测评周期怎么排
等级测评不是一次性验收，而是按周期重复的合规动作：三级系统每年至少一次，四级每半年至少一次，二级按属地监管要求执行，一级无强制周期要求。周期制度的意义在于持续验证：系统改版、扩容、迁移之后，原有防护措施可能已经失效，只有周期性测评与整改才能把合规状态维持住。
测评周期
| 等级 | 测评周期 | 说明 |
|---|---|---|
| 一级 | 无强制周期要求 | 运营使用单位自主保护 |
| 二级 | 按属地监管要求执行 | 部分地区要求定期测评 |
| 三级 | 每年至少一次 | 重点监管对象，报告按要求报送 |
| 四级 | 每半年至少一次 | 强制测评，检查频度更高 |
| 五级 | 按特殊安全需求确定 | 专门管控 |
年度节奏建议
年度节奏建议
# 把测评当项目排期，而不是年底冲刺
Q1 上年问题整改收口 + 本年度自查与计划
Q2 测评机构选定、范围确认、进场准备
Q3 现场测评、问题清单确认与整改实施
Q4 整改复测、报告归档、监管报送与下年度预算基本信息
| 依据 | 《信息安全等级保护管理办法》（公通字〔2007〕43 号） |
|---|---|
| 三级 | 每年至少一次等级测评 |
| 四级 | 每半年至少一次等级测评 |
| 报告用途 | 合规证明、监管报送、内部整改依据 |
| 时间锚点 | 建议固定在同一个月实施，便于纵向对比整改效果 |
周期内要做的四件事
- 上年遗留问题整改：把上期问题清单结清，避免逐年累积
- 系统变更同步评估：版本升级、扩容、架构调整后复核相关条款
- 差距自查：按十个安全类与扩展要求过一遍，把问题消化在进场之前
- 材料归档：测评报告、整改记录、监督检查回执统一归档，便于随时调阅
常见年度卡点
| 卡点 | 后果 | 应对 |
|---|---|---|
| 预算审批晚 | 测评推迟到年底，整改窗口被压缩 | 把测评与整改打包进年初预算 |
| 测评机构排期紧张 | 进场时间被迫延后 | 提前两到三个月预约并确认范围 |
| 整改与业务变更撞车 | 变更窗口不足，风险操作集中 | 按批次整改，硬性条款优先 |
| 问题清单未闭环 | 次年重复出现同类问题 | 建立台账并按月复盘超期项 |
典型使用场景
- 集团合规日历：把各单位的测评月份错开，便于专家与资源复用
- 多系统并行：按等级分组，三级以上优先安排
- 监管检查前：确认测评报告在有效期内且整改已闭环
- 新建系统上线当年：纳入当年计划，避免漏测
测评报告本身有有效期概念：监管检查通常看最近一次测评是否在要求周期内，因此不要出现中间断档的年份。
三级系统漏测会被责令限期补测，并可能被依法处罚；把周期当建议、等到检查前才补，代价通常是加急费用与整改时间不足。
周期内高频复测项
- 口令与默认账号：改版或新设备上线后最容易回退
- 远程管理入口：新加的运维通道往往忘记加密与限源
- 日志留存链路：扩容或日志平台变更后采集可能中断
- 备份与恢复：备份任务长期静默失败是常态，需定期抽查
- 边界规则：临时放行常被遗忘，成为长期风险敞口
同一集团下的多套三级系统可以集中排期：共用测评机构、共用整改供应商、共用日志平台，能显著降低单系统的边际成本。