广州市企业要想合规通过信息系统安全等级保护，需要按照等级保护的办理流程，做好每一步。本篇文章依据等保2.0相关标准，并结合等保标准制定参与者之一青莲网络的等保服务经验，为广州企业提供信息系统安全等级保护合规通过方案。方案在手，等保合规小case！
 
一、广州信息系统安全等级保护定级备案
 
定级依据是《信息系统安全等级保护定级指南》。定级流程为：确定定级对象→初步确定等级→专家评审→主管部门审核→公安机关备案审查→最终确定的等级。
 
定级之后，就可以准备备案材料进行备案。备案所需材料主要是《信息安全等级保护备案表》，不同级别的信息系统需要的备案材料有所差异。
 
二级及其以上的信息系统运行使用单位或主管部门在备案时需要提交的资料有：① 信息系统安全定级报告纸质材料，一式两份；② 信息系统安全备案表纸质材料，一式两份；③上述备案的电子档，并制作出光盘提交。
 
第三级以上信息系统同时提供以下材料：（一）系统拓扑结构及说明；（二）系统安全组织机构和管理制度；（三）系统安全保护设施设计实施方案或者改建实施方案；（四）系统使用的信息安全产品清单及其认证、销售许可证明；（五）测评后符合系统安全保护等级的技术检测评估报告；（六）信息系统安全保护等级专家评审意见；（七）主管部门审核批准信息系统安全保护等级的意见。
 
备案材料准备好之后，需提交属地公安机关网安部门审核。对符合等级保护要求的，在收到备案材料之日起的10个工作日内颁发信息系统安全等级保护备案证明；发现不符合本办法及有关标准的，在收到备案材料之日起的10个工作日内通知备案单位予以纠正。
 
在这一阶段，青莲网络提供的等保服务为：协助企业开展定级备案，包括但不限于联系专家评审，填写、准备备案材料，并提交公安机关审核。
 
二、广州信息系统安全等级保护加固整改
 
等保整改指企业根据等级保护建设要求，对信息和信息系统进行网络安全升级，对定级对象当前不满足要求的进行建设整改，包括技术层面的整改，也包括管理方面的整改。
 
一般来说，企业需要整改的比较常见的系统安全问题包含以下三类：
①安全管理制度不完善或缺失问题
整改建议：1、向测评机构或者做得好的单位借鉴一些成熟的安全管理制度，然后根据自己单位的实际情况进行细化，变为自己的安全管理制度体系；2、请测评机构或相关单位进行专门的安全制度体系建设。
 
②漏洞补丁类、安全策略调整类、安全加固类、网络结构调整类问题
这类问题的整改我们统称为安全服务整改建设，整改需要做到：把安全设备配置合适合规的策略，主机及应用做应有的加固，关闭不必要的端口，对高危漏洞进行打补丁，合理划分不同网络区域等等。
整改建议：1、企业可以让自己的技术人员解决这些问题，同时寻找系统集成商、软件开发商协助解决；2、寻找有实力的测评机构或安全服务商来解决这些问题。
 
③设备缺失或不足问题
设备缺失或不足问题主要指什么呢？比如根据等级测评报告，企业的信息系统没有入侵检测设备或者防火墙里不带有入侵检测功能，但又必须满足这个条件，企业就需要新增入侵检测设备。当然，由于实际情况不同，企业需要新增的设备有优先级的不同，一些设备需要当下就立即新增，一些设备则可以后续再慢慢新增。
整改建议：根据实际情况，制定设备新增计划，省时省力省钱。
 
在这一阶段，青莲网络提供的等保服务为：针对定级备案系统所在的系统环境进行调研，以分析信息系统当前风险状况，明确等级保护整改需求和重点。同时提供等级保护安全整改与加固服务，包括重要信息系统相关的网络结构化设计，网络安全、服务器主机、数据库系统、中间件系统等设备的采购及部署，产品集成实施、主机安全基线配置、应用及数据库安全配置、主机及应用打补丁、安全审计策略配置、应用代码整改等内容。
 
广州信息系统安全等级保护等级测评
 
等级测评是测评机构依据国家信息安全等级保护制度规定，受有关单位委托，按照有关管理规范和技术标准，运用科学的手段和方法，对处理特定应用的信息系统，采用安全技术测评和安全管理测评方式，对保护状况进行检测评估，判定受测系统的技术和管理级别与所定安全等级要求的符合程度，基于符合程度给出是否满足所定安全等级的结论，针对安全不符合项提出安全整改建议。
 
等级测评需要具备一定的资质，测评机构至少得具备信息安全等级测评推荐证书。等保测评网在全国有几十家等保合作单位，可帮助企业寻找合适的测评机构，同时，我们的技术人员将全程协助测评机构测评工作的开展。