1. 网络安全等级保护测评相关问题|总结等保三级需要哪些设备
等保即网络安全等级保护，“三级等保”顾名思义就是安全等级保护三级。是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息在存储、传输、处理这些信息时分等级实行安全保护；对信息系统中使用的信息安全产品实行按等级管理；对信息系统中发生的信息安全事件分等级响应、处置。
三级等保、等保的评审流程：
系统定级→系统备案→整改实施→系统测评→运维检查
①系统定级：编写定级报告、填写定级备案表。
②系统备案：定级备案表填写完整后，将定级材料提交至公安机关进行备案审核。
③整改实施：对系统进行调研，开展差距评估，依照国家相关标准进行方案设计，完成相应设备采购及调整、策略配置调试、完善管理制度等工作。
④系统测评：请当地测评机构，对系统进行全方面测评，测评评分合格后获得合格测评报告，并最终获得等级保护备案证。
⑤运维检查：系统持续运维与优化，并按照相关要求进行年检。
一般在进行等保测评时，会遇到相关问题，我整理了几个常见问题，找专业人士（等保测评机构-时代新威提供）做了解答：
1、网站不做等保，出了问题将承担什么责任？
①网络运营者不履行《中华人民共和国网络安全法》【第二十一条】规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
②关键信息基础设施的运营者不履行《中华人民共和国网络安全法》【第三十四条】规定的网络安全保护义务的，由有关主管部门责令改正，给予警告；拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。
2、哪些行业需要做等保？
金融行业、游戏行业、教育行业、电商行业、网贷行业、通讯行业、能源行业、运输行业等。
3、递交的备案资料都包括哪些内容？
①《信息系统安全等级保护备案表》（一式两份）
②《信息系统安全等级保护定级报告》（一个系统一份）
③《系统定级评审意见》（或上级主管部门定级审核意见）
④相关电子数据等
4、整改会不会涉及到要购置设备？如果有些不符合项目不能马上关闭能不能通过备案？
根据《GB T22239-2008信息安全技术信息系统安全等级保护基本要求》，三级系统有如下要求：
①应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性；
②应建立备用供电系统；
以上检查项需要购置设备，对二级系统没有此要求，但在二级系统中，构成系统网络安全的必要硬件则必须有；
5、整个周期是多长？其中现场测评时间多长？
①整个测评周期包括前期调研、现场测评、后期报告编写等，一般情况下一个二级系统会占用3~4周，一个三级系统会占用4~5周（指初次测评，不包括整改和加固时间）；
② 其中现场测评（指在被测系统单位现场的测评）的时间根据系统的数量而定：一般一个二级系统会占用3~4个工作日，一个三级系统会占用5~6个工作日（两组同时进行，每组两人）。
6、等保测评检查周期是多长？
二级系统每2年进行一次测评检查，三级系统每年检查一次。
更多问题可直接去时代新威官网查看。
2. 等级保护测评是什么
《信息安全等级保护管理办法》第七条规定：信息系统的安全保护等级分为以下五级：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
等级保护测评服务包括以下内容：
1、等级保护测评单位根据等保测评技术标准，对测评对象开展等级保护测评，一般来说测评对象是信息系统。但是随着等保2.0的发布，测评范围变得更广。因此测评的对象也有可能是网站、云服务器、APP等等。
2、开展等级保护测评后，测评机构需要开具等级保护测评报告，测评的结果有两种：符合和不符合。
3、对于不符合标准的测评对象（一般是指信息系统）需要依据整改清单，进行相关的系统升级，完善网络安全相关的制度和人员管理方法等。技术方面不符合要求的，可以自我整改，或是寻找第三方服务商提供技术支持。
3. 等保测评怎么做
等保的步骤包含五个方面：等保定级、等保备案、等级测评、系统安全建设、监督检查。
等保定级
信息系统安全等级，由系统运用、使用单位依据《信息系统安全等级保护定级指南》自主确定信息系统的安全保护等级，有主管部门的，应当经主管部门审批。对于拟确定为四级及以上信息系统，还应经专家评审会评审。新建信息系统在设计、规划阶段确定安全保护等级。
总共分为五个等级：第一级(自主保护级)、第二级(指导保护级)、第三级(监督保护级)、第四级(强制保护级)、第五级(专控保护级)。
等保备案
运营、使用单位在确定等级后到所在地的市级及以上公安机关备案。新建二级及以上信息系统在投入运营后30日内、已运行的二级及以上信息系统在等级确定30日内备案。公安机关对信息系统备案情况进行审核，对符合要求的在10个工作日内颁发等级保护备案证明。对于定级不准的，应当重新定级、重新备案。对于重新等级的，公安机关一般会建议备案单位组织专家进行重新定级评审，并报上级主管部门审批。
等级测评
运营、使用单位或者主管部门应当选择合规测评机构，定期对信息系统安全等级状况开展等级测评。三级及以上信息系统至少每年进行一次等级测评，四级及以上信息系统至少每半年进行一次等级测评，五级应当依据特殊安全需求进行等级测评。测评机构应当出具测评报告，并出具测评结果通知书，明示信息系统安全等级及测评结果。
