等保整改

1. 等级保护工作有哪些规定动作

等级保护工作遵循相关的法律法规，具备完善的政策流程支撑，有规定的流程动作。以下就是等级保护工作的基本流程

1.1 基本实施流程图

1.1.1 系统识别与定级

1. 确定定级对象：根据《信息系统等级保护管理办法》和《信息系统等级保护定级指南》的要求确定信息系统的安全等级确定保护对象。

2. 初步确定等级：通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度，确定系统被破坏后受侵害的客体以及侵害对客体的侵害程度，综合判定侵害程度。初步确定系统的等级。

3. 专家评审：定级对象的运营、使用单位应组织信息安全专家和业务专家，对初步定级结果的合理性进行评审，出具专家评审意见。

4. 主管部门审核：完成专家评审后，应将初步定级结果上报行业主管部门或上级主管部门进行审核。

5. 公安机关审核：将初步定级结果提交公安机关进行备案审查，审查不通过，其运营使用单位应组织重新定级；审查通过后最终确定定级对象的安全保护等级。

1.1.2 系统备案

1. 资料准备：由信息系统运营使用单位准备备案材料，填写《信息系统安全等级保护备案表》

2. 系统备案：由信息系统运营使用单位到所在地设区的市级以上公安机关网络安全保卫部门办理备案手续

3. 受理备案和审核:公安机关对备案材料进行审核，定级准确、材料符合要求的颁发由公安部统一监制的备案证明。发现定级不准的，通知备案单位重新审核确定

1.1.3 等级保护测评

信息系统运营使用单位需要聘请经过认证的安全测评机构，依据《信息系统安全等级保护管理办法》和《信息系统安全等级保护测评要求》及《信息系统安全等级保护测评过程指南》标准，对信息系统安全保护状况开展等级测评，按照《信息系统安全等级测评报告模板》（2019版）编写等级测评报告。

等级保护测评工作采取询问情况、查问和核对材料、调看记录和资料、现场查验、渗透测试、漏洞扫描等方式进行。通过等级测评，分析判断目前信息系统所采取的安全措施与等级保护标准要求之间的差距，分析安全方面存在的问题，查找信息系统安全保护建设整改需要解决的问题，形成安全建设整改的安全需求。

1.1.4 整改

根据等级保护测评结果和整改建议，运营单位按照等级保护要求和相关规范和标准，进行安全建设。制定安全管理制度、完善安全设施安全手段，落实安全技术措施。

1.1.5 周期性监督检查

公安机关依据管理办法和检查规范不定期对运营使用单位的信息系统进行安全监督、检查、指导，如发现未履行等级保护职责，公安机关可以依法进行相应处罚，处罚标准参考《中华人民共和国网络安全法》《中华人民共和国刑法》《网络安全等级保护条例》。

2. 等保备案到底有什么用不等保定级备案会怎么样

等保备案到底有什么用?不等保定级备案会怎么样?
定级、备案是网络安全等级保护工作的初始环节，也是网络运营者开展等级保护工作的基础、关键，更是网络运营者履行等级保护义务的直接体现。

在日常工作中，我们发现少数单位、部门对网络系统定级、备案工作理解尚存在偏差，甚至出现网络系统遭受攻击，重要数据被窃取破坏后，因拿不出定级备案证明，致使公安机关无法判定该网络系统是否属于重要信息系统、关键信息基础设施的情况，一方面给公安机关立案侦查带来不便，另一方面导致网络运营者因未履行安全管理义务而被追责。

网络系统运营使用单位在初步确定网络系统安全保护等级后，对于第二级（含）以上网络系统，在安全保护等级确定后30日内，由其运营使用单位或者主管部门到所在地设区的地市级以上公安机关办理备案手续。

公安机关收到网络系统运营使用单位的备案材料后，对系统定级基本准确的，颁发由公安部统一监制的《备案证明》；对于定级不准的；会向备案单位发整改通知，建议组织专家重新进行定级评审，并报上级主管部门审批。备案单位仍然坚持原定等级的，公安机关可以受理其备案，但应当书面告知其承担由此引发的责任和后果，经上级公安机关同意后，同时通报备案单位的上级主管部门。

对拒不备案的，公安机关依据《中华人民共和国计算机信息系统安全保护条例》等有关法律法规规定，责令其限期整改。逾期仍不备案的，应予以警告，并向其上级主管部门通报。需要向中央和国家机关通报的，要报经公安部同意。

不得不等：定级备案是落实网络安全等级保护制度的第一第二步基础性工作，是落实网络安全法等相关法律法规要求的必要步骤，是履行网络安全义务的一种直接体现，如果这两步都没有开始做，你说自己平时对网络安全有多么地重视，做了多少的工作，不得不等认为这都是站不住脚，或者说你的安全工作还没做到位，连国家最基本的网络安全等级保护制度都没有落实，你们的网络安全工作还有很大进步空间。

3. 等级保护的动态调整原则是指( )

等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。

为什么要办理网络安全等级保护备案?

