广东 GB/T 22239 信息安全等级保护申请全解：条件、流程和费用

一、申请条件

（一）信息系统运营使用单位要求

1. 具有独立法人资格：无论是企业、事业单位还是政府部门等，需在法律上具备独立承担民事责任的能力，以确保在信息安全等级保护工作中能够履行相应的义务和责任。
2. 有明确的信息系统：必须拥有实际运行且有清晰边界和功能界定的信息系统，该系统涵盖了计算机硬件、软件、网络设备以及相关数据等要素，且在组织的业务运营中扮演关键角色。

（二）信息系统要求

1. 依据系统重要性分级：根据信息系统所处理、存储和传输信息的重要性、敏感性以及一旦遭受破坏可能对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益造成的损害程度，划分为不同的安全等级，如一级至五级，一般广东地区企业常见的多为二级和三级。
2. 具备基本安全防护能力：在申请等级保护之前，信息系统应已实施了一定的安全防护措施，包括但不限于访问控制、数据加密、漏洞管理、安全审计等方面，以满足相应等级保护的基本要求。

二、申请流程

（一）确定信息系统安全等级

1. 信息系统运营使用单位首先要依据自身业务特点和信息资产情况，按照 GB/T 22239 标准对信息系统进行全面的安全分析和评估，确定其所属的安全等级。可参考相关行业指南以及国家、地方的信息安全政策法规要求进行判断。
2. 对于难以确定等级的复杂信息系统，可邀请专业的信息安全评估机构或专家进行咨询和指导，确保等级划分的准确性和合理性。

（二）开展安全建设与整改

1. 根据确定的安全等级，对照相应等级的基本要求，全面梳理信息系统存在的安全隐患和不足。制定详细的安全建设与整改方案，方案应涵盖技术和管理两个层面的措施，如网络架构优化、服务器加固、安全管理制度完善等。
2. 组织实施安全建设与整改工作，可自行组建专业团队或委托有资质的信息安全服务提供商进行。在整改过程中，要注重对整改效果的验证和评估，确保各项安全措施有效落地并达到预期目标。

（三）选择测评机构并进行测评

1. 在广东，有众多具备资质的信息安全等级保护测评机构可供选择。运营使用单位可通过官方网站查询测评机构名单，综合考虑机构的专业能力、信誉、服务质量以及价格等因素，选择合适的测评机构。
2. 与选定的测评机构签订测评合同，明确测评范围、内容、时间安排以及双方的权利和义务。测评机构将依据 GB/T 22239 标准及相关测评规范，对信息系统进行全面的安全测评，包括技术测评和管理测评两部分，测评过程中会采用多种技术手段和方法，如漏洞扫描、渗透测试、文档审查等。
3. 测评完成后，测评机构将出具详细的测评报告，报告中会明确指出信息系统是否符合相应等级保护要求，若存在不符合项，会详细说明具体问题及整改建议。

（四）提交备案申请材料

1. 运营使用单位在获得符合要求的测评报告后，需准备相关备案申请材料，向当地公安机关网络安全保卫部门提交备案申请。备案材料一般包括信息系统备案表、信息系统安全等级保护定级报告、信息系统安全等级保护测评报告、单位营业执照或组织机构代码证复印件等。
2. 公安机关将对备案材料进行审核，若材料齐全且符合要求，将予以受理并发放备案证明；若材料存在问题或不完整，将通知运营使用单位补充或修改材料后重新提交。

三、费用情况

（一）安全建设与整改费用

1. 这部分费用因信息系统的规模、复杂程度以及安全等级要求的不同而有较大差异。对于小型企业的二级信息系统，安全建设与整改费用可能在数万元至十几万元不等；而对于大型企业的三级信息系统，费用可能高达数十万元甚至上百万元。费用主要涵盖安全设备采购与部署（如防火墙、入侵检测系统、防病毒软件等）、安全软件开发与定制、安全服务（如安全咨询、漏洞扫描服务等）以及人员培训等方面。
2. 若委托信息安全服务提供商进行安全建设与整改，其服务费用通常根据项目的具体工作量和难度进行计算，一般会在合同中明确约定服务内容和收费标准。

（二）测评费用

1. 在广东地区，信息安全等级保护测评费用也与信息系统的安全等级和规模相关。二级信息系统的测评费用一般在 3 - 5 万元左右，三级信息系统的测评费用则在 6 - 10 万元左右。这只是一个大致的参考范围，实际费用可能会因测评机构的不同以及市场行情的波动而有所变化。
2. 测评费用通常包括一次性的测评服务费用以及可能的差旅费用等，在与测评机构签订合同时应明确各项费用明细，避免后期出现费用纠纷。

（三）其他费用

1. 在申请过程中，可能还会产生一些其他费用，如咨询专家费用（若需要外部专家对等级划分或整改方案进行指导）、备案材料制作费用（如打印、装订等）等，但这些费用相对较少，一般在数千元以内。
2. 此外，信息系统运营使用单位在后续的运维过程中，还需要持续投入资金用于安全设备的更新升级、安全服务的续费以及人员的安全培训等，以确保信息系统始终符合信息安全等级保护要求。