等保测评注册备案中遇到的问题

　　等级保护测评多久做一次？

　　答：根据《网络安全等级保护条例》（征求意见稿）第二十三条规定：第三级以上网络的运营者应当每年开展一次网络安全等级测评；四级信息系统要求每半年至少开展一次测评；三级信息系统要求每年至少开展一次测评；二级信息系统建议每两年开展一次测评，部分行业是明确要求每两年开展一次测评。

　　是否系统定级越低越好？

　　答：不是。可根据实际业务系统的情况参照定级标准进行定级，采用「定级过低不允许、定级过高不可取」的原则。当出现网络安全事件进行追责的时候，如因系统定级过低，需承担系统定级不合理、安全责任没有履行到位的风险。

　　定级备案了是否就被监管了？

　　答：没有定级备案并不代表不需被监管，应尽快履行网络运营者的安全责任进行备案。定级备案后监管部门会在重要时候开展安全检查或发布一些针对性的安全预警，有利于网络运营者开展网络安全工作降低风险。

　　等级保护工作就是做个测评吗？

　　答：等级保护工作包括定级、备案、测评、建设整改、监督审查，测评只是其中一项。测评不是等保工作的结束，重要的是通过测评查漏补缺，不断改进提升安全防护能力，降低安全风险。

　　等级保护测评做一次要多少钱？

　　答：等级保护工作属于属地化管理，测评收费非全国统一价，测评费用每个省都有一个参考报价标准。因业务系统规模大小及是否涉及扩展功能测试不同总体测评费用也有所差异。

　　如某省的参考报价为：二级系统测评费5万，三级系统测评费9万。

　　等保测评后就要花很多钱做整改吗？

　　答：不一定。整改工作可根据网络运营者对测评结果分数的期望和现有安全防护措施的实际效果是否能保障业务抵抗风险的需求按需开展。整改内容也有很多不同方向，除安全设备或服务外，安全管理制度、安全策略调整的整改成本并不高，同样也能快速提升安全保障能力。

　　过等保要花多少钱？能包过吗？

　　答：等级保护采用备案与测评机制而非认证机制，不存在包过的说法，盲目采纳服务商包过的产品与服务套餐往往不是高性价比的方案。网络运营者可结合自身实际安全需求与等保测评预期得分，咨询的第三方安全咨询服务机构来开展等建设工作与测评机构的选择。

　　做了等级测评之后，是否会给发合格证书？

　　答：测评后无合格证书。等级保护采用备案与测评机制而非认证机制，公安机关只对信息系统的备案情况进行审核，对符合等级保护要求的，颁发信息系统安全等级保护备案证明，发现不符合有关标准的，通知备案单位予以纠正，发现定级不准的，通知备案单位重新审核确定。