密评和等保测评的难点和挑战有哪些如何应对密评和等保测评的困难

文章来源：全云在线

密评和等保测评的难点和挑战主要包括以下几个方面：首先，评估对象的复杂性和多样性使得评估工作更加困难，因为不同系统和网络的结构、配置和功能差异很大，评估人员需要对各种情况进行充分了解和分析。其次，评估过程需要收集大量的信息和数据，包括技术文档、配置文件、安全策略等，这对评估人员的技术能力和信息获取能力提出了较高要求。此外，评估过程中还需要

如果想要了解等保具体费用多少？可以先通过报价工具测算大概费用，可查看“纯测评”或“一站式全包”费用：等保价格计算器：https://offer.cloudallonline.com/?re

密评和等保测评的难点和挑战有哪些？如何应对密评和等保测评的困难？

摘要

密级保护（简称密评）和信息安全等级保护（简称等保）是我国针对不同类型的信息系统制定的两套安全标准，旨在提高信息系统的安全性和可靠性。密评主要适用于涉及国家秘密的信息系统，而等保主要适用于涉及公民个人信息、重要数据和国家安全的信息系统。密评和等保测评是指对信息系统进行安全性能、功能、管理、运维等方面的检测和评估，以验证其是否符合相应的安全要求。

密评和等保测评对信息系统提出了较高的安全要求，同时也给信息系统的建设、运维、管理带来了一些难点和挑战。本文将从以下四个方面分析密评和等保测评的难点和挑战，并提出相应的应对措施：

• 密评和等保测评标准的复杂性和动态性

• 密评和等保测评过程的繁琐性和耗时性

• 密评和等保测评成本的高昂性和风险性

• 密评和等保测评人员的匮乏性和专业性

正文

一、密评和等保测评标准的复杂性和动态性

密评和等保测评标准是指对信息系统进行安全检测和评估时所依据的规范、规则、方法、流程等。密评标准主要包括《国家密码管理条例》、《国家秘密计算机信息系统安全管理办法》、《国家秘密计算机信息系统安全技术规范》等，而等保标准主要包括《中华人民共和国网络安全法》、《信息安全技术 信息系统安全等级保护基本要求》、《信息安全技术 信息系统安全等级划分指南》等。

密评和等保测评标准具有一定的复杂性，因为它们涵盖了多个层面、多个领域、多个方面的安全要求，如物理安全、网络安全、数据安全、应用安全、管理安全、运维安全等。这些安全要求又分为不同的级别、类别、类型，如密级划分、风险分析、控制措施、检测方法、审计方式等。这些标准需要信息系统建设者、运维者、管理者以及测评机构熟悉掌握，并根据不同的信息系统特点进行合理选择和适配。

密评和等保测评标准也具有一定的动态性，因为它们随着信息技术的发展、社会需求的变化以及法律法规的修订而不断更新完善。例如，2019年发布了《密码法》，2020年发布了《密码行业管理办法》，2021年发布了《网络数据安全管理办法》，这些法律法规对密评标准提出了新的要求和指导。同样，2020年发布了《信息安全技术 信息系统安全等级保护基本要求（第二版）》，2021年发布了《信息安全技术 信息系统安全等级保护实施指南（第二版）》，这些技术规范对等保标准进行了修订和补充。这些标准的变化需要信息系统建设者、运维者、管理者以及测评机构及时关注和适应，并根据最新的规定进行调整和改进。

如何应对密评和等保测评标准的复杂性和动态性？

• 建立专门的团队或部门，负责密评和等保测评标准的学习、分析、解读、落实，以及与相关部门和机构的沟通协调。

• 定期组织培训和考核，提高团队或部门成员对密评和等保测评标准的理解和掌握，以及对不同信息系统的安全需求的识别和判断。

• 建立有效的信息收集和更新机制，及时关注密评和等保标准的变化和动态，以及相关领域的最新技术和趋势，为信息系统的安全建设、运维、管理提供参考和支持。

• 建立灵活的方案制定和调整机制，根据密评和等保测评标准的要求，制定合理的安全策略、措施、方案，并根据实际情况进行优化和改进。

二、密评和等保测评过程的繁琐性和耗时性

密评和等保测评过程是指对信息系统进行安全检测和评估时所遵循的步骤、流程、方法等。密评过程主要包括以下几个阶段：申请密级划分、制定安全方案、实施安全建设、进行自检自查、提交测评申请、接受测评检查、获得测评结论。而等保过程主要包括以下几个阶段：确定安全等级、制定安全方案、实施安全建设、进行自检自查、提交测评申请、接受测评检查、获得测评结论。

密评和等保测评过程具有一定的繁琐性，因为它们涉及了多个环节、多个部门、多个文件的协调、沟通、审核、签署等。例如，申请密级划分需要填写《国家秘密计算机信息系统密级划分申请表》并附上相关材料，经过单位领导审批后提交给上级主管部门或密码管理部门。而确定安全等级需要填写《信息系统安全等级划分报告》并附上相关材料，经过单位领导审批后提交给上级主管部门或网络安全管理部门。这些环节需要花费大量的时间和精力，并且可能遇到各种问题和困难。

