等級保護工作全流程
在展開信息系統等級保護測評工作之前，需要先對企業的信息系統進行調研，調研的主要內容包含：
1. 資產清單：系統所使用的服務器、網絡設備、安全設備的廠商、類型、版本號、所使用的操作系統，數據庫等，及資產的責任人等；
2. 網絡拓撲圖：要求與網絡現狀一致。
3. 配合人員：網絡管理員、服務器管理員、數據庫管理員、應用管理員等。
4. 企業相關的安全管理制度：如整體安全策略，近遠期安全發展目標，人員管理制度等，（一般要求提供所有制度）
1、定級方式
主管部門統一確定安全保護等級。
2、定級的一般流程
依照《定級指南》對信息系統進行定級，或依照上級主管部門要求對信息系統進行定級。詳見附件《網絡安全等級保護定級指南》
信息系統安全包括業務信息安全和系統服務安全，與之相關的受侵害客體和對客體的侵害程度可能不同，因此，信息系統定級也應由業務信息安全和系統服務安全兩方面確定。從業務信息安全角度反映的信息系統安全保護等級稱為業務信息安全等級。從系統服務安全角度反映的信息系統安全保護等級稱系統服務安全等級。
1、前期準備工作：
人員：等級保護行業相關專家3~5人，企業方負責等級保護項目的項目經理，網絡管理員、運維管理員，應用管理員等。會議過程中，專家可能會對信息系統的基本狀況進行詢問。如：網絡結構，業務主體，服務對象，數據備份情況，安全運維情況等。
時間：與專家協調好的會議時間。
地點：與專家約定好的會議地點，一般在企業會議室。
需要準備的文檔：定級報告、備案表各三份；定級過程闡述文檔；電子版專家評審意見。需注意專家評審意見中信息系統的名稱，專家一旦簽字，信息系統的名稱將無法更改（如有軟件著作權，則名稱最好與軟件著作權名稱一致）。
2、專家評審流程：
專家簽到 → 確定專家組組長 → 定級闡述 → 專家就定級相關問題進行提問 → 專家對定級結果進行討論→ 修改專家評審意見 → 簽字 → 定級評審會議結束。
3、文檔輸出（電子版+紙質蓋章版）
《XXX系統定級報告》、《XXX系統備案表》
第二級以上信息系統，在安全保護等級確定后30日內，由其運營、使用單位或者其主管部門（以下簡稱“備案單位”）到所在地設區的市級以上公安機關辦理備案手續。辦理備案手續時，應先與所在地設區的市級以上公安機關辦（所在地網安大隊）取得聯系，詢問所需的備案材料，不同地區所需的備案材料不盡相同。
依照網安大隊的要求將備案資料準備齊全后，到網安大隊進行備案。
1、備案時應提交的材料
* 定級報告
* 備案表
* 企業工商營業執照等相關資料。
* 法人身份證
* 網絡安全承諾書
* 24小時緊急聯系人
* 三級及以上信息系統提供備案表中的全部內容。
* 對應管理區網安大隊要求提供的其他資料
2、網安大隊受理
辦理備案前應先與網安大隊約定好備案時間，并準時到達網安大隊辦理備案。
3、網安大隊輸出文檔
《信息系統安全等級保護備案證明》
相當于等級保護的差距測評（可選，不強制），對信息系統預先進行的一次模擬測評，目的是發現信息系統安全現狀與國家等級保護對應等級安全防護能力之前的差距。
出具差距分析報告及整改意見報告。
1、現場訪談
測評工程是在測評過程中需要網絡管理員、服務器管理員、數據庫管理員、應用管理員等人員進行現場配合，主要的工作方式為：測評工程師說明需要檢查哪些相關安全策略，客戶的工程師進行操作查詢，測評工程師負責記錄。
人員：網絡管理員、服務器管理員、數據庫管理員、應用管理員等。
文檔：公司所有有關的安全管理制度、規范、手冊等。
2、滲透測試及漏洞掃描
等級保護二級信息系統需進行漏洞掃描，三級信息系統需進行滲透測試，根據其結果進行整改。其中高危、中危漏洞必須修復。整改完成需再次滲透測試驗證，確認漏洞修復有效。
3、整改建議
結合企業自身情況進行整改。其中高、中危漏洞必須修復后才能進行測評。
4、文檔輸出
《等級保護差距測評報告》
此部分根據等級保護差距測評和加固建議，出具具體的安全加固及整改建議方案，并根據方案進行整改，包括：系統補丁升級、網絡及安全產品配置整改、增加相應的安全產品、各種環境整改、制度評估及整改等。
由擁有國家等級測評資質測評機構對企業的信息系統進行等級測評，并出具等級測評報告。
1、信息安全等級保護測評的四個階段
2、信息安全等級保護測評的基本內容
3、文檔輸出
《XXX系統安全等級測評報告》
