网络安全等级保护2.0：定级、备案、测评的实操顺序

等保 2.0 对很多政企单位还是"测评前突击、测评后放松"的状态。其实等保是一套持续性义务，定级、备案、建设整改、测评、监督五个环节各有实务要点，顺序和节奏搞错，返工成本很高。

定级备案怎么做？

先定级：按系统受破坏后侵害客体和程度，分一至五级，一般政企业务系统二级或三级。定级要写定级报告，经专家评审。二级以上系统在公安部门备案。常见错误是把"定多高"当成技术问题拍脑袋——定级低了，出事时责任更大；定高了，建设成本翻倍。按业务影响评估，别凭感觉。

建设整改的重点方向

• 安全物理环境：机房或云环境的访问控制、防火防水；
• 安全通信网络：网络架构分区、边界防护；
• 安全计算环境：身份鉴别、访问控制、安全审计、入侵防范、数据备份——测评扣分重灾区；
• 安全管理中心：集中管控、日志留存（网络安全法要求不少于六个月）。

测评后呢？

三级系统每年一测。测评发现的问题要整改闭环，整改记录留存。等保不是拿个证书，是持续合规义务。

涉及数据安全的要求可与数据分类分级衔接实施；涉及安全监管业务的单位可关注智慧安全管理解决方案中的合规设计。