等保测评

等保测评是网络安全等级保护制度里最关键、也最容易被误解的一环。很多单位直到接到整改通知、或者投标被要求提供测评报告时，才开始认真了解它。这篇文章把等保测评从定级到报告的全过程讲清楚：它是什么、法律依据在哪、谁必须做、每一步要准备什么材料、花多少钱、要多久、以及最常见的踩坑点。

一、等保测评是什么

等保测评的规范名称是网络安全等级保护测评，指具备资质的测评机构，依据国家网络安全等级保护制度的要求，对被测定级对象的安全保护状况进行检测评估，并出具测评报告的活动。

拆开来看有三个要点：

• 测的是"系统"，不是"单位"：测评对象是已经完成定级备案的信息系统（或网络、云平台、工业控制系统、大数据平台等定级对象），不是整个单位的办公环境。
• 依据是标准，不是经验：技术层面依据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》，测评方法依据 GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》，过程依据 GB/T 28449-2018《信息安全技术 网络安全等级保护测评过程指南》。
• 产出是报告，不是审批类凭证：这一点必须说清楚——等级保护制度不发放任何形式的审批凭证。一个系统完成合规，手里应该有两样东西：公安机关出具的备案证明，以及测评机构出具的等级测评报告。凡是声称花钱就能“直接拿到合规凭证”的说法，都不符合制度设计。

另外要区分三个容易混淆的概念：

很多单位把"等保"和"买安全设备"画等号，这是最常见的认知偏差。设备只是整改手段之一，真正被考核的是技术措施是否落实、管理制度是否运行、记录是否留存。

二、三个最常见的误解

误解一：等保测评就是买一堆安全设备

测评现场，测评人员看的不是设备清单有多长，而是这些设备是否真的在起作用：日志有没有集中留存六个月以上、审计记录有没有人看、账号有没有做到一人一号、离职人员权限有没有及时回收。买了一台堡垒机但没人用、日志只留七天，在测评项上依然是"不符合"。

反过来，有些项目预算有限，通过合理调整架构（比如把分散系统收敛到少数几个边界、用现有设备开启未启用的功能模块），也能在控制成本的前提下达到要求。整改是"设计题"，不是"采购题"。

误解二：测一次就一劳永逸

等级测评是周期性的。已备案的第三级系统，法规要求每年至少测评一次；第四级系统每半年至少一次。第二级系统法规未强制年度测评，但多数行业主管单位和属地公安机关在实际管理中要求两年内至少完成一次，招投标场景通常也会要求提供有效期内的报告。

更重要的是，系统一旦发生重大变更——迁移上云、新增对外服务、架构重构、业务范围扩大——原有测评结论就不再适用，需要重新评估。这也是很多单位"明明去年刚测过，今年投标却被打回"的原因。

误解三：只有政府和大国企才要做

等级保护制度的适用对象是网络运营者，法律层面并不区分所有制。《网络安全法》第二十一条明确要求网络运营者按照网络安全等级保护制度履行安全保护义务。实践中被要求最频繁的是：党政机关、事业单位、国企央企、金融、医疗、教育、能源、交通、运营商，以及——为这些单位提供系统集成或运维服务的乙方。

最后一类常被忽略：给政府做项目、给医院做 HIS 运维、给银行做外包开发的公司，合同里往往会被要求"自身系统满足等保三级"。这类需求来得突然，且时间窗口很短。

三、法律依据：为什么"不测不行"

等级保护不是行业倡议，是有明确法律效力的制度安排。主要依据包括：

• 《中华人民共和国网络安全法》第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。同条还明确了制定内部安全管理制度、采取技术措施、留存网络日志不少于六个月、数据分类备份加密等具体要求。
• 《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》：在数据处理、个人信息保护层面提出要求，与等级保护的技术措施形成互补。发生数据安全事件时，是否落实了等级保护要求，往往成为认定"是否尽到安全保护义务"的重要参考。
• 《信息安全等级保护管理办法》（公信安〔2007〕43 号）：规定了定级、备案、建设整改、等级测评、监督检查五个环节的具体流程和时限，是备案和测评周期的直接依据。
• 行业主管部门规定：金融、医疗、教育、能源、交通等行业均有配套的监管要求，通常比通用要求更严，且会把"完成等级测评并提交报告"作为年检、验收、准入的前置条件。
• 《网络安全等级保护条例》已列入立法计划并公开征求意见，一旦正式出台，义务主体、处罚幅度将进一步明确和加重。

