其實，我們很多從事信息安全行業(yè)的人，交流時常常會提及“等?！薄胺直！薄懊茉u”這些概念，那么他們之間的聯(lián)系與區(qū)別往往不是說的太清楚，大部分都在說他們之間的不同，而聯(lián)系這塊在很多公眾號中是未提及的。甚至對“等保”“分?！薄皽y評”這些詞匯認知也是模棱兩可的?？吹轿疫@個標題的朋友，自然會發(fā)現(xiàn)無論是“等級保護”“分級保護”“密碼保護”后面我都加了“測評”倆字。因為我個人認為這是較為嚴謹?shù)拿枋?，當然我接下來也會“引?jīng)據(jù)典”說明之。

　　首先，我根據(jù)《信息安全等級保護管理辦法》即常說的43號文簡單整理了一張圖來說明之，供大家參考！

　　我相信，明眼人也看出來了。所謂“等級保護測評”“分級保護測評”“密碼保護測評”是等級保護制度下三個方面，統(tǒng)歸在等級保護制度之下。換言之，我們口中常說的“等保”是“等級保護測評”的簡稱最恰切，而不是“等級保護”的簡稱，等級保護涵蓋公安、保密、密碼三個管理部門監(jiān)管的三個方向，《網(wǎng)絡(luò)安全法》第二十一條國家實行網(wǎng)絡(luò)安全等級保護制度。就是常說的“等?！薄胺直！薄懊茉u”共同組成《網(wǎng)絡(luò)安全法》中要求的“網(wǎng)絡(luò)安全等級保護制度”，所以網(wǎng)絡(luò)運營者要履行非涉密信息系統(tǒng)的等級保護測評、密碼保護測評以及涉密系統(tǒng)的分級保護測評，這樣才是真正履行網(wǎng)絡(luò)安全等級保護制度。所以，做等級保護測評的千萬不能曲解法律法規(guī)，不然在協(xié)助客戶工作中，有可能把客戶帶偏。

　　我們借助《信息安全等級保護管理辦法》43號文談一下“分級保護測評”，在《信息安全等級保護管理辦法》的第四章明確了涉密信息系統(tǒng)的分級保護管理等內(nèi)容，其中第二十四條這樣描述“涉密信息系統(tǒng)應(yīng)當依據(jù)國家信息安全等級保護的基本要求，按照國家保密工作部門有關(guān)涉密信息系統(tǒng)分級保護的管理規(guī)定和技術(shù)標準，結(jié)合系統(tǒng)實際情況進行保護。非涉密信息系統(tǒng)不得處理國家秘密信息等。”

　　在第二十五條，涉密信息系統(tǒng)按照所處理信息的最高密級，由低到高分為秘密、機密、絕密三個等級。涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當在信息規(guī)范定密的基礎(chǔ)上，依據(jù)涉密信息系統(tǒng)分級保護管理辦法和國家保密標準BMB17-2006《涉及國家秘密的計算機信息系統(tǒng)分級保護技術(shù)要求》確定系統(tǒng)等級。對于包含多個安全域的涉密信息系統(tǒng)，各安全域可以分別確定保護等級。保密工作部門和機構(gòu)應(yīng)當監(jiān)督指導(dǎo)涉密信息系統(tǒng)建設(shè)使用單位準確、合理地進行系統(tǒng)定級。

　　在第二十七條 涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當選擇具有涉密集成資質(zhì)的單位承擔(dān)或者參與涉密信息系統(tǒng)的設(shè)計與實施。涉密信息系統(tǒng)建設(shè)使用單位應(yīng)當依據(jù)涉密信息系統(tǒng)分級保護管理規(guī)范和技術(shù)標準，按照秘密、機密、絕密三級的不同要求，結(jié)合系統(tǒng)實際進行方案設(shè)計，實施分級保護，其保護水平總體上不低于國家信息安全等級保護第三級、第四級、第五級的水平。

　　由以上三條結(jié)合43號第三條中描述“國家保密工作部門負責(zé)等級保護工作中有關(guān)保密工作的監(jiān)督、檢查、指導(dǎo)”，我們看到“分?！笔堑燃壉Ｗo工作中“有關(guān)保密工作”，同屬于等級保護制度大體系范圍內(nèi)。另外，“分保”有自己一套法規(guī)和規(guī)范，但統(tǒng)屬在等級保護之內(nèi)，而且從第二十七條也可以看到分級保護的信息系統(tǒng)“不低于國家信息安全等級保護第三級、第四級、第五級的水平”，這也是彼此之間的聯(lián)系。

