等级保护工作15个问题？（包含等级保护三级多少钱）
时间：2021-01-21
「1」 等级保护的发展历程
1994年，《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）规定，“计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定”，等级保护制度正式被提出。
2016年10月，公安部网络安全保卫局对原有国家标准《信息安全技术信息系统安全等级保护基本要求（GB/T 22239-2008）》等系列标准进行修订。2017年6月，《网络安全法》正式出台，信息安全等级保护过渡到网络安全等级保护，法规明确要求国家实施等保制度。2019年5月，随着《信息安全技术网络安全等级保护基本要求（GB/T 22239-2019）》《信息安全技术网络安全等级保护测评要求（GB/T 28448-2019）》等标准的正式发布，标志着等保2.0全面启动。
「2」 什么是网络安全等级保护？
信息系统安全等级保护是国家信息安全保障工作的基本制度、基本策略、基本方法。开展信息系统安全等级保护工作不仅是加强国家信息安全保障工作的重要内容，也是一项事关国家安全、社会稳定的政治任务。信息系统安全等级保护测评工作是指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对未涉及国家秘密的信息系统安全等级保护状况进行检测评估的活动。公安机关等安全监管部门进行信息安全等级保护监督检查时，系统运营使用单位必须提交由具有等级测评资质的机构出具的等级测评报告。
等级保护是对专有信息及信息系统进行分等级保护，对其中的信息安全产品进行按等级管理，对发现的安全事件分等级响应和处置。两个对象，三重管理。
「3」 等级保护测评的费用是多少?
测评的费用首先是按照信息系统来算，不是按照一个单位，第二不同等级的测评费用不一样。费用每个省市具体要求不一样，通常每个省市都有自己的一个价格体系，二级和三级系统的测评费用相对都是固定的，详情咨询010-57298809.
「4」 测评完成后需要花多少钱进行安全整改，整改是否一次性要整改到位?
需要根据具体情况去分析，安全整改不一定要额外花钱，如果单位已经有防火墙、IDS、杀毒软件、堡垒机、数据库审计、日志审计的话，设备上是基本满足等保三级及以下等级的要求的。当然如果想做的更好，还是需要再增加一些其他设备的。安全整改优先把高危风险及最急需整改的内容先整改，不强制要求一次或一年内全部整改到位，安全建设及整改也是一个持续性的工作。
「5」 开展等级保护工作有什么意义（等保重要性），不做有什么危害？
主要原因如下
1.通过等级保护工作发现单位信息系统存在的安全隐患和不足，进行安全整改之后，提高信息系统的信息安全防护能力，降低系统被各种攻击的风险，维护单位良好的形象。
2.等级保护是我国关于信息安全的基本政策，国家法律法规、相关政策制度要求单位开展等级保护工作。如《信息安全等级保护管理办法》和《中华人民共和国网络安全法》。
3.很多行业主管单位要求行业客户开展等级保护工作，目前已经下发行业要求文件的有：金融、电力、广电、医疗、教育等行业，还有一些主管单位发过相关文件或通知要求去做。
4.落实个人及单位的网络安全保护义务，合理规避风险。
「6」 等级保护测评一般多长时间能测完？
现场测评周期一般一周左右，具体看信息系统数量及信息系统的规模，有所增减。小规模安全整改2-3周，出具报告时间两周，整体持续周期2个月。如果整改不及时或牵涉到购买设备，时间上会相对较长。
解读：理论上首次测评之后出具测评报告项目就结束了，但是实际情况好多是客户接受不了结论不符合的报告，所以很多时候是等客户整改后，测评机构再进行复测，复测完成后出具最终的测评报告。所以在首次测评后需要抓紧进行安全整改，整改的快自然结束的快，所以用户单位想早点结束的话就得把安全整改抓紧落实完成。
「7」 等级保护测评后的最终结论分为哪几种？
最新版等级保护2.0标准要求，测评报告结论分为优、良、中、差 四种，其中优是90分以上，良是80-90分，中是70-80分，差是70分以下。
「8」 等级保护测评多久测评一次？
三级信息系统要求每年至少开展一次测评；二级信息系统一般每两年开展一次测评。
