第一步：确定需要做备案的系统及系统的安全保护等级
成都创新互联公司云计算的互联网服务提供商,拥有超过13年的服务器租用、成都服务器托管、云服务器、虚拟空间、网站系统开发经验，已先后获得国家工业和信息化部颁发的互联网数据中心业务许可证。专业提供云主机、虚拟空间、主机域名、VPS主机、云服务器、香港云服务器、免备案服务器等。
备案之前，企业需要先确定需要做等保的信息系统，并确定信息系统的安全保护等级。信息系统的安全保护等级分为以下五级，一至五级等级逐级增高：
第一级(自主保护级)、第二级(指导保护级)、第三级(监督保护级)、第四级(强制保护级)、第五级(专控保护级)，之前介绍过相关内容，本篇文章就不细致介绍了。
需要做等级保护的信息系统有三个特征：
①具有确定的主要安全责任主体。
②承载相对独立的业务应用。
③包含相互关联的多个资源。
所以，只要信息系统具有以上三个特征，就需要做等保。等保2.0时代，APP、网站、公众号、小程序等都可能是定级对象，企业需特别注意。
系统确定之后，就可以给系统定级。定级依据是《信息系统安全等级保护定级指南》。企业按照以下流程对信息系统进行定级：确定定级对象-初步确定等级-专家评审-主管部门审核-公安机关备案审查-最终确定的等级。
第二步：准备备案材料
定级之后，企业就可以填写、准备备案材料。备案所需材料主要是《信息安全等级保护备案表》，不同级别的信息系统需要的备案材料有所差异。
二级及其以上的信息系统运行使用单位或主管部门在备案时需要提交的资料有：①信息系统安全定级报告纸质材料，一式两份;②信息系统安全备案表纸质材料，一式两份;③上述备案的电子档，并制作出光盘提交。
第三级以上信息系统同时提供以下材料：1、系统拓扑结构及说明;2、系统安全组织机构和管理制度;3、系统安全保护设施设计实施方案或者改建实施方案;4、系统使用的信息安全产品清单及其认证、销售许可证明;5、测评后符合系统安全保护等级的技术检测评估报告;6、信息系统安全保护等级专家评审意见;7、主管部门审核批准信息系统安全保护等级的意见。
第三步：将备案材料提交公安机关并等待审核
备案材料准备完毕，就可以提交公安机关网安部门进行审核。对符合等级保护要求的，在收到备案材料之日起的10个工作日内颁发《信息系统安全等级保护备案证明》;发现不符合本办法及有关标准的，在收到备案材料之日起的10个工作日内通知备案单位予以纠正。
等级保护是我们国家的基本网络安全制度、基本国策，也是一套完整和完善的网络安全管理体系。遵循等级保护相关标准开始安全建设是目前企事业单位的普遍要求，也是国家关键信息基础措施保护的基本要求。
等保2.0中等级测评结论：
a)符合：
定级对象中未发现安全问题，等级测评结果中所有测评项的单项测评结果中部分符合和不符合项的统计结果全为0，综合得分为100分。
b)基本符合：
定级对象中存在安全问题，部分符合和不符合项的统计结果不全为0，但存在的安全问题不会导致定级对象面临高等级安全风险，且综合得分不低于阈值。
c)不符合：
定级对象中存在安全问题，部分符合项和不符合项的统计结果不全为0，而且存在的安全问题会导致定级对象面临高等级安全风险，或者综合得分低于阈值。
办理等级保护针对企业的作用有：
1、通过等级保护工作发现单位信息系统存在的安全隐患和不足，进行安全整改之后，提高信息系统的信息安全防护能力，降低系统被各种攻击的风险，维护单位良好的形象。
2、等级保护是我国关于信息安全的基本政策，国家法律法规、相关政策制度要求单位开展等级保护工作。如《网络安全等级保护管理办法》和《中华人民共和国网络安全法》。
3、落实个人及单位的网络安全保护义务，合理规避风险。
企业最好完成等保测评和备案。
去年100款APP被强制下架已经给企业敲响了警钟，而今年，违规的APP也一直在被相关单位下架整改中。如果还抱着不做等保的态度的话怕是不行了。因为相关处罚制度已经明确责任。
怎么去做，下面分5个阶段说明
第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。
第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。