建设整改
运营使用单位按照管理规范和技术标准，选择管理办法要求的信息安全产品，建设符合等级要求的信息安全设施，建立安全组织，制定并落实安全管理制度。系统建设整改，对于未达到安全等级保护要求的，运营、使用单位应当进行整改，整改完成应当将整改报告报公安机关备案。
监督检查
公安机关依据信息安全等级保护管理规范，监督检查运营使用单位开展等级保护工作，定期对信息系统进行安全检查。运营使用单位应当接受公安机关的安全监督、检查、指导，如实向公安机关提供有关材料。
受理备案地公安机关会对三级、四级信息系统进行检查，检查频次同测评频次。五级信息系统接受国家制定的专门部门检查。新系统开发建设之后，要及时开展等保测评或相关安全测试，避免系统带病上线，消除安全隐患。
4. 等级保护测评流程是什么
等保2.0全称网络安全等级保护2.0制度，是我国网络安全领域的基本国策、基本制度。等级保护标准在1.0时代标准的基础上，注重主动防御，从被动防御到事前、事中、事后全流程的安全可信、动态感知和全面审计，实现了对传统信息系统、基础信息网络、云计算、大数据、物联网、移动互联网和工业控制信息系统等级保护对象的全覆盖。
5. 等保三级是什么等保认证有哪些标准
等保三级又被称为国家信息安全等级保护三级认证，是中国最权威的信息产品安全等级资格认证，由公安机关依据国家信息安全保护条例及相关制度规定，按照管理规范和技术标准，对各机构的信息系统安全等级保护状况进行认可及评定。
其中按照评定等级可以分为一至五级测评。三级等保是国家对非银行机构的最高级认证，属于“监管级别”，由国家信息安全监管部门进行监督、检查，认证测评内容分别涵盖5个等级保护安全技术要求和5个安全管理要求，包含信息保护、安全审计、通信保密等近300项要求，共涉及测评分类73类，要求十分严格。
三级等保认证最严的地方是在技术层面，主要体现在系统安全管理和恶意代码防范上，简单的说，就是每当有黑客对平台进行攻击时，平台具备一定的防范能力。
标准如下：
十三大重要标准
计算机信息系统安全等级保护划分准则 （GB 17859-1999） （基础类标准）
信息系统安全等级保护实施指南 （GB/T 25058-2010） （基础类标准）
信息系统安全保护等级定级指南 （GB/T 22240-2008） （应用类定级标准）
信息系统安全等级保护基本要求 （GB/T 22239-2008） （应用类建设标准）
信息系统通用安全技术要求 （GB/T 20271-2006） （应用类建设标准）
信息系统等级保护安全设计技术要求 （GB/T 25070-2010） （应用类建设标准）
信息系统安全等级保护测评要求 （GB/T 28448-2012）（应用类测评标准）
信息系统安全等级保护测评过程指南 （GB/T 28449-2012）（应用类测评标准）
信息系统安全管理要求 （GB/T 20269-2006） （应用类管理标准）
信息系统安全工程管理要求 （GB/T 20282-2006） （应用类管理标准）
信息安全技术网络安全等级保护基本要求（GB/T 22239-2019）（基础类标准）
信息安全技术网络安全等级保护安全设计技术要求（GB/T 25070-2019）（应用类建设标准）
信息安全技术网络安全等级保护测评要求（GB/T 28448-2019）（应用类测评标准）
其它相关标准
GB/T 21052-2007 信息安全技术 信息系统物理安全技术要求
GB/T 20270-2006 信息安全技术 网络基础安全技术要求
GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求
GB/T 20272-2006 信息安全技术 操作系统安全技术要求
GB/T 20273-2006 信息安全技术数据库管理系统安全技术要求
GB/T 20984-2007 信息安全技术 信息安全风险评估规范
GB/T 20985-2007 信息安全技术 信息安全事件管理指南
GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南
GB/T 20988-2007 信息安全技术 信息系统灾难恢复规范
6. 等级保护测评是什么
等级保护测评是测评机构依据国家信息安全等级保护制度规定，受有关单位委托，按照有关管理规范和技术标准，运用科学的手段和方法。
对处理特定应用的信息系统，采用安全技术测评和安全管理测评方式，对保护状况进行检测评估，判定受测系统的技术和管理级别与所定安全等级要求的符合程度，基于符合程度给出是否满足所定安全等级的结论，针对安全不符合项提出安全整改建议。
实施的基本流程：
在安全运行与维护阶段，信息系统因需求变化等原因导致局部调整，而系统的安全保护等级并未改变，应从安全运行与维护阶段进入安全设计与实施阶段，重新设计、调整和实施安全措施，确保满足等级保护的要求。
但信息系统发生重大变更导致系统安全保护等级变化时，应从安全运行与维护阶段进入信息系统定级阶段，重新开始一轮信息安全等级保护的实施过程。
7. 等保测评是什么意思
等保测评的全称是信息安全等级保护测评。
等保测评定义
是经公安部认证的具有资质的测评机构，依据国家信息安全等级保护规范规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动。
测评基本内容
