等保测评是什么

定级五档：备案范围怎么划

等保 2.0（GB/T 22239-2019）把系统受破坏后的危害程度分成五级。一级是自主保护，备案即可，基本不折腾。二级对应一般业务系统，比如县级单位的非核心系统、普通企业的系统，备案之后定期自查就行，部分行业会要求测评。三级就重了，省市级政务、金融支付、医疗 HIS、教育统考系统都归这一档，每年要测一次。四级是国家关键基础设施，像银行核心，每半年一次。

绝大多数企业系统落在二级，只有涉及公众资金或者个人敏感信息的，才会被定到三级。定级不是自己说了算，得走一套流程：先确定定级对象，再请专家做定级评审，然后去公安备案，接着建设整改、等级测评，最后还有监督检查。这一圈走下来，系统才算真正纳入了等保的轨道。

技术五项+管理五项查什么

测评的内容分技术和管理的十个层面。技术这边有五个：安全物理环境，看的是机房门禁和监控；安全通信网络，管网络架构和传输加密；安全区域边界，防火墙、入侵检测、边界防护都算；安全计算环境，主机加固、身份鉴别、访问控制、数据加密、审计日志都在里面；还有安全管理中心。管理那边也是五个：管理制度、机构人员、建设管理、运维管理。行业里常说「三分技术七分管理」，在等保里这话是字面意思，管理项占了一半分值。

打分规则很直接，75 分及格，对应「基本符合」。不及格就限期整改，改完再复测。所以不是测完就完事，分数不够还得回头补。

测评费与整改设备钱怎么花

成本分三块。测评费，二级大概 3~6 万一个系统，三级 6~12 万。整改费弹性最大，买安全设备——防火墙、日志审计、堡垒机——要 5~30 万，但如果用云厂商的「等保安全套装」租用模式，这块能降不少。咨询费是代办 2~5 万，要是自己熟流程，不花这笔钱也行。首次全套走完，周期大概 2~4 个月。

实操上有两个方向可以省钱。上云的系统优先用云厂商的等保包，阿里、腾讯的等保解决方案把安全设备变成云服务租用，整改成本能低一半以上。另一个是系统规划阶段就把等保要求纳入设计，日志留存 6 个月、双因素认证、数据加密这些，事前做比事后补便宜得多。没测的后果也实在：行业主管会处罚，出事时「未履行网络安全义务」的法律责任还会加重。反过来，出事故后等保证书是免责或者减责的关键证据。