等保 2.0 测评流程详解：定级、备案、整改、测评四步走

《网络安全法》第二十一条把网络安全等级保护写进法定义务，企业只要运营对外服务系统或处理个人信息，等保 2.0 就绕不开。但第一次接触的企业常在流程上犯迷糊：先定级还是先整改？备案找谁？这篇按「定级→备案→整改→测评」四步讲清完整路径。

定级与备案：顺序不能反

定级依据是系统被破坏后对公民、法人和其他组织合法权益及社会秩序的危害程度：一般企业官网、内部管理系统多为二级，涉及大量个人信息或承载关键业务的系统多定三级。定级需撰写定级报告，二级以上系统到属地公安机关网安部门办理备案，取得备案证明才算「名分落定」。等级拿不准的，可先组织专家评审再备案，避免整改一半推翻重来。

整改阶段：常见整改项清单

整改通常是投入最大的一环，常见项包括：

• 网络边界：部署防火墙、入侵防范等安全设备；
• 身份鉴别：双因素认证与账号权限最小化；
• 数据安全：传输加密、定期备份并做恢复演练；
• 安全管理：制度文档、人员职责与应急预案落地。

上云系统可用云防火墙、云日志审计等云化产品替代部分硬件投入，整改清单通常更短。等保证书服务页面整理了各等级要求，可对照自查差距。

测评出报告：闭环才算完成

整改到位后，由具备资质的等级测评机构开展现场测评并出具报告，二级系统一般达到基本符合即可，三级要求更严格。报告与备案证明共同留存，是投标与监管检查的凭证；三级系统此后每年复测一次，二级每两年一次，建议以备案日期为锚点提前 1~2 个月安排。想了解整体投入范围，可先获取参考报价，再结合系统情况规划预算。