等保测评五步走，每一步要准备什么材料？（附清单）
悟安
悟安
悟安
2026年11月4日 22:20
北京
去阅读
等保测评全流程一共五步：定级、备案、整改、测评、监督。每一步要交什么、提前备什么，这篇按顺序说清楚。
第一步：系统定级
定级是整个等保的起点，等级定错，后面全部重来。
要准备的材料：
| 材料 | 说明 |
|---|---|
| 信息系统定级报告 | 按 GB/T 22240，从业务信息安全、系统服务安全两个维度分别定级，取两者中较高的等级 |
| 系统基本情况说明 | 系统功能、部署位置、数据类型、用户规模、对外服务方式 |
| 网络拓扑结构图 | 与实际情况一致，后文备案、测评都会用到 |
| 专家定级评审意见 | 定为二级及以上的系统必须组织专家评审 |
| 主管部门审核意见 | 有上级主管单位的，需主管部门盖章确认 |
实操提示：定级宜实不宜虚——定低了过不了监管核查，定高了成本翻倍。专家评审意见要在备案前拿到手，别等备案窗口排上了才发现缺这一份。
第二步：备案
拿着定级材料，到公安机关网安部门做备案登记。
要准备的材料：
| 材料 | 说明 |
|---|---|
| 备案表 | 公安机关制式表格，各地网安部门网站可下载 |
| 定级报告、拓扑图 | 与评审时提交的版本保持一致 |
| 营业执照复印件 | 加盖公章 |
| 经办人身份证明及授权委托书 | 非法定代表人亲自办理时需要 |
| 网络安全责任书 | 部分地区要求单独签署 |
| 云平台等保证明 | 系统部署在云上的，向云服务商索取其等保备案证明或测评结论 |
实操提示：备案向运营单位所在地县级以上公安机关网安部门提交，一般 10 个工作日内出具备案证明。云上系统最容易漏的就是云平台等保证明——这一份材料补起来要走云厂商流程，提前要。
第三步：建设整改
对照 GB/T 22239《网络安全等级保护基本要求》做差距分析，缺什么补什么。
要准备的材料：
| 材料 | 说明 |
|---|---|
| 差距分析报告 | 逐条对照相应等级要求，列出符合项与差距项 |
| 整改方案 | 技术整改 + 管理整改，含预算和周期 |
| 安全产品部署证明 | 云防火墙、WAF、堡垒机、日志审计、数据库审计、主机安全等设备的清单及部署截图 |
| 安全管理制度体系 | 总方针、管理制度、操作规程、记录表单，四层文档 |
| 整改实施记录 | 操作日志、变更记录、培训签到 |
实操提示：技术整改可以选云上安全组件，开通即用，周期比自建硬件短得多。管理文档别照抄模板——测评时老师会抽查执行记录，制度写得再漂亮，记录是空的照样扣分。
第四步：等级测评
委托有资质的测评机构对系统进行现场测评。
要准备的材料：
| 材料 | 说明 |
|---|---|
| 信息系统基本情况调研表 | 机构进场前发放，如实填写 |
| 资产清单 | 硬件、软件、数据、人员四类，需与实际一致 |
| 全套管理制度及执行记录 | 第三步的成果，直接复用 |
| 机房物理环境说明 | 自建机房提供；云上系统提供云平台资质证明 |
| 测评授权书、配合人员名单 | 授权渗透测试等高风险操作，安排对口配合人员 |
| 上一次测评报告 | 复测项目需要 |
实操提示：测评分技术和管理两块，综合得分 70 分以上才算\"基本符合\"。实际项目里，技术项靠设备拉分容易，管理文档的执行记录才是普遍丢分重灾区。金融、医疗等行业按监管要求普遍每年一测，日历要提前排。
第五步：监督检查
拿到测评报告不是终点，公安机关会开展日常监督检查。
要常备的材料：
- 备案证明
- 最近一次测评报告
- 测评问题项的整改报告
- 安全事件应急预案及演练记录
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论