对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况;二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。
对安全控制测评的描述，使用测评单元方式组织。测评单元分为安全技术测评和安全管理测评两大类。
安全技术测评：包括物理安全、网络安全、主机系统 安全、应用安全和数据安全等五个层面上的安全控制测评。
安全管理测评：包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。
8. 什么是等级保护测评
信息安全等级保护简称等保。
在我国等保分为五个等级，一贯坚持自主定级、自主保护的原则。
信息系统的安全保护等级分为以下五级，一至五级等级逐级增高：
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。第一级信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。国家信息安全监管部门对该级信息系统安全等级保护工作进行指导。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行监督、检查。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行强制监督、检查。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。国家信息安全监管部门对该级信息系统安全等级保护工作进行专门监督、检查。
9. 等保测评标准
法律分析：“等保”，即信息安全等级保护，是我国网络安全领域的基本国策、基本制度。早在2017年8月，公安部评估中心就根据网信办和信安标委的意见将等级保护在编的5个基本要求分册标准进行了合并形成《信息安全技术 网络安全等级保护基本要求》一个标准。(GB/T 22239—2019代替 GB/T 22239-2008)该标准于2019年5月10日发布，于2019年12月1日开始实施。
法律依据：《中华人民共和国标准化法》
第十条 对保障人身健康和生命财产安全、国家安全、生态环境安全以及满足经济社会管理基本需要的技术要求，应当制定强制性国家标准。 国务院有关行政主管部门依据职责负责强制性国家标准的项目提出、组织起草、征求意见和技术审查。国务院标准化行政主管部门负责强制性国家标准的立项、编号和对外通报。国务院标准化行政主管部门应当对拟制定的强制性国家标准是否符合前款规定进行立项审查，对符合前款规定的予以立项。 省、自治区、直辖市人民政府标准化行政主管部门可以向国务院标准化行政主管部门提出强制性国家标准的立项建议，由国务院标准化行政主管部门会同国务院有关行政主管部门决定。社会团体、企业事业组织以及公民可以向国务院标准化行政主管部门提出强制性国家标准的立项建议，国务院标准化行政主管部门认为需要立项的，会同国务院有关行政主管部门决定。 强制性国家标准由国务院批准发布或者授权批准发布。 法律、行政法规和国务院决定对强制性标准的制定另有规定的，从其规定。
第十一条 对满足基础通用、与强制性国家标准配套、对各有关行业起引领作用等需要的技术要求，可以制定推荐性国家标准。 推荐性国家标准由国务院标准化行政主管部门制定。
10. 企业为什么要做等保测评有什么好处
等保测评是经公安部认证的具有资质的测评机构，依据国家信息安全等级保护规范规定，受有关单位委托，按照有关管理规范和技术标准，对信息系统安全等级保护状况进行检测评估的活动，也是大部分企业必须完成的一项工作，有着非常重要的作用。那么企业为什么要做等保测评?等保复测需要重新定级吗?以下是详细的内容介绍。
企业为什么要做等保测评?
①网络安全等级保护测评是为了发现用户单位系统内、外部存在的安全风险和脆弱性，能够让企业内部提高信息系统的信息安全防护能力，降低系统被各种攻击的风险。
②等级保护是我国关于信息安全的基本政策，国家明确要求我国信息安全保障工作实行等级保护制度，即国家法律法规要求企业必须开展等级保护测评工作，否则就是不合规、不合法。
③很多行业主管单位会要求客户开展等级保护工作，并且下发行业要求文件，企业包括金融、电力、广电、医疗、教育等，不仅行业主管会有要求，信息安全主管单位包括公安、网信办、通管局等也会要求开展等级保护工作。
④信息安全事件时常会发生在我们身边，比如网站被黑客攻击、数据被篡改、敏感信息泄露，在这些事件发生的背景下，主管单位需要去现场调查，这时就会需要你出具等级保护备案证明和测评报告，这是等保测评工作是否开展的一个最重要的衡量标准。
等保复测需要重新定级吗?
根据2022年4月28日发布的国家等级保护标准体系的核心标准之一的GB/T 22240-2020《信息安全技术
网络安全等级保护定级指南》，当等级保护对象所处理的业务信息和系统服务范围发生变化，可能导致业务信息安全或系统服务安全受到破坏后的受侵害客体和对客体的侵害程度发生变化时，企业需根据该标准重新确定定级对象和安全保护等级。
也就是说，等保复测需不需要重新定级是根据等级保护对象所处理的业务信息和系统服务范围是否发生变化来确定的。根据相关经验来讲，由于系统扩展需要，用户量增加，二级等保在复测的时候一般需要重新定级，三级和四级等保则比较稳定，一般不需要重新定级。