现实层面的约束比法条更直接：政府信息化项目验收要报告、国企年度安全检查要报告、行业主管部门抽查要报告、甲方招标要报告、发生安全事件后的调查要看你有没有做。这是一套"证明材料驱动"的机制。

四、谁需要做：从系统判定到行业监管

判断一个单位要不要做等保，先看有没有"定级对象"。按 GB/T 22240-2020《信息安全技术 网络安全等级保护定级指南》，定级对象包括：

• 各类信息系统（含云上的业务系统）
• 通信网络设施、数据中心
• 工业控制系统、物联网系统
• 采用移动互联技术的系统
• 大数据平台、云服务平台

只要系统承载业务、处理数据、对外提供服务，且一旦遭到破坏会对公民法人合法权益、社会秩序公共利益或国家安全造成损害，就属于定级对象。

实践中的判断顺序：

1. 先看业务性质：是否涉及公共服务、是否处理大量个人信息、是否属于关键信息基础设施保护范围。
2. 再看数据规模：用户数量、数据量级、是否含敏感个人信息或重要数据。
3. 然后看损害后果：系统瘫痪几小时会有什么影响？数据泄露会影响多少人？
4. 最后看行业要求：行业主管有没有明确的定级指引（比如教育行业的招生考试系统、医疗行业的 HIS/EMR）。

绝大多数企业系统的落点是第二级或第三级。二级偏多的是内部管理系统、中小企业对外网站；三级常见于承载公共服务、大量个人信息、或行业强监管的系统。

五、第一步：定级怎么定

等级是怎么划分的

等级保护把定级对象分为五级，从低到高：第一级自主保护级、第二级指导保护级、第三级监督保护级、第四级强制保护级、第五级专控保护级。企业实际遇到的几乎全部集中在一至四级，第五级属于极端场景。

定级的核心方法看两个维度：

两个维度交叉后得出等级。举例：系统受损只影响本单位及部分用户的合法权益、造成一般损害 → 第一级；影响社会秩序和公共利益、造成严重损害 → 第三级。涉及国家安全的按相应规定处理。

谁来定，定错了怎么办

定级由运营使用单位自行完成，不需要审批，但要形成书面定级报告。第二级以上系统通常建议组织专家评审，评审意见作为定级依据留存。

定低了是常见问题：明明是三级，按二级做，备案时被公安机关打回，或者行业主管检查时被认定"定级不准确"，反而更被动。定高了也不划算：四级系统半年一测，成本和约束都更大。

如果拿不准，比较务实的做法是：先按业务影响定性判断，再对照同行业同类系统的定级案例，最后在备案环节与属地公安机关沟通确认。定级这件事，事前沟通的成本远低于事后返工。

常见定级结论参考

• 企业内部 OA、财务系统（仅内部使用，不涉敏感大量数据）：多为二级
• 对外提供服务的网站、APP、小程序（有注册用户、收集个人信息）：多为二级，用户量大或涉敏感信息时为三级
• 医疗 HIS/EMR/LIS、教育招生考试、社保公积金、政务服务平台：通常三级
• 云平台本身、承担关键信息基础设施功能的大数据平台：三级或四级

以上是参考，不是结论。定级必须以系统实际情况和属地要求为准。

六、第二步：备案

时限

按《信息安全等级保护管理办法》，新建系统应在投入运行后 30 日内办理备案；已运行系统应在定级后 30 日内办理。第三级以上系统由属地公安机关网安部门受理，第二级系统备案管理各地略有差异，部分地区实行属地派出所或网安部门备案。

