什么是三级等保？核心概念解析
等级保护定义
网络安全等级保护（简称“等保”）是我国网络安全领域的基本国策和基本制度。根据《网络安全法》第二十一条规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。
三级（监督保护级）是其中最高的一级（五级为专控保护级），通常适用于：一旦遭到破坏，会严重危害国家安全、社会秩序、公共利益或者公民、法人和其他组织的合法权益的信息系统。例如：政府重要网站、金融交易系统、大型电商平台、医疗信息系统、教育管理平台等。
为什么必须做三级等保？
- 【法律合规】《网络安全法》明确要求，未履行等保义务将面临罚款、停业整顿甚至刑事责任。
- 【市场准入】许多行业（如金融、医疗、教育）招投标或合作前，必须提供有效的等保三级证明。
- 【数据风控】通过系统性安全评估，发现并修复系统漏洞，防止数据泄露和黑客攻击。
- 【品牌信誉】展示企业对用户数据安全的重视，提升用户信任度和品牌竞争力。
等保2.0 vs 等保1.0
等保2.0标准（GB/T 22239-2019）于2019年12月1日正式实施，相比1.0有重大变化：
- 范围扩大：从传统IT系统扩展到云计算、移动互联、物联网、工业控制系统和大数据。
- 要求更严：增加了整体防护、动态感知、重点保护等新要求。
- 合规周期：强调持续合规，不再是一次性认证，而是需要年度测评和持续监控。
三级等保测评全流程HowTo指南
1. 系统定级
企业首先需确定自身信息系统的保护等级。对于三级系统，通常由专家进行评审。定级完成后，需编制《信息系统安全等级保护定级报告》。
2. 公安备案
携带定级报告、备案表、营业执照等资料，前往属地公安局网安支队进行备案。审核通过后，公安机关将颁发《信息系统安全等级保护备案证明》。这是企业开展后续工作的法律依据。
⚠️ 注意事项
备案证明上的系统名称、IP地址、负责人等信息必须与实际完全一致，否则可能导致备案无效或无法通过测评。
1. 差距分析
对照《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》中的三级标准，对现有系统进行差距分析，找出不符合项。
2. 方案设计与整改
根据差距分析报告，设计安全整改方案。这通常包括：
- 物理安全：机房门禁、防火、防水、防雷等。
- 网络安全：部署防火墙、WAF、入侵检测、网闸等。
- 主机安全：安装主机杀毒软件、堡垒机、漏洞扫描等。
- 应用安全：代码审计、数据加密、身份鉴别、访问控制等。
- 数据安全：数据备份、数据完整性校验、数据脱敏等。
整改完成后，需进行内部自测，确保满足基本要求。
1. 选择测评机构
选择具备国家认证资质的等级测评机构（可在公安部网站查询名单）。签订测评合同，明确测评范围、时间和费用。
2. 现场测评
测评工程师进场，通过访谈、文档审查、工具测试、渗透测试等方式，对系统进行全方位安全评估。周期通常为1-2周。
3. 报告出具
测评机构根据测试结果出具《网络安全等级保护测评报告》。若评分低于70分或存在高风险漏洞，需进行整改后复测。只有评分≥70分且无高风险漏洞，才算“通过”。
| 测评结果 | 分数区间 | 结论 | 后续动作 |
|---|---|---|---|
| 优秀 | 90 - 100分 | 通过 | 保持现状，持续监控 |
| 良好 | 80 - 89分 | 通过 | 针对中低风险项进行优化 |
| 一般 | 70 - 79分 | 通过 | 需限期整改中高风险项 |
| 较差 | 60 - 69分 | 不通过 | 全面整改后重新测评 |
| 差 | < 60分 | 不通过 | 全面整改后重新测评 |
1. 接受检查
公安机关会不定期对已备案系统进行监督检查。企业需配合提供备案证明、测评报告、安全管理制度等证据。
2. 持续合规
等保不是“一劳永逸”的。企业需建立常态化的安全运营机制，包括：
- 每年进行一次复测。
- 定期更新安全策略和补丁。
- 发生系统重大变更时，重新定级或备案。