1.建立有效的网络安全防御体系（让客户的系统真正具有安全防御的能力）

2. 完成信息系统等级保护公安备案（取得备案证明） ，顺利通过网络安全等级保护测评（取得测评报告）

3 满足相关部门的合规性要求（包括国家的政策，法律法规的要求，还有上级部门的要求，还有甲方客户的要求等）

4. 系统过了等保，一定程度上可以提高企业投标锁标的能力，为投标加分

信息系统的安全保护等级分为以下五级：

第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。

第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。国家信息安全监管部门对该级信息系统安全等级保护工作进行指导。

第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行强制监督、检查。

第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行专门监督、检查。

网络安全等级保护备案办理流程：

一步：定级;（定级是等级保护的首要环节）

二步：备案；（备案是等级保护的核心）

三步：建设整改；（建设整改是等级保护工作落实的关键）

四步：等级测评；（等级测评是评价安全保护状况的方法）

五步：监督检查。（监督检查是保护能力不断提高的保障）

4. 等保(等级保护)跟渗透测试有什么关系

等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。

等级保护分为五个级别：

① 第一级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益;

② 第二级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全;

③ 第三级，等级保护对象受到破坏后，会对公民、法人和其他组织的合法权益产生特别严重损害，或者对社会秩序和公共利益造成严重损害，或者对国家安全造成损害;

④ 第四级，等级保护对象受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害;

⑤ 第五级，等级保护对象受到破坏后，会对国家安全造成特别严重损害。

办理等级保护备案的流程是：

一步：定级;（定级是等级保护的首要环节）

二步：备案；（备案是等级保护的核心）

三步：建设整改；（建设整改是等级保护工作落实的关键）

四步：等级测评；（等级测评是评价安全保护状况的方法）

五步：监督检查。（监督检查是保护能力不断提高的保障）

证书案例

5. 阿里云等保测评服务怎么样呢，三级等保测评和二级等保测评有什么区别呢

如果等保测评，首选思朴科技，等保这个看情况的，并且每个省份和城市不同，要求也不一样，流程大概是先定级，然后在整改，最后出报告。2级和三级的区别，2级是要求没有那么高，以会员注册量来判断的话低于100万注册量的算2级，高于100万会员的就要做三级了，当然，还是以定级的时候，看最终是定级在哪级了。我们当初是朋友推荐的阿里云思朴科技做的指导，非常耐心，并且也能节省很多费用。

6. 做等级保护整改需要什么资质

整改没要求资质，但是整改中如果有建设的话建设单位需要集成资质

7. 等保三级的费用比二级贵吗一般包括整改的费用吗

等保三级测评要求范围更广，测评深度更深，因此比二级贵，是二级两倍左右的价格。一般等保测评服务，不包括整改，因为整改的内容无法标准化，需要按照实际的测评结果来确定整改清单，因此一般不包括这一部分的。因此在咨询的时候要问清楚服务的内容和费用，问清楚是否包括整改费用。

8. 什么是信息安全等级保护什么是等保

等级保护概念

根据信息系统应用业务重要程度及其实际安全需求，实行分级、分类、分阶段实施保护，保障信息安全和系统安全正常运行，维护国家利益、公共利益和社会稳定。 等级保护的核心是对信息系统特别是对业务应用系统安全分等级、按标准进行建设、管理和监督。国家对信息安全等级保护工作运用法律和技术规范逐级加强监管力度。突出重点，保障重要信息资源和重要信息系统的安全。

等级保护制度的主要内容

> 信息安全等级保护是指：对国家秘密信息、法人和其他组织及公民的专有信息、公开信息分类分级进行管理和保护；对信息系统按业务安全应用域和区实行分级保护。
> 对系统中使用的信息安全产品实行按分级许可管理。
> 对等级系统的安全服务资质分级许可管理。
> 对信息系统中发生的信息安全事件分等级响应、处置。

为什么要搞等级保护？

> 保护业务安全应用。对信息安全分级保护是客观需求：信息系统的建立是为社会发展、社会生活的需要而设计、建立的，是社会构成、行政组织体系及其业务体系的反映，这种体系是分层次和级别的。因此，信息安全保护必须符合客观存在。
> 等级化保护是信息安全发展规律：按组织业务应用区域、分层、分类、分级进行保护和管理，分阶段推进等级保护制度建设，这是做好国家信息安全保护必须遵循的客观规律。

