Guide on ClearSec Wiki

等保测评流程与周期详解

Tue, 01 Sep 2026 00:00:00 +0800

「等保怎么办、多久测一次、要花多长时间」是网络安全等级保护（等保 2.0）落地时最高频的问题。本文按《网络安全法》第二十一条与配套规范，把等保全流程拆成五个阶段，并给出测评周期与常见问答。

一、等保工作的五个阶段

等保 2.0 的完整工作链条为：定级 → 备案 → 建设整改 → 等级测评 → 监督检查，循环往复、持续合规。

1. 定级：确定系统的安全保护等级

定级对象的安全保护等级由业务信息安全保护等级与系统服务安全保护等级中的较高者决定，共分五级。
定级依据国标 22240-2020 定级指南：根据受侵害客体（公民/法人权益、社会秩序/公共利益、国家安全）与损害程度（一般/严重/特别严重）查表确定。
二级及以上系统的定级结论应组织专家评审；定级要素与矩阵表见等保总览·定级。

2. 备案：向公安机关提交备案材料

运营使用单位在系统定级后 30 日内，向所在地设区的市级及以上公安机关网安部门提交备案。
常用材料：备案表、定级报告、专家评审意见、系统拓扑与安全方案等，模板可参考 💾文件板块。
备案通过后取得备案证明，备案证明编号是后续测评报告「基本信息表」的必填项。

3. 建设整改：按《基本要求》补齐安全措施

对照 GB/T 22239-2019 基本要求中对应等级的控制点，从「一个中心、三重防护」（安全管理中心、安全通信网络、安全区域边界、安全计算环境）逐层建设。
技术整改可参考本站 🥜安全加固板块：按主机、数据库、中间件、网络设备给出加固命令与方案。
管理制度（安全管理制度、机构、人员、建设管理、运维管理五个层面）同步建立。

4. 等级测评：委托测评机构实施

委托具备等级保护测评资质的机构，按 GB/T 28448 测评要求与 GB/T 28449 测评过程指南开展。
测评分四个活动阶段：测评准备 → 方案编制 → 现场测评 → 报告编制；现场采用访谈、核查、测试三种方法。
现场核查命令与判定标准见 🪬技术部分测评；结论存在高风险项时需整改复测，判定规则见等保与密评高风险项判定标准。
报告按等级测评报告模板编制，结论以得分与风险项综合判定（无高风险且得分达标为「优/良」）。

5. 监督检查：公安机关与主管部门的持续监管

公安机关对备案系统开展监督检查（抽查测评报告、现场检查）；对拒不整改的可依据《网络安全法》处罚。
系统发生重大变更（网络架构、承载业务、部署位置变化）需重新定级备案并测评。

二、等保测评周期：多久测一次？

系统等级	测评频率要求	说明
第四级及以上	每半年至少一次	监管强度最高
第三级	每年至少一次	绝大多数重点系统的常态要求
第二级	无强制年度要求，建议定期（如每两年）自查或测评	备案义务仍须履行

除年度/半年度测评外，以下情形也触发测评：

等保与密评的区别与联系

Tue, 01 Sep 2026 00:00:00 +0800

等保（网络安全等级保护）与密评（商用密码应用安全性评估）是当前信息系统合规的两条主线，经常被放在一起问：「能不能只做其中一个？」「要不要测两次？」本文给出对照与协同建议。

一、定位对比

维度	等保 2.0	密评
制度定位	网络安全基础制度，覆盖物理、网络、主机、应用、数据与管理全要素	专项评估，只看「密码技术应用」的合规性、正确性与有效性
法律依据	《网络安全法》第二十一条 + 《信息安全等级保护管理办法》	《密码法》第二十七条、第三十七条
核心标准	GB/T 22239 基本要求、GB/T 28448 测评要求	GB/T 39786 密码应用基本要求、GM/T 0115 测评要求
适用对象	所有非涉网络与信息系统，按五级分级管理	关键信息基础设施、等保三级及以上信息系统等
监管主体	公安机关	国家密码管理局及地方密码管理部门
实施机构	等级保护测评机构	商用密码应用安全性评估机构
结论形式	得分 + 风险等级（优/良/中/差）	量化评分（≥60 分且无高风险项为符合）
周期要求	三级及以上每年测评	年检制，每年复评

