企业官网建设流程全解析

简介：这份等保测评服务方案文档面向信息安全从业者、系统运维人员及需要开展等级保护工作的企业技术负责人，围绕信息系统定级备案与测评实施提供完整参考。内容涵盖定级对象确定、专家评审、公安机关备案等流程，并系统梳理物理安全、网络安全、主机系统安全、应用安全、数据安全及备份恢复、安全管理机构与制度、人员安全、系统建设与运维管理、渗透测试等测评维度，同时列出GB/T 22239-2008、GB/T 28448-2012等主要依据标准。资源包内含1个doc文件，整体约1.07MB，结构清晰，便于按章节查阅。文档还给出测评准备、方案编制、现场测评、分析与报告编制四阶段流程，以及安全整改与复测评三阶段安排，并附有被测系统描述、网络拓扑、设备清单与安全管理文档示例，可帮助读者快速理解等保测评全貌，为安全整改与信息化建设提供可落地的参考依据。目前已有989人学习下载。

1. 等保测评服务方案到底交付什么：从一份 .doc 说起

很多同行第一次拿到“等保测评服务方案.doc”这类文件时，第一反应是“这不就是个 Word 模板吗”。但真正做过二级、三级系统测评的人知道，这份文档的价值不在排版，而在于它把定级、备案、现场测评、复测评这条链路里的测评指标、测评对象、配合需求全部对齐了。换句话说，它是一份可以照着排期、照着分工、照着收资料的作战地图。这份资源适合三类人：刚接手等保项目的安全服务工程师、需要配合测评的系统运维人员、以及要编写投标技术方案的售前。它解决的核心问题是：让你知道每个安全子类该访谈谁、查什么设备、要什么文档，而不是到了现场才发现漏了机房出入记录或者防火墙策略截图。下面我按实际落地顺序，把这份方案拆成能直接抄作业的步骤。

2. 定级与备案：S/A/G 三要素怎么判、备案表怎么填

定级是等保测评的起点，也是翻车最多的地方。很多项目卡在“系统到底定二级还是三级”上反复扯皮，根因是没把**保密性（S）、完整性（I）、可用性（A）**这三个属性拆开单独判。这份方案里给了一张调研表，要求分别填写数据泄露、篡改丢失、系统中断造成的影响，这个思路是对的——因为定级看的是“受侵害的客体”和“侵害程度”，不是拍脑袋。

2.1 定级对象和等级的判定逻辑

定级第一步是确定定级对象。常见做法是：一个独立运行、承载独立业务的信息系统算一个对象；如果多个子系统共用同一套网络和主机，且业务不可分割，可以合并定级。方案里列了三个 XX 系统，分别标注 SXAXGX，这里的 X 是待填的等级值。判定时按这个顺序走：

1. 确定系统所属类型（业务信息类 / 系统服务类）；
2. 分别判定 S、A、G 三个属性的等级；
3. 取三者中的最高值作为系统等级。

我一般会提醒用户：不要因为“数据不敏感”就把 S 判低，鉴别信息和管理数据泄露同样可能引发法律纠纷。方案里明确写了“数据泄露是否会引起法律纠纷和导致财产损失”，这就是判 S 的实操依据。

2.2 备案流程与材料清单

定级报告出来后，下一步是到地市级以上公安机关备案。方案里写的流程是：信息系统备案 → 受理 → 审核 → 备案信息管理。实际配合时，用户需要准备的材料我整理成下面这张表，照着收就不会漏：

提示：备案表里的“系统服务保护等级”和“业务信息保护等级”要分别填写，不要只写一个总等级，否则审核会被退回。

协助定级时，我习惯先让用户把系统开发人员、运维人员、使用人员的访问权限列清楚，再对照方案里的调研表逐项确认。这一步做扎实，后面测评时访谈对象和范围就不会跑偏。

3. 测评指标拆解：二级 66 项、三级 73 项怎么落到具体对象

测评指标是这份方案里最硬核的部分。方案给出了二级和三级的安全控制指标数量：二级合计 66 项，三级合计 73 项，按技术和管理两大类分。很多人看到数字就头大，其实只要把指标和测评对象对应起来，工作量是可控的。

