对于深圳企业来说，如果网站、APP、业务平台、SaaS系统、管理系统等涉及网络运行和数据处理，等保工作通常不能简单理解成“做一次测评拿个备案证明”，而是一个包含定级、备案、建设整改、等级测评、问题整改、复测以及持续安全管理的完整过程。

根据现行等级保护相关要求，第二级以上信息系统需要依法办理等保备案；对于第三级信息系统，还需要按照要求定期开展等级测评和安全自查。

一、什么是深圳等保测评？

等保，全称是网络安全等级保护制度。

企业需要根据自身信息系统遭受破坏后可能造成的危害程度确定安全保护等级，然后按照对应等级落实安全技术措施和安全管理制度。

简单来说：

先确定系统属于几级 → 办理等保备案 → 按等级要求进行安全建设 → 委托测评机构开展等级测评 → 根据测评问题进行整改 → 复测/形成测评结果 → 持续维护。

因此，企业真正要做的并不是单独购买一份“等保报告”，而是让实际运行的系统达到相应等级的安全保护要求。

二、深圳企业等保工作第一步：系统梳理与定级

在正式做等保之前，企业首先需要把自己的信息系统梳理清楚。

例如：

• 企业官网

• APP后台系统

• 小程序后台

• SaaS平台

• 电商平台

• 教育平台

• 医疗系统

• OA系统

• ERP系统

• 客户管理系统

• 数据管理平台

• 互联网业务平台

不同系统的业务功能、用户数量、数据类型、服务对象以及系统遭受破坏后的影响不同，最终确定的安全保护等级也可能不同。

因此，不能简单认为：

“公司做等保就是整个公司统一做一个等级。”

实际项目中通常需要先进行系统边界梳理，再确定具体需要进行等级保护的网络或信息系统。

三、等保定级：到底应该定二级还是三级？

这是企业比较关心的问题。

等级保护一般分为：

但是企业不能为了方便直接自行决定定二级或三级。

定级需要结合系统的业务重要程度、服务范围、用户规模、数据以及系统遭受破坏后对社会秩序、公共利益等造成的影响进行综合判断。

如果定级不准确，公安机关审核备案时也可能要求重新审核确定。

所以实际项目中，建议在定级阶段就把系统边界、业务范围和数据情况梳理清楚。

四、确定等级之后办理等保备案

确定安全保护等级后，就进入备案阶段。

按照《信息安全等级保护管理办法》，已运营的第二级以上信息系统，应当在安全保护等级确定后30日内，到所在地设区的市级以上公安机关办理备案；新建第二级以上信息系统，则应当在投入运行后30日内办理备案。

备案过程中通常需要准备相关材料。

例如：

• 信息系统安全等级保护备案表

• 信息系统安全等级保护定级报告

• 系统拓扑结构

• 系统基本情况说明

• 安全管理制度

• 系统安全保护设施相关材料

• 其他备案所需资料

其中，第三级以上系统涉及的材料要求更加严格。

相关规定明确，第三级以上系统办理备案时，还涉及系统拓扑结构及说明、安全组织机构和管理制度、系统安全保护设施设计实施方案等材料。

五、备案之后才是重点：安全建设整改

很多企业做等保时容易出现一个误区：

备案证明拿到了，是不是等保就结束了？

实际上不是。

等保备案只是整个工作流程中的一个环节。

企业真正需要投入精力的是安全建设和整改。

整改一般可以从以下几个方面展开。

1. 安全通信网络

主要关注网络架构和通信安全，例如：

• 网络区域划分

• 网络访问控制

• 边界防护

• 通信传输安全

• 网络设备安全配置

• 网络冗余

• 网络安全审计

对于互联网业务系统，还需要重点检查互联网出口、服务器区域、数据库区域、管理区域等网络边界。

2. 安全区域边界

主要解决：

“谁可以访问系统？”