二、两者的联系

定级联动：密评的适用范围依托等保定级结果——等保三级及以上系统触发密评义务，密码应用方案常作为等保建设整改的一部分编制。
控制点交叉：等保「安全计算环境」中的身份鉴别、数据传输保密性/完整性、数据备份等控制点，在密评中对应密码应用指标；一次现场核查的证据可以同时支撑两项评估。
整改互通：国密改造（部署服务器密码机、国密 SSL 网关、密码服务平台等）既满足密评指标，也补齐等保身份鉴别与数据保护控制点。
报告互证：两项报告在监督检查中互为佐证，联合办理可减少重复的资料调研与进场次数。

三、常见疑问

Q：只做了等保，还需要做密评吗？ A：如果系统是等保三级及以上或关键信息基础设施，密评是独立的法定义务，不能用等保报告替代。

Q：能否两家机构同时进场？ A：可以。实践中推荐「一次调研、双线测评」：先共享系统调研与资产清单，等保与密评各自按其标准出具结论；注意两家机构的资质分别对应各自领域。

Q：预算有限时先做哪个？ A：通常先完成等保定级备案（这是其他合规动作的前置），随后根据主管要求排期密评；建设阶段建议密码应用方案与等保整改方案合并设计，避免两次改造。

四、延伸阅读

等保与密评高风险项判定标准

Tue, 01 Sep 2026 00:00:00 +0800

测评结论中一旦出现「高风险项」，报告等级会直接受影响，且必须整改复测。本文整理等保与密评两条线的高风险判定规则与常见场景。

一、等保高风险判定：三大原则

依据《网络安全等级保护测评高风险判定指引》（联盟团标，共收录 69 条判例、对应 40 余项标准要求），判定遵循三条总原则：

违反法律法规与行业规定必判高风险 不符合国家法律法规、行业主管部门明确规定的情况，应判为高风险。测评人员须关注《网络安全法》及国家、行业主管部门发布的各项规定。
核心要求缺失且无补偿必判高风险 不符合或未实现《基本要求》中各等级、层面核心要求及基本安全功能，且无等效或补偿措施降低风险等级的，应判为高风险。强调底线意识。
可被高度利用的技术漏洞必判高风险 通过技术测试发现被测目标存在可被高度利用、并可能对被测系统产生严重后果的情况，应判为高风险。测评人员应以攻击者视角审视目标系统，贴近实战。

补偿因素：高风险不是一刀切

指引对判例给出「补偿因素」说明：存在可缓解风险的具体措施，或可与其他层面控制点联合分析时，可综合判断风险等级；
测评师须在报告中对实际情况与风险做详细描述与分析，而不是机械套用判例；
所有高风险场景在正常情况下均可整改，指引附录给出针对性、可落地的整改建议。

特别注意事项

指引不可能枚举所有场景与行业（如工控系统），可结合行业主管要求、系统特点与现有措施综合风险分析；
对指引未涉及但确实可能产生重大安全隐患的情况，测评人员须结合实际对风险等级做出客观判断。

原文条目见联盟团标-网络安全等级保护测评高风险判定指引，重大风险隐患情形见 §0.1重大风险隐患。

二、常见等保高风险场景（高频）

以下为现场测评中最常见的高风险类型，完整判例以指引原文为准：

层面	典型高风险场景
身份鉴别	网络设备/安全设备/服务器使用默认口令或弱口令；远程管理无加密或双因素鉴别（三级）
访问控制	互联网边界防火墙无访问控制策略或策略全放行；特权用户未分离
安全审计	核心设备审计功能关闭或日志留存不足六个月（网络安全法要求）
入侵防范	互联网边界无入侵检测/防御能力且无补偿；存在可远程利用的高危漏洞未修复
数据保护	重要数据无备份；鉴别数据（口令）明文存储
安全管理	未建立安全管理机构与制度体系（三级以上系统性缺失）

各场景对应的加固整改措施见高风险判定指引与加固对照表与 🥜安全加固板块。

三、密评高风险判定

密评依据《信息系统密码应用测评要求》（GM/T 0115）及其高风险判定指引，常见高风险场景包括：

身份鉴别未采用密码技术：业务系统登录仅口令且无密码技术增强，属高风险；
重要数据传输无密码保护：重要业务数据、个人信息经互联网明文传输；
重要数据存储无保密性/完整性保护：关键数据明文存储且无完整性校验；
密钥管理失控：密钥明文硬编码在程序中、密钥无生命周期管理；
密码产品不合规：使用未经商用密码产品认证的密码产品承担合规义务。