3.1 技术指标与管理指标的分布

先看方案里的两张表。二级测评中，安全技术类包括物理安全 10 项、网络安全 6 项、主机系统安全 6 项、数据安全及备份恢复 3 项、应用安全 7 项；安全管理类包括安全管理制度 3 项、安全管理机构 5 项、人员安全管理 5 项、系统建设管理 9 项、系统运维管理 12 项。三级在网络安全、主机系统安全、数据安全及备份恢复、系统建设管理、系统运维管理上都有增加。

这个分布说明一个事：级别越高，管理和运维的权重越大。二级项目里技术测评占大头，三级项目里运维管理 13 项、建设管理 11 项，光靠技术手段过不了。我一般会建议用户提前两个月开始补运维记录，否则现场访谈时拿不出东西。

3.2 测评对象清单的建立方法

方案里把测评对象分成机房、业务软件、主机、数据库、网络与安全设备、安全管理文档六类。建立清单时，我习惯用下面这个脚本从资产表里快速筛出需要纳入测评的设备，避免手工漏项：

# 从资产清单 CSV 中筛选等保测评对象 # 输入：assets.csv，包含 name, type, level, ip 四列 import csv # 需要纳入测评的设备类型关键词 TARGET_TYPES = ["核心交换机", "汇聚交换机", "接入交换机", "防火墙", "入侵防御", "Web应用防火墙", "应用服务器", "数据库服务器"] def filter_assets(input_file): targets = [] with open(input_file, newline='', encoding='utf-8') as f: reader = csv.DictReader(f) for row in reader: # 按设备类型匹配，重要程度为“非常重要”和“重要”的优先 if any(kw in row["type"] for kw in TARGET_TYPES): targets.append(row) return targets if __name__ == "__main__": result = filter_assets("assets.csv") for item in result: print(f'{item["name"]} | {item["type"]} | {item["ip"]}')

这段代码的逻辑很简单：读资产表，按设备类型关键词过滤。参数TARGET_TYPES可以根据实际项目增删，比如有的项目还有负载均衡、堡垒机，就加进去。输出结果直接作为测评对象清单的初稿，再人工核对一遍重要程度即可。

注意：方案里把“核心交换机”标为非常重要，“接入交换机”标为一般，但测评时接入交换机同样要查访问控制策略，不能因为重要程度低就跳过。

4. 现场测评实施：物理、网络、主机、应用、数据五层怎么查

现场测评是等保项目里最耗人力的环节。方案把实施分成访谈、检查、测试三种方法，并按物理安全、网络安全、主机安全、应用安全、数据安全及备份恢复五个层面展开。下面按层面说操作要点。

4.1 物理安全和网络安全的外场检查

物理安全涉及 10 个安全子类，测评对象就是机房。访谈物理安全负责人时，我一般按方案里的配合需求表逐项要材料：房屋建筑资料、出入登记记录、防盗报警运行记录、防雷检测报告、消防验收文档、温湿度记录、UPS 维护记录。这里最容易翻车的是出入登记记录不完整——比如只有来访登记没有陪同人签字，或者电子门禁记录导不出来。遇到这种情况，现场就得让机房管理员补说明，否则这一项只能判不符合。

网络安全涉及 6 个工作单元，测评对象是网络设备、安全设备和拓扑结构。结构安全要查网段划分和隔离，访问控制要查防火墙策略，安全审计要查设备日志。我通常会让网络管理员现场登录核心交换机，执行下面这类命令确认审计配置：

# 以常见网络设备为例，查看日志和审计相关配置 # 查看日志服务器配置 show logging # 查看当前登录用户和权限 show users # 查看访问控制列表 show access-lists

命令本身不复杂，关键是看输出里有没有配置日志主机、有没有对登录失败做记录。方案里明确要求“审计记录保护情况”，如果日志只存在本地且可被普通管理员删除，这一项就不符合。