第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。
第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。
第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。
网络安全等二级技术准备清单(2级系统)
总体准备：
系统网络拓扑图，要求与实际系统一致，及时更新
上机检查（抽查）：核心网络设备（交换机、路由、防火墙）、服务器主机
检查重点：
身份鉴别：复杂度，唯一性，非法登录次数，超时处理措施
访问控制：网络边界部署访问控制设备，控制粒度：网段级、单个用户，修改默认账户，删除多余过期账户，权限分离，最小权限原则，尽量避免Telnet，限制登录网络设备网段
入侵防范：网络层：网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等。
主机：最小安装（包括系统服务）的原则，及时更新。
安全审计：网络设备运行状况、网络流量、用户行为等进行日志记录；内容：事件日期、时间、发起者信息、类型、描述和结果等，审计记录无法删除、修改或覆盖。
恶意代码防范：及时更新，统一管理（规定和记录）
备份和恢复：对重要信息进行备份，关键网络设备、通信线路和数据处理系统硬件冗余
应用系统容错性：输入有效性检查：数据格式或长度，故障和恢复
相关记录*
设备运行情况记录，定期维护核查记录、更新升级记录、备份和介质管理记录、安全事件记录等。
文档准备清单(G2管理)
总体性工作文件：信息安全等级保护工作的文件、信息安全工作规划或实施方案
书面明确安全管理机构（信息安全领导小组，责任部门，人员），落实信息安全责任
信息安全建设规划（按照国家标准或行业标准建设安全设施，落实安全措施，行业、部门信息安全等级保护行业标准规范）
定级、备案材料(新建信息系统是否在规划、设计阶段确定安全保护等级并备案)
基本安全管理制度
□机房安全管理制度
□网络安全管理制度
□系统运行维护管理制度
□系统安全风险管理制度
□资产和设备管理制度
□数据及信息安全管理制度
□用户管理制度
□备份与恢复管理制度
□密码管理制度
□安全审计管理制度
□岗位和人员管理制度
□技术测评管理制度（包括监督措施）
□信息安全产品采购、使用管理制度
□安全事件报告和处置管理制度，信息系统安全应急处置预案
□教育培训制度
□自查和整改的规定
岗位职责说明书、责任承诺书□系统管理员 □网络管理员 □安全管理员 □安全审计员
记录文件：
□定期组织开展应急处置演练
□定期开展信息安全知识和技能培训
□自查和整改的方案和记录
（□等级测评监督记录）
资质证明：
信息安全产品、生产单位相关证明：
□产品生产单位营业执照
□产品版权或专利证书
□产品或生产单位的相关声明或证明材料
□计算机信息系统安全专用产品销售许可证
（国外信息安全产品的，是否经主管部门批准，并请有关单位对产品进行专门技术检测）
测评机构相关证明：
□营业执照、声明、证明及资质材料等
□保密协议
□技术检测方案
□检测报告
□安全整改
物理准备清单(2级)
文档准备：
机房工程验收文件
机房出入记录表
巡检记录、温湿度记录表
来访人员进入机房的规定、审批流程和记录
防盗报警系统验收报告
避雷装置验收报告
（火灾自动报警系统等其他防护系统的验收报告、停电等事件记录、定期核查维护记录等）
硬件及人员：
专人值守
主要设备放置在机房内，并固定，有标识
通信线缆铺设在隐蔽处，地板下，管道内
介质分类标识，单独存储
防盗报警系统
避雷装置，地线
灭火设备和火灾自动报警系统
接地防静电措施
温、湿度自动调节设施，温湿度可监控
稳压器和过电压防护设备
备用电力供应，供电时间
有五个步骤，定级、备案、整改、测评、检查
针对要测评的系统，到网安要定级报告模板和备案表，编制定级报告，填写备案表，然后交网安部门，这就是定级备案两个动作。
根据等级保护基本要求的2级要求项，对系统进行整改，让系统能符合这些要求。这是整改。
委托公安部认可的等级保护测评机构进行测评，出具测评报告，交网安。
网安检查。
其实，可以一开始就找测评机构，让他们帮你从头做，毕竟他们是专业的。
