五个动作的顺序
定级、备案、建设整改、等级测评、监督检查，顺序不能颠倒。常见错误是先买设备再定级，结果级别一变，方案全废。定级是后面所有工作的基准，级别定错，整改范围与预算都会跟着错，返工成本很高，别把顺序当成形式。
定级看两个变量
受侵害的客体与侵害程度共同决定级别，前者看公民法人权益、社会秩序公共利益还是国家安全，后者看一般、严重还是特别严重。业务方常凭感觉定高或定低：定高成本失控，定低通不过检查。拿不准时先做影响分析，再与属地公安机关沟通口径。
技术与管理各五面
技术侧看物理环境、通信网络、区域边界、计算环境与管理中心；管理侧看制度、机构、人员、建设与运维。两侧权重相当，只做技术不做管理，测评同样过不了；管理缺项往往比技术缺项更难临时补，因为要留下真实执行的记录。
云上责任共担
云平台通过测评不等于云上系统合规，企业仍要按自身业务定级并落实租户侧控制项。采购时索取平台的测评证明与责任划分说明，把安全组、账号、日志、备份这些租户责任写进运维清单，逐项有人负责。
测评不是终点
三级及以上系统通常每年测评一次，二级系统的频次按属地与行业要求执行；两次测评之间的日常运维、变更管理与自查才是主要工作量。把测评当年度大考、平时不管，整改成本会集中在几周内爆发，还会挤占正常迭代。
适用与不适用
适合谁
- 需要完成定级备案、迎接检查的成长型企业
- 云上业务较多、责任划分不清的组织
- 刚接到检查通知、不知从哪下手的团队
不适合谁
- 尚无对外系统、只有内部办公的团队
- 希望买一套设备就通过测评的项目
典型场景
某企业的订单系统跑在云上，一直用云平台的测评报告应付检查。安全负责人重新做影响分析，发现系统被破坏会影响大量用户交易，按属地口径完成定级备案；随后按租户责任清单补账号、日志与备份，再委托测评机构现场核查，整改项按责任部门挂单关闭。
可执行步骤
- 按业务影响做定级分析，形成定级报告，写清系统边界、业务范围与责任人
- 向属地公安机关提交定级备案，确认级别与系统边界，留存受理回执与备案证明
- 按控制项逐条做差距分析，排出整改清单，标明责任部门、预算与完成时间
- 委托具备资质的机构现场测评，逐项关闭不符合项，完成后申请复测
- 建立年度自查与变更管理机制，系统调整后同步更新备案材料与文档版本
常见坑
- 先采购后定级，级别一调整，已经买的设备用不上，方案返工，预算与工期同时超支，团队信心也受影响。
- 拿云平台的测评报告当自家合规证明，租户侧的账号、日志与备份控制项全是空的，检查一问就露底。
- 只做技术整改、不补管理制度，测评时管理项成片不符合，临时补文件也来不及，复测照样卡住，拖到下一年度。
- 测评通过后就不再维护，下一次复测时问题集中爆发，整改只能压缩在几周内，正常迭代也被打乱。
自检与验收清单
- 定级依据是否形成书面报告，说明边界与影响范围
- 备案范围是否覆盖全部对外系统，没有遗漏，能列出清单
- 技术与管理控制项是否都做了差距分析，留有清单
- 云上租户责任是否逐项落实到人，并有确认记录
- 年度自查与变更管理是否有固定周期与责任人
常见问题
二级系统需要测评吗？
二级系统通常需要开展测评或自评估，具体频次与形式按属地公安机关和行业主管要求执行。实践中不少地区要求二级系统定期测评，建议在定级备案时一并问清口径，避免按错误预期安排预算与人力。
等保和网络安全法的关系是什么？
等级保护是网络安全法确立的制度之一，属于法定义务的具体化。做等保是履行网络安全法义务的重要方式，但不等于全部；日志留存、事件报告、供应链管理等要求仍需单独落实，不能相互替代。
系统改造期间怎么处理？
重大变更应重新评估定级与安全措施，变更前做影响分析，变更后补测相关控制项并更新文档。不要等测评时才发现架构已与备案材料不符，那会带来额外的说明成本，也可能被认定为未按规定落实。