等级；；；；；；；；2.0从2019年正式执行到此刻，，，，，，，，不少北京中幼企业被客户或甲方要求”过等保”，，，，，，，，自己查了一圈资料才发现，，，，，，，，这事儿比设想中复杂得多。。。。。。。。定级登记要跑主管部门，，，，，，，，差距分析要找专业机构，，，，，，，，整改要买设备、升系统，，，，，，，，测评还要另表付费——算下来不少企业发现预算超支严沉。。。。。。。。今天不聊概想，，，，，，，，只说实操。。。。。。。。

难点一：定级登记——你以为系统沉要，，，，，，，，其实主管单元说了算

等保的第一步是定级，，，，，，，，听起来单一：企业自己判断系统属于几级，，，，，，，，而后去公安登记。。。。。。。。但现实操作中，，，，，，，，定级偏高是最常见的谬误。。。。。。。。好多企业感触系统沉要、人员多，，，，，，，，直接报了三级，，，，，，，，了局整改和测评用度直接翻倍。。。。。。。；；；；；；；；褂行┢笠蹈蘸孟喾，，，，，，，，把涉及大量用户数据的业务系统定成二级，，，，，，，，等主管部门审核时被打回来沉新定级，，，，，，，，前面的工作白做一场。。。。。。。。

实操建议是：在正式定级之前，，，，，，，，先参照《网络安全等级；；；；；；；；ざ吨改稀返囊，，，，，，，，梳理明显系统承载的业务类型、受侵害客体、影响水平这三个身分。。。。。。。。若是企业内部拿禁绝，，，，，，，，建议找有测评资质的机构做一次非正式评估，，，，，，，，这比直接登记后被要求沉新定级省事得多。。。。。。。。定级登记资料蕴含系统拓扑图、应急响应预案、数据资产清单，，，，，，，，资料不齐全也会被反复退件。。。。。。。。

难点二：差距分析——对照尺度查抄容易，，，，，，，，但找出真正要花钱的处所难

拿到等保要求的技术和治理节造项后，，，，，，，，企业IT人员通；；；；；；；；嶙约合茸鲆宦”自查”。。。。。。。。查抄服务器是否打补丁、日志是否留存、密码战术是否合规，，，，，，，，这些表表项容易过。。。。。。。。但真正卡住测评通过的，，，，，，，，往往是一些结构性缺点：好比主题互换机不支持流日志、准入节造系统缺失、安全区域天堑没有部署入侵检测设备。。。。。。。。

差距分析汇报的质量直接决定后续整改预算。。。。。。。。做得粗糙的机构只列问题不估用度，，，，，，，，企业拿着汇报找老板审批时才发现预算不够。。。。。。。。做得专业的汇报会按”必须整改””建议整改””可选优化”分层，，，，，，，，方便企业分阶段投入。。。。。。。。这里要提醒一句：差距分析不是一次性工作，，，，，，，，整改后还必要复测，，，，，，，，若是整改不到位，，，，，，，，测评机构会出具”差评”汇报，，，，，，，，影响企业拿证。。。。。。。。

难点三：整改工作量——设备买对了，，，，，，，，系统升级完了，，，，，，，，治理造度才是大坑

技术整改相对好量化：防火墙、日志审计、碉堡机、缝隙扫描工具，，，，，，，，这些有明确的市场报价。。。。。。。。但等保2.0对治理造度的要求让好多企业措手不及。。。。。。。。二级系统要求成立信息安全治理造度系统，，，，，，，，三级要求有齐全的安全战术文档、应急预案、巡检纪录、人员安全培训纪录。。。。。。。。好多中幼企业没有专职安全工程师，，，，，，，，造度文档要么抄网上的模板牛头不合马嘴，，，，，，，，要么找代理机构代写，，，，，，，，测评时专家一问细节就露馅。。。。。。。。

