信息安全等级保护测评（项目流程）

本文最后更新于 2025-03-26，文章内容可能已经过时。

⭐等级保护建设五步法

定级：确定定级对象，以及相应安全防护等级，形成定级报告
备案：持定级报告和备案表，到当地公安机关网监部门进行备案
建设整改：参照信息系统当前等级要求和标准，对信息系统进行整改加固（自测评 + 加固）
等级测评：委托具备测评资质的测评机构对信息系统进行等级测评，形成正式的测评报告
监督检查：向当地公安机关网监部门提交测评报告，配合完成对信息安全等级保护实施情况的检查

第一步：项目启动

出差计划：

部门领导派发项目，对接甲方人员，询问是否可提供相关资产信息确认出差地点、出差时间
出差前准备：时间、地点、人物天气，时长，住宿 (就近原则)
出行：滴滴，出租车，动车，地铁，公交，大巴

报销制度：

有发票：公司抬头 (名称)+ 税号
无发票：顺风车

准备材料、设备工具：

电脑

U 盘
网线
Console 线

询问甲方的信息系统主要的作用，要机房拓扑和资产表

找机房对应的设备手册（厂商官网查找，厂商售后 400...）

第二步：信息系统资产分析

网络拓扑图

收集设备信息，如设备厂商、型号、所在机房位置、账号、密码

一定要确认资产表中的各设备账号能成功登录 (现场登录)

第三步：定级

定级流程

定级: 由专家评审团决定

备案: 非涉密信息系统网络安全等级保护备案 (第三级):https://zwfw.fujian.gov.cn/person-todo/todo-ost?infoType=1&unid=3F3F06A725936EDA2ED9B151FBF77751

提交备案材料 -> 网安部拿到一个预备案号 -) 通过测评后才能拿到真正的备案号

第四阶段：安全差距分析风险评估

等保测评的模拟考试（自测评）

差距评估：依据测评公司的思路，对设备和环境进行测评，得出差距评估报告

第五阶段：安全加固与整改辅助

通过差距评估报告进行安全加固和整改

主干链路上设备的端口等影响业务的操作，尽量不要自己配置，可以叫厂商工程师进行加固

如果设备没有过维保，尽量叫厂商工程师操作；过了维保期限，业主需要付费维修

密码策略、日志备份策略等不会影响到主干链路业务的加固可以自己先做

第六阶段：安全复查

基本碰不到，二次模拟考

第七阶段：现场测评

用定级备案得到的预备案号，请具有测评资质的测评机构，给信息系统做正式测评

https://www.djbh.net/

安全技术测评：

安全物理环境，安全通信网络，安全区域边界，安全计算环境，安全管理中心

物理环境：针对物理机房的测评

针对系统整体环境的测评：通信网络，区域边界，管理中心

计算环境：针对构成系统的每一个资产进行测评

安全管理测评：

安全管理制度，安全管理人员，安全管理机构，安全运维管理，安全建设管理

第八阶段：整改回复通过测评

根据整改建议报告进行整改

如果没有达到 70 分，那么进行整改，直到分数达到 70 分以上，且没有高风险项（高危项）就通过

如果达到 70 分及以上，且没有高危项，则直接通过

高危项 --- 一票否决权（2021 版）

2025.03.20 更新《网络安全等级测评报告模版 (2025 版)》

符合率达到 60% 以上，即可通过（允许高风险存在）

--- 通过测评后，会得到测评公司出具的纸质测评报告（一般 2-3 份，一份给公安部，一份给企业，一份自己留底）