9. 等级保护工作开展的基本流程是什么

一、系统定级阶段
（一）责任人
? 各信息系统主管部门和运营使用单位
? 市信息办安全中心
（二）工作内容和标准
1.各信息系统主管部门和运营使用单位应依据《信息安全等级保护管理办法》及《信息系统安全等级保护定级指南（报批稿）》，自主确定系统等级。
2.可聘请专家对定级情况进行评审，出具评审意见；参照专家评审意见确定系统等级，形成定级报告。
3.市信息办安全中心负责定级的咨询服务工作（定级方法及流程），开通等级保护咨询服务热线。
（三）工作成果
? 专家评审意见
? 信息系统安全定级报告
二、系统定级备案阶段
（一）责任人
? 信息系统主管部门和运营使用单位
? 市信息办
? 各区县信息办
? 市电子政务等级保护专家组
（二）工作内容和标准
1.系统定级备案材料
? 《信息系统安全等级保护备案表》：单位基本情况、信息系统情况、信息系统定级情况、第三级以上信息系统提交材料情况；
? 备案电子数据：利用备案软件生成的rar文件
2、系统定级备案材料的报送方式
? 《信息系统安全等级保护备案表》：通过公文交换报送至同级信息化主管部门；
? 备案电子数据：邮件发送（或由专人递送）至同级信息化主管部门。
3、各区县信息办负责汇总所掌握的备案电子数据文件，每月月底前向市信息办报送；
4、市信息办接到备案材料及电子数据文件后，于10个工作日内完成材料审查，并对系统安全等级进行初步审核，如果：
? 接受备案,撰写《信息系统安全保护等级备案情况复函》-A；
? 资料不全,撰写《信息系统安全保护等级备案情况复函》-B;
? 明显定级不准，提请市电子政务等级保护专家组进行再评审，同时撰写《信息系统安全保护等级备案情况复函》-C，并正式复函备案信息系统主管部门和运营使用单位。
5、由市信息办牵头，成立市电子政务等级保护专家组，定期对备案明显不准的系统进行再评审，并协调系统运营使用单位对系统级别进行调整。
（三）工作成果
? 《信息系统安全保护等级备案情况复函》-A
? 《信息系统安全保护等级备案情况复函》-B
? 《信息系统安全保护等级备案情况复函》-C
? 《XXXX信息系统定级专家评审意见》
三、评估和整改建设阶段
（一）责任人
? 信息系统运营使用单位
? 市信息办
? 市电子政务等级保护专家组
（二）工作内容和标准
1.信息系统运营使用单位负责系统的风险评估和整改建设工作， 重要信息系统的运营使用单位应将系统等级保护整改建设方案报市信息办；
2.市信息办安全处、安全中心负责等级保护咨询工作，并推荐具有资质的风险评估实施单位、检测机构以及安全服务公司。
3.市电子政务等级保护专家组，负责电子政务重要信息系统等级保护整改建设方案的评审工作。
（三）工作成果
? 等级保护整改建设方案；
? 整改建设方案的评审意见；
四、等级测评阶段
（一）责任人
? 信息系统运营使用单位
? 市信息办
（二）工作内容和标准
电子政务信息系统的运营使用单位应落实系统安全等级测评资金保障工作，同时开展等级测评工作。
? 二级系统应按照《信息安全等级保护管理办法》的要求，由运营单位选择有资质的测评机构开展等级测评，形成等级测评报告，上报同级信息化主管部门（市信息办和区县信息办）；
? 三级（及以上）系统的等级测评由市信息办统一组织实施。
市信息办安全中心负责跟踪重要信息系统等级测评工作的进展。
（三）工作成果
? 《信息系统安全等级测评报告》；
? 重要信息系统等级测评工作的进展情况
五、监督检查阶段
（一）责任人
? 信息系统运营使用单位
? 市信息办
（二）工作内容和标准
? 由市信息办牵头，会同相关部门，对市各委办局信息系统（尤其是重要信息系统）等级保护制度的落实情况，每年进行一次联合执法检查；
? 对于本市重要的电子政务系统，市信息办将分批用两年的时间对所有重要的电子政务系统完成进行一次检查评估。
（三）工作成果
? 执法检查情况报告
? 检查评估报告

10. 企业做等级保护整改，需要什么资质

等级保护办理流程：

1、摸底调查：摸清信息系统底数，掌握信息系统的业务类型、应用或服务范围、系统结构等基本情况。

2、确立定级对象：应用系统应按照业务类别不同单独确定为定级对象，不以系统是否进行数据交换、是否独享设备为确定定级对象。

3、系统定级：定级是信息安全等级保护工作的首要环节，是开展信息系统安全建设、等级测评、监督检查等工作的重要基础。

4、专家批审和主管部门审批：运营使用单位或主管部门在确定系统安全保护等级后，可以聘请专家进行评审。

5、备案：备案单位准备备案工具，填写备案表，生成备案电子数据，到公安机关办理备案手续。

6、备案审核：受理备案的公安机关要及时公布备案受理地点、备案联系方式等，对备案材料进行完整性审核和定级准确审核。

7、系统测评：第三级以上信息系统按《信息系统安全等级保护备案表》表四的要求提交01-07共七分材料。

8、整改实施：根据测评结果进行安全要求整改。