如何28天完成等级保护测评全流程?
目前数字经济建设浪潮一浪高过一浪,与此同时我国的网络安全法也逐渐得到普及,支撑网络安全法的网络安全等级保护相关标准规范也不断更新和完善。
落实网络安全等级保护制度是网络运营者(指网络的所有者、管理者和网络服务提供者)的责任与义务。通常情况,无论是在建或已运行的系统,完成一次等级保护测评的全流程需要2-3个月时间,有的需要半年甚至超过1年的也不在少数。
以北京为例,等级保护备案阶段:申请与受理4个工作日、审查与决定8个工作日、制证与发证10个工作日。等级保护测评与整改阶段更是需要花费大量时间,一般需要1-2个月。
灵狐科技专家在近期的一个项目中,28天内快速完成了一次等级保护测评全流程。并从项目中总结了快速完成等级保护测评全流程的五大关键要素,即优选测评机构、系统合理定级、准备工作充分、及时跟进流程、关键路径并进。在此分享给广大网络运营者参考。
优选测评机构
选择测评机构时应尽量选取企业所在地的测评机构,综合考虑其公司资质与技术能力,如测评公司具有的资质、各等级测评师人员数量、在市场中的口碑、被测评企业所属行业的测评案例等。同时明确提出本次测评的工期要求与项目预算,并采取邀请招标或公开招标的方式选择最优的测评机构。
系统合理定级
系统定级是等级保护测评的第一步,无论是在建系统或已建系统,合理定级是关键,应参照“定级过低不允许、定级过高不可取”的原则来定级。如同为等级保护第三级可细分为S2A3、S3A3、S3A2三种类型,与之相对应的等级保护测评控制项就相差不少,将直接影响系统设计、建设、运维的方方面面。定级完成后需由安全专家与业务专家共同对定级报告中涉及的系统业务描述、业务网络拓扑、业务受影响的风险分析进行专家评审并形成书面专家评审意见。最后定级报告与专家评审意见需上传到公安网警的等级保护备案系统中。
准备工作充分
“磨刀不误砍柴功”,做好大量的准备工作是快速完成等保测评的先决条件。从业务系统的全生命周期角度来看,需要具备项目立项、需求说明、实施方案、验收标准、人员组织、管理制度等过程环节资料。特别是网络安全方面,需要有网络安全的设计方案、建设实施方案、安全策略及安全检测规范、安全运营管理制度及安全建设运营过程文档(如漏洞扫描报告、渗透测试报告、代码审计报告、应急预案与演练记录、人员培训记录等)。
针对规模大或重要性要求高的业务系统其建设设计方案、安全保障方案需要聘请外部专家进行专家评审并形成书面专家评审意见。及时跟进流程
以广东为例,企业在公共信息网络安全综合管理系统填报前应授权一位负责人,并由其跟进后续备案资料收集与文档扫描、系统填写与资料上传,同时关注审核反馈信息及时提交补充资料和修订资料。及时关注审核结果、获取备案证明及线下提交测评报告。此过程中,遇到问题应及时反馈给上级领导,并协调资源推进等级保护备案流程。
关键路径并进
加快项目进度一般可采取加班与并行赶工的方式,但前提是需要一名优秀的项目经理来分解项目实施步骤,识别并规划关键实施路径,把控管理项目实施过程风险。等级保护测评过程主要可并行的环节有商务洽谈与技术实施、系统建设与安全检测、系统测评与整改复测。