等級保護相關知識真是很多

等級保護標準

等級保護定級備案

等級保護差距測評

等級保護安全加固

等級保護測評

等級保護監(jiān)督檢查

等級保護相關資質

1、等級保護標準有哪些？

* GB 17859-1999 《計算機信息系統(tǒng) 安全等級保護劃分準則》

* GB/T 22240-2020 《信息安全技術 網(wǎng)絡安全等級保護定級指南》

* GB/T 22239-2019 《信息安全技術 網(wǎng)絡安全等級保護基本要求》

* GB/T 25070-2019 《信息安全技術 網(wǎng)絡安全等級保護安全設計技術要求》

* GB/T 28448-2019 《信息安全技術 網(wǎng)絡安全等級保護測評要求》

* GB/T 25058-2019 《信息安全技術 網(wǎng)絡安全等級保護實施指南》

* GB/T 28449-2018 《信息安全技術 網(wǎng)絡安全等級保護測評過程指南》

* GB/T 36959-2018 《信息安全技術 網(wǎng)絡安全等級保護測評機構能力要求和評估規(guī)范》

* GB/T 36627-2018 《信息安全技術 網(wǎng)絡安全等級保護測試評估技術指南》

其他相關法律和規(guī)范

* 《中華人民共和國網(wǎng)絡安全法》規(guī)定必須要做等級保護

* 信息安全測評聯(lián)盟“網(wǎng)絡安全等級保護測評高風險判定指引”（暫未正式發(fā)布）

2、等級保護定級備案

1）等級保護定級準備

依照GB/T 22240-2020《信息安全技術 網(wǎng)絡安全等級保護定級指南》和上級主管部門要求對信息系統(tǒng)進行定級。
信息系統(tǒng)安全包括業(yè)務信息安全和系統(tǒng)服務安全，與之相關的受侵害客體和對客體的侵害程度可能不同，因此，信息系統(tǒng)定級也應由業(yè)務信息安全和系統(tǒng)服務安全兩方面確定。從業(yè)務信息安全角度反映的信息系統(tǒng)安全保護等級稱為業(yè)務信息安全等級。從系統(tǒng)服務安全角度反映的信息系統(tǒng)安全保護等級稱系統(tǒng)服務安全等級。

2）等級保護定級專家評審

等級保護行業(yè)相關專家3人，企業(yè)方負責等級保護項目的項目經(jīng)理，網(wǎng)絡管理員、運維管理員，應用管理員等。會議過程中，專家可能會對信息系統(tǒng)的基本狀況進行詢問。如：網(wǎng)絡結構，業(yè)務主體，服務對象，數(shù)據(jù)備份情況，安全運維情況等。

專家評審流程：專家簽到 → 確定專家組組長 → 定級闡述 → 專家就定級相關問題進行提問 → 專家對定級結果進行討論 → 修改專家評審意見 → 簽字 → 定級評審會議結束。

3）等級保護備案提交資料

第二級以上信息系統(tǒng)，在安全保護等級確定后30日內(nèi)，由其運營、使用單位或者其主管部門（以下簡稱“備案單位”）到所在地設區(qū)的市級以上公安機關辦理備案手續(xù)。辦理備案手續(xù)時，應先與所在地設區(qū)的市級以上公安機關辦（所在地網(wǎng)安大隊）取得聯(lián)系，詢問所需的備案材料，不同地區(qū)所需的備案材料不盡相同。

依照網(wǎng)安大隊的要求將備案資料準備齊全后，到網(wǎng)安大隊進行備案。

備案時應提交的材料（不同地區(qū)備案資料不完全一樣）

* 定級報告，紙質版一式兩份加蓋公章 電子版一份刻錄光盤（紙質版掃描件）

* 備案表

* 工商營業(yè)執(zhí)照、組織機構代碼證和稅務登記證 或三證合一，復印件一份加蓋公章，原件掃描件刻錄光盤。

* 法人身份證，如非法人親自辦理備案則需要法人授權書（法人親筆簽字）、被授權人身份證。

* 網(wǎng)絡安全承諾書

* 24小時緊急聯(lián)系人

* 三級及以上信息系統(tǒng)提供備案表表四中的全部內(nèi)容。

* 對應管理區(qū)網(wǎng)安大隊要求提供的其他資料

4）網(wǎng)安部門受理
辦理備案前應先與網(wǎng)安支隊或網(wǎng)安總隊約定好備案時間，并準時到達網(wǎng)安支隊或網(wǎng)安總隊辦理備案。經(jīng)審核符合等級保護要求的，公安機關應當自收到備案材料之日起的十五個工作日內(nèi)，將加蓋本級公安機關印章（或等級保護專用章）的《備案表》一份反饋備案單位，一份存檔；對不符合等級保護要求的，公安機關公共信息網(wǎng)絡安全監(jiān)察部門應當在十個工作日內(nèi)通知備案單位進行整改，并出具《信息系統(tǒng)安全等級保護備案審核結果通知》。
備案通過的單位，將獲得信息系統(tǒng)安全等級保護備案證明。