难点四：测评用度——廉价中标背后，，，，，，，，可能藏着二次收费

等保测评市场报价差距很大，，，，，，，，二级系统测评有报3万以内的，，，，，，，，也有报8万以上的。。。。。。。。价值低的不愿定是坑，，，，，，，，但肯定要问明显是否蕴含：初次测评不通过后的复测用度、整脱期间的现场技术支持用度、汇报出具后的登记陪同服务。。。。。。。。有些机构以廉价签单，，，，，，，，测评过程中以”发现高危缝隙必要整改”为由要求企业额表付费，，，，，，，，不然不出具通过汇报。。。。。。。。

三级系统测评用度通常在12万到25万之间，，，，，，，，差距重要看系统复杂度。。。。。。。。另表还要思考整脱期间的；；；；；；；；翱凇馄劳ǔ１匾1到2天，，，，，，，，这期间系统要共同检测，，，，，，，，业务不能中断。。。。。。。。部吩祗业选择夜间测评，，，，，，，，但必要提前通知员工并做好数据备份。。。。。。。。

常见认定误区：不是”做了等保就安全了”

等保不是一张证书能解决的问题。。。。。。。。测评通过只代表某个功夫节点系统切合尺度要求，，，，，，，，但网络威胁每天都在演进。。。。。。。。好多企业拿到证书后就把安全设备断电，，，，，，，，感触”工作实现了”，，，，，，，，这是最大的误区。。。。。。。。等保2.0自身要求企业定期发展缝隙扫描、安全培训和应急演练，，，，，，，，持续性投入才是主题。。。。。。。。

另一个常见误区是”内网系统不用过等保”。。。。。。。。只有系统承载了业务数据、用户信息或者财政数据，，，，，，，，无论是否露出在互联网，，，，，，，，都必要定级登记。。。。。。。。已经有造作业企业以为出产内网与互联网隔离，，，，，，，，不必要做等保，，，，，，，，了局被主管部门抽查到，，，，，，，，要求补办手续，，，，，，，，还被要求注明数据流向，，，，，，，，整改成本反而更高。。。。。。。。

100人规模企业参考规划：二级系统怎么做

以一家100人左右的北京中幼企业为例，，，，，，，，IT基础设施通常蕴含：2到3台物理服务器或虚构化平台、主题互换机、行为治理或防火墙、办公网络和业务系统网络分区。。。。。。。。这个规模若是做等保二级，，，，，，，，推荐分两阶段走：

1. 第一阶段：定级登记 + 差距分析（2到3周）。。。。。。。。联系有测评资质的机构实现系统定级登记，，，，，，，，委托做一次齐全的差距分析，，，，，，，，输出整改清单。。。。。。。。这个阶段用度约莫在1.5万到3万之间。。。。。。。。
2. 第二阶段：技术整改 + 造度美满（4到8周）。。。。。。。。凭据差距分析了局采购必要设备，，，，，，，，建议清单蕴含：日志审计系统、碉堡机、下一代防火墙或统一威胁治理设备。。。。。。。。治理造度方面能够参考模板定造，，，，，，，，但肯定要结合企业现实业务流程批改。。。。。。。。整改实现后预约测评机构做正式测评。。。。。。。。

整体用度预估：测评用度4万到8万，，，，，，，，技术整改投入8万到15万，，，，，，，，治理造度和培训1万到2万。。。。。。。。若是企业在IT运维表包阶段已经部署了基础安全设备，，，，，，，，整改用度能够进一步压缩。。。。。。。。

对于不想在安全设备上反复投入的企业，，，，，，，，也能够思考将安全能力与网络基础设施打包采购。。。。。。。。腾博888诚信为本力得提供的网络设备整包服务在合约期内蕴含设备提供，，，，，，，，IT运维表包团队能够协助企业实现等保整改的全流程治理，，，，，，，，预防自建团队时走了弯路。。。。。。。。有兴致能够先征询腾博888诚信为本技术照拂，，，，，，，，相识现有IT环境下过等；；；；；；；；共罴付嗑嗬搿。。。。。。。