大白話談談為什么要做等保測評

 其實很多用戶單位不明白到底應該不應該做網絡安全等級保護測評，今天我們就簡單的來說說吧。

首先下面的幾個原因先看下：

第一，   網絡安全等級保護測評是為了發現用戶單位系統內、外部存在的安全網險和脆弱性，通過整改后，提高信息系統的信息安全防護能力，降低系統被各種攻擊的風險。一般用戶單位內部系統較多，用途不一樣，受眾群體和使用用戶也不一樣，那我們就需要通過等級保護測評去梳理分析我們現有的信息系統，將不同系統分不同重要等級進行分等級保護，這就是等保測評的定級工作。

第二，   等級保護是我國關于信息安全的基礎政策，《國家信息化領導小組關于加強信息安全保障工作的意見》（中辦發[2003]27號，以下簡稱“27號文件”）明確要求我國信息安全保障工作實行等級保護制度提出“抓緊建立信息安全等級保護制度，制定信息安全等級保護的管理辦法和技術指南”。2007年6月發布的關于印發《信息安全等級保護管理辦法》的通知（公通字[2007]43號，以下簡稱“43號文件”）規定了實施信息安全等級保護工作的操作辦法。

2016年11月7日第十二屆全國人民代表大會常務委員會第二十四次會議通過《中華人民共和國網絡安全法》，網絡安全法第二十一條明確規定：國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行下列安全保護義務，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改。

簡單總結下就是國家法律法規、相關政策制度要求我們去展開等級保護級測評工作，不做就不合規，就違法。

第三，   很多行業主管單位要求行業客戶開展等級保護工作，目前已經下發行業要求文件的有：金融、電力、廣電、醫療、教育、物流等行業，還有一些主管單位發過相關文件或通知要求去做。另外信息安全主管單位要求我們去開展等級保護工作，主要有:公安、網信辦、經信委、通管局等行業主管單位。

   所以不做等保的話，沒法向相關主管單位和行業領導們交待。

第四，    合理地規避風險。每年都會出現一些大的信息安全事件，我們日常經常聽到或看到的有，某某網站網頁被篡改了，用戶敏感信息被泄露了，更多的一些小范圍安全事件我們清楚，但是在發生。那么發生比較大的安全事件，首先主管的單位們要去現場調查，首先就會看我們到底有沒有開展等級保護工作，那么如果你沒有，最直接的一個結論就是你的信息安全工作沒有開展好，沒有開展到位，國家最基本的信息安全等級保護工作都沒做，你說你買了很多防火墻，很多安全設備，那都是說不清道不明的，不如你實實在在拿出備案證明，拿出測評報告說服力強。出了問題難免就會被通報批評，被勒令下線整改，那么開展了等級保護測評工作和沒有開展等級保護測評工作被通報的內容就顯然不同了，即“有證駕駛和無證駕駛”的區別。最簡單的例子：一個主觀上重視安全工作但是因為技術還不夠好而被攻擊造成的破壞和一個主觀上都不重視安全工作被攻擊造成破壞的情況，孰輕孰重，一目了然。但是怎么叫主觀上重視呢？等保測評工作有沒有開展就是衡量的一個重要標準，因為等級保護測評是國家基本信息安全制度要求。

原因分析了，那等保測評的意義也就有了：

一、     降低信息安全風險，提高信息系統的安全防護能力（實質）;

二、     滿足國家相關法律法規和制度的要求（合規）;

三、     滿足相關主管單位和行業要求（合規）;

四、     合理地規避或降低風險（備案證明）。

習主席多次強調：要加大對維護國家安全所需的物質、技術、裝備、人才、法律、機制等保障方面能力建設，更好適應國家安全工作需要。意見在國家安全工作上要加大投入，那網絡安全是國家安全的一部分，也是應當加大投入的。等級保護測評又是國家信息安全的基本制度，下次我們再申請等級保護工作經費，領導不批，就直接把這篇文章發給他好了：自己看，別說我沒告訴你，出了事，可不是我的責任哦。

最后等級保護測評已經成了一個必須硬性標準了，而且網絡安全法也在不斷完善，如果用戶單位有實力能早做等保測試的盡量早早就開始做。