测评机构的回旋镖来了！测评机构不仅要会“测别人”，更要先“管好自己”
祺印说信安
2026年6月26日 00:06
河南
在小说阅读器读本章
去阅读
以下文章来源于河南等级保护测评
，作者何威风
河南等级保护测评
.
等级保护，不只是等级测评！一起探讨更全面的等级保护制度！ 做对用户有真实价值的网络安全服务，等级保护测评、风险评估、网络安全培训、网络安全咨询、网络安全合规。 传播网络安全知识，分享网络安全政策，共建风清气正的网络安全氛围。
长期以来，等级保护测评机构承担着发现问题、评估风险、验证防护能力、指导整改落实的重要职责。在开展测评过程中，往往会接触和掌握大量被测评单位的敏感信息，包括网络拓扑结构、资产清单、安全配置、漏洞隐患、风险分析结果以及整改情况等。这些信息本身就具有较高的敏感性，一旦测评机构自身的信息系统安全防护不到位，不仅可能导致数据泄露，甚至可能成为新的网络安全风险源。因此，测评机构自身的安全能力建设，已经不再是内部管理问题，而是等级保护生态安全的重要组成部分。
在最新发布的《网络安全技术 网络安全等级保护测评机构能力要求和评估规范》（GB/T 36959-2026）中，监管要求进一步明确：测评机构的测评业务相关管理系统若涉及处理被测评单位第三级及以上系统的敏感数据，如网络拓扑、资产信息、安全问题等，应按照最小必要原则进行留存，并采用符合国家密码管理要求的密码技术和密码产品，保障数据在存储过程中的保密性和完整性。同时，相关管理系统原则上应符合三级及以上网络安全等级保护要求，完成定级、备案以及第三方等级测评，测评结论应达到“符合”或“基本符合”，且不存在重大风险隐患。
这一要求看似针对测评业务管理系统，实际上体现了一个非常明确的监管导向——测评机构不仅要会“测别人”，更要先“管好自己”。从某种意义上说，这也形成了一种颇具行业特色的“回旋镖效应”：测评机构平时依据等级保护标准检查客户的制度是否健全、技术措施是否落实、系统是否完成备案和测评，而如今，同样的标准正在更加严格地适用于测评机构自身。
值得一提的是，由于测评机构不能对自身系统开展等级测评，因此必须委托具备资质的第三方测评机构实施测评工作。当然，在正式接受第三方测评之前，完全可以依据等级保护相关标准开展内部自查、自评和整改工作，通过提前发现问题、补齐短板，为后续测评创造更好的基础条件，也有助于获得更加理想的测评结果。
不过，需要特别强调的是，上述要求绝不意味着“完成一次三级等级测评”即可满足要求。很多人容易将关注点放在测评报告上，但监管真正关注的是系统是否持续达到三级等级保护要求。换句话说，等级测评只是检验手段，而不是最终目标。
按照规范要求，涉及处理三级及以上系统敏感数据的业务管理系统，应当按照三级等级保护要求开展整体规划、建设、运行和管理。在技术层面，需要建立完善的身份鉴别、访问控制、安全审计、入侵防范、恶意代码防护、数据备份恢复、密码应用、安全运维等防护体系；在管理层面，需要建立覆盖组织机构、安全管理制度、资产管理、人员管理、供应链管理、运维管理、应急处置等全过程的管理机制；在人、财、物保障层面，则需要配备相应的专职安全管理和技术人员，落实培训考核机制，保障持续的安全投入，配置符合要求的安全设备和运行环境，形成稳定、持续、可验证的安全运营能力。
与此同时，对于测评机构而言，密码应用的重要性也被进一步凸显。规范明确要求采用符合国家密码管理要求的密码技术和产品保护相关数据，这意味着未来不仅要关注数据是否存储，更要关注数据如何存储、如何访问、如何传输以及如何审计，真正实现敏感数据全生命周期的安全管理和可信保护。
从更深层次来看，这反映出监管思路正在从过去偏重资质审查和结果验证，逐步转向能力建设和过程监管。监管关注的重点不再仅仅是测评机构是否拥有开展业务的资格，而是其是否具备持续保障数据安全和网络安全的能力。特别是在《网络安全法》《数据安全法》《个人信息保护法》以及关键信息基础设施安全保护制度持续深化的背景下，测评机构既是网络安全服务提供者，也是重要的数据处理者和安全责任主体。
可以预见，未来测评机构将同时承担两种角色：一方面是等级保护制度的技术支撑力量和实施推动者；另一方面，也将作为被监管对象接受同等标准、同等要求的监督审视。意味着测评机构需要建立更加完善的数据分类分级体系、密码应用体系、安全运营体系和数据全生命周期管理机制，以不低于服务对象的标准建设自身安全能力。
从行业发展的角度看，这不仅是一项具体的合规要求，更代表着等级保护生态的一次成熟升级。过去，行业更多强调“如何测别人”；未来，则更加强调“先达到标准，再评价标准”。真正优秀的测评机构，不仅要能够发现别人的问题，更要能够证明自己具备解决这些问题的能力。某种意义上，这也标志着等级保护工作正在从“测别人”迈向“先管自己，再服务他人”的新阶段。
等保、关保、数保、个保，网络安全与数据治理“四位一体”的体系化制度框架
>>>等级保护<<<
网络安全等级保护制度演进，回看2006年7号文（过渡性文件）
闲话等级保护：网络产品和服务安全通用要求之基本级安全通用要求
网络安全等级保护：做等级保护不知道咋定级？来一份定级指南思维导图
>>>工控安全<<<
标准下载：工业控制系统信息安全防护能力成熟度模型GB/T 41400-2022
>>>数据安全<<<
>>>供应链安全<<<
>>>其他<<<
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论