　　我們借助《信息安全等級保護管理辦法》43號文再淺層次的探討一下“密碼保護測評”，在《信息安全等級保護管理辦法》的第五章明確了信息安全等級保護的密碼管理等內(nèi)容，其中第三十四條這樣描述“國家密碼管理部門對信息安全等級保護的密碼實行分類分級管理。根據(jù)被保護對象在國家安全、社會穩(wěn)定、經(jīng)濟建設(shè)中的作用和重要程度，被保護對象的安全防護要求和涉密程度，被保護對象被破壞后的危害程度以及密碼使用部門的性質(zhì)等，確定密碼的等級保護準則?！薄靶畔⑾到y(tǒng)運營、使用單位采用密碼進行等級保護的，應(yīng)當遵照《信息安全等級保護密碼管理辦法》、《信息安全等級保護商用密碼技術(shù)要求》等密碼管理規(guī)定和相關(guān)標準?！?/p>

　　第三十九條描述為“各級密碼管理部門可以定期或者不定期對信息系統(tǒng)等級保護工作中密碼配備、使用和管理的情況進行檢查和測評，對重要涉密信息系統(tǒng)的密碼配備、使用和管理情況每兩年至少進行一次檢查和測評。在監(jiān)督檢查過程中，發(fā)現(xiàn)存在安全隱患或者違反密碼管理相關(guān)規(guī)定或者未達到密碼相關(guān)標準要求的，應(yīng)當按照國家密碼管理的相關(guān)規(guī)定進行處置?！?/p>

　　而在《密碼法》的第二十七條描述為“法律、行政法規(guī)和國家有關(guān)規(guī)定要求使用商用密碼進行保護的關(guān)鍵信息基礎(chǔ)設(shè)施，其運營者應(yīng)當使用商用密碼進行保護，自行或者委托商用密碼檢測機構(gòu)開展商用密碼應(yīng)用安全性評估。商用密碼應(yīng)用安全性評估應(yīng)當與關(guān)鍵信息基礎(chǔ)設(shè)施安全檢測評估、網(wǎng)絡(luò)安全等級測評制度相銜接，避免重復(fù)評估、測評。”“關(guān)鍵信息基礎(chǔ)設(shè)施的運營者采購涉及商用密碼的網(wǎng)絡(luò)產(chǎn)品和服務(wù)，可能影響國家安全的，應(yīng)當按照《中華人民共和國網(wǎng)絡(luò)安全法》的規(guī)定，通過國家網(wǎng)信部門會同國家密碼管理部門等有關(guān)部門組織的國家安全審查?！?/p>

　　這樣，等級保護測評與密碼測評則通過43號文與《密碼法》共同指向《網(wǎng)絡(luò)安全法》有關(guān)落實等級保護制度的要求。

　　接下來我們再回顧一下基本概念：

　　網(wǎng)絡(luò)安全等級保護測評：（簡稱“等級測評”）是測評機構(gòu)依據(jù)國家信息安全等級保護制度規(guī)定，按照有關(guān)管理規(guī)范和技術(shù)標準，對非涉及國家秘密信息系統(tǒng)安全等級保護狀況進行檢測評估的活動，是信息系統(tǒng)安全等級保護工作的重要環(huán)節(jié)。

　　商用密碼應(yīng)用安全評估：（簡稱“密碼測評”或“密評”）是指對采用商用密碼技術(shù)、產(chǎn)品和服務(wù)集成建設(shè)的網(wǎng)絡(luò)和信息系統(tǒng)密碼應(yīng)用的合規(guī)性、正確性、有效性進行評估。

　　本文主要依據(jù)43號文、《網(wǎng)絡(luò)安全法》《密碼法》等文件，“等級保護”“等級保護測評”“分級保護測評”“密碼保護測評”等進行了一個概念上的簡單聯(lián)系與區(qū)分，有關(guān)技術(shù)細節(jié)在本文中未體現(xiàn)。