3、等級保護差距分析

相當于等級保護的差距測評（可選，不強制），對信息系統(tǒng)預先進行的一次模擬測評，目的是發(fā)現(xiàn)信息系統(tǒng)安全現(xiàn)狀與國家等級保護對應等級安全防護能力之前的差距，出具差距分析報告及整改意見報告。

1）現(xiàn)場訪談
測評工程是在測評過程中需要網(wǎng)絡管理員、服務器管理員、數(shù)據(jù)庫管理員、應用管理員等人員進行現(xiàn)場配合，主要的工作方式為：測評工程師說明需要檢查哪些相關的安全策略，由客戶方的工程師進行操作查詢，測評工程師負責記錄。人員：網(wǎng)絡管理員、服務器管理員、數(shù)據(jù)庫管理員、應用管理員等。文檔：公司所有有關的安全管理制度、規(guī)范、手冊等。
2）滲透測試及漏洞掃描
等級保護二級信息系統(tǒng)需進行漏洞掃描，三級信息系統(tǒng)需進行滲透測試，整改完成需再次進行測試驗證，確認漏洞修復有效。

3）差距整改建議

結合企業(yè)自身情況進行整改。依據(jù)信息安全測評聯(lián)盟的“網(wǎng)絡安全等級保護測評高風險判定指引”進行高風險判定，同時在滲透測試和漏洞掃描中發(fā)現(xiàn)的高、中危漏洞必須修復，如漏洞修復會對企業(yè)的相關業(yè)務造成影響可采用其它方式降低漏洞被利用的可能性，例如限制訪問，更改端口號等。信息系統(tǒng)整改時需注意企業(yè)所投入的人力、物力、財力，綜合考量后再決定整改那些不符合項。

4、等級保護安全加固

根據(jù)等級保護差距分析結果，出具安全加固及整改建議方案，并根據(jù)方案進行整改，包括：系統(tǒng)補丁升級、網(wǎng)絡及安全產(chǎn)品配置整改、增加相應的安全產(chǎn)品、各種環(huán)境整改、制度評估及整改等。

5、等級保護測評

擁有國家等級測評資質的第三方測評機構對企業(yè)的信息系統(tǒng)進行等級測評，并出具等級測評報告，二級一般2年測評一次，三級1年測評一次，其他等級一般涉及不多，暫不做介紹。

1）網(wǎng)絡安全等級保護測評的四個階段

2）網(wǎng)絡安全等級保護測評的基本內(nèi)容

6、等級保護監(jiān)督檢查

公安機關開展等級保護監(jiān)督檢查，其目的在于全面了解掌握各行業(yè)、各地區(qū)、各單位網(wǎng)絡安全等級保護、等級測評、安全建設整改等工作部署和貫徹落實情況，總結開展網(wǎng)絡安全等級保護工作的成功經(jīng)驗，查找分析工作中存在的突出問題，督促、指導各備案單位進一步落實網(wǎng)絡安全等級保護制度的各項要求，建立健全等級保護監(jiān)督檢查工作的長效機制。檢查核實信息系統(tǒng)運營使用、建設單位的等級保護工作開展和落實情況，重點督促、檢查安全設施、安全措施、安全管理制度、安全責任、責任部門和人員。

① 等級保護工作組織開展、實施情況。安全責任落實情況，信息系統(tǒng)安全崗位和安全管理人員設置情況；
② 按照網(wǎng)絡安全法律法規(guī)、標準規(guī)范的要求制定具體實施方案和落實情況；
③ 信息系統(tǒng)定級情況，信息系統(tǒng)變化及定級變動情況；
④ 設施建設情況和整改情況；
⑤ 網(wǎng)絡安全管理制度建設和落實情況；
⑥ 網(wǎng)絡安全保護技術措施建設和落實情況；
⑦ 選擇使用網(wǎng)絡安全產(chǎn)品情況；
⑧ 聘請測評機構按規(guī)范要求開展技術測評工作情況，根據(jù)測評結果開展整改情況；
⑨ 自行定期開展自查情況；
⑩ 開展網(wǎng)絡安全知識和技能培訓情況。

7、等級保護相關資質

1）信息安全等級保護安全建設服務機構能力評估合格證書主要面向等級保護安全建設服務方面，此證書對申請企業(yè)只有能力限制，無對象限制要求。

除此之外，有些安全廠商為了給客戶提供卻更專業(yè)的安全集成和全生命周期安全服務，還擁有其它業(yè)界認可的相關權威資質：

CCRC信息安全集成服務資質認證
CCRC信息安全風險評估服務資質認證
國家信息安全測評信息安全服務資質證書（風險評估類）
國家信息安全測評信息安全服務資質證書（安全工程類）
國家信息安全測評信息安全服務資質證書（安全開發(fā)類）
工業(yè)信息安全應急服務支撐單位證書

2）網(wǎng)絡安全等級保護測評機構推薦證書
主要面向等級保護安全測評服務方面，此證書對申請企業(yè)有一定限制，安全產(chǎn)品廠商或軟件開發(fā)廠商不能申請，不能向用戶推薦產(chǎn)品品牌等要求。