---

name: cn-mlps-checklist language: zh description: "当被问到等保怎么做、等保 2.0 定级、等保备案和测评流程、等保三级要求、我们的系统需要过等保吗，或为信息系统准备网络安全等级保护时使用。产出定级建议及供专家评审的理由、备案和测评的步骤与一般时间、按 GB/T 22239-2019 十个控制类别整理的差距清单，以及整改计划，并说明这是为持证测评机构所做的准备。"

cn-mlps-checklist 的简体中文翻译，英文版本为规范版本。

等保 2.0

《网络安全法》要求网络运营者按照网络安全等级保护制度保护系统。实际工作包括：为每个系统定级；二级及以上向公安机关备案；由持证测评机构进行测评；整改测评发现的问题。很多团队因为定级错误，或者带着本可以提前解决的差距去测评，耽误了几个月。这个技能在测评之前准备好定级论证、备案材料和差距清单。

除非另有要求，用简体中文写。本技能用于准备，不是认证：定级需经专家评审并由公安机关确认，只有持证测评机构可以测评。现行要求请向当地网安部门和测评机构核实。

所需输入

如未提供，请询问：

• 系统情况：功能、用户、存储的数据（包括个人信息和重要数据）、是否面向公众
• 被破坏后的影响：对个人、组织、社会秩序或国家安全的影响及其严重程度
• 架构：部署方式（自建机房或云，以及云平台自身的等保级别）、网络区域、关键组件
• 现有的控制措施和制度，以及以往的测评报告
• 驱动这项工作的截止时间（招标、监管、客户）

输出结构

1. 定级

建议的级别（1 到 5 级，大多数业务系统为二级或三级），以及基于标准两个要素的理由：受侵害的客体和侵害程度，分别针对业务信息安全和系统服务安全。按定级报告的论证方式写，供专家评审。

2. 备案和测评步骤

| 步骤 | 负责方 | 一般时间（需核实） | 定级及专家评审；二级及以上向当地公安机关备案（通常在定级后 30 日内）；选择持证测评机构；测评；整改；复测（三级系统通常每年测评一次）。

3. 差距清单

按建议级别，覆盖 GB/T 22239-2019 的十个控制类别：

• 技术类：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心
• 管理类：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理 | 类别 | 要求 | 现状 | 差距 | 整改措施 | 负责人 |

4. 整改计划

按测评风险和工作量排序的差距，写明负责人和在测评前完成的日期。

质量检查

• 建议级别写明了两个安全方面各自的受侵害客体和侵害程度
• 备案适用于二级及以上，并标注了需核实的时间
• 差距清单覆盖全部十个控制类别
• 每个差距都有整改措施、负责人和日期
• 云上系统区分了云服务商和运营者各自的控制
• 写明只有持证测评机构可以测评

反模式

• 为省钱定低级别。 专家评审和公安机关可能上调，而且会很晚。
• 制度只停留在纸面上。 测评会检查运行证据，例如日志和记录。
• 以为上了云就全覆盖了。 运营者仍要负责自己这一层。
• 测评开始后才整改。 先把明显的差距补上。

示例触发语

• “我们的 SaaS 系统要过等保三级，帮我梳理差距。”
• “等保定级怎么写理由？二级还是三级？”
• “等保备案和测评的流程是什么？”
• “帮我们的系统准备等保 2.0 测评。”