材料清单

各地要求细节不同，通用材料通常包括：

1. 《信息系统安全等级保护备案表》（纸质＋电子，一式两份）
2. 系统定级报告（含定级理由、专家评审意见）
3. 系统拓扑结构说明及边界描述
4. 系统使用的安全产品清单及销售许可证编号（如有）
5. 单位营业执照或统一社会信用代码证明
6. 安全管理制度目录、管理机构与人员情况
7. 主管部门审核意见（部分行业需要）

备案证明与实际作用

受理通过后，公安机关出具备案证明。这张证明在实际业务中的用途很具体：项目验收材料、年度安全检查、行业年检、投标资格证明、上级单位统计报表。

备案信息发生变化的（系统名称、等级、责任单位、拓扑重大变更），需要办理变更备案；系统停用的，办理撤销备案。很多单位多年不更新备案信息，等到用的时候发现系统名称、负责人、拓扑全对不上，需要重新走流程，耽误的是自己。

七、第三步：建设整改

备案之后、测评之前的这段时间，是真正决定测评结果能不能过的阶段。整改内容按 GB/T 22239-2019 分为技术要求和管理要求两大部分。

技术要求：五个方面

管理要求：五个方面

• 安全管理制度：制度体系是否覆盖日常运维、应急预案、人员离岗等场景，是否有发布和评审记录。
• 安全管理机构：是否设立安全管理岗位、是否明确职责、是否有授权审批流程。
• 安全管理人员：录用审查、保密协议、安全培训记录、离岗资产与权限回收。
• 安全建设管理：系统定级、安全方案设计、产品采购、自行开发、外包开发、测试验收、上线交付、等级测评、服务供应商选择。
• 安全运维管理：环境管理、资产管理、介质管理、设备维护、漏洞与风险管理、配置管理、密码管理、变更管理、备份恢复、事件处置、应急预案演练、外包运维管理。

管理项是很多单位真正的失分点。技术设备可以买，制度可以写，但运行记录（培训签到、演练报告、变更审批单、备份恢复验证记录）必须真实产生，临时补是补不出来的。

整改的优先级建议

1. 先堵高风险项：弱口令、外网暴露的运维端口、未加密的重要数据传输、无备份。这些既是测评扣分项，也是真实事故的入口。
2. 再补低成本高收益项：开启现有设备的日志与审计功能、设置账号权限最小化、补制度与记录模板。
3. 最后考虑采购：在已有架构基础上找缺口，而不是先买后想。

八、第四步：等级测评的实际过程

第三方测评机构进场到出报告，按 GB/T 28449-2018 分为四个阶段。理解这四个阶段，有助于把内部资源和时间安排对。

阶段一：测评准备

机构会先收集系统资料：定级报告、备案证明、网络拓扑、资产清单、安全管理制度、设备配置说明。然后确认测评范围与边界，制定测评方案。

这一阶段对委托方最实际的要求是资料要齐、资产清单要准。资产清单不准，抽样就会抽到早已下线的设备，现场找不到人配合，整个进度往后拖。建议提前做一遍资产核对：IP、主机名、责任人、所属业务、是否在测评范围内。

阶段二：方案编制

测评机构根据系统等级和业务特点，确定测评指标、测评方法（访谈、文档审查、配置核查、工具测试）、抽样数量和现场计划。

需要注意抽样逻辑：测评是抽样检测，不是全量检查。抽样覆盖不到的地方，不代表没有风险。有些单位抱着"抽不到就没事"的心态，这是误判——一旦发生安全事件，未落实的要求照样会被追责。

阶段三：现场测评

现场通常一到数天，取决于系统规模。主要内容：

• 访谈：与系统管理员、安全管理员、运维负责人沟通制度执行与日常操作。
• 配置核查：逐项查看操作系统、数据库、中间件、网络设备、安全设备的安全配置。
• 工具测试：漏洞扫描、渗透测试（部分项目单列）、配置合规检查。
• 文档审查：制度文件、审批记录、日志样本、演练报告、培训记录。

现场最常见的三个卡点：账号口令不达标（弱口令、共享账号、长期不改）、日志不满足要求（未集中、留存不足六个月、审计功能未开启）、记录缺失（有制度无记录、有记录与系统实际不符）。

