“网络安全无小事，防护之弦需紧绷”。

为什么要做等保测评？

1、保障国家安全与社会稳定

       等保测评旨在提高我国网络空间的安全防护能力，确保关键信息基础设施和重要信息系统的安全运行。

       通过等保测评，可以及时发现并修复潜在的安全漏洞，防范网络攻击和数据泄露，为国家安全和社会稳定筑起一道坚实的防线。

2、合规性要求

       在多个行业和领域，信息安全等级保护已成为法律、法规和政策的要求。进行等保测评可以使组织符合相关的合规性要求，避免因违规操作而面临法律风险和处罚。

3、保护重要信息资产

      信息系统中包含的大量重要信息资产，如客户数据、商业机密等，是企业宝贵的财富。进行等保测评可以帮助组织发现和解决系统中存在的安全隐患，加强对这些重要信息资产的保护，防止其被泄露、篡改或损坏。

不做等保会怎样？

      同时，很多行业也出台了具体的等级保护实施指南等，如果企业不做等级保护测评，也会被上级主管单位追责，面临通报批评、罚款等处罚。

等级保护建设虽不是强制性要求，但企业最好是实施信息系统的等级保护建设。否则，一旦信息系统受到恶意攻击，企业的经营者和负责人需要承担相应的责任。在严重的情况下，网站或系统需要关闭和整改，这对企业是一个巨大的打击，因此，等保建议还是要做的。

与此同时，国家还对很多行业的信息系统进行了强制性要求，必须进行等级保护建设。

医院信息系统、教育信息系统、金融/银行信息系统、政府和公共机构信息系统、电力和能源信息系统、税务财务系统、烟草系统和大型企业信息系统，总之，只要涉及机密信息或用户信息的系统需要等保建设。

《信息安全等级保护定级指南》规定，只要符合以下三个特征，必须进行等级保护备案。如果符合以下三个特征，并且安全保护等级是二级及以上，必须通过等级保护测评。

     也许有人会抱有侥幸心理，感觉不进行等保也无所谓。其实并不然，不进行等保还会面临处罚等严重后果。

举个例子：

      四川宜宾市翠屏区教师培训与教育究中心网站自上线运行以来，始终未进行网络安全等级保护的定级备案、等级测评等工作，导致网站存在高危漏洞，造成网站发生被黑客攻击入事件。根据《网络安全法》第二十一条和五十九条之规定，内乡县公安局网安大队依法对四川宜宾市翠屏区教师培训与教育研究中心被处一万元罚款，法人代表唐某某被处五千元罚款。

     因此，我们除了要认识到等级保护的重要性，还要避免在日常开展等级保护工作中的一些误区，只有正确认识等保，才能防患于未然。

怎么通过等保测评？

1、系统定级

等级一般分为五级，一级最低，五级最高。

企业需要根据业务类型和数据敏感度确定信息系统的安全保护等级，为后续的安全建设和整改提供依据。

2、安全建设整改

      按照所定等级的安全要求，建设和完善相应的安全技术措施和管理措施。这包括但不限于防火墙、入侵检测、日志审计、杀毒、堡垒机、数据库审计、身份认证、数据加密、安全审计等方面的建设。

3、自查整改 

对系统进行全面的自我检查，发现不符合项并及时整改。通过自查整改，组织可以及时发现并解决潜在的安全问题，提升系统的整体安全性。

4、测评申请与实施 

向具备测评资质的第三方机构提交测评申请，并准备相关文档资料。 接受第三方测评机构的专业测评，可能包括现场检查、文档审查、技术测试等环节。 测评机构将根据测评结果出具详细的测评报告，记录测评结果和存在的问题。

5、整改与复测 

根据测评报告的建议进行整改，并在一定期限后进行复查，确保整改效果。 如果初次测评未能完全符合要求，组织需要针对存在的问题进行再次整改，并重新接受复测，直至完全符合等保要求。 

6、获得证书 

通过测评后，企业将获得由当地公安局颁发的信息安全等级保护备案证书，证明其信息系统达到了相应级别的安全标准。这不仅是对企业信息安全工作的肯定，也是企业向外界展示其安全能力的有力证明。

综上所述，等保测评不仅是企业保障信息安全的重要手段，也是其合规经营、提升信任度和竞争力的重要途径！

Q&A

NO.1等级保护是否是强制性的，可以不做吗？

答:《中华人民共和国网络安全法》第二十一条规定网络运营者应当按照网络安全等级保护制度的要求，履行相关的安全保护义务。同时第七十六条定义了网络运营者是指网络的所有者、管理者和网络服务提供者。

等级保护相关标准虽然为非强制性的推荐标准，但网络（个人与家庭网络除外）运营者必须按网络安全法开展等级保护工作。

NO.2我的系统已经上云或者系统托管到其他机房，系统不归我管了，就不用做等保了？

答:根据“谁运营谁负责，谁使用谁负责，谁主管谁负责”的原则，该系统责任主体还是属于网络运营者自己，所以还是得承担相应的网络安全责任，该进行系统定级的还是得定级，该做等保的还是得做等保。

NO.3等级保护工作就是做个测评就可以？

答:等级保护工作不仅是一个测评而是包含：定级、备案、测评、建设整改和监督审查五项内容，测评只是其中一项。

NO.4系统在内网，就不需要做等保了？

答:首先所有非涉密系统都属于等级保护范畴，和系统在外网还是内网没有关系；其次在内网的系统往往其网络安全技术措施做的并不好，甚至不少系统已经中毒不浅。所以不论系统在内网还是外网都得及时开展等保工作。

NO.5等保测评做过一次就可以了，以后随便做不做？

答:等保工作是一个持续的工作，等保测评也是一个周期性的工作，三级系统要求每年做一次，四级系统每半年做一次，二级系统部分行业明确要求每两年做一次，没有明确要求的行业建议大家两年做一次测评。

NO.6不做等保没关系，只要不出事就行？

答:《中华人民共和国网络安全法》第二十一条 国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改：（五）法律、行政法规规定的其他义务。不做等保就属于第五个行为，国内目前已经有公开报道的因没有落实等级保护制度而被处罚的真实案例。所以等保及时去做，不要等。

NO.7是否系统定级越低越好？

答:不是。可根据实际业务系统的情况参照定级标准进行定级，采用“定级过低不允许、定级过高不可取”的原则。当出现网络安全事件进行追责的时候，如因系统定级过低，需承担系统定级不合理、安全责任没有履行到位的风险。

等级保护的等级，不是追求越高越好，等保的定级就是为了给不同测评对象制定合适的网络安全建设的指引。因此，做等级保护，需要根据被测对象涉及的数据和使用人群，以及一旦出现数据泄露、系统崩溃会影响到范围来制定的。因此，根据定级结果开展等保工作，不能够过于追求高等级，合理即可。

如果由于系统升级或者业务拓展，导致信息系统定级从二级变为三级，应依据《定级指南》重新开展定级工作以确认其功能升级后的安全保护等级。重新提交备案申请并需要根据测评的结果和整改清单，开展对应的整改。