等保流程：定级—备案—初测及整改—测评—监督

一、等保定级备案（8项）1~14天

按照《信息系统安全等级保护定级指南》以及《信息安全等级保护管理办法》等文件的要求，协助用户完成信息系统安全等级保护定级备案材料编制工作，并协助取得公安部门颁发的备案证明。

1、信息安全管理制度

辅助编写信息安全管理制度 (包括安全管理制度、组织体系及岗位职责运维管理等内容)。

2、网络拓扑图

（根据系统的安全网络情况进行编写）按照用户实际情况，在网络、安全、应用服务等方面进行拓扑图制作。

3、安全产品清单及销售许可证

安全销售许可（中国公安部监制、公安部网络安全保卫局盖章的合规许可）

如托管云平台的需要合规测评报告（如阿里云，华为云、腾讯云等保合规报告）

4、信息安全保护设施设计方案

根据企业应用，网络，及安全等相关方面，制作信息安全保护方案。

5、专家评审

在黑龙江省网安专家库的高级测评师且不能是一家公司的专家，需要三名专家签字确认。

6、IP及应用真实地址

服务器IP及地址。

7、信息系统安全等级备案表

企业基本信息，备案表由我司提供，甲方负责填充基础材料。

8、信息安全系统定级报告

按照《信息系统安全等级保护定级指南》以及《信息安全等级保护管理办法》等文件的要求、编写信息安全系统定级报告，因什么原因定级到二级、或者三级等。

备案材料审批：我司或甲方准备好以上材料，甲方盖章，我司在送到网安进行审批和审批答辩（审核1-14天）

二、测评及整改（6项）20天

测评技术服务依据：等保测评2.0标准，根据国家实际情况进行更新

GB/T17859-1999 《信息安全技术 计算机信息系统安全保护等级划分准则》

GB/T 22239-2019 《信息安全技术 网络安全等级保护基本要求》

GB/T 22240-2020 《信息安全技术 网络安全等级保护定级指南》

GB/T 28448-2019 《信息安全技术 网络安全等级保护测评要求》

GB/T 28449-2018 《信息安全技术 网络安全等级保护测评过程指南》

GB/T 20984-2007 《信息安全技术 信息安全风险评估规范》

GB/T 25070-2019 《信息安全技术网络安全等级保护安全设计技术要求》

1、差异测评

根据被测系统安全等级保护定级情况，制定信息系统安全等级保护测评方案，对信息系统涉及的机房、网络/安全设备、主机设备、应用系统、安全管理体系等进行等级保护差距测评，并提交不符合项表和整改建议。

2、整改

（网络、安全、应用、制度等）等合规整改，需要软件公司进行配合。

3、漏洞扫描

对被测信息系统服务器、应用系统进行漏洞扫描，列出被测信息系统中存在的主要问题以及可能造成的后果，并提出整改建议。

4、渗透测试

根据扫描结果进行漏洞分析及说明，对互联网信息系统展开渗透测试进行弱口令测试及其他手工测试，并提交修复建议。

5、验收测评

用户完成整改工作后，我公司依据《信息系统安全等级保护基本要求》及相关标准和要求，对信息系统进行验收性测评，并输出测评报告。

6、测评报告专家审核及上报公安三所

测评报告由专家审核，后盖章签字，需要上传给公安部第三研究所审核。

7、打印报告及邮寄，签署确认单

邮寄合格的测评报告和甲方确认验收单。