企业官网建设流程全解析

摘要：本文基于等保合规的实操经验，梳理了从定级、备案、建设整改到等级测评的完整链路。重点说明定级是整个流程的根节点，需按责任主体、业务关联性、数据边界和拓扑位置四个维度划分定级对象；同时给出三级备案的排期要点、测评周期以及一份可复用的自查清单，帮助读者把等保工作从概念落到可执行的年度动作。

最近协助推进公司的等保合规，把整个链路整理成一份笔记。网上的资料大多只讲概念，实操细节零散，这篇尝试把「怎么做」讲清楚。

一、整体链路

定级 → 备案 → 建设整改 → 等级测评 → （整改复测）→ 持续维护。这五步里，定级是最容易被低估的。它不是填一张表，而是决定了后面全部工作范围的根节点。

二、五个等级与判断方法

等保分为五级，企业实际中以二级、三级居多。判断方法是二维矩阵：客体影响和损害程度共同决定最终等级。客体层级越高 + 损害程度越重，等级越高。

三、定级对象划分（最影响成本的一步）

四个判定维度：

1. 责任主体：是否同一运营单位管理
2. 业务关联性：是否服务同一业务目标
3. 数据边界：数据是否在同一信任域内流转
4. 拓扑位置：是否共享同一边界防护

常见错误：把所有系统捆成一个对象，整改范围失控；拆得太碎，测评工作量翻倍。

四、关于「自主定级」

正确理解是：运营使用单位作为责任主体必须主动开展定级并承担责任，并非「自己决定即可」。三级及以上系统通常还需组织专家评审，并报属地公安机关审核确认。

五、三级备案的关键约束

三级系统的备案材料中，测评报告是必要组成部分。正确排期：定级/备料 → 测评机构进场 → 出具测评报告 → 报告随材料提交 → 取得备案证明。

六、周期表

• 三级系统：每年测评一次
• 二级系统：原则上两年一次（以属地公安机关要求为准）

系统发生重大变更时通常也应重新测评。

七、可复用的自查清单

• 业务边界与责任主体是否明确
• 数据流清单是否完整
• 敏感数据字段是否识别完成
• 定级报告是否写好
• 三级及以上：专家评审和公安审核是否已安排
• 测评机构是否已确定、排期是否已定
• 年度测评周期是否已纳入预算

小结

先切边界，再定级；测评要前置排期；这是年度动作，不是一次性采购。

免责声明：本文为个人实践笔记，各地公安机关办理要求存在差异，请以属地最新规定为准。