判定同样考虑补偿因素与整改可行性；基础概念见 §1密码应用基础知识，完整流程见密评流程指南。

四、高风险项的处理流程

测评报告中明确列出高风险项、对应控制点与风险分析；
运营单位制定整改计划（对照加固对照表逐条落实）；
整改完成后留存证据（配置截图、测试记录、加固记录表 16、安全评估加固记录表）；
申请测评机构复测，复测通过后报告结论方可生效。

五、常见问题（FAQ）

Q：有一个高风险项，报告结论就一定不合格吗？ A：等保报告结论综合得分与风险等级给出「优/良/中/差」，存在高风险项时结论通常不会高于「中」，且监管会要求限期整改；密评则是「≥60 分且无高风险项」才判定符合。

Q：补偿措施一定能让高风险降级吗？ A：不一定。补偿措施必须实质性地降低风险（如网络层隔离 + 审计补偿应用层缺陷），且需在报告中论证；核心安全功能完全缺失的情况通常无法用补偿措施规避。

六、延伸阅读

等级测评报告模板与使用说明

Tue, 01 Sep 2026 00:00:00 +0800

等级测评报告是等保工作的最终产出，也是公安监督检查的核心凭证。本文基于《公网安〔2025〕1001 号附件 3：网络安全等级测评报告模板（2025 版）》拆解报告结构，并给出填写要点。

模板下载：网络安全等级测评报告模板（2025 版）.docx（更多备案与定级文件见 💾文件板块）。

一、报告整体结构

2025 版报告模板由前置表单、正文七章与附录九项构成：

前置表单

表单	内容要点
网络安全等级测评基本信息表	被测对象信息须与备案证明完全一致；等级写法为「第 X 级（SxAy）」，不可写成 SAG
声明	测评机构资质、报告使用范围与保密声明
等级测评结论	综合得分、风险等级与最终结论（优/良/中/差）
等级测评结论扩展表	云计算安全、大数据安全等扩展要求的单独结论
总体评价	对被测系统安全保护状况的文字综述
主要安全问题及整改建议	面向被测评单位的问题清单摘要

正文章节

测评项目概述：测评目的、测评依据、测评过程、报告分发范围；
被测对象描述：系统概述、测评指标（按等级确定）、测评对象清单；
单项测评结果分析：按「安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心 + 管理五个层面」共 11 组指标展开，每组含已有控制措施汇总与单项结果；另含验证测试（漏洞扫描、渗透测试）与单项测评小结；
整体测评：控制点间安全测评、区域间安全测评与结果汇总；
安全问题风险分析：对不符合项做风险定级（高/中/低），高风险项判定规则见等保与密评高风险项判定标准；
等级测评结论：综合得分与结论等级；
安全问题整改建议：逐问题给出可落地的整改方向。

附录

附录 A 被测对象资产、附录 B 上次测评问题整改情况说明、附录 C/D 单项测评结果汇总与记录、附录 E 漏洞扫描结果、附录 F 渗透测试结果、附录 G 威胁列表、附录 H/I 云计算/大数据平台测评及整改情况。

二、填写要点与常见错误

逐章编制与审核要点的完整版见 §4测评报告的编制和审核要点，此处提炼高频错误：

基本信息表与备案证明不一致：系统名称、等级、备案编号必须逐项对照备案证明材料；
等级表述错误：正确写法「第三级（S3A3）」（S 为业务信息安全、A 为系统服务安全），定级要素含义见国标 22240 定级指南；
测评对象遗漏：云上系统需同步覆盖云平台与被测评租户系统，物联网/工控扩展要求需单独列明；
风险分析与单项结果脱节：单项「部分符合/不符合」必须在第 5 章风险分析中逐条对应，高风险项须说明是否可补偿；
整改建议空泛：应给出具体控制点与整改路径，可参考 🥜安全加固板块按对象组织的加固手册；
附录 B 缺失：非首次测评的系统必须说明上次测评问题的整改闭环情况，这是监督检查的必查项。

