上海企业怎么做等级保护

　　在中国，信息安全等级保护广义上为涉及到该工作的标准、产品、系统、信息等均依据等级保护思想的安全工作；狭义上一般指信息系统（APP）安全等级保护。

　　信息安全等级保护：

　　?对信息系统分等级进行安全保护和监管；

　　?对信息安全产品的使用实行分等级管理；

　　?对信息安全事件实行分等级响应、处置。

　　等级保护是怎么分等级的？

　　将全国的信息系统（包括网络）按照信息系统的业务信息和系统服务被破坏后，对受侵害客体的侵害程度分成五个安全保护等级（从级到第五级逐级增高）。

　　为什么要做等级保护？

　　1.法律法规要求

　　《网络安全法》明确规定信息系统运营、使用单位应当按照网络安全等级保护制度要求，履行安全保护义务，如果拒不履行，将会受到相应处罚。

　　第二十一条：国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

　　2.行业要求

　　在金融、电力、广电、医疗、教育等行业，主管单位明确要求从业机构的信息系统（APP）要开展等级保护工作。

　　3.企业系统安全的需求

　　信息系统运营、使用单位通过开展等级保护工作可以发现系统内部的安全隐患与不足之处，可通过安全整改提升系统的安全防护能力，降低被攻击的风险。

　　简单来说，《网络安全法》一直对网站、信息系统、APP有等级保护要求，中小型企业通常是行业要求才意识到问题。

　　怎么做等级保护？

　　等级保护通常需要5个步骤：

　　1.定级（企业自主定级-专家评审-主管部门审核-公安机关审核）

　　2.备案（企业提交备案材料-公安机关审核-发放备案证明）

　　3.测评（等级测评-三级每年测评一次）

　　4.建设整改（安全建设-安全整改）

　　5.监督检查（公安机关每年监督检查）

　　一、企业自己做等级保护

　　1.在定级备案的步骤，一级不需要备案仅需企业自主定级。二级、三级是大部分普通企业的信息系统定级。四级、五级普通企业不会涉及，通常是与国家相关（如等保四级-涉及民生的，如铁路、能源、电力等）的重要系统。根据地区不同备案文件修改递交通常需要1个月左右的时间。

　　2.定级备案后，寻找本地区测评机构进行等级测评。

　　3.根据测评评分(GBT22239-2019信息安全技术网络安全等级保护基本要求。具体分数需要测评后才能给出)对信息系统（APP）进行安全整改，如果企业没有的安全团队，需要寻找安全公司进行不同项目的整改。等级保护2.0三级有211项内容，通常企业需要根据自身情况采购安全产品完成整改。

　　4.进行安全建设整改后，通过测评。当地公安机关会进行监督检查包含定级备案测评、测评后抽查。

　　整个流程企业自行做等级保护，顺利的话2-3个月完成，如果不熟悉需要半年甚至更久。

　　优势：与第三方企业对比几乎没有优势

　　劣势：时间长、消耗人力成本高、技术人员不足还可能增加安全建设成本

　　二、寻找第三方机构做等级保护

　　1.在定级备案步骤，有些等保机构会提出指导性意见协助企业提交定级报告。

　　2.第三方等保机构可以协助企业找到测评机构，测评机构提出整改意见，企业根据整改意见购买安全产品，完成测评。