等保测评是什么：哪些业务要做

等保的全称是网络安全等级保护，一套对信息系统分级要求安全能力的国家标准体系。政企项目招标文件里常出现的"等保三级"，说的就是它。 等级怎么划 从一级到五级，级别越高要求越严。一级自主保护即可，五级面向国家级极端重要系统，现实中绝大多数业务落在二级或三级：一般的信息服务、内部管理系统多定二级；面向公众提供服务的交易平台、承载大量个人信息的系统，常被要求三级。定级不是自说自话，二级以上要提交定级材料向公安机关备案，报了才算数。 流程的概览 标准路径五步：定级备案，向属地公安机关申报系统等级；建设整改，按对应等级的技术和管理要求补齐差距；等级测评，由有资质的测评机构现场测试；之后进入监督阶段，按周期复测，级别越高复测越勤。测评结果按得分出结论，达不到标准的会发整改项，限期整改后复查。选测评机构时认准官方公布的推荐名录，材料口径按机构给的模板准备，返工最少。整个周期从几个月到一年不等，看系统基础而定。 常见的起步动作 不用等立项才动手，几件事平时就能做：梳理资产清单，服务器、数据库、域名、第三方组件全部入表；安全基线加固，SSH 改密钥登录、数据库最小权限、关闭无用端口；日志审计开起来，登录和操作记录留存可查；漏扫定期跑，高危漏洞限期修复。这些动作对业务本身就是净收益，测评时只是把已有水位整理成材料。基线做扎实了，无论定级材料还是现场访谈，都有实打实的内容可写。 哪些业务跑不掉 面向公众的互联网平台、政企合作项目、数据处理量大的业务，多数绕不开；合同或招标文件写明等保要求的，按写明的级别准备。等保不是一次性考试，把它当成安全运营的骨架，测评只是阶段性体检。