2026年1月28日22:03:58评论85 views字数 1112阅读3分42秒阅读模式

本文介绍了二级和三级信息系统在等保测评中的时效要求，二级系统建议定期测评，三级系统每年至少测评一次，四级每半年一次，五级依特殊需求测评。测评内容包括漏洞扫描、渗透测试等，确保系统安全。

20_等保系列之二级和三级信息系统测评时效

请勿利用文章内的相关技术从事非法渗透测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具和内容均来自网络，仅做学习和记录使用，安全性自测，如有侵权请联系删除。

不同级别的测评时效

根据《信息安全等级保护管理办法》和相关法律法规，二级和三级信息系统需要按照规定的时间周期进行测评，通过定期测评，可以发现系统的安全隐患和弱点，及时采取措施进行整改来保障信息系统的安全。

二级:对于二级信息系统，根据《信息安全等级保护管理办法》的规定，新建的二级信息系统在投入运行后30日内，需在单位所在区域网安进行备案，并提交相应的信息系统备案材料。已运营的二级信息系统，在确定等级后，也应在30日内进行备案。二级信息系统不强制要求定期测评，但建议定期找测评机构进行测评或进行系统自测。
三级:三级信息系统则要求更为严格。根据同一法规，三级信息系统需要每年至少进行一次等级测评。三级信息系统的安全保护要求比二级更高，适用于重要信息系统和跨省、跨市或全国联网运营的信息系统。
四级:第四级信息系统应当每半年至少进行一次等级测评。
五级:第五级信息系统应当依据特殊安全需求进行等级测评。

根据测评指导书，利用技术工具对系统进行测试，包括基于网络探测和基于主机审计的漏洞扫描、渗透性测试、性能测试、入侵检测和协议分析等。并且备份测试结果。

一级:满足GB/T22239-2008中的一级要求。
二级:满足GB/T22239-2008中的二级要求，针对主机、服务器、关键网络设备、安全设备等设备进行漏洞扫描等。
三级:满足GB/T22239-2008中的三级要求，针对主机、服务器、网络设备、安全设备等设备进行漏洞扫描，针对应用系统完整性和保密性要求进行协议分析，渗透测试应包括基于一股脆弱性的内部和外部渗透攻击。
四级:满足GB/T22239-2008中的四级要求，针对主机、服务器、网络设备、安全设备等设备进行漏洞扫描，针对应用系统完整性和保密性要求进行协议分析，渗透测试应包括基于一般脆弱性的内部和外部渗透攻击。输出/产品:技术安全测评的网络、主机、应用测评结果记录，工具测试完成后的电子输出记录，备份的测试结果文件。

√ 不同级别的测评时效

√ 测评相关规定

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。