密评和等保测评过程也具有一定的耗时性，因为它们需要在一定的期限内完成各个阶段的工作，并且可能受到各种因素的影响而延期或中断。例如，制定安全方案需要根据信息系统的特点和需求，选择合适的技术方案、产品方案、管理方

案、运维方案等，并进行安全测试和验证。而实施安全建设需要根据安全方案，采购安全产品、部署安全设备、配置安全参数、开展安全培训等，并进行安全检查和评估。这些阶段需要花费大量的资金和资源，并且可能遇到各种技术和管理的难题和挑战。

如何应对密评和等保测评过程的繁琐性和耗时性？

• 建立专门的项目组或小组，负责密评和等保测评过程的规划、执行、监督、总结，以及与相关部门和机构的协作和沟通。

• 定期制定和更新工作计划和进度表，明确密评和等保测评过程的目标、任务、责任、时间、成本等，并根据实际情况进行调整和优化。

• 建立有效的文档管理和流程控制机制，规范密评和等保测评过程所涉及的各类文件的编制、存储、传递、签署等，并采用电子化、自动化、智能化等手段提高工作效率和质量。

• 建立灵活的应急处理和问题解决机制，根据密评和等保测评过程中可能出现的各种风险和问题，制定相应的预防措施、应对策略、解决方案，并及时采取有效的行动。

三、密评和等保测评成本的高昂性和风险性

密评和等保测评成本是指为了达到密评和等保测评标准的要求，信息系统建设者、运维者、管理者以及测评机构所需要投入的资金、资源、人力等。密评和等保测评成本主要包括以下几个方面：安全产品的采购成本、安全设备的部署成本、安全参数的配置成本、安全培训的开展成本、安全检测的执行成本、安全审计的委托成本等。

密评和等保测评成本具有一定的高昂性，因为它们需要购买符合国家标准或认证要求的安全产品，如密码产品、防火墙产品、入侵检测产品等；需要部署符合国家规范或规定要求的安全设备，如密码机、专用网络设备、专用存储设备等；需要配置符合国家规则或指导要求的安全参数，如密码算法、密码强度、密码周期等；需要开展符合国家政策或法律要求的安全培训，如密码知识培训、网络安全培训、数据保护培训等；需要执行符合国家方法或流程要求的安全检测，如渗透测试、漏洞扫描、功能测试等；需要委托符合国家资质或条件要求的测评机构进行安全审计，如密码管理部门或机构、网络安全管理部门或机构等。这些成本都是相对较高的，并且可能随着信息系统规模的增大而增加。

密评和等保测评成本也具有一定的风险性，因为它们可能受到各种不确定因素的影响而导致损失或失败。例如，安全产品可能存在缺陷或漏洞，导致信息系统的安全性能下降或被攻击；安全设备可能出现故障或损坏，导致信息系统的安全功能失效或中断；安全参数可能被泄露或篡改，导致信息系统的安全数据被窃取或破坏；安全培训可能不到位或不及时，导致信息系统的安全人员缺乏知识或意识；安全检测可能不准确或不完善，导致信息系统的安全问题被遗漏或误报；安全审计可能不公正或不专业，导致信息系统的安全评价被质疑或否定。

如何应对密评和等保测评成本的高昂性和风险性？

• 建立专门的财务管理和成本控制机制，负责密评和等保测评成本的预算、审批、分配、核算、监督等，并采用合理的采购方式、优惠的价格策略、有效的节约措施等降低成本支出。

• 建立专门的风险管理和风险防范机制，负责密评和等保测评成本的风险识别、风险评估、风险控制、风险应对等，并采用科学的方法论、工具、技术等提高风险管理水平和能力。

• 建立专门的质量管理和质量保证机制，负责密评和等保测评成本的质量标准、质量监测、质量改进、质量认证等，并采用严格的流程、规范、方法等提高质量满意度和信任度。

四、密评和等保测评人员的匮乏性和专业性

密评和等保测评人员是指参与密评和等保测评过程的各类人员，如信息系统建设者、运维者、管理者以及测评机构的工作人员。密评和等保测评人员主要包括以下几个角色：安全设计师、安全工程师、安全管理员、安全培训师、安全测试师、安全审计师等。

密评和等保测评人员具有一定的匮乏性，因为它们需要具备较高的学历背景、专业知识、技能能力、经验素养等。例如，安全设计师需要具备计算机科学、密码学、网络安全等相关专业的学位或证书，以及对信息系统安全需求分析、方案设计、架构规划等方面的深入理解和丰富经验；而安全审计师需要具备国家密码管理部门或网络安全管理部门颁发的相应资质或认证，以及对信息系统安全检测方法、流程、标准等方面的熟练掌握和严谨执行。这些人员在市场上是相对稀缺的，并且可能随着信息系统复杂度的增加而增加。

密评和等保测评人员也具有一定的专业性，因为它们需要不断地学习更新自己的知识体系、技能水平、经验方法等。例如，安全工程师需要不断地了解最新的密码技术、网络技术、数据技术等，并将其应用到信息系统安全建设中；而安全培训师需要不断地掌握最新的密码政策、网络法