江苏
网络安全等级保护制度进入2.0时代后，"测评"成了很多企业信息部门的例行工作。但不少管理者对测评周期存在模糊认识：是不是做过一次就一劳永逸？不同等级的系统要求一样吗？这篇文章把等保2.0的测评周期讲清楚。
等保2.0的基本框架
等级保护制度将信息系统按照重要程度和受破坏后的危害程度划分为五个级别，级别越高，安全要求越严格。大部分企业的业务系统定级在二级和三级，涉及重要行业关键基础设施的系统可能达到四级。
等级保护的工作环节包括定级、备案、建设整改、等级测评和监督检查，测评只是其中一环。系统完成定级备案和安全建设之后，需要定期接受测评，验证安全防护是否达到相应等级的要求。
三级系统：每年至少测评一次
这是企业问得最多的一个问题。按照等保2.0的相关要求，第三级信息系统应当每年至少进行一次等级测评。也就是说，三级系统的测评是年度动作，一次测评报告的效力覆盖不了一年以上。
对承载重要业务、处理大量个人信息的三级系统来说，年度测评的意义不仅在于合规，更在于持续发现安全短板。网络环境在变、业务系统在变、攻击手段也在变，一年一次的"体检"是保持防护有效性的基本节奏。
二级系统：建议定期开展，普遍按两年安排
二级系统没有三级那样明确的年度测评硬性要求，相关规定建议定期开展测评，实践中普遍按不超过两年一次来安排。不过要注意两点：一是行业主管部门有专门要求的，从其要求，某些行业的二级系统也被要求每年测评；二是系统发生重大变更时，应重新评估是否需要再次测评。
虽然周期相对宽松，二级系统承载的往往是企业核心业务，数据的机密性和完整性同样重要，把测评周期拉得太长并不可取。
四级及以上：周期更短要求更严
第四级信息系统的测评要求比三级更严格，周期也更短，需要按规定更高频次开展测评。四级系统多见于涉及国计民生的重要领域，一般企业接触较少，这里不再展开。
这些情况需要重新测评
除了周期性测评，还有几种常见情形会触发新的测评需求：系统完成新建或改扩建后；系统用途、规模发生较大变化，原定级不再匹配时；上一次测评发现重大问题并完成整改，需要复测验证时。
另外提醒一点，测评不是终点。测评报告中的问题项需要制定整改计划并落实，"测完就放着"是等保工作中最常见的误区。监管部门在监督检查时，看的不仅是测评报告，更关注整改闭环。
企业实操上的两个建议
第一，建立等保台账：把系统定级、备案证明、测评报告、整改记录统一归档管理，监管检查时能快速调取。第二，把测评和安全运维结合起来：日常的安全巡检、漏洞修复做得扎实，年度测评时问题项自然减少，整改压力也会小很多。
等保是一项长期工作，测评周期只是最低要求。真正把安全能力建设起来，才是这项制度设计的本意。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