提前自查这三项，能显著减少现场返工。

阶段四：报告编制

测评机构汇总结果、判定符合性、计算得分、形成结论，出具测评报告。报告通常包含测评结论、各层面得分、不符合项清单与整改建议。

报告出具后，若存在不符合项，委托方需按建议整改；整改完成可申请复测（是否复测、复测范围由属地要求与项目约定决定）。

九、测评结论怎么判

判定逻辑

测评按测评项逐条判定，分为符合、部分符合、不符合、不适用。再按各层面的权重汇总为综合得分率，据此给出结论。结论一般分四档：

多数行业实践中，第三级系统需要达到"中"及以上（即综合得分率达到基本要求线）才算通过。具体分数线与判定细则以现行标准、测评机构判定口径及属地要求为准。

没通过怎么办

先分清是哪一类问题：

1. 配置类（口令策略、日志留存、权限设置）：改配置即可，通常几天到两周。
2. 技术缺失类（无入侵检测、无堡垒机、无备份）：需采购与部署，一到两个月。
3. 管理记录类（缺演练、缺培训、缺审批）：需按周期补做并留痕，最快也要一个演练周期。
4. 架构类（网络未分区、边界不清）：需改造方案与停机窗口，周期最长。

整改后重新测评，通常只测不符合项与相关层面，不必全量重做，但范围由测评机构与属地要求确认。这里有个现实提醒：不要等到报告出来才开始整改。测评前做一轮自查，把明显的不符合项先处理掉，通常能省掉一轮复测的时间和费用。

十、费用：由什么构成，大致什么区间

费用构成

参考区间

以下为企业市场的常见区间，仅作预算参考，实际以系统数量、等级、所在地区、整改工作量与测评机构报价为准：

• 第二级单套系统：测评费通常在万元级，含定级备案与整改辅导的打包价多在 2–4 万元区间。
• 第三级单套系统：测评费明显高于二级，含定级备案与整改辅导的打包价多在 3–6 万元区间。
• 多套系统打包：同一单位多套系统同时测评，单套均价下降，通常有 5%–20% 的批量空间。
• 公有云上的系统：云平台自身合规与租户侧合规是两件事，租户仍需对自身系统做测评，云上部分测评项可引用云服务商的安全能力证明，费用结构与自建机房略有差异。

影响价格的关键变量

1. 等级：三级测评项更多、深度更深，费用高于二级。
2. 系统数量与复杂度：多套系统、多地域部署、混合云架构都会增加工作量。
3. 资产规模：主机、数据库、网络设备数量直接影响抽样与核查工时。
4. 现状差距：整改工作量是费用里最不可控的部分。
5. 地区：一线城市与偏远地区的人力成本、差旅成本差异明显。
6. 时间要求：加急项目通常需要额外资源。

有一点需要提醒：报价特别低的项目，要确认测评范围是否缩水（是否少测系统、少测层面）、是否包含整改辅导（很多低价只做测评不辅导，整改另收费）、报告能否用于验收（个别机构报告在特定行业不被认可）。

十一、周期：每个阶段要多久

从零开始到拿到报告，顺利的情况下约 1.5–3 个月；涉及采购或多套系统并行，通常 3–6 个月。如果只差测评（已完成整改、已有备案），最快 3–4 周可以出报告。

排期建议：把测评安排在整改完成之后、业务旺季之前。年中、年末是机构排期最紧张的时候，临时插单很难。

十二、复测与持续合规

拿到报告不等于结束。持续合规至少包括四件事：

1. 按周期复测：三级每年至少一次，四级每半年至少一次；二级按行业与属地要求，通常两年内至少一次。
2. 重大变更重新评估：上云、迁移、新增对外服务、架构重构、业务范围扩大，都可能导致原结论失效。
3. 日常运维留痕：日志留存不少于六个月、变更审批、备份恢复验证、应急预案演练（建议每年至少一次）。这些记录是下一次测评和事件调查的基础。
4. 备案信息维护：系统名称、等级、责任人、拓扑变化时及时办理变更备案。

