libook
2022-08-09 11:54:57 +08:00
系统在阿里云上的话，涉及到 IaaS 、PaaS 的测评项目就只需要拿阿里云的测评报告就可以了，你可以联系阿里云客服跟他们要测评报告和白皮书，白皮书里面会写明等保的哪些部分由阿里云负责，哪些由你们负责，然后测评机构只对你们负责的那部分进行测评就可以了。
整改和等保通常是两回事，等保需要每年至少做一次（以你们系统的评级来决定，三级是一年一次），整改通常是限定一段短时间内整改完成并提交相关整改说明报告，除非整改要求就是做等保。
等级保护里面的等级是国家用于衡量各个单位的各个系统被破坏后对国家和社会造成的影响程度的，粗略地来讲，如果你们只有个跟业务运行关系不大的系统可能就是一、二级，如果业务运转依赖网络系统基本就是三级，如果还和 zf 和国家安全有关可能就是四、五级了。首次测评前需要先做定级工作，届时会决定你们的系统属于哪个级别，并在公安进行备案，之后就得按照这个等级的相关要求来做测评了。
如果你们有多个系统，可能就得给每个系统单独做定级、备案、测评，所以能合并成一个的话最好是合并成一个系统来做。
等保基本分技术和人员管理两方面，每次测评的时候，测评机构都会根据相关测评标准（如 GB/T 22239 ）检查一下你们的技术和人员管理是否符合要求，之后会把不符合要求的部分列出来并给出一些整改建议，你们进行整改，然后复测，直到所有高危、中危的问题都改好了，再给你们出具测评报告，然后如果低危的没全改就会扣一些分，一般 70-90 分都是比较正常的，好像也没有所谓及格分，只要没有高危、中危问题就算通过。
另外公安和其他部门的监管风格不大一样，公安多数情况下是直接处罚，然后要求整改；其他像网信、工信、市监等一般是先要求整改，限期内改好了就没事了，逾期就给行政处罚。
网络安全等保只是个开始，北京这边已经整过好几轮个人信息安全了，后面还会有数据安全整顿。