等保2.0流程和测评步骤详解

根据信息系统等级保护相关标准&＃xff0c;等级保护工作总共分五个阶段&＃xff0c;分别为&＃xff1a;系统定级、系统备案、安全建设/整改、等级测评、主管/监管单位定期开展监督检查。
核心思想在于建立“可信、可控、可管”的安全防护体系&＃xff0c;使得系统能够按照预期运行&＃xff0c;免受信息安全攻击和破坏。下面天磊卫士小编会给您带来详细的测评准备和实施流程介绍。

1.网站系统定级

根据等级保护相关管理文件&＃xff0c;等级保护对象的安全保护等级一共分五个级别&＃xff0c;从一到五级别逐渐升高。等级保护对象的级别由两个定级要素决定&＃xff1a;①受侵害的客体&＃xff1b;②对客体的侵害程度。对于关键信息基础设施&＃xff0c;“定级原则上不低于三级”&＃xff0c;且第三级及以上信息系统每年或每半年就要进行一次测评。
定级流程&＃xff1a;确定定级对象→初步确定等级→专家评审→主管部门审批→公安机构备案审查→最终确定的级别。

2.网站系统备案

根据《网络安全法》规定&＃xff1a;
①已运营&＃xff08;运行&＃xff09;的第二级以上信息系统&＃xff0c;应当在安全保护等级确定后30日内&＃xff08;等保2.0相关标准已将备案时限修改为10日内&＃xff09;&＃xff0c;由其运营、使用单位到所在地设区的市级以上公安机关办备案手续。
②新建第二级以上信息系统&＃xff0c;应当在投入运行后30日内&＃xff08;等保2.0相关标准已将备案时限修改为10日内&＃xff09;&＃xff0c;由其运营、使用单位到所在地设区的市级以上公安机关办备案手续。
③隶属于中央的在京单位&＃xff0c;其跨省或者全国统一联网运行并由主管部门统一定级的信息系统&＃xff0c;由主管部门向公安部办备案手续。
④跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统&＃xff0c;应当向当地设区的市级以上公安机关备案。
企业最终确定网站的级别以后&＃xff0c;就可以到公安机关进行备案。备案所需材料主要是《信息安全等级保护备案表》&＃xff0c;不同级别的信息系统需要的备案材料有所差异。第三级以上信息系统需提供以下材料&＃xff1a;( 一 ) 系统拓扑结构及说明&＃xff1b;( 二 ) 系统安全组织机构和管理制度&＃xff1b;( 三 ) 系统安全保护设施设计实施方案或者改建实施方案&＃xff1b;( 四 ) 系统使用的信息安全产品清单及其认证、销售许可证明&＃xff1b;( 五 ) 测评后符合系统安全保护等级的技术检测评估报告&＃xff1b;( 六 ) 信息系统安全保护等级专家评审意见&＃xff1b;( 七 ) 主管部门审核批准信息系统安全保护等级的意见。

3.网站系统安全建设&＃xff08;整改&＃xff09;

等级保护整改是等保建设的其中一个环节&＃xff0c;指按照等级保护建设要求&＃xff0c;对信息和信息系统进行的网络安全升级&＃xff0c;包括技术层面整改和管理层面整改。整改的最终目的就是为了提高企业信息系统的安全防护能力&＃xff0c;让企业可以成功通过等级测评。
等级保护整改没有什么资质要求&＃xff0c;只要公司可以按照等级保护要求来进行相关网络安全建设&＃xff0c;由谁来实施&＃xff0c;是没有要求的。但由于目前企业网络安全人才紧缺&＃xff0c;企业很多时候都需要寻找专业的网络安全服务公司来进行整改。
整改主要分为管理整改和技术整改。管理整改主要包括:明确主管领导和责任部门&＃xff0c;落实安全岗位和人员&＃xff0c;对安全管理现状进行分析&＃xff0c;确定安全管理策略&＃xff0c;制定安全管理制度等。其中&＃xff0c;安全管理策略和制度又包括人员安全管理事件处置、应急响应、日常运行维护设备、介质管理安全监测等。
技术整改主要是指企业部署和购买能够满足等保要求的产品&＃xff0c;比如网页防篡改、流量监测、网络入侵监测产品等。

