十年问题测评看不见，等级测评价值何在？

利刃信安

2026年6月26日 01:30
北京

在小说阅读器读本章

去阅读

以下文章来源于河南等级保护测评
，作者何威风

河南等级保护测评
.

等级保护，不只是等级测评！一起探讨更全面的等级保护制度！做对用户有真实价值的网络安全服务，等级保护测评、风险评估、网络安全培训、网络安全咨询、网络安全合规。传播网络安全知识，分享网络安全政策，共建风清气正的网络安全氛围。

有些网络运营者十来年一直沿用与实际业务运行几乎完全脱节的模板化的安全管理制度，而在十年的时间里先后委托五六家等级测评机构开展等级测评活动，却始终没有被指出和纠正，那么这种现象已经很难再用“疏忽”“遗漏”或者“个别人员能力不足”来解释。因为制度与实际业务不一致并非隐藏很深的技术漏洞，也不是需要高级攻防技术才能发现的复杂风险，而是等级测评过程中最基础、最直接、最容易验证的问题之一。

经过近十年、多轮次、多家专业机构的专业化等级测评浅显的问题长期存在，仍然一直未被发现，其背后反映的更可能是部分测评机构长期存在的责任缺失和价值缺位问题，糊弄性测评司空见惯已经不是某一家测评机构的问题，而是行业乱象了。

等级测评机构作为国家网络安全治理体系中的重要组成部分，其职责并不仅仅是完成测评流程、出具测评报告，更重要的是发现风险、揭示问题、推动整改，为责任单位提供客观、公正、专业的安全评估服务。如果测评机构明知制度与实际运行不符，却选择视而不见；或者为了维持客户关系、确保项目顺利验收而回避问题，那么这种行为实际上已经偏离了等级测评制度设立的初衷。测评机构本应是风险发现者和安全守门人，而不是形式合规的证明者和利益关系的维护者。

更严重的是，这种长期存在的问题会不断消耗等级保护制度的公信力。当责任单位花费资金、投入时间，连续多年接受等级测评，却依然保留着与实际业务脱节的制度体系时，说明测评工作并没有真正发挥发现风险和提升安全能力的作用。测评报告或许每年都在出具，测评结论或许每年都在形成，但这些成果并没有转化为实际的安全改进。久而久之，等级测评在部分单位眼中可能就会沦为一种例行程序、一项合规手续，而不再是一种风险治理工具。这种结果不仅损害了责任单位的利益，也削弱了整个等级保护制度的社会价值。

责任单位最大的损失并不是测评费用本身，而是失去了发现问题和改进问题的机会。责任单位相信测评机构具备专业能力，因此将风险识别的重要职责部分交给第三方机构承担。如果测评机构未能履行这一职责，那么责任单位获得的实际上是一种虚假的安全感。表面上看，制度齐全、测评通过、报告完整，但真实的管理漏洞却长期存在。一旦发生网络安全事件，责任单位才会发现，多年的测评并没有帮助其建立真正有效的安全管理体系。当然，这里也说明责任单位对等级测评的严重误解，而测评机构在这个过程中也没有起到让责任单位明白等级测评价值的作用，一再误导责任单位“报告”等同于合规。

这种现象还会造成资源浪费和价值错配。等级保护工作的目的本是提升社会整体网络安全水平，而测评机构则是实现这一目标的重要力量。如果测评活动不能发现问题、不能推动整改，那么大量投入到测评中的社会资源实际上并没有产生应有的安全效益。真正有能力、敢于发现问题的机构可能因为成本更高、整改意见更严格而失去市场，而那些迎合客户、回避问题、流于形式的机构却能够长期生存，这种现象无疑会形成“劣币驱逐良币”的市场环境。

国家网络安全治理层面看，影响则更加深远。等级保护制度的核心价值在于通过持续发现风险、整改风险和控制风险，提升国家整体网络安全防护能力。如果大量测评机构长期停留在“检查材料、核对文件、编写报告”的层面，而不愿意触及真实问题，那么最终形成的将是一套看似完整、实则失效的风险发现机制。监管部门看到的是合规数据，责任单位拿到的是合规报告，但真实风险却依然潜伏在系统之中。这不仅削弱了等级保护制度的治理效能，也会影响国家网络安全战略目标的实现。

因此，对于这种持续近十年、经历多家测评机构仍然未被发现的基础性问题，与其说是技术能力不足，不如说是部分机构职业责任感缺失的体现。因为发现问题需要能力，而指出问题则需要担当。当测评机构把维护客户关系放在发现风险之前，把顺利完成项目放在客观评价之前，把出具报告当作最终目标而非风险治理手段时，等级测评就失去了应有的价值。

GB/T 36959—2026之所以强化重大风险发现能力、能力验证活动和风险控制措施要求，其深层目的正是在于改变这种现状。未来等级测评机构存在的意义，不是证明责任单位“没有问题”，而是帮助责任单位发现“存在哪些问题”；不是帮助客户获得一份报告，而是帮助客户提升安全能力。如果一家机构长期无法发现问题、不愿发现问题或者不敢发现问题，那么无论其资质存在多久、历史多么悠久，都已经失去了作为等级测评机构应有的社会价值。从行业健康发展的角度看，这类机构被市场淘汰并非苛刻要求，而是等级保护制度回归本质、实现高质量发展的必然选择。只有让真正独立、客观、专业、负责的测评机构成为行业主体，等级保护工作才能真正发挥风险治理作用，而不是停留在形式合规的层面。

等保、关保、数保、个保，网络安全与数据治理“四位一体”的体系化制度框架

网络安全等级保护制度统一框架辨析

>>>等级保护<<<

从资质驱动到能力驱动——新标准下测评机构的生与死

测评机构迎大考，安全厂商的机会来了！

测评机构的回旋镖来了！测评机构不仅要会“测别人”，更要先“管好自己”

新标准背景下等级测评机构应培养什么样的人才

供应链企业应该如何适应等级保护发展