二級信息系統網(wǎng)絡(luò )安全等級保護認證申請
我國實(shí)行網(wǎng)絡(luò )安全等級保護制度，等級保護認證指企業(yè)按照等級保護的建設標準，通過(guò)定級、備案、安全建設（整改）、等級測評、監督檢查等環(huán)節，讓企業(yè)的信息系統符合國家安全建設要求。靈狐科技為各企業(yè)提供二級信息系統網(wǎng)絡(luò )安全等級保護認證申請步驟，需要的企業(yè)可收藏：
一、信息系統定級
信息系統的保護等級被分為五個(gè)級別，五個(gè)級別的差別如下表所示：
企業(yè)確定自己需要做等級保護的信息系統之后，就可以根據確定定級對象→初步確定等級→專(zhuān)家評審→主管部門(mén)審核→公安機關(guān)備案審查→最終確定的等級的定級流程，對信息系統進(jìn)行定級。
二、信息系統備案
定級完成之后，企業(yè)需要準備相應材料，到公安機關(guān)進(jìn)行備案。備案材料主要是《信息安全等級保護備案表》，不同級別的信息系統需要的備案材料有所差異。
二級及其以上的信息系統運行使用單位或主管部門(mén)在備案時(shí)需要提交的資料有：① 信息系統安全定級報告紙質(zhì)材料，一式兩份；② 信息系統安全備案表紙質(zhì)材料，一式兩份；③上述備案的電子檔，并制作出光盤(pán)提交。
材料提交之后，就可以耐心等待公安機關(guān)的審核，若審核通過(guò)，公安機關(guān)會(huì )頒發(fā)備案證明；若不通過(guò)，公安機關(guān)也會(huì )給予反饋。
三、信息系統的測評整改
之所以把信息系統的測評和整改連在一起，是因為基本上所有企業(yè)都必須進(jìn)行整改，才能通過(guò)等級測評。等級測評指申辦單位委托具備測評資質(zhì)的測評機構對定級對象進(jìn)行等級測評，形成正式的測評報告；整改指企業(yè)按照等級保護的相關(guān)標準，將信息系統中的不符合項變?yōu)榉?，降低信息系統安全風(fēng)險。
一般來(lái)說(shuō)，大多數企業(yè)都是先委托專(zhuān)業(yè)的測評機構來(lái)進(jìn)行測評，然后再根據測評機構給出的整改清單進(jìn)行整改。整改完成之后，重新測評，測評通過(guò)之后，就可以將測評報告、整改報告等提交公安機關(guān)。只有成功通過(guò)等級測評，企業(yè)才算是真正落實(shí)了等級保護，獲得等級保護認證。
一般來(lái)說(shuō)，企業(yè)需要整改的比較常見(jiàn)的系統安全問(wèn)題包含以下三類(lèi)：
①安全管理制度不完善或缺失問(wèn)題
整改建議：1、向測評機構或者做得好的單位借鑒一些成熟的安全管理制度，然后根據自己?jiǎn)挝坏膶?shí)際情況進(jìn)行細化，變?yōu)樽约旱陌踩芾碇贫润w系；2、請測評機構或相關(guān)單位進(jìn)行專(zhuān)門(mén)的安全制度體系建設。
②漏洞補丁類(lèi)、安全策略調整類(lèi)、安全加固類(lèi)、網(wǎng)絡(luò )結構調整類(lèi)問(wèn)題
這類(lèi)問(wèn)題的整改我們統稱(chēng)為安全服務(wù)整改建設，整改需要做到：把安全設備配置合適合規的策略，主機及應用做應有的加固，關(guān)閉不必要的端口，對高危漏洞進(jìn)行打補丁，合理劃分不同網(wǎng)絡(luò )區域等等。
整改建議：1、企業(yè)可以讓自己的技術(shù)人員解決這些問(wèn)題，同時(shí)尋找系統集成商、軟件開(kāi)發(fā)商協(xié)助解決；2、尋找有實(shí)力的測評機構或安全服務(wù)商來(lái)解決這些問(wèn)題。
③設備缺失或不足問(wèn)題
備缺失或不足問(wèn)題主要指什么呢？比如根據等級測評報告，企業(yè)的信息系統沒(méi)有入侵檢測設備或者防火墻里不帶有入侵檢測功能，但又必須滿(mǎn)足這個(gè)條件，企業(yè)就需要新增入侵檢測設備。當然，由于實(shí)際情況不同，企業(yè)需要新增的設備有優(yōu)先級的不同，一些設備需要當下就立即新增，一些設備則可以后續再慢慢新增。
整改建議：根據實(shí)際情況，制定設備新增計劃，省時(shí)省力省錢(qián)。
一、信息系統定級
信息系統的保護等級被分為五個(gè)級別，五個(gè)級別的差別如下表所示：
| 等保級別 | 適用信息系統及行業(yè) | 信息系統破壞后侵害程度 |
|
第一級 （自主保護級） |
一般適用于小型私營(yíng)、個(gè)體企業(yè)、中小學(xué)，鄉鎮所屬信息系統、縣級單位中一般的信息系統。 | 信息系統受到破壞后，會(huì )對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會(huì )秩序和公共利益。 |
|
第二級 （指導保護級） |
一般適用于縣級其些單位中的重要信息系統；地市級以上國家機關(guān)、企事業(yè)單位內部一般的信息系統。例如非涉及工作秘密、商業(yè)秘密、敏感信息的辦公系統和管理系統等。 | 信息系統受到破壞后，會(huì )對公民、法人和其他組織的合法權益產(chǎn)生嚴重損害，或者對社會(huì )秩序和公共利益造成損害，但不損害國家安全。 |