4.网站系统等级测评

等级测评指经公安部认证的具有资质的测评机构&＃xff0c;依据国家信息安全等级保护规范规定&＃xff0c;受有关单位委托&＃xff0c;按照有关管理规范和技术标准&＃xff0c;对信息系统安全等级保护状况进行检测评估的活动。物联网企业等级测评需要寻找合适的测评机构来进行测评&＃xff0c;测评机构至少需要具备《信息安全等级测评推荐证书》。物联网企业可以登录中国网络安全等级保护网查看国家推荐的有资质的测评机构名单。
测评机构收费方面&＃xff0c;具体的服务费用会因为省市不同、测评项目不同、行业不同等而有所差异。但一般来说&＃xff0c;二级系统测评费用4万元起步&＃xff0c;三级系统测评费用7万元起步。
根据规定&＃xff0c;对信息系统安全等级保护状况进行的测试应包括两个方面的内容&＃xff1a;一是安全控制测评&＃xff0c;主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况&＃xff1b;二是系统整体测评&＃xff0c;主要测评分析信息系统的整体安全性。其中&＃xff0c;安全控制测评是信息系统整体安全测评的基础。

5.监督检查

企业要接受公安机关不定期的监督和检查&＃xff0c;对公安机关提出的问题予以改进。

等级测评阶段又分为以下内容&＃xff1a;测评准备活动、方案编制活动、现场测评活动、分析及报告编制活动&＃xff0c;整改阶段、验收测评阶段。

1.测评准备活动阶段

签订《合作合同》与《保密协议》
首先&＃xff0c;被测评单位在选定测评机构后&＃xff0c;双方需要先签订《测评服务合同》&＃xff0c;合同中对项目范围&＃xff08;系统数量&＃xff09;、项目内容&＃xff08;差距测评、验收测评、协助整改&＃xff09;、项目周期&＃xff08;什么时间进场、项目计划做多长时间&＃xff09;、项目实施方案&＃xff08;测评工作的步骤&＃xff09;、项目人员&＃xff08;项目实施团队人员&＃xff09;、项目验收标准、付款方式、违约条款等等内容逐一进行约定。
签订《测评服务合同》的同时&＃xff0c;测评机构应签署《保密协议》&＃xff0c;约定测评机构在测评过程中的保密责任。
&＃xff08;1&＃xff09;项目启动会
在双方签完委托测评合同之后&＃xff0c;双方即可约定召开项目启动会时间。项目启动会的目的&＃xff0c;主要是由甲方领导对公司内部涉及的部门进行动员、提请各相关部门重视、协调内部资源、介绍测评方项目实施人员、计划安排等内容&＃xff0c;为整个等级测评项目的实施做基本准备。
&＃xff08;2&＃xff09;系统情况调研
启动会后&＃xff0c;测评方开展调研&＃xff0c;通过填写《信息系统基本情况调查表》&＃xff0c;掌握被测系统的详细情况&＃xff0c;为编制测评方案做好准备。测评准备活动是开展等级测评工作的前提和基础&＃xff0c;是整个等级测评过程有效性的保证。测评准备工作是否充分,直接关系到后续工作能否顺利开展。一个二级系统的测评准备工作一般需要1天半&＃xff0c;三级系统的准备工作一般需要2天左右完成。

2.测评方案编制阶段

该阶段的主要任务是确定与被测信息系统相适应的测评对象、测评指标及测评内容等&＃xff0c;并根据需要重用或开发测评实施手册&＃xff0c;形成测评方案。方案编制活动为现场测评提供最基本的文档依据和指导方案。一个二级系统的方案编制工作一般需要2天左右完成。

3.现场测评阶段

现场测评活动是开展等级测评工作的核心活动&＃xff0c;包括技术测评和管理测评。其中技术测评包括: 网络安全测评、管理安全测评、物理安全测评、应用安全测评、主机安全测评五个方面。

4.分析与报告编制阶段

此阶段主要任务是根据现场测评结果&＃xff0c;通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法&＃xff0c;找出整个系统的安全保护现状与相应等级的保护要求之间的差距&＃xff0c;并分析这些差距导致被测系统面临的风险&＃xff0c;从而给出等级测评结论&＃xff0c;形成测评报告文本。一个二级系统的分析和报告编制工作一般需要3-4天左右完成。
此阶段工作不一定需要在客户现场完成。《测评报告》的模板是由公安机关统一制定的。
此阶段的输出物为《某系统等级测评报告》、《某系统整改建议》。

5.整改阶段

主要根据测评机构出具的差距测评报告和整改建议进行整改&＃xff0c;此阶段主要由备案单位实施&＃xff0c;测评机构协助&＃xff0c;客户可以根据自身的实际情况&＃xff0c;把整改分为短期、中期、长期。

6.验收测评阶段

测评流程与之前的流程相同&＃xff0c;主要是检查整改的效果。
综上&＃xff0c;一个二级系统完整的测评一次&＃xff0c;在客户方充分配合、测评方派3名测评师的情况下&＃xff0c;大致需要四周左右。如果有多个系统同时测评&＃xff0c;会存在部分重复工作&＃xff0c;具体情况需要具体分析。