Question

信息安全等级保护二级的认证（等保二级）的流程

公司最近正在弄二级等保，让我来负责，申请等保二级的认证从最开始到结束都有哪些过程，需要走哪些流程？越详细越好，主要是流程方面。

Answer 1

具体备案流程如下：

确定对象

各行业主管部门、运营使用单位按照《信息安全等级保护管理办法》和《信息系统安全等级保护定级指南》的要求，初步确定定级对象的安全保护等级。

备案材料准备

办理信息系统安全保护等级备案手续时，应当填写《信息系统安全等级保护备案表》。

专家评审与审批

初步确定信息系统安全保护等级和准备好备案材料后，运营使用单位或主管部门参照评审意见最后确定信息系统安全保护等级，形成定级报告。当专家评审意见与信息系统运营使用单位或其主管部门意见不一致时，由运营使用单位或主管部门自主决定信息系统安全保护等级。

信息系统运营使用单位有上级行业主管部门的，所确定的信息系统安全保护等级应当报上级行业主管部门审批同意。

备案材料提交及审核

定级备案单位将《信息系统安全等级保护备案表》、《信息系统安全等级保护定级报告》及上述配套材料提交属地公安机关网安部门审核。对符合等级保护要求的，在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明；发现不符合本办法及有关标准的，在收到备案材料之日起的10个工作日内通知备案单位予以纠正。

Answer 2

有五个步骤，定级、备案、整改、测评、检查
针对要测评的系统，到网安要定级报告模板和备案表，编制定级报告，填写备案表，然后交网安部门，这就是定级备案两个动作。
根据等级保护基本要求的2级要求项，对系统进行整改，让系统能符合这些要求。这是整改。
委托公安部认可的等级保护测评机构进行测评，出具测评报告，交网安。
网安检查。
其实，可以一开始就找测评机构，让他们帮你从头做，毕竟他们是专业的。

Answer 3

定级流程

《信息安全等级保护管理办法》第二章 等级划分与保护 第六条 国家信息安全等级保护坚持自主定级、自主保护的原则。信息系统的安全保护等级应当根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定。

第三章 等级保护的实施与管理 第十条 信息系统运营、使用单位应当依据本办法和《信息系统安全等级保护定级指南》确定信息系统的安全保护等级。有主管部门的，应当经主管部门审核批准。

跨省或者全国统一联网运行的信息系统可以由主管部门统一确定安全保护等级。

对拟确定为第四级以上信息系统的，运营、使用单位或者主管部门应当请国家信息安全保护等级专家评审委员会评审。

确定定级对象

各行业主管部门、运营使用单位要组织开展对所属信息系统的摸底调查，全面掌握信息系统的数量、分布、业务类型、应用或服务范围、系统结构等基本情况，按照 《信息安全等级保护管理办法》和《信息系统安全等级保护定级指南》的要求，确定定级对象。

《信息安全技术 信息系统安全等级保护定级指南》

5.2 确定定级对象 一个单位内运行的信息系统可能比较庞大，为了体现重要部分重点保护，有效控制信息安全建设成本，优化信息安全资源配置的等级保护原则，可将较大的信息系统划分为若干个较小的、可能具有不同安全保护等级的定级对象。 作为定级对象的信息系统应具有如下基本特征：

a) 具有唯一确定的安全责任单位。作为定级对象的信息系统应能够唯一地确定其安全责任单位。如果一个单位的某个下级单位负责信息系统安全建设、运行维护等过程的全部安全责任，则这个下级单位可以成为信息系统的安全责任单位；如果一个单位中的不同下级单位分别承担信息系统不同方面的安全责任，则该信息系统的安全责任单位应是这些下级单位共同所属的单位。

b) 具有信息系统的基本要素。作为定级对象的信息系统应该是由相关的和配套的设备、设施按照一定的应用目标和规则组合而成的有形实体。应避免将某个单一的系统组件，如服务器、终端、网络设备等作为定级对象。

c) 承载单一或相对独立的业务应用。定级对象承载“单一”的业务应用是指该业务应用的业务流程独立，且与其他业务应用没有数据交换，且独享所有信息处理设备。定级对象承载“相对独立”的业务应用是指其业务应用的主要业务流程独立，同时与其他业务应用有少量的数据交换，定级对象可能会与其他业务应用共享一些设备，尤其是网络传输设备。

确定信息系统级别

各信息系统主管部门和运营使用单位要按照《管理办法》和《定级指南》，初步确定定级对象的安全保护等级。

确定系统服务等级

系统服务安全是指确保信息系统可以及时、有效地提供服务，以完成预定的业务目标。系统服务安全被破坏导致业务能力下降的程度可以从信息系统服务覆盖的区域范围、用户人数或业务量等不同方面确定。

个人理解，一旦信息系统的服务内容可被其他系统或手工替代，系统服务等级可稍微降级计算。

确定业务信息等级

业务信息安全是指确保信息系统内信息的保密性、完整性和可用性等。业务信息安全被破坏导致的财物损失可以从直接的资金损失大小、间接的信息恢复费用等方面进行确定。

确定信息系统级别

SAG的级别，其中S为业务信息等级，A为系统服务等级，G取两者中大的。

Answer 4

网络安全等级保护工作的内涵在本段内容中展开如下，其中我们看到此处涉及到信息安全工作的整个流程的五个环节，定级、备案、建设整改、等级测评、监督检查。网络安全等级保护是对网络进行分等级保护、分等级监管，是将信息网络、信息系统、网络上的数据和信息，按照重要性和遭受损坏后的危害性分成五个安全保护等级（从第一级到第五级，逐级增高）；等级确定后，第二级（含）以上网络到公安机关备案，公安机关对备案材料和定级准确性进行审核，审核合格后颁发备案证明，如果想了解更多等保知识建议百度搜索:等保通

Answer 5

• 定级备案

  准备：合格的定级备案材料

• 调研梳理

  准备：①全套管理制度文档（包含记录文档）②《基础环境调研表》③《漏洞扫描报告》④《渗透测试报告》。

• 初步测评

  准备：整改全套：包涵高、中、底危整改记录及其他整改过程记录。

• 整改建设

  准备：①《差距性分析报告》②《整改意见书》（在问题汇总清单后撰写落地解决方案）。

• 正式测评

  准备：测评机构执行：根据整改结果复测达到目标分数