等级保护测评介绍

等保的发展历程

2017年6月1日起实施那时候国家发布了网络安全法
等保2.0在2019年12月1日正式实施
安全体系
为什么做等保 可以理解为给企业购买保险，企业中的安全出了问题，如果做了等保
出事后就可以理解为天灾，那如果不做等保，出事后就可以理解为是人祸
为什么做等保 可以理解为给企业购买保险，企业中的安全出了问题，如果做了等保
出事后就可以理解为天灾，那如果不做等保，出事后就可以理解为是人祸

渗透测试只是等保中的一小部分
等保相关标准

等级保护建设中的角色
网络安全等级保护网址：http://www.djbh.net/webdev/web/HomeWebAction.do?p=init

ppt 里的全省6家是指广州的6家

公安机关是监管测评机构
测评机构等保只能做到2级和 3级
4级和5级由公安机关做
收费标准是根据国家联盟而定
用户单位：是指需要测评的用户
集成商、安全厂商： 就是用户单位测评比如安全产品过不了，就要购买一些安全产品。是
是卖设备用的。
但是测评机构不能卖设备，可以理解为（测评机构是一个监考老师，用户单位是考生，则考生考生考试不及格就要联系集成厂商进行买一些设备把成绩提上去）
同理安全厂商也不能做等保的生意
等级保护工作流程

等级保护测评是什么？

网络安全等级保护测评是指网络系统运营、使用单位委托具有等级保护测评资质的测评机构，按照有关管理规范和技术标准，对处理特定应用的网络和信息系统，采用安全技术测评和安全管理测评方式，对保护状况进行检测评估，判定受测系统的技术和管理级别与所定安全等级要求的符合程度，基于符合程度给出是否满足所定安全等级的结论，针对安全不符合项提出安全整改建议。

等级保护测评主要测什么？

安全技术测评

包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心

安全管理测评

包括：安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理

等保测评技术层面主要测试哪些？

机房

本测评单位将对信息系统运营使用单位重要信息系统的机房、配电间、消防间等相关物理环境进行测评，分析其中的问题以及不符合要求的地方。

业务应用软件

本测评单位将对信息系统运营使用单位重要信息系统进行测评，从应用软件的安全机制方向，分析应用系统中存在的安全隐患与问题。

主机操作系统

本测评单位将对信息系统运营使用单位重要信息系统相关的服务器的操作系统进行测评，从访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等方向分析其中的安全隐患与问题。

数据库系统

本测评单位将对信息系统运营使用单位重要信息系统所使用的数据库进行测评，从身份鉴别、访问控制、安全审计、资源控制方向分析其中的安全隐患与问题。

网络设备

本测评单位将对信息系统运营使用单位重要信息系统的网络设备进行测评，从访问控制、安全审计、网络设备防护等方向分析其中的安全隐患与问题。

等保测评有哪些主要环节？

定级——备案——测评——系统安全建设——监督检查

定级

第一级（自主保护级），网络和信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。

第二级（指导保护级），网络和信息系统受到破坏后，对社会秩序和公共利益造成损害，但不损害国家安全。国家信息安全监管部门对该级信息系统安全等级保护工作进行指导。

第三级（监督保护级），网络和信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。

第四级（强制保护级），网络和信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行强制监督、检查。

第五级（专控保护级），网络和信息系统受到破坏后，会对国家安全造成特别严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行专门监督、检查。

总结：原则上，定级为二级及以上的信息系统都是需要做等保测评的。区县的系统基本都是二级；省级单位门户网站，地级市重要行业的门户网站是三级；涉及到工作秘密、敏感信息的系统，信息泄露出去或者被非法篡改会引起民众恐慌、社会秩序混乱、破坏国家安全的系统都要定到三级；地级市及省级单位其他不涉及敏感信息、重要信息的一般系统定到二级。

