等保测评答疑

1：业务系统在内/专网，还需要做等保吗？

答：需要。内网与专网的非涉密系统都属于等级保护范畴，虽然内/专网相对于互联网，业务系统的用户比较明确或可控，但内网不代表安全。

2：等级保护测评结论不符合是不是等级保护工作就白做了？

答：不是。等级保护测评结论为“差”，表示目前该信息系统存在高危风险或整体安全性较差，没有达到相应标准要求。但是这并不代表等级保护工作白做了，即使你拿着不符合的测评报告，主管单位也是承认你们单位今年的等级保护工作已经开展过了，只是目前的问题较多，没达到相应的标准，需要抓紧整改。

3：拿什么证明开展过等级保护工作？

答：一般情况是备案证明和测评报告，测评报告应加盖测评机构公章和测评专用章。

4：系统在云上，还要做等保吗？

答：要做。业务上云有多种情况，如在公有云、私有云、专有云等不同属性的云上，并采用IaaS、PaaS、SaaS、IDC托管等不同服务，虽然安全责任边界发生了变化，但网络运营者的安全责任不会转移。根据“谁运营谁负责、谁使用谁负责、谁主管谁负责”的原则，应承担网络安全责任进行等级保护工作。

是否要通过测评这个需根据系统的重要程度，依据国家标准和相关部门要求来确定。

5：等保的测评内容有哪些？

答：通用要求包含：技术要求（安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心）；管理要求（安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理）；云计算、物联网、移动互联、工控、大数据扩展标准以及行业标准。

6：《等保》和《网络安全法》什么关系？

答：等级保护工作是国家网络安全的基础性工作，是《网络安全法》要求我们履行的一项安全责任。《网络安全法》是网络安全领域的基本法，从国家层面对等级保护工作的法律认可，网络安全法中明确的提到信息安全的建设要遵照等级保护标准来建设。

7：哪些企业和单位应该开展等保工作？

答：根据 GB/T 22239-2019的相关规定：

划重点：

（1）中国境内运营的

（2）政府、事业单位、对外提供服务的企业

（3）除信息系统外，还包括：基础网络、云平台、大数据、物联网、工控系统和移动互联

也就是说，基本涵盖了企业的对外提供服务的业务系统和产品。

8：购买了符合等保要求的安全设备就能有效抵御网络风险？

答：设备只是工具，是否能抵御风险，还有看怎么用！不少单位花钱买了安全设备，但缺乏技术人员支持，或者安全意识淡薄，安全产品不仅起不到安全作用，反而会影响业务连续性。

9：做完等级测评就没有安全问题了？

答：很多人认为，完成等保测评就万事大吉了。其实，不然。等保测评标准只是基线的要求，通过测评、整改，落实等级保护制度，确实可以规避大部分的安全风险。但是，安全是一个动态而非静止的过程，不是通过一次测评，就可以一劳永逸的。

企业通过落实等保安全要求，并严格执行各项安全管理的规章制度，基本能做到系统的安全稳定运行。但依然不能百分百保证系统的安全性。因此，要通过等级保护测评工作开展，以“一个中心、三重防护”好“三化六防”等为指导，不断提升网络攻防能力。

10：等保2.0什么时候算正式实施？

2019年12月1日正式实施。等保2.0依然在整个实施流程上由五个标准环节构成：定级、备案、建设整改、等级测评、监督检查五个方面。