、等保测评定级备案

等保测评工作是一个全流程工作，想做等保测评的单位，首先需要做定级备案工作。

第一步，系统定级；

第二步，系统备案。

系统定级主要是填写备案单位情况表、定级系统情况表和定级报告，一共是4个表格（二级系统三个表格，三级系统四个表格），一个定级报告，这些定级信息填写完成之后，打印两份，刻录电子档一份，在纸质文件单位首页处加盖备案单位公章。

五、等级保护测评内容及成果

等级保护测评到底测哪些内容呢？主要测评以下两个层面：

技术层面：物理安全、主机安全、网络安全、应用安全和数据安全与备份；

管理层面：安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理。

最终经过等级保护测评之后，我们获得的成果主要是：被测系统取得的备案证明资料、等级保护测评报告和安全建设整改方案。

补充一项重要的成果：通过等级保护测评之后我们的系统信息安全防护能力得到了提高，安全风险被有效降低，前提是我们在发现问题后进行一定的安全整改。最近不少安全检查在全国各地开始了，主管单位上门检查一部分内容就会是有没有开展等级保护工作，开展的情况，我们把这些资料给他们看，他们就知道我们做了等保，在信息安全上工作上做了不少。因为很难通过你买了什么安全设备就判断你安全工作做好了，没有安全风险了，而等保虽不能证明你一定安全，但至少等保是从不同层面对你的信息系统整体性做了一个安全评估，相对更可信，而且也是书面性的资料。

最后补充一句，看上去等保需要做很多内容，好多用户担心会给自己增加很多工作内容，其实这个担心是多余的也是错误的，真正做等保的过程中，一般只需要一到两个对你们单位系统情况、网络设备比较了解的人配合就可以，大部分工作是测评机构在做；另外安全工作不是因为做了等保才要去做，如果单位不做等保这样的工作也是应该贯彻在我们日常工作之中的，只是通过做等保，我们把这样的问题集中暴露出来，更早的把这些问题解决，把安全隐患扼杀在摇篮之中。