“等保認(rèn)證”并不是一張證書(shū)，而是“定級(jí)→備案→測(cè)評(píng)→整改→年度復(fù)測(cè)”的閉環(huán)管理。把流程拆成四步，你照單準(zhǔn)備即可。

一、先定級(jí)：給系統(tǒng)“落戶(hù)口”  

1.梳理業(yè)務(wù)線(xiàn)：同一套數(shù)據(jù)、同一組用戶(hù)、同一批服務(wù)器劃為一個(gè)“定級(jí)對(duì)象”，別把測(cè)試環(huán)境算進(jìn)來(lái)。  

2. 自主打分：用 GB/T 22240-2019的“客體受侵害程度×客體類(lèi)型”矩陣，大多數(shù)對(duì)內(nèi) ERP、對(duì)外官網(wǎng)落在二級(jí)；一旦涉及 10萬(wàn)級(jí)個(gè)人信息、資金交易、區(qū)域民生數(shù)據(jù)，直接進(jìn)三級(jí)。  

3. 專(zhuān)家評(píng)審：三級(jí)以上必須 3名省級(jí)專(zhuān)家?guī)斐蓡T簽字，其中 1 名必須是網(wǎng)絡(luò)安全方向，防止“該高不高”被公安打回 。  

4.主管批復(fù)：有上級(jí)行業(yè)主管的（醫(yī)院、金融、能源）先拿主管批文，再向公安提交。

二、再備案：10個(gè)工作日拿“備案證明”  

材料清單（8+3核心包）：  

1.《信息系統(tǒng)安全等級(jí)保護(hù)備案表》  

2.《定級(jí)報(bào)告》（含專(zhuān)家簽字頁(yè)）  

3.營(yíng)業(yè)執(zhí)照副本復(fù)印件  

4.法人、經(jīng)辦人身份證復(fù)印件  

5.網(wǎng)絡(luò)拓?fù)鋱D（與資產(chǎn)清單一一對(duì)應(yīng)）  

6.資產(chǎn)清單（Excel：硬件、軟件、數(shù)據(jù)）  

7. 安全管理制度合訂本（≥18項(xiàng)制度，首頁(yè)寫(xiě)版本號(hào)）  

8.《網(wǎng)絡(luò)與信息安全承諾書(shū)》  

9.服務(wù)器托管/云租賃協(xié)議（云環(huán)境附“云服務(wù)商等保備案證明”復(fù)印件）  

10.辦公地證明  

11. 應(yīng)急聯(lián)系人登記表（24 h可接通）  

屬地公安機(jī)關(guān)在收到完整材料后 10個(gè)工作日內(nèi)出具《備案證明》，上面帶有全國(guó)統(tǒng)一的“備案編號(hào)”，這是后續(xù)測(cè)評(píng)的入場(chǎng)券 。

三、后測(cè)評(píng)：二級(jí)兩年一次，三級(jí)每年一次  

1.選機(jī)構(gòu)：登錄“國(guó)家等級(jí)保護(hù)網(wǎng)”下載新《全國(guó)測(cè)評(píng)機(jī)構(gòu)名單》，優(yōu)先選本省、同行業(yè)的機(jī)構(gòu)，溝通成本低。  

2. 預(yù)評(píng)：先用《GB/T 22239-2019基本要求》逐條自檢，把分?jǐn)?shù)拉到 85 分以上再進(jìn)場(chǎng)，可少做一次整改。  

3.正式測(cè)評(píng)：  

   –技術(shù)面：漏洞掃描+配置核查+滲透測(cè)試；三級(jí)系統(tǒng)常見(jiàn)高危點(diǎn)——弱口令、中間件舊版本、數(shù)據(jù)庫(kù)空口令、防火墻策略冗余。  

   –管理面：查“三員”分立、制度修訂記錄、應(yīng)急演練照片。  

4. 報(bào)告：測(cè)評(píng)機(jī)構(gòu) 20個(gè)工作日內(nèi)出具報(bào)告，結(jié)論分“符合、基本符合、不符合”；出現(xiàn)“不符合”需 30 日內(nèi)提交整改報(bào)告，公安驗(yàn)收后才算年度任務(wù)完結(jié)。

四、再整改：把“差距”變“增量”  

- 二級(jí)系統(tǒng)短板：機(jī)房無(wú)門(mén)禁、日志留存不足 6個(gè)月、無(wú)異地備份；投入 3–5 萬(wàn)元即可補(bǔ)齊。  

-三級(jí)系統(tǒng)重點(diǎn)加配：  

  –邊界下一代防火墻+IPS，策略雙向?qū)徲?jì)；  

  – 主機(jī) EDR或白名單，防勒索、防橫向移動(dòng)；  

  –數(shù)據(jù)庫(kù)審計(jì)+脫敏，敏感字段默認(rèn)加密；  

  – 雙活/異地災(zāi)備，RPO≤15分鐘；  

  – 安全運(yùn)營(yíng)中心（SOC）或托管MSS，實(shí)現(xiàn) 7×24 持續(xù)監(jiān)測(cè)。  

整改完成把設(shè)備型號(hào)、策略截圖、測(cè)試記錄寫(xiě)進(jìn)《整改報(bào)告》，公安抽查時(shí)可直接調(diào)閱。

五、常見(jiàn)易錯(cuò)點(diǎn)  

1.拓?fù)鋱D與資產(chǎn)清單設(shè)備數(shù)量不符，直接退回補(bǔ)正。  

2.制度版本早于備案日期，未體現(xiàn)新職責(zé)人。  

3. 日志缺少源 IP或時(shí)間戳，無(wú)法追溯事件。  

4.云環(huán)境未提供“云服務(wù)商等保備案證明”，導(dǎo)致備案被卡。

中帆信息提示  

“等保認(rèn)證”沒(méi)有一勞永逸的證書(shū)，只有“年度復(fù)測(cè)合格+備案證明持續(xù)有效”。把上述四步做成內(nèi)部SOP，每次擴(kuò)容、上云、版本升級(jí)都同步更新拓?fù)鋱D和資產(chǎn)清單，第二輪起可節(jié)省 80 % 重復(fù)工作量。