等保测评答疑之二三级设备区别与常见问题答疑

Q6：等级保护是否是强制性的,可以不做吗？

答：《中华人民共和国网络安全法》第二十一条规定网络运营者应当按照网络安全等级保护制度的要求，履行相关的安全保护义务。同时第七十六条定义了网络运营者是指网络的所有者、管理者和网络服务提供者。

等级保护工作是保障我国网络安全的基本动作，目前各单位需按照所在行业及保护对象重要程度，依据网络安全法及相关部门要求，按照“同步规划、同步建设、同步使用”的原则，开展等级保护工作。

Q7：做等级保护要多少钱？

答：开展等级保护工作主要包含：规划费用、建设或整改费用、运维费用、测评费用等，具体费用因各单位现状、保护对象承载业务功能、重要程度、所在地区等差异较大。

为避免过度保护或疏于防范的情况，减少资源浪费等，建议聘请或咨询专业的等级保护服务机构，制定科学合理的方案。

Q8：等级保护测评一般多长时间能测完？

答：一个二级或三级的系统整体持续周期1-2个月。

现场测评周期一般1周左右，具体时间还要根据信息系统数量及信息系统的规模，以及测评方与被测评方的配合情况等有所增减。

小规模安全整改（管理制度、策略配置技术整改）2-3周，出具报告时间1-2周。

目前各地根据各自省份或城市的情况，还存在单独规定测评实施周期的情况，一般是签订测评合同之日起3-6个月必须出具测评报告。

Q9：等级保护测评多久做一次？

答：根据《信息安全等级保护管理办法》公通字200743号十四条：第三级以上网络的运营者应当每年开展一次网络安全等级测评。二级信息系统建议每两年开展一次测评，部分行业是明确要求每两年开展一次测评。

二级三级设备区别：

物理机房
二级等保（内网）防火墙、日志审计、数据库审计
二级等保（外网）防火墙、日志审计、数据库审计、web应用防火墙

三级（内网）防火墙2个、日志审计、数据库审计、堡垒机
三级（外网）防火墙2个、日志审计、数据库审计、堡垒机、web应用防火墙

云上
二级等保外网 防火墙（也可以去掉）、日志审计、web应用防火墙、云安全中心

三级等保内网 防火墙（也可以去掉）、日志审计、web应用防火墙、云安全中心、  、 高配可以加上堡垒机、数据库审计