网络安全等级保护知识问答

1
问：等级保护工作中具体包含的内容？
  答：根据网络安全等级保护相关标准，等级保护工作分为五个阶段：1）信息系统定级；2）信息系统备案；3）系统安全建设整改；4）信息系统开始等级测评；5）主管单位定期开展监督检查。
2
问：去哪里进行信息系统的定级备案工作？
  答：省级单位将定级资料交给所在省网安总队进行备案，各地级市及以下单位将定级资料交给各自地级市的网安支队，特定行业有要求的另说。
3
问：等级保护测评一般多长时间能测完？
  答：一个二级或三级的系统现场测评周期一般一周左右，具体时间还要根据信息系统数量及信息系统的规模，有所增减。小规模安全整改2-3周，出具报告时间一周，整体持续周期1-5个月。如果整改不及时或牵涉到购买设备，时间不好说，单个系统的测评建议2个月内完成。
4
问：等级保护测评多久需要测一次？
  答：三级信息系统要求每年至少开展一次测评；二级信息系统建议每两年开展一次测评，部分行业明确要求每两年开展一次测评。
5
问：等级保护测评的费用是多少？
  答：测评的费用首先是按照信息系统来算，不是按照一个单位；第二是不同等级的测评费用不一样，后测评的费用也和信息系统的资产规模相关，规模越大相应的测评费用会高些。费用每个省市具体情况不一样，通常每个省市都有自己的一个价格体系，二级和三级系统的测评费用相对都是固定的，具体可以向当地测评机构咨询。

等级保护流程：

定级流程：

测评流程:

为什么要做等保？

（一）法律规章要求  
  《网络安全法》明确规定信息系统运营、使用单位应当按照网络安全等级保护制度要求，履行安全保护义务，如果拒不履行，将会受到相应处罚。
第二十一条规定:网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。
第三十八条规定:关键信息基础设施的运营者应当自行或者委托网络安全服务机构对其网络的安全性和可能存在的风险每年至少进行一次检测评估，并将检测评估情况和改进措施报送相关负责关键信息基础设施报送相关负责关键信息基础设施安全保护工作的部门。
第五十九条规定：网络运营者不履行义务的：由有关主管部门责令改正，给于警告;拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。
关键信息基础设施的运营者不履行义务的:由有关主管部门责令改正，给予警告;拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

(二)行业要求
  在金融、电力、广电、医疗、教育等行业，主管单位明确要求从业机构的信息系统要开展等级保护工作。

(三)企业系统安全的需求
  信息系统运营、使用单位通过开展等级保护工作可以发现系统内部的安全隐患与不足之处，可通过安全整改提升系统的安全防护能力，降低被攻击的风险。