「9」 等级保护测评的主要内容是什么？
主要包括物理（机房）、网络（网络结构、网络设备、安全设备）、主机（操作系统、数据库）、应用（应用软件、中间件）、数据六个层面。还需进行工具测试和渗透测试（如有特殊原因，客户可以选择不进行，但需签署自愿放弃验证声明）。
「10」 等级保护测评工作的方法与流程？
等级测评方法主要有访谈、检查、测试三种、测评流程分为项目准备阶段、方案编制阶段、现场测评阶段和报告编制阶段四个阶段。
「11」 等级保护云系统到哪里进行系统定级备案？
如果自己的运维团队和注册经营地址不一致怎么办？到底去哪里备案？不少人以为是到注册经营地进行备案
云系统由于部署在各类云平台上面，而云平台的实际物理地址往往和云系统网络运营者不在同一地址，大型云平台还有许多物理节点，很难确定云平台的具体物理地址，那么这种情况下云系统到底到云平台所在注册地址进行系统备案，还是到自己所在注册地址进行备案，如果自己的运维团队和注册经营地址不一致怎么办？到底去哪里备案？不少人以为是到注册经营地进行备案。
答：云系统应当在系统实际运维团队所在地市网安部门进行系统备案，因为这样方便属地公安对系统进行监管。扩展：在云计算环境中，应将云服务方侧的云计算平台单独作为定级对象定级，云租户侧的等级保护对象也应作为单独的定级对象定级。
「12」 我的系统已经上云或者系统托管了，是不是就不要做等保了？
系统上云的情况越来越多，不论是公有云（阿里云、腾讯云、亚马逊云等）还是各类私有云（政务云、内部云平台等）或者就是直接托管到IDC机房，一些客户认为系统已经不在自己机房了，所以系统的相应安全运维就不归自己管了，自然等保工作就不需要做了。
根据“谁运营谁负责，谁使用谁负责，谁主管谁负责”的原则，该系统责任主体还是属于网络运营者自己，所以还是得承担相应的网络安全责任，该进行系统定级的还是得定级，该做等保的还是得做等保。
扩展：系统上云或托管后，并不是安全责任主体转移，只是系统所在机房地址的变更，当然在公有云模式下，Iaas、Paas、Saas不同模式相应的安全责任会有些区别，但是并不是没有责任。
「13」 等级保护系统定级是不是越低越好？
一些客户担心系统定级定高了后期给自己工作增加麻烦，一方面等级高了，技术要求高了，需要做的工作多了；
另一方面三级系统需要每年都做测评，也觉得麻烦。所以想着系统定个二级就可以了，自己省事。
首先系统到底定几级是根据受侵害的客体以及对客体侵害的程度来确定的，是以事实为根据，而不是拍脑袋决定的。系统等级定低了，乍一看可能工作上是容易做了，但是反而是我们没有落实好网络安全保护义务的直接表现，系统等级低了相应的安全防护要求也低了，那么万一你的系统不小心被攻击破坏造成一定不良影响，在主管部门进行责任认定追查时，很有可能就会因为系统定级不合理，安全责任没有履行到位而被处罚。得不偿失，还是安安稳稳把自己该做的工作做好。
扩展：系统定级按照等保1.0的要求是自主定级，有主管部门的需要主管部门审核，最终报送公安机关进行审核。所以定级并不是想定几级就定几级的。预计今年会发布的等保2.0里定级流程新增了“专家评审”和“主管部门审核”两个环节，这样定级过程将会变得更加规范，定级也会更加准确。
「14」 等级保护系统1.0与等保2.0的对比
等保2.0将原来的标准《信息安全技术信息系统安全等级保护基本要求》改为《信息安全技术网络安全等级保护基本要求》，与《中华人民共和国网络安全法》中的相关法律条文保持一致。
等保2.0调整各个级别的安全要求为安全通用要求、云计算安全扩展要求、移动互联安全扩展要求、物联网安全扩展要求和工业控制系统安全扩展要求。
「15」 等级保护涉及的范围？
省辖市以上党政机关的重要网站和办公信息系统；
电信、广电行业的公用通信网、广播电规传输网等基础信息网络，经营性公众互联网信息服务单位、互联网接入服务单位、数据中心等单位的重要信息系统；
铁路、银行、海关、税务、民航、电力、证券、保险、外交、科技、发展改革、国防科技、公安、人事劳动和社会保障、财政、审计、商务、水利、国土资源、能源、交通、文化、教育、统计、工商行政管理、邮政等行业、部门的生产、调度、管理、办公等重要信息系统。
京公网安备 11011202000939号
在线咨询
010-57298809