「未通过等保测评、存在高危漏洞的系统，立即下线整改。」信阳师范大学 10 月 12 日那份通知里，这句话下面还压着一个日期：10 月 23 日前把排查情况报上去。新建的小程序、微服务、网站，上线前须完成定级、备案和测评，没过的不得上线；已经上线又没走流程的，限期补测补评。
有人把这当成学校自己的事。其实不是。公安部 176 号令 10 月 1 日施行之后，安全检查从看材料转向看系统的真实运行状态，等保测评是其中很容易被翻出来的一项底账。企业官网和小程序只要在公网跑、在处理用户数据，就处在同一套要求之下。
一、先确认：你的站是不是定级对象
等保相关规定里，定级对象按业务和数据来定，与站点大小无关。一个只有几页的公司官网、一个只做预约登记的微信小程序，只要在公网提供信息服务、采集了用户信息，就属于定级对象。电商、在线教育、医疗健康、金融科技，以及自建机房的传统企业，是关注比较集中的几类。
两个常见误判：一是觉得内部 OA 不用管，部署在公有云、暴露了公网 IP 的，同样要定级；二是拿「体量小」当理由，漏掉对外提供服务的后端接口。稳妥的做法是先盘清单：域名、小程序、微服务、对外开放的 API，逐个标注是否承载业务数据、是否面向公众。
▲ 二级与三级在适用对象、评审方式、测评频率上的差别
二、二级还是三级，决定时间和钱
企业站的起点通常是二级。涉及支付、医疗、教育、政务，或者用户数据到百万级的，一般按三级执行。差别不小：三级要专家评审，定级结论还要报属地公安网安部门做备案前审核，测评每年至少一次；二级流程相对简化，部分省份允许精简，但基础技术措施和管理制度一样要齐。
时限是硬的。定级完成后 30 日内向属地公安机关备案，公安收到材料后 10 个工作日内出备案证明，不符合要求的先纠正。整改和测评要单独留出时间，从着手到拿到合格报告，预留一个半月比较稳。投入上，安全产品加等保测评的年支出通常在五千元到数万元；把安全预算压到总投入 5% 以下，基本等于给自己留隐患。
▲ 从定级到上线，五步的顺序与各自的时间口径
三、把它排进上线计划
材料上的坑集中在两处：网络拓扑图和实际架构对不上；制度写得很齐，却落不到日常操作里。定级报告、专家评审意见、拓扑图、安全管理制度清单、承诺书，这几样提前准备；涉及客户或个人信息的，同步做个人信息保护影响评估。
别等提审才发现要补。新建项目在立项和方案设计阶段就把定级备案写进节点，否则上线时间会被测评周期拖住；已经上线的先自查一轮，缺什么补什么。
顺序理一下：盘清单，确认是不是定级对象；定级，判断二级还是三级；备案；整改；测评；再上线。这几步在我们的交付流程里会一起过，节点和材料清单写进交付文档。
米兰体育秉承"专业团队、品质服务" 的经营理念，诚信务实的服务了近万家客户，成为众多世界500强、集团和上市公司的长期合作伙伴！
米兰体育成立于2001年，擅长网站建设、网站与各类业务系统深度整合，致力于提供完善的企业互联网解决方案。米兰体育提供PC端网站建设（品牌展示型、官方门户型、营销商务型、电子商务型、信息门户型、微信小程序定制开发、移动端应用（手机站、APP开发）、微信定制开发（微信官网、微信商城、企业微信）等一系列互联网应用服务。
公安局备案号：
专属顾问