备案

一、备案流程

运营、使用单位在确定等级后到所在地的市级及以上公安机关备案。新建二级及以上信息系统在投入运营后30日内、已运行的二级及以上信息系统在等级确定30日内备案。公安机关对信息系统备案情况进行审核，对符合要求的在10个工作日内颁发等级保护备案证明。对于定级不准的，应当重新定级、重新备案。对于重新定级的，公安机关一般会建议备案单位组织专家进行重新定级评审，并报上级主管部门审批。

二、备案管辖

（一）管辖原则。

备案管辖分工采取级别管辖和属地管辖相结合。

（二）中央在京单位。

隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由公安部公共信息网络安全监察局受理备案，其他信息系统由北京市公安局公共信息网络安全监察部门（简称网监部门，下同）受理备案。

（三）中央驻粤及省直国有单位。

隶属中央或省的驻穗国有单位的信息系统，由省公安厅网警总队受理备案。

上述单位在各地运行、维护的分支系统由其在各地的分支机构报所在地地级以上市公安机关网监部门备案。

（四）其他单位。

其他单位的信息系统由所在地地级以上市公安机关网监部门备案。

备案提交方式：

1、自己填写表格按照当地要求提交（备案容易退回，填的时候要注意）

2、通过等保测评机构提交

备案入口：

1、通过网上公安办事大厅备案

2、通过现场到公安厅（网监）备案

3、需要提供相关的信息安全管理文档（如信息安全工作规划、系统运维管理制度）

网络安全等级测评

一、测评程序

计算机信息系统运营、使用单位委托安全测评机构测评，应当提交下列资料：

（一）安全测评委托书；

（二）计算机信息系统应用需求、系统结构拓扑及说明、系统安全组织结构和管理制度、安全保护设施设计实施方案或者改建实施方案、系统软件硬件和信息安全产品清单。

安全测评机构在收到委托材料后，应当与委托方协商制订安全测评计划，开展安全测评工作，并出具安全测评报告。

经测评，计算机信息系统安全状况未达到国家有关规定和标准的要求的，委托单位应当根据测评报告的建议，完善计算机信息系统安全建设，并重新提出安全测评委托。

二、测评监督

测评机构对计算机信息系统进行使用前安全测评，应当预先报告地级以上市公安机关公共信息网络安全监察部门。安全测评报告由计算机信息系统运营、使用单位报地级以上市公安机关公共信息网络安全监察部门。

三、日常测评

计算机信息系统投入使用后，存在下列情形之一的，应当进行安全自查，同时委托安全测评机构进行安全测评：

（一）变更关键部件；

（二）安全测评时间满一年；

（三）发生危害计算机信系统安全的案件或安全事故；

（四）公安机关公共信息网络安全监察部门根据应急处置工作的需要认为应当进行安全测评；

（五）其他应当进行安全自查和安全测评的情形。

第三级计算机信息系统应当每年至少进行一次安全自查和安全测评，第四级计算机信息系统应当每半年至少进行一次安全自查和安全测评，第五级计算机信息系统应当依据特殊安全要求进行安全自查和安全测评。

自查报告连同测评报告应当由计算机信息系统运营、使用单位报地级以上市公安机关公共信息网络安全监察部门。

四、测评争议解决

申请单位认为安全测评报告的合法性和真实性存在重大问题的，可以向本单位所在地公安机关公共信息网络安全监察部门提出申诉，提交异议申诉书及有关证明材料。公安机关公共信息网络安全监察部门应当在收到申诉材料后30个工作日内进行核查，作出异议处理决定。

系统安全建设

运营使用单位按照管理规范和技术标准，选择管理办法要求的信息安全产品，建设符合等级要求的信息安全设施，建立安全组织，制定并落实安全管理制度。

PS：系统建设整改。对于未达到安全等级保护要求的，运营、使用单位应当进行整改。整改完成应当将整改报告报公安机关备案。

监督检查

公安机关依据信息安全等级保护管理规范，监督检查运营使用单位开展等级保护工作，定期对信息系统进行安全检查。运营使用单位应当接受公安机关的安全监督、检查、指导，如实向公安机关提供有关材料。

PS：受理备案的公安机会对三级、四级信息系统进行检查，检查频次同测评频次。五级信息系统接受国家制定的专门部门检查。