一、什么是三级等保?等保的定义介绍

　　等保即信息安全等级保护，“三级等保”顾名思义就是安全等级保护三级。是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息在存储、传输、处理这些信息时分等级实行安全保护;对信息系统中使用的信息安全产品实行按等级管理;对信息系统中发生的信息安全事件分等级响应、处置。

　　二、法律对等保的要求：

　　《中华人民共和国网络安全法》【第二十一条】国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

　　《中华人民共和国网络安全法》【第三十一条】 国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。关键信息基础设施的具体范围和安全保护办法由国务院制定。

　　三、《等级保护测评要求》的测评方法：

　　1、针对应用系统：

　　①检查关键应用系统，查看应用系统是否具有对人机接口输入或通信接口输入的数据进行有效性检验的功能。

　　②测试关键应用系统，可通过对人机接口输入的不同长度或格式的数据，查看系统的反应，验证系统人机接口有效性检验功能是否正确。

　　③渗透测试主要应用系统，进行试图绕过访问控制的操作，验证应用系统的访问控制功能是否不存在明显的弱点。

　　2、针对数据库系统：

　　①、检查关键服务器操作系统和关键数据库管理系统，查看匿名/默认帐户的访问权限是否已被禁用或者限制，是否删除了系统中多余的、过期的以及共享的帐户。

　　②、检查关键服务器操作系统和关键数据库管理系统的权限设置情况，查看是否依据安全策略对用户权限进行了限制。

　　③、检查关键服务器操作系统和关键数据库管理系统的补丁是否得到了及时更新。

　　④、检查关键服务器操作系统和关键数据库管理系统帐户列表，查看管理员用户名分配是否唯一。

　　⑤、检查关键服务器操作系统和关键数据库管理系统，查看是否提供了身份鉴别措施，其身份鉴别信息是否具有不易被冒用的特点，如对用户登录口令的最小长度、复杂度和更换周期进行要求和限制。

　　⑥、检查关键数据库服务器的数据库管理员与操作系统管理员是否由不同管理员担任。

　　四、三级等保、等保的评审流程：

　　系统定级→系统备案→整改实施→系统测评→运维检查

　　①、系统定级：编写定级报告、填写定级备案表。

　　②、系统备案：定级备案表填写完整后，将定级材料提交至公安机关进行备案审核。

　　③、整改实施：对系统进行调研，开展差距评估，依照国家相关标准进行方案设计，完成相应设备采购及调整、策略配置调试、完善管理制度等工作。

　　④、系统测评：请当地测评机构，对系统进行全方面测评，测评评分合格后获得合格测评报告，并最终获得等级保护备案证。

　　⑤、运维检查：系统持续运维与优化，并按照相关要求进行年检。

　　五、等保常见问题：

　　1、网站不做等保，出了问题将承担什么责任?

　　①、网络运营者不履行《中华人民共和国网络安全法》【第二十一条】规定的网络安全保护义务的，由有关主管部门责令改正，给予警告;拒不改正或者导致危害网络安全等后果的，处一万元以上十万元以下罚款，对直接负责的主管人员处五千元以上五万元以下罚款。

　　②、 关键信息基础设施的运营者不履行《中华人民共和国网络安全法》【第三十四条】规定的网络安全保护义务的，由有关主管部门责令改正，给予警告;拒不改正或者导致危害网络安全等后果的，处十万元以上一百万元以下罚款，对直接负责的主管人员处一万元以上十万元以下罚款。

　　2、哪些行业需要做等保?

　　金融行业、游戏行业、教育行业、电商行业、网贷行业、通讯行业、能源行业、运输行业等。

　　3、递交的备案资料都包括哪些内容?

　　①、《信息系统安全等级保护备案表》(一式两份)

　　②、《信息系统安全等级保护定级报告》(一个系统一份)

　　③、《系统定级评审意见》(或上级主管部门定级审核意见)

　　④、相关电子数据等

　　4、整改会不会涉及到要购置设备?如果有些不符合项目不能马上关闭能不能通过备案?

　　根据《GB T22239-2008信息安全技术信息系统安全等级保护基本要求》，三级系统有如下要求：

　　①、应提供主要网络设备、通信线路和数据处理系统的硬件冗余，保证系统的高可用性;

　　②、应建立备用供电系统;

　　以上检查项需要购置设备，对二级系统没有此要求，但在二级系统中，构成系统网络安全的必要硬件则必须有;

　　5、整个周期是多长?其中现场测评时间多长?

　　①、整个测评周期包括前期调研、现场测评、后期报告编写等，一般情况下一个二级系统会占用3~4周，一个三级系统会占用4~5周(指初次测评，不包括整改和加固时间);

　　②、 其中现场测评(指在被测系统单位现场的测评)的时间根据系统的数量而定：一般一个二级系统会占用3~4个工作日，一个三级系统会占用5~6个工作日(两组同时进行，每组两人)。

　　6、等保测评检查周期是多长?

　　二级系统每2年进行一次测评检查，三级系统每年检查一次。