信息系统等级保护测评流程梳理

等级保护是企业信息系统合规的基础工作之一。本文梳理从定级到复测的主要环节，供准备材料时参考。

一、定级与备案

• 根据系统受到破坏后对国家安全、社会秩序、公共利益及公民合法权益的危害程度确定保护等级。
• 一般企业信息系统多定在第二级；涉及重要行业或大量个人信息的系统可能定为第三级。
• 定级后向公安机关备案，取得备案证明。

二、差距分析与整改

对照相应等级的基本要求逐项核对，重点通常集中在：

• 安全管理制度与人员职责是否真正落地
• 身份鉴别、访问控制与安全审计是否完备
• 数据备份与恢复机制是否可验证

三、测评

由具备资质的测评机构实施，输出测评结论。存在不合规项的需整改后复测。

四、监督检查

备案不是终点。监管部门会不定期开展监督检查，系统发生重大变更时也需要重新评估。

准备建议：把「制度文件」和「实际执行记录」分开整理。测评中常见的失分点不是制度缺失，而是有制度却没有执行痕迹。