三、报告结论怎么读

结论由综合得分与风险等级共同决定：无高风险项且得分较高为「优/良」；存在高风险项时结论不超过「中」，并须限期整改复测；
报告交付后被测评单位应组织整改，整改证据与复测记录归档，作为下一年度测评附录 B 的输入；
报告分发范围需严格控制，涉敏系统按保密要求管理。

四、常见问题（FAQ）

Q：报告模板每年会变吗？ A：模板随监管要求修订，2025 版为现行版本（依据公网安〔2025〕1001 号）；编制前建议向测评机构确认最新版本。

密评流程指南（商用密码应用安全性评估）

Tue, 01 Sep 2026 00:00:00 +0800

密评（商用密码应用安全性评估）是依据《中华人民共和国密码法》对信息系统密码应用合规性、正确性与有效性进行的评估活动。本文回答「密评怎么办理、流程分几步、结论怎么判」三个核心问题。

一、哪些系统必须做密评？

关键信息基础设施、网络安全等级保护第三级及以上信息系统，应当使用商用密码进行保护，并开展商用密码应用安全性评估（《密码法》第二十七条）。
政务信息系统、金融与能源等行业主管另有明确密评要求的系统，从其规定。
未按要求开展密评的，依据《密码法》第三十七条承担相应法律责任（限期改正、警告直至处罚）。

二、密评依据

类别	标准/文件	作用
法律	《中华人民共和国密码法》	密评义务与法律责任
基本要求	GB/T 39786-2021《信息安全技术信息系统密码应用基本要求》	物理和环境、网络和通信、设备和计算、应用和数据四个层面的密码应用要求
测评要求	GM/T 0115《信息系统密码应用测评要求》	指标测评方法与判定
过程指南	GM/T 0116《信息系统密码应用测评过程指南》	测评活动流程规范

密码应用基础知识（国密算法、密码功能与产品）见 §1密码应用基础知识。

三、密评全流程

密评不是一次性的现场活动，而是「建设 + 评估」的闭环，通常分为六步：

1. 现状分析与差距评估

梳理系统现有密码应用情况：身份鉴别用什么机制、传输通道是否加密、重要数据如何存储保护、日志审计是否防篡改。对照 GB/T 39786 对应等级要求找出差距。

2. 密码应用方案设计

编制《密码应用方案》，明确：

四个层面（物理和环境、网络和通信、设备和计算、应用和数据）的密码应用设计；
拟采用的密码产品（须具备商用密码产品认证证书）与算法（SM2/SM3/SM4/SM9 等国密算法优先）；
密钥管理体系（生成、存储、分发、更新、销毁）。

方案可参考「免改 / 易改 / 重改」的改造路径选择：能用现有密码产品解决的免改，接口层可适配的易改，需要重构的重改。

3. 方案评估（测评机构预审）

三级及以上系统的密码应用方案需经测评机构评估通过后方可实施建设，避免建完不合规返工。评估要点见 §3测评方案的编制和审核要点。

4. 建设与试运行

按方案部署密码产品与密钥管理系统，完成应用改造并试运行，留存实施记录。

5. 现场测评

委托具备商用密码应用安全性评估资质的机构进场，按 GM/T 0115 逐指标测评，方法与等保类似（访谈、核查、测试），重点核查：

身份鉴别、访问控制信息的密码保护；
重要数据传输保密性与完整性；
重要数据存储保密性、完整性与抗抵赖；
日志记录的完整性保护；
密钥全生命周期管理。

6. 结论判定与整改复测

结论按指标符合情况量化评分：综合得分 ≥60 分且不存在高风险项为「符合」；
存在高风险项（判定规则见等保与密评高风险项判定标准）或得分不足的，需整改后复测；
报告编制与审核要点见 §4测评报告的编制和审核要点。

四、密评周期与常态化

密评实行年检制：通过评估的系统原则上每年开展一次复评（以主管部门与评估机构要求为准）；
系统密码应用发生重大变更（算法替换、密钥体系调整、架构迁移）应重新评估；
日常运维需落实密钥管理台账、密码产品运行巡检与日志留存，为年度复评保留证据。

五、常见问题（FAQ）

Q：密评和等保可以同时做吗？ A：可以，且推荐。两项评估的测评对象高度重叠，「等保三级 + 密评」联合建设、联合进场可显著降低成本；差异对比见等保与密评的区别与联系。