例如：

• 防火墙

• ACL访问控制

• VPN

• 入侵防御

• Web应用防护

• 访问控制策略

• 恶意流量检测

• 网络攻击防护

企业不能只部署安全设备，还需要检查安全策略是否真正配置并有效运行。

3. 安全计算环境

主要针对：

• 服务器

• 数据库

• 操作系统

• 应用系统

• 中间件

• 虚拟机

• 云服务器

进行安全加固。

常见整改内容包括：

• 操作系统账号权限

• 密码策略

• 身份鉴别

• 权限控制

• 漏洞修复

• 恶意代码防护

• 日志审计

• 数据备份

• 数据恢复

• 数据库安全配置

六、安全管理制度也是等保整改重点

等保并不是单纯买防火墙、堡垒机、杀毒软件。

制度和人员管理同样重要。

企业通常需要建立或完善：

• 网络安全管理制度

• 信息安全管理制度

• 账号管理制度

• 密码管理制度

• 数据安全管理制度

• 运维管理制度

• 变更管理制度

• 备份管理制度

• 应急预案

• 网络安全事件应急处置制度

• 安全培训制度

• 第三方人员管理制度

例如，企业不能只是说“我们有备份”。

还需要能够证明：

谁负责备份 → 多久备份一次 → 备份保存在哪里 → 是否进行恢复测试 → 出现故障之后怎么恢复。

这才是完整的安全管理体系。

七、整改完成后进行等级测评

完成基础安全建设之后，就可以进入等级测评阶段。

企业需要选择符合要求的等级测评机构，对系统开展等级测评。

测评通常会从技术和管理两个层面进行检查。

技术层面

主要检查：

• 身份鉴别

• 访问控制

• 安全审计

• 入侵防范

• 恶意代码防范

• 数据完整性

• 数据保密性

• 备份恢复

• 网络安全

• 主机安全

• 应用安全

管理层面

主要检查：

• 安全管理制度

• 安全管理机构

• 人员安全管理

• 系统建设管理

• 系统运维管理

• 应急管理

• 安全审计

• 供应链及第三方管理等

测评机构会结合现场检查、配置核查、访谈、文档审查以及技术测试等方式进行综合评估。

八、测评不通过怎么办？

这其实是企业做等保过程中最容易遇到的问题。

测评过程中发现问题并不意味着项目失败。

通常会形成问题清单，例如：

企业需要根据测评报告中的问题制定整改方案。

九、等保整改应该怎么做？

比较规范的做法是：

第一步：整理问题清单

把测评发现的问题逐条整理出来。

例如：

问题1：服务器密码策略不符合要求。

问题2：部分服务器未进行安全审计。

问题3：数据库缺少有效备份机制。

问题4：系统存在高危漏洞。

第二步：判断整改方式

不同问题采用不同整改方式。

比如：

配置类问题

通过修改服务器、数据库、防火墙等安全配置解决。

漏洞类问题

通过升级补丁、版本升级或者安全加固解决。

设备类问题

根据系统实际情况补充安全设备或安全能力。

制度类问题

补充和完善安全管理制度。

人员类问题

明确安全岗位、权限、责任和培训机制。

第三步：实施整改

整改不能只停留在纸面。

例如发现：

“系统缺少日志审计。”

就需要实际配置日志采集、审计和保存机制。

发现：

“服务器存在高危漏洞。”

则需要实际完成漏洞修复，并进行复核。

第四步：整改验证

整改完成之后，需要再次检查：

问题是否真正解决？

而不是简单把整改表中的“未完成”改成“已完成”。

十、深圳等保测评还有一个重要变化

如果企业在深圳做等保三级测评，需要特别关注当地最新流程要求。

深圳市公安局公开答复显示，自2025年10月1日起，深圳市等保测评结果以《提交网络安全等级测评报告回执》为准。

因此，企业如果过去按照旧流程理解“测评结果通知书”等材料，建议以当前深圳公安机关最新要求为准，不要直接照搬几年前的办理经验。

十一、等保不是“一次性项目”

这是企业最容易忽略的一点。

等保工作完成以后，并不是以后什么都不用做。

相关规定要求运营、使用单位定期对信息系统安全状况、安全保护制度和措施落实情况进行自查；第三级信息系统至少每年进行一次等级测评和自查。

也就是说：

等保 = 定级 + 备案 + 建设 + 测评 + 整改 + 持续运营。

特别是三级系统，企业需要建立长期的网络安全管理机制。

十二、深圳企业等保完整流程

如果把整个流程压缩成一张图，可以理解为：

系统梳理

↓

确定系统边界

↓

开展等保定级

↓

专家评审/相关审核

↓

办理等保备案

↓

安全建设方案设计

↓

网络、主机、应用、数据及管理制度整改

↓

等级测评

↓

形成测评问题清单

↓

整改安全问题

↓

复核/复测

↓

形成测评结果及相关材料

↓

持续安全运营

↓

定期测评、自查和整改

十三、企业做深圳等保时建议重点注意

最后总结几个非常容易踩坑的问题。

第一，不要把“等保备案”和“等保测评”当成一回事。

备案和测评是等级保护工作中的不同环节。

第二，不要为了拿备案证明临时做材料。

系统真实安全状况、技术措施和管理制度应该保持一致。

第三，不要只整改设备，不整改制度。

等保检查的是技术和管理两个方面。

第四，不要等测评结束以后才开始考虑整改。

如果前期就按照等保要求建设系统，可以明显减少后期整改工作量。

第五，三级系统尤其要做好持续安全管理。

三级系统的等级测评和安全自查具有持续性要求，并不是拿到一次测评结果以后就永久结束。

对于深圳企业来说，比较合理的思路是：先梳理业务和系统 → 科学定级 → 备案 → 按等级要求进行安全建设 → 测评 → 整改 → 复测/提交相关结果 → 持续运营维护。这样做不仅是为了完成等保流程，更重要的是让企业真正建立起与自身业务规模相匹配的网络安全防护体系。