只有确保持续合规，才能有效应对监管检查和黑客攻击。
三级等保费用与周期解析
费用构成详解
三级等保的总成本主要由三部分组成，企业需提前做好预算规划：
- 1. 测评费：支付给测评机构的费用。2024年市场价约8-15万元/次。取决于系统复杂度和地域。
- 2. 整改建设费：支付给安全厂商购买设备（防火墙、WAF、堡垒机等）和实施服务的费用。这笔费用弹性较大，从几万元到几十万元不等，取决于现有基础。
- 3. 咨询费（可选）：若企业缺乏安全团队，可聘请第三方咨询公司协助定级、整改方案设计，费用约2-5万元。
时间周期预估
从启动到拿到合格报告，整个流程通常需要2-4个月：
- 定级备案：2-4周。包括专家评审、材料准备、公安审核。
- 整改建设：4-8周。包括采购设备、安装调试、策略配置、制度完善。
- 等级测评：2-4周。包括现场测试、报告编写、专家评审。
提示：若系统基础较好，整改周期可大幅缩短；若存在大量历史债务，则需更长时间。
如何查询三级等保证书真伪？
登录企业所在地的公安厅/局网络安全保卫总队官方网站。寻找“网络安全等级保护备案查询”或“政务服务”入口。输入企业统一社会信用代码或备案号进行查询。若能查到备案信息，则证明企业已完成备案。
要求企业提供由具备CNAS和公安部认证资质的测评机构出具的《网络安全等级保护测评报告》。正规报告通常带有：
- 防伪二维码：扫描后可跳转至测评机构官网验证报告编号、日期及结论。
- 电子签章：报告末尾有测评机构的电子公章及发证日期。
- 唯一编号：每份报告有全国唯一的编码，可在测评机构数据库中查询。
部分网络安全服务平台（如国家网络安全威胁和漏洞信息共享平台）也提供备案信息查询服务。但最权威的依据仍是公安机关的备案证明和测评机构的正式报告。
⚠️ 防骗警示
切勿相信“包过”、“免测评”等虚假宣传。等保测评必须由具备资质的第三方机构独立进行，任何承诺“不用整改直接出证”的行为均涉嫌违法，证书也无效。
常见问题解答 (FAQ)
三级等保证书（即网络安全等级保护备案证明）本身没有明确的“过期”日期，但根据《网络安全法》及等保2.0要求，信息系统每年至少需要进行一次安全测评。测评通过后出具的《测评报告》有效期通常为一年。如果超过一年未进行测评或测评不合格，备案证明可能在监管检查中被视为无效或需重新备案。
三级等保测评费用受多种因素影响，包括系统复杂度、数据量、网络架构、地域差异以及选择的测评机构等级。一般来说，2024年市场参考价格区间在人民币8万至15万元之间。若系统架构复杂或存在大量整改需求，费用可能会更高。此外，还需考虑整改建设费用，这部分弹性较大。
最权威的查询方式是登录当地公安厅或网络安全保卫局的官方网站，进入“网络安全等级保护备案查询”入口进行查询。此外，可以要求企业提供由具备国家认证资质的测评机构出具的《网络安全等级保护测评报告》，并通过报告上的防伪二维码或测评机构官网验证报告真伪。
通常情况下，等保测评不需要停机。测评机构主要采用非破坏性测试方法，如配置核查、漏洞扫描、渗透测试（在授权范围内）等。但需要注意的是，某些高强度渗透测试可能会对系统性能产生轻微影响，建议在业务低峰期进行，并提前与测评机构沟通测试方案，做好应急预案。
一般来说，个人博客或小型个人网站不属于强制等保范围，因为不涉及大量用户数据或公共利益。但如果是企业官网、电商平台、社交网络、在线教育等涉及用户注册、交易、敏感数据存储的平台，则必须按照要求进行等保定级和保护。具体可咨询当地网安部门或专业安全顾问。
常用资源与工具
官方备案入口
公安部网络安全保卫局
全国互联网安全管理服务平台
（注：具体链接请搜索当地网安官网）
测评机构查询
可通过公安部指定渠道查询具备“网络安全等级保护测评”资质的机构名单，确保选择正规机构。
标准文档下载
《GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求》
《GB/T 28448-2019 信息安全技术 网络安全等级保护测评要求》