等级保护测评一般多长时间能测完？

　　网络安全等级保护2.0国家标准（等保2.0）自去年12月1日正式实施以来，很多企业都在努力准备过保工作，伴随着国内疫情防控取得积极成效，各行各业逐渐开始复工复产，等保合规也重新提上重要日程。

　　为了让有过保需求的客户能够更全面地了解当前的等保测评机制、以及针对性进行等保合规建设，腾讯云安全专家服务团队梳理了等级保护常见的40个问题，以供参考。也欢迎大家互动咨询，我们将为客户提供一站式、全流程的等保合规服务。

　　Q1：什么是等级保护？

　　答：等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。

　　Q2：什么是等级保护2.0？

　　答：“等级保护2.0”或“等保2.0”是一个约定俗成的说法，指按新的等级保护标准规范开展工作的统称。通常认为是《中华人民共和国网络安全法》颁布实行后提出，以2019年12月1日，网络安全等级保护基本要求、测评要求和设计技术要求更新发布新版本为象征性标志。

　　Q3：“等保”与“分保”有什么区别？

　　答：指等级保护与分级保护，主要不同在监管部门、适用对象、分类等级等方面。

　　监管部门不一样，等级保护由公安部门监管，分级保护由国家保密局监管。

　　适用对象不一样，等级保护适用非涉密系统，分级保护适用于涉及国家密秘系统。

　　等级分类不同，等级保护分5个级别：一级(自主保护)、二级(指导保护)、三级(监督保护)、四级(强制保护)、五级(专控保护)；分级保护分3个级别：秘密级、机密级、绝密级。

　　Q4：“等保”与“关保”有什么区别？

　　答：指等级保护与关键信息基础设施保护，“关保”是在网络安全等级保护制度的基础上，实行重点保护。《中华人民共和国网络安全法》第三章第二节规定了关键信息基础设施的运行安全，包括关键信息基础设施的范围、保护的主要内容等。

　　目前《信息安全技术关键信息基础设施网络安全保护基本要求》正在报批中，相关试点工作已启动。

　　Q5：什么是等级保护测评？

　　答：指测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密网络安全等级保护状况进行检测评估的活动。

　　Q6：等级保护是否是强制性的,可以不做吗？

　　答：《中华人民共和国网络安全法》第二十一条规定网络运营者应当按照网络安全等级保护制度的要求，履行相关的安全保护义务。第七十六条定义了网络运营者是指网络的所有者、管理者和网络服务提供者。

　　等级保护相关标准为非强制性的推荐标准，但网络（个人与家庭网络除外）运营者必需按网络安全法开展等级保护工作。

　　Q7：做等级保护要多少钱？

　　答：开展等级保护工作会包含：针对业务系统开展测评的费用，以及按等级保护要求开发、购买或部署安全防护产品成本，开展安全日常运维等人力成本。总体投入的费用与网络运营者对等级保护测评结果分数的预期，以及业务系统安全防护能力建设与整改的情况而定，相应的费用投入会差距很大。

　　为避免盲目投入这个误区，建议咨询安全服务咨询机构制订高性价比的解决方案来满足合规要求又达到业务系统安全保障要求。

　　Q8：等级保护测评一般多长时间能测完？

　　答：一个二级或三级的系统整体持续周期1-2个月。

　　现场测评周期一般1周左右，具体时间还要根据信息系统数量及信息系统的规模，以及测评方与被测评方的配合情况等有所增减。

　　小规模安全整改（管理制度、策略配置技术整改）2-3周，出具报告时间1周。

　　Q9：等级保护测评多久做一次？

　　答：根据《网络安全等级保护条例》（征求意见稿）第二十三条规定：第三级以上网络的运营者应当每年开展一次网络安全等级测评；四级信息系统要求每半年至少开展一次测评；三级信息系统要求每年至少开展一次测评；二级信息系统建议每两年开展一次测评，部分行业是明确要求每两年开展一次测评。