4.2 主机、应用、数据层的上机核查

主机安全涉及 7 个安全子类，测评对象是管理终端和管理支撑服务器。身份鉴别要查本地安全策略，访问控制要查账户和文件权限，安全审计要查审核策略。我一般让系统管理员提前打开“本地安全策略”和“事件查看器”，现场逐项对照。应用安全涉及 7 个工作单元，重点查身份鉴别、访问控制、安全审计、通信完整性、通信保密性、软件容错、资源控制。这里需要应用系统管理员提供测试账号，现场验证登录失败处理、会话超时、权限分离等功能。

数据安全及备份恢复涉及 3 个工作单元：数据完整性、数据保密性、安全备份和恢复。方案里要求查看软件开发设计方案、中间件配置文件、业务数据备份文件。实操中，我习惯让数据库管理员现场执行一次备份恢复演练，确认备份文件可用，而不是只看备份策略文档。

提示：应用安全和数据安全的测评高度依赖应用系统管理员配合，建议在测评计划里把这两个层面的时间留足，避免和主机层挤在同一天。

5. 避坑与常见问题：定级、指标、配合里的翻车记录

等保测评项目做多了，会发现翻车点高度集中。下面这五条是我踩过或见别人踩过的坑，按“现象 → 原因 → 解决”写出来，供对照排查。

坑一：定级报告和备案表系统名称不一致。现象是公安机关审核退回，要求重新提交。原因是定级时用的系统简称，备案时用了全称，或者反过来。解决方法是定级阶段就统一系统名称，并在定级报告、备案表、拓扑图上保持一致，后续所有文档沿用同一名称。

坑二：测评指标选错级别。现象是现场测评做到一半发现按二级指标查的，但系统实际定的是三级。原因是定级报告还没批下来就启动了测评。解决方法是等备案证明拿到后再排现场测评，或者至少在方案编制阶段确认等级无误。

坑三：安全管理文档临时补，访谈时对不上。现象是访谈安全主管时，制度文档的发布日期晚于执行记录日期。原因是制度是测评前突击补的，但运维记录是几个月前做的。解决方法是提前梳理现有制度，缺什么补什么，补的制度要走正式发布流程，不要倒签日期。

坑四：网络设备审计日志只存本地。现象是安全审计项判不符合。原因是设备默认只把日志存在本地缓冲区，重启就丢。解决方法是配置日志服务器，把核心交换机和防火墙的日志实时外发，并限制本地日志删除权限。

坑五：备份文件从未做过恢复验证。现象是数据安全及备份恢复项扣分。原因是用户只做了备份任务，没做过恢复演练。解决方法是现场让管理员从备份文件恢复一个测试库，确认备份可用，并保留恢复记录。

6. 复测评与整改闭环：从不符合项到备案证明的最后一公里

现场测评结束后，如果存在不符合项，就进入安全整改和复测评阶段。方案里把复测评分成安全整改、复测评、分析和报告编制三个阶段。这一步的实操技巧是：把不符合项按整改难度排序，先改配置类，再改制度类，最后改架构类。

配置类整改最快，比如关闭不需要的端口、开启登录失败锁定、配置日志外发，通常一两天就能完成。制度类整改需要走文档发布流程，周期长一些。架构类整改最慢，比如增加入侵防御设备、调整网段隔离，可能涉及采购和变更窗口。我一般会建议用户在整改阶段就同步准备复测评材料，不要等全部改完再约测评师。

复测评时，测评师会针对原不符合项逐条验证。这里有个技巧：每条整改都要有可验证的证据。比如“配置了登录失败处理”，证据就是策略截图加一次失败登录的日志记录；“补发了制度”，证据就是正式发布文件加收发文记录。证据链完整，复测评才能一次过。

验证整改是否到位，我习惯用下面这个检查表逐项打勾：

最后说个我自己的习惯。从那以后我每次接手等保项目，都会在启动会上把定级、备案、测评、整改四个阶段的配合需求表打印出来，让用户方每个接口人签字确认。这样到了现场，谁该提供什么材料一目了然，不会出现“我以为你们有”的扯皮。等保测评说到底是个证据链工程，方案给的是框架，真正决定成败的是每个环节的落地细节。希望帮到你。

本文还有配套的精品资源，点击获取