一个务实建议：把等保要求拆进日常运维流程，而不是每年集中补一次。日常做了，年度测评就是“核对式检查”；日常没做，年度测评就是"突击式补课"，成本和风险都更高。

十三、等保与密评：先做哪个，能不能合并

两者针对的对象不同、依据不同，不能相互替代：

顺序建议

一般先等保、后密评，理由很实际：等保整改会调整架构与边界，密评要在此基础上评估密码应用；先密评后等保，架构一变密评就要返工。若两个项目都要做，更经济的做法是在整改阶段同步设计密码应用方案，避免二次改造。

谁需要做密评

关键信息基础设施、政务系统、以及部分行业主管明确要求的系统（金融、能源、交通、公共服务等）需要开展密评。第三级以上系统在实践中被要求密评的比例较高，具体以属地密码管理部门与行业主管要求为准。

密评报告必须由具备资质的测评机构出具。市场上常见的"密评辅导""差距分析""协助对接"属于服务环节，与"出具报告"是两件事，签合同前要分清主体。

十四、十个高频问题

1. 完成等保后会拿到什么材料？

等级保护制度不发放审批凭证。合规证明材料是公安机关的备案证明和测评机构的等级测评报告。任何声称花钱就能“直接拿到合规凭证”的说法都不符合制度设计，遇到要警惕。

2. 二级系统一定要每年测吗？

法规层面未对二级做年度强制要求，但多数行业主管与属地公安机关在实际管理中要求两年内至少一次，招投标场景通常要求提供有效期内的报告。以属地要求为准。

3. 系统上云了，还要做等保吗？

要。云服务商通过测评，说明其平台侧合规；租户的业务系统仍需单独定级备案并测评。两者范围不同，不能相互替代。云上部分测评项可引用云服务商提供的安全能力证明。

4. 测评不通过会影响业务吗？

测评本身不直接导致停业。但结论为"差"意味着未达标，需整改后重测；若涉及行业监管检查、项目验收、投标资格，未达标会直接影响这些环节。另外，一旦发生安全事件，未落实等保要求会成为认定责任的重要因素。

5. 可以自己做测评吗？

不能。等级测评必须由具备资质的测评机构实施，出具的报告才有证明效力。单位自己组织的检查属于自查，不能替代测评。

6. 测评机构怎么选？

看四件事：资质是否覆盖所需等级与行业、是否有同行业案例、报价包含范围（是否含整改辅导、复测）、报告出具周期。不要只看价格——范围缩水的低价报告，在验收环节可能不被认可。

7. 一套系统测一次要多久？

从进场到出报告通常 2–4 周；加上前期准备与整改，整体 1.5–3 个月。加急项目可以压缩，但受机构排期限制。

8. 定级定高了能改吗？

可以。定级错误可重新定级并办理变更备案，但需要有充分理由和依据，且已按高等级做的投入不会退回。所以定级阶段多花几天确认，比事后调整划算。

9. 等保和 ISO 27001 能互相替代吗？

不能。ISO 27001 是国际管理体系认证，等保是国家制度性要求，两者的依据、监管主体、证明效力都不同。有 ISO 27001 的单位在等保测评中管理项会更容易达标，但仍需完成等保的定级备案与测评。

10. 预算很紧，怎么把等保做下来？

三个方向：一是先做差距分析，把钱花在真正的缺口上，不做无谓采购；二是利用现有设备未启用的能力（日志、审计、访问控制策略）；三是合理收敛系统边界，减少测评对象数量。整改是设计题，方案合理能省下可观成本。

十五、术语表

结语

等保测评的本质，是用一套外部标准检验"你的系统在真实攻击面前能不能撑住，出了事能不能查清楚"。它不是一个可以靠临时补材料通过的流程，而是一面照出日常运维真实水平的镜子。

把顺序理清楚——先定级、再备案、然后按差距整改、最后测评——大部分单位都能在预期的时间和预算内完成。真正容易出问题的，往往不是技术难度，而是资料不齐、记录缺失、时间没排开。

如果您正在判断自己的系统属于几级、需要准备哪些材料、大概要多久，可以把系统类型、所在城市与当前进度告诉我们，我们会先给出初步判断，再安排对应的顾问与您沟通。