上海等保测评备案是什么要求

　　有些公司在迅猛发展过程中往往只看重业务而忽视了安全问题，不仅没有安全团队，对
代码和数据的保护都没有任何措施。 可能运维人员知道这个问题的严重性，但由于管理人
员的角度不同往往会忽略这个问题的严重性。如果您的企业，还没有进行等保备案和测评，
那可要抓紧啦！网络信息安全不仅仅关乎企业安全，更关乎国家利益！

　　等保测评是什么？

　　等保即信息安全等级保护，是指对国家重要信息、法人和其他组织及公民的专有信息以
及公开信息在存储、传输、处理这些信息时分等级实行安全保护；对信息系统中使用的信息
安全产品实行按等级管理；对信息系统中发生的信息安全事件分等级响应、处置。

　　等保测评一定要做吗？

　　《中华人民共和国网络安全法》（以下简称《网络安全法》）于2017年6月1日正式实施
： 第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护
制度的要求，履行安全保护的义务。等保2.0实施后，不开展等级保护等于违反《网络安全
法》，可以根据法律法规进行处罚。

　　不做等保，等于违法！

　　不做等保，等于违法！

　　不做等保，等于违法！

　　更多等保信息，欢迎关注留言

　　等保方案怎么做？

　　1.网站系统定级

　　根据等级保护相关管理文件，等级保护对象的安全保护等级一共分五个级别，从一到五
级别逐渐升高。等级保护对象的级别由两个定级要素决定：①受侵害的客体；②对客体的侵
害程度。对于关键信息基础设施，“定级原则上不低于三级”，且第三级及以上信息系统每
年或每半年就要进行一次测评。

　　定级流程：确定定级对象→初步确定等级→专家评审→主管部门审批→公安机构备案审
查→终确定的级别。

　　2.网站系统备案

　　根据《网络安全法》规定：

　　①已运营（运行）的第二级以上信息系统，应当在安全保护等级确定后30日内（等保2.
0相关标准已将备案时限修改为10日内），由其运营、使用单位到所在地设区的市级以上公
安机关办备案手续。

　　②新建第二级以上信息系统，应当在投入运行后30日内（等保2.0相关标准已将备案时
限修改为10日内），由其运营、使用单位到所在地设区的市级以上公安机关办备案手续。

　　③隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息
系统，由主管部门向公安部办备案手续。

　　④跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设
区的市级以上公安机关备案。

　　企业终确定网站的级别以后，就可以到公安机关进行备案。备案所需材料主要是《信
息安全等级保护备案表》，不同级别的信息系统需要的备案材料有所差异。第三级以上信息
系统需提供以下材料：( 一 ) 系统拓扑结构及说明；( 二 ) 系统安全组织机构和管理制度
；( 三 ) 系统安全保护设施设计实施方案或者改建实施方案；( 四 ) 系统使用的信息安全
产品清单及其认证、销售许可证明；( 五 ) 测评后符合系统安全保护等级的技术检测评估
报告；( 六 ) 信息系统安全保护等级专家评审意见；( 七 ) 主管部门审核批准信息系统安
全保护等级的意见。

　　3.网站系统安全建设（整改）

　　等级保护整改是等保建设的其中一个环节，指按照等级保护建设要求，对信息和信息系
统进行的网络安全升级，包括技术层面整改和管理层面整改。整改的终目的就是为了提高
企业信息系统的安全防护能力，让企业可以成功通过等级测评。

　　等级保护整改没有什么资质要求，只要公司可以按照等级保护要求来进行相关网络安全
建设，由谁来实施，是没有要求的。但由于目前企业网络安全人才紧缺，企业很多时候都需
要寻找的网络安全服务公司来进行整改。

　　整改主要分为管理整改和技术整改。管理整改主要包括：明确主管领导和责任部门，落
实安全岗位和人员，对安全管理现状进行分析，确定安全管理策略，制定安全管理制度等。
其中，安全管理策略和制度又包括人员安全管理事件处置、应急响应、日常运行维护设备、
介质管理安全监测等。

　　技术整改主要是指企业部署和购买能够满足等保要求的产品，比如网页防篡改、流量监
测、网络入侵监测产品等。

　　4.网站系统等级测评

　　等级测评指经公安部认证的具有资质的测评机构，依据国家信息安全等级保护规范规定
，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测
评估的活动。物联网企业等级测评需要寻找合适的测评机构来进行测评，测评机构至少需要
具备《信息安全等级测评推荐证书》。物联网企业可以登录中国网络安全等级保护网查看国
家推荐的有资质的测评机构名单。

　　测评机构收费方面，具体的服务费用会因为省市不同、测评项目不同、行业不同等而有
所差异。但一般来说，二级系统测评费用4万元起步，三级系统测评费用7万元起步。

　　根据规定，对信息系统安全等级保护状况进行的测试应包括两个方面的内容：一是安全
控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；
二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统
整体安全测评的基础。

　　5.监督检查

　　企业要接受公安机关不定期的监督和检查，对公安机关提出的问题予以改进。