等級保護工作全流程
在展開信息系統(tǒng)等級保護測評工作之前，需要先對企業(yè)的信息系統(tǒng)進行調研，調研的主要內容包含：
1. 資產清單：系統(tǒng)所使用的服務器、網絡設備、安全設備的廠商、類型、版本號、所使用的操作系統(tǒng)，數(shù)據庫等，及資產的責任人等；
2. 網絡拓撲圖：要求與網絡現(xiàn)狀一致。
3. 配合人員：網絡管理員、服務器管理員、數(shù)據庫管理員、應用管理員等。
4. 企業(yè)相關的安全管理制度：如整體安全策略，近遠期安全發(fā)展目標，人員管理制度等，（一般要求提供所有制度）
1、定級方式
主管部門統(tǒng)一確定安全保護等級。
2、定級的一般流程
依照《定級指南》對信息系統(tǒng)進行定級，或依照上級主管部門要求對信息系統(tǒng)進行定級。詳見附件《網絡安全等級保護定級指南》
信息系統(tǒng)安全包括業(yè)務信息安全和系統(tǒng)服務安全，與之相關的受侵害客體和對客體的侵害程度可能不同，因此，信息系統(tǒng)定級也應由業(yè)務信息安全和系統(tǒng)服務安全兩方面確定。從業(yè)務信息安全角度反映的信息系統(tǒng)安全保護等級稱為業(yè)務信息安全等級。從系統(tǒng)服務安全角度反映的信息系統(tǒng)安全保護等級稱系統(tǒng)服務安全等級。
1、前期準備工作：
人員：等級保護行業(yè)相關專家3~5人，企業(yè)方負責等級保護項目的項目經理，網絡管理員、運維管理員，應用管理員等。會議過程中，專家可能會對信息系統(tǒng)的基本狀況進行詢問。如：網絡結構，業(yè)務主體，服務對象，數(shù)據備份情況，安全運維情況等。
時間：與專家協(xié)調好的會議時間。
地點：與專家約定好的會議地點，一般在企業(yè)會議室。
需要準備的文檔：定級報告、備案表各三份；定級過程闡述文檔；電子版專家評審意見。需注意專家評審意見中信息系統(tǒng)的名稱，專家一旦簽字，信息系統(tǒng)的名稱將無法更改（如有軟件著作權，則名稱最好與軟件著作權名稱一致）。
2、專家評審流程：
專家簽到 → 確定專家組組長 → 定級闡述 → 專家就定級相關問題進行提問 → 專家對定級結果進行討論→ 修改專家評審意見 → 簽字 → 定級評審會議結束。
3、文檔輸出（電子版+紙質蓋章版）
《XXX系統(tǒng)定級報告》、《XXX系統(tǒng)備案表》
第二級以上信息系統(tǒng)，在安全保護等級確定后30日內，由其運營、使用單位或者其主管部門（以下簡稱“備案單位”）到所在地設區(qū)的市級以上公安機關辦理備案手續(xù)。辦理備案手續(xù)時，應先與所在地設區(qū)的市級以上公安機關辦（所在地網安大隊）取得聯(lián)系，詢問所需的備案材料，不同地區(qū)所需的備案材料不盡相同。
依照網安大隊的要求將備案資料準備齊全后，到網安大隊進行備案。
1、備案時應提交的材料
* 定級報告
* 備案表
* 企業(yè)工商營業(yè)執(zhí)照等相關資料。
* 法人身份證
* 網絡安全承諾書
* 24小時緊急聯(lián)系人
* 三級及以上信息系統(tǒng)提供備案表中的全部內容。
* 對應管理區(qū)網安大隊要求提供的其他資料
2、網安大隊受理
辦理備案前應先與網安大隊約定好備案時間，并準時到達網安大隊辦理備案。
3、網安大隊輸出文檔
《信息系統(tǒng)安全等級保護備案證明》
相當于等級保護的差距測評（可選，不強制），對信息系統(tǒng)預先進行的一次模擬測評，目的是發(fā)現(xiàn)信息系統(tǒng)安全現(xiàn)狀與國家等級保護對應等級安全防護能力之前的差距。
出具差距分析報告及整改意見報告。
1、現(xiàn)場訪談
測評工程是在測評過程中需要網絡管理員、服務器管理員、數(shù)據庫管理員、應用管理員等人員進行現(xiàn)場配合，主要的工作方式為：測評工程師說明需要檢查哪些相關安全策略，客戶的工程師進行操作查詢，測評工程師負責記錄。
人員：網絡管理員、服務器管理員、數(shù)據庫管理員、應用管理員等。
文檔：公司所有有關的安全管理制度、規(guī)范、手冊等。
2、滲透測試及漏洞掃描
等級保護二級信息系統(tǒng)需進行漏洞掃描，三級信息系統(tǒng)需進行滲透測試，根據其結果進行整改。其中高危、中危漏洞必須修復。整改完成需再次滲透測試驗證，確認漏洞修復有效。
3、整改建議
結合企業(yè)自身情況進行整改。其中高、中危漏洞必須修復后才能進行測評。
4、文檔輸出
《等級保護差距測評報告》
此部分根據等級保護差距測評和加固建議，出具具體的安全加固及整改建議方案，并根據方案進行整改，包括：系統(tǒng)補丁升級、網絡及安全產品配置整改、增加相應的安全產品、各種環(huán)境整改、制度評估及整改等。
由擁有國家等級測評資質測評機構對企業(yè)的信息系統(tǒng)進行等級測評，并出具等級測評報告。
1、信息安全等級保護測評的四個階段
2、信息安全等級保護測評的基本內容
3、文檔輸出
《XXX系統(tǒng)安全等級測評報告》