|
第三級 （監督保護級） |
一般適用于地市級以上國家機關(guān)、企業(yè)、事業(yè)單位內部重要的信息系統，例如涉及工作秘密、商業(yè)秘密、敏感信息的辦公系統和管理系統；跨省或全國聯(lián)網(wǎng)運行的用于生產(chǎn)、調度、管理、指揮、作業(yè)、控制等方面的重要信息系統以及這類(lèi)系統在省、地市的分支系統；中央各部委、?。▍^、市）門(mén)戶(hù)網(wǎng)站和重要網(wǎng)站；跨省連接的網(wǎng)絡(luò )系統等。 | 信息系統受到破壞后，會(huì )對社會(huì )秩序和公共利益造成嚴重損害，或者對國家安全造成損害。 |
|
第四級 （強制保護級） |
一般適用于國家重要領(lǐng)域、重要部門(mén)中的特別重要系統以及核心系統。例如電力、電信、廣電、鐵路、民航、銀行、稅務(wù)等重要、部門(mén)的生產(chǎn)、調度、指揮等涉及國家安全、國計民生的核心系統。 | 信息系統受到破壞后，會(huì )對社會(huì )秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。 |
|
第五級 （專(zhuān)控保護級） |
一般適用于國家重要領(lǐng)域、重要部門(mén)中的極端重要系統。 | 信息系統受到破壞后，會(huì )對國家安全造成特別嚴重損害。信息系統安全等級保護的定級準則和等級劃分。 |
企業(yè)確定自己需要做等級保護的信息系統之后，就可以根據確定定級對象→初步確定等級→專(zhuān)家評審→主管部門(mén)審核→公安機關(guān)備案審查→最終確定的等級的定級流程，對信息系統進(jìn)行定級。
二、信息系統備案
定級完成之后，企業(yè)需要準備相應材料，到公安機關(guān)進(jìn)行備案。備案材料主要是《信息安全等級保護備案表》，不同級別的信息系統需要的備案材料有所差異。
二級及其以上的信息系統運行使用單位或主管部門(mén)在備案時(shí)需要提交的資料有：① 信息系統安全定級報告紙質(zhì)材料，一式兩份；② 信息系統安全備案表紙質(zhì)材料，一式兩份；③上述備案的電子檔，并制作出光盤(pán)提交。
材料提交之后，就可以耐心等待公安機關(guān)的審核，若審核通過(guò)，公安機關(guān)會(huì )頒發(fā)備案證明；若不通過(guò)，公安機關(guān)也會(huì )給予反饋。
三、信息系統的測評整改
之所以把信息系統的測評和整改連在一起，是因為基本上所有企業(yè)都必須進(jìn)行整改，才能通過(guò)等級測評。等級測評指申辦單位委托具備測評資質(zhì)的測評機構對定級對象進(jìn)行等級測評，形成正式的測評報告；整改指企業(yè)按照等級保護的相關(guān)標準，將信息系統中的不符合項變?yōu)榉?，降低信息系統安全風(fēng)險。
一般來(lái)說(shuō)，大多數企業(yè)都是先委托專(zhuān)業(yè)的測評機構來(lái)進(jìn)行測評，然后再根據測評機構給出的整改清單進(jìn)行整改。整改完成之后，重新測評，測評通過(guò)之后，就可以將測評報告、整改報告等提交公安機關(guān)。只有成功通過(guò)等級測評，企業(yè)才算是真正落實(shí)了等級保護，獲得等級保護認證。
一般來(lái)說(shuō)，企業(yè)需要整改的比較常見(jiàn)的系統安全問(wèn)題包含以下三類(lèi)：
①安全管理制度不完善或缺失問(wèn)題
整改建議：1、向測評機構或者做得好的單位借鑒一些成熟的安全管理制度，然后根據自己?jiǎn)挝坏膶?shí)際情況進(jìn)行細化，變?yōu)樽约旱陌踩芾碇贫润w系；2、請測評機構或相關(guān)單位進(jìn)行專(zhuān)門(mén)的安全制度體系建設。
②漏洞補丁類(lèi)、安全策略調整類(lèi)、安全加固類(lèi)、網(wǎng)絡(luò )結構調整類(lèi)問(wèn)題
這類(lèi)問(wèn)題的整改我們統稱(chēng)為安全服務(wù)整改建設，整改需要做到：把安全設備配置合適合規的策略，主機及應用做應有的加固，關(guān)閉不必要的端口，對高危漏洞進(jìn)行打補丁，合理劃分不同網(wǎng)絡(luò )區域等等。
整改建議：1、企業(yè)可以讓自己的技術(shù)人員解決這些問(wèn)題，同時(shí)尋找系統集成商、軟件開(kāi)發(fā)商協(xié)助解決；2、尋找有實(shí)力的測評機構或安全服務(wù)商來(lái)解決這些問(wèn)題。
③設備缺失或不足問(wèn)題
備缺失或不足問(wèn)題主要指什么呢？比如根據等級測評報告，企業(yè)的信息系統沒(méi)有入侵檢測設備或者防火墻里不帶有入侵檢測功能，但又必須滿(mǎn)足這個(gè)條件，企業(yè)就需要新增入侵檢測設備。當然，由于實(shí)際情況不同，企業(yè)需要新增的設備有優(yōu)先級的不同，一些設備需要當下就立即新增，一些設備則可以后續再慢慢新增。
整改建議：根據實(shí)際情況，制定設備新增計劃，省時(shí)省力省錢(qián)。
